মূল কন্টেন্টে যান
বাংলা

রিটেইল WiFi নেটওয়ার্কের জন্য PCI DSS কমপ্লায়েন্স

এই টেকনিক্যাল রেফারেন্স গাইডটিতে PCI DSS v4.0 এর প্রয়োজনীয়তাগুলো বিস্তারিতভাবে আলোচনা করা হয়েছে যা বিশেষভাবে রিটেইল WiFi নেটওয়ার্কের ক্ষেত্রে প্রযোজ্য। এর মধ্যে নেটওয়ার্ক সেগমেন্টেশন আর্কিটেকচার, এনক্রিপশন স্ট্যান্ডার্ড, অথেন্টিকেশন কন্ট্রোল এবং অডিট ট্রেইল সংক্রান্ত প্রয়োজনীয়তাগুলো অন্তর্ভুক্ত রয়েছে। এটি আইটি ম্যানেজার এবং নেটওয়ার্ক আর্কিটেক্টদের জন্য কার্যকরী বাস্তবায়ন নির্দেশিকা প্রদান করে, যাদের পেমেন্ট ডেটা সুরক্ষিত রাখার পাশাপাশি আলাদা গেস্ট এবং কর্পোরেট ওয়্যারলেস অ্যাক্সেস নিরাপদে প্রদান করতে হবে।

লিখেছেন Iain Jewittপ্রকাশিত
📖 10 মিনিট পাঠ2,270 শব্দ2 সমাধানকৃত উদাহরণ3 অনুশীলনী প্রশ্ন10 মূল সংজ্ঞা

