Zero Trust network architecture and sizing advisor
Model identity-driven 802.1X authentication, dynamic VLAN segregation, and attack surface reduction for enterprise WiFi and campus switching networks.
Identity-driven 802.1X & Cloud RADIUS architecture
Eliminate shared network passwords across all corporate SSIDs. With 802.1X EAP-TLS, each device authenticates using a unique client certificate bound to the user identity in Microsoft Entra ID. Certificates are issued through Intune SCEP or PKCS profile against an NDES connector, and withdrawn through Conditional Access revocation plus CRL publication.
! Zero Trust 802.1X policy, Catalyst 9800 / IOS-XE ! Identity source: Microsoft Entra ID ! Credential: 802.1X EAP-TLS with per-device client certificates ! RADIUS endpoints shown as RFC 5737 documentation addresses radius server ZT-RADIUS-PRIMARY address ipv4 198.51.100.10 auth-port 1812 acct-port 1813 key 0 <RADIUS_SHARED_SECRET> radius server ZT-RADIUS-SECONDARY address ipv4 198.51.100.11 auth-port 1812 acct-port 1813 key 0 <RADIUS_SHARED_SECRET> aaa group server radius ZT-RADIUS-GROUP server name ZT-RADIUS-PRIMARY server name ZT-RADIUS-SECONDARY aaa authentication dot1x default group ZT-RADIUS-GROUP aaa authorization network default group ZT-RADIUS-GROUP aaa accounting identity default start-stop group ZT-RADIUS-GROUP aaa server radius dynamic-author client 198.51.100.10 server-key 0 <COA_SHARED_SECRET> client 198.51.100.11 server-key 0 <COA_SHARED_SECRET> auth-type all dot1x system-auth-control wlan ZT-CORP 1 ZT-CORP security wpa wpa2 wpa3 security dot1x authentication-list ZT-DOT1X no shutdown wireless profile policy ZT-CORP-POLICY aaa policy-override ! Honours RFC 2868 Tunnel-Private-Group-ID from the RADIUS reply aaa-override accounting-list default no shutdown ! key 0 is cleartext in the running config. Type 7 is reversible ! obfuscation, not encryption, so neither protects the secret at rest: ! hold it in a configuration manager and rotate it on exposure.
Ready to deploy Zero Trust across your wireless and wired campus?
Purple provides enterprise Cloud RADIUS, seamless 802.1X certificate provisioning, and dynamic VLAN segmentation for Cisco, Aruba, Ruckus, Extreme, and Meraki architectures.
UK-তে, ৯৮% সংস্থা জানিয়েছে যে তারা zero trust বাস্তবায়নের পরিকল্পনা করছে বা ইতিমধ্যেই করেছে, তবুও মাত্র ১৫% সম্পূর্ণ বাস্তবায়নের কথা রিপোর্ট করেছে। এই ব্যবধানটি সচেতনতার অভাব নয়। এটি হল কার্যকারিতা। UK-এর zero-trust গবেষণা দেখায় যে অনেক টিম এই নিয়ন্ত্রণগুলিকে একটি অপারেটিং মডেলে সংযুক্ত না করেই পরিকল্পনা, সেগমেন্টেশন বা আইসোলেটেড আইডেন্টিটি প্রজেক্ট শুরু করেছে।
ব্যবহারিক প্রশ্নটি জিরো ট্রাস্ট গুরুত্বপূর্ণ কিনা তা নিয়ে নয়। এটি হলো লাইভ সার্ভিস বিঘ্নিত না করে, ব্যবহারকারীদের হতাশ না করে বা বিচ্ছিন্ন নিরাপত্তা পণ্যগুলির আরেকটি সংগ্রহ তৈরি না করে কীভাবে জিরো ট্রাস্ট প্রয়োগ করা যায়। এর উত্তর হলো পরিচয়, ডিভাইসের অবস্থা, ডিরেক্টরি লাইফসাইকেল, সুরক্ষিত WiFi, সেগমেন্টেশন এবং ক্রমাগত যাচাইকরণকে ঘিরে স্থানান্তরের ধাপগুলি সাজানো।
কেন এন্টারপ্রাইজে Zero Trust বাস্তবায়ন বাধাগ্রস্ত হয়
৫১% সংস্থা এখনও প্রাথমিক পরিকল্পনার পর্যায়ে রয়েছে, যেখানে মাত্র ১৫% সম্পূর্ণ ইমপ্লিমেন্টেশনের দাবি করে, এবং ৮০% টেকনিক্যাল বা অপারেশনাল বাধার সম্মুখীন হয়েছে। UK সংস্থাগুলোর রিপোর্ট একটি দিক নির্বাচন করা এবং প্রয়োজনীয় নিয়ন্ত্রণগুলো পরিচালনা করার মধ্যকার ব্যবধানটি দেখায়। টিমগুলো প্রায়শই বিচ্ছিন্ন প্রজেক্ট দিয়ে শুরু করে, তারপর আবিষ্কার করে যে আইডেন্টিটি, ডিভাইস, ডিরেক্টরি, অ্যাপ্লিকেশন এবং নেটওয়ার্ক একে অপরের ওপর নির্ভরশীল।
