El control de acceso es una medida de seguridad que se puede utilizar para evitar el acceso no autorizado a datos confidenciales. Pero, ¿cómo contribuye el control de acceso obligatorio (MAC) a la seguridad? Siga leyendo para averiguarlo.
¿Qué es el control de acceso?
Los usuarios frecuentemente entran en contacto con recursos y activos a los que deberían o no tener acceso mientras exploran las redes físicas y digitales. Esto es especialmente cierto en los sistemas digitales, donde la migración lateral a ubicaciones separadas de almacenamiento, aplicación o procesamiento puede exponer toda la infraestructura a peligrosas amenazas de seguridad.
Para mantener separados los activos y los recursos, los administradores de seguridad utilizan "controles de acceso", que definen quién tiene acceso a ciertos recursos.
Una vez que un usuario ha sido autenticado y autorizado para ingresar a un sistema utilizando una cuenta o identidad de usuario, un sistema de control de acceso establece restricciones que rigen quién, cuándo, dónde y, en algunos casos, cómo ese usuario puede navegar por el sistema.
Si bien en la superficie, esta noción parece sencilla, existen varios esquemas de control de acceso diferentes que ayudan a proteger los recursos contra el acceso no autorizado, pero aquí nos centraremos en uno: el control de acceso obligatorio.
¿Qué es el control de acceso obligatorio MAC?
El control de acceso obligatorio (MAC) es un modelo de control de acceso en el que el sistema operativo otorga acceso a los usuarios según la confidencialidad de los datos y los niveles de autorización del usuario. En este modelo, el acceso se otorga según la necesidad de saber: los usuarios deben demostrar la necesidad de información antes de recibir acceso.
El control de acceso obligatorio MAC también se conoce como modelo de control no discrecional, lo que significa que el control no se otorga a discreción del usuario o del propietario del archivo. Los mecanismos de control de MAC se adhieren a los principios de confianza cero.
MAC se considera el modelo de control de acceso más seguro. En este modelo, las reglas de acceso las especifican manualmente los administradores del sistema y el sistema operativo o el núcleo de seguridad las aplican de manera estricta. Incluso para los datos, han desarrollado, los usuarios regulares no pueden cambiar las propiedades de seguridad.
¿Cuáles son los conceptos fundamentales del control de acceso obligatorio MAC?
- La privacidad y confidencialidad de los recursos de la organización son de suma importancia. Nadie tiene acceso predeterminado o privilegios de edición a los datos de otra persona.
- El aprovisionamiento de acceso se gestiona de forma centralizada.
- Se asignan etiquetas de seguridad con clasificación y categoría a cada humano y recurso en el sistema.
El procedimiento para adquirir acceso con MAC es el siguiente:
- El administrador configura restricciones de acceso y establece parámetros de seguridad como niveles de confidencialidad y autorizaciones para diferentes proyectos y tipos de recursos.
- Cada sujeto (usuario o recurso que accede a los datos) y objeto (archivo, base de datos, puerto, etc.) recibe un conjunto de atributos del administrador.
- Cuando un sujeto intenta acceder a un objeto, el sistema operativo evalúa los atributos de seguridad del sujeto y determina si se permite o no el acceso.
- El usuario ingresa sus credenciales para obtener acceso al elemento.
Los sistemas operativos prestan atención a las coincidencias de categoría entre sujeto y objeto, además de evaluar la confidencialidad y los niveles de autorización (coincidencias de clasificación entre sujeto y objeto). Si un usuario no es miembro de la categoría requerida para el objeto, tener una clasificación de "alto secreto" no le otorga automáticamente acceso completo a un archivo.
Considere los datos con el nivel de confidencialidad "ultrasecreto" y la clasificación de seguridad de "proyecto de ingeniería". Solo es accesible para los usuarios que tienen autorización de "alto secreto" (clasificación) y permiso para acceder a documentos de ingeniería (categoría). Estos usuarios también pueden obtener acceso a material que requiere un menor nivel de autorización de seguridad. Los empleados con menores niveles de autorización o sin acceso a documentos de ingeniería, por otro lado, no pueden acceder a dicha información.
Un sistema de ciberseguridad se beneficia enormemente de MAC. Sin embargo, existen numerosos inconvenientes a tener en cuenta. Considere las ventajas y desventajas del control de acceso obligatorio.
Ventajas y desventajas de MAC
Para Agencias y Operadores
- Alto nivel de seguridad de los datos – El acceso a los objetos lo define un administrador y los usuarios no pueden cambiar ese acceso.
- granularidad — Un administrador configura manualmente los permisos de acceso de los usuarios y los parámetros de acceso a los objetos.
- Inmunidad a los ataques de caballos de Troya – Los usuarios no pueden desclasificar ni brindar acceso a material clasificado, lo que los hace inmunes a los ataques de caballos de Troya.
