7.2 יסודות בקרת גישה

בקרת גישה, מתייחסת להגבלה סלקטיבית של גישה למשאב. המטרה העיקרית היא להבטיח שלאנשים הנכונים תהיה גישה מתאימה למשאבים ספציפיים תוך מניעת משתמשים לא מורשים. ניתן לדמות את הרעיון לשומר סף או למאבטח, המאפשר לאנשים מסוימים להיכנס לבניין על סמך האם יש להם את האישורים המתאימים.

בבסיסה, בקרת הגישה מתייחסת לשתי שאלות עיקריות: "מי יכול לגשת?" ו"למה הם יכולים לגשת?" מענה על שאלות אלו כרוך בהבנה מפורטת של מי הם המשתמשים ואיזה הרשאות הוענקו להם. הרשאות יכולות להיות פשוטות כמו קריאת נתונים, או שהן יכולות להרחיב עד לשינוי תצורות, שינוי נתונים או אפילו מחיקתם.

בעולם הדיגיטלי, מושג זה בא לידי ביטוי בדרכים רבות. לדוגמה, כאשר אנו נכנסים לחשבונות האימייל שלנו, מנגנוני בקרת הגישה מבטיחים שרק אנחנו, עם שמות המשתמש והסיסמאות הייחודיים שלנו, יכולים לגשת לתוכן האימייל שלנו. באופן דומה, במסגרות ארגוניות, לעובדים שונים יש רמות שונות של גישה למידע. למנהל משאבי אנוש עשויה להיות גישה לרשומות כוח אדם, בעוד שלנציג מכירות אין, אלא במקום זאת, גישה למאגרי מידע של לקוחות.

בקרת גישה איננה הרחקת משתמשים לא מורשים בלבד, אלא תורה לניהול ולניטור למי יש גישה למה ולוודא שהם יכולים לעשות רק מה שהם אמורים לעשות. 

IDM (Identity Management System), הוא מסגרת של מדיניות וטכנולוגיות כדי להבטיח שלמשתמשים הנכונים (שהם חלק מהמערכת

האקולוגית המחוברת לארגון או בתוך הארגון) תהיה הגישה המתאימה למשאבים טכנולוגיים. מערכות IDM נופלות תחת המטריות הכוללות של אבטחת IT וניהול נתונים. מערכות ניהול זהות וגישה לא רק מזהות, מאמתות ושולטות בגישה עבור אנשים שישתמשו במשאבי IT, אלא גם בחומרה ובאפליקציות.

התשתית עליה נבנים מנגנוני בקרת הגישה מתחילה בזיהוי ואימות.

בקרת גישה היא אכיפה של זכויות גישה המוגדרות כחלק מהרשאת גישה.

זהות דיגיטלית היא נוכחות מקוונת של ישות, הכוללת מידע מזהה אישי (PII) ומידע נלווה. ראה הנחיות OECD ו-NIST בנושא הגנה על PII. זה יכול להתפרש כקודיפיקציה של שמות זהות ותכונות של מופע פיזי באופן שמקל על העיבוד.

בתחום בקרת הגישה ואבטחת הסייבר, ההבחנה בין "נושאים" ל"אובייקטים" היא מכרעת. מונחים אלה, המושלכים לעתים קרובות בדיאלוגים טכניים, מבססים את ההבנה שלנו כיצד פועלים מנגנוני בקרת גישה וכיצד ישויות שונות מקיימות אינטראקציה בתוך מערכת.

נושאים: מבקשי גישה פעילים

נושאים הם הישויות הפעילות במערכת המבקשות גישה למשאבים. ברוב ההקשרים, נושא הוא בדרך-כלל משתמש, אבל זה לא מוגבל למשתמשים אנושיים בלבד. במערכות מורכבות יותר, נושא יכול להיות תהליך, תוכנית או אפילו מערכת המבקשת גישה למשאב. בעיקרו של דבר, זה ה"שחקן" או ה"יוזם" של תהליך. לדוגמה, כאשר אתה מנסה לפתוח מסמך במחשב שלך, אתה, כמשתמש, הוא הנושא שמבקש גישה.

