Управление доступом

KOMRAD Enterprise SIEM реализует атрибутную модель управления доступом (ABAC -- Attribute-Based Access Control). Модель позволяет гибко настраивать права на основе атрибутов субъекта, объекта, действия и окружения.

Принципы разграничения прав

1. Принцип наименьших привилегий -- каждая роль получает доступ только к тем объектам и действиям, которые необходимы для выполнения её функций.
2. Разделение обязанностей -- критичные операции (удаление активов, изменение глобальных политик) доступны только ограниченному кругу лиц.
3. Аудит действий -- все изменения фиксируются в журналах, что позволяет отслеживать действия каждой роли.
4. Контекстный доступ -- аналитики видят активы и инциденты только в рамках своей зоны ответственности.
5. Регламентное удаление -- удаление данных допускается только в соответствии с утверждённой политикой хранения.

Типы атрибутов

Модель ABAC оперирует четырьмя типами атрибутов:

• Объект -- ресурс, к которому осуществляется доступ.
• Субъект -- пользователь или сервис, запрашивающий доступ.
• Действие -- операция, выполняемая над объектом.
• Окружение -- контекстные условия запроса (время, IP-адрес и другие).

Атрибуты объекта

Атрибут объекта определяет, к какому ресурсу применяется правило доступа. Доступны следующие параметры:

• Тип -- категория объекта: Активы, Виджеты, Директивы, Динамические списки, Инциденты, Коллекторы, Комментарии, Матрицы атак, Пакеты экспертиз, Плагины коллекторов, Пользователи, Поля событий, Политики доступа, Правила доступа, Правила уведомлений, Роли, Секреты, Сертификаты, События, Справочник функций машинного обучения, Тенант, Токены доступа, Транспорт уведомлений, Фильтры и другие.
• Идентификатор -- уникальный идентификатор объекта.
• Статус инцидента -- применимо к инцидентам: новый, расследуется, закрыт, ложное срабатывание.
• Критичность -- уровень важности объекта: несущественная, низкая, средняя, высокая.
• Создатель -- пользователь или правило, создавшее объект.
• Метка безопасности -- классификация объекта по уровню конфиденциальности.

Атрибуты субъекта

• Логин -- имя учётной записи пользователя.
• Роли -- одна или несколько ролей, назначенных пользователю.

При вводе значений в конструкторе правил отображаются подсказки со списком существующих ролей и пользователей. Список сокращается при частичном вводе.

Атрибуты действия

Действие определяет операцию, которую субъект выполняет над объектом. Система поддерживает более 200 действий, организованных по категориям:

Категория	Примеры действий
Пакеты экспертиз	Активировать, импортировать, экспортировать, создать, редактировать, удалить, проверить на конфликты
Инциденты	Создать, редактировать, удалить, экспортировать, добавить события, отправить в ГосСОПКА
Активы	Создать, редактировать, удалить, импортировать из CSV, добавить теги
Коллекторы	Включить/выключить, перезапустить, проверить, установить на удалённом хосте
Директивы	Создать, редактировать, удалить, включить/выключить
Политики и правила доступа	Создать, редактировать, удалить, проверить
Пользователи и роли	Создать, редактировать, удалить, изменить пароль
Токены доступа	Создать, редактировать, удалить, отозвать, провести ротацию
Динамические списки	Создать, редактировать, удалить, добавить/удалить записи
Сертификаты	Создать, удалить, сгенерировать на основе корневого
Виджеты и панели	Создать, редактировать, удалить
Фильтры	Создать, редактировать, удалить, проверить существование
Поиск и события	Получить событие, список событий, количество событий, поля событий
Задачи сканирования	Создать, запустить, приостановить, отменить, удалить
ГосСОПКА	Отправить инцидент, получить/редактировать конфигурацию
Уведомления	Создать/редактировать/удалить правило уведомления

Атрибуты окружения

Атрибуты окружения позволяют ограничивать доступ по контексту подключения:

Атрибут	Формат	Доступные операции
Текущее время сервера	ISO 8601	До, После
День недели	1--7 (Пн--Вс)	Равно, Не равно, Один из, Не один из, Пусто, Не пусто
Час суток	0--23	Равно, Не равно, Один из, Не один из, Больше, Больше или равно, Меньше, Меньше или равно, Пусто, Не пусто
IP-адрес клиента	IPv4/IPv6	Равно, Не равно, Входит в подсеть, Не входит в подсеть, Пусто, Не пусто

Роли

Основные роли SOC

KOMRAD включает набор предустановленных ролей, соответствующих типовой структуре SOC (Security Operations Center):

• Администратор (Administrator) -- полный доступ к работе с системой и всем данным.
• Разработчик контента (Content Developer) -- создание и оптимизация правил корреляции, сценариев угроз, панелей виджетов, нормализация данных.
• Аналитик первого уровня (Tier 1 / L1 Analyst) -- первичный анализ событий, фильтрация ложных срабатываний, классификация инцидентов.
• Аналитик второго уровня (Tier 2 / L2 Analyst) -- углублённый анализ событий, расследование инцидентов, формирование рекомендаций.
• Аналитик третьего уровня (Tier 3 / L3 Analyst) -- расследование сложных инцидентов, выявление скрытых угроз, оценка рисков.
• Инженер по интеграции (Integration Engineer) -- подключение и настройка источников данных, управление коллекторами и конвейерами данных.
• Наблюдатель (Viewer) -- мониторинг событий и инцидентов через панели виджетов, доступ только на чтение.
• Специалист технической поддержки (Technical Support Specialist) -- наблюдение за состоянием системы, диагностика и устранение неполадок, управление резервными копиями.
• Аудитор (Auditor) -- проверка соответствия стандартам, анализ журналов аудита и политик доступа.

