নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের জন্য ডিভাইস পোসচার অ্যাসেসমেন্ট

নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের জন্য ডিভাইস পোসচার অ্যাসেসমেন্ট। একটি Purple টেকনিক্যাল ব্রিফিং। স্বাগতম। আমি আজকের ব্রিফিংয়ের জন্য আপনাদের হোস্ট, এবং আপনি যদি এটি শুনছেন, তবে আপনি সম্ভবত একজন আইটি সিকিউরিটি আর্কিটেক্ট, একজন নেটওয়ার্ক ইঞ্জিনিয়ার, বা একজন CTO যাকে আপনার সংস্থা জুড়ে নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল আরও কঠোর করতে বলা হয়েছে। আপনি হয়তো একটি হোটেল এস্টেট, একটি রিটেইল চেইন, একটি কনফারেন্স সেন্টার, বা একটি পাবলিক-সেক্টর সুবিধা পরিচালনা করছেন — এবং আপনি এমন একটি পর্যায়ে পৌঁছেছেন যেখানে আপনার নেটওয়ার্কে কে সংযুক্ত হচ্ছে তা কেবল চেক করাই আর যথেষ্ট নয়। আপনাকে জানতে হবে কী সংযুক্ত হচ্ছে, এবং সেই ডিভাইসটি বিশ্বাস করার মতো উপযুক্ত অবস্থায় আছে কি না। আজ আমরা ঠিক এটাই কভার করতে যাচ্ছি। নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের জন্য ডিভাইস পোসচার অ্যাসেসমেন্ট — এটি কী, এটি প্রযুক্তিগত স্তরে কীভাবে কাজ করে, কীভাবে আপনি এটিকে আপনার বিদ্যমান RADIUS পরিকাঠামো এবং MDM প্ল্যাটফর্মগুলোর সাথে একীভূত করবেন এবং সবচেয়ে গুরুত্বপূর্ণভাবে, যে ডিভাইসগুলো চেক ব্যর্থ হয় সেগুলোর ক্ষেত্রে আপনি কী করবেন। চলুন শুরু করা যাক। সেকশন এক। প্রেক্ষাপট এবং কেন পোসচার অ্যাসেসমেন্ট এখন গুরুত্বপূর্ণ। গত এক দশক ধরে, বেশিরভাগ এন্টারপ্রাইজ WiFi ডিপ্লয়মেন্ট আইডেন্টিটি-ভিত্তিক অ্যাক্সেস কন্ট্রোলের ওপর নির্ভর করে আসছে। আপনি ব্যবহারকারীকে প্রমাণীকরণ করেন — 802.1X, একটি Captive Portal, বা একটি প্রি-শেয়ার্ড কী-এর মাধ্যমে — এবং যদি ক্রেডেনশিয়ালগুলো সঠিক হয়, তবে আপনি অ্যাক্সেস প্রদান করেন। সমস্যা হলো যে শুধুমাত্র পরিচয় যাচাইকরণ ডিভাইসের নিজস্ব সুরক্ষা অবস্থা সম্পর্কে আপনাকে কিছুই বলে না। একটি বৈধ ইউজারনেম এবং পাসওয়ার্ড এমন একটি ল্যাপটপে প্রবেশ করানো যেতে পারে যা কোনো অ্যান্টিভাইরাস ছাড়াই তিন বছরের পুরোনো আনপ্যাচড অপারেটিং সিস্টেমে চলছে, এবং আপনার কর্পোরেট VLAN-এর সাথে সংযুক্ত। সেই ডিভাইসটি আপনার নেটওয়ার্ক স্পর্শ করার মুহূর্তেই একটি দায়বদ্ধতা (liability) হয়ে দাঁড়ায়। জিরো