বেশিরভাগ প্রতিষ্ঠান একটি সুচিন্তিত ওয়্যারলেস নিরাপত্তা কৌশল নিয়ে যাত্রা শুরু করে না। তারা উত্তরাধিকারসূত্রে একটি পেয়ে যায়। বহু বছর আগে একটি স্টাফ SSID সেট আপ করা হয়েছিল, অনবোর্ডিংয়ের সময় কেউ একজন পাসওয়ার্ডটি শেয়ার করেছিলেন, সেই একই কি বা চাবিটি ব্যক্তিগত ফোন, ট্যাবলেট, প্রিন্টার, মিটিং রুমের স্ক্রিন এবং মাঝে মাঝে ঠিকাদারদের ল্যাপটপে চলে গেছে, আর এখন কেউ এটি স্পর্শ করতে চায় না কারণ এটি পরিবর্তন করলে সবকিছু ভেঙে পড়বে।
এই সেটআপটি সাধারণ মনে হয় যতক্ষণ না আপনি কয়েকটি স্পষ্ট প্রশ্ন জিজ্ঞাসা করছেন। বর্তমানে কে এই পাসওয়ার্ডটি জানে? কোন ডিভাইসগুলো এটি ব্যবহার করছে? কোনো কর্মচারী খারাপ সম্পর্কের মধ্য দিয়ে চলে গেলে কী ঘটে? আপনি কি পুরো সাইটের কি রি-কি না করে শুধুমাত্র একটি ডিভাইসের অ্যাক্সেস বাতিল করতে পারেন? অনেক পরিবেশেই, এই চারটি প্রশ্নের উত্তর হলো "সহজে নয়" গোছের কোনো রূপান্তর।
এন্টারপ্রাইজ WiFi নিরাপত্তার কেন্দ্রে এটাই হলো শূন্যতা। সমস্যাটি কেবল এনক্রিপশন নয়। এটি হলো আইডেন্টিটি বা পরিচয়, নিয়ন্ত্রণ এবং প্রতি ব্যবহারকারী, প্রতি ডিভাইস এবং প্রতি সেশন অনুযায়ী অ্যাক্সেসের সিদ্ধান্ত নেওয়ার ক্ষমতা। একটি আধুনিক ওয়্যারলেস নেটওয়ার্কের আচরণ একটি শেয়ার করা সদর দরজার চাবির মতো না হয়ে বরং নামযুক্ত ব্যাজ, পলিসি, লগ এবং তাৎক্ষণিক অ্যাক্সেস বাতিলের ক্ষমতাসম্পন্ন একটি অ্যাক্সেস সিস্টেমের মতো হওয়া উচিত।
শেয়ার করা পাসওয়ার্ডের বাইরে যাওয়া
পরিচিত রূপটি এমন দেখায়। অফিসে একটি "Staff" নেটওয়ার্ক আছে যা একটি একক পাসফ্রেজ দ্বারা সুরক্ষিত। IT টিম এটি নতুন যোগদানকারীদের দেয়, ফ্যাসিলিটিজ টিম এটি স্মার্ট টিভি এবং প্রিন্টারের জন্য ব্যবহার করে এবং দীর্ঘমেয়াদী ঠিকাদাররা তাদের নিজস্ব ডিভাইসে এটি রেখে দেয় কারণ এটি সুবিধাজনক। কেউ চলে গেলে, পাসওয়ার্ডটি প্রায়শই একই থেকে যায় কারণ এটি পরিবর্তন করার অর্থ প্রতিটি ডিভাইস এবং প্রতিটি সাইট স্পর্শ করা।
এই মডেলটি বরাবরই দুর্বল ছিল। এটি এখন কার্যক্ষমতার দিক থেকে বিপজ্জনক।
ইউকে-তে, enterprise WiFi security best practices summary -তে উদ্ধৃত নির্দেশিকা অনুসারে, ২০২৪ সালে ৫০% ব্যবসা সাইবার নিরাপত্তা লঙ্ঘন বা আক্রমণের সম্মুখীন হয়েছে, যা বড় ব্যবসার জন্য ৭৪% পর্যন্ত বৃদ্ধি পেয়েছে। ওয়্যারলেস অ্যাক্সেস কন্ট্রোল সরাসরি সেই ঝুঁকির চিত্রের মধ্যে পড়ে কারণ একটি শেয়ার করা পাসওয়ার্ড আপনাকে প্রায় কোনো সুনির্দিষ্ট নিয়ন্ত্রণ দেয় না। আপনি হয় সবাইকে প্রবেশ করতে দিতে পারেন, অথবা সবাইকে লক আউট করতে পারেন। এর মাঝামাঝি তেমন কিছু নেই।
কেন ব্যবহারিক ক্ষেত্রে শেয়ার করা পাসওয়ার্ড ব্যর্থ হয়
একটি শেয়ার করা পাসফ্রেজ চারটি পুনরাবৃত্তিমূলক সমস্যা তৈরি করে:
- কোনো ব্যক্তিগত জবাবদিহিতা নেই। আপনি জানেন যে SSID-টি ব্যবহার করা হয়েছে, কিন্তু কোন ব্যক্তি বা ম্যানেজড ডিভাইসের সেই মুহূর্তে অ্যাক্সেস থাকা উচিত ছিল তা জানা যায় না।
- কষ্টকর অফবোর্ডিং। যদি কোনো একজন ব্যক্তি বা ডিভাইস ঝুঁকিপূর্ণ হয়ে ওঠে, তবে এর পরিষ্কার সমাধান হলো সবার জন্য পাসওয়ার্ড পরিবর্তন করা।
- পাসওয়ার্ড ছড়িয়ে পড়া। স্টাফরা এটি পুনরায় ব্যবহার করে, আনম্যানেজড ডিভাইসে সংরক্ষণ করে এবং কখনও কখনও অনানুষ্ঠানিকভাবে অন্যদের কাছে দিয়ে দেয়।
- ফ্ল্যাট ট্রাস্ট। একবার সংযুক্ত হওয়ার পর, অতিরিক্ত সংখ্যক ব্যবহারকারী এবং ডিভাইস একই ব্রড নেটওয়ার্কে চলে আসে।
ব্যবহারিক নিয়ম: যদি একজন ব্যবহারকারীকে সরানোর জন্য পুরো সাইট জুড়ে পাসওয়ার্ড পরিবর্তনের প্রয়োজন হয়, তবে ওয়্যারলেস ডিজাইনটি ইতিমধ্যে প্রতিষ্ঠানের ঝুঁকির প্রোফাইলের চেয়ে পিছিয়ে রয়েছে।
এই মডেল থেকে সরে আসার উদ্দেশ্য শুধুমাত্র নেটওয়ার্কটিকে হ্যাক করা আরও কঠিন করে তোলা নয়। এর মূল উদ্দেশ্য হলো একটি সিক্রেটকে একটি আইডেন্টিটি বা পরিচয় দিয়ে প্রতিস্থাপন করা। এই কারণেই আরও বেশি টিম স্টাফ এবং গেস্ট উভয়ের জন্যই passwordless WiFi access ব্যবহারের দিকে ঝুঁকছে। এর প্রাথমিক সুবিধা অভিনবত্ব নয়, বরং এর নিয়ন্ত্রণ। আপনি একটি ডিভাইস অনুমোদন করতে পারেন, একটি সার্টিফিকেট বাতিল করতে পারেন, ডিরেক্টরি স্ট্যাটাসের সাথে পলিসি লিঙ্ক করতে পারেন এবং প্রতিটি ব্যবহারকারীকে একই দরজার একই চাবি শেয়ার করার মতো আচরণ করা বন্ধ করতে পারেন।
