معماری IAM سازمانی در سطح Enterprise

فناوری‌های کلیدی در پیاده‌سازی Continuous Authentication

پیاده‌سازی موفق احراز هویت مستمر نیازمند ترکیب چندین فناوری پیشرفته است. این فناوری‌ها مانند لایه‌های یک پیاز، امنیت چندبعدی ایجاد می‌کنند.

بیومتریک رفتاری (Behavioral Biometrics)

بیومتریک رفتاری یکی از ستون‌های اصلی احراز هویت مستمر است. برخلاف بیومتریک فیزیولوژیک (اثر انگشت، چهره) که ویژگی‌های ثابت بدن را اندازه‌گیری می‌کند، بیومتریک رفتاری الگوهای منحصربه‌فرد رفتار هر فرد را تحلیل می‌کند.

دینامیک تایپ (Keystroke Dynamics): هر فردی الگوی تایپ منحصربه‌فردی دارد. سرعت تایپ، فاصله زمانی بین فشردن کلیدها، مدت نگه‌داشتن هر کلید و حتی نرخ خطای تایپی، همه می‌توانند برای شناسایی کاربر استفاده شوند. تحقیقات نشان می‌دهد دقت شناسایی با این روش می‌تواند به ۹۹.۷٪ برسد.

پروفایل حرکت ماوس: نحوه حرکت ماوس، سرعت، شتاب، انحنای مسیر و الگوی کلیک هر کاربر منحصربه‌فرد است. الگوریتم‌های یادگیری ماشین می‌توانند با تحلیل این داده‌ها، کاربر را با دقت بالایی شناسایی کنند.

الگوی لمس در دستگاه‌های موبایل: فشار انگشت، زاویه لمس، سرعت Swipe و نحوه نگه‌داشتن گوشی، همه سیگنال‌های رفتاری ارزشمندی هستند.

الگوی راه رفتن (Gait Analysis): سنسورهای شتاب‌سنج و ژیروسکوپ در گوشی‌های هوشمند می‌توانند الگوی راه رفتن کاربر را تشخیص دهند. این قابلیت برای سناریوهایی که کاربر در حال حرکت است، بسیار مفید است.

هوش مصنوعی و یادگیری ماشین

موتور تحلیلی احراز هویت مستمر بدون هوش مصنوعی عملی نخواهد بود. الگوریتم‌های ML وظایف متعددی را انجام می‌دهند:

ایجاد پروفایل رفتاری: سیستم در دوره یادگیری اولیه (معمولاً ۱ تا ۲ هفته)، الگوی رفتار عادی هر کاربر را یاد می‌گیرد و یک «خط مبنای رفتاری» ایجاد می‌کند.

تشخیص ناهنجاری (Anomaly Detection): الگوریتم‌های تشخیص ناهنجاری مانند Isolation Forest، One-Class SVM و شبکه‌های عصبی Autoencoder، انحرافات از رفتار عادی را شناسایی می‌کنند.

امتیازدهی ریسک: هر رفتار یا رویداد، امتیاز ریسکی دریافت می‌کند. مجموع این امتیازات، سطح اعتماد فعلی به کاربر را تعیین می‌کند.

یادگیری تطبیقی: مدل‌ها به‌صورت مداوم با رفتار جدید کاربر به‌روزرسانی می‌شوند تا تغییرات طبیعی در عادات کاربر (مثلاً یادگیری میان‌بر جدید) باعث هشدار کاذب نشود.

تحلیل زمینه‌ای (Context Analysis)

علاوه بر رفتار کاربر، عوامل زمینه‌ای نیز در ارزیابی ریسک نقش دارند:

موقعیت جغرافیایی: آیا کاربر از موقعیت معمول خود وارد شده؟ آیا سفر غیرممکن (Impossible Travel) رخ داده؟ مثلاً ورود از تهران و سپس از نیویورک در فاصله یک ساعت.

