কীভাবে WiFi নিরাপত্তা উন্নত করা যায় সে সম্পর্কে বেশিরভাগ পরামর্শ এখনও ভুল প্রশ্ন দিয়ে শুরু হয়। এটি জিজ্ঞাসা করে, "আপনার Wi-Fi পাসওয়ার্ড কতটা শক্তিশালী?" একটি এন্টারপ্রাইজ, একটি হোটেল, একটি রিটেল এস্টেট, একটি হাসপাতাল, বা একটি মাল্টি-টেন্যান্ট বিল্ডিংয়ে, এটি আর প্রধান সমস্যা নয়।

সমস্যাটি হল শেয়ার্ড ট্রাস্ট (shared trust)। কর্মী, অতিথি, ঠিকাদার, কিয়স্ক, টিভি, সেন্সর, ক্যাশ রেজিস্টার এবং ট্যাবলেটগুলি যদি একই শংসাপত্র মডেলের উপর নির্ভর করে, তবে একটি দুর্বল পয়েন্ট ধারণার চেয়ে অনেক বেশি কিছু প্রকাশ করে দিতে পারে। একটি দীর্ঘ পাসওয়ার্ড মৌলিক এনক্রিপশনে সাহায্য করে। এটি আপনাকে পরিচয়, জবাবদিহিতা, প্রত্যাহার বা নিয়ন্ত্রণ দেয় না।

আধুনিক Wi-Fi নিরাপত্তা একটি গোপন কোড অনুমান করা কঠিন করার চেয়ে এটি নিশ্চিত করার বিষয়ে বেশি যে কোনও একক গোপন কোড প্রথম স্থানেই ব্যাপক অ্যাক্সেস মঞ্জুর না করে। এর অর্থ হল ওয়্যারলেসকে একটি পরিচয় এবং পলিসি লেয়ার হিসেবে বিবেচনা করা, কেবল একটি RF পরিষেবা হিসেবে নয়।

আপনার Wi-Fi সিকিউরিটি মডেলটি পুনরায় ভাবুন

অনেক এন্টারপ্রাইজ WiFi স্থাপনার সবচেয়ে দুর্বল অংশ রেডিও, সাইফার বা অ্যাক্সেস পয়েন্ট নয়। এটি হল সম্পর্কহীন ব্যবহারকারী এবং ডিভাইসগুলির বিশাল গ্রুপকে একই ট্রাস্ট মডেল শেয়ার করার অনুমতি দেওয়ার সিদ্ধান্ত।

একটি শেয়ার্ড WiFi পাসওয়ার্ড কাগজে কলমে দক্ষ দেখায়। বাস্তবে, এটি অপারেশনাল ঋণ তৈরি করে। কর্মীরা চ্যাটে এটি আদান-প্রদান করে। কাজ শেষ হওয়ার পরেও ঠিকাদাররা এটি নিজেদের কাছে রাখে। ফ্রন্ট ডেস্ক টিম সারাদিন এটি বিতরণ করে। সুবিধা ব্যবস্থাপনা টিম প্রিন্টার, ডিসপ্লে এবং সেন্সরগুলিকে একই শংসাপত্রের সাথে সংযুক্ত করে কারণ এটি দ্রুত হয়। এর পরে, অ্যাক্সেস প্রত্যাহার করার অর্থ সাধারণত সবার জন্য পাসওয়ার্ড পরিবর্তন করা, তারপর তার উপর নির্ভর করা প্রতিটি ডিভাইসের সমস্যাগুলি সমাধান করা।

হোটেল, ক্যাম্পাস, রিটেল এস্টেট, হাসপাতাল, স্টেডিয়াম এবং মাল্টি-টেন্যান্ট বিল্ডিংগুলিতে এই মডেলটি দ্রুত ভেঙে পড়ে।

কেন পাসওয়ার্ড আর যথেষ্ট নয়

মূল সমস্যা পাসওয়ার্ডের শক্তি নয়। এটি হল ব্যক্তিগত জবাবদিহিতা এবং নিয়ন্ত্রণের অভাব যখন অনেক ব্যবহারকারী বা ডিভাইস একই গোপন কোড দিয়ে প্রমাণীকরণ করে।

এন্টারপ্রাইজ পরিবেশে ওয়্যারলেস আক্রমণগুলি প্রায়শই এমন একটি ডিভাইস দিয়ে শুরু হয় যা ঠিক যেভাবে উদ্দেশ্য ছিল সেভাবেই সংযুক্ত হয়েছিল। একটি পরিচালিত ল্যাপটপ ফিশিংয়ের মাধ্যমে ম্যালওয়্যার পায়। একজন ঠিকাদারের ডিভাইস প্রয়োজনের চেয়ে বেশি সময় ধরে অনুমোদিত থাকে। দুর্বল সুরক্ষাসহ একটি IoT এন্ডপয়েন্ট এমন একটি নেটওয়ার্কে প্রবেশ করে যা এটিকে খুব বেশি অ্যাক্সেস দেয়। প্রতিটি ক্ষেত্রে, প্রাথমিক WiFi যোগদান বৈধ হতে পারে। এক্সপোজারটি আসে ভর্তির পরে সেই সংযোগটি কী উপস্থাপন করে তা থেকে।

শেয়ার্ড ক্রেডেন্সিয়াল একটি শেয়ার্ড ব্লাস্ট রেডিয়াস তৈরি করে।

একটি শেয়ার্ড কী-এর সাহায্যে, কোনো নির্দিষ্ট ব্যক্তি বা এন্ডপয়েন্টের সাথে কার্যকলাপকে স্পষ্টভাবে লিঙ্ক করার কোনো পরিষ্কার উপায় নেই, অন্যদের প্রভাবিত না করে কোনো এক পক্ষকে প্রত্যাহার করার কোনো সুনির্দিষ্ট উপায় নেই এবং ভূমিকা অনুসারে অ্যাক্সেস বরাদ্দ করার কোনো জোরালো ভিত্তি নেই। এটি এমন পরিবেশের জন্য অনুপযুক্ত যেখানে কর্মচারী, অতিথি, বাসিন্দা, ভাড়াটে, পয়েন্ট-অফ-সেল সিস্টেম, সাইনেজ, মেডিকেল ডিভাইস, ক্যামেরা এবং বিল্ডিং সিস্টেমের সকলেরই বিভিন্ন স্তরের ট্রাস্টের প্রয়োজন হয়।

একটি আরও ভালো মডেল কেমন দেখায়

একটি শক্তিশালী WiFi সিকিউরিটি মডেল প্রতিটি পাসওয়ার্ডের ভিত্তিতে নয়, প্রতিটি পরিচয়ের ভিত্তিতে অ্যাক্সেস বরাদ্দ করে।

তার মানে প্রতিটি ব্যবহারকারী বা ডিভাইস নিজস্ব শর্তে প্রমাণীকরণ করে, নীতিগুলি মূল্যায়ন করে কে বা কী সংযুক্ত হচ্ছে, এবং নেটওয়ার্ক সেই সেশনটিকে সঠিক স্তরের অ্যাক্সেসে স্থাপন করে। ব্যবহারিক ক্ষেত্রে, ভর্তির সিদ্ধান্তগুলি পরিচয়, ডিভাইসের ধরন, ভঙ্গি, মালিকানা, অবস্থান এবং ব্যবসায়িক ভূমিকা প্রতিফলিত করা উচিত।

কর্মীদের জন্য, অ্যাক্সেস 802.1X , সার্টিফিকেট ভিত্তিক প্রমাণীকরণ, বা SSO ব্যাকড অনবোর্ডিংয়ের মাধ্যমে কর্পোরেট পরিচয় সিস্টেম অনুসরণ করা উচিত। অতিথিদের জন্য, অ্যাক্সেস পাওয়া সহজ হওয়া উচিত তবে অভ্যন্তরীণ পরিষেবাগুলি থেকে কঠোরভাবে বিচ্ছিন্ন হওয়া উচিত। ভাড়াটে এবং তৃতীয় পক্ষের জন্য, অ্যাক্সেস কেবল তাদের নিজস্ব সম্পদের মধ্যে সীমাবদ্ধ থাকা উচিত এবং অন্য কিছুতে নয়। আধুনিক পদ্ধতিগুলিকে সমর্থন করতে পারে না এমন ডিভাইসগুলির জন্য, ফলব্যাকটি প্রতিটি ডিভাইসের জন্য একটি স্বতন্ত্র শংসাপত্র এবং খুব সীমিত পূর্ব-পশ্চিম প্রসার সহ একটি সীমাবদ্ধ সেগমেন্ট হওয়া উচিত।

