Access Control List (ACL) - Cơ chế cải thiện bảo mật mạng
Danh sách kiểm soát truy cập (ACL) là tập hợp các quy tắc cho phép hoặc từ chối lưu lượng mạng dựa trên thông tin header gói tin. ACL đóng vai trò như bộ lọc gói tin (packet filter) trên thiết bị mạng (router, switch, firewall), cải thiện bảo mật bằng cách kiểm soát luồng traffic.
1. ACL cải thiện bảo mật mạng như thế nào?
ACL sử dụng thông tin header IP (địa chỉ IP nguồn/đích, giao thức, số cổng/socket) để lọc traffic. Tường lửa lọc gói tin sử dụng ACL để kiểm soát truy cập thông tin.
- Chặn traffic từ dải IP độc hại/bảo lưu
- Chỉ cho phép truy cập service cần thiết (least privilege)
- Ngăn chặn lateral movement bằng cách hạn chế traffic giữa các zone
- Giảm bề mặt tấn công (attack surface) của mạng
2. ACL bảo vệ mạng bằng cách nào?
ACL hoạt động như bộ lọc gói tin (packet filter) trong mạng. Đảm bảo bảo mật bằng cách:
- Hạn chế (Restrict): Giới hạn traffic chỉ cho phép cần thiết
- Cho phép (Permit): Traffic hợp pháp được chuyển tiếp
- Từ chối (Deny): Traffic vi phạm quy tắc bị drop
ACL kiểm soát luồng gói tin cho một hoặc nhóm địa chỉ IP, hoặc các giao thức khác nhau: TCP, UDP, ICMP...
3. ACL trong bảo mật là gì?
Danh sách kiểm soát truy cập (ACL) là tập quy tắc chỉ định môi trường số nào được phép truy cập. Hai loại chính:
- Filesystem ACL: Kiểm soát truy cập file/thư mục (Windows NTFS, Linux POSIX ACL)
- Network ACL: Kiểm soát lưu lượng mạng (Router ACL, VLAN ACL, Port ACL)
Hệ điều hành dùng Filesystem ACL để xác định user nào truy cập hệ thống và cấp quyền cho ai.
4. Extended ACL lọc traffic theo thuộc tính nào? (Chọn 2)
- Địa chỉ IP nguồn/đích (Source/Destination IP)
- Giao thức (Protocol): IP, TCP, UDP, ICMP, OSPF, EIGRP...
- Số cổng nguồn/đích (Source/Destination Port): TCP/UDP port numbers
Extended ACL cho phép lọc dựa trên: IP nguồn, IP đích, giao thức, cổng nguồn, cổng đích, flag TCP (established), DSCP/ToS, time-range.
5. Mô tả cách Access List cải thiện bảo mật
Access list lọc traffic dựa trên thông tin header IP: địa chỉ IP nguồn/đích, giao thức, số socket. Cải thiện bảo mật bằng cách chỉ cho phép traffic hợp pháp, chặn traffic đáng ngờ/malicious.
6. ACL dùng để làm gì?
Access-control list (ACL) là tập quyền限 gán cho tài nguyên hệ thống (object) trong bảo mật máy tính. ACL chỉ định:
- Ai (user/group/process) được truy cập object
- Thao tác gì được phép: read, write, execute, delete, modify...
7. ACL giúp bảo mật hệ thống mạng như thế nào?
Trong mạng, ACL đóng vai trò packet filter. Bảo mật bằng cách restrict/permit/deny traffic ở các khu vực nhạy cảm. Kiểm soát luồng gói tin cho IP đơn lẻ/nhóm IP hoặc các giao thức TCP, UDP, ICMP...
8. Lợi ích của Access Control List
- Bảo vệ server exposed to internet tốt hơn
- Kiểm soát chặt chẽ entry point (điểm vào mạng)
- Kiểm soát chặt chẽ internal network, traffic giữa các network mượt mà hơn
- Kiểm soát quyền user/group chính xác hơn (granular permissions)
9. Chức năng chính của ACL
Gán mức độ truy cập khác nhau cho người dùng dựa trên vai trò/quyền hạn. ACL như "giấy phép" chỉ ra thiết bị mạng, file, thông tin nào cần được truy cập và bởi ai.
10. ACL Security là gì?
Danh sách quyền liên kết với object. Chỉ định ai/cái gì được truy cập object và thao tác gì được phép. (Nguồn: NIST SP 800-179)
11. ACL hoạt động như thế nào?
ACL giới hạn luồng dữ liệu qua mạng bằng cách điều tiết mọi gói tin vào/ra. Mọi gói tin inbound/outbound được xem xét theo quy tắc ACL để đảm bảo tuân thủ.
12. ACL hiển thị gì?
ACL cung cấp bảo mật bằng cách cho phép user ủy quyền truy cập tài nguyên cụ thể, chặn user không ủy quyền. Các quy tắc ACL liên kết tạo thành chuỗi permit/deny segments.
13. Hai đặc điểm của ACL (Chọn 2)
- Extended ACL lọc đích dựa trên cổng TCP/UDP
- ACL lọc cổng TCP/UDP nguồn
- Extended ACL lọc dựa trên địa chỉ IP
- ACL lọc IP nguồn và đích
Đáp án đúng: Extended ACL lọc IP nguồn/đích VÀ cổng TCP/UDP nguồn/đích.
14. Phạm vi số Extended ACL
- Classic range: 100-199
- Extended range: 2000-2699
- Extended ACL dùng IP nguồn/đích và port number để lọc gói tin
- Chỉ định service cho phép/từ chối
15. Ba tham số ACL dùng để lọc traffic
- Địa chỉ Layer 3 nguồn/đích (Source/Destination Layer 3 Address)
- Số cổng nguồn/đích (Source/Destination Port Numbers)
- Giao thức (Protocol)
16. ACL cải thiện bảo mật mạng như thế nào? (Tóm tắt)
ACL điều tiết traffic bằng cách lọc hoặc định nghĩa traffic dựa trên thông tin header IP: địa chỉ IP nguồn/đích, giao thức. Chỉ cho phép traffic cần thiết, chặn phần còn lại (implicit deny all).
Lưu ý triển khai: ACL xử lý theo thứ tự từ trên xuống (top-down). Quy tắc cụ thể đặt trước, quy tắc chung sau. Luôn có implicit deny all ở cuối. Cần test kỹ trước khi apply production.