Контроль доступа - Access control

Моряк проверяет удостоверение личности (ID) перед тем, как пропустить автомобиль в военное учреждение.

В полях физическая охрана и информационная безопасность, контроль доступа (AC) - избирательное ограничение доступа к месту или другому ресурс[1] пока управление доступом описывает процесс. Акт доступ может означать потребление, вход или использование. Разрешение на доступ к ресурсу называется разрешение.

Замки и учетные данные для входа два аналогичных механизма контроля доступа.

Физическая охрана

Основная статья: Физическая охрана
Оптические турникеты с опускающимся рычагом производства Q-Lane Turnstiles LLc
Подземный вход в Метро Нью-Йорка система
Контроль доступа физической безопасности с помощью ручного сканера геометрии
Пример управления доступом на основе брелока с использованием считывателя ACT

Управление географическим доступом может осуществляться персоналом (например, пограничник, вышибала, проездной билет checker) или с помощью такого устройства, как турникет. Может быть заборы чтобы избежать обхода этого контроля доступа. Альтернативой контроля доступа в строгом смысле слова (физический контроль доступа) является система проверки авторизованного присутствия, см., Например, Билетный контролер (транспорт). Вариант - контроль выхода, например магазина (кассы) или страны.[2]

Термин «контроль доступа» относится к практике ограничения входа на объект недвижимости. строительство, или комнату для уполномоченных лиц. Физический контроль доступа может осуществляться человеком (охранником, вышибалой или секретарем) с помощью механических средств, таких как замки и ключи, или технических средств, таких как системы контроля доступа словно мантрап. В этих средах управление физическими ключами также может использоваться как средство дальнейшего управления и мониторинга доступа к областям с механическими ключами или доступа к определенным небольшим активам.[2]

Контроль физического доступа зависит от того, кто, где и когда. Система контроля доступа определяет, кому разрешено входить или выходить, где им разрешено выходить или входить, и когда им разрешено входить или выходить. Исторически это частично достигалось с помощью ключей и замков. Когда дверь заперта, только тот, у кого есть ключ, может войти через дверь, в зависимости от конфигурации замка. Механические замки и ключи не позволяют ограничивать владельца ключа определенным временем или датой. Механические замки и ключи не содержат записей о ключах, использованных на какой-либо конкретной двери, и ключи можно легко скопировать или передать неуполномоченному лицу. Если механический ключ утерян или держатель ключа больше не имеет права использовать защищенную зону, замки необходимо повторно запереть.[3]

Электронный контроль доступа

Электронный контроль доступа (EAC) использует компьютеры для устранения ограничений механических замков и ключей. Широкий спектр реквизиты для входа могут использоваться для замены механических ключей. Электронная система контроля доступа предоставляет доступ на основе представленных учетных данных. Когда доступ разрешен, дверь разблокируется на заранее установленное время, и сделка записывается. При отказе в доступе дверь остается заблокированной, и попытка доступа записывается. Система также будет контролировать дверь и подавать сигнал, если дверь будет открыта принудительно или удерживается открытой слишком долго после отпирания.[2]

Когда учетные данные представлены читателю, он отправляет информацию об учетных данных, обычно номер, на панель управления, высоконадежный процессор. Панель управления сравнивает номер учетных данных со списком управления доступом, разрешает или отклоняет представленный запрос и отправляет журнал транзакций в база данных. Когда в доступе отказано на основании список контроля доступа, дверь остается запертой. Если есть совпадение между учетными данными и списком контроля доступа, контрольная панель управляет реле, которое, в свою очередь, открывает дверь. Панель управления также игнорирует сигнал открытия двери, чтобы предотвратить срабатывание сигнализации. Часто читатель дает обратную связь, например мигает красным ВЕЛ при отказе в доступе и мигающий зеленый светодиод при разрешении доступа.[4]

Приведенное выше описание иллюстрирует однофакторную транзакцию. Учетные данные могут быть переданы, таким образом нарушая список контроля доступа. Например, Алиса имеет права доступа к серверная комната, но Боб этого не делает. Алиса либо дает Бобу свои учетные данные, либо Боб берет их; Теперь у него есть доступ к серверной. Чтобы предотвратить это, двухфакторная аутентификация может быть использован. В двухфакторной транзакции для предоставления доступа необходимы представленные учетные данные и второй фактор; другим фактором может быть PIN-код, вторые учетные данные, вмешательство оператора или биометрический ввод.[4]

Существует три типа (факторов) аутентификации информации:[5]

  • что-то, что знает пользователь, например пароль, парольная фраза или PIN-код
  • что-то есть у пользователя, например смарт-карта или брелок
  • что-то, что пользователь, например, отпечаток пальца, подтверждено биометрическими измерениями