বর্তমানে আদর্শ নিরাপত্তা ব্যবস্থা কেমন হওয়া উচিত
একটি শক্তিশালী বেসলাইন শুরু হয় প্রতিটি ব্যবহারকারী বা ডিভাইসের জন্য আলাদা অথেন্টিকেশন বা প্রমাণীকরণের মাধ্যমে। সেখান থেকে আপনি স্টাফ, ঠিকাদার, গেস্ট এবং অপারেশনাল টেকনোলজির জন্য আলাদা আলাদা অ্যাক্সেস নির্ধারণ করতে পারেন। আপনি এটাও ভাবা বন্ধ করতে পারেন যে একটি প্রিন্টার এবং একটি ফাইন্যান্স ল্যাপটপ একই ট্রাস্ট লেভেলের অংশ, শুধুমাত্র তারা একই এয়ারস্পেস দিয়ে সংযুক্ত রয়েছে বলে।
বাস্তবে, এন্টারপ্রাইজ WiFi সিকিউরিটি এখন একটি রেডিও প্রজেক্টের মতোই একটি আইডেন্টিটি প্রজেক্ট হয়ে উঠেছে। অ্যাক্সেস পয়েন্টগুলো এখনও গুরুত্বপূর্ণ। কন্ট্রোলারও এখনও গুরুত্বপূর্ণ। তবে প্রধান পার্থক্যটি আসে একটি স্টিকি নোট থেকে অ্যাক্সেসের সিদ্ধান্ত সরিয়ে পলিসির আওতায় নিয়ে আসার মাধ্যমে।
আজকের WiFi সিকিউরিটি ঝুঁকির বিষয়গুলো বোঝা
ওয়্যারলেস ঝুঁকি কোনো একটি একক সমস্যা নয়। এটি দুর্বল অথেন্টিকেশন, ব্যাপক অ্যাক্সেস এবং দুর্বল ভিজিবিলিটি বা দৃশ্যমানতার কারণে তৈরি হওয়া একাধিক ব্যর্থতার সমষ্টি।
আক্রমণের পরিধিও অনেক টিমের ভাবনার চেয়ে অনেক বড়। Cisco-র বার্ষিক ইন্টারনেট রিপোর্টে অনুমান করা হয়েছিল যে ২০২৩ সালের মধ্যে যুক্তরাজ্যে মাথাপিছু ৩.৬টি নেটওয়ার্কযুক্ত ডিভাইস থাকবে এবং দেশে মোট ৫.৫ বিলিয়ন নেটওয়ার্কযুক্ত ডিভাইস থাকবে, যা network access control best practices সংক্রান্ত এই আলোচনায় বিশেষভাবে তুলে ধরা হয়েছে। এটি অত্যন্ত গুরুত্বপূর্ণ, কারণ WiFi-তে সংযুক্ত প্রতিটি ডিভাইস একটি সম্ভাব্য এন্ট্রি পয়েন্ট, ভুল কনফিগারেশন বা ক্ষতিকর মুভমেন্টের পথ হতে পারে।
সবচেয়ে বেশি দেখা যায় এমন হুমকিগুলো
কিছু ওয়্যারলেস আক্রমণ সরাসরি হয়ে থাকে। অন্যগুলো ব্যবহারকারীদের একটি ভুল সংযোগের সিদ্ধান্তের ওপর নির্ভর করে।
| ঝুঁকি | এটি যেভাবে কাজ করে | এটি কেন গুরুত্বপূর্ণ |
|---|---|---|
| Rogue access points | কেউ একটি অননুমোদিত AP ইনস্টল করে বা একটি নকল SSID তৈরি করে যা দেখতে বৈধ মনে হয় | ব্যবহারকারীরা ভুল নেটওয়ার্কে সংযুক্ত হন এবং আক্রমণকারীর হাতে ট্রাফিকের নিয়ন্ত্রণ তুলে দেন |
| ক্রেডেনশিয়াল চুরি | ব্যবহারকারীরা দুর্বল পোর্টাল বা ফিশিং পেজে কর্পোরেট ক্রেডেনশিয়াল প্রবেশ করান | চুরি হওয়া ক্রেডেনশিয়াল দিয়ে WiFi-এর চেয়েও বেশি কিছুর অ্যাক্সেস নেওয়া যেতে পারে |
| Man-in-the-middle attacks | আক্রমণকারী ক্লায়েন্ট এবং সার্ভিসের মধ্যে নিজেকে স্থাপন করে | সেশন মাঝপথে আটকে দেওয়া, পরিবর্তন করা বা পর্যবেক্ষণ করা হতে পারে |
| Lateral movement | একটি আপোসকৃত এন্ডপয়েন্ট একই ব্রড সেগমেন্টের অন্যান্য সিস্টেমে পৌঁছে যায় | একটি ছোটখাটো আপোস একটি বড়সড় ঘটনায় পরিণত হয় |
| Weak IoT posture | দুর্বল সিকিউরিটিসহ ডিভাইসগুলো ব্যবসায়িক সিস্টেমের সাথে সংযুক্ত হয় | আক্রমণকারীরা সবচেয়ে গুরুত্বপূর্ণ ডিভাইসটিকে নয়, বরং সবচেয়ে সহজ ডিভাইসটিকে লক্ষ্য করে |
একটি "evil twin" আক্রমণ এর একটি সহজ উদাহরণ। একজন আক্রমণকারী আপনার সাইটের কাছাকাছি একটি পরিচিত নামে একটি ওয়্যারলেস নেটওয়ার্ক সেট আপ করে। ব্যবহারকারীরা সংযোগ করেন কারণ SSID সঠিক দেখায় অথবা তাদের ডিভাইসটি স্বয়ংক্রিয়ভাবে যুক্ত হয়ে যায়। যদি আপনার পরিবেশ ব্যবহারকারীর বিচারবুদ্ধি এবং পাসওয়ার্ডের ওপর নির্ভর করে, তবে সেই ভুয়া নেটওয়ার্কের সফল হওয়ার সম্ভাবনা থাকে। যদি পরিবেশটি শক্তিশালী সার্টিফিকেট-ভিত্তিক পারস্পরিক প্রমাণীকরণ ব্যবহার করে, তবে সেই আক্রমণটি সফল করা অনেক কঠিন কারণ ক্লায়েন্ট কথোপকথনের নেটওয়ার্ক দিকটিও যাচাই করে।
ফ্ল্যাট নেটওয়ার্ক ছোট ভুলগুলোকে ব্যয়বহুল করে তোলে
ক্ষতি প্রায়শই সংযোগের পরে ঘটে। কর্মীদের ডিভাইস, আনম্যানেজড ডিভাইস এবং অপারেশনাল এন্ডপয়েন্টগুলো যদি একই ব্রড নেটওয়ার্ক অ্যাক্সেস শেয়ার করে, তবে একটি ছোট অ্যাক্সেস পয়েন্টও তার চেয়ে অনেক বেশি দূরে পৌঁছাতে পারে যা হওয়া উচিত নয়।