ট্রাস্ট আর্কিটেকচারের দিকে পরিবর্তন এই হিসাবটিকে মৌলিকভাবে বদলে দিয়েছে। জিরো ট্রাস্ট এই নীতির ওপর কাজ করে যে কখনোই বিশ্বাস করবেন না, সর্বদা যাচাই করুন — এবং সেই যাচাইকরণ অবশ্যই পরিচয়ের বাইরে গিয়ে ডিভাইসের স্বাস্থ্যকে অন্তর্ভুক্ত করতে হবে। এখানেই ডিভাইস পোসচার অ্যাসেসমেন্ট দৃশ্যপটে আসে। পোসচার অ্যাসেসমেন্ট প্রমাণীকরণের সময় এন্ডপয়েন্টকে জিজ্ঞাসাবাদ করে, স্বাস্থ্য মানদণ্ডের একটি সংজ্ঞায়িত সেট চেক করে এবং সেই ফলাফলটিকে অ্যাক্সেস কন্ট্রোল সিদ্ধান্তে যুক্ত করে। এর ফলাফল হলো পোসচার-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস — এমন একটি মডেল যেখানে আপনি নেটওয়ার্কে কী করতে পারবেন তা কেবল আপনি কে তার দ্বারাই নির্ধারিত হয় না, বরং আপনি যে ডিভাইসটি ব্যবহার করছেন তার সুরক্ষা অবস্থার দ্বারাও নির্ধারিত হয়। কমপ্লায়েন্সের দৃষ্টিকোণ থেকে, এটি অত্যন্ত গুরুত্বপূর্ণ। PCI DSS সংস্করণ চার পয়েন্ট শূন্য স্পষ্টভাবে দাবি করে যে সংস্থাগুলো নিয়ন্ত্রণ করবে কোন ডিভাইসগুলো কার্ডহোল্ডার ডেটা পরিবেশ অ্যাক্সেস করতে পারবে। GDPR-এর জবাবদিহিতা নীতি দাবি করে যে সংস্থাগুলো ব্যক্তিগত ডেটা সুরক্ষিত করার জন্য উপযুক্ত প্রযুক্তিগত ব্যবস্থা বাস্তবায়ন করবে — এবং ব্যক্তিগত ডেটা বহনকারী নেটওয়ার্কগুলোতে আনপ্যাচড, আনম্যানেজড ডিভাইসগুলোকে অনুমতি দেওয়া একটি অডিটে সমর্থন করা ক্রমশ কঠিন হয়ে উঠছে। স্বাস্থ্যসেবা পরিবেশের জন্য, NHS সাইবার এসেনশিয়াল প্রয়োজনীয়তা এবং মার্কিন প্রেক্ষাপটে HIPAA-এর অধীনে একই যুক্তি প্রযোজ্য। সেকশন দুই। টেকনিক্যাল ডিপ-ডাইভ — পোসচার অ্যাসেসমেন্ট আসলে কীভাবে কাজ করে। আমি আপনাদের মেকানিক্সের মধ্য দিয়ে নিয়ে যাচ্ছি। এর মূলে, ডিভাইস পোসচার অ্যাসেসমেন্ট হলো এমন একটি প্রক্রিয়া যা প্রমাণীকরণ হ্যান্ডশেকের সময় বা তার পরপরই চলে, সম্পূর্ণ নেটওয়ার্ক অ্যাক্সেস দেওয়ার আগে। এখানে তিনটি প্রাথমিক আর্কিটেকচারাল মডেল রয়েছে যা আপনি দেখতে পাবেন। প্রথমটি হলো এজেন্ট-ভিত্তিক পোসচার অ্যাসেসমেন্ট। একটি লাইটওয়েট সফটওয়্যার এজেন্ট — যা এন্ডপয়েন্টে ইনস্টল করা থাকে, প্রায়শই আপনার MDM বা এন্ডপয়েন্ট ডিটেকশন এবং রেসপন্স প্ল্যাটফর্মের অংশ হিসেবে — স্বাস্থ্য টেলিমেট্রি সংগ্রহ করে এবং এটি NAC পলিসি ইঞ্জিনের কাছে উপস্থাপন করে। এটি