Каковы преимущества дискреционного метода защиты файлов перед обязательным методом

Обновлено: 04.07.2024

Что такое дискреционный контроль доступа?

Согласно критериям оценки доверенных компьютеров, дискреционный контроль доступа — это «средство ограничения доступа к объектам на основе личности субъектов и/или групп, к которым они принадлежат. Элементы управления являются дискреционными в том смысле, что субъект с определенным разрешением на доступ может передать это разрешение (возможно, косвенно) любому другому субъекту (если только это не ограничено обязательным контролем доступа)».

Устройства DAC (дискретный контроль доступа) используют процедуры идентификации пользователя для идентификации и ограничения доступа к объектам. Учетные данные аутентификации, такие как имя пользователя и пароль, проверяются перед предоставлением доступа. Этот тип управления доступом очень гибок с точки зрения управления данными. Это дает вам возможность настраивать политики доступа для каждого конечного пользователя. Доступ читается и записывается для каждого пользователя с использованием одного файла.

Возможности дискреционного контроля доступа

Некоторые функции дискреционного контроля доступа включают:

Гибкость

Системы дискреционного контроля доступа позволяют пользователям индивидуально настраивать свои политики доступа. Примером дискреционного контроля доступа является определение последнего человека, который будет иметь доступ к вашим ресурсам или пространству.

Простота управления

Все сети подключены к центральному устройству. С этого централизованного устройства пользователи генерируют политики безопасности для определения входа. Эта система безопасности также позволяет легко контролировать точки доступа. Это делается с помощью устройств DAC, таких как карты-ключи, чтобы разрешить и контролировать доступ к определенному месту в организации.

Резервное копирование

Для организаций, которые интегрируют элементы управления доступом в свою систему безопасности, резервное копирование по расписанию имеет жизненно важное значение. Дискреционный контроль доступа позволяет организациям создавать резервные копии политик безопасности и данных для обеспечения эффективных точек доступа. Это также важно для предотвращения потери информации в результате сбоя сервера.

Удобство использования

Дискретный контроль доступа прост в использовании. Это позволяет легко контролировать и предоставлять разрешения для каждой точки доступа. Сложность управления доступом сведена к минимуму для лучшего управления сетевыми ресурсами.

Отзывы о лучших брендах систем контроля доступа

Преимущества дискреционного контроля доступа

Некоторые преимущества дискреционного контроля доступа включают:

Безопасность данных

Дискретный контроль доступа сводит к минимуму риски безопасности. Он создает брандмауэр против атак вредоносных программ и несанкционированного доступа, устанавливая протокол безопасности с высокой степенью шифрования, который необходимо обойти, прежде чем будет предоставлен доступ. Это еще больше повышает надежность организации.

Минимизирует административные обязательства

Организация не может вручную отслеживать каждую попытку доступа в свою сеть. Это было бы большой утечкой времени и денег для бизнеса или организации. Дискреционный контроль доступа автоматизирует систему охранного наблюдения. Точки доступа отслеживаются с централизованной платформы для проверки и аутентификации лиц, пытающихся получить доступ к важным файлам.

Настраиваемый

Тип управления доступом DAC предлагает гибкий подход к аутентификации и авторизации. Владелец файлов, компьютеров и ресурсов может настроить политику разрешений для каждого пользователя так, как он предпочитает. Таким образом, они могут назначать права доступа каждому пользователю таким образом, который наиболее эффективен для их конкретной сети.

Быстрая аутентификация

В отличие от ручного контроля и аутентификации доступа, аутентификация DAS выполняется за считанные секунды. Ручное управление требует много времени для выполнения. Система DAC автоматизирует всю сеть таким образом, что оценка, проверка и авторизация или отказ в доступе занимает всего несколько секунд.

Эффективность

Протокол безопасности является отказоустойчивым. Компоненты структурированы наиболее эффективным образом для контроля и ограничения доступа. Устройства DAS достаточно инновационны, чтобы справляться с попытками взломать их и проникнуть в несанкционированные зоны организации.

Минимизирует затраты

Этот тип управления доступом также экономичен, так как сокращает количество ресурсов, используемых для контроля сети организации. Когда точки доступа регулируются, это требует больше ресурсов. Дискреционный контроль доступа автоматизирует точки доступа и позволяет управлять ими из централизованной системы управления протоколами доступа.

Дискретная точка доступа — это инновационный протокол безопасности, обеспечивающий высокий уровень безопасности сетей передачи данных организаций. Минимизация затрат на администрирование, быстрая проверка подлинности, простота использования и настраиваемые функции, которыми он может воспользоваться для организаций, делают его высокоэффективным инструментом контроля доступа.

