ACL (Danh sách kiểm soát truy cập) trong bảo mật mạng
ACL là tập hợp quy tắc cho phép/từ chối lưu lượng mạng dựa trên thông tin header IP: địa chỉ IP nguồn/đích, số giao thức (TCP/UDP/ICMP), số cổng (port). ACL hoạt động như bộ lọc gói tin trên router/switch.
Cách ACL bảo vệ mạng
- Lọc gói tin inbound/outbound trên interface router/switch
- Chặn truy cập trái phép vào thiết bị mạng
- Ngăn thiết bị bị dùng làm trung gian tấn công mạng khác
- Kiểm soát luồngrouting updates từ các peer
- Định nghĩa chính sách luồng traffic (traffic flow control)
Phân loại ACL
| Loại ACL | Số hiệu | Lọc dựa trên | Khả năng |
|---|---|---|---|
| Standard ACL | 1-99, 1300-1999 | Chỉ Source IP | Cơ bản, ít chi tiết |
| Extended ACL | 100-199, 2000-2699 | Source IP, Destination IP, Protocol, Source/Dest Port | Chi tiết, linh hoạt |
| Named ACL | Tên tùy chọn | Giống Extended nhưng dễ quản lý | Hỗ trợ sửa đổi từng dòng |
Đặc điểm Extended ACL
- Lọc theo Source IP, Destination IP
- Lọc theo Protocol (IP, TCP, UDP, ICMP...)
- Lọc theo Source Port, Destination Port (TCP/UDP)
- Áp dụng gần nguồn (source) nhất có thể
ACL trên Firewall
Firewall sử dụng ACL (rule set) để quyết định cho phép/từ chối kết nối. ACL trên firewall thường stateful (theo dõi trạng thái kết nối) thay vì stateless như router ACL truyền thống.
ACL mạng (Network ACL) trong AWS/VPC
Là lớp bảo vệ bổ sung ở cấp subnet (stateless). Mặc định cho phép tất cả. Quy tắc đánh giá theo thứ tự số thứ tự (rule number) từ thấp đến cao. Khác với Security Group (stateful, cấp instance).
Lợi ích ACL
- Cải thiện hiệu năng mạng bằng cách giới hạn traffic không cần thiết
- Tăng cường bảo mật: nguyên tắc least privilege
- Giảm thiểu bề mặt tấn công
- Hỗ trợ tuân thủ chính sách bảo mật tổ chức
Ba tham số lọc traffic chính
- Địa chỉ Layer 3 (Source/Destination IP)
- Số cổng (Port number)
- Loại giao thức (Protocol type)