Пароли - это обычное средство проверки личности пользователя перед предоставлением доступа к информационным системам. Кроме того, теперь распознается четвертый фактор аутентификации: кто-то, кого вы знаете, посредством чего другой человек, который вас знает, может предоставить человеческий элемент аутентификации в ситуациях, когда системы были настроены для таких сценариев. Например, пользователь может знать свой пароль, но забыл свою смарт-карту. В таком сценарии, если пользователь известен назначенным когортам, когорты могут предоставить свою смарт-карту и пароль в сочетании с существующим фактором данного пользователя и, таким образом, предоставить два фактора для пользователя с отсутствующими учетными данными, давая три фактора в целом для обеспечения доступа.[нужна цитата ]

Учетные данные

Учетные данные - это физический / материальный объект, часть знаний или аспект физического существа человека, который обеспечивает индивидуальный доступ к данному физическому объекту или компьютерной информационной системе. Как правило, учетные данные могут быть чем-то известным человеку (например, числом или PIN-кодом), чем-то, что у него есть (например, значок доступа ), чем-то, чем они являются (например, биометрической характеристикой), чем-то, что они делают (измеримые поведенческие модели), или некоторой комбинацией этих элементов. Это известно как многофакторная аутентификация. Типичные учетные данные - это карта доступа или брелок, а более новое программное обеспечение также может превращать смартфоны пользователей в устройства доступа.[6]

Существует множество технологий карт, включая магнитную полосу, штрих-код, Виганд, 125 кГц, бесконтактная, 26-битная карта, контактные смарт-карты и бесконтактные смарт-карты. Также доступны брелки для ключей, которые более компактны, чем идентификационные карты, и прикрепляются к кольцу для ключей. Биометрические технологии включают отпечаток пальца, распознавание лица, распознавание радужной оболочки глаза, сканирование сетчатки, голос и геометрию руки. Встроенные биометрические технологии, имеющиеся в новых смартфонах, также могут использоваться в качестве учетных данных в сочетании с программным обеспечением доступа, работающим на мобильных устройствах.[7] В дополнение к более старым более традиционным технологиям доступа к картам, новые технологии, такие как Связь ближнего поля (NFC), Bluetooth с низким энергопотреблением или же Сверхширокополосный (UWB) также может передавать учетные данные пользователя читателям для доступа к системе или зданию.[8][9][10]

Компоненты системы контроля доступа

Различные компоненты системы управления

Компоненты системы контроля доступа включают:

  • Панель управления доступом (также известная как контролер )
  • Запись с контролируемым доступом, например дверь, турникет, парковочные ворота, лифт, или другой физический барьер
  • А читатель установлен возле входа. (В случаях, когда выход также контролируется, второй считыватель используется на противоположной стороне входа.)
  • Запирающее оборудование, такое как электрические дверные удары и электромагнитные замки
  • Магнитная дверь выключатель для контроля положения двери
  • Устройства запроса на выход (RTE) для разрешения выхода. Когда нажимается кнопка RTE или детектор движения обнаруживает движение у двери, дверная тревога временно игнорируется, пока дверь открыта. Выход из двери без необходимости электрического отпирания двери называется свободным механическим выходом. Это важная функция безопасности. В тех случаях, когда при выходе необходимо электрически отпереть замок, устройство запроса на выход также отпирает дверь.[11]

Топология контроля доступа

Типовая разводка двери для контроля доступа
Электропроводка двери контроля доступа при использовании интеллектуальных считывателей

Решения по управлению доступом принимаются путем сравнения учетных данных со списком управления доступом. Этот поиск может выполняться хостом или сервером, панелью управления доступом или считывателем. При разработке систем контроля доступа наблюдалось постоянное продвижение поиска от центрального хоста к краю системы или считывающему устройству. Преобладающая топология примерно в 2009 г. - концентратор и «спица» с панелью управления в качестве концентратора, а считыватели - в качестве «спиц». Функции поиска и управления находятся на панели управления. Спицы общаются через последовательное соединение; обычно RS-485. Некоторые производители доводят процесс принятия решений до крайности, размещая контроллер у двери. Контроллеры IP включен, и подключаться к хосту и базе данных через стандартные сети[12]

Типы читателей

Считыватели контроля доступа можно классифицировать по функциям, которые они могут выполнять:[13]

