The perimeter is gone. VPNs that grant broad network access, flat internal networks where any authenticated machine can reach any other, and implicit trust for on-premises traffic — these are liabilities, not assets, in a world where identities are the primary attack vector and most workloads run outside your data center.المحيط ذهب. VPNs تمنح وصول شبكة واسع، شبكات داخلية مسطحة حيث أي آلة مصادق عليها تصل إلى أي أخرى، وثقة ضمنية لحركة on-premises — هذه liabilities، لا assets، في عالم حيث الهويات هي متجه الهجوم الأساسي ومعظم الأعباء خارج مركز البيانات.
Zero-trust is not a product you buy. It is an architecture you build incrementally. This post outlines the practical path.zero-trust ليس منتجاً تشتريه. إنها بنية تبنيها تدريجياً. هذه المقالة ترسم المسار العملي.
The core principle: never trust, always verifyالمبدأ الأساسي: لا تثق أبداً، تحقّق دائماً
Zero-trust replaces the question "is this request coming from inside the network?" with "is this identity, on this device, from this location, requesting this resource at this time, authorized to do so?"zero-trust يستبدل السؤال «هل هذا الطلب من داخل الشبكة؟» بـ «هل هذه الهوية، على هذا الجهاز، من هذا الموقع، تطلب هذا المورد في هذا الوقت، مخوّلة لفعل ذلك؟»
Every access decision requires:كل قرار وصول يتطلب:
- Verified identity — who or what is making the request?هوية مُتحقَّق منها — من أو ماذا يقدّم الطلب؟
- Device health — is the device in a known, compliant state?صحة الجهاز — هل الجهاز في حالة معروفة ومتوافقة؟
- Least-privilege access — is this the minimum access needed?least-privilege access — هل هذا الحد الأدنى من الوصول المطلوب؟
- Continuous verification — is the session still valid, or has something changed?تحقق مستمر — هل الجلسة ما زالت صالحة، أم تغيّر شيء؟
This shifts security from a one-time gate at the network edge to a continuous evaluation at every resource boundary.هذا ينقل الأمن من بوابة لمرة واحدة على حافة الشبكة إلى تقييم مستمر عند كل حد مورد.
Where most teams start: identity and MFAحيث يبدأ معظم الفرق: الهوية وMFA
The highest-return first step is strengthening identity controls. Credential compromise is the leading cause of breach. Fix this first.أعلى عائد للخطوة الأولى هو تقوية ضوابط الهوية. اختراق credentials السبب الرئيسي للاختراق. أصلح هذا أولاً.
Enforce phishing-resistant MFA everywhere. TOTP (authenticator apps) is better than SMS. FIDO2 / passkeys are better still — they are resistant to real-time phishing attacks that defeat TOTP. If your organization is on Microsoft Entra, Google Workspace, or Okta, passkey support is available today.فرض MFA مقاوم للتصيّد في كل مكان. TOTP (تطبيقات المصادقة) أفضل من SMS. FIDO2 / passkeys أفضل — مقاومة لهجمات التصيّد real-time التي تهزم TOTP. إذا كنت على Microsoft Entra أو Google Workspace أو Okta، دعم passkeys متاح اليوم.
Eliminate shared accounts and service accounts with human credentials. Every identity should map to exactly one principal. Shared accounts have no accountability. Service accounts should use short-lived credentials issued by a secrets manager — not passwords stored in .env files.أزل الحسابات المشتركة وحسابات الخدمة بcredentials بشرية. كل هوية يجب أن تطابق principal واحداً بالضبط. الحسابات المشتركة بلا مساءلة. حسابات الخدمة تستخدم credentials قصيرة العمر من secrets manager — لا كلمات مرور في ملفات .env.
Enforce conditional access policies. Block sign-ins from high-risk locations. Require re-authentication for sensitive operations. Enforce device compliance as a condition of access. These policies are available in every major IdP and are underused.فرض conditional access policies. احظر تسجيلات الدخول من مواقع عالية المخاطر. اطلب إعادة مصادقة للعمليات الحساسة. اجعل امتثال الجهاز شرطاً للوصول. هذه السياسات متاحة في كل IdP رئيسي ومُستخدَمة أقل مما ينبغي.
A basic conditional access rule set to implement first:مجموعة conditional access أساسية للبدء:
| Condition | Action |
|---|---|
| Sign-in from unfamiliar country | Require MFA + send alert |
| Unmanaged device | Block access to sensitive data |
| Service account login outside scheduled window | Block + alert |
| Failed MFA 3+ times in 10 minutes | Temporarily lock + alert |
Network microsegmentationmicrosegmentation للشبكة
Once identity is solid, address the network. The goal is to ensure that a compromised endpoint cannot move laterally to reach sensitive resources.بعد تثبيت الهوية، عالج الشبكة. الهدف أن endpoint مخترق لا يتحرك جانبياً للوصول إلى موارد حساسة.
