Какие основные методы контроля доступа используются в компьютерных системах

Обновлено: 04.07.2024

Бывают случаи, когда людям нужен доступ к информации, например к документам или слайдам на сетевом диске, но у них нет соответствующего уровня доступа для чтения или изменения элемента. Это может произойти в самый неподходящий момент, и им потребуется связаться с системным администратором, чтобы предоставить им соответствующий уровень привилегий. Конечно, они в конечном итоге спрашивают, почему они не могут просто получить общий доступ к информации в папке, чтобы они могли сортировать элементы и находить то, что им нужно.

Ответ может быть примерно таким: «Извините, но вам нужно отправить заявку в службу поддержки с соответствующей информацией, которая будет проверена, прежде чем мы сможем предоставить вам соответствующий доступ». Это приводит к еще большему разочарованию, когда человек может сказать что-то вроде: «Есть ли более быстрый способ сделать это? Мне просто нужен доступ к одной папке, вот и все». И что теперь?

Как бы болезненно это ни звучало (а иногда и неудобно), существуют причины, по которым контроль доступа вступает в игру в подобных сценариях.

Контроль доступа и сертификация CISSP

Управление доступом – это ключевое понятие кибербезопасности, поэтому, естественно, его рассматривают на сертификационном экзамене CISSP. Домен 5 CISSP охватывает управление идентификацией и доступом, а цель 5.4 в этом домене — «Внедрение и управление механизмами авторизации». Существует шесть основных типов моделей контроля доступа, которые должны понимать все владельцы CISSP:

Обязательный контроль доступа (MAC)
Управление дискреционным доступом (DAC)
Управление доступом на основе ролей (RBAC)
Контроль доступа на основе правил
Контроль доступа на основе атрибутов (ABAC)
Управление доступом с учетом рисков

В этой статье мы дадим определение управлению доступом, рассмотрим шесть моделей управления доступом, опишем методы логического управления доступом и объясним различные типы физического управления доступом.

Контроль доступа и модель контроля доступа

Контроль доступа идентифицирует человека, выполняющего определенную работу, идентифицирует его, просматривая его удостоверение личности, а затем выдает этому человеку только ключ от двери или компьютера, к которому ему нужен доступ, и ничего более. В мире информационной безопасности можно было бы рассматривать это как предоставление индивидуальному разрешению на вход в сеть через имя пользователя и пароль, предоставление им доступа к файлам, компьютерам или другому оборудованию или программному обеспечению, которое требуется человеку, и обеспечение их надлежащего уровня. разрешения (т. е. только для чтения) для выполнения своей работы. Итак, как же предоставить надлежащий уровень разрешений человеку, чтобы он мог выполнять свои обязанности? Именно здесь на сцену выходят модели управления доступом.

Как отмечалось выше, экзамен CISSP выделяет шесть разновидностей контроля доступа.

1. Обязательный контроль доступа (MAC)

Модель Mandatory Access Control (MAC) позволяет только владельцу и хранителю управлять средствами управления доступом. Это означает, что конечный пользователь не может контролировать какие-либо настройки, которые предоставляют какие-либо привилегии кому-либо. С MAC связаны две модели безопасности: Biba и Bell-LaPadula. Модель Биба ориентирована на целостность информации, тогда как модель Белла-ЛаПадулы ориентирована на конфиденциальность информации. Biba — это установка, в которой пользователь с более низким уровнем допуска может читать информацию более высокого уровня (называемую «чтением вверх»), а пользователь с высоким уровнем допуска может писать для более низких уровней допуска (называется «записывать»). Модель Biba обычно используется в компаниях, где сотрудники более низкого уровня могут читать информацию более высокого уровня, а руководители могут писать, чтобы информировать сотрудников более низкого уровня.

Bell-LaPadula, с другой стороны, представляет собой установку, в которой пользователь более высокого уровня (например, Совершенно секретно) может писать только на этом уровне и не ниже (это называется "запись вверх"), но также может читать на более низкие уровни (называемые «чтением вниз»). Bell-LaPadula был разработан для правительственных и / или военных целей, где, если у кого-то нет правильного уровня допуска и ему не нужно знать определенную информацию, они не имеют никакого отношения к этой информации. Когда-то MAC был связан с системой нумерации, которая присваивала номер уровня файлам и номера уровня сотрудникам. Эта система сделала так, что если файл (например, myfile.ppt) имеет уровень 400, другой файл (например, yourfile.docx) имеет уровень 600, а сотрудник имеет уровень 500, сотрудник не сможет получить доступ к «вашему файлу». .docx» из-за более высокого уровня (600), связанного с файлом. MAC — это наивысший уровень контроля доступа, который существует и используется в военных и/или правительственных учреждениях с использованием классификаций «Секретно», «Секретно» и «Несекретно» вместо ранее упомянутой системы нумерации.

