Управление доступом и мониторинг

, 121-Ибо

Сравнение прав, разрешений и привилегий

Термины разрешения, права и привилегии часто используются взаимозаменяемо, но имеют различия:

Разрешения – определяют доступ к объекту и возможные действия с ним (чтение, запись, удаление). Например, разрешение чтение и выполнение для файла позволяет запускать приложение.

Права – возможность выполнять определённые действия в системе, такие как изменение системного времени или восстановление данных.

Привилегии – объединяют права и разрешения. Администратор, имея полные привилегии, может выполнять любые действия и получать доступ ко всем данным.

Понимание механизмов авторизации

Различные модели контроля доступа используют разные методы авторизации. Основные механизмы включают:

Имплицитный отказ (Implicit Deny) – доступ запрещён по умолчанию, если не был явно разрешён. Например, если администратор предоставил доступ только Джеффу, то остальные автоматически не получают доступ.

Матрица контроля доступа (Access Control Matrix) – таблица, содержащая субъекты, объекты и их разрешения. Например, матрица может включать файлы как

объектыкак субъекты,и пользователейуказывая, какие права у кого есть. В отличие от списка контроля доступа (ACList), матрица охватывает множество объектов и пользователей сразу.

Понимание механизмов авторизации

Таблицы возможностей (Capability Tables) – ориентированы на субъекты и указывают, какие объекты доступны для каждой роли. Например, таблица возможностей для бухгалтерии может содержать список файлов и систем, доступных сотрудникам этого отдела. В отличие от ACL, которые сосредоточены на объектах, таблицы возможностей ориентированы на пользователей и их роли.

Ограниченные интерфейсы (Constrained Interfaces) –

скрывают или блокируют функции, недоступные пользователю. Например, в программе меню с определённой функцией может быть скрыто для обычных пользователей, но доступно администраторам. Также возможен вариант, когда команда видна, но отображается неактивной.

Понимание механизмов авторизации

Контент-зависимый контроль (Content-Dependent Control) –

доступ к данным зависит от их содержимого. Например, в базе данных таблица клиентов может содержать имена, email и номера карт, но пользователь может видеть только имена и email, без доступа к остальной информации.

Контекст-зависимый контроль (Context-Dependent Control)

– требует выполнения определённых условий перед предоставлением доступа. Например, в онлайн-магазине страница загрузки цифрового товара становится доступной только после завершения оплаты. Также возможны ограничения по времени: если сотрудник пытается войти в систему за пределами рабочего времени, доступ может быть заблокирован.

Понимание механизмов авторизации

Принцип необходимости знаний (Need to Know) – доступ даётся только к тем данным, которые необходимы для выполнения работы. Например, сотрудник может иметь допуск к секретной информации, но без необходимости её использовать он не получит к ней доступ.

Принцип наименьших привилегий (Least Privilege) – схож с принципом NtK, но пользователю так же дается право выполнять действия в системе.

Разделение обязанностей и ответственности (Separation of Duties and Responsibilities) – принцип, согласно которому критически важные функции разделяются между двумя или более сотрудниками. Это помогает предотвратить мошенничество и ошибки, создавая систему взаимного контроля.

Определение требований с помощью политики безопасности

Политика безопасности — это документ, определяющий требования к защите организации, её активов и уровень внедрения мер безопасности. Она может быть представлена как единый документ или как набор отдельных политик, охватывающих разные аспекты.

Политики безопасности важны для управления доступом, так как помогают сотрудникам понимать ключевые требования безопасности. Высшее руководство утверждает политику, предоставляя общее видение, но без детального описания её реализации. Например, документ может требовать применения принципов разделения обязанностей и наименьших привилегий, но не уточнять конкретные методы их внедрения.

Специалисты по безопасности используют эти политики как руководство при разработке и внедрении защитных мер.

Модели контроля доступа

Дискреционная модель (DAC) – предоставляет владельцу объекта полный контроль над его разрешениями. Это означает, что тот, кто создаёт файл, папку или другую сущность, автоматически становится её владельцем и может решать, кому предоставлять или запрещать доступ. В недискреционной модели администраторы управляют доступом на уровне всей системы, а пользователи не могут самостоятельно менять права доступа к объектам.

Ролевая модель (Role-Based Access Control) – доступ назначается не напрямую пользователям, а через роли. Например, в Windows пользователи объединяются в группы, а права назначаются на уровень группы.

Модели контроля доступа

Модель, основанная на правилах (Rule-Based Access Control) – применяется глобально ко всем пользователям, например, файрволы, блокирующие или разрешающие трафик по заданным правилам.

Атрибутная модель (ABAC) – гибкая система, использующая различные атрибуты (роль, устройство, местоположение) для контроля доступа. Например, правило может разрешать менеджерам доступ к сети с мобильных устройств.

Модель, основанная на рисках (Risk-Based Access Control)

– оценивает уровень риска перед предоставлением доступа, используя машинное обучение и анализ прошлой активности.

Модели контроля доступа

Мандатная модель (MAC) – основана на метках безопасности, применяемых к пользователям и объектам. Например если пользователь имеет метку безопасности «Совершенно секретно». То система позволяет ему получить доступ к файлам с такой же меткой.

Эта модель используется в военных и правительственных системах.

MAC-модель также называют решетчатой (lattice-based). Она разделяет данные на уровни (Confidential, Private, Sensitive, Public). Например, область Sensitive доступна только пользователям с такой же меткой.