জিরো ট্রাস্ট সিস্টেম, নেটওয়ার্ক এবং পরিষেবা থেকে সহজাত বিশ্বাস দূর করে। একটি অভ্যন্তরীণ সংযোগের কারণে ব্যাপক অ্যাক্সেস দেওয়া উচিত নয়। কোনো ব্যক্তি বা সরবরাহকারীর আর প্রয়োজন না থাকার পরেও একটি পুরোনো অ্যাকাউন্টের অনুমতি বহাল থাকা উচিত নয়। কোনো পরিষেবা কেবল একটি অথেন্টিকেশন পরীক্ষায় উত্তীর্ণ হয়েছে বলেই তাকে অনির্দিষ্টকালের জন্য বিশ্বস্ত রাখা উচিত নয়।
ইউকে ন্যাশনাল সাইবার সিকিউরিটি সেন্টার জিরো ট্রাস্টকে কোনো প্রোডাক্ট কেনা হিসেবে নয়, বরং একটি ধাপভিত্তিক মাইগ্রেশন হিসেবে উপস্থাপন করে। এর আর্কিটেকচার নির্দেশিকা পরিচয়-চালিত অ্যাক্সেসের সিদ্ধান্ত এবং সুরক্ষিত যোগাযোগ সহ আটটি ডিজাইন নীতি নির্ধারণ করে। NCSC জিরো-ট্রাস্ট সংগ্রহটি ২০২১ সালে প্রকাশিত হয়েছিল এবং একই বছরের সেপ্টেম্বরে এর বাস্তবায়ন নির্দেশিকা প্রসারিত করা হয়েছিল। NCSC আর্কিটেকচার ডিজাইন নীতিগুলো অত্যন্ত উপযোগী কারণ এগুলো প্রযুক্তি নির্বাচন করার আগে টিমগুলোকে আর্কিটেকচার এবং ট্রাস্ট সংক্রান্ত সিদ্ধান্তগুলো নিষ্পত্তি করতে বাধ্য করে।
প্রোডাক্ট-প্রথম ব্যর্থতার মোড
ব্যর্থতার সূত্রপাত সাধারণত একটি প্ল্যাটফর্ম কেনাকাটার মাধ্যমে শুরু হয়। একটি টিম হয়তো একটি আইডেন্টিটি প্রোডাক্ট, সেগমেন্টেশন টুল বা ZTNA গেটওয়ে স্থাপন করে, এবং পরবর্তীতে দেখতে পায় যে সার্ভিস অ্যাকাউন্ট, আনম্যানেজড ডিভাইস, লিগ্যাসি অ্যাপ্লিকেশন, ওয়্যারলেস অথেন্টিকেশন এবং ডিরেক্টরি অফবোর্ডিং কখনোই ম্যাপ করা হয়নি।
এর ফলে ব্যতিক্রমের তালিকা কেবল বাড়তেই থাকে। ব্যবহারকারীরা সাময়িক সমাধান পান, অ্যাডমিনিস্ট্রেটররা শেয়ার করা ক্রেডেনশিয়াল ব্যবহার বজায় রাখেন এবং সিকিউরিটি টিমগুলো পলিসিটি ধারাবাহিকভাবে কার্যকর হচ্ছে কিনা তা বুঝতে পারে না। WiFi এই দুর্বলতাকে দ্রুত প্রকাশ করে দেয়। নেটওয়ার্ক সেগমেন্টেশন ট্রাফিককে আলাদা করতে পারে, কিন্তু ব্যবহারকারীরা যদি এখনও শেয়ার করা পাসওয়ার্ডের মাধ্যমে যুক্ত হন বা ডিভাইসগুলো অজ্ঞাত থেকে যায়, তবে এটি পরিচয়-ভিত্তিক অ্যাক্সেস তৈরি করতে পারে না। ডিভাইসের রেকর্ড এবং ডিরেক্টরি স্থিতির সাথে যুক্ত সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন সহ পাসওয়ার্ডহীন WiFi পলিসিকে একটি নির্ভরযোগ্য পরিচয় সংকেত প্রদান করে। কোনো অ্যাকাউন্ট নিষ্ক্রিয় করা হলে ম্যানুয়াল ক্লিনআপের জন্য অপেক্ষা না করে স্বয়ংক্রিয় ডিরেক্টরি বাতিলের মাধ্যমে তাৎক্ষণিকভাবে অ্যাক্সেস সরিয়ে নেওয়া উচিত।
ঐতিহ্যগত পেরিমিটার কন্ট্রোলের এখনও ভূমিকা রয়েছে, তবে তারা প্রতিটি অ্যাক্সেসের প্রশ্নের উত্তর দিতে পারে না। কেন প্রথাগত আইটি সিকিউরিটি ব্যর্থ হয় তা ব্যাখ্যা করে যে কীভাবে ক্লাউড সার্ভিস, রিমোট অ্যাক্সেস এবং ডিস্ট্রিবিউটেড ডিভাইসগুলো একটি ইন্টারনাল নেটওয়ার্ক স্বয়ংক্রিয়ভাবে নিরাপদ - এই অনুমানকে দুর্বল করে দেয়।
ব্যবহারিক নিয়ম: পলিসিটি কোন পরিচয়, ডিভাইস, WiFi এবং সার্ভিস নির্ভরতায় বাধা সৃষ্টি করতে পারে তা না জানা পর্যন্ত কোনো এনফোর্সমেন্ট পলিসি তৈরি করবেন না।
একটি কার্যকর মাইগ্রেশন এই ক্রম অনুসরণ করে চলে:
- সম্পত্তি আবিষ্কার করুন: ব্যবহারকারী, ডিভাইস, অ্যাপ্লিকেশন, পরিষেবা এবং ডেটা প্রবাহ চিহ্নিত করুন।
- সীমানা নির্ধারণ করুন: কোন রিসোর্সগুলোর আইসোলেশন প্রয়োজন এবং কোন অ্যাক্সেস পাথগুলো বৈধ তা সিদ্ধান্ত নিন।
- কন্ট্রোল প্লেন তৈরি করুন: পরিচয়, MFA, সার্টিফিকেট-ভিত্তিক ডিভাইস অ্যাক্সেস, ডিভাইসের অবস্থা পরীক্ষা এবং ডিরেক্টরি লাইফসাইকেল সংযুক্ত করুন।
- এজে প্রয়োগ করুন: শুধুমাত্র VPN সেশনে নয়, বরং অ্যাপ্লিকেশন, নেটওয়ার্ক এবং WiFi-তেও পলিসি প্রয়োগ করুন।
- পর্যবেক্ষণ এবং প্রসারিত করুন: নিয়ন্ত্রিত ওয়ার্কলোড দিয়ে শুরু করুন, অ্যাক্সেসের সিদ্ধান্তগুলো পর্যালোচনা করুন এবং ধীরে ধীরে মডেলটি প্রসারিত করুন।
