01 · 认证体系与抗钓鱼MFA
1.1 认证因素的谱系与安全性分层
认证的本质是"证明你是你所声称的主体"。经典三因素框架（知识因素/持有因素/固有因素）之上，零信任语境更关注一个实战维度：能否抵御钓鱼中继。2020年以来，基于反向代理的Adversary-in-the-Middle（AiTM）钓鱼套件（公开安全研究与执法通报均有披露）可实时中继登录页面与验证码，使短信OTP、TOTP乃至推送式MFA形同虚设——攻击者拿到会话Cookie后即完成账号接管。M-22-09因此将"抗钓鱼多因素认证"列为联邦强制要求。技术对比：
| 认证方式 | 因素类别 | 抗钓鱼能力 | 原理说明与风险点 |
|---|---|---|---|
| 静态口令 | 知识因素 | 无 | 可被钓鱼、撞库、键盘记录；仅可作为多因素中的次要成分 |
| 短信/语音OTP | 持有因素（弱） | 无 | 可被AiTM实时中继；存在SIM交换（SIM swap）与信令拦截风险；仅适合作为过渡方案 |
| TOTP（动态口令App/令牌） | 持有因素 | 弱 | 码值可被AiTM即时中继；抵御重放但不对站点身份做密码学校验 |
| 推送确认（Push） | 持有因素 | 弱 | MFA疲劳轰炸（MFA fatigue）可诱导误批；不对站点身份做校验 |
| FIDO2/WebAuthn安全密钥/通行密钥 | 持有因素（强） | 强 | 挑战-响应与浏览器请求的站点域名密码学绑定，中继攻击因域名不符而失败；钓鱼站点无法诱导密钥签名——抗钓鱼MFA的主流答案 |
| 智能卡/证书认证（PIV） | 持有因素（强） | 强 | 依据FIPS 201-3的PIV标准，私钥不出卡、证书绑定身份；政府与大型机构成熟实践 |
合规坐标：等保三级系统要求"两种或两种以上组合鉴别技术，其中一种应使用密码技术"（GB/T 22239-2019），与抗钓鱼MFA的要求在"密码技术鉴别"上交汇——国内组织可采用"口令＋智能密码钥匙/国密动态令牌"满足双重合规。NIST SP 800-63-4《数字身份指南》以认证保证等级（AAL1/2/3）、身份证明保证等级（IAL1/2/3）与联邦保证等级（FAL1/2/3）给出完整分级框架，可作为测评对标依据。按800-63-4：AAL2要求验证方"提供"抗钓鱼认证选项，AAL3则强制要求抗钓鱼认证器且私钥不可导出（硬件支撑），同步型通行密钥（syncable passkey）不得用于AAL3——选型时应区分"设备绑定密钥"与"云端同步密钥"的保障差异，并按访问数据的敏感等级映射目标AAL。
1.2 认证架构设计要点
- 全场景覆盖：远程接入、特权访问、敏感数据操作（step-up触发）、密码重置等高敏流程必须强制强认证；常规内网访问可依风险分级配置。
- 身份源唯一化：单一可信身份源（IdP/目录服务）＋联邦认证（OIDC/SAML）消除多账号体系；第三方与供应商使用独立CIAM域并限期授权。
- 应急通道管控：灾备与运维应急账号（break-glass account）实行保险箱托管＋双人审批＋事后强制复核——应急通道是"最危险的常规例外"。
- 认证负载与体验：通行密钥（Passkey）同步机制与多设备注册策略平衡安全性与可用性；避免"为安全而强制频繁全量认证"导致的绕行使用。
02 · 授权模型演进：RBAC→ABAC→PBAC
2.1 三种模型的能力边界
| 模型 | 决策依据 | 优势 | 局限 |
|---|---|---|---|
| RBAC 基于角色 | 主体所属角色→预定义权限 | 简单直观、易审计、与组织结构对齐；等保测评控制项直接对应 | 角色爆炸、无法表达上下文（时间/设备/数据级别）、静态授权违背最小权限 |
| ABAC 基于属性 | 主体属性＋客体属性＋环境属性＋操作，实时计算（NIST SP 800-162） | 细粒度、动态、可表达"财务角色＋受管设备＋工作时间＋一般数据"组合策略 | 属性与策略工程复杂；策略冲突调试成本高；需元数据（分级标签）治理配套 |
| PBAC 基于策略 | 将ABAC策略外部化、集中化、可版本化（策略即代码） | 策略统一治理、跨系统一致执行、变更可审计回滚——零信任落地的工程形态 | 依赖PE/PA基建；策略全生命周期治理是新的运营负担 |
2.2 演进路径与数据语境（KQ-2落点）
推荐路径为RBAC打底＋ABAC补上下文＋PBAC统一治理：以角色承担"粗粒度默认权限"（降低策略基数），以属性策略承担"细粒度动态裁决"（消费第1页数据分级标签、设备态势、会话风险评分）。当访问涉及聚合数据时，按"最严标签优先"裁决；标签缺失时执行"降级访问"（仅允许最小必要操作并触发补标流程），而非默认放行——这是分级体系与零信任联动的关键规则。策略管理须覆盖全生命周期：起草→仿真测试→灰度发布→生效→复审→废止，全程版本化留痕（对应第7页审计要求）。
策略工程实践：建议将策略以声明式语言集中管理（如OPA的Rego等开放策略语言），通过CI/CD管道测试后分发至各PA（网关、服务网格、数据库代理）；策略即代码让"权限变更"具备与"代码变更"同级的评审与回滚能力。
