Системы, в которых роль объекта управления возложена на компьютер, называются

Обновлено: 21.11.2024

Раздел 404 Закона Сарбейнса-Оксли (SOX) требует, чтобы все публичные компании установили внутренний контроль и процедуры.

Закон о защите конфиденциальности детей в Интернете от 1998 года (COPPA) – это федеральный закон, который налагает особые требования на операторов доменов .

План North American Electric Reliability Corporation по защите критически важной инфраструктуры (NERC CIP) представляет собой набор стандартов.

Стандарт безопасности данных платежных приложений (PA-DSS) – это набор требований, призванных помочь поставщикам программного обеспечения в разработке безопасных .

Взаимная аутентификация, также называемая двусторонней аутентификацией, представляет собой процесс или технологию, в которой оба объекта обмениваются данными .

Экранированная подсеть или брандмауэр с тройным подключением относится к сетевой архитектуре, в которой один брандмауэр используется с тремя сетями .

Медицинская транскрипция (МТ) – это ручная обработка голосовых сообщений, продиктованных врачами и другими медицинскими работниками.

Электронное отделение интенсивной терапии (eICU) — это форма или модель телемедицины, в которой используются самые современные технологии.

Защищенная медицинская информация (PHI), также называемая личной медицинской информацией, представляет собой демографическую информацию, медицинскую .

Снижение рисков – это стратегия подготовки к угрозам, с которыми сталкивается бизнес, и уменьшения их последствий.

Отказоустойчивая технология — это способность компьютерной системы, электронной системы или сети обеспечивать бесперебойное обслуживание.

Синхронная репликация — это процесс копирования данных по сети хранения, локальной или глобальной сети, поэтому .

Коэффициент усиления записи (WAF) – это числовое значение, представляющее объем данных, передаваемых контроллером твердотельного накопителя (SSD) .

API облачного хранилища — это интерфейс прикладного программирования, который соединяет локальное приложение с облачным хранилищем.

Интерфейс управления облачными данными (CDMI) – это международный стандарт, определяющий функциональный интерфейс, используемый приложениями.

В этом разделе для ИТ-специалистов описывается управление доступом в Windows, то есть процесс авторизации пользователей, групп и компьютеров для доступа к объектам в сети или на компьютере. Ключевыми понятиями, составляющими контроль доступа, являются разрешения, владение объектами, наследование разрешений, права пользователей и аудит объектов.

Описание функции

Компьютеры с поддерживаемой версией Windows могут контролировать использование системных и сетевых ресурсов с помощью взаимосвязанных механизмов проверки подлинности и авторизации. После аутентификации пользователя операционная система Windows использует встроенные технологии авторизации и контроля доступа для реализации второго этапа защиты ресурсов: определения наличия у аутентифицированного пользователя правильных разрешений на доступ к ресурсу.

Общие ресурсы доступны пользователям и группам, не являющимся владельцем ресурса, и их необходимо защищать от несанкционированного использования. В модели управления доступом пользователи и группы (также называемые субъектами безопасности) представлены уникальными идентификаторами безопасности (SID). Им назначаются права и разрешения, которые информируют операционную систему о том, что может делать каждый пользователь и группа. У каждого ресурса есть владелец, который предоставляет разрешения субъектам безопасности. Во время проверки управления доступом эти разрешения проверяются, чтобы определить, какие участники безопасности могут получить доступ к ресурсу и как они могут получить к нему доступ.

Субъекты безопасности выполняют действия (включая чтение, запись, изменение или полный доступ) над объектами. К объектам относятся файлы, папки, принтеры, ключи реестра и объекты доменных служб Active Directory (AD DS). Общие ресурсы используют списки управления доступом (ACL) для назначения разрешений. Это позволяет менеджерам ресурсов применять контроль доступа следующими способами:

Запретить доступ неавторизованным пользователям и группам

Установите четко определенные ограничения на доступ, предоставляемый авторизованным пользователям и группам

Владельцы объектов обычно предоставляют разрешения группам безопасности, а не отдельным пользователям. Пользователи и компьютеры, добавляемые в существующие группы, получают разрешения этой группы. Если объект (например, папка) может содержать другие объекты (например, вложенные папки и файлы), он называется контейнером. В иерархии объектов отношение между контейнером и его содержимым выражается обращением к контейнеру как к родителю. Объект в контейнере называется дочерним, и дочерний объект наследует параметры управления доступом родителя. Владельцы объектов часто определяют разрешения для объектов-контейнеров, а не для отдельных дочерних объектов, чтобы упростить управление контролем доступа.

