IT-Sicherheit: Role Engineering in Aktion
Zugriffsmodelle für komplexe Umgebungen bergen viele Gefahren. Der an Requirements Engineering angelehnte Prozess des Role Engineering hilft sie zu vermeiden.
- Armin Berberovic
Unzureichend konzipierte RBAC-Modelle führen zu Sicherheitslücken, da sie Nutzern mehr Berechtigungen einräumen, als sie zur Ausübung ihrer Tätigkeit benötigen, oder es ihnen erlauben, kritische Prozesse ohne Genehmigung durch eine zweite Partei durchzuführen. Dies erhöht bei einer Kompromittierung den Schaden und gefährdet weitere Systeme.
Ursache ist häufig eine mangelnde Berücksichtigung der Grundprinzipien wie Least Privilege und der Funktionstrennung beim Entwurf von RBAC-Modellen. Eine komplizierte Berechtigungsverwaltung kann das Entstehen solcher Schwachstellen zusätzlich begünstigen. Ein definierter Prozess, der zu einem systematischen Entwurf führt, hilft Lücken zu schließen und so das Risiko zu reduzieren.
Das Role Engineering beschreibt einen an das Requirements Engineering angelehnten Prozess, um individuelle RBAC-Modelle zu entwickeln. Der Prozess besteht aus sieben Schritten, aus denen zunächst drei Dinge hervorgehen: ein Berechtigungskatalog, ein Katalog mit Einschränkungen und eine Rollenhierarchie. Im letzten Schritt erarbeitet man anhand dieser drei Outputs ein RBAC-Modell. Zum besseren Verständnis illustriert dieser Artikel die einzelnen Schritte anhand eines fiktiven IT-Dienstleisters namens Airspace Booking Services GmbH (ABS).
Immer mehr Wissen. Das digitale Abo für IT und Technik.
PyTorch: Eigene Bildgenerierungs-KI mit Python bauen
Ausprobiert: Fritzbox als NAS-Ersatz verwenden
Office-PC im Test: Mit Sechskerner AMD Ryzen 5 8600G und KI-Einheit
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Trend-Beruf: Mit diesen Fähigkeiten wird man KI-Experte
Informatiker im Öffentlichen Dienst: Aufgaben, Gehälter und Verbeamtung
Immer mehr Wissen. Das digitale Abo für IT und Technik.
PyTorch: Eigene Bildgenerierungs-KI mit Python bauen
Ausprobiert: Fritzbox als NAS-Ersatz verwenden
Office-PC im Test: Mit Sechskerner AMD Ryzen 5 8600G und KI-Einheit
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Trend-Beruf: Mit diesen Fähigkeiten wird man KI-Experte