RBAC
siglanuvemsegurançaSuporte de TIgovernança e risco
Significa: Role-Based Access Control (ANSI INCITS 359)
Controle de Acesso Baseado em Papéis (do inglês Role-Based Access Control): permissões concedidas a papéis, pessoas atribuídas a papéis - acesso gerido por função, não por favor individual.
O ABAC o estende com atributos (departamento, horário, dispositivo); ambos existem para tornar a revogação possível. A página do projeto do NIST dá a linhagem: o artigo de Ferraiolo e Kuhn de 1992 introduziu o modelo formal de controle de acesso baseado em papéis, um arcabouço seguiu em 1996, o modelo unificado do NIST em 2000, e o modelo foi adotado como American National Standard 359-2004 pelo American National Standards Institute em fevereiro de 2004 e revisado como INCITS 359-2012. O modelo de referência do padrão define conjuntos de elementos básicos do RBAC, usuários, papéis, permissões, operações e objetos: uma permissão é uma operação sobre um objeto, um papel reúne permissões, um usuário é atribuído a papéis, e uma sessão ativa alguns deles. O NIST defende o modelo pelo custo: o RBAC tornou-se o modelo predominante de controle de acesso avançado porque reduz o custo da administração de segurança, e uma análise da RTI International de dezembro de 2010 estimou que ele poupou à indústria 1,1 bilhão de dólares ao longo de vários anos, por menos tempo parado de funcionários e provisionamento e administração de políticas mais eficientes. A falha característica do modelo é a explosão de papéis, quando toda exceção vira um papel; sua força característica é que um papel pode ser revisado uma vez onde mil concessões individuais não podem.
O controle de acesso baseado em papéis concede permissões a papéis e atribui pessoas a papéis, em vez de conceder permissões a indivíduos. O benefício é a revisabilidade: um papel pode ser examinado uma vez e compreendido, onde mil concessões individuais não podem. A ideia é mais velha que o nome, mas o modelo formal e o padrão são americanos e datados. A página do projeto do NIST registra que o artigo de Ferraiolo e Kuhn de 1992 introduziu o modelo formal de controle de acesso baseado em papéis, que Sandhu e colegas propuseram um arcabouço em 1996 e que o NIST unificou os dois em 2000; o modelo unificado foi adotado como American National Standard 359-2004 pelo American National Standards Institute em fevereiro de 2004 e revisado como INCITS 359-2012 em 2012. O modelo de referência do padrão define conjuntos de elementos básicos do RBAC, usuários, papéis, permissões, operações e objetos: uma operação sobre um objeto é uma permissão, um papel é uma coleção nomeada de permissões, um usuário é atribuído a papéis, e uma sessão é a ativação de alguns deles por um usuário. Hierarquias deixam um papel sênior herdar as permissões de um júnior, e restrições expressam a segregação de funções, de modo que dois papéis que não podem ser acumulados não o sejam.
O argumento do NIST pelo modelo é econômico antes de ser qualquer outra coisa. Sua página diz que o RBAC tornou-se o modelo predominante de controle de acesso avançado porque reduz o custo da administração de segurança, e cita uma análise da RTI International de dezembro de 2010 que estimou que o RBAC poupou à indústria 1,1 bilhão de dólares ao longo de vários anos, com a economia vindo de menos tempo parado de funcionários, provisionamento mais eficiente e administração mais eficiente das políticas de controle de acesso. O mecanismo da economia é o que todo administrador conhece: um recém-contratado numa função conhecida recebe os papéis da função no primeiro dia em vez de um chamado por sistema, e quem sai perde tudo ao perder os papéis.
Sua falha característica é a explosão de papéis. Toda exceção vira um papel novo, o conjunto cresce além do ponto em que alguém consegue raciocinar sobre ele, e o modelo fornece a papelada da governança sem a clareza para a qual foi adotado. A disciplina é manter os papéis alinhados a funções de trabalho e não a pedidos, tratar exceções legítimas como concessões com prazo em vez de papéis permanentes e revisar o conjunto periodicamente, porque um papel que ninguém consegue explicar é um papel que ninguém deveria receber. A segunda falha é a que o verbete privilege creep descreve: as pessoas mudam de função e mantêm os papéis da anterior, de modo que o retrato limpo do modelo de quem pode fazer o quê se afasta da verdade a menos que as atribuições sejam revisadas num calendário, que é o que o catálogo de controles do NIST pede no AC-6(7).
As alternativas são refinamentos, não substituições. O controle de acesso baseado em atributos, na definição da NIST SP 800-162, decide cada pedido avaliando atributos do sujeito, do objeto, da operação e do ambiente contra uma política, o que resolve os casos que papéis não resolvem, como o acesso que depende da hora do dia, do dispositivo em uso ou de uma relação entre quem pede e o registro. A maioria dos sistemas reais combina os dois, papéis para o grosso do acesso e atributos para as condições, e o verbete ABAC os põe lado a lado. A segregação de funções, que o modelo expressa como papéis que não podem ser detidos ou ativados juntos, tem verbete próprio, assim como o menor privilégio, o princípio que os dois modelos existem para implementar.
Na operação de redes e de segurança os papéis costumam ser os grupos de um diretório: um servidor RADIUS ou TACACS+ mapeia um grupo do Active Directory a uma VLAN, a um nível de privilégio de equipamento ou a um conjunto de comandos, uma plataforma de nuvem mapeia um grupo a um conjunto de permissões, e as regras de um motor de política são escritas sobre a filiação a grupos. Esses grupos são um modelo RBAC quer alguém o tenha desenhado ou não, e revisá-los é a revisão de acessos que a documentação da Microsoft descreve e que o catálogo de controles exige.
Também conhecido como: role-based access control, role based access control, incits 359, role explosion