O que é uma Lista de Controle de Acesso (ACL)? Tipos e Exemplos

Onde não há regras, há caos.

Isso não se aplica apenas à vida, mas também à segurança de sistemas e redes. Estabelecer e aplicar regras adequadas é necessário para manter um ambiente digital seguro e ordenado. Uma dessas medidas de segurança é uma lista de controle de acesso (ACL).

Imagine que você tem um Google Doc com informações comerciais sensíveis. Você o compartilha apenas com um conjunto restrito de pessoas, certo? A segurança ACL alcança o mesmo nível nos sistemas e redes.

Ferramentas como software de controle de acesso à rede com ACLs integradas ajudam as empresas a implementar esses tipos de sistemas.

Ao configurar listas de controle de acesso de forma eficaz, as organizações aplicam políticas de segurança, protegem dados sensíveis, evitam acessos não autorizados e gerenciam o tráfego de rede de forma eficiente.

Para que servem as ACLs?

As ACLs começaram como um mecanismo de controle de acesso para arquivos e recursos em sistemas operacionais. Com o tempo, seu uso se expandiu.

Aplicações modernas de computador, desde bancos de dados relacionais até planejamento de recursos empresariais (ERP) e sistemas de gerenciamento de conteúdo (CMS), têm ACLs em seus módulos de administração de sistema. Serviços de computação em nuvem, como soluções de armazenamento em nuvem, também usam ACLs para controle de acesso granular. A Amazon Web Services (AWS), por exemplo, fornece ACLs para gerenciar o acesso a buckets e objetos em sua solução de armazenamento.

Na segurança de rede, as ACLs podem ser implementadas em qualquer ponto da rede. Elas são mais comumente colocadas em roteadores de borda em uma zona desmilitarizada (também conhecida como rede DMZ) que separa a internet pública e a rede interna.

A maioria dos sites de redes sociais, como o Facebook, também usa ACL como seu principal modelo de controle de acesso. Os usuários podem especificar quem pode acessar seus perfis, listas de amigos ou calendários.

Como funciona a ACL?

As ACLs são usadas para controlar o acesso de um sujeito a objetos. Aqui, o sujeito pode ser qualquer entidade autenticada por um sistema ou rede de computador: usuários, programas ou processos em um sistema. O objeto acessado é qualquer entidade segura no sistema ou rede, como arquivos, programas, dados, computadores, impressoras, dispositivos, redes ou contêineres.

A ACL permite que os administradores do sistema determinem quem pode acessar um objeto específico e quais ações podem realizar com o recurso.

Para esse fim, cada ACL tem uma lista de entradas chamadas entradas de controle de acesso (ACE). A ACE lista o nome ou ID da ACL dos usuários ou grupos que têm acesso a um objeto específico. Também define os direitos de acesso permitidos para esses usuários. Toda vez que um usuário ou grupo tenta acessar o objeto, seus direitos são verificados em relação à lista de ACEs.

Se as condições da ACE forem atendidas, o acesso é concedido. Caso contrário, o acesso é negado.

Para entender melhor isso, vamos examinar o funcionamento de dois tipos principais de ACLs: ACL de sistema de arquivos e ACL de rede.

Como funcionam a ACL de sistema de arquivos e a ACL de rede

Vamos primeiro examinar a ACL de sistema de arquivos. A ACL de sistema de arquivos define quais usuários têm permissão para acessar um arquivo ou diretório específico. Imagine que há alguns arquivos e pastas no departamento de vendas. Todos na equipe de vendas precisam de acesso para ver e modificar esses arquivos. As pessoas do departamento de contabilidade, no entanto, só precisam visualizar os arquivos.

Agora, o proprietário do arquivo ou o administrador do sistema pode configurar uma ACL que dá ao departamento de vendas permissão para ler, escrever e executar, enquanto o departamento de contabilidade recebe apenas permissão para ler o arquivo.

Se Andrea, do departamento de contabilidade, tentar modificar ou excluir qualquer arquivo, seus direitos de acesso serão verificados na lista de ACEs. Como não corresponderá a nenhuma ACE, ela não terá acesso para realizar a tarefa.

De forma semelhante, a ACL de rede tem uma lista de ACEs em particular para filtrar e priorizar o tráfego. As ACEs contêm critérios contra os quais um pacote de protocolo de internet (IP) é avaliado. As condições podem ser os endereços de origem e destino do tráfego, protocolo e portas. A ACE também contém um elemento de ação, ou seja, permitir ou negar um pacote IP.

Um pacote IP que entra na rede é verificado em relação às ACEs. Se corresponder aos critérios, o pacote é permitido. Caso contrário, é bloqueado. Isso também é chamado de filtragem de pacotes, que é comumente usada em software de firewall.

Tipos de ACLs

Dois tipos principais de ACLs são usados, dependendo do recurso ao qual controlam o acesso: ACL de sistema de arquivos e ACL de rede. Vamos examinar essas importantes categorias de ACL em detalhes.

1. ACL de sistema de arquivos

A ACL de sistema de arquivos foi a primeira ACL no mundo da segurança de computadores, implementada em um SO chamado Multics em 1965.

Com a ACL de sistema de arquivos, você pode definir mais permissões do que as usuais permissões de leitura, escrita e execução, ao contrário das permissões de arquivo no estilo Unix tradicional. Além disso, a ACL de sistema de arquivos permite definir a permissão para o proprietário do arquivo, outros usuários específicos e grupos.

Muitos SOs como Windows, MacOS, Linux e Solaris têm ACLs de sistema de arquivos embutidas.

2. ACL de rede

A ACL de rede, por outro lado, filtra o tráfego para sua rede para bloquear o acesso não autorizado. É implementada na interface do dispositivo de rede, como roteadores. A ACL determina qual tráfego é bloqueado e qual tráfego é encaminhado para a rede.

Componentes da ACL

Seja baseada em sistema de arquivos ou em rede, as ACLs têm componentes distintos que mencionam as regras de acesso.

Componentes da ACL de sistema de arquivos

Uma entrada de ACL de sistema de arquivos inclui o seguinte:

• Arquivo/Objeto para o qual as permissões de acesso são definidas.
• Proprietário do arquivo ou objeto para o qual a ACL é definida.
• ID de usuário ou ID de grupo, junto com as permissões permitidas. Na Microsoft, um identificador de segurança é usado para denotar o ID de usuário ou ID de grupo.

Algumas ACLs de sistema de arquivos podem conter máscaras de acesso que listam o nível máximo de acesso ou permissão que usuários além dos proprietários podem ter.

Componentes da ACL de rede

Uma entrada de ACL de rede geralmente é composta por:

• Um nome de lista de acesso para identificar a ACL.
• Um número de sequência para cada linha da lista de acesso, ou seja, a ACE.
• Um elemento de ação de permitir ou negar.
• Um endereço de origem/destino do tráfego que deve ser permitido ou negado.
• O tipo de protocolo de rede, ou números de porta no caso de uma ACL estendida.

Algumas ACLs de rede também permitem opções para comentar sobre as entradas da ACL e registrar tentativas de acesso.

Outros tipos de ACL em redes

Além das duas principais categorias de ACLs mencionadas acima, as redes usam outras ACLs com base em fatores como mecanismos de controle de acesso e os propósitos que as ACLs servem.

Com base em mecanismos de controle de acesso

Quatro variantes distintas de ACLs de rede surgem de diferentes formas de controle de acesso: padrão, estendida, dinâmica e reflexiva.

1. ACL padrão

Uma lista de controle de acesso padrão é a categoria mais comum de ACL de rede. Ela filtra o tráfego com base no endereço IP de origem de um pacote. Geralmente é configurada em roteadores. A ACL padrão não diferencia entre diferentes protocolos IP, como protocolo de controle de transmissão (TCP), protocolo de datagrama de usuário (UDP) ou protocolo de transferência de hipertexto seguro (HTTPS).

2. ACL estendida

A lista de controle de acesso estendida pode filtrar pacotes de rede com base em endereços de origem e destino, números de porta, protocolos e intervalos de tempo. É mais flexível, personalizável e detalhada do que uma ACL padrão.

3. ACL dinâmica

A lista de controle de acesso dinâmica também é chamada de ACL de bloqueio e chave. É baseada na ACL estendida, mas requer condições adicionais a serem atendidas, como conexão remota ao host ou computador local via Telnet e autenticação antes que o acesso à rede seja permitido. A ACL dinâmica permite a conexão por um período de tempo específico e fornece um recurso de tempo limite para interromper uma conexão de rede.

Esse tipo de ACL é adequado para fornecer acesso limitado a recursos internos a usuários externos por um período de tempo temporário.

4. ACL reflexiva

Uma lista de acesso reflexiva é uma melhoria em relação à ACL estendida. Ela abre automaticamente o roteador para os pacotes de resposta em resposta ao tráfego de saída iniciado de sua rede.

Com base na sintaxe

Ao criar as diferentes ACLs mencionadas aqui, você pode usar nomes ou números para identificar e se referir à lista de acesso. Com base na sintaxe usada, existem dois tipos de ACL: numerada e nomeada.

1. ACL numerada

Como o nome sugere, uma ACL numerada usa uma faixa de números que mostra ao tráfego o que é permitido ou negado em uma rede. Por exemplo, na ACL padrão, os usuários empregam as faixas de 1-99 e 1300-1999 para denotar os endereços IP de origem que desejam negar ou permitir. Da mesma forma, para ACLs estendidas, as faixas de endereços IP de 100-199 e 2000 a 2699 são usadas.

2. ACL nomeada

Em uma ACL nomeada, os usuários atribuem um nome alfanumérico para identificar a lista. Isso é mais conveniente do que ACLs numeradas porque os usuários podem especificar um nome significativo que é mais fácil de lembrar. As ACLs nomeadas também oferecem vantagens adicionais, como adicionar ou excluir entradas facilmente sem precisar excluir toda a ACL, um recurso que está ausente nas listas de acesso numeradas.

Com base no propósito

Existem três categorias diferentes de ACLs, cada uma servindo a um propósito único, como regular o acesso, auditar e aplicar controles rigorosos.

1. ACL discricionária (DACL)

Uma lista de controle de acesso discricionária (DACL) é um controle de acesso orientado ao usuário. Aqui, uma ACE menciona usuários ou grupos que têm permissão ou são negados o acesso a um objeto seguro.

2. ACL do sistema (SACL)

A lista de controle de acesso do sistema (SACL) é mais sobre monitorar quem está acessando um objeto seguro do que controlar o acesso. As SACLs registram as tentativas de acessar um objeto seguro com base em regras definidas. Aqui, a ACE especifica os tipos de tentativas de acesso que devem ser registradas no log de eventos de segurança.

Por exemplo, uma ACE pode registrar qualquer tentativa de acesso falhada a um arquivo seguro, outra ACE pode registrar qualquer tentativa de escrever ou modificar um objeto, e as SACLs podem identificar qualquer comprometimento de segurança no sistema.

3. ACL obrigatória (MACL)

Ao contrário de outros tipos de ACL que permitem que os proprietários de um objeto definam a ACL, a lista de controle de acesso obrigatória (MACL) é determinada pelo sistema ou autoridade. Os usuários não têm a capacidade de substituir ou modificar as entradas da ACL. As MACLs ajudam a aplicar um controle rigoroso sobre a concessão de permissões de acesso.

Controle de acesso baseado em função (RBAC) vs. ACL

Uma ACL e o controle de acesso baseado em função (RBAC) soam semelhantes, mas vamos examinar algumas diferenças.

Com o RBAC, diferentes trabalhos recebem diferentes conjuntos de permissões para recursos do sistema, de modo que os usuários tenham apenas o acesso mínimo necessário para concluir uma tarefa.

Por exemplo, um administrador de sistema tem acesso total a todas as aplicações e recursos que uma empresa está usando. No entanto, grupos específicos, como a equipe de vendas, têm acesso apenas ao software de vendas. Enquanto a equipe de marketing pode acessar e visualizar os painéis da equipe de vendas, apenas os vendedores podem fazer alterações, adicionar ou excluir o painel.

O RBAC é o mecanismo preferido para aplicar políticas de gerenciamento de acesso em toda a empresa.

Uma ACL, por outro lado, oferece um nível de controle de acesso "granular" no nível do usuário individual. É baseada em critérios definidos nas ACEs. Como funciona no nível do usuário individual, as ACLs são difíceis de implementar em grandes redes empresariais.

Benefícios da ACL

As empresas usam ACL para proteger dados e restringir usuários não autorizados de acessar informações sensíveis aos negócios. Isso previne violações de dados e outros ataques cibernéticos. Também controla o tráfego de rede, limitando o número de usuários que acessam arquivos, sistemas e informações. Aqui estão as vantagens de usar uma lista de controle de acesso para sua rede empresarial.

• Melhorar a segurança da rede e reduzir a chance de falsificação, ataques de negação de serviço distribuído (DDoS), violações de segurança e outros ataques cibernéticos.
• Obter controle granular sobre o acesso do usuário e o tráfego de rede em diferentes pontos. Para dar uma ideia, você pode implementar NACL perto da origem ou destino do tráfego e em pontos finais, como aplicativos ou servidores.
• Limitar o tráfego de rede para melhorar o desempenho da rede. Por exemplo, você pode restringir o tráfego de vídeo na rede usando ACL e reduzir a carga da rede.
• Priorizar certas classes de tráfego com base no endereço, tipo, protocolo e propósito dos dados. Por exemplo, você pode priorizar voz sobre protocolo de internet (VOIP) sobre outros tipos de tráfego para uma comunicação mais rápida via internet.

Melhores práticas para implementar uma ACL

Implementar ACLs para diferentes ativos de TI em uma rede empresarial nunca é o mesmo. Configurar uma ACL padrão em um roteador é distinto de configurar uma ACL para o sistema de armazenamento em nuvem. E acertá-las é importante para evitar problemas de tempo de inatividade e erros de rede. Você pode seguir certas práticas gerais recomendadas para uma implementação eficaz de ACL.

Implemente ACLs em todos os lugares

Configure ACLs em qualquer interface de rede voltada para o público e também dentro de sua interface de rede interna. Isso controla tanto o acesso de entrada quanto de saída e garante que nenhum dispositivo esteja exposto. Você também pode criar controles de acesso detalhados para recursos sensíveis e minimizar o impacto de violações de segurança e dados.

Alinhe as ACLs com as políticas de segurança

Defina o que você deseja que suas ACLs façam. Considere quais usuários individuais e grupos precisam receber permissão e qual é o nível de acesso deles. Baseie isso nas políticas de segurança da organização. Isso garante que suas ACLs não entrem em conflito com suas diretrizes de cibersegurança.

Você também pode evitar quaisquer problemas potenciais de acesso. Escreva regras detalhadas de ACL. Ordene-as adequadamente, pois as entradas da ACL são lidas sequencialmente. Use seu livro de regras para priorizar certos acessos.

Crie uma biblioteca de ACL

Documente todas as suas ACL. Você pode usar a opção de comentário nas ACLs e adicionar descrições do propósito das regras da ACL, data de criação, autor e outros detalhes relevantes. Documentar ajuda você a acompanhar todas as suas regras de controle de acesso para que possa gerenciá-las melhor. Também fornece uma biblioteca de ACLs que você pode editar e reutilizar a qualquer momento.

Restrinja, proteja e assegure

As ACLs são ferramentas formidáveis na segurança de sistemas e redes para controlar e gerenciar o acesso a dados sensíveis. Elas atuam como guardiões, permitindo a entrada de entidades autorizadas enquanto negam a entrada a ameaças potenciais. Fortaleça seus perímetros digitais empresariais com ACLs e proteja sua rede.

Saiba mais sobre controle de acesso à rede e por que sua empresa precisa disso.