Zugriffskontrollliste: Definition, Arten & Verwendungszwecke

Kurzfassung

Zugriffskontrolllisten (ACLs) sind regelbasierte Berechtigungssysteme, die steuern, wer auf Ressourcen in einem Netzwerk oder Dateisystem zugreifen kann. Es gibt sie in verschiedenen Formen – einschließlich Standard-, erweiterten, Dateisystem- und Networking-ACLs – und sie funktionieren, indem sie Einträge zur Zugriffskontrolle (ACEs) auswerten, um Datenverkehr zuzulassen oder zu verweigern. Zu den Best Practices gehören die Anwendung von ACLs auf jeder Schnittstelle, die korrekte Anordnung von Regeln, die Verwendung gruppenbasierter Regeln und die Dokumentation aller Änderungen. Für umfassendere rollenbasierte Anforderungen können ACLs für zusätzliche Flexibilität und Sicherheit mit der rollenbasierten Zugriffskontrolle (RBAC) kombiniert werden.

Die Grundlagen von Zugriffskontrolllisten

Zugriffskontrolllisten (ACLs) enthalten eine Reihe von Regeln, die festlegen, was Nutzer:innen innerhalb einer bestimmten digitalen Umgebung tun dürfen und was nicht. Die ACL ist eine Liste von Berechtigungen, die festlegen, worauf ein:e Benutzer:in Zugriff hat und welche Arten von Operationen mit diesem Zugriff ausgeführt werden dürfen.

Es gibt verschiedene Arten von ACLs. Sie können den Zugriff auf das gesamte Netzwerk oder auf bestimmte Dateien und/oder Verzeichnisse innerhalb des Netzwerks filtern. ACLs werden oft zusammen mit anderen Sicherheitstechnologien verwendet, die den Datenverkehrsfluss innerhalb eines Netzwerks bestimmen.

Eine ACL ist oft ein wichtiger Bestandteil von Verfahren, Richtlinien und Technologien der IT-Sicherheit.

Was ist eine Zugriffskontrollliste (ACL)?

Die Zugriffskontrollliste (ACL) enthält Zugriffskontrolleinträge (ACE), die einem System vorgeben, wie der Datenverkehr innerhalb eines digitalen Netzwerks gefiltert werden soll. Die ACL kann dem System mitteilen, welche Benutzer:innen welche Dinge sehen können, und ebenso vorgeben, wer oder was Änderungen innerhalb eines Netzwerks vornehmen darf.

ACLs können den Zugriff auf Dateien und Verzeichnisse oder sogar auf das Netzwerk selbst bestimmen. Die ACL kann auch Lese- und Schreibberechtigungen für Benutzer festlegen.

Zu einem bestimmten Zeitpunkt war eine ACL die primäre Methode für den Firewall-Schutz. Heute gibt es Alternativen und weitere Formen von Firewalls.

Eine ACL kann in Verbindung mit anderen Sicherheitstechnologien eingesetzt werden, darunter virtuelle private Netzwerke (VPNs), die bestimmen können, welcher Datenverkehr verschlüsselt und wohin er geleitet werden soll.

