Conditional Access / risk-based access

Политики, които решават дали login или достъп е допустим според user, device, location, risk, app, network и authentication strength.

Identity provider-ът оценява контекста и може да изиска по-силен фактор, compliant device, trusted network или да блокира сесията.

Парола е открадната при phishing. Attacker опитва вход от unmanaged device и нетипична държава.

• Без Conditional Access: валидните credentials може да са достатъчни.
• С правилна policy: login-ът изисква phishing-resistant authentication и compliant device или се блокира.

Да се използва „trusted location“ като вечна вратичка. VPN egress IP или офис мрежа не означават автоматично trusted user.

Тествайте policy paths, не само happy path:

• unmanaged device;
• legacy protocol;
• impossible travel;
• privileged application;
• new device;
• break-glass account.

• Block impossible travel/high-risk geographies.
• Require managed/compliant device за admin.
• Strong authentication за privileged apps.
• Session lifetime controls.
• Disable legacy auth.
• Named locations само където има operational смисъл.

Ако attacker контролира trusted device или valid session, risk signals могат да изглеждат нормални.