সবচেয়ে ব্যাপক পদ্ধতি। এজেন্ট OS সংস্করণ, কিউমুলেটিভ প্যাচ লেভেল, অ্যান্টিভাইরাস সিগনেচারের বর্তমান অবস্থা, ফায়ারওয়াল স্টেট, ডিস্ক এনক্রিপশন স্ট্যাটাস, নির্দিষ্ট নিষিদ্ধ অ্যাপ্লিকেশনগুলো চলছে কি না এবং ডিভাইসটি আপনার MDM-এ এনরোল করা আছে কি না তা চেক করতে পারে। এজেন্ট এই ডেটা RADIUS সার্ভার বা একটি ডেডিকেটেড পলিসি ইঞ্জিনে RADIUS CoA — চেঞ্জ অফ অথরাইজেশন — এর মতো প্রোটোকল বা ভেন্ডর-নির্দিষ্ট API ইন্টিগ্রেশনের মাধ্যমে প্রেরণ করে। দ্বিতীয় মডেলটি হলো এজেন্টলেস পোসচার অ্যাসেসমেন্ট। এখানে, NAC সিস্টেম স্থানীয় এজেন্ট ছাড়াই ডিভাইসের স্বাস্থ্য অনুমান করার চেষ্টা করে, সাধারণত সরাসরি আপনার MDM প্ল্যাটফর্মে কোয়েরি করে। যখন কোনো ডিভাইস সংযোগ করে এবং প্রমাণীকরণ করে, তখন পলিসি ইঞ্জিন API-এর মাধ্যমে Microsoft Intune, Jamf, বা VMware Workspace ONE-এ কল করে, ডিভাইসের কমপ্লায়েন্স রেকর্ড পুনরুদ্ধার করে এবং সেটিকে পোসচার সিগন্যাল হিসেবে ব্যবহার করে। এটি পরিচালিত কর্পোরেট ডিভাইসগুলোর জন্য ভালো কাজ করে যেগুলো আগে থেকেই MDM-এ এনরোল করা আছে। এর সীমাবদ্ধতা স্পষ্ট — আনম্যানেজড বা BYOD ডিভাইসগুলোর কোনো MDM রেকর্ড থাকবে না, তাই সেগুলোর জন্য আপনার একটি ফলব্যাক পলিসি প্রয়োজন। তৃতীয় মডেলটি হলো নেটওয়ার্ক-ভিত্তিক অ্যাসেসমেন্ট। NAC সিস্টেম SNMP কোয়েরি, নেটওয়ার্কের মাধ্যমে WMI কল, বা ট্রাফিক প্যাটার্নের প্যাসিভ ফিঙ্গারপ্রিন্টিংয়ের মতো কৌশলগুলো ব্যবহার করে সংযোগকারী ডিভাইস স্ক্যান করে। এটি সবচেয়ে কম নির্ভরযোগ্য পদ্ধতি এবং সাধারণত শুধুমাত্র একটি পরিপূরক চেক হিসেবে বা লিগ্যাসি পরিবেশের জন্য ব্যবহৃত হয় যেখানে এজেন্ট ডিপ্লয়মেন্ট সম্ভব নয়। এখন, আসুন বিশেষভাবে RADIUS এবং 802.1X-এর সাথে ইন্টিগ্রেশন নিয়ে কথা বলি, কারণ এখানেই আর্কিটেকচারটি আকর্ষণীয় হয়ে ওঠে। একটি স্ট্যান্ডার্ড 802.1X ডিপ্লয়মেন্টে, সাপ্লিক্যান্ট — অর্থাৎ ডিভাইস — অথেনটিকেটরের কাছে ক্রেডেনশিয়াল উপস্থাপন করে, যা হলো আপনার ওয়্যারলেস অ্যাক্সেস পয়েন্ট বা সুইচ, যা প্রমাণীকরণের অনুরোধটি RADIUS সার্ভারে ফরোয়ার্ড করে। RADIUS সার্ভার ক্রেডেনশিয়ালগুলো যাচাই করে এবং একটি Access-Accept বা Access-Reject ফেরত দেয়। একটি পোসচার-সচেতন ডিপ্লয়মেন্টে, আপনি এই ফ্লোটি প্রসারিত