  • Базовые (неинтеллектуальные) считыватели: просто прочитайте номер карты или PIN-код и отправьте его на панель управления. В случае биометрической идентификации такие считыватели выводят идентификационный номер пользователя. Обычно Протокол Виганда используется для передачи данных на панель управления, но другие опции, такие как RS-232, RS-485 и Clock / Data, не редкость. Это самый популярный тип считывателей контроля доступа. Примерами таких считывающих устройств являются RF Tiny от RFLOGICS, ProxPoint от HID и P300 от Farpointe Data.
  • Полуинтеллектуальные считыватели: имеют все входы и выходы, необходимые для управления дверным оборудованием (замок, дверной контакт, кнопка выхода), но не принимают никаких решений о доступе. Когда пользователь предъявляет карту или вводит PIN-код, считыватель отправляет информацию главному контроллеру и ждет его ответа. Если соединение с главным контроллером прерывается, такие считыватели перестают работать или работают в ухудшенном режиме. Обычно полуинтеллектуальные считыватели подключаются к панели управления через RS-485 автобус. Примерами таких считывателей являются InfoProx Lite IPL200 от CEM Systems и AP-510 от Apollo.
  • Интеллектуальные считыватели: имеют все входы и выходы, необходимые для управления дверной фурнитурой; у них также есть память и вычислительная мощность, необходимые для независимого принятия решений о доступе. Как и полуинтеллектуальные считыватели, они подключаются к контрольной панели через шину RS-485. Панель управления отправляет обновления конфигурации и получает события от считывателей. Примерами таких считывателей могут быть InfoProx IPO200 от CEM Systems и AP-500 от Apollo. Есть также новое поколение умных читателей, которых называют "Считыватели IP ". Системы с IP-считывателями обычно не имеют традиционных панелей управления, и считыватели напрямую связываются с ПК, который действует как хост.

Некоторые считыватели могут иметь дополнительные функции, такие как ЖК-дисплей и функциональные кнопки для сбора данных (например, события прихода / ухода для отчетов о посещаемости), камера / динамик / микрофон для внутренней связи и поддержка чтения / записи смарт-карт.[нужна цитата ]

Топологии систем контроля доступа

Система контроля доступа с использованием последовательных контроллеров

1. Последовательные контроллеры. Контроллеры подключаются к главному компьютеру через последовательный порт. RS-485 линия связи (или через 20 мА токовая петля в некоторых старых системах). Необходимо установить внешние преобразователи RS-232/485 или внутренние карты RS-485, поскольку стандартные ПК не имеют портов связи RS-485.[нужна цитата ]

Преимущества:[нужна цитата ]

  • Стандарт RS-485 позволяет использовать длинные кабели до 4000 футов (1200 м).
  • Относительно короткое время отклика. Максимальное количество устройств на линии RS-485 ограничено 32, что означает, что хост может часто запрашивать обновления статуса от каждого устройства и отображать события почти в реальном времени.
  • Высокая надежность и безопасность, так как линия связи не используется совместно с другими системами.

Недостатки:[нужна цитата ]

  • RS-485 не допускает подключения по схеме звезды, если не используются разветвители.
  • RS-485 плохо подходит для передачи больших объемов данных (например, конфигурации и пользователей). Максимально возможная пропускная способность составляет 115,2 кбит / с, но в большинстве систем ее понижают до 56,2 кбит / с или меньше, чтобы повысить надежность.
  • RS-485 не позволяет главному ПК обмениваться данными с несколькими контроллерами, подключенными к одному и тому же порту одновременно. Поэтому в больших системах передача конфигурации и пользователей контроллерам может занять очень много времени, что мешает нормальной работе.
  • Контроллеры не могут инициировать связь в случае тревоги. Главный ПК действует как ведущий на линии связи RS-485, и контроллеры должны ждать, пока они не будут опрошены.
  • Для создания резервной конфигурации главного ПК требуются специальные переключатели последовательного интерфейса.
  • Необходимо установить отдельные линии RS-485 вместо использования уже существующей сетевой инфраструктуры.
  • Кабель, соответствующий стандартам RS-485, значительно дороже обычного сетевого кабеля UTP категории 5.
  • Работа системы сильно зависит от главного компьютера. В случае отказа главного компьютера события от контроллеров не извлекаются, а функции, требующие взаимодействия между контроллерами (т. Е. Защита от повторного прохода), перестают работать.
Система контроля доступа с использованием последовательных основных и вспомогательных контроллеров

2. Последовательные основные и вспомогательные контроллеры. Вся дверная фурнитура подключена к субконтроллерам (также известным как дверные контроллеры или дверные интерфейсы). Подконтроллеры обычно не принимают решения о доступе, а вместо этого пересылают все запросы основным контроллерам. Главные контроллеры обычно поддерживают от 16 до 32 субконтроллеров.

Преимущества:[нужна цитата ]

  • Рабочая нагрузка на главный компьютер значительно снижается, так как ему необходимо взаимодействовать только с несколькими основными контроллерами.
  • Общая стоимость системы ниже, поскольку субконтроллеры обычно представляют собой простые и недорогие устройства.
  • Действуют все остальные преимущества, перечисленные в первом абзаце.