এই প্রক্রিয়াটি জিরো ট্রাস্টকে কেবল কিছু টুলের সংগ্রহের পরিবর্তে একটি অপারেটিং মডেলে পরিণত করে। এটি আইডেন্টিটি কন্ট্রোল, সুরক্ষিত WiFi এবং সেগমেন্টেশন উন্নত করার পাশাপাশি অপারেশন টিমসকে সার্ভিসের প্রাপ্যতা রক্ষা করতে সাহায্য করে।
আবিষ্কার এবং বিশ্বস্ত সীমানা নির্ধারণের মাধ্যমে ভিত্তি তৈরি করা
এমন একটি ইনভেন্টরি দিয়ে শুরু করুন যা সংস্থাটি কীভাবে কাজ করে তা প্রতিফলিত করে, নেটওয়ার্ক ডায়াগ্রাম কী বলে তা নয়। NCSC ব্যবহারকারী, প্রয়োজনীয় পারমিশন, ডিভাইস এবং সার্ভিসসমূহ সনাক্ত করার পরামর্শ দেয়, তারপর সেই ফলাফলের ভিত্তিতে আইডেন্টিটি এবং অ্যাক্সেস ম্যানেজমেন্ট ডিজাইন করার পরামর্শ দেয়। NCSC মাইগ্রেশন গাইডলাইন রোলআউটের আগে লেগ্যাসি ডিপেন্ডেন্সি ম্যাপিং এবং প্রস্তাবিত আর্কিটেকচারের থ্রেট - মডেলিং করার দিকেও টিমকে নির্দেশ করে।
আউটপুটটি একটি কার্যকর ক্যাটালগ হওয়া উচিত, কোনো স্ট্যাটিক স্প্রেডশিট নয়। প্রতিটি গুরুত্বপূর্ণ রিসোর্সের জন্য এর মালিক, ব্যবসায়িক উদ্দেশ্য, অথেন্টিকেশন পদ্ধতি, নির্ভরতা, ডেটার সংবেদনশীলতা, প্রত্যাশিত ব্যবহারকারী এবং ব্যর্থতার প্রভাব রেকর্ড করুন।
চারটি তালিকা তৈরি করুন
ব্যবহারকারী এবং পরিচয় সবার আগে আসে। এর মধ্যে কর্মচারী, ঠিকাদার, বিশেষ সুবিধাপ্রাপ্ত প্রশাসক, সার্ভিস অ্যাকাউন্ট এবং অটোমেশন পরিচয় অন্তর্ভুক্ত করুন। কোনো ব্যক্তির চাকরির স্থিতি থেকে তার অ্যাক্সেসের প্রয়োজনীয়তাকে আলাদা করুন। একজন ঠিকাদারের একটি নির্দিষ্ট সময়ের জন্য একটি অ্যাপ্লিকেশনে অ্যাক্সেসের প্রয়োজন হতে পারে, যেখানে একটি সার্ভিস অ্যাকাউন্টের মেশিন অথেন্টিকেশন প্রয়োজন হতে পারে তবে কোনো ইন্টারেক্টিভ লগইনের প্রয়োজন নেই।
ডিভাইসগুলির নিজস্ব শ্রেণীবিভাগ প্রয়োজন। ম্যানেজড ল্যাপটপ, মোবাইল ডিভাইস, শেয়ার্ড টার্মিনাল, প্রিন্টার, ক্যামেরা, বিল্ডিং সিস্টেম এবং অন্যান্য IoT সরঞ্জাম রেকর্ড করুন। কোন ডিভাইসগুলি সার্টিফিকেট, আধুনিক এনক্রিপশন এবং পশ্চার রিপোর্টিং সমর্থন করে তা লক্ষ্য করুন। লেগ্যাসি সরঞ্জামগুলি প্রায়শই কর্মীদের প্রমাণীকরণের প্রয়োজনীয়তা পূরণ করতে পারে না, তাই এটির জন্য একটি অনির্ধারিত ব্যতিক্রমের পরিবর্তে একটি স্পষ্ট কন্টেনমেন্ট স্ট্র্যাটেজি প্রয়োজন।
অ্যাপ্লিকেশন এবং পরিষেবাগুলি তাদের পরিচয় এবং ট্রান্সপোর্ট প্রয়োজনীয়তার সাথে মানচিত্রভুক্ত করা উচিত। প্রতিটি অ্যাপ্লিকেশন SSO, MFA, আধুনিক প্রোটোকল, সার্টিফিকেট, প্রক্সি অ্যাক্সেস বা শুধুমাত্র একটি লিগ্যাসি ব্যবহারকারীর নাম এবং পাসওয়ার্ড সমর্থন করে কিনা তা নথিবদ্ধ করুন। আপস্ট্রিম ডিরেক্টরি, ডেটাবেস, DNS পরিষেবা, API এবং লগিং নির্ভরতাগুলি চিহ্নিত করুন।
ডেটা ফ্লো এবং বিজনেস জার্নি বিশ্বাসের সীমানা প্রকাশ করে। একজন স্টাফ মেম্বার কীভাবে ক্লিনিক্যাল সিস্টেমে পৌঁছান, একজন ঠিকাদার কীভাবে একটি রক্ষণাবেক্ষণ পোর্টালে অ্যাক্সেস পান বা একটি পয়েন্ট-অফ-সেল ডিভাইস কীভাবে অনুমোদিত পরিষেবাগুলির সাথে যোগাযোগ করে তা মানচিত্রভুক্ত করুন। একটি সেগমেন্ট অর্থপূর্ণ নয় যদি কোনো অলিখিত নির্ভরতা তার মধ্যে অনিয়ন্ত্রিত অ্যাক্সেসকে বাধ্য করে।
পলিসি নির্ধারণের আগেই সীমানা সংজ্ঞায়িত করুন
একটি ট্রাস্ট বাউন্ডারি তিনটি প্রশ্নের উত্তর দেবে: কী সুরক্ষিত করা হচ্ছে, কার অ্যাক্সেস প্রয়োজন এবং কোন কোন শর্তের অধীনে। শর্তগুলোর মধ্যে পরিচয় নিশ্চিতকরণ, ডিভাইসের সুস্থতা, নেটওয়ার্ক প্রসঙ্গ, অ্যাপ্লিকেশনের সংবেদনশীলতা এবং সময়-সীমিত অনুমোদন অন্তর্ভুক্ত থাকতে পারে।
Guest WiFi, IoT এবং মাল্টি-টেন্যান্ট সাইটগুলোর বিশেষ মনোযোগ প্রয়োজন। অতিথিদের কখনই কর্মীদের নেটওয়ার্ক ক্রেডেনশিয়ালের ওপর নির্ভর করা উচিত নয়। IoT ডিভাইসগুলোর শুধুমাত্র তাদের কাজের জন্য প্রয়োজনীয় পরিষেবাগুলোর সাথে যোগাযোগ করা উচিত। টেন্যান্টরা লজিক্যাল আইসোলেশন এবং পৃথক আইডেন্টিটি অ্যাডমিনিস্ট্রেশন বজায় রেখে ফিজিক্যাল ইনফ্রাস্ট্রাকচার শেয়ার করতে পারে।
