মাইক্রো-সেগমেন্টেশন হলো এমন একটি নিরাপত্তা আর্কিটেকচার যা নেটওয়ার্কগুলোকে দানাদার, বিচ্ছিন্ন ট্রাস্ট জোনে বিভক্ত করে, যা পৃথক ওয়ার্কলোড, ব্যবহারকারী বা ডিভাইস পর্যন্ত বিস্তৃত, যাতে প্রাথমিক লঙ্ঘনের পর আক্রমণকারীরা পার্শ্বীয়ভাবে চলাচল করতে না পারে। যুক্তরাজ্যে, ২০২৫/২০২৬ সালে পূর্ববর্তী ১২ মাসে ৪৩% ব্যবসা প্রতিষ্ঠান, প্রায় ৬,১২,০০০ সংস্থা, একটি সাইবার নিরাপত্তা লঙ্ঘন বা আক্রমণের সম্মুখীন হয়েছে, যা কনটেইনমেন্টকে তাত্ত্বিক ডিজাইনের পছন্দের চেয়ে একটি কর্মক্ষম প্রয়োজনীয়তা হিসেবে রূপান্তর করেছে (UK cyber security data)।
সবচেয়ে গুরুত্বপূর্ণ পার্থক্য হলো মাইক্রো-সেগমেন্টেশন মানেই “আরও বেশি VLANs” নয়। এটি সিস্টেমগুলোর মধ্যে সীমিত সুযোগের অ্যাক্সেস পলিসি প্রয়োগ করে, যা হয়তো ইতিমধ্যেই একই নেটওয়ার্ক, ডেটা সেন্টার, ওয়্যারলেস পরিকাঠামো বা ক্লাউড এনভায়রনমেন্ট শেয়ার করছে। একটি হ্যাকড হওয়া ল্যাপটপ হয়তো তার প্রয়োজনীয় সার্ভিসগুলো ব্যবহার করতে পারবে, কিন্তু তার মানে এই নয় যে এটি স্বয়ংক্রিয়ভাবে একটি ফাইন্যান্স সার্ভার, বিল্ডিং-ম্যানেজমেন্ট কন্ট্রোলার, ডোমেন কন্ট্রোলার বা অন্য কোনো ব্যবহারকারীর ডিভাইসে অ্যাক্সেস পেয়ে যাবে।
পুরাতন এবং মিশ্র-বিশ্বস্ত ইউকে এস্টেটের ক্ষেত্রে এই পার্থক্যটি অত্যন্ত গুরুত্বপূর্ণ। সংস্থাগুলি প্রায়শই পুরানো অ্যাপ্লিকেশন, অনিয়ন্ত্রিত ডিভাইস, অপারেশনাল টেকনোলজি, ঠিকাদার অ্যাক্সেস এবং গেস্ট WiFi-এর পাশাপাশি আধুনিক ক্লাউড ওয়ার্কলোড পরিচালনা করে। একটি পেরিমিটার ফায়ারওয়াল এস্টেটে কী প্রবেশ করছে তা নিয়ন্ত্রণ করতে পারে, তবে আক্রমণকারী একবার বৈধ শংসাপত্র অর্জন করলে বা একটি অভ্যন্তরীণ এন্ডপয়েন্টের ক্ষতিসাধন করলে এটি নিজে থেকে প্রতিটি ইস্ট-ওয়েস্ট সংযোগ নিয়ন্ত্রণ করতে পারে না।
যুক্তরাজ্যের নেটওয়ার্কগুলোর জন্য কেন মাইক্রো সেগমেন্টেশন অপরিহার্য হয়ে উঠেছে
যুক্তরাজ্য সরকারের সর্বশেষ ব্রিচ সমীক্ষায় অনুমান করা হয়েছে যে ৪৩% ব্যবসা, যা প্রায় ৬,১২,০০০ প্রতিষ্ঠান, গত ১২ মাসে একটি ব্রিচ বা আক্রমণের সম্মুখীন হয়েছে, যেখানে প্রায় ১৯%, অর্থাৎ প্রায় ২,৬৭,০০০ ব্যবসা, অন্তত একটি সাইবার অপরাধের শিকার হয়েছে (UK breach and attack figures)। একই উৎস প্রতিটি সাইজের ব্যবসায় সাইবার অপরাধ রেকর্ড করেছে, যা মাইক্রো ব্যবসার ১৭% থেকে শুরু করে বড় ব্যবসার ৪৮% পর্যন্ত। কনটেইনমেন্ট এখন প্রতিটি সাইজের প্রতিষ্ঠানের জন্য একটি অপারেশনাল প্রয়োজন, যা কেবল আর্থিক প্রতিষ্ঠান বা সরকারি বিভাগগুলোর মধ্যেই সীমাবদ্ধ নয়।
একটি পেরিমিটার মডেল সিকিউরিটি সম্পর্কিত সিদ্ধান্তগুলো মূলত এজ-এ নিয়ে থাকে। ফায়ারওয়াল, এজ ইন্ট্রুশন ডিটেকশন, রিমোট-অ্যাক্সেস গেটওয়ে এবং সাধারণ VLAN বাউন্ডারিগুলোর এখনও গুরুত্বপূর্ণ ভূমিকা রয়েছে, কিন্তু এগুলো একটি এস্টেটের ভেতরের প্রতিটি ওয়ার্কলোড-টু-ওয়ার্কলোড কানেকশন নিরীক্ষণ বা পরিচালনা করতে পারে না। ফিশিং, চুরি করা ক্রেডেনশিয়াল, এক্সপোজড সার্ভিস বা দুর্বল এন্ডপয়েন্টের মাধ্যমে অ্যাক্সেস পাওয়ার পর, একটি ফ্ল্যাট ইন্টারনাল নেটওয়ার্ক হ্যাকারদের আরও বেশি ক্ষতি করার সুযোগ দেয়।
ব্লাস্ট-রেডিয়াস সমস্যা
পুরাতন ইউকে এস্টেটগুলি প্রায়শই বিভাগ, বিল্ডিং বা প্রযুক্তিগত কার্যাবলীর উপর ভিত্তি করে সংগঠিত হয়। এই বিস্তৃত জোনগুলি প্রশাসনের জন্য দরকারী হলেও, আধুনিক অ্যাক্সেস নিয়ন্ত্রণের জন্য তাদের সীমানাগুলি খুব সাধারণ হতে পারে। একটি স্টাফ সাবনেটের একটি ডিভাইস ফাইল সার্ভিস, প্রিন্ট সিস্টেম, ম্যানেজমেন্ট ইন্টারফেস, অ্যাপ্লিকেশন সার্ভার এবং অন্যান্য এন্ডপয়েন্টে পৌঁছাতে পারে, যেখানে প্রতিটি রুটের জন্য কোনো সুনির্দিষ্ট ব্যবসায়িক যৌক্তিকতার প্রয়োজন হয় না।
