مبادئ انعدام الثقة ونموذج BeyondCorp

الثقة الصفرية إطار أمني يقوم على مبدأ "لا تثق أبدًا، تحقّق دائمًا." وعلى خلاف الأمن القائم على المحيط، الذي يثق بكل ما هو داخل الشبكة، تتطلب الثقة الصفرية التحقق المستمر من كل مستخدم وجهاز وتطبيق — بغض النظر عن الموقع.

افترض أمن المحيط التقليدي أن ما هو داخل الشبكة موثوق. وقد انهار هذا النموذج للأسباب التالية:

• توجد الخدمات السحابية خارج المحيط
• يعمل الموظفون عن بُعد من أماكن مختلفة
• الحركة الجانبية داخل الشبكات الموثوقة سهلة للغاية
• تتضمن أكثر من 70% من الاختراقات تهديدات من الداخل أو بيانات اعتماد مسروقة

نشرت Google نموذج BeyondCorp في عام 2014، ووضحت فيه كيفية إزالة VPN واعتماد الوصول على التحقق من الجهاز والمستخدم بدلًا من موقع الشبكة. يمكن لأي موظف لدى Google العمل من أي شبكة — إذ يتحدد الوصول بناءً على الهوية + سلامة الجهاز، وليس عنوان IP.

الركائز الخمس:

1. تحقّق صراحةً — صادق على كل مستخدم وجهاز
2. استخدم أقل قدر من الامتيازات — امنح الحد الأدنى من الوصول المطلوب
3. افترض حدوث اختراق — صمّم النظام كما لو أن الشبكة مخترقة بالفعل
4. افحص جميع حركة المرور — لا تثق ضمنيًا بحركة المرور شرق-غرب
5. تحقّق باستمرار — أعد التحقق طوال الجلسات

في نموذج الثقة الصفرية، تحل الهوية محل موقع الشبكة بوصفها عامل التحكم الأساسي في الوصول. وتصبح ضوابط الهوية القوية ضرورية:

• MFA مقاوم للتصيد الاحتيالي (FIDO2)
• موفّر هوية مركزي (IdP)
• سياسات وصول مشروط تستند إلى مؤشرات المخاطر
• إدارة الهويات ذات الامتيازات (PIM)

تتطلب الثقة الصفرية التحقق من سلامة الجهاز قبل منح الوصول:

• هل الجهاز مسجّل في MDM؟
• هل نظام التشغيل محدث بآخر التصحيحات الأمنية؟
• هل تشفير القرص مفعّل؟
• هل وكيل EDR قيد التشغيل؟
• هل كُسر قفل الجهاز أو جرى تجذيره؟

يُتحقق من امتثال الجهاز عند كل طلب وصول.

NIST SP 800-207 هو معيار بنية الثقة الصفرية الصادر عن حكومة الولايات المتحدة. ويحدد سبعة مبادئ لـ ZTA ويصف سيناريوهات التنفيذ. وتُلزم جميع الوكالات الفيدرالية بتنفيذ ZTA بموجب الأمر التنفيذي 14028 (2021).

يوفّر VPN وصولًا واسعًا إلى الشبكة. بينما يوفّر الوصول إلى الشبكة بالثقة الصفرية (ZTNA) وصولًا لكل تطبيق على حدة، استنادًا إلى الهوية وحالة الجهاز:

• VPN: الوثوق بالشبكة → الوصول إلى كل ما هو داخلي
• ZTNA: التحقق من الهوية + الجهاز → الوصول إلى تطبيقات محددة فقط

التنفيذ التدريجي لـ ZTA:

1. جرد المستخدمين والأجهزة والتطبيقات والبيانات
2. إرساء هوية قوية (MFA وIdP)
3. تنفيذ فحوصات امتثال الأجهزة (MDM)
4. تقسيم التطبيقات (وكيل ZTNA)
5. المراقبة والتحقق المستمر

تتوافق بيئات السحابة طبيعيًا مع الثقة الصفرية:

• لا يوجد محيط محلي لحمايته — كل شيء "خارج"
• تعمل سياسات IAM كجدار حماية
• تفرض شبكة الخدمات (Istio, Consul) بروتوكول mTLS القائم على الهوية بين الخدمات
• تراقب CSPM انتهاكات السياسات باستمرار

منصات الثقة الصفرية الرئيسية:

• Google BeyondCorp Enterprise
• Zscaler Private Access
• Cloudflare Access
• Okta + Okta Device Trust
• Microsoft Azure AD Conditional Access

الثقة الصفرية: "لا تثق أبدًا، تحقّق دائمًا." تستبدل أمن المحيط بالتحقق من الهوية والجهاز عند كل طلب وصول. أثبت نموذج BeyondCorp من Google إمكانية تطبيق هذا النهج على نطاق واسع. ويوفّر NIST SP 800-207 المعيار المعتمد. وتشمل مراحل التنفيذ: موفّر هوية قوي، وMFA، وامتثال الأجهزة عبر MDM، ووصول ZTNA لكل تطبيق. وتتوافق بيئات السحابة طبيعيًا مع مبادئ الثقة الصفرية.