Die Zugriffskontrolle ist eine Sammlung von Techniken, Strategien und Richtlinien, die es Einzelpersonen ermöglichen, Zugriff auf die Computer-, Netzwerk- und Datenressourcen eines Unternehmens zu erhalten. RBAC (auch bekannt als RuBAC) ermöglicht oder beschränkt den Zugriff auf der Grundlage von Regeln und stellt sicher, dass Personen, die auf die Computerinfrastruktur eines Unternehmens zugreifen können, Zugriff auf genau die Ressourcen haben, die sie benötigen, nicht mehr und nicht weniger.
Wenn das ein wenig verschwommen erscheint, liegt das daran, dass das Konzept weit gefasst ist. In diesem Leitfaden wird das Konzept der regelbasierten Zugriffssteuerung RBAC erläutert und erläutert, wann Unternehmen sie möglicherweise zum Schutz verwenden.
Was ist regelbasierte Zugriffskontrolle (RBAC oder RuBAC)?
Wie der Name schon sagt, ist die regelbasierte Zugriffskontrolle RBAC ein System, das auf vordefinierten Bedingungen basiert, um verschiedenen Benutzern den Zugriff zu gewähren oder zu verweigern.
Meistens basieren diese Regeln auf den Eigenschaften einzelner Benutzer. Dies wird auch als attributbasierte Zugriffskontrolle (ABAC) bezeichnet.
Regeln können auch auf anderen Kontextwerten basieren. Faktoren, die sich beispielsweise auf frühere Aktionen beziehen, oder den aktuellen Status des Objekts in einem bestimmten Workflow. Sie könnten sogar Regeln basierend auf Systemvariablen wie der aktuellen Tageszeit oder der Serverlast erstellen.
Bei dieser Art der Zugriffskontrolle müssen verschiedene Bedingungen basierend auf den vorhandenen Attributen der Benutzer konfiguriert werden. Diese werden dann verwendet, um Personen automatisch Berechtigungen zuzuweisen.
Das System verwendet dann eine boolesche Logik, um zu bestimmen, ob jede Bedingung wahr oder falsch ist, und weist entweder Berechtigungen zu oder fährt mit der nächsten verschachtelten Bedingung fort.
Regeln können um mehrere Attributkombinationen oder nur um eine erstellt werden. Beispielsweise kann ein sehr einfaches regelbasiertes System nur den aktuellen Standort eines Benutzers berücksichtigen, wenn Berechtigungen bestimmt werden.
In einem komplexeren System können Sie neben dem Standort auch die Abteilung, die Betriebszugehörigkeit, das aktuelle Gerät oder andere Attribute oder Umgebungsfaktoren berücksichtigen.
Wie funktioniert die regelbasierte Zugriffssteuerung RBAC?
Eine IT-Abteilung erstellt Regeln auf hoher Ebene basierend auf den Einzelheiten dessen, was, wie, wo und wann jemand versucht, sich unter RBAC Zugriff zu verschaffen. Jede Ressource ist einer Zugriffssteuerungsliste oder ACL zugeordnet. Wenn jemand versucht, eine bestimmte Ressource zu verwenden, überprüft das Betriebssystem die ACL, um festzustellen, ob der Versuch alle Regeln für den Zugriff auf die Ressource befolgt.
Die „Regel“-Komponente von RBAC bezieht sich auf die Einschränkungen, wann, wie und wo Zugriff gewährt wird. Hier sind ein paar Beispiele:
- Jeder in einem Netzwerk hat eine IP-Adresse, die das Netzwerk verwendet, um Standorte zu identifizieren. Eine Regel könnte sein, dass nur Personen mit IP-Adressen in einem bestimmten geografischen Bereich, beispielsweise in der Region, in der das Buchhaltungsteam arbeitet, das Unternehmensbuchhaltungssystem verwenden dürfen. Es könnte sogar noch feiner kontrolliert werden, indem beispielsweise Personen an bestimmten Adressen der Zugriff auf die Kreditorenbuchhaltung, aber nicht auf die Debitorenbuchhaltung gestattet wird.
