Güvenlik Duvarı Yönetiminde RBAC Tasarlamak

Yetkilendirmenin en basit hali kişiye doğrudan izin vermektir. Küçük ekiplerde çalışır.

Ekip büyüdükçe iki sorun ortaya çıkar. Aynı işi yapan iki kişinin yetkileri birbirini tutmaz. Görev değiştiren bir kişinin eski yetkileri kaldırılmaz.

RBAC araya bir katman koyar: izinler role tanımlanır, kişi role atanır.

Adım 1. Gerçek İşleri Listeleyin

Yaygın hata, ürünün hazır rollerini alıp kullanmaktır. O roller genel amaçlıdır ve kurumun iş bölümünü tarif etmez.

Doğru başlangıç, kimin hangi işi yaptığını yazmaktır. Sorular şunlardır: kim log okuyor, kim arayüz ayarına dokunuyor, kim kural yazıyor, kim onaylıyor, kim denetliyor?

Bu liste çıkarıldığında roller kendiliğinden belirir ve genellikle dörtten fazla olmaz.

Adım 2. Rolleri Tanımlayın

Ağ güvenliği tarafında ayrım şu hatlar boyunca çizilir.

Yardım masası. Durum görüntüler, log okur, oturum bilgisine bakar, bir kullanıcının neden erişemediğini araştırır. Yapılandırma değiştirmez.

Bu rol en çok kullanılan ve en çok atlanan roldür. Tanımlanmadığında yardım masası ya hiçbir şey göremez ve her soruyu yukarı devreder, ya da tam yönetici yetkisiyle çalışır.

Ağ operatörü. Arayüz, yönlendirme ve VPN tünel ayarlarına dokunur. Kural setine dokunmaz.

Güvenlik yöneticisi. Politika ve kural setini yönetir. Değişikliklerin çoğu bu rolde yapılır.

Denetçi. Her şeyi okur, hiçbir şeyi değiştiremez. Değişiklik kayıtlarına erişimi vardır.

Adım 3. Denetçiyi Ayırın

Bu, tasarımın en kritik maddesidir.

Denetçi rolünün değişiklik yapabilmesi, denetim kaydının bağımsızlığını ortadan kaldırır. Aynı kişi hem değişikliği yapıp hem kaydı denetliyorsa, kayıt bir kontrol değil bir formalitedir.

Salt okunur rolün gerçekten salt okunur olduğu sınanmalıdır. Bazı ürünlerde “salt okunur” rol, kural setini dışa aktarabilir ya da bir test işlemi çalıştırabilir; bunların yan etkileri değerlendirilmelidir.

Adım 4. Kaydı Dışarı Taşıyın

Yetkilendirmenin değeri, kimin ne yaptığının kaydedilmesine bağlıdır.

Kayıt cihazın üzerinde tutuluyorsa, cihazın yöneticisi onu silebilir. Bu, yetkilendirmenin en üst seviyesindeki kişinin denetlenemez olması demektir.

Değişiklik kayıtları cihazın dışında, ayrı bir sistemde ve mümkünse yalnız ekleme yapılabilen bir yapıda saklanmalıdır. Kayıt bütünlüğü burada teknik bir gereklilik haline gelir.

Kayıtta bulunması gerekenler: kim, ne zaman, neyi, hangi değerden hangi değere değiştirdi.

Adım 5. Periyodik Gözden Geçirin

İki şey birden incelenir ve ikincisi genellikle atlanır.

Kişi atamaları. Görev değiştiren ve ayrılan personelin yetkileri kaldırıldı mı?

Rol tanımları. Bir rolün yetkisi zamanla genişler. İlk tanımlandığında dar olan bir rol, birkaç istisnadan sonra fiilen yönetici yetkisi taşıyor olabilir.

İkincisi daha sinsidir çünkü kimse rolün değiştiğini fark etmez; her genişletme tek başına makuldü.

Rol Enflasyonu

Yaygın bir çöküş biçimi, her istisna için yeni bir rol açılmasıdır.

“Bu kişi kural yazsın ama VPN’e dokunmasın” denir ve yeni bir rol açılır. Birkaç yıl sonra rol sayısı kişi sayısına yaklaşır ve model faydasını kaybeder.

Bunun önüne geçmenin yolu, istisnaları rol açarak değil kapsam sınırlayarak çözmektir. Pek çok üründe bir rol, belirli bir cihaz grubuna ya da belirli bir kural bölümüne kısıtlanabilir.

Çok Kiracılı Ortamlarda

Hizmet sağlayıcı ve grup şirketi yapılarında roller iki boyutlu hale gelir: hangi kiracıda, hangi yetkiyle.

Bir kiracı yöneticisinin diğer kiracının yapılandırmasını görememesi gerekir. Kiracı içinde ise yukarıdaki dört rolün ayrıştırılabilmesi beklenir.

Bu ayrım ürünler arasında ciddi biçimde farklılaşır ve satın alma değerlendirmesinde ayrıca sınanmalıdır.

Nereden Başlanır

Mevcut bir ortamda tüm yetkileri birden yeniden tanımlamak zordur.

Pratik başlangıç, yardım masası rolünü ayırmaktır. En çok kullanıcısı olan ve en az yetkiye ihtiyaç duyan roldür; ayrıldığında tam yönetici hesabı kullanan kişi sayısı belirgin biçimde düşer.

İkinci adım denetçi rolüdür. Üçüncü adım operatör ve güvenlik yöneticisi ayrımıdır ve genellikle en çok tartışma çıkaran adımdır.