Princip dodjele najnužnijih privilegija (The Principle of Least Privilege) važan je koncept u računarskoj sigurnosti, jer praksa ograničavanja pristupa korisnicima (bilo da su krajnji korisnici ljudi, ili aplikacije, servisi, …) na minimalne dozvole koje su im potrebne za obavljanje posla. Prema PoLP-u, korisnici mogu da dobiju dozvole za čitanje, pisanje i/ili izvršavanje samo pojedinih datoteka ili cijelih resursa.

U zavisnosti od sistema, neke privilegije se mogu zasnivati na atributima, a koji se zasnivaju na ulogama poput poslovnih jedinica (HR, IT, DevOps, …) ili pak lokacije, radnog staža, doba dana, dan u sedmici i slično.

Računari koje koristi služba IT-a uglavnom imaju neograničen pristup dijelu ili cijelom sistemu. Privilegije koje imaju omogućavaju im ne samo da čitaju, pišu i izvršavaju nego sve to mogu da rade preko mreže, na udaljenim računarima. Mogu da instaliraju željeni softver na udaljenoj mašini, da naprave ili izbrišu neki fajl i drugo. Ovakav pristup treba biti strogo ograničen iz mnogo aspekata. Jedan od najboljih je onaj s privremenim, vremenski ograničenim pristupom, uz svakako korištenje sudo (superuser do) opcije. Tj. nikada ne koristiti root korisnika, nego drugim korisnicima dodijeliti prava da se mogu prebaciti u mod super-korisnika po potrebi.

Primjena principa dodjele najnužnijih privilegija se uglavnom naširoko koristi za ograničavanje standardnih, prosječnih korisnika i to tako što im se dodijele privilegije samo i jedino one koje su im nužne, neophodne za ivršavanje redovnih zadataka. Korisnici kojima se ograniči pristup po PoLP često se nazivaju LPU (Least Privileged User).

Zašto se koristi PoLP

Kao suštinski aspekt informatičke sigurnosti, PoLP je jedna od najvažnijih sigurnosnih politika koju preduzeća moraju provoditi. Dizajniran je radi poboljšanja zaštite podataka i funkcionalnosti od grešaka, odnosno tolerancije na greške* (fault-tolerance), kao i od zlonamjernog ponašanja. Organizacije koje slijede PoLP osiguravaju da korisnici nemaju više pristupa sistemima i podacima nego što im je potrebno za obavljanje njihovih poslova.

Na primjer, zaposlenici odsjeka finansija imaju pristup platnim listama, dok ostale službe nemaju, izuzev svakog pojedinačnog radnika koji pristupa samo i jedino svojoj platnoj listi. Zatim unutar finansija, samo šef finansija ima mogućnost da “digitalno” potpiše neku platnu listu npr.

Iako PoLP se itekako koristi kod ograničavanja pristupa standardnim korisnicima, on se koristi i da bi se nadgledalo i upravljalo onim korisnicima kojima privilegije doista trebaju, poput programera.

Timovi zaduženi za sigurnost bi trebali koristiti alate koji im olakšavaju upravljanje pristupom i lahku reviziju razvojnog okruženja kojeg koriste programeri kako bi se spriječilo puzanje privilegija**. Timovi bi trakođer trebali pratiti kada i kako programeri koriste svoje račune, kako bi podaci o sigurnosti i alati za upravljanje događajima mogli odmah prepoznati neregularne aktivnosti.

Prednosti principa dodjele najnužnijih privilegija

Increases Reseach je 2016. godine procijenio da 80% slučajeva narušavanja pristupa dolazi od toga što korisnicima nisu pravilno dodijeljene samo najnužnije privilegije.

PoLP je također važan za smanjenje zaraze i širenja zlonamjernog softvera. Primjena PoLP-a znači smanjenje rizika da će haker moći ukrasti pristupne podatke, instalirati zlonamjerni softver i tako pristupiti ostatku sistema.

PoLP može pomoći i u razvrstavanju i klasifikaciji podataka***, te time firme znaju tačno koje podatke imaju i ko im ima pristup. U slučaju neovlaštenog pristupa mnogo je lakše utvrditi odakle je došao i kako.

* tolerancija na greške – fault-tolerant – sposobnost računarskog sistema, elektronskog sistema ili mreže da pruža neprekidnu uslugu, uprkos tome što jedna ili više komponenti propadaju. Također rješava potencijalne prekide u servisima povezane s softverskim ili logičkim greškama. Svrha je da se spriječi katastrofalna greška (katasftrofalni kvar je potpuni, iznenadi, često neočekivani kvar u mašini, elektronskom sistemu, računaru ili mreži) koja bi mogla proizići iz samo jedne kvarne tačke.

** puzanje podataka – postepeno gomilanje prava pristupa (privilegija) izvan onoga što pojedincu treba da bi obavio svoj posao. Često se događa pri promjeni opisa radnog mjesta.

*** klasifikacija podataka – proces organizovanja podataka u kategorije koje olakšavaju preuzimanje, sortiranje i spremanje za buduću upotrebu. Dobro planirani sistemi klasifikacije podataka olakšava pronalaženje i preuzimanje bitnih podataka. Ovo može biti od posebnog značaja za upravljanje rizikom, pravna regulative i poštivanje pravila. Uz klasifikaciju se postiže povjerljivost, integritet i dostupnost.

Hits: 9