Бернхард Мел

Бернхард — соучредитель и генеральный директор Kisi. Его философия "безопасность — это круто" заразительна для технологических компаний.

Домен 5: Управление идентификацией и доступом (Контроль доступа и управление идентификацией)

Эрик Конрад, . Джошуа Фельдман, учебное пособие CISSP (третье издание), 2016 г.

Управление дискреционным доступом (DAC)

Управление дискреционным доступом (DAC) предоставляет субъектам полный контроль над объектами, которые они создали или к которым им был предоставлен доступ, включая совместное использование объектов с другими субъектами. Субъекты наделены полномочиями и контролируют свои данные. Стандартные операционные системы UNIX и Windows используют DAC для файловых систем: субъекты могут предоставлять другим субъектам доступ к своим файлам, изменять их атрибуты, изменять или удалять их.

Если субъект совершает ошибку, например, прикрепляет неправильный файл к электронному письму, отправленному в общедоступный список рассылки, это может привести к потере конфиденциальности. Ошибки и злонамеренные действия также могут привести к потере целостности или доступности данных.

Сбор информации

Дискретный контроль доступа

Дискреционный контроль доступа (DAC) изначально определялся Критериями оценки доверенных компьютерных систем (TCSEC) как «средство ограничения доступа к объектам на основе личности субъектов и/или групп, к которым они принадлежат. Элементы управления являются дискреционными в том смысле, что субъект с определенным разрешением на доступ может передать это разрешение (возможно, косвенно) любому другому субъекту (если только это не ограничено обязательным контролем доступа)».

На практике использование этой терминологии не столь однозначно. В самой строгой интерпретации у каждого объекта, управляемого DAC, должен быть владелец, который контролирует разрешения, разрешающие доступ к объекту. Хотя многие современные операционные системы поддерживают концепцию владельца, она не всегда реализуется. В частности, стандарт не распространяется на «владельцев», оставляя проблематичное определение, когда возникает групповое владение.

Что такое федеративное удостоверение?

Деррик Раунтри, Federated Identity Primer, 2013 г.

2.3.2 Дискреционный контроль доступа

DAC основан на списках управления доступом (ACL). ACL перечисляет, какие пользователи имеют доступ к объекту и что они могут делать с этим объектом. В ACL перечислены пользователи и разрешения. Вы специально предоставляете или отказываете в разрешениях.

Системы MAC используют более распределенную административную архитектуру. В модели MAC доступ определяется владельцем объекта. Таким образом, если вы являетесь владельцем объекта, у вас есть полный контроль над определением того, кто еще может получить доступ к этому объекту.

В большинстве операционных систем ПК используется модель MAC. На рис. 2.3 показан пример из системы Windows 8. Вы можете увидеть ACL для одной из папок в системе.

< бр />

Рис. 2.3 . Окно разрешений папки Windows 8.

Системами DAC обычно легче управлять, чем системами MAC. Ненадежная административная модель ложится меньшим бременем на администратора. Администратор не несет ответственности за настройку разрешений для каждой системы.

Системы DAC могут быть немного менее безопасными, чем системы MAC. Отчасти это связано с распределенной моделью управления. Поскольку администратор не контролирует доступ ко всем объектам, возможно, что разрешения могут быть установлены неправильно, что может привести к утечке информации. Администратор может обойти это, настроив группу систем, которыми будет управлять только администратор. Эти системы можно использовать для хранения более конфиденциальной информации.

Введение в общие концепции безопасности

Дискреционный контроль доступа (DAC)

Дискреционный контроль доступа основан на списках контроля доступа (ACL). ACL перечисляет, какие пользователи имеют доступ к объекту и что они могут делать с объектом. В ACL будут перечислены пользователи и разрешения. Вы можете дать разрешения или специально запретить разрешения.

В большинстве операционных систем ПК используется модель MAC. На рис. 1.11 показан пример из системы Windows 7. Вы можете увидеть список контроля доступа для одной из папок в системе.

< бр />

Рисунок 1.11. Окно разрешений папки Windows 7.

Системы DAC могут быть немного менее безопасными, чем системы MAC.Отчасти это связано с распределенной моделью управления. Поскольку администратор не контролирует доступ ко всем объектам, возможно, что разрешения могут быть установлены неправильно, что может привести к утечке информации. Администратор может обойти это, настроив группу систем, которыми будет управлять только администратор. Эти системы можно использовать для хранения более конфиденциальной информации.

Авторизация и контроль доступа

Методологии контроля доступа

Управление доступом — это средства, с помощью которых мы реализуем авторизацию и запрещаем или разрешаем доступ сторонам в зависимости от того, к каким ресурсам, по нашему определению, им должен быть разрешен доступ. Хотя этот термин может показаться очень техническим и ориентированным на вычислительные средства с высоким уровнем безопасности, контроль доступа — это то, с чем мы сталкиваемся ежедневно.