2. Дискреционный контроль доступа (DAC)

Модель дискреционного управления доступом (DAC) является моделью с наименьшими ограничениями по сравнению с моделью MAC с наибольшими ограничениями.DAC позволяет человеку полностью контролировать любые объекты, которыми они владеют, а также программы, связанные с этими объектами. Это дает DAC два основных недостатка. Во-первых, это дает конечному пользователю полный контроль над установкой параметров уровня безопасности для других пользователей, что может привести к тому, что у пользователей будут более высокие привилегии, чем они должны. Во-вторых, что еще хуже, разрешения, которые есть у конечного пользователя, наследуются в других выполняемых им программах.

Это означает, что конечный пользователь может запустить вредоносное ПО, не подозревая об этом, и вредоносное ПО может воспользоваться преимуществами потенциально высокого уровня привилегий, которыми обладает конечный пользователь.

3. Управление доступом на основе ролей (RBAC)

Модель управления доступом на основе ролей (RBAC) обеспечивает управление доступом в зависимости от должности, которую человек занимает в организации. Таким образом, вместо того, чтобы назначать Джону разрешения в качестве менеджера безопасности, должность менеджера безопасности уже имеет назначенные ему разрешения. По сути, Джону просто нужен доступ к профилю менеджера по безопасности. RBAC упрощает жизнь системному администратору организации.

Большая проблема с этой моделью управления доступом заключается в том, что если Джону требуется доступ к другим файлам, должен быть другой способ сделать это, поскольку роли связаны только с должностью; в противном случае менеджеры по безопасности из других организаций могут получить доступ к файлам, для которых они не авторизованы.

4. Контроль доступа на основе правил

Управление доступом на основе правил, также с аббревиатурой RBAC или RB-RBAC. Управление доступом на основе правил будет динамически назначать роли пользователям на основе критериев, определенных хранителем или системным администратором. Например, если кому-то разрешен доступ к файлам только в определенные часы дня, предпочтительным инструментом будет контроль доступа на основе правил.

Дополнительные «правила» контроля доступа на основе правил, требующие внедрения, могут потребоваться «запрограммировать» в сети хранителем или системным администратором в виде кода вместо «установки флажка».

5. Контроль доступа на основе атрибутов (ABAC)

Модель управления доступом на основе атрибутов (ABAC) часто называют более детализированной формой управления доступом на основе ролей, поскольку для получения доступа требуется несколько элементов. Эти атрибуты связаны с субъектом, объектом, действием и средой. Например, торговый представитель (субъект) может попытаться получить доступ к записи клиента (объекту), чтобы обновить информацию (действие) из своего офиса в рабочее время (среда).

Этот подход позволяет более точно настроить элементы управления доступом по сравнению с ролевым подходом. Например, мы можем запретить доступ на основе среды (например, времени суток) или действия (например, удаления записей). Недостатком является то, что может быть сложнее настроить и запустить эти элементы управления.

6. Управление доступом на основе рисков

Управление доступом на основе рисков — это модель динамического контроля доступа, которая определяет доступ на основе уровня оцененного риска, связанного с транзакцией. Одним из часто используемых примеров является определение профиля риска пользователя, выполняющего вход в систему. Если устройство, с которого выполняется вход, не распознано, это может повысить риск и потребовать дополнительной проверки подлинности. Если происходит действие, которое считается сопряженным с высоким риском, например попытка обновить банковскую информацию, это может вызвать дополнительные запросы, основанные на риске.

Одно из недавних исследований показало, что элементы управления на основе рисков менее раздражают пользователей, чем некоторые другие формы аутентификации. Например, двухфакторная аутентификация оказалась «значительно более громоздкой в использовании и значительно более излишне сложной по сравнению с условиями [проверенной аутентификации на основе рисков]».

Теперь давайте рассмотрим, как логически реализованы эти элементы управления.

Логические методы контроля доступа

Логический контроль доступа осуществляется с помощью списков управления доступом (ACL), групповых политик, паролей и ограничений учетных записей.

