Εξερεύνηση του ελέγχου πρόσβασης για την ασφάλεια + πιστοποίηση

Ο έλεγχος πρόσβασης είναι η δυνατότητα να επιτρέπεται ή να απαγορεύεται η χρήση ενός αντικειμένου (μια παθητική οντότητα, αντικείμενο (μια ενεργή οντότητα, όπως ένα άτομο ή μια διαδικασία). Τα συστήματα ελέγχου πρόσβασης παρέχουν τρεις βασικές υπηρεσίες:

Ταυτοποίηση και έλεγχος ταυτότητας (I & A):

Αυτά καθορίζουν ποιος μπορεί να συνδεθεί σε ένα σύστημα. Εξουσιοδότηση:
Αυτό καθορίζει τι μπορεί να κάνει ένας εξουσιοδοτημένος χρήστης.

Ευθύνη:

Αυτό προσδιορίζει τι έκανε ένας χρήστης. Ταυτοποίηση και έλεγχος ταυτότητας (I & A)

Ταυτοποίηση και έλεγχος ταυτότητας

(I & A) είναι μια διαδικασία δύο σταδίων που καθορίζει ποιος μπορεί να συνδεθεί σε ένα σύστημα. Η ταυτότητα

είναι ο τρόπος με τον οποίο ένας χρήστης ειδοποιεί ένα σύστημα ποιος είναι αυτός (για παράδειγμα, χρησιμοποιώντας ένα όνομα χρήστη). • Το στοιχείο αναγνώρισης ενός συστήματος ελέγχου πρόσβασης είναι συνήθως ένας σχετικά απλός μηχανισμός που βασίζεται είτε στο αναγνωριστικό χρήστη είτε στο όνομα χρήστη.

• Το όνομα υπολογιστή

• Η διεύθυνση MAC (Media Access Control)

• Η διεύθυνση IP (IP)

• Αναγνωριστικό διαδικασίας (PID)

Οι μόνες απαιτήσεις αναγνώρισης είναι ότι η ταυτότητα

πρέπει να αναγνωρίζει με μοναδικό τρόπο τον χρήστη.

• Δεν πρέπει να προσδιορίζει τη θέση ή τη σχετική σημασία του χρήστη σε έναν οργανισμό (όπως ετικέτες όπως

πρόεδρος

ή CEO ).

και sysadmin Πρέπει να αποφεύγετε τη χρήση κοινών ή κοινόχρηστων λογαριασμών χρηστών. • Οι λογαριασμοί αυτοί δεν παρέχουν λογοδοσία και είναι χυδαίοι στόχοι για χάκερ. Ο έλεγχος ταυτότητας

είναι η διαδικασία επαλήθευσης της ταυτότητας ενός χρήστη (για παράδειγμα, συγκρίνοντας έναν κωδικό πρόσβασης με τον κωδικό πρόσβασης που είναι αποθηκευμένος σε ένα σύστημα για ένα δεδομένο όνομα χρήστη).

Ο έλεγχος ταυτότητας βασίζεται σε τουλάχιστον έναν από αυτούς τους τρεις παράγοντες: •

όπως ένας κωδικός πρόσβασης ή ένας προσωπικός αριθμός αναγνώρισης (PIN). Αυτό προϋποθέτει ότι μόνο ο κάτοχος του λογαριασμού γνωρίζει τον κωδικό πρόσβασης ή τον κωδικό PIN που απαιτείται για την πρόσβαση στο λογαριασμό. Δυστυχώς, οι κωδικοί πρόσβασης συχνά μοιράζονται, κλαπούν ή υποθέτουν. • Κάτι που έχετε, όπως μια έξυπνη κάρτα ή ένα διακριτικό. Αυτό προϋποθέτει ότι μόνο ο κάτοχος του λογαριασμού διαθέτει την απαραίτητη έξυπνη κάρτα ή διακριτικό που χρειάζεται για να ξεκλειδώσει το λογαριασμό. • Δυστυχώς, οι έξυπνες κάρτες ή οι μάρκες μπορούν να χαθούν, να κλαπούν, να δανειστούν ή να αντιγράψουν. •

Κάτι που είστε, όπως χαρακτηριστικά δακτυλικών αποτυπωμάτων, φωνής, αμφιβληστροειδούς ή ίριδας.Αυτό προϋποθέτει ότι το δάκτυλο ή το βολβό που είναι προσαρτημένο στο σώμα σας είναι στην πραγματικότητα δικός σας και σας αναγνωρίζει μοναδικά. • Το μεγαλύτερο μειονέκτημα είναι η αποδοχή από τους χρήστες - πολλοί άνθρωποι ανησυχούν για τη χρήση αυτών των συστημάτων. Εξουσιοδότηση