মাইক্রো-সেগমেন্টেশন ছোট ট্রাস্ট জোন তৈরি করে এবং সেগুলোর মধ্যকার সম্পর্কের ক্ষেত্রে নীতি প্রয়োগ করে। একটি নিয়ম একটি পয়েন্ট-অফ-সেল টার্মিনালকে তার পেমেন্ট পরিষেবার সাথে যোগাযোগ করার অনুমতি দিতে পারে, একটি ক্লিনিকাল ডিভাইসকে একটি নির্দিষ্ট ম্যানেজমেন্ট প্ল্যাটফর্মে পৌঁছানোর অনুমতি দিতে পারে, অথবা একটি অ্যাপ্লিকেশন টায়ারকে তার ডেটাবেস কোয়েরি করার অনুমতি দিতে পারে। সিস্টেমগুলো সুইচিং ইনফ্রাস্ট্রাকচার শেয়ার করলেও সম্পর্কহীন পাথগুলো অস্বীকার করা যেতে পারে।
যুক্তরাজ্যের জরিপে আরও অনুমান করা হয়েছে যে সবচেয়ে সাম্প্রতিক জরিপ বছরে যুক্তরাজ্যের ব্যবসাগুলোকে প্রভাবিত করে প্রায় ৮.৫৮ মিলিয়ন সাইবার অপরাধ ঘটেছে, যেখানে রিপোর্ট করা লঙ্ঘনের প্রাদুর্ভাব ২০২৪/২০২৫ এবং ২০২৫/২০২৬ উভয় ক্ষেত্রেই ৪৩% ছিল, যা ২০২৩/২০২৪ সালে ৫০% ছিল (UK cyber security statistics)। ক্রমাগত এক্সপোজার শুধুমাত্র পেরিমিটার-ভিত্তিক নিয়ন্ত্রণগুলোকে মিশ্র-ট্রাস্ট এস্টেটের জন্য একটি অনুপযুক্ত সমাধান করে তোলে।
বাস্তবিক নিয়ম: ধরে নিন যে একজন আক্রমণকারী শেষ পর্যন্ত একটি অভ্যন্তরীণ অ্যাক্সেস পেয়ে যাবে। সেই অ্যাক্সেস দিয়ে নেটওয়ার্কের কতটুকু অংশ পর্যন্ত পৌঁছানো সম্ভব তা নির্ধারণ করুন, তারপর পরীক্ষিত নীতির মাধ্যমে সেই অ্যাক্সেসের সুযোগ হ্রাস করুন।
জিরো ট্রাস্ট এই কৌশলগত নীতি প্রদান করে যে অ্যাক্সেস অবশ্যই যাচাই এবং সীমিত করতে হবে, নেটওয়ার্ক অবস্থান থেকে উত্তরাধিকার সূত্রে প্রাপ্ত হওয়া যাবে না। মাইক্রো-সেগমেন্টেশন হলো এনফোর্সমেন্ট লেয়ার যা সেই নীতিটিকে ট্র্যাফিক সিদ্ধান্তে রূপান্তরিত করে। ইউকে পাবলিক সেক্টর নেটওয়ার্ক নির্দেশিকায় কার্যকারিতা, ডেটা সংবেদনশীলতা, ব্যবহারকারী গোষ্ঠী এবং পরিষেবার গুরুত্বের উপর ভিত্তি করে সুনির্দিষ্ট, বিচ্ছিন্ন জোনের আহ্বান জানানো হয়েছে, যার মধ্যে উৎপাদন, বিকাশ, পরীক্ষা এবং প্রশিক্ষণ পরিবেশের মধ্যবর্তী বিভাজন অন্তর্ভুক্ত রয়েছে (ইউকে জিরো-ট্রাস্ট নেটওয়ার্ক নির্দেশিকা)।
প্রয়োগের পূর্বে যখন দলগুলো নির্ভরশীলতাগুলো ম্যাপ করে, তখন স্থাপনা সফল হয়। লিগ্যাসি এনভায়রনমেন্টে, একটি অনথিভুক্ত পরিষেবা কল বা ম্যানেজমেন্ট সংযোগ একটি গুরুত্বপূর্ণ প্রক্রিয়াকে সমর্থন করতে পারে, তাই নীতিগুলো পর্যবেক্ষণ মোডে শুরু করা উচিত, একটি সীমিত পাইলটের মাধ্যমে অগ্রসর হওয়া উচিত এবং ব্যতিক্রমগুলো যাচাই করার সাথে সাথে প্রসারিত করা উচিত। আর্কিটেকচারাল প্রেক্ষাপটের জন্য, network segmentation for UK businesses ওয়ার্কলোড-স্তরের নিয়ন্ত্রণগুলো চালু করার আগে আরও বিস্তৃত সীমানা ব্যাখ্যা করে।
ওয়্যারলেস অ্যাক্সেসও একই ডিজাইনের অন্তর্ভুক্ত। স্টাফ, ঠিকাদার এবং অতিথিরা হয়তো একই বিল্ডিং ইনফ্রাস্ট্রাকচার ব্যবহার করতে পারেন, তবে আইডেন্টিটি-ভিত্তিক WiFi প্ল্যাটফর্ম যেমন enterprise WiFi security guide সেগমেন্টেশনের সিদ্ধান্তে ব্যবহারকারী ও ডিভাইসের কনটেক্সট প্রদান করতে পারে। এটি WiFi-কে একটি আলাদা সিকিউরিটি ডোমেন হিসেবে বিবেচনা না করেই ভিন্ন ভিন্ন অ্যাক্সেস পলিসি প্রয়োগ করতে সহায়তা করে।
মাইক্রো সেগমেন্টেশন আসলে কীভাবে কাজ করে
একটি দরকারী উপমা হলো একটি সুরক্ষিত অফিস বিল্ডিং। পেরিমিটার ফায়ারওয়াল হলো সদর দরজা। এটি বাইরে থেকে কে বিল্ডিংয়ে প্রবেশ করবে তা নিয়ন্ত্রণ করে। VLANs হলো ফ্লোর বা তলা, যা স্টাফ, গেস্ট, সার্ভার বা ফেসিলিটি সরঞ্জামের মতো বিস্তৃত গ্রুপগুলোকে আলাদা করে। মাইক্রো-সেগমেন্ট হলো পৃথক রুম, যার প্রতিটির নিজস্ব লক এবং নীতি রয়েছে যা বর্ণনা করে কে বা কী প্রবেশ করতে পারবে।