Списки управления доступом (ACL) — это разрешения, прикрепленные к объекту, такому как файл электронной таблицы, которые система будет проверять, чтобы разрешить или запретить управление этим объектом. Эти разрешения варьируются от полного контроля до «только для чтения» и «доступ запрещен». Когда дело доходит до различных операционных систем (например, Windows, Linux, Mac OS X), записи в ACL называются «запись управления доступом» или ACE и настраиваются с помощью четырех частей информации: идентификатора безопасности (SID ), маску доступа, флаг операций, которые можно выполнять над объектом, и другой набор флагов для определения унаследованных разрешений объекта. Итак, как видно, ACL обеспечивают детальное управление доступом к объектам. Однако они могут стать громоздкими, если изменения происходят часто и требуется управлять многими объектами.

Групповые политики являются частью среды Windows и позволяют централизованно управлять контролем доступа к сети компьютеров, используя службы каталогов Microsoft, называемые Active Directory. Это избавляет от необходимости ходить к каждому компьютеру и настраивать контроль доступа.Эти параметры хранятся в объектах групповой политики (GPO), что позволяет системному администратору удобно настраивать параметры. Несмотря на удобство, решительный хакер может обойти эти групповые политики и сделать жизнь системного администратора или хранителя невыносимой.

Пароли — это «наиболее распространенный логический элемент управления доступом… иногда называемый логическим токеном» (Ciampa, 2009). Однако, как говорится, они должны быть устойчивыми к взлому, чтобы обеспечить необходимый уровень контроля доступа. Если кто-то делает пароль легко угадываемым или использует слово из словаря, он может подвергнуться атакам грубой силы, атакам по словарю или другим атакам с использованием радужных таблиц. Имея это в виду, эксперты сходятся во мнении, что чем длиннее пароль, тем сложнее его взломать, при условии, что пользователь помнит его и использует при его создании множество различных символов и символов, не являющихся клавиатурой. Использование этой концепции также затрудняет взлом пароля хакером с использованием радужных таблиц. Наличие двухфакторной аутентификации (например, смарт-карты с паролем) может сделать вещи более безопасными, особенно с учетом прогресса технологий, когда взлом паролей занимает всего несколько секунд.

Регулярная установка исправлений, удаление или отключение ненужных учетных записей, защита паролем BIOS, обеспечение загрузки компьютера только с жесткого диска и запирание двери с компьютером за ней помогут защитить пароли.

Конечно, если не записывать пароль, это тоже поможет.

Ограничения учетной записи — это последний логический метод управления доступом в списке. Ciampa отмечает: «Двумя наиболее распространенными ограничениями для учетной записи являются ограничения по времени суток и срок действия учетной записи» (Ciampa, 2009). Ограничения по времени суток могут гарантировать, что пользователь будет иметь доступ к определенным записям только в определенные часы. Это позволит администраторам обновлять записи ночью без вмешательства других пользователей. Срок действия учетной записи необходим для того, чтобы неиспользуемые учетные записи больше не были доступны, чтобы хакеры не могли использовать их для какой-либо «грязной работы».

Типы контроля физического доступа

Физический контроль доступа использует физические барьеры, которые могут помочь предотвратить доступ неавторизованных пользователей к системам. Это также позволяет авторизованным пользователям получать доступ к системам с учетом физической безопасности. Этот тип контроля включает в себя обеспечение безопасности компьютера путем блокировки двери, через которую осуществляется доступ в систему, использование бумажного журнала доступа, осуществление видеонаблюдения с помощью замкнутого телевидения и, в экстремальных ситуациях, наличие «ловушек для людей».

Защита компьютера заключается в отключении оборудования, чтобы, если кто-то получит доступ, он не смог повредить компьютер из-за отключенных USB-портов, приводов CD или DVD или даже защищенного паролем BIOS. Опять же, это просто снижает риск загрузки вредоносного кода в систему и возможного его распространения на другие части сети.

Дверная безопасность может быть очень простой или может использовать электронные устройства, такие как врезные замки с ключом на двери, кодовые замки или физические жетоны. Замок с засовом с ключом такой же, как и для домашнего замка. Кодовый замок разрешает доступ только в том случае, если известен код для отпирания двери. Физические жетоны, как правило, состоят из идентификационного значка, который можно либо провести для доступа, либо вместо этого они могут содержать радиочастотную идентификационную метку (RFID), содержащую информацию, идентифицирующую человека, которому требуется доступ к двери.

Журналы доступа на бумаге распространены во многих местах для обеспечения физической безопасности. Это позволяет компании регистрировать человека, указав имя, компанию, номер телефона, время входа и время выхода. Он также может задокументировать сотрудника, который сопровождал человека во время его пребывания там. Бумажные журналы доступа, правильно заполненные, дополнят видеонаблюдение.

