Qu'est-ce qu'une liste de contrôle d'accès (ACL) ? Types et exemples

Où il n'y a pas de règles, il y a le chaos.

Cela s'applique non seulement à la vie mais aussi à la sécurité des systèmes et des réseaux. Établir et appliquer des règles appropriées est nécessaire pour maintenir un environnement numérique sécurisé et ordonné. Une telle mesure de sécurité est une liste de contrôle d'accès (ACL).

Imaginez que vous avez un document Google avec des informations commerciales sensibles. Vous le partagez avec un ensemble restreint de personnes, n'est-ce pas ? La sécurité ACL réalise la même chose au niveau des systèmes et des réseaux.

Des outils comme les logiciels de contrôle d'accès réseau avec des ACL intégrées aident les entreprises à mettre en œuvre ces types de systèmes.

En configurant efficacement les listes de contrôle d'accès, les organisations appliquent des politiques de sécurité, protègent les données sensibles, empêchent les accès non autorisés et gèrent efficacement le trafic réseau.

À quoi servent les ACL ?

Les ACL ont commencé comme un mécanisme de contrôle d'accès pour les fichiers et les ressources dans les systèmes d'exploitation. Au fil du temps, leur utilisation s'est étendue.

Les applications informatiques modernes, des bases de données relationnelles à la planification des ressources d'entreprise (ERP) et aux systèmes de gestion de contenu (CMS), ont des ACL dans leurs modules d'administration système. Les services de cloud computing comme les solutions de stockage en nuage utilisent également des ACL pour un contrôle d'accès granulaire. Amazon Web Services (AWS), par exemple, fournit des ACL pour gérer l'accès aux compartiments et objets dans leur solution de stockage.

En sécurité réseau, les ACL peuvent être mises en œuvre à n'importe quel point du réseau. Elles sont le plus souvent placées sur les routeurs de bord dans une zone démilitarisée (également connue sous le nom de réseau DMZ) qui sépare l'internet public et le réseau interne.

La plupart des sites de réseaux sociaux comme Facebook utilisent également l'ACL comme leur principal modèle de contrôle d'accès. Les utilisateurs peuvent spécifier qui peut accéder à leurs profils, listes d'amis ou calendriers.

Comment fonctionne l'ACL ?

Les ACL sont utilisées pour contrôler l'accès d'un sujet à des objets. Ici, le sujet peut être toute entité authentifiée par un système informatique ou un réseau : utilisateurs, programmes ou processus dans un système. L'objet accédé est toute entité sécurisable dans le système ou le réseau, comme des fichiers, programmes, données, ordinateurs, imprimantes, appareils, réseaux ou conteneurs.

L'ACL permet aux administrateurs système de dicter qui peut accéder à un objet spécifique et quelles actions ils peuvent effectuer avec la ressource.

À cette fin, chaque ACL a une liste d'entrées appelées entrées de contrôle d'accès (ACE). L'ACE liste le nom ou l'ID de l'ACL des utilisateurs ou groupes qui ont accès à un objet particulier. Elle définit également les droits d'accès autorisés pour ces utilisateurs. Chaque fois qu'un utilisateur ou un groupe tente d'accéder à l'objet, ses droits sont vérifiés par rapport à la liste des ACE.

Si les conditions de l'ACE sont remplies, l'accès est accordé. Sinon, l'accès est refusé.

Pour mieux comprendre cela, examinons le fonctionnement de deux types majeurs d'ACL : l'ACL de système de fichiers et l'ACL de réseau.

Comment fonctionnent l'ACL de système de fichiers et l'ACL de réseau

Examinons d'abord l'ACL de système de fichiers. L'ACL de système de fichiers définit quels utilisateurs sont autorisés à accéder à un fichier ou un répertoire particulier. Imaginez qu'il y a des fichiers et dossiers dans le département des ventes. Tout le monde dans l'équipe des ventes a besoin d'accéder pour voir et modifier ces fichiers. Les personnes du département des comptes, cependant, ont juste besoin de voir les fichiers.

Maintenant, le propriétaire du fichier ou l'administrateur système peut configurer une ACL qui donne au département des ventes la permission de lire, écrire et exécuter, tandis que le département des comptes obtient juste la permission de lire le fichier.

Si Andrea du département comptabilité essaie de modifier ou de supprimer un fichier, ses droits d'accès seront vérifiés sur la liste des ACE. Comme cela ne correspondra à aucune ACE, elle n'obtiendra pas l'accès pour effectuer la tâche.

