Đây là nguyên tắc thiết kế đóng vai trò không thể thiếu trong việc định hình bối cảnh bảo mật của bất kỳ tổ chức nào. Nó quy định việc chỉ phân bổ các đặc quyền tối thiểu cho bất kỳ thực thể nào bao gồm người dùng, chương trình hoặc quy trình.
Nguyên tắc đặc quyền tối thiểu là gì? Nó hoạt động như thế nào?
Tiền đề chính đằng sau khái niệm này là số lượng đặc quyền ít nhất sẽ gây ra ít thiệt hại nhất.
Nếu kẻ tấn công cố gắng xâm nhập vào mạng bằng cách chiếm quyền truy cập của người dùng cấp thấp, chúng sẽ không thể truy cập vào các hệ thống quan trọng. Một nhân viên có quyền truy cập người dùng cấp thấp cố gắng lạm dụng hệ thống cũng sẽ không thể gây ra nhiều thiệt hại.
Nguyên tắc cấp đặc quyền tối thiểu cho phép truy cập từ dưới lên. Chỉ cung cấp quyền truy cập tối thiểu để thực hiện các chức năng công việc cần thiết và các điều chỉnh được thực hiện khi yêu cầu công việc thay đổi. Bằng cách hạn chế các đặc quyền, an ninh của bất kỳ tổ chức nào được giữ nguyên vẹn.
Hãy xem nguyên tắc đặc quyền tối thiểu có thể được thực hiện theo cách tốt nhất có thể như thế nào.
5 cách tốt nhất để thực hiện nguyên tắc đặc quyền tối thiểu
Hầu hết nhân viên đều muốn có mức truy cập cao nhất để thực hiện công việc của họ một cách dễ dàng nhưng việc cấp quyền truy cập mà không tiến hành đánh giá rủi ro thích hợp có thể gây nguy hiểm cho an ninh của tổ chức.
Dưới đây là 5 cách tốt nhất để triển khai ít đặc quyền nhất:
- Tiến hành kiểm tra quyền truy cập thường xuyên: Thật khó để theo dõi các đặc quyền của người dùng và cân nhắc xem liệu họ có cần sửa đổi hay không. Việc tiến hành kiểm tra theo lịch trình thường xuyên cho tất cả các tài khoản, quy trình và chương trình hiện có đảm bảo rằng không thực thể nào có nhiều quyền hơn mức cần thiết.
- Bắt đầu với đặc quyền tối thiểu: Sử dụng các đặc quyền tối thiểu, đặc biệt là khi thiết lập tài khoản người dùng mới. Mở rộng quy mô các quyền khi cần thiết.
- Đặt “hạn sử dụng” cho đặc quyền: Việc hạn chế tạm thời các đặc quyền nâng cao khi cần thiết là một cách hay để nắm rõ thông tin xác thực của người dùng. Một số đặc quyền được nâng cao cũng phải được đặt hạn sử dụng với thông tin xác thực sử dụng một lần để đảm bảo tính bảo mật tối đa.
- Xem xét việc tách biệt các đặc quyền: Giữ các loại cấp độ truy cập khác nhau tách biệt với nhau. Ví dụ: tài khoản quản trị viên phải được nhóm riêng biệt với tài khoản tiêu chuẩn.
- Áp đặt khả năng truy xuất nguồn gốc: Thiết lập tài khoản với ID người dùng cụ thể và mật khẩu một lần (OTP) có giám sát để đảm bảo kiểm tra tự động và truy xuất nguồn gốc để kiểm soát thiệt hại.
Một ví dụ thực tế về lạm dụng đặc quyền
Vào năm 2013, Edward Snowden, một cựu nhà thầu của CIA, đã tiết lộ nhiều thông tin chi tiết về tình báo Mỹ liên quan đến giám sát internet và điện thoại cho giới truyền thông. Anh ta đã được cấp đặc quyền quản trị hệ thống một cách sai lầm trong khi công việc của anh ta với tư cách là một nhà thầu chỉ liên quan đến việc chuyển dữ liệu giữa các cơ quan khác nhau.
Trường hợp Edward Snowden là ví dụ điển hình về việc lạm dụng đặc quyền không cần thiết. Để ngăn chặn các vấn đề tương tự trong tương lai, Cơ quan An ninh Quốc gia Mỹ NSA đã cắt giảm số lượng người dùng có đặc quyền quản trị hệ thống từ 1.000 xuống chỉ còn 100.
Lợi ích của nguyên tắc đặc quyền tối thiểu
Bên cạnh việc ngăn chặn việc lạm dụng đặc quyền, nguyên tắc đặc quyền tối thiểu còn mang lại rất nhiều lợi ích khác.