- Genehmigungen und Beschränkungen können mit Ports verknüpft werden, die als spezifische Netzwerktüren fungieren. Nur Anforderungen an den entsprechenden Ports würden als potenziell gültig angesehen. Ein Port könnte beispielsweise mit einer Einrichtung verbunden sein, die das Hochladen von Dokumenten von entfernten Standorten akzeptiert. In diesem Fall kann eine Anfrage zum Hochladen in einen anderen Bereich des Netzwerks abgelehnt werden.
- Bestimmte Arten des Zugriffs können auf bestimmte Zeiten beschränkt sein, z. B. während der normalen Geschäftszeiten. Außerhalb dieser Zeitfenster wäre niemand in der Lage, auf diese Rechenressourcen zuzugreifen. Zeitbeschränkungen tragen dazu bei, Kriminelle außerhalb der Geschäftszeiten, wenn weniger Sicherheitsexperten verfügbar und auf der Hut sind, von Systemen fernzuhalten.
Lesen Sie auch: ROLLENBASIERTE ZUGRIFFSKONTROLLE RBAC: Definition, Verlauf und Beispiele
- Jemand, der Zugriff auf vertrauliche Datensätze benötigt, kann zusätzliche Anmeldeinformationen erhalten, die er bei allen zukünftigen Zugriffsversuchen verwenden muss. Alternativ können sie eine Beschränkung haben, wie oft sie eine bestimmte Ressource in einer Woche verwenden können, oder sie haben möglicherweise eine Zeitüberschreitung, sodass die Erlaubnis nur vorübergehend ist.
- So sehr RBAC verwendet werden kann, um den Zugriff zu ermöglichen, kann es auch verwendet werden, um den Zugriff zu verhindern, sei es innerhalb der Infrastruktur des Unternehmens oder auf externe Ressourcen. Beispielsweise möchte das Unternehmen möglicherweise nicht, dass Mitarbeiter während der Arbeitszeit Videostreaming-Apps verwenden, oder es blockiert möglicherweise alle E-Mails (unwahrscheinlich, aber ein Benutzer kann davon träumen).
Das Wichtigste, woran Sie denken sollten, ist, dass RBAC den Zugriffskontext regelt. Während der Schwerpunkt auf den Mitarbeitern des Unternehmens liegt, können die gleichen Konzepte auf ein Unternehmen zutreffen, das Kunden oder Geschäftspartnern kontrollierten Zugriff auf einige Ressourcen gewährt.
TIPP: Regelbasierte Zugriffskontrolle RBAC ist für größere Organisationen mit mehreren Rollen und unterschiedlichem Fachwissen unerlässlich. Bestimmte Aspekte des Systems sollten aus Sicherheits- und Effizienzgründen für alle, die es nicht für ihre Arbeit benötigen, tabu sein.
Vorteile der regelbasierten Zugriffskontrolle RBAC
Für ein Unternehmen hat die regelbasierte Zugriffskontrolle RBAC zahlreiche Vorteile:
- Sie können rechtliche Compliance-Probleme besser regulieren, indem Sie den Kontext des Ressourcenzugriffs standardisieren und kontrollieren.
- RBAC erhöht die Sicherheit, indem es die erforderlichen Beschränkungen der Ressourcennutzung durchsetzt. Dies kann es für externe Kriminelle schwieriger machen, die Computerinfrastruktur Ihres Unternehmens anzugreifen.
- Ein richtig konzipiertes RBAC-System verbessert nicht nur die Sicherheit, sondern reguliert auch die Netzwerknutzung. Sie könnten den Einsatz ressourcenintensiver Prozesse und Software auf Tage und Zeiten mit geringerer Nachfrage beschränken. Beispielsweise könnten Sie komplexe Managementberichte oder Marketinganalysen so planen, dass sie nur mitten in der Nacht ausgeführt werden, wenn genügend Rechenleistung vorhanden ist.