De manière similaire, l'ACL de réseau a une liste d'ACE en particulier pour filtrer et prioriser le trafic. Les ACE contiennent des critères contre lesquels un paquet de protocole Internet (IP) est évalué. Les conditions peuvent être les adresses source et destination du trafic, le protocole et les ports. L'ACE contient également un élément d'action, c'est-à-dire soit pour permettre soit pour refuser un paquet IP.

Un paquet IP entrant dans le réseau est vérifié par rapport aux ACE. S'il correspond aux critères, le paquet est autorisé à accéder. Sinon, il est bloqué. Cela s'appelle également le filtrage de paquets, qui est couramment utilisé dans les logiciels de pare-feu.

Types d'ACL

Deux types majeurs d'ACL sont utilisés, selon la ressource à laquelle ils contrôlent l'accès : l'ACL de système de fichiers et l'ACL de réseau. Examinons ces catégories importantes d'ACL en détail.

1. ACL de système de fichiers

L'ACL de système de fichiers a été la toute première ACL dans le monde de la sécurité informatique, mise en œuvre dans un système d'exploitation appelé Multics en 1965.

Avec l'ACL de système de fichiers, vous pouvez définir plus de permissions que les permissions habituelles de lecture, écriture et exécution, contrairement aux permissions de fichiers de style Unix traditionnel. De plus, l'ACL de système de fichiers permet de définir la permission pour le propriétaire du fichier, d'autres utilisateurs spécifiques et des groupes.

De nombreux systèmes d'exploitation comme Windows, MacOS, Linux et Solaris ont des ACL de système de fichiers intégrées.

2. ACL de réseau

L'ACL de réseau, quant à elle, filtre le trafic vers votre réseau pour bloquer l'accès non autorisé. Elle est mise en œuvre dans l'interface de l'appareil réseau comme les routeurs. L'ACL détermine quel trafic est bloqué et quel trafic est transmis au réseau.

Composants de l'ACL

Qu'elles soient basées sur le système de fichiers ou le réseau, les ACL ont des composants distincts qui mentionnent les règles d'accès.

Composants de l'ACL de système de fichiers

Une entrée d'ACL de système de fichiers comprend les éléments suivants :

• Fichier/Objet pour lequel les permissions d'accès sont définies.
• Propriétaire du fichier ou de l'objet pour lequel l'ACL est définie.
• ID utilisateur ou ID de groupe, avec les permissions autorisées. Chez Microsoft, un identifiant de sécurité est utilisé pour désigner l'ID utilisateur ou l'ID de groupe.

Certaines ACL de système de fichiers peuvent contenir des masques d'accès qui listent le niveau maximum d'accès ou de permission que les utilisateurs autres que les propriétaires peuvent avoir.

Composants de l'ACL de réseau

Une entrée d'ACL de réseau comprend généralement :

• Un nom de liste d'accès pour identifier l'ACL.
• Un numéro de séquence pour chaque ligne de la liste d'accès, c'est-à-dire l'ACE.
• Un élément d'action de permission ou de refus.
• Une adresse source/destination du trafic qui doit être autorisé ou refusé.
• Le type de protocole réseau, ou numéros de port dans le cas d'une ACL étendue.

Certaines ACL de réseau permettent également d'ajouter des commentaires sur les entrées ACL et de journaliser les tentatives d'accès.

Autres types d'ACL en réseau

Outre les deux grandes catégories d'ACL mentionnées ci-dessus, les réseaux utilisent d'autres ACL basées sur des facteurs tels que les mécanismes de contrôle d'accès et les objectifs que les ACL servent.

Basé sur les mécanismes de contrôle d'accès

Quatre variantes distinctes d'ACL réseau découlent de différentes manières de contrôle d'accès : standard, étendue, dynamique et réflexive.

1. ACL standard

Une liste de contrôle d'accès standard est la catégorie la plus courante d'ACL réseau. Elle filtre le trafic en fonction de l'adresse IP source d'un paquet. Elle est généralement configurée dans les routeurs. L'ACL standard ne différencie pas les différents protocoles IP comme le protocole de contrôle de transmission (TCP), le protocole de datagramme utilisateur (UDP) ou le protocole de transfert hypertexte sécurisé (HTTPS).

