IT-Sicherheit: Role Engineering für rollenbasierte Zugriffskontrolle

Inhaltsverzeichnis

Mehr zu IT-Security

• Grundwissen: Asymmetrische Kryptografie erklärt, Teil 1
• Grundwissen: Asymmetrische Kryptografie erklärt, Teil 2
• Grundwissen: Asymmetrische Kryptografie erklärt, Teil 3
• Netzwerkanalysewerkzeug BloodHound CE: Beutezug durch die Windows-Domäne
• DORA: Neue Regulierung für mehr Resilienz in der Finanzbranche
• Role Engineering in Aktion
• IT-Sicherheit: Role Engineering für rollenbasierte Zugriffskontrolle
• Was die SBOM-Richtlinie für die Cloud bedeutet
• Online-Erpressung: Wie Cyberkriminelle Gastronomen erpressen
• Eine Security-Einführung für DevOps-Teams und Problemsuche mit OWASP Cumulus
• IT-Sicherheit: Überprüfen von Cloud-Umgebungen
• Selbst Hacking für Unternehmen: Öffentlich zugängliche Informationen sammeln

Eine durchdachte Zugriffskontrolle ist der Kern jedes Sicherheitskonzepts, aber keine leichte Aufgabe. Denn wo früher der Zugriff auf die Ressourcen einfach über IP-Adressen und die damit verbundene Zugehörigkeit zu einem Netzwerksegment gesteuert wurde, kommt jetzt in der Regel eine rollenbasierte Zugriffskontrolle (Role-based Access Control, RBAC) zum Einsatz.

Armin Berberovic

Armin Berberovic ist aktuell als Senior IT Security Architect in der Luftfahrtindustrie tätig und hat mehrere Jahre Berufserfahrung im Bereich Cloud-Sicherheit und Sicherheit Cloud-nativer Technologien.

Doch RBAC ist komplex und die Entwicklung eines zuverlässigen Konzepts schwierig. Am schnellsten und kostengünstigsten lässt es sich mithilfe eines präzisen Werkzeugkastens umsetzen. iX stellt eine Methode zur Entwicklung individueller RBAC-Modelle vor. Dieser Artikel legt die notwendigen Grundlagen, wobei zur Veranschaulichung Azure als großer Cloud-Anbieter herangezogen wird. Ein zweiter Artikel beschreibt schrittweise die praktische Umsetzung beim Role Engineering.

Ein RBAC-Modell hat drei Grundbestandteile: Gruppen von Ressourcen, Berechtigungen, bestimmte Operationen auf diesen Gruppen durchzuführen, und Prinzipale, die diese Berechtigungen innehaben. Eine Ressource ist ein Objekt, mit dem man interagieren kann. Ressourcen in Azure umfassen sowohl Dienste wie VMs als auch Strukturelemente wie Managementgruppen. Ein Prinzipal ist das Subjekt, das mit diesen Ressourcen interagiert. Das kann ein Nutzer, eine Gruppe von Nutzern oder ein Service-Account sein.

Das war die Leseprobe unseres heise-Plus-Artikels "IT-Sicherheit: Role Engineering für rollenbasierte Zugriffskontrolle". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.