Berechtigungen und Entspannung

Werden Sie als Salesforce-Administrator mit Berechtigungsanfragen überschwemmt? Erkunden Sie unser Experiment mit gemeinschaftlichen Filtern, um herauszufinden, wie wir das richtige Verhältnis zwischen Sicherheit und Einfachheit gefunden haben.
Berechtigungen und Entspannung

Als Salesforce-Administrator für eine große Organisation gehört es zu Ihren Aufgaben, die Berechtigungen für eine Vielzahl von Mitarbeitern zu verwalten, die kommen, gehen oder ihre Rolle wechseln. Es ist keine einfache oder effiziente Aufgabe, potenziell Hunderte oder Tausende von Berechtigungen in der gesamten Organisation zu verwalten, damit jeder Mitarbeiter seine Arbeit erledigen kann und gleichzeitig die Sicherheit des Unternehmens gewährleistet ist.

Sie können jedem alle Berechtigungen zuweisen, aber es ist nicht besonders sinnvoll oder sicher, wenn ein Praktikant Schreib- und Löschzugriff auf dieselben Objekte hat wie der CEO. Sie können allen außer dem CEO wenige bis gar keine Rechte (nach dem Prinzip der geringsten Rechte) zuweisen und das wäre sicher, aber Sie wollen nicht mit Berechtigungsanfragen überschwemmt werden, nur damit die Leute ihre Arbeit machen können. 

Wie können Sie als Administrator das richtige Verhältnis zwischen Sicherheit und der Bereitstellung grundlegender Funktionen finden? Wenn es doch nur eine Möglichkeit gäbe, zu wissen, was die Leute in Zukunft tun werden, sodass man die entsprechenden Berechtigungen konfigurieren kann – und fertig. 

Wir verstehen, dass Sie als Administrator einfach nur entspannen wollen. 

Mit dieser Idee im Hinterkopf hat sich das Detection and Response (DnR) Data Science-Team von Salesforce daran gemacht, eine Methode zu definieren, die in die Zukunft blicken kann, um genau den richtigen (und den geringsten) Satz an Berechtigungen für Mitarbeiter vorherzusagen und zu empfehlen, damit sie ihre Arbeit erledigen und produktiv sein können und gleichzeitig die Sicherheit Ihrer Organisation erhöht wird. Zu diesem Zweck überwachen wir die von allen Benutzern einer Organisation verwendeten und ausgeübten Berechtigungen und verwenden diese Daten dann, um vorherzusagen/zu empfehlen, welche Berechtigungen ein neuer Benutzer oder ein beliebiger Benutzer basierend auf seiner Aktivität wahrscheinlich benötigt. 

Kommt Ihnen das bekannt vor? Stellen Sie sich das so vor, als würden Sie Ihre Lieblingssendungen bei einem Streaming-Dienst ansehen und bewerten. Je mehr Sie ansehen oder bewerten, desto besser kann der Dienst nach und nach Ihre Vorlieben erkennen und intelligentere Empfehlungen aussprechen. Nur dass wir anstelle der neuesten Sendungen Berechtigungen und Berechtigungssätze haben und anstelle einer expliziten Rangliste von Filmen die Nutzungsaktivität überwachen. Und das alles geschieht automatisch. Anstatt also manuell Berechtigungen und Berechtigungssätze für Benutzer festzulegen und zuzuweisen, kann sich ein Administrator in Ruhe die gesamte neue Staffel von "Stranger Things" anschauen. Natürlich nicht während der Arbeitszeit!

Werfen wir einen Blick unter die Haube, um zu sehen, wie das erreicht wird. 

Zunächst einmal ist das Leitprinzip, das wir bei der Zuweisung von Berechtigungen anwenden, als das Prinzip der "geringsten Rechte" bekannt. Die Befolgung dieses Prinzips kann die Sicherheit in Ihrer Organisation erhöhen. Wenn ein Angreifer einen Account übernimmt, ist der "Explosionsradius" auf die Zugriffsrechte/Berechtigungen beschränkt, die mit diesem bestimmten Account verbunden sind. 