Видеонаблюдение по замкнутому телевидению позволяет записывать людей, проходящих через контрольно-пропускной пункт. Этот тип дверной безопасности позволяет наблюдать за людьми, проходящими через контрольно-пропускной пункт, а также дату и время, что может быть полезно при попытке поймать плохих парней. Видеонаблюдение также можно использовать в ловушках для людей.

Ловушки выводят безопасность дверей на новый уровень. Этот тип безопасности можно увидеть в военных и правительственных учреждениях при входе в зоны с очень высоким уровнем безопасности. Человек предъявляет свое удостоверение личности дежурному по безопасности, и дежурный разрешает человеку войти в первую дверь в комнату. Только в том случае, если удостоверение личности человека действительно, ему будет разрешено пройти через комнату и пройти через вторую дверь; если нет, то ловушка! Они могут выйти из комнаты, только вернувшись через первую дверь, в которую вошли.

Заключение

На сертификационном экзамене CISSP рассматриваются шесть моделей управления доступом, а также различные логические методы управления доступом и несколько типов физического контроля доступа. Ни одна модель или метод контроля доступа не совершенны; однако, если кто-то делает что-то для сдерживания злоумышленника, он может считать это успехом в практике информационной безопасности.

Метаморворкс / Getty Images

Кто должен иметь доступ к данным вашей компании? Как убедиться, что те, кто пытается получить доступ, действительно получили этот доступ? При каких обстоятельствах вы запрещаете доступ пользователю с правами доступа?

Чтобы эффективно защитить ваши данные, политика управления доступом вашей организации должна учитывать эти (и другие) вопросы. Далее следует руководство по основам контроля доступа: что это такое, почему это важно, каким организациям это нужно больше всего и с какими проблемами могут столкнуться специалисты по безопасности.

Что такое контроль доступа?

Контроль доступа — это способ гарантировать, что пользователи являются теми, за кого себя выдают, и что у них есть соответствующий доступ к данным компании.

На высоком уровне управление доступом – это выборочное ограничение доступа к данным. Он состоит из двух основных компонентов: аутентификации и авторизации, — говорит Дэниел Кроули, руководитель исследовательского отдела IBM X-Force Red, специализирующегося на безопасности данных.

Аутентификация – это метод, используемый для подтверждения того, что кто-то является тем, за кого себя выдает. Кроули отмечает, что аутентификации самой по себе недостаточно для защиты данных. Необходим дополнительный уровень, авторизация, который определяет, должен ли пользователь иметь доступ к данным или выполнять транзакцию, которую он пытается выполнить.

По словам Кроули, без аутентификации и авторизации нет безопасности данных. «При каждой утечке данных контроль доступа является одной из первых расследуемых политик, — отмечает Тед Вагнер, директор по информационной безопасности SAP National Security Services, Inc. там, где конфиденциальные данные были раскрыты через общедоступный веб-сервер, работающий с уязвимостью программного обеспечения, контроль доступа является ключевым компонентом. При неправильном внедрении или обслуживании результат может быть катастрофическим».

Любой организации, сотрудники которой подключены к Интернету, — другими словами, любой современной организации — необходим определенный уровень контроля доступа. «Это особенно актуально для компаний, сотрудники которых работают вне офиса и которым требуется доступ к корпоративным ресурсам и службам данных, — говорит Ави Чесла, генеральный директор компании empo, специализирующейся на кибербезопасности.

Иными словами, если ваши данные могут представлять какую-либо ценность для кого-то без надлежащего разрешения на доступ к ним, то вашей организации необходим строгий контроль доступа, – говорит Кроули.

Еще одна причина для строгого контроля доступа: майнинг доступа

Сбор и продажа дескрипторов доступа в даркнете становится все более серьезной проблемой. Например, в новом отчете Carbon Black описывается, как один ботнет для криптомайнинга, Smominru, добывал не только криптовалюту, но и конфиденциальную информацию, включая внутренние IP-адреса, информацию о домене, имена пользователей и пароли. Исследователи Carbon Black считают «весьма правдоподобным», что злоумышленник продал эту информацию на «рынке доступа» другим, которые затем могли запустить свои собственные атаки с помощью удаленного доступа.

Эти торговые площадки доступа «предоставляют киберпреступникам быстрый и простой способ приобрести доступ к системам и организациям. Эти системы можно использовать в качестве зомби в крупномасштабных атаках или в качестве отправной точки для целенаправленной атаки», — отмечают авторы отчета. . Единая торговая площадка доступа Ultimate Anonymity Services (UAS) предлагает 35 000 учетных данных по средней цене продажи 6,75 доллара США за учетную запись.

