ניהול הגישה הוא אלמנט בסיסי בתשתיות האבטחה של הארגון שלך. עם מספר גישות שונות ליישום מערכת ניהול גישה, בחירת הגישה המתאימה ביותר לארגון שלך עשויה להיות מאתגרת.
במאמר זה ננתח את שני המודלים הפופולריים ביותר לבקרת גישה: המבוסס על תפקידים והמבוסס על מאפיינים. נסביר מהם RBAC ו-ABAC, נבחן את היתרונות והחסרונות של כל מודל, נשווה ביניהם ונבדוק אם אפשר לשלב ביניהם.
מהי בקרת גישה מבוססת תפקידים?
בקרת גישה מבוססת תפקידים (RBAC) היא שיטת בקרת גישה המבוססת על הגדרת תפקידי העובדים וההרשאות התואמות שלהם בתוך הארגון. הרעיון של המודל הזה הוא שכל עובד מוקצה לתפקיד. לתפקיד יש אוסף של הרשאות גישה ומגבלות. עובד יכול לגשת לאובייקטים ולבצע פעולות רק אם התפקיד שלו במערכת מורשה עם הרשאות רלוונטיות.
לדוגמה, רואה החשבון של החברה צריך לקבל גישה למידע פיננסי, אך לא צריך לקבל גישה למידע אישי של לקוחות או לנתוני כרטיסי האשראי.
כאשר עובד חדש מצטרף לחברה שלך, זה פשוט להקצות לו תפקיד. וכאשר מישהו עוזב את החברה, אין צורך לשנות את פרמטרי התפקיד או מדיניות מרכזית, מאחר שניתן פשוט לשלול את התפקיד של המשתמש.
הגדרת תפקיד יכולה להיות מאתגרת למדי. עליך לשקול את כל ההרשאות שמשתמש צריך כדי לבצע את תפקידו ואת מיקומו של התפקיד הזה במבנה ההיררכייה שלך. הקצאת יתר הרשאות לתפקיד יחיד עלולה לסתור את עקרון ההרשאה המינימלית ולהוביל להצטברות הרשאות עודפות ולשימוש לרעה.
לאחר שכל התפקידים הנדרשים הוגדרו, בקרת הגישה המבוססת תפקידים מפחיתה את הצורך בתחזוקה שוטפת של צוות ה-IT. מימוש של RBAC יכול לעזור לך לעמוד בדרישות אבטחת המידע בקלות יחסית.
אולם, יצירת מערכת תפקידים מורכבת עבור עסק גדול עשויה להיות מאתגרת. ארגון עם אלפי עובדים עלול להגיע לאלפי תפקידים. מצב זה נקרא פיצוץ תפקידים (role explosion), והוא כמעט בלתי נמנע בחברה גדולה.
איך פועלת בקרת גישה מבוססת תפקידים?
בואו נשקול את הרכיבים העיקריים של הגישה המבוססת על תפקידים:
- משתמש: אדם עם מזהה ייחודי (UID) שיש לו גישה למערכת.
- תפקיד: תפקיד מוגדר בארגון (קובע את רמת הסמכות).
- הרשאה: שווה ערך לזכויות גישה.
- סשן: פרק זמן העבודה שבו המשתמש משתמש בהרשאות של התפקידים שהוקצו לו.
- אובייקט: משאב במערכת שהגישה אליו מחייבת הרשאה.
- פעולה: כל פעולה ברשת המוגנת.
החוקים הבסיסיים של RBAC הם:
- כל פעילויות המשתמש מתבצעות באמצעות פעולות.
- משתמש יכול לבצע פעולה רק אם הוקצה לו תפקיד שמאפשר לו לעשות זאת.
- זיהוי ואימות אינם נחשבים לפעולות.