managing cyber threats for businesses -এর মতো বৃহত্তর বিষয় নিয়ে কাজ করা টিমগুলো সাধারণত বুঝতে পারে যে WiFi প্রধান ঝুঁকি মডেলের বাইরে থাকতে পারে না। এটি বাকি নেটওয়ার্কের মতোই একই আইডেন্টিটি, মনিটরিং এবং কনটেইনমেন্ট কৌশলের অংশ।
একটি সুরক্ষিত SSID যা প্রতিটি প্রমাণীকৃত ডিভাইসকে একই অনিয়ন্ত্রিত সেগমেন্টে ফেলে দেয়, তা অর্থপূর্ণ এন্টারপ্রাইজ WiFi সিকিউরিটি প্রদান করছে না। এটি কেবল সমস্যাটিকে এক ধাপ পরে স্থানান্তরিত করছে।
আধুনিক WiFi প্রমাণীকরণের মূল ভিত্তি
সংক্ষিপ্ত রূপগুলো বাদ দিলে প্রযুক্তিগত পরিবর্তনটি বেশ সহজ। WPA-Personal একটি শেয়ার করা কী ব্যবহার করে। WPA2-Enterprise এবং WPA3-Enterprise প্রতিটি ব্যবহারকারী বা ডিভাইসকে আলাদাভাবে প্রমাণীকরণ করতে 802.1X ব্যবহার করে। সেই একটি পরিবর্তন পুরো অপারেটিং মডেলটিকে বদলে দেয়।
UK এন্টারপ্রাইজের জন্য, সবচেয়ে শক্তিশালী বাস্তবসম্মত বেসলাইন হলো WPA2-Enterprise বা WPA3-Enterprise সহ 802.1X, কারণ এটি প্রতিটি ব্যবহারকারী বা ডিভাইসকে আলাদাভাবে অথেন্টিকেট করে এবং তাৎক্ষণিক প্রত্যাহার সম্ভব করে তোলে, যেমনটি enterprise WiFi network security -এর এই ওভারভিউতে রূপরেখা দেওয়া হয়েছে।
শেয়ার্ড কী বনাম নেমড ব্যাজ
সবচেয়ে সহজ উপমা হলো বিল্ডিং অ্যাক্সেস।
একটি শেয়ার্ড WiFi পাসওয়ার্ড হলো একটি চাবির মতো যা বিল্ডিংয়ের প্রত্যেকের জন্য কপি করা হয়েছে। যদি একটি কপি হারিয়ে যায়, তবে আপনাকে প্রতিটি লক পরিবর্তন করতে হবে অথবা ঝুঁকি মেনে নিতে হবে।
802.1X হলো একটি ব্যাজ সিস্টেম। প্রতিটি ব্যক্তি বা ডিভাইস তার নিজস্ব পরিচয় উপস্থাপন করে। নেটওয়ার্ক একটি সেন্ট্রাল পলিসি ইঞ্জিনের সাহায্যে সেই পরিচয় যাচাই করে, যা সাধারণত একটি RADIUS সার্ভিস, তারপর সিদ্ধান্ত নেয় কাকে অ্যাক্সেস দেওয়া হবে। অন্য সবার অভিজ্ঞতা পরিবর্তন না করেই একটি ব্যাজ নিষ্ক্রিয় করা যেতে পারে।
এটাই হলো বাস্তবসম্মত কারণ যার জন্য এন্টারপ্রাইজ টিমগুলো এটি গ্রহণ করে। সংক্ষিপ্ত রূপটি শুনতে আরও উন্নত দেখায় বলে নয়, বরং এটি তাদের অপারেশনাল কন্ট্রোল দেয় যা তারা আসলে ব্যবহার করতে পারে।
802.1X কী করছে
কানেকশনের সময়, অ্যাক্সেস পয়েন্ট স্বয়ংক্রিয়ভাবে ক্লায়েন্টকে নেটওয়ার্কে গ্রহণ করে না। এটি একটি এনফোর্সমেন্ট পয়েন্ট হিসেবে কাজ করে এবং অথেন্টিকেশন কথোপকথনটি একটি পলিসি ব্যাকএন্ডে পাঠিয়ে দেয়। সেই প্রক্রিয়াটি আপনাকে সিদ্ধান্ত নিতে দেয়:
- কে কানেক্ট করছে। স্টাফ মেম্বার, ঠিকাদার, ম্যানেজড ডিভাইস, BYOD হ্যান্ডসেট বা প্রিন্টার।
- তারা কীভাবে পরিচয় প্রমাণ করেছে। ইউজারনেম এবং পাসওয়ার্ড, সার্টিফিকেট, বা অন্য কোনো অনুমোদিত EAP পদ্ধতি।
- এরপর কী ঘটবে। VLAN অ্যাসাইনমেন্ট, ACL অ্যাপ্লিকেশন, রোল ম্যাপিং, বা প্রত্যাখ্যান।
অথেন্টিকেশন আর একটি মাত্র পাসওয়ার্ডের বিপরীতে হ্যাঁ বা না-এর মতো সাধারণ চেক থাকে না। এটি পরিচয় এবং প্রসঙ্গের সাথে সম্পর্কিত একটি পলিসি সিদ্ধান্তে পরিণত হয়।
কেন WPA3 গুরুত্বপূর্ণ
WPA3-Enterprise সিকিউরিটি ফ্লোর উন্নত করে এবং ওয়্যারলেস সেশনের ক্রিপ্টোগ্রাফিক অবস্থানকে আরও শক্তিশালী করে। তবে, প্রতিদিনের আর্কিটেকচার সংক্রান্ত সিদ্ধান্তগুলোতে, WPA3-কে একটি জাদুকরী সমাধান হিসেবে বিবেচনা না করা গুরুত্বপূর্ণ। আপনি যদি WPA3 মোতায়েন করেন কিন্তু তবুও দুর্বল পরিচয় ব্যবস্থাপনা, ফলব্যাক পাথে শেয়ার্ড ক্রেডেন্সিয়াল, বা দুর্বল সেগমেন্টেশনের ওপর নির্ভর করেন, তবে আপনি মূল সমস্যার সমাধান করতে পারেননি।
একটি যুক্তিযুক্ত পদ্ধতি খুবই সহজ:
- প্রথমে এন্টারপ্রাইজ মোডে যান। ব্যক্তিগত অথেন্টিকেশন আপনার কন্ট্রোল মডেলকে অবিলম্বে পরিবর্তন করে।
- যেখানে ক্লায়েন্টরা এটি সমর্থন করে সেখানে WPA3-Enterprise ব্যবহার করুন। মাইগ্রেশনের সময় ইন্টারঅপারেবিলিটির কথা মাথায় রাখুন।
- পলিসি ডিজাইনকে রেডিও সিকিউরিটির সমান গুরুত্ব দিন। সবচেয়ে শক্তিশালী এনক্রিপশনও সামগ্রিক বিশ্বাসের ঘাটতি পূরণ করতে পারবে না।
কেন EAP-TLS-কে গোল্ড স্ট্যান্ডার্ড বলা হয়
802.1X অথেন্টিকেশন পদ্ধতিগুলোর মধ্যে, EAP-TLS হলো এমন একটি পদ্ধতি যা বেশিরভাগ আর্কিটেক্ট উচ্চ-নিশ্চয়তার মোতায়েনের জন্য বিশ্বাস করেন কারণ এটি পাসওয়ার্ডের পরিবর্তে সার্টিফিকেট ব্যবহার করে।
