Che cos'è una lista di controllo accessi (ACL)? Tipi ed esempi

Dove non ci sono regole, c'è caos.

Questo non si applica solo alla vita, ma anche alla sicurezza dei sistemi e delle reti. Stabilire e far rispettare regole adeguate è necessario per mantenere un ambiente digitale sicuro e ordinato. Una di queste misure di sicurezza è una lista di controllo degli accessi (ACL).

Immagina di avere un documento Google con informazioni aziendali sensibili. Lo condividi solo con un gruppo ristretto di persone, giusto? La sicurezza ACL raggiunge lo stesso obiettivo a livello di sistema e di rete.

Strumenti come software di controllo degli accessi di rete con ACL integrate aiutano le aziende a implementare questi tipi di sistemi.

Configurando efficacemente le liste di controllo degli accessi, le organizzazioni fanno rispettare le politiche di sicurezza, proteggono i dati sensibili, prevengono accessi non autorizzati e gestiscono il traffico di rete in modo efficiente.

A cosa servono le ACL?

Le ACL sono iniziate come un meccanismo di controllo degli accessi per file e risorse nei sistemi operativi. Nel tempo, il loro uso si è ampliato.

Le moderne applicazioni informatiche, dai database relazionali alla pianificazione delle risorse aziendali (ERP) e ai sistemi di gestione dei contenuti (CMS), hanno ACL nei loro moduli di amministrazione del sistema. I servizi di cloud computing come le soluzioni di archiviazione cloud utilizzano anche le ACL per un controllo degli accessi granulare. Amazon Web Services (AWS), ad esempio, fornisce ACL per gestire l'accesso ai bucket e agli oggetti nella loro soluzione di archiviazione.

Nella sicurezza di rete, le ACL possono essere implementate in qualsiasi punto della rete. Sono più comunemente posizionate sui router di bordo in una zona demilitarizzata (nota anche come rete DMZ) che separa Internet pubblico e la rete interna.

La maggior parte dei siti di social networking come Facebook utilizza anche le ACL come modello principale di controllo degli accessi. Gli utenti possono specificare chi può accedere ai loro profili, elenchi di amici o calendari.

Come funziona l'ACL?

Le ACL sono utilizzate per controllare l'accesso di un soggetto agli oggetti. Qui, il soggetto può essere qualsiasi entità autenticata da un sistema informatico o di rete: utenti, programmi o processi in un sistema. L'oggetto accessibile è qualsiasi entità sicura nel sistema o nella rete, come file, programmi, dati, computer, stampanti, dispositivi, reti o contenitori.

ACL consente agli amministratori di sistema di stabilire chi può accedere a un oggetto specifico e quali azioni possono eseguire con la risorsa.

A tal fine, ogni ACL ha un elenco di voci chiamate voci di controllo degli accessi (ACE). Le ACE elencano il nome o l'ID dell'ACL degli utenti o dei gruppi che hanno accesso a un particolare oggetto. Definisce anche i diritti di accesso consentiti per quegli utenti. Ogni volta che un utente o un gruppo tenta di accedere all'oggetto, i loro diritti vengono controllati rispetto all'elenco delle ACE.

Se le condizioni ACE sono soddisfatte, l'accesso è concesso. In caso contrario, l'accesso è negato.

Per capire meglio, diamo un'occhiata al funzionamento di due principali tipi di ACL: ACL del filesystem e ACL di rete.

Come funzionano l'ACL del filesystem e l'ACL di rete

Esaminiamo prima l'ACL del filesystem. L'ACL del filesystem definisce quali utenti sono autorizzati ad accedere a un particolare file o directory. Immagina che ci siano alcuni file e cartelle nel dipartimento vendite. Tutti nel team vendite hanno bisogno di accedere per vedere e modificare quei file. Le persone nel dipartimento contabilità, tuttavia, hanno solo bisogno di visualizzare i file.

Ora, il proprietario del file o l'amministratore di sistema può impostare un'ACL che dà al dipartimento vendite il permesso di leggere, scrivere ed eseguire, mentre il dipartimento contabilità ottiene solo il permesso di leggere il file.

Se Andrea del dipartimento contabilità tenta di modificare o eliminare un file, i suoi diritti di accesso verranno controllati nell'elenco delle ACE. Poiché non corrisponderà a nessuna ACE, non otterrà l'accesso per eseguire l'operazione.