Недостатки:[нужна цитата ]

  • Работа системы сильно зависит от основных контроллеров. В случае отказа одного из основных контроллеров события от его субконтроллеров не извлекаются, а функции, требующие взаимодействия между субконтроллерами (т. Е. Защита от повторного прохода), перестают работать.
  • Некоторые модели субконтроллеров (обычно более дешевые) не имеют памяти или вычислительной мощности для независимого принятия решений о доступе. Если главный контроллер выходит из строя, субконтроллеры переходят в режим пониженной производительности, в котором двери либо полностью заблокированы, либо разблокированы, и никакие события не регистрируются. Таких субконтроллеров следует избегать или использовать только в областях, не требующих высокой безопасности.
  • Главные контроллеры, как правило, дороги, поэтому такая топология не очень хорошо подходит для систем с несколькими удаленными точками, имеющими только несколько дверей.
  • Все остальные связанные с RS-485 недостатки, перечисленные в первом абзаце, остаются в силе.
Система контроля доступа с использованием последовательного главного контроллера и интеллектуальных считывателей

3. Последовательные главные контроллеры и интеллектуальные считыватели. Вся дверная фурнитура подключается напрямую к интеллектуальным или полуинтеллектуальным считывающим устройствам. Читатели обычно не принимают решения о доступе и перенаправляют все запросы на главный контроллер. Только если соединение с главным контроллером недоступно, считыватели будут использовать свою внутреннюю базу данных для принятия решений о доступе и записи событий. Полуинтеллектуальный считыватель, который не имеет базы данных и не может работать без главного контроллера, следует использовать только в областях, не требующих высокой безопасности. Основные контроллеры обычно поддерживают от 16 до 64 считывателей. Все преимущества и недостатки такие же, как перечисленные во втором абзаце.

Системы контроля доступа с использованием последовательных контроллеров и терминальных серверов

4. Последовательные контроллеры с терминальными серверами. Несмотря на быстрое развитие и расширение использования компьютерных сетей, производители средств контроля доступа оставались консервативными и не торопились с внедрением сетевых продуктов. Когда требовались решения с подключением к сети, многие выбрали вариант, требующий меньше усилий: добавление терминальный сервер, устройство, которое преобразует последовательные данные для передачи через LAN или WAN.

Преимущества:[нужна цитата ]

  • Позволяет использовать существующую сетевую инфраструктуру для подключения отдельных сегментов системы.
  • Обеспечивает удобное решение в случаях, когда установка линии RS-485 затруднена или невозможна.

Недостатки:[нужна цитата ]

  • Повышает сложность системы.
  • Создает дополнительную работу для установщиков: обычно терминальные серверы приходится настраивать самостоятельно, а не через интерфейс ПО контроля доступа.
  • Последовательный канал связи между контроллером и терминальным сервером действует как узкое место: даже если данные между хост-компьютером и терминальным сервером передаются со скоростью сети 10/100/1000 Мбит / с, они должны снизиться до последовательной скорости 112,5 кбит / сек или меньше. Также возникают дополнительные задержки в процессе преобразования между последовательными и сетевыми данными.

Также действуют все преимущества и недостатки, связанные с RS-485.

Система контроля доступа с использованием основных сетевых контроллеров

5. Основные контроллеры, подключенные к сети. Топология почти такая же, как описано во втором и третьем абзацах. Имеются те же преимущества и недостатки, но встроенный сетевой интерфейс предлагает несколько ценных улучшений. Передача конфигурации и пользовательских данных на главные контроллеры происходит быстрее и может осуществляться параллельно. Это делает систему более отзывчивой и не прерывает нормальную работу. Для обеспечения резервной настройки главного ПК не требуется никакого специального оборудования: в случае выхода из строя основного хост-ПК, дополнительный хост-ПК может начать опрос сетевых контроллеров. Также устранены недостатки терминальных серверов (перечисленные в четвертом абзаце).

Система контроля доступа с использованием IP-контроллеров

6. IP контроллеры. Контроллеры подключаются к главному компьютеру через Ethernet LAN или WAN.

Преимущества:[нужна цитата ]

  • Существующая сетевая инфраструктура используется полностью, и нет необходимости в прокладке новых линий связи.
  • Нет никаких ограничений по количеству контроллеров (32 на линию в случае RS-485).
  • Не требуется специальных знаний по установке, подключению, заземлению и устранению неисправностей RS-485.
  • Связь с контроллерами может осуществляться на полной скорости сети, что важно при передаче большого количества данных (базы данных с тысячами пользователей, возможно, включая биометрические записи).
  • В случае тревоги контроллеры могут инициировать соединение с главным компьютером. Эта возможность важна в больших системах, поскольку она служит для уменьшения сетевого трафика, вызванного ненужным опросом.
  • Упрощает установку систем, состоящих из нескольких площадок, разделенных большими расстояниями. Базового Интернет-соединения достаточно для установления соединения с удаленными точками.
  • Доступен широкий выбор стандартного сетевого оборудования для обеспечения возможности подключения в различных ситуациях (оптоволокно, беспроводная связь, VPN, двойной путь, PoE).

