RBAC vs ABAC

O Controlo de Acesso Baseado em Funções (RBAC) e o Controlo de Acesso Baseado em Atributos (ABAC) são dois modelos de segurança de acesso populares em ambientes empresariais, governamentais e outros ambientes computacionais.

Existem vários outros modelos de segurança, como o Controlo de Acesso Baseado em Identidade (IBAC), Controlo de Acesso Baseado em Contexto (CBAC), Controlo de Uso e Acesso de Confiança Zero.

Tanto o RBAC como o ABAC são conceitos de controlo de acesso maduros, com o desenvolvimento inicial a começar para o RBAC nos anos 1970 e para o ABAC nos anos 1980. O RBAC ganhou aceitação generalizada nos últimos 25 anos devido à sua gestão simplificada e melhorias de segurança. O ABAC foi desenvolvido para gerir a segurança em ambientes mais complexos onde o RBAC não conseguia fornecer o controlo granular desejado. Ambos foram elevados em 2004 quando a orientação e implementação foram padronizadas por entidades como o National Institute of Standards and Technology (NIST), o American National Standards Institute (ANSI) e a Organization for the Advancement of Structured Information Standards (OASIS).

Num ambiente informático, o controlo de acesso refere-se às regras e práticas que impõem a decisão empresarial sobre quais os recursos a que os funcionários têm acesso. Um controlo de acesso adequado garante que apenas os utilizadores autorizados possam aceder a recursos específicos, como ficheiros, bases de dados e dispositivos de rede. Também impede o acesso não autorizado.

Além da seleção de um modelo de acesso como RBAC, ABAC ou Zero Trust, existem vários conceitos associados ao controle de acesso:

• Autenticação: Este é o processo de verificação da identidade de um utilizador, dispositivo ou outra entidade numa rede. Métodos comuns de autenticação incluem senhas, biometria e certificados digitais.

• Autorização: Uma vez autenticado, a autorização determina o que um utilizador autenticado está autorizado a fazer. Isto envolve conceder ou negar permissões para aceder a certos recursos ou realizar ações específicas.

• Contabilidade (ou Auditoria): Isto envolve o rastreamento das ações dos utilizadores após terem sido autenticados e autorizados. Ajuda a monitorizar o uso, a detetar violações de segurança e a manter registos para fins de conformidade.

• Listas de controle de acesso (ACLs): São tabelas que definem permissões associadas a um objeto. ACLs especificam quais utilizadores ou processos de sistema podem aceder a objetos e que operações podem realizar.

• Princípio do menor privilégio: Este princípio afirma que os utilizadores devem receber o nível mínimo de acesso—ou permissões—necessário para desempenhar as suas funções, reduzindo o risco de acesso não autorizado.

• Controlo de acesso à rede (NAC): As soluções NAC aplicam políticas para dispositivos que acedem à rede, garantindo que apenas dispositivos compatíveis e autenticados possam conectar-se.
  

Cada um destes conceitos deve ser cuidadosamente considerado e documentado na seção de controle de acesso da estratégia de cibersegurança ou conformidade regulatória.

O controlo de acesso granular leva a segurança um passo mais além, com permissões de acesso definidas a um nível muito detalhado. Isto cria um controlo específico e ajustado sobre recursos como campos de dados específicos, funções ou transações dentro de uma aplicação. Por exemplo, num ambiente Microsoft SharePoint, pode haver uma biblioteca de documentos onde todos os funcionários podem ver os documentos, mas apenas certos funcionários podem editar os ficheiros existentes. Pode haver controlos de acesso adicionais dentro dessa biblioteca que permitem a outro conjunto único de utilizadores eliminar documentos ou criar novos ficheiros e pastas. Existem muitas combinações de permissões que podem ser aplicadas a recursos mantidos no SharePoint. Isto permite que os recursos permaneçam seguros, ao mesmo tempo que são acessíveis a utilizadores autorizados.