مشخصات دستگاه: آیا دستگاه شناخته‌شده است؟ آیا تغییراتی در مشخصات سخت‌افزاری یا نرم‌افزاری رخ داده؟

زمان دسترسی: آیا ساعت دسترسی با الگوی کاری معمول کاربر همخوانی دارد؟

نوع منابع درخواستی: آیا کاربر به منابعی دسترسی می‌خواهد که معمولاً استفاده نمی‌کند؟

رفتار شبکه‌ای: حجم داده‌های منتقل‌شده، الگوی ترافیک و اتصالات شبکه‌ای غیرعادی.

نقش FIDO2 و بیومتریک در احراز هویت مستمر

استانداردهای FIDO2 و WebAuthn نقش محوری در معماری مدرن احراز هویت مستمر ایفا می‌کنند. این استانداردها امنیت رمزنگاری قوی را با تجربه کاربری روان ترکیب می‌کنند.

چرا FIDO2 بستر ایده‌آل احراز هویت مستمر است؟

احراز هویت مقاوم در برابر فیشینگ: در FIDO2، کلید خصوصی هرگز دستگاه کاربر را ترک نمی‌کند و به دامنه خاصی متصل (Origin-Bound) است. این یعنی حتی اگر کاربر فریب سایت جعلی را بخورد، مهاجم نمی‌تواند اعتبارنامه‌ها را سرقت کند.

بدون اسرار مشترک: برخلاف رمز عبور که یک راز مشترک بین کاربر و سرور است، FIDO2 از رمزنگاری نامتقارن استفاده می‌کند. حتی اگر سرور هک شود، اطلاعاتی برای جعل هویت کاربر وجود ندارد.

یکپارچگی با بیومتریک محلی: FIDO2 از بیومتریک داخلی دستگاه (Face ID، Touch ID، Windows Hello) برای باز کردن قفل کلید خصوصی استفاده می‌کند. داده‌های بیومتریک هرگز به سرور ارسال نمی‌شوند.

معماری FIDO2 در احراز هویت مستمر

در یک پیاده‌سازی پیشرفته، FIDO2 به چند شکل در احراز هویت مستمر نقش دارد:

احراز هویت اولیه قوی: کاربر با Authenticator سخت‌افزاری یا پلتفرمی FIDO2 وارد سیستم می‌شود. این تضمین می‌کند نقطه شروع جلسه کاملاً امن است.

تأیید مجدد هوشمند (Step-Up Authentication): وقتی سیستم احراز هویت مستمر سطح ریسک بالایی تشخیص می‌دهد، از کاربر می‌خواهد با FIDO2 مجدداً احراز هویت کند. این فرآیند می‌تواند با یک لمس ساده انگشت یا نگاه به دوربین انجام شود.

احراز هویت صامت (Silent Authentication): برخی Authenticatorهای FIDO2 امکان تأیید بدون تعامل کاربر را دارند. مثلاً حضور فیزیکی توکن سخت‌افزاری در پورت USB می‌تواند به‌عنوان یک عامل تأیید مداوم عمل کند.

نقش توکن‌های سخت‌افزاری

توکن‌های امنیتی FIDO2 مانند YubiKey یا توکن‌های امنیتی داخلی، چندین مزیت در احراز هویت مستمر دارند:

اثبات حضور فیزیکی: حضور توکن در دستگاه، تضمین می‌کند کاربر مجاز فیزیکاً حضور دارد. این امر خطر سرقت جلسه از راه دور را به‌شدت کاهش می‌دهد.

مقاومت در برابر بدافزار: حتی اگر دستگاه کاربر آلوده به بدافزار باشد، بدون دسترسی فیزیکی به توکن، مهاجم نمی‌تواند احراز هویت کند.

عدم وابستگی به شبکه: احراز هویت محلی با توکن نیازی به اتصال اینترنت ندارد و در محیط‌های آفلاین نیز کار می‌کند.

معماری Zero Trust و یکپارچه‌سازی با IAM سازمانی

احراز هویت مستمر یکی از ارکان اصلی معماری Zero Trust است. این دو مفهوم چنان در هم تنیده‌اند که پیاده‌سازی یکی بدون دیگری ناقص خواهد بود.

