Фраза дня: принцип наименьших привилегий

Что такое принцип наименьших привилегий (principle of least privilege POLP)?
Принцип минимальных привилегий (POLP) - это концепция компьютерной безопасности, которая ограничивает права доступа пользователей только тем, что строго требуется для выполнения их работы. Пользователям предоставляется разрешение на чтение, запись или выполнение только те файлы или ресурсы, которые необходимы для выполнения их работы. Этот принцип также известен как принцип контроля доступа или принцип минимальных привилегий.

POLP также может ограничивать права доступа к приложениям, системам и процессам только авторизованным лицам.

В зависимости от системы некоторые привилегии могут быть основаны на атрибутах, зависящих от роли пользователя в организации. Например, некоторые корпоративные системы доступа предоставляют соответствующий уровень доступа в зависимости от таких факторов, как местоположение, стаж работы или время суток. Организация может указать, какие пользователи могут получить доступ к тому, что в системе, и система может быть настроена таким образом, чтобы элементы управления доступом распознавали только роль и параметры администраторов.

POLP также может ограничивать права доступа к приложениям, системам и процессам только авторизованным лицам.

В зависимости от системы некоторые привилегии могут быть основаны на атрибутах, зависящих от роли пользователя в организации. Например, некоторые корпоративные системы доступа предоставляют соответствующий уровень доступа в зависимости от таких факторов, как местоположение, стаж работы или время суток. Организация может указать, какие пользователи могут получить доступ к тому, что в системе, и система может быть настроена таким образом, чтобы элементы управления доступом распознавали только роль и параметры администраторов.

Что такое суперпользователь?
Учетная запись суперпользователя предоставляет сотрудникам информационных технологий (ИТ) неограниченные привилегии, поэтому они имеют полные права на чтение, запись и выполнение и могут вносить изменения в сети. Это включает в себя установку программного обеспечения, изменение настроек и файлов, а также удаление данных и пользователей. Учетные записи суперпользователей предоставляются только самым доверенным лицам, обычно системным администраторам или им подобным. Учетная запись суперпользователя также известна как учетная запись администратора и часто получает имя root.

Чтобы предотвратить захват сеансов суперпользователя, суперпользователь может ввести команду sudo в любую учетную запись, что позволяет учетной записи временно выполнять одну команду с привилегиями суперпользователя. В идеале учетные данные суперпользователя не используются для входа в систему; Поскольку учетная запись суперпользователя имеет полный контроль над системой, она должна быть защищена от несанкционированного доступа.

Контроль доступа
Пользователи с минимальными привилегиями (LPU - Least-privileged users) - это пользователи с наиболее ограниченным доступом и часто с самым низким уровнем полномочий в компании. В организации пользователи часто имеют повышенный уровень доступа к сети и данным в ней. Когда LPU настроен, эта учетная запись пользователя имеет ограниченные права и может выполнять только определенные задачи, такие как просмотр веб-страниц или чтение электронной почты. Это усложняет злоумышленнику использование учетной записи для причинения вреда.

Другой способ контролировать доступ пользователей - реализовать концепцию, называемую брекетингом привилегий. Этот подход предполагает предоставление пользователям доступа к учетным записям администратора на кратчайшее время, необходимое для выполнения конкретной задачи. Этой функцией можно управлять с помощью специального автоматизированного программного обеспечения, чтобы гарантировать, что доступ предоставляется только на указанный период времени.

Что такое крип привилегий?
POLP - это не только отнятие привилегий у пользователей; это также касается контроля доступа для тех, кому он не нужен. Например, снижение привилегий относится к тенденции разработчиков программного обеспечения постепенно добавлять больше прав доступа, чем те, которые необходимы отдельным лицам для выполнения своей работы. Это может вызвать серьезные риски кибербезопасности для организации. Например, повышенным по службе сотрудникам могут потребоваться временные права доступа к определенным системам для их старой работы. Но как только они занимают новое положение, добавляются дополнительные права доступа, а существующие привилегии часто не отменяются. Такое ненужное накопление прав может привести к потере или краже данных.

Преимущества использования принципа наименьших привилегий

• Предотвращает распространение вредоносных программ. Налагая ограничения POLP на компьютерные системы, атаки вредоносных программ не могут использовать учетные записи с более высокими привилегиями или учетные записи администратора для установки вредоносного ПО или повреждения системы.
• Уменьшает вероятность кибератаки. Большинство кибератак происходит, когда злоумышленник использует привилегированные учетные данные. POLP защищает системы, ограничивая потенциальный ущерб, который может быть причинен неавторизованным пользователем, получившим доступ к системе.
• Повышает продуктивность пользователей. Предоставление пользователям только необходимого доступа для выполнения их необходимых задач означает более высокую производительность и меньший объем устранения неполадок.
• Помогает продемонстрировать соответствие стандартам. В случае аудита организация может доказать свое соответствие нормативным требованиям, представив реализованные концепции POLP.
• Помогает с классификацией данных. Концепции POLP позволяют компаниям отслеживать, кто и к каким данным имеет доступ в случае несанкционированного доступа.

Хотя POLP и помогает минимизировать риск несанкционированного доступа пользователя к конфиденциальным данным, основным недостатком является то, что минимальные разрешения должны соответствовать ролям и обязанностям пользователя, что может быть проблематичным в крупных организациях. Например, пользователи могут быть не в состоянии выполнить определенную требуемую задачу, если у них нет соответствующих привилегий доступа.

Как внедрить POLP
Применение концепций POLP может быть таким же простым, как исключение доступа конечных пользователей к устройствам, например удаление накопителей с универсальной последовательной шиной (USB) для предотвращения кражи секретной информации, для более сложных операций, таких как проведение регулярных аудитов привилегий.

Организации могут успешно внедрить POLP, выполнив следующие действия:

• проведение аудита привилегий путем проверки всех существующих процессов, программ и учетных записей, чтобы убедиться, что не происходит смещения привилегий;
• запуск всех учетных записей с минимальными привилегиями и добавление привилегий в соответствии с доступом, необходимым для выполнения;
• реализация разделения привилегий путем различения учетных записей с привилегиями более высокого уровня и учетных записей с привилегиями более низкого уровня;
• назначение своевременных привилегий путем предоставления привилегированных учетных записей более высокого уровня ограниченного доступа для выполнения необходимой задачи; а также
• отслеживание и отслеживание отдельных действий, выполняемых одноразовыми учетными данными, во избежание потенциального ущерба.