Least Privilege là gì? Nguyên tắc đặc quyền tối thiểu trong bảo mật

Nguyên tắc Least Privilege giúp hạn chế quyền truy cập không cần thiết, giảm rủi ro khi tài khoản bị xâm nhập và là một thành phần quan trọng trong nhiều chiến lược bảo mật hiện đại như IAM và Zero Trust. Vậy Least Privilege là gì? cùng tìm hiểu qua bài viết này.

Least Privilege là gì?

Least Privilege hay Principle of Least Privilege (PoLP) có thể hiểu là nguyên tắc đặc quyền tối thiểu. Theo NIST, một hệ thống áp dụng Least Privilege sẽ giới hạn quyền truy cập của người dùng hoặc tiến trình ở mức tối thiểu cần thiết để hoàn thành nhiệm vụ được giao.

Ví dụ, một nhân viên chỉ có nhiệm vụ xem báo cáo doanh thu thì tài khoản của người này có thể chỉ cần quyền Read. Họ không cần được cấp thêm quyền chỉnh sửa, xóa dữ liệu hoặc quản trị toàn bộ hệ thống.

Nếu cấp đồng thời:

• Read
• Write
• Delete
• Administrator

thì phần lớn quyền trong số đó không cần thiết cho công việc và làm tăng rủi ro bảo mật.

Nguyên tắc Least Privilege hoạt động như thế nào?

Least Privilege không có nghĩa là hạn chế quyền càng nhiều càng tốt. Mục tiêu là cấp đủ quyền để công việc được thực hiện nhưng không cấp dư quyền.

Khi thiết kế quyền truy cập, doanh nghiệp có thể xem xét ba yếu tố chính:

• Permission – Quyền gì? Người dùng được phép thực hiện hành động nào như xem, tạo, sửa, xóa hoặc quản trị.
• Scope – Trên phạm vi nào? Quyền đó được áp dụng cho một file, database, ứng dụng, project hay toàn bộ hệ thống.
• Time – Trong bao lâu? Quyền được cấp vĩnh viễn hay chỉ trong khoảng thời gian cần thiết.

Ví dụ, một kỹ sư cần xử lý sự cố Cloud Server lúc 10 giờ sáng. Thay vì cấp tài khoản Administrator cố định, hệ thống có thể cho phép họ kích hoạt quyền quản trị trong 2 giờ. Khi hết thời gian, quyền tự động bị thu hồi.

Cách triển khai này thường được gọi là Just-in-Time Access (JIT).

Tại sao Least Privilege quan trọng?

Việc cấp quyền rộng có thể thuận tiện trong ngắn hạn nhưng tạo ra nhiều rủi ro khi số lượng tài khoản, ứng dụng và tài nguyên ngày càng tăng.

Giảm bề mặt tấn công

Mỗi quyền truy cập bổ sung đều có thể trở thành một con đường để kẻ tấn công tiếp cận tài nguyên.

Nếu một ứng dụng chỉ cần đọc dữ liệu nhưng được cấp thêm quyền xóa database, khi ứng dụng bị khai thác, attacker có thể lợi dụng chính quyền đó để gây thiệt hại lớn hơn.

Áp dụng Least Privilege giúp loại bỏ những quyền không cần thiết và từ đó thu hẹp bề mặt tấn công.

Hạn chế thiệt hại khi tài khoản bị xâm nhập

Giả sử tài khoản của một nhân viên bị đánh cắp.

Nếu tài khoản đó có quyền truy cập toàn bộ hệ thống, kẻ tấn công cũng có thể sử dụng những quyền tương tự.

Ngược lại, nếu tài khoản chỉ được truy cập một vài tài nguyên phục vụ công việc, phạm vi mà attacker có thể tiếp cận sẽ nhỏ hơn đáng kể.

Giảm nguy cơ lạm dụng quyền

Rủi ro không phải lúc nào cũng đến từ hacker bên ngoài.

Nhân viên nội bộ có thể vô tình:

• Xóa nhầm dữ liệu
• Thay đổi cấu hình
• Truy cập dữ liệu nhạy cảm
• Chia sẻ thông tin không đúng đối tượng

Việc giới hạn quyền giúp giảm khả năng người dùng thực hiện những hành động nằm ngoài phạm vi công việc.

Hạn chế privilege escalation

Privilege escalation xảy ra khi kẻ tấn công tìm cách nâng quyền từ tài khoản có đặc quyền thấp lên mức cao hơn.

Nếu trong hệ thống tồn tại quá nhiều tài khoản có quyền Administrator hoặc các ứng dụng được cấp quyền rộng, attacker sẽ có thêm cơ hội khai thác để mở rộng quyền kiểm soát.

Least Privilege giúp giảm số lượng quyền đặc biệt tồn tại trong hệ thống và hạn chế tác động khi một tài khoản bị xâm nhập.