اصول Zero Trust و جایگاه احراز هویت مستمر

فلسفه Zero Trust را می‌توان در یک جمله خلاصه کرد: «هرگز اعتماد نکن، همیشه تأیید کن.» این رویکرد فرض می‌کند هیچ کاربر، دستگاه یا شبکه‌ای ذاتاً قابل اعتماد نیست.

تأیید صریح (Explicit Verification): هر درخواست دسترسی باید تأیید شود، صرف‌نظر از منبع آن. احراز هویت مستمر این اصل را از سطح «هر درخواست» به سطح «هر لحظه» ارتقا می‌دهد.

حداقل دسترسی (Least Privilege): کاربران فقط به منابعی دسترسی دارند که برای کارشان ضروری است. احراز هویت مستمر می‌تواند این دسترسی را به‌صورت پویا بر اساس سطح ریسک محدود کند.

فرض نقض (Assume Breach): سیستم فرض می‌کند مهاجم ممکن است همین الان در شبکه باشد. احراز هویت مستمر با نظارت دائمی، احتمال شناسایی نفوذگر را افزایش می‌دهد.

یکپارچه‌سازی با سیستم‌های IAM

یک راهکار احراز هویت مستمر باید به‌صورت یکپارچه با زیرساخت مدیریت هویت سازمان کار کند:

یکپارچگی با Identity Provider: سیستم باید با IdP سازمان (Active Directory، Azure AD، Okta و …) یکپارچه شود تا اطلاعات هویت و گروه‌بندی کاربران را دریافت کند.

اتصال به SSO: احراز هویت مستمر باید در کنار راهکار Single Sign-On کار کند، نه جایگزین آن. کاربر یک‌بار وارد می‌شود، اما نظارت مستمر در پس‌زمینه ادامه دارد.

هماهنگی با سیاست‌های دسترسی: تصمیمات سیستم (مثلاً درخواست تأیید مجدد یا قطع دسترسی) باید با سیاست‌های دسترسی تعریف‌شده در IAM هماهنگ باشد.

گزارش‌دهی متمرکز: تمام رویدادهای احراز هویت مستمر باید در SIEM سازمان ثبت شوند تا تیم SOC دید کامل داشته باشد.

معماری فنی پیشنهادی

یک معماری جامع احراز هویت مستمر شامل این اجزاست:

لایه جمع‌آوری داده (Data Collection Layer): ایجنت‌های سبک‌وزن روی دستگاه‌های کاربران، داده‌های رفتاری و زمینه‌ای را جمع‌آوری می‌کنند. این ایجنت‌ها باید حداقل تأثیر را بر عملکرد دستگاه داشته باشند.

موتور تحلیل (Analytics Engine): این بخش با استفاده از الگوریتم‌های ML، داده‌های دریافتی را پردازش و امتیاز ریسک محاسبه می‌کند. پردازش باید بلادرنگ یا نزدیک به بلادرنگ باشد.

موتور سیاست (Policy Engine): بر اساس امتیاز ریسک و سیاست‌های تعریف‌شده، تصمیم مناسب را اتخاذ می‌کند: ادامه عادی، درخواست Step-Up، محدودسازی دسترسی یا قطع جلسه.

نقطه اجرا (Enforcement Point): تصمیمات را اجرا می‌کند. این می‌تواند در سطح شبکه (فایروال)، اپلیکیشن (پروکسی) یا Endpoint (ایجنت) باشد.

داشبورد مدیریت: رابط کاربری برای تیم امنیت جهت تنظیم سیاست‌ها، بررسی هشدارها و تحلیل روندها.

سیگنال‌های ریسک و مدل امتیازدهی

قلب تپنده احراز هویت مستمر، سیستم امتیازدهی ریسک است. این سیستم باید ده‌ها سیگنال مختلف را ترکیب کرده و یک امتیاز واحد تولید کند.

دسته‌بندی سیگنال‌های ریسک

سیگنال‌های هویتی:

ناهماهنگی بین هویت ادعاشده و رفتار مشاهده‌شده، تلاش‌های ناموفق احراز هویت، استفاده از اعتبارنامه‌های منقضی یا لغوشده.