Исследователи Carbon Black считают, что киберпреступники будут чаще использовать рынки доступа и доступ к майнингу, потому что они могут быть для них «очень прибыльными». Риск для организации возрастает, если ее скомпрометированные учетные данные пользователя имеют более высокие привилегии, чем необходимо.

Политика управления доступом: ключевые моменты

Большинство специалистов по безопасности понимают, насколько важным для их организации является контроль доступа. Но не все согласны с тем, как следует обеспечивать контроль доступа, говорит Чесла. «Контроль доступа требует применения постоянных политик в динамичном мире без традиционных границ», — объясняет Чесла. Большинство из нас работают в гибридных средах, где данные перемещаются с локальных серверов или из облака в офисы, дома, гостиницы, автомобили и кафе с открытыми точками доступа Wi-Fi, что может затруднить контроль доступа.

«Риск усугубляется тем, что доступ доступен для все большего числа устройств, включая ПК, ноутбуки, смартфоны, планшеты, умные колонки и другие устройства Интернета вещей (IoT), — говорит Чесла. «Из-за такого разнообразия создание и обеспечение постоянства политик доступа является настоящей проблемой».

В прошлом методы управления доступом часто были статичными. «Сегодня доступ к сети должен быть динамичным и гибким, поддерживающим идентификацию и варианты использования на основе приложений», — говорит Чесла.

Продуманную политику управления доступом можно динамически адаптировать для реагирования на изменяющиеся факторы риска, что позволяет компании, подвергшейся взлому, «изолировать соответствующих сотрудников и ресурсы данных, чтобы свести к минимуму ущерб», – говорит он.

Предприятия должны гарантировать, что их технологии управления доступом «последовательно поддерживаются их облачными активами и приложениями, и что их можно плавно перенести в виртуальные среды, такие как частные облака», — советует Чесла. «Правила контроля доступа должны меняться в зависимости от фактора риска, а это означает, что организации должны развертывать уровни аналитики безопасности с использованием ИИ и машинного обучения, которые находятся поверх существующей сети и конфигурации безопасности. Им также необходимо выявлять угрозы в режиме реального времени и соответствующим образом автоматизировать правила контроля доступа».

4 типа контроля доступа

Организации должны определить подходящую модель управления доступом, чтобы принять ее, исходя из типа и конфиденциальности данных, которые они обрабатывают, — говорит Вагнер. Более старые модели доступа включают дискреционное управление доступом (DAC) и обязательное управление доступом (MAC), управление доступом на основе ролей (RBAC) является сегодня наиболее распространенной моделью, а самая последняя модель известна как управление доступом на основе атрибутов (ABAC).

Управление дискреционным доступом (DAC)

В моделях DAC решение о доступе принимает владелец данных. DAC — это средство назначения прав доступа на основе правил, заданных пользователями.

Обязательный контроль доступа (MAC)

MAC был разработан с использованием недискреционной модели, в которой людям предоставляется доступ на основе допуска к информации. MAC – это политика, в которой права доступа назначаются на основе правил центрального органа.

Управление доступом на основе ролей (RBAC)

RBAC предоставляет доступ на основе роли пользователя и реализует ключевые принципы безопасности, такие как "наименьшие привилегии" и "разделение привилегий". Таким образом, кто-то, пытающийся получить доступ к информации, может получить доступ только к тем данным, которые считаются необходимыми для его роли.

Контроль доступа на основе атрибутов (ABAC)

В ABAC каждому ресурсу и пользователю назначается ряд атрибутов, объясняет Вагнер. «В этом динамическом методе сравнительная оценка атрибутов пользователя, включая время суток, положение и местоположение, используется для принятия решения о доступе к ресурсу».

Организациям крайне важно решить, какая модель наиболее подходит для них, исходя из конфиденциальности данных и операционных требований к доступу к данным. В частности, организации, которые обрабатывают личную информацию (PII) или другие типы конфиденциальной информации, включая данные Закона о переносимости и подотчетности медицинского страхования (HIPAA) или контролируемой несекретной информации (CUI), должны сделать контроль доступа основной функцией своей архитектуры безопасности, Wagner советует.

Решения для контроля доступа

Ряд технологий может поддерживать различные модели управления доступом. По словам Вагнера, в некоторых случаях может потребоваться совместная работа нескольких технологий для достижения желаемого уровня контроля доступа.