সেই পলিসি সাধারণত একটি ডিনাই-বাই-ডিফল্ট অবস্থান থেকে শুরু হয়। প্ল্যাটফর্মটি দুটি ওয়ার্কলোড, ব্যবহারকারী বা ডিভাইসের মধ্যে সংযোগ পর্যবেক্ষণ করে, তারপর কেবল তখনই অনুমতি দেয় যখন একটি নির্দিষ্ট ব্যবসায়িক প্রয়োজনীয়তা থাকে। গুরুত্বপূর্ণ বিশদটি হলো এই কন্ট্রোলটি অভ্যন্তরীণ এন্টিটিগুলোর মধ্যে কাজ করে, কেবল কর্পোরেট নেটওয়ার্ক এবং ইন্টারনেটের মধ্যে নয়।
যেখানে পলিসি কার্যকর করা হয়
এনফোর্সমেন্ট পয়েন্ট নির্ধারণ করে যে সিস্টেমটি কী দেখতে পাবে এবং কতটা নির্ভুলভাবে কাজ করতে পারবে।
- একটি হাইপারভাইজর বা ভার্চুয়াল সুইচ প্রতিটি ফ্লো একটি ফিজিক্যাল ফায়ারওয়ালে না পাঠিয়েও ভার্চুয়াল মেশিনগুলোর মধ্যে ট্রাফিক পরীক্ষা করতে পারে। এটি ভার্চুয়ালাইজড অ্যাপ্লিকেশন এস্টেটের জন্য উপযুক্ত।
- একটি হোস্ট অপারেটিং সিস্টেম ফায়ারওয়াল ওয়ার্কলোডের কাছাকাছি নিয়ন্ত্রণ প্রয়োগ করে এবং বিভিন্ন নেটওয়ার্ক অবস্থানে থাকা সিস্টেমগুলোকে সুরক্ষিত করতে পারে।
- একটি নেটওয়ার্ক ফ্যাব্রিক বা সফটওয়্যার-ডিফাইনড নেটওয়ার্ক সুইচ, রাউটার বা গেটওয়েতে পলিসি প্রয়োগ করে। এটি এন্ডপয়েন্ট পরিবর্তন এড়ায় কিন্তু সাধারণত বৃহত্তর নেটওয়ার্ক বৈশিষ্ট্যের সাথে কাজ করে।
- একটি আইডেন্টিটি-অ্যাওয়ার অ্যাক্সেস প্ল্যাটফর্ম শুধুমাত্র একটি অ্যাড্রেসের উপর নির্ভর না করে কোনো ব্যক্তি, ডিভাইস, রোল বা অথেনটিকেশন ফলাফলের সাথে সিদ্ধান্তকে আবদ্ধ করতে পারে।
শেষের পয়েন্টটি অত্যন্ত গুরুত্বপূর্ণ কারণ IP অ্যাড্রেসগুলি পরিবর্তিত হয়। ভার্চুয়াল মেশিনগুলি মাইগ্রেট করে, DHCP লিজের মেয়াদ শেষ হয়, ডিভাইসগুলি অ্যাক্সেস পয়েন্টগুলির মধ্যে রোম করে এবং ক্লাউড রিসোর্সগুলি পুনরায় তৈরি করা হয়। শুধুমাত্র একটি অ্যাড্রেসের সাথে যুক্ত নিয়ম ভুল হতে পারে। ওয়ার্কলোড আইডেন্টিটি, অ্যাপ্লিকেশন রোল, ডিভাইস পোস্টার বা প্রমাণীকৃত ব্যবহারকারীর কনটেক্সটের সাথে যুক্ত একটি নিয়মের ক্ষেত্রে এটি যাকে রক্ষা করার উদ্দেশ্যে তৈরি করা হয়েছে তাকে অনুসরণ করার আরও ভালো সুযোগ থাকে।
ইস্ট-ওয়েস্ট ট্রাফিকই হলো প্রধান পার্থক্যকারী
নর্থ-সাউথ ট্রাফিক পেরিমিটার অতিক্রম করে, যেমন একজন ব্যবহারকারী ইন্টারনেটে ব্রাউজ করছেন বা কোনো বাহ্যিক ক্লায়েন্ট একটি পাবলিশড অ্যাপ্লিকেশনে পৌঁছাচ্ছেন। ইস্ট-ওয়েস্ট ট্রাফিক এস্টেটের ভেতরে স্থানান্তরিত হয়, যেমন একটি অ্যাপ্লিকেশন একটি ডেটাবেস কল করছে বা একটি এন্ডপয়েন্ট একটি ফাইল সার্ভারের সাথে যোগাযোগ করছে। অ্যাক্সেস পাওয়ার পর আক্রমণকারীরা ইস্ট-ওয়েস্ট পাথের ওপর নির্ভর করে।
মাইক্রো-সেগমেন্টেশন সেই অভ্যন্তরীণ কথোপকথনগুলোকে সরাসরি পরিচালনা করে। এটি অ্যাপ্লিকেশন-টু-ডেটাবেস প্রবাহের অনুমতি দিতে পারে এবং এন্ডপয়েন্ট-টু-ডেটাবেস অ্যাক্সেসকে ব্লক করতে পারে, এমনকি উভয় সিস্টেমই যখন একটি বিস্তৃত সার্ভার বা ক্যাম্পাস জোনের মধ্যে থাকে। ওয়্যারলেস এস্টেটে, আইডেন্টিটি-চালিত ডিজাইন নেটওয়ার্ক প্লেসমেন্টে প্রমাণীকরণ অনুবাদ করতেও সহায়তা করে। iPSK subnet designer-এর মতো সরঞ্জামগুলো এমন ডিভাইসগুলোর জন্য ইচ্ছাকৃত পৃথকীকরণকে সমর্থন করতে পারে যা আধুনিক ব্যবহারকারী প্রমাণীকরণ ব্যবহার করতে পারে না।
পরিচালনগত চ্যালেঞ্জ হলো সঠিক পলিসির সূক্ষ্মতা বেছে নেওয়া। একটি নিয়ম যা খুব বেশি বিস্তৃত তা পরোক্ষ বিশ্বাস পুনরায় তৈরি করে। একটি নিয়ম যা খুব বেশি সংকীর্ণ তা বৈধ নির্ভরতাগুলোকে ব্যাহত করতে পারে। কার্যকর স্থাপনা শুরু হয় পরিলক্ষিত যোগাযোগের মাধ্যমে এবং তারপর অনুমোদিত পাথগুলোকে পরিমার্জিত করার মাধ্যমে।
এজেন্ট-ভিত্তিক, নেটওয়ার্ক-ভিত্তিক এবং হোস্ট-ভিত্তিক পদ্ধতির তুলনা