- RBAC kann notwendige Einschränkungen automatisch anwenden, ohne IT- oder Supportpersonal einzubeziehen. Anstatt von Ihren IT-Mitarbeitern zu verlangen, die Nutzung manuell zu verfolgen und daran zu denken, Berechtigungen später zu widerrufen, können Sie Änderungen automatisieren und unter ungewöhnlichen Umständen für eine begrenzte Zeit zusätzliche Berechtigungen festlegen.
- Anstatt zu vielen Personen einen allzu breiten Zugriff zu gewähren, können Sie den Zugriff so detailliert steuern, wie Sie möchten.
- Nur Administratoren haben die Befugnis, die Regeln zu ändern, wodurch die Möglichkeit von Fehlern verringert wird.
Nachteile der regelbasierten Zugriffssteuerung RBAC
RBAC hat, wie alles andere, Einschränkungen.
- Das Konfigurieren detaillierter Regeln auf mehreren Ebenen ist zeitaufwändig und erfordert einige Vorarbeiten von Ihren IT-Mitarbeitern. Sie benötigen auch eine Art fortlaufende Überwachung, um sicherzustellen, dass die Regeln ordnungsgemäß funktionieren und nicht veraltet sind.
- Ihre Mitarbeiter finden das Zutrittskontrollsystem möglicherweise umständlich und unbequem. Wenn außerhalb der üblichen Muster gearbeitet werden muss, müssen Sie oder ein anderer Administrator eine Regel ändern oder eine Problemumgehung bereitstellen.
- Wenn Ihre IT-Mitarbeiter eine bestimmte Regel für einen ungewöhnlichen Umstand neu programmieren und dann zurückschalten müssen, kann die Notwendigkeit regelmäßiger Änderungen zu einer Belastung werden.
- RBAC berücksichtigt aufgrund seiner Abhängigkeit von Regeln keine spezifischen Beziehungen zwischen Ressourcen, Personen, Vorgängen und anderen Aspekten von Vorgängen oder Infrastruktur. Ohne zusätzliche Kontrollmechanismen kann die notwendige Regelstruktur sehr komplex werden.
Je nach Bedarf Ihres Unternehmens kann ein regelbasiertes Zutrittskontrollsystem wichtige zusätzliche Sicherheit bieten. Es kann jedoch sein, dass es alleine nicht ausreicht. Ihr Unternehmen benötigt auch Fachwissen, um die Regeln einzurichten und zu pflegen sowie sie bei Bedarf anzupassen oder zu ändern.
Was ist der Unterschied zwischen regelbasierter und rollenbasierter Zugriffskontrolle?
Die Zugriffsebenen der Mitarbeiter werden nicht durch regelbasierte Zugriffskontrollen bestimmt, die präventiver Natur sind. Sie arbeiten stattdessen daran, unbefugten Zugriff zu verhindern. Rollenbasierte Modelle sind insofern proaktiv, als sie Mitarbeitern eine Reihe von Bedingungen bieten, unter denen sie autorisierten Zugriff erhalten können.
Was ist die Regel in der Zutrittskontrolle?
Eine Domäne, ein Objekttyp, ein Lebenszyklusstatus und ein Teilnehmer werden alle einem Satz von Berechtigungen durch eine Zugriffssteuerungsregel zugewiesen. Eine Zugriffssteuerungsregel gibt die Rechte eines Benutzers, einer Gruppe, einer Rolle oder einer Organisation zum Zugriff auf Objekte eines bestimmten Typs und Zustands innerhalb einer Domäne an.
