|
|
@@ -0,0 +1,206 @@
|
|
|
+# Управление доступом субъектов доступа к объектам доступа.
|
|
|
+
|
|
|
+**Мaтрица доступа (Access Control Matrix)** - это абстрактная структура данных, используемая в информационной безопасности для представления и управления правами доступа субъектов (пользователей, процессов, ролей) к объектам (ресурсам, файлам, данным) в информационной системе.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+Это двумерная таблица, где один столбец содержит список субъектов, а другой - список объектов. В каждой ячейке этой таблицы учитываются разрешения, предоставленные субъектам для соответствующих объектов. Эти разрешения могут варьироваться в зависимости от контекста.
|
|
|
+
|
|
|
+**Примеры субъектов**:
|
|
|
+
|
|
|
+- _пользователь_
|
|
|
+
|
|
|
+- _программа выполняющаяся под именем пользователя_
|
|
|
+
|
|
|
+**Примеры объектов**:
|
|
|
+
|
|
|
+- _файлы_
|
|
|
+
|
|
|
+- _каталоги_
|
|
|
+
|
|
|
+- _внешние накопители (CD,DVD,USB и т.д.)_
|
|
|
+
|
|
|
+- _принтер_
|
|
|
+
|
|
|
+- _сетевой адаптер_
|
|
|
+
|
|
|
+Матрица доступа играет ключевую роль при анализе, проверке и управлении безопасностью информационных систем, поскольку она позволяет наглядно представить, какие пользователи могут выполнять какие действия с данными и ресурсами. Важно отметить, что для обеспечения безопасности, изменения и обновления в этой матрице должны подвергаться строгому контролю и ограничениям в отношении привилегий.
|
|
|
+# Ключевые понятия:
|
|
|
+
|
|
|
+_**Субъект доступа (Subject)**_: Сущность, которая стремится получить доступ к объекту. Сюда входят пользователи, приложения, сервисы и другие сущности.
|
|
|
+
|
|
|
+_**Объект доступа (Object)**_: Ресурс или информация, к которым субъекты стремятся получить доступ. Включает файлы, базы данных, документы и другие данные.
|
|
|
+
|
|
|
+_**Управление доступом (Access Control)**_: Процесс контроля и регулирования, определяющий, кто и как может получать доступ к объектам в информационной системе.
|
|
|
+
|
|
|
+# Основные принципы управления доступом:
|
|
|
+
|
|
|
+**Принцип минимизации прав доступа (Principle of Least Privilege, POLP):**
|
|
|
+_Суть_: Предоставляйте субъектам лишь те права доступа, которые необходимы для их текущих задач. Это снижает риск избыточных привилегий и поддерживает безопасность системы.
|
|
|
+
|
|
|
+**Принцип разделения обязанностей (Separation of Duties, SoD):**
|
|
|
+_Как это работает_: Критические функции и привилегии распределяются между разными субъектами, предотвращая возможные злоупотребления. Этот принцип способствует укреплению безопасности путем изоляции ключевых обязанностей.
|
|
|
+
|
|
|
+**Принцип наименьших привилегий (Principle of Least Privilege, POLP):**
|
|
|
+_Основа_: Субъекты должны обладать лишь минимально необходимыми правами доступа к объектам. Это уменьшает риски несанкционированного доступа и снижает потенциальные угрозы, обеспечивая минимальный необходимый уровень привилегий.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+# Аутентификация и авторизация
|
|
|
+
|
|
|
+**Аутентификация:** Это процесс проверки подлинности субъекта, обычно через пароли, биометрию или другие методы.
|
|
|
+
|
|
|
+**Авторизация:** Это определение прав доступа субъекта после успешной аутентификации. Например, определение, может ли пользователь просматривать, редактировать или удалять определенный файл.
|
|
|
+
|
|
|
+**Модель RBAC (Role-Based Access Control)**
|
|
|
+Модель RBAC основана на назначении ролей субъектам, а не непосредственно прав. Каждая роль имеет определенные права доступа к объектам, и субъекты получают доступ на основе своей роли.
|
|
|
+
|
|
|
+**Модель ABAC (Attribute-Based Access Control)**
|
|
|
+Модель ABAC определяет права доступа субъекта на основе атрибутов субъекта, объекта и окружения. Это более гибкий способ управления доступом, так как он учитывает множество факторов.