Start with Crown Jewel isolation. Identify your most sensitive systems — production databases, the ERP, the source of truth for customer data — and enforce explicit, narrowly scoped rules for everything that can reach them. Deny by default, allow by exception.ابدأ بعزل Crown Jewel. حدّد أنظمتك الأكثر حساسية — قواعد بيانات الإنتاج، ERP، مصدر الحقيقة لبيانات العملاء — وفرض قواعد صريحة ضيقة لكل ما يصل إليها. Deny by default، allow by exception.
Software-defined perimeters over VLANs. Traditional VLAN-based segmentation is labor-intensive and coarse-grained. Software-defined perimeter (SDP) solutions enforce access at the application layer based on identity, not network location.Software-defined perimeters بدلاً من VLANs. segmentation بالـ VLAN تقليدي مرهق وcoarse-grained. حلول SDP تفرض الوصول على طبقة التطبيق بناءً على الهوية، لا موقع الشبكة.
East-west traffic encryption. Encryption at the perimeter is table stakes. Service-to-service traffic inside your network should also be encrypted — mTLS between services means that intercepted traffic is not readable and certificates provide mutual authentication.تشفير حركة east-west. التشفير على المحيط أساسيات. حركة service-to-service داخل شبكتك يجب أن تكون مشفرة أيضاً — mTLS بين الخدمات يعني أن الحركة المعترضة غير قابلة للقراءة والشهادات توفر مصادقة متبادلة.
Application-layer controlsضوابط طبقة التطبيق
Authorization separate from authentication. Authentication answers "who are you?" Authorization answers "what are you allowed to do?" These are different problems. Centralize authorization policy using a dedicated policy engine (Open Policy Agent, Cedar, or similar). Don't scatter authorization logic across application code.Authorization منفصلة عن Authentication. Authentication يجيب «من أنت؟» Authorization يجيب «ماذا يُسمح لك؟» مشكلتان مختلفتان. مركّز سياسة Authorization بمحرك policy مخصص (Open Policy Agent، Cedar، أو ما شابه). لا تبعثر منطق Authorization في code التطبيق.
Short-lived credentials for workloads. Applications running on cloud platforms should use instance-assigned service identities with short-lived tokens, not static API keys. Rotate secrets on a schedule measured in hours, not months. Use a secrets manager — HashiCorp Vault, AWS Secrets Manager, Azure Key Vault — to issue and audit credential use.credentials قصيرة العمر للأعباء. التطبيقات على منصات السحابة تستخدم service identities مع tokens قصيرة العمر، لا API keys ثابتة. دوّر secrets بجدول بالساعات، لا بالأشهر. استخدم secrets manager — HashiCorp Vault، AWS Secrets Manager، Azure Key Vault — للإصدار وتدقيق استخدام credentials.
API gateway as enforcement point. Your API gateway is the natural place to enforce authentication, rate limiting, and coarse-grained authorization for external-facing services. Move these controls out of individual application codebases and into the gateway so that policy changes apply uniformly.API gateway كنقطة إنفاذ. gateway هو المكان الطبيعي لفرض authentication وrate limiting وauthorization coarse-grained للخدمات الخارجية. انقل هذه الضوابط خارج codebases التطبيقات إلى gateway لتطبق تغييرات السياسة بانتظام.
Device trust and endpoint managementثقة الجهاز وإدارة endpoints
Mobile Device Management (MDM) for all devices accessing corporate resources. Unmanaged personal devices should not access production systems, internal APIs, or sensitive data. MDM allows you to verify device state (patch level, disk encryption, screen lock) before granting access.Mobile Device Management (MDM) لكل الأجهزة التي تصل إلى موارد الشركة. الأجهزة الشخصية غير المُدارة لا يجب أن تصل إلى أنظمة الإنتاج أو APIs داخلية أو بيانات حساسة. MDM يتيح التحقق من حالة الجهاز (مستوى التصحيح، تشفير القرص، قفل الشاشة) قبل منح الوصول.
Endpoint Detection and Response (EDR) as a baseline. EDR is not optional for enterprise environments. It provides visibility into process behavior, network connections, and file system changes that perimeter controls cannot see.Endpoint Detection and Response (EDR) كخط أساس. EDR ليس اختيارياً في بيئات المؤسسات. يوفر رؤية لسلوك العمليات واتصالات الشبكة وتغييرات نظام الملفات التي لا تراها ضوابط المحيط.
Certificate-based device authentication. Device certificates issued by your internal PKI are stronger than username/password for network access. A device that has been compromised but not yet re-enrolled will have its certificate revoked, cutting off access automatically.مصادقة أجهزة بالشهادات. شهادات الأجهزة من PKI الداخلي أقوى من username/password للوصول للشبكة. جهاز مخترق ولم يُعاد تسجيله تُلغى شهادته، فيُقطع الوصول تلقائياً.