סוגי מודלים של RBAC:
את RBAC ניתן ליישם בארבע רמות, לפי מודל ה-RBAC של NIST. כל רמה כוללת גם את המאפיינים של הרמה שלפניה. בואו נסתכל עליהן:
- Flat RBAC (RBAC שטוח) הוא יישום הפונקציונליות הבסיסית של מודל RBAC. כל המשתמשים וההרשאות מוקצים לתפקידים, והמשתמשים מקבלים את ההרשאות שהם צריכים באמצעות התפקידים האלה. מספר התפקידים וההרשאות יכול להיות גדול ככל שהחברה צריכה. אפשר להקצות כמה תפקידים למשתמש אחד, ותפקיד אחד יכול להיות מוקצה לכמה משתמשים.
- Hierarchical RBAC (RBAC היררכי), כפי שמשתמע מהשם, מיישם היררכיה במבנה התפקידים. ההיררכיה קובעת את היחסים בין התפקידים: משתמשים בתפקידים בכירים מקבלים גם את ההרשאות של כל התפקידים הזוטרים שמוקצים לכפופים להם. מורכבות ההיררכיה נקבעת לפי צורכי החברה.
- Constrained RBAC (RBAC מוגבל) מוסיף הפרדת תפקידים (SOD) למערכת האבטחה. SOD הוא נוהל אבטחה מוכר שבו משימה אחת מחולקת בין כמה עובדים, והוא חשוב במיוחד לעסקים בינוניים ולארגונים גדולים. הפרדת תפקידים מבטיחה שאף עובד לא יוכל להכניס למערכת שינויי הונאה שאיש אחר אינו יכול לבדוק או לתקן.
- Symmetric RBAC (RBAC סימטרי) תומך גם בסקירת הקשר בין הרשאות לתפקידים וגם בסקירת הקשר בין משתמשים לתפקידים. כך מנהלי אבטחה יכולים לזהות אילו הרשאות הוקצו לתפקידים קיימים (וההפך). לדוגמה, כשמזהים את התפקידים של עובד שפוטר במהלך סקירת הרשאות משתמשים, המנהל יכול לבטל את ההרשאות של העובד ולהקצות את התפקידים מחדש למשתמש אחר, עם אותן הרשאות או עם הרשאות אחרות.
מומלץ להשתמש בבקרת גישה מבוססת תפקידים בחברות קטנות ובינוניות. לארגונים כאלה יש בדרך כלל תהליכי עבודה פשוטים, מספר מוגבל של תפקידים, והיררכיה פשוטה יחסית, ולכן אפשר להגדיר ולתאר את תפקידי המשתמשים ביעילות.
מהי בקרת גישה מבוססת מאפיינים?
בקרת גישה מבוססת מאפיינים (ABAC) התפתחה מתוך RBAC ומציעה להגדיר סט של מאפיינים עבור כל רכיב במערכת שלך. מדיניות מרכזית מגדירה אילו קומבינציות של מאפייני משתמש ואובייקט נדרשות כדי לבצע כל פעולה.
לאחר שיצרת מדיניות עבור התפקידים הנפוצים ביותר והמשאבים בחברה, תוכל פשוט להעתיק אותה עבור כל משתמש ומשאב חדש.
זה דומה לאיך שתפקיד עובד בדרך כלל עובד במודל RBAC. אבל במודל ABAC, ניתן לשנות מאפיינים בהתאם לצרכיו של משתמש מסוים בלי ליצור תפקיד חדש. המאפיינים הופכים את ABAC למודל בקרת גישה מפורט (granular) יותר מ-RBAC.
בואו נשקול את הרכיבים העיקריים של מודל ABAC לפי NIST
- מאפיין: תכונה של כל רכיב ברשת. מאפיין יכול להגדיר:
- מאפייני משתמש: תפקיד העובד, מחלקה, כתובת IP, רמת סיווג וכו'.
- מאפייני אובייקט: סוג, יוצר, רגישות, רמת סיווג נדרשת וכו'.
- סוג הפעולה: קריאה, כתיבה, עריכה, העתקה, הדבקה וכו'.
- מאפייני סביבה: שעה, יום בשבוע, מיקום וכו'.
- נושא (Subject): כל משתמש או משאב שיכול לבצע פעולות ברשת. לנושא מוקצים מאפיינים שמגדירים את רמת ההרשאה שלו.