Implementieren einer regelbasierten Zugriffskontrolle
Wenn es darum geht, eine regelbasierte Zugriffskontrolle zu implementieren und Best Practices für die regelbasierte Kontrolle zu berücksichtigen, müssen mehrere wichtige Schritte unternommen werden:
- Prüfen Sie aktuelle Zugriffsregeln – Untersuchen Sie sowohl die Regeln, die für bestimmte Zugriffspunkte gelten, als auch die allgemeinen Regeln, die für alle Zugriffspunkte gelten. Ermitteln Sie Bereiche mit hohem Risiko, für die keine spezifischen Zugangsregeln gelten. Da sich Sicherheitslücken ständig ändern und weiterentwickeln, sollte dies regelmäßig erfolgen.
- Analysieren Sie „Was-wäre-wenn“-Szenarien – Identifizieren Sie potenzielle Szenarien, die die Anwendung zusätzlicher Regeln zur Risikominderung erfordern könnten.
- Aktualisieren oder erstellen Sie Regeln basierend auf der Bewertung. Legen Sie neue Regeln fest oder aktualisieren Sie vorhandene Regeln, um die Sicherheitsstufen zu erhöhen.
- Vermeiden Sie Berechtigungskonflikte indem Regeln mit Berechtigungen verglichen werden, die von anderen Zugriffssteuerungsmodellen festgelegt wurden, um sicherzustellen, dass kein Konflikt besteht, der den Zugriff fälschlicherweise verweigern würde.
- Regeln dokumentieren und veröffentlichen –Veröffentlichen Sie die wichtigsten Regeln und kommunizieren Sie alle Änderungen, um sicherzustellen, dass alle Mitarbeiter ihre Zugriffsrechte und -pflichten verstehen. Während die Mitarbeiter die Einzelheiten möglicherweise nicht kennen müssen, ist es wichtig, dass sie verstehen, wie sich Richtlinienänderungen auf ihren täglichen Betrieb auswirken können.
- Regelmäßige Reviews durchführen – Führen Sie regelmäßige Systemprüfungen durch, um Zugriffsprobleme oder Sicherheitslücken zu identifizieren. Untersuchen Sie alle Sicherheitsprobleme, die durch eine laxe Zugriffskontrolle verursacht werden, und überarbeiten Sie gegebenenfalls die Regeln.
Regelbasierte vs. rollenbasierte Zugriffskontrolle
Sicherheitsadministratoren konfigurieren und verwalten beide Modelle. Mitarbeiter können ihre Berechtigungen nicht ändern oder den Zugriff kontrollieren, da sie obligatorisch und nicht optional sind. Es gibt jedoch einige signifikante Unterschiede zwischen regelbasierter und rollenbasierter Zugriffskontrolle, anhand derer ermittelt werden kann, welches Modell für einen bestimmten Anwendungsfall am besten geeignet ist.
Produktion
- Regelbasierte Modelle definieren Regeln, die für alle Jobrollen gelten.
- Berechtigungen in rollenbasierten Modellen basieren auf bestimmten Jobrollen.
Zweck
- Die Zugriffsebenen der Mitarbeiter werden nicht durch regelbasierte Zugriffskontrollen bestimmt, die präventiver Natur sind. Sie arbeiten stattdessen daran, unbefugten Zugriff zu verhindern.
- Rollenbasierte Modelle sind insofern proaktiv, als sie Mitarbeitern eine Reihe von Bedingungen bieten, unter denen sie autorisierten Zugriff erhalten können.
Anwendung
- Regelbasierte Modelle sind generisch in dem Sinne, dass sie für alle Mitarbeiter gelten, unabhängig von ihrer Rolle.
- Rollenbasierte Modelle gelten für Mitarbeiter individuell, basierend auf ihren Rollen.
Fallstudien
Rollenbasierte Modelle eignen sich für Organisationen, in denen Rollen klar definiert sind und Ressourcen- und Zugriffsanforderungen basierend auf diesen Rollen identifiziert werden können. Daher eignen sich RBAC-Modelle für Organisationen mit einer großen Anzahl von Mitarbeitern, in denen das Festlegen von Berechtigungen für einzelne Mitarbeiter schwierig und zeitaufwändig wäre.