In modo simile, l'ACL di rete ha un elenco di ACE in particolare per filtrare e dare priorità al traffico. Le ACE contengono criteri contro i quali viene valutato un pacchetto di protocollo Internet (IP). Le condizioni possono essere gli indirizzi di origine e destinazione del traffico, il protocollo e le porte. ACE contiene anche un elemento di azione, cioè, consentire o negare un pacchetto IP.

Un pacchetto IP che entra nella rete viene controllato rispetto alle ACE. Se corrisponde ai criteri, il pacchetto è autorizzato ad accedere. In caso contrario, viene bloccato. Questo è anche chiamato filtraggio dei pacchetti, che è comunemente usato nel software firewall.

Tipi di ACL

Due principali tipi di ACL sono utilizzati, a seconda della risorsa a cui controllano l'accesso: ACL del filesystem e ACL di rete. Esaminiamo queste importanti categorie di ACL in dettaglio.

1. ACL del filesystem

L'ACL del filesystem è stata la prima ACL nel mondo della sicurezza informatica, implementata in un sistema operativo chiamato Multics nel 1965.

Con l'ACL del filesystem, puoi definire più permessi rispetto ai soliti permessi di lettura, scrittura ed esecuzione, a differenza dei tradizionali permessi di file in stile Unix. Inoltre, l'ACL del filesystem consente di definire il permesso per il proprietario del file, altri utenti specifici e gruppi.

Molti sistemi operativi come Windows, MacOS, Linux e Solaris hanno ACL del filesystem integrate.

2. ACL di rete

L'ACL di rete, d'altra parte, filtra il traffico verso la tua rete per bloccare l'accesso non autorizzato. È implementato nell'interfaccia del dispositivo di rete come i router. L'ACL determina quale traffico è bloccato e quale traffico è inoltrato alla rete.

Componenti dell'ACL

Sia che siano basate su filesystem o su rete, le ACL hanno componenti distinti che menzionano le regole per l'accesso.

Componenti dell'ACL del filesystem

Una voce dell'ACL del filesystem include quanto segue:

• File/Oggetto per il quale sono impostati i permessi di accesso.
• Proprietario del file o oggetto per il quale è impostata l'ACL.
• ID utente o ID gruppo, insieme ai permessi consentiti. In Microsoft, un identificatore di sicurezza è usato per denotare l'ID utente o l'ID gruppo.

Alcune ACL del filesystem possono contenere maschere di accesso che elencano il livello massimo di accesso o permesso che gli utenti diversi dai proprietari possono avere.

Componenti dell'ACL di rete

Una voce dell'ACL di rete tipicamente comprende:

• Un nome di lista di accesso per identificare l'ACL.
• Un numero di sequenza per ogni riga della lista di accesso, cioè l'ACE.
• Un'azione di permesso o negazione.
• Un indirizzo di origine/destinazione del traffico che dovrebbe essere permesso o consentito.
• Il tipo di protocollo di rete, o numeri di porta nel caso di un'ACL estesa.

Alcune ACL di rete consentono anche opzioni per commentare le voci dell'ACL e registrare i tentativi di accesso.

Altri tipi di ACL nel networking

Oltre alle due principali categorie di ACL menzionate sopra, le reti utilizzano altre ACL basate su fattori come i meccanismi di controllo degli accessi e gli scopi che le ACL servono.

Basato sui meccanismi di controllo degli accessi

Quattro varianti distinte di ACL di rete derivano da diversi modi di controllo degli accessi: standard, estesa, dinamica e riflessiva.

1. ACL standard

Una lista di controllo degli accessi standard è la categoria più comune di ACL di rete. Filtra il traffico in base all'indirizzo IP di origine di un pacchetto. Di solito è configurata nei router. L'ACL standard non differenzia tra diversi protocolli IP come il protocollo di controllo della trasmissione (TCP), il protocollo di datagramma utente (UDP) o il protocollo di trasferimento ipertestuale sicuro (HTTPS).

2. ACL estesa

La lista di controllo degli accessi estesa può filtrare i pacchetti di rete in base agli indirizzi di origine e destinazione, ai numeri di porta, ai protocolli e agli intervalli di tempo. È più flessibile, personalizzabile e dettagliata rispetto a un'ACL standard.

