هندسة Zero Trust

Zero Trust هو أحد أكثر الأطر مناقشة في الأمان الحديث. يغطي هذا الدرس المبادئ وأنماط التنفيذ وأسئلة المقابلة التي ستواجهها.

ما هو Zero Trust؟

المبدأ الأساسي: "لا تثق أبداً، تحقق دائماً."

أمان المحيط التقليدي يفترض أن كل شيء داخل الشبكة موثوق. Zero Trust يفترض الاختراق ويتحقق من كل طلب بغض النظر عن المصدر.

التقليدي مقابل Zero Trust

الجانب	أمان المحيط	Zero Trust
نموذج الثقة	ثقة بالداخل، تحقق من الخارج	تحقق من كل شيء
الشبكة	شبكة داخلية مسطحة	تجزئة دقيقة
الوصول	VPN = وصول كامل	وصول لكل مورد
المصادقة	مرة واحدة عند المحيط	تحقق مستمر
الافتراض	موقع الشبكة = ثقة	افترض الاختراق

مبادئ NIST Zero Trust

بناءً على NIST SP 800-207:

1. كل مصادر البيانات وخدمات الحوسبة هي موارد
2. كل الاتصالات مؤمنة بغض النظر عن الموقع
3. الوصول يُمنح على أساس كل جلسة
4. الوصول يُحدد بسياسة ديناميكية
5. مراقبة وقياس سلامة الأصول
6. المصادقة والتفويض تُطبق بصرامة
7. جمع المعلومات لتحسين الأمان

مكونات هندسة Zero Trust

┌────────────────────────────────────────────────────────────────┐
│                     هندسة ZERO TRUST                           │
│                                                                 │
│  ┌─────────────┐    ┌─────────────┐    ┌─────────────────────┐ │
│  │   الموضوع   │───▶│   محرك     │───▶│  نقطة تطبيق         │ │
│  │ (مستخدم/تطبيق)│   │   السياسة  │    │   السياسة (PEP)     │ │
│  └─────────────┘    └─────────────┘    └──────────┬──────────┘ │
│                            │                       │            │
│                     ┌──────┴──────┐               │            │
│                     │   مسؤول    │               │            │
│                     │   السياسة  │               │            │
│                     └─────────────┘               │            │
│                                                    │            │
│  ┌──────────────────────────────────────────────┐│            │
│  │              مدخلات خوارزمية الثقة            ││            │
│  │  • هوية المستخدم وبيانات الاعتماد            ││            │
│  │  • صحة الجهاز والامتثال                      │▼            │
│  │  • سياق الطلب والسلوك                        │    ┌──────┐ │
│  │  • استخبارات التهديدات                       │───▶│المورد│ │
│  │  • الوقت والموقع                             │    │الهدف │ │
│  └──────────────────────────────────────────────┘    └──────┘ │
└────────────────────────────────────────────────────────────────┘

سؤال المقابلة: تصميم Zero Trust

س: "كيف ستنفذ Zero Trust لشركة لديها عمال عن بُعد؟"

إجابة منظمة:

1. التحقق من الهوية

• تنفيذ SSO مع مزود هوية قوي (Okta، Microsoft Entra ID)
• فرض MFA لكل المستخدمين، يفضل مقاوم للتصيد (FIDO2)
• استخدام سياسات الوصول المشروط بناءً على إشارات المخاطر
• تنفيذ ثقة الجهاز (الأجهزة المُدارة فقط للتطبيقات الحساسة)

2. التجزئة الدقيقة

• استبدال VPN بوكيل مدرك للهوية (Cloudflare Access، Zscaler)
• تجزئة الشبكة حسب التطبيق، ليس الموقع
• تنفيذ سياسات الشبكة في Kubernetes
• استخدام محيط معرف بالبرمجيات للتطبيقات القديمة

3. التحقق المستمر

# مثال: تقييم الوصول المستمر
def evaluate_access(request, user_context):
    checks = [
        verify_identity(request.user),
        check_device_compliance(user_context.device),
        assess_risk_score(user_context),
        validate_request_context(request),
        check_threat_intelligence(request.source_ip)
    ]

    if all(checks):
        return grant_access(request, ttl=300)  # وصول قصير العمر
    else:
        return require_step_up_auth(request)

4. الوصول بأقل الصلاحيات

• الوصول في الوقت المناسب (JIT) للعمليات المميزة
• وصول محدد بالوقت مع إلغاء تلقائي
• التحكم في الوصول المستند للسمات (ABAC)
• مراجعات الوصول المنتظمة وإعادة التصديق

5. المراقبة والتحليلات

• تسجيل كل محاولات وقرارات الوصول
• اكتشاف السلوك الشاذ (UEBA)
• التنبيه في الوقت الحقيقي على انتهاكات السياسة
• مراقبة الامتثال المستمرة

أنماط تنفيذ Zero Trust

نموذج BeyondCorp (Google)

┌─────────────────────────────────────────────────────────────┐
│                    تدفق الوصول                               │
│                                                              │
│  مستخدم ← ثقة الجهاز ← فحص الهوية ← وكيل الوصول ← التطبيق  │
│             │              │               │                 │
│             ▼              ▼               ▼                 │
│        شهادة الجهاز   MFA + SSO      تفويض مدرك             │
│        الامتثال     درجة المخاطر     للسياق                 │
└─────────────────────────────────────────────────────────────┘

المحيط المعرف بالبرمجيات

المكون	الوظيفة
متحكم SDP	يصادق المستخدمين، يدير الاتصالات
المضيف المبادر	جهاز المستخدم الطالب للوصول
المضيف المستقبل	المورد/التطبيق المحمي
تفويض الحزمة الواحدة	طلب وصول مشفر

نموذج نضج Zero Trust

المرحلة	الخصائص
تقليدي	قائم على المحيط، ثقة ضمنية
أولي	بعض MFA، تجزئة أساسية
متقدم	مركز على الهوية، تجزئة دقيقة
أمثل	تحقق مستمر، سياسات تكيفية

أسئلة التقييم للمقابلات

عند طلب تقييم نضج Zero Trust لمنظمة:

1. الهوية: "هل MFA مفروض في كل مكان؟ مقاوم للتصيد؟"
2. الجهاز: "هل يمكن للأجهزة غير المُدارة الوصول للبيانات الحساسة؟"
3. الشبكة: "هل الشبكة مجزأة دقيقاً؟"
4. التطبيق: "هل التطبيقات متاحة فقط عبر وكيل الهوية؟"
5. البيانات: "هل البيانات مصنفة والوصول متحكم فيه؟"
6. المراقبة: "هل يمكنك اكتشاف الحركة الجانبية؟"

المزالق الشائعة

المزلق	الحل
VPN = Zero Trust	VPN يوفر وصول للشبكة، ليس Zero Trust
مصادقة لمرة واحدة	تنفيذ التحقق المستمر
تجاهل التطبيقات القديمة	استخدام وكيل عكسي أو SDP
لا ثقة بالجهاز	تنفيذ فحوصات امتثال الجهاز
وصول زائد الصلاحيات	تنفيذ JIT والوصول المحدد بالوقت

نصيحة المقابلة: Zero Trust رحلة، ليس وجهة. أكد أن التنفيذ تكراري ويجب ترتيب أولوياته بناءً على المخاطر. ابدأ بتطبيقات الجواهر الثمينة وتوسع من هناك.

في الدرس التالي، سنغطي أمان الشبكة والتجزئة. :::