בקרת גישה היא אחת מפרקטיקות אבטחת המידע החשובות ביותר. ניהול מדוקדק של זכויות הגישה של המשתמש עוזר לאבטח את הנתונים הרגישים ומקטין את הסיכוי להצלחת התקפה.
עם זאת, בחירת מודל בקרת הגישה המתאים לארגון שלך עשויה להיות מסובכת. מאמר זה עוסק במקרי שימוש במודלים של בקרת גישה חובתית (MAC) ובקרת גישה לפי שיקול דעת (DAC). נציג גם את ההבדלים בין DAC ל-MAC כדי לעזור לך לבחור ביניהם, ולבסוף ניתן טיפים ליישום.
מודלים של בקרת גישה: למה הם חשובים?
בקרת הגישה מנהלת אילו משתמשים, יישומים והתקנים יכולים לצפות, לערוך, להוסיף ולמחוק משאבים בסביבת הארגון. בקרת הגישה היא אחת מן הפרקטיקות המרכזיות להגנת נתונים רגישים מפני גניבה, שימוש לרעה, שימוש למטרות לא הוגנות ואיומים אחרים. ישנן שתי רמות של בקרת גישה: פיזית ולוגית.
בקרת גישה עוזרת להפחית את האיומים הפנימיים והחיצוניים כאחד. לכן, תקני IT, חוקים ותקנות כמו NIST, HIPAA ו-PCI DSS מחייבים בקרות מחמירות על גישה פיזית ולוגית. במאמר זה נעסוק במודלים של בקרת גישה לוגית.
אפשר לבחור מבין כמה מודלים של בקרת גישה לוגית, כולל בקרת גישה חובתית, בקרת גישה לפי שיקול דעת, בקרת גישה מבוססת תפקידים ובקרת גישה מבוססת מאפיינים. לכל מודל יתרונות וחסרונות. בהמשך המאמר נבחן את היתרונות והחסרונות של בקרת גישה חובתית ושל בקרת גישה לפי שיקול דעת. למידע נוסף, קראו את המאמר שלנו על היתרונות והחסרונות של בקרת גישה מבוססת תפקידים (RBAC) ובקרת גישה מבוססת מאפיינים (ABAC).
בחירת המודל משתנה מארגון לארגון ותלויה בגורמים הבאים:
- אופי המידע המוגן
- דרישות ה-IT ותקני התעשייה
- מספר העובדים
- התקציב לאבטחת מידע
בואו נבחן כל מודל לעומק כדי לגלות מתי עדיף להשתמש בבקרת גישה חובתית ולא בבקרת גישה לפי שיקול דעת, ולהיפך.
מהי בקרת גישה חובתית (MAC)?
בקרת גישה חובתית היא שיטת בקרת גישה שבה מערכת ההפעלה מעניקה למשתמשים גישה למשאבים על סמך רמות הסודיות של הנתונים ורמות הסיווג הביטחוני של המשתמש. במודל זה, הגישה ניתנת על בסיס עיקרון צורך לדעת (Need to know): משתמשים חייבים להוכיח שהם זקוקים למידע לפני שיקבלו אליו גישה.
MAC נקרא גם מודל של בקרת גישה לא-דיסקרציונית, כלומר השליטה אינה נתונה לשיקול דעתו של המשתמש או של בעל הקובץ. מנגנוני הבקרה של מודל MAC מאפשרים לארגונים ליישם עקרונות Zero Trust.
MAC נחשב לאחד המאובטחים ביותר מבין מודלי בקרת הגישה. כללי גישה במודל זה מוגדרים ידנית על ידי מנהלי המערכת ומיושמים בתוקף על ידי מערכת ההפעלה או ליבת האבטחה. משתמשים רגילים לא יכולים לשנות מאפייני אבטחה גם לנתונים שיצרו.
העקרונות הבסיסיים של בקרת גישה חובתית (MAC)
- הפרטיות והסודיות של משאבי הארגון הן בראש סדר העדיפויות. לאף אחד אין הרשאות ברירת מחדל לגישה לנתונים של אחרים או לעריכתם.
