图计算如何守护企业网络身份安全？

随着政企数字化转型加速，网络攻击的靶标已从个人电脑转向大型企业的数据资产。特别是在万物上云与远程办公成为常态的背景下，内部网络的物理边界逐渐瓦解，针对活动目录（Active Directory，简称 AD）等核心底层身份设施的入侵屡见不鲜。

如何精准识别伪造凭据、并在被入侵后快速溯源？中安网星联合创始人兼 CTO 李佳峰分享了团队将图计算引入身份威胁检测与响应（ITDR）的实践路径。

身份即新边界：传统防御方案的断层

企业内部普遍依赖微软 AD 等目录服务来集中管理员工账号、权限与访问控制。作为支撑企业二十余年的核心基础设施，AD 支持通过 LDAP 协议纳管各类系统，但其自身安全加固往往被忽视。

传统防护设备多聚焦于 IP 或设备维度的通信分析，却难以准确刻画一台终端背后复杂的多人切换使用记录。一旦攻击者通过弱口令或提权漏洞潜入系统，缺乏完整关联日志的企业往往难以在事后串联起完整的攻击链条。

针对这一痛点，中安网星选择切入以 AD 为核心的身份威胁检测与响应。通过覆盖事前加固、事中监测阻断与事后审计溯源，填补国内在底层目录安全防御上的空白。

引入图计算：将排查溯源从数天缩短至半小时

在身份安全分析中，最大的难点在于复杂权限关系的动态梳理。中安网星将数学中的图论与图数据库结合，提出了「身份图」概念。

系统将企业内所有人员、终端、账户以及访问关系抽象为网状拓扑图。与传统的列表展示不同，网状图可实时标记各节点的属性与权限跃迁路径：

• 快速锁定攻击路径：一旦某个账户或机器遭遇异常认证，安全运营人员能够顺着拓扑连线快速摸清受波及资产，彻底理清横向移动轨迹。
• 大幅提升响应效率：原先依赖人工日志关联排查往往耗时一至两天，借助图计算技术，溯源时间被压缩至 30 分钟到 1 小时内。
• 精确无感阻断：结合细粒度控制机制，在检测到高危威胁时精准实施策略截断，避免因盲目关停核心服务器而影响正常业务。

目前该方案已在银行、证券、保险等对数据安全要求极为严苛的金融机构落地，主要用于防范定向入侵与核心交易数据泄露。

去中心化身份与无密码的落地现实

针对行业讨论热烈的前沿概念，李佳峰指出，无密码（Passwordless）技术通过人脸、指纹等生物特征与物理标识从底层替换弱密码，是顺应安全体验的长期方向，但存量应用系统的改造往往面临巨大的成本与兼容阻力。

而在 To B 企业级场景中，去中心化身份（DID）的适用面相对有限。企业组织本质上是强调集中治理与权限管控的组织架构，企业不仅需要对电脑、工位等固定资产进行确权，同样必须掌握所有账号与访问权限的支配力。虽然前端用户体验可能趋向统一简化，但后端依托集中式目录与单点登录（SSO）进行全生命周期安全审计仍是企业刚需。

未来，随着多云架构与混合部署的普及，中安网星计划逐步演进至中立的「云目录」平台，统一兼容各大公有云 IAM 及自建系统，为跨环境数字化基础设施打上清晰可控的身份标记。