การตรวจสอบและเฝ้าติดตามอย่างต่อเนื่อง

ความเชื่อถือเป็นศูนย์ไม่ได้สิ้นสุดที่การยืนยันตัวตน การตัดสินใจเรื่องการเข้าถึงต้องได้รับการประเมินใหม่อย่างต่อเนื่องตลอดเซสชัน โดยอาศัยสัญญาณความเสี่ยงแบบเวลาจริง เซสชันที่เชื่อถือได้ในเวลา 09:00 น. อาจกลายเป็นเซสชันที่ไม่น่าเชื่อถือในเวลา 09:05 น. หากอุปกรณ์ถูกบุกรุก

สัญญาณที่ใช้สำหรับการตรวจสอบยืนยันอย่างต่อเนื่อง:

• สถานะการปฏิบัติตามข้อกำหนดของอุปกรณ์เปลี่ยนแปลง (การแจ้งเตือน EDR ความล้มเหลวในการอัปเดต)
• ความผิดปกติของพฤติกรรมผู้ใช้ (เวลาเข้าถึงหรือปริมาณที่ผิดปกติ)
• ตำแหน่งที่เปลี่ยนแปลง (การเดินทางที่เป็นไปไม่ได้)
• ข่าวกรองภัยคุกคามเครือข่าย (ตรวจพบการสื่อสารกับเซิร์ฟเวอร์ควบคุมและสั่งการ)
• ความผิดปกติในการเข้าถึงแอปพลิเคชัน

การยืนยันตัวตนแบบปรับตามความเสี่ยงจะปรับข้อกำหนดในการยืนยันตัวตนตามระดับความเสี่ยงแบบไดนามิก การเข้าถึงที่มีความเสี่ยงต่ำ (อุปกรณ์ที่รู้จัก เวลาใช้งานปกติ) → ไม่ต้องเพิ่มขั้นตอนยุ่งยาก สัญญาณความเสี่ยงสูง → ต้องยืนยันตัวตนใหม่หรือยกระดับการยืนยันด้วย MFA IdPs ที่รับรู้บริบท (Okta, Azure AD) สามารถใช้งานแนวทางนี้ได้

เมื่อมีสัญญาณความเสี่ยงเกิดขึ้น จะต้องสามารถเพิกถอนเซสชันได้ทันที การนำไปใช้:

• อายุการใช้งานโทเค็นสั้น (15 นาที) + โทเค็นรีเฟรช
• รายการเพิกถอนโทเค็น
• การทำให้เซสชัน SSO ที่ IdP ใช้งานไม่ได้
• บังคับให้ยืนยันตัวตนใหม่ผ่านการออกจากระบบผ่านช่องทางเบื้องหลังของ OIDC

SIEM รวบรวมบันทึกจากแหล่งข้อมูลทั้งหมด (IdP, จุดปลายทาง, เครือข่าย, แอปพลิเคชัน) และเชื่อมโยงเหตุการณ์เพื่อค้นหาการโจมตี SIEM ของความเชื่อถือเป็นศูนย์จะตรวจสอบ:

• เหตุการณ์และความผิดปกติในการยืนยันตัวตน
• การยกระดับสิทธิ์
• การเข้าถึงข้อมูลหรือการลักลอบนำข้อมูลออกที่ผิดปกติ
• การละเมิดนโยบาย

UEBA สร้างเส้นฐานพฤติกรรมสำหรับผู้ใช้และเอนทิตี จากนั้นจึงตรวจจับความเบี่ยงเบน:

• ผู้ใช้ X เข้าถึงจาก NYC เสมอ — แจ้งเตือนหากเข้าถึงจากมอสโก
• บัญชีบริการไม่เคยเชื่อมต่อภายนอก — แจ้งเตือนเมื่อมีการเชื่อมต่อ
• ปริมาณการดาวน์โหลดข้อมูลผิดปกติ — แจ้งเตือนเมื่อดาวน์โหลดมากกว่าปกติ 100 เท่า

