Sikkerhetsprinsipper

POLP (Principle of Least Privilege)

Principle of Least Privilege (POLP) er et sikkerhetsprinsipp som sier at brukere og systemer bare skal ha de rettighetene og tilgangene som er nødvendige for å utføre sine oppgaver. Dette reduserer risikoen for skade, enten det er utilsiktet eller ondsinnet.

Fordeler med POLP:

• Reduserer angrepsflaten ved å minimere antall brukere med høye rettigheter.
• Forhindrer utilsiktede endringer eller slettinger av kritiske systemfiler.
• Begrenser skaden som kan oppstå hvis en bruker eller system blir kompromittert.

Eksempel på implementering av POLP:

• Gi en bruker tilgang til bare de filene og mapper de trenger for sitt arbeid, i stedet for hele filsystemet.
• Bruke standardbrukerkontoer for daglige oppgaver og administratorbrukerkontoer kun når det er nødvendig.

RBAC (Role-Based Access Control)

Role-Based Access Control (RBAC) er en metode for å regulere tilgang til datamaskinsystemer eller nettverksressurser basert på brukerens rolle i organisasjonen. I stedet for å tildele individuelle rettigheter til hver bruker, tildeles rettigheter til roller som brukere deretter blir medlem av.

Fordeler med RBAC:

• Forenkler administrasjonen av brukerrettigheter ved å tildele rettigheter til roller i stedet for individuelle brukere.
• Forbedrer sikkerheten ved å sikre at brukere kun har tilgang til ressursene de trenger for sine roller.
• Gjør det lettere å administrere endringer i organisasjonen, for eksempel ved å tildele en ny rolle til en bruker som har byttet jobb.

Eksempel på RBAC:

• En "IT-administrator" rolle som har tilgang til alle IT-ressurser og administrasjonsverktøy.
• En "HR-medarbeider" rolle som har tilgang til personalfiler og HR-systemer.
• En "Salgsteam" rolle som har tilgang til kundedata og salgsverktøy.

AGDLP (Account, Global, Domain Local, Permission)

AGDLP er en strategi for å administrere brukerrettigheter og gruppemedlemskap i Active Directory. Det står for Account, Global, Domain Local, Permission og beskriver en metodikk for å tildele tillatelser på en strukturert måte.

AGDLP-struktur:

• Account (A): Brukerkontoer opprettes og legges til i globale grupper basert på brukerens rolle.
• Global Group (G): Globale grupper brukes til å samle brukere med lignende roller eller funksjoner. Globale grupper kan inneholde brukerkontoer fra samme domene.
• Domain Local Group (DL): Domain Local Groups brukes til å tildele tillatelser til ressurser innenfor samme domene. Disse gruppene kan inneholde globale grupper fra flere domener.
• Permission (P): Tillatelser tildeles Domain Local Groups for å gi tilgang til ressurser som filer, mapper og applikasjoner.

Fordeler med AGDLP:

• Gir en strukturert og skalerbar måte å administrere brukerrettigheter på.
• Reduserer kompleksiteten ved å dele opp rettigheter i mindre, håndterbare grupper.
• Forbedrer sikkerheten ved å sikre at bare riktige brukere har tilgang til nødvendige ressurser.

Eksempel på AGDLP:

• Brukerkontoer (A) for ansatte i IT-avdelingen legges til i en global gruppe (G) kalt "IT-ansatte".
• Den globale gruppen "IT-ansatte" legges til i en Domain Local Group (DL) kalt "IT-ressurs-tilgang".
• Tillatelser (P) for IT-ressurser som servere og nettverksutstyr tildeles "IT-ressurs-tilgang" gruppen.

AGDLP i Microsofts skyløsning (Entra ID)

Microsoft Entra ID (tidligere kjent som Azure AD) er en skytjeneste som tilbyr identitets- og tilgangsstyring. AGDLP-prinsippene kan også anvendes i Entra ID for å administrere tilgang og rettigheter til ressurser i skyen.

AGDLP i Entra ID-struktur:

• Account (A): Brukerkontoer opprettes i Entra ID og legges til i sikkerhetsgrupper basert på brukerens rolle.
• Security Group (G): Sikkerhetsgrupper brukes til å samle brukere med lignende roller eller funksjoner. Disse gruppene kan brukes til å tildele rettigheter til ressurser i Entra ID.
• Entra ID Role (DL): Entra ID-roller brukes til å tildele spesifikke tillatelser til sikkerhetsgrupper eller brukere. Eksempler på roller inkluderer "Global Administrator", "User Administrator", og "Application Administrator".
• Permission (P): Tillatelser tildeles ved hjelp av Entra ID-roller og tilgangspolicyer for å gi tilgang til ressurser som applikasjoner, tjenester og data.

Fordeler med AGDLP i Entra ID:

• Gir en strukturert og skalerbar måte å administrere tilgang og rettigheter til skyeressurser.
• Forenkler administrasjonen av brukerrettigheter ved å bruke sikkerhetsgrupper og roller.
• Forbedrer sikkerheten ved å sikre at brukere kun har tilgang til nødvendige ressurser basert på deres rolle.

Eksempel på AGDLP i Entra ID:

• Brukerkontoer (A) for ansatte i salgsavdelingen legges til i en sikkerhetsgruppe (G) kalt "Sales Team".
• Sikkerhetsgruppen "Sales Team" tildeles en Entra ID-rolle (DL) kalt "Sales Application Access".
• Tillatelser (P) for salgsapplikasjoner og data tildeles "Sales Application Access" rollen.