Kiểm soát truy cập (Access Control) trong bảo mật mạng là gì?

Khái niệm kiểm soát truy cập

Access Control (Kiểm soát truy cập) là quy trình xác định ai được truy cập tài nguyên gì, dưới điều kiện nào, và thao tác gì được phép (đọc, ghi, xóa, thực thi). Mục tiêu: đảm bảo chỉ chủ thể được ủy quyền mới truy cập khách thể tương ứng, ngăn chặn lạm dụng và rò rỉ dữ liệu.

3 mô hình kiểm soát truy cập chính

Mô hình	Viết tắt	Đặc điểm	Ứng dụng điển hình
Truy cập tự quyết	DAC	Chủ sở hữu tài nguyên quyết định quyền truy cập (ACL)	Hệ thống file Windows, Linux (chmod/chown)
Truy cập dựa trên vai trò	RBAC	Gán quyền cho vai trò (role), user kế thừa qua gán vai trò	AD Group Policy, AWS IAM, Kubernetes RBAC
Truy cập bắt buộc	MAC	Hệ thống thực thi theo nhãn bảo mật (label), user không tự quyết	Quân sự, chính phủ, môi trường high-security

Mở rộng: Rule-Based Access Control (RBACルール) – quy tắc dựa trên ngữ cảnh (giờ, IP, thiết bị); Attribute-Based (ABAC) – linh hoạt nhất, dựa trên thuộc tính user/resource/environment.

Ví dụ kiểm soát truy cập

Logic (Logical): Username/password, MFA (OTP, authenticator app, FIDO2 key), VPN, SSH key, Certificate, SSO/SAML/OIDC.
Vật lý (Physical): Thẻ từ (badge), FOB, vân tay/nhận diện khuôn mặt, khóa thông minh, bảo vệ vật lý, danh sách truy cập tại front-desk.

Network Access Control (NAC) – Kiểm soát truy cập mạng

NAC là giải pháp kết hợp nhiều lớp:

Endpoint Security: Kiểm tra AV, EDR, patch OS, cấu hình bảo mật trước khi cho vào mạng.
Authentication/Authorization: 802.1X (RADIUS), MFA, certificate, posture assessment.
Policy Enforcement: VLAN gán động, ACL, quarantine VLAN cho thiết bị không tuân thủ.
Visibility: Khám phá, phân loại mọi thiết bị (IoT, BYOD, server, printer) kết nối mạng.

Phân loại triển khai Access Control trong mạng

MAC (Mandatory Access Control): Nhãn bảo mật hệ thống (Top Secret, Secret...).
RBAC (Role-Based Access Control): Phổ biến nhất doanh nghiệp.
DAC (Discretionary Access Control): Linh hoạt nhưng rủi ro cấu hình sai.
Rule-Based / ABAC: Dựa trên quy tắc ngữ cảnh hoặc thuộc tính động.

Firewall khác NAC như thế nào?

Firewall: Đặt ở ranh giới mạng (North-South), lọc lưu lượng giữa các zone (LAN/WAN/DMZ).
NAC: Đặt ở truy cập mạng (Edge/Access layer), kiểm soát endpoint vào mạng nội bộ (East-West), thực thi hygiene trước khi cho kết nối.

→ Cần cả hai: Firewall bảo vệ ranh giới, NAC bảo vệ bên trong.

Cơ chế hoạt động NAC

Discovery: Phát hiện thiết bị mới kết nối (DHCP, ARP, NetFlow, SPAN, agent).
Profiling: Phân loại thiết bị (laptop, IP phone, camera, printer, IoT) bằng fingerprint/MAC OUI/agent.
Posture Assessment: Kiểm tra tuân thủ (AV chạy?, patch mới?, disk encrypted?, firewall bật?).
Enforcement: Gán VLAN, ACL, quarantine, hoặc chặn dựa trên policy.
Remediation: Cấp quyền truy cập hạn chế để user tự sửa lỗi (cập nhật AV, patch OS) trước khi cho đầy đủ.

Tầm quan trọng của Access Control

Hạn chế truy cập trái phép → giảm thiểu vi phạm dữ liệu (data breach).
Tuân thủ quy định (GDPR, HIPAA, PCI-DSS, ISO 27001).
Nguyên tắc least privilege (ít đặc quyền nhất) – giảm bề mặt tấn công.
Audit trail – truy vết ai làm gì, khi nào.

Phân loại theo phạm vi

Physical Access Control: Cửa, server rack, data center, văn phòng.
Logical Access Control: Hệ điều hành, ứng dụng, database, network device, cloud console.

4 loại Access Control (mở rộng)

Discretionary (DAC)
Mandatory (MAC)
Role-Based (RBAC)
Rule-Based / Attribute-Based (ABAC)

Thiết bị kiểm soát truy cập (Physical)

Card reader (RFID, HID, iCLASS, DESFire)
Biometric reader (vân tay, mặt, mống mắt, bàn tay)
Keypad/PIN, Smart lock, Electric strike, Maglock
Controller (hộp điều khiển cửa), Access Control Panel
Turnstile, Mantrap, Security gate

Mục đích của NAC

Giám sát, quản trị, thực thi chính sách truy cập mạng cho mọi thiết bị (managed/unmanaged, corporate/BYOD/IoT) – đảm bảo chỉ thiết bị sạch, tuân thủ mới truy cập tài nguyên doanh nghiệp.

Thiết bị NAC (NAC Appliance)

Giải pháp phần cứng/phần mềm/VM tập trung: Cisco ISE, Aruba ClearPass, FortiNAC, Portnox, Pulse Policy Secure. Tích hợp với switch (RADIUS/802.1X), firewall, MDM, SIEM, ITSM.