RBAC vs. ABAC: Treffen Sie die richtige Entscheidung

Role-Based Access Control (RBAC) und Attribute-Based Access Control (ABAC) sind die beiden beliebtesten Methoden für die Zugriffskontrolle. Wenn Sie die Unterschiede der beiden Methoden kennen, können Sie sich für die richtige Methode für Ihr Unternehmen entscheiden.

RBAC gewährt oder verweigert den Zugriff basierend auf der Rolle des anfragenden Benutzers innerhalb eines Unternehmens. ABAC berücksichtigt verschiedene vorkonfigurierte Attribute oder Merkmale, die sich auf den Benutzer und/oder die Umgebung und/oder die zugegriffene Ressource beziehen können.

Stellen Sie sich das Netzwerk und die Ressourcen eines Unternehmens wie ein sicheres Gebäude vor. Der einzige Eingang wird von Security-Personal bewacht, das die Identität aller Personen überprüft, die das Gebäude betreten. Wenn jemand seine Identität nicht nachweisen kann oder nicht über die erforderlichen Rechte verfügt, um das Gebäude zu betreten, wird er weggeschickt. In dieser Analogie ist das Security-Personal ein Zugriffskontrollmechanismus, der das Fundament der Sicherheitsinfrastruktur eines Unternehmens bildet.

Die Notwendigkeit einer Zugriffskontrolle kann gar nicht hoch genug eingeschätzt werden. Jedes Jahr kosten Datenschutzverletzungen Unternehmen Millionen von Dollar. Viele dieser Datenschutzverletzungen wären durch die Implementierung einer besseren Zugriffskontrolle vermeidbar. In den folgenden Abschnitten wird erläutert, was RBAC und ABAC bieten und wie sie im Vergleich zueinander abschneiden.

In einem RBAC-System werden Personen auf Grundlage ihrer "Rollen" Privilegien und Berechtigungen zugewiesen. Diese Rollen werden von einem Administrator definiert, der die Personen basierend auf ihren Abteilungen, Zuständigkeiten, Dienstaltersstufen und/oder geografischen Standorten kategorisiert.

Der Chief Technology Officer kann zum Beispiel exklusiven Zugriff auf alle Servern des Unternehmens haben. Ein Softwareingenieur hat möglicherweise nur Zugriff auf einen kleinen Teil der Anwendungsserver. Remote-Mitarbeitern kann eine spezielle Rolle zugewiesen werden, mit der sie nur auf den Server zugreifen können, auf dem sie gerade aktiv arbeiten.

Die Zugriffsebenen können auch je nach Rolle unterschiedlich sein. Ein Junior-Mitarbeiter darf beispielsweise nur Informationen aus einer Datenbank lesen und kann nichts hinzufügen oder ändern. Ein Senior-Datenbankentwickler hat dagegen maximale Privilegien auf alle Datenbanken.

Das NIST-Modell für Role-Based Access Control definiert die folgenden RBAC-Kategorien:

• Flache RBAC: Jedem Mitarbeiter wird mindestens eine Rolle zugewiesen, aber einige können mehr als eine haben. Wenn Mitarbeiter Zugriff auf neue Dateien, Ressourcen oder Server benötigen, muss ihnen zunächst eine neue Rolle zugewiesen werden.

• Hierarchische RBAC: Rollen werden auf der Grundlage von Dienstaltersstufen definiert. Zusätzlich zu ihren eigenen Privilegien besitzen leitenden Mitarbeiter auch die ihrer unterstellten Mitarbeiter.

• Eingeschränkte RBAC: Dieses Modell führt die Separation of Duties (SOD) ein. SOD verteilt die Befugnis zur Durchführung einer Aufgabe auf mehrere Benutzer, wodurch das Risiko betrügerischer und/oder riskanter Aktivitäten verringert wird. Wenn z. B. ein Entwickler einen Server außer Betrieb nehmen möchte, braucht er nicht nur die Zustimmung seines direkten Vorgesetzten, sondern auch die des Head of Infrastructure. Dadurch hat der Head of Infrastructure die Möglichkeit, riskante und/oder unnötige Anfragen abzulehnen.

• Symmetrische RBAC: Alle Organisationsrollen werden regelmäßig überprüft. Als Ergebnis dieser Überprüfungen können Privilegien zugewiesen oder entzogen und Rollen hinzugefügt oder entfernt werden.