Arten von Zugriffskontrolllisten

• Dateisystem-ACL und Networking-ACLs: Zugriffskontrolllisten filtern den Zugriff entweder auf Netzwerke als Ganzes (Networking-ACLs) oder auf Dateien und/oder Verzeichnisse (Dateisystem-ACLs). Eine Netzwerk-ACL teilt den Routern und Switches mit, welcher Datenverkehr auf das Netzwerk zugreifen darf und welche Art von Aktivität zulässig ist. Eine Dateisystem-ACL teilt dem Betriebssystem mit, welche Benutzer:innen auf das System zugreifen können und welche Berechtigungen ihnen gewährt werden.
• ACLs unter Linux oder Windows: ACLs können über Linux oder Windows konfiguriert werden. Linux kann mehr Flexibilität bieten, aber es erfordert oft ein hohes Maß an Fachwissen für die Wartung. Windows bietet eine stabilere Plattform, die einfacher zu bedienen ist, aber Sie können keine Kernel-Änderungen vornehmen, wie es bei Linux möglich ist.
• Standard- vs. erweiterte ACLs: Es gibt zwei Hauptkategorien von ACLs: Standard-ACL und erweiterte ACL. Die Standard-ACL unterscheidet nicht zwischen Internet Protocol (IP)-Datenverkehr; stattdessen lässt sie Datenverkehr basierend auf der Quell-IP-Adresse zu oder blockiert ihn. Die erweiterte ACL verwendet sowohl die Quell- als auch die Ziel-IP-Adressen und kann den IP-Datenverkehr unterscheiden, um festzulegen, wem der Zugriff gewährt oder verweigert wird.
• System-Zugriffskontrollliste (SACL) und diskretionäre Zugriffskontrollliste (DACL): Die SACL protokolliert Zugriffsversuche auf ein bestimmtes Objekt. Es kann verwendet werden, um Audit-Datensätze zu generieren, um festzustellen, wann Zugriff gewährt wird, wann Zugriff verweigert wird oder beides. Die DACL legt fest, wer und was Zugriff auf ein sicherungsfähiges Objekt hat. Das System wird die ACEs systematisch überprüfen, um festzustellen, ob der Zugriff gewährt oder verweigert werden soll.

Was spricht für eine ACL?

Eine ACL kann für Netzwerksicherheit sorgen, indem sie festlegt, welche Benutzer:innen innerhalb eines Systems was tun dürfen und wer Zugriff hat. Dies kann aufgrund des eingeschränkten Datenverkehrs um ein gesichertes Objekt herum dazu beitragen, das System sicherer zu machen und einen reibungslosen Netzwerkbetrieb zu gewährleisten. Weniger Datenverkehr kann eine bessere Netzwerkleistung bedeuten.

Wie verbessert eine ACL die Netzwerkleistung?

Eine ACL steuert den Verkehrsfluss, indem sie blockiert, was nicht dorthin gehört, und durchlässt, was zulässig ist. Es kann auch hilfreich sein, den ein- und ausgehenden Datenverkehr des Systems zu überwachen.

ACLs können spezifisch oder weit gefasst eingerichtet werden. Die ACL kann so konfiguriert werden, dass sie nur bestimmten Benutzer:innen den Zugriff auf das System erlaubt und die Berechtigungen festlegt, über die der/die Benutzer:in innerhalb des Systems verfügt. Eine ACL kann dabei helfen, das Risiko einer Sicherheitsverletzung zu minimieren, indem sie festlegt, wer über Rechte im System verfügt.

Wie funktionieren Zugriffskontrolllisten?

Eine ACL verwendet ACEs, um den Verkehrsfluss zu bestimmen, zu steuern und zu überwachen.

Wie filtert eine Netzwerk-ACL den Datenverkehr?

Eine Networking-ACL ist ein Datenverkehrsfilter, der in einem Router oder Switch installiert ist und eine Reihe vordefinierter Regeln enthält, um Paketen oder Routing-Updates den Zugriff auf das Netzwerk entweder zu erlauben oder zu verweigern. Router und Switches, die eine ACL verwenden, verfügen über Filterkriterien, die so eingerichtet sind, dass sie als Paketfilter fungieren und Pakete entweder ablehnen oder weiterleiten können.

Wie verwaltet eine Dateisystem-ACL Benutzerprivilegien?

Eine Dateisystem-ACL teilt dem Betriebssystem mit, welche Zugriffsrechte ein:e Benutzer:in auf bestimmte Systemobjekte, wie z. B. bestimmte Dateien oder Verzeichnisse, hat. Jedes dieser Objekte ist als Sicherheitseigenschaft mit einer ACL verbunden, und jede:r Benutzer:in mit Zugriffsrechten auf das System verfügt über einen Eintrag in der ACL.

