網路攻擊與防禦實務
NIST SP 800-207的零信任架構，把判斷是否允許存取的「政策決策點（PDP）」，與執行判斷的「政策執行點（PEP）」分開思考。關於員工存取業務應用程式時兩者的作用，正確的說明是下列何者？
- APEP根據使用者的驗證與裝置狀態判斷是否允許存取，PDP則在使用者的電腦中運作，加密與應用程式之間的通訊
- BPDP把驗證結果與裝置狀態對照政策加以判斷，位於使用者與應用程式之間的PEP，依該判斷讓連線通過或予以切斷
- CPDP與PEP是同一台設備的不同稱呼，原則上一旦允許連線，在工作階段結束前都不會重新檢視允許的判斷
查看答案與解析
正確答案：B. PDP把驗證結果與裝置狀態對照政策加以判斷，位於使用者與應用程式之間的PEP，依該判斷讓連線通過或予以切斷
在SP 800-207中，由政策引擎與政策管理者組成的PDP，會把使用者的驗證結果、裝置的狀態、存取對象的重要性、威脅情資等對照政策，判斷是否允許存取。PEP設置在使用者與資源之間的路徑上，依PDP的判斷啟用、監控或終止連線。把判斷與執行分開，就能在一處管理政策，同時在許多應用程式的入口以相同方式套用。此外，若裝置狀態等發生變化，即使在連線中也能重新檢視判斷並停止存取。
- A. 做判斷的是PDP，執行的是PEP，角色相反。
- B. 正確。把判斷（PDP）與執行（PEP）分開，PEP在使用者與資源之間執行判斷。
- C. 兩者是不同的角色。在零信任中，即使允許連線之後，也會依狀態變化重新檢視判斷。