Домен 5: Управление идентификацией и доступом (Контроль доступа и управление идентификацией)

Эрик Конрад, . Джошуа Фельдман, учебное пособие CISSP (третье издание), 2016 г.

Управление дискреционным доступом (DAC)

Управление дискреционным доступом (DAC) предоставляет субъектам полный контроль над объектами, которые они создали или к которым им был предоставлен доступ, включая совместное использование объектов с другими субъектами. Субъекты наделены полномочиями и контролируют свои данные. Стандартные операционные системы UNIX и Windows используют DAC для файловых систем: субъекты могут предоставлять другим субъектам доступ к своим файлам, изменять их атрибуты, изменять или удалять их.

Если субъект совершает ошибку, например, прикрепляет неправильный файл к электронному письму, отправленному в общедоступный список рассылки, это может привести к потере конфиденциальности. Ошибки и злонамеренные действия также могут привести к потере целостности или доступности данных.

Сбор информации

Дискретный контроль доступа

Дискреционный контроль доступа (DAC) изначально определялся Критериями оценки доверенных компьютерных систем (TCSEC) как «средство ограничения доступа к объектам на основе личности субъектов и/или групп, к которым они принадлежат. Элементы управления являются дискреционными в том смысле, что субъект с определенным разрешением на доступ может передать это разрешение (возможно, косвенно) любому другому субъекту (если только это не ограничено обязательным контролем доступа)».

На практике использование этой терминологии не столь однозначно. В самой строгой интерпретации у каждого объекта, управляемого DAC, должен быть владелец, который контролирует разрешения, разрешающие доступ к объекту. Хотя многие современные операционные системы поддерживают концепцию владельца, она не всегда реализуется. В частности, стандарт не распространяется на «владельцев», оставляя проблематичное определение, когда возникает групповое владение.

Что такое федеративное удостоверение?

Деррик Раунтри, Federated Identity Primer, 2013 г.

2.3.2 Дискреционный контроль доступа

DAC основан на списках управления доступом (ACL). ACL перечисляет, какие пользователи имеют доступ к объекту и что они могут делать с этим объектом. В ACL перечислены пользователи и разрешения. Вы специально предоставляете или отказываете в разрешениях.

Системы MAC используют более распределенную административную архитектуру. В модели MAC доступ определяется владельцем объекта. Таким образом, если вы являетесь владельцем объекта, у вас есть полный контроль над определением того, кто еще может получить доступ к этому объекту.

В большинстве операционных систем ПК используется модель MAC. На рис. 2.3 показан пример из системы Windows 8. Вы можете увидеть ACL для одной из папок в системе.

Рис. 2.3 . Окно разрешений папки Windows 8.

Системами DAC обычно легче управлять, чем системами MAC. Ненадежная административная модель ложится меньшим бременем на администратора. Администратор не несет ответственности за настройку разрешений для каждой системы.

Системы DAC могут быть немного менее безопасными, чем системы MAC.Отчасти это связано с распределенной моделью управления. Поскольку администратор не контролирует доступ ко всем объектам, возможно, что разрешения могут быть установлены неправильно, что может привести к утечке информации. Администратор может обойти это, настроив группу систем, которыми будет управлять только администратор. Эти системы можно использовать для хранения более конфиденциальной информации.

Введение в общие концепции безопасности

Дискреционный контроль доступа (DAC)

Дискреционный контроль доступа основан на списках контроля доступа (ACL). ACL перечисляет, какие пользователи имеют доступ к объекту и что они могут делать с объектом. В ACL будут перечислены пользователи и разрешения. Вы можете дать разрешения или специально запретить разрешения.

В большинстве операционных систем ПК используется модель MAC. На рис. 1.11 показан пример из системы Windows 7. Вы можете увидеть список контроля доступа для одной из папок в системе.

Рисунок 1.11. Окно разрешений папки Windows 7.

Системы DAC могут быть немного менее безопасными, чем системы MAC. Отчасти это связано с распределенной моделью управления. Поскольку администратор не контролирует доступ ко всем объектам, возможно, что разрешения могут быть установлены неправильно, что может привести к утечке информации. Администратор может обойти это, настроив группу систем, которыми будет управлять только администратор. Эти системы можно использовать для хранения более конфиденциальной информации.