|
|
|
+
|
|
|
+# Мандатная модель
|
|
|
+В этой модели доступ основывается на классификации субъектов и объектов, и устанавливаются правила, согласно которым субъекты могут получать доступ к объектам.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+_**Достоинства**_:
|
|
|
+
|
|
|
+- _простата построения общей схемы доступа_
|
|
|
+- _простата администрирования_
|
|
|
+
|
|
|
+_**Недостатки**_:
|
|
|
+
|
|
|
+- _проблема разграничения пользователей одного уровня_
|
|
|
+- _пользователь не может назначать доступ к объекту_
|
|
|
+
|
|
|
+Мандатная модель не реализована в Windows, но можно поставить дополнительные средства защиты (например: Secret Net, Аккорд и т.д.).
|
|
|
+
|
|
|
+# Ролевая модель
|
|
|
+В этой модели субъектам присваиваются роли, а роли имеют определенные права доступа. Это упрощает управление доступом в больших организациях.
|
|
|
+
|
|
|
+Развитие политики избирательного управления доступом, при этом права доступа субъектов системы на объекты группируются с учетом специфики их применения, образуя роли.
|
|
|
+
|
|
|
+**В модели присутствуют:**
|
|
|
+
|
|
|
+- _пользователи_
|
|
|
+
|
|
|
+- _роли_
|
|
|
+
|
|
|
+- _объекты_
|
|
|
+
|
|
|
+Рассмотрим модель на примере MOODLE.
|
|
|
+
|
|
|
+**Роли в MOODLE:**
|
|
|
+
|
|
|
+- _**Manager**_ - манеджеры может создавать и изменять курсы.
|
|
|
+
|
|
|
+- _**Создатели курса**_ - могут создать курс и преподавать в нем.
|
|
|
+
|
|
|
+- _**Преподаватель**_ - могут делать все в курсе (но не могут создать курс).
|
|
|
+
|
|
|
+- _**Non-editing teacher**_ - (ассистент) могут преподавать, но не могут изменять.
|
|
|
+
|
|
|
+- _**Студент**_ - могут обучатся на курсе (записанный на курс).
|
|
|
+
|
|
|
+- _**Guest**_ - пользователи без авторизации.
|
|
|
+
|
|
|
+- _**Authenticated user**_ - пользователи прошедшие аутентификацию (не записанный на курс).
|
|
|
+
|
|
|
+
|
|
|
+Роли могут быть **глобальными** или **локальными**.
|
|
|
+
|
|
|
+
|
|
|
+Типы контекста, где роли могут быть назначены:
|
|
|
+
|
|
|
+- _Manager_ - Система, Категория, Курс.
|
|
|
+
|
|
|
+- _Создатели курса_ - Система, Категория.
|
|
|
+
|
|
|
+- _Преподаватель_ - Курс, Модуль элемента курса.
|
|
|
+
|
|
|
+- _Non-editing teacher_ - Курс, Модуль элемента курса.
|
|
|
+
|
|
|
+- _Студент_ - Курс, Модуль элемента курса..
|
|
|
+
|
|
|
+- _Guest_ - нигде.
|
|
|
+
|
|
|
+- _Authenticated user_ - нигде.
|
|
|
+
|
|
|
+# Протокол OAuth
|
|
|
+OAuth - это открытый стандарт для авторизации, который позволяет субъектам предоставлять временный доступ к своим ресурсам другим субъектам без предоставления паролей.
|
|
|
+
|
|
|
+**Всего есть 4 роли:**
|
|
|
+
|
|
|
+- _**Владелец ресурса**_
|
|
|
+- _**Клиент**_
|
|
|
+- _**Сервер ресурсов**_
|
|
|
+- _**Авторизационный сервер**_
|
|
|
+
|
|
|
+**Владелец ресурса**
|
|
|
+
|
|
|
+Ресурсом являются данные, например ФИО, фотография, ваши сообщения в соц сетях, и прочее. Владелец ресурса это пользователь. При межсерверном общении владельцем ресурса может быть один из серверов.
|
|
|
+
|
|
|
+**Сервер ресурсов**
|
|
|
+
|
|
|
+На сервере ресурсов лежат ваши данные. В случае с примером выше ваши контакты Gmail это ресурс, а лежат они на серверах Gmail.
|
|
|
+
|
|
|
+**Клиент**
|
|
|
+
|
|
|
+Клиент это сервис, которому требуется доступ к вашим ресурсам. Например, Facebook требуется доступ к контактам Gmail.