Недостатки:[нужна цитата ]

  • Система становится восприимчивой к проблемам, связанным с сетью, таким как задержки в случае интенсивного трафика и отказов сетевого оборудования.
  • Контроллеры доступа и рабочие станции могут стать доступными для хакеров, если сеть организации недостаточно защищена. Эту угрозу можно устранить, физически отделив сеть контроля доступа от сети организации. Большинство контроллеров IP используют платформу Linux или проприетарные операционные системы, что затрудняет их взлом. Также используется стандартное шифрование данных.
  • Максимальное расстояние от концентратора или коммутатора до контроллера (при использовании медного кабеля) составляет 100 метров (330 футов).
  • Работа системы зависит от главного компьютера. В случае отказа главного ПК события от контроллеров не извлекаются, и функции, требующие взаимодействия между контроллерами (т. Е. Защита от повторного прохода), перестают работать. Однако некоторые контроллеры имеют возможность одноранговой связи, чтобы уменьшить зависимость от главного компьютера.
Система контроля доступа с использованием IP-считывателей

7. Считыватели IP. Считыватели подключаются к главному компьютеру через Ethernet LAN или WAN.

Преимущества:[нужна цитата ]

  • Большинство считывателей IP поддерживают PoE. Эта функция позволяет очень легко обеспечить питание от батареи для всей системы, включая замки и различные типы детекторов (если они используются).
  • Считыватели IP исключают необходимость в корпусах контроллеров.
  • При использовании IP-считывателей пропускная способность отсутствует (например, у 4-дверного контроллера будет 25% неиспользованной емкости, если бы он управлял только 3 дверями).
  • Системы IP-считывателей легко масштабируются: нет необходимости устанавливать новые основные или вспомогательные контроллеры.
  • Отказ одного считывателя IP не влияет на другие считыватели в системе.

Недостатки:[нужна цитата ]

  • Для использования в зонах с высокой степенью защиты IP-считыватели требуют специальных модулей ввода / вывода, чтобы исключить возможность вторжения путем доступа к проводке замка и / или кнопки выхода. Такие модули есть не у всех производителей IP-считывателей.
  • Будучи более сложными, чем базовые считыватели, IP-считыватели также более дороги и чувствительны, поэтому их не следует устанавливать на открытом воздухе в местах с суровыми погодными условиями или высокой вероятностью вандализма, если они специально не предназначены для наружной установки. Такие модели выпускают несколько производителей.

Преимущества и недостатки IP-контроллеров применимы также к IP-считывателям.

Риски безопасности

Проводка двери контроля доступа при использовании интеллектуальных считывателей и модуля ввода-вывода

Наиболее распространенный риск вторжения через систему контроля доступа связан с простым отслеживанием законного пользователя через дверь, и это называется опоздание. Часто легитимный пользователь будет держать дверь для злоумышленника. Этот риск можно свести к минимуму с помощью обучения пользователей правилам безопасности или более активных средств, таких как турникеты. В приложениях с очень высоким уровнем безопасности этот риск сводится к минимуму за счет использования Салли Порт, иногда называемый вестибюлем безопасности или мантрой, где вмешательство оператора предположительно требуется для обеспечения достоверной идентификации.[нужна цитата ]

Второй наиболее распространенный риск - это открыть дверь. Это относительно сложно для должным образом закрепленных дверей с защелками или магнитными замками с высокой удерживающей силой. Полностью реализованные системы контроля доступа включают сигнализацию принудительного контроля дверей. Они различаются по эффективности, обычно из-за большого количества ложных срабатываний тревоги, плохой конфигурации базы данных или отсутствия активного мониторинга вторжений. Большинство новейших систем контроля доступа включают в себя какой-либо тип сигнализации дверной опоры для информирования системных администраторов о том, что дверь остается открытой дольше указанного периода времени.[нужна цитата ]

Третья по частоте угроза безопасности - стихийные бедствия. Чтобы снизить риск стихийных бедствий, жизненно важна структура здания, вплоть до качества сети и компьютерного оборудования. С организационной точки зрения, руководству необходимо будет принять и внедрить план всех опасностей или план реагирования на инциденты. Основные моменты любого плана инцидента, определенного Национальная система управления инцидентами должен включать планирование до инцидента, во время действий при инциденте, аварийное восстановление и проверку после действий.[14]

Подобно рычагу - это пробивание дешевых перегородок. В общих помещениях арендатора перегородка является уязвимым местом. Уязвимостью по той же причине является нарушение габаритных огней.[нужна цитата ]

Подмена фиксирующего оборудования является довольно простым и более элегантно, чем выравнивающий. Сильный магнит может приводить в действие болты управления соленоидом в электрическом запирающем устройстве. Моторные замки, более распространенные в Европе, чем в США, также подвержены этой атаке с использованием магнита в форме пончика. Также можно управлять питанием замка, отключая или добавляя ток, хотя большинство систем контроля доступа включают в себя системы резервного питания от батарей, а замки почти всегда расположены на защищенной стороне двери.[нужна цитата ]

Сами карты доступа оказались уязвимыми для изощренных атак. Предприимчивые хакеры создали портативные считыватели, которые считывают номер карты с бесконтактной карты пользователя. Хакер просто проходит мимо пользователя, читает карту, а затем представляет номер считывающему устройству, защищающему дверь. Это возможно, потому что номера карт отправляются в открытом виде, без использования шифрования. Чтобы противостоять этому, всегда следует использовать методы двойной аутентификации, такие как карта плюс PIN-код.

