مدل امنیتی قدیمی مثل یک قلعه بود: دیوار محکم در بیرون و اعتماد کامل به هر کسی که داخل است. اما وقتی کارمندان از خانه کار می‌کنند، سرویس‌ها در ابر و دیتاسنترهای مختلف پراکنده‌اند و یک رمز نشت‌کرده کافی است تا مهاجم «داخل» شود، این مدل دیگر جواب نمی‌دهد. Zero Trust یا «اعتماد صفر» رویکردی است که می‌گوید هیچ کاربر، دستگاه یا شبکه‌ای به‌طور پیش‌فرض قابل اعتماد نیست. در این مقاله توضیح می‌دهیم Zero Trust چیست و چطور می‌توان آن را در زیرساخت سرور پیاده کرد.
فهرست مطالب
Zero Trust چیست؟
Zero Trust یک محصول نیست؛ یک رویکرد معماری امنیت است با این شعار: «هرگز اعتماد نکن، همیشه بررسی کن». در این رویکرد، دسترسی به هر منبع، چه یک برنامه، سرور یا دیتابیس، بر اساس هویت تأییدشده کاربر، وضعیت دستگاه و شرایط درخواست تصمیم‌گیری می‌شود؛ نه بر اساس اینکه درخواست از داخل شبکه آمده است. استاندارد NIST SP ۸۰۰-۲۰۷ مرجع رایج تعریف این معماری است.
اصول اصلی
- بررسی صریح: هر درخواست با هویت قوی (احراز هویت چندمرحله‌ای)، وضعیت دستگاه و زمینه درخواست سنجیده شود.
- کمترین دسترسی: هر کاربر و سرویس فقط به همان چیزی دسترسی دارد که برای کارش لازم است و ترجیحاً فقط برای مدت لازم.
- فرض نفوذ: طراحی کنید انگار مهاجم از قبل داخل است؛ شبکه را بخش‌بندی کنید تا نفوذ به یک بخش به همه جا گسترش نیابد، و همه چیز را ثبت و پایش کنید.
مقایسه با مدل امنیت مرزی
| جنبه | امنیت مرزی (قلعه و خندق) | Zero Trust |
|---|---|---|
| مبنای اعتماد | محل در شبکه (داخل یا خارج) | هویت، دستگاه و زمینه |
| دسترسی از راه دور | VPN با دسترسی به کل شبکه | دسترسی به برنامه‌های مشخص |
| حرکت مهاجم پس از نفوذ | آسان در کل شبکه داخلی | محدود به بخش کوچک |
| بررسی هویت | یک بار در ورود | مداوم و در هر درخواست |
اجزای یک معماری Zero Trust
- مدیریت هویت (IdP): یک مرجع مرکزی هویت با SSO و احراز هویت چندمرحله‌ای، ترجیحاً با روش‌های مقاوم در برابر فیشینگ مثل کلیدهای سخت‌افزاری.
- موتور سیاست: تصمیم‌گیری درباره هر درخواست بر اساس قوانین تعریف‌شده.
- ZTNA (دسترسی شبکه با اعتماد صفر): به‌جای VPN که کاربر را وارد کل شبکه می‌کند، دسترسی فقط به برنامه‌های مشخص و از طریق یک واسطه احراز هویت‌شده داده می‌شود.
- بخش‌بندی ریز (Microsegmentation): قوانین فایروال میان سرورها و سرویس‌ها، نه فقط در مرز شبکه.
- مدیریت دستگاه: فقط دستگاه‌های به‌روز و مدیریت‌شده به منابع حساس دسترسی دارند.
- ثبت و پایش: لاگ متمرکز همه دسترسی‌ها برای تشخیص رفتار غیرعادی.
پیاده‌سازی در زیرساخت سرور
دسترسی مدیریتی
- پورت SSH و پنل‌های مدیریتی را روی اینترنت باز نگذارید؛ دسترسی را از طریق یک لایه احراز هویت‌شده (VPN مبتنی بر هویت، Bastion یا ابزارهای دسترسی Zero Trust) فراهم کنید.
- ورود SSH فقط با کلید، و در محیط‌های بزرگ با گواهی‌های SSH کوتاه‌مدت که از مرجع هویت صادر می‌شوند. اصول پایه در امنیت SSH.