প্রতিটি সীমানা জুড়েই নিরাপদ ট্রান্সপোর্ট অত্যন্ত গুরুত্বপূর্ণ। সার্টিফিকেশন, এনক্রিপশন এবং ব্রাউজার ট্রাস্ট সম্পর্কে টিমের যদি একটি সহজ ভাষার রিফ্রেসারের প্রয়োজন হয়, তবে অ্যাপ্লিকেশন এবং WiFi ট্রান্সপোর্ট অনুমানগুলি নথিবদ্ধ করার আগে Adwave Digital-এর SSL নির্দেশিকা একটি দরকারী রেফারেন্স হতে পারে।
একটি থ্রেট মডেল দিয়ে আবিষ্কারের পর্ব শেষ করুন। একটি ডিরেক্টরি অ্যাকাউন্ট অপসৃত হলে, একটি পরিচালিত ডিভাইস ত্রুটিযুক্ত হলে, একটি সার্টিফিকেট প্রত্যাহার করা হলে, একটি ওয়ারলেস কন্ট্রোলার অনুপলব্ধ হলে বা একটি লিগ্যাসি পরিষেবা নতুন আইডেন্টিটি প্রোভাইডারের বিরুদ্ধে অথেন্টিকেট করতে না পারলে কী ঘটে তা পরীক্ষা করুন। সেই ব্যর্থতার পথগুলিই রোলআউটের ক্রম নির্ধারণ করবে।
কন্ট্রোল প্লেন হিসেবে পরিচয় এবং ডিভাইসের নির্ভরযোগ্যতা তৈরি করা
জিরো ট্রাস্ট সিদ্ধান্তের জন্য একটি সোর্স অব ট্রুথ প্রয়োজন। বেশিরভাগ ক্ষেত্রে, এর অর্থ হলো এমন ডিরেক্টরি নির্বাচন করা যা ব্যক্তি, গ্রুপ এবং লাইফসাইকেল ইভেন্টগুলি পরিচালনা করে, যেমন Microsoft Entra ID, Google Workspace বা Okta। গুরুত্বপূর্ণ ডিজাইনের পছন্দটি কেবল ব্র্যান্ড নয়। এটি হলো প্রতিটি অ্যাক্সেস সিস্টেম একই পরিচয় অবস্থা ব্যবহার করতে পারে কিনা এবং সেই অবস্থা পরিবর্তিত হলে প্রতিক্রিয়া জানাতে পারে কিনা।
যে ব্যবহারকারী প্রতিষ্ঠান ছেড়ে চলে যান, তার সমস্ত গুরুত্বপূর্ণ জায়গায় অ্যাক্সেস বন্ধ হওয়া উচিত। একজন ঠিকাদার যার অ্যাসাইনমেন্ট শেষ হয়ে গেছে, সে যেন ওয়ারলেস সিস্টেমে সক্রিয় না থাকে কেবল মাত্র এই কারণে যে একজন প্রশাসক তার আলাদা অ্যাকাউন্টটি সরাতে ভুলে গেছেন। অটোমেটিক প্রোভিশনিং এবং প্রত্যাহার ডিরেক্টরি পরিবর্তনগুলিকে প্রশাসনিক অনুস্মারকের পরিবর্তে অপারেশনাল কন্ট্রোলে পরিণত করে।
ব্যক্তি এবং ডিভাইস উভয়কেই প্রমাণীকরণ করুন
ওয়ার্কফোর্স অ্যাপ্লিকেশনের জন্য SSO এবং MFA দিয়ে শুরু করুন। MFA নিশ্চয়তা বৃদ্ধি করে, যখন SSO ব্যবহারকারী এবং সার্ভিস ডেস্কের পরিচালনা করা ক্রেডেনশিয়ালের সংখ্যা কমিয়ে দেয়। NCSC সুনির্দিষ্টভাবে MFA-এর চারপাশে IAM ডিজাইন করার এবং যেখানে উপযুক্ত সেখানে পাসওয়ার্ডহীন অথেন্টিকেশন বিবেচনা করার পরামর্শ দেয়। পাসওয়ার্ডহীন পদ্ধতিগুলো সিকিউরিটি এবং ইউজেবিলিটি উভয়ই উন্নত করতে পারে, তবে এর জন্য রিকভারি প্রসিডিউর, ডিভাইস এনরোলমেন্ট কন্ট্রোল এবং যেসব ব্যবহারকারী তাদের প্রাথমিক অথেন্টিকেটরের অ্যাক্সেস হারিয়েছেন তাদের জন্য সাপোর্টের প্রয়োজন হয়।
কর্মীদের WiFi-এর জন্য, শেয়ার করা পাসওয়ার্ডের চেয়ে সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন সাধারণত পরিচালনাগতভাবে বেশি শক্তিশালী। WPA2 বা WPA3-Enterprise এবং 802.1X-এর সাহায্যে, নেটওয়ার্কটি অ্যাক্সেসকে একটি এনরোল করা আইডেন্টিটি বা ডিভাইস সার্টিফিকেটের সাথে যুক্ত করতে পারে। এটি একটি সাধারণ কী বিতরণ করার প্রয়োজনীয়তা দূর করে এবং রিভোকেশনকে সুনির্দিষ্ট করে তোলে।
ডিভাইসের পসচার সিদ্ধান্তের দ্বিতীয় অংশটি যোগ করে। ডিভাইসটি ম্যানেজড, এনক্রিপ্ট করা, প্যাচ করা, কমপ্লায়েন্ট এবং একটি অনুমোদিত সার্টিফিকেট ব্যবহার করছে কিনা তা পরীক্ষা করুন। একটি আনম্যানেজড ল্যাপটপে থাকা একজন বৈধ ব্যবহারকারীর স্বয়ংক্রিয়ভাবে একটি সুস্থ কর্পোরেট ডিভাইসে থাকা ব্যবহারকারীর মতো একই অ্যাক্সেস পাওয়া উচিত নয়।
পরিচয় প্রমাণ করে কে অ্যাক্সেসের জন্য অনুরোধ করছে। ডিভাইস পোস্টার নির্ধারণ করে যে সেই অ্যাক্সেসের অনুরোধটি অনুমোদন করার জন্য যথেষ্ট নিরাপদ কিনা।
কেবল লগইন নয়, লাইফসাইকেল ইভেন্টগুলি ডিজাইন করুন
Onboarding-এর মাধ্যমে একটি স্বয়ংক্রিয় ওয়ার্কফ্লোর সাহায্যে ডিরেক্টরি আইডেন্টিটি তৈরি, সঠিক গ্রুপ অ্যাসাইন, ডিভাইস এনরোল এবং প্রয়োজনীয় সার্টিফিকেট প্রদান করা উচিত। Offboarding-এর ক্ষেত্রে কোনো পৃথক WiFi অ্যাডমিনিস্ট্রেটরের জন্য অপেক্ষা না করেই আইডেন্টিটি নিষ্ক্রিয় করা, সেশন ও সার্টিফিকেট বাতিল করা এবং নেটওয়ার্ক অ্যাক্সেস সরিয়ে ফেলা উচিত।
