Attributbasierte Zugriffskontrolle

Die attributbasierte Zugriffskontrolle (ABAC) ist ein flexibler Ansatz zur Ermöglichung fein granularer Autorisierungsentscheidungen für einen Anfordernden (Endentität/Benutzer) und eine Zielressource/ein Zielobjekt bzw. Daten. Jeder Anfordernde und jede Ressource verfügt über eine Reihe zugeordneter Attribute. Dazu können persistente Attribute gehören, die in einem Verzeichnis gespeichert sind, oder kontextbezogene Attribute wie Zeitpunkt der Anfrage, Art des Multi-Faktor-Authentifikators, Geräteinformationen usw.

Historisch wurden Autorisierungsentscheidungen durch Role-Based Access Control (RBAC) gesteuert, bei der Faktoren wie Gruppenmitgliedschaft, organisatorische Rolle und Administratorrechte bewertet werden. Obwohl RBAC in bestimmten Kontexten effektiv ist, ist sein Umfang häufig zu begrenzt, um der heutigen komplexen Bedrohungslandschaft gerecht zu werden. Die US Federal Zero Trust Strategy, dargelegt im OMB Memorandum M-22-09, weist Behörden an, ABAC für granularere, kontextbewusste Autorisierungsentscheidungen einzuführen.

Ping Identity bietet Lösungen zur Implementierung und Durchsetzung von ABAC. Sie basieren auf offenen Standards und können einzeln oder kombiniert bereitgestellt werden, sodass Unternehmen ihre Identity Credential and Access Management (ICAM)-Fähigkeiten modernisieren können. Ob für mobile, Desktop- oder Webanwendungen – die Kontrollen von Ping können über standardbasierte Föderationsprotokolle wie SAML und OIDC, headerbasierte URL-Kontrollen oder innerhalb der API-Ebene durchgesetzt werden und erweitern so die Sicherheit über die gesamte Unternehmenslandschaft.

Die ABAC-Lösungen von Ping

In einer modernen ABAC-Implementierung kommen unterschiedliche Technologien zum Einsatz. Dazu gehören eine Master User Record (MUR) Single Sign-On-Föderations-Engine (SSO) sowie eingehende und ausgehende ABAC-Richtlinien-Engines.

Master User Record – PingDirectory

PingDirectory ist ein schnelles, skalierbares Verzeichnis zur Speicherung von Identitäten und umfangreichen Profildaten. PingDirectory ist ein schnelles, skalierbares Verzeichnis zur Speicherung von Identitäten und umfangreichen Profildaten. Organisationen, die maximale Verfügbarkeit für Millionen von Identitäten benötigen, nutzen PingDirectory zur sicheren Speicherung und Verwaltung sensibler Kunden-, Partner- und Mitarbeiterdaten. PingDirectory fungiert als zentrale, verlässliche Identitätsquelle und kann zur Erstellung eines Master User Record (MUR) verwendet werden, um aggregierte Benutzerattribute zu speichern, die als maßgebliche Quelle für ABAC-Autorisierungsentscheidungen dienen.

Ein MUR ist eine wesentliche Grundlage für ABAC, da er ganzheitlichere Einblicke und ein Lifecycle-Management von Benutzern im gesamten Unternehmen ermöglicht. Der MUR ist der logische Integrationspunkt für Identity Governance and Administration (IGA)-Engines zur schnellen Verwaltung von Benutzerberechtigungen sowie für zentrale Richtlinien zum Onboarding und Offboarding.

Benutzer werden per Import, API-Verbindung, manueller Eingabe oder bidirektionaler Echtzeitsynchronisierung aus LDAP-, RDBMS-, JDBC- oder SCIM-Datenspeichern in PingDirectory geladen. Sowohl strukturierte als auch unstrukturierte Benutzerdaten werden durch Verschlüsselung, Passwortvalidierer, kryptografische Protokollsignierung und weitere Mechanismen gesichert und gespeichert. PingDirectory hilft Unternehmen, Identitätssilos zu beseitigen, und kann zum maßgeblichen Datensatz für Autorisierungsentscheidungen im gesamten Unternehmen werden.

Single Sign-On – PingFederate

PingFederate ist ein Enterprise-Föderationsserver, der die Benutzerauthentifizierung und Single Sign-On (SSO) optimiert. Er lässt sich nahtlos in Unternehmensanwendungen, Authentifizierungsquellen von Drittanbietern, Benutzerverzeichnisse und bestehende ICAM-Systeme integrieren und unterstützt sowohl aktuelle als auch ältere Identitätsstandards.

Mit PingFederate können Organisationen während der Authentifizierung Attribute aus unterschiedlichen Quellen abrufen, etwa aus mehreren Verzeichnissen, Datenbanken (einschließlich des MUR), externen Identitätsanbietern und benutzerbereitgestellten Anmeldeinformationen. Die erweiterte Policy-Orchestrierungs-Engine ermöglicht zudem die Integration von Endpoint Protection Platforms (EPP), Extended Detection and Response (XDR) und weiteren Sicherheitslösungen in den adaptiven Authentifizierungsprozess, sodass eine Geräteauthentifizierung sichergestellt wird, bevor Benutzeranmeldeinformationen offengelegt werden.

Diese Attribute können anschließend für ABAC-Entscheidungen und deren Durchsetzung genutzt werden und erhöhen so die Sicherheit im gesamten Unternehmen.