একটি SSID এখনও পরিষেবা সেটগুলি সংগঠিত করতে সহায়তা করতে পারে, তবে এটি নিরাপত্তা ডিজাইনের সম্পূর্ণ বোঝা বহন করবে না। পরিবর্তে, প্রধান নিয়ন্ত্রণ পয়েন্টগুলি হল পরিচয় স্টোর, নীতি ইঞ্জিন, সার্টিফিকেট লাইফসাইকেল এবং সেগমেন্টেশন নিয়ম যা নির্ধারণ করে একটি সেশন কোথায় যাওয়ার অনুমতি পাবে।

নতুন লক্ষ্য অবস্থা

লক্ষ্য অবস্থা স্পষ্ট। পরিবেশ যেখানেই অনুমতি দেয় সেখানে শেয়ার্ড পাসওয়ার্ডগুলি সরিয়ে ফেলুন।

পরিপক্ক স্থাপনায়, কর্মীদের WiFi একটি ডিরেক্টরি বা পরিচয় প্রদানকারীর বিপরীতে 802.1X ব্যবহার করে। অতিথি অ্যাক্সেস শুধুমাত্র যেখানে প্রয়োজন সেখানে Captive Portal অনবোর্ডিং ব্যবহার করে, অথবা যেখানে সমর্থিত সেখানে Passpoint ব্যবহার করে, যাতে ব্যবহারকারীরা একটি অভ্যন্তরীণ নেটওয়ার্কের ক্ষতি না করে বা একটি স্ট্যাটিক শেয়ার্ড সিক্রেটের উপর নির্ভর না করে সংযোগ করতে পারে। মাল্টি-টেন্যান্ট পরিবেশ ব্যবহারকারী এবং ডিভাইসগুলিকে শুরু থেকেই সঠিক পলিসি ডোমেনে ম্যাপ করে, পাসওয়ার্ড জানে বলে তাদের বিশ্বাস করার পরিবর্তে।

এখানে কিছু আপস রয়েছে। পরিচয় ভিত্তিক অ্যাক্সেসের জন্য পরিকল্পনা, PKI বা সার্টিফিকেট ম্যানেজমেন্ট, RADIUS ডিজাইন এবং সমস্যাযুক্ত লেগাসি এন্ডপয়েন্টগুলির জন্য সমর্থনের প্রয়োজন। কিন্তু সেই কাজটি এমন কিছু অর্জন করে যা একটি শক্তিশালী PSK কখনই করতে পারে না। স্পষ্ট অ্যাট্রিবিউশন, নিয়ন্ত্রিত অনবোর্ডিং, নির্বাচনী প্রত্যাহার এবং একটি ডিভাইস আপোসড হলে নিয়ন্ত্রণ করা।

ভিত্তিমূলক নেটওয়ার্ক শক্তিশালীকরণ বাস্তবায়ন করা

আপনি প্রমাণীকরণ আধুনিকীকরণ করার আগে, পরিকাঠামো লক ডাউন করুন। প্রচুর সংস্থাগুলি ভালো WiFi এনক্রিপশন সক্ষম করে এবং তবুও দুর্বল ডিফল্ট এবং অবহেলিত ব্যবস্থাপনা সেটিংসের মাধ্যমে নিয়ন্ত্রণ প্লেনটিকে উন্মুক্ত রাখে।

যুক্তরাজ্যে, মৌলিক বিষয়গুলির বিষয়ে সর্বজনীন নির্দেশিকা স্পষ্ট। NCSC শেয়ার্ড বা ডিফল্ট WiFi শংসাপত্রগুলি থেকে দূরে সরে যাওয়ার এবং WPA3 Personal বা যেখানে WPA3 উপলব্ধ নেই সেখানে WPA2 Personal ব্যবহার করার সুপারিশ করে, কারণ এনক্রিপশন ট্রানজিটে ডেটা রক্ষা করে। FTC আরও বলে যে WPA3 হল নতুন এবং সেরা বিকল্প, এবং WPA2 হল ফলব্যাক। প্রশাসকদের জন্য, বাস্তবসম্মত মাইলফলক হল রাউটারটিকে একটি পরিচালিত নিরাপত্তা ডিভাইস হিসাবে বিবেচনা করা: ডিফল্ট অ্যাডমিন ব্যবহারকারীর নাম, পাসওয়ার্ড এবং SSID পরিবর্তন করুন, দূরবর্তী ব্যবস্থাপনা, WPS এবং UPnP নিষ্ক্রিয় করুন এবং ফার্মওয়্যার আপডেট রাখুন, যেমনটি এখানে উল্লেখিত FTC রাউটার নিরাপত্তা নির্দেশিকায় বর্ণনা করা হয়েছে।

ম্যানেজমেন্ট প্লেন দিয়ে শুরু করুন

যদি কোনো আক্রমণকারী রাউটার, কন্ট্রোলার বা অ্যাক্সেস পয়েন্ট পরিচালনা করতে পারে, তবে আপনার SSID সেটিংস তেমন কোনো কাজে আসবে না।

A comparison chart showing the security differences between PSK personal authentication and Enterprise RADIUS authentication methods.

এটিকে একটি হার্ডেনিং বেসলাইন হিসেবে ব্যবহার করুন:

ডিফল্ট অ্যাডমিনিস্ট্রেটর ক্রেডেনশিয়াল পরিবর্তন করুন। রাউটার, AP বা কন্ট্রোলারে ফ্যাক্টরি ইউজারনেম বা পাসওয়ার্ড রেখে দেবেন না।
ডিফল্ট SSID সমূহ পরিবর্তন করুন। ডিফল্ট নামগুলি প্রায়শই ভেন্ডর বা ডিপ্লয়মেন্ট প্যাটার্নগুলি প্রকাশ করে যা আপনার প্রচার করার প্রয়োজন নেই।
নির্দিষ্ট অপারেশনাল প্রয়োজন না থাকলে রিমোট ম্যানেজমেন্ট নিষ্ক্রিয় করুন। আপনার যদি এটির প্রয়োজন হয় তবে আপনার ম্যানেজমেন্ট নেটওয়ার্ক এবং অ্যাক্সেস নিয়ন্ত্রণের মাধ্যমে এটি কঠোরভাবে সীমাবদ্ধ করুন।
WPS নিষ্ক্রিয় করুন। এটি একটি সুবিধার সমস্যার সমাধান করে যা এন্টারপ্রাইজ পরিবেশে আপনার থাকা উচিত নয়।
UPnP নিষ্ক্রিয় করুন। পরিষেবাগুলির স্বয়ংক্রিয় এক্সপোজার হল ন্যূনতম সুবিধার (least privilege) বিপরীত।
লোকাল অ্যাডমিন অ্যাকাউন্টগুলি পর্যালোচনা করুন। পুরানো ব্রেক-গ্লাস ব্যবহারকারীদের সরিয়ে ফেলুন এবং বছরের পর বছর ধরে স্পর্শ না করা ক্রেডেনশিয়ালগুলি পরিবর্তন করুন।

প্যাচিং সবচেয়ে মূল্যবান নিয়ন্ত্রণগুলির একটি

যুক্তরাজ্যের সংস্থাগুলির জন্য, ফার্মওয়্যার প্যাচিং এবং ডিভাইস হাইজিন হল সবচেয়ে মূল্যবান অপারেশনাল নিয়ন্ত্রণগুলির মধ্যে অন্যতম কারণ আপোসকৃত রাউটার এবং অ্যাক্সেস পয়েন্টগুলি প্রায়শই পরিচিত দুর্বলতাগুলির মাধ্যমে শোষিত হতে পারে। NCSC-এর Cyber Essentials স্কিমের জন্য ইন্টারনেট-মুখী ডিভাইস এবং নিরাপত্তা সফ্টওয়্যার আপ টু ডেট রাখা প্রয়োজন, এবং নিরাপত্তা নির্দেশিকায় ডিফল্ট রাউটার পাসওয়ার্ডকেও একটি সাধারণ আক্রমণ পথ হিসেবে চিহ্নিত করা হয়েছে WiFi নিরাপত্তা অপারেশনের এই ওভারভিউতে ।

একটি ব্যবহারিক প্যাচিং সাইকেল দেখতে এইরকম হয়:

প্রতিটি AP, কন্ট্রোলার, ওয়্যারলেস গেটওয়ে এবং এজ রাউটার তালিকাভুক্ত করুন
সাপোর্ট স্ট্যাটাস চেক করুন যাতে আপনি এন্ড-অফ-লাইফ হার্ডওয়্যার সুরক্ষিত করার চেষ্টা না করেন
একটি মেইনটেন্যান্স উইন্ডোতে বর্তমান ফার্মওয়্যার প্রয়োগ করুন
Upgrade-এর পরে কনফিগারের স্থায়িত্ব যাচাই করুন
যেকোনো পরিবর্তনের পর সংযুক্ত ডিভাইসের তালিকা পর্যালোচনা করুন যাতে কোনো বিচ্যুতি বা বিস্ময় ধরা পড়ে