03 · PAM特权访问与IGA身份治理
3.1 PAM：特权账号的"核保险柜"
- 凭据保险箱：特权密码/密钥集中托管、自动轮换（终结共享账号与硬编码凭据）；应用间调用凭据的API密钥纳入同等管理。
- JIT/JEA：按需提权（Just-in-Time）与"恰好够用"（Just Enough Administration）——管理员日常持标准账号，运维时申请限时提权，任务结束自动回收；对应准则T4。
- 会话治理：特权会话代理化、全程录屏与命令审计；高危命令（批量导出、删除、权限变更）双人复核或阻断。
- 供应商访问：第三方特权访问经PAM门户限时授权、全程留痕，杜绝"长期共享供应商账号"。
3.2 IGA：身份全生命周期治理
- JML流转：入职（Joiner）按岗位模板最小化授权、转岗（Mover）先收后授、离职（Leaver）当日全渠道吊销——离职权限残留是内部威胁与数据泄露的常见源头。
- 周期性权限复核：敏感权限季度复核、全员权限年度复核，复核记录作为等保与审计证据；休眠账号（90天未使用建议阈值，可按组织风险偏好调整）自动禁用。
- SoD职责分离：业务规则库检测冲突权限（如"录入＋审核""申请＋批准"不得同人持有），在授权源头阻断舞弊链。
- 身份威胁检测（ITDR）：监控目录服务异常（DCSync类行为、异常委派、票据异常）——身份基础设施自身已成为攻击目标，需纳入监测（与第7页UEBA联动）。
04 · 机器身份与工作负载身份（第四块拼图）
零信任覆盖"所有主体"，而现代企业主体中机器（服务账号、API、CI/CD流水线、机器人流程）数量远超人类员工且增长更快。工作负载身份的核心机制：
| 机制 | 内容 | 治理要点 |
|---|---|---|
| mTLS双向认证 | 服务间以X.509证书（国内场景采用国密SM2证书）双向验证身份并加密传输 | 证书短周期化（小时级/天级）、自动轮换、私钥HSM保护 |
| 身份框架 | SPIFFE/SPIRE（CNCF项目）等统一服务身份签发与轮换框架；云厂商IAM角色的等价机制 | 身份命名空间规划、跨集群信任域边界、与CI/CD集成 |
| 服务账号治理 | 数据库账号、应用账号、API密钥统一登记、最小权限、禁用交互式登录 | 密钥不落代码/配置库（机密管理系统注入）、定期轮换、按应用归属到人（可问责） |
| 非人身份发现 | 扫描影子服务账号、硬编码凭据、僵尸API密钥 | 未登记机器身份默认拒绝访问重要数据 |
风险提示：SolarWinds事件（2020年披露）中攻击者滥用合法构建与更新通道，MOVEit事件（2023年）中攻击者利用合法Web服务接口——两者均提醒：机器身份的合法凭证同样可被滥用，单纯"验证身份"不足以防御供应链场景，需叠加行为基线与发布制品签名验证（软件供应链属其他课题，此处仅作边界提示）。
05 · 身份体系与反钓鱼的攻防闭环
本子课题依托公共互联网反网络钓鱼工作组的协同背景，将身份体系与钓鱼威胁情报形成双向闭环：
- 情报→决策：钓鱼站点域名、AiTM基础设施、被盗凭证集市的情报实时注入信任算法——用户会话若命中"凭据已出现在泄露集市"信号，强制密码重置并吊销现有会话。
- 演练→度量：定期开展钓鱼演练并度量"点击率→凭据提交率→MFA挑战成功率"漏斗；对反复中招群体定向训练并收紧其条件访问策略（演练属网站攻防演练板块，此处仅引用指标）。
- 失陷→响应：账号失陷的自动化处置剧本：禁用账号→吊销全部会话/令牌→强制重认证→排查横向移动——处置时效直接决定数据泄露规模（第7页SOAR剧本）。
本节参考来源（第4页）
NIST SP 800-63-4《Digital Identity Guidelines》（最终版2025年7月31日发布，自2025年8月1日起取代800-63-3；其前身800-63-3于2017年发布）：NIST 800-63-4官方站。
NIST SP 800-162《Guide to Attribute Based Access Control (ABAC) Definition and Considerations》（2014年1月，2019年8月更新）：NIST CSRC官方发布页。
OMB M-22-09（2022.1.26，抗钓鱼MFA强制要求）：白宫OMB（国家档案馆藏）。
OMB M-21-31（2021.10，日志记录要求，支撑检测与响应）与OMB M-22-09：白宫OMB（国家档案馆藏）。
Microsoft关于AiTM钓鱼攻击的公开安全研究与防护指引（2022年）：Microsoft Security Blog。
FIDO Alliance（FIDO2/WebAuthn/Passkey规范）：FIDO Alliance官网；SPIFFE/SPIRE：spiffe.io。
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（身份鉴别与访问控制控制项）：国家标准全文公开系统。