עם זאת, במסגרות מורכבות יותר, כמו ברשת מחשבים, נושאים אינם רק יחידים. לדוגמה, תוכנית גיבוי אוטומטית המבקשת לשמור קבצים ממספר חלקים של מערכת למיקום מרכזי היא גם נושא. הוא מחפש "באופן פעיל" לגשת לספריות או קבצים מסוימים כדי לבצע את תפקידו.

אובייקטים: הנמענים של בקשות גישה

בצד ההפוך, יש לנו חפצים. אובייקטים הם ישויות פסיביות - הם המשאבים שנבדקים רוצים לגשת אליהם. דוגמאות נפוצות לאובייקטים כוללות קבצים, ספריות, מסדי נתונים, או אפילו רכיבי חומרה כמו מדפסות. אובייקטים אינם יוזמים פעולות; במקום זאת, הם מחכים שיפעלו נגדם.

באמצעות הדוגמה הקודמת, כאשר אתה מנסה לפתוח מסמך, המסמך עצמו הוא האובייקט. בהגדרת רשת, אם מערכת אוטומטית מגבה קובץ, אז הקובץ הזה הופך למושא התהליך.

יחסי הגומלין בין נושאים ואובייקטים

הקשר בין נושאים ואובייקטים הוא מרכזי בתכנון ויישום של מנגנוני בקרת גישה. אלו הסיבות:

• החלטות בקרת גישה: כאשר נושא מבקש גישה לאובייקט, המערכת מתייחסת למדיניות בקרת גישה כדי לקבוע אם יש לאפשר או לדחות פעולה זו. מדיניות זו עשויה להתבסס על תפקיד המשתמש, התכונות של המשתמש והקובץ, או קריטריונים אחרים.
  
  
• ביקורת וניטור: על ידי הבנה וניטור אילו נושאים ניגשים לאילו אובייקטים, ארגונים יכולים לנהל יומני אבטחה, לזהות דפוסי גישה חריגים, ובמידת הצורך, ליזום תגובות לאירועי אבטחה פוטנציאליים.
  
  
• בקרת גישה דינמית: מערכות בקרת גישה מודרניות יכולות להתאים הרשאות בזמן אמת על סמך הקשר. אם התכונות של נושא משתנות (כמו מיקומו, זמן הגישה או תפקידו), ניתן לשנות באופן דינמי את הגישה שלו לאובייקטים.
  
  
• גרעיניות של גישה: לא כל גישה היא בינארית, בהיבט של "מותרת" או "נדחית". לפעמים, הנבדקים רשאים לקרוא אובייקט אך לא לשנות אותו. הבנת נושאים ואובייקטים מאפשרת למערכות לספק הרשאות גישה פרטניות, מה שמשפר הן את האבטחה והן את הפונקציונליות.

הזדהויות מכונה למכונה ואדם למכונה

הזדהות היא תהליך של אימות זהות של אדם או מכונה. בהגנת סייבר, הזדהות משמשת כדי לאמת את זהות המשתמש או המערכת המבקשת לגשת למשאבים או לשירותים.

הזדהות של אדם למכונה

הזדהות של אדם למכונה היא תהליך שבו אדם מאשר את זהותו למכונה. תהליך זה בדרך-כלל כולל את השלבים הבאים:

• בקשה: המשתמש מגיש בקשה למכונה כדי לגשת למשאב או לשירות.
• אוטנטיקציה: המכונה מבקשת מהמשתמש להוכיח את זהותו.
• אימות: המכונה בוחנת את ההוכחה שהמשתמש הציג, ומאשרת או דוחה את זהותו.

