Versione breve:
- Vuoi Controllo di accesso obbligatorio
- Le best practice per l'industria del mondo reale utilizzate da MAC sono rare
- L'uso dei bastioni è l'alternativa più comune ampiamente accessibile
Versione lunga:
La possibilità di applicare controlli a grana fine non solo agli utenti, ma i processi in grado di accedere ai dati si trovano generalmente solo nei sistemi di controllo degli accessi obbligatori. Tali sistemi sono storicamente utilizzati, ad esempio, per garantire che i dati con livelli di classificazione governativi / militari diversi non siano trapelati in modo inappropriato oltre i limiti di classificazione.
Questi sistemi sono generalmente visti solo negli appalti governativi, militari e della difesa dove la classificazione è presa molto seriamente. Le aziende "regolari" non supportano questo livello di burocrazia.
Sono disponibili varie implementazioni di MAC. Cisco Security Agent ti permetteva di fare esattamente questo; dì che \DOMAINFILES\SECRET STUFF\SUPER SECRETS.xlsx è accessibile solo a C:\Program Files\Microsoft Office\excel.exe e non a C:\Program Files\Microsoft Office\outlook.exe . Sfortunatamente, Cisco ha ucciso CSA: *
Una soluzione che vedrai è l'uso di host di bastion o di bastioni. Ad esempio, un'azienda potrebbe bloccare l'accesso alla propria banca da postazioni di lavoro regolari, ma consentirne l'accesso da un host bastion (RDP o Citrix) a cui i dipendenti devono accedere per eseguire transazioni sensibili (ad esempio, decine di migliaia di dollari). Il browser sul bastione viene utilizzato solo per questo scopo ed è quindi meno probabile che venga infettato da malware che catturerà e inoltrerà le credenziali della banca. Il browser desktop dell'utente può ancora essere utilizzato per navigare in Internet, con tutti i pericoli inerenti, senza timore di esporre le transazioni di valore superiore a malcode.
Potrebbe interessarti che i sistemi non tradizionali stiano giocando con altri concetti di accesso. In Android, ad esempio, ciascuna applicazione viene installata ed eseguita come un diverso ID utente e l'accesso attraverso gli ID applicazione non è concesso per impostazione predefinita.