এর বাস্তব ফলাফল রয়েছে:
- ফিশিং প্রতিরোধ। কোনো নকল পেজে টাইপ করার জন্য ব্যবহারকারীর কাছে কোনো WiFi পাসওয়ার্ড থাকে না।
- No password reuse problem. পাসওয়ার্ড পুনরায় ব্যবহারের কোনো ঝুঁকি থাকে না। কারণ প্রমাণীকরণ পথটি কোনো মানুষের দ্বারা পরিচালিত সিক্রেটের ওপর নির্ভর করে না।
- Cleaner revocation. আপনি পুরো এস্টেট পরিবর্তন না করেই একটি মাত্র সার্টিফিকেট বা একটি ডিভাইসের আইডেন্টিটি প্রত্যাহার করতে পারেন।
- Mutual authentication. ক্লায়েন্ট সার্ভার সাইড যাচাই করতে পারে, যা ভুয়ো পরিকাঠামো আক্রমণ প্রতিরোধে সাহায্য করে।
ডিজাইন নীতি: যদি একজন ব্যবহারকারীকে কোনোভাবে প্রলুব্ধ করে WiFi ক্রেডেনশিয়াল টাইপ করানো যায়, তবে ওয়্যারলেস লগইন পথটি এখনও আপনার ফিশিং এক্সপোজারের অংশ হিসেবেই থেকে যায়।
সার্টিফিকেট ডিপ্লয়মেন্ট অবশ্যই কিছু বাড়তি কাজ নিয়ে আসে। আপনার লাইফসাইকেল ম্যানেজমেন্ট, এনরোলমেন্ট ফ্লো, PKI সিদ্ধান্ত এবং মিশ্র ধরণের ডিভাইসের জন্য সমর্থনের প্রয়োজন হবে। তবে এটি একবার চালু হয়ে গেলে, এন্টারপ্রাইজ WiFi সিকিউরিটি অনেক বেশি অনুমানযোগ্য হয়ে ওঠে। ব্যবহারকারীরা পাসওয়ার্ড সুরক্ষিত রাখবে কিনা তা নিয়ে আপনাকে আর আশায় বসে থাকতে হবে না। আপনি ম্যানেজড ক্রেডেনশিয়ালের মাধ্যমে আইডেন্টিটি প্রয়োগ করতে পারছেন যা একটি জিরো ট্রাস্ট মডেলের সাথে খাপ খায়।
Embracing Passwordless and Federated Access
সবচেয়ে শক্তিশালী ওয়্যারলেস পরিবেশগুলো সাধারণত ব্যবহার করা সহজ মনে হয়, কঠিন নয়। এটি সেইসব টিমকে অবাক করে যারা এখনও সিকিউরিটিকে আরও বেশি প্রম্পট, আরও বেশি পাসওয়ার্ড এবং আরও জটিল অনবোর্ডিং ঝামেলার সাথে সম্পর্কিত বলে মনে করে।
বাস্তবে, পাসওয়ার্ডহীন এবং ফেডারেল অ্যাক্সেস কন্ট্রোল এবং ব্যবহারকারীর অভিজ্ঞতা উভয়ই উন্নত করে। কর্মীরা WiFi-কে একটি আলাদা লগইন আইল্যান্ড হিসেবে দেখা বন্ধ করে। অতিথিরা আর সেইসব আনাড়ি পোর্টাল ফ্লো-র মুখোমুখি হন না যা ইন্টারনেটে পৌঁছানোর আগেই বিশ্বাসযোগ্যতা নষ্ট করে দেয়।
কর্মীদের অ্যাক্সেস কর্পোরেট আইডেন্টিটি অনুসরণ করা উচিত
কর্মীদের জন্য, ব্যবসায় যদি ইতিমধ্যেই Microsoft Entra ID, Okta বা Google Workspace-এর মতো কোনো আইডেন্টিটি প্রোভাইডার চালু থাকে, তবে WiFi-এর জন্য আলাদা ক্রেডেনশিয়াল স্টোরের প্রয়োজন হওয়া উচিত নয়। ওয়্যারলেস নেটওয়ার্কের উচিত সেই একই আইডেন্টিটি সোর্স ব্যবহার করা যা ডিভাইস এনরোলমেন্ট, অ্যাপ্লিকেশন অ্যাক্সেস এবং অফবোর্ডিং পরিচালনা করে।
এটি আপনাকে একটি আরও পরিচ্ছন্ন অপারেটিং মডেল দেয়:
- নতুন যোগদানকারীরা বিদ্যমান আইডেন্টিটি ওয়ার্কফ্লোর মাধ্যমে অ্যাক্সেস পান।
- পদোন্নতি বা বদলি হওয়া কর্মীরা ভূমিকার পরিবর্তনের ভিত্তিতে নতুন অ্যাক্সেস পান।
- বিদায় নেওয়া কর্মীরা ডিরেক্টরি স্ট্যাটাস পরিবর্তনের সাথে সাথেই অ্যাক্সেস হারান।
- BYOD-কে নির্বিচার বিশ্বাসের পরিবর্তে নিয়ন্ত্রিত অনবোর্ডিংয়ের মাধ্যমে পরিচালনা করা যেতে পারে।
এখানে SSO অত্যন্ত গুরুত্বপূর্ণ কারণ এটি আলাদাভাবে থাকা সিস্টেমের সংখ্যা কমিয়ে দেয় যা অন্যথায় সিঙ্কের বাইরে চলে যেতে পারে। এই পদ্ধতির অপারেশনাল মূল্য সম্পর্কে বিশদ ব্যাখ্যা করা হয়েছে single sign-on benefits সংক্রান্ত এই লেখায়। ওয়্যারলেসের জন্য মূল বিষয়টি সহজ। ব্যবহারকারীরা যত কম ম্যানুয়ালি সিক্রেট ব্যবহার করবেন, তা ফাঁস হওয়া, পুনরায় ব্যবহৃত হওয়া বা ভুল টাইপ হওয়ার সুযোগ তত কম থাকবে।
পাসওয়ার্ডহীনতা কেবল একটি সুবিধার বৈশিষ্ট্য নয়, এটি একটি সিকিউরিটি কন্ট্রোল
টিমগুলো যখন "পাসওয়ার্ডহীন WiFi"-এর কথা শোনে, তখন তারা কখনো কখনো প্রথমে সুবিধার কথা চিন্তা করে। তবে এর চেয়েও বড় কারণ হলো ঝুঁকি হ্রাস করা। ওয়্যারলেস পথ থেকে পাসওয়ার্ড সরিয়ে দিলে তা এক বড় অংশের সাপোর্ট কল এবং এড়ানো সম্ভব এমন ঝুঁকি হ্রাস করে।
একটি পাসওয়ার্ডহীন ডিজাইনে প্রায়শই নিম্নলিখিত বিষয়গুলো অন্তর্ভুক্ত থাকে:
- পরিচালিত কর্মী ডিভাইসগুলোর জন্য সার্টিফিকেট-ভিত্তিক অনবোর্ডিং।
- ডিরেক্টরি-ব্যাকড পলিসি যাতে অ্যাক্সেস ব্যবহারকারীর আইডেন্টিটি স্ট্যাটাস অনুসরণ করে।
- প্রথম এনরোলমেন্টের পর নীরব পুনঃসংযোগ, যা একটি নিরবচ্ছিন্ন ব্যবহারকারীর অভিজ্ঞতা নিশ্চিত করে।
