নেটওয়ার্ক সিকিউরিটিতে ভূমিকা-ভিত্তিক অ্যাক্সেস কন্ট্রোল (Role-Based Access Control - RBAC) হলো একটি পলিসি-নিরপেক্ষ অ্যাক্সেস কন্ট্রোল মেকানিজম যেখানে পারমিশন ইউজারের সাথে সরাসরি না জড়িয়ে ভূমিকা (Role) এর সাথে জড়িয়ে থাকে। ব্যবহারকারীকে ভূমিকা অ্যাসাইন করা হয়, এবং ভূমিকায় পারমিশন থাকে। নিচে নেটওয়ার্ক সিকিউরিটিতে ভূমিকা ব্যবহার করার পরিস্থিতি, সুবিধা এবং ইমপ্লিমেন্টেশন গাইড দেওয়া হলো।
| পরিস্থিতি | বিবরণ | উদাহরণ ভূমিকা | পারমিশন উদাহরণ |
|---|
| ১. বড় টিম/অর্গানাইজেশন | сотনীর সংখ্যক নেটওয়ার্ক ইঞ্জিনিয়ার, SOC অ্যানালিস্ট, অডিটর কাজ করলে প্রত্যেকের জন্য আলাদা ACL ম্যানেজ করা অসম্ভব। | Network Admin, SOC Analyst Tier 1, SOC Analyst Tier 2, Auditor, Read-Only Operator | Admin: Full Config R/W; Tier 1: View Logs, Ack Alerts; Tier 2: Block IP, Modify Policy (Limited); Auditor: Read-Only All Logs/Config; Operator: View Dashboard Only |
| ২. পৃথক কর্তব্য (Separation of Duties - SoD) | কম্প্লায়েন্স (PCI-DSS, SOX, HIPAA) এ একই ব্যক্তি কনফিগারেশন চেঞ্জ ও অপ্রুভাল উভয়ই করতে পারবে না। | Change Requester, Change Approver, Change Implementer, Emergency Admin | Requester: Create Ticket; Approver: Approve Ticket; Implementer: Apply Config (Read/Write during window); Emergency: Break-glass Access (Time-bound, Logged) |
| ৩. মাল্টি-টেন্যান্ট / ম্যানেজড সিকিউরিটি সার্ভিস (MSSP) | একই ফায়ারওয়াল/প্ল্যাটফর্মে একাধিক ক্লায়েন্টের ডেটা/নেটওয়ার্ক ম্যানেজ করতে হলে টেন্যান্ট-আইসোলেশন। | Client-A Admin, Client-B Admin, MSSP Super Admin, MSSP Analyst | Client Admin: Own Tenant Config/Logs Only; Super Admin: All Tenants; Analyst: Cross-tenant Alert View (No Config) |
| ৪. নেটওয়ার্ক সেগমেন্টেশন / জোন-ভিত্তিক অ্যাক্সেস | ফায়ারওয়াল/সিকিউরিটি অ্যাপ্লায়েন্সে বিভিন্ন সিকিউরিটি জোন (DMZ, Internal, Server, OT, Cloud) জন্য আলাদা অ্যাক্সেস। | DMZ Admin, Server Admin, OT Engineer, Cloud NetSec Engineer | DMZ Admin: DMZ Policies/Objects Only; Server Admin: Server Farm Policies; OT Engineer: OT Zone Read/Write (No IT Zone) |
| ৫. থার্ড-পার্টি ভেন্ডর / কন্ট্র্যাক্টর অ্যাক্সেস | বাহ্যিক ভেন্ডরকে সীমিত সময় ও স্কোপে অ্যাক্সেস দিতে হলে (Just-in-Time Access)। | Vendor VPN User, Vendor Read-Only, Vendor Time-Bounded Admin | VPN Access Only; Read-Only Logs; Time-Bounded Config Access (PIM/PAM Integration) |
| ৬. অটোমেশন / সার্ভিস অ্যাকাউন্ট | Terraform, Ansible, CI/CD Pipeline, SIEM API, Vulnerability Scanner — বট/স্ক্রিপ্টের জন্য লিস্ট প্রিভিলেজড রোল। | API-ReadOnly, API-Config-Push, API-Log-Forwarder | API-ReadOnly: GET Only; API-Config-Push: POST/PUT Specific Endpoints; API-Log-Forwarder: Log Push Endpoint Only |
| ৭. ইমার্জেন্সি / ব্রেক-গ্লাস অ্যাক্সেস | প্রাইমারি IAM/IDP ডাউন থাকলে বা বড় ইন্সিডেন্টে ফুল অ্যাডমিন প্রয়োজন হলে। | Break-Glass Admin, Crisis Manager | Full Super Admin (Time-Limited, Heavy Audit, Dual Approval, Auto-Revocation) |
নেটওয়ার্ক সিকিউরিটি ডিভাইস/প্ল্যাটফর্মে RBAC ইমপ্লিমেন্টেশন (Vendor Examples)
| প্ল্যাটফর্ম | RBAC ফিচার | কীওয়ার্ড/অবজেক্ট |
|---|
| Palo Alto Networks (Pan-OS / Strata Cloud Manager) | Role-Based Admin (Device Group, Template, VSYS, Tag-Based) | Admin Roles, Admin Role Profiles, Device Groups, Tags, Dynamic Admin Roles (SAML/SCIM) |
| FortiGate / FortiManager | Access Profiles (Global / VDOM), Restricted Admin Profiles | Access Profile (Custom), VDOM Assignment, Trusthost, PKI/SAML/RADIUS Admin |
| Cisco ASA / FTD (FMC) | CLI Privilege Levels (0-15), FMC Custom Roles (Tenant, Domain, Object) | Privilege Command, AAA Server (ISE/RADIUS) Attribute, FMC Role-Based Access Control (RBAC) |