বাস্তবায়ন মডেলগুলো এস্টেট অনুযায়ী ভিন্ন হয়। সঠিক নির্বাচন নির্ভর করে অপারেটিং সিস্টেম, মালিকানার সীমানা, দৃশ্যমানতার প্রয়োজনীয়তা এবং এন্ডপয়েন্ট পরিবর্তনের সহনশীলতার ওপর। একটি মিশ্র-বিশ্বাসের ইউকে পরিবেশে, কাগজে-কলমে থাকা পছন্দের আর্কিটেকচারের চেয়ে এই সীমাবদ্ধতাগুলো প্রায়শই বেশি গুরুত্বপূর্ণ হয়ে ওঠে।
এজেন্ট-ভিত্তিক নিয়ন্ত্রণগুলি প্রতিটি সুরক্ষিত ওয়ার্কলোডে একটি লাইটওয়েট উপাদান ইনস্টল করে। এজেন্টটি প্রসেস-লেভেল যোগাযোগ সনাক্ত করতে পারে এবং অপারেটিং সিস্টেমের কাছাকাছি পলিসি প্রয়োগ করতে পারে। এটি ক্লাউড এবং ভার্চুয়ালাইজড ওয়ার্কলোডের জন্য উপযুক্ত, যেখানে ফিজিক্যাল নেটওয়ার্ক প্লেসমেন্টের চেয়ে ওয়ার্কলোড আইডেন্টিটি প্রায়শই পরিবর্তিত হতে পারে। এটি নিরাপত্তা দলগুলিকে কোন প্রসেসটি সংযোগ শুরু করেছে সে সম্পর্কে আরও স্পষ্ট প্রমাণ দেয়।
এর সুবিধা-অসুবিধা হলো ডিপ্লয়মেন্টের প্রচেষ্টা। লেগাসি অপারেটিং সিস্টেম, আনসাপোর্টেড অ্যাপ্লায়েন্স, শক্তভাবে নিয়ন্ত্রিত প্রোডাকশন সার্ভার এবং আনম্যানেজড ডিভাইসগুলো একটি এজেন্ট গ্রহণ নাও করতে পারে। যেসব ক্ষেত্রে সফটওয়্যার ইনস্টলেশন প্রোডাকশনকে প্রভাবিত করে, সেখানে সংস্করণ পরিচালনা, হেলথ মনিটরিং, এক্সেপশন হ্যান্ডলিং এবং ফর্মাল অ্যাপ্রুভালের জন্য টিমগুলোর প্রক্রিয়ার প্রয়োজন হয়।
নেটওয়ার্ক-ভিত্তিক কন্ট্রোলগুলো সুইচ, রাউটার, গেটওয়ে বা সফটওয়্যার-ডিফাইন্ড ফ্যাব্রিকের উপর পলিসি প্রয়োগ করে। এগুলো প্রতিটি এন্ডপয়েন্টে পরিবর্তনের প্রয়োজনীয়তা দূর করে, যা ক্যাম্পাস নেটওয়ার্ক, IoT, গেস্ট ইনফ্রাস্ট্রাকচার এবং এজেন্ট রান করতে পারে না এমন ডিভাইসের জন্য বেশ সুবিধাজনক। তবে এগুলোর প্রধান সীমাবদ্ধতা হলো কনটেক্সট। একটি এনক্রিপ্টেড ইস্ট-ওয়েস্ট ফ্লোর পেছনের আসল প্রসেসটি চিহ্নিত না করেই এগুলো অ্যাড্রেস, পোর্ট, সেগমেন্ট বা ডিভাইস ক্যাটাগরি অনুযায়ী ট্রাফিক ক্লাসিফাই করতে পারে।
হোস্ট-ভিত্তিক নিয়ন্ত্রণগুলি নেটিভ অপারেটিং-সিস্টেম ফায়ারওয়াল এবং সেন্ট্রাল কনফিগারেশন ম্যানেজমেন্ট ব্যবহার করে। একটি মিশ্র-বিশ্বস্ত এস্টেটের জন্য, এটি অন্য কোনো প্রয়োগকারী প্ল্যাটফর্ম যোগ না করেই একটি বাস্তবসম্মত সূচনা পয়েন্ট প্রদান করতে পারে। এই নিয়ন্ত্রণটি এখনও সুশৃঙ্খল ডিপ্লয়মেন্ট, অডিটিং এবং সিস্টেম পরিবর্তনের সময় তা সরিয়ে ফেলার উপর নির্ভর করে। অসঙ্গতিপূর্ণ কনফিগারেশন পলিসির বিচ্যুতি ঘটায় এবং পরবর্তীতে ট্রাবলশুটিং করা আরও কঠিন করে তোলে।
| নির্ণায়ক | এজেন্ট-ভিত্তিক (Agent-Based) | নেটওয়ার্ক-ভিত্তিক (Network-Based) | হোস্ট-ভিত্তিক (Host-Based) |
|---|---|---|---|
| প্রয়োগের স্থান | ওয়ার্কলোড বা এন্ডপয়েন্ট | সুইচ, রাউটার, গেটওয়ে বা ফ্যাব্রিক | নেটিভ অপারেটিং সিস্টেম ফায়ারওয়াল |
| দৃশ্যমানতা | প্রায়শই প্রসেস এবং ওয়ার্কলোড সম্পর্কে সচেতন | সাধারণত নেটওয়ার্ক এবং ফ্লো সম্পর্কে সচেতন | সুরক্ষিত হোস্টের উপর শক্তিশালী |
| লিগ্যাসি সামঞ্জস্যতা | অপারেটিং সিস্টেম বা অ্যাপ্লায়েন্স দ্বারা সীমাবদ্ধ হতে পারে | যেসব ডিভাইস এজেন্ট চালাতে পারে না সেগুলোর জন্য উপযুক্ত | অপারেটিং সিস্টেমের ক্ষমতার উপর নির্ভরশীল |
| কার্যক্রমগত চাপ | এজেন্ট রোলআউট, আপগ্রেড এবং হেলথ চেক | ফ্যাব্রিক ডিজাইন, ইন্টিগ্রেশন এবং নিয়ম পরিচালনা | কনফিগারেশন নিয়ন্ত্রণ এবং পলিসির ধারাবাহিকতা |
| সবচেয়ে উপযুক্ত | ডেটা সেন্টার এবং ক্লাউড ওয়ার্কলোড | ক্যাম্পাস, IoT, গেস্ট এবং অবিন্যস্ত এস্টেট | মিশ্র এস্টেট এবং ক্রমবর্ধমান প্রোগ্রাম |