Video overview

এই গাইডটি শুনুন

পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
Purple Technical Briefing-এ আপনাকে স্বাগত। আমি আপনার উপস্থাপক, এবং আজ আমরা এমন একটি বিষয় আলোচনা করছি যা প্রতি বছর PCI DSS মূল্যায়নের সময় একটি আশ্চর্যজনক সংখ্যক IT টিমকে সমস্যায় ফেলে দেয়: রিটেল এবং হসপিটালিটি পরিবেশের জন্য ওয়্যারলেস নেটওয়ার্কের কমপ্লায়েন্স। আমার সাথে যোগ দিচ্ছেন আমাদের Senior Technical Content Strategist। আপনাকে স্বাগত। Strategist: আমাকে ডাকার জন্য ধন্যবাদ। এটি এমন একটি বিষয় যা নিয়ে আমি সত্যিই অত্যন্ত আগ্রহী, কারণ এটি সঠিকভাবে পরিচালনা করা একটি বিশাল পার্থক্য তৈরি করে - আপনার সিকিউরিটি কাঠামোর জন্য এবং এটি ব্যবসাকে যে অপারেশনাল স্বাধীনতা দেয়, উভয়ের জন্যই। Host: চলুন পটভূমিটি একটু ব্যাখ্যা করি। আপনি একটি মাঝারি আকারের রিটেল চেইনের IT ডিরেক্টর। আপনার পঞ্চাশটি স্টোর আছে, যেখানে ফিক্সড ও মোবাইল POS টার্মিনালের মিশ্রণ, একটি কর্পোরেট নেটওয়ার্ক এবং একটি গেস্ট WiFi নেটওয়ার্ক রয়েছে। আপাতদৃষ্টিতে সবকিছু ঠিকঠাক দেখাচ্ছে। তারপর আপনার Qualified Security Assessor এলেন এবং আপনার ওয়্যারলেস আর্কিটেকচার সম্পর্কে এমন কিছু প্রশ্ন করতে শুরু করলেন যা আপনি পুরোপুরি অনুমান করতে পারেননি। এটি এত ঘন ঘন কেন ঘটে? Strategist: এটি ঘটে কারণ ওয়্যারলেস নেটওয়ার্কগুলির একটি অনন্য বৈশিষ্ট্য রয়েছে যা ওয়্যার্ড নেটওয়ার্কগুলির নেই: এর মাধ্যমটি সবার সাথে শেয়ার করা হয় এবং এটি অদৃশ্য। আপনি একটি নেটওয়ার্ক ক্যাবল দেখতে পারেন। আপনি এটি ট্র্যাক করতে পারেন। কিন্তু রেডিও তরঙ্গ দেয়াল, মেঝে এবং সিলিং ভেদ করে চলে যায়। আপনার স্টকরুমে থাকা একটি অ্যাক্সেস পয়েন্ট পার্কিং লটেও ব্রডকাস্ট করছে। এবং PCI DSS এটি স্বীকার করে। এই স্ট্যান্ডার্ডটি স্পষ্টভাবে ওয়্যারলেস নেটওয়ার্ককে একটি অবিশ্বস্ত ট্রান্সমিশন মিডিয়া হিসাবে গণ্য করে, যার অর্থ আপনার Cardholder Data Environment - অর্থাৎ CDE-এর সাথে সংযুক্ত যেকোনো ওয়্যারলেস নেটওয়ার্ক সম্পূর্ণরূপে অডিটের আওতাভুক্ত। আসল বিপদটি ঘটে যখন প্রতিষ্ঠানগুলো সঠিক আইসোলেশন ছাড়াই তাদের পেমেন্ট নেটওয়ার্কের মতো একই ফিজিক্যাল ইনফ্রাস্ট্রাকচারে গেস্ট WiFi পরিচালনা করে। হঠাৎ করেই, আপনার পুরো পাবলিক WiFi নেটওয়ার্ক PCI DSS নিয়ন্ত্রণের আওতায় চলে আসে। এটি একটি বিশাল কমপ্লায়েন্সের বোঝা। Host: তাহলে মূল চ্যালেঞ্জটি হলো এর আওতা সীমিত রাখা বা স্কোপ কন্টেইনমেন্ট। টেকনিক্যালি এটি কীভাবে অর্জন করবেন? Strategist: এটি মূলত একটি শক্তিশালী লজিক্যাল সেগমেন্টেশনের ওপর নির্ভর করে। আপনার পৃথক VLAN-এর সাথে ম্যাপ করা আলাদা আলাদা SSID প্রয়োজন, যেখানে গেস্ট VLAN এবং পেমেন্ট VLAN-এর মধ্যে যেকোনো ট্রাফিক পারাপার রোধ করতে কঠোর ফায়ারওয়াল নিয়ম থাকবে। গেস্ট নেটওয়ার্কের কেবল একটিই রুট থাকা উচিত: সরাসরি ইন্টারনেটের দিকে। পেমেন্ট VLAN-এর যে কোনো অস্তিত্ব আছে, সে সম্পর্কে গেস্ট নেটওয়ার্কের কোনো ধারণাই থাকা উচিত নয়। এবং সবচেয়ে গুরুত্বপূর্ণ বিষয় হলো, আপনাকে প্রমাণ করতে হবে যে এই সেগমেন্টেশনটি কার্যকরভাবে কাজ করছে - কেবল এটি কনফিগার করাই যথেষ্ট নয়। এর অর্থ হলো পেনিট্রেশন টেস্টিং করা। একজন টেস্টারের উচিত গেস্ট VLAN থেকে CDE রিসোর্সগুলোতে অ্যাক্সেস করার জন্য সক্রিয়ভাবে চেষ্টা করা এবং প্রতিটি প্রচেষ্টা যে ব্লক করা হচ্ছে তা নথিবদ্ধ করা। Host: এনক্রিপশনের প্রয়োজনীয়তা সম্পর্কে কী বলা যায়? ওয়্যারলেস পেমেন্ট নেটওয়ার্কের জন্য PCI DSS আসলে কী বাধ্যতামূলক করে? কৌশলবিদ: WEP এবং WPA-TKIP কঠোরভাবে নিষিদ্ধ — এগুলোর মধ্যে পরিচিত ক্রিপ্টোগ্রাফিক দুর্বলতা রয়েছে যা ক্যাপচার করা ট্রাফিকের নিষ্ক্রিয় ডিক্রিপশন অনুমোদন করে। পেমেন্ট নেটওয়ার্কের জন্য WPA2-PSK ও পর্যাপ্ত নয়, কারণ একটি Pre-Shared Key হল একটি একক শেয়ার্ড সিক্রেট। একটি আপোসকৃত ডিভাইস, একজন অসাবধান কর্মী, এবং পুরো নেটওয়ার্কটি উন্মুক্ত হয়ে যায়। পেমেন্ট-মুখী SSID গুলোর জন্য, আপনাকে অবশ্যই WPA3-Enterprise ব্যবহার করতে হবে, যা AES-256 এনক্রিপশন প্রদান করে এবং একটি RADIUS সার্ভার দ্বারা ব্যাক আপ করা 802.1X প্রমাণীকরণ প্রয়োজন করে। প্রতিটি ডিভাইস পৃথকভাবে প্রমাণীকরণ করে, আদর্শভাবে EAP-TLS এর মাধ্যমে ক্লায়েন্ট সার্টিফিকেট ব্যবহার করে। এটি পারস্পরিক প্রমাণীকরণ প্রদান করে — ডিভাইসটি নেটওয়ার্কের কাছে তার পরিচয় প্রমাণ করে, এবং নেটওয়ার্কটি ডিভাইসের কাছে তার পরিচয় প্রমাণ করে। এটিই গোল্ড স্ট্যান্ডার্ড। উপস্থাপক: চলুন সবচেয়ে সাধারণ অডিট অনুসন্ধানগুলো নিয়ে কথা বলি। আইটি টিমগুলো তাদের ওয়্যারলেস মূল্যায়নে কোথায় ব্যর্থ হয়? কৌশলবিদ: তিনটি ক্ষেত্র বারবার সামনে আসে। প্রথমত, ডিফল্ট শংসাপত্র। প্রয়োজনীয়তা ২.