Hạn chế lateral movement

Sau khi xâm nhập một thiết bị hoặc tài khoản, attacker có thể tìm cách di chuyển sang những hệ thống khác trong cùng môi trường, hành vi này được gọi là lateral movement.

Việc giới hạn phạm vi truy cập giúp tạo ra các ranh giới kiểm soát giữa người dùng, ứng dụng và tài nguyên, khiến attacker khó mở rộng từ một điểm bị xâm nhập sang toàn bộ hệ thống.

Ví dụ về Least Privilege trong thực tế

Least Privilege có thể được áp dụng ở nhiều lớp khác nhau trong hạ tầng CNTT.

Ví dụ với database

Một ứng dụng chỉ có chức năng hiển thị danh sách sản phẩm từ database.

Ứng dụng này chủ yếu cần quyền đọc dữ liệu. Nếu cấp thêm quyền DROP TABLE hoặc DELETE toàn bộ database, những quyền đó vượt quá nhu cầu thực tế.

Nếu ứng dụng bị khai thác, attacker có thể tận dụng các quyền dư thừa này.

Ví dụ với Cloud Storage

Một ứng dụng cần upload ảnh của khách hàng lên một bucket nhất định.

Theo Least Privilege, ứng dụng chỉ nên được cấp quyền:

• Truy cập bucket cần thiết
• Upload object
• Đọc object nếu chức năng yêu cầu

Ứng dụng không nhất thiết phải có quyền xóa toàn bộ bucket hoặc quản trị tất cả tài nguyên storage của doanh nghiệp.

Ví dụ với API

Một API token dùng để lấy thông tin đơn hàng chỉ cần quyền đọc đơn hàng.

Nếu token được cấp thêm các quyền như:

• Xóa đơn hàng
• Thay đổi thông tin người dùng
• Quản trị hệ thống

thì hậu quả khi token bị lộ sẽ nghiêm trọng hơn.

Ví dụ với tài khoản quản trị

Quản trị viên thường cần nhiều đặc quyền hơn người dùng thông thường. Tuy nhiên, điều đó không có nghĩa họ cần sử dụng tài khoản Administrator cho mọi hoạt động.

Một cách triển khai phù hợp là sử dụng tài khoản thường cho công việc hàng ngày và chỉ kích hoạt quyền đặc biệt khi thực hiện tác vụ quản trị.

Least Privilege và Zero Trust có liên quan như thế nào?

Least Privilege là một nguyên tắc quan trọng trong kiến trúc Zero Trust.

Mô hình bảo mật truyền thống thường tập trung mạnh vào ranh giới giữa mạng nội bộ và Internet. Khi người dùng đã truy cập được vào mạng nội bộ, họ có thể được tin cậy ở mức tương đối cao.

Zero Trust tiếp cận vấn đề theo hướng khác: người dùng, thiết bị hoặc ứng dụng không được tự động tin cậy chỉ vì chúng đang nằm trong mạng doanh nghiệp.

Mỗi yêu cầu truy cập cần được kiểm tra dựa trên những yếu tố như:

• Danh tính
• Thiết bị
• Quyền truy cập
• Chính sách bảo mật
• Ngữ cảnh truy cập

Sau khi xác thực, người dùng cũng chỉ được cấp quyền tối thiểu cần thiết.

Vì vậy, Least Privilege không phải Zero Trust, nhưng là một trong những nguyên tắc giúp doanh nghiệp hiện thực hóa Zero Trust.

Least Privilege khác IAM, RBAC và PAM như thế nào?

Least Privilege thường xuất hiện cùng IAM, RBAC hoặc PAM nhưng các khái niệm này không hoàn toàn giống nhau.

Cách triển khai Least Privilege trong doanh nghiệp

Least Privilege không phải cấu hình một lần rồi giữ nguyên. Quyền truy cập cần được quản lý liên tục theo sự thay đổi của nhân sự, ứng dụng và hạ tầng.

1. Xác định người dùng và tài khoản

Doanh nghiệp cần thống kê các đối tượng có thể truy cập hệ thống, bao gồm:

• Nhân viên
• Quản trị viên
• Đối tác
• Ứng dụng
• Service account
• API
• Máy chủ

Các tài khoản không còn sử dụng nên được khóa hoặc loại bỏ.

2. Xác định tài nguyên cần truy cập

Tiếp theo, cần xác định mỗi đối tượng thực sự cần sử dụng tài nguyên nào.

Không nên cấp quyền truy cập toàn bộ hệ thống chỉ vì người dùng cần một phần nhỏ trong đó.

3. Phân quyền theo vai trò và nhiệm vụ

Có thể sử dụng RBAC để nhóm các quyền theo vị trí hoặc nhiệm vụ.