Como os nomes indicam, o RBAC e o ABAC são baseados em funções e atributos. No modelo RBAC, as funções são definidas com base nas funções de trabalho e responsabilidades dentro da organização. O acesso a um recurso é atribuído a uma função em vez de a um indivíduo, porque é mais fácil mover um indivíduo entre funções do que recriar permissões quando a função de um indivíduo na empresa é alterada.

Os papéis específicos variam amplamente dependendo da estrutura e das necessidades da organização, mas há alguns papéis, ou níveis de papéis, que são comumente utilizados:

• Administrador: Este papel tem acesso total a todos os recursos e configurações do sistema. Numa equipa de TI, este papel pode gerir contas de utilizador, configurar definições do sistema e manter políticas de segurança.
• Gestor: Estes funcionários podem precisar de acesso a recursos que os ajudem a supervisionar uma equipa ou departamento. Isto pode incluir a aprovação de pedidos de funcionários e a geração de relatórios de desempenho.
• Utilizador: Um utilizador de rede tem acesso aos recursos necessários para executar as suas funções específicas de trabalho. Deve ser permitido utilizar apenas as aplicações e outros recursos necessários para o seu trabalho.
• Convidado: Esta pessoa pode ser um fornecedor ou alguém que vem ao escritório corporativo como visitante para um propósito específico. Este papel normalmente tem acesso limitado com base nas suas tarefas.

Cada um desses papéis pode ter várias variantes. Os gestores de marketing, gestores de produto e gestores financeiros provavelmente precisam de acesso a diferentes documentos e recursos para realizar o seu trabalho. O mesmo se aplica aos utilizadores de rede, que podem desempenhar papéis operacionais como representante de vendas, representante de serviço ao cliente e representante administrativo. Para satisfazer as necessidades destas divisões, é necessário criar um papel para cada conjunto de permissões.

O modelo ABAC desloca as decisões de controlo de acesso para atributos, que fornecem informações contextuais que ajudam a determinar se um utilizador deve ter acesso a um recurso. O ABAC é mais flexível do que o RBAC e pode acomodar uma ampla gama de cenários de controlo de acesso. Aqui estão os tipos de atributos comumente usados no ABAC, juntamente com as suas definições e exemplos:

• Atributos do utilizador: Estes estão relacionados com o utilizador que solicita acesso e incluem itens como o ID do utilizador, função, departamento, autorização de segurança e localização.
• Atributos do recurso: Os atributos relacionados ao recurso que está a ser acedido incluem tipo de recurso, proprietário do recurso, nível de sensibilidade e classificação.
• Atributos do ambiente: Estes atributos pertencem ao contexto do pedido de acesso. Hora do dia, data, localização e tipo de dispositivo são exemplos.
• Atributos de ação: Estes são determinados pela ação específica solicitada. Por exemplo, ler, escrever, copiar e editar são todos atributos de ação.

Vários fatores devem ser considerados ao escolher um modelo de acesso de segurança. Nesta secção, iremos rever alguns itens comuns a considerar ao planear a implementação de RBAC, ABAC, ou ambos.

Em resumo, avalie as necessidades organizacionais, recursos e orçamento para implementação, bem como os requisitos de segurança e conformidade. Deve envolver as partes interessadas para isto, pois elas terão informações sobre os diferentes tipos de acesso que devem ser concedidos. As partes interessadas devem ser envolvidas desde o início de um projeto como este, porque provavelmente irá seguir estes passos durante a implementação:

Implementação de RBAC

1. Identificar funções: Definir todas as funções dentro da sua organização.
2. Definir permissões: Especificar as permissões de acesso para cada função.
3. Atribuir funções aos utilizadores: Mapear utilizadores para funções adequadas.
4. Escolha um sistema: Selecione um sistema de gestão de acesso compatível com RBAC.
5. Configurar e monitorizar: Definir funções e permissões, depois rever e atualizar regularmente.

Implementação de ABAC

1. Identificar atributos: Definir atributos de utilizador, recurso e ambientais.
2. Definir políticas: Criar políticas de controlo de acesso com base em atributos.
3. Escolha um sistema: Selecione um sistema de gestão de acessos compatível com ABAC.
4. Configurar e testar: Definir atributos e políticas, testar e monitorizar continuamente a sua eficácia.