Η εξουσιοδότηση

(ή

εγκατάσταση ) ορίζει τα δικαιώματα και τις άδειες ενός χρήστη σε ένα σύστημα. Μετά την επαλήθευση ενός χρήστη (ή διαδικασίας), η εξουσιοδότηση καθορίζει τι μπορεί να κάνει ο χρήστης στο σύστημα. Τα περισσότερα σύγχρονα λειτουργικά συστήματα ορίζουν σύνολα δικαιωμάτων που είναι παραλλαγές ή επεκτάσεις τριών βασικών τύπων πρόσβασης: Read (R):

Ο χρήστης μπορεί

• να διαβάσει τα περιεχόμενα του αρχείου

Ο χρήστης μπορεί

να αλλάξει

τα περιεχόμενα ενός αρχείου ή ενός καταλόγου με αυτές τις εργασίες: • Προσθήκη • Δημιουργία > • Μετονομασία

Εκτέλεση (X):

Εάν το αρχείο είναι ένα πρόγραμμα, ο χρήστης μπορεί να εκτελέσει το πρόγραμμα.

Αυτά τα δικαιώματα και οι άδειες εφαρμόζονται διαφορετικά σε συστήματα βασισμένα σε

έλεγχο πρόσβασης διακριτικής ευχέρειας (

DAC) και υποχρεωτικό έλεγχο πρόσβασης

(MAC). Λογοδοσία Η λογοδοσία χρησιμοποιεί τέτοιες συνιστώσες του συστήματος ως διαδρομές ελέγχου (αρχεία) και ημερολόγια για τη συσχέτιση ενός χρήστη με τις ενέργειές του. Οι διαδρομές ελέγχου και τα αρχεία καταγραφής είναι σημαντικά για Ανίχνευση παραβιάσεων ασφαλείας Επαναδημιουργία συμβάντων ασφαλείας

Εάν κανείς δεν ελέγχει τακτικά τα αρχεία καταγραφής και δεν τηρούνται με ασφάλεια και συνέπεια, ενδέχεται να μην είναι παραδεκτά απόδειξη.

Πολλά συστήματα μπορούν να παράγουν αυτοματοποιημένες αναφορές με βάση ορισμένα προκαθορισμένα κριτήρια ή όρια, γνωστά ως

επίπεδα αποκοπής
. Για παράδειγμα, μπορεί να οριστεί ένα επίπεδο αποκοπής για να δημιουργηθεί μια αναφορά για τα ακόλουθα:

Περισσότερες από τρεις αποτυχημένες απόπειρες σύνδεσης σε μια δεδομένη περίοδο

Οποιαδήποτε προσπάθεια χρήσης ενός απενεργοποιημένου λογαριασμού χρήστη Αυτές οι αναφορές βοηθούν έναν διαχειριστή συστήματος ή ο διαχειριστής ασφαλείας εντοπίζει ευκολότερα τις πιθανές προσπάθειες διάλυσης. Τεχνικές ελέγχου πρόσβασης

Οι τεχνικές ελέγχου πρόσβασης κατηγοριοποιούνται γενικά ως
διακριτικά

υποχρεωτικά

. Η κατανόηση των διαφορών μεταξύ του διακριτικού ελέγχου πρόσβασης (DAC) και του υποχρεωτικού ελέγχου πρόσβασης (MAC), καθώς και συγκεκριμένων μεθόδων ελέγχου πρόσβασης σε κάθε κατηγορία, είναι κρίσιμη για τη μετάβαση στις εξετάσεις Security +. Έλεγχος πρόσβασης διακριτικής ευχέρειας D Έλεγχος πρόσβασης με ακρίβεια (DAC) είναι μια πολιτική πρόσβασης που καθορίζεται από τον κάτοχο ενός αρχείου (ή άλλου πόρου). Ο ιδιοκτήτης αποφασίζει σε ποιον επιτρέπεται η πρόσβαση στο αρχείο και ποια προνόμια έχει.

Δύο σημαντικές έννοιες στο DAC είναι

Ιδιοκτησία αρχείων και δεδομένων: Κάθε αντικείμενο σε ένα σύστημα πρέπει να έχει κάτοχο. Η πολιτική πρόσβασης καθορίζεται από τον κάτοχο του πόρου (συμπεριλαμβανομένων αρχείων, καταλόγων, δεδομένων, πόρων συστήματος και συσκευών). Θεωρητικά, ένα αντικείμενο χωρίς ιδιοκτήτη παραμένει απροστάτευτο. Κανονικά, ο κάτοχος ενός πόρου είναι το άτομο που δημιούργησε τον πόρο (όπως ένα αρχείο ή κατάλογο).