سیگنال‌های رفتاری:

انحراف از الگوی تایپ معمول، تغییر ناگهانی در سرعت کار، دسترسی به منابع غیرعادی، الگوی ناوبری متفاوت، ساعات کاری خارج از معمول.

سیگنال‌های دستگاه:

دستگاه جدید یا ناشناخته، تغییر در مشخصات دستگاه (مثلاً Jailbreak)، نرم‌افزار امنیتی غیرفعال، نسخه سیستم‌عامل آسیب‌پذیر.

سیگنال‌های شبکه:

اتصال از IP مشکوک یا لیست سیاه، استفاده از VPN یا Proxy ناشناس، تغییر موقعیت جغرافیایی غیرمنطقی، اتصال از کشور پرریسک.

سیگنال‌های زمینه‌ای:

همزمانی جلسات از مکان‌های مختلف، درخواست دسترسی به داده‌های حساس، عملیات غیرعادی مانند دانلود انبوه داده.

مدل‌های امتیازدهی

مدل مبتنی بر قانون (Rule-Based): ساده‌ترین روش که هر سیگنال، امتیاز ثابتی دارد. مثلاً IP ناشناس = ۲۰ امتیاز، دستگاه جدید = ۳۰ امتیاز. وقتی مجموع از آستانه بگذرد، اقدام انجام می‌شود.

مدل مبتنی بر یادگیری ماشین: الگوریتم‌های ML وزن هر سیگنال را بر اساس داده‌های تاریخی یاد می‌گیرند. این روش دقیق‌تر است اما نیاز به داده آموزشی کافی دارد.

مدل ترکیبی: ترکیب قواعد ثابت برای سناریوهای شناخته‌شده با ML برای تشخیص الگوهای جدید. این رویکرد در عمل بهترین نتایج را می‌دهد.

پاسخ تطبیقی به سطوح ریسک

سیستم باید پاسخ‌های متناسب با سطح ریسک داشته باشد:

مزایای کسب‌وکاری احراز هویت مستمر

سرمایه‌گذاری در احراز هویت مستمر، بازده قابل‌توجهی برای سازمان دارد.

کاهش ریسک نقض داده

با شناسایی سریع‌تر نفوذ، میانگین زمان شناسایی (MTTD) به‌شدت کاهش می‌یابد. گزارش‌ها نشان می‌دهد سازمان‌هایی که احراز هویت مستمر دارند، ۶۰٪ سریع‌تر نفوذها را شناسایی می‌کنند.

کاهش هزینه‌های امنیتی

پیشگیری همیشه ارزان‌تر از درمان است. میانگین هزینه یک نقض داده در ۲۰۲۴ به ۴.۴۵ میلیون دلار رسیده است. احراز هویت مستمر با کاهش احتمال نقض، صرفه‌جویی قابل‌توجهی ایجاد می‌کند.

انطباق با مقررات

الزامات نظارتی مانند PCI-DSS 4.0، NIST 800-63B و قوانین حفاظت از داده، نظارت مستمر بر دسترسی را توصیه یا الزام می‌کنند. احراز هویت مستمر به انطباق با این الزامات کمک می‌کند.

بهبود تجربه کاربری

شاید تعجب‌آور باشد، اما احراز هویت مستمر می‌تواند تجربه کاربری را بهبود دهد. وقتی سیستم به کاربر اعتماد بالایی دارد، می‌تواند احراز هویت‌های اضافی را حذف کند. کاربرانی که همیشه از دستگاه و مکان ثابت کار می‌کنند، کمتر با درخواست تأیید مواجه می‌شوند.

دید عملیاتی بهتر

داده‌های جمع‌آوری‌شده توسط سیستم، دید ارزشمندی از الگوهای استفاده، نقاط پرریسک و رفتار کاربران فراهم می‌کند که برای تصمیم‌گیری‌های امنیتی و عملیاتی مفید است.

موارد استفاده و صنایع هدف

احراز هویت مستمر در صنایع مختلف کاربرد دارد، اما برخی صنایع بیشترین بهره را می‌برند.