- Menos errores – Las políticas estrictas y monitoreadas regularmente ayudan a reducir los errores del sistema que resultan en usuarios con privilegios excesivos.
- división estricta – Los administradores dividen a los usuarios en subconjuntos y utilizan atributos de seguridad para limitar la exposición de recursos para estos grupos.
Desventajas
- Mantenibilidad – La configuración manual de los niveles de seguridad y las autorizaciones requiere la atención continua de los administradores.
- Escalabilidad – MAC no escala automáticamente. Los nuevos usuarios y datos requieren ajustes frecuentes en los objetos y las configuraciones de la cuenta.
- Interferencia con el trabajo de los usuarios. – Los usuarios deben solicitar acceso a cada nuevo dato que encuentren; no pueden definir parámetros de acceso para sus propios datos.
¿Cuándo debe usar un MAC de control de acceso obligatorio?
Este modelo de control de acceso es empleado principalmente por agencias gubernamentales, militares y agencias de aplicación de la ley. El gobierno de EE. UU. emplea MAC para proteger la información secreta, así como para respaldar las políticas y aplicaciones de seguridad por niveles. En las industrias de seguros y banca, MAC se utiliza para controlar el acceso a los datos de la cuenta del cliente para una mayor protección y cumplimiento de los datos. Este modelo de control de acceso no discrecional también puede salvaguardar el acceso a una base de datos, donde los objetos son procedimientos, tablas, vistas y otras características.
Tiene sentido emplear MAC en empresas que priorizan la seguridad de los datos sobre la flexibilidad operativa y los gastos. Debido a la complejidad e inflexibilidad del sistema, la implementación de MAC en una organización privada es poco común.
Un modelo MAC puro proporciona seguridad granular y de alto nivel. Sin embargo, es difícil de configurar y administrar. Como resultado, MAC se combina frecuentemente con otros esquemas de control de acceso.
Combinándolo, por ejemplo, con el modelo basado en roles agiliza la creación de perfiles de usuario. Un administrador puede construir roles de usuario en lugar de definir derechos de acceso para cada usuario individual. En todas las organizaciones existen usuarios con roles y derechos de acceso comparables: trabajadores con el mismo cargo, proveedores externos, etc. En lugar de crear perfiles de usuario individuales desde cero, un administrador puede configurar roles para estos grupos.
Otro emparejamiento frecuente es MAC con el modelo de control de acceso discrecional, abreviado como DAC. MAC protege los datos confidenciales, mientras que DAC permite a los compañeros de trabajo compartir información dentro de un sistema de archivos corporativo.
Otros métodos de control de acceso
#1. Control de acceso basado en reglas
Este método asigna permisos a los usuarios en función de un conjunto predefinido de reglas y políticas. Estas reglas establecen un "contexto" desde el cual se puede obtener acceso a los recursos. Estas restricciones se describen en una Lista de control de acceso (ACL) que se adjunta a un "objeto" (el recurso, ya sea que se trate de permisos de procesamiento, datos, acceso a la cuenta u otra cosa).
Algunos ejemplos de acceso basado en reglas incluyen la limitación del acceso al sistema a horas específicas del día o ubicaciones (por ejemplo, la limitación del acceso a dispositivos en o cerca de una oficina).
#2. Control de acceso basado en roles
El acceso basado en roles es un método en el que los roles de usuario de una organización definen los permisos de acceso. La organización tendrá una jerarquía organizativa bien definida, así como un conjunto de permisos claramente definido según las responsabilidades dentro de esa jerarquía. A cualquier usuario que esté asignado a un rol se le otorgarán los permisos asociados con ese rol.
El acceso basado en roles es extremadamente frecuente. Los permisos basados en roles se encuentran más comúnmente en sistemas multiusuario. Un proveedor de servicios de cara al público (como un proveedor de servicios de nube o de correo electrónico) puede tener varias categorías de cuentas (usuarios, usuarios VIP, administradores, moderadores, etc.), cada una con su propio ejemplo de permisos y controles de acceso. Para permitir un entorno compartido, un sistema basado en roles restringiría quién puede acceder a qué dentro del sistema.
#3. Control de acceso basado en atributos
Los sistemas basados en atributos son más granulares que los sistemas basados en roles y en reglas. En lugar de mirar una lista de reglas asociadas con recursos (como en los sistemas de reglas) o roles (como en los sistemas de roles), los sistemas basados en atributos pueden extraer información dinámica de las cuentas de los usuarios para crear sistemas de acceso más fluidos y receptivos.
Suponga que una corporación trata con ejemplos clasificados. Por lo tanto, los usuarios individuales podrían ser designados para acceder a los datos SECRETOS; esto sería un atributo de la persona, no un rol o un recurso.
Estas técnicas de control de acceso no son mutuamente excluyentes. Por ejemplo, los sistemas basados en atributos y roles se pueden usar para ajustar el sistema y la seguridad de los datos.