Zu den Benutzerprivilegien, die eine ACL festlegen kann, gehört die Gewährung des Lesezugriffs auf bestimmte Dateien oder alle Dateien innerhalb eines Verzeichnisses. Die ACL kann auch bestimmen, ob der:die Benutzer:in die Berechtigung hat, die Datei oder Dateien auszuführen oder in diese zu schreiben. Wenn ein:e Benutzer:in eine Anfrage zum Zugriff auf ein Objekt sendet, verwendet das Betriebssystem die ACL, um einen relevanten Eintrag zu finden, der dem:der Benutzer:in die angeforderten Berechtigungen gewährt. Wenn kein übereinstimmender Eintrag gefunden wird, wird der Zugriff verweigert oder blockiert.

Was sind die Best Practices für die Verwendung von ACLs?

Zugriffskontrolllisten sind nützliche Sicherheitstools, die es einem System und einem Netzwerk ermöglichen, schnell und sicher zu funktionieren. Es ist jedoch wichtig, sie richtig einzurichten, damit Ihr Netzwerk sicher und reibungslos läuft. Dazu gehört die Einhaltung dieser Best Practices bei der Einrichtung von ACLs:

• Verwenden Sie ACLs an jeder Schnittstelle. ACLs sind an öffentlich zugänglichen Netzwerkschnittstellen erforderlich, um den Zugriff in das und aus dem geschützten Netzwerk zu steuern. Auf allen Sicherheits- und Routing-Geräten muss eine ACL durchgesetzt werden, da jeder Standort unterschiedliche Regeln benötigt. Die nach außen gerichteten Schnittstellen müssen den zulässigen Zugriff festlegen, während das interne Netzwerk und die internen Schnittstellen die Privilegien und Berechtigungen der Benutzer:innen innerhalb des Systems bestimmen müssen. Eine ACL innerhalb des geschützten Netzwerks kann Ihrem System zusätzliche Sicherheit bieten. Die durch die ACLs festgelegten Regeln können unterschiedlich sein, je nachdem, wo die ACL platziert ist. Diese Regeln können Sicherheitsverletzungen und deren Auswirkungen minimieren, sensible Ressourcen schützen und die Netzwerkleistung verbessern.
• Achten Sie darauf, Ihre ACLs in der richtigen Reihenfolge anzuordnen. Eine ACL führt die erste Regel aus, auf die sie trifft. Daher ist es wichtig, Ihre Regeln in der richtigen Reihenfolge einzugeben, damit Ihr Netzwerk reibungslos funktioniert und die Berechtigungen wie beabsichtigt angewendet werden. Eine falsche Regelreihenfolge kann den richtigen Personen den Zugriff verweigern, Ihr Netzwerk verlangsamen oder geschützte und sensible Ressourcen für die falschen Benutzer:innen angreifbar machen. Beginnen Sie bei der Erstellung einer ACL zuerst mit den allgemeineren Regeln und gehen Sie dann zu den spezifischeren über. Dies kann die Zeit begrenzen, die ein Paket in Ihrem System verbleibt, wodurch das System weiterhin mit der erforderlichen Geschwindigkeit arbeiten kann. Beim Hinzufügen von Regeln zu einer ACL ist es wichtig, zu berücksichtigen, wie die Kette von Ereignissen ablaufen soll und wann die Regeln ausgelöst werden sollen.
• Erwägen Sie, Regeln für bestimmte Personengruppen statt für einzelne Benutzer:innen festzulegen. Benutzerbasierte ACLs können bedeuten, dass die ACL jedes Mal aktualisiert werden muss, wenn ein:e neue:r Benutzer:in hinzugefügt wird. Das bedeutet, dass Sie bei jeder Neueinstellung, Versetzung oder Kündigung die ACL aktualisieren und verwalten müssen. Anstatt Regeln für einzelne Benutzer:innen zu erstellen, können Sie Regeln für Benutzergruppen festlegen. Auf diese Weise haben alle Mitglieder einer bestimmten Gruppe dieselben Berechtigungen und denselben Zugriff. Die Benutzerpopulation in einem Unternehmen ist in der Regel sehr dynamisch und unterliegt ständigen Änderungen. Die Verwendung gruppenbasierter ACL-Regeln anstelle von einzelnen Regeln kann daher Zeit und Aufwand sparen.
• Dokumentieren Sie Ihre gesamte Arbeit. Behalten Sie den Überblick über alle Ihre ACL-Regeln. Wenn Sie eine neue Regel hinzufügen, dokumentieren Sie, wann sie hinzugefügt wird, warum sie hinzugefügt wird, wer sie hinzugefügt hat und was die Regel bewirken soll. ACL-Systeme ermöglichen die Eingabe detaillierter Informationen, was die Verwaltung der ACL erheblich erleichtern kann. Kommentare können auch für eine Gruppe von Regeln hinzugefügt werden und müssen nicht für jede Regel einzeln verfasst werden. Es ist oft am besten, einen kombinierten Ansatz zu verwenden. Einige Regeln erfordern genauere Angaben, während andere zusammengefasst werden können.
• Verwenden Sie ACL-Verwaltungstools. Je mehr ACLs dem Netzwerk hinzugefügt werden, desto komplexer können sie werden. ACLs können auch recht umfangreich werden, wenn sie aktualisiert werden. Ein ACL-Management-Tool kann sicherstellen, dass die Regeln in der richtigen Reihenfolge vorliegen, Updates bei Bedarf bereitgestellt werden und die ACL weiterhin so effizient wie möglich ausgeführt wird. ACL-Verwaltungstools können Änderungsprotokolle, Benachrichtigungen und Audit-Trails bereitstellen, um das System und das Netzwerk sicher zu halten und deren gewünschte Leistung zu gewährleisten.