Многие уникальные серийные номера учетных данных для контроля доступа программируются в последовательном порядке во время производства. Известная как последовательная атака, если злоумышленник имеет учетные данные, однажды использованные в системе, он может просто увеличивать или уменьшать серийный номер, пока не найдет учетные данные, которые в настоящее время авторизованы в системе. Чтобы противостоять этой угрозе, рекомендуется заказывать учетные данные со случайными уникальными серийными номерами.[15]

Наконец, у большинства электрических запорных устройств все еще есть механические ключи в качестве резервных. Замки с механическим ключом уязвимы для натыкаясь.[16]

Принцип необходимости знать

Дальнейшая информация: Принцип наименьших привилегий

Принцип потребности в информации может быть реализован с помощью средств управления доступом пользователей и процедур авторизации, и его цель состоит в том, чтобы гарантировать, что только уполномоченные лица получают доступ к информации или системам, необходимым для выполнения их обязанностей.[нужна цитата ]

Компьютерная безопасность

Дальнейшая информация: Контроль доступа к компьютеру

В компьютерная безопасность, общий контроль доступа включает аутентификация, разрешение, и аудит. Более узкое определение управления доступом будет охватывать только утверждение доступа, в соответствии с которым система принимает решение предоставить или отклонить запрос доступа от уже аутентифицированного субъекта, в зависимости от того, к чему этому субъекту разрешен доступ. Аутентификация и контроль доступа часто объединяются в одну операцию, поэтому доступ утверждается на основе успешной аутентификации или на основе токена анонимного доступа. Методы аутентификации и токены включают пароли, биометрический анализ, физические ключи, электронные ключи и устройства, скрытые пути, социальные барьеры и мониторинг со стороны людей и автоматизированных систем.[17]

В любой модели управления доступом объекты, которые могут выполнять действия в системе, называются предметы, а объекты, представляющие ресурсы, доступ к которым может потребоваться контролировать, называются объекты (смотрите также Матрица контроля доступа ). И субъекты, и объекты следует рассматривать как программные объекты, а не как пользователей-людей: любые пользователи-люди могут оказывать влияние на систему только через программные объекты, которые они контролируют.[нужна цитата ]

Хотя некоторые системы приравнивают предметы к идентификаторы пользователей, так что все процессы, запущенные пользователем по умолчанию, имеют одинаковые права доступа, этот уровень контроля недостаточно детализирован, чтобы удовлетворить принцип наименьших привилегий, и, возможно, отвечает за распространенность вредоносное ПО в таких системах (см. компьютерная незащищенность ).[нужна цитата ]

В некоторых моделях, например объектно-способная модель, любой программный объект потенциально может действовать как субъект и объект.[нужна цитата ]

По состоянию на 2014 г., модели управления доступом, как правило, делятся на два класса: основанные на возможности и основанные на списки контроля доступа (ACL).

  • В модели, основанной на возможностях, наличие неподдельной ссылки или способность к объекту обеспечивает доступ к объекту (примерно аналогично тому, как владение ключом от дома дает доступ к дому); доступ передается другой стороне путем передачи такой возможности по защищенному каналу
  • В модели на основе ACL доступ субъекта к объекту зависит от того, отображается ли его идентификатор в списке, связанном с объектом (примерно аналогично тому, как вышибала на частной вечеринке проверяет идентификатор, чтобы увидеть, отображается ли имя на госте. список); доступ передается путем редактирования списка.(Различные системы ACL имеют множество различных соглашений относительно того, кто или что отвечает за редактирование списка и как он редактируется.)[нужна цитата ]

Как модели на основе возможностей, так и на основе ACL имеют механизмы, позволяющие предоставлять права доступа всем членам группы. группа субъектов (часто сама группа моделируется как субъект).[нужна цитата ]

Системы контроля доступа предоставляют основные услуги разрешение, идентификация и аутентификация (Я), разрешение на доступ, и ответственность куда:[нужна цитата ]

  • авторизация определяет, что субъект может делать
  • идентификация и аутентификация гарантируют, что только законные субъекты могут войти в систему
  • Утверждение доступа предоставляет доступ во время операций путем связывания пользователей с ресурсами, к которым им разрешен доступ, на основе политики авторизации
  • подотчетность определяет, что сделал субъект (или все субъекты, связанные с пользователем)

Модели контроля доступа

Доступ к учетным записям можно обеспечить с помощью многих типов элементов управления.[18]

