В компьютерной безопасности общий контроль доступа включает идентификацию , авторизацию , аутентификацию , одобрение доступа и аудит . Более узкое определение контроля доступа будет охватывать только одобрение доступа, при котором система принимает решение предоставить или отклонить запрос на доступ от уже аутентифицированного субъекта на основе того, к чему субъект имеет право доступа. Аутентификация и контроль доступа часто объединяются в одну операцию, так что доступ утверждается на основе успешной аутентификации или на основе анонимного токена доступа. Методы и токены аутентификации включают пароли , биометрическое сканирование, физические ключи , электронные ключи и устройства, скрытые пути, социальные барьеры и мониторинг со стороны людей и автоматизированных систем. [ необходима цитата ]
В любой модели контроля доступа сущности, которые могут выполнять действия в системе, называются субъектами , а сущности, представляющие ресурсы, доступ к которым может потребоваться контролировать, называются объектами (см. также Матрица контроля доступа ). Субъекты и объекты следует рассматривать как программные сущности, а не как пользователей-людей: любые пользователи-люди могут оказывать влияние на систему только через программные сущности, которые они контролируют. [ необходима цитата ]
Хотя некоторые системы приравнивают субъекты к идентификаторам пользователей , так что все процессы, запущенные пользователем по умолчанию, имеют одинаковые полномочия, этот уровень контроля недостаточно детализирован, чтобы удовлетворить принципу наименьших привилегий , и, возможно, является причиной распространенности вредоносных программ в таких системах (см. компьютерная незащищенность ). [ необходима цитата ]
В некоторых моделях, например, в модели «объект-возможности» , любая программная сущность может потенциально выступать как субъект, так и объект. [ необходима цитата ]
По состоянию на 2014 год [обновлять]модели контроля доступа, как правило, делятся на два класса: основанные на возможностях и основанные на списках контроля доступа (ACL).
Как модели, основанные на возможностях, так и модели, основанные на списках контроля доступа, имеют механизмы, позволяющие предоставлять права доступа всем членам группы субъектов (часто группа сама моделируется как субъект). [ необходима цитата ]
Системы контроля доступа предоставляют основные услуги авторизации , идентификации и аутентификации ( I&A ), утверждения доступа и подотчетности, где: [ необходима ссылка ]
Авторизация включает в себя действие определения прав доступа для субъектов. Политика авторизации определяет операции, которые субъектам разрешено выполнять в системе. [ необходима цитата ]
Большинство современных операционных систем реализуют политики авторизации как формальные наборы разрешений, которые являются вариациями или расширениями трех основных типов доступа: [ необходима цитата ]
Эти права и разрешения реализованы по-разному в системах, основанных на дискреционном контроле доступа ( DAC ) и обязательном контроле доступа ( MAC ).
Идентификация и аутентификация (I&A) — это процесс проверки того, что личность связана с субъектом, который делает утверждение или претензию на личность. Процесс I&A предполагает, что была первоначальная проверка личности, обычно называемая проверкой личности. Доступны различные методы проверки личности, начиная от личной проверки с использованием выданного правительством удостоверения личности и заканчивая анонимными методами, которые позволяют заявителю оставаться анонимным, но известным системе, если он вернется. Метод, используемый для проверки и подтверждения личности, должен обеспечивать уровень гарантии, соизмеримый с предполагаемым использованием личности в системе. Впоследствии субъект утверждает личность вместе с аутентификатором в качестве средства проверки. Единственное требование к идентификатору — он должен быть уникальным в пределах своего домена безопасности. [ необходима цитата ]
Аутентификаторы обычно основываются по крайней мере на одном из следующих четырех факторов: [ необходима ссылка ]
Утверждение доступа — это функция, которая фактически предоставляет или отклоняет доступ во время операций. [1]
Во время одобрения доступа система сравнивает формальное представление политики авторизации с запросом на доступ, чтобы определить, следует ли предоставить или отклонить запрос. Более того, оценка доступа может быть выполнена онлайн/постоянно. [2]
Подотчетность использует такие системные компоненты, как аудиторские следы (записи) и журналы, чтобы связать субъекта с его действиями. Записанная информация должна быть достаточной для сопоставления субъекта с контролирующим пользователем. Аудиторские следы и журналы важны для [ необходима цитата ]
Если никто не просматривает ваши журналы регулярно и они не поддерживаются в безопасном и последовательном порядке, они могут быть недопустимы в качестве доказательства. [ необходима ссылка ]
Многие системы могут генерировать автоматизированные отчеты на основе определенных предопределенных критериев или пороговых значений, известных как уровни отсечения . Например, уровень отсечения может быть установлен для генерации отчета для следующего: [ необходима цитата ]
Эти отчеты помогают системному администратору или администратору безопасности легче идентифицировать возможные попытки взлома. – Определение уровня отсечения: [3] способность диска сохранять свои магнитные свойства и удерживать свое содержимое. Диапазон уровня высокого качества составляет 65–70%; низкое качество — ниже 55%.