১.১ সম্পূর্ণরূপে ক্ষমাহীন। যদি একজন অডিটর একটি অ্যাক্সেস পয়েন্ট বা কন্ট্রোলার এখনও ফ্যাক্টরি-ডিফল্ট পাসওয়ার্ড ব্যবহার করছে বলে খুঁজে পান — এবং এটি আপনার ধারণার চেয়েও বেশি সময় ঘটে — তবে এটি একটি তাত্ক্ষণিক ফলাফল। মোতায়েন করার আগে প্রতিটি ডিফল্ট শংসাপত্র পরিবর্তন করুন, কোনো ব্যতিক্রম ছাড়া। দ্বিতীয়ত, রুগ অ্যাক্সেস পয়েন্ট। আমরা এমন ঘটনা দেখি যেখানে একজন কর্মী তাদের WiFi সিগন্যাল উন্নত করার জন্য ব্যাক অফিসে একটি নেটওয়ার্ক জ্যাকে একটি কনজিউমার রাউটার প্লাগ করেছেন। সেই রাউটারটি সমস্ত এন্টারপ্রাইজ নিরাপত্তা নিয়ন্ত্রণকে বাইপাস করে। আপনাকে অবশ্যই ক্রমাগত পর্যবেক্ষণের জন্য একটি ওয়্যারলেস ইন্ট্রুশন ডিটেকশন সিস্টেম মোতায়েন করতে হবে। ত্রৈমাসিক ম্যানুয়াল স্ক্যানগুলো ন্যূনতম প্রয়োজনীয়তা — এগুলো রিয়েল-টাইম সনাক্তকরণের বিকল্প নয়। তৃতীয়ত, অপর্যাপ্ত অডিট লগিং। অনেক সংস্থার লগিং ব্যবস্থা রয়েছে কিন্তু তারা যাচাই করেনি যে লগগুলো তাদের SIEM-এ পাঠানো হচ্ছে এবং প্রয়োজনীয় সময়ের জন্য সংরক্ষণ করা হচ্ছে কিনা। PCI DSS এর জন্য ৯০ দিনের সক্রিয় সংরক্ষণ এবং মোট ১২ মাস প্রয়োজন। এই কনফিগারেশনটি স্পষ্টভাবে যাচাই করুন। উপস্থাপক: আমাকে কিছু দ্রুত প্রশ্ন করতে দিন। অতিথি এবং পেমেন্ট নেটওয়ার্কের জন্য আমার কি শারীরিকভাবে আলাদা অ্যাক্সেস পয়েন্ট প্রয়োজন? কৌশলবিদ: না। PCI DSS এর অধীনে শেয়ার্ড ফিজিক্যাল হার্ডওয়্যার সম্পূর্ণ গ্রহণযোগ্য, যদি আপনার লজিক্যাল সেগমেন্টেশন শক্তিশালী হয়, নথিবদ্ধ থাকে এবং একটি পেনিট্রেশন টেস্ট দ্বারা যাচাই করা হয়। উপস্থাপক: আমার লেগ্যাসি ডিভাইসগুলো যদি WPA3 সমর্থন না করে তবে আমি কি WPA2 ব্যবহার করতে পারি? কৌশলবিদ: হ্যাঁ, AES সহ WPA2-Enterprise একটি ফলব্যাক হিসেবে গ্রহণযোগ্য। কখনো TKIP ব্যবহার করবেন না। এবং লেগ্যাসি ডিভাইসগুলো দূর করার জন্য একটি হার্ডওয়্যার রিফ্রেশ টাইমলাইন স্থাপন করুন — এগুলো দীর্ঘমেয়াদী কমপ্লায়েন্স দায়বদ্ধতা। উপস্থাপক: একটি গেস্ট WiFi অ্যানালিটিক্স প্ল্যাটফর্ম মোতায়েন করা কি আমার নেটওয়ার্ককে PCI এর আওতায় নিয়ে আসে? কৌশলবিদ: না যদি আপনি সঠিক সেগমেন্টেশন প্রয়োগ করে থাকেন। Purple এর মতো প্ল্যাটফর্মগুলো সম্পূর্ণভাবে গেস্ট-মুখী সাইডে কাজ করে। সঠিক VLAN আইসোলেশনের সাথে, গেস্ট ডেটা এবং পেমেন্ট ডেটা কখনই মিশ্রিত হয় না। অ্যানালিটিক্স প্ল্যাটফর্মটি সম্পূর্ণভাবে PCI এর আওতার বাইরে। উপস্থাপক: ওয়্যারলেস কমপ্লায়েন্সের অবস্থা উন্নত করতে এই প্রান্তিকে একটি আইটি টিম এককভাবে সবচেয়ে গুরুত্বপূর্ণ কোন কাজটি করতে পারে? কৌশলবিদ (Strategist): একটি পেনিট্রেশন টেস্টের ব্যবস্থা করুন যা স্পষ্টভাবে ওয়্যারলেস পরিবেশ এবং VLAN সেগমেন্টেশনের বৈধতা যাচাইকে অন্তর্ভুক্ত করে। বেশিরভাগ প্রতিষ্ঠানেরই কনফিগারেশন করা থাকে কিন্তু এটি আসলে কাজ করে কিনা তা তারা কখনই পরীক্ষা করে দেখেনি। একটি পেনিট্রেশন টেস্ট আপনাকে প্রমাণ দেবে, আপনাকে আত্মবিশ্বাস দেবে এবং আপনার QSA-কে মূল্যায়ন অনুমোদন করার জন্য প্রয়োজনীয় তথ্য সরবরাহ করবে। উপস্থাপক (Host): চমৎকার। সংক্ষেপে বলতে গেলে: আপনার CDE সীমানা সুনির্দিষ্টভাবে নির্ধারণ করুন, VLAN এবং ফায়ারওয়াল ব্যবহার করে পেমেন্ট ট্রাফিক আলাদা করুন, WPA3-Enterprise-এর সাথে 802.1X ব্যবহার করুন, ক্রমাগত WIDS মনিটরিং মোতায়েন করুন, সমস্ত ডিফল্ট ক্রেডেন্সিয়াল পরিবর্তন করুন এবং পেনিট্রেশন টেস্টিং দিয়ে সবকিছু যাচাই করুন। শেষ কোনো মতামত? কৌশলবিদ (Strategist): শুধু এইটুকুই যে সম্মতি (compliance) এবং উদ্ভাবন একে অপরের বিরোধী নয়। একটি সঠিকভাবে সেগমেন্ট করা ওয়্যারলেস আর্কিটেকচার ব্যবসাকে জরিমানা এবং ডেটা লঙ্ঘন থেকে রক্ষা করে, পাশাপাশি IT টিমকে নিরাপদে এবং আত্মবিশ্বাসের সাথে রাজস্ব-উপার্জনকারী টুল - যেমন গেস্ট অ্যানালিটিক্স, লয়্যালটি প্রোগ্রাম, কাস্টমার এনগেজমেন্ট প্ল্যাটফর্ম - মোতায়েন করার স্বাধীনতা দেয়। শুরুতে কঠিন ইঞ্জিনিয়ারিংয়ের কাজগুলো সম্পন্ন করে ফেলুন, এবং কমপ্লায়েন্স অডিট তখন একটি সাধারণ যাচাইকরণ অনুশীলনে পরিণত হবে। উপস্থাপক (Host): দারুণ। আপনাকে ধন্যবাদ। আরও প্রযুক্তিগত নির্দেশিকা এবং বাস্তবায়ন সংক্রান্ত রিসোর্সের জন্য purple dot ai ভিজিট করুন।