Когда мы запираем или отпираем двери в нашем доме, мы используем форму физического контроля доступа, основанную на ключах (которые у вас есть), которые мы используем.

Когда мы заводим машину, мы также, вероятно, используем ключ. Для некоторых новых автомобилей наш ключ может даже включать дополнительный уровень безопасности за счет добавления меток радиочастотной идентификации (RFID), идентификаторов, подобных сертификатам, хранящихся в самом ключе, и других технологий безопасности.

Добравшись до места работы, мы можем использовать значок или ключ (что-то, что у вас есть), чтобы войти в здание, опять же, физический контроль доступа.

Когда мы садимся перед нашим компьютером на работе и вводим свой пароль (что-то, что вы знаете), мы аутентифицируемся и используем логическую систему управления доступом для доступа к ресурсам, на которые нам было дано разрешение. В зависимости от среды, через которую мы проходим в процессе работы, посещения школы и выполнения других действий, составляющих наш день, мы можем в большей или меньшей степени подвергаться контролю доступа, но большинство из нас видят несколько реализаций, подобных этим, на одном компьютере. регулярно.

Модели управления доступом

Существует довольно много различных моделей управления доступом, с которыми мы можем столкнуться в различных средах, к которым мы ежедневно обращаемся. Здесь мы рассмотрим наиболее распространенные модели. Наиболее вероятный набор, с которым мы столкнемся в мире безопасности, включает дискреционный контроль доступа, обязательный контроль доступа, контроль доступа на основе правил, контроль доступа на основе ролей и контроль доступа на основе атрибутов.

Дискретный контроль доступа

Дискреционный контроль доступа (DAC) – это модель контроля доступа, основанная на том, что доступ определяется владельцем рассматриваемого ресурса. Владелец ресурса может решать, у кого есть доступ, а у кого нет, и какой именно доступ им разрешен. В операционных системах Microsoft мы видим реализованный DAC. Например, если мы решим создать сетевую папку, мы сами решим, кому разрешить доступ.

Обязательный контроль доступа

Обязательный контроль доступа (MAC) – это модель управления доступом, при которой владелец ресурса не решает, кто получит к нему доступ, а вместо этого доступ определяется группой или отдельным лицом, имеющим полномочия устанавливать доступ. на ресурсы. Мы часто можем встретить MAC, реализованный в государственных организациях, где доступ к данному ресурсу в значительной степени определяется применяемой к нему меткой конфиденциальности (секретно, совершенно секретно и т. д.), уровнем конфиденциальной информации, к которой разрешен доступ человеку (возможно только секрет) и тем, действительно ли человеку нужен доступ к ресурсу, как мы обсуждали, когда говорили о принципе наименьших привилегий ранее в этой главе.

Информационная безопасность

Дискретный контроль доступа

Дискреционный контроль доступа — наиболее распространенная модель контроля доступа. Эта модель основывает безопасность на личности субъекта управления доступом. К каждому субъекту управления доступом применяются определенные разрешения, и на основе этих разрешений он имеет определенный уровень полномочий.

Эта модель управления доступом называется дискреционной, поскольку отдельные пользователи или приложения могут задавать требования к управлению доступом к определенным объектам управления доступом, которыми они владеют. Кроме того, разрешение на изменение этих требований к управлению доступом также может быть делегировано. Поскольку назначение разрешений на управление доступом к объекту управления доступом не является обязательным, сама модель управления доступом считается дискреционной. По сути, владельцу объекта управления доступом разрешено решать, как он хочет, чтобы его данные были защищены или разделены. Основное использование DAC заключается в том, чтобы ограничить доступ к определенным объектам управления доступом пользователей, которым не разрешен доступ к ним. Системный администратор или конечный пользователь полностью контролирует назначение этих разрешений и может изменять их по своему усмотрению.

DAC позволяет использовать распределенную систему управления доступом, поскольку владелец объекта управления доступом имеет возможность изменять разрешение на управление доступом к объектам независимо от центрального органа.Кроме того, централизованные системы контроля доступа могут использоваться как единая авторитетная точка авторизации с разрешениями, которые по-прежнему применяются на уровне объекта. Возможность использования различных типов систем контроля доступа в этой модели обеспечивает большую гибкость.

Как упоминалось ранее, это очень распространенная модель управления доступом. Он используется в UNIX, Windows, Linux и многих других сетевых операционных системах. Эти системы используют список управления доступом (ACL) для установки разрешений на объекты управления доступом. Эти ACL в основном представляют собой список идентификаторов пользователей или групп с соответствующим уровнем разрешений. Каждый объект управления доступом имеет ACL, даже если он остается по умолчанию после создания объекта. Системы различаются по способу определения разрешений в ACL и по тому, как работает общий контроль доступа в операционной системе, базе данных, сетевом устройстве или приложении.