ঠিকাদারদের জন্য একটি ভিন্ন পথের প্রয়োজন। তাদের সংকুচিত স্কোপের গ্রুপ মেম্বারশিপ, একটি মেয়াদ শেষ হওয়ার বা অনুমোদনের প্রক্রিয়া এবং কেবল তাদের কাজের জন্য প্রয়োজনীয় অ্যাপ্লিকেশন ও নেটওয়ার্ক সেগমেন্টে অ্যাক্সেস দিন। ঠিকাদারদের সুবিধার জন্য তাদেরকে একটি সাধারণ স্টাফ নেটওয়ার্কে যুক্ত করে সমস্যার সমাধান করবেন না।
লিগ্যাসি ডিভাইসগুলির নিয়ন্ত্রণ প্রয়োজন। যেখানে একটি প্রিন্টার, সেন্সর বা স্পেশালিস্ট টার্মিনাল সার্টিফিকেট-ভিত্তিক প্রমাণীকরণ ব্যবহার করতে পারে না, সেখানে একটি ডেডিকেটেড সেগমেন্ট, শক্তভাবে সীমাবদ্ধ ফায়ারওয়াল নিয়ম এবং একটি নিয়ন্ত্রিত আইডেন্টিটি মেকানিজম যেমন একটি ব্যক্তিগত প্রি-শেয়ার্ড কী ব্যবহার করুন। এটি ব্যতিক্রমটিকে দৃশ্যমান রাখে এবং এর ক্ষতিকর প্রভাবের পরিধি সীমিত করে।
পরিচয়-বাধ্যতামূলক নেটওয়ার্ক অ্যাক্সেস মূল্যায়নকারী দলগুলি একটি বাস্তবায়ন প্যাটার্ন হিসাবে identity-based networking পর্যালোচনা করতে পারে। প্ল্যাটফর্ম নির্বিশেষে আর্কিটেকচারাল নীতি একই থাকে: ডিরেক্টরি স্ট্যাটাস, অথেন্টিকেশনের শক্তি এবং ডিভাইসের অবস্থা অবশ্যই একসঙ্গে অ্যাক্সেসের সিদ্ধান্তকে প্রভাবিত করবে।
সেগমেন্টেশন এবং নিরাপদ WiFi যা পলিসি কার্যকর করে
সেগমেন্টেশন প্রয়োজনীয়, কিন্তু এটি নিজে থেকে আইডেন্টিটি-ভিত্তিক অ্যাক্সেস প্রয়োগ করতে পারে না। জরিপ করা UK-এর ৯২% সংস্থা জানিয়েছে যে তারা তাদের নেটওয়ার্কগুলিকে কিছুটা হলেও সেগমেন্ট করে থাকে, এবং ৯৮% জানিয়েছে যে তারা zero trust বাস্তবায়নের পরিকল্পনা করছে বা ইতিমধ্যেই করেছে। UK-এর গবেষণা নির্দেশ করে যে নেটওয়ার্ক জোনিং ব্যাপকভাবে প্রচলিত হলেও, আইডেন্টিটি নিশ্চিতকরণ, ধারাবাহিক ভেরিফিকেশন এবং নীতি প্রয়োগের ক্ষেত্রে এখনও মনোযোগ দেওয়া প্রয়োজন।
একটি VLAN ট্রাফিক আলাদা করে। এটি কোনো ব্যক্তি, ডিভাইস বা সেশন অ্যাক্সেস বজায় রাখতে পারবে কিনা তা নির্ধারণ করে না। একজন ব্যবহারকারী যদি একটি কমপ্লায়েন্ট ল্যাপটপ থেকে একটি আনম্যানেজড ডিভাইসে চলে যান, তবে অ্যাক্সেস সিস্টেম যদি পরিচয় এবং পোস্টার পুনরায় মূল্যায়ন না করে, তাহলে ডিভাইসটি একই সেগমেন্টে রয়ে যেতে পারে।
ম্যাচুরিটি স্তরের তুলনা করুন
| নিয়ন্ত্রণ ক্ষেত্র | আংশিক বাস্তবায়ন | Zero Trust পরিপক্কতা |
|---|---|---|
| নেটওয়ার্ক ডিজাইন | VLANs বা বিস্তৃত জোন অতিথি, কর্মী এবং ডিভাইসগুলিকে আলাদা করে | সূক্ষ্ম পলিসিগুলি নির্দিষ্ট রিসোর্স এবং ফ্লোতে অ্যাক্সেস সীমিত করে |
| WiFi প্রমাণীকরণ | শেয়ার করা পাসওয়ার্ড, Captive Portal বা স্ট্যাটিক কী | WPA2 বা WPA3-Enterprise, 802.1X এবং সার্টিফিকেট বা আইডেন্টিটি-ভিত্তিক অ্যাক্সেস |
| ব্যবহারকারীর লাইফসাইকেল | অ্যাডমিনিস্ট্রেটররা ম্যানুয়ালি অ্যাকাউন্ট তৈরি এবং অপসারণ করেন | ডিরেক্টরি পরিবর্তনগুলি স্বয়ংক্রিয়ভাবে অ্যাক্সেস প্রোভিশন এবং প্রত্যাহার করে |
| ডিভাইসের নিশ্চয়তা | একটি ডিভাইস সংযোগ করে যদি তার সঠিক নেটওয়ার্ক ক্রেডেনশিয়াল থাকে | ডিভাইসের স্বাস্থ্য এবং সার্টিফিকেটের অবস্থা প্রতিটি অ্যাক্সেসের সিদ্ধান্তকে প্রভাবিত করে |
| পলিসি প্রতিক্রিয়া | একটি সেশন বা অ্যাকাউন্ট ম্যানুয়ালি পরিবর্তিত না হওয়া পর্যন্ত অ্যাক্সেস সক্রিয় থাকে | প্রসঙ্গের পরিবর্তনগুলি পুনরায় মূল্যায়ন, সীমাবদ্ধতা বা প্রত্যাহার ট্রিগার করে |
| দৃশ্যমানতা | কন্ট্রোলার লগ সংযোগের ইভেন্টগুলি দেখায় | পর্যালোচনার জন্য আইডেন্টিটি, ডিভাইস, পলিসি এবং রিসোর্স ইভেন্টগুলিকে পারস্পরিক সম্পর্কযুক্ত করা হয় |
WiFi-কে একটি পরিচয় সীমানা হিসেবে বিবেচনা করুন
ডিভাইস সংযোগের ক্ষেত্রে প্রায়শই WiFi প্রথম এন্টারপ্রাইজ অ্যাক্সেস সিদ্ধান্ত হিসেবে কাজ করে। কার্যক্রমের শেষ ধাপে এসে এটি করার অর্থ হলো ডিরেক্টরি পলিসি এবং ফিজিক্যাল কানেক্টিভিটির মধ্যে একটি শূন্যতা তৈরি করা।