#4. Control de acceso discrecional
El control de acceso discrecional (DAC), por otro lado, permite a los clientes y usuarios finales de negocios un control adicional sobre sus controles de acceso. Si bien un administrador de seguridad puede crear roles y permisos en todo el sistema, el usuario puede anular dichos permisos para brindar acceso a ciertos usuarios que deberían tener acceso en función de sus credenciales comerciales.
Esta estrategia puede proporcionar cierta flexibilidad en términos de cómo una empresa otorga acceso a las personas. Cuando los administradores de empresas locales se niegan a actualizar o configurar sus permisos locales, se presentan posibles vulnerabilidades. Como resultado, DAC es una tecnología de alto mantenimiento que, si bien es adaptable, requiere un mantenimiento constante.
¿Cuál es la diferencia entre el control de acceso obligatorio y discrecional?
El MAC y DAC están polarizados. Si bien varios métodos de control de acceso pueden coexistir de alguna manera, es difícil (si no imposible) colocar con éxito tanto DAC como MAC sin pisotearse entre sí.
Habiendo dicho eso, estas incompatibilidades son causadas en parte por las disparidades entre las dos técnicas. Obligatorio y discrecional difieren en varios aspectos importantes:
- Protección: Cuando se aplica correctamente, la discrecionalidad obligatoria brinda una protección más confiable y predecible. El control de acceso discrecional puede brindar a una organización una flexibilidad importante, pero también puede presentar posibles conflictos entre los permisos individuales y los de toda la organización.
- Control de usuario: Además, las restricciones obligatorias no son extremadamente flexibles fuera de su esquema y por una buena razón: para resolver los desafíos de seguridad organizacional relacionados con el acceso. Sin embargo, existen situaciones genuinas en las que los empleados de una organización deben tener acceso a recursos específicos, incluso si su posición o atributos de usuario no lo permiten.
- Mantenibilidad: Por lo general, los controles de acceso obligatorios se desarrollan de arriba hacia abajo y se planifican centralmente. Es decir, pueden admitir una autorización robusta en todo un sistema, con requisitos reglamentarios y de seguridad implementados en una sola ubicación.
Por otro lado, DAC puede complicarse si un usuario final implementa el control de acceso local sin cuidado o no actualiza su lista de permisos cuando el personal se va o es despedido.
Conclusión
El control de acceso obligatorio (MAC) es un método de seguridad que limita la capacidad de los propietarios de recursos individuales para otorgar o prohibir el acceso a los objetos de recursos del sistema de archivos. El administrador del sistema define los requisitos de MAC, que el sistema operativo (SO) o el kernel de seguridad imponen estrictamente y que los usuarios finales no pueden cambiar.
El control de acceso obligatorio, que se usa comúnmente en instalaciones gubernamentales y militares, funciona mediante la asignación de una etiqueta de clasificación a cada elemento del sistema de archivos. Hay tres niveles de clasificación: confidencial, secreto y alto secreto. Cada usuario y dispositivo en el sistema se clasifica y borra en el mismo nivel. Cuando una persona o dispositivo intenta acceder a un determinado recurso, el sistema operativo o el núcleo de seguridad verifica las credenciales de la entidad para determinar si el acceso está autorizado o no. Si bien es la opción de control de acceso más segura disponible, MAC requiere una planificación cuidadosa y un monitoreo regular para garantizar que todos los objetos de recursos y usuarios se clasifiquen correctamente.
MAC es el grado más alto de control de acceso, a diferencia del control de acceso discrecional (DAC) de nivel inferior, que permite a los propietarios de recursos individuales crear sus propias reglas e imponer restricciones de seguridad.
Preguntas frecuentes sobre el control de acceso obligatorio
¿Cuál es la diferencia entre MAC y DAC?
El uso de DAC es menos seguro. El uso de MAC es más seguro. El propietario de DAC puede definir el acceso y los privilegios, así como restringir los recursos, en función de la identidad de los usuarios. En MAC, el sistema solo evalúa el acceso y los recursos se restringen en función de la autorización de las personas.
¿Windows usa MAC o DAC?
La mayoría de los sistemas operativos, incluidas todas las versiones de Windows, Linux y Macintosh, así como la mayoría de las variedades de Unix, se basan en modelos DAC.
¿Qué es el modelo DAC?
El control de acceso discrecional (DAC) es un modelo de control de acceso en el que el propietario del recurso determina el acceso. El propietario del recurso tiene control sobre quién tiene acceso y quién no, así como qué tipo de acceso tiene.
Artículos Relacionados
- CONTROL DE ACCESO DISCRECIONAL: Definición y Ejemplos
- Herramientas de administración de Active Directory: qué es y todo lo que necesita saber al respecto
- Gestión discrecional de inversiones: descripción general, ventajas y riesgos
- DEFINICIÓN DE INGRESO DISCRECIONAL: Qué es, diferencia y ejemplos
- Software de gestión escolar: mejores selecciones en 2022
Referencias