Управление доступом

Дискретный контроль доступа

Дискреционный контроль доступа (DAC), также известный как права доступа к файлам, представляет собой контроль доступа в системах Unix и Linux. Всякий раз, когда вы видели синтаксис drwxr-xs-x, это аббревиатура ugo для владельца, группы и других разрешений в списке каталогов. Ugo — это аббревиатура для пользовательского доступа, группового доступа и доступа других системных пользователей соответственно. Эти права доступа к файлам настроены так, чтобы разрешать или запрещать доступ членам их собственной группы или любых других групп. Модификация файла, каталога и устройств осуществляется с помощью команды chmod. Таблицы 11.1 и 11.2 иллюстрируют синтаксис для назначения или удаления разрешений. Разрешения могут быть назначены с использованием символьного формата:

Таблица 11.1. Нотация для добавления, удаления доступа и явного назначения доступа.

Таблица 11.2. Обозначение прав доступа к файлам.

r	Разрешение на чтение файла
r	Разрешение на чтение каталога (также требуется 'x')
w	Разрешение на удаление или изменение файла
w	Разрешение на удаление или изменение файлов в каталоге
x	Разрешение на выполнение файла/скрипта
x	Разрешение на чтение каталога (также требуется ' r')
s	Установить идентификатор пользователя или группы при выполнении
u	Разрешения, предоставленные пользователю, которому принадлежит файл
t< /em>	Установить закрепленный бит. Выполнить файл/скрипт от имени пользователя root для обычного пользователя

Chmod [ugoa] [+−=] [rwxXst] fileORdirectoryName

В DAC обычно владелец ресурса контролирует доступ к ресурсам. Каждый администрировал систему, в которой они решили дать полные права всем, чтобы меньше управлять. Проблема с этим подходом заключается в том, что пользователям разрешено не только читать, записывать и выполнять файлы, но и удалять любые файлы, к которым у них есть доступ. Этот автор так часто видел системные файлы, удаленные пользователями по ошибке или просто по незнанию пользователя. Это тот случай, когда DAC можно рассматривать как недостаток или менее выгодно.

Анализ безопасности контроля доступа к медицинским записям в облаке

Управление дискреционным доступом (DAC) для электронных медицинских карт

DAC – это первая из политик, обсуждаемых в этом разделе. Это зависит от особенностей клиента, а также от характерных ассоциаций. Право входа обычно основывается на одобренной клиентом проверке, которая, в свою очередь, основана на классах, отправленных на утверждение, и на личности контроллера, который выбирает, одобрять или отказывать в доступе к приложению. Владелец объекта изображает тему, которая может передать объект, так что полное использование элемента может быть выбрано администратором объекта [11,13]. Этот вид контроля доступа, как правило, менее безопасен, чем обязательный контроль доступа, хотя это хорошо известная структура в операционных системах организации. Хотя он менее безопасен, он прост в использовании и более универсален, чтобы соответствовать ситуациям, которые не требуют серьезного состояния предметов. Структура ЦАП показана на рис.4. Наиболее важным элементом, который может вызвать проблемы в системе, является то, что владелец может передать свою должность кому-то другому.

Рис. 4 . Модель ЦАП для ЭУЗ.

Утечка данных — это еще одна проблема, связанная с тем, что политики управления разрешаются требованиями владельца без проверки данных пользователей и не распознаются статьи или предметные области. Этот контроль доступа зависит от клиента или управления сбором.Назначая клиентам разрешения и ограничения, а не урезав одного пользователя, он характеризует группы, которые контролируются владельцем, и вводит в них определенные полномочия и ограничения. Это обстоятельство может вызвать подлинную утечку безопасности в ситуации, в которой владелец не зависит.

Термин Контроль доступа является двусмысленным. Для некоторых это может быть истолковано как управление доступом к системе из внешнего источника (например, управление процессом входа в систему, посредством которого пользователи получают доступ к серверу или настольной системе). На самом деле такое управление доступом на самом деле называется аутентификацией или подтверждением личности и не является тем, что подразумевается под управлением доступом в данном контексте (аутентификация подробно рассматривается в главе «Аутентификация и проверка личности» этой книги).

Термин Контроль доступа на самом деле относится к контролю над доступом к системным ресурсам после аутентификации учетных данных и личности пользователя и предоставления доступа к системе. Например, конкретному пользователю или группе пользователей может быть разрешен доступ к определенным файлам только после входа в систему, но одновременно ему может быть отказано в доступе ко всем другим ресурсам.

