امنیت سایبری بدون اعتماد: اصول و پیادهسازی
اصول اساسی امنیت سایبری بدون اعتماد، نحوه عملکرد این مدل، مزایای کلیدی و مراحل عملی برای انتقال از دفاعیات محیطی به تایید دسترسی مستمر.
Michael Gargiuloخلاصه: امنیت بدون اعتماد فرض منسوخشده را که هر چیز درون شبکه شما ایمن است جایگزین میکند. هر کاربر، دستگاه و اتصال به طور مستمر تایید میشود، که ریسک نقضهای امنیتی در محیطهای متصل به ابر را به شدت کاهش میدهد.
امنیت سایبری بدون اعتماد چیست؟
امنیت شبکه سنتی بر یک ایده ساده متکی بود: هر چیز درون محدوده قابل اعتماد است و تهدیدات در لبه محدوده مسدود شوند. دیوارآتش، VPNها و سیستمهای تشخیص نفوذ یک خندق دیجیتالی در اطراف منابع شرکتی تشکیل میدادند. به محض اینکه کاربر یا دستگاهی از دروازه عبور کرد، آزادانه حرکت میکرد.
آن مدل دیگر کار نمیکند. محاسبات ابری، کار از راه دور و دستگاههای موبایل محدوده شبکه را کاملاً حل کردهاند. کارمندان دادههای حساس را از لپتاپهای شخصی در کافهها دسترسی میدهند. فروشندگان شخص ثالث مستقیماً به سیستمهای داخلی متصل میشوند. مهاجمانی که یک نقطه پایانی را نقض کنند میتوانند به طور افقی در سراسر یک سازمان حرکت کنند.
امنیت سایبری بدون اعتماد این واقعیت را مستقیماً مورد توجه قرار میدهد. به جای فرض اینکه هر چیز درون شبکه ایمن است، بدون اعتماد هر درخواست دسترسی را به عنوان بالقوه خطرناک رفتار میکند. هر کاربر، هر دستگاه و هر اتصال باید قبل از دسترسی به هر منابی مشروعیت خود را اثبات کند. برای نگاهی گستردهتر به منظر تهدید، مرکز امنیت سایبری ما را ببینید.
نشریه ویژه NIST 800-207[1] چارچوب فدرالی قطعی برای پیادهسازی معماری بدون اعتماد است. این نشریه مدلهای کنترل دسترسی، الگوهای استقرار و الگوریتمهای اعتماد را به تفصیل پوشش میدهد. منتشرشده توسط موسسه ملی استاندارد و فناوری، به عنوان بنیاد عمل میکند که بیشتر شرکتها هنگام برنامهریزی استراتژی بدون اعتماد خود استفاده میکنند.
بدون اعتماد یک محصول واحد نیست که میتوانید بخرید. این یک مدل امنیتی، یک فلسفه و یک رویکرد معماری است که نحوه تفکر سازمانها در مورد دسترسی و اعتماد در هر سطح را بازتعریف میکند.
اصول اساسی بدون اعتماد
جدول زیر شش اصل بنیادی را که هر معماری بدون اعتماد را هدایت میکند خلاصه میکند:
| اصل بدون اعتماد | معنی آن در عمل |
|---|---|
| تایید صریح | تمام کاربران، دستگاهها و درخواستها را تایید کنید — هر بار، نه تنها در ورود |
| کمترین دسترسی لازم | فقط اجازاتی را اعطا کنید که برای یک کار خاص لازم است، نه بیشتر |
| فرض نقض شدگی | سیستمها را طوری طراحی کنید که گویی مهاجمان قبلاً درون سیستم هستند؛ شعاع انفجار را محدود کنید |
| تقسیمبندی شبکه | شبکه را تقسیم کنید تا یک منطقه مشکوکشده نتواند به صورت افقی گسترش یابد |
| احراز هویت چندعاملی | برای تمام نقاط دسترسی فاکتور دوم فراتر از رمز عبور را مطالبه کنید |
| نظارت مستمر | تمام فعالیتها را در زمان واقعی ثبت و تجزیه کنید تا ناهنجاریها را زود تشخیص دهید |
هر اصل دیگران را تقویت میکند. کمترین دسترسی لازم محدود میکند که یک حساب مشکوکشده میتواند به کجا دسترسی داشته باشد. تقسیمبندی شبکه خسارت را در صورت عبور مهاجم از احراز هویت محدود میکند. نظارت مستمر رفتار غیرعادی را شناسایی میکند که قوانین ایستا از دست میدهند. با هم، این اصول لایههای دفاعی همپوشانی را ایجاد میکنند که ریسک نقض موفق را به شدت کاهش میدهند.