Wenn sich ein Benutzer in einer ABAC-Umgebung anmeldet, gewährt oder verweigert das System den Zugriff auf der Grundlage verschiedener Attribute. Diese Attribute können sich auf Folgendes beziehen:

• Benutzer: In der ABAC-Sprache wird der anfragende Benutzer auch als Subjekt bezeichnet. Zu den Benutzerattributen können die Bezeichnung, die üblichen Zuständigkeiten, die Sicherheitsfreigabe, die Abteilung und/oder die Dienstaltersstufe gehören.

Nehmen wir zum Beispiel an, Bob, ein Lohnbuchhalter, versucht, auf das HR-Portal zuzugreifen. Das System prüft die Attribute "Abteilung", "Bezeichnung" und "Zuständigkeiten", um festzustellen, ob ihm Zugriff gewährt werden sollte. Wenn Alice aus dem IT-Team jedoch versucht, auf dasselbe Portal zuzugreifen, wird ihr der Zugriff verweigert, da sie nicht über die erforderlichen Attribute verfügt.

• Aufgerufene Ressource: Dazu gehören der Name und der Typ der Ressource (eine Datei, ein Server oder eine Anwendung), der Ersteller und Besitzer sowie der Vertraulichkeitsgrad.

  Alice versucht zum Beispiel, auf eine gemeinsame Datei zuzugreifen, die Best Practices für die Softwareentwicklung enthält. Da das Attribut "Vertraulichkeitsgrad" für die Datei niedrig ist, kann Alice darauf zugreifen, obwohl sie nicht Besitzer der Datei ist. Wenn sie jedoch versucht, auf eine Datei aus einem Projekt zuzugreifen, an dem sie nicht arbeitet, wird sie durch die Attribute "Dateibesitzer" und "Vertraulichkeitsgrad" daran gehindert.

  • Aktion: Was versucht der Benutzer mit der Ressource zu tun? Relevante Attribute können "Schreiben", "Lesen", "Kopieren", "Löschen", "Aktualisieren" oder "Alle" sein. Wenn zum Beispiel im Profil von Alice für eine bestimmte Datei nur das Attribut "Lesen" festgelegt wurde, kann sie den in dieser Datei enthaltenen Quellcode nicht aktualisieren. Jemand mit dem Attribut "alle" kann jedoch tun, was er will.

  • Umgebung: Einige der berücksichtigten Attribute sind die Tageszeit, der Standort des Benutzers und der Ressource, das Benutzergerät und das Gerät, auf dem die Datei gespeichert ist.

So kann Alice beispielsweise auf eine Datei in einer "lokalen" Umgebung zugreifen, aber nicht, wenn diese in einer "Client"-Umgebung gehostet wird.

Auch wenn ABAC weithin als eine Weiterentwicklung von RBAC angesehen wird, ist es nicht immer die richtige Wahl. Die Entscheidung hängt von der Größe Ihres Unternehmens, Ihrem Budget und Ihren Sicherheitsanforderungen ab.

Wählen Sie ABAC in folgenden Fällen:

• Sie haben die Zeit, die Ressourcen und das Budget für eine ordnungsgemäße ABAC-Implementierung.

• Sie arbeiten in einem großen Unternehmen, das ständig wächst. ABAC ermöglicht Skalierbarkeit.

• Ihre Belegschaft befindet sich an unterschiedlichen Standorten. ABAC kann Ihnen helfen, Attribute auf der Grundlage von Standort und Zeitzone hinzuzufügen.

• Sie möchten eine möglichst granulare und flexible Zugriffskontrollrichtlinie.

• Sie möchten Ihre Zugriffskontrollrichtlinie zukunftssicher gestalten. Die Welt entwickelt sich weiter, und RBAC wird langsam zu einem veralteten Ansatz. ABAC gibt Ihnen mehr Kontrolle und Flexibilität über Ihre Sicherheitskontrollen.

Wählen Sie RBAC in folgenden Fällen:

• Sie arbeiten in einem kleinen bis mittelgroßen Unternehmen.

• Sie verfügen über klar definierte Gruppen innerhalb Ihres Unternehmens und die Anwendung umfassender, rollenbasierter Richtlinien ist sinnvoll.

• Sie haben nur begrenzte Zeit, Ressourcen und/oder ein begrenztes Budget für die Implementierung einer Zugriffskontrollrichtlinie.

• Sie haben nicht zu viele externe Mitarbeiter und gehen nicht davon aus, demnächst viele neue zu engagieren.