- אובייקט: כל נתון שמאוחסן ברשת. לאובייקטים מוקצים מאפיינים שמתארים ומזהים אותם.
- פעולה: כל פעולה שמבצע נושא כלשהו ברשת.
- מדיניות: סט כללים שמתירים או מגבילים פעולות במערכת המידע. הכללים הם משפטי IF/THEN שמבוססים על מאפיינים של כל רכיב (משתמש, משאב, סביבה).
הגישה הזו היא מתאימה לחברות בכל גודלן אך היא בעיקר משמשת בארגונים גדולים. ABAC דורשת מאמצים נוספים לתצורה ולהטמעה מאשר RBAC, מכיוון שמנהלי האבטחה צריכים להגדיר את כל המאפיינים עבור כל הרכיבים במערכת שלך. בנוסף, עליהם להקצות באופן ידני מאפיינים לכל רכיב במערכת בהתחלה.
השוואת RBAC ו-ABAC
בואו נעמיק בבקרת גישה מבוססת מאפיינים ובבקרת גישה מבוססת תפקידים, ונבחן את היתרונות והחסרונות של כל אחת מהן.
יתרונות וחסרונות של RBAC
לפני שנפרט את היתרונות והחסרונות של בקרת גישה מבוססת תפקידים, נציין כי RBAC היא הגישה הכי נפוצה לניהול גישה. אחד היתרונות העיקריים של בקרת גישה מבוססת תפקידים הוא שחברות כבר אינן צריכות להעניק או לבטל גישה לכל משתמש בנפרד, אלא על בסיס התפקידים של המשתמשים. יצירת סט של תפקידים בחברה קטנה או בינונית אינה מסובכת או יקרה.
מצד שני, הקמת מערכת כזו בחברה גדולה היא משימה שגוזלת זמן רב. שימוש ב-RBAC עשוי לגרום לפיצוץ תפקידים ולהביא להוצאות בלתי צפויות הנדרשות כדי לתמוך במערכת בקרת גישה זו, מאחר שככל שיש יותר תפקידים בארגון, כך נדרשים יותר משאבים כדי ליישם מודל זה של בקרת גישה.
לבקרת גישה מבוססת תפקידים יש כמה חסרונות נוספים. אי אפשר להגדיר כלל באמצעות פרמטרים שאינם ידועים למערכת לפני שהמשתמש מתחיל לעבוד. הרשאות יכולות להיות משוייכות רק לתפקידי משתמש, ולא לאובייקטים ולפעולות. בנוסף, בשימוש ב-RBAC, ניתן להגביל פעולה מסוימת במערכת, אך לא את הגישה לנתונים מסוימים.
ABAC יתרונות וחסרונות
היתרון העיקרי של ABAC הוא שהיא מאפשרת להעניק גישה לפי מאפיינים של כל רכיב במערכת, ולא רק לפי תפקיד המשתמש. כך אפשר לתאר כלל עסקי בכל רמת פירוט שתרצו. גם אם תרצו שנתונים מסוימים יהיו נגישים רק בשעות העבודה, אפשר לעשות זאת בקלות באמצעות מדיניות פשוטה אחת.
בנוסף, חוקי ABAC יכולים לבדוק את המאפיינים של נושאים ומשאבים שמערכת ההרשאות עדיין אינה מכירה. זה הרבה יותר פשוט להוסיף ולשלול הרשאות של משתמשים ספציפיים על ידי שינוי מאפיינים מאשר באמצעות שינוי או הגדרת תפקידים חדשים.
בנוגע ל מגבלות ABAC, מודל בקרת גישה מסוג זה דורש הגדרה שגוזלת זמן, ועשוי לדרוש כלים יקרים עקב הדרך בה יש לציין ולתחזק מדיניות. זה עשוי להגביר באופן משמעותי את ההוצאות באבטחת מידע.