ব্যবহারিক নিয়ম: আপনি যদি কেবল WiFi পাসওয়ার্ড পরিবর্তন করেন কিন্তু অ্যাডমিন ডিফল্ট, WPS বা রিমোট ম্যানেজমেন্ট রেখে দেন, তবে আপনি নেটওয়ার্কটিকে হার্ডেনিং করেননি। আপনি কেবল একটি দৃশ্যমান সেটিং পরিবর্তন করেছেন।

যা কাজ করে না

কিছু পরামর্শ টিকে থাকে কারণ সেগুলি স্বজ্ঞাত মনে হয়, কার্যকর হওয়ার কারণে নয়।

একটি লুকানো SSID এর স্বাভাবিক উদাহরণ। এটি কোনো অর্থপূর্ণ নিরাপত্তা তৈরি করে না। এটি কেবল সাপোর্টের ক্ষেত্রে জটিলতা, অদ্ভুত ক্লায়েন্ট আচরণ এবং সুরক্ষার একটি মিথ্যা ধারণা তৈরি করে। আপনি যদি একটি বড় পরিবেশে WiFi নিরাপত্তা উন্নত করার চেষ্টা করছেন, তবে গোপন করার কৌশলের পেছনে আপনার অপারেশনাল প্রচেষ্টা নষ্ট করবেন না। পরিবর্তে এটি আইডেন্টিটি, সেগমেন্টেশন এবং ম্যানেজমেন্ট হাইজিনের পেছনে ব্যয় করুন।

ফাউন্ডেশনাল হার্ডেনিং বা মৌলিক নিরাপত্তা জোরদার করার একটি সহজ উপায় নিচে দেওয়া হলো:

ক্ষেত্র	যা কাজ করে	যা কাজ করে না
Administration	ইউনিক অ্যাডমিন ক্রেডেনশিয়াল, সীমিত ম্যানেজমেন্ট অ্যাক্সেস	ফ্যাক্টরি ডিফল্ট
ডিভাইস নিরাপত্তা	বর্তমান ফার্মওয়্যার এবং সমর্থিত হার্ডওয়্যার	মেয়াদোত্তীর্ণ বা এন্ড-অফ-লাইফ AP যথাস্থানে রেখে দেওয়া
সুবিধাজনক ফিচারসমূহ	নিষ্ক্রিয় করা WPS এবং UPnP	এন্টারপ্রাইজ সেটিংসে কনজিউমার ডিফল্ট ব্যবহার করা
ভিজিবিলিটি	ম্যানেজড ইনভেন্টরি এবং কনফিগারেশন পর্যালোচনা	WLAN কন্ট্রোলার সব তথ্য দিয়ে দেবে এমন আশা করা

ফাউন্ডেশনাল হার্ডেনিং প্রতিটি ওয়্যারলেস ঝুঁকি দূর করতে পারবে না। তবে এটি সেই সাধারণ দুর্বলতাগুলোকে দূর করে যা আক্রমণকারীরা এখনও কাজে লাগায়।

এন্টারপ্রাইজ-গ্রেড অথেনটিকেশনে আপগ্রেড করা

এন্টারপ্রাইজ, গেস্ট এবং মাল্টি-টেন্যান্ট পরিবেশে সবচেয়ে বড় WiFi নিরাপত্তা ত্রুটি হলো একটি শেয়ার্ড পাসওয়ার্ডকে একটি গ্রহণযোগ্য কন্ট্রোল প্লেন হিসেবে বিবেচনা করা। এটি সহজে দেওয়া যায়, সহজে ফরোয়ার্ড করা যায় এবং কর্মী, ঠিকাদার, বাসিন্দা, টেন্যান্ট ও আনম্যানেজড ডিভাইসগুলোর মধ্যে ছড়িয়ে পড়লে তা নিয়ন্ত্রণ করা কঠিন হয়ে পড়ে।

বড় পরিবেশের জন্য, ব্যবহারিক আপগ্রেড হলো 802.1X সহ WPA2-Enterprise বা WPA3-Enterprise। এটি অ্যাক্সেসকে একটি শেয়ার্ড সিক্রেট থেকে আইডেন্টিটি সিদ্ধান্তে রূপান্তর করে। নেটওয়ার্ক মূল্যায়ন করতে পারে যে ব্যবহারকারী কে, কোন ডিভাইসটি সংযুক্ত হচ্ছে এবং সেই মুহূর্তে কোন নীতি প্রয়োগ করা উচিত।

কেন 802.1X অপারেশনালি গুরুত্বপূর্ণ

শেয়ার্ড-পাসওয়ার্ড WiFi সাধারণ অপারেশনাল চাপের মুখে ভেঙে পড়ে। অফবোর্ডিং প্রক্রিয়াটি পাসওয়ার্ড রিসেট করার কাজে পরিণত হয়। তদন্তে সুনির্দিষ্টভাবে কারণ চিহ্নিত করা যায় না। ঠিকাদার এবং স্বল্পমেয়াদী ব্যবহারকারীরা স্থায়ী কর্মীদের মতো একই অ্যাক্সেস মডেল ব্যবহার করতে বাধ্য হন, কারণ একটি বাস্তব অ্যাক্সেস পলিসির চেয়ে একটি পাসফ্রেজ পরিচালনা করা সহজ।

802.1X প্রতিটি সেশনকে একটি আইডেন্টিটি দিয়ে সেই সমস্যার সমাধান করে। এর প্রবাহটি তিনটি অংশে বিভক্ত:

The supplicant (সাপ্লিক্যান্ট), যা হলো ক্লায়েন্ট ডিভাইস
The authenticator (অথেনটিকেটর), সাধারণত এটি অ্যাক্সেস পয়েন্ট বা সুইচ পোর্ট
The authentication server (অথেনটিকেশন সার্ভার), সাধারণত RADIUS

আপনি যদি এই তৃতীয় ভূমিকাটির সহজ ব্যাখ্যা চান, তবে একটি RADIUS সার্ভার কী কাজ করে তার এই ওভারভিউটি একটি দরকারি সূচনা হতে পারে।

এই মডেলটি এমন এন্টারপ্রাইজ নিয়ন্ত্রণগুলোকে সমর্থন করে যা PSKs সঠিকভাবে বা একেবারেই পরিচালনা করতে পারে না।

শক্তিশালী এনক্রিপশনের বাইরে আপনি কী সুবিধা পাবেন

এনক্রিপশন গুরুত্বপূর্ণ, তবে মূল উন্নতিটি হলো অ্যাডমিনিস্ট্রেটিভ নিয়ন্ত্রণ।

A diagram illustrating a secure network segmentation architecture with a central firewall controlling traffic between various networks.

একটি বাস্তবসম্মত তুলনা পার্থক্যটি পরিষ্কার করে তোলে:

প্রয়োজনীয়তা	শেয়ার্ড পাসওয়ার্ড মডেল	Enterprise authentication মডেল
একজন ব্যবহারকারীকে সরান	পুরো পাসওয়ার্ড পরিবর্তন করুন, তারপর এটি পুনরায় বিতরণ করুন	ব্যক্তিগত অ্যাকাউন্ট বা সার্টিফিকেট নিষ্ক্রিয় করুন
কার্যকলাপ তদন্ত করুন	পরিষ্কারভাবে চিহ্নিত করা কঠিন	ঘটনাগুলোকে ব্যবহারকারী বা ডিভাইসের আইডেন্টিটির সাথে যুক্ত করুন
ভূমিকা-ভিত্তিক অ্যাক্সেস প্রয়োগ করুন	অপরিণত এবং ম্যানুয়াল	পলিসি সিদ্ধান্তের মধ্যে বিল্ট-ইন থাকে
বিদায়ী কর্মী এবং ঠিকাদারদের পরিচালনা করুন	ভুল হওয়ার সম্ভাবনা থাকে	কেন্দ্রীয় প্রত্যাহার (Central revocation)
মিশ্র সম্পত্তি সুরক্ষিত করুন	স্কেল করার জন্য দুর্বল	কর্মী, BYOD এবং পরিচালিত ডিভাইসের জন্য উপযুক্ত

সবচেয়ে শক্তিশালী ডিপ্লয়মেন্ট প্যাটার্ন সাধারণত সহজ হয়:

SSID-এ enterprise authentication সক্ষম করুন
কর্মীদের জন্য একটি কেন্দ্রীয় আইডেন্টিটি সোর্স ব্যবহার করুন
লেগ্যাসি সাইফার নিষ্ক্রিয় করুন
অথেন্টিকেটেড ব্যবহারকারী এবং ডিভাইসের প্রকারগুলোকে সঠিক নেটওয়ার্ক পলিসির সাথে ম্যাপ করুন
নিয়মিত অথেন্টিকেশন পাথ অডিট করুন

