Tìm hiểu nguyên tắc đặc quyền tối thiểu trong bảo mật thông tin

[whf]

Đặc quyền tối thiểu (Least Privilege) là một nguyên tắc bảo mật cơ bản và có thể được áp dụng rộng rãi để hạn chế quyền truy cập hoặc quyền thực hiện một số hành động trên hệ thống.

​

Trong bảo mật thông tin, đặc quyền tối thiểu còn được gọi là nguyên tắc đặc quyền tối thiểu, yêu cầu trong một môi trường cụ thể thì các tiến trình, người dùng hoặc chương trình chỉ được tiếp cận những tài nguyên nhất định cần thiết cho mục đích cụ thể. Đặc quyền tối thiểu yêu cầu nhà phát triển phải hiểu những đặc quyền nào cần thiết để một ứng dụng có thể thực thi và truy cập tất cả các tài nguyên cần thiết của nó.

Tầm quan trọng của đặc quyền tối thiểu

• Tránh các vấn đề bảo mật: Ví dụ điển hình về vấn đề này là Edward Snowden - người đã làm rò rỉ hàng triệu tài liệu mật của NSA. Việc phân quyền, đặc biệt là các quyền quan trọng, không cần thiết cho người dùng có thể gây ra các vấn đề về an toàn.
• Giảm thiểu khả năng bị tấn công: Việc giới hạn các đặc quyền đối với người, tiến trình và ứng dụng làm giảm thiểu các con đường dẫn đến bị tấn công và khai thác.
• Hạn chế lây lan mã độc: Hệ thống triển khai tốt đặc quyền tối thiểu có thể hạn chế đáng kể việc tấn công và lây nhiễm của mã độc.
• Cải thiện hiệu suất hoạt động: Đối với các ứng dụng và hệ thống, việc sử dụng đặc quyền tối thiểu trong phạm vi tiến trình để thực hiện một hoạt động nhất định sẽ giảm nguy cơ xảy ra các vấn đề không tương thích giữa các ứng dụng hoặc hệ thống khác và giúp giảm nguy cơ downtime.
• Giảm sự phức tạp, giúp chứng minh sự tuân thủ: Bằng cách hạn chế các hoạt động có thể, việc thực thi đặc quyền tối thiểu sẽ giúp tạo ra một môi trường ít phức tạp hơn và do đó, thuận lợi hơn cho hoạt động audit. Hơn nữa, các quy định tuân thủ như PCI DSS cũng yêu cầu các tổ chức áp dụng chính sách truy cập đặc quyền tối thiểu để đảm bảo quản lý dữ liệu thích hợp và nâng cao bảo mật hệ thống.

Các phương pháp thực hiện nguyên tắc đặc quyền tối thiểu

• Áp dụng "đặc quyền tối thiểu làm mặc định." Nguyên tắc này cơ bản đến mức nó phải là tư duy mặc định cho tất cả các chuyên gia bảo mật, tuy nhiên nhiều tổ chức đã không thực hiện một cách đầy đủ và đúng cách.
• Thực hiện các nguyên tắc bảo mật liên quan. Việc thực hiện các nguyên tắc bảo mật khác kết hợp với nguyên tắc đặc quyền tối thiểu cách hợp lý sẽ làm giảm thiểu rủi ro.
• Giới hạn số lượng tài khoản có nhiều đặc quyền. Bởi vì các quản trị hệ thống có các đặc quyền hầu như không giới hạn, những kẻ tấn công thường nhắm mục tiêu vào các tài khoản đó, vì vậy hãy giới hạn số lượng tài khoản quản trị ở số lượng thấp nhất cần thiết.
• Vô hiệu hóa các tính năng không cần thiết. Khi cấu hình hệ thống hoặc ứng dụng, hãy xóa hoặc tắt tất cả các dịch vụ không cần thiết, những dịch vụ này thường được bật và chạy theo mặc định khi khởi động. Các dịch vụ không cần thiết càng ít rủi ro càng giảm.
• Xem lại log thường xuyên. Ghi log và giám sát tất cả các xác thực / ủy quyền cho các hệ thống quan trọng và kiểm tra log hàng ngày, nếu có thể. Sử dụng các công tự động hóa để tóm tắt các sự kiện phổ biến và cảnh báo bạn về các hoạt động bất thường. Tìm kiếm những sự kiện đăng nhập thành công và thất bại cũng như bất kỳ loại thay đổi kiểm soát truy cập nào, chẳng hạn như các quy tắc tường lửa mới được thêm vào hoặc tài khoản người dùng đã được thêm.
• Thường xuyên đánh giá lại các tài khoản và đặc quyền. Nếu có thể, hãy xem xét các đặc quyền hàng tháng hoặc tối thiểu là hàng quý. Đảm bảo các tài khoản đang hoạt động có các đặc quyền tối thiểu cần thiết, thu hồi mọi đặc quyền vượt quá chức năng, nhiệm vụ, đóng hoặc thu hồi các tài khoản cũ hoặc không hoạt động. Việc xem xét thường xuyên giúp giảm nguy cơ “leo thang đặc quyền”, điều này thường xảy ra khi các bộ phận tổ chức lại hoặc các cá nhân thay đổi vai trò và các đối tượng giữ lại các đặc quyền mà họ không cần nữa.
• Sử dụng các đặc quyền có giới hạn thời gian. Hãy cấp các đặc quyền vừa đủ thời gian để người dùng thực hiện một nhiệm vụ cụ thể. Bất cứ khi nào khả thi, hãy thực hiện tương tự đối với các nhiệm vụ quản trị viên cụ thể để giảm thiểu rủi ro.