We wpisie dotyczącym podstaw kontroli dostępu poruszony został temat uprawnień. Warto zatem zdefiniować sobie jakie modele i techniki należy stosować aby zarządzanie uprawnieniami odbywało się w zgodzie z ogólnie przyjętymi normami. Poniżej trochę definicji, które pomogą nam zmierzyć się z tym tematem.
Strategia domyślna
Najprostszą do zastosowania strategią kontroli dostępu jest domyślne traktowanie wszystkich podmiotów w określony sposób. Mamy tutaj tylko dwie możliwości: albo domyślnie zabronimy wszystkim podmiotom dostępu do jakichkolwiek obiektów, albo domyślnie im na ten dostęp zezwolimy. Jeżeli rozważamy takie podejście, to z punktu widzenia bezpieczeństwa mowa może być oczywiście tylko o wariancie pierwszym. Domyślny brak jakichkolwiek uprawnień do zasobów jest w bezpieczeństwie informacji praktyką zalecaną.
Modele kontroli dostępu
Wyróżniamy kilka podstawowych podejść do tematu przydzielania uprawnień. Aby zachować spójność z międzynarodowymi normami posłużę się nazwami angielskimi i pokrótce wyjaśnię o co chodzi w każdym z modeli:
- Discretionary Access Control (DAC) – model uznaniowy, w którym to właściciel danego zasobu ustanawia kto i jakie prawa ma do niego otrzymać. Robi to na poziomie samego zasobu, czyli np. pliku, bazy danych przy użyciu list kontroli dostępu (ACL).
- Mandatory Access Control (MAC) – model bazujący na obowiązujących w organizacji politykach i klasyfikacji danych. Wymaga centralnego repozytorium definiującego precyzyjnie prawa podmiotów do określonych obiektów. Wymaga też wcześniejszego przeprowadzenia klasyfikacji informacji.
- Nondiscretionary Access Control: – model, podobnie jak DAC, bazujący na uprawnieniach na poziomie konkretnych zasobów, ale wymagający ich zdefiniowania przez administratora systemu, a nie właściciela zasobu.
Techniki kontroli dostępu
Niezależnie od przyjętego modelu, do zarządzania uprawnieniami możemy wykorzystać jedną z technik:
- Access Control Lists / Matrix – listy lub macierze kontroli dostępu, które indywidualnie określają uprawnienia każdego podmiotu. Pozwalają na dużą granularność uprawnień i elastyczność w zarządzaniu, ale wymagają sporo pracy w utrzymaniu.
- Role Based Access Control – kontrola dostępu w oparciu o zdefiniowane role. Uprawnienia na poziomie zasobów są stałe, natomiast zarządzanie odbywa się poprzez przydzielanie użytkownikom określonych ról.
- Rule Based Access Control – kontrola dostępu w oparciu o pewne odgórne założenia. Przykładowo – zezwól na dostęp tylko jeśli połączenie odbywa się z sieci wewnętrznej w godzinach pracy.
Na zakończenie warto jeszcze podkreślić dwie rzeczy. Po pierwsze w kontroli dostępu zalecane jest podejście „deny-by-default”, czyli domyślna odmowa jakichkolwiek uprawnień nowym lub niezdefiniowanym użytkownikom. Po drugie przy nadawaniu uprawnień posługujemy się zasadą „need to know”, czyli dajemy dostęp wyłącznie do tych zasobów, które na danym stanowisku są niezbędne. Żadne nadmiarowe i „na zapas, bo może się przydać” nadawanie uprawnień nie powinno mieć miejsca.
Zapoznaj się też z artykułem poświęconym kategoriom i typom kontroli dostępu.
„Bezpieczna Pigułka” to codzienna, mała dawka wiedzy z zakresu cyberbezpieczeństwa. Wszystkie teksty z tej kategorii znajdziesz TUTAJ.
Zostaw e-mail aby otrzymać powiadomienia o nowościach oraz dostęp do wszystkich bonusowych materiałów przygotowanych wyłącznie dla subskrybentów.