Обязательный контроль доступа

Обязательный контроль доступа (MAC) является самым строгим из всех уровней контроля. Структура MAC была определена и в основном используется правительством.

MAC использует иерархический подход к управлению доступом к ресурсам. В принудительной среде MAC доступ ко всем объектам ресурсов (таким как файлы данных) контролируется настройками, заданными системным администратором. Таким образом, весь доступ к объектам ресурсов строго контролируется операционной системой на основе параметров, настроенных системным администратором. При принудительном использовании MAC пользователи не могут изменить контроль доступа к ресурсу.

Обязательный контроль доступа начинается с меток безопасности, назначаемых всем объектам ресурсов в системе. Эти метки безопасности содержат две части информации — классификацию (совершенно секретно, конфиденциально и т. д.) и категорию (которая, по сути, является указанием уровня управления, отдела или проекта, которому доступен объект).

Аналогичным образом каждая учетная запись пользователя в системе также имеет свойства классификации и категории из того же набора свойств, которые применяются к объектам ресурсов. Когда пользователь пытается получить доступ к ресурсу под Мандатным контролем доступа, операционная система проверяет классификацию и категории пользователя и сравнивает их со свойствами метки безопасности объекта. Если учетные данные пользователя соответствуют свойствам метки безопасности MAC, доступ к объекту разрешен. Важно отметить, что как классификация, так и категории должны совпадать. Например, пользователь с классификацией «совершенно секретно» не может получить доступ к ресурсу, если он также не является членом одной из обязательных категорий для этого объекта.

Обязательный контроль доступа — безусловно, самая безопасная среда контроля доступа, но она не бесплатна. Во-первых, MAC требует значительного объема планирования, прежде чем его можно будет эффективно внедрить. После его внедрения также возникают высокие накладные расходы на управление системой из-за необходимости постоянно обновлять метки объектов и учетных записей для учета новых данных, новых пользователей и изменений в категоризации и классификации существующих пользователей.

Дискретный контроль доступа

В отличие от обязательного контроля доступа (MAC), при котором доступ к системным ресурсам контролируется операционной системой (под контролем системного администратора), дискреционный контроль доступа (DAC) позволяет каждому пользователю контролировать доступ к своим данным. DAC обычно является механизмом управления доступом по умолчанию для большинства настольных операционных систем.

Вместо метки безопасности в случае MAC каждый ресурсный объект в системе на основе DAC имеет связанный с ним список управления доступом (ACL). ACL содержит список пользователей и групп, к которым пользователь разрешил доступ, а также уровень доступа для каждого пользователя или группы. Например, Пользователь A может предоставить доступ только для чтения к одному из своих файлов Пользователю B, доступ для чтения и записи к тому же файлу Пользователю C и полный доступ для любого пользователя, принадлежащего к Группе 1.

Важно отметить, что в DAC пользователь может устанавливать права доступа только к тем ресурсам, которыми он уже владеет. Таким образом, гипотетический Пользователь A не может изменить контроль доступа к файлу, принадлежащему Пользователю B. Однако пользователь A может устанавливать разрешения на доступ к файлу, которым он владеет. В некоторых операционных системах системный или сетевой администратор также может указать, какие разрешения пользователям разрешено устанавливать в списках управления доступом к своим ресурсам.

Дискреционный контроль доступа обеспечивает гораздо более гибкую среду, чем обязательный контроль доступа, но также увеличивает риск того, что данные будут доступны для пользователей, которым не обязательно должен предоставляться доступ.

Управление доступом на основе ролей

Управление доступом на основе ролей (RBAC), также известное как Недискреционное управление доступом, использует реальный подход к структурированию управления доступом. Доступ в рамках RBAC основан на должностных обязанностях пользователя в организации, которой принадлежит компьютерная система.

По сути, RBAC назначает разрешения определенным ролям в организации. Затем пользователям назначается эта конкретная роль. Например, бухгалтеру в компании будет назначена роль Бухгалтер, которая получит доступ ко всем ресурсам, разрешенным для всех бухгалтеров в системе. Точно так же инженер-программист может быть назначен на роль разработчика.

Роли отличаются от групп тем, что хотя пользователи могут принадлежать к нескольким группам, пользователю в рамках RBAC может быть назначена только одна роль в организации. Кроме того, невозможно предоставить отдельным пользователям дополнительные разрешения сверх тех, которые доступны для их роли. Описанный выше бухгалтер получает те же права, что и все остальные бухгалтеры, ни больше, ни меньше.

Контроль доступа на основе правил

Управление доступом на основе правил (RBAC) вводит двусмысленность аббревиатуры за счет использования той же четырехбуквенной аббревиатуры (RBAC), что и управление доступом на основе ролей.