Continuous monitoring and detectionالمراقبة والكشف المستمر
Zero-trust assumes breach. The question is not "can an attacker get in?" but "how quickly do we detect and contain them when they do?"zero-trust يفترض الاختراق. السؤال ليس «هل يستطيع المهاجم الدخول؟» بل «كم سرعة اكتشافنا واحتوائنا عندما يفعل؟»
Centralize logs to a SIEM. Authentication events, network flows, DNS queries, and application logs should all flow to a central SIEM. Correlation rules that span these sources catch lateral movement that individual log streams miss.مركّز السجلات في SIEM. أحداث المصادقة وتدفقات الشبكة واستعلامات DNS وسجلات التطبيق يجب أن تتدفق إلى SIEM مركزي. قواعد الارتباط عبر هذه المصادر تلتقط الحركة الجانبية التي تفوتها تدفقات فردية.
Baseline normal behavior. Modern SIEM and UEBA tools can establish baselines for normal user and entity behavior and alert on deviations. A developer who normally accesses three internal services suddenly accessing forty is worth investigating even if each access is technically authorized.أسّس السلوك الطبيعي. SIEM وUEBA الحديثة تستطيع baseline لسلوك المستخدم والكيان وتنبيه على الانحرافات. مطوّر يصل عادة إلى ثلاث خدمات داخلية ثم يصل إلى أربعين يستحق التحقيق حتى لو كل وصول مُصرَّح به تقنياً.
Automate response to high-confidence signals. Revoke sessions, quarantine devices, and disable accounts programmatically for signals with high confidence. Reserve human review for ambiguous cases. Speed is critical in breach containment.أتمت الاستجابة للإشارات عالية الثقة. ألغِ الجلسات، عزل الأجهزة، عطّل الحسابات برمجياً للإشارات عالية الثقة. احتفظ بالمراجعة البشرية للحالات الغامضة. السرعة حاسمة في احتواء الاختراق.
Phased implementation roadmapخارطة طريق تنفيذ مرحلية
Zero-trust is a multi-year program. Here is a practical sequence:zero-trust برنامج متعدد السنوات. تسلسل عملي:
Quarter 1–2: Identity foundationsالربع 1–2: أسس الهوية
- Enforce phishing-resistant MFA for all usersفرض MFA مقاوم للتصيّد لكل المستخدمين
- Eliminate shared accounts and rotate all service account credentialsإزالة الحسابات المشتركة وتدوير credentials حسابات الخدمة
- Implement conditional access policies for high-risk scenariosتنفيذ conditional access policies للسيناريوهات عالية المخاطر
- Deploy SSO to consolidate identity providersنشر SSO لتوحيد identity providers
Quarter 3–4: Network and endpointالربع 3–4: الشبكة والـ endpoints
- Deploy MDM and enforce device compliance for resource accessنشر MDM وفرض امتثال الأجهزة للوصول للموارد
- Implement EDR on all managed endpointsتنفيذ EDR على كل endpoints المُدارة
- Begin Crown Jewel microsegmentationبدء microsegmentation لـ Crown Jewel
- Enforce mTLS between internal services for the most sensitive pathsفرض mTLS بين الخدمات الداخلية للمسارات الأكثر حساسية
Year 2: Application and data layerالسنة 2: طبقة التطبيق والبيانات
- Centralize authorization policy in a dedicated policy engineمركزة سياسة Authorization في policy engine مخصص
- Migrate remaining static credentials to secrets managerترحيل credentials الثابتة المتبقية إلى secrets manager
- Extend microsegmentation to remaining internal servicesتوسيع microsegmentation لبقية الخدمات الداخلية
- Implement UEBA-based anomaly detectionتنفيذ كشف شذوذ قائم على UEBA
Ongoingمستمر
- Red team exercises against the zero-trust controlsتمارين red team ضد ضوابط zero-trust
- Quarterly review of access policies and privilege scopeمراجعة ربع سنوية لسياسات الوصول ونطاق الامتيازات
- Continuous improvement based on detection outcomesتحسين مستمر بناءً على نتائج الكشف
The return on this investment is not theoretical. Organizations that implement zero-trust architectures consistently see reduced blast radius from credential compromise, faster detection of lateral movement, and stronger audit trails for compliance.عائد هذا الاستثمار ليس نظرياً. المؤسسات التي تنفّذ zero-trust ترى باستمرار blast radius أصغر من اختراق credentials، وكشفاً أسرع للحركة الجانبية، ومسارات تدقيق أقوى للامتثال.
Related: explore more under Cybersecurity & Post-Quantum on the insights hub.ذات صلة: استكشف المزيد تحت Cybersecurity & Post-Quantum في مركز الرؤى.