ডিপ্লয়মেন্ট সাধারণত যেখানে স্থবির হয়ে পড়ে

জটিলতা একটি সাধারণ আপত্তি, এবং এটি যৌক্তিক।

একটি PSK আইডেন্টিটি ডিজাইন এড়িয়ে চলে। 802.1X আইডেন্টিটি স্টোর, সার্টিফিকেট লাইফসাইকেল, ডিভাইস অনবোর্ডিং, গেস্ট অ্যাক্সেস, ফলব্যাক পদ্ধতি এবং পুরানো হার্ডওয়্যারের জন্য ব্যতিক্রম হ্যান্ডলিং সম্পর্কিত সিদ্ধান্ত নিতে বাধ্য করে। সেই পরিকল্পনার জন্য সময় লাগে, কিন্তু এটি পরবর্তীতে পুনরাবৃত্তিমূলক সমস্যার একটি দীর্ঘ তালিকা দূর করে।

এন্টারপ্রাইজ WiFi পরিচালনা করা সহজ হয়ে ওঠে যখন অ্যাক্সেস এমন আইডেন্টিটির সাথে যুক্ত থাকে যা আপনি ইতিমধ্যে অন্য কোথাও পরিচালনা করছেন।

সামঞ্জস্যতা হলো দ্বিতীয় সমস্যা। ল্যাপটপ এবং ফোন সাধারণত সার্টিফিকেট-ভিত্তিক অ্যাক্সেস বা ডিরেক্টরি-ব্যাকড অথেন্টিকেশনের সাথে ভাল কাজ করে। প্রিন্টার, স্ক্যানার, মেডিকেল ডিভাইস, OT সিস্টেম এবং পুরানো IoT সরঞ্জামগুলো প্রায়শই তা করে না। একটি পরিপক্ক ডিজাইন এটি আগেই বিবেচনায় নেয়। আধুনিক ব্যবহারকারী অ্যাক্সেস 802.1X-এ রাখুন, ব্যতিক্রমগুলোকে আলাদা করুন এবং কয়েকটি সীমিত ডিভাইসকে পুরো এস্টেটের জন্য পলিসি নির্ধারণ করতে দেওয়া এড়িয়ে চলুন।

মাল্টি-টেন্যান্ট এবং বড় পাবলিক ভেন্যুগুলোতে, গেস্ট অ্যাক্সেস বিশেষ বিবেচনার দাবি রাখে। কর্মী এবং টেন্যান্ট ব্যবহারকারীদের এমন আইডেন্টিটি দিয়ে অথেন্টিকেট করা উচিত যা আপনি প্রত্যাহার এবং অডিট করতে পারেন। গেস্টদের একটি পৃথক অনবোর্ডিং ফ্লো ব্যবহার করা উচিত, আদর্শভাবে captive portal রেজিস্ট্রেশন, ফেডারেটেড সাইন-ইন বা Passpoint সহ যেখানে পরিবেশ এটি সমর্থন করে। এটি পাসওয়ার্ড শেয়ারিং কমায়, সাপোর্ট ওভারহেড হ্রাস করে এবং সমস্ত সাইট জুড়ে ধারাবাহিকভাবে অ্যাক্সেস পলিসি প্রয়োগ করা সহজ করে তোলে।

বাস্তবে কী বেছে নেবেন

বেশিরভাগ প্রতিষ্ঠানের ক্ষেত্রে, এই ক্রমটি কাজ করে:

কর্মীদের ডিভাইসগুলো 802.1X সহ WPA2-Enterprise বা WPA3-Enterprise ব্যবহার করে
কর্পোরেট-পরিচালিত এন্ডপয়েন্টগুলো সার্টিফিকেট-ভিত্তিক প্রমাণীকরণ পছন্দ করে
BYOD ব্যবহারকারীরা নীতিগত বিধিনিষেধ সহ নিয়ন্ত্রিত আইডেন্টিটি ওয়ার্কফ্লোর মাধ্যমে প্রমাণীকরণ করেন
অতিথিরা একটি পৃথক অ্যাক্সেস ফ্লো ব্যবহার করেন এবং কর্মীদের ট্রাস্ট মডেলের বাইরে থাকেন
লেগ্যাসি এন্ডপয়েন্টগুলো কঠোর সুযোগ এবং স্পষ্ট মালিকানা সহ ব্যতিক্রম হ্যান্ডলিং পায়

লক্ষ্য যদি এন্টারপ্রাইজ স্কেলে WiFi নিরাপত্তা উন্নত করা হয়, তবে একটি ভালো শেয়ার্ড পাসওয়ার্ডের পরিবর্তে আইডেন্টিটি ঘিরে তৈরি করুন। বাস্তবে এর অর্থ হল কর্মক্ষেত্রের অ্যাক্সেসের জন্য 802.1X, উপযুক্ত ক্ষেত্রে SSO বা ফেডারেটেড আইডেন্টিটি, উচ্চ-ভলিউম অতিথি পরিবেশের জন্য Passpoint, এবং পাসওয়ার্ড বিতরণের চারপাশে তৈরি নেটওয়ার্কের পরিবর্তে নিয়ন্ত্রিত ব্যতিক্রমগুলির একটি সংক্ষিপ্ত তালিকা ব্যবহার করা।

একটি নিরাপদ সেগমেন্টেড নেটওয়ার্ক আর্কিটেকচার ডিজাইন করা

যদি প্রমাণীকরণ উত্তর দেয় "কারা প্রবেশ পাবে", তবে সেগমেন্টেশন উত্তর দেয় "তারা কোথায় পৌঁছাবে"।

একটি ফ্ল্যাট ওয়্যারলেস নেটওয়ার্ক কোনো লেন, কোনো বাধা এবং কোন যানটি কোন গন্তব্যে পৌঁছাতে পারে সে সম্পর্কে কোনো নিয়ম ছাড়াই একটি মোটরওয়ে চালানোর মতো। এটি ট্রাফিক সরাতে পারে। তবে এটি ঘটনাগুলোকে ভালোভাবে নিয়ন্ত্রণ করতে পারবে না।

সুবিধার দ্বারা নয়, ট্রাস্ট দ্বারা সেগমেন্ট করুন

অতিথি অ্যাক্সেসকে প্রায়শই একটি সাধারণ পাসওয়ার্ড সমস্যা হিসাবে বিবেচনা করা হয়, তবে আরও শক্তিশালী ডিজাইন হল Ekahau-এর নিরাপদ Wi-Fi ডিজাইনের নির্দেশিকায় আলোচনা করা অনুযায়ী, অতিথি Wi-Fi কে একটি পৃথক সাবনেট বা নেটওয়ার্কে সেগমেন্ট করা এবং সংবেদনশীল রিসোর্স থেকে এটিকে আলাদা করা। এটি SSID হাইড করার মতো কসমেটিক ধারণার চেয়ে অনেক বেশি গুরুত্বপূর্ণ।

বৃহৎ পরিবেশে সবচেয়ে পরিচ্ছন্ন সেগমেন্টেশন মডেলটিতে সাধারণত এদের জন্য আলাদা জোন অন্তর্ভুক্ত থাকে:

কর্পোরেট স্টাফ
অতিথিরা
IoT এবং অপারেশনাল ডিভাইস
সুরক্ষিত সার্ভার বা অ্যাপ্লিকেশন জোন
প্রয়োজন অনুযায়ী টেন্যান্ট-নির্দিষ্ট বা সাইট-নির্দিষ্ট নেটওয়ার্ক

স্বয়ংক্রিয় Wi-Fi অনবোর্ডিং এবং নিরাপদ নেটওয়ার্ক অ্যাক্সেস ব্যবস্থাপনার সাতটি ধাপ চিত্রিতকারী একটি ফ্লো চার্ট।

প্রতিটি জোনের নিজস্ব VLAN বা সমতুল্য পলিসি বাউন্ডারি থাকা উচিত, এবং ইন্টার-জোন ট্রাফিক একটি ফায়ারওয়াল বা পলিসি ইঞ্জিনের মধ্য দিয়ে যাওয়া উচিত। সমস্ত ওয়্যারলেস কন্ট্রোলার এটিকে সমানভাবে প্রয়োগ করে না, তাই আপনার স্ট্যাকে পলিসি কোথায় থাকে তা পরীক্ষা করুন।

একটি ব্লুপ্রিন্ট যা বাস্তব ভেন্যুতে কাজ করে

সেগমেন্টেশন নিয়মগুলো ব্যবহার করুন যা প্রকৃত ব্যবসায়িক ফাংশনকে প্রতিফলিত করে।

আতিথেয়তা এবং অবসর

হোটেল, বার, স্টেডিয়াম এবং ইভেন্ট ভেন্যুগুলোর জন্য সাধারণত অন্তত এই পৃথকীকরণের প্রয়োজন হয়:

ব্যাক-অফিস সিস্টেমে কোনো রুট ছাড়াই অতিথি ইন্টারনেট অ্যাক্সেস
স্টাফ অপারেশন হ্যান্ডহেল্ড, PMS ক্লায়েন্ট এবং অভ্যন্তরীণ অ্যাপ্লিকেশনের জন্য
POS এবং পেমেন্ট এনভায়রনমেন্ট কঠোরভাবে নিয়ন্ত্রিত ইস্ট-ওয়েস্ট ট্রাফিকের সাথে
বিল্ডিং সিস্টেম এবং IoT যেমন IPTV, থার্মোস্ট্যাট, সাইনেজ, লক বা ক্যামেরা

হসপিটালিটি সেক্টরে, সাধারণ ব্যর্থতা হলো সুবিধাকে অগ্রাধিকার দিয়ে ডিজাইন করা। কেউ একজন "সবকিছুর" জন্য একটি মাত্র SSID চান। এক সপ্তাহের জন্য সাপোর্ট সহজ হয়। কিন্তু বছরের পর বছর ধরে ঝুঁকি বেড়ে যায়।

রিটেল এবং শপিং সেন্টার

রিটেল এস্টেটের ক্ষেত্রে সাধারণত এগুলোকে আলাদা করার প্রয়োজন হয়:

স্টোর স্টাফ ডিভাইসসমূহ
গ্রাহকদের গেস্ট অ্যাক্সেস
POS এবং পেমেন্ট টার্মিনাল
ডিজিটাল সাইনেজ এবং সেন্সর
ল্যান্ডলর্ড বা সেন্টার-ম্যানেজমেন্ট সিস্টেম

মূল লক্ষ্য হলো কোনো একটি দোকান, একটি কিয়স্ক বা কোনো ভুল কনফিগার করা ভেন্ডর ডিভাইস যাতে অন্য কোনো অপারেশনাল ডোমেনে প্রবেশের পথ বা ব্রিজ না হয়ে ওঠে।

মাল্টি-টেন্যান্ট প্রোপার্টি

আবাসিক, BTR, স্টুডেন্ট হাউজিং এবং মিক্সড-ইউজ প্রোপার্টির ক্ষেত্রে ওয়্যারলেস ডিজাইন প্রায়শই ব্যর্থ হয় কারণ অপারেটররা ঘরোয়া প্রত্যাশাকে এন্টারপ্রাইজ ঝুঁকির সাথে গুলিয়ে ফেলেন। ভাড়াটিয়ারা সাধারণ কানেক্টিভিটি চান। কিন্তু অপারেটরদের প্রয়োজন কঠোর আইসোলেশন।

একটি কার্যকরী মডেল হলো:

নেটওয়ার্ক ক্লাস	অ্যাক্সেস মডেল	অনুমোদিত পরিধি
ভাড়াটে অ্যাক্সেস	ভাড়াটে-নির্দিষ্ট আইডেন্টিটি বা প্রোফাইল	ইন্টারনেট এবং অনুমোদিত আবাসিক সেবাসমূহ
বিল্ডিং অপারেশনস	ম্যানেজড ডিভাইস আইডেন্টিটি	শুধুমাত্র প্রয়োজনীয় অভ্যন্তরীণ সিস্টেমসমূহ
গেস্ট/কমন এরিয়া WiFi	আলাদা গেস্ট পাথ	শুধুমাত্র ইন্টারনেট
কন্ট্রাক্টর অ্যাক্সেস	সময়-সীমিত পলিসি	শুধুমাত্র নির্দিষ্ট অ্যাপস বা সাপোর্ট সেবাসমূহ

VLAN ডায়াগ্রামের চেয়ে ফায়ারওয়াল নিয়ম বেশি গুরুত্বপূর্ণ

টিমগুলো প্রায়শই VLAN ডিজাইনেই থেমে যায় এবং কাজ শেষ বলে মনে করে। এটি মাত্র অর্ধেক কাজ।

আপনার ফায়ারওয়াল নিয়মগুলোর মাধ্যমে এই ধরণের প্রশ্নের উত্তর নিশ্চিত করা উচিত:

একটি গেস্ট ডিভাইস কি ইন্টারনেট পাথ ছাড়া অন্য কোথাও পৌঁছাতে পারে?
একটি IoT ডিভাইস কি ব্যবহারকারীর নেটওয়ার্কে সেশন শুরু করতে পারে?
স্টাফ ডিভাইসগুলো কি শুধুমাত্র অনুমোদিত পোর্ট এবং পরিষেবার মাধ্যমে সুরক্ষিত অ্যাপ্লিকেশনগুলোতে পৌঁছাতে পারে?
একটি ভাড়াটে নেটওয়ার্ক কি কখনো অন্য ভাড়াটে নেটওয়ার্ক দেখতে পারে?
অনবোর্ডিং সিস্টেমগুলো কি সেই পরিষেবাগুলোকে ব্যাপকভাবে উন্মুক্ত না করে আইডেন্টিটি সার্ভিসেসের সাথে কথা বলতে পারে?

সেগমেন্টেশন তখনই ব্যর্থ হয় যখন পলিসি প্রয়োগ করার পরিবর্তে তা অনুমান করে নেওয়া হয়।

একটি ভালো আর্কিটেকচার কখনই ধরে নেয় না যে ডিভাইসগুলো সঠিকভাবে আচরণ করবে। এটি ধরে নেয় যে তাদের মধ্যে কিছু ডিভাইস তা করবে না, এবং সেই অনুযায়ী ক্ষয়ক্ষতি সীমিত করে। এই কারণেই ক্ষণস্থায়ী ব্যবহারকারী, আনম্যানেজড ডিভাইস বা মিশ্র ট্রাস্ট লেভেলের যেকোনো এনভায়রনমেন্টে কীভাবে WiFi সিকিউরিটি উন্নত করা যায় তার মূলে রয়েছে সেগমেন্টেশন।

সুরক্ষিত অনবোর্ডিং এবং অ্যাক্সেস ম্যানেজমেন্ট স্বয়ংক্রিয় করা

ম্যানুয়াল WiFi অ্যাডমিনিস্ট্রেশন আর কার্যকর থাকে না যখন আপনার কাছে একাধিক সাইটে স্টাফ টার্নওভার, BYOD, কন্ট্রাক্টর, গেস্ট এবং লেগ্যাসি ডিভাইস ছড়িয়ে থাকে। লোকজন চলে যায়। ডিভাইস প্রতিস্থাপন করা হয়। সাময়িক অ্যাক্সেস স্থায়ী হয়ে যায় কারণ কেউ তা সরিয়ে নেওয়ার কথা মনে রাখে না।

আইডেন্টিটি, অথেনটিকেশন এবং নেটওয়ার্ক পলিসি সংযুক্ত করার মাধ্যমে অটোমেশন এটি সমাধান করে।

স্টাফ অ্যাক্সেস আইডেন্টিটি লাইফসাইকেল অনুসরণ করা উচিত

যখন একজন স্টাফ সদস্য যোগ দেন, তখন তাদের WiFi অ্যাক্সেস একই আইডেন্টিটি প্রক্রিয়ার অংশ হিসাবে উপস্থিত হওয়া উচিত যা তাদের ব্যবসায়িক অ্যাকাউন্ট তৈরি করে। যখন তারা দল পরিবর্তন করে, পলিসি আপডেট হওয়া উচিত। যখন তারা চলে যায়, পুরানো পাসওয়ার্ড বা বাসি MAC এন্ট্রি খোঁজা ছাড়াই অ্যাক্সেস বন্ধ হয়ে যাওয়া উচিত।

সেজন্য পরিপক্ক ডেপ্লয়মেন্টগুলো ওয়্যারলেস অ্যাক্সেসকে ইতিমধ্যে প্রতিষ্ঠানে ব্যবহৃত আইডেন্টিটি প্রোভাইডারগুলোর সাথে সংযুক্ত করে, যেমন Entra ID, Google Workspace, বা Okta। এর ফলে একটি পরিচ্ছন্ন অনবোর্ডিং পথ, কম ম্যানুয়াল ব্যতিক্রম এবং কেন্দ্রীয় প্রত্যাহার সম্ভব হয়।

A ten-step diagram illustrating the process of automating secure employee onboarding and identity access management workflows.