В рамках управления доступом на основе правил доступ разрешается или запрещается к объектам ресурсов на основе набора правил, определенных системным администратором. Как и в случае с дискретным контролем доступа, свойства доступа хранятся в списках контроля доступа (ACL), связанных с каждым ресурсным объектом. Когда конкретная учетная запись или группа пытается получить доступ к ресурсу, операционная система проверяет правила, содержащиеся в ACL для этого объекта.

Примеры управления доступом на основе правил включают такие ситуации, как разрешение доступа для учетной записи или группы к сетевому соединению в определенные часы дня или дни недели.

Как и в случае с MAC, пользователи не могут изменить контроль доступа. Все права доступа контролируются исключительно системным администратором.

Контроль доступа — один из важнейших методов обеспечения кибербезопасности. Тщательная настройка прав доступа пользователей помогает защитить конфиденциальные данные и снижает вероятность успешной атаки.

Однако выбрать подходящую модель управления доступом может быть непросто. В одном из наших предыдущих постов мы рассмотрели модели управления доступом на основе ролей и атрибутов. В этом посте мы обсудим определения, реализации и варианты использования обязательных и дискреционных моделей управления доступом. Мы также сравниваем два подхода к выбору одного над другим.

Почему важен контроль доступа?

Управление доступом определяет, какие пользователи, приложения и устройства могут просматривать, редактировать, добавлять и удалять ресурсы в среде организации. Контроль доступа — один из ключевых методов защиты конфиденциальных данных от кражи, неправомерного использования, злоупотреблений и любых других угроз. Существует два уровня контроля доступа: физический и логический.

Контроль доступа помогает нейтрализовать как внутренние, так и внешние угрозы. Вот почему правила и стандарты ИТ — NIST, HIPAA, PCI DSS и другие — предусматривают строгие меры физического и логического контроля доступа. В этой статье мы обсуждаем модели логического управления доступом.

Существует несколько логических моделей управления доступом: обязательная, дискреционная, основанная на ролях, основанная на атрибутах и т. д. Процесс выбора и развертывания модели управления доступом выглядит по-разному для каждой организации. Этот выбор зависит от:

Характер защищенных данных

ИТ-требования и отраслевые стандарты

Количество сотрудников

Бюджет кибербезопасности

Давайте узнаем, когда использовать обязательные и дискреционные модели управления доступом.

Что такое обязательный контроль доступа?

Обязательный контроль доступа (MAC) – это модель управления доступом, при которой операционная система предоставляет пользователям доступ на основе конфиденциальности данных и уровней допуска пользователей. В этой модели доступ предоставляется по мере необходимости: пользователи должны доказать потребность в информации, прежде чем получить доступ.

MAC считается самой безопасной из всех моделей контроля доступа. Правила доступа определяются вручную системными администраторами и строго соблюдаются операционной системой или ядром безопасности. Обычные пользователи не могут изменять атрибуты безопасности даже для данных, которые они создали.

При использовании MAC процесс получения доступа выглядит следующим образом:

Администратор настраивает политики доступа и определяет атрибуты безопасности: уровни конфиденциальности, разрешения на доступ к различным проектам и типам ресурсов.

Администратор назначает каждому субъекту (пользователю или ресурсу, который обращается к данным) и объекту (файл, база данных, порт и т. д.) набор атрибутов.

Когда субъект пытается получить доступ к объекту, операционная система проверяет атрибуты безопасности субъекта и решает, можно ли предоставить доступ.

Для примера рассмотрим данные с уровнем конфиденциальности «совершенно секретно» и грифом безопасности «инженерный проект». Он доступен группе пользователей, имеющих допуск «совершенно секретно» и разрешение на доступ к инженерным документам. Такие пользователи также могут получить доступ к информации, которая требует более низкого уровня допуска. Но сотрудники с более низким уровнем допуска не будут иметь доступа к информации, требующей более высокого уровня допуска

MAC дает системе кибербезопасности множество преимуществ. Но у него есть несколько недостатков, которые следует учитывать.

Плюсы и минусы MAC

Высокий уровень защиты данных. Администратор определяет доступ к объектам, и пользователи не могут изменить этот доступ.

Гранулярный — администратор устанавливает права доступа пользователей и параметры доступа к объектам вручную.

Невосприимчивость к атакам троянских коней: пользователи не могут рассекретить данные или поделиться доступом к секретным данным.

Удобство обслуживания. Ручная настройка уровней безопасности и разрешений требует постоянного внимания со стороны администраторов.

Масштабируемость — MAC не масштабируется автоматически.

Неудобно для пользователя: пользователям приходится запрашивать доступ к каждому новому фрагменту данных; они не могут настраивать параметры доступа к своим данным.