কর্মীদের জন্য, সার্টিফিকেট বা অন্য কোনো শক্তিশালী আইডেন্টিটি পদ্ধতি দ্বারা সমর্থিত 802.1X সহ WPA2 বা WPA3-Enterprise ব্যবহার করুন। পাসওয়ার্ডহীন WiFi ব্যবহারকারীর অভিজ্ঞতা থেকে শেয়ার্ড সিক্রেট দূর করে, অন্যদিকে সার্টিফিকেট-ভিত্তিক প্রমাণীকরণ একটি নথিভুক্ত আইডেন্টিটি এবং ডিভাইসের সাথে সংযোগকে আবদ্ধ করে। Passpoint এবং OpenRoaming বারবার পাসওয়ার্ড না লিখে একটি নথিভুক্ত ডিভাইসকে প্রমাণীকরণ করার অনুমতি দিয়ে সুরক্ষিত রোমিং সমর্থন করতে পারে।
প্রথম প্যাকেট থেকেই এনক্রিপ্ট করা, পরিচয়-ভিত্তিক কানেক্টিভিটি নিশ্চিত করাই মূল লক্ষ্য। ব্যবহারকারী শর্তাবলী মেনে নেওয়ার পর অ্যাক্সেস দেয় এমন Captive Portal কিন্তু এই নিয়ন্ত্রণ দিতে পারে না।
enterprise WiFi security-এর একটি ব্যবহারিক পর্যালোচনার জন্য, সার্টিফিকেট বিতরণ, আইডেন্টিটি প্রোভাইডার ইন্টিগ্রেশন, প্রত্যাহার পরিচালনা এবং কন্ট্রোলার সামঞ্জস্য মূল্যায়ন করুন। ডিজাইনটি অবশ্যই পুরো এস্টেট জুড়ে কাজ করবে, যার মধ্যে Meraki, Aruba, Ruckus, Mist বা UniFi সরঞ্জাম অন্তর্ভুক্ত রয়েছে।
অতিথিদের জন্য একটি পৃথক অভিজ্ঞতা এবং পলিসি প্রয়োজন। কর্মীদের সুবিধা ছাড়াই ইন্টারনেট অ্যাক্সেস প্রদান করুন। IoT ডিভাইসগুলোর জন্য সীমাবদ্ধ পলিসি প্রয়োজন যা শুধুমাত্র অপারেশনের জন্য প্রয়োজনীয় গন্তব্য এবং পরিষেবাগুলোর অনুমতি দেয়।
ক্রমাগত অ্যাক্সেস পুনরায় মূল্যায়ন করুন
NCSC স্পষ্ট zero-trust প্রয়োজনীয়তা হিসাবে ধারাবাহিক পুনঃ-মূল্যায়ন, অবজারভেবিলিটি এবং রেজিলিয়েন্সের উপর জোর দেয়। এর ZTNA বাস্তবায়ন নির্দেশিকা একটি সেশনের পুরো সময়কালের জন্য অনুমতিগুলি অপরিবর্তিত রাখার পরিবর্তে, কনটেক্সট পরিবর্তনের সাথে সাথে অ্যাক্সেস পরিবর্তন করা সমর্থন করে।
ডিরেক্টরি ইন্টিগ্রেশনে অবশ্যই স্বয়ংক্রিয় প্রত্যাহার সমর্থন থাকতে হবে। একটি নিষ্ক্রিয় অ্যাকাউন্ট, সরানো গ্রুপ মেম্বারশিপ বা প্রত্যাহার করা সার্টিফিকেট কোনো আলাদা WiFi প্রশাসকের হস্তক্ষেপের জন্য অপেক্ষা না করেই পলিসি আপডেট ট্রিগার করবে। এর ফলে স্টেপ-আপ অথেন্টিকেশন, একটি সীমাবদ্ধ নেটওয়ার্কে স্থানান্তর, অ্যাপ্লিকেশন ব্লক বা অবিলম্বে অ্যাক্সেস প্রত্যাহার হতে পারে।
সেগমেন্টেশন ঘটনাটিকে একটি নির্দিষ্ট সীমার মধ্যে আটকে রাখে। পরিচয়, ডিভাইসের অবস্থা এবং বর্তমান টেলিমেট্রি নির্ধারণ করে যে অ্যাক্সেস অব্যাহত থাকবে কিনা। এই সমন্বয়টি নেটওয়ার্ক সেপারেশন এবং প্রকৃত পরিচয়-ভিত্তিক নিয়ন্ত্রণের মধ্যকার ব্যবধান দূর করে।
মনিটরিং চালু করা এবং প্রতিটি অ্যাক্সেস সিদ্ধান্ত যাচাই করা
একটি নিরাপদ রোলআউট নিয়ন্ত্রিত, পর্যবেক্ষণযোগ্য এবং রিভার্সিবল হয়। প্রতিটি ব্যবহারকারী, সাইট এবং ডিভাইস ক্যাটাগরিতে নতুন পলিসি প্রয়োগ করে শুরু করবেন না। একটি কম ঝুঁকিপূর্ণ গ্রুপ বা অবস্থান নির্বাচন করুন যার মধ্যে সমস্যাগুলো প্রকাশ করার মতো যথেষ্ট বাস্তব জটিলতা রয়েছে, তারপর এটি সম্প্রসারণ করার আগে অ্যাক্সেস পাথ প্রমাণ করুন।
যেখানে প্রযুক্তি এটি সমর্থন করে সেখানে মনিটর মোডে শুরু করুন। পলিসি কী অনুমোদন করবে এবং কী অস্বীকার করবে তা ক্যাপচার করুন, সেই সিদ্ধান্তগুলিকে ব্যবসায়িক প্রয়োজনীয়তার সাথে তুলনা করুন এবং অজানা নির্ভরতাগুলি অনুসন্ধান করুন। মনিটর মোড এনফোর্সমেন্টের বিকল্প নয়। এটি এনফোর্সমেন্ট প্রোডাকশনকে প্রভাবিত করার আগে এড়ানো যায় এমন বিস্ময়গুলি দূর করার একটি উপায়।
পর্যায়ভিত্তিক মাইগ্রেশন ব্যবহার করুন
একটি ব্যবহারিক ধারাবাহিকতা এইরকম দেখায়:
- একটি নির্দিষ্ট পাইলট বেছে নিন: পরিচিত মালিক এবং স্পষ্ট সাপোর্ট রুট সহ একটি কম-ঝুঁকিপূর্ণ অ্যাপ্লিকেশন, সাইট বা ব্যবহারকারী গ্রুপ নির্বাচন করুন।
- বেসলাইন রেকর্ড করুন: সফল এবং ব্যর্থ অথেন্টিকেশন, ডিভাইসের অবস্থা, সার্টিফিকেটের স্থিতি, নেটওয়ার্ক প্লেসমেন্ট, পলিসির ফলাফল এবং অ্যাপ্লিকেশনের আউটপুট ক্যাপচার করুন।
- অস্বীকৃত পাথ পরীক্ষা করুন: ব্যর্থ MFA, বাতিল করা সার্টিফিকেট, নিষ্ক্রিয় ডিরেক্টরি পরিচয় এবং নীতি মেনে না চলা ডিভাইসগুলো যে ব্লক করা হচ্ছে তা নিশ্চিত করুন।
- সংকীর্ণভাবে প্রয়োগ করুন: একটি ডকুমেন্টেড রোলব্যাক শর্ত এবং পরিবর্তনটি পূর্বাবস্থায় ফিরিয়ে আনতে পারেন এমন একজন অ্যাডমিনিস্ট্রেটর সহ পাইলটে পলিসিটি প্রয়োগ করুন।