|
|
|
+
|
|
|
+**Авторизационный сервер**
|
|
|
+
|
|
|
+В данном примере он принадлежит Google, так как он хранит ваши данные.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+# Аудит и мониторинг доступа
|
|
|
+_**Аудит и мониторинг доступа**_ – важная составляющая обеспечения информационной безопасности. Эти процессы позволяют следить за действиями пользователей и систем в системе информационной безопасности и обеспечивать надежную защиту.
|
|
|
+
|
|
|
+**Следящие системы (трекинг)**: Эти системы фиксируют различные события и действия, происходящие в информационной системе. Это включает в себя запись попыток доступа, изменений файлов, сетевой активности и многие другие аспекты. Важно, чтобы следящие системы работали непрерывно и могли предоставлять информацию для последующего анализа.
|
|
|
+
|
|
|
+**Аудит доступа**: Этот процесс направлен на анализ и регистрацию попыток доступа к объектам системы. В результате аудита можно определить, кто, когда и как пытался получить доступ к данным, приложениям или ресурсам. Это важно для выявления несанкционированных действий и следствия инцидентов.
|
|
|
+
|
|
|
+**Обнаружение аномалий**: Важной задачей аудита и мониторинга доступа является обнаружение аномалий. Это могут быть необычные попытки доступа, подозрительные изменения в правах доступа или другие нестандартные события. Автоматическое обнаружение таких аномалий помогает оперативно реагировать на потенциальные угрозы.
|
|
|
+
|
|
|
+**Обеспечение надежной безопасности**: Аудит и мониторинг доступа содействуют созданию надежной системы безопасности. Они позволяют идентифицировать слабые места в системе и принимать меры по их устранению. Также они обеспечивают возможность анализа инцидентов и улучшения политики безопасности.
|
|
|
+
|
|
|
+Аудит и мониторинг доступа являются неотъемлемой частью стратегии обеспечения информационной безопасности и позволяют предотвращать, выявлять и реагировать на угрозы, обеспечивая целостность, конфиденциальность и доступность данных и ресурсов.
|
|
|
+
|
|
|
+# Процесс управления доступом
|
|
|
+**Управление доступом** - это непрерывный процесс, включающий в себя планирование, реализацию, мониторинг и улучшение системы контроля доступа.
|
|
|
+
|
|
|
+**Процесс управления доступом** - это фундаментальная составляющая информационной и физической безопасности, обеспечивающая защиту ресурсов и данных от несанкционированного доступа и угроз.
|
|
|
+
|
|
|
+# Вывод:
|
|
|
+Эффективное управление доступом к объектам является неотъемлемой частью обеспечения безопасности информационных систем, гарантируя конфиденциальность, целостность и доступность данных. Применение принципов POLP, тщательной аутентификации, моделей RBAC и ABAC, а также системы аудита и мониторинга содействует созданию надежной структуры управления доступом. Эффективная реализация этих принципов помогает предотвратить утечки данных и снизить риски для организации. Путем строгого следования принципам минимизации прав доступа и разделения обязанностей можно сформировать более безопасное окружение для информации и ресурсов.
|
|
|
+
|
|
|
+# Литература:
|
|
|
+[studfile](https://studfile.net/preview/2953846/page:4/)
|
|
|
+
|
|
|
+[dehack](https://dehack.ru/metod_infbezop/szi_v_OS/dostup_k_object/)
|
|
|
+
|
|
|
+[wikipedia](https://translated.turbopages.org/proxy_u/en-ru.ru.3d34df76-651d20d8-25bbf0cd-74722d776562/https/en.wikipedia.org/wiki/Access_control_matrix)
|
|
|
+
|
|
|
+[securitylab.ru](https://www.securitylab.ru/glossary/access_control_matrix/)
|
|
|
+
|
|
|
+[управление доступом](https://moodle.kstu.ru/mod/page/view.php?id=9320&ysclid=lnlhw22vfb101098741)
|
|
|
+
|
|
|
+
|
|
|
+# Вопросы:
|
|
|
+1.Дать определение матрице.
|
|
|
+
|
|
|
+2.Что собой представляет матрица?
|
|
|
+
|
|
|
+3.Что позволяет делать аудит?
|
|
|
+
|
|
|
+4.Какой стандарт позволяет субъектам предоставить временный доступ к ресурсам?
|
|
|
+
|
|
|
+5.В чем отличия моделей ABAC и RBAC?
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+
|
ypv
