Access control policy editor and analyzer for policies on a business level

Abstract

Access control is extensively used as security technology to prevent unauthorized access to protected information and system resources in accordance with a policy. However, the formulation of such policies is a complicated task and requires a lot of technical knowledge. This task can therefore only be performed by security experts but not by the persons that are familiar with the business domain for which the access shall be controlled.<br />This thesis introduces therefore a policy language that expresses the access control behavior on a higher abstraction level --- on the business level. The level elevation is achieved by formulating the policies around the data itself and its meaning to the business. The business meaning is introduced by formalizing business concepts and classifying the data according to these concepts.<br />On top of this new policy language, this thesis proposes a number of analysis algorithms that may be performed by the policy authors in order to answer common questions that arise during the authoring process and to simulate an evaluation of the policies. Moreover, since the authoring of access control policies is not a task that is performed by a single person, a policy delegation mechanism is proposed that allows multiple authors to formulate their policies collaboratively. In order to enable an enforcement of the policies in an existing IT infrastructure without making any changes to the infrastructure, it is shown how the policies on the business level are translated into the standardized policy language XACML.<br />Finally a prototype of a user friendly policy editor and analyzer is created that puts all the pieces together in one tool. This tool enables non-technical policy authors to formulate policies on the business level collaboratively and to perform the introduced analysis algorithms on the policies. To facilitate the formulation of the policies for the non-technical authors, significant emphasis was put on the usability aspect of the prototype.<br />

Zugriffskontrolle auf Basis von bestimmten Regelwerken, sogenannten Policies, ist eine weit verbreitete Technik um unautorisierten Zugriff auf geschützte Informationen und Systemressourcen zu verhindern. Die Formulierung von solchen Policies ist eine schwierige Aufgabe, welche ein hohes Maß an technischem Wissen erfordert. Diese Aufgabe kann demnach nur von Sicherheitsexperten durchgeführt werden, aber nicht von den eigentlichen Verantwortlichen, die mit dem jeweiligen Geschäftsbereich vertraut sind, in dem der Zugriff kontrolliert wird.<br />Diese Arbeit stellt daher eine neue Sprache zur Formulierung von Policies vor, welche das Zugriffsverhalten auf höherer Abstraktionsebene, auf der Geschäftsebene, ausdrückt. Die Abstrahierung wird dadurch erreicht, dass die Policies nun mit Hilfe von Begriffen formuliert werden, die in dem jeweiligen Geschäftsbereich geläufig sind.<br />Auf Basis dieser neuen Sprache wird eine Reihe von Analysealgorithmen eingeführt, die den Autoren von Policies dabei helfen, Fragen zu beantworten, die beim Verfassen der Policies häufig auftreten, und die ihn den Entscheidungsfindungsprozesses für einen Zugriff auf Informationen simulieren lassen. Da das Verfassen von Policies eine Aufgabe ist, die meist von mehreren Personen in Zusammenarbeit durchgeführt wird, beschreiben wir einen Mechanismus zur Delegierung der Zugriffskontrolle. Damit die Policies auf der Geschäftsebene auch in bereits bestehenden IT Infrastrukturen eingesetzt werden können ohne Änderungen an dieser Infrastruktur vornehmen zu müssen, wird gezeigt, wie eine Übersetzung der Policies in die standardisierte Sprache namens XACML ausgeführt werden kann.<br />Schließlich wird ein Prototyp eines Policyeditors gezeigt, welcher alle zuvor erwähnten Konzepte und Funktionen in sich vereint. Dieses Werkzeug ermöglicht es auch Personen, die nicht über technisches Wissen verfügen, Policies auf der Geschäftsebene zu Verfassen und die erwähnten Analysefunktionen zur Beantwortung auftretender Fragen durchzuführen. Um für die technisch nicht versierten Autoren den Erstellungsprozess der Policies so einfach wie möglich zu gestalten, wurde bei dem erstellten Editor besonders Wert auf die Benutzerfreundlichkeit gelegt.