אמצעי אוטנטיקציה נפוצים

ישנם מגוון אמצעי אוטנטיקציה המשמשים בהזדהות של אדם למכונה. אמצעי אוטנטיקציה נפוצים כוללים:

• סיסמאות: סיסמאות הן אמצעי אוטנטיקציה פשוט אך יעיל. סיסמאות חייבות להיות חזקות וייחודיות כדי להגן מפני פריצה.
• גורמים כפולים: גורמים כפולים הם אמצעי אוטנטיקציה המשתמש בשני גורמים שונים כדי לאמת את זהות המשתמש. גורמים כפולים נחשבים לבטוחים יותר מסיסמאות בלבד.
• זיהוי ביומטרי: זיהוי ביומטרי הוא אמצעי אוטנטיקציה המשתמש בתכונות פיזיות של המשתמש, כגון טביעת אצבע או זיהוי פנים, כדי לאמת את זהותו. זיהוי ביומטרי נחשב לבטוחים יותר מסיסמאות וגורמים כפולים.

הזדהות של מכונה למכונה

הזדהות של מכונה למכונה היא תהליך שבו מכונה מאשרת את זהותה למכונה אחרת. תהליך זה בדרך-כלל כולל את השלבים הבאים:

• בקשה: מכונה אחת מגישת בקשה למכונה אחרת כדי לבצע פעולה.
• אוטנטיקציה: המכונה השנייה מבקשת מהמכונה הראשונה להוכיח את זהותה.
• אימות: המכונה השנייה בוחנת את ההוכחה שהמכונה הראשונה הציגה, ומאשרת או דוחה את זהותה.

אמצעי אוטנטיקציה נפוצים

ישנם מגוון אמצעי אוטנטיקציה המשמשים בהזדהות של מכונה למכונה. אמצעי אוטנטיקציה נפוצים כוללים:

• תעודות SSL/TLS: תעודות SSL/TLS הן אמצעי אוטנטיקציה המשתמש בטכנולוגיית הצפנה כדי לאמת את זהות המכונה.
  
  
• פרוטוקולים: פרוטוקולים הם אמצעי אוטנטיקציה המשתמש בסט חוקים מוגדרים כדי לאמת את זהות המכונה.
  
  
• זיהוי רשת: זיהוי רשת הוא אמצעי אוטנטיקציה המשתמש במידע על הרשת שבה המכונה ממוקמת כדי לאמת את זהותה.

הבדלים בין הזדהות של אדם למכונה להזדהות של מכונה למכונה

ישנם מספר הבדלים עיקריים בין הזדהות של אדם למכונה להזדהות של מכונה למכונה:

• סוג המשתמש: הזדהות של אדם למכונה מתייחסת לזהות של אדם, בעוד שהזדהות של מכונה למכונה מתייחסת לזהות של מכונה.
  
  
• מטרת האבטחה: מטרת האבטחה של הזדהות של אדם למכונה היא להגן על נתונים ופרטיות של משתמשים, בעוד שמטרת האבטחה של הזדהות של מכונה למכונה היא להגן על נכסים ושירותים.
  
  
• אמצעי אוטנטיקציה: אמצעי אוטנטיקציה המשמשים בהזדהות של אדם למכונה שונים מאמצעי אוטנטיקציה המשמשים בהזדהות של מכונה למכונה. לדוגמה, סיסמאות הן אמצעי אוטנטיקציה נפוץ בהזדהות של אדם למכונה, אך הן אינן נחשבות לאבטחתיות מספיקות בהזדהות של מכונה למכונה.
  
  
• שלבי האימות: שלבי האימות בהזדהות של אדם למכונה עשויים להיות שונים משלב האימות בהזדהות של מכונה למכונה. לדוגמה, בהזדהות של אדם למכונה, המשתמש עשוי להזדקק להזין גם את שם המשתמש והסיסמה שלו, בעוד שבהזדהות של מכונה למכונה, המכונה עשוי להזדקק להציג את התעודה שלה בלבד.
  
  עבור למאמר הבא