Авторизация и контроль доступа

Методологии контроля доступа

Управление доступом — это средства, с помощью которых мы реализуем авторизацию и запрещаем или разрешаем доступ сторонам в зависимости от того, к каким ресурсам, по нашему определению, им должен быть разрешен доступ. Хотя этот термин может показаться очень техническим и ориентированным на вычислительные средства с высоким уровнем безопасности, контроль доступа — это то, с чем мы сталкиваемся ежедневно.

Когда мы запираем или отпираем двери в нашем доме, мы используем форму физического контроля доступа, основанную на ключах (которые у вас есть), которые мы используем.

Когда мы заводим машину, мы также, вероятно, используем ключ. Для некоторых новых автомобилей наш ключ может даже включать дополнительный уровень безопасности за счет добавления меток радиочастотной идентификации (RFID), идентификаторов, подобных сертификатам, хранящихся в самом ключе, и других технологий безопасности.

Добравшись до места работы, мы можем использовать значок или ключ (что-то, что у вас есть), чтобы войти в здание, опять же, физический контроль доступа.

Когда мы садимся перед нашим компьютером на работе и вводим свой пароль (что-то, что вы знаете), мы аутентифицируемся и используем логическую систему управления доступом для доступа к ресурсам, на которые нам было дано разрешение. В зависимости от среды, через которую мы проходим в процессе работы, посещения школы и выполнения других действий, составляющих наш день, мы можем в большей или меньшей степени подвергаться контролю доступа, но большинство из нас видят несколько реализаций, подобных этим, на одном компьютере. регулярно.

Модели управления доступом

Существует довольно много различных моделей управления доступом, с которыми мы можем столкнуться в различных средах, к которым мы ежедневно обращаемся. Здесь мы рассмотрим наиболее распространенные модели. Наиболее вероятный набор, с которым мы столкнемся в мире безопасности, включает дискреционный контроль доступа, обязательный контроль доступа, контроль доступа на основе правил, контроль доступа на основе ролей и контроль доступа на основе атрибутов.

Дискретный контроль доступа

Дискреционный контроль доступа (DAC) – это модель контроля доступа, основанная на том, что доступ определяется владельцем рассматриваемого ресурса. Владелец ресурса может решать, у кого есть доступ, а у кого нет, и какой именно доступ им разрешен. В операционных системах Microsoft мы видим реализованный DAC. Например, если мы решим создать сетевую папку, мы сами решим, кому разрешить доступ.

Обязательный контроль доступа

Обязательный контроль доступа (MAC) – это модель управления доступом, при которой владелец ресурса не решает, кто получит к нему доступ, а вместо этого доступ определяется группой или отдельным лицом, имеющим полномочия устанавливать доступ. на ресурсы.Мы часто можем встретить MAC, реализованный в государственных организациях, где доступ к данному ресурсу в значительной степени определяется применяемой к нему меткой конфиденциальности (секретно, совершенно секретно и т. д.), уровнем конфиденциальной информации, к которой разрешен доступ человеку (возможно только секрет) и тем, действительно ли человеку нужен доступ к ресурсу, как мы обсуждали, когда говорили о принципе наименьших привилегий ранее в этой главе.

Информационная безопасность

Дискретный контроль доступа

Дискреционный контроль доступа — наиболее распространенная модель контроля доступа. Эта модель основывает безопасность на личности субъекта управления доступом. К каждому субъекту управления доступом применяются определенные разрешения, и на основе этих разрешений он имеет определенный уровень полномочий.

Эта модель управления доступом называется дискреционной, поскольку отдельные пользователи или приложения могут задавать требования к управлению доступом к определенным объектам управления доступом, которыми они владеют. Кроме того, разрешение на изменение этих требований к управлению доступом также может быть делегировано. Поскольку назначение разрешений на управление доступом к объекту управления доступом не является обязательным, сама модель управления доступом считается дискреционной. По сути, владельцу объекта управления доступом разрешено решать, как он хочет, чтобы его данные были защищены или разделены. Основное использование DAC заключается в том, чтобы ограничить доступ к определенным объектам управления доступом пользователей, которым не разрешен доступ к ним. Системный администратор или конечный пользователь полностью контролирует назначение этих разрешений и может изменять их по своему усмотрению.

DAC позволяет использовать распределенную систему управления доступом, поскольку владелец объекта управления доступом имеет возможность изменять разрешение на управление доступом к объектам независимо от центрального органа. Кроме того, централизованные системы контроля доступа могут использоваться как единая авторитетная точка авторизации с разрешениями, которые по-прежнему применяются на уровне объекта. Возможность использования различных типов систем контроля доступа в этой модели обеспечивает большую гибкость.