  1. Контроль доступа на основе атрибутов (ABAC)
    Парадигма управления доступом, при которой права доступа предоставляются пользователям посредством использования политик, которые оценивают атрибуты (атрибуты пользователя, атрибуты ресурсов и условия среды)[19]
  2. Дискреционный контроль доступа (DAC)
    В DAC владелец данных определяет, кто может получить доступ к определенным ресурсам. Например, системный администратор может создать иерархию файлов для доступа на основе определенных разрешений.
  3. Контроль доступа на основе графов (GBAC)
    По сравнению с другими подходами, такими как RBAC или ABAC, основное отличие состоит в том, что в GBAC права доступа определяются с использованием языка запросов организации, а не полного перечисления.
  4. Контроль доступа на основе истории (HBAC)
    Доступ предоставляется или отклоняется на основании оценки в реальном времени истории действий запрашивающей стороны, например поведение, время между запросами, содержание запросов.[20] Например, доступ к определенной службе или источнику данных может быть предоставлен или отклонен в зависимости от личного поведения, например интервал запроса превышает один запрос в секунду.
  5. Контроль доступа на основе истории присутствия (HPBAC)
    Управление доступом к ресурсам определяется в терминах политик присутствия, которые должны удовлетворяться записями присутствия, хранящимися отправителем запроса. Политики обычно пишутся с точки зрения частоты, распространения и регулярности. Примером политики может быть «Запрашивающая сторона совершила k отдельных посещений, все в течение последней недели, и никакие два последовательных посещения не разделяются более чем на T часов».[21]
  6. Контроль доступа на основе идентификации (IBAC)
    С помощью этого сетевые администраторы могут более эффективно управлять действиями и доступом в зависимости от индивидуальных потребностей.[22]
  7. Управление доступом на основе решетки (LBAC)
    Решетка используется для определения уровней безопасности, которые может иметь объект и к которым субъект может иметь доступ. Субъекту разрешен доступ к объекту только в том случае, если уровень безопасности субъекта больше или равен уровню безопасности объекта.
  8. Обязательный контроль доступа (MAC)
    В MAC у пользователей нет большой свободы определять, кто имеет доступ к их файлам. Например, уровень доступа пользователей и классификация данных (как конфиденциальные, секретные или совершенно секретные) используются в качестве меток безопасности для определения уровня доверия.
  9. Управление доступом на основе организации (OrBAC)
    Модель OrBAC позволяет разработчику политики определять политику безопасности независимо от реализации.[23]
  10. Контроль доступа на основе ролей (RBAC)
    RBAC предоставляет доступ в зависимости от должности. RBAC в значительной степени исключает свободу действий при предоставлении доступа к объектам. Например, специалист по персоналу не должен иметь разрешений на создание сетевых учетных записей; эта роль должна быть зарезервирована для сетевых администраторов.
  11. Контроль доступа на основе правил (RAC)
    Метод RAC, также называемый управлением доступом на основе правил (RB-RBAC), в значительной степени основан на контексте. Примером этого может быть разрешение студентам использовать лабораторные работы только в определенное время дня; это комбинация управления доступом студентов к информационной системе на основе RBAC с правилами доступа к лаборатории, основанным на времени.
  12. Контроль доступа на основе ответственности
    Доступ к информации осуществляется на основе обязанностей, возложенных на актера или бизнес-роль.[24]

Телекоммуникации

В телекоммуникации, период, термин контроль доступа определяется в США Федеральный стандарт 1037C[25] со следующими значениями:

  1. А служебная функция или метод, используемый для разрешения или запрета использования компонентов сообщения система.
  2. Метод, используемый для определения или ограничения прав отдельных лиц или прикладных программ на получение данные из или разместить данные на устройство хранения.
  3. Определение или ограничение прав отдельных лиц или прикладных программ на получение данных или размещение данных в устройство хранения.
  4. Процесс ограничения доступа к ресурсам АИС (Автоматизированная информационная система) авторизованным пользователям, программам, процессам или другим системам.
  5. Эта функция, выполняемая контроллером ресурсов, который распределяет системные ресурсы для удовлетворения требований Пользователь Запросы.

Это определение зависит от ряда других технических терминов Федерального стандарта 1037C.

Аксессоры атрибутов

Специальные публичные методы членов - аксессуары (он же геттеры) и методы мутатора (часто называют сеттеры) используются для управления изменениями переменных класса с целью предотвращения несанкционированного доступа и повреждения данных.

Публичная политика

В публичная политика, контроль доступа для ограничения доступа к системам ("разрешение ") или отслеживать или контролировать поведение в системах ("ответственность ") является реализацией использования надежные системы за безопасность или же социальный контроль.

