Explorer les modèles de contrôle d'accès

Pour vous aider à restreindre les droits d'accès de vos utilisateurs, il existe
différents types de modèles de contrôle d'accès qui peuvent être utilisés
pour empêcher un utilisateur d'effectuer une action non autorisée sur un
système ou un réseau. Chacun de ces modèles présente diverses
caractéristiques que vous découvrirez ici pour comprendre comment ils
sont généralement déployés dans une organisation.

Contrôle d'accès discrétionnaire

Lors de l'utilisation du contrôle d'accès discrétionnaire (DAC), le
propriétaire d'un objet peut décider quelles autorisations doivent être
attribuées à un utilisateur qui souhaite y accéder. Un exemple de DAC est
si vous avez créé une feuille de calcul sur un serveur de fichiers centralisé
qui contient des horaires de travail pour certaines activités liées au travail
avec d'autres membres du personnel. Puisque vous êtes le créateur du
fichier, vous héritez également du titre de propriétaire. Cela signifie que
vous pouvez choisir quels utilisateurs peuvent effectuer des actions de
lecture, d'écriture et/ou d'exécution sur le fichier. Le propriétaire de l'objet
peut désigner certains utilisateurs qui peuvent lire (ouvrir) le fichier, tandis
que certains utilisateurs peuvent également pouvoir écrire ou modifier, et
ainsi de suite. Gardez à l'esprit que cela est à la seule discrétion du
propriétaire de l'objet.

Contrôle d'accès obligatoire

Dans les environnements hautement sécurisés, tels qu'une agence
gouvernementale, il existe de nombreux niveaux de classification pour
l'accès aux données. Ces organisations mettent en œuvre des systèmes qui
sont généralement gérés par des règles et politiques de sécurité logiques
qui accordent à un utilisateur certains droits d'accès en fonction de son
niveau d'habilitation de sécurité. Cela signifie que l'utilisateur n'a aucun
contrôle sur les privilèges qu'il acquiert ; l'utilisateur peut avoir accès à
certains systèmes et données auxquels il n'a pas besoin d'accéder, mais
néanmoins les obtenir en raison de son niveau d'habilitation de sécurité.

Voici les différents niveaux de sécurité pouvant être appliqués à un objet :

Top secret: Il s’agit du niveau de classification le plus élevé pouvant

être appliqué aux données. Si un utilisateur non autorisé accède à des
données de cette classification, cela est considéré comme causant un
préjudice exceptionnel à la sécurité nationale d'un pays.

Secrète: Il s'agit du deuxième niveau de classification le plus élevé

pouvant être appliqué aux données. Si les données à ce niveau sont
compromises, de graves dommages pourraient survenir à la sécurité
nationale d'un pays.

Confidentiel: Il s'agit du niveau de classification le plus bas pouvant être

appliqué aux données. Si les données sont accédées par un utilisateur
non autorisé, il est probable que cela entraînera des dommages à la
sécurité nationale.

Non classé: Il s’agit de données sans aucune classification et accessibles

à toute personne sans habilitation de sécurité.

À titre d'exemple de système utilisant ces systèmes de sécurité, imaginez

qu'il existe un fichier auquel la classification confidentielle a été attribuée,
ce qui signifie que seules les personnes disposant d'une habilitation de
sécurité confidentielle ou supérieure pourront consulter le fichier. Alice, un
utilisateur disposant d'un niveau d'autorisation secret, pourra visualiser le
fichier simplement parce que le système attribue automatiquement à Alice
un accès obligatoire lors de sa connexion au système et au réseau.

Les entreprises non gouvernementales ne seront pas en mesure de mettre

en œuvre correctement le contrôle d'accès obligatoire (MAC), car les
systèmes d'exploitation classiques tels que Windows, Linux, etc. ne
prennent pas en charge ce type de modèle de contrôle d'accès. Dans les
organisations non gouvernementales, DAC sera utilisé, ce qui permettra
aux organisations de choisir quels utilisateurs peuvent effectuer certaines
actions, telles que lire, écrire et exécuter, sur un objet.

