ข้อมูลระบุตัวตนในฐานะแนวป้องกันใหม่: การเข้าถึงแบบมีเงื่อนไข

ในโมเดล Zero Trust Identity คือขอบเขตใหม่ เนื่องจากผู้ใช้เข้าถึงทรัพยากรจากที่ใดก็ได้ — บ้าน ร้านกาแฟ และอุปกรณ์เคลื่อนที่ — ขอบเขตเครือข่ายจึงไม่มีความหมายในฐานะหลักยึดของ Trust แต่การตัดสินใจเกี่ยวกับการเข้าถึงทุกครั้งจะพิจารณาจาก ผู้ร้องขอคือใคร ใช้อุปกรณ์ใด และอยู่ภายใต้เงื่อนไขอะไร ผู้ให้บริการ Identity จึงกลายเป็นผู้เฝ้าประตู ไม่ใช่ไฟร์วอลล์

Conditional Access คือกลไก policies ที่ให้หรือจำกัดการเข้าถึงตามสัญญาณที่ประเมินในเวลายืนยันตัวตน แทนที่จะตรวจสอบเพียงชื่อผู้ใช้และรหัสผ่าน Conditional Access จะประเมิน เงื่อนไข ต่าง ๆ เช่น อุปกรณ์ compliant หรือไม่ ตำแหน่งที่ตั้งเป็นที่รู้จักหรือไม่ ความเสี่ยงในการลงชื่อเข้าใช้สูงขึ้นหรือไม่ และยืนยัน MFA แล้วหรือไม่ กลไก policies จะออกโทเค็นการเข้าถึงก็ต่อเมื่อเงื่อนไขครบถ้วน หากเงื่อนไขไม่ผ่าน ระบบจะปฏิเสธการเข้าถึงหรือเรียกใช้การท้าทายเพื่อยืนยันเพิ่มเติม

policies ของ Conditional Access จะประเมินสัญญาณหลายหมวดหมู่พร้อมกัน สัญญาณผู้ใช้/กลุ่ม ระบุว่าผู้ร้องขอคือใคร (ผู้ดูแลระบบ ผู้เยี่ยมชม ผู้รับจ้าง) สัญญาณอุปกรณ์ ตรวจสอบสถานะความสอดคล้องจาก MDM สัญญาณแอปพลิเคชัน ระบุว่ากำลังเข้าถึงแอปใด (ความละเอียดอ่อนสูงหรือต่ำ) สัญญาณตำแหน่งที่ตั้ง เปรียบเทียบที่อยู่ IP กับตำแหน่งที่ตั้งที่ระบุชื่อไว้และประเทศที่เชื่อถือได้ และ สัญญาณความเสี่ยงในการลงชื่อเข้าใช้ จากข่าวกรองภัยคุกคามจะตรวจจับรูปแบบการเข้าสู่ระบบที่น่าสงสัย

Policy ของ Conditional Access ให้ผลลัพธ์ได้หลายรูปแบบ Grant อนุญาตการเข้าถึง โดยอาจมี requirement เช่น MFA หรือความสอดคล้องของอุปกรณ์ Block ปฏิเสธการเข้าถึงโดยสิ้นเชิง — ตัวอย่างเช่น บล็อกการเข้าถึงทั้งหมดจากประเทศที่มีความเสี่ยงสูง การควบคุมเซสชัน สามารถจำกัดสิ่งที่ผู้ใช้ทำได้หลังได้รับอนุญาตให้เข้าถึง เช่น กำหนดให้ยืนยันตัวตนอีกครั้งหลังหมดเวลา บล็อกการดาวน์โหลด หรือบังคับใช้โหมดอ่านอย่างเดียวในแอปพลิเคชันระบบคลาวด์

Conditional Access ตามความเสี่ยง ผสานข่าวกรองภัยคุกคามเข้ากับการตัดสินใจเรื่องการเข้าถึงแบบเรียลไทม์ ผู้ให้บริการ Identity เช่น Azure AD Identity Protection จะกำหนดคะแนนความเสี่ยงให้การลงชื่อเข้าใช้โดยอาศัยสัญญาณต่าง ๆ เช่น การเดินทางที่เป็นไปไม่ได้ (เข้าสู่ระบบจากสองประเทศภายในไม่กี่นาที) การใช้ที่อยู่ IP ที่ทราบว่าเป็นอันตราย ฐานข้อมูลข้อมูลประจำตัวที่รั่วไหล และรูปแบบพฤติกรรมที่ผิดปกติ การลงชื่อเข้าใช้ที่มีความเสี่ยงสูงอาจถูกบล็อกโดยอัตโนมัติหรือกำหนดให้ยืนยัน Identity อีกครั้ง

Conditional Access สามารถกำหนดให้ อุปกรณ์มีความสอดคล้อง เป็นเงื่อนไขเบื้องต้นสำหรับการเข้าถึงทรัพยากรที่ Sensitive อุปกรณ์ที่สอดคล้องคืออุปกรณ์ที่ลงทะเบียนใน MDM (Intune, Jamf) ใช้ OS เวอร์ชันที่รองรับ เปิดใช้การเข้ารหัสดิสก์ และไม่มีช่องโหว่ที่ทราบซึ่ง EDR ตรวจพบ อุปกรณ์ที่ไม่ได้รับการจัดการหรือไม่สอดคล้องจะถูกเปลี่ยนเส้นทางไปยังพอร์ทัลลงทะเบียนแทนที่จะได้รับอนุญาตให้เข้าถึง — แม้ข้อมูลประจำตัวของผู้ใช้จะถูกต้องก็ตาม