| প্রধান দুর্বলতা | যেখানে এজেন্ট ইনস্টল করা যায় না সেখানে কভারেজের ঘাটতি | দুর্বল আইডেন্টিটি এবং প্রসেস কনটেক্সট | বড় পরিসরে পরিচালনার জটিলতা |
হাইব্রিড ডেপ্লয়মেন্টগুলো বাস্তব এস্টেটগুলো কীভাবে তৈরি হয় তা প্রতিফলিত করে। একটি এন্টারপ্রাইজ অ্যাপ্লিকেশন ওয়ার্কলোডের জন্য এজেন্টের মাধ্যমে, ক্যামেরা এবং বিল্ডিং সিস্টেমের জন্য নেটওয়ার্ক নিয়ন্ত্রণের মাধ্যমে এবং উভয় গ্রুপের মধ্যে থাকা সার্ভারগুলোর জন্য হোস্ট ফায়ারওয়ালের মাধ্যমে নীতি প্রয়োগ করতে পারে। প্রতিটি ডিভাইসকে একটি মডেলে বাধ্য করার পরিবর্তে ডিজাইনটি ডিপেনডেন্সি ম্যাপিং এবং পর্যায়ভিত্তিক প্রয়োগ অনুসরণ করা উচিত।
আইডেন্টিটি সার্ভিসগুলি একটি পৃথক নিয়ন্ত্রণ ইনপুট যোগ করে। একটি ক্লাউড RADIUS প্রোভাইডার অ্যাক্সেস লেয়ারে ব্যবহারকারী বা ডিভাইসের আইডেন্টিটিতে পলিসি বরাদ্দ করতে সাহায্য করে, প্রমাণীকরণ ইভেন্টগুলিকে রোল-ভিত্তিক নেটওয়ার্ক অ্যাক্সেসের সাথে সংযুক্ত করতে পারে। এটি WiFi এবং অন্যান্য শেয়ার্ড ইনফ্রাস্ট্রাকচারের জন্য সেগমেন্টেশন সমর্থন করে, তবে এটি ওয়ার্কলোড-লেভেল কন্ট্রোল বা হোস্ট ফায়ারওয়ালগুলিকে প্রতিস্থাপন করে না।
সবচেয়ে শক্তিশালী ডিজাইন সাধারণত প্রতিটি ডিভাইসকে একটি আধুনিক ক্লাউড ওয়ার্কলোড হিসেবে বিবেচনা করার পরিবর্তে পরিকাঠামোগত সীমাবদ্ধতাগুলোকে মেনে নিয়ে তৈরি হয়।
WiFi থেকে মাল্টি-টেন্যান্ট এনভায়রনমেন্টের বাস্তব ব্যবহারের ক্ষেত্রসমূহ
মাইক্রো-সেগমেন্টেশনকে যুক্তিযুক্ত করা আরও সহজ হয় যখন এটি কোনো দৃশ্যমান অ্যাক্সেস সমস্যার সমাধান করে। অতিথি WiFi এর একটি সহজ উদাহরণ। একজন ভিজিটরের ইন্টারনেট অ্যাক্সেসের প্রয়োজন হয়, কিন্তু তার স্টাফ অ্যাপ্লিকেশনের রুট পাওয়া উচিত নয় কারণ উভয় নেটওয়ার্কই একই অ্যাক্সেস পয়েন্ট এবং সুইচিং এস্টেট ব্যবহার করে।
একটি আইডেন্টিটি-ভিত্তিক প্ল্যাটফর্ম অথেনটিকেশনের পর ব্যবহারকারীদের বিভিন্ন VLANs বা ট্রাস্ট জোনে অ্যাসাইন করতে পারে। স্টাফ ক্রেডেন্সিয়াল একটি অ্যাক্সেস প্রোফাইল তৈরি করতে পারে, ঠিকাদাররা আরেকটি এবং অতিথিরা একটি সীমিত প্রোফাইল পেতে পারেন। এটি একটি শেয়ার্ড গেস্ট পাসওয়ার্ডের উপর নির্ভর করার চেয়ে নিরাপদ, কারণ একটি পাসওয়ার্ড লিক হলেও তা স্বয়ংক্রিয়ভাবে অভ্যন্তরীণ নেটওয়ার্কের চাবিকাঠি হয়ে ওঠে না।
IoT এবং স্বাস্থ্যসেবা সংক্রান্ত এনভায়রনমেন্ট
IoT ডিভাইসগুলির জন্য একটি পৃথক পলিসি মডেল প্রয়োজন কারণ প্রায়শই এগুলির সীমিত নিরাপত্তা ক্ষমতা এবং দীর্ঘ প্রতিস্থাপন চক্র থাকে। একটি CCTV ক্যামেরার একটি রেকর্ডিং প্ল্যাটফর্ম এবং ম্যানেজমেন্ট সার্ভিসে পৌঁছানোর প্রয়োজন হতে পারে, তবে এটি ব্যবহারকারীর ল্যাপটপে সংযোগ শুরু করবে না। একটি HVAC কন্ট্রোলারের জন্য একটি ফ্যাসিলিটি-ম্যানেজমেন্ট পাথের প্রয়োজন হতে পারে, যেখানে একটি পেমেন্ট টার্মিনাল শুধুমাত্র তার অনুমোদিত পেমেন্ট এবং ম্যানেজমেন্ট সার্ভিসের সাথে যোগাযোগ করবে।
হেলথকেয়ার এস্টেটগুলো অপারেশনাল সংবেদনশীলতা বাড়িয়ে দেয়। ক্লিনিকাল সরঞ্জাম, প্রশাসনিক এন্ডপয়েন্ট, রোগীদের জন্য পরিষেবা এবং ফেসিলিটি সিস্টেমগুলোর বিভিন্ন মালিকানা এবং প্রাপ্যতার প্রয়োজনীয়তা থাকতে পারে। বুদ্ধিমানের কাজ হলো প্রতিটি ডিভাইসকে একটি সাধারণ "বিশ্বস্ত" নেটওয়ার্কে রাখার পরিবর্তে প্রয়োজনীয় ফ্লো নির্ধারণ করা, ডিভাইস গ্রুপগুলোকে আইসোলেট করা এবং ব্যতিক্রমগুলো মনিটর করা।
মাল্টি-টেন্যান্ট বাণিজ্যিক সম্পত্তি
মাল্টি-টেন্যান্ট বিল্ডিংগুলো একটি ভিন্ন সীমানা সমস্যা তৈরি করে। একজন বাড়িওয়ালা অংশীদারি ফিজিক্যাল কানেক্টিভিটি প্রদান করতে পারেন যখন প্রতিটি ভাড়াটে অন্য প্রতিটি ভাড়াটে থেকে লজিক্যাল আইসোলেশন আশা করে। প্রতিটি ভাড়াটের নিজস্ব অ্যাক্সেস নীতি, প্রশাসনিক সীমানা এবং অনুমোদিত অংশীদারি পরিষেবাগুলো যেমন ইন্টারনেট অ্যাক্সেস বা বিল্ডিংয়ের সুযোগ-সুবিধাগুলোর জন্য নিজস্ব রুট প্রয়োজন।
