RBAC vs ABAC

Il controllo degli accessi basato sui ruoli (RBAC) e il controllo degli accessi basato sugli attributi (ABAC) sono due modelli di sicurezza degli accessi popolari negli ambienti informatici aziendali, governativi e altri.

Esistono diversi modelli di sicurezza, come il controllo di accesso basato sull'identità (IBAC), il controllo di accesso basato sul contesto (CBAC), il controllo dell'uso e l'accesso Zero Trust.

Sia RBAC che ABAC sono concetti maturi di controllo degli accessi, con lo sviluppo iniziale di RBAC negli anni '70 e di ABAC negli anni '80. RBAC ha guadagnato un'ampia accettazione negli ultimi 25 anni grazie alla sua gestione semplificata e agli miglioramenti della sicurezza. ABAC è stato sviluppato per gestire la sicurezza in ambienti più complessi dove RBAC non poteva fornire il controllo granulare desiderato. Entrambi sono stati elevati nel 2004 quando le linee guida e l'implementazione sono state standardizzate da enti come il National Institute of Standards and Technology (NIST), l'American National Standards Institute (ANSI) e l'Organization for the Advancement of Structured Information Standards (OASIS).

In un ambiente informatico, il controllo degli accessi si riferisce alle regole e alle pratiche che applicano la decisione aziendale su quali risorse possono essere accessibili da parte dei dipendenti. Un controllo degli accessi adeguato garantisce che solo gli utenti autorizzati possano accedere a risorse specifiche, come file, database e dispositivi di rete. Inoltre, previene l'accesso non autorizzato.

Oltre alla selezione di un modello di accesso come RBAC, ABAC o Zero Trust, ci sono diversi concetti associati al controllo degli accessi:

• Autenticazione: Questo è il processo di verifica dell'identità di un utente, dispositivo o altra entità in una rete. I metodi comuni di autenticazione includono password, biometria e certificati digitali.

• Autorizzazione: Una volta autenticato, l'autorizzazione determina ciò che un utente autenticato è autorizzato a fare. Questo comporta la concessione o la negazione delle autorizzazioni per accedere a determinate risorse o eseguire azioni specifiche.

• Contabilità (o Audit): Questo comporta il monitoraggio delle azioni degli utenti dopo che sono stati autenticati e autorizzati. Aiuta nel monitoraggio dell'uso, nel rilevamento di violazioni della sicurezza e nel mantenimento dei registri a fini di conformità.

• Liste di controllo accessi (ACL): Queste sono tabelle che definiscono le autorizzazioni associate a un oggetto. Le ACL specificano quali utenti o processi di sistema possono accedere agli oggetti e quali operazioni possono eseguire.

• Principio del privilegio minimo: Questo principio afferma che agli utenti dovrebbe essere concesso il livello minimo di accesso—o permessi—necessario per svolgere le loro funzioni lavorative, riducendo il rischio di accessi non autorizzati.

• Controllo dell'accesso alla rete (NAC): Le soluzioni NAC applicano politiche per i dispositivi che accedono alla rete, garantendo che solo i dispositivi conformi e autenticati possano connettersi.
  

Ciascuno di questi concetti dovrebbe essere considerato e documentato in modo approfondito nella sezione del controllo degli accessi della strategia di sicurezza informatica o di conformità normativa.

Il controllo granulare degli accessi porta la sicurezza a un livello superiore, con permessi di accesso definiti a un livello molto dettagliato. Questo crea un controllo specifico e ben sintonizzato su risorse come campi dati specifici, funzioni o transazioni all'interno di un'applicazione. Ad esempio, in un ambiente Microsoft SharePoint, ci può essere una libreria di documenti in cui tutti i dipendenti possono visualizzare i documenti, ma solo alcuni dipendenti possono modificare i file esistenti. All'interno di quella libreria possono esserci ulteriori controlli di accesso che consentono a un altro set unico di utenti di eliminare documenti o creare nuovi file e cartelle. Ci sono molte combinazioni di permessi che possono essere applicati alle risorse conservate in SharePoint. Questo permette alle risorse di rimanere sicure pur essendo accessibili agli utenti autorizzati.

