Erişim Kontrol Modellerinin Türleri
Erişim kontrolü, dosyalar, klasörler, uygulamalar veya web siteleri gibi belirli kaynaklara kimlerin erişebileceğini belirleyen bir güvenlik mekanizmasıdır. Kimlik doğrulama, kullanıcıların kimliğinin şifreler, biyometrik veriler veya güvenlik belirteçleri gibi çeşitli yöntemlerle doğrulanmasını içeren erişim kontrolünün çok önemli bir yönüdür. Yetkilendirme, kullanıcılara rollerine veya niteliklerine göre belirli kaynaklara gerekli erişim haklarının verilmesini içeren erişim kontrolünün bir diğer önemli unsurudur.
Centrify tarafından yürütülen bir ankete göre veri ihlallerinin %74'ü ayrıcalıklı kimlik bilgilerinin kötüye kullanılmasının sonucuydu ve bu da onu siber güvenlik olaylarının önde gelen nedeni haline getiriyor. Bu bulgu, ihlallerin %81'inin şaşırtıcı bir şekilde doğrudan kuruluşların değiştiremediği çalıntı, zayıf veya varsayılan şifrelerle ilgili olduğunu belirten Verizon 2017 Veri İhlali Araştırma Raporu ile uyumludur. Bu raporlar, şirketlerin veri ihlali riskini en aza indirmek için sağlam erişim kontrol sistemlerinin önemini anlamaları gerektiğini vurguluyor.
Erişim Kontrolü Nedir?
Erişim kontrol sistemlerini anlamak, kimin neye erişmesi gerektiğini, erişimi yöneten yönergeleri ve erişim olaylarını izlemeye yönelik mekanizmaları bilmeyi gerektirir. Erişim kontrol sistemleri genellikle her bireyin sisteme girişinin kayıtlarını tutar. Kuruluşlar, sistem üzerinde sahip olacakları sahiplik düzeyini dikkatli bir şekilde değerlendirmeli ve hangi çalışanlara belirli kaynaklara erişim hakkı tanınacağını belirlemek için açık kriterler oluşturmalıdır.
Erişim Kontrol Modelleri Nelerdir?
Her biri benzersiz avantajlar sunan ve farklı senaryolara uygunluk sunan çeşitli erişim kontrol sistemi modelleri mevcuttur. Kullanıcı tanımlama, kimlik doğrulama ve çeşitli erişim kontrol modelleri de dahil olmak üzere erişim kontrol sistemlerinin temellerini anlamak, etkili ve güvenli bir erişim yönetimi stratejisi oluşturmak için çok önemlidir.
4 Ana Erişim Kontrol Modeli Nelerdir?
Yaygın olarak bahsedilen üç erişim kontrol modeli vardır; bunlar arasında; İsteğe bağlı erişim kontrolü, Zorunlu erişim kontrolü ve Rol tabanlı erişim kontrolü. Ancak Kural tabanlı erişim kontrolü, iyi bir önlem olarak dahil ettiğim daha az bilinen bir başka modeldir. Bu farklı modeller aşağıda açıklanmıştır:
1. İsteğe Bağlı Erişim Kontrolü (DAC)
İsteğe Bağlı Erişim Kontrolü (DAC) sistemleri, dosya hiyerarşilerinin ve sistem yöneticileri tarafından belirlenen izinlerin dayattığı olası sınırlamaları geçersiz kılarak liderlere belirli kaynaklara kimin erişebileceğini belirleme yetkisi verir. Ancak son kullanıcılara güvenlik seviyelerini yönetme görevi verildiğinden, bu avantaj gözetim sorumluluğunu da beraberinde getirir. DAC sistemlerindeki izinlerin yönetilmesine gereken aktif katılım, gözetim riskini artırır. Bunun aksine, zorunlu erişim kontrolü (MAC) sistemleri daha az esnek bir yaklaşım sunar ancak kullanıcıdan daha az çaba gerektirir. Sonuçta DAC sistemleri esneklik ile idari yük arasında bir denge kurar ve kuruluşların ayrıntılı kontrol ihtiyacını gözetim potansiyeline karşı tartmasını gerektirir.
2. Zorunlu Erişim Kontrolü (MAC)
Zorunlu Erişim Kontrolü (MAC) sistemleri, hassas verileri ve kaynakları korumak için en sıkı güvenlik önlemlerini sağlar. Bir MAC sisteminde, erişim verme yetkisi yalnızca sistem yöneticilerine aittir ve yalnızca yetkili kişilerin belirli alanlara veya kaynaklara giriş yapabilmesini sağlar. Kullanıcıların izinleri değiştirememesi, veri bütünlüğünü tehlikeye atabilecek yetkisiz değişiklikleri önler. Üstelik MAC sistemleri, kaynak sahibinin listelenen öğelere erişim izni verme yeteneğini sınırlayarak güvenliği daha da artırır. Her çalışana, erişim düzeyini belirleyen ve kaynak erişilebilirliği üzerinde ayrıntılı kontrol sağlayan benzersiz bir 'etiket' atanır. Kaynaklara erişim, etikete ve bilginin hassasiyetine göre kısıtlanarak güvenliğe özel bir yaklaşım sağlanır. MAC sistemleri, son derece gizli bilgileri işleyen devlet kurumları ve kuruluşları tarafından yaygın olarak kullanılmaktadır; veri güvenliğinin korunmasında ve düzenleyici standartlara uygunluğun sağlanmasında etkinliklerini göstermektedir.
3. Rol Tabanlı Erişim Kontrolü (RBAC)
Rol Tabanlı Erişim Kontrolü (RBAC), kullanıcılara bir şirket içindeki rollerine ve sorumluluklarına göre izinler veren, en yaygın kullanılan erişim kontrol sistemidir. Erişim hakları, gerekli kaynaklar, kullanıcı ihtiyaçları, ortam, iş işlevi, konum ve daha fazlası gibi çeşitli faktörler tarafından belirlenir. RBAC, çalışanların erişmeleri gereken kaynaklara göre gruplandırılmasını basitleştirir ve güvenlik ihlallerine karşı koruma sağlarken görünürlüğü artıran esnek bir model sunar.
4. Kural Tabanlı Erişim Kontrolü (RuBAC)
Kural Tabanlı Erişim Kontrolü (RuBAC), kullanıcıların konumu veya sisteme eriştikleri günün saati gibi koşullara göre izinleri ayarlamak için bir algoritma kullanan bir güvenlik modelidir. RuBAC, erişim izni vermek için yapılandırılmış kurallara ve politikalara dayanır; bu, kullanıcı erişmeye çalıştığında her kaynak için erişim kontrol listesinde tanımlanan kuralların kontrol edilmesini içerir. RuBAC'ın uygulanması kuralların, politikaların ve bağlamın oluşturulması konusunda çaba gerektirir ve genellikle rol temelli yaklaşımla birleştirilir. Ancak bu modeli kurmak ve sürdürmek, özellikle ağın birden fazla bölümüne zamana dayalı erişim söz konusu olduğunda zorlayıcı olabilir.