Wie schneidet RBAC im Vergleich zu ACL ab?

Eine Alternative zur ACL ist das Modell der rollenbasierten Zugriffskontrolle (RBAC). Die RBAC beschränkt oder gewährt den Netzwerkzugriff basierend auf der Rolle von Benutzer:innen innerhalb des Unternehmens, anstatt auf der Ebene einzelner Benutzer:innen, wie es bei der ACL der Fall ist. Die RBAC legt fest, welche Zugriffsebene bestimmte Rollen haben können.

Nicht alle im Unternehmen benötigen Zugriff auf das gesamte System. Beispielsweise sollten untergeordnete Administrator:innen keinen Zugriff auf hochsensible Daten haben, die nicht zu ihren Aufgaben gehören. RBAC kann die Sicherheit innerhalb eines Netzwerks basierend auf der Rolle verwalten, die der:die Benutzer:in in der Organisation hat.

Ein RBAC kann für noch mehr Sicherheit und Flexibilität mit einer ACL kombiniert werden. Wenn Sie beispielsweise Gruppen von Benutzer:innen über die ACL Zugriff gewährt haben und ein:e Mitarbeiter:in an einem anderen Projekt innerhalb der Organisation arbeitet, können Sie RBAC verwenden, um den Zugriff auf die erforderlichen Ressourcen zu ermöglichen, ohne vollständigen Zugriff auf nicht relevante Abteilungen zu gewähren.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer Dateisystem-ACL und einer Netzwerk-ACL?

Eine Netzwerk-ACL filtert den Datenverkehr auf Router- oder Switch-Ebene und steuert, was in das Netzwerk gelangt oder es verlässt. Eine Dateisystem-ACL arbeitet auf Betriebssystemebene und legt fest, welche Benutzer:innen auf bestimmte Dateien oder Verzeichnisse zugreifen können und über welche Berechtigungen sie verfügen.