Come indicano i nomi, RBAC e ABAC sono basati su ruoli e attributi. Nel modello RBAC, i ruoli sono definiti in base alle funzioni lavorative e alle responsabilità all'interno dell'organizzazione. L'accesso a una risorsa è assegnato a un ruolo piuttosto che a un individuo perché è più facile spostare un individuo tra ruoli che ricreare i permessi quando il ruolo di un individuo nell'azienda viene modificato.

I ruoli specifici variano ampiamente a seconda della struttura e delle esigenze dell'organizzazione, ma ci sono alcuni ruoli, o livelli di ruoli, che sono comunemente utilizzati:

• Amministratore: Questo ruolo ha pieno accesso a tutte le risorse e impostazioni del sistema. In un team IT, questo ruolo potrebbe gestire gli account utente, configurare le impostazioni del sistema e mantenere le politiche di sicurezza.
• Gestione: Questi dipendenti potrebbero aver bisogno di accesso a risorse che li aiutano a supervisionare un team o un dipartimento. Questo potrebbe includere l'approvazione di richieste dei dipendenti e la generazione di report sulle prestazioni.
• Utente: Un utente di rete ha accesso alle risorse necessarie per svolgere le proprie funzioni specifiche. Dovrebbe essere autorizzato a utilizzare solo le applicazioni e le altre risorse necessarie per il suo lavoro.
• Ospite: Questa persona potrebbe essere un fornitore o qualcuno che entra nell'ufficio aziendale come visitatore per uno scopo specifico. Questo ruolo normalmente ha accesso limitato in base ai loro compiti.

Ogni ruolo può avere diverse varianti. I responsabili marketing, i responsabili di prodotto e i responsabili finanziari probabilmente hanno bisogno di accedere a documenti e risorse diversi per svolgere il loro lavoro. Lo stesso vale per gli utenti della rete, che possono ricoprire ruoli operativi come rappresentante commerciale, rappresentante del servizio clienti e rappresentante amministrativo. Per soddisfare le esigenze di queste divisioni, è necessario creare un ruolo per ciascun set di permessi.

Il modello ABAC sposta le decisioni di controllo degli accessi sugli attributi, che forniscono informazioni contestuali che aiutano a determinare se un utente dovrebbe ottenere l'accesso a una risorsa. L'ABAC è più flessibile rispetto all'RBAC e può adattarsi a una vasta gamma di scenari di controllo degli accessi. Ecco i tipi di attributi comunemente utilizzati in ABAC, insieme alle loro definizioni ed esempi:

• Attributi dell'utente: Questi sono relativi all'utente che richiede l'accesso e includono elementi come l'ID dell'utente, il ruolo, il reparto, il livello di sicurezza e la posizione.
• Attributi delle risorse: Gli attributi relativi alla risorsa a cui si accede includono il tipo di risorsa, il proprietario della risorsa, il livello di sensibilità e la classificazione.
• Attributi dell'ambiente: Questi attributi appartengono al contesto della richiesta di accesso. Ora del giorno, data, posizione e tipo di dispositivo sono esempi.
• Attributi di azione: Questi sono determinati dall'azione specifica richiesta. Ad esempio, leggere, scrivere, copiare e modificare sono tutti attributi di azione.

Diversi fattori devono essere considerati quando si sceglie un modello di accesso alla sicurezza. In questa sezione, esamineremo alcuni elementi comuni da considerare quando si pianifica di implementare RBAC, ABAC o entrambi.

In sintesi, valuta le esigenze organizzative, le risorse e il budget per l'implementazione, nonché i requisiti di sicurezza e conformità. Dovresti coinvolgere le parti interessate per questo, poiché avranno informazioni sui diversi tipi di accesso che dovrebbero essere concessi. Le parti interessate dovrebbero essere coinvolte all'inizio di un progetto come questo, perché probabilmente seguirai questi passaggi durante l'implementazione:

Implementazione di RBAC

1. Identificare i ruoli: Definire tutti i ruoli all'interno della vostra organizzazione.
2. Definire le autorizzazioni: Specificare i permessi di accesso per ciascun ruolo.
3. Assegna ruoli agli utenti: Associa gli utenti ai ruoli appropriati.
4. Scegli un sistema: Seleziona un sistema di gestione degli accessi compatibile con RBAC.
5. Configura e monitora: Imposta ruoli e autorizzazioni, quindi rivedili e aggiornali regolarmente.