আপনি যদি পলিসি এনফোর্সমেন্ট এবং আইডেন্টিটি চালিত অ্যাডমিশনের চারপাশে অর্কেস্ট্রেশন বিকল্পগুলো মূল্যায়ন করেন, তবে এই নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল সমাধানগুলো ওয়্যারলেসের চারপাশে আপনার প্রয়োজনীয় বৃহত্তর কন্ট্রোল লেয়ার দেখায়, কেবল রেডিও নয়।

বিভিন্ন ইউজার গ্রুপের জন্য ভিন্ন ভিন্ন অনবোর্ডিং পথ প্রয়োজন

একটি একক ওয়ার্কফ্লো সবার জন্য উপযুক্ত হয় না। বিভিন্ন ট্রাস্ট লেভেলের জন্য আলাদা পদ্ধতি ব্যবহার করুন।

ম্যানেজড স্টাফ ডিভাইসগুলোর ন্যূনতম ইউজার ঝামেলা সহ সার্টিফিকেট ভিত্তিক বা ডিরেক্টরি ব্যাকড অথেনটিকেশন ব্যবহার করা উচিত।
BYOD ইউজারদের একটি নিয়ন্ত্রিত নথিভুক্তি প্রবাহ প্রয়োজন যা সীমিত পলিসি এবং স্পষ্ট মেয়াদ শেষ বা পর্যালোচনার শর্তাবলী প্রয়োগ করে।
গেস্টদের স্টাফ ট্রাস্ট ডোমেনে যোগ না দিয়ে সহজ অ্যাক্সেস প্রয়োজন।
লেগ্যাসি ডিভাইসগুলোর জন্য কঠোরভাবে সীমাবদ্ধ সুযোগ সুবিধা সহ ব্যতিক্রম হ্যান্ডলিং প্রয়োজন।

এখানেই একটি একক প্ল্যাটফর্ম বিকল্প ডেপ্লয়মেন্টকে সহজ করতে পারে। Purple ওয়্যারলেস WPA2/3-Enterprise অ্যাক্সেস, SSO ব্যাকড অথেনটিকেশন, Passpoint/OpenRoaming এবং লেগ্যাসি ডিভাইসের জন্য iPSK সমর্থন করে, যা অন প্রাঙ্গনে RADIUS এবং ক্যাপটিভ পোর্টাল ওয়ার্কফ্লোর চারপাশে সবকিছু তৈরি না করেই শেয়ার্ড পাসওয়ার্ড প্রতিস্থাপন করার চেষ্টা করা পরিবেশের সাথে ভালভাবে খাপ খায়।

Passpoint এবং পাসওয়ার্ডহীন গেস্ট অ্যাক্সেস

ঐতিহ্যবাহী গেস্ট WiFi প্রায়শই ইউজারদের একটি ক্যাপটিভ পোর্টাল এবং একটি শেয়ার্ড পাসওয়ার্ডের মধ্য দিয়ে যেতে বাধ্য করে, তারপর তাদের একটি বিচ্ছিন্ন ইন্টারনেট পাথে ফেলে দেয়। এটি কাজ করতে পারে, তবে এটি জটিল এবং এটি এখনও প্রতিষ্ঠানগুলোকে "গেস্ট পাসওয়ার্ড" এর পরিপ্রেক্ষিতে চিন্তা করতে শেখায়।

একটি আরও ভালো মডেল হলো Passpoint বা সংশ্লিষ্ট রোমিং ফ্রেমওয়ার্কের মাধ্যমে পাসওয়ার্ডহীন অনবোর্ডিং, যেখানে দক্ষতার সাথে আইডেন্টিটি আদান-প্রদান ঘটে এবং সেশনের শুরু থেকেই ট্রাফিক এনক্রিপ্ট করা থাকে। এটি নিরাপত্তা এবং ব্যবহারকারীর অভিজ্ঞতা উভয়ই উন্নত করে। এটি হোটেলে ফ্রন্ট-ডেস্কের কাজ, রিটেল টিমের ওপর চাপ এবং হেলথকেয়ারের ওয়েটিং এরিয়া বা ট্রান্সপোর্ট হাবে বাধা হ্রাস করে।

ভালো অনবোর্ডিং ব্যবহারকারীর যাত্রা থেকে শেয়ার্ড সিক্রেট দূর করে এবং অ্যাডমিন টিমের ম্যানুয়াল ক্লিন-আপের কাজ দূর করে।

স্ট্যান্ডার্ডকে দুর্বল না করে ব্যতিক্রমগুলো পরিচালনা করুন

সব ডিভাইস 802.1X ব্যবহার করতে পারে না। প্রিন্টার, স্পেশালিস্ট স্ক্যানার, স্মার্ট টিভি, সাইনেজ প্লেয়ার এবং কিছু অপারেশনাল ডিভাইস এখনও পিছিয়ে রয়েছে। তার মানে এই নয় যে আপনি পুরো এস্টেটের জন্য একটি পাসওয়ার্ডে ফিরে যাবেন।

সেই ডিভাইসগুলোর জন্য, প্রতি-ডিভাইস পদ্ধতি যেমন iPSK ব্যবহার করুন, তারপর প্রতিটি ক্রেডেন্সিয়ালকে সঠিক সেগমেন্টের সাথে সংযুক্ত করুন এবং এটি কী অ্যাক্সেস করতে পারবে তা সীমিত করুন। যদি একটি ডিভাইস আপোসড (compromised) হয়, তবে আপনি একটি ডিভাইসের অ্যাক্সেস প্রত্যাহার করবেন। আপনি পুরো নেটওয়ার্ক রোটেট করবেন না।

এখানে অটোমেশন গুরুত্বপূর্ণ কারণ স্কেলের পরিবর্তনের সাথে সাথে সবকিছু পরিবর্তিত হয়। কয়েকটি ব্যতিক্রম হাতে পরিচালনা করা সম্ভব। কিন্তু বিভিন্ন প্রোপার্টি, ভেন্যু বা ক্যাম্পাসে শত শত ব্যতিক্রমের ক্ষেত্রে স্প্রেডশীটগুলো নিরাপত্তা ঝুঁকি তৈরি করতে শুরু করে।

অ্যাক্টিভ মনিটরিং এবং ইনসিডেন্ট রেসপন্স প্রতিষ্ঠা করা

WiFi নিরাপত্তা ডিজাইনের চেয়ে অপারেশনের ক্ষেত্রে বেশি ব্যর্থ হয়।

একটি এন্টারপ্রাইজ 802.1X ডিপ্লয় করতে পারে, কর্মীদের থেকে গেস্টদের আলাদা করতে পারে এবং শেয়ার্ড পাসওয়ার্ডগুলোকে আইডেন্টিটি-ভিত্তিক অ্যাক্সেস দিয়ে প্রতিস্থাপন করতে পারে, কিন্তু নজরদারির অভাবে নিয়ন্ত্রণ হারিয়ে ফেলতে পারে। একটি সার্টিফিকেটের মেয়াদ শেষ হয়ে যায়। একটি ইভেন্টের পর একটি অস্থায়ী SSID রয়ে যায়। একজন ভাড়াটে একটি শেয়ার্ড স্পেসে একটি আনম্যানেজড AP যুক্ত করে। একটি পলিসি পরিবর্তনের ফলে ডিভাইসগুলো ভুল সেগমেন্টে চলে যায়। বড় ভেন্যু এবং মাল্টি-টেন্যান্ট এস্টেটে এই ব্যর্থতাগুলো সাধারণ, কারণ ওয়্যারলেস প্রতিনিয়ত পরিবর্তিত হয়।

ক্রমাগত কী মনিটর করতে হবে

শুধুমাত্র আপটাইম নয়, বরং অ্যাক্সেস কন্ট্রোল এবং পলিসি এনফোর্সমেন্টের সাথে যুক্ত সংকেতগুলো দিয়ে শুরু করুন।

মনোযোগ দিন:

RADIUS, আইডেন্টিটি প্রোভাইডার বা ক্লাউড NAC প্ল্যাটফর্ম থেকে সফল এবং ব্যর্থ অথেনটিকেশন-এর ওপর
কন্ট্রোলার, AP, সুইচ এবং গেটওয়েতে অ্যাডমিনিস্ট্রেটিভ লগইন এবং কনফিগারেশন পরিবর্তন-এর ওপর
অনুমোদিত পরিবর্তনের বাইরে তৈরি করা নতুন SSID, পলিসি অবজেক্ট বা ব্যতিক্রমী নিয়মাবলী-র ওপর
ক্লায়েন্ট অ্যাসাইনমেন্ট প্যাটার্ন যা দেখায় ব্যবহারকারী বা ডিভাইসগুলো ভুল রোল, VLAN বা পলিসি গ্রুপে চলে যাচ্ছে
সাইট এবং প্রোপার্টিজুড়ে AP হেলথ, ফার্মওয়্যার স্ট্যাটাস এবং কন্ট্রোলার সিঙ্ক স্টেট-এর ওপর

অথেনটিকেশন ব্যর্থতার ক্ষেত্রে প্রেক্ষাপট বোঝা প্রয়োজন। সার্টিফিকেট রিনিউয়ালের পর অথেনটিকেশন ব্যর্থতার হঠাৎ বৃদ্ধি একটি সাপোর্ট ইস্যু হতে পারে বা SSO-র সাথে যুক্ত একটি অনবোর্ডিং ত্রুটি হতে পারে। এটি ক্রেডেন্সিয়াল অপব্যবহার, ডিভাইস ক্লোনিং বা পুরো ব্যবহারকারী গ্রুপকে প্রভাবিত করে এমন একটি ভুল পলিসির প্রাথমিক প্রমাণও হতে পারে।