আমাদের মূল সিরিজের অংশ: এন্টারপ্রাইজ WiFi সিকিউরিটি গাইড →

রিটেইল WiFi নেটওয়ার্কের জন্য PCI DSS কমপ্লায়েন্স

এক্সিকিউটিভ সামারি

খুচরা, আতিথেয়তা, পরিবহন এবং সরকারি খাতের ভেন্যুগুলোতে কর্মরত IT ম্যানেজার এবং নেটওয়ার্ক আর্কিটেক্টদের জন্য, ওয়্যারলেস নেটওয়ার্ক স্থাপন করা একটি অত্যন্ত গুরুত্বপূর্ণ কমপ্লায়েন্স চ্যালেঞ্জ তৈরি করে: কীভাবে অসাবধানতাবশত কার্ডহোল্ডার ডেটা এনভায়রনমেন্ট (CDE)-এর পরিধি না বাড়িয়ে শক্তিশালী গেস্ট WiFi এবং অপারেশনাল কানেক্টিভিটি প্রদান করা যায়। PCI DSS v4.0-এর অধীনে, CDE-এর সাথে সংযুক্ত বা পেমেন্ট ডেটা ট্রান্সমিট করে এমন যেকোনো ওয়্যারলেস নেটওয়ার্ক সম্পূর্ণরূপে কমপ্লায়েন্স অডিটের আওতাভুক্ত — এবং কমপ্লায়েন্স না মানার জরিমানা অত্যন্ত গুরুতর।

এই গাইডটিতে পেমেন্ট ট্রাফিক আলাদা করা, শক্তিশালী এনক্রিপশন স্ট্যান্ডার্ড (WPA3/AES-256) প্রয়োগ করা, 802.1X অথেন্টিকেশন বাস্তবায়ন করা এবং ক্ষতিকারক ওয়্যারলেস ডিভাইসের জন্য ক্রমাগত নজরদারি বজায় রাখার প্রযুক্তিগত প্রয়োজনীয়তাগুলো রূপরেখা আকারে তুলে ধরা হয়েছে। কঠোর লজিক্যাল এবং ফিজিক্যাল নেটওয়ার্ক সেগমেন্টেশন গ্রহণের মাধ্যমে, খুচরা বিক্রেতা IT টিমগুলো তাদের কমপ্লায়েন্সের বোঝা নাটকীয়ভাবে কমাতে পারে এবং একই সাথে পয়েন্ট-অফ-সেল (POS) সিস্টেম ও গ্রাহক সম্পৃক্ততার প্ল্যাটফর্ম যেমন WiFi অ্যানালিটিক্স-এর জন্য উচ্চ-ক্ষমতাসম্পন্ন কানেক্টিভিটি বজায় রাখতে পারে। মূল নীতিটি সহজ: পেমেন্ট ট্রাফিককে গেস্ট এবং কর্পোরেট ট্রাফিক থেকে সম্পূর্ণ আলাদা রাখুন এবং সেই বিচ্ছিন্নতা কঠোরভাবে যাচাই করুন।

টেকনিক্যাল ডিপ-ডাইভ

PCI DSS v4.0 ওয়্যারলেস স্কোপ

PCI DSS v4.0 বেশ কয়েকটি প্রয়োজনীয়তার মধ্যে ওয়্যারলেস নেটওয়ার্কগুলোকে অন্তর্ভুক্ত করে। সবচেয়ে সরাসরি প্রাসঙ্গিক হলো রিকোয়ারমেন্ট ২ (সুরক্ষিত কনফিগারেশন এবং ডিফল্ট ক্রেডেনশিয়াল), রিকোয়ারমেন্ট ৪ (ট্রানজিটে এনক্রিপশন), রিকোয়ারমেন্ট ৬ (সুরক্ষিত সিস্টেম এবং সফটওয়্যার), রিকোয়ারমেন্ট ১০ (অডিট লগিং) এবং রিকোয়ারমেন্ট ১১ (সিকিউরিটি টেস্টিং, যার মধ্যে ক্ষতিকারক ওয়্যারলেস সনাক্তকরণ অন্তর্ভুক্ত)। এই সবকিছুর মূল ভিত্তি হলো ওয়্যারলেস নেটওয়ার্কগুলো সহজাতভাবেই একটি অবিশ্বস্ত ট্রান্সমিশন মাধ্যম।

