ABAC

Wat is ABAC?

ABAC (Attribute-Based Access Control) is een model voor toegangscontrole waarin een beleidsregel per verzoek beslist of toegang wordt verleend, op basis van attributen van de gebruiker, de bron, de gevraagde actie en de omgeving. In plaats van de vraag “welke rol heeft deze persoon?” stelt ABAC de vraag “voldoen wie, wat, welke handeling en welke omstandigheden samen aan het beleid?“. NIST beschreef het model in januari 2014 in SP 800-162 (bijgewerkt in augustus 2019) als een logische toegangsmethodiek, en het vormt een bouwsteen van Zero Trust.

In OT-netwerken maakt ABAC fijnmazige regels mogelijk, bijvoorbeeld: “Alleen operators van ploeg A mogen de HMI’s van lijn 3 bedienen, en alleen tijdens hun eigen dienst.”

🧠 Hoe werkt ABAC?

Elke toegangspoging wordt geëvalueerd tegen een set beleidsregels (policies). Die regels combineren vier soorten attributen:

De beslissing loopt via een vaste architectuur die de OASIS-standaard XACML 3.0 (januari 2013) heeft vastgelegd en die NIST SP 800-162 overneemt:

• Policy Administration Point (PAP) - hier worden de beleidsregels opgesteld en beheerd
• Policy Decision Point (PDP) - evalueert de regels en geeft Permit of Deny terug (XACML kent daarnaast NotApplicable en Indeterminate)
• Policy Enforcement Point (PEP) - onderschept het verzoek, vraagt de PDP om een besluit en dwingt dat af
• Policy Information Point (PIP) - levert de actuele attribuutwaarden, bijvoorbeeld uit Active Directory, LDAP, een HR-systeem of een assetregister

Omdat attributen live worden opgevraagd, veranderen rechten automatisch mee: wie van ploeg wisselt of wiens certificering verloopt, verliest toegang zonder dat een beheerder een rol hoeft aan te passen. Conflicterende regels worden opgelost met combinatie-algoritmen zoals deny-overrides of permit-overrides. Dezelfde PDP/PEP-scheiding keert terug in NIST SP 800-207, de Zero Trust-architectuur van NIST.

🔄 Wat is het verschil tussen ABAC en RBAC?

RBAC koppelt rechten aan functierollen; ABAC koppelt rechten aan combinaties van kenmerken. Een rol is in ABAC gewoon één attribuut van het subject, dus ABAC kan RBAC nabootsen, maar niet andersom.

In de praktijk is een hybride aanpak het meest gangbaar: RBAC als basis en ABAC-regels voor context, zoals tijd, locatie en wijzigingsvenster.

🏭 Hoe wordt ABAC toegepast in industriële netwerken?

Besturingen ondersteunen ABAC zelden zelf; de meeste PLC’s en HMI’s kennen hooguit gebruikers en rollen. ABAC zit daarom meestal in de toegangslaag ervoor, op de jump server, de industriële DMZ, de PAM-oplossing of de remote-accessgateway. Typische regels:

• Wijzigingen op een PLC alleen door gecertificeerde technici, alleen tijdens een goedgekeurd wijzigingsvenster uit change management
• Toegang tot het engineering station alleen voor lokale monteurs via een bedrade verbinding, niet via Wi-Fi
• Procesdata alleen inzien voor de eigen lijn of installatie
• Andere rechten per netwerklocatie, bijvoorbeeld per VLAN of zone
• Externe leveranciers alleen toegang tot hun eigen installatie, met MFA en binnen een afgesproken tijdslot
• Schrijfacties blokkeren wanneer de installatie in productiemodus staat, en alleen lezen toestaan

ABAC voorkomt overmatige rechten en maakt het principe van least privilege afdwingbaar, ook als mensen en installaties veranderen.

🔧 Hoe voert u ABAC stapsgewijs in?

