في آخر مشاركة لي بعنوان، ما يُعنى بالإذن والتحكم في الوصول، أوضحت أننا نستخدم المصادقة للتحقق من الهوية - لإثبات أنك أنت ما تدعيه - وأيضًا لتمكين سياسة الأذون، لتحديد ما يُسمح لهويتك بأن "تراه وتقوم به". ثم نقوم بعد ذلك بتنفيذ سياسات الإذن هذه باستخدام الإجراءات الأمنية لمنح أو رفض الوصول إلى الموارد التي نود التحكم فيها أو حمايتها.
ويطلق على التدابير التي نستخدمها لتنفيذ سياسات الإذن ضوابط وصول المستخدم أو أذونات المستخدم أو امتيازات المستخدم. يُستخدم التحكم في وصول المستخدم عادة في توثيق نظام التشغيل ويندوز أو جهاز التوجيه أو جدار الحماية، إلا أن امتياز المستخدم أو إذن المستخدم يعتبر أكثر شيوعًا في توثيق نظام لينكس. قد تجد جميع المواضيع التي تناقش الاختلافات بين هذه المصطلحات، ولكن لأغراض التمهيدية، تعالج هذه المصطلحات كما لو أنها قابلة للتبديل. استخدم المصطلح الأكثر تفضيلاً بالنسبة لك أو الذي واجهته في اغلب الاحيان في الوثائق والأكثر صلة لك.
عند تعريف سياسة الإذن، عليك أن تحدد مستخدم أو مجموعة مستخدمين أو التطبيقات أو العمليات التي يمكنها أداء الإجراءات المتعلقة بالموارد مثل قاعدة بيانات. يمكنك أن تكون محببًا للغاية مع سياسة الترخيص. يمكنك التحكم في الإجراءات - يمكن للأفراد أو المجموعات على حد سواء أن يطلعوا أو ينشؤوا أو يعدَّلوا (يكتبوا) أو يحذفوا - على إدخالات قاعدة بيانات فردية أو حتى العناصر الفردية (الحقول) لإدخال قاعدة بيانات.
مثال على سياسة الترخيص
دعونا نتخيل أن قاعدة بيانات تاجر مكونة من سجلات يحتوي كل سجل على معلومات اسم وعنوان المنزل والهاتف وبطاقة الائتمان. يحدد فريق تكنولوجيا المعلومات لدى التاجر سياسة الترخيص على أنها تنظم وصول موظفي التاجر إلى ثلاث فئات من الامتياز:
-
مديرا قاعدة البيانات - جو وتيري - يمكنهما تنفيذ أي إجراء متعلق بأي سجل للعميل في قاعدة البيانات. على سبيل المثال، يمكن إنشاء سجل وتعديل أي عنصر بأي سجل وحذف أي سجل.
يعتبر هذا مثالاً على الوصول الكامل.
-
موظفا الحسابات - شارلوت وبيرت - يمكنهما قراءة أي حقل بأي سجل للعملاء بما في ذلك معلومات بطاقة الائتمان، ولكن لا يجوز لهما إنشاء أو تعديل أو حذف سجلات أو حقول داخل السجلات.
إننا هنا نسمح بالوصول إلى مجموعة كاملة من السجلات ولكن لا نسمح بإمكانية إنشاء أو تغيير أو حذف أي سجلات أو حقول داخل السجلات.
-
موظفا التسويق - أحمد كارلو - يمكنهما قراءة أي سجل للعميل ولكنهما لا يستطيعان قراءة معلومات البطاقة الائتمانية، ولا يسمح لهم بإنشاء أو تعديل أو حذف أي سجل أو حقل.
إننا هنا نسمح بالوصول إلى مجموعة كاملة من السجلات ولكن لا نسمح بالوصول إلى بيانات محددة داخل كل سجل.
توضح هذه الأمثلة مفهومًا أمنيًا مهمًا، ومبدأ الامتيازات الأقل (POLP)، حيث تمنح المنظمة للمستخدمين فقط تلك الامتيازات التي يحتاجونها للقيام بالعمل المكلفون به. على سبيل المثال، قررت الشركة صورية أن موظفي التسويق لا يحتاجون إلى الوصول إلى بطاقات الائتمان. لدينا أيضًا أمثلة توضح التحكم في الوصول المستند إلى الدور (RBAC). في الأمثلة، وضعت الشركة امتيازات استنادًا إلى مجموعة من الأدوار {مدير قاعدة البيانات وموظفي الحسابات وموظفي التسويق ...}.
تحديد المرحلة
فكر في ضوابط الوصول الواردة في مثالنا، واسأل، "إذا كنت أحد المهاجمين وتريد سرقة المعلومات التي يمكنك استخدامها لاستغلال معلومات بطاقة الائتمان بالاحتيال، فأي من حسابات المستخدم تود الوصول إليها؟"
سنلقي نظرة على كيفية محاولة المهاجمين للوصول وتصعيد الامتيازات في منشورنا المقبل.