Esplorare Access Control for Security + Certification - dummies

Controllo accesso è la capacità di consentire o negare l'uso di un oggetto (un'entità passiva, come un sistema o un file) di un soggetto (un'entità attiva, come un individuo o un processo).

I sistemi di controllo degli accessi forniscono tre servizi essenziali:

• Identificazione e autenticazione (I & A): Questi determinano chi può accedere a un sistema.
• Autorizzazione: Determina cosa può fare un utente autorizzato.

• Responsabilità: Identifica ciò che un utente ha fatto.

Identificazione e autenticazione (I & A)

Identificazione e autenticazione (I & A) è un processo in due fasi che determina chi può accedere a un sistema.

• Identificazione è il modo in cui un utente comunica a un sistema chi è (ad esempio, utilizzando un nome utente).

• Il componente di identificazione di un sistema di controllo accessi è normalmente un meccanismo relativamente semplice basato su Username o User ID.

• Nel caso di un sistema o processo, l'identificazione si basa generalmente su

• Nome computer

• Indirizzo MAC (Media Access Control)

• Indirizzo IP (Internet Protocol)

• Process ID (PID)

• Gli unici requisiti per l'identificazione sono che l'identificazione

• identifichi univocamente l'utente.

• Non dovrebbe identificare la posizione di quell'utente o l'importanza relativa in un'organizzazione (come etichette come presidente o CEO ).

• Evita di utilizzare account utente comuni o condivisi, come root , admin e sysadmin .

• Tali account non forniscono responsabilità e sono obiettivi succosi per gli hacker.

• Autenticazione è il processo di verifica dell'identità richiesta dell'utente (ad esempio, confrontando una password inserita con la password memorizzata su un sistema per un determinato nome utente).
L'autenticazione si basa su almeno uno di questi tre fattori:

• Qualcosa che conosci, come una password o un numero di identificazione personale (PIN). Ciò presuppone che solo il proprietario dell'account conosca la password o il PIN necessari per accedere all'account. Sfortunatamente, le password vengono spesso condivise, rubate o indovinate.

• Qualcosa che hai, come una smart card o un token. Ciò presuppone che solo il proprietario dell'account disponga della smart card o token necessaria per sbloccare l'account.

• Sfortunatamente, smart card o token possono essere persi, rubati, presi in prestito o duplicati.

• Qualcosa che sei, come impronte digitali, voce, retina o caratteristiche dell'iride.Ciò presuppone che il dito o il bulbo oculare attaccato al tuo corpo sia effettivamente tuo e ti identifica in modo univoco.

• Il principale svantaggio è l'accettazione da parte dell'utente - molte persone sono a disagio nell'usare questi sistemi.

Autorizzazione

Autorizzazione (o stabilimento ) definisce i diritti e le autorizzazioni di un utente su un sistema. Dopo che un utente (o processo) è stato autenticato, l'autorizzazione determina ciò che quell'utente può fare sul sistema.

La maggior parte dei sistemi operativi moderni definisce insiemi di permessi che sono variazioni o estensioni di tre tipi di accesso di base:

• Lettura (R): L'utente può

• Leggere il contenuto del file

• Elenco directory contenuto

• Scrittura (W): L'utente può modificare il contenuto di un file o una directory con queste attività:

• Aggiungi

• Crea

• Elimina > • Rinomina

Esegui (X):

• Se il file è un programma, l'utente può eseguire il programma. Questi diritti e permessi sono implementati in modo diverso nei sistemi basati su

controllo di accesso discrezionale ( DAC) e controllo di accesso obbligatorio (MAC). Responsabilità

La responsabilità utilizza tali componenti di sistema come audit trail (record) e log per associare un utente alle sue azioni. Audit trail e log sono importanti per

Rilevamento di violazioni di sicurezza

• Ricreazione di incidenti di sicurezza
• Se nessuno esamina regolarmente i tuoi registri e non vengono mantenuti in modo sicuro e coerente, potrebbero non essere ammissibili come prova.

Molti sistemi possono generare report automatizzati basati su determinati criteri o soglie predefinite, noti come

livelli di ritaglio . Ad esempio, è possibile impostare un livello di ritaglio per generare un rapporto per quanto segue: Più di tre tentativi di accesso non riusciti in un determinato periodo

• Qualsiasi tentativo di utilizzare un account utente disabilitato
• Questi rapporti aiutano un amministratore di sistema o l'amministratore della sicurezza identificano più facilmente possibili tentativi di intrusione.