আসল কথাটি খুব সহজ। কে কীভাবে অ্যাক্সেস পাচ্ছে এবং শেষ পর্যন্ত কোথায় পৌঁছাচ্ছে, তা নিয়ন্ত্রণকারী মেকানিজমগুলো নিয়মিত পর্যবেক্ষণ করুন।

Rogue AP সনাক্তকরণ একটি নিয়মিত প্রক্রিয়া

একটি সুপরিকল্পিত ওয়্যারলেস নেটওয়ার্কে Rogue AP-গুলো এখনও অন্যতম প্রধান সিকিউরিটি গ্যাপ তৈরি করে। এগুলো যে সবসময় ক্ষতিকারক উদ্দেশ্যে করা হয়, তা নয়। বাস্তবে, বেশিরভাগ ক্ষেত্রে এগুলো আসে কাজের সুবিধার জন্য। যেমন, কোনো কর্মচারী সিগন্যাল বাড়ানোর জন্য কম দামের একটি রাউটার প্লাগ-ইন করে দিলেন, অথবা কোনো ইভেন্ট শেষে কোনো ঠিকাদার ভুল করে একটি ব্রিজ ডিভাইস ফেলে রেখে গেলেন। আবার কোনো শেয়ার্ড বিল্ডিংয়ের ভাড়াটিয়া একটি সাধারণ কনজিউমার ডিভাইস ইনস্টল করে আপনার অথেনটিকেশন এবং সেগমেন্টেশন পলিসি এড়িয়ে নিজস্ব আনম্যানেজড পথ তৈরি করে নিলেন।

এই কারণেই নিয়মিত RF এবং ইনফ্রাস্ট্রাকচার পরীক্ষা করা সাধারণ অপারেশনের অংশ হওয়া উচিত, কোনো বার্ষিক অডিট নয়। কনফিগারেশন রিভিউ, সুইচ-পোর্ট পরীক্ষা এবং সন্দেহজনক স্থানগুলোতে ফিজিক্যাল ইন্সপেকশনের পাশাপাশি Rogue অ্যাক্সেস পয়েন্ট এবং সিগন্যালের অসঙ্গতি সনাক্ত করতে WiFi স্ক্যান করুন ।

একটি Rogue AP ঝুঁকিপূর্ণ হওয়ার কারণ হলো এটি আপনার তৈরি করা সমস্ত সিকিউরিটি পলিসি এবং আইডেন্টিটি ভেরিফিকেশনকে সম্পূর্ণরূপে বাইপাস করে যায়।

WiFi-এর জন্য নির্দিষ্ট রেসপন্স প্লেবুক তৈরি করুন

সাধারণ SOC রানবুক এক্ষেত্রে যথেষ্ট নয়। ওয়্যারলেস নেটওয়ার্কের ত্রুটি বা ইনসিডেন্ট মোকাবিলার জন্য নির্দিষ্ট অ্যাকশন প্ল্যান প্রয়োজন।

একটি সহজ প্লেবুক কাঠামো ব্যবহার করুন:

ইনসিডেন্ট সনাক্ত করুন
নিশ্চিত হোন যে সমস্যাটি Rogue AP, সার্টিফিকেট ফেইলিওর, পলিসি পরিবর্তন, অস্বাভাবিক অথেনটিকেশন অ্যাক্টিভিটি নাকি ওয়্যারলেস সেগমেন্ট থেকে কোনো সন্দেহজনক ল্যাটারাল মুভমেন্টের কারণে হচ্ছে।
ঝুঁকি নিয়ন্ত্রণ বা কনটেইন করুন
SSID নিষ্ক্রিয় করুন, ক্রেডেনশিয়াল বাতিল করুন, এন্ডপয়েন্টটি কোয়ারেন্টাইন করুন, নির্দিষ্ট সুইচ পোর্টটি বন্ধ করুন অথবা কন্ট্রোলার থেকে AP-টিকে ব্লক করুন।
প্রমাণ সংরক্ষণ করুন
কন্ট্রোলার লগ, RADIUS ট্রানজ্যাকশন, আইডেন্টিটি-প্রোভাইডার ইভেন্ট, কনফিগারেশন স্ন্যাপশট এবং পরিবর্তনের রেকর্ডগুলো গুছিয়ে রাখুন।
অ্যাক্সেস পাথ ট্র্যাক করুন
কোন আইডেন্টিটি দিয়ে অথেনটিকেশন করা হয়েছে, কোন পলিসি প্রয়োগ করা হয়েছে, কোন সেগমেন্ট বরাদ্দ করা হয়েছে এবং ডিভাইসটি কোন কোন নেটওয়ার্ক রিসোর্সে পৌঁছাতে পেরেছে তা নির্ধারণ করুন।
পলিসির দুর্বলতা ঠিক করুন
মূল কারণটি দূর করুন। যদি সাময়িক অনবোর্ডিং পাথের কোনো এক্সপায়ারি ডেট না থাকে, তবে তা যুক্ত করুন। যদি কোনো শেয়ার্ড পোর্ট থেকে আনম্যানেজড ডিভাইস যুক্ত হওয়ার সুযোগ থাকে, তবে পোর্ট পলিসি আরও কঠোর করুন।

এন্টারপ্রাইজ এবং গেস্ট নেটওয়ার্কের ক্ষেত্রে দ্রুত রেসপন্স অত্যন্ত গুরুত্বপূর্ণ, কারণ একটি ছোট দুর্বলতা অনেক ব্যবহারকারীকে একসঙ্গে প্রভাবিত করতে পারে। ভুলভাবে কনফিগার করা কোনো স্টাফ SSID ইন্টারনাল অ্যাক্সেসকে ব্যাপকভাবে উন্মুক্ত করে দিতে পারে। একটি গেস্ট পলিসির ভুল পুরো ভেন্যুর আইসোলেশন ভেঙে দিতে পারে। শেয়ার্ড-পাসওয়ার্ড মডেলে নিরাপত্তা নিশ্চিত করা কঠিন, কারণ সেখানে নির্দিষ্ট কোনো আইডেন্টিটি বাতিল করার সুযোগ থাকে না। আইডেন্টিটি-ভিত্তিক অ্যাক্সেস সিকিউরিটি টিমকে অনেক সহজে পদক্ষেপ নেওয়ার সুযোগ দেয়।

সাধারণত এড়িয়ে যাওয়া বিষয়গুলোর অডিট করুন

সবচেয়ে গুরুত্বপূর্ণ অডিটগুলো প্রায়শই সাধারণ রক্ষণাবেক্ষণের সাথে সম্পর্কিত হয়:

অডিট আইটেম	কেন এটি গুরুত্বপূর্ণ
লেগাসি সাইফার রিভিউ	পুরানো সেটিংসগুলো মাইগ্রেশনের পরও থেকে যায় এবং নতুন সিকিউরিটি পলিসি স্ট্যান্ডার্ডকে দুর্বল করে দেয়
গেস্ট পাথ যাচাইকরণ	গেস্ট ট্রাফিক প্রায়শই ডিজাইনের চেয়ে কম আইসোলেটেড থাকে
Authentication-server settings	এখানে কোনো পরিবর্তন হলে নিশ্চয়তা নষ্ট হয়
AP ইনভেন্টরি সমন্বয়	অজানা বা পরিবর্তিত হার্ডওয়্যার সময়ের সাথে সাথে দৃশ্যমান হয়
ব্যতিক্রমী ডিভাইস পর্যালোচনা	অস্থায়ী অনুমতি প্রায়শই স্থায়ী হয়ে যায়

WiFi মনিটরিংকে অ্যাক্সেস কন্ট্রোল অপারেশনের অংশ হিসেবে বিবেচনা করুন। এন্টারপ্রাইজ, গেস্ট এবং মাল্টি-টেন্যান্ট পরিবেশে, এভাবেই টিমগুলো আইডেন্টিটি, সেগমেন্টেশন এবং ব্যতিক্রমী পরিস্থিতি পরিচালনাকে ডিজাইনের সাথে সামঞ্জস্যপূর্ণ রাখে।

আপনার WiFi সিকিউরিটি অ্যাকশন চেকলিস্ট

এখনও অনেক WiFi রোলআউটে শেয়ার্ড পাসওয়ার্ডের আধিপত্য রয়েছে। এন্টারপ্রাইজ, গেস্ট এবং মাল্টি-টেন্যান্ট পরিবেশে, এই মডেলটিই মূল সমস্যা। এর বাস্তবসম্মত সমাধান হলো সাধারণ শেয়ার্ড অ্যাক্সেসের পরিবর্তে আইডেন্টিটি, পলিসি এবং দ্রুত অ্যাক্সেস বাতিলের ব্যবস্থা করা।

ডিজাইন ডায়াগ্রামে যা দেখানো হয়েছে তা নয়, বরং আপনার বাস্তব পরিবেশটি কেমন তা পরীক্ষা করতে নিচের চেকলিস্টগুলো ব্যবহার করুন।

