Das Kefk Network Wiki befindet sich im Testbetrieb.
Zugriffskontrolle
Aus Kefk.
Das Ziel der Zugriffkontrolle ist die Sicherstellung der Integrität, Vetraulichkeit und Verfügbarkeit von Informationen.
Eine der wichtigsten Grundlagen der Informatiksicherheit ist die Art und Weise wie auf Ressourcen zugegriffen werden kann und wie diese Ressourcen durch die Zugriffsmechanismen geschützt werden. Somit handelt es sich bei der Zugriffskontrolle nicht nur um technische Hilfmittel.
Inhaltsverzeichnis |
Einteilung
- Administrative Zugriffskontrolle
- Physikalische Zugriffskontrolle
- Technische Zugriffskontrolle
Die Aufteilung dieser drei Gebiete wird als komplementär angesehen, das heißt, dass sich die Gebiete durch ein Schichtenmodell beschreiben lassen, wobei sich die einzelnen Schichten komplementär ergänzen.
Administrative Zugriffskontrolle
Die administrativen Kontrollen stehen zuoberst in der Hierarchie. Sie beschreiben, wie eine Organisation mit dem Zugriff auf ihre Informationen umgehen will. Aspekte der Zugriffkontrolle auf dieser Ebene sind:
Sicherheitsvorschriften und Prozeduren
- Die Sicherheitsvorschrift kann Vorgaben an die Zugriffskontrolle machen, muss dies aber nicht zwingend. Zur Erstellung der Sicherheitsvorschriften muss eine Organisation feststellen, welche Informationen schützenswert sind und natürlich welchen finanziellen Wert die jeweilige Ressource hat (beispielsweise Firmengeheimnisse wie Konstruktionspläne im Automobilsektor, Kontodaten im Banksektor, usw. ). Weiterhin wird die Sicherheitsvorschrift auch durch regulatorische Vorgaben (Datenschutzgesetz, Bankgeheimnis, zu erfüllende Normen, etc..) geprägt. Je nach Branche in welcher die Organisation agiert kommen Patentschutz, IP (Intelectual Property) oder ähnliches dazu.
Ein weiterer Aspekt ist die Zugriffkontrolle für die Mitarbeiter
- Welche Rollen getrennt werden müssen (4-Augen-Prinzip, Separation of Duty)
- Welche Rollen und Personen Zugriff auf welche Informationen besitzen.
- Welche Eigenschaften diese Personen erfüllen müssen um den Zugang zu erhalten.
- Wie diese Eigenschaften regelmäßig verifiziert werden können.
- Wie einer Person die Rechte wieder entzogen werden können.
Die Kontrollstruktur einer Organisation
- Wer kontrolliert welche Daten auf Integrität
- Welche Indikatoren können zur Steuerung verwendet werden
- Wer ist für welche Aktionen in einer Organisation verantwortlich
Die Testbarkeit der Zugriffskontrollen
- Wie die spezifizierten Kontrollen verifziert werden können (Audit)
Physikalische Zugriffskontrolle
Bei der physikalischen Zugriffskontrolle handelt es sich um Zugriffskontrollen, welche durch physikalische Maßnahmen eingefordert werden können. Darunter versteht man die Zugriffskontrolle wie:
- Aufbau und Architektur der Gebäude in Bezug auf Zugangskontrolle
- Schlösser oder Biometrische Zugangskontrolle zu Räumen (Serverräume, Tresore)
- Kandalaber, Flutlicht, Alarmanlagen oder Videoüberwachung.
- Schutzdienst, Wachhunde, Zäune etc..
Es ist anzumerken das die physikalische Aufteilung eines Netzwerkes auch zur Physikalischen Zugriffskontrolle angerechnet werden kann, da eine physikalisch räumliche Teilung eines Netzwerkes erfolgt, welches den Zugriff auf (potentiell vetrauliche) Informationen erlaubt. Wenn das Backup eines Systems in einem brandsicheren Tresor verwahrt wird, handelt es sich auch um eine physikalische Kontrolle, nämlich um den Zugriffschutz vor Feuer und Diebstahl.
Technische Zugriffskontrolle
Bei dem Gebiet der technischen Zugriffskontrolle, manchmal auch logische Zugriffkontrolle genannt, handelt es sich um die Restriktion des Zugriffes durch Software und Hardware. Dabei handelt es sich um Komponenten von Betriebssystemen, Software Applikationen, Netzwerkgeräte oder Protokolle.
Dies geschieht mittels Autorisierung und Vergabe von Zugriffsrechten. Die Kontrolle wird normalerweise über Passworte, die Gewährung von Privilegien oder das Bereitstellen von Attributen erreicht (vgl. Dateiattribute). Es müssen dazu 3 Fragen beantwortet werden:
- Körnigkeit: Was ist die kleinste schützbare Einheit? Eine Datei oder eine Menge von Dateien?
- Operationen: Zwischen welchen Operationen (Lesen, Schreiben, Löschen, Ausführen, usw.) kann bei der Vergabe von Rechten unterschieden werden?
- Zugang: Wie wird die Autorisierung durchgeführt? Gängige Methoden nach erfolgreicher Authentifizierung sind: Vergabe einer Benutzerkennung und Zuordnung zu einer Benutzerklasse.
Technisch wurden diverse Zugriffmodelle implementiert. Es ist anzumerken das die Modelle auch für organisatorische sowie physikalische Zugriffskontrolle verwendet werden können.
Alternativen
Die zur Zugriffskontrolle notwendigen Informationen könnten in einer Zugriffsmatrix abgelegt sein. Zugriffsmatrizen sind jedoch für eine Implementierung ungeeignet, da sie sehr groß sind und i.a. dünn besetzt sind. Eine Alternative könnte eine Tripelliste sein, bei der es für jedes vergebene Recht eines Benutzers auf ein Objekt einen Eintrag gibt.
 | Dieses Dokument entstammt in seiner ersten oder einer späteren Version der deutschsprachigen Wikipedia. Es ist dort zu finden unter dem Stichwort Zugriffskontrolle, die Liste der bisherigen Autoren befindet sich in der Versionsliste; die Originalfassung kann dort auch bearbeitet werden. Alle Texte der Wikipedia und ihre Derivate stehen unter der GNU-Lizenz für freie Dokumentation. |