যদি একটি ওয়্যারলেস নেটওয়ার্ক কার্ডহোল্ডার ডেটা ট্রান্সমিট করতে ব্যবহৃত হয় — উদাহরণস্বরূপ, খুচরা দোকানের ফ্লোরে মোবাইল POS ট্যাবলেট — তবে এটি CDE-এর অংশ। যদি একটি ওয়্যারলেস নেটওয়ার্ক, যেমন একটি গেস্ট WiFi নেটওয়ার্ক, পেমেন্ট নেটওয়ার্কের মতো একই ফিজিক্যাল হার্ডওয়্যার শেয়ার করে কিন্তু CDE থেকে লজিক্যালি সেগমেন্টেড থাকে, তবে সেগমেন্টেশন কন্ট্রোলগুলো নিজেই স্কোপের মধ্যে থাকে এবং অবশ্যই কঠোরভাবে পরীক্ষা ও নথিবদ্ধ করতে হবে। এই পার্থক্যটি অত্যন্ত গুরুত্বপূর্ণ: একই অ্যাক্সেস পয়েন্ট অবকাঠামোতে একটি গেস্ট নেটওয়ার্কের নিছক উপস্থিতি স্বয়ংক্রিয়ভাবে কমপ্লায়েন্স ব্যর্থতা তৈরি করে না, তবে এটি প্রমাণ করার জন্য একটি কমপ্লায়েন্স বাধ্যবাধকতা তৈরি করে যে সেগমেন্টেশনটি কার্যকর।

কার্ডহোল্ডার ডেটা এনভায়রনমেন্টের সীমানা বোঝা

যেকোনো ওয়্যারলেস আর্কিটেকচার ডিজাইন করার আগে, IT টিমকে অবশ্যই CDE-এর সীমানা সুনির্দিষ্টভাবে নির্ধারণ করতে হবে। CDE-এর মধ্যে এমন সমস্ত সিস্টেম অন্তর্ভুক্ত থাকে যা প্রাইমারি অ্যাকাউন্ট নম্বর (PAN), কার্ডহোল্ডারের নাম, মেয়াদ শেষ হওয়ার তারিখ, সার্ভিস কোড এবং সংবেদনশীল অথেন্টিকেশন ডেটা যেমন CVV2 মান এবং PIN ব্লক সংরক্ষণ, প্রসেস বা ট্রান্সমিট করে। CDE সিস্টেমের সাথে সংযুক্ত যেকোনো সিস্টেম — এমনকি যদি এটি নিজে পেমেন্ট ডেটা পরিচালনা নাও করে — তাও স্কোপের মধ্যে বিবেচিত হয় যদি না শক্তিশালী সেগমেন্টেশন কন্ট্রোল এটিকে আলাদা করে।

একটি সাধারণ খুচরা পরিবেশে, CDE-এর মধ্যে POS টার্মিনাল এবং তাদের সাথে সম্পর্কিত ব্যাক-এন্ড সার্ভার, পেমেন্ট গেটওয়ে সংযোগ এবং যেকোনো ওয়্যারলেস নেটওয়ার্ক যার মাধ্যমে পেমেন্ট ডেটা আদান-প্রদান হয় তা অন্তর্ভুক্ত থাকে। গেস্ট WiFi নেটওয়ার্ক, কর্পোরেট স্টাফ নেটওয়ার্ক এবং যেকোনো IoT ডিভাইস যেমন ডিজিটাল সাইনেজ বা পরিবেশগত সেন্সরগুলো স্কোপের বাইরে থাকে — তবে কেবল তখনই যখন সেগুলো সঠিকভাবে আলাদা করা হয়।

নেটওয়ার্ক আর্কিটেকচার এবং সেগমেন্টেশন

PCI DSS-এর পরিধি সীমিত রাখার সবচেয়ে কার্যকর কৌশল হলো শক্তিশালী নেটওয়ার্ক সেগমেন্টেশন। এর লক্ষ্য হলো এটি নিশ্চিত করা যাতে পাবলিক বা কর্পোরেট WiFi নেটওয়ার্কের কোনো নিরাপত্তা লঙ্ঘন আক্রমণকারীকে পেমেন্ট নেটওয়ার্কে প্রবেশের পথ তৈরি করে দিতে না পারে।

রিটেইল WiFi নেটওয়ার্কের জন্য PCI DSS কমপ্লায়েন্স - pci wifi segmentation diagram