«Реальность данных, распространяемых между поставщиками облачных услуг и приложениями SaaS и подключенных к традиционному сетевому периметру, диктует необходимость организации безопасного решения», — отмечает он. «Существует множество поставщиков, предлагающих решения для привилегированного доступа и управления идентификацией, которые можно интегрировать в традиционную структуру Active Directory от Microsoft. Многофакторная аутентификация может стать компонентом для дальнейшего повышения безопасности».

Почему авторизация остается проблемой

По словам Кроули, сегодня большинство организаций хорошо разбираются в аутентификации, особенно в связи с растущим использованием многофакторной аутентификации и аутентификации на основе биометрических данных (таких как распознавание лица или радужной оболочки глаза). В последние годы, когда громкие утечки данных привели к продаже украденных учетных данных паролей в темной сети, специалисты по безопасности более серьезно отнеслись к необходимости многофакторной аутентификации, добавляет он.

Авторизация по-прежнему является областью, в которой специалисты по безопасности «чаще ошибаются», — говорит Кроули. Для начала может быть сложно определить и постоянно отслеживать, кто получает доступ к каким ресурсам данных, как они должны иметь возможность доступа к ним и при каких условиях им предоставляется доступ. Но несогласованные или слабые протоколы авторизации могут создать бреши в безопасности, которые необходимо выявить и закрыть как можно быстрее.

Кстати, о мониторинге. Как бы ваша организация ни решила внедрить контроль доступа, за ним необходимо постоянно следить, — говорит Чесла, — как с точки зрения соответствия вашей корпоративной политике безопасности, так и с точки зрения работы, чтобы выявить любые потенциальные бреши в безопасности. «Вам следует периодически проводить анализ управления, рисков и соблюдения нормативных требований, — говорит он. «Вам необходимо регулярное сканирование уязвимостей для любого приложения, выполняющего ваши функции контроля доступа, и вы должны собирать и отслеживать журналы при каждом доступе на предмет нарушений политики».

В современных сложных ИТ-средах контроль доступа следует рассматривать как «живую технологическую инфраструктуру, которая использует самые сложные инструменты, отражает изменения в рабочей среде, такие как повышение мобильности, распознает изменения в используемых нами устройствах и присущие им риски. , и учитывает растущее движение к облаку», — говорит Чесла.

Дискреционный контроль доступа (DAC) —

DAC – это система управления доступом, которая назначает права доступа на основе правил, заданных пользователями. Принцип DAC заключается в том, что субъекты могут определять, кто имеет доступ к их объектам. Модель DAC использует преимущества использования списков управления доступом (ACL) и таблиц возможностей. Таблицы возможностей содержат строки с «субъектом» и столбцы с «объектом». Ядро безопасности в операционной системе проверяет таблицы, чтобы определить, разрешен ли доступ. Иногда субъект/программа может иметь доступ только для чтения файла; ядро безопасности гарантирует отсутствие несанкционированных изменений.

Реализация —

Эта популярная модель используется в некоторых из самых популярных операционных систем, таких как файловые системы Microsoft Windows.

Управление доступом на основе ролей (RBAC) —

RBAC, также известный как недискреционный контроль доступа, используется, когда системным администраторам необходимо назначать права на основе ролей в организации, а не отдельных учетных записей пользователей в организации. Это дает организации возможность реализовать принцип «наименьших привилегий». Это дает пользователю только тот доступ, который необходим для выполнения его работы, поскольку доступ связан с его работой.

Реализация-

Обязательный контроль доступа (MAC) —

Считается самым строгим из всех уровней систем контроля доступа. Разработка и внедрение MAC обычно используются правительством. Он использует иерархический подход для управления доступом к файлам/ресурсам. В среде MAC доступ к объектам ресурсов контролируется настройками, заданными системным администратором. Это означает, что доступ к объектам ресурсов контролируется операционной системой на основе того, что системный администратор настроил в настройках. Пользователи не могут изменить контроль доступа к ресурсу. MAC использует «метки безопасности» для назначения объектов ресурсов в системе. С этими метками безопасности связаны две части информации: классификация (высокий, средний, низкий) и категория (конкретный отдел или проект — обеспечивает «необходимо знать»). Каждой учетной записи пользователя также назначаются свойства классификации и категории. Эта система предоставляет пользователям доступ к объекту, если оба свойства совпадают. Если пользователь имеет высокую классификацию, но не входит в категорию объекта, то пользователь не может получить доступ к объекту. MAC является наиболее безопасным средством контроля доступа, но требует значительного объема планирования и высокого уровня управления системой из-за постоянного обновления объектов и меток учетных записей.