Policy-as-code অনবোর্ডিংকে পুনরাবৃত্তিযোগ্য করে তুলতে পারে। প্রত্যেক নতুন বাসিন্দার জন্য ম্যানুয়ালি সুইচ কনফিগারেশন পরিবর্তন করার পরিবর্তে, অপারেটর একটি ভাড়াটে প্রোফাইল সংজ্ঞায়িত করে এবং নেটওয়ার্ক ও আইডেন্টিটি সিস্টেমের মাধ্যমে তা প্রয়োগ করে। এর ফলে এমন একটি বিভাজন তৈরি হয় যা ওয়্যার্ড অ্যাক্সেস, ওয়্যারলেস অ্যাক্সেস এবং SD-WAN এজেস পর্যন্ত বিস্তৃত হতে পারে।
এই মডেলটি মূল্যায়নকারী টিমগুলোর আইসোলেটেড টেন্যান্ট এবং কেবলমাত্র পৃথক অ্যাকাউন্টের মধ্যে পার্থক্য বোঝা উচিত। SaaS টেন্যান্ট বোঝার একটি বাস্তবসম্মত ব্যাখ্যা দরকারী কারণ একই নীতি নেটওয়ার্ক পরিষেবাগুলোর ক্ষেত্রেও প্রযোজ্য, অর্থাৎ শেয়ার্ড ইনফ্রাস্ট্রাকচার মানেই শেয়ার্ড ট্রাস্ট হতে হবে এমন নয়।
ব্যবহারকারী বা ডিভাইসের আইডেন্টিটি অনুযায়ী নেটওয়ার্ক অ্যাক্সেস নির্ধারণ করতে Purple মূলত আইডেন্টিটি প্রোভাইডার এবং RADIUS-এর সাথে ইন্টিগ্রেট করতে পারে, যার মধ্যে মাল্টি-টেন্যান্ট WiFi-এর জন্য ডাইনামিক রোল-ভিত্তিক প্লেসমেন্ট এবং আইসোলেশন অন্তর্ভুক্ত। বাস্তবে, এটি একটি বৃহত্তর সেগমেন্টেশন আর্কিটেকচারের একটি অংশ হিসেবে কাজ করে। অ্যাক্সেস প্ল্যাটফর্ম সিদ্ধান্ত নেয় একটি কানেকশন কোন অংশের আওতাভুক্ত, অন্যদিকে ফায়ারওয়াল, সুইচ, হোস্ট এবং ওয়ার্কলোড কন্ট্রোলগুলো নির্ধারণ করে যে কানেকশনটি কী কী অ্যাক্সেস করতে পারবে।
যেখানে মাইক্রো সেগমেন্টেশন সবচেয়ে বেশি ঝুঁকি কমায়
মাইক্রো-সেগমেন্টেশন মূলত কোনো ডেটা-সেন্টার কমপ্লায়েন্সের কাজ নয়। এটি সেখানে সবচেয়ে বেশি সুবিধা প্রদান করে যেখানে একটি ট্রাস্ট গ্রুপে অনুপ্রবেশ ঘটলে সম্পূর্ণ ভিন্ন ধরনের অপারেশনাল ভূমিকার অন্য সিস্টেমগুলো ঝুঁকির মুখে পড়তে পারে।
NCSC-এর অপারেশনাল প্রযুক্তি নির্দেশিকা মাইক্রো-সেগমেন্টেশনকে ওয়ার্কলোড, অ্যাপ্লিকেশন বা ডিভাইসের কাজের উপর ভিত্তি করে জোনগুলোকে আরও ছোট ইউনিটে বিভক্ত করা হিসাবে বর্ণনা করে, যা সম্ভাব্যভাবে পৃথক ডিভাইস, সার্ভিস বা প্রোটোকল পর্যন্ত হতে পারে (NCSC OT micro-segmentation guidance)। প্রতিটি পরিবেশকে একটি সাধারণ IP নেটওয়ার্ক হিসাবে বিবেচনা করার চেয়ে এই রূপরেখাটি বেশি কার্যকর। একটি ইন্ডাস্ট্রিয়াল কন্ট্রোলার, একটি বিল্ডিং-ম্যানেজমেন্ট সিস্টেম এবং একটি কর্পোরেট ল্যাপটপের জন্য আলাদা সুরক্ষা এবং আলাদা যোগাযোগের নিয়ম প্রয়োজন।
সবচেয়ে ব্যয়বহুল ব্যর্থতার পথগুলোকে অগ্রাধিকার দিন
একটি ফ্ল্যাট ক্যাম্পাস নেটওয়ার্ক এন্ডপয়েন্ট, ফাইল সার্ভিস, প্রিন্ট সিস্টেম, ভয়েস প্ল্যাটফর্ম এবং অ্যাডমিনিস্ট্রেটিভ ইন্টারফেসের মধ্যে অপ্রয়োজনীয় পাথ তৈরি করে। এর সমাধান সবসময় সম্পূর্ণ রিডিজাইন নয়। প্রিভিলেজড অ্যাডমিনিস্ট্রেশন, সংবেদনশীল সার্ভার, থার্ড-পার্টি অ্যাক্সেস এবং ডিভাইস ক্লাসের চারপাশে একটি সুনির্দিষ্ট পলিসি সবচেয়ে বিপজ্জনক পাথগুলোকে আগে সরিয়ে দিতে পারে।
| ঝুঁকির হটস্পট | সেগমেন্টেশন কৌশল | ব্লাস্ট-রেডিয়াস হ্রাসকরণ |
|---|---|---|
| গেস্ট অ্যাক্সেস | গেস্ট আইডেন্টিটি এবং ট্র্যাফিককে কর্পোরেট পরিষেবা থেকে আলাদা করুন, যেখানে উপযুক্ত সেখানে শুধুমাত্র ইন্টারনেট পলিসি সহ | গেস্টদের কোনো নিরাপত্তা লঙ্ঘন গেস্ট ট্রাস্ট জোনের মধ্যেই সীমাবদ্ধ থাকে |
| IoT ডিভাইসসমূহ | শুধুমাত্র প্রয়োজনীয় ম্যানেজমেন্ট এবং সার্ভিস ফ্লোর অনুমতি দিন | একটি দুর্বল ডিভাইস অবাধে ব্যবহারকারী বা সার্ভার নেটওয়ার্ক পরীক্ষা করতে পারে না |