การล่าภัยคุกคาม คือการค้นหาภัยคุกคามเชิงรุกที่เครื่องมืออัตโนมัติไม่สามารถตรวจพบได้ ผู้ปฏิบัติงานจะตั้งสมมติฐานโดยอาศัยข่าวกรองภัยคุกคามและยุทธวิธี เทคนิค และขั้นตอนปฏิบัติของ ATT&CK จากนั้นค้นหาหลักฐานในบันทึก ไม่ใช่รอการแจ้งเตือน แต่เป็นการค้นหาผู้โจมตีที่ซ่อนตัวอยู่ในสภาพแวดล้อมอย่างกระตือรือร้น

สแตกการสังเกตการณ์ที่ครอบคลุมสำหรับตรวจสอบความเชื่อถือเป็นศูนย์:

• บันทึก: Elasticsearch + Kibana (ELK), Splunk
• เมตริก: Prometheus + Grafana
• ร่องรอย: Jaeger, Zipkin (การติดตามแบบกระจาย)
• เครือข่าย: Zeek, Suricata, บันทึกการไหลของข้อมูล VPC

ความเชื่อถือเป็นศูนย์ครอบคลุมถึงการปฏิบัติตามข้อกำหนดอย่างต่อเนื่อง:

• เครื่องมือ CSPM สแกนการกำหนดค่าคลาวด์อย่างต่อเนื่อง ไม่ใช่เป็นระยะ
• นโยบายในรูปแบบโค้ด (OPA/Rego) บังคับใช้การปฏิบัติตามข้อกำหนดโดยอัตโนมัติ
• การตรวจจับการเบี่ยงเบนจะแจ้งเตือนเมื่อการกำหนดค่าแตกต่างจากเส้นฐาน

การตรวจสอบอย่างต่อเนื่องจะส่งข้อมูลให้การตอบสนองโดยอัตโนมัติ (SOAR):

• แยกอุปกรณ์ที่ถูกบุกรุกออกจาก IdP → บล็อกการเข้าถึงทั้งหมดทันที
• บล็อก IP ที่เป็นอันตรายที่ไฟร์วอลล์และ CDN พร้อมกัน
• สร้างใบแจ้งเหตุการณ์ แจ้งผู้รับผิดชอบเวร และกักกันระบบ

ความเร็วมีความสำคัญ — การตอบสนองโดยอัตโนมัติทำงานภายในไม่กี่วินาที เทียบกับการดำเนินการด้วยตนเองที่ใช้เวลาหลายนาที

การวัดความก้าวหน้าของความเชื่อถือเป็นศูนย์:

• % ของผู้ใช้ที่มี MFA ซึ่งต้านทานฟิชชิง
• % ของอุปกรณ์ที่ลงทะเบียนใน MDM และปฏิบัติตามข้อกำหนด
• % ของแอปพลิเคชันที่เข้าถึงผ่าน ZTNA เทียบกับ VPN
• เวลาเฉลี่ยในการตรวจพบการเข้าถึงที่ผิดปกติ
• % ของการรับส่งข้อมูลแบบตะวันออก-ตะวันตกที่ใช้ mTLS

ระบบใดสร้างเส้นฐานพฤติกรรมสำหรับผู้ใช้และเอนทิตี เพื่อตรวจจับความผิดปกติ เช่น การเดินทางที่เป็นไปไม่ได้หรือการดาวน์โหลดข้อมูลที่ผิดปกติ

ความเชื่อถือเป็นศูนย์ต้องมีการตรวจสอบยืนยันอย่างต่อเนื่องหลังจากการยืนยันตัวตนครั้งแรก สัญญาณความเสี่ยงแบบเวลาจริง (สถานะอุปกรณ์ ความผิดปกติของพฤติกรรม ข่าวกรองภัยคุกคาม) จะกระตุ้นการยืนยันตัวตนแบบปรับตามความเสี่ยงหรือการเพิกถอนเซสชัน SIEM และ UEBA ตรวจจับการโจมตี ส่วนการล่าภัยคุกคามจะค้นหาสิ่งที่ระบบอัตโนมัติพลาด SOAR ทำให้การตอบสนองเกิดขึ้นโดยอัตโนมัติภายในไม่กี่วินาที ติดตามระดับความก้าวหน้าของความเชื่อถือเป็นศูนย์ผ่านความครอบคลุมของ MFA การลงทะเบียนใน MDM และสัดส่วน mTLS ของการรับส่งข้อมูลแบบตะวันออก-ตะวันตก