Δικαιώματα πρόσβασης και δικαιώματα:

Αυτά είναι τα στοιχεία ελέγχου που ένας κάτοχος μπορεί να εκχωρήσει σε μεμονωμένους χρήστες ή ομάδες για συγκεκριμένους πόρους. Οι έλεγχοι πρόσβασης διακριτικής ευχέρειας μπορούν να εφαρμοστούν μέσω των ακόλουθων τεχνικών:
(ACL) ονομάζουν τα συγκεκριμένα δικαιώματα και δικαιώματα που έχουν εκχωρηθεί σε ένα αντικείμενο για ένα δεδομένο αντικείμενο. Οι λίστες ελέγχου πρόσβασης παρέχουν μια ευέλικτη μέθοδο για την εφαρμογή διακριτικών ελέγχων πρόσβασης. Ο έλεγχος πρόσβασης βασισμένος σε ρόλους

αποδίδει την ιδιότητα του μέλους βάσει οργανωτικών ή λειτουργικών ρόλων. Αυτή η στρατηγική απλοποιεί σε μεγάλο βαθμό τη διαχείριση δικαιωμάτων πρόσβασης και δικαιωμάτων:

• Δικαιώματα πρόσβασης και δικαιώματα για αντικείμενα έχουν εκχωρηθεί οποιαδήποτε ομάδα ή, επιπλέον, άτομα. • Τα άτομα μπορεί να ανήκουν σε μία ή σε πολλές ομάδες. Τα άτομα μπορούν να οριστούν για να αποκτήσουν δικαιώματα
σωρευτικά (κάθε άδεια

οποιασδήποτε

ομάδας στην οποία βρίσκονται) ή να αποκλείονται από οποιαδήποτε άδεια που δεν αποτελεί μέρος κάθε Υποχρεωτικός έλεγχος πρόσβασης Ο υποχρεωτικός έλεγχος πρόσβασης (MAC) είναι μια πολιτική πρόσβασης που καθορίζεται από το σύστημα και όχι από τον ιδιοκτήτη. Το MAC χρησιμοποιείται σε πολυεπίπεδα συστήματα που επεξεργάζονται ιδιαίτερα ευαίσθητα δεδομένα, όπως διαβαθμισμένες κυβερνητικές και στρατιωτικές πληροφορίες. Ένα

πολυεπίπεδο σύστημα

είναι ένα ενιαίο σύστημα υπολογιστή που χειρίζεται πολλαπλά επίπεδα ταξινόμησης μεταξύ αντικειμένων και αντικειμένων. Δύο σημαντικές έννοιες στο MAC είναι οι εξής: Ετικέτες ευαισθησίας: Σε ένα σύστημα που βασίζεται σε MAC, όλα τα αντικείμενα και αντικείμενα πρέπει να έχουν αντιστοιχιστεί σε ετικέτες

Η ετικέτα ευαισθησίας ενός ατόμου καθορίζει το επίπεδο εμπιστοσύνης του. Η ετικέτα ευαισθησίας ενός αντικειμένου προσδιορίζει το επίπεδο εμπιστοσύνης που απαιτείται για την πρόσβαση. Για να αποκτήσετε πρόσβαση σε ένα δεδομένο αντικείμενο, το θέμα πρέπει να έχει επίπεδο ευαισθησίας ίσο ή μεγαλύτερο από το αντικείμενο που ζητήθηκε. Εισαγωγή και εξαγωγή δεδομένων: Ο έλεγχος της εισαγωγής πληροφοριών από άλλα συστήματα και η εξαγωγή σε άλλα συστήματα (συμπεριλαμβανομένων των εκτυπωτών) αποτελεί κρίσιμη λειτουργία των συστημάτων MAC που πρέπει να διασφαλίζουν ότι οι ετικέτες ευαισθησίας διατηρούνται και εφαρμόζονται σωστά ότι οι ευαίσθητες πληροφορίες προστατεύονται κατάλληλα ανά πάσα στιγμή.
Αυτός ο τύπος ελέγχου καθορίζει περαιτέρω συγκεκριμένες συνθήκες πρόσβασης σε ένα αντικείμενο που ζητήθηκε. Όλα τα συστήματα που βασίζονται σε MAC υλοποιούν μια απλή μορφή ελέγχου πρόσβασης βασισμένου σε κανόνες για να καθορίσουν κατά πόσο η πρόσβαση θα πρέπει να χορηγείται ή να απορρίπτεται με την αντιστοίχιση

• Η ετικέτα ευαισθησίας ενός αντικειμένου