- যখন কোনো ডিভাইস বা ব্যবহারকারীকে আর বিশ্বাস করা উচিত নয় তখন অবিলম্বে প্রত্যাহার।
এটি এমন একটি পয়েন্ট যেখানে প্ল্যাটফর্ম নির্বাচন গুরুত্বপূর্ণ ভূমিকা পালন করে। কিছু সংস্থা তাদের বিদ্যমান NAC স্ট্যাক এবং ক্লাউড আইডেন্টিটি টুলের চারপাশে এটি তৈরি করে। অন্যরা পরিচালিত আইডেন্টিটি-ভিত্তিক নেটওয়ার্কিং পরিষেবা ব্যবহার করে। উদাহরণস্বরূপ, Purple কর্মী WiFi-কে 802.1X, সার্টিফিকেট-ভিত্তিক অনবোর্ডিং, এবং Entra ID, Google Workspace এবং Okta-র সাথে SSO ইন্টিগ্রেশনের মাধ্যমে সমর্থন করে। প্রাসঙ্গিক ডিজাইনের প্রশ্নটি ব্র্যান্ডের পছন্দ নয়। এটি হল প্ল্যাটফর্মটি আপনার আইডেন্টিটি আর্কিটেকচার, প্রত্যাহার মডেল এবং সাপোর্ট ক্ষমতার সাথে খাপ খায় কিনা।
অতিথি এবং ভিজিটর অ্যাক্সেস জটিল না করেও সুরক্ষিত করা সম্ভব
অতিথি WiFi প্রায়শই কর্মীদের নিরাপত্তার চেয়ে পিছিয়ে থাকে কারণ টিমগুলো ধরে নেয় যে সরলতা এবং সুরক্ষার মধ্যে একটি আপস করতে হবে। তবে এমনটি হওয়ার কোনো প্রয়োজন নেই।
আধুনিক অতিথি অ্যাক্সেস Passpoint এবং OpenRoaming-এর মতো প্রযুক্তি ব্যবহার করে একটি শেয়ার্ড পাসওয়ার্ড বা বারবার স্প্ল্যাশ-পেজ রিচুয়ালের উপর নির্ভর না করেই এনক্রিপ্ট করা, স্বয়ংক্রিয় সংযোগ তৈরি করতে পারে। ব্যবহারকারীর অভিজ্ঞতা উন্নত হয় কারণ ডিভাইসটি একটি বিশ্বস্ত অ্যাক্সেস ফ্রেমওয়ার্ককে চিনতে পারে। নিরাপত্তা উন্নত হয় কারণ সংযোগটি একটি ওপেন SSID বা একটি মৌলিক Captive Portal -এর চেয়ে শক্তিশালী আইডেন্টিটি এবং এনক্রিপশন আচরণের মাধ্যমে শুরু হয়।
ব্যবহারকারীরা সুরক্ষিত WiFi-এর বিরোধিতা করেন না। তারা এমন WiFi-এর বিরোধিতা করেন যা একই সাথে অসুরক্ষিত এবং অসুবিধাজনক।
এটাই হলো বাস্তবসম্মত লক্ষ্য। কর্মীদের জন্য একটি আইডেন্টিটি মডেল, BYOD-এর জন্য একটি নিয়ন্ত্রিত পথ, এবং অতিথি অ্যাক্সেস যা মানুষকে অস্পষ্ট পোর্টাল পেজে ক্লিক করতে এবং প্রথমে যে নেটওয়ার্কটি প্রদর্শিত হয় তাতেই বিশ্বাস করতে বাধ্য করে না।
একটি Zero Trust ওয়্যারলেস আর্কিটেকচার ডিজাইন করা
WiFi-তে Zero trust মানে অন্য সবকিছুর চেয়ে একটি বিষয় সবচেয়ে গুরুত্বপূর্ণ। সংযোগ মানেই বিশ্বাস নয়। একটি ডিভাইস রেডিও রেঞ্জের মধ্যে আছে, একটি SSID জানে, অথবা একটি মৌলিক প্রমাণীকরণ ধাপ অতিক্রম করেছে বলেই অভ্যন্তরীণ রিসোর্সগুলোতে ব্যাপক অ্যাক্সেস দেওয়া উচিত নয়।
একটি কার্যকর জিরো-ট্রাস্ট ওয়্যারলেস ডিজাইন শুরু হয় আইডেন্টিটি দিয়ে এবং শেষ হয় কন্টেনমেন্টের মাধ্যমে। এটি একটি নির্দিষ্ট “জিরো ট্রাস্ট” লেবেলযুক্ত প্রোডাক্ট কেনার চেয়ে প্রতিটি অ্যাক্সেসের সিদ্ধান্ত যাতে সীমিত, স্পষ্ট এবং পরিবর্তনযোগ্য হয়, তা নিশ্চিত করার জন্য বেশি গুরুত্বপূর্ণ। জিরো ট্রাস্ট নেটওয়ার্ক অ্যাক্সেস এর বিস্তৃত কাঠামোটি ওয়্যারলেসের সাথে চমৎকারভাবে মিলে যায় কারণ WiFi হলো এমন একটি জায়গা যেখানে প্রতিষ্ঠানগুলো খুব সহজেই ডিফল্টভাবে অতিরিক্ত বিশ্বাস বা ওভার-ট্রাস্ট করে ফেলে।
SSID নয়, পলিসি দিয়ে শুরু করুন
একটি সাধারণ ভুল হলো বিভিন্ন গ্রুপের প্রতিনিধিত্ব করার জন্য বিপুল সংখ্যক SSID তৈরি করা। এটি দেখতে গোছানো মনে হলেও দ্রুতই বিশৃঙ্খল হয়ে পড়ে। এর চেয়ে ভালো সমাধান হলো কম SSID ব্যবহার করা, স্ট্রং অথেন্টিকেশন রাখা এবং ব্যাক-এন্ডে পলিসি-চালিত অ্যাসাইনমেন্ট ব্যবহার করা।
উদাহরণস্বরূপ, একই এন্টারপ্রাইজ SSID আইডেন্টিটি এবং ডিভাইসের অবস্থার উপর ভিত্তি করে ব্যবহারকারীদের ভিন্নভাবে অ্যাক্সেস দিতে পারে:
| আইডেন্টিটি বা ডিভাইসের ধরন | সাধারণ ট্রিটমেন্ট |
|---|---|
| ম্যানেজড স্টাফ ল্যাপটপ | রোল-ভিত্তিক অ্যাক্সেস সহ কর্পোরেট সেগমেন্ট |
| কন্ট্রাক্টর ডিভাইস | শুধুমাত্র নির্দিষ্ট টুলের জন্য সীমাবদ্ধ সেগমেন্ট |
| এক্সিকিউটিভ মোবাইল ডিভাইস | কঠোর পলিসি কন্ট্রোল সহ ম্যানেজড অ্যাক্সেস |
| প্রিন্টার বা স্ক্যানার | সীমিত ইস্ট-ওয়েস্ট অ্যাক্সেস সহ আইসোলেটেড অপারেশনাল সেগমেন্ট |
| গেস্ট ফোন | শুধুমাত্র ইন্টারনেট অ্যাক্সেস, যা ইন্টারনাল সিস্টেম থেকে সম্পূর্ণ আলাদা |