خدمات مالی و بانکداری

بانک‌ها و مؤسسات مالی با حجم بالای تراکنش‌های حساس، هدف اصلی حملات هستند. احراز هویت مستمر می‌تواند تراکنش‌های مشکوک را در لحظه شناسایی و مسدود کند.

بهداشت و درمان

حفاظت از اطلاعات بیماران (PHI) الزام قانونی است. احراز هویت مستمر تضمین می‌کند فقط افراد مجاز و در زمان مناسب به پرونده‌های پزشکی دسترسی دارند.

خدمات دولتی

سازمان‌های دولتی با داده‌های حساس و زیرساخت‌های حیاتی، نیازمند بالاترین سطح امنیت هستند. بسیاری از دولت‌ها احراز هویت مستمر را به‌عنوان بخشی از استراتژی Zero Trust پذیرفته‌اند.

دورکاری و محیط‌های ترکیبی

با گسترش دورکاری، نظارت بر دسترسی کاربران از مکان‌های مختلف اهمیت بیشتری یافته است. احراز هویت مستمر تضمین می‌کند کاربران دورکار همان سطح امنیت کاربران حضوری را دارند.

معیارهای ارزیابی و شاخص‌های کلیدی عملکرد

برای سنجش موفقیت پیاده‌سازی، این شاخص‌ها را ردیابی کنید:

شاخص‌های امنیتی

شاخص‌های عملیاتی

مدل بلوغ IAM سازمانی: ارزیابی وضعیت فعلی

پیش از طراحی معماری، باید وضعیت فعلی IAM سازمان ارزیابی شود. مدل بلوغ IAM یک چارچوب ۵ سطحی است که به سازمان‌ها کمک می‌کند جایگاه فعلی خود را بشناسند و مسیر بهبود را ترسیم کنند.

سطح ۱: Ad-hoc (واکنشی)

در این سطح، مدیریت هویت و دسترسی بدون فرآیند مشخص انجام می‌شود:

• حساب‌های کاربری به‌صورت دستی و پراکنده ایجاد می‌شوند
• رمزهای عبور ساده و بدون سیاست مشخص استفاده می‌شوند
• هیچ مکانیزم مرکزی برای بازبینی دسترسی‌ها وجود ندارد
• خروج کارکنان ممکن است تا هفته‌ها به غیرفعال‌سازی حساب منجر نشود
• ریسک: بسیار بالا — سطح حمله گسترده و بدون کنترل

سطح ۲: Repeatable (تکرارپذیر)

فرآیندهای اولیه تعریف شده‌اند اما به‌صورت یکپارچه اجرا نمی‌شوند:

• Active Directory یا LDAP مرکزی برای کارکنان داخلی وجود دارد
• سیاست رمز عبور (پیچیدگی، انقضا) اعمال می‌شود
• MFA برای برخی سیستم‌های حیاتی فعال است
• فرآیند Onboarding/Offboarding نیمه‌دستی است
• ریسک: متوسط-بالا — حفره‌های قابل‌توجه در پوشش

سطح ۳: Defined (تعریف‌شده)

سیاست‌ها و فرآیندهای IAM مستند و استاندارد شده‌اند:

• راهکار IAM مرکزی مستقر شده و Identity Provider (IdP) مشخص است
• SSO برای اکثر سامانه‌ها پیاده‌سازی شده
• RBAC (کنترل دسترسی مبتنی بر نقش) تعریف و اجرا می‌شود
• گزارش‌دهی و ممیزی دسترسی‌ها به‌صورت دوره‌ای انجام می‌شود
• فرآیندهای Provisioning و Deprovisioning خودکار شده‌اند
• ریسک: متوسط — پایه‌ای مستحکم اما نیازمند بهبود مداوم

سطح ۴: Managed (مدیریت‌شده)

IAM به‌صورت فعال و مبتنی بر داده مدیریت می‌شود:

• احراز هویت بدون رمز عبور (Passwordless) مانند FIDO2 پیاده‌سازی شده
• مدل Zero Trust با اصل «هرگز اعتماد نکن، همیشه تأیید کن» اجرا می‌شود
• احراز هویت مستمر و تحلیل رفتاری (UEBA) فعال است
• Identity Governance and Administration (IGA) یکپارچه مستقر شده
• حاکمیت دسترسی خودکار شامل بازبینی دوره‌ای (Access Certification) اجرا می‌شود
• ریسک: پایین — تشخیص و پاسخ سریع به تهدیدات مبتنی بر هویت

سطح ۵: Optimized (بهینه‌شده)

IAM به‌صورت پیوسته بهینه‌سازی می‌شود و از هوش مصنوعی بهره می‌گیرد:

• یادگیری ماشین برای تشخیص ناهنجاری‌های هویتی در لحظه
• تنظیم خودکار سیاست‌های دسترسی بر اساس تحلیل ریسک بلادرنگ
• Adaptive Authentication با تطبیق پویا سطح احراز هویت
• ادغام کامل IAM با SOC و فرآیندهای ITSM
• مطابقت مداوم و خودکار با تمام الزامات انطباقی
• ریسک: بسیار پایین — رویکرد پیش‌گیرانه و خودبهبود

نکته کلیدی: اکثر سازمان‌های ایرانی در سطح ۱ یا ۲ قرار دارند. هدف واقع‌بینانه برای ۱۲ تا ۱۸ ماه آینده، رسیدن به سطح ۳ و شروع حرکت به سمت سطح ۴ است.

لایه‌های معماری IAM سازمانی: طراحی از پایه تا سطح

معماری IAM سازمانی از پنج لایه اصلی تشکیل شده که هر کدام وظیفه مشخصی دارند و با لایه‌های دیگر تعامل می‌کنند.

لایه ۱: مدیریت هویت (Identity Management Layer)

این لایه پایه و زیربنای تمام معماری IAM است و مسئول مدیریت چرخه عمر هویت دیجیتال:

مؤلفه‌های کلیدی:

• Identity Repository (مخزن هویت): پایگاه داده مرکزی هویت‌ها — معمولاً LDAP، Active Directory یا یک Identity Store ابری
• Provisioning/Deprovisioning Engine: موتور خودکار ایجاد، تغییر و حذف حساب‌های کاربری
• Identity Lifecycle Management: مدیریت وضعیت‌های مختلف هویت — ایجاد، فعال، غیرفعال، تعلیق، حذف
• Self-Service Portal: رابط کاربری برای تغییر رمز عبور، درخواست دسترسی و مدیریت پروفایل
• Directory Synchronization: همگام‌سازی هویت‌ها بین مخازن مختلف

اصول طراحی:

• منبع حقیقت واحد (Single Source of Truth): هر هویت باید دقیقاً یک رکورد اصلی داشته باشد
• الگوی Authoritative Source: سیستم منبع (مانند HR) مبدأ اطلاعات هویت باشد
• Unique Identifier: هر هویت یک شناسه یکتا و غیرقابل‌تغییر داشته باشد

[HR System] ──▶ [Identity Repository] ──▶ [Active Directory]
                       │                          │
                       ▼                          ▼
              [Cloud IdP (Entra ID)]    [On-Prem Applications]
                       │
                       ▼
              [SaaS Applications]

لایه ۲: احراز هویت (Authentication Layer)

این لایه مسئول تأیید هویت ادعاشده کاربران و سیستم‌هاست و مهم‌ترین لایه از نظر امنیتی محسوب می‌شود.

مؤلفه‌های کلیدی:

• Authentication Service: سرویس مرکزی احراز هویت — پشتیبانی از پروتکل‌های SAML 2.0، OAuth 2.0/OIDC
• Multi-Factor Authentication (MFA): لایه دوم احراز هویت شامل OTP، Push Notification، Biometric
• Passwordless Authentication: احراز هویت بدون رمز عبور مبتنی بر FIDO2/WebAuthn
• SSO Engine: موتور Single Sign-On برای دسترسی یکبار-ورود به تمام سامانه‌ها
• Adaptive Authentication Engine: موتور تطبیقی که سطح احراز هویت را بر اساس ریسک تعیین می‌کند
• Certificate-Based Authentication: احراز هویت مبتنی بر گواهی برای سناریوهای ماشین‌به‌ماشین و سطح بالای اطمینان