করেন। প্রাথমিক প্রমাণীকরণ সফল হওয়ার পর, RADIUS সার্ভার — বা একটি কো-লোকেটেড পলিসি ইঞ্জিন যেমন Cisco ISE, Aruba ClearPass, বা Forescout — একটি পোসচার মূল্যায়ন ট্রিগার করে। অ্যাসেসমেন্ট চলাকালীন ডিভাইসটিকে প্রাথমিকভাবে একটি সীমাবদ্ধ VLAN-এ রাখা হয় — যাকে কখনো কখনো পোসচার VLAN বা কোয়ারেন্টাইন VLAN বলা হয়। যদি ডিভাইসটি সমস্ত পোসচার চেক পাস করে, তবে অ্যাক্সেস পয়েন্টে একটি RADIUS Change of Authorization মেসেজ পাঠানো হয়, যা ডিভাইসটিকে উপযুক্ত প্রোডাকশন VLAN-এ সরিয়ে নেয়। যদি এটি ব্যর্থ হয়, তবে এটি সীমাবদ্ধ VLAN-এ থেকে যায় এবং একটি রেমিডিয়েশন পোর্টালে নির্দেশিত হয়। এখানে EAP পদ্ধতিটি গুরুত্বপূর্ণ। EAP-TLS, যা মিউচুয়াল সার্টিফিকেট প্রমাণীকরণ ব্যবহার করে, কর্পোরেট ডিভাইস অ্যাক্সেসের জন্য গোল্ড স্ট্যান্ডার্ড কারণ এটি RADIUS সার্ভারকে কেবল ব্যবহারকারী নয় বরং ডিভাইস সার্টিফিকেট যাচাই করার অনুমতি দেয় — নিশ্চিত করে যে এটি একটি পরিচিত, পরিচালিত এন্ডপয়েন্ট। EAP-PEAP বা EAP-TTLS এর সাথে MSCHAPv2 ব্যবহারকারী-ক্রেডেনশিয়াল-ভিত্তিক প্রমাণীকরণের জন্য সাধারণ কিন্তু এগুলো নিজে থেকে কম ডিভাইস-স্তরের নিশ্চয়তা প্রদান করে। পোসচার অ্যাসেসমেন্টকে সত্যিই শক্তিশালী করতে, আপনি MDM কমপ্লায়েন্স চেকিংয়ের সাথে EAP-TLS চাইবেন — সেই সংমিশ্রণটি আপনাকে ক্রিপ্টোগ্রাফিক ডিভাইসের পরিচয় এবং একটি রিয়েল-টাইম স্বাস্থ্য সিগন্যাল উভয়ই দেয়। একটি পোসচার চেক সাধারণত কোন নির্দিষ্ট অ্যাট্রিবিউটগুলো মূল্যায়ন করে? বেশিরভাগ এন্টারপ্রাইজ ডিপ্লয়মেন্টের মূল চেকলিস্ট কভার করে: অপারেটিং সিস্টেম সংস্করণ এবং বিল্ড নম্বর — ডিভাইসটি কি একটি সমর্থিত OS রিলিজ চালাচ্ছে? প্যাচ লেভেল — ক্রিটিক্যাল এবং হাই-সিভিয়ারিটি প্যাচগুলো কি একটি সংজ্ঞায়িত উইন্ডোর মধ্যে, সাধারণত ৩০ দিনের মধ্যে প্রয়োগ করা হয়েছে? অ্যান্টিভাইরাস বা এন্ডপয়েন্ট ডিটেকশন এবং রেসপন্স স্ট্যাটাস — একটি স্বীকৃত সিকিউরিটি প্রোডাক্ট কি ইনস্টল করা আছে, চলছে এবং আপ-টু-ডেট সিগনেচার ব্যবহার করছে? হোস্ট-ভিত্তিক ফায়ারওয়াল — এটি কি সক্রিয়? ডিস্ক এনক্রিপশন — BitLocker বা FileVault কি সক্রিয়? MDM এনরোলমেন্ট — ডিভাইসটি কি আপনার ম্যানেজমেন্ট প্ল্যাটফর্মে নিবন্ধিত? এবং ক্রমবর্ধমানভাবে, সংস্থাগুলো