2. ACL étendue

La liste de contrôle d'accès étendue peut filtrer les paquets réseau en fonction des adresses source et destination, des numéros de port, des protocoles et des plages horaires. Elle est plus flexible, personnalisable et détaillée qu'une ACL standard.

3. ACL dynamique

La liste de contrôle d'accès dynamique est également appelée ACL de verrouillage et de clé. Elle est basée sur l'ACL étendue mais nécessite des conditions supplémentaires à remplir, comme une connexion à distance à l'hôte ou à l'ordinateur local via Telnet et une authentification avant que l'accès au réseau ne soit autorisé. L'ACL dynamique permet la connexion pour une période de temps spécifique et offre une fonction de temporisation pour arrêter une connexion réseau.

Ce type d'ACL est adapté pour fournir un accès limité aux ressources internes aux utilisateurs externes pour une période de temps temporaire.

4. ACL réflexive

Une liste d'accès réflexive est une amélioration de l'ACL étendue. Elle ouvre automatiquement le routeur aux paquets de réponse en réponse au trafic sortant initié depuis votre réseau.

Basé sur la syntaxe

Lors de la création des différentes ACL mentionnées ici, vous pouvez utiliser des noms ou des numéros pour identifier et référencer la liste d'accès. En fonction de la syntaxe utilisée, il existe deux types d'ACL : numérotée et nommée.

1. ACL numérotée

Comme son nom l'indique, une ACL numérotée utilise une plage de numéros qui montre au trafic ce qui est autorisé ou refusé dans un réseau. Par exemple, dans une ACL standard, les utilisateurs emploient les plages 1-99 et 1300-1999 pour désigner les adresses IP source qu'ils veulent refuser ou autoriser. De même, pour les ACL étendues, les plages d'adresses IP 100-199 et 2000 à 2699 sont utilisées.

2. ACL nommée

Dans une ACL nommée, les utilisateurs attribuent un nom alphanumérique pour identifier la liste. Cela est plus pratique que les ACL numérotées car les utilisateurs peuvent spécifier un nom significatif qui est plus facile à retenir. Les ACL nommées offrent également des avantages supplémentaires, comme ajouter ou supprimer des entrées facilement sans avoir à supprimer l'ensemble de l'ACL, une fonctionnalité absente dans les listes d'accès numérotées.

Basé sur le but

Trois catégories différentes d'ACL existent, chacune servant un objectif unique, comme réguler l'accès, auditer et appliquer des contrôles stricts.

1. ACL discrétionnaire (DACL)

Une liste de contrôle d'accès discrétionnaire (DACL) est un contrôle d'accès orienté utilisateur. Ici, une ACE mentionne les utilisateurs ou groupes qui sont autorisés ou refusés d'accéder à un objet sécurisé.

2. ACL système (SACL)

La liste de contrôle d'accès système (SACL) concerne davantage la surveillance de qui accède à un objet sécurisé que le contrôle d'accès. Les SACL enregistrent les tentatives d'accès à un objet sécurisé en fonction de règles définies. Ici, l'ACE spécifie les types de tentatives d'accès qui doivent être enregistrées dans le journal des événements de sécurité.

Par exemple, une ACE peut enregistrer toute tentative d'accès échouée à un fichier sécurisé, une autre ACE peut enregistrer toute tentative d'écriture ou de modification d'un objet, et les SACL peuvent identifier toute compromission de sécurité dans le système.

3. ACL obligatoire (MACL)

Contrairement aux autres types d'ACL qui permettent aux propriétaires d'un objet de définir l'ACL, la liste de contrôle d'accès obligatoire (MACL) est déterminée par le système ou l'autorité. Les utilisateurs n'ont pas la capacité de remplacer ou de modifier les entrées ACL. Les MACL aident à appliquer un contrôle strict sur l'octroi des permissions d'accès.

Contrôle d'accès basé sur les rôles (RBAC) vs. ACL

Une ACL et le contrôle d'accès basé sur les rôles (RBAC) semblent similaires, mais examinons quelques différences.

Avec le RBAC, différents emplois obtiennent différents ensembles de permissions aux ressources système afin que les utilisateurs n'aient que l'accès minimum nécessaire pour accomplir une tâche.

Par exemple, un administrateur système a un accès complet à toutes les applications et ressources qu'une entreprise utilise. Cependant, des groupes spécifiques comme l'équipe des ventes n'ont accès qu'au logiciel de vente. Alors que l'équipe marketing peut accéder et voir les tableaux de bord des équipes de vente, seuls les vendeurs peuvent apporter des modifications, ajouter ou supprimer le tableau de bord.

Le RBAC est le mécanisme préféré pour appliquer les politiques de gestion des accès à l'échelle de l'entreprise.

Une ACL, en revanche, offre un niveau de contrôle d'accès "fin" au niveau de l'utilisateur individuel. Elle est basée sur des critères définis dans les ACE. Comme elle fonctionne au niveau de l'utilisateur individuel, les ACL sont difficiles à mettre en œuvre dans les grands réseaux d'entreprise.

Avantages de l'ACL

Les entreprises utilisent l'ACL pour sécuriser les données et restreindre les utilisateurs non autorisés d'accéder à des informations sensibles pour l'entreprise. Cela prévient les violations de données et autres cyberattaques. Elle contrôle également le trafic réseau en limitant le nombre d'utilisateurs accédant aux fichiers, systèmes et informations. Voici les avantages d'utiliser une liste de contrôle d'accès pour votre réseau d'entreprise.

• Améliorer la sécurité du réseau et réduire le risque de falsification, d'attaque par déni de service distribué (DDoS), de violations de sécurité et d'autres cyberattaques.
• Obtenir un contrôle granulaire sur l'accès des utilisateurs et le trafic réseau à différents points. Pour donner une idée, vous pouvez mettre en œuvre une NACL près de la source ou de la destination du trafic, et aux points d'extrémité, comme les applications ou les serveurs.
• Limiter le trafic réseau pour améliorer les performances du réseau. Par exemple, vous pouvez restreindre le trafic vidéo vers le réseau en utilisant l'ACL et réduire la charge du réseau.
• Prioriser certaines classes de trafic en fonction de l'adresse, du type, du protocole et de l'objectif des données. Par exemple, vous pouvez prioriser la voix sur protocole Internet (VOIP) par rapport à d'autres types de trafic en utilisant l'ACL pour une communication plus rapide via Internet.

Meilleures pratiques pour la mise en œuvre d'une ACL

La mise en œuvre des ACL pour différents actifs informatiques dans un réseau d'entreprise n'est jamais la même. Configurer une ACL standard sur un routeur est distinct de la configuration d'une ACL pour le système de stockage en nuage. Et les réussir est important pour éviter les problèmes de temps d'arrêt et les erreurs réseau. Vous pouvez suivre certaines pratiques générales pour une mise en œuvre efficace des ACL.

Implémentez des ACL partout

Configurez des ACL sur toute interface réseau exposée au public et au sein de votre interface réseau interne également. Cela contrôle à la fois l'accès entrant et sortant et garantit qu'aucun appareil n'est exposé. Vous pouvez également créer un contrôle d'accès détaillé pour les ressources sensibles et minimiser l'impact des violations de sécurité et de données.

Alignez les ACL avec les politiques de sécurité

Définissez ce que vous voulez que vos ACL fassent. Considérez quels utilisateurs individuels et groupes doivent recevoir des permissions et quel est leur niveau d'accès. Basez cela sur les politiques de sécurité de l'organisation. Cela garantit que vos ACL ne sont pas en conflit avec vos directives de cybersécurité.

Vous pouvez également éviter tout problème potentiel d'accès. Rédigez des règles ACL détaillées. Ordonnez-les correctement, car les entrées ACL sont lues séquentiellement. Utilisez votre livre de règles pour prioriser certains accès.

Créez une bibliothèque d'ACL

Documentez toutes vos ACL. Vous pouvez utiliser l'option de commentaire dans les ACL et ajouter des descriptions de l'objectif des règles ACL, la date de création, l'auteur et d'autres détails pertinents. Documenter vous aide à suivre toutes vos règles de contrôle d'accès afin que vous puissiez mieux les gérer. Cela vous fournit également une bibliothèque d'ACL que vous pouvez éditer et réutiliser à tout moment.

Restreindre, protéger et sécuriser

Les ACL sont des outils redoutables en matière de sécurité des systèmes et des réseaux pour contrôler et gérer l'accès aux données sensibles. Elles agissent comme des gardiens, permettant aux entités autorisées tout en refusant l'entrée aux menaces potentielles. Renforcez vos périmètres numériques d'entreprise avec des ACL et sécurisez votre réseau.

En savoir plus sur le contrôle d'accès réseau et pourquoi votre entreprise en a besoin.