Contrôle d'accès basé sur des règles

Dans le contrôle d'accès basé sur des règles (RBAC), les privilèges des
utilisateurs sont gérés de manière centralisée par un système. Les
utilisateurs ayant une fonction similaire, comme tous les membres d'un
service commercial, peuvent être placés dans un seul groupe. Cela
permettra aux administrateurs d'attribuer une politique de sécurité au
groupe dans son ensemble ; la politique sera appliquée à tous les
utilisateurs appartenant au groupe. Cela permet aux administrateurs de
gérer de manière centralisée les politiques au sein d'une organisation
simplement en fonction du rôle ou de la fonction d'un utilisateur au sein de
l'entreprise. Un exemple serait qu'un administrateur de domaine puisse
créer un groupe de sécurité au sein du serveur Active Directory (AD) de
l'entreprise, affecter tous les utilisateurs qui travaillent dans l'équipe
commerciale au groupe de vente, puis simplement créer un objet de
stratégie de groupe (GPO). ) avec toutes les règles nécessaires pour
autoriser et refuser des actions. Le GPO peut être attribué au groupe de
ventes et tous les comptes d'utilisateurs hériteront automatiquement de ces
règles. Gardez à l’esprit qu’AD est un rôle au sein de Windows Server
utilisé pour gérer de manière centralisée les utilisateurs, les appareils et les
stratégies au sein d’un environnement Windows.

Contrôle d'accès basé sur le temps

Contrôle d'accès basé sur le tempsest un type de contrôle d'accès actif
aux jours et heures de la journée spécifiés par l'administrateur. Un scénario
typique est celui où un administrateur crée un contrôle d'accès temporel
qui permet uniquement aux employés de se connecter à leur ordinateur de
travail pendant les heures de bureau. Ce type de politique est utilisé pour
empêcher les employés de travailler en dehors des heures de bureau ou
d'effectuer des tâches en dehors des heures de bureau sur les systèmes et le
réseau de l'organisation.

Contrôle d'accès basé sur les rôles

Contrôle d'accès basé sur les rôlesest un type de politique de contrôle
d'accès conçu pour garantir un accès strict au système et/ou au réseau pour
un utilisateur occupant un rôle spécifique. Cela signifie que si un
administrateur réseau se connecte à un système, l'utilisateur ne doit
disposer que des privilèges nécessaires pour effectuer les tâches décrites
dans sa description de poste et rien de plus. Pour faire simple, ce modèle
de contrôle d’accès est conçu en fonction d’un rôle professionnel au sein
de l’organisation.

Authentification, autorisation et comptabilité

Authentification, autorisation et comptabilité(AAA) est un cadre qui
définit comment un utilisateur peut fournir son identité à un système et les
politiques à appliquer à cet utilisateur authentifié, ainsi que conserver un
journal de l'activité de l'utilisateur lorsqu'il est connecté au système ou
réseau.

AuthentificationIl s'agit simplement des processus et des techniques

utilisés pour valider l'identité d'un utilisateur auprès d'un système. Nous
créons généralement un compte utilisateur sur nos ordinateurs pour
empêcher tout accès non autorisé, et même avec nos smartphones, des
codes PIN et même des données biométriques sont mis en œuvre pour
restreindre l'accès. Sans activer l'authentification sur nos appareils,
n'importe qui peut accéder à un système et l'utiliser librement.

Voici les différentes méthodes utilisées lors de l'authentification :

Quelque chose que tu sais: Il s'agit d'un code PIN, d'un mot de passe
ou d'une phrase secrète.

Quelque chose que tu as: Ce composant peut être une clé de sécurité
telle qu'une Yubico YubiKey ou une clé de sécurité Google Titan.

Quelque chose que tu es: Il s’agit de la biométrie comme les empreintes

digitales, la voix ou la reconnaissance faciale. Un exemple de
technologie de reconnaissance faciale est Windows Hello sur le
système d'exploitation Windows.

Une fois qu'un utilisateur a été authentifié sur un système, des politiques
sont appliquées pour définir les privilèges de cet utilisateur ; c’est ce qu’on
appelle l’autorisation. Sans l'aspect autorisation, tout utilisateur authentifié
pourra effectuer n'importe quelle action sur un système.

Cela signifie qu'un utilisateur peut effectuer des actions administratives sur
un ordinateur, un serveur ou même un périphérique réseau et provoquer
des problèmes critiques ou des incidents de sécurité sur le réseau. Par
conséquent, il est sage de fournir le moins de privilèges à un utilisateur
afin qu'il ait juste assez d'accès pour accomplir ses tâches et rien de plus.

Comptabilitéimplique simplement de conserver une trace de toutes les

actions effectuées par un utilisateur sur le système. Ces enregistrements se
présentent généralement sous la forme de journaux générés lorsque
l'utilisateur fait quelque chose. Imaginez un jour qu'un employé mécontent
décide d'effectuer des actions malveillantes sur l'appareil d'une
organisation alors qu'il est connecté. Un serveur AAA contiendrait un
journal avec les horodatages et les détails des actions effectuées par
l'utilisateur.