VLAN আইসোলেশন হলো মৌলিক নিয়ন্ত্রণ। গেস্ট, কর্পোরেট এবং পেমেন্ট ট্রাফিক অবশ্যই আলাদা VLAN-এ থাকতে হবে এবং তাদের মধ্যে কোনো রাউটেবল পাথ থাকা চলবে না। একটি সঠিকভাবে কনফিগার করা পরিবেশে, গেস্ট VLAN-এর ফায়ারওয়ালের মাধ্যমে ইন্টারনেটে যাওয়ার একটি মাত্র রুট থাকে এবং কোনো অভ্যন্তরীণ সাবনেটে যাওয়ার রুট থাকে না। পেমেন্ট VLAN-এর পেমেন্ট গেটওয়ে এবং অভ্যন্তরীণ পেমেন্ট সার্ভারগুলোতে একটি কঠোরভাবে নিয়ন্ত্রিত রুট থাকে, যেখানে অন্য সমস্ত ট্রাফিক স্পষ্টভাবে অস্বীকার (deny) করা হয়।

ফায়ারওয়াল নিয়মগুলো অবশ্যই কঠোর ইনগ্রেস এবং ইগ্রেস নীতি প্রয়োগ করবে। ফায়ারওয়াল রুলসেটটি একটি ডিফল্ট-ডিনাই (default-deny) অবস্থান অনুসরণ করবে: স্পষ্টভাবে অনুমতি না দেওয়া পর্যন্ত সমস্ত ট্রাফিক ব্লক করা হবে। অনুমোদিত ট্রাফিক প্রবাহ একটি নেটওয়ার্ক ডায়াগ্রামে নথিবদ্ধ করা উচিত এবং অন্তত বার্ষিকভাবে পর্যালোচনা করা উচিত। CDE VLAN-এ ট্রাফিকের অনুমতি দেয় এমন যেকোনো নিয়মের যৌক্তিকতা থাকতে হবে, নথিবদ্ধ করতে হবে এবং সিকিউরিটি টিম দ্বারা অনুমোদিত হতে হবে।

উচ্চ-ঝুঁকিপূর্ণ পরিবেশের জন্য ডেডিকেটেড হার্ডওয়্যার একটি ঐচ্ছিক কিন্তু প্রস্তাবিত নিয়ন্ত্রণ। CDE-এর জন্য ডেডিকেটেড অ্যাক্সেস পয়েন্ট এবং সুইচ ব্যবহার করা VLAN হপিং আক্রমণের তাত্ত্বিক ঝুঁকি দূর করে, যেখানে একটি ভুল কনফিগার করা সুইচ পোর্ট দুটি VLAN-কে সংযুক্ত করতে পারে। বাস্তবে, আধুনিক এন্টারপ্রাইজ সুইচগুলোতে ডাবল-ট্যাগিং আক্রমণের মাধ্যমে VLAN হপিং বিরল, তবে ঝুঁকি শূন্য নয়। অত্যন্ত উচ্চ লেনদেনের পরিমাণ প্রসেস করা সংস্থাগুলোর জন্য, বা উচ্চতর হুমকি প্রোফাইল সহ সেক্টরগুলোতে কাজ করা সংস্থাগুলোর জন্য, ডেডিকেটেড হার্ডওয়্যার সুরক্ষার একটি অতিরিক্ত স্তর প্রদান করে।

যেকোনো নেটওয়ার্ক পরিবর্তনের পর অবশ্যই ইন্টার-VLAN রাউটিং ভ্যালিডেশন সম্পন্ন করতে হবে। একটি সাধারণ পরীক্ষা — গেস্ট VLAN থেকে একটি CDE ডিভাইস পিং করার চেষ্টা করা — সম্পূর্ণ ব্যর্থ হওয়া উচিত। পেনিট্রেশন টেস্টারেরা আরও জটিল ভ্যালিডেশন সম্পাদন করবেন, যার মধ্যে VLAN হপিং দুর্বলতাগুলোর সুযোগ নেওয়ার চেষ্টা এবং কোনো ভুল কনফিগার করা অ্যাক্সেস কন্ট্রোল লিস্ট পরীক্ষা করা অন্তর্ভুক্ত।

এনক্রিপশন এবং অথেন্টিকেশন স্ট্যান্ডার্ড

রিকোয়ারমেন্ট ৪.২.১ উন্মুক্ত, পাবলিক নেটওয়ার্কের মাধ্যমে কার্ডহোল্ডার ডেটা স্থানান্তরের জন্য শক্তিশালী ক্রিপ্টোগ্রাফি বাধ্যতামূলক করে। ওয়্যারলেস নেটওয়ার্কগুলোকে এই উদ্দেশ্যে স্পষ্টভাবে উন্মুক্ত, পাবলিক নেটওয়ার্ক হিসেবে শ্রেণীবদ্ধ করা হয়েছে।

WEP এবং WPA/WPA2-TKIP কঠোরভাবে নিষিদ্ধ। এই প্রোটোকলগুলোর পরিচিত ক্রিপ্টোগ্রাফিক দুর্বলতা রয়েছে যা প্যাসিভ মনিটরিং ক্ষমতাসম্পন্ন একজন আক্রমণকারীকে কয়েক মিনিটের মধ্যে ক্যাপচার করা ট্রাফিক ডিক্রিপ্ট করতে দেয়। এখনও এই প্রোটোকলগুলো ব্যবহার করছে এমন যেকোনো SSID অবিলম্বে আপগ্রেড করতে হবে।