Implementação de uma Abordagem Híbrida

1. Implementar a base de RBAC: Comece por configurar uma estrutura de RBAC.
2. Identificar atributos adicionais: Definir atributos para um controlo mais granular.
3. Desenvolver políticas híbridas: Criar políticas que combinam funções e atributos.
4. Escolha um sistema híbrido: Selecione um sistema que suporte tanto RBAC como ABAC.
5. Configurar, monitorizar e atualizar: Configurar funções e atributos, e depois rever e atualizar regularmente as políticas.

Como pode ver, os intervenientes são necessários para a maioria das decisões nos primeiros passos.

O acesso Zero Trust é frequentemente preferido ao RBAC e ABAC por estas razões comuns:

segurança

• Pressuposto de violação: A ZTA opera no princípio de “nunca confie, sempre verifique”, assumindo que as ameaças podem originar-se tanto de dentro como de fora da rede. Isto contrasta com o RBAC e o ABAC, que podem confiar implicitamente em utilizadores ou dispositivos internos. 
• Verificação contínua: Os pedidos de acesso são continuamente autenticados, autorizados e encriptados. Ao contrário de RBAC e ABAC, que podem conceder acesso com base numa verificação única, o ZTA garante que o acesso é reavaliado a cada passo.
• Superfície de ataque minimizada: Ao segmentar a rede em segmentos menores e isolados (micro-segmentação), ZTA reduz o potencial de dano de uma violação, limitando o movimento lateral por atacantes.

Controlo granular e flexibilidade

• Tomada de decisão sensível ao contexto: ZTA considera uma ampla gama de fatores em tempo real, como identidade do utilizador, estado do dispositivo, localização e padrões de comportamento. Embora o ABAC também utilize atributos, o ZTA combina estes com monitorização contínua e políticas dinâmicas para decisões mais subtis.
• Ajustes dinâmicos de acesso: A ZTA pode ajustar dinamicamente o acesso com base em avaliações de risco atuais e inteligência de ameaças, proporcionando uma segurança mais adaptativa em comparação com a natureza estática do RBAC e até mesmo com as políticas relativamente estáticas no ABAC.

Adaptabilidade a ameaças modernas

• Resistência a ameaças internas: ZTA não confia implicitamente em nenhum utilizador ou dispositivo, mitigando significativamente o risco de ameaças internas. RBAC e ABAC podem ser mais vulneráveis se um insider obtiver acesso não autorizado.
• Proteção contra ataques avançados: Ao validar continuamente os pedidos de acesso e aplicar o princípio do menor privilégio, a ZTA está melhor equipada para lidar com ameaças sofisticadas como phishing, malware e ameaças persistentes avançadas (APTs).

Escalabilidade e gestão

• Gestão centralizada de políticas: Os frameworks ZTA frequentemente oferecem gestão centralizada de políticas, facilitando a aplicação de políticas de segurança consistentes em ambientes diversos e distribuídos.
• Complexidade reduzida ao longo do tempo: Embora a implementação inicial do ZTA possa ser complexa, pode reduzir a complexidade geral ao eliminar a necessidade de definições extensas de funções (como no RBAC) e configurações complexas de atributos (como no ABAC).

Conformidade e auditabilidade

• Conformidade melhorada: As capacidades de monitorização contínua e registo do ZTA melhoram a conformidade com os requisitos regulamentares, fornecendo registos detalhados de pedidos de acesso e decisões.
• Preparação para auditoria: Os registos detalhados e a monitorização em tempo real no ZTA facilitam auditorias mais fáceis e precisas em comparação com os métodos tradicionais de controlo de acesso.

O Acesso Zero Trust oferece uma estrutura de segurança robusta, adaptabilidade a paisagens de ameaças em mudança e capacidade de fornecer controlos de acesso granulares e sensíveis ao contexto. Embora possa exigir uma configuração inicial mais complexa, os benefícios a longo prazo em termos de segurança e conformidade tornam-no um modelo de controlo de acesso altamente eficaz para organizações modernas.