Zweitens stützen wir uns auf eine Technik namens gemeinschaftliches Filtern, die hauptsächlich von Empfehlungssystemen verwendet wird, um aus dem früheren Benutzerverhalten zu lernen und neuen/bestehenden Benutzern Artefakte zu "empfehlen". Der Gedanke dabei ist, gemeinschaftlich Berechtigungen und Berechtigungssätze herauszufiltern, die einem Benutzer auf der Grundlage der Ausübung von Berechtigungen durch ähnliche Benutzer gewährt werden müssen.

Sind Sie bereit für mehr? 

Anhand von Daten über die Nutzung von Berechtigungen für alle Benutzer in einer Organisation, z. B. für den letzten Monat, stellen wir diese Aktivität in einer Matrix A mit den Dimensionen M x N dar, wobei M die Anzahl der Benutzer in der Organisation und N die Anzahl der verschiedenen Berechtigungen oder Berechtigungssätze ist. Die Einträge in dieser Matrix nehmen Werte an, die der Anzahl der Ausübungen einer bestimmten Berechtigung durch einen bestimmten Benutzer entsprechen. 

Die Matrix A wird dann in zwei kleinere Matrizen zerlegt, die kritische Informationen in der Matrix A erfassen. Diese Zerlegung wird auch als Faktorisierung bezeichnet, und es gibt eine Reihe von Techniken zur Ausführung dieser Faktorisierung: ALS (Alternating Least Squares), NMF (Non-Negative Matrix Factorization) usw. Am Ende erhält man zwei Matrizen, F (Mxk) und G (kxN), die zu einer neuen Matrix, A_recon., kombiniert werden können.

Abbildung 1: Matrixfaktorisierung, um zwei Matrizen zu erhalten, die Benutzer und Berechtigungen darstellen

Aus der Matrix A_recon erhalten wir eine sortierte Liste von Berechtigungen, auf die jeder Benutzer wahrscheinlich zugreifen wird (dargestellt durch Zeilen). Die Besonderheit des gemeinschaftlichen Filteransatzes besteht darin, dass er sowohl die Aktivitätsmuster des Benutzers als auch die Muster seiner Kollegen, d. h. die Aktivitäten gleichgesinnter Benutzer, berücksichtigt. Anstatt Benutzer manuell Benutzergruppen/Rollen zuzuweisen und Berechtigungen auf der Grundlage von Benutzerrollen bereitzustellen, übernimmt die Matrixfaktorisierung diese Aufgabe.

Wie lässt sich das auf die tatsächliche Bereitstellung von Berechtigungen übertragen? 

Betrachten wir den Benutzer "u". {Puh} sei die Menge der vom Benutzer "u" in der Vergangenheit ausgeübten Berechtigungen. {Pur} sei die Menge der empfohlenen Berechtigungen, die vom gemeinschaftlichen Filtermodell erwartet werden und vom Benutzer noch nicht ausgeübt wurden. Die Vereinigung dieser beiden Mengen {Puh} U {Pur} ist die vollständige Menge der Berechtigungen, die für den Benutzer wahrscheinlich ausreichend sind. Diese Menge wird mit der Menge der erteilten Berechtigungen {Pg} für diesen Benutzer verglichen. Die Differenz zwischen den Mengen {Pg} und {{Puh} U {Pur}} ergibt die Menge der Berechtigungen, die der Benutzer wahrscheinlich nicht benötigt. Wir bezeichnen diese Menge als {Plockdown} und können diese Berechtigungen für den Benutzer im Einklang mit dem Prinzip der geringsten Rechte deaktivieren. 

Aus den empfohlenen Berechtigungen, auf die der Benutzer noch keinen Zugriff hat, können wir eine weitere Menge ableiten. Das Modell sagt voraus, dass diese Berechtigungen für den Benutzer wahrscheinlich nützlich sind, und wir können dem Administrator empfehlen, diese zusätzlichen Berechtigungen {Pgrant} zu erteilen. Wenn zum Beispiel ein neuer Benutzer der Organisation beitritt, hat der Administrator bereits automatisch eine Reihe von Berechtigungen für ihn. Diese Methode kann regelmäßig Abständen ausgeführt werden, um den sich verändernden Rollen oder Verantwortungsbereichen der verschiedenen Benutzer gerecht zu werden.

