Long-term archiving and evaluation of IAM data

Bc. Johana Supíková

Master's thesis

Abstract:

Systém správy identit a přístupů (IAM) je systém pro správu digitálních identit a kontrolu přístupu uživatelů ke zdrojům. Vzhledem k tomu, že služby v koncovém systému mohou obsahovat citlivá data, jako jsou zdravotní záznamy, je klíčovou funkcí IAM systému zajistit, že se ke zdroji dostanou pouze autorizovaní jedinci, ale také poskytnout možnost vysledovat aplikovaná pravidla autorizace a jak a proč je IAM systém vyřešil, i po několika letech. Cílem této práce je prozkoumat, analyzovat a porovnat možná a existující řešení pro dlouhodobé archivování a vyhodnocení (analýzu) dat souvisejících s přístupem z IAM systémů – nejen na technické úrovni, ale také na informační úrovni (které informace poskytované různými komponentami IAM systému a jeho prostředí je třeba shromáždit a jakou formou). Vzhledem k tomu, že se očekává, že procesy a pravidla přístupu k datům se budou vyvíjet během archivního období, měla by analýza také řešit dynamickou povahu dat souvisejících s přístupem. Na základě definovaných požadavků by měla být aplikovatelnost výsledků uplatněna na IAM systém Perun – a to jak integrováním potřebné funkcionality do jeho architektury, tak vhodnou implementací, zlepšením stávajících metod pro ukládání a hodnocení událostí auditu. Práce se bude rovněž zaměřovat na analytickou část řešení, tj. na demonstraci vysledování pravidel autorizace na vhodně vybraných případech.

Abstract:

An Identity and Access Management System (IAM) is a system for managing digital identities and controlling user access to resources. Since endpoint resources may contain sensitive data, such as medical records, an essential feature of an IAM system is to ensure that only authorized individuals can access the resource, but also to provide the ability to backtrace the authorization rules applied and how and why the IAM system resolved them, even after several years. The goal of this work is to investigate, analyze and compare possible and existing solutions for long-term archiving and evaluation (analysis) of access-related data from IAM systems – not only at the technical level but also at the informational level (which pieces of information provided by various components of the IAM system and its environment need to be collected and in what form). Since data access processes and rules are expected to evolve over the archive period, the analysis should also address the dynamic nature of access-related data. Based on the defined requirements, the applicability of results should then be applied to the Perun IAM system – both by integrating the necessary functionality into its architecture and by appropriate implementation, improving current methods for storing and evaluating audit events. The work will also focus on the analytical part of the solution, i.e., a demonstration of backtracing the authorization rules on suitably selected cases.

Keywords

identity and access management system, data archiving, access justification

Language used: English

Date on which the thesis was submitted / produced: 15. 12. 2023

Thesis defence

• Date of defence: 14. 2. 2024
• Supervisor: RNDr. Tomáš Rebok, Ph.D.
• Reader: Mgr. Slávek Licehammer

Masaryk University

Faculty of Informatics

Master programme / field:
Software systems and services management / Software Systems Development Management