Access Control Policy là gì?
Tập hợp quy tắc quy định ai (user, device, process) được truy cập gì (resource, network segment, application, data), dưới điều kiện gì (time, location, device health, MFA, risk score) và hành động gì (read, write, execute, admin).
Tại sao Access Control là trung tâm của Network Security?
- Least Privilege: Giảm bề mặt tấn công – compromising one account chỉ ảnh hưởng phạm vi hẹp.
- Zero Trust Enforcement: "Never trust, always verify" – mọi request đều phải qua Policy Decision Point (PDP) & Policy Enforcement Point (PEP).
- Phòng ngừa Lateral Movement: Segmentation + RBAC/ABAC chặn attacker di chuyển ngang sau initial access.
- Tuân thủ (Compliance): GDPR, HIPAA, PCI-DSS yêu cầu kiểm soát truy cập dữ liệu nhạy cảm.
- Insider Threat Mitigation: Giới hạn quyền admin, separation of duties, just-in-time access.
3 mô hình kiểm soát truy cập chính
| Model | Cơ chế | Ưu điểm | Nhược điểm | Use case |
|---|---|---|---|---|
| DAC (Discretionary) | Owner quyết định quyền (ACL) | Linh hoạt, dễ triển khai | Khó quản lý tập trung, rủi ro user cấp quyền sai | File share, Windows folder permission |
| MAC (Mandatory) | Label-based (Clearance/Classification), OS enforce | Rất chặt, phù hợp quân sự/chính phủ | Cứng nhắc, quản trị phức tạp | SELinux, Trusted Solaris, môi trường classified |
| RBAC (Role-Based) | Gán quyền cho Role → gán User vào Role | Quản trị tập trung, scalable, phù hợp doanh nghiệp | Role explosion nếu không thiết kế tốt | AD Groups, AWS IAM Roles, K8s RBAC, SaaS apps |
| ABAC (Attribute-Based) | Policy dựa trên attributes (user, resource, environment) | Fine-grained, dynamic, context-aware | Phức tạp, cần Policy Engine (OPA, XACML) | Zero Trust, Cloud IAM (AWS IAM Conditions, Google Cloud IAM Conditions) |
4 thành phần của hệ thống Access Control (AAA)
- Identification: Khai báo danh tính (username, device cert, device ID).
- Authentication: Chứng minh danh tính (Password, MFA, Cert, FIDO2, Biometric).
- Authorization: Quyết định quyền truy cập dựa trên Policy (PDP).
- Accounting/Auditing: Ghi log ai, làm gì, khi nào, từ đâu (RADIUS Accounting, SIEM).
Triển khai trong Network Security
- Network Device Admin: TACACS+ (Cisco) / RADIUS → RBAC (privilege levels), MFA bắt buộc.
- Wi-Fi Enterprise: 802.1X + RADIUS (EAP-TLS/PEAP) → Dynamic VLAN/ACL per user/group.
- VPN Remote Access: SAML/OIDC IdP → MFA → Posture Check (device health) → Split-tunnel policy.
- Firewall/Segmentation: User/Group-based Policy (Palo Alto User-ID, FortiGate FSSO) thay vì chỉ IP-based.
- Cloud/API: OAuth2/OIDC, JWT validation, API Gateway policies, Service Mesh mTLS + AuthZ.
Best Practice
- Inventory tất cả tài sản & luồng dữ liệu.
- Định nghĩa Role/Attribute matrix (Business ↔ IT).
- Triển khai MFA cho mọi remote access & privileged access.
- Just-in-Time (JIT) / Just-Enough-Access (JEA) cho admin.
- Automated provisioning/de-provisioning (Joiner/Mover/Leaver – JML).
- Continuous monitoring & recertification (quarterly access review).
- Policy as Code (OPA/Rego, Terraform) – version control, CI/CD, test.