Implementazione ABAC

1. Identifica attributi: Definisci attributi utente, risorsa e ambientali.
2. Definire le politiche: Creare politiche di controllo degli accessi basate su attributi.
3. Scegli un sistema: Seleziona un sistema di gestione degli accessi compatibile con ABAC.
4. Configura e testa: Imposta attributi e criteri, testa e monitora continuamente la loro efficacia.

Implementazione di un approccio ibrido

1. Implementa la fondazione RBAC: Inizia configurando un framework RBAC.
2. Identificare attributi aggiuntivi: Definire attributi per un controllo più granulare.
3. Sviluppa politiche ibride: Crea politiche che combinano ruoli e attributi.
4. Scegli un sistema ibrido: seleziona un sistema che supporti sia RBAC che ABAC.
5. Configura, monitora e aggiorna: Imposta ruoli e attributi, quindi rivedi e aggiorna regolarmente le politiche.

Come puoi vedere, gli stakeholder sono necessari per la maggior parte delle decisioni nei primi passaggi.

L'accesso Zero Trust è spesso preferito a RBAC e ABAC per questi motivi comuni:

Sicurezza

• Assunzione di violazione: ZTA opera sul principio di “non fidarsi mai, verificare sempre”, assumendo che le minacce possano originare sia dall'interno che dall'esterno della rete. Questo contrasta con RBAC e ABAC, che possono implicitamente fidarsi degli utenti o dispositivi interni.
• Verifica continua: Le richieste di accesso vengono continuamente autenticate, autorizzate e crittografate. A differenza di RBAC e ABAC, che possono concedere l'accesso basato su una verifica una tantum, ZTA garantisce che l'accesso venga rivalutato a ogni passo.
• Superficie di attacco ridotta: Segmentando la rete in segmenti più piccoli e isolati (micro-segmentazione), ZTA riduce il danno potenziale di una violazione, limitando il movimento laterale degli attaccanti.

Controllo granulare e flessibilità

• Decisioni contestuali: ZTA considera un'ampia gamma di fattori in tempo reale, come l'identità dell'utente, lo stato del dispositivo, la posizione e i modelli di comportamento. Mentre ABAC utilizza anche attributi, ZTA li combina con il monitoraggio continuo e politiche dinamiche per decisioni più sfumate.
• Regolazioni dinamiche dell'accesso: ZTA può regolare dinamicamente l'accesso in base alle valutazioni del rischio attuali e all'intelligence sulle minacce, offrendo una sicurezza più adattiva rispetto alla natura statica di RBAC e persino alle politiche relativamente statiche di ABAC.

Adattabilità alle minacce moderne

• Resistenza alle minacce interne: ZTA non si fida implicitamente di alcun utente o dispositivo, riducendo significativamente il rischio di minacce interne. RBAC e ABAC possono essere più vulnerabili se un insider ottiene l'accesso non autorizzato.
• Protezione contro gli attacchi avanzati: Convalidando continuamente le richieste di accesso e applicando il principio del privilegio minimo, la ZTA è meglio attrezzata per gestire minacce sofisticate come phishing, malware e minacce persistenti avanzate (APTs).

Scalabilità e gestione

• Gestione centralizzata delle policy: I framework ZTA spesso forniscono una gestione centralizzata delle policy, facilitando l'applicazione di criteri di sicurezza coerenti in ambienti diversificati e distribuiti.
• Riduzione della complessità nel tempo: Sebbene l'implementazione iniziale di ZTA possa essere complessa, può ridurre la complessità complessiva eliminando la necessità di definizioni di ruoli estese (come nell'RBAC) e configurazioni complesse di attributi (come nell'ABAC).

Conformità e auditabilità

• Migliorata conformità: Le capacità di monitoraggio continuo e registrazione di ZTA migliorano la conformità ai requisiti normativi fornendo registri dettagliati delle richieste di accesso e delle decisioni.
• Prontezza per l'audit: I log dettagliati e il monitoraggio in tempo reale in ZTA facilitano audit più facili e accurati rispetto ai metodi tradizionali di controllo degli accessi.

Zero Trust Access offre un solido framework di sicurezza, adattabilità ai mutevoli scenari di minaccia e la capacità di fornire controlli di accesso granulari e contestuali. Sebbene possa richiedere un'installazione iniziale più complessa, i benefici a lungo termine in termini di sicurezza e conformità lo rendono un modello di controllo degli accessi altamente efficace per le organizzazioni moderne.