Opis technik zabezpieczeń autoryzacji
Podczas uwierzytelniania użytkownika musisz zdecydować, gdzie mogą przejść, i co mogą zobaczyć i dotknąć. Ten proces jest nazywany autoryzacją.
Załóżmy, że chcesz spędzić noc w hotelu. Pierwszą rzeczą, którą należy zrobić, jest przejście do recepcji, aby rozpocząć "proces uwierzytelniania". Po sprawdzeniu, kim jesteś, otrzymujesz kartę kluczy i możesz przejść do pokoju. Karta kluczy należy traktować jako proces autoryzacji. Karta kluczy pozwala otwierać tylko drzwi i windy, do których masz dostęp, na przykład w pokoju hotelowym.
W warunkach cyberbezpieczeństwa autoryzacja określa poziom dostępu uwierzytelnionej osoby do danych i zasobów. Istnieją różne techniki zabezpieczeń używane przez organizacje do zarządzania autoryzacją.
Dostęp warunkowy
Jak wskazuje nazwa, dostęp warunkowy obejmuje dostęp z warunkami. Jednym ze sposobów myślenia o dostępie warunkowym jest instrukcja if/then. Jeśli coś jest prawdziwe, masz udzielony dostęp, ale jeśli jest to fałsz, odmówiono ci dostępu.
Zobaczmy, jak będzie to działać w scenariuszu IT. Coraz częściej ludzie pracują z domu. W związku z tym mogą oni używać swojego komputera osobistego do uzyskiwania dostępu do zawartości związanej z pracą. W przypadku dostępu warunkowego organizacja może udzielić dostępu uwierzytelnionemu użytkownikowi w systemie poufnym, takim jak lista płac, tylko wtedy, gdy jest ona uzyskiwana za pośrednictwem bezpiecznych komputerów firmowych znajdujących się w siedzibie firmy. Jeśli uwierzytelniony użytkownik spróbuje uzyskać dostęp do systemu płacowego z komputera osobistego w domu, zostanie zablokowany.
Najmniej uprzywilejowany dostęp
Pojęcie najniższych uprawnień polega na tym, że użytkownik otrzymuje minimalne wymagane prawa. Ta koncepcja ma zastosowanie w dowolnym ustawieniu związanym z zabezpieczeniami.
Na przykład po pokładzie samolotu masz dostęp do głównej kabiny, aby dostać się do miejsca, ale żaden pasażer nie jest dozwolony w kokpicie. Ponadto, jeśli podróżujesz z biletem klasy autokarowej, masz dostęp tylko do tej sekcji. Aby zwiększyć bezpieczeństwo, każda osoba może uzyskiwać dostęp tylko do potrzebnych im obszarów.
Ta sama koncepcja ma zastosowanie w kontekście cyberbezpieczeństwa. Przykład, w którym użytkownicy mają dostęp do folderu publicznego w sieci. Jeśli tylko muszą odczytać plik, powinni mieć odpowiednie uprawnienia.
Użytkownik prawie zawsze powiadomi administratora, jeśli nie ma wystarczających praw do wykonywania swojej roli. Jednak rzadko mówią administratorowi, czy mają nadmiar praw. Dlatego podczas przypisywania praw użytkownika nie ma większego ryzyka bycia ostrożnym.
Implementując najmniej uprzywilejowany dostęp, można zmniejszyć liczbę akcji osoby atakującej w przypadku wystąpienia naruszenia.
Ruch boczny
Jeśli osoba atakująca uzyska dostęp do systemu, może użyć naruszonego konta, aby zebrać więcej informacji. Może to służyć do infiltracji innych systemów lub uzyskania podwyższonego dostępu. Osoba atakująca może przejść przez system, wyszukując więcej zasobów do momentu osiągnięcia celu. Ze względu na to, że osoba atakująca próbuje przejść między różnymi sekcjami, ostateczny atak prawdopodobnie nie pochodzi z początkowego naruszonego konta.
Pomyśl o budynku biurowym, w którym przestępca przechodzi obok bezpieczeństwa głównego obszaru przyjęć. Następnie mogą poruszać się po pozostałej części budynku, uzyskiwać dostęp do różnych pomieszczeń i biur. Ważne jest, aby zapewnić dodatkowe warstwy zabezpieczeń, aby chronić przed włamaniem w poufnych obszarach.
Na przykład wiele budynków biurowych wymaga kodu zabezpieczającego w celu uzyskania dostępu do piętra, w którym znajduje się zespół wykonawczy. Wszystkie biura na tych piętrach są zablokowane, co pozwala na dostęp tylko przez pracowników ze specjalną kartą. Wyraźnie nie chcesz, aby przestępca w ogóle uzyskiwał dostęp do budynku. Jednak przy założeniu, że może wystąpić naruszenie i dodanie dodatkowych warstw zabezpieczeń w celu ochrony przed tym typem ruchu bocznego, można ograniczyć szkody.
Ta sama koncepcja ma zastosowanie w scenariuszu IT. Rozpoczynasz od bezpiecznego uwierzytelniania, aby zmniejszyć prawdopodobieństwo uzyskania dostępu do systemów przez osobę atakującą. Żaden system nie jest niezawodny, ale można zapewnić dodatkowe warstwy zabezpieczeń. Środki te pomagają zmniejszyć prawdopodobieństwo, że osoba atakująca, która włamuje się do systemu, może uzyskać dostęp do innych bardziej poufnych zasobów poprzez ruch poprzeczny.
Zero Trust
Zero Trust to termin, który jest rozpowszechniony w cyberbezpieczeństwa. Jest to metoda, która zmniejsza coraz bardziej typowe ataki, które widzimy dzisiaj.
Zero Trust to model, który umożliwia organizacjom zapewnienie bezpiecznego dostępu do swoich zasobów, ucząc nas, aby "nigdy nie ufać, zawsze weryfikować". Jest ona oparta na trzech zasadach, które już znasz.
- Sprawdź jawnie — przy zerowym zaufaniu każde żądanie jest w pełni uwierzytelnione i autoryzowane przed udzieleniem jakiegokolwiek dostępu. Organizacje mogą implementować zarówno uwierzytelnianie wieloskładnikowe, jak i dostęp warunkowy, aby upewnić się, że każde żądanie jest weryfikowane jawnie.
- Użyj dostępu o najniższych uprawnieniach — jak wspomniano wcześniej w tej lekcji, pojęcie najniższych uprawnień polega na autoryzować tylko użytkownika z minimalnymi uprawnieniami, których potrzebują. Ogranicza to szkody, które użytkownik może wykonać i ograniczyć przepływy boczne.
- Przyjmij naruszenie — zakładając, że naruszenie lub nastąpi, organizacja może lepiej zaplanować dodatkowe warstwy zabezpieczeń. Minimalizuje to promień osoby atakującej pod kątem naruszeń i zapobiega ruchowi bocznemu.
Dzięki użyciu modelu zabezpieczeń Zero Trust organizacje mogą lepiej dostosować się do nowoczesnego rozproszonego miejsca pracy, które zapewnia bezpieczny dostęp do zasobów.