ডাইনামিক VLAN অ্যাসাইনমেন্ট এবং রোল-ভিত্তিক পলিসি এখানে বিশেষভাবে কার্যকর। ব্যবহারকারী কোন অফিসে প্রবেশ করেছেন তা নেটওয়ার্কের বিবেচ্য নয়। এটি মূল্যায়ন করে তারা কে, কোন ডিভাইস ব্যবহার করছেন এবং তাদের কী ধরনের অ্যাক্সেস পাওয়া উচিত।
প্রথম প্যাকেট থেকেই সর্বনিম্ন প্রিভিলেজ বা সুবিধা প্রয়োগ করুন
ওয়্যারলেসের ক্ষেত্রে সর্বনিম্ন প্রিভিলেজ কোনো তাত্ত্বিক বিষয় নয়। এটি কিছু সুনির্দিষ্ট সিদ্ধান্তের একটি ধারাবাহিক প্রক্রিয়া:
- 802.1X বা অনুমোদিত বিকল্পের মাধ্যমে আইডেন্টিটি অথেন্টিকেট করুন।
- এন্ডপয়েন্টটি ম্যানেজড, আনম্যানেজড, গেস্ট নাকি অপারেশনাল হিসেবে শ্রেণীভুক্ত করুন।
- ডাইরেক্টরি অ্যাট্রিবিউট এবং পলিসির উপর ভিত্তি করে নেটওয়ার্ক রোল অ্যাসাইন করুন।
- ইস্ট-ওয়েস্ট মুভমেন্ট সীমাবদ্ধ করুন যাতে একটি এন্ডপয়েন্ট সহজেই বাকি নেটওয়ার্কে ব্রাউজ করতে না পারে।
- অস্বাভাবিক আচরণের জন্য সেশন মনিটর করুন এবং প্রয়োজন হলে দ্রুত অ্যাক্সেস বাতিল করুন।
এই ডিজাইনটি সম্ভাব্য ক্ষতির পরিধি সীমিত করে। কোনো ডিভাইস আক্রান্ত হলেও আক্রমণকারী স্বয়ংক্রিয়ভাবে সম্পূর্ণ ইন্টারনাল নেটওয়ার্ক দেখার সুযোগ পায় না।
“ইন্টারনাল” নেটওয়ার্কের মিথ্যা স্বস্তি এড়িয়ে চলুন
অনেক সাইবার আক্রমণ বড় আকার ধারণ করে কারণ নেটওয়ার্কটি ইন্টারনাল WLAN-এ সংযুক্ত যেকোনো কিছুকেই বিশ্বস্ত বলে ধরে নেয়। বর্তমান সময়ে এই ধারণা মেনে নেওয়া কঠিন। কর্পোরেট ল্যাপটপ ফিশিংয়ের শিকার হচ্ছে। মোবাইল ডিভাইস হারিয়ে যাচ্ছে। IoT হার্ডওয়্যারগুলো দুর্বল ডিফল্ট সিকিউরিটি সহ আসে। কন্ট্রাক্টররা বিভিন্ন মিশ্র পরিবেশ থেকে সংযুক্ত হচ্ছেন।
“আভ্যন্তরীণ WiFi” কোনো নিরাপত্তা সীমানা নয়। নীতি নির্ধারণ না হওয়া পর্যন্ত এটি শুধুমাত্র একটি পরিবহনের মাধ্যম।
শক্তিশালী এন্টারপ্রাইজ WiFi সিকিউরিটি প্রতিটি ওয়্যারলেস সেশনকে যাচাই ও সীমাবদ্ধ না করা পর্যন্ত অনিরাপদ হিসেবে গণ্য করে। এটিই জিরো ট্রাস্টকে স্লাইড ডেক থেকে একটি বাস্তবমুখী কার্যকারী ডিজাইনে রূপান্তর করে।
লেগেসি এবং IoT ডিভাইসগুলো নিরাপদে পরিচালনা করা
প্রতিটি পরিচ্ছন্ন ওয়্যারলেস ডিজাইন শেষ পর্যন্ত একই আপত্তির সম্মুখীন হয়। “ল্যাপটপ এবং ফোনের জন্য এটি ঠিক আছে, কিন্তু যে ডিভাইসগুলো 802.1X সমর্থন করে না সেগুলোর ক্ষেত্রে কী হবে?” এটি একটি যৌক্তিক প্রশ্ন। প্রিন্টার, স্ক্যানার, মেডিকেল ডিভাইস, বিল্ডিং সিস্টেম, ক্যামেরা এবং পুরনো বিশেষায়িত হার্ডওয়্যারগুলো অনেক সময় আধুনিক সাপ্লিক্যান্ট সঠিকভাবে চালাতে পারে না।
এর জন্য একটি শেয়ার্ড WPA2-Personal পাসওয়ার্ড সহ ফলব্যাক SSID তৈরি করে সেটিকে “IoT নেটওয়ার্ক” নাম দেওয়া একটি ভুল সিদ্ধান্ত। এটি আপনার তৈরি করা নিরাপত্তা মডেলের কার্যকারিতা নষ্ট করে দেয়। পাসওয়ার্ডটি ছড়িয়ে পড়ে। কোন ডিভাইসটি এটি ব্যবহার করছে তা কেউ জানতে পারে না। একটি এন্ডপয়েন্ট বাতিল করা আবার বেদনাদায়ক হয়ে ওঠে।
কেন একটি শেয়ার্ড ফলব্যাক SSID একটি খারাপ আপস
লেগেসি ডিভাইসগুলোর জন্য একটি একক পাসওয়ার্ড আগে আলোচিত সমস্যাগুলোই তৈরি করে, তবে এক্ষেত্রে দৃশ্যমানতা আরও কম থাকে। এই এন্ডপয়েন্টগুলোর মধ্যে অনেকগুলিই আনম্যানেজড বা হালকাভাবে ম্যানেজড। কিছু ডিভাইসে প্যাচ করা কঠিন। কিছু ডিভাইস ইনস্টল করে ভুলে যাওয়া হয়।
এটি তিনটি কারণে একটি শেয়ার্ড-কী নেটওয়ার্ককে বিপজ্জনক করে তোলে:
- অ্যাট্রিবিউশন দুর্বল হয়। আপনি জানেন যে একটি ডিভাইস যুক্ত হয়েছে, কিন্তু সেটি আপনার অনুমোদিত কাঙ্ক্ষিত ডিভাইসটি কি না তা নিশ্চিত হওয়া যায় না।
- রোটেশন করা কঠিন হয়। কী পরিবর্তন করার অর্থ হতে পারে প্রতিটি ডিভাইসে আলাদাভাবে গিয়ে কাজ করা।
- সেগমেন্টেশন এলোমেলো হয়ে যায়। টিমগুলো প্রায়ই লেগেসি ডিভাইসগুলোকে একসাথে রাখে এবং আশা করে যে ফায়ারওয়াল নিয়মের মাধ্যমেই সব সুরক্ষিত থাকবে।
যেখানে পূর্ণাঙ্গ 802.1X সম্ভব নয় সেখানে প্রতি-ডিভাইস ক্রেডেনশিয়াল ব্যবহার করুন
একটি ভালো সমাধান হলো iPSK বা PPSK। বিভিন্ন ভেন্ডর এটিকে ভিন্ন ভিন্ন নামে চিহ্নিত করে, তবে মূল নীতি একই। SSID শেয়ার করা থাকলেও প্রতিটি ডিভাইস নিজস্ব অনন্য প্রি-শেয়ার্ড কী পায়।
এটি পূর্ণাঙ্গ 802.1X সাপ্লিক্যান্টের প্রয়োজন ছাড়াই আপনাকে কার্যকরী নিয়ন্ত্রণ প্রদান করে:
