Global Verification and Analysis of Network Access Control Configuration

Network devices such as routers, firewalls, IPSec gateways, and NAT are configured using access control lists. However, recent studies and ISP surveys show that the management of access control configurations is a highly complex and error prone task. Without automated global configuration management tools, unreachablility and insecurity problems due to the misconfiguration of network devices become an ever more likely. In this report, we present a novel approach that models the global end-to-end behavior of access control devices in the network including routers, firewalls, NAT, IPSec gateways for unicast and multicast packets. Our model represents the network as a state machine where the packet header and location determine the state. The transitions in this model are determined by packet header information, packet location, and policy semantics for the devices being modeled. We encode the semantics of access control policies with Boolean functions using binary decision diagrams (BDDs). We extended computation tree logic (CTL) to provide more useful operators and then we use CTL and symbolic model checking to investigate all future and past states of this packet in the network and verify network reachability and security requirements. The model is implemented in a tool called ConfigChecker. We gave special consideration to ensure an efficient and scalable implementation. Our extensive evaluation study with various network and policy sizes shows that ConfigChecker has acceptable computation and space requirements with large number of nodes and configuration rules

Access Control from an Intrusion Detection Perspective

Access control and intrusion detection are essential components for securing an organization's information assets. In practice, these components are used in isolation, while their fusion would contribute to increase the range and accuracy of both. One approach to accomplish this fusion is the combination of their security policies. This report pursues this approach by defining a comparison framework for policy specification languages and using this to survey the languages Ponder, LGI, SPL and PDL from the perspective of intrusion detection. We identified that, even if an access control language has the necessary ingredients for merging policies, it might not be appropriate due to mismatches in overlapping concepts

Оцінка механізмів мережевої безпеки на основі політики RBAC

Об’єкт дослідження: процес управління доступом до ресурсів інформаційної системи. Мета роботи:оцінка механізмів мережевої безпеки та впровадження моделі RBAC для вирішення питання розподілу рольового доступу при великій кількості користувачів. Методи дослідження: методи індукції, аналізу і синтезу (при розкритті теоретичних положень); метод обробки інформації (при розрахунках параметрів). У спеціальній частині дана характеристика моделі RBAC, поняття про мережеву безпеку та описуються проблеми які виникають при контролі доступу серед користувачів. В економічному розділі визначені витрати на дослідження та розробку моделі GB-RBACта у порівнянні доведено доцільність цих витрат зі зменшенням збитку. Практичне значення роботи полягає у застосуванні моделі GB-RBAC та її переваги перед іншими. Проведено аналіз доцільності моделі для вирішення поставлених задач. Наукова новизна дослідження полягає у покращенні захисту мережевої безпеки та зменшення навантаження на мережу та на системного адміністратора, тому підвищується якість та цілісність мережі