| Check Point (Gaia / SmartConsole) | Admin Profiles (Read/Write/Super), Permission Profiles, MDS/Global Policy | Admin Profile, Permission Profile, Domain/Global Management, SmartConsole Permissions |
| SonicWall (Gen 7 / NSM) | Administrator Types (System, Security, Network, Audit), Custom Roles | Admin Type, Custom Admin Role, RADIUS/LDAP/SAML Attributes, NSM Role Mapping |
| Sophos XG/XGS (SFOS / Central) | Administrator Roles (Predefined/Custom), Role-Based Access Control (RBAC) | Administrator Role, Custom Role, Web Admin Settings, Sophos Central Role Mapping |
| Ubiquiti UniFi (Network App / Cloud) | Admin Roles (Super Admin, Admin, Read Only, Guest Admin), Site-Level Isolation | Account Role, Site Access, Device Adoption Permissions |
| AWS / Azure / GCP (Cloud Network Security) | IAM Roles / Custom Roles / ABAC (Tags), Condition Keys | IAM Policy (JSON), Custom Roles (permissions), Condition Keys (network, resourceTag), Azure RBAC (Owner, Contributor, Network Contributor, Custom) |
RBAC ডিজাইন সেরা অনুশীলন (Best Practices)
- Least Privilege Principle: প্রতিটি রোলের জন্য ন্যূনতম প্রয়োজনীয় পারমিশন দিন। "Admin" রোল কম থেকে কম লোকের জন্য।
- Role Hierarchy & Inheritance: বেস রোল (Read-Only) > স্পেশালাইজড রোল (Firewall Admin) > সুপার রোল (Super Admin)। ইনহেরিটেন্স ব্যবহার করুন।
- Attribute-Based Access Control (ABAC) এক্সটেনশন: রোলের পাশাপাশি ট্যাগ/লেবেল/কনটেক্সট (Location, Time, Device Health, Risk Score) ভিত্তিক ডাইনামিক অথরাইজেশন (Google Zanzibar, AWS IAM Conditions, Cisco pxGrid/ISE)।
- Just-in-Time (JIT) / Privileged Access Management (PAM): স্ট্যান্ডিং প্রিভিলেজ না দিয়ে অন-ডিমান্ড, টাইম-বাউন্ডেড, অডিটেড প্রিভিলেজ (CyberArk, BeyondTrust, HashiCorp Boundary, Azure PIM, AWS IAM Identity Center)。
- Lifecycle Management: Joiner-Mover-Leaver প্রসেসে রোল অ্যাসাইন/রিভোক অটোমেট করুন (HRIS/IDP-র সাথে ইন্টিগ্রেশন: Okta, Azure AD, Ping, SailPoint)।
- Audit & Review: কোয়ার্টারলি রোল রিভিউ (Access Certification), অপ্রयुक्त রোল/অ্যাকাউন্ট রিমুভ, SoD Conflict চেক (SailPoint, Saviynt, Okta Access Certifications)।
- Emergency Access (Break-Glass): ডিক্লেয়ারড ইমার্জেন্সি রোল, ডুয়াল অপ্রুভাল, ফুল অডিট লগ, অটো-রিভোকেশন (৪-৮ ঘণ্টা)।
নেটওয়ার্ক সিকিউরিটির ৫টি বুনিয়াদি উপাদান (CIA + Authenticity + Non-repudiation) ও RBAC
- Confidentiality: RBAC নিশ্চিত করে যে সংবেদনশীল কনফিগ (VPN Keys, Certificates, Private Keys) শুধু Authorized Roles পাড়েন।
- Integrity: কনফিগারেশন চেঞ্জ শুধু Authorized Roles (Change Implementer) করুন, Unauthorized Change ব্লক।
- Availability: Emergency Roles (Break-Glass) নিশ্চিত করে যে আউটেজের সময় ফুল অ্যাক্সেস পাওয়া যায়।
- Authenticity: MFA + RBAC = Strong Identity Assurance।
- Non-repudiation: সব রোল-ভিত্তিক অ্যাকশন লগ (Who, What, When, Role) — SIEM-এ কোরিলেট।
সাধারণ ভুল ও এড়ানোর উপায়
- Over-provisioning: সবাইকে "Admin" বা "Super User" বানানো। সমাধান: Default Deny, Role Mining (Existing Access Analysis) করুন।
- Role Explosion: অতিরিক্ত গ্রানুলার রোল (৫০+ রোল) ম্যানেজ করা কঠিন। সমাধান: Composite Roles, Business Roles > Technical Roles, ABAC।
- Stale Roles: প্রজেক্ট শেষে রোল রিমুভ না করা। সমাধান: Automated Recertification Campaigns (৯০ দিন)।
- Shared Accounts: "admin" অ্যাকাউন্ট শেয়ার করা। সমাধান: Named Accounts + PAM + MFA।
- No Segregation of Duties: একই ব্যক্তি ফায়ারওয়াল রুল বানায় এবং ডিপ্লয় করে। সমাধান: Workflow Approval (ServiceNow/Jira + PAM) + Separate Roles।