নিষিদ্ধ সফটওয়্যারের জন্য চেক যোগ করছে — কোনো পরিচিত-দুর্বল অ্যাপ্লিকেশন কি উপস্থিত আছে? — এবং সার্টিফিকেটের বৈধতার জন্য। সেকশন তিন। ইমপ্লিমেন্টেশন সুপারিশ এবং সাধারণ ত্রুটিগুলো। হসপিটালিটি, রিটেইল এবং পাবলিক-সেক্টর পরিবেশ জুড়ে এই সিস্টেমগুলো ডিপ্লয় করার ব্যবহারিক দিকনির্দেশনা আমি আপনাদের দিচ্ছি। প্রথমত, এনফোর্সমেন্টের আগে ভিজিবিলিটি দিয়ে শুরু করুন। আপনি পোসচার চেকগুলোকে ব্লকিং মোডে রাখার আগে, সেগুলোকে কমপক্ষে চার সপ্তাহের জন্য শুধুমাত্র-মনিটর মোডে চালান। এটি আপনাকে আপনার প্রকৃত ডিভাইস এস্টেট কেমন তা সম্পর্কে একটি বেসলাইন দেয় — কত শতাংশ ডিভাইস নন-কমপ্লায়েন্ট, কোন পোসচার অ্যাট্রিবিউটগুলো সবচেয়ে ঘন ঘন ব্যর্থ হচ্ছে এবং আপনার পলিসি থ্রেশহোল্ডগুলো সঠিকভাবে ক্যালিব্রেট করা হয়েছে কি না। এই বেসলাইন ছাড়া সরাসরি এনফোর্সমেন্টে যাওয়া সবচেয়ে সাধারণ ভুল, এবং এর ফলে প্রথম দিনেই হেল্পডেস্ক টিকিট এবং হতাশ ব্যবহারকারীদের ঢেউ দেখা দেয়। দ্বিতীয়ত, আপনি পোসচার পলিসি কনফিগার করার আগে আপনার VLAN সেগমেন্টেশন ডিজাইন করুন। আপনার ন্যূনতম তিনটি নেটওয়ার্ক সেগমেন্ট প্রয়োজন: কমপ্লায়েন্ট পরিচালিত ডিভাইসগুলোর জন্য একটি ফুল-অ্যাক্সেস কর্পোরেট VLAN, ইন্টারনেট অ্যাক্সেস এবং আপনার প্যাচ ম্যানেজমেন্ট ও MDM পরিকাঠামোতে অ্যাক্সেসসহ একটি রেমিডিয়েশন VLAN কিন্তু অন্য কিছু নয়, এবং আনম্যানেজড ব্যক্তিগত ডিভাইসগুলোর জন্য একটি গেস্ট VLAN। কিছু সংস্থা একটি চতুর্থ যোগ করে — পরিচালিত ডিভাইসগুলোর জন্য একটি সীমাবদ্ধ কর্পোরেট VLAN যেগুলো পোসচার ব্যর্থ হয় কিন্তু রেমিডিয়েট করার সময় নির্দিষ্ট রিসোর্সগুলোতে সীমিত অ্যাক্সেসের প্রয়োজন হয়। আপনি একটি পলিসি রুল লেখার আগে এই VLAN-গুলোকে আপনার পোসচার ফলাফলের সাথে ম্যাপ করুন। তৃতীয়ত, BYOD এবং গেস্ট ডিভাইসের সমস্যাটি স্পষ্টভাবে পরিচালনা করুন। বিশেষ করে হসপিটালিটি পরিবেশে — এবং এটি হোটেল, কনফারেন্স সেন্টার এবং রিটেইল স্টাফ রেস্ট এরিয়াগুলোর ক্ষেত্রেও সমানভাবে প্রযোজ্য — আপনার কাছে ব্যক্তিগত ডিভাইসের একটি উল্লেখযোগ্য জনসংখ্যা থাকবে যেগুলো কখনোই MDM-এনরোল করা হবে না। আপনার পোসচার পলিসিতে এই ডিভাইসগুলোর জন্য একটি সংজ্ঞায়িত পথ থাকতে হবে। সাধারণ পদ্ধতি হলো নন-এনরোল করা ডিভাইসগুলোকে সরাসরি ব্লক করার