- הקצאת הגישה מנוהלת באופן מרכזי.
- כל אדם ומשאב במערכת מכילים תוויות אבטחה עם הסיווג והקטגוריה שלהם.
בבקרת גישה חובתית (MAC), התהליך לקבלת גישה נראה כך:
- המנהל מגדיר מדיניות גישה ומגדיר מאפייני אבטחה: רמות סודיות וסיווגי גישה לפרויקטים ולסוגי משאבים שונים.
- המנהל מקצה קבוצת מאפיינים לכל נושא (משתמש או שירות שניגש לנתונים) ואובייקט (קובץ, מסד נתונים, יציאת פורט, וכו').
- כאשר נושא מנסה לגשת לאובייקט, מערכת ההפעלה בודקת את המאפיינים האבטחתיים של הנושא ומחליטה האם יש להעניק גישה.
- כדי לקבל גישה לאובייקט, המשתמש מספק את פרטי ההזדהות שלו.
בנוסף לבדיקת רמות הסודיות והאישור (התאמת סיווג בין הנושא לאובייקט), מערכות ההפעלה מתמקדות ב התאמת קטגוריות בין הנושא לאובייקט. סיווג "סודי מאוד" אינו מעניק באופן אוטומטי למשתמש גישה מלאה לקובץ אם הוא לא חבר בקטגוריה הנדרשת עבור האובייקט.
נראה דוגמה ליישום של בקרת גישה חובתית. נניח שארגון מחזיק בנתונים ברמת סודיות "סודי מאוד" ותווית אבטחה "פרויקט הנדסי". נתונים אלו זמינים רק לקבוצת משתמשים שמחזיקים בשתי התוויות: סיווג "סודי מאוד" והרשאה לגשת למסמכי הנדסה (קטגוריה). משתמשים אלו יכולים גם לגשת למידע הדורש רמת סודיות נמוכה יותר. באותו הזמן, עובדים עם רמות סודיות נמוכות יותר או ללא הרשאות לגשת למסמכים הנדסיים לא יכולים לגשת למידע כזה.
MAC מביא יתרונות רבים למערכת אבטחת מידע, אך יש לו גם מספר חסרונות. נבחן את היתרונות והחסרונות של בקרת גישה חובתית.
יתרונות וחסרונות של MAC
יתרונות
- רמה גבוהה של הגנת נתונים – מנהל מגדיר גישה לאובייקטים, ומשתמשים לא יכולים לשנות את הגישה הזו.
- רמת פירוט גבוהה – מנהל מגדיר זכויות גישה למשתמש ופרמטרי גישה לאובייקט ידנית.
- חסינות מפני התקפות סוס טרויאני – משתמשים לא יכולים להפחית רמת סודיות של נתונים או לשתף גישה לנתונים מסווגים.
- פחות שגיאות – מדיניות נוקשה שנאכפת באופן עקבי עוזרת להפחית שגיאות במערכת שמובילות למשתמשים עם הרשאות עודפות.
- הפרדה מחמירה – מנהלי המערכת מחלקים את המשתמשים לתתי-קבוצות ומגבילים את החשיפה למשאבים עבור תתי-קבוצות אלו באמצעות מאפייני אבטחה
חסרונות
- תחזוקה מורכבת: הגדרה ידנית של רמות אבטחה וסיווגים מחייבת פיקוח קבוע של המנהלים.
- הרחבה ידנית: MAC לא מתרחב באופן אוטומטי. משתמשים חדשים ונתונים חדשים מחייבים עדכונים קבועים של האובייקטים והגדרות החשבונות.
- הפרעה לתהליכי העבודה: משתמשים צריכים לבקש גישה לכל פריט מידע חדש, ואינם יכולים להגדיר בעצמם פרמטרים של גישה לנתונים שלהם.