Regelbasierte Betriebssysteme funktionieren gut in Organisationen mit weniger Mitarbeitern oder in denen die Rollen fließend sind, was es schwierig macht, „strenge“ Berechtigungen zuzuweisen. Regelbasierte Betriebssysteme sind auch für Organisationen mit mehreren Bereichen unerlässlich, die höchste Sicherheitsniveaus erfordern. Ein rollenbasiertes Modell allein bietet möglicherweise keinen angemessenen Schutz, insbesondere wenn jede Rolle unterschiedliche Dienstaltersebenen und Zugriffsanforderungen abdeckt.
Hybridmodelle
Regelbasierte und rollenbasierte Zugriffskontrollmodelle ergänzen sich dahingehend, dass sie unterschiedliche Ansätze verfolgen, um dasselbe Ziel der Maximierung des Schutzes zu erreichen. Rollenbasierte Systeme stellen sicher, dass nur autorisierte Mitarbeiter Zugriff auf eingeschränkte Bereiche oder Ressourcen haben. Regelbasierte Systeme stellen sicher, dass berechtigte Mitarbeiter an den richtigen Orten und zur richtigen Zeit Zugriff auf Ressourcen haben.
Einige Organisationen glauben, dass keines der Modelle das erforderliche Sicherheitsniveau bietet. Um mit verschiedenen Szenarien fertig zu werden, können Sicherheitsadministratoren ein Hybridmodell verwenden, um sowohl einen Schutz auf hohem Niveau durch rollenbasierte Systeme als auch eine flexible granulare Kontrolle durch regelbasierte Modelle bereitzustellen.
Administratoren können allen Mitarbeitern über das rollenbasierte Modell in Bereichen mit geringeren Sicherheitsanforderungen, wie z. B. Eingangslobbys, Zugriff gewähren, aber eine regelbasierte Ausnahme hinzufügen, die den Zugriff außerhalb der Geschäftszeiten verweigert.
Administratoren können bestimmten Rollen in Bereichen mit höherer Sicherheit Berechtigungen zuweisen, aber regelbasierte Systeme verwenden, um Mitarbeiter in einer Rolle auszuschließen, die nur auf der unteren Ebene sind.
Ein solches Hybridmodell kombiniert die Vorteile beider Modelle und verbessert gleichzeitig die allgemeine Sicherheitslage.
Vereinfachen Sie die Türzugangskontrollverwaltung
- Berechtigungen können mithilfe von Benutzerrollen, Attributen und benutzerdefinierten Regeln einfach und sicher konfiguriert werden.
- Planen Sie den Zugang zu allen Türen, Toren, Drehkreuzen und Aufzügen.
- Fernentriegelung jeder Tür oder Aktivierung einer Gebäudesperre
- Mit berührungslosem „Wave to Unlock“ benötigen Sie für jeden Eintrag nur einen mobilen Zugang.
- Für Hochsicherheitsbereiche, integrierte Biometrie, MFA und Videoüberprüfung
- Mit einer cloudbasierten Remote-Zugangskontrollsoftware können Sie die Zugangsberechtigungen jederzeit ändern.
Rollenbasierte und regelbasierte Zugriffskontrolle vs. attributbasierte Zugriffskontrolle
Sicherheitsadministratoren in einem rollenbasierten System gewähren oder verweigern den Zugriff auf einen Bereich oder eine Ressource basierend auf der Rolle des Mitarbeiters im Unternehmen.
Administratoren steuern den Zugriff in einem attributbasierten System basierend auf einer Reihe von genehmigten Attributen oder Merkmalen. Obwohl die Rolle eines Mitarbeiters eines seiner Attribute sein kann, umfasst sein Profil im Allgemeinen andere Merkmale wie die Mitgliedschaft in einem Projektteam, einer Arbeitsgruppe oder einer Abteilung sowie Managementebene, Sicherheitsfreigabe und andere Kriterien.
