NAC Posture Assessment: নেটওয়ার্ক অ্যাক্সেসের আগে ম্যানেজড ডিভাইসের কমপ্লায়েন্স নিশ্চিত করা

Purple টেকনিক্যাল ব্রিফিং সিরিজে স্বাগতম। আজ আমরা এন্টারপ্রাইজ নেটওয়ার্ক সিকিউরিটির সবচেয়ে অপারেশনালি ক্রিটিক্যাল — এবং প্রায়শই ভুল বোঝা — একটি ক্ষেত্র নিয়ে আলোচনা করব: NAC posture assessment, এবং বিশেষ করে কীভাবে আপনি নিশ্চিত করবেন যে শুধুমাত্র ম্যানেজড এবং কমপ্লায়েন্ট ডিভাইসগুলোই প্রোডাকশন ট্রাফিকের একটি প্যাকেট পাঠানোর আগেই আপনার নেটওয়ার্কে অ্যাক্সেস পায়। আপনি যদি একজন আইটি ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট, বা CTO হন যিনি একটি মাল্টি-সাইট এস্টেট পরিচালনা করছেন — তা সে কোনো হোটেল গ্রুপ, রিটেইল চেইন, স্টেডিয়াম, বা পাবলিক-সেক্টর প্রতিষ্ঠানই হোক না কেন — এটি এই মুহূর্তে আপনার সিকিউরিটি posture-এর জন্য সরাসরি প্রাসঙ্গিক। আমরা এর আর্কিটেকচার, স্ট্যান্ডার্ড, রিয়েল-ওয়ার্ল্ড ডিপ্লয়মেন্ট প্যাটার্ন এবং সেই ত্রুটিগুলো নিয়ে আলোচনা করব যা এমনকি অভিজ্ঞ টিমগুলোকেও সমস্যায় ফেলে। চলুন শুরু করা যাক। তাহলে, NAC posture assessment আসলে কী? Network Access Control, বা NAC হলো সেই ওভারআর্চিং ফ্রেমওয়ার্ক যা নিয়ন্ত্রণ করে কোন ডিভাইসগুলো আপনার নেটওয়ার্কে কানেক্ট করতে পারবে এবং কোন শর্তে। Posture assessment হলো NAC-এর মধ্যে থাকা সেই নির্দিষ্ট মেকানিজম যা কোনো ডিভাইস কানেক্ট করার আগে — বা ঠিক পরে — তার সিকিউরিটি স্টেট ইন্টারোগেট করে। এটিকে দরজায় একটি হেলথ চেক হিসেবে ভাবতে পারেন। ডিভাইসটিকে শুধু তার পরিচয় প্রমাণ করলেই হবে না; এটিকে প্রমাণ করতে হবে যে এটি বিশ্বাসযোগ্য হওয়ার মতো উপযুক্ত অবস্থায় আছে। এখানকার আর্কিটেকচারে তিনটি মূল উপাদান রয়েছে। প্রথমত, আপনার আছে Policy Enforcement Point — PEP। এটি সাধারণত আপনার অ্যাক্সেস পয়েন্ট, আপনার সুইচ, বা আপনার ওয়্যারলেস কন্ট্রোলার। এটি হলো সেই গেটকিপার যা ফিজিক্যালি নিয়ন্ত্রণ করে ট্রাফিক ফ্লো হবে কিনা। দ্বিতীয়ত, আপনার আছে Policy Decision Point — PDP। এটি হলো আপনার NAC ইঞ্জিন, যা প্রায়শই RADIUS বা AAA সার্ভারের সাথে ইন্টিগ্রেটেড থাকে। এটি posture ডেটা গ্রহণ করে, আপনার পলিসির বিপরীতে তা মূল্যায়ন করে এবং PEP-কে কী করতে হবে তা বলে দেয়। তৃতীয়ত, আপনার আছে Posture Assessment Engine নিজেই — এটি হয় এন্ডপয়েন্টে চলা কোনো এজেন্ট, অথবা SNMP, WMI, বা SSH-এর মতো প্রোটোকল ব্যবহার করে রিমোটলি ডিভাইসটিকে কোয়েরি করার কোনো এজেন্টলেস মেকানিজম। এখন, এই সবকিছুর ভিত্তি হিসেবে থাকা অথেনটিকেশন লেয়ারটি হলো IEEE 802.1X। এটি হলো পোর্ট-বেসড নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল স্ট্যান্ডার্ড যা ২০০১ সাল থেকে চলে আসছে কিন্তু আজও এন্টারপ্রাইজ NAC-এর মেরুদণ্ড হিসেবে রয়ে গেছে। 802.1X তিনটি ভূমিকা সংজ্ঞায়িত করে: Supplicant — অর্থাৎ কানেক্ট করার চেষ্টা করা ডিভাইস; Authenticator — আপনার সুইচ বা অ্যাক্সেস পয়েন্ট; এবং Authentication Server — আপনার RADIUS সার্ভার। Supplicant এবং Authentication Server EAP — Extensible Authentication Protocol-এর মাধ্যমে যোগাযোগ করে, যা Authenticator-এর মধ্য দিয়ে টানেল করা থাকে। EAP-TLS, যা মিউচুয়াল সার্টিফিকেট-বেসড অথেনটিকেশন ব্যবহার করে, সেটি হলো এখানকার গোল্ড স্ট্যান্ডার্ড। আপনি যদি ম্যানেজড ডিভাইসের কমপ্লায়েন্স নিয়ে সিরিয়াস হন তবে আপনার এটিই ডিপ্লয় করা উচিত। Posture check আসলে কী দেখে? এর ছয়টি প্রাথমিক ক্যাটাগরি রয়েছে। অপারেটিং সিস্টেম প্যাচ লেভেল — ডিভাইসটি কি কোনো সাপোর্টেড OS ভার্সন রান করছে, এবং আপনার নির্ধারিত উইন্ডোর মধ্যে কি ক্রিটিক্যাল প্যাচগুলো অ্যাপ্লাই করা হয়েছে? এন্ডপয়েন্ট সিকিউরিটি স্ট্যাটাস — কোনো অনুমোদিত AV বা EDR এজেন্ট কি ইনস্টল করা, সক্রিয় এবং আপ-টু-ডেট ডেফিনিশন সহ আছে? ফায়ারওয়াল স্ট্যাটাস — হোস্ট-বেসড ফায়ারওয়াল কি এনাবল করা আছে এবং এর পলিসি কি অক্ষত আছে? ডিস্ক এনক্রিপশন — ফুল-ডিস্ক এনক্রিপশন কি সক্রিয় আছে এবং সাসপেন্ডেড অবস্থায় নেই? সার্টিফিকেট ভ্যালিডিটি — ডিভাইসটির কাছে কি আপনার PKI দ্বারা ইস্যু করা কোনো বৈধ, বিশ্বস্ত মেশিন সার্টিফিকেট আছে? এবং সবশেষে, কনফিগারেশন কমপ্লায়েন্স — ডিভাইসের সিকিউরিটি কনফিগারেশন কি আপনার নির্ধারিত বেসলাইনের সাথে মেলে? এই চেকগুলোর ফলাফলের ওপর ভিত্তি করে, আপনার NAC পলিসি ইঞ্জিন তিনটি স্টেটের যেকোনো একটি অ্যাসাইন করে। Compliant — ডিভাইসটি সমস্ত প্রয়োজনীয় চেক পাস করে এবং সম্পূর্ণ নেটওয়ার্ক অ্যাক্সেস পায়, সাধারণত