Реализация-

Вывод –

Управление доступом используется для предотвращения несанкционированного доступа к системным ресурсам. Внедрив системы контроля доступа, подходящие для вашей организации, вы сможете лучше управлять своими активами. Системы управления доступом DAC, RBAC и MAC — это модели, которые использовались для создания систем управления доступом, обеспечивающих надежность и безопасность. Компании с небольшими приложениями обнаружат, что DAC проще внедрить. Другие, располагающие строго конфиденциальной или конфиденциальной информацией, могут решить использовать системы RBAC или MAC.

Контроль доступа – это метод ограничения доступа к конфиденциальным данным. Только те, чья личность была подтверждена, могут получить доступ к данным компании через шлюз контроля доступа.

Каковы компоненты контроля доступа?

На высоком уровне управление доступом заключается в ограничении доступа к ресурсу. Любая система контроля доступа, физическая или логическая, состоит из пяти основных компонентов:

Аутентификация: действие, подтверждающее утверждение, например, личность человека или пользователя компьютера. Это может включать проверку документов, удостоверяющих личность, проверку подлинности веб-сайта с помощью цифрового сертификата или проверку учетных данных для входа в систему по сравнению с сохраненными данными.
Авторизация: функция указания прав доступа или привилегий к ресурсам. Например, сотрудники отдела кадров обычно имеют право доступа к записям сотрудников, и эта политика обычно оформляется как правила контроля доступа в компьютерной системе.
Доступ. После аутентификации и авторизации пользователь или компьютер может получить доступ к ресурсу.
Управление. Управление системой контроля доступа включает в себя добавление и удаление аутентификации и авторизации пользователей или систем. Некоторые системы будут синхронизироваться с G Suite или Azure Active Directory, что упростит процесс управления.
Аудит: часто используется как часть контроля доступа для обеспечения соблюдения принципа наименьших привилегий. Со временем пользователи могут получить доступ, который им больше не нужен, например. когда они меняются ролями. Регулярные проверки минимизируют этот риск.

Как работает контроль доступа?

Управление доступом можно разделить на две группы, предназначенные для повышения физической или кибербезопасности:

Контроль физического доступа: ограничивает доступ к университетским городкам, зданиям и другим физическим объектам, например. бесконтактная карта, чтобы открыть дверь.
Логический контроль доступа: ограничивает доступ к компьютерам, сетям, файлам и другим конфиденциальным данным, например. имя пользователя и пароль.

Например, организация может использовать электронную систему управления, которая использует учетные данные пользователя, считыватели карт доступа, внутреннюю связь, аудит и отчетность, чтобы отслеживать, какие сотрудники имеют доступ и имеют доступ к ограниченному центру обработки данных. Эта система может включать в себя панель управления доступом, которая может ограничивать вход в отдельные помещения и здания, а также звуковую сигнализацию, инициировать процедуры блокировки и предотвращать несанкционированный доступ.

Эта система управления доступом может аутентифицировать личность человека с помощью биометрических данных и проверять, авторизованы ли они, сверяясь с политикой управления доступом или с помощью брелка, пароля или персонального идентификационного номера (ПИН), введенного на клавиатуре.

Другое решение для управления доступом может использовать многофакторную аутентификацию, пример системы глубокоэшелонированной защиты, где человеку требуется что-то знать (пароль), быть чем-то (биометрия) и иметь что-то (двухфакторная аутентификация). код из мобильного приложения для смартфона).

Как правило, программное обеспечение для контроля доступа идентифицирует человека (или компьютер), проверяет, является ли оно тем, за кого себя выдает, разрешает ему иметь необходимый уровень доступа, а затем сохраняет его действия по имени пользователя, IP-адресу или другой системе аудита. при необходимости помочь с цифровой криминалистикой.

Почему важен контроль доступа?

Контроль доступа сводит к минимуму риск санкционированного доступа к физическим и компьютерным системам, формируя фундаментальную часть информационной безопасности, безопасности данных и сетевой безопасности.

