ABAC là gì? Toàn tập về mô hình kiểm soát truy cập dựa trên thuộc tính

Khi nhu cầu bảo mật và phân quyền ngày càng phức tạp, các mô hình kiểm soát truy cập truyền thống có thể thiếu linh hoạt. Vì vậy, nhiều tổ chức bắt đầu quan tâm ABAC là gì và vì sao mô hình này phù hợp với các hệ thống hiện đại. ABAC kiểm soát quyền truy cập dựa trên thuộc tính, giúp phân quyền chi tiết và tăng cường bảo mật. 

ABAC là gì?

ABAC (Attribute-Based Access Control) là mô hình kiểm soát truy cập dựa trên thuộc tính, trong đó quyền truy cập được xác định dựa trên các đặc điểm hoặc thuộc tính thay vì chỉ dựa vào vai trò của người dùng. Các thuộc tính này được đối chiếu với chính sách bảo mật của tổ chức để quyết định một yêu cầu truy cập có được cho phép hay không.

Mục tiêu của ABAC là bảo vệ các tài nguyên như dữ liệu, thiết bị mạng và hệ thống CNTT khỏi người dùng hoặc hành động không được phép. Chỉ những yêu cầu đáp ứng các thuộc tính đã được xác định trong chính sách bảo mật mới có thể được cấp quyền truy cập.

Là một mô hình kiểm soát truy cập logic, ABAC được phát triển từ các phương pháp trước đó như Access Control List (ACL) và Role-Based Access Control (RBAC). Năm 2011, Federal CIO Council cũng khuyến nghị ABAC như một mô hình phù hợp để các tổ chức liên bang chia sẻ thông tin an toàn hơn.

Các thuộc tính chính trong ABAC

Trong Attribute-Based Access Control (ABAC), quyền truy cập được xác định dựa trên các thuộc tính liên quan đến người dùng, tài nguyên, hành động và môi trường truy cập. Đây là cơ sở để hệ thống đối chiếu với chính sách bảo mật và quyết định cho phép hoặc từ chối một yêu cầu truy cập.

Thuộc tính người dùng (User Attributes)

User Attributes mô tả đặc điểm của người dùng đang gửi yêu cầu truy cập. Các thuộc tính phổ biến gồm:

• ID người dùng
• Vai trò hoặc cấp bậc trong tổ chức
• Phòng ban
• Mức độ phân quyền bảo mật
• Nhóm người dùng đang tham gia

Thuộc tính tài nguyên (Resource Attributes)

Resource Attributes mô tả đặc điểm của tài nguyên mà người dùng muốn truy cập, chẳng hạn:

• Loại tài nguyên như tài liệu hoặc cơ sở dữ liệu
• Chủ sở hữu tài nguyên
• Mức độ phân loại, ví dụ công khai hoặc bảo mật
• Ngày tạo tài nguyên
• Phân loại dữ liệu

Thuộc tính hành động (Action Attributes)

Action Attributes xác định loại thao tác mà người dùng muốn thực hiện trên tài nguyên. Ví dụ:

• Đọc, ghi hoặc xóa dữ liệu
• Các HTTP method như GET, POST
• Các thao tác CRUD gồm Create, Read, Update và Delete

Thuộc tính môi trường (Environment Attributes)

Environment Attributes phản ánh bối cảnh tại thời điểm yêu cầu truy cập được thực hiện. Một số thuộc tính thường gặp gồm:

• Thời gian và ngày truy cập
• Địa chỉ IP
• Vị trí địa lý của thiết bị
• Loại thiết bị
• Trạng thái bảo vệ mạng, chẳng hạn VPN hoặc firewall

Nhờ kết hợp nhiều nhóm thuộc tính, ABAC có thể đưa ra quyết định truy cập dựa trên nhiều điều kiện khác nhau thay vì chỉ dựa vào vai trò của người dùng.

Phân biệt RBAC và ABAC

Ứng dụng của ABAC trong thực tế

Nhờ khả năng kiểm soát quyền truy cập dựa trên nhiều thuộc tính, Attribute-Based Access Control (ABAC) có thể được triển khai trong nhiều lĩnh vực như y tế, tài chính, doanh nghiệp, giáo dục và điện toán đám mây.

Y tế

ABAC giúp kiểm soát quyền truy cập vào hồ sơ và dữ liệu bệnh nhân dựa trên các thuộc tính như phòng ban, vai trò, mức độ phân quyền hoặc tình huống khẩn cấp.

Ví dụ, bác sĩ hoặc y tá chỉ được xem những hồ sơ phù hợp với phạm vi công việc và quyền hạn được cấp.

Dịch vụ tài chính

Trong lĩnh vực tài chính, ABAC có thể được sử dụng để:

• Kiểm soát quyền phê duyệt giao dịch theo vai trò và mức độ rủi ro.
• Giới hạn thao tác dựa trên loại giao dịch.
• Kết hợp vị trí, thời gian và tần suất giao dịch để hỗ trợ phát hiện gian lận.