Pour avoir une meilleure idée de la raison pour laquelle AAA est
nécessaire, examinons un petit réseau avec seulement quelques dispositifs
de mise en réseau et de sécurité. Un professionnel de l'informatique peut
créer des comptes d'utilisateurs individuels sur chaque appareil pour
chaque personne ayant besoin d'un accès administratif pour gérer les
appareils. C’est bon et réalisable pour une petite infrastructure réseau.
Cependant, à mesure que le réseau se développe, il devient difficile de
créer des comptes d'utilisateurs individuels pour chaque personne du
service informatique sur chaque appareil.

Considérez qu'au sein d'un réseau FAI, il existe des centaines d'appareils
auxquels les ingénieurs ont besoin d'accéder pour configurer de nouveaux
rôles et services, résoudre les problèmes qui peuvent exister et effectuer
occasionnellement une maintenance. Étant donné que chaque ingénieur
doit accéder à différents appareils, il n'est pas efficace de créer des comptes
utilisateur individuels sur chaque appareil. Que se passe-t-il si l'utilisateur
doit changer son mot de passe ou faire ajuster ses privilèges ? Un tel
changement devrait être effectué sur tous les appareils. Grâce à AAA, une
organisation peut implémenter un service AAA qui gère chaque aspect de
l'authentification, de l'autorisation et de la comptabilité.

Le diagramme suivant montre le processus AAA d'un utilisateur tentant de

se connecter au réseau :

Figure 3.7 – L'AAA en action

Comme le montre la figure précédente, l'ordinateur de l'utilisateur

(demandeur) est connecté au réseau et le commutateur (authentificateur)
invite l'utilisateur à fournir un nom d'utilisateur et un mot de passe pour
accéder au réseau. Lorsque l'utilisateur fournit ses informations
d'identification, le commutateur (authentificateur) interroge le serveur
AAA (serveur d'authentification) pour valider l'identité de l'utilisateur et
déterminer les politiques pour l'utilisateur. Le serveur AAA répond au
changement
(authentificateur). Si les informations d'identification fournies par
l'utilisateur sont valides, l'utilisateur est authentifié sur le réseau et des
politiques sont appliquées pour déterminer ce que l'utilisateur peut et ne
peut pas faire lorsqu'il est connecté. De plus, le serveur AAA conserve un
journal de toutes les actions de l'utilisateur à des fins de responsabilité.

Voici deux serveurs AAA :

Service utilisateur d'accès à distance(RADIUS) : RADIUS est une

plate-forme de serveur AAA open source qui peut être implémentée
dans un environnement multi-fournisseurs. RADIUS utilise le port
UDP 1812 pour le processus d'authentification et le port UDP 1813
pour le service de comptabilité. Les messages échangés entre le client
AAA et le serveur AAA ne sont pas entièrement chiffrés, car AAA
chiffre uniquement les mots de passe dans les messages. De plus,
RADIUS est couramment utilisé pour contrôler et authentifier l'accès
au réseau des utilisateurs sur les réseaux filaires et sans fil et utilise
l'algorithme de hachage MD5 pour crypter uniquement les mots de
passe.

Contrôleur d'accès au terminal Système de contrôle d'accès

+(TACACS+) :
TACACS+ est un service AAA propriétaire de Cisco qui ne fonctionne
que dans un environnement Cisco. TACACS+ fournit des
fonctionnalités supplémentaires par rapport à RADIUS, de sorte qu'il
crée des canaux de communication cryptés séparés pour chaque aspect
de l'AAA sur le port TCP 49. De plus, TACACS+ est couramment
utilisé pour l'administration des appareils en utilisant Cisco Access
 Control Server (ACS) comme serveur d'authentification et il crypte la
totalité de la charge utile.
NOTE IMPORTANTE
Le moteur de services d'identité Cisco (ISE) fournit des services
AAA utilisant à la fois RADIUS et TACACS+ sur les réseaux
câblés et sans fil. ISE est également un serveur
d'authentification Cisco qui est principalement utilisé dans le
contrôle d'accès au réseau (NAC), par exemple, pour fournir une
authentification aux utilisateurs sur un réseau sans fil. ISE 2.0
utilise les protocoles TACACS+ et RADIUS.

Après avoir terminé cette section, vous avez exploré les différents modèles
de contrôle d'accès et la manière dont ils sont utilisés pour limiter les
privilèges des utilisateurs sur un système. Dans la section suivante, nous
aborderons l'importance de mettre en œuvre des appareils et des
applications de sécurité appropriés sur un réseau pour aider à détecter et à
bloquer les menaces en temps réel.