Ví dụ, nhân viên marketing có thể cần truy cập CMS nhưng không cần truy cập source code hoặc database production.

4. Hạn chế tài khoản Administrator

Quyền Administrator hoặc Root chỉ nên cấp cho những người thực sự cần.

Ngay cả quản trị viên cũng nên tránh sử dụng tài khoản đặc quyền cho các hoạt động thông thường như duyệt web, đọc email hoặc xử lý tài liệu.

5. Áp dụng Just-in-Time Access

Một số đặc quyền chỉ cần thiết trong khoảng thời gian ngắn.

Thay vì cấp quyền vĩnh viễn, doanh nghiệp có thể thiết lập:

Yêu cầu quyền → Xác minh → Cấp quyền tạm thời → Hoàn thành công việc → Tự động thu hồi

Cách này giúp giảm thời gian tồn tại của các đặc quyền nhạy cảm.

6. Kiểm tra quyền định kỳ

Một nhân viên có thể:

• Chuyển phòng ban
• Thay đổi vị trí
• Tham gia dự án mới
• Rời dự án
• Nghỉ việc

Nếu quyền cũ không được thu hồi, tài khoản sẽ tích lũy ngày càng nhiều permission theo thời gian.

Do đó, doanh nghiệp nên định kỳ thực hiện access review để phát hiện và thu hồi quyền không còn cần thiết. Microsoft cũng khuyến nghị thực hiện recurring access reviews nhằm loại bỏ các permission không cần thiết theo thời gian.

7. Theo dõi và ghi log hoạt động truy cập

Việc áp dụng Least Privilege nên kết hợp với monitoring và logging để biết:

• Ai đang truy cập?
• Truy cập tài nguyên nào?
• Thực hiện hành động gì?
• Thời điểm nào?
• Có hành vi bất thường hay không?

Dữ liệu này cũng hữu ích khi doanh nghiệp cần rà soát lại chính sách và xác định những quyền đang được cấp quá rộng.

Những sai lầm phổ biến khi áp dụng Least Privilege

Một số vấn đề doanh nghiệp thường gặp gồm:

• Cấp quyền Administrator vì thuận tiện: Việc này giúp cấu hình nhanh nhưng khiến nhiều tài khoản có quyền vượt xa nhu cầu thực tế.
• Không thu hồi quyền cũ: Nhân viên thay đổi công việc nhưng vẫn giữ quyền từ các dự án hoặc vị trí trước đó.
• Sử dụng chung tài khoản: Khi nhiều người dùng cùng một tài khoản, việc xác định ai thực hiện một hành động trở nên khó khăn.
• Ứng dụng chạy với quyền quá cao: Một ứng dụng chỉ cần đọc file nhưng lại được chạy bằng Root hoặc Administrator.
• API token có scope quá rộng: Token phục vụ một tác vụ cụ thể nhưng được cấp quyền trên toàn bộ hệ thống.
• Không review quyền định kỳ: Quyền truy cập có xu hướng tích lũy theo thời gian nếu không được kiểm tra và thu hồi thường xuyên.

Câu hỏi thường gặp về Least Privilege

Principle of Least Privilege là gì?

Principle of Least Privilege là nguyên tắc chỉ cấp cho người dùng, ứng dụng hoặc tiến trình mức quyền tối thiểu cần thiết để hoàn thành nhiệm vụ.

Least Privilege có phải Zero Trust không?

Không. Least Privilege là một nguyên tắc kiểm soát quyền truy cập, trong khi Zero Trust là mô hình bảo mật rộng hơn. Tuy nhiên, Least Privilege là một thành phần quan trọng trong việc triển khai Zero Trust.

Least Privilege có áp dụng cho ứng dụng không?

Có. Ứng dụng, API, service account và workload cũng nên chỉ được cấp quyền truy cập vào dữ liệu hoặc tài nguyên thực sự cần thiết.

RBAC có phải Least Privilege không?

Không hoàn toàn. RBAC là phương pháp phân quyền dựa trên vai trò và có thể được sử dụng để triển khai Least Privilege. Tuy nhiên, nếu role được cấp quá nhiều permission thì vẫn có thể vi phạm nguyên tắc Least Privilege.

Kết luận

Hiểu rõ Least Privilege là gì giúp doanh nghiệp xây dựng chính sách truy cập an toàn hơn ngay từ đầu. Thay vì cấp quyền rộng để thuận tiện quản lý, Principle of Least Privilege hướng đến việc cấp đúng quyền, đúng tài nguyên, đúng phạm vi và trong khoảng thời gian cần thiết.

Khi kết hợp Least Privilege với IAM, RBAC, PAM, MFA và Zero Trust, doanh nghiệp có thể giảm quyền truy cập dư thừa, hạn chế ảnh hưởng khi tài khoản bị xâm nhập và tăng khả năng kiểm soát hạ tầng CNTT.