- নির্ভরশীলতার ভিত্তিতে প্রসারিত করুন: পূর্ববর্তী ধাপে স্থিতিশীল লগ এবং একটি সম্মত সাপোর্ট প্রক্রিয়া নিশ্চিত করার পরেই কেবল গ্রুপ, সাইট বা পরিষেবাগুলো যুক্ত করুন।
পাইলট প্রকল্পে ব্যর্থতা পরীক্ষা অন্তর্ভুক্ত করা উচিত। একটি পরীক্ষামূলক পরিচয় নিষ্ক্রিয় করুন, এর গ্রুপ মেম্বারশিপ সরিয়ে দিন, একটি ডিভাইসকে নন-কমপ্লায়েন্ট হিসেবে চিহ্নিত করুন এবং এর সার্টিফিকেট বাতিল করুন। নিশ্চিত করুন যে নেটওয়ার্ক অ্যাক্সেস, অ্যাপ্লিকেশন অ্যাক্সেস এবং সক্রিয় সেশনগুলো পরিকল্পনা অনুযায়ী প্রতিক্রিয়া জানাচ্ছে।
টেলিমেট্রি দরকারী করে তুলুন
এমন ইভেন্টগুলো সংগ্রহ করুন যা সিদ্ধান্তগুলোর ব্যাখ্যা দেয়, কেবল সংযোগটি সফল হয়েছিল কিনা তা প্রমাণ করার মতো ইভেন্ট নয়। অন্ততপক্ষে, অনুরোধকারী পরিচয়, ডিভাইসের আইডেন্টিফায়ার, অথেন্টিকেশন ফলাফল, সার্টিফিকেটের অবস্থা, পোস্টার ফলাফল, নেটওয়ার্ক সেগমেন্ট, গন্তব্য রিসোর্স, পলিসি ভার্সন এবং চূড়ান্ত সিদ্ধান্তের সাথে পারস্পরিক সম্পর্ক স্থাপন করুন।
এমন প্যাটার্নগুলি লক্ষ্য করুন যা মানুষের পর্যালোচনার প্রয়োজন:
- অপ্রত্যাশিত পরিচয় ব্যবহার: একজন ব্যবহারকারী তাদের স্বাভাবিক ভূমিকা বা অনুমোদিত গ্রুপের বাইরের কোনো রিসোর্স অ্যাক্সেস করছেন।
- পোস্চার পরিবর্তন: পূর্বে কমপ্লায়েন্ট থাকা একটি ডিভাইস তার ম্যানেজমেন্ট, এনক্রিপশন বা সার্টিফিকেট স্ট্যাটাস হারায়।
- বারবার ব্যর্থতা: একাধিক অ্যাকাউন্ট বা লোকেশন জুড়ে অথেন্টিকেশন বা পোস্চার ব্যর্থতা ঘটে।
- পলিসি ব্যতিক্রম: একটি লেগ্যাসি ডিভাইস বা সার্ভিস বারবার একটি ব্রড নিয়মের ওপর নির্ভর করে।
- বাতিলকরণে বিলম্ব: একটি নিষ্ক্রিয় ডিরেক্টরি পরিচয় নেটওয়ার্ক বা অ্যাপ্লিকেশন অ্যাক্সেস পেতেই থাকে।
একটি পরিচয়-ভিত্তিক WiFi প্ল্যাটফর্ম কীভাবে অ্যাক্সেস ডেটা, সিকিউরিটি কন্ট্রোল এবং অপারেশনাল ভিজিবিলিটি পরিচালনা করে তা মূল্যায়ন করার সময় Purple-এর ডেটা এবং সিকিউরিটি ওভারভিউ ব্যবহার করুন। আপনি যে সরঞ্জামগুলিই নির্বাচন করুন না কেন, ড্যাশবোর্ডগুলি সিদ্ধান্ত গ্রহণে সহায়তা করবে। যে লগ কেউ পর্যালোচনা করে না তা প্রয়োগের উন্নতি করবে না।
রোলব্যাক কন্ডিশন: কোনো পলিসি যখন একটি গুরুত্বপূর্ণ ব্যবসায়িক প্রক্রিয়াকে অবরুদ্ধ করে, কোনো অনিরাপদ ডিপেন্ডেন্সি তৈরি করে বা ব্যাখ্যাতীত অ্যাক্সেস ব্যর্থতার সৃষ্টি করে, তখন সেটি রিভার্স করুন। প্রমাণ সংরক্ষণ করুন, ডিজাইন ঠিক করুন এবং পুনরায় পরীক্ষা করুন। কোনো জরুরি এক্সেপশন স্থায়ীভাবে খোলা রাখবেন না।
নিরাপত্তার অংশ হিসেবে সহজলভ্যতা রক্ষা করুন
জিরো ট্রাস্ট ডিরেক্টরি, সার্টিফিকেট পরিষেবা, পলিসি ইঞ্জিন, নেটওয়ার্ক কন্ট্রোলার এবং কানেক্টিভিটির ওপর নির্ভর করে। প্রতিটি ডিপেন্ডেন্সির মধ্যে স্থিতিস্থাপকতা তৈরি করুন। আইডেন্টিটি প্রোভাইডার অ্যাক্সেস করা না গেলে, সার্টিফিকেট যাচাই করা না গেলে, কোনো কন্ট্রোলার ব্যর্থ হলে বা কোনো পলিসি পরিষেবা অনুপলব্ধ হলে কী ঘটবে তা নির্ধারণ করুন।
ফেল-সেফ সার্ভিস ডিজাইন সাবধানে ব্যবহার করুন। কিছু এনভায়রনমেন্টে আইডেন্টিটি-পরিষেবা বিভ্রাটের সময় বিদ্যমান সেশনগুলো সংক্ষিপ্ত সময়ের জন্য চালু রাখার প্রয়োজন হতে পারে। অন্যগুলোর সংবেদনশীল রিসোর্সের ক্ষেত্রে অবিলম্বে অ্যাক্সেস সীমাবদ্ধ করা উচিত। সঠিক সিদ্ধান্তটি রিসোর্স, থ্রেট মডেল এবং পরিচালনাগত ফলাফলের ওপর নির্ভর করে।
বাধ্যতামূলক করার আগে যোগাযোগ করুন। ব্যবহারকারীদের জানান কী পরিবর্তন হবে, তারা কোন সাইন-ইন পদ্ধতি ব্যবহার করবেন, কীভাবে ডিভাইস এনরোলমেন্ট কাজ করে এবং কোথায় ত্রুটিগুলি রিপোর্ট করতে হবে। প্রতিটি পর্বের পরে হেল্পডেস্কের সমস্যা এবং অ্যাক্সেস অ্যানালিটিক্স ট্র্যাক করুন। ম্যানুয়াল অ্যাকাউন্ট প্রশাসনের হ্রাস, কম শেয়ার্ড ক্রেডেনশিয়াল এবং দ্রুত অ্যাক্সেস প্রত্যাহার করা হলো অপারেটিং মডেলটি উন্নত হচ্ছে তার ব্যবহারিক সূচক।
আপনার Zero Trust বাস্তবায়ন চেকলিস্ট এবং পরবর্তী পদক্ষেপসমূহ