Модели контроля доступа иногда классифицируются как дискреционные и недискреционные. Три наиболее широко признанные модели — это дискреционный контроль доступа (DAC), обязательный контроль доступа (MAC) и контроль доступа на основе ролей (RBAC). MAC — недискреционный. [ необходима цитата ]
Дискреционный контроль доступа (DAC) — это политика, определяемая владельцем объекта. Владелец решает, кому разрешен доступ к объекту и какие привилегии у них есть.
Две важные концепции в DAC: [ требуется ссылка ]
Контроль доступа может быть дискреционным в системах контроля доступа на основе ACL или полномочий . (В системах на основе полномочий обычно нет явного понятия «владелец», но создатель объекта имеет аналогичную степень контроля над его политикой доступа.)
Обязательный контроль доступа означает разрешение доступа к ресурсу, если и только если существуют правила, которые позволяют данному пользователю получить доступ к ресурсу. Им трудно управлять, но его использование обычно оправдано, когда оно используется для защиты высокочувствительной информации. Примерами служат определенная правительственная и военная информация. Управление часто упрощается (по сравнению с тем, что требуется), если информацию можно защитить с помощью иерархического контроля доступа или путем внедрения меток чувствительности. То, что делает метод «обязательным», — это использование либо правил, либо меток чувствительности. [ необходима цитата ]
Для применения обязательного контроля доступа обычно используются два метода: [ необходима ссылка ]
Немногие системы реализуют MAC; примерами таких систем являются XTS-400 и SELinux .
Управление доступом на основе ролей (RBAC) — это политика доступа, определяемая системой, а не владельцем. RBAC используется в коммерческих приложениях, а также в военных системах, где также могут существовать многоуровневые требования безопасности. RBAC отличается от DAC тем, что DAC позволяет пользователям контролировать доступ к своим ресурсам, в то время как в RBAC доступ контролируется на системном уровне, вне контроля пользователя. Хотя RBAC не является дискреционным, его можно отличить от MAC в первую очередь по способу обработки разрешений. MAC контролирует разрешения на чтение и запись на основе уровня допуска пользователя и дополнительных меток. RBAC контролирует наборы разрешений, которые могут включать сложные операции, такие как транзакция электронной коммерции, или могут быть такими простыми, как чтение или запись. Роль в RBAC можно рассматривать как набор разрешений.
Для RBAC определены три основных правила:
Могут также применяться дополнительные ограничения, а роли могут быть объединены в иерархию, где роли более высокого уровня включают в себя разрешения, принадлежащие подролям более низкого уровня.
Большинство поставщиков ИТ-услуг предлагают RBAC в одном или нескольких продуктах.
В управлении доступом на основе атрибутов (ABAC) [4] [5] доступ предоставляется не на основе прав субъекта, связанного с пользователем после аутентификации, а на основе атрибутов субъекта, объекта, запрошенных операций и условий среды в отношении политики, правил или отношений, которые описывают допустимые операции для данного набора атрибутов. [6] Пользователь должен доказать так называемые утверждения о своих атрибутах механизму управления доступом. Политика управления доступом на основе атрибутов определяет, какие утверждения должны быть удовлетворены для предоставления доступа к объекту. Например, утверждение может быть «старше 18 лет». Любому пользователю, который может доказать это утверждение, предоставляется доступ. Пользователи могут быть анонимными, когда аутентификация и идентификация не являются строго обязательными. Однако требуются средства для доказательства утверждений анонимно. Этого можно достичь, например, с помощью анонимных учетных данных . [ требуется ссылка ] XACML (расширяемый язык разметки управления доступом) — это стандарт для управления доступом на основе атрибутов. XACML 3.0 был стандартизирован в январе 2013 года. [7]
Традиционно доступ имеет целью ограничение доступа, поэтому большинство моделей контроля доступа следуют «принципу отказа по умолчанию», т. е. если конкретный запрос на доступ явно не разрешен, он будет отклонен. Такое поведение может противоречить обычным операциям системы. В определенных ситуациях люди готовы пойти на риск, который может быть связан с нарушением политики контроля доступа, если потенциальная выгода, которая может быть достигнута, перевешивает этот риск. Эта потребность особенно заметна в сфере здравоохранения, где отказ в доступе к записям пациентов может привести к смерти пациента. Break-Glass (также называемый break-the-glass) пытается смягчить это, позволяя пользователям переопределять решение о контроле доступа. Break-Glass может быть реализован либо в специфической для контроля доступа манере (например, в RBAC), [8] либо в общем виде (т. е. независимо от базовой модели контроля доступа). [9]
Аббревиатура HBAC означает «управление доступом на основе хоста». [10]
{{cite journal}}: Цитировать журнал требует |journal=( помощь )Любая служба PAM может быть идентифицирована в системе управления доступом на основе хоста (HBAC) в IdM.