পেমেন্ট ডেটা ট্রান্সমিট করা SSID-গুলোর জন্য WPA3-Enterprise হলো প্রয়োজনীয় স্ট্যান্ডার্ড। WPA3-Enterprise ডেটা এনক্রিপশনের জন্য CCMP-256 (CBC-MAC সহ কাউন্টার মোডে AES-256) ব্যবহার করে এবং এর জন্য 802.1X অথেন্টিকেশন প্রয়োজন। এটি ডিফল্টরূপে প্রটেক্টেড ম্যানেজমেন্ট ফ্রেম (PMF) প্রদান করে, যা ডিঅথেন্টিকেশন আক্রমণ প্রতিরোধ করে — এটি ক্লায়েন্টদের পুনরায় সংযোগ করতে এবং অথেন্টিকেশন হ্যান্ডশেক ক্যাপচার করতে বাধ্য করার জন্য আক্রমণকারীদের দ্বারা ব্যবহৃত একটি সাধারণ কৌশল।

IEEE 802.1X অথেন্টিকেশন হলো এমন একটি প্রক্রিয়া যা শেয়ার্ড প্রি-শেয়ার্ড কি (Pre-Shared Keys)-কে ব্যক্তিগত ডিভাইস এবং ব্যবহারকারী অথেন্টিকেশন দ্বারা প্রতিস্থাপন করে। একটি 802.1X স্থাপনায়, অ্যাক্সেস পয়েন্ট একটি অথেন্টিকেটর হিসেবে কাজ করে, যা অথেন্টিকেশন অনুরোধগুলো একটি RADIUS সার্ভারে ফরোয়ার্ড করে। RADIUS সার্ভার ক্রেডেনশিয়ালগুলো যাচাই করে — যা একটি ইউজারনেম/পাসওয়ার্ড পেয়ার, একটি ক্লায়েন্ট সার্টিফিকেট বা উভয়ই হতে পারে — এবং একটি অ্যাক্সেস-অ্যাকসেপ্ট (Access-Accept) বা অ্যাক্সেস-রিজেক্ট (Access-Reject) প্রতিক্রিয়া প্রদান করে। কেবল অথেন্টিকেটেড ডিভাইসগুলোকেই নেটওয়ার্ক অ্যাক্সেস দেওয়া হয়।

এন্টারপ্রাইজ ওয়্যারলেস অথেন্টিকেশনের জন্য EAP-TLS (এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল উইথ ট্রান্সপোর্ট লেয়ার সিকিউরিটি) হলো গোল্ড স্ট্যান্ডার্ড। এর জন্য ক্লায়েন্ট এবং RADIUS সার্ভার উভয়কেই বৈধ X.509 সার্টিফিকেট উপস্থাপন করতে হয়, যা পারস্পরিক অথেন্টিকেশন প্রদান করে। এটি একটি ক্ষতিকারক RADIUS সার্ভার দ্বারা ক্লায়েন্টদের একটি ক্ষতিকারক নেটওয়ার্কে সংযোগ করতে প্রলুব্ধ করার ঝুঁকি দূর করে। EAP-TLS স্থাপনের জন্য ক্লায়েন্ট সার্টিফিকেট ইস্যু এবং পরিচালনা করতে একটি পাবলিক কি ইনফ্রাস্ট্রাকচার (PKI) প্রয়োজন, যা একটি উল্লেখযোগ্য অপারেশনাল বিনিয়োগের প্রতিনিধিত্ব করে তবে সবচেয়ে শক্তিশালী অথেন্টিকেশন নিশ্চয়তা প্রদান করে।

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।

ইমপ্লিমেন্টেশন গাইড

ফেজ ১: ডিসকভারি এবং স্কোপ নির্ধারণ

যেকোনো নিয়ন্ত্রণ বাস্তবায়নের আগে, IT টিমকে অবশ্যই বর্তমান ওয়্যারলেস ফুটপ্রিন্টটি ব্যাপকভাবে ম্যাপ করতে হবে। এর অর্থ হলো বর্তমানে চালু থাকা প্রতিটি অ্যাক্সেস পয়েন্ট, ওয়্যারলেস কন্ট্রোলার এবং SSID সনাক্ত করা। প্রতিটি SSID-এর জন্য, এটির সাথে সংযুক্ত কোনো ডিভাইস পেমেন্ট ডেটা পরিচালনা করে কিনা তা নির্ধারণ করুন। এই ডিসকভারি ফেজটি প্রায়শই অপ্রত্যাশিত স্কোপ আইটেমগুলো প্রকাশ করে — উদাহরণস্বরূপ, একটি লিগ্যাসি SSID যা কখনই নিষ্ক্রিয় করা হয়নি, অথবা একটি পেমেন্ট টার্মিনালের জন্য একটি ভেন্ডর-পরিচালিত ওয়্যারলেস নেটওয়ার্ক যা সম্পর্কে অভ্যন্তরীণ IT টিম জানত না।

প্রাপ্ত ফলাফলগুলো একটি নেটওয়ার্ক ডায়াগ্রামে নথিবদ্ধ করুন যা স্পষ্টভাবে CDE সীমানা, সমস্ত VLAN, সমস্ত ফায়ারওয়াল নিয়ম এবং সমস্ত ওয়্যারলেস SSID দেখায়। এই ডায়াগ্রামটি PCI DSS মূল্যায়নের জন্য একটি বাধ্যতামূলক ডেলিভারেবল।

