Guide to Attribute Based Access Control (ABAC) Definition and Considerations

Hu, Vincent C.; Ferraiolo, David F.; Kühn, Richard; Schnitzer, Adam; Sandlin, Kenneth; Miller, Robert R.; Scarfone, Karen

doi:10.6028/nist.sp.800-162

Cited by 568 publications

(453 citation statements)

References 9 publications

Supporting

Mentioning

420

Contrasting

Unclassified

Order By: Relevance

“…Sandhu argues that attribute-based access control can offer numerous benefits, but also provides risks and challenges such as the increased complexity of attribute management. Similarly, NIST recently published a guide to ABAC [10] containing open challenges and a vision on the multiple roles involved in employing ABAC in an enterprise. This work fits into both visions with a specific focus on efficient policy management and specification.…”

Section: Related Work and Discussionmentioning

confidence: 99%

Improving Reuse of Attribute-Based Access Control Policies Using Policy Templates

Decat

Moeys

Lagaisse

et al. 2015

Lecture Notes in Computer Science

View full text Add to dashboard Cite

Abstract. Access control is key to limiting the actions of users in an application and attribute-based policy languages such as XACML allow to express a wide range of access rules. As these policy languages become more widely used, policies grow both in size and complexity. Modularity and reuse are key to specifying and managing such policies effectively. Ideally, complex or domain-specific policy patterns are defined once and afterwards instantiated by security experts in their application-specific policies. However, current policy languages such as XACML provide only limited features for modularity and reuse. To address this issue, we introduce policy templates as part of a novel attribute-based policy language called STAPL. Policy templates are policies containing unbound variables that can be specified when instantiating the template in another policy later on. STAPL supports four types of policy templates with increasing complexity and expressiveness. This paper illustrates how these policy templates can be used to define reusable policy patterns and validates that policy templates are an effective means to simplify the specification of large and complex attribute-based policies.

show abstract

Section: Related Work and Discussionmentioning

confidence: 99%

Improving Reuse of Attribute-Based Access Control Policies Using Policy Templates

Decat

Moeys

Lagaisse

et al. 2015

Lecture Notes in Computer Science

View full text Add to dashboard Cite

show abstract

“…); 2) политика и механизм управления доступом не должны быть привязаны к пред-метной области конкретной защищаемой КС (например, к веб-приложению, СУБД, ОС); 3) реализация механизма управления доступом не должна быть жёстко привязана к среде выполнения и языку программирования. Принципы атрибутного управления доступом [3] наиболее близко соответствуют данным требованиям. Во-первых, атрибутное управление доступом отличается от дру-гих видов управления доступом тем, что не предоставляет какую-то предопределён-ную политику, как это принято, например, в ролевом или мандатном управлении до-ступом.…”

unclassified

Towards ABAC Engine framework

Kolegov¹,

Broslavsky²,

Oleksov³

2017

Applied Discrete Mathematics. Supplement

View full text Add to dashboard Cite

Работа посвящена программной реализации атрибутного управления доступом (ABAC) в различных компьютерных системах (КС). Предлагается следующее расширение метода управления доступом из XACML: 1) для описания и задания политики атрибутного управления доступом используется созданный специали-зированный язык (Domain Specific Language (DSL)) ALFAScript, основанный на языке ALFA; 2) политика на языке ALFAScript компилируется в код на языке программирования Lua; 3) при поступлении запроса субъекта на доступ к сущно-сти строится соответствующий контекст (в терминах XACML), для которого про-исходит запуск кода на Lua в среде выполнения (runtime) механизма управления доступом КС; 4) результатом выполнения Lua-кода является решение о возможно-сти предоставления субъекту доступа к сущности. Модель взаимодействия, набор программных компонент, структур данных и инструментов, позволяющих раз-работчику самостоятельно реализовать ABAC с использованием данного метода независимо от целевой КС, предметной области, элементов управления доступом, их состава и структуры и составляют фрэймворк ABAC Engine. Новизна пред-лагаемого подхода заключается в использовании языка Lua для интерпретации политики управления доступом в среде этой КС. Использование предложенного метода упрощает и ускоряет реализацию атрибутного управления доступом.Ключевые слова: управление доступом, ABAC, XACML, ALFA, Lua.Управление доступом является одним из основных механизмов безопасности ком-пьютерных систем. Механизмы управления доступом реализуются не только в опера-ционных системах (ОС) и системах управления базами данных (СУБД), но и в веб-приложениях, межсетевых экранах прикладного уровня, ERP-системах, прикладном программном обеспечении и т. п. При этом на практике часто возникает ситуация, когда разработчик, реализовав корректный механизм управления доступом на одном языке программирования, вынужден разрабатывать тот же самый механизм на другом языке программирования. Данная задача возникает, например, в случае прототипиро-вания программного продукта на языке Python с последующим его переписыванием на языке C++ или в случае, когда механизм управления доступом был реализован для защиты СУБД, а затем его необходимо адаптировать для защиты веб-приложе-ний [1,2].С точки зрения программной разработки хотелось бы иметь средство, удовлетво-ряющее следующим требованиям: 1) политика безопасности управления доступом в КС должна описываться на DSL-языке, позволяющем использовать типовые элементы управления доступом (на-пример, роли, привилегии, права и т. д.); 2) политика и механизм управления доступом не должны быть привязаны к пред-метной области конкретной защищаемой КС (например, к веб-приложению, СУБД, ОС); 3) реализация механизма управления доступом не должна быть жёстко привязана к среде выполнения и языку программирования. Принципы атрибутного управления доступом [3] наиболее близко соответствуют данным требованиям. Во-первых, атрибутное управление доступом отличается от дру-

show abstract

“…Для каждого управления доступом в отдельности имеются или создаются детально проработанные стандарты [1,2], но они ориентированы на реализацию в конечных системах, а не в защитных экранах приложений, а потому не могут быть использованы без существенной адаптации как к условиям функционирования защитных экранов в режиме прокси-сервера, так и к самим защищаемым системам управления базами данных (СУБД).…”

unclassified

“…Реализуемый механизм cостоит из следующих структурных элементов в термино-логии NIST ABAC [1]. Policy Enforcement Point (PEP ) отвечает за получение и пар-синг SQL-запросов от клиента к серверу СУБД и формирование запросов средствами протокола HTTP к PDP.…”

unclassified

Lightweight implementation of abac mechanism on database firewall

Kolegov¹,

Tkachenko²

2016

Applied Discrete Mathematics. Supplement

View full text Add to dashboard Cite

Guide to Attribute Based Access Control (ABAC) Definition and Considerations

Cited by 568 publications

References 9 publications

Improving Reuse of Attribute-Based Access Control Policies Using Policy Templates

Improving Reuse of Attribute-Based Access Control Policies Using Policy Templates

Towards ABAC Engine framework

Lightweight implementation of abac mechanism on database firewall

Contact Info

Product

Resources

About