এর অ্যাসাইন করা VLAN বা রোলে। Conditional — ডিভাইসটি ক্রিটিক্যাল চেক পাস করে কিন্তু এক বা একাধিক নন-ক্রিটিক্যাল চেক ফেইল করে; এটি সীমিত অ্যাক্সেস পায়, হয়তো শুধুমাত্র ইন্টারনেট, সাথে ব্যবহারকারীর জন্য একটি নোটিফিকেশন। এবং Non-Compliant — ডিভাইসটি কোনো ক্রিটিক্যাল চেক ফেইল করে এবং এটিকে একটি কোয়ারেন্টাইন VLAN-এ রাখা হয় যেখানে শুধুমাত্র একটি রিমিডিয়েশন পোর্টালে অ্যাক্সেস থাকে। সেই রিমিডিয়েশন পোর্টাল থেকেই ডিভাইসটি প্যাচ ডাউনলোড করতে পারে, AV ডেফিনিশন আপডেট করতে পারে, অথবা ম্যানুয়াল রিমিডিয়েশনের জন্য নির্দেশনা পেতে পারে। এখন, WPA3 এখানে কোথায় ফিট হয়? WPA3-Enterprise, বিশেষ করে 192-বিট মোডের সাথে, 802.1X-এর নিচের ক্রিপ্টোগ্রাফিক লেয়ারকে শক্তিশালী করে। এটি এনক্রিপশনের জন্য GCMP-256 এবং ইন্টিগ্রিটির জন্য HMAC-SHA-384 বাধ্যতামূলক করে, যা পেমেন্ট কার্ড ডেটা বা GDPR-এর অধীনে সংবেদনশীল ব্যক্তিগত ডেটা নিয়ে কাজ করা এনভায়রনমেন্টগুলোর জন্য বিশেষভাবে প্রাসঙ্গিক। আপনি যদি PCI DSS স্কোপের মধ্যে কোনো রিটেইল এনভায়রনমেন্ট, অথবা NHS ডেটা গভর্ন্যান্স রিকোয়ারমেন্টের অধীনে কোনো হেলথকেয়ার সুবিধা পরিচালনা করেন, তবে নতুন ডিপ্লয়মেন্টের জন্য WPA3-Enterprise আপনার রোডম্যাপে থাকা উচিত। চলুন এজেন্টলেস বনাম এজেন্ট-বেসড posture assessment নিয়ে কথা বলি, কারণ এটি একটি প্রকৃত আর্কিটেকচারাল ডিসিশন পয়েন্ট। এজেন্ট-বেসড অ্যাসেসমেন্ট — যেখানে এন্ডপয়েন্টে একটি লাইটওয়েট ক্লায়েন্ট রান করে — আপনাকে সবচেয়ে গভীর ভিসিবিলিটি দেয়। আপনি রেজিস্ট্রি কি, রানিং প্রসেস, ইনস্টল করা সফটওয়্যার এবং রিয়েল-টাইম সিকিউরিটি স্টেট কোয়েরি করতে পারেন। এর ট্রেড-অফ হলো ডিপ্লয়মেন্ট ওভারহেড: আপনার পুরো এস্টেট জুড়ে এজেন্ট পুশ এবং মেইনটেইন করার জন্য আপনার একটি MDM বা এন্ডপয়েন্ট ম্যানেজমেন্ট প্ল্যাটফর্ম প্রয়োজন। এজেন্টলেস অ্যাসেসমেন্ট নেটওয়ার্ক-বেসড ইন্টারোগেশন ব্যবহার করে — SNMP, নেটওয়ার্কের মাধ্যমে WMI, অথবা আপনার MDM প্ল্যাটফর্মে API কল। এটি ডিপ্লয় করা সহজ কিন্তু আপনাকে অগভীর ভিসিবিলিটি দেয় এবং ইভেশনের প্রতি বেশি সংবেদনশীল। একটি ম্যানেজড কর্পোরেট এস্টেটের জন্য, এজেন্ট-বেসড হলো সঠিক উত্তর। যেসব এনভায়রনমেন্টে আপনার ম্যানেজড এবং আনম্যানেজড ডিভাইসের মিশ্রণ রয়েছে — যেমন একটি কনফারেন্স সেন্টার বা হোটেলের ব্যাক-অফ-হাউস নেটওয়ার্ক — সেখানে একটি হাইব্রিড পদ্ধতি বেশি অর্থবহ। আরও একটি আর্কিটেকচারাল পয়েন্ট উল্লেখ করার মতো: কন্টিনিউয়াস posture assessment বনাম পয়েন্ট-ইন-টাইম। বেশিরভাগ লিগ্যাসি NAC ইমপ্লিমেন্টেশন শুধুমাত্র কানেকশনের সময় posture চেক করে। এটি একটি উল্লেখযোগ্য গ্যাপ। সকাল নয়টায় কানেক্ট করার সময় যে ডিভাইসটি কমপ্লায়েন্ট ছিল, সকাল এগারোটায় কোনো ব্যবহারকারী তার AV ডিজেবল করে দিতে পারে। মডার্ন NAC প্ল্যাটফর্মগুলো কন্টিনিউয়াস অ্যাসেসমেন্ট সাপোর্ট করে — নির্দিষ্ট বিরতিতে বা ইভেন্টের রেসপন্সে posture পুনরায় মূল্যায়ন করে — এবং রিকানেক্ট করার প্রয়োজন ছাড়াই ডায়নামিকভাবে ডিভাইসের নেটওয়ার্ক অ্যাক্সেস লেভেল পরিবর্তন করে। আপনার এই দিকেই অগ্রসর হওয়া উচিত। ঠিক আছে, চলুন প্র্যাকটিক্যাল বিষয়ে আসি। আপনি যখন NAC posture assessment ডিপ্লয় করছেন, তখন আমি সবচেয়ে সাধারণ যে ফেইলিওর মোডটি দেখি তা হলো সরাসরি এনফোর্সমেন্ট মোডে চলে যাওয়া। এটি করবেন না। মনিটর মোডে শুরু করুন — যাকে কখনো কখনো অডিট মোড বা ভিসিবিলিটি মোড বলা হয়। আপনার posture check রান করুন, ফলাফলগুলো লগ করুন, কিন্তু পলিসি এনফোর্স করবেন না। এটি কমপক্ষে দুই থেকে চার সপ্তাহ রান করুন। আপনি প্রায় নিশ্চিতভাবেই এমন ডিভাইস আবিষ্কার করবেন যেগুলো আপনার নেটওয়ার্কে আছে বলে আপনি জানতেন না, এবং আপনি আবিষ্কার করবেন যে আপনার পরিচিত ডিভাইসগুলোর একটি উল্লেখযোগ্য অংশ এক বা একাধিক posture check ফেইল করে। এনফোর্স করার আগে আপনার এস্টেট ঠিক করতে সেই ডেটা ব্যবহার করুন। দ্বিতীয় ত্রুটিটি হলো সার্টিফিকেট ইনফ্রাস্ট্রাকচার। EAP-TLS-এর সাথে এজেন্ট-বেসড posture assessment-এর জন্য একটি কার্যকর PKI প্রয়োজন। আপনার যদি এটি না থাকে, অথবা আপনার সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট যদি ম্যানুয়াল এবং অ্যাডহক হয়, তবে আপনার আউটেজ হবে। সার্টিফিকেটের মেয়াদ শেষ হয়। ডিভাইসগুলো সার্টিফিকেট ছাড়াই রিবিল্ড হয়। আপনার NAC ডিপ্লয়মেন্ট প্ল্যান করার আগে আপনার PKI প্ল্যান করুন। তৃতীয়: VLAN ডিজাইন। আপনার কোয়ারেন্টাইন VLAN-কে জেনুইনলি আইসোলেটেড হতে হবে — একই ফিজিক্যাল ইনফ্রাস্ট্রাকচারে শুধু একটি ভিন্ন সাবনেট হলে হবে না। এটিতে শুধুমাত্র আপনার রিমিডিয়েশন পোর্টাল এবং, যদি প্রয়োজন হয়, Windows Update বা আপনার প্যাচ ম্যানেজমেন্ট সার্ভারে অ্যাক্সেস থাকা উচিত। আপনার কোয়ারেন্টাইন VLAN-এর যদি প্রোডাকশন সিস্টেমে কোনো রাউট থাকে, তবে আপনি নিরাপত্তার একটি মিথ্যা ধারণা তৈরি করেছেন। চতুর্থ: এক্সেপশন এবং বাইপাস প্রক্রিয়া। প্রতিটি প্রতিষ্ঠানে এমন ডিভাইস থাকে যেগুলো এজেন্ট রান করতে পারে না — প্রিন্টার, IoT সেন্সর, বিল্ডিং ম্যানেজমেন্ট সিস্টেম। কম্পেনসেটিং কন্ট্রোল সহ এই ডিভাইসগুলোকে MAC authentication bypass দেওয়ার জন্য আপনার একটি ডকুমেন্টেড, অনুমোদিত প্রক্রিয়া প্রয়োজন। আপনি যদি এই প্রক্রিয়াটি আগে থেকে সংজ্ঞায়িত না করেন, তবে আপনি একটি ইনফরমাল হোয়াইটলিস্ট তৈরি করবেন যার কোনো মালিক থাকবে না এবং কেউ অডিট করবে না। স্ট্যান্ডার্ডের দৃষ্টিকোণ থেকে, আপনার অপারেটিং সিস্টেম প্ল্যাটফর্মগুলোর জন্য CIS বেঞ্চমার্কের সাথে আপনার posture পলিসি সামঞ্জস্যপূর্ণ করুন। এগুলো ভেন্ডর-নিউট্রাল, নিয়মিত আপডেট করা হয় এবং এন্টারপ্রাইজ এন্ডপয়েন্ট সিকিউরিটির বেসলাইন হিসেবে ব্যাপকভাবে গৃহীত। PCI DSS এনভায়রনমেন্টের জন্য, প্যাচ ম্যানেজমেন্টের ওপর রিকোয়ারমেন্ট 6.3 এবং অ্যান্টি-ম্যালওয়্যারের ওপর রিকোয়ারমেন্ট 5.3 সরাসরি আপনার posture check ক্যাটাগরিগুলোর সাথে ম্যাপ করে। এখন কয়েকটি র‍্যাপিড-ফায়ার প্রশ্নের পালা। NAC posture assessment কি BYOD ডিভাইসের জন্য কাজ করতে পারে? হ্যাঁ, তবে আপনার একটি আলাদা পলিসি ট্র্যাক প্রয়োজন। BYOD ডিভাইসগুলো সাধারণত একটি ভিন্ন EAP মেথডের মধ্য দিয়ে যায় — মেশিন সার্টিফিকেটের সাথে EAP-TLS-এর পরিবর্তে ইউজার ক্রেডেনশিয়ালের সাথে EAP-PEAP — এবং একটি বেশি রেস্ট্রিক্টেড নেটওয়ার্ক সেগমেন্ট পায়। BYOD-এর জন্য Posture check সাধারণত হালকা হয়: OS ভার্সন, বেসিক AV উপস্থিতি, স্ক্রিন লক এনাবল করা। এটি কীভাবে একটি গেস্ট WiFi নেটওয়ার্কের সাথে ইন্টারঅ্যাক্ট করে? এটি করে না, এবং করা উচিতও নয়। গেস্ট WiFi হলো সম্পূর্ণ আলাদা একটি SSID এবং নেটওয়ার্ক সেগমেন্ট, যা আপনার কর্পোরেট ইনফ্রাস্ট্রাকচার থেকে আইসোলেটেড। NAC posture assessment শুধুমাত্র আপনার