Когда использовать MAC

MAC используется правительством США для защиты секретной информации и поддержки многоуровневых политик безопасности и приложений. Эта модель контроля доступа в основном используется государственными организациями, военными и правоохранительными органами. Разумно использовать MAC в организациях, которые ценят безопасность данных больше, чем операционную гибкость и затраты. Внедрение MAC в частной организации редко из-за сложности и негибкости такой системы.

Модель чистого MAC обеспечивает высокий и детальный уровень безопасности. С другой стороны, его сложно настроить и поддерживать. Вот почему MAC часто комбинируют с другими моделями контроля доступа.

Например, сочетание с ролевой моделью ускоряет настройку профилей пользователей. Вместо определения прав доступа для каждого пользователя администратор может создавать роли пользователей. В каждой организации есть пользователи с одинаковыми ролями и правами доступа: сотрудники с той же должностью, сторонние поставщики и т. д. Администратор может настроить роли для этих групп вместо того, чтобы настраивать отдельные профили пользователей с нуля.

Еще одно популярное сочетание — MAC и модель дискреционного управления доступом (DAC). MAC можно использовать для защиты конфиденциальных данных, а DAC позволяет коллегам обмениваться информацией в корпоративной файловой системе.

Что такое дискреционный контроль доступа?

Дискреционный контроль доступа (DAC) – это модель управления доступом на основе идентификации, которая предоставляет пользователям определенный контроль над своими данными. Владельцы данных (или любые пользователи, уполномоченные управлять данными) могут определять права доступа для определенных пользователей или групп пользователей.

Разрешения на доступ к каждому фрагменту данных хранятся в списке управления доступом (ACL). Этот список может быть сгенерирован автоматически, когда пользователь предоставляет доступ кому-либо, или может быть создан администратором. ACL включает пользователей и группы, которые могут получать доступ к данным, и уровни доступа, которые они могут иметь. ACL также может быть применен системным администратором. В этом случае ACL действует как политика безопасности, и обычные пользователи не могут редактировать или отменять ее.

Получение доступа в модели DAC работает следующим образом:

Пользователь 1 создает файл и становится его владельцем или получает права доступа к существующему файлу.

Пользователь 2 запрашивает доступ к этому файлу.

Пользователь 1 предоставляет доступ по своему усмотрению. Однако пользователь 1 не может предоставлять права доступа, превышающие его собственные. Например, если пользователь 1 может только читать документ, он не может разрешить пользователю 2 редактировать его.

Если нет противоречия между ACL, созданным администратором, и решением, принятым пользователем 1, доступ предоставляется.

Дискретный контроль доступа – довольно популярная модель, поскольку она дает пользователям большую свободу и не требует дополнительных административных издержек. Однако у него есть несколько существенных ограничений.

Плюсы и минусы DAC

Удобство использования: пользователи могут управлять своими данными и быстро получать доступ к данным других пользователей.

Гибкость — пользователи могут настраивать параметры доступа к данным без участия администраторов.

Простота обслуживания — добавление новых объектов и пользователей не занимает много времени у администратора.

Гранулярный – пользователи могут настраивать параметры доступа для каждого фрагмента данных.

Низкий уровень защиты данных: DAC не может обеспечить надежную безопасность, поскольку пользователи могут делиться своими данными так, как им удобно.

Непонятный — централизованного управления доступом нет, поэтому, чтобы узнать параметры доступа, необходимо проверить каждый ACL.

Когда использовать ЦАП

DAC обеспечивает большую гибкость и снижает нагрузку на системных администраторов, поскольку пользователи могут самостоятельно управлять доступом. С другой стороны, он не обеспечивает высокий уровень безопасности по нескольким причинам:

Если пользователь 1 делится правами доступа с пользователем 2, нет никакой гарантии, что пользователю 2 нужен этот доступ для работы или что он не украдет или не испортит данные или не предоставит доступ злоумышленнику.

Контролировать информационные потоки внутри сети невозможно.

Невозможно обеспечить соблюдение принципов наименьших привилегий, необходимости знать и разделения обязанностей.

Из-за этих ограничений DAC не может использоваться организациями, работающими с чрезвычайно конфиденциальными данными (медицинскими, финансовыми, военными и т. д.).

В то же время DAC — хороший выбор для малых предприятий с ограниченным ИТ-персоналом и бюджетом на кибербезопасность. Это позволяет обмениваться информацией и обеспечивает бесперебойную работу бизнеса. Этот подход, применяемый в организации со штатом от 10 до 20 сотрудников, лишен сложности и проблем с контролем, связанных с использованием DAC в организациях с сотнями или тысячами сотрудников.