| কন্ট্রাক্টর অ্যাক্সেস | সীমিত রুট সহ একটি সময়সীমাবদ্ধ বা ভূমিকা-নির্দিষ্ট জোন বরাদ্দ করুন | তৃতীয় পক্ষের ক্রেডেনশিয়াল সাধারণ অভ্যন্তরীণ অ্যাক্সেস প্রদান করে না |
| লিগ্যাসি অ্যাপ্লিকেশন সার্ভারসমূহ | যেখানে এজেন্ট কার্যকর নয় সেখানে হোস্ট বা নেটওয়ার্ক নিয়ন্ত্রণ ব্যবহার করুন, তারপর নথিভুক্ত ডিপেন্ডেন্সিগুলোর অনুমতি দিন | একটি আপোসকৃত লিগ্যাসি ওয়ার্কলোডের সংলগ্ন সিস্টেমে যাওয়ার পথ কম থাকে |
| OT এবং ফ্যাসিলিটিজ সিস্টেমসমূহ | কর্পোরেট আইটি থেকে অপারেশনাল জোনগুলোকে আলাদা করুন এবং আন্তঃ-জোন যোগাযোগ পরীক্ষা করুন | আইটি-তে থাকা র্যানসমওয়্যার নিরাপত্তা বা কার্যকারিতা-সংবেদনশীল সিস্টেমে সহজে প্রবেশ করতে পারে না |
NCSC সেগমেন্টেশনের সিদ্ধান্তগুলো অ্যাসেটগুলোর প্রয়োজনীয় সুরক্ষা, অন্যান্য অ্যাসেটের সাথে ইন্টারঅ্যাক্ট করার প্রয়োজনীয়তা এবং তাদের বিশ্বস্ততার সীমার ওপর ভিত্তি করে নেওয়ার পরামর্শ দেয়। এটি প্রাতিষ্ঠানিক ট্রেন্ড অনুযায়ী সেগমেন্ট করার চেয়ে ঝুঁকি-ভিত্তিক অগ্রাধিকারকে আরও বেশি যুক্তিযুক্ত করে তোলে।
পারফরম্যান্সের উদ্বেগগুলো এখনও পরীক্ষার দাবি রাখে। পলিসি প্লেসমেন্ট, এনক্রিপশন, ইন্সপেকশন মেথড এবং ডিভাইসের ক্ষমতা সবই ফলাফলকে প্রভাবিত করে, তাই একটি সাপ্লায়ারের জেনেরিক পারফরম্যান্সের দাবি টার্গেট এস্টেটে একটি পাইলট রান করার বিকল্প নয়। অপারেশনাল ওভারহেড বাস্তব, তবে হাই-ভ্যালু পাথগুলোকে ইম্প্লিসিট বা অনুমিত রেখে দেওয়ার খরচও বাস্তব।
পুরাতন সিস্টেমের ক্ষতি না করে মাইক্রো সেগমেন্টেশন বাস্তবায়ন করা
সবচেয়ে নিরাপদ কর্মসূচি ব্লক করার মাধ্যমে নয়, পর্যবেক্ষণের মাধ্যমে শুরু হয়। মনিটর-অনলি মোডে, প্রোডাকশন ট্র্যাফিক পরিবর্তন না করেই ফ্লো রেকর্ড এবং এন্ডপয়েন্ট তথ্য সংগ্রহ করুন। নেটওয়ার্ক TAPs, NetFlow কালেক্টর, সুইচ টেলিমেট্রি এবং এজেন্ট-ভিত্তিক ডিসকভারি প্রকাশ করতে পারে যে কোন সিস্টেমগুলো যোগাযোগ করে, কোন সংযোগগুলো স্থায়ী এবং কোন "অস্থায়ী" ব্যতিক্রমগুলো ব্যবসায়িক নির্ভরতায় পরিণত হয়েছে।
নিয়ম তৈরি করার আগে পরিকাঠামোটি চিহ্নিত করুন
শুধুমাত্র ইনভেন্টরি রাখাই যথেষ্ট নয়। প্রতিটি অ্যাপ্লিকেশনকে তার সহযোগী সার্ভিস, অনার, ডেটার সংবেদনশীলতা এবং অপারেশনাল গুরুত্বের সাথে ম্যাপ করুন। অনথিবদ্ধ সার্ভিস কল, অ্যাডমিনিস্ট্রেটিভ পাথ, ব্যাকআপ ট্রাফিক, মনিটরিং কানেকশন এবং ভেন্ডর অ্যাক্সেস রেকর্ড করুন। বছরের পর বছর পুরোনো আর্কিটেকচার ডায়াগ্রামের উপর ভিত্তি করে তৈরি করা পলিসি কার্যকর হবে না যখন এটি বর্তমান এস্টেটের মুখোমুখি হবে।
NCSC সুপারিশ করে যে সেগমেন্টেশন কীভাবে পরিকল্পনা করা, ডিজাইন করা, প্রয়োগ করা এবং পর্যবেক্ষণ করা হবে তা নথিভুক্ত করা উচিত যাতে কোনো আপস শুধুমাত্র লঙ্ঘিত সেগমেন্টের মধ্যেই সীমাবদ্ধ থাকে (NCSC segmentation planning guidance)। সেই ডকুমেন্টেশনটি একটি কর্মক্ষম রেকর্ড হওয়া উচিত, কোনো এককালীন ডিজাইন ডকুমেন্ট নয়।
নিয়ন্ত্রিত এনফোর্সমেন্টের মাধ্যমে ধাপে ধাপে এগিয়ে যান
একটি পর্যায়ক্রমিক পথ অনুসরণ করুন:
- আবিষ্কার করুন: ইস্ট-ওয়েস্ট ফ্লো ক্যাপচার করুন এবং অ্যাসেট মালিক, অ্যাপ্লিকেশন, প্রোটোকল এবং অজানা ডিভাইসগুলো চিহ্নিত করুন।
- পরিকল্পনা করুন: ব্যবসায়িক কাজ, সংবেদনশীলতা, ট্রাস্ট এবং নির্ভরতার ভিত্তিতে অ্যাসেটগুলোকে গ্রুপ করুন। পর্যবেক্ষণ করা প্রয়োজনীয়তা থেকে অনুমতি পলিসিগুলোর খসড়া তৈরি করুন।
- পাইলট করুন: একটি প্রতিনিধিত্বমূলক ওয়ার্কলোড গ্রুপের বিরুদ্ধে পলিসিগুলো পরীক্ষা করুন, বিশেষত শ্যাডো বা স্টেজিং মোডে। মনিটরিং, ব্যাকআপ, অ্যাডমিনিস্ট্রেশন এবং সাপোর্ট পাথগুলো কাজ চালিয়ে যাচ্ছে কিনা তা নিশ্চিত করুন।