Zu den unterstützten Föderationsstandards gehören OAuth, OpenID, OpenID Connect, SAML, WS-Federation, WS-Trust und System for Cross-Domain Identity Management (SCIM). Darüber hinaus unterstützt PingFederate direkt x.509-Authentifikatoren wie PIV und CAC und kann als Föderationshub fungieren, um externe Identitätsanbieter in eine zentrale Authentifizierungs-Policy-Engine zu integrieren.

Eingehendes ABAC – PingAccess

PingAccess ist eine zentrale Zugriffssicherheitslösung mit einer umfassenden Autorisierungs-Policy-Engine. Sie bietet sicheren Zugriff auf Anwendungen und APIs bis auf URL-Ebene und stellt sicher, dass nur autorisierte Benutzer auf die benötigten Ressourcen zugreifen können. Mit PingAccess können Organisationen Webanwendungen, APIs und andere Ressourcen mithilfe von Regeln und weiteren Authentifizierungskriterien schützen; die Bereitstellung kann agentenbasiert oder über Web Access Gateway erfolgen.

PingAccess setzt Autorisierung durch, indem es zwischen dem Benutzer und der geschützten Anwendung positioniert ist. Diese Durchsetzung wird als eingehendes ABAC bezeichnet. Dabei werden Anfragen zwischen Benutzer und Anwendung abgefangen und eine dynamische Autorisierungsentscheidung eingefügt, um zu bestimmen, ob der anfordernde Benutzer Zugriff auf die angeforderte Ressource innerhalb der Anwendung erhalten soll.

PingAccess ermöglicht und erzwingt grob- und mittelgranulares ABAC durch seine flexible Autorisierungs-Policy-Engine. Die von diesen Richtlinien geprüften Attribute können direkt aus Assertions, Tokens und Backchannel-APIs stammen, die von der Föderations-Engine wie PingFederate gesendet werden, und/oder aus verfügbaren Verzeichnissen einschließlich des MUR. Dadurch kann PingAccess die von der Föderations-Engine bereitgestellten Daten mit zusätzlichen Attributen aus konfigurierbaren Quellen anreichern.

Ausgehendes ABAC – PingAuthorize

PingAuthorize bietet fein granulare Zugriffskontrolle unter Nutzung von Echtzeit-Kontextinformationen über Benutzer und aufgerufene Ressourcen, um Sicherheit zu gewährleisten und Compliance sicherzustellen. Es fungiert als Lösung für fein granulare Autorisierung und nutzt Echtzeitdaten, um Autorisierungsentscheidungen für den Zugriff auf Daten, Services, APIs und andere Ressourcen zu treffen. PingAuthorize ermöglicht Administratoren die Festlegung dynamischer Autorisierungsrichtlinien, um Zugriffsanfragen basierend auf Verhalten, Aktivität oder anderen Attributen zuzulassen, zu blockieren, zu filtern oder zu verschleiern.

PingAuthorize setzt Autorisierung durch, indem es zwischen der geschützten Anwendung und den angeforderten Daten/Ressourcen positioniert ist. Diese Durchsetzung wird als ausgehendes ABAC bezeichnet. Dabei werden Anfragen zwischen der Anwendung und den angeforderten Daten bzw. Ressourcen abgefangen, typischerweise über API-Anfragen. PingAuthorize integriert auf dieser API-Ebene eine dynamische Autorisierungsentscheidung und fängt Anfragen ab sowie modifiziert sie basierend darauf, worauf der anfordernde Benutzer zugreifen darf.

Dynamische Autorisierungsrichtlinien, die über PingAuthorize konfiguriert und durchgesetzt werden, können jedes Identitätsattribut, jede Einwilligung, Berechtigung, Ressource oder jeden Kontext bewerten, um ABAC-Entscheidungen in Echtzeit zu treffen. PingAuthorize bietet Ihnen zentrale Kontrolle über Ihre digitalen Transaktionen und den Anwendungszugriff auf Daten.

Flexible Bereitstellung

Diese Lösungen werden auf der DoD IL5/FedRAMP High SaaS-Plattform von Ping Identity, in privaten Clouds, in traditionellen On-Premises-Umgebungen sowie in Air-Gapped-, DDIL- oder netzwerksegmentierten Umgebungen bereitgestellt – jeweils mit vollständiger Funktionsparität. Jede Lösung kann über eine benutzerfreundliche grafische Oberfläche oder über automatisierte Konfigurationen mithilfe von RESTful APIs verwaltet werden.

Unterstützte Bereitstellungsmethoden

• FedRAMP High, DoD IL5 SaaS
• Private Cloud
• On-Premises
• Hybrid (On-Premises und Cloud/gehostet)
• Disconnected, Disrupted, Intermittent and Limited (DDIL)
• Air-Gapped- oder netzwerksegmentierte Umgebungen

Ein modernisiertes ICAM auf Basis von ABAC

Das einzigartige Portfolio von Ping Identity ermöglicht die Zentralisierung externer und interner Identitäten über einen Föderationshub und einen Master User Record (MUR) mit dynamischer Autorisierung durch eingehende und ausgehende attributbasierte Zugriffskontrolle.

Ping Identity ermöglicht es verteilten Belegschaften in Bundesbehörden, von überall aus sicher und interoperabel missionskritische Aufgaben zu erfüllen. Dies erreichen wir durch die Bereitstellung der ICAM-Lösungen und -Services, die Organisationen benötigen, um ihre komplexen, hybriden Umgebungen zu modernisieren und den Übergang zu einer Zero-Trust-Architektur zu unterstützen.