1. Inventariseer bronnen en acties - welke systemen, zones en handelingen (lezen, schrijven, downloaden) wilt u beschermen?
2. Kies gezaghebbende attribuutbronnen - HR voor dienstverband, de opleidingsadministratie voor certificeringen, het assetregister voor kriticiteit, het rooster voor diensten. Een regel is nooit betrouwbaarder dan het attribuut waarop hij leunt.
3. Begin met RBAC en voeg context toe - leg basisrollen vast en schrijf ABAC-regels alleen voor uitzonderingen en contextvoorwaarden.
4. Schrijf beleid als code - met XACML, of met moderne beleidstalen zoals Rego van Open Policy Agent (sinds 2021 een “graduated” CNCF-project, veel gebruikt in Kubernetes) of het door AWS ontwikkelde Cedar.
5. Test en simuleer - controleer vooraf welke gebruikers na een wijziging toegang winnen of verliezen, en leg beleidsversies vast in versiebeheer.
6. Regel noodtoegang - in OT mag een beleidsregel een operator nooit buitensluiten tijdens een storing; leg een gecontroleerde break-glass-procedure vast.
7. Log elke beslissing - stuur Permit- en Deny-besluiten via logging naar uw SIEM voor detectie en audit.

Wat bieden bekende platforms?

🔐 Welke beveiligingsaspecten spelen bij ABAC?

• Onderdeel van Zero Trust - elke aanvraag wordt opnieuw beoordeeld; combineer ABAC met MFA, netwerksegmentatie en microsegmentatie
• Centraal beheer - beheer beleid in een centrale IAM-oplossing in plaats van verspreid over apparaten
• Attribuutmanipulatie - wie een attribuut kan wijzigen (bijvoorbeeld een afdelingsveld in de directory), kan zichzelf rechten geven; bescherm de PIP-bronnen net zo streng als het beleid zelf
• Beschikbaarheid van de PDP - valt het beslispunt uit, dan valt ook de toegang uit; ontwerp redundantie en cache
• Normen - IEC 62443-3-3 eist in SR 2.1 (Authorization enforcement) dat een IACS autorisaties voor alle menselijke gebruikers afdwingt ter ondersteuning van functiescheiding en least privilege; ISO 27001 (bijlage A, beheersmaatregel 5.15 Toegangsbeveiliging) en NIS2 vragen eveneens om aantoonbaar toegangsbeleid

Een goed ABAC-beleid verhoogt niet alleen de beveiliging, maar ook de compliance en traceerbaarheid, omdat elke beslissing herleidbaar is tot een regel en een set attributen.

❓ Veelgestelde vragen

Waar staat ABAC voor?

ABAC staat voor Attribute-Based Access Control, in het Nederlands attribuutgebaseerde toegangscontrole. Bij ABAC beslist een beleidsregel over toegang op basis van kenmerken van gebruiker, bron, actie en omgeving, in plaats van alleen op basis van een rol.

Is ABAC beter dan RBAC?

ABAC is niet per se beter dan RBAC, maar wel flexibeler en fijnmaziger. RBAC is eenvoudiger te beheren en te auditen, terwijl ABAC sterker is bij contextregels zoals tijd, locatie en apparaatstatus. De meeste organisaties combineren beide modellen.

Welke standaard beschrijft ABAC?

ABAC is beschreven in NIST SP 800-162 (januari 2014, bijgewerkt in 2019). De beleidstaal en de architectuur met PAP, PDP, PEP en PIP komen uit de OASIS-standaard XACML 3.0 uit 2013, en NIST vergeleek XACML in 2016 met NGAC in SP 800-178.

Ondersteunen PLC’s ABAC?

PLC’s ondersteunen ABAC zelden direct; de meeste besturingen kennen alleen gebruikers, wachtwoorden of rollen. In OT wordt ABAC daarom afgedwongen in de toegangslaag ervoor, zoals een jump server, PAM-oplossing of remote-accessgateway in de industriële DMZ.

Wat is een Policy Decision Point bij ABAC?

Een Policy Decision Point (PDP) is het onderdeel van een ABAC-systeem dat de beleidsregels evalueert en besluit tot Permit of Deny. Het Policy Enforcement Point vraagt de PDP om een besluit en dwingt dat af bij de gebruiker.

Wat is het grootste risico van ABAC?

Het grootste risico van ABAC is onbetrouwbare attribuutdata: een verkeerd of gemanipuleerd attribuut levert direct verkeerde rechten op. Daarnaast is complex beleid lastig te testen en te auditen, waardoor beleidsversiebeheer en logging van elke beslissing noodzakelijk zijn.

📌 Samengevat

ABAC biedt contextuele, fijnmazige en schaalbare toegangscontrole door per verzoek attributen van gebruiker, bron, actie en omgeving te toetsen aan centraal beleid. In OT-omgevingen werkt ABAC het best als aanvulling op RBAC, afgedwongen in de toegangslaag vóór de besturingen, met betrouwbare attribuutbronnen, noodtoegang en volledige logging.