- প্রয়োগ করুন: উচ্চ-আত্মবিশ্বাসের বিধিনিষেধ দিয়ে শুরু করুন, যেমন গেস্ট-টু-কর্পোরেট অ্যাক্সেস বা IoT-টু-ডোমেন-কন্ট্রোলার পাথ। সার্ভিস মালিকরা ফলাফল যাচাই করার পরেই কেবল এটি প্রসারিত করুন।
রোলব্যাক পদ্ধতিগুলো ব্যবহারিক রাখুন। কে একটি পলিসি নিষ্ক্রিয় করতে পারে, কোন চেঞ্জ উইন্ডো প্রযোজ্য হবে, কী প্রমাণের ভিত্তিতে রোলব্যাক ট্রিগার হবে এবং কীভাবে সিদ্ধান্তটি রেকর্ড করা হবে তা নির্ধারণ করুন। লেগ্যাসি সিস্টেমগুলোর জন্য একটি ব্যতিক্রম রেজিস্টার বজায় রাখুন যা এজেন্ট বা আধুনিক নিয়ন্ত্রণগুলো সমর্থন করতে পারে না, যার মধ্যে একজন মালিক, ক্ষতিপূরণমূলক নিয়ন্ত্রণ, পর্যালোচনার তারিখ এবং অপসারণের শর্ত অন্তর্ভুক্ত থাকবে।
স্থাপনার শৃঙ্খলা: যদি কেউ কোনো ব্যতিক্রমের মালিক না হন, তবে এটি কোনো ব্যতিক্রম নয়। এটি স্থায়ী নথিভুক্তহীন অ্যাক্সেস।
সেক্টর রিপোর্টে উল্লিখিত UK জিরো-ট্রাস্ট গবেষণা অনুযায়ী, বর্তমানে ৯২% প্রতিষ্ঠান তাদের নেটওয়ার্ক সেগমেন্ট করে থাকে, তবে তারা এই সাধারণ সেগমেন্টেশনকে ওয়ার্কলোড-লেভেলের মাইক্রো-সেগমেন্টেশন থেকে আলাদা করে দেখেছে (UK zero-trust adoption data)। এই পার্থক্যটি প্রোগ্রামের রিপোর্টিং তৈরিতে সাহায্য করবে। একটি সেগমেন্টেড নেটওয়ার্ক মানেই যে সেটি সর্বদা লিস্ট-প্রিভিলেজ নেটওয়ার্ক হবে, তা কিন্তু নয়।
আপনার জিরো ট্রাস্ট কৌশলের সাথে মাইক্রো সেগমেন্টেশনকে সংযুক্ত করা
জিরো ট্রাস্ট তখন কার্যকর করা সম্ভব হয় যখন মাইক্রো-সেগমেন্টেশন অভ্যন্তরীণ ট্রাফিকের ক্ষেত্রে আইডেন্টিটি, ডিভাইস কনটেক্সট, অ্যাপ্লিকেশন ওনারশিপ এবং লিস্ট-প্রিভিলেজ সিদ্ধান্তগুলো প্রয়োগ করে। সেই এনফোর্সমেন্ট পয়েন্ট ছাড়া, ভেরিফিকেশন প্রায়শই লগইন করার পরেই শেষ হয়ে যায়।
ডিরেক্টরি সার্ভিস, RADIUS, এন্ডপয়েন্ট সিগন্যাল, ওয়ার্কলোড আইডেন্টিটি এবং পলিসি ইঞ্জিনগুলোকে সংযুক্ত করুন যাতে অ্যাক্সেস সিদ্ধান্তগুলো ওয়্যারলেস, ওয়্যার্ড, ক্লাউড এবং SD-WAN পরিবেশকে প্রভাবিত করে। UK GDPR এবং যুক্তরাজ্যের পাবলিক সেক্টর এস্টেটে, এটি মিক্সড-ট্রাস্ট নেটওয়ার্কগুলোকে মিটমাট করার পাশাপাশি প্রোডাকশন, ডেভেলপমেন্ট, টেস্টিং এবং ট্রেনিংয়ের মধ্যে বিভাজন সমর্থন করে।
নিয়ন্ত্রণগুলোকে একটি অপারেটিং শৃঙ্খলা হিসেবে বিবেচনা করুন। নির্ভরতাগুলো পর্যালোচনা করুন, পুরোনো ব্যতিক্রমগুলো সরিয়ে দিন, পলিসি পরিবর্তনগুলো পরীক্ষা করুন এবং অ্যাপ্লিকেশন বা মালিকানা পরিবর্তনের সাথে সাথে জোনগুলো পুনরায় মূল্যায়ন করুন। স্পষ্ট ব্যবসায়িক মালিকানাধীন একটি উচ্চ-মূল্যের পাথ দিয়ে শুরু করুন, তারপর এর নির্ভরতাগুলো বোঝার পর এটি প্রসারিত করুন।
গেস্ট অ্যাক্সেস, প্রিভিলেজড অ্যাডমিনিস্ট্রেশন, IoT ও ফ্যাসিলিটি ডিভাইস এবং লেগাসি অ্যাপ্লিকেশনের নির্ভরতাগুলো প্রথমে অডিট করুন। প্রতিটি ক্ষেত্র সমর্থন করতে পারে এমন একটি এনফোর্সমেন্ট পদ্ধতি নির্বাচন করুন, প্রয়োজনীয় ফ্লো ডকুমেন্ট করুন এবং অপারেশনাল রিস্কের চারপাশে ফেজড কন্ট্রোল প্রয়োগ করুন। এটি একটি ডিজাইন এবং গভর্নেন্সের প্রশ্ন হিসেবে what is micro segmentation-কে কার্যকর করে তোলে।
Purple ব্যবহারকারী বা ডিভাইসগুলোর জন্য RADIUS-চালিত নেটওয়ার্ক প্লেসমেন্ট এবং পলিসির মাধ্যমে রোল এবং টেন্যান্ট আইসোলেশনের সাথে আইডেন্টিটি-ভিত্তিক WiFi অ্যাক্সেস সংযুক্ত করে। গেস্ট, স্টাফ এবং মাল্টি-টেন্যান্ট এনভায়রনমেন্টে কীভাবে এর নেটওয়ার্কিং প্ল্যাটফর্মটি আরও বিস্তৃত মাইক্রো-সেগমেন্টেশন এবং জিরো-ট্রাস্ট কর্মসূচির সাথে খাপ খাইয়ে নিতে পারে তা মূল্যায়ন করতে Purple ভিজিট করুন।