RBAC נגד ABAC
לסיכום, נשווה את המאפיינים העיקריים של בקרת גישה מבוססת מאפיינים ושל בקרת גישה מבוססת תפקידים.
| מאפיין | RBAC | ABAC |
|---|---|---|
| גמישות |  (עבור ארגונים קטנים ובינוניים) |
|
| יכולת הרחבה |  |
|
| פשטות | קל להגדיר תפקידים והרשאות בחברה קטנה (קשה לתחזק את המערכת בחברה גדולה) |
קשה להגדיר את כל המדיניות בהתחלה (קל לתחזק ולתמוך במערכת) |
| תמיכה בכללים פשוטים | |
|
| תמיכה בכללים מורכבים | |
|
| תמיכה בכללים עם פרמטרים דינמיים | |
|
| התאמת הרשאות למשתמש מסוים | (התאמה למשתמש מסוים מחייבת יצירת תפקיד חדש) |
|
| רמת פירוט | נמוכה | גבוהה |
יש הבדלים רבים בין המודלים ABAC ו-RBAC. לכל אחד מהם יתרונות וחסרונות, ובסופו של דבר הבחירה ביניהם תלויה בצרכים הספציפיים של הארגון שלך.
בואו נבחן את השיקולים העיקריים שמגדירים אם RBAC או ABAC הם האפשרויות המתאימות ביותר עבור הארגון שלך.
מתי להשתמש ב-RBAC או ב-ABAC?
RBAC הוא יותר פשוט ליישום ולניהול, מה שהופך אותו לבחירה האידיאלית עבור חברות קטנות עם דרישות בקרת גישה פשוטות. אם אין לך תכניות לקבל משתמשים חדשים וכבר הגדרת תחומי אחריות בצוותים שלך, יישום מודל RBAC היא ההחלטה האופטימלית.
ABAC מציע רמת גמישות ורמת פירוט גבוהה יותר, שעשויות להיות מכריעות לארגונים גדולים וצומחים. ככל שהארגון שלך מתפתח, ABAC יכול להסתדר עם משתמשים, משאבים ודרישות גישה חדשים בלי לבנות מחדש או להגדיר מחדש את המערכות הקיימות שלך.
אמנם יישום ABAC דורש יותר מאמץ ראשוני בהגדרת המדיניות בהשוואה ל-RBAC, אבל מודל ABAC קל יותר לתחזוקה לאורך זמן.
לבסוף, הבחירה בין RBAC ו-ABAC צריכה להתבסס על צרכיך הספציפיים ותוכניות הצמיחה ארוכות הטווח שלך.
שלוש דרכים להשתמש ב-RBAC ו-ABAC יחד
חברות רבות מתחילות ביישום מודל RBAC פשוט, כי קל יותר להקים ולתחזק אותו. כשהארגון גדל ומתחיל לטפל בנתונים רגישים יותר, כמעט תמיד מתברר שנדרשת מערכת בקרת גישה גמישה יותר. אבל נטישת המערכת הקיימת ובניית מערכת חדשה מאפס היא תהליך ארוך ויקר. לכן רוב החברות מוסיפות את היכולות הנדרשות למערכת הקיימת. במקרים כאלה אפשר להשתמש ב-RBAC וב-ABAC יחד.
מודל זה מוכר גם כבקרת גישה מבוססת תפקידים עם מאפיינים (RBAC-A). זוהי הרחבה של מודל ה-RBAC המסורתי, שמוסיפה לתפקידים מאפיינים כדי לשפר את החלטות בקרת הגישה. במודל RBAC-A אפשר להגדיר תפקידים לא רק לפי תחומי האחריות בעבודה, אלא גם לפי מאפיינים כגון מיקום, שעה ביום, מאפייני משתמש (מחלקה, תואר תפקיד וכו') או מאפייני משאבים (רמת רגישות, סיווג וכו').
יש שלוש גישות RBAC-A שמתמודדות עם היחסים בין תפקידים ומאפיינים:
- מתמקד במאפיינים. במודל זה, תפקיד הופך לשם של אחד מהמאפיינים של המשתמש, המזכיר כותרת תפקיד. המאפיין "תפקיד" במודל כזה משמש לסימון של סט של מאפיינים נדרשים עבור תפקיד מסוים.