হসপিটালিটি এবং গেস্ট-প্রধান ভেন্যু

পলিসি লেয়ারে গেস্ট এবং স্টাফ অ্যাক্সেস আলাদা করুন। স্টাফ ডিভাইস, POS, PMS এবং ব্যাক-অফিস সিস্টেমগুলোর অথেন্টিকেশন আলাদা হতে হবে এবং সেগুলোকে ভিন্ন নেটওয়ার্ক সেগমেন্টে রাখতে হবে।
প্রিন্ট করা শেয়ার্ড পাসওয়ার্ড ব্যবহার বন্ধ করুন। অনবোর্ডিংয়ের জন্য Captive Portal, প্রযোজ্য ক্ষেত্রে SSO, সমর্থিত ব্যবস্থার জন্য Passpoint/OpenRoaming এবং স্টাফদের জন্য আইডেন্টিটি-ভিত্তিক অ্যাক্সেস ব্যবহার করুন।
রুম এবং ভেন্যুর ডিভাইসগুলোকে আইসোলেটেড করুন। টিভি, সাইনেজ, থার্মোস্ট্যাট, লক এবং অন্যান্য IoT সিস্টেমগুলোর জন্য কঠোরভাবে নিয়ন্ত্রিত অ্যাক্সেস প্রয়োজন, কোনো সাধারণ লোকাল ভিজিবিলিটি নয়।
অস্থায়ী অ্যাক্সেসে মেয়াদের শেষ তারিখ এবং মালিকানা নির্ধারণ করুন। ইভেন্ট নেটওয়ার্ক, কনফারেন্সের পরিবর্তন এবং ঠিকাদারদের অ্যাক্সেসের জন্য একজন নির্দিষ্ট মালিক এবং একটি স্বয়ংক্রিয় সমাপ্তির তারিখ থাকতে হবে।
ব্যবহারকারীর পক্ষ থেকে পরীক্ষা করুন। গেস্ট হিসেবে কানেক্ট করুন এবং কী কী অ্যাক্সেস করা যাচ্ছে তা যাচাই করুন। স্টাফ, ঠিকাদার এবং রুম ডিভাইসের জন্যও একই পরীক্ষা চালান।

কর্পোরেট এবং ক্যাম্পাস IT

ওয়ার্কফোর্স অ্যাক্সেসের জন্য WPA2-Enterprise বা WPA3-Enterprise-এর সাথে 802.1X ব্যবহার করুন।
WiFi অ্যাক্সেসকে আইডেন্টিটি লাইফসাইকেল প্রক্রিয়ার সাথে যুক্ত করুন। নতুন কর্মীরা দ্রুত সঠিক অ্যাক্সেস পাবেন। চলে যাওয়া ব্যবহারকারীরা দ্রুত তা হারাবেন।
ম্যানেজড এন্ডপয়েন্টগুলোর জন্য সার্টিফিকেট-ভিত্তিক অথেন্টিকেশনকে অগ্রাধিকার দিন। এটি ফিশিংয়ের ঝুঁকি কমায় এবং শেয়ার্ড সিক্রেট রোটেট করার সাপোর্টের ঝামেলা এড়ায়।
BYOD-কে ম্যানেজড অ্যাক্সেস থেকে আলাদা রাখুন। বিভিন্ন ডিভাইসের ট্রাস্ট লেভেলের ওপর ভিত্তি করে ভিন্ন ভিন্ন পলিসি, ভিন্ন VLAN বা রোল এবং ভিন্ন গন্তব্য নির্ধারিত হওয়া উচিত।
পুরানো প্রোটোকল এবং সাইফার ব্যতিক্রমগুলো বাদ দিন। যদি কোনো লিগ্যাসি ডিভাইসের জন্য এখনও দুর্বল সেটিংসের প্রয়োজন হয়, তবে মূল এস্টেটকে দুর্বল না করে সেটিকে একটি নিয়ন্ত্রিত পথে স্থানান্তর করুন।

মাল্টি-টেন্যান্ট প্রপার্টি এবং আবাসিক অপারেশন

ডিজাইনের মাধ্যমেই প্রতিটি টেন্যান্টকে আইসোলেটেড রাখুন। একটি ফ্ল্যাট, অফিস বা আবাসিক নেটওয়ার্ক থেকে অন্য নেটওয়ার্কে ল্যাটারাল অ্যাক্সেস থাকা উচিত নয়।
বিল্ডিং অপারেশনকে টেন্যান্ট অ্যাক্সেস থেকে আলাদা করুন। ক্যামেরা, লিফট, অ্যাক্সেস কন্ট্রোল, মিটারিং এবং প্ল্যান্ট সিস্টেমের নিজস্ব প্রমাণীকৃত পথ এবং সীমাবদ্ধ অ্যাডমিনিস্ট্রেশন মডেল প্রয়োজন।
যে হার্ডওয়্যারগুলো আধুনিক ইউজার প্রমাণীকরণ ব্যবহার করতে পারে না, সেগুলোর জন্য প্রতি-ডিভাইস ভিত্তিক ক্রেডেনশিয়াল ইস্যু করুন। এটি টিমকে নির্দিষ্টভাবে কোনো কিছু প্রত্যাহার এবং অডিট করার সুযোগ দেয়।
কন্ট্রাক্টরদের অ্যাক্সেস সময় এবং গন্তব্য দ্বারা সীমাবদ্ধ করুন। রক্ষণাবেক্ষণ সরবরাহকারীদের খুব কমই ব্রড নেটওয়ার্ক রিচের প্রয়োজন হয়, এবং তাদের খুব কমই দীর্ঘ সময়ের জন্য এটির প্রয়োজন হয়।
অনিয়ন্ত্রিত এবং পরিত্যক্ত সরঞ্জামগুলো পর্যালোচনা করুন। টেন্যান্টদের দ্বারা ইনস্টল করা গিয়ার, প্রতিস্থাপিত AP এবং ভুলে যাওয়া সুইচগুলো দ্রুত ঝুঁকির প্রোফাইল পরিবর্তন করে।

যেকোনো পরিবেশের জন্য সার্বজনীন পরীক্ষা

সমস্ত ডিফল্ট অ্যাডমিন ক্রেডেনশিয়াল পরিবর্তন করুন
WPS, UPnP এবং রিমোট ম্যানেজমেন্ট নিষ্ক্রিয় করুন যা আপনি সক্রিয়ভাবে ব্যবহার করেন না
APs, কন্ট্রোলার, গেটওয়ে এবং RADIUS অবকাঠামোকে সমর্থিত সফ্টওয়্যারে রাখুন
অননুমোদিত অ্যাক্সেস পয়েন্ট এবং অননুমোদিত SSIDs-এর জন্য স্ক্যান করুন
যাচাই করুন যে নির্ধারিত নীতি, সেগমেন্ট এবং অ্যাক্সেসযোগ্য রিসোর্সগুলো ডিজাইনের সাথে মেলে কিনা
প্রতি মাসে ব্যতিক্রমগুলো পর্যালোচনা করুন। অস্থায়ী অনুমোদনগুলোই দুর্বল নিয়ন্ত্রণকে স্থায়ী করে তোলে

যদি ২০২৬ সালে WiFi নিরাপত্তা উন্নত করার লক্ষ্য হয়, তবে কে অ্যাক্সেস পাচ্ছে, কীভাবে সেই অ্যাক্সেস প্রমাণীকরণ করা হচ্ছে এবং এটি কত দ্রুত প্রত্যাহার করা যেতে পারে তা দিয়ে শুরু করুন। পাসওয়ার্ডের শক্তি এখনও প্রান্তে গুরুত্বপূর্ণ। বড় এস্টেটগুলোতে, আইডেন্টিটি, সেগমেন্টেশন এবং নিয়ন্ত্রিত অনবোর্ডিং আরও বেশি গুরুত্বপূর্ণ।

আপনি যদি গেস্ট, স্টাফ বা টেন্যান্টদের জন্য শেয়ার্ড পাসওয়ার্ডের পরিবর্তে আইডেন্টিটি-ভিত্তিক WiFi অ্যাক্সেস চালু করতে চান, তবে Purple মূল্যায়ন করার একটি বিকল্প হতে পারে। এটি এন্টারপ্রাইজ প্রমাণীকরণ, SSO-ভিত্তিক অনবোর্ডিং, Passpoint/OpenRoaming এবং লেগ্যাসি হার্ডওয়্যারের জন্য প্রতি-ডিভাইস অ্যাক্সেস মডেল সমর্থন করে, যা বড় ভেন্যু এবং বিতরণকৃত এস্টেটগুলোকে বিস্তৃত শেয়ার্ড ক্রেডেনশিয়ালের উপর নির্ভর না করে WiFi নিরাপত্তা আধুনিকীকরণ করতে সহায়তা করতে পারে।