পরিবর্তে উপযুক্ত ব্যান্ডউইথ কন্ট্রোল এবং কনটেন্ট ফিল্টারিং সহ স্বয়ংক্রিয়ভাবে একটি গেস্ট VLAN-এ রাউট করা। একটি হোটেল বা কনফারেন্স পরিবেশে ব্যক্তিগত ডিভাইসগুলো ব্লক করা একটি তাৎক্ষণিক অপারেশনাল সমস্যা তৈরি করে যা আপনার সিকিউরিটি টিমের আগে আপনার ফ্রন্ট-অফ-হাউস টিম অনুভব করবে। চতুর্থত, বাস্তবসম্মত রেমিডিয়েশন টাইমআউট সেট করুন। যখন কোনো ডিভাইস পোসচার ব্যর্থ হয় এবং রেমিডিয়েশন VLAN-এ রাখা হয়, তখন আপনাকে সংজ্ঞায়িত করতে হবে যে কোয়ারেন্টাইন বা ব্লক হওয়ার আগে এটি স্ব-রেমিডিয়েট করার জন্য কত সময় পাবে। প্যাচ-সম্পর্কিত ব্যর্থতার জন্য, একটি পরিচালিত কর্পোরেট ডিভাইসের জন্য ২৪ থেকে ৪৮ ঘণ্টা একটি যুক্তিসঙ্গত উইন্ডো — ডিভাইসটির আপডেটগুলো টানার জন্য যথেষ্ট দীর্ঘ, চাপ বজায় রাখার জন্য যথেষ্ট ছোট। অ্যান্টিভাইরাস ব্যর্থতার জন্য, উইন্ডোটি ছোট হওয়া উচিত — চার থেকে আট ঘণ্টা — কারণ কোনো সক্রিয় এন্ডপয়েন্ট প্রোটেকশন ছাড়া একটি ডিভাইস আরও তাৎক্ষণিক ঝুঁকি। পঞ্চমত, আপনার Change of Authorization ফ্লো পুঙ্খানুপুঙ্খভাবে পরীক্ষা করুন। CoA হলো সেই মেকানিজম যা পোসচার পাস করার পর একটি ডিভাইসকে রেমিডিয়েশন VLAN থেকে প্রোডাকশন VLAN-এ সরিয়ে নেয়। এটি সেই মেকানিজমও যা একটি পর্যায়ক্রমিক রি-চেক ব্যর্থ হলে একটি ডিভাইসকে কোয়ারেন্টাইনে ফিরিয়ে নিতে পারে। CoA ব্যর্থতা — যেখানে RADIUS সার্ভার CoA মেসেজ পাঠায় কিন্তু অ্যাক্সেস পয়েন্ট সে অনুযায়ী কাজ করে না — ব্যবহারকারীর অভিযোগের একটি সাধারণ উৎস। প্রোডাকশন ডিপ্লয়মেন্টের আগে আপনার ল্যাবে এটি এন্ড-টু-এন্ড পরীক্ষা করুন এবং ডিপ্লয়মেন্টের পরে আপনার RADIUS লগগুলোতে CoA সাফল্যের হার মনিটর করুন। এখন, বড় ভেন্যু পরিবেশের জন্য নির্দিষ্ট ত্রুটিগুলো সম্পর্কে একটি কথা। হাজার হাজার সমসাময়িক সংযোগসহ একটি স্টেডিয়াম বা কনফারেন্স সেন্টারে, পোসচার অ্যাসেসমেন্ট প্রমাণীকরণ ফ্লোতে লেটেন্সি যোগ করে। এজেন্ট-ভিত্তিক চেকগুলোর জন্য এজেন্টকে টেলিমেট্রি সংগ্রহ করতে এবং রিপোর্ট করতে হয় যা সংযোগের সময় দুই থেকে পাঁচ সেকেন্ড যোগ করতে পারে। স্কেলে, এটি লক্ষণীয়। পোসচার ফলাফলগুলো প্রি-ক্যাশ করে অপ্টিমাইজ করুন — বেশিরভাগ পলিসি ইঞ্জিন আপনাকে একটি নির্দিষ্ট সময়ের জন্য, সাধারণত এক থেকে চার ঘণ্টার জন্য ডিভাইসের পোসচার ফলাফল ক্যাশ করার অনুমতি দেয়, যাতে রি-অথেনটিকেশন প্রতিবার সম্পূর্ণ রি-অ্যাসেসমেন্ট ট্রিগার না করে। হাই-ডেনসিটি পরিবেশের জন্য এটি একটি গুরুত্বপূর্ণ পারফরম্যান্স অপ্টিমাইজেশন। সেকশন চার। র‍্যাপিড-ফায়ার প্রশ্ন। প্রশ্ন: আমি কি প্রতিটি ডিভাইসে এজেন্ট ডিপ্লয় না করেই পোসচার অ্যাসেসমেন্ট করতে পারি? হ্যাঁ, এনরোল করা ডিভাইসগুলোর জন্য MDM API ইন্টিগ্রেশনের মাধ্যমে এবং অন্যদের জন্য নেটওয়ার্ক-ভিত্তিক ফিঙ্গারপ্রিন্টিংয়ের মাধ্যমে, তবে আপনার কভারেজ এবং নির্ভুলতা এজেন্টগুলোর তুলনায় কম হবে। একটি মিশ্র পরিবেশের জন্য, একটি হাইব্রিড পদ্ধতি — কর্পোরেট ডিভাইসগুলোতে এজেন্ট, এনরোল করা BYOD-এর জন্য MDM API, ফলব্যাক হিসেবে নেটওয়ার্ক ফিঙ্গারপ্রিন্টিং — হলো বাস্তবসম্মত উত্তর। প্রশ্ন: পোসচার অ্যাসেসমেন্ট কি WPA3-এর সাথে কাজ করে? হ্যাঁ। WPA3 Enterprise WPA2 Enterprise-এর মতোই 802.1X প্রমাণীকরণ ফ্রেমওয়ার্ক ব্যবহার করে, তাই পোসচার অ্যাসেসমেন্ট একইভাবে একীভূত হয়। WPA3-এর শক্তিশালী PMF — Protected Management Frames — এবং SAE প্রমাণীকরণ আসলে প্রমাণীকরণ স্তরটিকে আরও কঠোর করে পোসচার চেকিংয়ের পরিপূরক হিসেবে কাজ করে যার ওপর পোসচার বসে থাকে। প্রশ্ন: পোসচার অ্যাসেসমেন্ট এবং NAC-এর মধ্যে পার্থক্য কী? NAC — Network Access Control — হলো কোন ডিভাইসগুলো কোন নেটওয়ার্ক রিসোর্সগুলো অ্যাক্সেস করতে পারবে তা নিয়ন্ত্রণ করার বৃহত্তর ফ্রেমওয়ার্ক। পোসচার অ্যাসেসমেন্ট হলো NAC সিদ্ধান্তের একটি ইনপুট, বিশেষ করে ডিভাইসের স্বাস্থ্য সিগন্যাল। আপনি পোসচার অ্যাসেসমেন্ট ছাড়াই NAC পেতে পারেন — উদাহরণস্বরূপ, শুধুমাত্র-পরিচয় অ্যাক্সেস কন্ট্রোল — কিন্তু ফলাফলগুলো প্রয়োগ করার জন্য একটি NAC ফ্রেমওয়ার্ক ছাড়া আপনি পোসচার-ভিত্তিক অ্যাক্সেস কন্ট্রোল পেতে পারেন না। প্রশ্ন: এটি Purple-এর মতো একটি প্ল্যাটফর্মের সাথে কীভাবে একীভূত হয়? Purple-এর প্ল্যাটফর্ম WiFi স্তরে ডিভাইসের পরিচয় এবং অ্যাক্সেস পলিসিগুলো পরিচালনা করে। পোসচার অ্যাসেসমেন্ট হলো নিয়ন্ত্রণের পরবর্তী স্তর — এটি ডিভাইসের স্বাস্থ্য ডেটা দিয়ে অ্যাক্সেস সিদ্ধান্তকে সমৃদ্ধ করে। সুরক্ষা-সচেতন অপারেটরদের জন্য, আপনার MDM থেকে Purple-এর পলিসি ইঞ্জিনে পোসচার সিগন্যালগুলো একীভূত করা আপনাকে পরিচয় এবং ডিভাইসের