מתי להשתמש ב-MAC: מקרי שימוש
מודל בקרת גישה זה משמש בעיקר ארגונים ממשלתיים, צבאות ורשויות אכיפת חוק. ממשלת ארה"ב משתמשת ב-MAC כדי לאבטח מידע מסווג ולתמוך במדיניות וביישומים של אבטחה מרובת רמות (Multilevel Security). כדי לשפר את הגנת הנתונים ואת העמידה ברגולציה בענפי הביטוח והבנקאות, ארגונים משתמשים ב-MAC לבקרת הגישה לנתוני חשבונות לקוחות. אפשר להשתמש ב-MAC גם לניהול הגישה למסדי נתונים ולאובייקטים שלהם, כמו פרוצדורות, טבלאות ותצוגות (Views).
כדאי להשתמש ב-MAC בארגונים שמעדיפים את אבטחת הנתונים על פני גמישות תפעולית ועלות. בסביבות עסקיות MAC נדיר, בגלל המורכבות והנוקשות שלו.
מודל MAC לבדו מספק רמת אבטחה גבוהה ומפורטת, אבל קשה להגדיר ולתחזק אותו. לכן נהוג לשלב את MAC עם מודלים אחרים של בקרת גישה.
לדוגמה, שילוב עם מודל בקרת גישה מבוסס תפקידים (RBAC) מקצר את הגדרת פרופילי המשתמשים. במקום להגדיר הרשאות לכל משתמש בנפרד, המנהל יוצר תפקידים. בכל ארגון יש משתמשים עם תפקידים והרשאות דומים, כמו עובדים באותו תפקיד או ספקים חיצוניים, והמנהל מגדיר תפקידים לקבוצות האלה במקום לבנות כל פרופיל משתמש מאפס.
שילוב נפוץ נוסף הוא MAC עם בקרת גישה לפי שיקול דעת (DAC).
מהי בקרת גישה לפי שיקול דעת (DAC)?
בקרת גישה לפי שיקול דעת (Discretionary Access Control) היא מודל של בקרת גישה מבוססת זהות, שנותן למשתמשים שליטה מסוימת בנתונים שלהם. בעלי הנתונים (יוצרי המסמכים או משתמשים שהוסמכו לנהל אותם) יכולים להגדיר הרשאות גישה למשתמשים או לקבוצות מסוימים. במילים אחרות, בעל המשאב מחליט לפי שיקול דעתו מי יקבל גישה ומה יוכל לעשות.
הרשאות הגישה לכל פריט מידע נשמרות ברשימת בקרת גישה (ACL). המנהל יוצר את הרשימה כשמשתמש מעניק גישה למישהו, והיא יכולה גם להיווצר אוטומטית. רשימת ACL כוללת את המשתמשים והקבוצות שרשאים לגשת לנתונים ואת רמת הגישה של כל אחד. מנהל המערכת יכול גם לאכוף רשימת ACL. במקרה כזה היא משמשת כמדיניות אבטחה, ומשתמשים רגילים לא יכולים לערוך או לעקוף אותה.
העקרונות הבסיסיים של בקרת גישה לפי שיקול דעת (DAC)
- מאפייני האובייקט (גודל, שם, נתיב תיקייה) אינם גלויים למשתמשים שאינם מורשים.
- כמה ניסיונות גישה כושלים מפעילים דרישה לאימות נוסף (MFA) או חוסמים את הגישה.
- משתמשים יכולים להעביר בעלות על אובייקט למשתמשים אחרים. הבעלים קובע גם את סוג הגישה של משתמשים אחרים, ועל סמך ההרשאות האלה מערכת ההפעלה מחליטה אם לאשר גישה לקובץ.
בבקרת גישה לפי שיקול דעת (DAC), התהליך לקבלת גישה לקובץ נראה כך:
- משתמש 1 יוצר קובץ והופך לבעליו, או מקבל הרשאות גישה לקובץ קיים.
- משתמש 2 מבקש גישה לקובץ ומציג את פרטי ההזדהות שלו: שם משתמש, סיסמה או אמצעי אחר.
- משתמש 1 מעניק גישה לפי שיקול דעתו, אבל אינו יכול להעניק הרשאות שחורגות מההרשאות שלו. לדוגמה, אם משתמש 1 יכול רק לקרוא מסמך, הוא לא יכול לאפשר למשתמש 2 לערוך אותו.