একটি কার্যকর বাস্তবায়ন পরিকল্পনা পরবর্তী আর্কিটেকচার মিটিংয়ের এজেন্ডায় উপযুক্ত হওয়া উচিত:
- আবিষ্কার করুন: ব্যক্তি, পরিষেবা অ্যাকাউন্ট, ডিভাইস, অ্যাপ্লিকেশন এবং পরিষেবার ইনভেন্টরি তৈরি করুন।
- নির্ভরশীলতার ম্যাপিং: ডেটা ফ্লো, প্রমাণীকরণ পদ্ধতি, লিগ্যাসি সীমাবদ্ধতা এবং অপারেশনাল মালিকদের নথিভুক্ত করুন।
- সীমানা নির্ধারণ করুন: সম্পদের প্রয়োজন অনুসারে কর্মী, অতিথি, IoT এবং ভাড়াটে অ্যাক্সেস আলাদা করুন।
- আইডেন্টিটি শক্তিশালী করুন: একটি ডিরেক্টরি সোর্স অফ ট্রুথ নির্বাচন করুন, MFA প্রয়োগ করুন এবং SSO চালু করুন।
- আরও শক্তিশালী প্রমাণীকরণ গ্রহণ করুন: উপযুক্ত ব্যবহারকারী এবং ডিভাইসগুলিকে পাসওয়ার্ডহীন এবং সার্টিফিকেট-ভিত্তিক অ্যাক্সেসের দিকে নিয়ে যান।
- লাইফসাইকেল স্বয়ংক্রিয় করুন: ডিরেক্টরি গ্রুপ থেকে প্রোভিশন করুন এবং আইডেন্টিটি বা সার্টিফিকেট পরিবর্তিত হলে অ্যাক্সেস প্রত্যাহার করুন।
- অবস্থা মূল্যায়ন করুন: সংবেদনশীল অ্যাক্সেস দেওয়ার আগে পরিচালনা, স্বাস্থ্য এবং কমপ্লায়েন্স পরীক্ষা করুন।
- WiFi সুরক্ষিত করুন: শেয়ার করা কর্মী পাসওয়ার্ডের পরিবর্তে আইডেন্টিটি-বাউন্ড এন্টারপ্রাইজ প্রমাণীকরণ ব্যবহার করুন।
- লিগ্যাসি ডিভাইসগুলি নিয়ন্ত্রণ করুন: সংকীর্ণ সুযোগের পলিসি সহ সীমিত সেগমেন্টে ব্যতিক্রমগুলি রাখুন।
- প্রথমে পর্যবেক্ষণ করুন: পর্যবেক্ষণ মোডে পাইলট পলিসিগুলি চালান, তারপর রোলব্যাক মানদণ্ড সহ সেগুলি প্রয়োগ করুন।
- ক্রমাগত যাচাই করুন: প্রত্যাখ্যাত অ্যাক্সেস, প্রত্যাহার, অবস্থার পরিবর্তন এবং পরিষেবা ব্যর্থতা পরীক্ষা করুন।
- পরিকল্পিতভাবে প্রসারিত করুন: লগ, মালিকানা এবং সহায়তা প্রক্রিয়া প্রস্তুত হলেই কেবল সাইট এবং ওয়ার্কলোড যোগ করুন।
সবচেয়ে গুরুত্বপূর্ণ ইমপ্লিমেন্টেশন সিদ্ধান্ত হলো সিকোয়েন্সিং। সবচেয়ে দৃশ্যমান প্রোডাক্ট বা বৃহত্তম নেটওয়ার্ক সেগমেন্ট দিয়ে শুরু করবেন না। এমন একটি যাত্রা দিয়ে শুরু করুন যা আপনি বুঝতে, পরিমাপ করতে এবং বিপরীত করতে পারেন। হসপিটালিটি এবং রিটেইলের জন্য, এর অর্থ হতে পারে একটি লাইভ ভেন্যু জুড়ে স্টাফ, গেস্ট এবং অপারেশনাল ডিভাইসগুলোকে আলাদা করা। হেলথকেয়ারের জন্য, এর অর্থ হতে পারে একটি সংবেদনশীল অ্যাপ্লিকেশনের চারপাশে পরিচয় এবং ডিভাইস নিয়ন্ত্রণকে অগ্রাধিকার দেওয়া। মাল্টি - টেন্যান্ট আবাসন ব্যবস্থার জন্য, এর অর্থ হতে পারে টেন্যান্ট এবং বিল্ডিং সিস্টেমের মধ্যে আইসোলেশন বজায় রেখে সাধারণ বাসিন্দাদের অ্যাক্সেস প্রদান করা।
একটি প্ল্যাটফর্ম তখনই চয়ন করুন যখন এটি একটি বাস্তব মাইগ্রেশন বাধা দূর করে। আপনার এস্টেটের যদি পাসওয়ার্ডহীন WiFi, ডিরেক্টরি-ইন্টিগ্রেটেড স্টাফ অ্যাক্সেস, স্বয়ংক্রিয় রিভোকেশন এবং অন-প্রিমিসেস RADIUS-এর উপর কম নির্ভরশীলতার প্রয়োজন হয়, তবে Purple-এর মতো একটি প্ল্যাটফর্ম বিদ্যমান আইডেন্টিটি এবং নেটওয়ার্ক আর্কিটেকচারের সাথে খাপ খায় কিনা তা মূল্যায়ন করুন। সিদ্ধান্তটি আপনার নিয়ন্ত্রণ উদ্দেশ্য, ইন্টিগ্রেশন প্রয়োজনীয়তা এবং অপারেশনাল মালিকানার সাথে সম্পর্কিত রাখুন।
অগ্রগতি পরিমাপ করুন প্রমাণের মাধ্যমে, ডেপ্লয়মেন্টের ঘোষণার মাধ্যমে নয়। কোন পরিচয়গুলির অ্যাক্সেস রয়েছে, কোন ডিভাইসগুলি বিশ্বস্ত, কোন পলিসিগুলি অনুরোধ প্রত্যাখ্যান করেছে, কত দ্রুত প্রত্যাহার কার্যকর হয়েছে এবং কোথায় ব্যতিক্রমগুলি রয়ে গেছে তা আপনার দেখাতে সক্ষম হওয়া উচিত। এভাবেই জিরো ট্রাস্ট আরেকটি স্থবির সিকিউরিটি প্রোগ্রাম হওয়ার পরিবর্তে একটি কার্যকরী ক্ষমতায় পরিণত হয়।
Purple আইডেন্টিটি-ভিত্তিক WiFi এবং নেটওয়ার্কিং প্রদান করে যা কর্মী ও ডিভাইসগুলিকে বিদ্যমান ডিরেক্টরির সাথে সংযুক্ত করে, পাসওয়ার্ডহীন এবং সার্টিফিকেট-গ্রেড অ্যাক্সেস সমর্থন করে, এবং ডিরেক্টরির স্ট্যাটাস পরিবর্তনের সাথে সাথে স্বয়ংক্রিয়ভাবে প্রভিশনিং এবং রিভোকেশন করতে পারে। WiFi প্রমাণীকরণ, ডিভাইস পশ্চার এবং নেটওয়ার্ক ইন্টিগ্রেশন কীভাবে একটি পর্যায়ভিত্তিক zero-trust রোলআউট সমর্থন করতে পারে তা মূল্যায়ন করতে Purple ভিজিট করুন।