- একটি ডিভাইস, একটি কী। যদি কোনো প্রিন্টার প্রতিস্থাপন করা হয় বা কোনো ক্যামেরা হ্যাক করা হয়, তবে আপনি শুধুমাত্র সেই কী-টি বাতিল করতে পারবেন।
- উন্নত পলিসি ম্যাপিং। আপনি একটি নির্দিষ্ট কী-কে একটি VLAN, রোল বা নির্দিষ্ট নেটওয়ার্ক পলিসির সাথে যুক্ত করতে পারেন।
- উন্নত দৃশ্যমানতা। সাপোর্ট টিম নির্ধারণ করতে পারে কোন এন্ডপয়েন্টটি নেটওয়ার্কে থাকা উচিত।
এটি সার্টিফিকেট-ভিত্তিক EAP-TLS এর সমতুল্য নয়। এটি এমন হার্ডওয়্যারের জন্য একটি বাস্তবসম্মত কনটেইনমেন্ট কৌশল যা এর চেয়ে উন্নত উপায়ে কাজ করতে সক্ষম নয়।
IoT-কে সুবিধার ক্ষেত্র হিসেবে নয়, বরং ঝুঁকির ক্ষেত্র হিসেবে বিবেচনা করুন
ডিজাইনের চিন্তাভাবনা অত্যন্ত গুরুত্বপূর্ণ। লেগেসি এবং IoT ডিভাইসগুলোকে “সহজ নেটওয়ার্কের বিষয়” হিসেবে দেখা উচিত নয়। সেগুলোকে কঠোরভাবে সংজ্ঞায়িত যোগাযোগ পথ সহ একটি পৃথক ঝুঁকির শ্রেণী হিসেবে বিবেচনা করা উচিত।
একটি বিচক্ষণ পদক্ষেপ হলো এদেরকে ইউজার নেটওয়ার্ক থেকে আলাদা করা, শুধুমাত্র প্রয়োজনীয় প্রোটোকল এবং ডেস্টিনেশনের অনুমতি দেওয়া এবং মালিকানা স্পষ্টভাবে নথিভুক্ত করা। যদি কোনো টিম ডিভাইসের লাইফসাইকেল পরিচালনা না করে, তবে শুধু ওয়্যারলেস পলিসি আপনাকে রক্ষা করতে পারবে না। কিন্তু আপনি যদি প্রতিটি ডিভাইসের ক্রেডেনশিয়ালের সাথে কঠোর সেগমেন্টেশন যুক্ত করেন, তবে আপনি লিগ্যাসি ব্যতিক্রমগুলোর কারণে বাকি ওয়্যারলেস আর্কিটেকচার ক্ষতিগ্রস্ত হওয়া থেকে আটকাতে পারবেন।
কমপ্লায়েন্স পর্যবেক্ষণ এবং ইনসিডেন্ট রেসপন্স
ইউজাররা সফলভাবে কানেক্ট করার মাধ্যমেই একটি সিকিউর ডেপ্লয়মেন্ট শেষ হয়ে যায় না। রোলআউটের দিনের চেয়ে দ্বিতীয় দিনের অপারেশনগুলো বেশি গুরুত্বপূর্ণ। কে অথেন্টিকেট করেছে, কোন মেথড ব্যবহার করেছে, তারা কী রোল পেয়েছে এবং কোনো ঘটনার আগে কী পরিবর্তন হয়েছে তা যদি আপনি দেখতে না পান, তবে আপনার ওয়্যারলেস এনভায়রনমেন্ট সুরক্ষিত রাখা এবং তদন্ত করা আরও কঠিন হবে।
প্রতিদিন কী পর্যবেক্ষণ করতে হবে
ন্যূনতমপক্ষে, সিকিউরিটি এবং নেটওয়ার্ক টিমের তাদের ওয়্যারলেস এবং RADIUS লগগুলোতে এই ডেটা পয়েন্টগুলো লক্ষ্য করা উচিত:
- অথেন্টিকেশন ব্যর্থতা যা ব্রুট - ফোর্স অ্যাটাক, সার্টিফিকেট সমস্যা বা ভুলভাবে কনফিগার করা ক্লায়েন্ট নির্দেশ করতে পারে
- বারবার অনবোর্ডিং সমস্যা যা প্রায়শই ভাঙা পলিসি বা অসামঞ্জস্যপূর্ণ ডিভাইসের ধরন প্রকাশ করে
- প্রত্যাশিত রোলের পরিবর্তন যেমন কোনো ডিভাইসের ভুল সেগমেন্টে চলে যাওয়া
- নতুন এন্ডপয়েন্ট প্যাটার্ন যা ক্ষতিকারক ডিভাইস বা অনিয়ন্ত্রিত বৃদ্ধির ইঙ্গিত দেয়
- রোগ AP এবং স্পুফড SSID অ্যালার্ট ওয়্যারলেস মনিটরিং টুল থেকে প্রাপ্ত
এই লগগুলো কমপ্লায়েন্সের কাজেও সহায়তা করে। UK GDPR এবং ডেটা প্রোটেকশন অ্যাক্ট 2018 ব্যক্তিগত ডেটা সুরক্ষার জন্য উপযুক্ত টেকনিক্যাল এবং অর্গানাইজেশনাল ব্যবস্থা গ্রহণের দাবি রাখে। একটি ওয়্যারলেস নেটওয়ার্কের ক্ষেত্রে, সেই প্রত্যাশাটি শক্তিশালী অ্যাক্সেস কন্ট্রোল, বিচক্ষণ সেগমেন্টেশন এবং অডিটযোগ্য সিদ্ধান্ত গ্রহণে রূপান্তরিত হয়। আইডেন্টিটি - ভিত্তিক WiFi এখানে সাহায্য করে কারণ এটি শেয়ার করা সিক্রেটের বেনামী ব্যবহারের পরিবর্তে আপনাকে নামসহ অ্যাক্সেস ইভেন্টের তথ্য দেয়।
উচ্চ - নিশ্চয়তাযুক্ত এনভায়রনমেন্টের জন্য আরও কঠোর বিকল্পের প্রয়োজন
সরকারি বা প্রতিরক্ষা খাতের মতো যে এনভায়রনমেন্টগুলোতে আরও শক্তিশালী নিশ্চয়তার প্রয়োজন, সেগুলোর জন্য WPA3-Enterprise 192-bit mode হলো এখানে বর্ণিত সবচেয়ে শক্তিশালী বিকল্প এবং এটি এখনও প্রতি সেশনের আইডেন্টিটি যাচাইয়ের জন্য 802.1X এবং EAP-TLS-এর উপর নির্ভর করে, যা WiFi সিকিউরিটির এই গাইড - এ সংক্ষেপে আলোচনা করা হয়েছে। এটি মনিটরিংয়ের প্রয়োজনীয়তা দূর করে না। বরং এটি পলিসি, সার্টিফিকেট পরিচ্ছন্নতা এবং ইনসিডেন্ট হ্যান্ডলিং সমানভাবে সুশৃঙ্খল রাখার প্রত্যাশাকে বাড়িয়ে দেয়।
একটি ওয়্যারলেস ইনসিডেন্ট প্লেবুক তৈরি করুন
যখন কোনো ওয়্যারলেস ঘটনার সন্দেহ করা হয়, তখন নিখুঁত হওয়ার চেয়ে দ্রুত পদক্ষেপ নেওয়া বেশি গুরুত্বপূর্ণ। প্রথম রেসপন্সটি কাঠামোগত হওয়া উচিত:
- পরিসর চিহ্নিত করুন। কোন SSID, সাইট, আইডেন্টিটি এবং ডিভাইসগুলো এর সাথে জড়িত?