- אם ההחלטה של משתמש 1 תואמת את רשימת ה-ACL שהגדיר המנהל, הגישה מאושרת.
בקרת גישה לפי שיקול דעת נפוצה מאוד, כי היא נותנת למשתמשים גמישות בלי להוסיף עומס ניהולי רב. עם זאת, יש לה מגבלות משמעותיות.
יתרונות וחסרונות של DAC
יתרונות
- ידידותי למשתמש: משתמשים יכולים לנהל את הנתונים שלהם ולגשת במהירות לנתונים של משתמשים אחרים.
- גמישות: משתמשים יכולים להגדיר פרמטרים של גישה לנתונים בלי מנהלים.
- תחזוקה קלה: הוספת אובייקטים ומשתמשים חדשים לא דורשת מהמנהל זמן רב.
- רמת פירוט גבוהה: משתמשים יכולים להגדיר פרמטרים של גישה לכל פריט מידע.
חסרונות
- רמת הגנה נמוכה על הנתונים: DAC לא יכולה להבטיח אבטחה אמינה, כי משתמשים יכולים לשתף את הנתונים שלהם כרצונם.
- ניהול גישה לא שקוף: אין ניהול גישה מרכזי, ולכן כדי לברר את פרמטרי הגישה צריך לבדוק כל רשימת ACL בנפרד.
- חפיפת הרשאות: משתמשים שחברים בכמה קבוצות עבודה מקוננות עלולים להיתקל בהתנגשות הרשאות.
מתי להשתמש ב-DAC: מקרי שימוש
DAC אינה צריכה להיות בשימוש על ידי ארגונים שעובדים עם נתונים רגישים מאוד (רפואיים, פיננסיים, צבאיים, וכו') מכמה סיבות:
- אם משתמש 1 משתף זכויות גישה עם משתמש 2, אין ערובה שמשתמש 2 זקוק לגישה הזו לעבודתו, שלא יגנוב או יפגע בנתונים ושלא יעניק גישה למשתמש זדוני.
- קשה לשלוט ולנטר במלואן את זרימות המידע ברשת.
- יישום עקבי של עקרונות ההרשאה המינימלית, הצורך לדעת והפרדת התפקידים עשוי להיות מורכב או בלתי אפשרי.
באותו הזמן, בקרת גישה לפי שיקול דעת (DAC) היא בחירה טובה לעסקים קטנים עם צוות IT מצומצם ותקציב מוגבל לאבטחת מידע. זה מאפשר לשתף מידע ומבטיח את הפעולה החלקה של העסק. כאשר מיושם בארגון עם 10 עד 20 עובדים, DAC מציג פחות מורכבות ואתגרים של ניטור לעומת השימוש בו בארגונים עם מאות או אלפי עובדים.
MAC לעומת DAC: טבלת השוואה
להלן נסקור את המאפיינים העיקריים של שני המודלים כדי לעזור לך להבין את ההבדלים בין DAC ל-MAC.
ההבדלים בין DAC ל-MAC
| מאפיין | MAC | DAC |
| בקרת הגישה נאכפת על ידי | מנהלי המערכת ומערכת ההפעלה | מנהלי המערכת והמשתמשים |
| בסיס מדיניות בקרת הגישה | רמות סודיות ואישורים | רשימות בקרת גישה (ACL) לפי זהות המשתמשים |
| גמישות |  |
 |
| סקלביליות | |
|
| פשטות | |
|
| תחזוקה | קשה | קל |
| עלות היישום | גבוהה | נמוכה |
| רמת הפירוט (Granularity) | גבוהה (מנהלים מתאימים הרשאות לכל משתמש ואובייקט באופן ידני) | גבוהה (משתמשים יכולים להקצות זכויות גישה לכל משתמש או קבוצה אחרת) |
| נוח לשימוש | |
|
| רמת אבטחה | גבוהה | נמוכה |
| שימושי עבור | ממשל, צבא ורשויות אכיפת חוק | חברות קטנות ובינוניות |
| משתמשים מהימנים | רק מנהלים | כל המשתמשים |
| בסיס להחלטות על קבלת גישה | משימות ואובייקטים שיש להם מזהה ייחודי | בעלות ומזהה משתמש |
השוואה זו בין מודלי בקרת הגישה DAC ו-MAC מדגישה את ההבדלים בין השיטות בכמעט כל נושא ומראה שהן מתאימות לסוגי ארגונים שונים. DAC עובדת היטב עבור ארגונים שדורשים גמישות וזריזות בזרימות העבודה. מאידך, MAC מתאימה יותר לארגונים שעוסקים בנתונים עם רמות רגישות גבוהות.
