Bilgisayar Erişim Denetimi

Bilgisayar güvenliğinde genel erişim denetimi; tanımlama, yetkilendirme, kimlik doğrulama, erişim onayı ve kimlik denetimini içerir . Erişim kontrolünün daha dar bir tanımı, sadece erişim onayını kapsar. Erişim onayı yapısında sistem; nesnenin erişim yetkisine bağlı olarak, zaten kimliği doğrulanmış bir nesneden erişim isteği verme veya erişim isteğini reddetme kararı alır. Kimlik doğrulama ve erişim kontrolü genellikle tek bir işlemde birleştirilir; böylece erişim, başarılı kimlik doğrulamasına veya anonim erişim belirtecine(jetonuna) dayalı olarak onaylanır. Kimlik doğrulama yöntemleri ve belirteçleri arasında parolalar, biyometrik taramalar, fiziksel anahtarlar, elektronik anahtarlar ve aygıtlar, gizli yollar, sosyal engeller, insanlar ve otomatik sistemler tarafından izleme bulunur.

Yetenek temelli bir modelde, bir nesneye ait unutulmayacak bir referans veya kabiliyet tutularak nesneye erişim sağlanır. (birinin ev anahtarına sahip olmanın, kişinin evine nasıl erişim sağlanacağını tanımlaması durumuna kabaca benzetilebilir); erişim, böyle bir kabiliyetin güvenli bir kanal üzerinden iletilmesiyle başka bir tarafa iletilir.

Hem Yetenek Tabanlı hem de Erişim Kontrol Listesi tabanlı modellerde, bir grubun bütün üyelerine erişim haklarının verilmesine izin veren mekanizmalar vardır (genellikle grubun kendisi bir nesne olarak modellenir).

Tanımlama ve Kimlik Doğrulama (I&A); bir kimliğin, o kimliğin kendisine ait olduğunu iddia eden nesneye ait olduğunu veya kimliği doğrulama sürecidir. Kimlik Doğrulama süreci, kimlik kanıtlama olarak adlandırılan ve genellikle kimliğin ilk olarak doğrulandığı süreçtir. Bu anlamda birçok kimlik doğrulama süreci mevcuttur. Devlet tarafından verilen kimliğin yüz yüze doğrulanmasından, davacının anonim kalmasına olanak sağlayan anonim yöntemlere kadar birçok farklı yapıyı kapsar fakat her koşulda sistem tarafından bilinmesi/doğrulanması gerekir. Kimlik kanıtlama ve doğrulama için kullanılan yöntem, kimliğin sistem içindeki kullanım amacına uygun bir güvence düzeyi sağlamalıdır. Daha sonra varlık, doğrulama aracı olarak bir kimlik doğrulayıcı ile birlikte bir kimlik verir. Tanımlayıcı için tek gereksinim, güvenlik etki alanında benzersiz olmasıdır.

Parola veya kişisel kimlik numarası (PIN) gibi nesne tarafından bilinen bir şey. Bu, yalnızca hesabın sahibinin hesaba erişmek için gereken şifreyi veya PIN kodunu bildiğini durumu ifade eder.

Akıllı kart veya güvenlik belirteci gibi sahip olunan bir şey. Bu, hesabın kilidini açmak için yalnızca hesabın sahibinin gerekli akıllı karta veya jetona sahip olduğu durumu ifade eder.

Nerede olunduğunu gösteren bir şey; şirket ateş duvarının iç veya dışın olunması ya da kişisel GPS cihazının giriş konumuna yakınlığı gibi.

Erişim onayı sırasında sistem, isteğin yerine getirilip getirilmeyeceğini belirlemek için yetkilendirme politikasının resmi beyanını erişim talebiyle karşılaştırır. Ayrıca, erişim değerlendirmesi çevrimiçi/sürekli olarak yapılabilir.

Kırpma seviyesinin tanımı: bir diskin manyetik özelliklerini koruma ve içeriğini tutma yeteneği olarak tanımlanabilir. Yüksek kalite seviyesi % 65-70; düşük kalite% 55'in altında olacak şekilde belirlenmiştir.

Erişim kontrol modelleri isteğe bağlı veya zorunlu olarak kategorize edilir. En yaygın olarak tanınan üç model İsteğe Bağlı Erişim Kontrolü (DAC), Zorunlu Erişim Kontrolü (MAC) ve Rol Tabanlı Erişim Kontrolü (RBAC) 'dır. MAC isteğe bağlı değildir, zorunludur.

İsteğe Bağlı Erişim Denetimi (DAC), bir nesnenin sahibi tarafından belirlenen bir ilkedir. Sahip, nesneye kimin erişebileceğine ve erişenin hangi ayrıcalıklara sahip olacağına karar verir.

Dosya ve veri sahipliği: Sistemdeki her nesnenin bir sahibi vardır . Çoğu DAC sisteminde, her nesnenin ilk sahibi, yaratılmasına neden olan nesnedir. Bir nesneye ilişkin erişim politikası sahibi tarafından belirlenir.

Zorunlu Erişim Denetimi; bir kaynağa, yalnızca belirli bir kullanıcının, o kaynağa erişmesine izin veren kurallar varsa erişmesine izin verir. Yönetilmesi zordur, ancak kullanımı oldukça hassas bilgileri korumak için kullanılabilir. Bazı hükûmet ve askeri bilgilerin korunması bu yapıya örnek olarak verilebilir. Bilgiler hiyerarşik erişim kontrolü kullanılarak veya hassasiyet etiketleri uygulanarak korunabiliyorsa, yönetim genellikle basitleştirilir (gerekenler üzerinde). Yöntemi "zorunlu" yapan şey, kuralların veya duyarlılık etiketlerinin kullanılmasıdır.