- অ্যাক্সেস নিয়ন্ত্রণ করুন। সার্টিফিকেট বাতিল করুন, অ্যাকাউন্ট নিষ্ক্রিয় করুন অথবা আক্রান্ত রোলটিকে কোয়ারেন্টাইন করুন।
- লগ সংরক্ষণ করুন। অথেন্টিকেশন রেকর্ড, কন্ট্রোলার ইভেন্ট এবং সংশ্লিষ্ট আইডেন্টিটি পরিবর্তনগুলো সংরক্ষণ করুন।
- পার্শ্ববর্তী চলাচল পরীক্ষা করুন (Check lateral movement)। ডিভাইসটি তার নির্ধারিত সেগমেন্টের বাইরে কোনো সিস্টেমে পৌঁছেছে কিনা তা নিশ্চিত করুন।
- প্রতিকার এবং শক্তিশালীকরণ করুন (Remediate and harden)। পলিসির ফাঁকফোকর, ভুল কনফিগারেশন, বা তালিকাভুক্তির দুর্বলতা যা এই ঘটনার সুযোগ করে দিয়েছে তা সংশোধন করুন।
সেরা ওয়্যারলেস ইনসিডেন্ট রেসপন্স প্ল্যানগুলি প্যাকেট ক্যাপচার দিয়ে শুরু হয় না। এগুলি শুরু হয় কোন আইডেন্টিটি সংযুক্ত হয়েছিল, কোন পলিসি প্রয়োগ করা হয়েছিল এবং কীভাবে তা অবিলম্বে প্রত্যাহার করা যায় তা সঠিকভাবে জানার মাধ্যমে।
আপনার Enterprise WiFi Security চেকলিস্ট
একটি ভালো ওয়্যারলেস সিকিউরিটি প্রোগ্রাম প্রতিটি অ্যাক্সেস পয়েন্ট প্রতিস্থাপন করার মাধ্যমে শুরু হয় না। এটি শুরু হয় দুর্বল বিশ্বাসের অনুমানগুলিকে প্রতিস্থাপন করার মাধ্যমে। আপনার এনভায়রনমেন্টের বর্তমান অবস্থা অডিট করতে এবং প্রথমে কোনটি পরিবর্তন করতে হবে তা সিদ্ধান্ত নিতে এই চেকলিস্টটি ব্যবহার করুন।
বর্তমান অবস্থা অডিট করুন
- শেয়ার্ড সিক্রেটগুলি খুঁজুন। এখনও একটি সাধারণ পাসওয়ার্ড ব্যবহার করছে এমন প্রতিটি SSID তালিকাভুক্ত করুন এবং এটি কারা জানে তা চিহ্নিত করুন।
- ডিভাইস ক্লাস ম্যাপ করুন। স্টাফ, গেস্ট, BYOD, ঠিকাদার, IoT এবং অপারেশনাল ডিভাইসগুলিকে আলাদা করুন।
- ট্রাস্ট বাউন্ডারি পর্যালোচনা করুন। শুধুমাত্র WiFi এর সাথে সংযুক্ত হওয়ার কারণেই কোনো ডিভাইসকে ব্যাপক অভ্যন্তরীণ অ্যাক্সেস দেওয়া হচ্ছে কিনা তা পরীক্ষা করুন।
নিয়ন্ত্রণ পরিবর্তনগুলিকে অগ্রাধিকার দিন
- স্টাফদের 802.1X-এ স্থানান্তরিত করুন। ম্যানেজড ডিভাইসগুলি দিয়ে শুরু করুন এবং পৃথক অথেন্টিকেশনকে ডিফল্ট করুন।
- সার্টিফিকেট-ভিত্তিক অ্যাক্সেসকে প্রাধান্য দিন। যেখানে ডিভাইস লাইফসাইকেল এবং PKI প্রসেসগুলি এটিকে সমর্থন করতে পারে সেখানে EAP-TLS ব্যবহার করুন।
- আইডেন্টিটি সিস্টেমের সাথে WiFi লিঙ্ক করুন। অফবোর্ডিং এবং রোলের পরিবর্তনগুলি স্বয়ংক্রিয়ভাবে নেটওয়ার্ক অ্যাক্সেসকে প্রভাবিত করা উচিত।
- আক্রমণাত্মকভাবে সেগমেন্টেশন ব্যবহার করুন। ব্যবহারকারী এবং ডিভাইসগুলিকে শুধু SSID-এ নয়, বরং রোলের মধ্যে রাখুন।
অপারেশন কঠোর করুন
- অথেন্টিকেশন ইভেন্টগুলি পর্যবেক্ষণ করুন। ব্যর্থ লগঅন, অদ্ভুত ডিভাইসের প্যাটার্ন এবং ভুল-রোল অ্যাসাইনমেন্টগুলি দৃশ্যমান হওয়া উচিত।
- অননুমোদিত ইনফ্রাস্ট্রাকচার সন্ধান করুন। অননুমোদিত AP এবং স্পুফড নেটওয়ার্ক নামের দিকে নজর রাখুন।
- রিভোকেশন টেস্ট করুন। বাকি সবাইকে বিভ্রান্ত না করে আপনি তাৎক্ষণিকভাবে একজন ব্যবহারকারী বা একটি ডিভাইস অপসারণ করতে পারেন কিনা তা প্রমাণ করুন।
- মালিকানা নথিভুক্ত করুন। প্রতিটি ডিভাইস ক্লাসের একজন বিজনেস ওনার এবং একজন পলিসি ওনার থাকা উচিত।
যখন আইডেন্টিটি, সেগমেন্টেশন এবং মনিটরিং একসাথে কাজ করে তখন এন্টারপ্রাইজ WiFi সিকিউরিটি দ্রুত উন্নত হয়। আপনি যদি এগুলির মধ্যে কেবল একটি সমাধান করেন, তবে অন্য দুটি সাধারণত আপনার পরবর্তী দুর্বল পয়েন্ট হয়ে দাঁড়ায়।
আপনি যদি ওয়্যারলেস অ্যাক্সেসকে আধুনিকীকরণ করতে চান এবং একাধিক টুল একসাথে জোড়াতালি দেওয়ার পরিবর্তে একটি প্ল্যাটফর্ম-ভিত্তিক পদ্ধতি পছন্দ করেন, তবে Purple মূল্যায়ন করার মতো একটি অন্যতম বিকল্প। এটি গেস্ট, কর্মী এবং মাল্টি-টেন্যান্ট পরিবেশের জন্য আইডেন্টিটি-ভিত্তিক WiFi-এর উপর ফোকাস করে, যার মধ্যে রয়েছে পাসওয়ার্ডহীন গেস্ট অ্যাক্সেস, SSO ইন্টিগ্রেশন এবং লেগাসি ডিভাইস অনবোর্ডিংয়ের নিয়ন্ত্রণ - যা টিমগুলোকে শেয়ারড পাসওয়ার্ড থেকে সরিয়ে একটি জিরো-ট্রাস্ট ওয়্যারলেস মডেলের দিকে নিয়ে যাওয়ার জন্য অত্যন্ত প্রাসঙ্গিক।