MAC vs. DAC: שאלות נפוצות
איזה מודל מעניק למנהלים יותר גמישות והתאמה אישית?
מבין שני המודלים, DAC הוא בבירור הגמיש יותר והניתן יותר להתאמה אישית. DAC מאפשר למשתמשים לנהל ולהתאים הרשאות גישה בעצמם, גם בלי מנהלים, ולכן הוא מציע גמישות רבה יותר: המנהלים יכולים להאציל למשתמשים חלק ממשימות בקרת הגישה.
להבדיל מ-MAC, DAC אינה כוללת מערכת נוקשה של כללים מוגדרים מראש, לכן ניתן לקבוע ש-DAC מספקת התאמה אישית יותר.
איזה מודל מתאים יותר לסביבות שבהן מדיניות בקרת הגישה מתעדכנת לעיתים קרובות?
מודל DAC הגמיש מתאים לארגונים שמעדכנים לעיתים קרובות את מדיניות בקרת הגישה שלהם.
במודל MAC, בקרת הגישה נאכפת על ידי מערכת ההפעלה. לכן, כשארגון מעדכן את מדיניות בקרת הגישה שלו, מנהלי המערכת חייבים להגדיר מחדש את המערכת כדי ליישם את העדכונים, תהליך שעשוי להיות מורכב וארוך.
לעומת זאת, DAC מאפשר כוונון מהיר של הרשאות גישה, ולכן הוא מתאים יותר לסביבות שבהן מדיניות בקרת הגישה מתעדכנת לעיתים קרובות.
איזה מודל בקרת גישה מתאים יותר לדרישות רגולטוריות בתעשיות ספציפיות?
בעוד ש-DAC מציע רמת גמישות גבוהה, הוא לא יכול להבטיח אבטחה אמינה. להפך, MAC מסוגל לספק רמה גבוהה של הגנה נגד גישה לא מורשית לנתונים ולמערכות.
לכן, שימוש ב-MAC מתאים יותר בתחומים מוסדרים ברגולציה כמו פיננסים, בריאות, ממשל וצבא. דרישות הרגולציה בתחומים אלו מדגישות באופן מפורש את חשיבותם של אמצעי בקרת גישה חזקים.
מהן ההשלכות הכלכליות הקשורות ליישום ותחזוקת מערכות MAC לעומת מערכות DAC?
ההטמעה של MAC היא מורכבת ויקרה מאחר ודורשת תכנון מדוקדק ומומחיות מתקדמת. לדוג' לפני ההטמעה עשוי להיות נדרש רכישת תוכנה מיוחדת והשקעה בשירותי ייעוץ. כמו כן, עשוי להיות נדרש הדרכת מנהלים שיגדירו ויתחזקו מדיניות בקרת גישה. לבסוף, תחזוקת MAC דורשת תקורה גבוהה ומטילה עומס על מנהלי המערכת, ולכן יהיה צורך להעסיק מספיק אנשי צוות לניהול המערכת.
DAC דורשת בדרך כלל פחות השקעה כספית מאחר שאינה דורשת מומחיות ספציפית או תכנון מדוקדק. עם זאת, ייתכן שעדיין יידרשו ייעוץ מומחה, הדרכת צוות ותוכנה מיוחדת, כל אלו יכולים לגרום להוצאות כספיות.