3. ACL dinamica

La lista di controllo degli accessi dinamica è anche chiamata ACL di blocco e chiave. Si basa su un'ACL estesa ma richiede che vengano soddisfatte condizioni aggiuntive, come la connessione remota all'host o al computer locale tramite Telnet e l'autenticazione prima che l'accesso alla rete sia consentito. L'ACL dinamica consente la connessione per un periodo di tempo specifico e fornisce una funzione di timeout per interrompere una connessione di rete.

Questo tipo di ACL è adatto per fornire accesso limitato a risorse interne a utenti esterni per un periodo di tempo temporaneo.

4. ACL riflessiva

Una lista di accesso riflessiva è un miglioramento dell'ACL estesa. Apre automaticamente il router ai pacchetti di risposta in risposta al traffico in uscita avviato dalla tua rete.

Basato sulla sintassi

Durante la creazione delle diverse ACL menzionate qui, puoi usare nomi o numeri per identificare e fare riferimento alla lista di accesso. Basato sulla sintassi utilizzata, ci sono due tipi di ACL: numerata e nominata.

1. ACL numerata

Come suggerisce il nome, un'ACL numerata utilizza un intervallo di numeri che mostra al traffico cosa è consentito o negato in una rete. Ad esempio, nell'ACL standard, gli utenti impiegano gli intervalli 1-99 e 1300-1999 per denotare gli indirizzi IP di origine che vogliono negare o consentire. Allo stesso modo, per le ACL estese, gli intervalli di indirizzi IP 100-199 e 2000 a 2699 sono utilizzati.

2. ACL nominata

In un'ACL nominata, gli utenti assegnano un nome alfanumerico per identificare la lista. Questo è più conveniente rispetto alle ACL numerate perché gli utenti possono specificare un nome significativo che è più facile da ricordare. Le ACL nominate offrono anche vantaggi aggiuntivi, come aggiungere o eliminare voci facilmente senza dover eliminare l'intera ACL, una caratteristica assente nelle liste di accesso numerate.

Basato sullo scopo

Esistono tre diverse categorie di ACL, ognuna delle quali serve a uno scopo unico, come regolare l'accesso, l'auditing e l'applicazione di controlli rigorosi.

1. ACL discrezionale (DACL)

Una lista di controllo degli accessi discrezionale (DACL) è un controllo degli accessi orientato all'utente. Qui, un'ACE menziona utenti o gruppi che sono autorizzati o negati l'accesso a un oggetto sicuro.

2. ACL di sistema (SACL)

L'ACL di sistema (SACL) riguarda più il monitoraggio di chi sta accedendo a un oggetto sicuro che il controllo dell'accesso. Le SACL registrano i tentativi di accesso a un oggetto sicuro in base a regole stabilite. Qui, l'ACE specifica i tipi di tentativi di accesso che devono essere registrati nel registro degli eventi di sicurezza.

Ad esempio, un'ACE può registrare qualsiasi tentativo di accesso fallito a un file sicuro, un'altra ACE può registrare qualsiasi tentativo di scrivere o modificare un oggetto, e le SACL possono identificare qualsiasi compromissione della sicurezza nel sistema.

3. ACL obbligatoria (MACL)

A differenza di altri tipi di ACL che consentono ai proprietari di un oggetto di definire l'ACL, la lista di controllo degli accessi obbligatoria (MACL) è determinata dal sistema o dall'autorità. Gli utenti non hanno la possibilità di sovrascrivere o modificare le voci dell'ACL. Le MACL aiutano a far rispettare un controllo rigoroso sul rilascio dei permessi di accesso.

Controllo degli accessi basato sui ruoli (RBAC) vs. ACL

Un'ACL e il controllo degli accessi basato sui ruoli (RBAC) sembrano simili, ma esaminiamo alcune differenze.

Con RBAC, diversi lavori ottengono diversi set di permessi alle risorse di sistema in modo che gli utenti abbiano solo il minimo accesso necessario per completare un compito.

Ad esempio, un amministratore di sistema ha pieno accesso a tutte le applicazioni e risorse che un'azienda sta utilizzando. Tuttavia, gruppi specifici come il team vendite hanno accesso solo al software di vendita. Mentre il team marketing può accedere e visualizzare i dashboard del team vendite, solo i venditori possono apportare modifiche, aggiungere o eliminare il dashboard.