к сведению

Если пользователю назначено несколько ролей, привилегии складываются (суммируются).

Распределение прав по ролям

Роль	Действие/Модуль	Чтение	Редактирование	Создание	Удаление
Администратор	Все модули системы	+	+	+	+
Разработчик контента	Правила корреляции, сценарии обнаружения, нормализационные правила	+	+	+	+
	Панели виджетов и отчёты (шаблоны)	+	+	+	-
	Активы (для привязки правил корреляции)	+	-	-	-
Аналитик L1	Журнал инцидентов (статус, приоритет)	+	+	-	-
	Сигналы тревоги, регламенты	+	-	-	-
Аналитик L2	Детализированные инциденты, цепочки событий	+	+	-	-
	Отчёты по расследованным инцидентам	+	+	+	-
Аналитик L3	Сложные инциденты, zero-day, инсайдерские угрозы	+	+	-	-
	Планы восстановления, риски и контрмеры	+	+	+	-
Инженер по интеграции	Источники данных, коллекторы, конвейеры	+	+	+	+
	Правила нормализации и парсинга	+	+	+	+
Наблюдатель	Панели виджетов, метрики, потоки событий	+	-	-	-
Специалист тех. поддержки	Системные настройки, журналы, резервные копии	+	+	-	-
Аудитор	Журналы аудита, политики безопасности, отчёты	+	-	-	-

Управление доступом к объектам

Роль	Объект	CRUD	Комментарий
Администратор	Все объекты	R, C, U, D	Полный доступ ко всем объектам и атрибутам
Разработчик контента	Пакеты экспертиз, динамические списки, фильтры, директивы, матрицы атак, виджеты	R, C, U, D	Полный доступ
	Поля событий, активы	R	Только просмотр
	Инциденты	R, U	Просмотр и обновление для отладки правил
Аналитик L1	Инциденты	R, U	Изменение статуса, критичности, ответственного. Не может закрывать
	Комментарии	R, C	Создание и просмотр
Аналитик L2	Инциденты	R, U	Полное изменение атрибутов, включая закрытие
	Комментарии	R, C, U, D	Полный контроль над своими комментариями
	Пакеты экспертиз	R, C, U	Создание и редактирование для расследований
Аналитик L3	Инциденты	R, C, U, D	Полный контроль, включая ручное создание и удаление
	ГосСОПКА	R, U	Просмотр и редактирование конфигурации
	Активы	R, C, U, D	Полный доступ
Инженер по интеграции	Коллекторы, агенты, источники данных	R, C, U, D	Полный контроль
	Плагины коллекторов, сертификаты	R, C, U, D	Установка и настройка
Специалист тех. поддержки	Аудит (логи)	R	Просмотр для диагностики
	Коллекторы	R, U	Просмотр и перезапуск
	Секреты	R, C, U, D	Управление системными учётными данными
Наблюдатель	Виджеты, панели, инциденты, активы	R	Только просмотр
Аудитор	Журналы аудита, политики, правила доступа	R	Проверка соответствия

Дублирование токенов и правил доступа

Для ускорения работы KOMRAD позволяет создавать копии существующих токенов и правил доступа.

Дублирование токена доступа

1. Откройте карточку токена доступа или выберите токен в таблице токенов (раздел "Общие" или "Личные").
2. Нажмите кнопку Дублировать.
3. Отобразится сообщение об успешном дублировании и сгенерированный токен доступа.

Дублирование правила доступа

1. Откройте карточку правила доступа или выберите правило в таблице правил доступа.
2. Нажмите кнопку Дублировать.
3. В таблице отобразится дублированное правило.

Вход через root-токен

Root-токен предоставляет полный доступ к системе в обход политик доступа. Используйте его только для первоначальной настройки или восстановления доступа.

warning

При входе по root-токену политики доступа не применяются. Пользователь получает неограниченные привилегии.

Для настройки входа по root-токену:

1. Создайте root-токен:

   komrad-cli token root --path /var/lib/echelon/komrad/root.json create

2. Сохраните секрет токена, отображённый в консоли.

3. В конфигурации komrad-server (/etc/echelon/komrad/komrad-server.yaml) включите аутентификацию по root-токену:

   auth:
     root-token:
       enabled: true
       path: /var/lib/echelon/komrad/root.json

4. Перезапустите сервер:

   systemctl restart komrad-server

5. Откройте веб-интерфейс, нажмите Войти по токену и введите сохранённый секрет.