Hassasiyet etiketleri: Böyle bir sistemde öznelerin ve nesnelerin kendilerine atanmış etiketleri olmalıdır. Bir öznenin hassasiyet etiketi, güven düzeyini belirtir. Bir nesnenin hassasiyet etiketi, erişim için gereken güven düzeyini belirtir. Belirli bir nesneye erişmek için, öznenin istenen nesneye eşit veya daha yüksek bir hassasiyet seviyesi olmalıdır.

Verileri içe aktarma ve dışa aktarma: Diğer sistemlerden bilgi aktarımını kontrol etmek ve diğer sistemlere (yazıcılar dahil) dışa aktarmayı kontrol etmek, hassas sistemlerin düzgün bir şekilde korunabilmesi için hassasiyet etiketlerinin düzgün bir şekilde muhafaza edilmesinin ve uygulanmasının sağlanmak zorunda olduğu bir işlevdir.

Kafes tabanlı erişim denetimi : Bunlar, birden fazla nesne ve / veya özne içeren karmaşık erişim kontrolü kararları için kullanılabilir. Kafes modeli, bir nesne ve özne gibi bir çift öğe için en büyük alt sınır ve en küçük üst sınır değerlerini tanımlayan matematiksel bir yapıdır.

Rol tabanlı erişim denetimi (RBAC), bu yapıda erişim; sahibi tarafından değil, sistem tarafından belirlenir. RBAC ticari uygulamalarda ve katlamanlı güvenlik gereksinimlerinin de olabileceği askeri sistemlerde kullanılır. RBAC, DAC'dan farklıdır; çünkü DAC, kullanıcıların kaynaklarına erişimi kontrol etmesine izin verirken; RBAC'de erişim, kullanıcı kontrolü dışında sistem düzeyinde kontrol edilir. RBAC isteğe bağlı olmamakla birlikte, öncelikle izinlerin işlenme biçiminde MAC'den ayrılır. MAC, kullanıcının erişim yetki düzeyine ve ek etiketlere göre okuma ve yazma izinlerini kontrol eder. RBAC, bir e-ticaret işlemi gibi karmaşık işlemleri içerebilen veya okuma/yazma gibi basit düzeydeki izinler bütününü ifade eder. RBAC izinler kümesi olarak nitelendirilebilir.

Rol yetkilendirme: Bir öznenin, özne için etkin rolü yetkilendirilmelidir. Yukarıdaki kural 1 ile, bu kural kullanıcıların yalnızca yetkilendirildikleri rolleri üstlenmelerini sağlar.

İşlem yetkilendirme: Bir özne, işlemi yalnızca öznenin aktif rolü için yetkilendirilmişse gerçekleştirebilir. Kural 1 ve 2 ile bu kural, kullanıcıların yalnızca yetkilendirildikleri işlemleri yürütebilmelerini sağlar.

Özniteliğe dayalı erişim denetiminde (ABAC); erişim, kimlik doğrulamasından sonra bir kullanıcıyla ilişkilendirilen öznenin haklarına değil, kullanıcının özniteliklerine dayanarak verilir. Kullanıcı, erişim kontrol motoruna ilişkin özellikleriyle ilgili iddiaları kanıtlamak zorundadır. Nitelik tabanlı erişim denetimi politikası, bir nesneye erişim vermek için hangi taleplerin yerine getirilmesi gerektiğini belirtir. Örneğin iddia "18 yaşından büyük" olabilir. Bu hak talebini kanıtlayabilen herhangi bir kullanıcıya erişim izni verilir. Kimlik doğrulama ve tanımlama kesinlikle gerekli olmadığında kullanıcılar anonim olabilir. Bununla birlikte, iddiaların isimsiz olarak kanıtlanması için araçlar gerekir. Bu yapının kurulması anonim kimlik bilgileri kullanılarak gerçekleştirilebilir. XACML (genişletilebilir erişim kontrolü biçimlendirme dili), özniteliğe dayalı erişim kontrolü için kullanılan bir standarttır. XACML 3.0, Ocak 2013'te standart hale getirilmiştir.

Geleneksel olarak; erişim, erişimi kısıtlama amacına sahiptir. Bu nedenle çoğu erişim denetim modeli "varsayılan reddetme ilkesini" takip eder, yani belirli bir erişim isteğine net olarak izin verilmezse reddedilir. Bu davranış, bir sistemin normal işlemleriyle çakışabilir. Belirli durumlarda, elde edilebilecek potansiyel fayda bu riske ağır basarsa, insanlar bir erişim denetim politikasını ihlal etmekle ilgili olabilecek riski almaya isteklidir. Bu ihtiyaç özellikle hasta kayıtlarına erişimin reddedildiği bir hastanın ölümüne neden olabileceği sağlık alanında görülebilir. Cam Kırma, kullanıcıların erişim denetimi kararını geçersiz kılmalarına izin vererek bunu hafifletmeye çalışır. Cam Kırma, ya erişim denetimine özgü bir şekilde (örneğin RBAC), ya da kapsamlı (yani, altta yatan erişim denetim modelinden bağımsız olarak) uygulanabilir.

Kurumsal Mimari Çerçevesinde Erişim Haklarının Yönetişim İhtiyaçlarına Sorumluluk MetaModel (ReMMo) ile Uyumlaştırılması Anlamlı bir sorumluluk metamodeli tanımlanmıştır ve iş katmanındaki mevcut sorumlulukları temsil etmeyi sağlar ve böylece uygulama katmanında bu sorumlulukları yerine getirmek için gereken erişim haklarının mühendisliğine izin verir. Sorumluluk ve RBAC uyumunu göz önünde bulundurarak erişim haklarını daha doğru bir şekilde tanımlamak için bir yöntem önerilmiştir.