سلسله‌مراتب قدرت روش‌های احراز هویت:

معماری مرجع لایه احراز هویت:

[کاربر] ──▶ [WAF/CDN] ──▶ [Reverse Proxy] ──▶ [Authentication Gateway]
                                                         │
                          ┌──────────────────────────────┼──────────────────────┐
                          ▼                              ▼                      ▼
                  [FIDO2/WebAuthn]              [MFA Service]          [SSO/Federation]
                  [Security Keys]              [TOTP/Push]            [SAML/OIDC]
                          │                              │                      │
                          └──────────────────────────────┼──────────────────────┘
                                                         ▼
                                              [Policy Decision Point]
                                                         │
                                                         ▼
                                              [Session Management]
                                              [Token Issuance (JWT)]

لایه ۳: مجوزدهی (Authorization Layer)

پس از احراز هویت، این لایه تعیین می‌کند که کاربر تأییدشده چه کارهایی مجاز به انجام است.

مدل‌های مجوزدهی:

• RBAC (Role-Based Access Control): مجوزدهی مبتنی بر نقش — مناسب ساختارهای سلسله‌مراتبی

  • مثال: نقش «مدیر مالی» دسترسی خواندن/نوشتن به سامانه حسابداری
  • مزیت: سادگی مدیریت در سازمان‌های ساختاریافته
  • محدودیت: Role Explosion در سازمان‌های بزرگ

• ABAC (Attribute-Based Access Control): مجوزدهی مبتنی بر ویژگی — انعطاف‌پذیر و مقیاس‌پذیر

  • مثال: «اگر بخش = مالی AND مکان = دفتر مرکزی AND ساعت = اداری → دسترسی مجاز»
  • مزیت: گرانولاریتی بالا، پشتیبانی از سیاست‌های پیچیده
  • محدودیت: پیچیدگی پیاده‌سازی و مدیریت

• PBAC (Policy-Based Access Control): مجوزدهی مبتنی بر سیاست — ترکیب RBAC و ABAC

  • استفاده از Policy Engine‌هایی مانند OPA (Open Policy Agent)
  • مزیت: جداسازی منطق سیاست از کد اپلیکیشن

• ReBAC (Relationship-Based Access Control): مجوزدهی مبتنی بر رابطه — مناسب ساختارهای گراف‌مانند

  • مثال: «کاربر مالک سند است → ویرایش مجاز» یا «کاربر عضو تیم است → مشاهده مجاز»

توصیه معماری: در سطح Enterprise، ترکیب RBAC + ABAC (که گاهی Hybrid RBAC نامیده می‌شود) بهترین تعادل بین سادگی مدیریت و انعطاف‌پذیری را فراهم می‌کند. نقش‌ها سطح دسترسی پایه را تعریف می‌کنند و ویژگی‌ها (مکان، زمان، ریسک جلسه) به عنوان شرایط اضافی اعمال می‌شوند.

لایه ۴: حاکمیت و مدیریت هویت (Identity Governance Layer)

لایه حاکمیت تضمین می‌کند که دسترسی‌ها صحیح، مستند و قابل ممیزی هستند:

مؤلفه‌های کلیدی:

• Access Certification (بازبینی دسترسی): فرآیند دوره‌ای بازبینی و تأیید دسترسی‌ها توسط مدیران
• Segregation of Duties (SoD): شناسایی و جلوگیری از تعارض وظایف — مثلاً یک فرد نباید هم ثبت‌سفارش و هم تأیید پرداخت را انجام دهد
• Access Request Workflow: فرآیند ساختاریافته درخواست، تأیید و اعطای دسترسی
• Entitlement Management: مدیریت مجموعه حقوق دسترسی (Entitlements) هر نقش و کاربر
• Audit Trail: ثبت کامل تمام تغییرات دسترسی با قابلیت ردیابی

فرآیند حاکمیت دسترسی:

[درخواست دسترسی] ──▶ [بررسی SoD] ──▶ [تأیید مدیر مستقیم]
                                                   │
                                            ┌──────┴──────┐
                                            ▼             ▼
                                       [تأیید]      [رد درخواست]
                                            │
                                            ▼
                                   [تأیید مالک سامانه]
                                            │
                                            ▼
                                   [اعطای خودکار دسترسی]
                                            │
                                            ▼
                              [ثبت در Audit Log + زمان‌بندی بازبینی]

لایه ۵: نظارت و تحلیل (Monitoring & Analytics Layer)

این لایه چشم و گوش معماری IAM است و وضعیت امنیتی هویت‌ها و دسترسی‌ها را به‌صورت بلادرنگ رصد می‌کند:

مؤلفه‌های کلیدی:

• SIEM Integration: ارسال رویدادهای IAM به سامانه SIEM برای همبستگی و تحلیل
• UEBA (User and Entity Behavior Analytics): تحلیل رفتاری برای شناسایی ناهنجاری‌ها
• Real-time Alerting: هشدار بلادرنگ برای رویدادهای مشکوک (ورود از مکان غیرعادی، تلاش‌های ناموفق مکرر)
• Dashboard & Reporting: داشبوردهای مدیریتی برای نمایش وضعیت IAM
• Risk Scoring Engine: موتور امتیازدهی ریسک برای هر جلسه و هر دسترسی

رویدادهای حیاتی قابل رصد:

نقش FIDO2 و احراز هویت بدون رمز عبور در معماری IAM مدرن

استاندارد FIDO2 (Fast Identity Online 2) نقطه عطفی در تکامل لایه احراز هویت معماری IAM سازمانی است. این استاندارد با حذف کامل رمزهای عبور، مقاوم‌ترین روش احراز هویت در برابر فیشینگ، Credential Stuffing و حملات مهندسی اجتماعی را فراهم می‌کند.

چرا FIDO2 ستون فقرات لایه احراز هویت است؟

رمزنگاری کلید عمومی: FIDO2 از جفت کلید عمومی-خصوصی استفاده می‌کند. کلید خصوصی هرگز سمت کاربر را ترک نمی‌کند و تنها در Authenticator (مانند Security Key، TPM یا Passkey) ذخیره می‌شود.

فرآیند احراز هویت FIDO2 در سطح Enterprise:

[کاربر] ──▶ [درخواست ورود به سامانه]
                     │
                     ▼
         [Authentication Gateway]
                     │
                     ▼
         [FIDO2 Server: ارسال Challenge]
                     │
                     ▼
         [Authenticator کاربر]
         [اثر انگشت / PIN محلی → آزادسازی کلید خصوصی]
                     │
                     ▼
         [امضای Challenge با کلید خصوصی]
                     │
                     ▼
         [FIDO2 Server: تأیید امضا با کلید عمومی ذخیره‌شده]
                     │
                     ▼
         [صدور Token جلسه + اعمال سیاست‌های مجوزدهی]

مزایای FIDO2 در معماری IAM Enterprise

پیاده‌سازی FIDO2 در سازمان‌های ایرانی با نشانه

شرکت نشانه به عنوان ارائه‌دهنده راهکارهای IAM و احراز هویت بدون رمز عبور در ایران، زیرساخت کاملی برای پیاده‌سازی FIDO2 در سطح Enterprise فراهم کرده است:

• FIDO2 Server: سرور سازگار با استاندارد FIDO Alliance برای مدیریت ثبت و تأیید Credentialها
• پشتیبانی از Passkeys: قابلیت استفاده از Passkeys در دستگاه‌های کاربران بدون نیاز به سخت‌افزار جداگانه
• یکپارچه‌سازی با IdP: اتصال به Identity Providerهای موجود سازمان (AD, Entra ID, Keycloak)
• SDK و API: کیت توسعه و API برای یکپارچه‌سازی با اپلیکیشن‌های سفارشی سازمان
• مدیریت چرخه عمر Credential: ثبت، لغو، جایگزینی و ممیزی Credentialهای FIDO2