Access Control Policy (นโยบายควบคุมการเข้าถึง) คืออะไร?
คือชุดกฎและขั้นตอนที่กำหนดว่า ใคร (Subject) สามารถเข้าถึง อะไร (Object) ได้อย่างไร (Action) ภายใต้เงื่อนไขใด (Condition) ในเครือข่ายและระบบสารสนเทศ
ทำไม Access Control จึงเป็นหัวใจของ Network Security?
| เหตุผล | คำอธิบาย |
|---|---|
| ป้องกัน Unauthorized Access | จำกัดการเข้าถึงเฉพาะผู้ได้รับอนุญาต ลดโอกาส Data Breach |
| Enforce Least Privilege | ให้สิทธิ์น้อยที่สุดที่เพียงพอ (Just-Enough, Just-In-Time) |
| Separation of Duties | ป้องกัน Single Point of Failure/Abuse (เช่น Dev ไม่ได้ Deploy Production เอง) |
| Compliance & Audit | PCI-DSS, HIPAA, GDPR, ISO 27001 ต้องการ Access Control Policy ชัดเจนและมีหลักฐาน |
| Incident Containment | จำกัด Blast Radius เมื่อมี Incident (Micro-segmentation, ZTNA) |
Access Control Models (โมเดลควบคุมการเข้าถึง)
1. Discretionary Access Control (DAC)
- เจ้าของทรัพยากร (Owner) ตัดสินสิทธิ์เอง (ACL - Access Control List)
- ยืดหยุ่น แต่ยากต่อการจัดการแบบรวมศูนย์ (Windows File Permissions, Linux rwx)
2. Mandatory Access Control (MAC)
- ระบบ/นโยบายกำหนดสิทธิ์โดยอิง Label/Classification (Top Secret, Secret, Confidential)
- ผู้ใช้ไม่สามารถเปลี่ยนได้ ใช้ใน Military, Government (SELinux, TrustedBSD)
3. Role-Based Access Control (RBAC)
- กำหนดสิทธิ์ตาม Role (Job Function) → User ได้ Role → สืบทอดสิทธิ์
- มาตรฐาน Enterprise (NIST RBAC) ใช้ใน AD Groups, AWS IAM Roles, Kubernetes RBAC
4. Attribute-Based Access Control (ABAC)
- ตัดสินจาก Attributes: User (Dept, Clearance), Resource (Sensitivity), Environment (Time, Location, Device Health)
- ยืดหยุ่นที่สุด รองรับ Zero Trust (XACML, OPA/Rego, AWS IAM Conditions)
5. Rule-Based Access Control (RuBAC)
- กฎที่กำหนดล่วงหน้า (Rules) เช่น "Block Traffic from Country X", "Allow Port 443 Only"
- ใช้ใน Firewall, Router ACL, Network Policy
Access Control ใน Network Security Context
Network Access Control (NAC)
- Pre-admission: ตรวจสอบ Device Health (Patch, AV, Encryption) ก่อนปลอดให้เข้าถึง Network
- Post-admission: ติดตามพฤติกรรม จำกัด VLAN/ACL ตาม Role/Compliance
- Integration: 802.1X, RADIUS, MDM/EMM, Vulnerability Scanner
Firewall / Network Policy
- Layer 3/4: IP, Port, Protocol (Traditional ACL)
- Layer 7 (App-ID): Application, User, Content (Next-Gen Firewall)
- Micro-segmentation: Host-based Firewall, Service Mesh (Istio, Cilium), Cloud Security Groups
Zero Trust Network Access (ZTNA)
- Identity-based Access (ไม่ใช่ IP-based)
- Continuous Verification (Device Posture, Risk Score)
- Least Privilege (Per-App, Per-Resource)
4 ส่วนประกอบของ Access Control System (AAA + Accounting)
- Identification: ระบุตัวตน (Username, Certificate, Device ID)
- Authentication: ยืนยันตัวตน (Password, MFA, Certificate, Biometric)
- Authorization: ตัดสินสิทธิ์ (RBAC, ABAC, Policy Engine)
- Accounting/Auditing: บันทึก Log (Who, What, When, Where) สำหรับ Forensics/Compliance
Best Practices สำหรับ Access Control Policy
- เขียน Policy ให้ชัดเจน: Scope, Roles, Procedures, Exceptions, Review Cycle
- Implement Least Privilege และ Need-to-Know
- บังคับ MFA สำหรับ Remote Access, Admin, Privileged Accounts
- ใช้ Automated Provisioning/Deprovisioning (HR System → AD/IdP → Apps)
- Regular Access Reviews (Quarterly): Recertification, Remove Stale Accounts
- Privileged Access Management (PAM): Vault, Session Recording, Just-In-Time Access
- Network Segmentation: VLAN, Firewall Zones, Micro-segmentation ตาม Sensitivity
- Encrypt Data in Transit (TLS 1.3, IPsec, WireGuard) และ At Rest
- Monitor & Alert: Anomalous Access, Impossible Travel, Privilege Escalation