Смотрите также

Рекомендации

  1. ^ RFC  4949
  2. ^ а б c Юджин Шульц, Э. (2007). «Риски, связанные с конвергенцией систем физической безопасности и сред информационных технологий». Технический отчет по информационной безопасности. 12 (2): 80–84. Дои:10.1016 / j.istr.2007.06.001.
  3. ^ Ниемеля, Харри (2011). «Изучение бизнес-возможностей и добавленной стоимости приложений NFC в сфере безопасности». theseus.fi. Получено 22 марта 2019.
  4. ^ а б Ньюман, Роберт. (2010). Безопасность и [https://allaroundsecurityny.com/access-control-systems контроль доступа] с использованием биометрических технологий. Бостон, Массачусетс: Технология курса. ISBN  978-1-4354-9667-5. OCLC  535966830. Внешняя ссылка в | название = (помощь)
  5. ^ Экспертный совет Федеральных финансовых институтов (2008 г.). «Аутентификация в среде интернет-банка» (PDF). В архиве (PDF) из оригинала 5 мая 2010 г.. Получено 31 декабря 2009.
  6. ^ «Офис будущего MicroStrategy включает в себя мобильную идентификацию и кибербезопасность». Вашингтон Пост. 14 апреля 2014 г. В архиве из оригинала 16 февраля 2014 г.. Получено 30 марта 2014.
  7. ^ «iPhone 5S: поворотный момент в биометрии?». BankInfoSecurity.com. 16 сентября 2013 г. В архиве из оригинала 11 сентября 2015 г.. Получено 30 марта 2014.
  8. ^ «Контроль доступа NFC: круто и скоро, но не близко». Новости систем безопасности. 25 сентября 2013 г. В архиве из оригинала от 6 апреля 2014 г.. Получено 30 марта 2014.
  9. ^ «Избавьтесь от этих липких цепочек для ключей: легкий доступ с помощью ключа EC». Беспроводной дизайн и разработка. 11 июня 2012. Архивировано с оригинал 7 апреля 2014 г.. Получено 31 марта 2014.
  10. ^ «Kisi и KeyMe, два приложения для смартфонов, могут сделать ключи от дома устаревшими». The Huffington Post. 26 ноября 2013 г. В архиве из оригинала 11 марта 2015 г.
  11. ^ Родс, Брайан (2019). «Разработка руководства по контролю доступа». ipvm.com. Получено 1 октября 2019.
  12. ^ «Открытие новых дверей с контролем доступа по IP - Secure Insights». Безопасная статистика. 16 марта 2018 г.. Получено 20 июн 2018.
  13. ^ «Эволюция контроля доступа». isonas.com. Получено 26 сентября 2019.
  14. ^ "Система управления инцидентами :: NIMS Online :: Обслуживание сообщества Национальной системы управления инцидентами (NIMS)". 18 марта 2007 г. Архивировано с оригинал 18 марта 2007 г.. Получено 6 марта 2016.
  15. ^ «Интеллектуальные политики контроля доступа для жилых и коммерческих зданий». В архиве из оригинала 4 июля 2017 г.. Получено 11 сентября 2017.
  16. ^ Грэм Пулфорд (17 октября 2007 г.). Механические замки с высокой степенью защиты: энциклопедический справочник. Баттерворт-Хайнеманн. С. 76–. ISBN  978-0-08-055586-7.
  17. ^ Автор, Гость (7 февраля 2020 г.). «Методы и технологии аутентификации пользователей для предотвращения взлома». ID R&D. Получено 8 ноября 2020.
  18. ^ «Кибербезопасность: контроль доступа». 4 февраля 2014 г.. Получено 11 сентября 2017.
  19. ^ «SP 800-162, Руководство по определению и соображениям управления доступом на основе атрибутов (ABAC)» (PDF). NIST. 2014. Архивировано с оригинал (PDF) 5 марта 2016 г.. Получено 8 декабря 2015.
  20. ^ Шапранов, Матье-П. (2014). Расширения безопасности в реальном времени для сетей EPCglobal. Springer. ISBN  978-3-642-36342-9.
  21. ^ Pereira, Henrique G.G .; Фонг, Филип У. Л. (2019). «SEPD: модель управления доступом для совместного использования ресурсов в среде IoT». Компьютерная безопасность - ESORICS 2019. Конспект лекций по информатике. Издательство Springer International. 11736: 195–216. Дои:10.1007/978-3-030-29962-0_10. ISBN  978-3-030-29961-3.
  22. ^ Сонване, Абхилаш Виджай; Махадевия, Джимит Харешкумау; Малек, Сарфараз Мохаммедханиф; Пандья, Сумит; Шах, Нишит Шантибхай; Модхвадия, Раджеш Хардасбхай (17 марта 2015 г.), Система и метод сетевой безопасности и управления на основе идентификации и политик, Патентная полнотекстовая и графическая база данных USPTO
  23. ^ «OrBAC: управление доступом на основе организации - официальный сайт модели OrBAC». orbac.org. Архивировано из оригинал 10 июня 2017 г.. Получено 11 сентября 2017.
  24. ^ «Архивная копия» (PDF). В архиве (PDF) из оригинала 4 марта 2016 г.. Получено 18 июля 2014.CS1 maint: заархивированная копия как заголовок (связь)
  25. ^ «Архивная копия» (PDF). Архивировано из оригинал (PDF) 8 мая 2007 г.. Получено 23 января 2007.CS1 maint: заархивированная копия как заголовок (связь)

внешняя ссылка