Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Các bước kiểm soát truy cập (Access Control) trong bảo mật mạng

Quy trình kiểm soát truy cập (Access Control Process) – 5 giai đoạn

Theo mô hình AAAC (Authentication, Authorization, Access, Audit, Control/Management), quy trình gồm:

  1. Xác định danh tính (Identification): User/Device trình diện danh tính (username, certificate, device ID).
  2. Xác thực (Authentication): Chứng minh danh tính đúng (Mật khẩu, MFA, Certificate, Biometric, FIDO2).
  3. Phân quyền (Authorization): Quyết định được phép làm gì (RBAC, ABAC, PBAC, DAC, MAC).
  4. Truy cập (Access/Enforcement): Thực thi quyết định – cho phép/từ chối truy cập tài nguyên (File, App, Network, API).
  5. Kiểm toán & Giám sát (Auditing/Accounting/Monitoring): Ghi log, phát hiện bất thường, review định kỳ, thu hồi quyền.

3 Mô hình kiểm soát truy cập chính (Access Control Models)

Mô hìnhCơ chếĐặc điểmỨng dụng
DAC (Discretionary Access Control)Chủ sở hữu tài nguyên quyết định quyền (ACL)Linh hoạt, dễ quản trị, nhưng rủi ro chia sẻ quá rộngFile system (NTFS, Linux ACL), SharePoint, Google Drive
MAC (Mandatory Access Control)Hệ thống gán nhãn bảo mật (Label) cho Subject & Object. Quy tắc tập trung (Bell-LaPadula, Biba)Rất chặt chẽ, phức tạp, dùng cho quân sự, chính phủ, môi trường high-securitySELinux, TrustedBSD, Government/Defense systems
RBAC (Role-Based Access Control)Gán quyền cho Role (Vai trò) → Gán User vào RoleCân bằng bảo mật & quản trị. Phù hợp doanh nghiệp. Mở rộng: ARBAC, Hierarchical RBACActive Directory, Azure AD/Entra ID, AWS IAM, Kubernetes RBAC, ERP (SAP, Oracle)
ABAC (Attribute-Based Access Control)Quyết định dựa trên Attribute (User, Resource, Environment, Action) + Policy Engine (XACML, OPA/Rego)Động, ngữ cảnh (Context-aware), Fine-grained. Phức tạp để triển khai.Zero Trust, Cloud (AWS IAM Conditions, Azure ABAC), API Gateway, Data Lake
PBAC (Policy-Based Access Control)Tương tự ABAC nhưng tập trung vào Policy as Code, quyết định tập trung (PDP/PEP)Phù hợp kiến trúc hiện đại, microservices, cloud-nativeOPA/Gatekeeper, AuthZForce, Axiomatics, PlainID

4 Thành phần trung tâm của Access Control

  1. Subject (Chủ thể): User, Service Account, Device, Process, API Client.
  2. Object (Khách thể): File, Database, API, Network Segment, Cloud Resource, Application.
  3. Action (Hành động): Read, Write, Execute, Delete, Create, Admin, Connect.
  4. Policy/Rule (Chính sách/Quy tắc): Logic quyết định Allow/Deny dựa trên Subject, Object, Action, Context (Time, Location, Device Posture, Risk Score).

Triển khai Access Control trong Mạng (Network Access Control - NAC)

  1. Pre-admission (Trước khi vào mạng): 802.1X (EAP-TLS/PEAP), MAB (MAC Auth Bypass), Posture Assessment (AV, Patch, Disk Encryption, Domain Join).
  2. Post-admission (Sau khi vào mạng): VLAN Assignment, ACL/Dynamic ACL, Quarantine VLAN, Continuous Posture Assessment, Profiling (IoT/OT).
  3. Thiết bị: Cisco ISE, Aruba ClearPass, FortiNAC, Portnox, Microsoft NPS, FreeRADIUS + daloRADIUS.

Tại sao cần NAC (Network Access Control)?

  • Tự động nhận diện thiết bị (Managed/Unmanaged/IoT/OT/BYOD).
  • Cấp quyền phù hợp: Nhân viên → Corporate VLAN + Full Access. Khách → Guest VLAN + Internet only. IoT → IoT VLAN + Chỉ talk to Gateway.
  • Chặn thiết bị không tuân thủ (Non-compliant) – missing patch, no AV, jailbroken.
  • Tuân thủ: PCI-DSS Req 8, NIST 800-53 AC-17/18/19/20.

4 Mục tiêu của Access Control (Security Objectives)

  1. Xác thực (Authentication)
  2. Phân quyền (Authorization)
  3. Bảo mật (Confidentiality)
  4. Toàn vẹn (Integrity)
  5. Sẵn sàng (Availability)
  6. Không chối cước (Non-repudiation)
  7. Trách nhiệm (Accountability) – Audit log.

Best Practice triển khai Access Control

  1. Triển khai RBAC làm nền tảng → mở rộng ABAC/PBAC cho ngữ cảnh động (Zero Trust).
  2. Identity as the New Perimeter: Tập trung vào IdP (Entra ID, Okta, Ping) + MFA + Conditional Access.
  3. Just-in-Time (JIT) / Just-Enough-Access (JEA): Đặc quyền admin chỉ khi cần, thời gian ngắn, audit đầy đủ.
  4. Automated Lifecycle: Joiner-Mover-Leaver (JML) tự động từ HR → IdP → Target Systems (SCIM).
  5. Continuous Access Evaluation: Real-time token revocation (CAEP), Continuous Access Evaluation Protocol.
  6. Segregation of Duties (SoD): Tách quyền conflicting (Dev vs Prod, Approver vs Requester).
  7. Quarterly Access Review (Recertification): Manager/Owner review quyền định kỳ.