Access Control (การควบคุมการเข้าถึง) คืออะไร
Access Control เป็นกระบวนการกำหนดว่า ใคร (Who) สามารถ ทำอะไร (What) กับ ทรัพยากรไหน (Which Resource) ได้บ้าง โดยยืนยันตัวตน (Authentication) และอนุมัติสิทธิ์ (Authorization) เป็นหัวใจของ Information Security (CIA Triad)
โมเดล Access Control หลัก 4 แบบ
| โมเดล | หลักการ | เหมาะสำหรับ | ตัวอย่าง |
|---|---|---|---|
| DAC (Discretionary Access Control) | เจ้าของทรัพยากรกำหนดสิทธิ์ (ACL) | ระบบไฟล์, Shared Folder, Small Env | Windows NTFS, Linux chmod, Google Drive Sharing |
| MAC (Mandatory Access Control) | ระบบกำหนดสิทธิ์ตาม Label/Classification (Policy ที่ Admin ตั้งค่า ไม่ให้ User เปลี่ยน) | Military, Gov, High Security | SELinux, TrustedBSD, Multics |
| RBAC (Role-Based Access Control) | กำหนดสิทธิ์ตาม Role/หน้าที่งาน (Job Function) | Enterprise, Cloud (AWS IAM, Azure RBAC, K8s RBAC) | Admin, Developer, Auditor, ReadOnly Roles |
| ABAC (Attribute-Based Access Control) | ตัดสินใจจาก Attributes (User, Resource, Environment, Action) — ยืดหยุ่นที่สุด | Cloud, Zero Trust, Fine-grained | AWS IAM Conditions, Google Cloud IAM, XACML |
กระบวนการ Access Control (5 ขั้นตอนมาตรฐาน)
- Identification (การระบุตัวตน) — User ให้ Identifier (Username, Email, Certificate, Device ID)
- Authentication (การยืนยันตัวตน) — พิสูจน์ว่าเป็นผู้นั้นจริง: Password, MFA (OTP, Push, FIDO2), Biometric, Certificate
- Authorization (การอนุมัติสิทธิ์) — ตรวจสอบ Policy (RBAC/ABAC/ACL) ว่า User/Role นี้เข้าถึง Resource/Action นี้ได้หรือไม่
- Access (การเข้าถึง) — อนุญาตให้ทำการกระทำ (Read, Write, Execute, Delete, Admin)
- Auditing/Accounting (การตรวจสอบ/บันทึก) — Log ทุกครั้งที่เข้าถึง (Success/Fail) สำหรับ Compliance, Forensics, Anomaly Detection
องค์ประกอบหลัก 4 อย่าง (4 Core Components)
- Subjects (ผู้เข้าถึง): User, Process, Service, Device, API Client
- Objects (ทรัพยากร): File, Database, API, Network Segment, Application, Cloud Resource
- Actions (การกระทำ): Read, Write, Execute, Delete, Configure, Admin
- Policies/Rules (นโยบาย): Logic ที่ตัดสินใจ Allow/Deny (RBAC, ABAC, ACL)
Access Control ใน Network Security (Network Access Control - NAC)
Physical vs Logical Access Control
- Physical: ควบคุมเข้า Building, Server Room, Rack (Badge, Biometric, Mantrap)
- Logical (Network): ควบคุมเข้า Network, System, Data (802.1X, VPN, Firewall, NAC, Zero Trust)
NAC (Network Access Control) ทำงานอย่างไร
- Device Discovery: Detect Device เชื่อมต่อ Network (DHCP, ARP, RADIUS, SNMP, MDM)
- Profiling/Posture Check: ระบุประเภท Device, OS, Patch Level, AV Status, Encryption, Compliance
- Authentication: 802.1X (EAP-TLS, PEAP), MAB (MAC Auth Bypass), Captive Portal
- Authorization/Enforcement: Assign VLAN, ACL, Firewall Policy, Quarantine VLAN ตาม Posture/Role
- Continuous Monitoring: Re-assess ตลอดการเชื่อมต่อ (Posture Drift Detection)
ทำไม RBAC ถึงได้รับความนิยมมากกว่า ACL (Per-User)
- Scalability: จัดการ Role น้อยกว่าจัดการ User คนละคน
- Consistency: User เดิม Role เดียว = สิทธิ์เท่ากัน ลด Error
- Compliance: แยกหน้าที่ (Separation of Duties) ชัดเจน
- Onboarding/Offboarding: เพิ่ม/ลบ User จาก Role เดียว เสร็จสิ้น
- Audit: ตรวจสอบ Role-based Policy ง่ายกว่า ACL หลายพันบรรทัด
Best Practices สำหรับ Access Control
- Least Privilege: ให้สิทธิ์ขั้นต่ำที่จำเป็นต่อการทำงาน
- Zero Trust: ไม่เชื่อมั่น Network/Device ต้อง Verify ทุก Request
- MFA Everywhere: บังคับ MFA สำหรับทุกการเข้าถึงที่สำคัญ
- Just-in-Time (JIT) Access: ให้สิทธิ์ Admin ชั่วคราว เมื่อต้องการแล้วคืน
- Regular Access Reviews: รีวิวสิทธิ์ทุกไตรมาส/ครึ่งปี (User, Role, Service Account)
- Privileged Access Management (PAM): จัดการ Credential, Session Recording, Approval Workflow สำหรับ Admin
- Automated Provisioning/Deprovisioning: ผูกกับ HR System (Joiner/Mover/Leaver)
สรุป
Access Control ไม่ใช่แค่ Username/Password — เป็น Framework ครบวงจร: Identify → Authenticate → Authorize → Access → Audit ควรใช้ RBAC/ABAC ร่วมกับ Zero Trust, MFA, PAM, NAC และทำ Access Review ตลอดเวลา เพื่อป้องกัน Insider Threat, Credential Theft และ Lateral Movement