Как упоминалось ранее, это очень распространенная модель управления доступом. Он используется в UNIX, Windows, Linux и многих других сетевых операционных системах. Эти системы используют список управления доступом (ACL) для установки разрешений на объекты управления доступом. Эти ACL в основном представляют собой список идентификаторов пользователей или групп с соответствующим уровнем разрешений. Каждый объект управления доступом имеет ACL, даже если он остается по умолчанию после создания объекта. Системы различаются по способу определения разрешений в ACL и по тому, как работает общий контроль доступа в операционной системе, базе данных, сетевом устройстве или приложении.

Управление доступом

Дискретный контроль доступа

Дискреционный контроль доступа (DAC), также известный как права доступа к файлам, представляет собой контроль доступа в системах Unix и Linux. Всякий раз, когда вы видели синтаксис drwxr-xs-x, это аббревиатура ugo для владельца, группы и других разрешений в списке каталогов. Ugo — это аббревиатура для пользовательского доступа, группового доступа и доступа других системных пользователей соответственно. Эти права доступа к файлам настроены так, чтобы разрешать или запрещать доступ членам их собственной группы или любых других групп. Модификация файла, каталога и устройств осуществляется с помощью команды chmod. Таблицы 11.1 и 11.2 иллюстрируют синтаксис для назначения или удаления разрешений. Разрешения могут быть назначены с использованием символьного формата:

Таблица 11.1. Нотация для добавления, удаления доступа и явного назначения доступа.

Таблица 11.2. Обозначение прав доступа к файлам.

r	Разрешение на чтение файла
r	Разрешение на чтение каталога (также требуется 'x')
w	Разрешение на удаление или изменение файла
w	Разрешение на удаление или изменение файлов в каталоге
x	Разрешение на выполнение файла/скрипта
x	Разрешение на чтение каталога (также требуется ' r')
s	Установить идентификатор пользователя или группы при выполнении
u	Разрешения, предоставленные пользователю, которому принадлежит файл
t< /em>	Установить закрепленный бит. Выполнить файл/скрипт от имени пользователя root для обычного пользователя

Chmod [ugoa] [+−=] [rwxXst] fileORdirectoryName

В DAC обычно владелец ресурса контролирует доступ к ресурсам. Каждый администрировал систему, в которой они решили дать полные права всем, чтобы меньше управлять. Проблема с этим подходом заключается в том, что пользователям разрешено не только читать, записывать и выполнять файлы, но и удалять любые файлы, к которым у них есть доступ. Этот автор так часто видел системные файлы, удаленные пользователями по ошибке или просто по незнанию пользователя.Это тот случай, когда DAC можно рассматривать как недостаток или менее выгодно.

Анализ безопасности контроля доступа к медицинским записям в облаке

Управление дискреционным доступом (DAC) для электронных медицинских карт

DAC – это первая из политик, обсуждаемых в этом разделе. Это зависит от особенностей клиента, а также от характерных ассоциаций. Право входа обычно основывается на одобренной клиентом проверке, которая, в свою очередь, основана на классах, отправленных на утверждение, и на личности контроллера, который выбирает, одобрять или отказывать в доступе к приложению. Владелец объекта изображает тему, которая может передать объект, так что полное использование элемента может быть выбрано администратором объекта [11,13]. Этот вид контроля доступа, как правило, менее безопасен, чем обязательный контроль доступа, хотя это хорошо известная структура в операционных системах организации. Хотя он менее безопасен, он прост в использовании и более универсален, чтобы соответствовать ситуациям, которые не требуют серьезного состояния предметов. Структура ЦАП показана на рис.4. Наиболее важным элементом, который может вызвать проблемы в системе, является то, что владелец может передать свою должность кому-то другому.

Рис. 4 . Модель ЦАП для ЭУЗ.

Утечка данных — это еще одна проблема, связанная с тем, что политики управления разрешаются требованиями владельца без проверки данных пользователей и не распознаются статьи или предметные области. Этот контроль доступа зависит от клиента или управления сбором. Назначая клиентам разрешения и ограничения, а не урезав одного пользователя, он характеризует группы, которые контролируются владельцем, и вводит в них определенные полномочия и ограничения. Это обстоятельство может вызвать подлинную утечку безопасности в ситуации, в которой владелец не зависит.

Читайте также: