Zloupotreba privilegijaPrivilege Misuse
Zloupotreba privilegija nastaje kada neko koristi prava koja zaista ima, ali za radnje za koje nema poslovni razlog. Za razliku od eskalacije privilegija, ovde napadač ili insajder ne mora da pribavlja nova ovlašćenja. Problem je u tome što su postojeća ovlašćenja dovoljna za štetu.
Pojam
opis · primeri · napomeneZloupotreba privilegija nastaje kada neko koristi prava koja zaista ima, ali za radnje za koje nema poslovni razlog. Za razliku od eskalacije privilegija, ovde napadač ili insajder ne mora da pribavlja nova ovlašćenja. Problem je u tome što su postojeća ovlašćenja dovoljna za štetu.
Opis
Administrator može da čita podatke koje ne bi smeo da čita, finansijski korisnik može da pokrene radnju u svoju korist, a tehničko osoblje može da pristupa privatnoj pošti, evidenciji ili sistemima van opsega posla. Sistem često vidi validan nalog i dozvoljenu radnju, ali ne vidi nameru.
Zato se ova pretnja ne rešava samo pitanjem ko ima pristup. Mora se znati zašto pristupa, kada, u kom obimu i da li se ponašanje uklapa u posao. Privilegija bez nadzora nije privilegija, nego otvoren kredit poverenja.
Primeri
- Administrator baze pristupa podacima o platama zaposlenih bez poslovnog razloga.
- IT osoblje čita elektronsku poštu drugih zaposlenih.
- Korisnik sa pravima u sektoru finansija kreira ili menja transakcije u svoju korist.
Napomene
- Validan nalog ne znači validan razlog.
- Razdvajanje dužnosti, revizija prava i dobra evidencija postoje da bi se sprečila mogućnost zloupotrebe ovlašćenja.
Tehnike
izvodi se sa 3Tehnike kojima se izvodi. Klik vodi na stranicu pojma.