Tecniche di controllo degli accessi

Le tecniche di controllo degli accessi sono generalmente classificate come

discrezionali o obbligatorie . Comprendere le differenze tra il controllo dell'accesso discrezionale (DAC) e il controllo obbligatorio degli accessi (MAC), nonché i metodi specifici di controllo degli accessi in ciascuna categoria, è fondamentale per il superamento dell'esame Security +. Controllo accesso discrezionale

D

controllo accesso cumulativo (DAC) è un criterio di accesso determinato dal proprietario di un file (o altra risorsa). Il proprietario decide a chi è consentito l'accesso al file e quali privilegi hanno. Due concetti importanti in DAC sono

Proprietà file e dati:

• Ogni oggetto in un sistema deve avere un proprietario. Il criterio di accesso è determinato dal proprietario della risorsa (inclusi file, directory, dati, risorse di sistema e dispositivi). In teoria, un oggetto senza un proprietario non è protetto. Normalmente, il proprietario di una risorsa è la persona che ha creato la risorsa (come un file o una directory).
Diritti di accesso e permessi:
• Questi sono i controlli che un proprietario può assegnare a singoli utenti o gruppi per risorse specifiche. I controlli di accesso discrezionale possono essere applicati tramite le seguenti tecniche:

Elenchi di controllo accesso

• (ACL) denominano i diritti e le autorizzazioni specifici assegnati a un oggetto per un dato oggetto. Gli elenchi di controllo di accesso forniscono un metodo flessibile per l'applicazione di controlli di accesso discrezionali. Controllo degli accessi basato sui ruoli
• assegna l'appartenenza al gruppo in base a ruoli organizzativi o funzionali. Questa strategia semplifica enormemente la gestione dei diritti di accesso e delle autorizzazioni: • I diritti di accesso e le autorizzazioni per gli oggetti vengono assegnati a qualsiasi gruppo o, in aggiunta, ai singoli.

• Gli individui possono appartenere a uno o più gruppi. Gli individui possono essere designati per acquisire

autorizzazioni cumulative (ogni permesso di qualsiasi gruppo in cui si trovano) o squalificati da qualsiasi autorizzazione che non fa parte del gruppo ogni in. Controllo di accesso obbligatorio

Il controllo di accesso obbligatorio (MAC) è un criterio di accesso determinato dal sistema, non dal proprietario. MAC è utilizzato in

sistemi multilivello che elaborano dati altamente sensibili, come informazioni riservate governative e militari. Un sistema multilivello è un sistema a computer singolo che gestisce più livelli di classificazione tra oggetti e oggetti. Due concetti importanti in MAC sono i seguenti:

Etichette di sensibilità:

• In un sistema basato su MAC, tutti i soggetti e gli oggetti devono avere etichette assegnati a loro. L'etichetta di sensibilità di un soggetto specifica il livello di attendibilità. L'etichetta di sensibilità di un oggetto specifica il livello di affidabilità richiesto per l'accesso.
Per accedere a un dato oggetto, il soggetto deve avere un livello di sensibilità uguale o superiore all'oggetto richiesto.Importazione ed esportazione dei dati:
• Il controllo dell'importazione di informazioni da altri sistemi ed esportazione in altri sistemi (incluse le stampanti) è una funzione critica dei sistemi basati su MAC, che devono garantire che le etichette di sensibilità siano correttamente mantenute e implementate in modo tale tali informazioni sensibili sono adeguatamente protette in ogni momento. Due metodi sono comunemente usati per applicare il controllo di accesso obbligatorio:

Controlli di accesso basati su regole:

• Questo tipo di controllo definisce inoltre condizioni specifiche per l'accesso a un oggetto richiesto. Tutti i sistemi basati su MAC implementano una semplice forma di controllo degli accessi basata su regole per determinare se l'accesso deve essere concesso o negato facendo corrispondere
• Un'etichetta di sensibilità di un oggetto

• Un'etichetta di sensibilità di un soggetto

Lattice- controlli di accesso basati:

• possono essere utilizzati per decisioni di controllo accessi complesse che coinvolgono più oggetti e / o soggetti. Un modello di reticolo
è una struttura matematica che definisce i valori inferiori e minimi superiori inferiori per una coppia di elementi, come un soggetto e un oggetto.