ตำแหน่งที่ตั้งที่ระบุชื่อใน Conditional Access ใช้กำหนดช่วง IP ที่เชื่อถือได้ เช่น ที่อยู่ IP ของสำนักงาน Networks ของสาขา หรือโหนดทางออกของ VPN policies อาจกำหนดให้มีการยืนยันตัวตนเพิ่มเติม (MFA) สำหรับการเข้าถึงจากนอกตำแหน่งที่ตั้งที่ระบุชื่อ หรือบล็อกการเข้าถึงโดยสิ้นเชิงจากบางประเทศหรือ Networks พร็อกซีแบบไม่เปิดเผยตัวตน วิธีนี้เพิ่มชั้นของตำแหน่งที่ตั้งให้กับการยืนยัน Identity โดยไม่ย้อนกลับไปใช้แนวคิดขอบเขตที่ยึดตาม IP

โทเค็นการเข้าถึงแบบ Traditional จะใช้งานได้ตลอดอายุการใช้งาน (มักเป็นเวลาหนึ่งชั่วโมง) โดยไม่คำนึงว่าจะเกิดอะไรขึ้นกับบัญชีผู้ใช้หลังออกโทเค็นแล้ว การประเมินการเข้าถึงอย่างต่อเนื่อง (CAE) ช่วยให้ผู้ให้บริการทรัพยากรถอนสิทธิ์โทเค็นได้เกือบแบบเรียลไทม์เมื่อเกิดเหตุการณ์สำคัญ เช่น ปิดใช้งานบัญชี เปลี่ยนรหัสผ่าน หรือทำเครื่องหมายว่าผู้ใช้มีความเสี่ยง แอปพลิเคชันจะตรวจสอบความถูกต้องของโทเค็นระหว่างเซสชัน ไม่ใช่เฉพาะตอนเข้าสู่ระบบ จึงปิดช่องว่างที่ทำให้โทเค็นที่ถูกโจมตียังคงใช้งานได้

องค์กรจำเป็นต้องให้สิทธิ์เข้าถึงแก่คู่ค้าและผู้รับจ้างอยู่บ่อยครั้ง โดยไม่ต้องสร้างบัญชีภายใน Identity แบบรวมศูนย์ ช่วยให้ผู้ให้บริการ Identity ภายนอก (Azure AD ของคู่ค้า, Google Workspace) ยืนยันตัวตนผู้ใช้และส่งต่อข้ออ้างสิทธิ์ Identity ที่ผ่านการตรวจสอบแล้ว policies ของ Conditional Access สามารถใช้กับผู้ใช้แบบรวมศูนย์ได้ เช่น กำหนดให้ใช้ MFA จำกัดประเภทอุปกรณ์ หรือจำกัดแอปพลิเคชันที่เข้าถึงได้ จึงยังควบคุมได้โดยไม่ต้องจัดการบัญชีของผู้ใช้เหล่านั้นโดยตรง

นอกเหนือจากการอนุญาตหรือบล็อกการเข้าถึงแล้ว Conditional Access ยังสามารถบังคับใช้ การควบคุมระดับเซสชันได้ สำหรับแอปคลาวด์ที่ผสานรวมกับ Microsoft Defender for Cloud Apps หรือโซลูชัน CASB (ตัวกลางรักษาความปลอดภัยการเข้าถึงคลาวด์) ที่คล้ายกัน policies สามารถจำกัดการใช้งานได้ เช่น บล็อกการดาวน์โหลดไฟล์บนอุปกรณ์ที่ไม่ได้รับการจัดการ กำหนดให้ยืนยันตัวตนอีกครั้งหลังไม่มีการใช้งาน 8 ชั่วโมง แสดงคำเตือนเมื่อเข้าถึง Data ที่ Sensitive หรือป้องกันการคัดลอกและวางเนื้อหาที่เป็นความลับออกนอกสภาพแวดล้อม Corporate

การนำ Identity มาเป็นขอบเขตจำเป็นต้องผสานเทคโนโลยีหลายอย่าง ได้แก่ ผู้ให้บริการ Identity (IdP) ที่รองรับโพรโทคอลสมัยใหม่ (SAML, OIDC) โซลูชัน MDM/EMM สำหรับข้อมูลความสอดคล้องของอุปกรณ์ กลไกนโยบาย Conditional Access และ การยืนยันตัวตนหลายปัจจัยในฐานะพื้นฐานขั้นต่ำ เป้าหมายคือทำให้แน่ใจว่าจะไม่มีการเข้าถึงใดเกิดขึ้นโดยปราศจาก Identity และสถานะอุปกรณ์ที่ผ่านการตรวจสอบแล้ว ไม่ว่าจะอยู่ที่ใดบนเครือข่ายก็ตาม — เป็นการกำจัดแนวคิดเรื่องเครือข่ายภายในที่เชื่อถือได้

ในบทเรียนนี้ คุณได้เรียนรู้ว่า Identity เข้ามาแทนที่ขอบเขตเครือข่าย ในฐานะหลักยึดของ Trust หลักใน Zero Trust, Conditional Access ประเมินสัญญาณหลายประเภท (ผู้ใช้ อุปกรณ์ ตำแหน่งที่ตั้ง ความเสี่ยง) ก่อนอนุญาตการเข้าถึง และ การควบคุมเซสชันกับการประเมินการเข้าถึงอย่างต่อเนื่องช่วยรักษาความปลอดภัยตลอดเซสชันการเข้าถึง ไม่ใช่เฉพาะตอนเข้าสู่ระบบ บทถัดไป เราจะสำรวจ Model ความสมบูรณ์ของ Zero Trust เพื่อวางแผนการนำไปใช้ทั่วทั้งองค์กร