RBAC è il meccanismo preferito per far rispettare le politiche di gestione degli accessi a livello aziendale.

Un ACL, d'altra parte, offre un livello di controllo degli accessi "fine grain" a livello di utente individuale. È basato su criteri definiti nelle ACE. Poiché funziona a livello di utente individuale, le ACL sono difficili da implementare in grandi reti aziendali.

Vantaggi dell'ACL

Le aziende utilizzano l'ACL per proteggere i dati e limitare gli utenti non autorizzati dall'accesso a informazioni sensibili per l'azienda. Questo previene violazioni dei dati e altri attacchi informatici. Controlla anche il traffico di rete limitando il numero di utenti che accedono a file, sistemi e informazioni. Ecco i vantaggi dell'utilizzo di una lista di controllo degli accessi per la tua rete aziendale.

• Migliora la sicurezza della rete e riduce la possibilità di spoofing, attacchi di negazione del servizio distribuiti (DDoS), violazioni della sicurezza e altri attacchi informatici.
• Ottieni un controllo granulare sull'accesso degli utenti e sul traffico di rete in diversi punti. Per dare un'idea, puoi implementare NACL vicino alla fonte o alla destinazione del traffico, e ai punti finali, come applicazioni o server.
• Limita il traffico di rete per migliorare le prestazioni della rete. Ad esempio, puoi limitare il traffico video alla rete utilizzando l'ACL e ridurre il carico della rete.
• Dai priorità a determinate classi di traffico in base all'indirizzo, al tipo, al protocollo e allo scopo dei dati. Ad esempio, puoi dare priorità alla voce su protocollo Internet (VOIP) rispetto ad altri tipi di traffico utilizzando l'ACL per una comunicazione più veloce tramite Internet.

Migliori pratiche per l'implementazione di un'ACL

Implementare le ACL per diversi asset IT in una rete aziendale non è mai lo stesso. Configurare un'ACL standard su un router è diverso dal configurare un'ACL per il sistema di archiviazione cloud. E farlo correttamente è importante per evitare problemi di downtime ed errori di rete. Puoi seguire alcune pratiche generali per un'implementazione efficace delle ACL.

Implementa le ACL ovunque

Configura le ACL su qualsiasi interfaccia di rete esposta al pubblico e anche all'interno della tua interfaccia di rete interna. Questo controlla sia l'accesso in entrata che in uscita e garantisce che nessun dispositivo sia esposto. Puoi anche creare un controllo degli accessi dettagliato per le risorse sensibili e minimizzare l'impatto delle violazioni della sicurezza e dei dati.

Allinea le ACL con le politiche di sicurezza

Definisci cosa vuoi che le tue ACL facciano. Considera quali utenti individuali e gruppi devono ricevere il permesso e qual è il loro livello di accesso. Basati sulle politiche di sicurezza dell'organizzazione. Questo assicura che le tue ACL non siano in conflitto con le tue linee guida sulla sicurezza informatica.

Puoi anche evitare eventuali problemi di accesso. Scrivi regole ACL dettagliate. Ordinale correttamente, poiché le voci dell'ACL vengono lette in sequenza. Usa il tuo libro delle regole per dare priorità a determinati accessi.

Crea una libreria di ACL

Documenta tutte le tue ACL. Puoi usare l'opzione di commento nelle ACL e aggiungere descrizioni dello scopo delle regole ACL, data di creazione, autore e altri dettagli rilevanti. Documentare ti aiuta a tenere traccia di tutte le tue regole di controllo degli accessi in modo da poterle gestire meglio. Ti fornisce anche una libreria di ACL che puoi modificare e riutilizzare in qualsiasi momento.

Restringi, proteggi e metti in sicurezza

Le ACL sono strumenti formidabili nella sicurezza dei sistemi e delle reti per controllare e gestire l'accesso ai dati sensibili. Agiscono come guardiani, permettendo l'ingresso a entità autorizzate mentre negano l'ingresso a potenziali minacce. Fortifica i tuoi perimetri digitali aziendali con le ACL e metti in sicurezza la tua rete.

Scopri di più su controllo degli accessi di rete e perché la tua azienda ne ha bisogno.