- حساب‌های مدیریتی جداگانه برای هر نفر، بدون حساب مشترک.
ارتباط سرویس‌ها
- سرورها را در شبکه خصوصی قرار دهید و فقط سرویس‌هایی را که واقعاً باید عمومی باشند، روی اینترنت منتشر کنید.
- بین لایه‌ها فایروال بگذارید: وب‌سرور فقط به پورت دیتابیس دسترسی داشته باشد، نه به همه پورت‌های سرور دیتابیس.
- ارتباط سرویس به سرویس را رمزنگاری و احراز هویت کنید (مثلاً mTLS).
هویت سرویس‌ها و اسرار
- هر سرویس حساب و کلید جداگانه با کمترین دسترسی داشته باشد.
- رمزها را در یک مخزن اسرار نگه دارید، نه در کد یا فایل‌های پراکنده، و دوره‌ای تغییر دهید.
پایش
لاگ ورودها، تغییرات و دسترسی‌ها را متمرکز کنید و برای الگوهای غیرعادی هشدار تعریف کنید. سخت‌سازی پایه سرورها را هم از تنظیمات امنیتی ضروری VPS آغاز کنید.
نقشه راه گام‌به‌گام
- شناسایی دارایی‌ها: فهرست سرورها، سرویس‌ها، داده‌های حساس و کاربران.
- یکپارچه‌سازی هویت: SSO و احراز هویت چندمرحله‌ای برای همه سیستم‌ها.
- بستن دسترسی‌های عمومی مدیریتی: SSH، RDP، پنل‌ها و دیتابیس‌ها.
- بخش‌بندی شبکه: جدا کردن محیط‌های تولید، توسعه و مدیریت.
- کمترین دسترسی: بازبینی و کاهش دسترسی‌های کاربران و سرویس‌ها.
- پایش و بهبود مداوم.
Zero Trust یک پروژه یک‌باره نیست؛ مسیری تدریجی است و هر گام به‌تنهایی امنیت را بهتر می‌کند.
برداشت‌های اشتباه
- «Zero Trust یک محصول است که می‌خریم»: محصولات به پیاده‌سازی کمک می‌کنند، اما اصل کار طراحی و سیاست‌گذاری است.
- «یعنی به کارمندان اعتماد نداریم»: منظور اعتماد نکردن به شبکه و فرض‌های پیش‌فرض است، نه به افراد.
- «فقط برای سازمان‌های بزرگ است»: حتی یک کسب‌وکار کوچک با چند سرور می‌تواند اصول آن را اجرا کند: MFA، بستن پورت‌های مدیریتی، شبکه خصوصی و کمترین دسترسی.
سوالات متداول
آیا Zero Trust جایگزین VPN می‌شود؟
در بسیاری از سازمان‌ها، راهکارهای ZTNA جایگزین VPNهای سنتی شده‌اند، چون به‌جای دسترسی به کل شبکه، دسترسی به برنامه‌های مشخص با بررسی مداوم هویت می‌دهند. VPN هنوز برای برخی کاربردها، مثل اتصال سایت به سایت، استفاده می‌شود.
آیا فایروال در Zero Trust کنار گذاشته می‌شود؟
خیر؛ فایروال‌ها بیشتر و دقیق‌تر استفاده می‌شوند، اما نه به‌عنوان تنها مرز. بخش‌بندی ریز یعنی فایروال در اطراف هر سرویس.
اولین قدم عملی Zero Trust چیست؟
فعال کردن احراز هویت چندمرحله‌ای برای همه حساب‌ها و بستن دسترسی عمومی به سرویس‌های مدیریتی. این دو اقدام بیشترین اثر را با کمترین هزینه دارند.
Zero Trust چه ارتباطی با ایجنت‌های هوش مصنوعی دارد؟
ایجنت‌ها هم باید مثل هر کاربر دیگر، هویت جداگانه، کمترین دسترسی و ثبت فعالیت داشته باشند. جزئیات در امنیت MCP Server و AI Agentها.
امنیت زیرساخت با رویکرد لایه‌ای
برای طراحی و پیاده‌سازی امنیت شبکه و زیرساخت، خدمات امنیت شبکه تراست هاست و پشتیبانی زیرساخت را بررسی کنید.