האם ניתן להשתמש ב-MAC ו-DAC יחד?
כן, ניתן לשלב בין MAC ו-DAC ולהשתמש במודל משולב של בקרת גישה בארגון שלך. לדוגמה, ניתן ליישם מערכת MAC מחמירה לניהול הגישה למשאבים הרגישים והקריטיים של הארגון שלך, ולשאר הרשת והמשאבים, ניתן ליישם מערכת DAC פשוטה ופחות תובענית במשאבים.
ניהול גישה גמיש וניתן לביקורת עם Syteca
כשבוחרים בין בקרת גישה חובתית לבקרת גישה לפי שיקול דעת, ארגונים רבים מגלים שהם צריכים היבטים משני המודלים. הגמישות, הסקלביליות והפשטות של DAC חשובות לתהליכי עבודה פשוטים ורציפים. במקביל, ארגונים עשויים להזדקק לרמת האבטחה והפירוט הגבוהה של MAC.
Syteca היא פלטפורמת ניהול גישה פריבילגית (PAM) מהדור הבא עם יכולות מובנות לזיהוי איומי זהות ותגובה (ITDR). היא מציעה מגוון רחב של יכולות לאבטחה ולגמישות בניהול הגישה, בהן:
- גילוי חשבונות פריבילגיים: איתור חשבונות פריבילגיים לא מנוהלים בסביבת ה-IT, לצמצום נקודות עיוורות.
- ניהול גישה לנקודות קצה: גישה מאובטחת לנקודות הקצה של הארגון, עם הרשאות רק למה שנחוץ ורק כשהוא נחוץ.
- גישה מרחוק ללא סוכן: גישה מאובטחת מהדפדפן למערכות, שמפשטת את הפריסה ושומרת על שליטה מלאה בחיבורים.
- תהליכי בקשה ואישור גישה: המנהלים מאשרים ידנית בקשות גישה, כדי להגן על הנכסים הרגישים ביותר.
- אימות דו-שלבי: אימות זהות המשתמשים באמצעות קודים חד-פעמיים לפני מתן גישה למשאבים פנימיים.
- אימות משני: אימות נוסף אחרי ההתחברות, כדי לזהות מי פעל בחשבונות משותפים.
- ניהול סיסמאות: אוטומציה של הקצאת סיסמאות והחלפתן, ואפשרות לעובדים ליצור ולשתף סודות בבטחה.
- ניהול סשנים פריבילגיים: ניטור והקלטה של סשנים של משתמשים בעלי הרשאות, כדי לוודא שהם מטפלים בנתונים רגישים בצורה מאובטחת.
- התראות על פעילות חשודה: התראות מיידיות על פעילות חריגה בנקודות הקצה, כדי לזהות סיכונים לפני שהם מסלימים.
- תגובה אוטומטית לאירועים: בלימה מיידית של איומים ואכיפת פעולות אבטחה באמצעות תגובות מבוססות כללים.
Syteca קלה להטמעה ומשתלבת בתשתית הקיימת, כך שאפשר לחזק את בקרת הגישה בלי לשבש את העבודה.
סיכום
לאחר השוואת MAC ו-DAC, אנו יכולים לראות בבירור שהם נמצאים בקצוות הנגדיים של הספקטרום של בקרת הגישה. MAC מופעל על ידי מנהלים ודורש הרבה זמן ומאמצים כדי לתחזק אותו, אך הוא מספק רמה גבוהה של אבטחה. DAC הוא הרבה יותר קל ליישום ולתחזק, מאחר ומשתמשים יכולים לנהל גישה לנתונים שהם בבעלותם. אף על פי כן, DAC פחות יעיל בהגנה על רשומות רגישות.
Syteca מאפשרת לך לשלב את היתרונות של שני מודלי בקרת הגישה האלה. פונקציות ניהול הסיסמאות, סיסמאות חד-פעמיות, הגבלות זמן לגישת משתמשים ואישור הגישה הידני של הפלטפורמה יכולות לעזור לך ליישם תהליך ניהול גישה גמיש ובטוח