Сравнение двух подходов

Давайте рассмотрим ключевые характеристики этих двух моделей управления доступом:

Администраторы и операционная система

Администраторы и пользователи

Высокий (администраторы регулируют зазоры для каждого пользователя и объекта вручную)

Высокий (пользователи могут назначать права доступа любому другому пользователю или группе)

Правительство, военные, правоохранительные органы

Малые и средние компании

MAC и DAC — это очень разные модели управления доступом, подходящие для разных организаций. DAC хорошо подходит для организаций, которым требуется гибкость и удобные рабочие процессы. С другой стороны, MAC более эффективен для организаций, работающих с конфиденциальными данными.

Заключение

MAC и DAC — две противоположные модели управления доступом. MAC контролируется администраторами и требует много времени и усилий для обслуживания, но обеспечивает высокий уровень безопасности. DAC намного проще внедрить и обслуживать, поскольку пользователи могут управлять доступом к данным, которыми они владеют. Однако DAC недостаточно хорош для защиты конфиденциальных данных.

Система «Экран» позволяет реализовать любую из этих моделей контроля доступа. Платформа «Экран» имеет функционал управления привилегированным доступом, который позволяет применять политики доступа любой сложности. С помощью своевременных методов PAM от Системы «Экран» вы также можете контролировать доступ пользователей вручную, заставляя пользователей запрашивать доступ к наиболее важным ресурсам и предоставляя одноразовые пароли вместо предоставления привилегий.

Экран также позволяет управлять учетными данными и секретами, такими как секреты Windows Active Directory и ключи SSH/Telnet для сред Unix.

Кроме того, Экран может применять модель управления доступом на основе ролей. Считается, что эта модель обеспечивает хороший баланс между безопасностью и управляемостью.

Дискреционный контроль доступа (DAC) —

DAC – это система управления доступом, которая назначает права доступа на основе правил, заданных пользователями. Принцип DAC заключается в том, что субъекты могут определять, кто имеет доступ к их объектам. Модель DAC использует преимущества использования списков управления доступом (ACL) и таблиц возможностей. Таблицы возможностей содержат строки с «субъектом» и столбцы с «объектом». Ядро безопасности в операционной системе проверяет таблицы, чтобы определить, разрешен ли доступ. Иногда субъект/программа может иметь доступ только для чтения файла; ядро безопасности гарантирует отсутствие несанкционированных изменений.

Реализация —

Эта популярная модель используется в некоторых из самых популярных операционных систем, таких как файловые системы Microsoft Windows.

Управление доступом на основе ролей (RBAC) —

RBAC, также известный как недискреционный контроль доступа, используется, когда системным администраторам необходимо назначать права на основе ролей в организации, а не отдельных учетных записей пользователей в организации. Это дает организации возможность реализовать принцип «наименьших привилегий». Это дает пользователю только тот доступ, который необходим для выполнения его работы, поскольку доступ связан с его работой.

Реализация-

Обязательный контроль доступа (MAC) —

Считается самым строгим из всех уровней систем контроля доступа. Разработка и внедрение MAC обычно используются правительством. Он использует иерархический подход для управления доступом к файлам/ресурсам. В среде MAC доступ к объектам ресурсов контролируется настройками, заданными системным администратором. Это означает, что доступ к объектам ресурсов контролируется операционной системой на основе того, что системный администратор настроил в настройках. Пользователи не могут изменить контроль доступа к ресурсу. MAC использует «метки безопасности» для назначения объектов ресурсов в системе. С этими метками безопасности связаны две части информации: классификация (высокий, средний, низкий) и категория (конкретный отдел или проект — обеспечивает «необходимо знать»). Каждой учетной записи пользователя также назначаются свойства классификации и категории. Эта система предоставляет пользователям доступ к объекту, если оба свойства совпадают. Если пользователь имеет высокую классификацию, но не входит в категорию объекта, то пользователь не может получить доступ к объекту. MAC является наиболее безопасным средством контроля доступа, но требует значительного объема планирования и высокого уровня управления системой из-за постоянного обновления объектов и меток учетных записей.

Реализация-

Вывод –

Управление доступом используется для предотвращения несанкционированного доступа к системным ресурсам. Внедрив системы контроля доступа, подходящие для вашей организации, вы сможете лучше управлять своими активами. Системы управления доступом DAC, RBAC и MAC — это модели, которые использовались для создания систем управления доступом, обеспечивающих надежность и безопасность. Компании с небольшими приложениями обнаружат, что DAC проще внедрить. Другие, располагающие строго конфиденциальной или конфиденциальной информацией, могут решить использовать системы RBAC или MAC.

Читайте также:


К какой профессии относится пиксель

Нет исполняемого ядра для файла с расширением vbs

Черный hdmi samsung что это такое

Рейд-контроллер не работает

Во что играть на обычном ноутбуке