مهم: بدون اعتماد محصولی نیست؛ یک مدل امنیتی است. دفاعیات محیطی سنتی فرض میکنند که هر چیز درون شبکه ایمن است، اما کار از راه دور و محاسبات ابری آن مرز را حل کردهاند. اتخاذ کمترین دسترسی لازم و تایید مستمر ریسک گسترش نقض را پس از اینکه مهاجمان دسترسی اولیه را کسب کنند به شدت کاهش میدهد.
اجزای معماری بدون اعتماد
معماری بدون اعتماد بر چندین اجزای بههمپیوستهای تکیه میکند که با هم کار میکنند. درک هر یک به سازمانها کمک میکند استقرار واقعگرایانهای برنامهریزی کنند.
مدیریت هویت و دسترسی (IAM)
IAM سنگ بنای بدون اعتماد است. راهحلهایی مانند Microsoft Entra ID (پیشتر Azure AD)، Okta و Ping Identity هویتهای کاربر را قبل از اعطای دسترسی به هر منابی تایید میکنند. هر درخواست دسترسی از لایه IAM عبور میکند، که هویت، نقش و زمینه را ارزیابی میکند و قبل از تصمیمگیری اجازه یا انکار تصمیم میگیرد. عملکرد قوی مدیریت هویت و دسترسی همچنین به جلوگیری از جمعآوری اعتبار و حملات توقیف حساب کمک میکند.
احراز هویت چندعاملی (MFA)
MFA نیاز دارد که کاربران هویت خود را از طریق حداقل دو فاکتور جداگانه اثبات کنند: چیزی که میدانند (رمز عبور)، چیزی که دارند (نشانه سختافزار یا تلفن) یا چیزی که هستند (بیومتری). Microsoft گزارش کرد که MFA 99.9% از حملات خودکار توقیف حساب را مسدود میکند. MFA در هر استقرار بدون اعتماد غیرقابلتوافق است.
تقسیمبندی خرد
به جای رفتار با شبکه به عنوان یک منطقه قابلاعتماد واحد، تقسیمبندی خرد آن را به بخشهای کوچک و جداگانه تقسیم میکند. هر بخش سیاستهای دسترسی خاص خود را اعمال میکند. اگر مهاجم یک بخش را مشکوک کند، نمیتواند به بخشهای دیگر به صورت افقی حرکت کند. ابزارهایی مانند VMware NSX، Illumio و Cisco ACI تقسیمبندی خرد را در مقیاس فراهم میکنند.
تشخیص و پاسخ نقطههای پایانی (EDR)
بدون اعتماد برای دیدگاهی به هر دستگاه متصل به شبکه نیاز دارد. راهحلهای EDR مانند CrowdStrike Falcon، SentinelOne و Microsoft Defender for Endpoint به طور مستمر سلامت دستگاه را نظارت میکنند، رفتار بدخیمانه را تشخیص میدهند و سیاستهای انطباق را اعمال میکنند. دستگاهی که از انطباق کاهشیابد (سیستمعامل منسوخ، پچهای گمشده) میتواند به طور خودکار از دسترسی به منابع حساس مسدود شود.
مدیریت اطلاعات و رویدادهای امنیتی (SIEM)
پلتفرمهای SIEM گزارشها را از سراسر محیط جمعآوری میکنند و تجزیه و تحلیل را برای تشخیص ناهنجاریها اعمال میکنند. راهحلهایی مانند Splunk، Microsoft Sentinel و IBM QRadar نظارت مستمری را که بدون اعتماد مطالبه میکند فراهم میکنند. هشدار در زمان واقعی و کتابهای بازی پاسخ خودکار به تیمهای امنیتی کمک میکند که در دقایق نه روز در مورد تهدیدات اقدام کنند.
موتور سیاست و مدیر سیاست
در قلب معماری بدون اعتماد موتور سیاست وجود دارد. این جزء هر درخواست دسترسی را برابر سیاستهای تعریفشده (نقش کاربر، سلامت دستگاه، مکان، زمان روز، امتیاز ریسک) ارزیابی میکند و تصمیم اعتماد بلادرنگ میگیرد. مدیر سیاست سپس این تصمیم را اعمال میکند و به نقطه اعمال مناسب دستور میدهد تا اتصال را اجازه دهد یا مسدود کند.
بدون اعتماد در برابر امنیت محیطی سنتی
درک تضاد بین بدون اعتماد و رویکردهای قدیمی روشن میکند که چرا سازمانها این تغییر را انجام میدهند.
| عامل | امنیت محیطی سنتی | امنیت بدون اعتماد |
|---|---|---|
| مدل اعتماد | تمام چیز درون شبکه قابلاعتماد است | هیچ چیز قابلاعتماد نیست؛ همه چیز تایید شود |
| دامنه دسترسی | دسترسی شبکه گسترده پس از احراز هویت | دسترسی دانهای و برای هر برنامه |
| فرکانس تایید | یک بار در ورود | مستمر، برای هر درخواست |
| ریسک حرکت افقی | بالا — مهاجمان پس از ورود آزادانه حرکت میکنند | پایین — تقسیمبندی خرد نقضها را محدود میکند |
| پشتیبانی از کار از راه دور | نیاز به تونل VPN برای تمام ترافیک | پشتیبانی بومی برای دسترسی توزیعشده |
| دیدگاه | نظارت محدود ترافیک داخلی | دیدگاه کامل در تمام اتصالات |
برخلاف رویکردهای سنتی مبتنی بر VPN که دسترسی شبکه گستردهای پس از اتصال میدهند، دسترسی شبکه بدون اعتماد (ZTNA) فقط به برنامهای که نقش کاربر نیاز دارد دسترسی میدهد. سازمانهایی که هنوز از VPNهای متمرکز بر حریم خصوصی برای رمزگذاری استفاده میکنند میتوانند ZTNA را در بالای آن قرار دهند تا کنترل کنند که هر کاربر واقعاً به کجا میتواند دسترسی داشته باشد. VPN تونل رمزگذاریشده را مسیر میدهد؛ بدون اعتماد مجوز و تایید مستمر را مسیر میدهد.
نحوه پیادهسازی معماری بدون اعتماد
پیادهسازی بدون اعتماد یک پروژه یکشبه نیست. بیشتر سازمانها آن را در مراحل در 12 تا 24 ماه اتخاذ میکنند. در اینجا یک رویکرد عملی، گام به گام آمده است.
مرحله 1: سطح حفاظت خود را نقشه کنید
دادهها، برنامهها، داراییها و خدمات حساستر (DAAS) را شناسایی کنید. برخلاف سطح حمله، که گسترده و مدام در حال گسترش است، سطح حفاظت کوچک و خوب تعریفشده است. از اینجا شروع کنید.
مرحله 2: جریان تراکنشها را نقشه کنید
نحوه حرکت ترافیک در سراسر شبکه را مستند کنید. درک کنید که کاربران کدام دستگاهها از کدام برنامههای را دسترسی میدهند و از طریق کدام مسیرها. شما نمیتوانید سیاستها را برای جریانهایی که درک نمیکنید اعمال کنید.
مرحله 3: معماری را در اطراف سطح حفاظت بسازید
دیوارآتش نسل بعدی، راهحلهای IAM و ابزارهای تقسیمبندی خرد را در اطراف سطح حفاظت استقرار دهید. موتور سیاست را در مرکز هر تصمیم دسترسی قرار دهید. NIST SP 800-207 سه مدل استقرار را تعریف میکند: عامل دستگاه/دروازه، مبتنی بر اقلیم و مبتنی بر درگاه منبع. بر اساس زیرساخت موجود خود انتخاب کنید.
مرحله 4: سیاستهای دسترسی دانهای بسازید
سیاستهای دسترسی دانهای را با استفاده از روش کیپلینگ تعریف کنید: کی درخواست دسترسی میکند؟ کدام برنامهای را دسترسی میکنند؟ کی دسترسی میکنند؟ کجا قرار دارند؟ چرا دسترسی نیاز دارند؟ چگونه متصل میشوند؟ این شش سؤال مبنای هر قانون سیاست را تشکیل میدهند.
مرحله 5: احراز هویت چندعاملی را در همه جا استقرار دهید
MFA را در تمام نقاط دسترسی راهاندازی کنید. حسابهای امتیازی را اولویت دهید، سپس به تمام کاربران گسترش دهید. کلیدهای امنیتی سختافزاری (YubiKey، Google Titan) بیشترین حفاظت را در برابر تلاش برای کلاهبرداری فراهم میکنند.
مرحله 6: نظارت مستمر و تجزیه و تحلیل را فعال کنید
راهحلهای SIEM و EDR را برای نظارت بر تمام ترافیک در زمان واقعی استقرار دهید. خطوط پایه برای رفتار عادی ایجاد کنید تا ناهنجاریها هشدار فوری را راهاندازی کنند. کتابهای بازی پاسخ خودکار را برای الگوهای تهدید معمول خودکار کنید.
مرحله 7: تکرار و گسترش دهید
از داراییهای حساستر شروع کنید و کنترلهای بدون اعتماد را به بیرون گسترش دهید. هر مرحله باید شامل آزمایش، اعتبارسنجی و اصلاح سیاست باشد. بدون اعتماد منزل نیست؛ یک فرایند مستمر بهبود است.
موارد استفاده معمول بدون اعتماد
نیروی کار راه دور و ترکیبی
سازمانهایی که کارمندان کار میکنند از خانه، فضاهای همکاری یا سایتهای مشتری بلافاصله از بدون اعتماد بهره میبرند. به جای مسیریابی تمام ترافیک از طریق VPN مرکزی، راهحلهای ZTNA هر کاربر و دستگاه را به طور مستقل تایید میکنند. این تاخیر را کاهش میدهد و همزمان امنیت را بهبود میبخشد.
سازمانهای اول ابر
شرکتهایی که بار کاری را در سراسر AWS، Azure و Google Cloud اجرا میکنند نیاز به کنترل دسترسی مناسبای دارند که چندین محیط را شامل شود. سیاستهای بدون اعتماد کاربر و بار کاری را دنبال میکنند، نه محدود شبکه.
صنایع تنظیمشده
سازمانهای بهداشتی تحت HIPAA، نهادهای مالی تحت PCI DSS و SOX و نهادهای دولتی تحت FedRAMP همه کنترل دسترسی سخت و سوابق حسابی را مطالبه میکنند. بدون اعتماد هر دو را بر حسب طراحی فراهم میکند.
دسترسی فروشنده و پیمانکار
فروشندگان و پیمانکاران اغلب به دسترسی به سیستمهای داخلی خاص نیاز دارند. بدون اعتماد آنها را فقط به منابعی که نیاز دارند دسترسی میدهد، فقط برای مدتی که نیاز دارند، با ثبت کامل هر عمل.
ادغام و تحصیل
زمانی که دو سازمان ادغام میشوند، یکپارچگی شبکههای خود خطر قابلتوجهی را معرفی میکند. بدون اعتماد اجازه میدهد که هر محیط کنترل دسترسی مستقل را حفظ کند و به صورت انتخابی دسترسی میانسازمانی را بر اساس هر برنامه اعطا کند.
آیا بدون اعتماد برای سازمان شما مناسب است؟
امنیت سایبری بدون اعتماد یک ترند موقت نیست. این تغییری بنیادی است در نحوه حفاظت سازمانها از دادهها، برنامهها و کاربران خود. مدل قدیمی مبتنی بر محدوده فرض میکرد تهدیدات درون دیوار باقی میمانند. امروز، با محاسبات ابری، کار از راه دور و حملات فزایندهی پیچیدهای مانند سرقت هویت و جمعآوری اعتبار، آن فرض سازمانها را در خطر جدی میگذارد.
اتخاذ بدون اعتماد به معنای تعهد به تایید مستمر، کمترین دسترسی لازم، تقسیمبندی شبکه، احراز هویت چندعاملی و نظارت بلادرنگ است. نیاز به سرمایهگذاری در فناوری و تمایل به بازتفکری نحوه اعطای دسترسی و مدیریت آن توسط سازمان شما دارد.
بازگشت قابلتوجهی است: کاهش ریسک نقض، موضع انطباق قویتر، دیدگاهی بهتر در فعالیت شبکه و یک مدل امنیتی که با سازمان شما رشد میکند.
از داراییهای حساستر شروع کنید. جریانهای ترافیک را نقشه کنید. MFA و IAM را استقرار دهید. شبکه خود را تقسیم کنید. همه چیز را نظارت کنید. هر قدم پیشرو ریسکهای تهدیداتی را که بیشتر است کاهش میدهد.
منابع
منابع این صفحه
نمودارها و تصاویر مرجع از آزمایشهای ما، برای مشاهده و اشتراکگذاری رایگان.
Zero trust هر درخواست را تأیید میکند و فقط مجوزهای لازم برای وظیفه جاری را اعطا میکند.
پرسشهای متکرر
امنیت سایبری بدون اعتماد به عبارت ساده چیست؟
بدون اعتماد به معنای اینکه هیچ کاربر، دستگاه یا اتصالی به طور پیشفرض قابلاعتماد نیست، حتی درون شبکه شرکتی. هر درخواست دسترسی به طور صریح تایید میشود، فقط حداقل اجازات مورد نیاز اعطا میشود و به طور مستمر نظارت میشود. این مدل قدیمیتر “هر چیز درون محدوده قابلاعتماد است” را جایگزین میکند که پس از حلشدن محاسبات ابری و کار از راه دور آن مرز شکست میخورد. NIST SP 800-207 چارچوب فدرالی قطعی برای پیادهسازی آن است.
شش اصل اساسی بدون اعتماد کداماند؟
شش اصل عبارتاند از: تایید صریح، کمترین دسترسی لازم، فرض نقض شدگی، تقسیمبندی شبکه، احراز هویت چندعاملی و نظارت مستمر. هر یک دیگری را تقویت میکند: کمترین دسترسی لازم محدود میکند که حساب مشکوکشده به کجا میتواند دسترسی داشته باشد، تقسیمبندی گسترش افقی را محدود میکند و نظارت مستمر ناهنجاریهایی را تشخیص میدهد که قوانین ایستا از دست میدهند. با هم لایههای دفاعی همپوشانی را تشکیل میدهند نه یک محصول یا تنظیم واحد.
چه تهدیداتی از آن جلوگیری میکند که VPN سنتی نمیکند؟
VPN سنتی تونل را رمزگذاری میکند اما دسترسی شبکه گستردهای پس از اتصال میدهد، بنابراین مهاجمی که یک اعتبار را بدزدد میتواند به طور افقی در سراسر تمام شبکه حرکت کند. دسترسی شبکه بدون اعتماد (ZTNA) فقط به برنامهای که نقش کاربر نیاز دارد دسترسی میدهد، با هر درخواست دوباره تایید شود. این مستقیماً حرکت افقی، جمعآوری اعتبار و حملات توقیف حساب را محدود میکند، حملاتی که دفاعیات فقط محیطی از دست میدهند.
بدون اعتماد چگونه حرکت افقی را بعد از نقض محدود میکند؟
بدون اعتماد فرض میکند مهاجمان قبلاً درون سیستم هستند و برای آن طراحی میکند. تقسیمبندی خرد شبکه را به بخشهای جداگانه تقسیم میکند، بنابراین نقض یک بخش دسترسی به دیگران را نمیدهد، با ابزارهایی مانند VMware NSX، Illumio یا Cisco ACI. در ترکیب با کمترین دسترسی لازم و نظارت مستمر از طریق پلتفرمهای SIEM، این شعاع انفجار هر حساب مشکوکشده یا نقطه پایانی را کاهش میدهد.
دسترسی شبکه بدون اعتماد (ZTNA) چیست و چگونه با VPN تفاوت دارد؟
ZTNA فقط به برنامهای که نقش کاربر نیاز دارد دسترسی میدهد، نه دسترسی شبکه گستردهای که تونل VPN پس از اتصال فراهم میکند. سازمانها میتوانند ZTNA را در بالای VPNهای متمرکز بر حریم خصوصی قرار دهند: VPN تونل رمزگذاریشده را مسیر میدهد در حالیکه بدون اعتماد مجوز و تایید مستمر برای هر درخواست را مسیر میدهد، شکاف را که دسترسی فقط VPN باز میگذارد بسته میکند.
آیا بدون اعتماد MFA را جایگزین میکند یا در کنار آن کار میکند؟
MFA یک جزء ضروری بدون اعتماد است، جایگزین آن نیست. Microsoft گزارش کرد که MFA 99.9% از حملات خودکار توقیف حساب را مسدود میکند، که آن را در تمام نقاط دسترسی غیرقابلتوافق میکند. استقرار بدون اعتماد MFA را از حسابهای امتیازی شروع میکند، سپس به تمام کاربران گسترش میدهد، اغلب با کلیدهای امنیتی سختافزاری مانند YubiKey یا Google Titan برای مقاومت بیشتر در برابر تلاش برای کلاهبرداری.
کدام ابزارها واقعاً برای ساختن معماری بدون اعتماد استفاده میشوند؟
یک پشته کامل هویت، نقاط پایانی، شبکه و نظارت را شامل میشود. IAM از Microsoft Entra ID، Okta یا Ping Identity میآید. EDR از CrowdStrike Falcon، SentinelOne یا Microsoft Defender for Endpoint میآید. تقسیمبندی خرد از VMware NSX، Illumio یا Cisco ACI استفاده میکند. پلتفرمهای SIEM مانند Splunk، Microsoft Sentinel یا IBM QRadar نظارت مستمری را که مدل مطالبه میکند فراهم میکنند.
موتور سیاست چیست و چرا برای بدون اعتماد مرکزی است؟
موتور سیاست در قلب معماری بدون اعتماد نشسته است و هر درخواست دسترسی را برابر عواملی مانند نقش کاربر، سلامت دستگاه، مکان، زمان روز و امتیاز ریسک ارزیابی میکند تا تصمیم اعتماد بلادرنگ بگیرد. مدیر سیاست سپس آن تصمیم را با فرمان به نقطه اعمال اعمال میکند. NIST SP 800-207 این را به عنوان جزء تصمیمگیری اساسی مدل نشان میدهد.
چگونه بدون اعتماد را بدون اختلال در عملیات اجرا کنم؟
با نقشهکردن سطح حفاظت شروع کنید، مجموعه کوچک دادهها، برنامهها، داراییها و خدمات حساس نه کل سطح حمله. سپس جریانهای تراکنش را مستند کنید تا درک کنید کی کدام چیز را دسترسی میدهد و از کجا. NIST SP 800-207 سه مدل استقرار را تعریف میکند، عامل دستگاه/دروازه، مبتنی بر اقلیم و مبتنی بر درگاه منبع، تا بتوانید یکی را متناسب با زیرساخت موجود خود انتخاب کنید قبل از گسترش به بیرون.
روش کیپلینگ برای تعیین سیاست دسترسی بدون اعتماد چیست؟
روش کیپلینگ سیاستهای دسترسی دانهای را در اطراف شش سؤال میسازد: کی درخواست دسترسی میکند، کدام برنامهای را دسترسی میکنند، کی، کجا قرار دارند، چرا دسترسی نیاز دارند و چگونه متصل میشوند. این شش سؤال مبنای هر قانون سیاست را تشکیل میدهند که موتور سیاست اعمال میکند، دسترسی شبکه مبتنی بر نقش گسترده را با تصمیمات متناظر و زمینهای جایگزین میکند.
استقرار بدون اعتماد کامل واقعاً چقدر طول میکشد؟
بیشتر سازمانها بدون اعتماد را در مراحل در 12 تا 24 ماه اتخاذ میکنند نه به عنوان یک پروژه واحد. دنباله: سطح حفاظت را نقشه کنید، جریانهای تراکنش را مستند کنید، معماری را در اطراف آن بسازید، سیاستهای دانهای را با روش کیپلینگ بسازید، MFA را در همه جا استقرار دهید، نظارت SIEM و EDR را فعال کنید، سپس تکرار کنید. هر مرحله آزمایش و اصلاح سیاست را قبل از گسترش به گروه دارایی بعدی شامل میشود.
آیا بدون اعتماد برای صنایع تنظیمشده مانند بهداشت یا مالیات لازم است؟
بله. سازمانهای بهداشتی تحت HIPAA، نهادهای مالی تحت PCI DSS و SOX و نهادهای دولتی تحت FedRAMP همه کنترل دسترسی سخت و تاریخ حسابی کامل را نیاز دارند، که بدون اعتماد به تصمیم از طریق تایید مستمر و ثبت هر برنامه فراهم میکند. فروشندگان شخص ثالث و پیمانکاران نیز دسترسی را فقط به منابع خاص و مدتی که نیاز دارند محدود میشود.
اگر دستگاهی از پذیرفتنی بدون اعتماد شکست بخورد چه اتفاقی میافتد؟
راهحلهای EDR مانند CrowdStrike Falcon، SentinelOne یا Microsoft Defender for Endpoint به طور مستمر سلامت دستگاه را نظارت میکنند و دستگاهی که از پذیرفتنی کاهشیابد (سیستمعامل منسوخ یا پچهای گمشده) میتواند به طور خودکار از دسترسی به منابع حساس مسدود شود. این اعمال در موتور سیاست اتفاق میافتد، که سلامت دستگاه را به عنوان یک عامل در هر تصمیم دسترسی دوباره ارزیابی میکند، نه فقط یک بار در ورود.