Die Idee klingt gut, aber wie sieht es in der Praxis aus? 

Wir haben diese Methode anhand von Daten zur Nutzung von Berechtigungen bewertet, die wir über einen Zeitraum von zwei Wochen in einer Salesforce-Organisation gesammelt haben. Diese Organisation hat 6.128 einzelne Benutzer und 286 verschiedene Berechtigungen. 

Wir haben festgestellt, dass die meisten Berechtigungen, die den Benutzern erteilt werden, selten oder gar nicht ausgeübt werden. Daher ist die von uns erstellte Matrix sehr spärlich (viele Nullen, eine gute Sache!). Wir haben gesehen, dass wir durch die Empfehlung der wichtigsten Berechtigungen im 20. Perzentil für alle Benutzer 98,60 % der beobachteten Benutzeraktivitäten abdecken können. Das bedeutet, dass das Empfehlungsmodell in 98,60 % der Fälle die von den Benutzern in der Zukunft benötigten Berechtigungen vorhersehen kann. Es ist uns gelungen, die Menge der Berechtigungen, die verschiedenen Nutzern tatsächlich zugewiesen wurden, erheblich zu reduzieren und so die Sicherheit dieser Organisation zu erhöhen. 

Bei Salesforce verankern wir Vertrauen und Sicherheit in unseren Produkten und Plattformen – und das gilt auch für die Erforschung neuer Wege, um sie noch sicherer zu machen. Bleiben Sie dran, während wir unsere Experimente mit dieser Methode ausweiten, um benutzerdefinierte Berechtigungen und größere Organisationen abzudecken, und erkunden Sie die neuesten Tools und Ressourcen, die Ihnen helfen, ein #AwesomeAdmin zu sein.

Dieser Post wurde von Mitgliedern des Detection and Response (DnR) Data Science-Teams von Salesforce verfasst:

Regunathan (Regu) Raadhakrishnan ist ein leitender Datenwissenschaftler im Team für angewandte Wissenschaft, das an konversationeller KI für Service Cloud Einstein arbeitet. Davor arbeitete er im Detection and Response (DnR) Data Science-Team an unüberwachten Modellen zur Erkennung bösartiger Bedrohungen. Er promovierte in Elektrotechnik an der Universität von New York und hat ein Buch über Videozusammenfassung geschrieben. Er hat mehrere Buchkapitel, Zeitschriftenartikel und Konferenzbeiträge verfasst und verfügt über mehr als 34 erteilte Patente.

Vijay Erramilli, ist ein leitender Datenwissenschaftler im DnR Data Science-Team, wo er seit vier Jahren an datengesteuerten Lösungen arbeitet, die fortgeschrittene Statistiken, maschinelles Lernen und Deep Learning für verschiedene Sicherheitsprobleme beinhalten. Er hat preisgekrönte Artikel (mit über 2.900 Zitationen) auf Top-Konferenzen und in Fachzeitschriften veröffentlicht, Vorträge auf der ganzen Welt gehalten und ist Inhaber mehrerer Patente. Er promovierte in Informatik an der Boston University.

Ping Yan, Director, Data Science, hat ein Jahrzehnt damit verbracht, innovative Wege zur sinnvollen Nutzung von Daten in verschiedenen Bereichen zu finden – von der Modellierung des Verbraucherverhaltens bis zur algorithmischen Erkennung von Sicherheitsbedrohungen. Ihre Arbeiten wurden als Zeitschriftenartikel, Monografien und Bücher veröffentlicht. Ping hat einen Doktortitel in Managementinformationssystemen von der University of Arizona. Ping hat Vorträge auf verschiedenen Konferenzen rund um Data Science und Informationssicherheit wie WITS, CanSecWest, OWASP AppSec und Spark+AI Summits gehalten.

Empfohlene Artikel