Môi trường doanh nghiệp

Doanh nghiệp có thể áp dụng ABAC để kiểm soát quyền truy cập vào tệp, ứng dụng và hệ thống nội bộ dựa trên phòng ban, vai trò hoặc dự án mà nhân viên tham gia.

Với mô hình làm việc từ xa, quyền truy cập cũng có thể được xác định dựa trên vị trí, loại thiết bị và trạng thái kết nối mạng.

Giáo dục

Trong môi trường giáo dục, ABAC có thể giới hạn quyền truy cập vào:

• Hồ sơ và kết quả học tập của sinh viên.
• Hệ thống quản lý khóa học.
• Thư viện số và các tài nguyên học tập.

Quyền truy cập có thể được xác định dựa trên vai trò như sinh viên, giảng viên, nhân viên hành chính hoặc loại tài khoản đăng ký.

Quản lý danh tính và truy cập (IAM)

ABAC có thể được tích hợp với Identity and Access Management (IAM) để kiểm soát quyền truy cập chi tiết hơn dựa trên thuộc tính của người dùng và tài nguyên.

Ví dụ, khi thuộc tính của người dùng thay đổi, quyền truy cập trong hệ thống có thể được điều chỉnh tương ứng.

Bảo mật Cloud

ABAC được sử dụng để quản lý quyền truy cập vào các tài nguyên và dịch vụ đám mây theo chính sách của tổ chức.

Ví dụ, doanh nghiệp có thể sử dụng thuộc tính trong chính sách AWS IAM để cho phép hoặc từ chối truy cập vào S3 bucket, EC2 và các tài nguyên khác.

Bảo mật và quyền riêng tư dữ liệu

ABAC giúp kiểm soát quyền truy cập vào dữ liệu dựa trên:

• Thuộc tính người dùng.
• Mức độ nhạy cảm của dữ liệu.
• Vai trò hoặc vị trí công việc.
• Điều kiện và môi trường truy cập.

Nhờ đó, tổ chức có thể hạn chế người dùng truy cập những dữ liệu không nằm trong phạm vi quyền hạn.

Hệ thống ERP

Trong hệ thống Enterprise Resource Planning (ERP), ABAC có thể đảm bảo nhân viên chỉ được truy cập những module và dữ liệu cần thiết cho công việc.

Ví dụ, chỉ nhân viên thuộc phòng tài chính mới được phép truy cập một số chức năng trong module tài chính.

Hệ thống quản trị nội dung (CMS)

ABAC cũng có thể được áp dụng trong Content Management System (CMS) để kiểm soát quyền xem, chỉnh sửa hoặc quản lý nội dung dựa trên thuộc tính của người dùng và nội dung.

Ví dụ, biên tập viên có thể được phép chỉnh sửa nội dung thuộc phòng ban của mình nhưng không được thay đổi nội dung đã xuất bản.

Thách thức khi triển khai ABAC

Mặc dù linh hoạt, việc triển khai ABAC cũng có thể gặp một số hạn chế.

Chất lượng và tính nhất quán của thuộc tính

Các thuộc tính dùng để ra quyết định truy cập cần chính xác và được đồng bộ giữa các hệ thống. Nếu dữ liệu thuộc tính không nhất quán, quyền truy cập có thể được xác định sai.

Do đó, tổ chức cần quản lý và cập nhật thuộc tính thường xuyên thông qua các hệ thống quản lý danh tính phù hợp.

Ảnh hưởng đến hiệu suất

Việc đánh giá nhiều thuộc tính và chính sách cho mỗi yêu cầu có thể làm tăng khối lượng xử lý, đặc biệt trong hệ thống quy mô lớn.

Có thể cải thiện hiệu suất bằng cách cache các thuộc tính và chính sách thường xuyên sử dụng, đồng thời áp dụng kiến trúc phân tán để chia tải.

Khả năng mở rộng

Khi số lượng người dùng, tài nguyên và thuộc tính tăng, việc quản lý ABAC sẽ trở nên phức tạp hơn.

Hệ thống vì vậy cần được thiết kế linh hoạt và có khả năng mở rộng để đảm bảo hiệu suất cũng như độ tin cậy.

Trải nghiệm người dùng

Chính sách ABAC cần cân bằng giữa bảo mật và khả năng sử dụng. Nếu quy tắc truy cập quá phức tạp, người dùng có thể gặp khó khăn khi thực hiện công việc.

Doanh nghiệp nên kiểm thử chính sách với người dùng thực tế, đồng thời cung cấp hướng dẫn rõ ràng để quá trình áp dụng ABAC thuận lợi hơn.

Qua bài viết, có thể thấy ABAC là gì không chỉ là khái niệm về kiểm soát truy cập dựa trên thuộc tính mà còn là một cách tiếp cận linh hoạt cho các hệ thống có yêu cầu phân quyền phức tạp. Dù triển khai cần thiết kế chính sách cẩn thận, ABAC vẫn mang lại khả năng kiểm soát truy cập chi tiết và phù hợp với môi trường quy mô lớn.