- מתמקד בתפקידים. מאפיינים מתווספים כדי להגביל את התפקידים. במודל כזה, מאפיינים מתווספים כדי להפחית ולא להרחיב את ההרשאות של המשתמש.
- תפקידים דינמיים. מאפיינים כגון שעת היום משמשים לקביעת התפקיד של הנושא. במקרים מסוימים, תפקיד המשתמש יכול להיקבע לחלוטין על ידי מאפיינים דינמיים.
בנוסף, קיימת שיטה בשם בקרת גישה מהדור הבא (NGAC) שפותחה על ידי NIST. NGAC פותר את המגבלות של מודלי בקרת הגישה הקיימים ומספק בקרת גישה מפורטת יותר, דינמית ותלוית הקשר. יישומו דומה לבקרת גישה מבוססת מאפיינים אך משתמש בגישה ממוקדת יותר למדיניות. לדוגמה, NGAC תומך במספר סוגים שונים של מדיניות בו זמנית, כולל מדיניות שניתן להחיל אותן גם בסביבה המקומית וגם ברשת.
ניהול גישה למשתמשים עם Syteca
Syteca היא פלטפורמה לניהול סיכוני פנים, המסייעת לך לנהל ולבקר ביעילות את גישת המשתמשים בעזרת התכונות הבאות:
- ניהול גישה פריבילגית ב-Syteca מאפשר לך לבדוק ולנהל בצורה פרטנית הרשאות גישה עבור משתמשים פריבילגיים ורגילים ברשת שלך. יכולות ה-PAM של Syteca יכולות לעזור לארגון שלך לייעל את ניהול המשתמשים בעלי ההרשאות ולהגדיר תהליך בקשת גישה ואישור נוח.
- ניהול סיסמאות ב-Syteca ניתן ליצור ולספק סיסמאות וסודות בצורה מאובטחת למשתמשים, לספק גישה חד-פעמית, ולבצע רוטציה אוטומטית של סיסמאות עבור חשבונות Windows ו-Active Directory. כל הסיסמאות והסודות מאוחסנים בכספת מאובטחת ומוצפנת.
Syteca מציעה סט נוסף של תכונות שימושיות לעזור לך לשפר את אבטחת המידע של הארגון שלך:
- מעקב אחר פעילות המשתמש ב-Syteca מאפשר לך לנטר ולתעד את פעולות המשתמש כצילומי מסך או כווידאו יחד עם מטא נתונים שימושיים, כגון שמות של אפליקציות פעילות, אתרי אינטרנט שבהם ביקרו, ופקודות שבוצעו. ניתן לייצא רכיבים שנרשמו או כל הסשנים של המשתמש למטרות חקירת אירועים.
- אימות דו-שלבי ב-Syteca יכול לעזור לך לאמת זהויות משתמש כדי להגן על מערכות ונתונים רגישים מפני גישה לא מורשית.
- תגובה לאירועים בזמן אמת הפונקציונליות של Syteca מאפשרת לך לקבל התראות בזמן אמת על פעילות חשודה ולחסום אותה במהירות. ניתן גם להגדיר את Syteca לטפל באיומים באופן אוטומטי בזמן אמת.
סיכום
ניהול הגישה הוא רכיב חיוני בכל מערכת אבטחה אמינה. לשני המודלים, RBAC ו-ABAC, יש יתרונות וחסרונות. בין שתבחרו באחת האפשרויות ובין שתשלבו ביניהן, חשוב גם לשקול כיצד לאמת משתמשים בצורה מאובטחת ולנהל את ההרשאות שלהם לגישה.
יכולות ניהול הזהויות וניהול הגישה של Syteca ניתנות לשימוש במגוון רחב של פלטפורמות ובכמעט כל ארכיטקטורת רשת. הודות לתוכנית הרישוי הגמישה, Syteca מתאימה לעסקים בכל גודל, מעסקים חדשים ועד ארגונים גדולים.
