در حال بارگذاری...
اصل «هرگز اعتماد نکن، همیشه تأیید کن»؛ میکرو-بخش‌بندی، کمترین دسترسی، ستون‌های NIST 800-207، مفهوم SASE و تفاوت این مدل با امنیت سنتی مرزدار.
اهداف این درس
مدل امنیتی سنتی این‌طور فکر می‌کند: داخل شبکه امن است و بیرون خطرناک؛ فقط مرز را با فایروال بسازیم. اما تجربه نشان داده مهاجم‌ها از راه فیشینگ، دستگاه آلوده یا حتی یک کاربر داخلی وارد می‌شوند. Zero Trust این فرضیه را کنار می‌گذارد و اعتماد را از پایه بازتعریف می‌کند.
در مدل Zero Trust هیچ درخواستی، از داخل یا خارج شبکه، بدون تأیید پذیرفته نمی‌شود. هر دسترسی با در نظر گرفتن هویت کاربر، سلامت دستگاه، حساسیت داده و وضعیت شبکه ارزیابی می‌شود و فقط اجازه‌های لازم داده می‌شود.
تقسیم شبکه به بخش‌های کوچک و ایزوله با سیاست‌های امنیتی مستقل؛ دسترسی بین بخش‌ها فقط با قوانین صریح ممکن است و حرکت جانبی مهاجم محدود می‌شود.
مبنای اعتماد در Zero Trust، هویت و رفتار است، نه آدرس IP یا محل اتصال. هر کاربر با MFA و هر دستگاه با گواهی و بررسی سلامت ارزیابی می‌شود؛ اگر دستگاهی آلوده شود یا هویتی غیرعادی عمل کند، دسترسی آن در لحظه محدود یا قطع می‌شود.
ترکیب قابلیت‌های شبکه (SD-WAN) و امنیت (SWG، CASB و سیاست‌های Zero Trust) در یک سرویس ابری یکپارچه که دسترسی مبتنی بر هویت را از هر مکان ارائه می‌دهد.
مقایسه مدل سنتی و Zero Trust
| ویژگی | مدل محیطی سنتی | Zero Trust |
|---|---|---|
| اعتماد به داخل شبکه | ضمنی و کامل | هیچ اعتمادی |
| مبنای تصمیم | جایگاه شبکه (IP) | هویت و سلامت دستگاه |
| دسترسی کاربر | یک‌بار پس از ورود | برای هر درخواست |
| حرکت جانبی مهاجم | آسان | با بخش‌بندی محدود |
| پایش | محدود | پیوسته و رفتارمحور |
VPN به‌تنهایی Zero Trust نیست
بعضی سازمان‌ها فکر می‌کنند با یک VPN و اتصال داخلی، مدل امن شده است؛ اما VPN اعتماد گسترده‌ای به کل شبکه می‌دهد. در Zero Trust حتی بعد از اتصال، دسترسی به هر منبع جداگانه ارزیابی و محدود می‌شود.
نکته آزمون
برای سوالات Zero Trust سه کلیدواژه را به خاطر بسپارید: Never Trust Always Verify، NIST 800-207 برای معماری و Micro-segmentation برای محدودسازی حرکت جانبی.
جمع‌بندی
Zero Trust یک فلسفه است: مرز امنیتی از محیط شبکه به هر کاربر، هر دستگاه و هر درخواست منتقل می‌شود. با ستون‌های NIST 800-207، میکرو-بخش‌بندی، کمترین دسترسی و پایش پیوسته، می‌توانید هر سناریوی دسترسی را تحلیل کنید.
اعتماد به محیط داخلی برخلاف Zero Trust است؛ شبکه داخلی هم غیرقابل اعتماد فرض می‌شود.
پایش پیوسته (Continuous Monitoring) برای تشخیص رفتار غیرعادی ضروری است.
least privilege و micro-segmentation دامنه حرکت مهاجم را بعد از نفوذ محدود می‌کنند.
اصل بنیادین مدل Zero Trust چیست؟
مدل Zero Trust چه تفاوتی با امنیت سنتی محیطی دارد؟
در مدل سنتی، همه چیز داخل مرز شبکه قابل اعتماد است؛ در Zero Trust هیچ اعتمادی به موقعیت شبکه نیست و هر درخواست، از داخل یا خارج، باید تأیید هویت و مجوز شود.
میکرو-بخش‌بندی چه فایده‌ای دارد؟
با تقسیم شبکه به بخش‌های کوچک و اعمال سیاست جداگانه، اگر مهاجم وارد یک بخش شود، نمی‌تواند آزادانه به بقیه شبکه برود؛ حرکت جانبی مهاجم محدود می‌شود.
SASE چیست و چه ارتباطی با Zero Trust دارد؟
SASE (Secure Access Service Edge) امنیت شبکه و اتصال را در یک سرویس ابری ترکیب می‌کند و سیاست‌های مبتنی بر هویت را برای هر دسترسی اعمال می‌کند که از نظر فلسفی با Zero Trust هم‌سو است.