Zamiast czynić chronioną usługę zwykle osiągalną, a następnie filtrować próby, system SDP uwierzytelnia żądającą tożsamość, ocenia sygnały urządzenia i kontekstu oraz autoryzuje konkretne połączenie, zanim zezwoli żądającemu na dotarcie do tej usługi.
SDP zwykle używa kontrolera polityki oraz inicjujących i akceptujących hostów lub bram. Po zatwierdzeniu komponenty egzekwujące ustanawiają zaszyfrowaną ścieżkę eksponującą jedynie dozwoloną aplikację lub usługę — nie otaczającą sieć. Redukuje to niezamawiane wykrywanie i otaczającą osiągalność, ale „niewidzialność" jest nieprecyzyjnym skrótem marketingowym: kontrolery, bramy, punkty końcowe i dozwolone usługi nadal mają obserwowalne i atakowalne powierzchnie.
Najważniejsze punkty
Decyzja dostępuŻądający dostarcza dowody tożsamości, urządzenia i kontekstu do komponentu autoryzującego, który ocenia politykę przed przyznaniem wąsko zakreślonej łączności.
EgzekwowanieInicjujące i akceptujące hosty lub bramy ograniczają dozwoloną ścieżkę do zatwierdzonych usług i mogą ukrywać inne adresy i porty przed zwykłym wykrywaniem.
Cykl życiaProjekty mogą używać autoryzacji jednopakietowej (single-packet authorization), uwierzytelniania wzajemnego, krótkożyjących poświadczeń, segmentacji lub ciągłej ponownej oceny; konkretne mechanizmy różnią się.
Istotne ograniczenieSDP nie czyni niebezpiecznej aplikacji, skompromitowanego punktu końcowego, słabego procesu tożsamości ani źle chronionego kontrolera bezpiecznymi. Dostępność i bezpieczeństwo zależą silnie od komponentów polityki, sterowania i egzekwowania, a decyzja autoryzacyjna może się dezaktualizować wraz ze zmianą ryzyka.