Cải thiện tính bảo mật: Việc hạn chế đặc quyền cho con người và quy trình cũng hạn chế khả năng khai thác (exploit) và tấn công của người dùng. Người dùng càng có nhiều quyền lực, họ càng có khả năng lạm dụng hệ thống.
Ít xuất hiện phần mềm độc hại hơn: Với các đặc quyền tối thiểu được áp dụng, phần mềm độc hại có thể được giới hạn trong khu vực xuất xứ để ngăn chặn sự lan truyền thêm vào hệ thống. Ví dụ: cuộc tấn công tiêm nhiễm SQL khét tiếng có thể được dễ dàng giảm thiểu vì nó dựa vào việc thiếu đặc quyền tối thiểu.
Hiệu suất hoạt động nâng cao: Vì đặc quyền tối thiểu chỉ cho phép một số ít người dùng thực hiện các thay đổi được ủy quyền trong hệ thống nên điều này giúp giảm các vấn đề về khả năng tương thích và xảy ra lỗi vận hành. Sự ổn định của hệ thống cũng được đảm bảo do thời gian ngừng hoạt động (downtime) giảm.
Kiểm tra dễ dàng: Các hệ thống chạy theo nguyên tắc đặc quyền tối thiểu là ứng cử viên sáng giá cho việc kiểm tra đơn giản hóa. Là một lợi ích bổ sung, nhiều cơ quan quản lý chung coi việc thực hiện đặc quyền tối thiểu là một phần của yêu cầu tuân thủ.
Giảm các cuộc tấn công phi kỹ thuật: Hầu hết các cuộc tấn công phi kỹ thuật như lừa đảo đều được thực hiện bằng cách dụ người dùng mở tệp đính kèm hoặc đường link bị nhiễm. Với nguyên tắc đặc quyền tối thiểu được áp dụng, tài khoản quản trị có thể hạn chế việc thực thi một số loại tệp nhất định và thậm chí bắt buộc dùng các trình quản lý mật khẩu để giảm sự xuất hiện của các cuộc tấn công như vậy.
Cải thiện khả năng ứng phó sự cố: Nguyên tắc đặc quyền tối thiểu giúp hiểu và giám sát cấp độ truy cập của người dùng, từ đó, đẩy nhanh các nỗ lực ứng phó sự cố trong trường hợp bị tấn công hoặc vi phạm bảo mật.
Privilege Creep (Đặc quyền dần leo lên cao) là gì?
Bạn có bao giờ cảm thấy rằng nhân viên của mình có nhiều quyền truy cập CNTT hơn mức họ cần không? Hoặc có lẽ với tư cách là một nhân viên, bạn cảm thấy mình được cấp quyền truy cập vào các hệ thống mà bạn hiếm khi sử dụng?
Dù thế nào đi nữa, việc tích lũy các đặc quyền không cần thiết cho người dùng được gọi là “Privilege Creep”. Hầu hết nhân viên thay đổi vai trò trong một tổ chức và việc tiếp tục được cấp thêm những đặc quyền đáng lẽ phải bị thu hồi sau khi chức năng công việc không còn cần đến.
Nhiều nghiên cứu chỉ ra rằng người dùng có đặc quyền quá mức là mối đe dọa lớn nhất đối với an ninh và hầu hết các vụ vi phạm bảo mật đều do các mối đe dọa nội bộ gây ra. Nguyên tắc đặc quyền tối thiểu ngăn chặn đặc quyền tăng lên bằng cách khuyến khích đánh giá rủi ro, kiểm toán và truy xuất nguồn gốc nhân viên theo lịch trình thường xuyên.
Kết luận
Khái niệm tối giản cũng áp dụng cho thế giới an ninh mạng—người dùng càng có ít đặc quyền thì càng ít nguy cơ xảy ra các biến chứng tiềm ẩn. Nguyên tắc đặc quyền tối thiểu là một khái niệm thiết kế tinh gọn nhưng có ý nghĩa nhằm đảm bảo một cách tiếp cận hạn chế trong việc cấp phép.
Việc thực hiện nguyên tắc đặc quyền tối thiểu cùng với việc phát triển nhận thức sâu sắc về cách giữ an toàn cho dữ liệu là công cụ giúp giảm rủi ro bảo mật và bảo vệ tài sản quan trọng của bạn.
Tìm hiểu ngay chương trình học công nghệ thông tin trực tuyến tại FUNiX ở đây:
Vân Nguyễn
Dịch từ: https://www.makeuseof.com/principle-least-privilege-prevents-cyberattacks/
Bình luận (0
)