Was ist der Unterschied zwischen einer Standard-ACL und einer erweiterten ACL?

Eine Standard-ACL filtert den Datenverkehr ausschließlich anhand der Quell-IP-Adresse, ohne zwischen Datenverkehrstypen zu unterscheiden. Eine erweiterte ACL verwendet sowohl Quell- als auch Ziel-IP-Adressen und kann Datenverkehrstypen unterscheiden, um den Zugriff präziser zuzulassen oder zu verweigern.

Warum ist die Reihenfolge der Regeln in einer ACL wichtig?

Eine ACL führt die erste zutreffende Regel aus, auf die sie stößt. Eine falsche Reihenfolge kann daher unbeabsichtigt legitime Nutzer:innen blockieren, die Netzwerkleistung verlangsamen oder sensible Ressourcen ungeschützt lassen. Mit allgemeinen Regeln zu beginnen und diese auf spezifischere einzugrenzen, trägt dazu bei, dass Pakete effizient verarbeitet werden.

Sollten ACL-Regeln für einzelne Benutzer:innen oder Gruppen erstellt werden?

Gruppenbasierte Regeln werden generell empfohlen. Das Erstellen von Regeln für einzelne Benutzer:innen erfordert die Aktualisierung der ACL jedes Mal, wenn jemand eingestellt oder versetzt wird oder das Unternehmen verlässt. Gruppenbasierte Regeln weisen allen Mitgliedern einer Gruppe dieselben Berechtigungen zu, wodurch der Verwaltungsaufwand reduziert wird.

Wie unterscheidet sich RBAC von ACL und können sie zusammen verwendet werden?

Während eine ACL den Zugriff auf Objektebene basierend auf Benutzer- oder Gruppenregeln steuert, gewährt oder beschränkt die rollenbasierte Zugriffskontrolle (RBAC) den Zugriff basierend auf der Rolle einer Benutzer:in innerhalb der Organisation. Beides lässt sich kombinieren – beispielsweise durch die Nutzung von ACL für den Zugriff auf Gruppenebene und RBAC zur Erteilung projektspezifischer Berechtigungen, ohne unbeteiligten Abteilungen Zugriff zu gewähren.

Was sind ACL-Verwaltungstools und warum sind sie nützlich?

ACL-Verwaltungstools helfen Administrator:innen bei der Pflege komplexer, umfangreicher ACLs, indem sie sicherstellen, dass die Regeln in der richtigen Reihenfolge stehen, bei Bedarf Updates bereitstellen und Änderungsprotokolle, Benachrichtigungen sowie Audit-Trails zur Verfügung stellen, um das Netzwerk sicher zu halten und die vorgesehene Leistung zu gewährleisten.

Weitere Ressourcen

Bei der Verwendung eines Windows-Betriebssystems beschreibt Microsoft, wie eine Zugriffskontrollliste erstellt und geändert wird. Darüber hinaus bietet Cisco ein Tutorial zur Konfiguration von IP-Zugriffslisten.

Sie können auch ein Zugriffsmanagementsystem verwenden, wie es beispielsweise von SolarWinds angeboten wird. Sie können eine kostenlose 30-Tage-Testversion erhalten, um zu prüfen, ob sie für Ihr Netzwerk und Ihre Organisation geeignet ist. Verwaltungstools für Zugriffskontrolllisten können zusätzliche Sicherheit bieten und zur Optimierung der Netzwerkleistung beitragen.

Referenzen

Domain 1. (2021). CISSP Study Guide (Second Edition).

Verbesserung der Netzwerksicherheit und -leistung durch optimierte ACLs. (November 2014). International Journal in Foundations of Computer Science & Technology (IJFCST).

Erstellen oder Ändern einer ACL. (Januar 2021). Microsoft.

Zugriffsmanagementsystem. (2021) SolarWinds Worldwide, LLC.

Konfigurieren von IP-Zugriffslisten. Cisco.