কমপ্লায়েন্স অবস্থা উভয়ের ওপর ভিত্তি করে ডিফারেনশিয়েটেড অ্যাক্সেস প্রয়োগ করার অনুমতি দেয়। সেকশন পাঁচ। সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ। আজকের ব্রিফিং থেকে মূল পয়েন্টগুলো সারসংক্ষেপ করতে। ডিভাইস পোসচার অ্যাসেসমেন্ট হলো প্রমাণীকরণের সময় এন্ডপয়েন্টের স্বাস্থ্য — OS সংস্করণ, প্যাচ লেভেল, অ্যান্টিভাইরাস স্ট্যাটাস, MDM এনরোলমেন্ট — মূল্যায়ন করার এবং নেটওয়ার্ক অ্যাক্সেসের অধিকার নির্ধারণ করতে সেই স্বাস্থ্য সিগন্যাল ব্যবহার করার অনুশীলন। আর্কিটেকচারটি একটি পোসচার-ভিত্তিক অ্যাক্সেস কন্ট্রোল সিস্টেম তৈরি করতে 802.1X প্রমাণীকরণ, একটি RADIUS পলিসি ইঞ্জিন, MDM API ইন্টিগ্রেশন এবং VLAN সেগমেন্টেশনকে একত্রিত করে। তিনটি পোসচার ফলাফল — ফুল অ্যাক্সেস, রেমিডিয়েশন VLAN এবং কোয়ারেন্টাইন — এনফোর্সমেন্ট চালু করার আগে অবশ্যই ডিজাইন এবং পরীক্ষা করতে হবে। মনিটর মোড দিয়ে শুরু করুন, আপনার বেসলাইন তৈরি করুন, তারপর এনফোর্সমেন্টে যান। আপনি যদি একটি মসৃণ রোলআউট চান তবে এটি ঐচ্ছিক নয়। ভেন্যু অপারেটরদের জন্য, BYOD এবং গেস্ট ডিভাইসের জনসংখ্যার জন্য স্পষ্ট পলিসি পরিচালনা প্রয়োজন — ব্লক করার পরিবর্তে একটি গেস্ট VLAN-এ রাউট করা হলো অপারেশনালভাবে সঠিক ডিফল্ট। আপনার তাৎক্ষণিক পরবর্তী পদক্ষেপগুলো: আপনার বর্তমান VLAN আর্কিটেকচার অডিট করুন এবং নিশ্চিত করুন যে আপনার কাছে পোসচার-ভিত্তিক রাউটিংয়ের জন্য প্রয়োজনীয় সেগমেন্টগুলো রয়েছে। পোসচার ডেটা এক্সপোর্টের জন্য আপনার MDM প্ল্যাটফর্মের API সক্ষমতাগুলো মূল্যায়ন করুন। আপনার RADIUS সার্ভার বা NAC প্ল্যাটফর্মের পোসচার পলিসি সক্ষমতাগুলো পর্যালোচনা করুন। এবং যদি আপনি শুরু থেকে শুরু করেন, তবে একটি পর্যায়ক্রমিক পদ্ধতি বিবেচনা করুন — প্রথমে 802.1X ডিপ্লয় করুন, মনিটর মোডে পোসচার চেকিং যোগ করুন, তারপর ৯০ দিনের উইন্ডোতে এনফোর্সমেন্টে যান। শোনার জন্য ধন্যবাদ। 802.1X প্রমাণীকরণ আর্কিটেকচার এবং জিরো ট্রাস্ট WiFi ডিপ্লয়মেন্ট সম্পর্কে আরও জানতে, Purple গাইড লাইব্রেরি ভিজিট করুন। আপনি যদি আপনার ভেন্যু নেটওয়ার্কের জন্য পোসচার-ভিত্তিক অ্যাক্সেস কন্ট্রোল মূল্যায়ন করছেন, তবে Purple টিম আপনাকে একটি ডিপ্লয়মেন্ট অ্যাসেসমেন্টের মধ্য দিয়ে নিয়ে যেতে পারে। পরবর্তী সময় পর্যন্ত।