Da der Administrator nur wenige Rollen definieren muss, ist ein rollenbasiertes System schneller und einfacher zu implementieren. Der Administrator eines attributbasierten Systems muss mehrere Merkmale definieren und verwalten.
Andererseits kann die Verwendung mehrerer Merkmale in bestimmten Anwendungsfällen vorteilhaft sein, da sie es Administratoren ermöglicht, eine granularere Form der Kontrolle anzuwenden.
Attributbasierte vs. regelbasierte Zugriffskontrolle
Administratoren in einem regelbasierten System gewähren oder verweigern den Zugriff basierend auf einem Satz vordefinierter Regeln.
Im Gegensatz dazu bewerten attributbasierte Zugriffskontrollmodelle (ABAC) eine Reihe genehmigter Attribute oder Merkmale, bevor der Zugriff gewährt wird. Administratoren können eine Vielzahl von Merkmalen erstellen, die auf die spezifischen Sicherheitsanforderungen verschiedener Zugriffspunkte oder Ressourcen zugeschnitten sind. Der Hauptunterschied zwischen diesen beiden Typen besteht in den Informationen und Aktionen, die zum Gewähren oder Verweigern des Zugriffs verwendet werden. Attribute sind in der Regel immer noch mit persönlichen Informationen über den Mitarbeiter verknüpft, wie z. B. Team, Arbeitsstatus oder Freigabe. In den Regeln wird häufig auf Arbeitszeiten, Türpläne, Geräte und ähnliche Kriterien verwiesen.
Beide Modelle ermöglichen eine granulare Zugriffskontrolle, was für Organisationen mit besonderen Sicherheitsanforderungen von Vorteil ist. Sowohl regelbasierte als auch attributbasierte Modelle können mit anderen Modellen kombiniert werden, beispielsweise mit rollenbasierter Zugriffskontrolle. Da Administratoren mehrere Regeln oder Attribute definieren müssen, kann die Implementierung und Verwaltung beider Modelle zeitaufwändig sein. Regeln und Attribute hingegen bieten im Laufe der Zeit eine größere Skalierbarkeit.
Zusammenfassung
Zwei der wichtigsten Modelle, um festzustellen, wer Zugriff auf bestimmte Bereiche oder Ressourcen innerhalb eines Unternehmens hat, sind die regel- und rollenbasierte Zugriffskontrolle. Ein Sicherheitsadministrator kann den Zugriff auf hoher Ebene verwalten oder detaillierte Regeln anwenden, um einen spezifischen Schutz für Hochsicherheitsbereiche bereitzustellen, indem er das am besten geeignete Modell implementiert.
Die auf Regeln und Rollen basierende Zugriffskontrolle ermöglicht es Unternehmen, ihre Sicherheitstechnologie wirklich individuell zu nutzen. Durch die Bestimmung, wer Zugriff auf bestimmte Bereiche und Ressourcen innerhalb eines Unternehmens hat, kann ein Unternehmen das beste Modell implementieren und den Zugriff auf hoher Ebene verwalten sowie granulare Regeln anwenden, um einen robusteren Schutz für Hochsicherheitsbereiche zu bieten.
Obwohl beide Modelle effektive Sicherheit und erhebliche Vorteile bieten, ist der Aufwand für die Entwicklung, Implementierung und Verwaltung von Zugriffssicherheitsrichtlinien unterschiedlich. Als zusätzlicher Bonus ergänzen sich regelbasierte und rollenbasierte Modelle und können zusammen verwendet werden, um eine noch größere Zugriffskontrollsicherheit zu bieten.
Ähnliche Artikel
- ROLLENBASIERTE ZUGRIFFSKONTROLLE RBAC: Definition, Verlauf und Beispiele
- DISCRETIONARY ACCESS CONTROL: Definition und Beispiele
- OBLIGATORISCHE ZUGANGSKONTROLLE MAC: So funktioniert es
- NETZWERKSYSTEMVERWALTUNG: Wie es funktioniert
Bibliographie