কর্পোরেট SSID-এর ক্ষেত্রে প্রযোজ্য। এই দুটি নেটওয়ার্কের কখনোই কোনো VLAN শেয়ার করা বা একে অপরের সাথে রাউট করা উচিত নয়। একটি সম্পূর্ণ NAC ডিপ্লয়মেন্টের সাধারণ টাইমলাইন কী? একটি মাঝারি আকারের এন্টারপ্রাইজের জন্য — ধরুন, একাধিক সাইট জুড়ে পাঁচশ থেকে দুই হাজার এন্ডপয়েন্ট — ডিজাইন থেকে সম্পূর্ণ এনফোর্সমেন্ট পর্যন্ত বারো থেকে ষোলো সপ্তাহ সময় দিন। এর মধ্যে PKI সেটআপ, এজেন্ট ডিপ্লয়মেন্ট, মনিটর মোড, রিমিডিয়েশন এবং পর্যায়ক্রমিক এনফোর্সমেন্ট রোলআউট অন্তর্ভুক্ত রয়েছে। পরিশেষে: NAC posture assessment হলো সেই মেকানিজম যা নিশ্চিত করে যে আপনার নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল ফ্রেমওয়ার্কের কার্যকারিতা রয়েছে। শুধুমাত্র আইডেন্টিটি — কে কানেক্ট করছে তা জানা — যথেষ্ট নয়। আপনার ডিভাইসের সিকিউরিটি স্টেট জানতে হবে, পলিসির বিপরীতে তা ভ্যালিডেট করতে হবে এবং নন-কমপ্লায়েন্সের জন্য পরিণতি এনফোর্স করতে হবে। এর আর্কিটেকচারটি 802.1X, RADIUS এবং EAP-TLS-এর চারপাশে ম্যাচিওর এবং সু-মানসম্মত। ইমপ্লিমেন্টেশনের চ্যালেঞ্জগুলো বাস্তব কিন্তু আপনি যদি একটি পর্যায়ক্রমিক পদ্ধতি অনুসরণ করেন তবে তা ম্যানেজ করা সম্ভব। আপনার তাৎক্ষণিক পরবর্তী পদক্ষেপগুলো: আপনার বিদ্যমান MDM বা এন্ডপয়েন্ট ম্যানেজমেন্ট টুলিং ব্যবহার করে posture কমপ্লায়েন্সের জন্য আপনার বর্তমান এন্ডপয়েন্ট এস্টেট অডিট করুন। আপনার PKI রেডিনেস মূল্যায়ন করুন। কমপ্লায়েন্ট, কন্ডিশনাল এবং কোয়ারেন্টাইন সেগমেন্টের জন্য আপনার VLAN আর্কিটেকচার ডিজাইন করুন। এবং এনফোর্সমেন্টে হাত দেওয়ার আগে একটি মনিটর-মোড ডিপ্লয়মেন্ট প্ল্যান করুন। মিক্সড এনভায়রনমেন্ট রান করা প্রতিষ্ঠানগুলোর জন্য — গেস্ট বা পাবলিক WiFi-এর পাশাপাশি কর্পোরেট ব্যাক-অফ-হাউস — Purple-এর মতো প্ল্যাটফর্মগুলো গেস্ট-সাইড নেটওয়ার্ক ইন্টেলিজেন্স এবং অ্যানালিটিক্স প্রদান করে যা আপনার কর্পোরেট NAC ডিপ্লয়মেন্টের পরিপূরক হিসেবে কাজ করে, এই দুটি জগতকে পরিষ্কারভাবে আলাদা রাখার পাশাপাশি আপনাকে উভয়ের ওপর সম্পূর্ণ ভিসিবিলিটি দেয়। শোনার জন্য ধন্যবাদ। আর্কিটেকচার ডায়াগ্রাম, ওয়ার্কড এক্সাম্পল এবং কনফিগারেশন রেফারেন্সের জন্য Purple প্ল্যাটফর্মে সম্পূর্ণ লিখিত গাইডটি এক্সপ্লোর করুন।