В зависимости от вашей организации контроль доступа может быть нормативным требованием:

PCI DSS. Требование 9 обязывает организации ограничивать физический доступ в свои здания для персонала, посетителей и СМИ, а также иметь адекватные логические средства контроля доступа для снижения риска кибербезопасности, связанного с кражей конфиденциальных данных злоумышленниками. Требование 10 требует, чтобы организации использовали решения безопасности для отслеживания и мониторинга своих систем с возможностью аудита.
HIPAA: Правило безопасности HIPAA требует от организаций, на которые распространяется действие страховки, и их деловых партнеров предотвращать несанкционированное раскрытие защищенной медицинской информации (PHI), включая использование физического и электронного контроля доступа.
SOC 2. Процедура аудита обязывает сторонних поставщиков и поставщиков услуг управлять конфиденциальными данными, чтобы предотвратить утечку данных и защитить конфиденциальность сотрудников и клиентов. Компании, которые хотят получить гарантию SOC 2, должны использовать форму контроля доступа с двухфакторной аутентификацией и шифрованием данных. Обеспечение SOC 2 особенно важно для организаций, обрабатывающих личную информацию (PII).
ISO 27001: стандарт информационной безопасности, требующий от руководства систематического изучения векторов атак организации и аудита всех киберугроз и уязвимостей. Также требуется комплексный набор протоколов снижения рисков или передачи для обеспечения постоянной информационной безопасности и непрерывности бизнеса.

Какие существуют типы контроля доступа?

Управление доступом на основе атрибутов (ABAC): системы управления доступом, в которых доступ предоставляется не на правах пользователя после аутентификации, а на основе атрибутов. Конечный пользователь должен подтвердить так называемые заявления об их атрибутах механизму управления доступом. Политика управления доступом на основе атрибутов указывает, какие требования должны быть удовлетворены, чтобы предоставить доступ к ресурсу. Например, в заявлении может быть указано, что возраст пользователя старше 18 лет, и любой пользователь, который сможет доказать это утверждение, получит доступ. В ABAC не всегда необходимо аутентифицировать или идентифицировать пользователя, достаточно лишь того, чтобы у него был соответствующий атрибут.
Управление дискреционным доступом (DAC): управление доступом, при котором владельцы или администраторы защищенной системы, данных или ресурса устанавливают политики, определяющие, кто или что имеет право доступа к ресурсу. Эти системы полагаются на администраторов, чтобы ограничить распространение прав доступа. Системы DAC критикуют за отсутствие централизованного управления.
Обязательный контроль доступа (MAC). Права доступа регулируются центральным органом на основе нескольких уровней безопасности. MAC распространен в правительственных и военных средах, где системным ресурсам назначаются классификации, а операционная система или ядро безопасности разрешают или запрещают доступ в зависимости от уровня допуска пользователя или устройства. Им сложно управлять, но его использование оправдано при использовании для защиты особо важных данных. : в RBAC система доступа определяет, кто может получить доступ к ресурсу, а не владельца. RBAC распространен в коммерческих и военных системах, где могут существовать многоуровневые требования безопасности. RBAC отличается от DAC тем, что DAC позволяет пользователям контролировать доступ, в то время как в RBAC доступ контролируется на системном уровне, вне контроля пользователя. RBAC можно отличить от MAC прежде всего тем, как он обрабатывает разрешения. MAC управляет разрешениями на чтение и запись на основе уровня доступа пользователя/устройства, в то время как RBAC управляет набором разрешений, которые могут включать сложные операции, такие как транзакции по кредитным картам, или могут быть такими простыми, как чтение или запись. Обычно RBAC используется для ограничения доступа на основе бизнес-функций, например. инженеры, отдел кадров и отдел маркетинга имеют доступ к различным продуктам SaaS. Прочтите наше полное руководство по RBAC здесь.
Управление доступом на основе правил. Модель безопасности, в которой администратор определяет правила, регулирующие доступ к ресурсу. Эти правила могут основываться на таких условиях, как время суток и местоположение. Нередко некоторые формы контроля доступа на основе правил и контроля доступа на основе ролей работают вместе.
Управление доступом в режиме разбитого стекла. Традиционное управление доступом предназначено для ограничения доступа, поэтому большинство моделей управления доступом следуют принципу наименьших привилегий и принципу отказа по умолчанию. Такое поведение может конфликтовать с работой системы. В определенных ситуациях люди готовы пойти на риск, связанный с нарушением политики управления доступом, если потенциальная выгода от доступа в реальном времени перевешивает риски. Эта необходимость очевидна в сфере здравоохранения, где отсутствие доступа к записям пациентов может привести к смерти.

Подвержен ли ваш бизнес риску нарушения безопасности?

UpGuard также поддерживает соответствие множеству систем безопасности, включая новые требования, установленные Исполнительным указом Байдена о кибербезопасности.

Читайте также: