В современной информационной безопасности базовым механизмом, который присваивает каждому пользователю соответствующие права, является разграничение доступа (Access Control)․ Это не единственная функция защиты, а комплексная система управления полномочиями, определяющая, кто, к чему и как может получить доступ․ В основе этого процесса лежат специальные модели разграничения доступа, каждая из которых реализует свою логику назначения прав․
Основные модели разграничения доступа
Выбор модели определяет, каким именно образом права «присваиваются» субъектам (пользователям, процессам) в отношении объектов (файлов, баз данных, устройств)․
Дискреционная модель (DAC, Discretionary Access Control)
Это наиболее распространенная и гибкая модель․ В ней право доступа присваивается прямо каждому пользователю или группе пользователей владельцем объекта или администратором․
- Механизм реализации: Списки контроля доступа (ACL, Access Control Lists) или матрица доступа․
- Принцип: «Каждому пользователю — список ресурсов и прав доступа к ним» (как указано в научных источниках по теме)․
- Особенность: Владелец объекта сам решает, кто имеет к нему доступ․ Пользователи с определенными правами могут передавать их другим (делегирование)․
- Применение: Стандартные файловые системы (NTFS, ext4), СУБД, операционные системы общего назначения․
Мандатная (обязательная) модель (MAC — Mandatory Access Control)
В этой модели права присваиваются не по имени пользователя, а на основе меток безопасности (классификации), присваиваемых и субъектам, и объектам․
- Механизм реализации: Иерархия уровней секретности (например: Несекретно → Конфиденциально → Секретно → Сверхсекретно) и категории доступа․
- Принцип: Доступ разрешается только при соблюдении строгих правил сравнения меток субъекта и объекта (например, правило «читать вверх, писать вниз» по модели Белла — Лападулы)․
- Особенность: Невозможность расширить существующий перечень полномочий пользователем самостоятельно; Если нужны дополнительные права, администраторы создают новые профили под актуальную метку ресурса․
- Применение: Гостайна, военные системы, критическая инфраструктура, сертифицированные СЗИ (средства защиты информации)․
Ролевая модель (RBAC — Role-Based Access Control)
Права присваиваются не конкретным людям, а ролям (должностям, функциям), а пользователи получают права путем назначения на эти роли․
- Механизм реализации: Определение набора полномочий для роли (например, «Бухгалтер», «Сисадмин», «Менеджер по продажам»)․
- Принцип: Групповое разграничение прав считается оптимальным и гибким вариантом управления․ Это экономит время и исключает рутинную работу администраторов по назначению прав каждому сотруднику индивидуально․
- Принцип минимальных привилегий: Ключевой принцип ИБ, гарантирующий, что каждой роли (и пользователю) предоставлены только те права, которые абсолютно необходимы для выполнения задач;
- Разделение привилегированных и непривилегированных пользователей: Отдельное регулирование прав администраторов, администраторов безопасности и технических специалистов․
Атрибутная модель (ABAC — Attribute-Based Access Control)
Самая современная и гибкая модель․ Решение о доступе принимается на основе политик, оценивающих атрибуты субъекта (кто), объекта (что), окружения (где, когда, с какого устройства) и действия (что делает)․
- Позволяет реализовать контекстно-зависимый доступ (например: «Доступ к отчету разрешен только менеджерам отдела продаж, в рабочее время, с корпоративного ноутбука»)․
Технические механизмы присваивания прав
Независимо от выбранной модели, технически присвоение прав реализуется через следующие структуры данных:
- Матрица доступа (Access Matrix): Теоретическая модель «Субъекты × Объекты», где в ячейках хранятся права (Чтение, Запись, Исполнение, Удаление и т․д․)․ На практике хранится в виде строк или столбцов․
- Списки контроля доступа (ACL — Access Control Lists): Привязаны к объекту․ Содержат перечень субъектов и их прав на этот объект․ (Вариант «каждому объекту, список пользователей и прав»)․
- Списки возможностей (Capability Lists): Привязаны к субъекту․ Содержат перечень объектов и прав субъекта на них․ (Вариант «каждому пользователю — список ресурсов и прав доступа к ним»)․
- Профили безопасности / Метки: Используются в мандатной модели для хранения уровня допуска пользователя и категории объекта․
Процесс управления жизненным циклом прав
Присвоение прав — это не разовое действие, а непрерывный процесс, включающий этапы:
Идентификация и аутентификация (I&A)
Перед присвоением прав система должна достоверно установить личность пользователя (логин/пароль, MFA, биометрия, токены)․ Многоуровневая аутентификация (MFA) является обязательным требованием для усиления безопасности привилегированных учетных записей․
Авторизация (Access Enforcement)
Сравнение запрошенного действия с матрицей/ACL/политикой RBAC/ABAC․ Точка принятия решения (PDP — Policy Decision Point) и точка принуждения (PEP, Policy Enforcement Point)․
Администрирование прав (Provisioning)
- Ручное: Через консоли управления (AD, LDAP, консоли СУБД)․
- Автоматизированное (IdM/IGA): Системы управления идентификаторами (Identity Management) автоматически выдают/отзывают права при найме, переводах, увольнении (Joiner-Mover-Leaver)․
- JIT (Just-In-Time) доступ: Выдача привилегированных прав на ограниченное время по запросу с последующим автоматическим отзывом (PAM-системы)․
Контроль и аудит (Review & Audit)
Регулярная рецензия прав доступа (аттестация), анализ логов доступа (SIEM), выявление избыточных прав, нарушений принципа минимальных привилегий и «зомби-аккаунтов»․
Инструментальные средства реализации
Для практического внесения описанных моделей в жизнь используются классы программного обеспечения:
- Средства разграничения доступа (СРД / Access Control Systems): Встроенные в ОС (SELinux, AppArmor, Windows SACLs), СУБД, прикладное ПО․
- DCAP (Data-Centric Audit and Protection): Решения для разграничения доступа к неструктурированным данным (файловые серверы, облака), позволяющие детально определять группу полномочий для каждой группы пользователей․
- PAM (Privileged Access Management): Управление привилегированным доступом (хранение паролей, запись сессий, JIT-доступ)․
- IdM / IGA (Identity Governance & Administration): Централизованное управление учетными записями и ролями во всей ИТ-инфраструктуре․
- DLP / IRP: Системы предотвращения утечек информации, контролирующие не только кто имеет доступ, но и что он делает с данными (копирование, печать, отправка)․
Принципы эффективного присваивания прав
Независимо от выбранного «способа» (модели), соблюдение следующих принципов обязательно для безопасности:
- Принцип наименьших привилегий (Least Privilege): Минимум прав для выполнения задачи․ Снижает потенциальный ущерб от ошибок и взлома․
- Принцип «Need to Know» (Необходимость знания): Доступ дается только к информации, необходимой для выполнения служебных обязанностей․
- Разделение обязанностей (Separation of Duties — SoD): Критические действия требуют участия нескольких лиц (например, создание платежа и его подписание разными людьми)․
- Отказоустойчивость и дефолтный запрет (Default Deny): Доступ запрещен по умолчанию, разрешается только явно необходимое․
- Полная медиация: Каждая попытка доступа проверяется системой защиты (не кэшируются решения навсегда)․
Таким образом, единого «способа» не существует — существует выбор модели разграничения доступа (DAC, MAC, RBAC, ABAC) и соответствующих ей механизмов реализации (ACL, Capabilities, Labels, Policies)․
Для большинства корпоративных задач оптимальным является гибридный подход: база — ролевая модель (RBAC) для автоматизации рутинных операций и соблюдения принципа минимальных привилегий; надстройка, дискреционные ACL для точечных исключений; а для критичных активов — мандатные метки или атрибутные политики (ABAC) с контекстным контролем․ Ключевым условием эффективности любого способа является не разовая настройка, а непрерывный процесс управления идентификаторами, аудита прав и их своевременного отзыва․