ফেজ ২: সেগমেন্টেশন বাস্তবায়ন

প্রতিটি SSID-কে তার ডেডিকেটেড VLAN-এ ম্যাপ করতে নেটওয়ার্ক সুইচ এবং ওয়্যারলেস কন্ট্রোলারগুলো কনফিগার করুন। ডিফল্ট-ডিনাই অবস্থান প্রয়োগ করতে সুইচ এবং ফায়ারওয়াল স্তরে অ্যাক্সেস কন্ট্রোল লিস্ট প্রয়োগ করুন। VLAN-গুলোর মধ্যে ট্রাফিক রাউট করার চেষ্টা করে সেগমেন্টেশন পরীক্ষা করুন — এই ধরনের সমস্ত প্রচেষ্টা ব্যর্থ হওয়া উচিত।

আধুনিক SD-WAN আর্কিটেকচার স্থাপনকারী সংস্থাগুলোর জন্য, সেগমেন্টেশনের নীতিগুলো অভিন্ন, যদিও বাস্তবায়ন প্রক্রিয়া ভিন্ন। SD-WAN প্ল্যাটফর্মগুলো পলিসি-ভিত্তিক রাউটিং প্রয়োগ করতে পারে যা পেমেন্ট ট্রাফিককে ডেডিকেটেড, এনক্রিপ্ট করা টানেলে গেস্ট ট্রাফিক থেকে সম্পূর্ণ আলাদা রাখে। এই আর্কিটেকচার সম্পর্কে আরও জানতে, The Core SD WAN Benefits for Modern Businesses দেখুন।

ফেজ ৩: এনক্রিপশন আপগ্রেড

সমস্ত CDE-মুখী SSID-কে WPA3-Enterprise-এ আপগ্রেড করুন। নিম্নমানের এনক্রিপশন স্ট্যান্ডার্ডের সাথে সংযোগ স্থাপনের চেষ্টা করা যেকোনো ক্লায়েন্টকে প্রত্যাখ্যান করতে ওয়্যারলেস কন্ট্রোলারটি কনফিগার করুন। যদি পেমেন্ট নেটওয়ার্কের লিগ্যাসি ডিভাইসগুলো WPA3 সমর্থন করতে না পারে, তবে একটি নির্দিষ্ট সময়ের জন্য বিকল্প হিসেবে AES (TKIP নয়) সহ WPA2-Enterprise ব্যবহার করে একটি পৃথক SSID স্থাপন করুন এবং লিগ্যাসি ডিভাইসগুলো সরিয়ে ফেলার জন্য একটি হার্ডওয়্যার রিফ্রেশ টাইমলাইন তৈরি করুন।

ফেজ ৪: 802.1X এবং RADIUS স্থাপন

একটি RADIUS সার্ভার স্থাপন করুন — অন-প্রিমিসেস বা ক্লাউড-পরিচালিত পরিষেবা হিসেবে — এবং অথেন্টিকেশন অনুরোধগুলো ফরোয়ার্ড করতে ওয়্যারলেস কন্ট্রোলারটি কনফিগার করুন। একটি অভ্যন্তরীণ সার্টিফিকেট অথরিটির মাধ্যমে সমস্ত পেমেন্ট-নেটওয়ার্ক ডিভাইসে ক্লায়েন্ট সার্টিফিকেট ইস্যু করুন। বৈধ সার্টিফিকেট ছাড়া ডিভাইসগুলোর অথেন্টিকেশনের চেষ্টা প্রত্যাখ্যান করতে RADIUS সার্ভারটি কনফিগার করুন।

ফেজ ৫: ওয়্যারলেস ইনট্রুশন ডিটেকশন

ওয়্যারলেস কন্ট্রোলারে WIDS/WIPS সক্ষম করুন। আপনার প্রাঙ্গনে অননুমোদিত SSID ব্রডকাস্ট করা, আপনার SSID নাম ব্যবহার করা কিন্তু আপনার BSSID ব্যবহার না করা ডিভাইস (একটি ইভিল টুইন আক্রমণের সাধারণ সূচক), এবং আপনার নেটওয়ার্কের সাথে ফিজিক্যালি সংযুক্ত কিন্তু কন্ট্রোলার ইনভেন্টরিতে নিবন্ধিত নয় এমন অ্যাক্সেস পয়েন্টগুলোর ক্ষেত্রে অ্যালার্ট দেওয়ার জন্য সিস্টেমটি কনফিগার করুন।

রিটেইল WiFi নেটওয়ার্কের জন্য PCI DSS কমপ্লায়েন্স - pci audit checklist

ফেজ ৬: লগিং এবং মনিটরিং

সমস্ত ওয়্যারলেস কন্ট্রোলার লগ, RADIUS অথেন্টিকেশন লগ এবং ফায়ারওয়াল লগ একটি সেন্ট্রালাইজড SIEM-এ ফরোয়ার্ড করুন। সাম্প্রতিক অথেন্টিকেশন ইভেন্টগুলো প্রত্যাশিত সময়ের মধ্যে SIEM-এ প্রদর্শিত হচ্ছে কিনা তা পরীক্ষা করে লগ ফরোয়ার্ডিং সঠিকভাবে কাজ করছে কিনা তা যাচাই করুন। অথেন্টিকেশন ব্যর্থতা, VLAN পলিসি লঙ্ঘন এবং ক্ষতিকারক AP সনাক্তকরণের জন্য অ্যালার্ট কনফিগার করুন।

বেস্ট প্র্যাকটিস

ব্যতিক্রম ছাড়াই ডিফল্ট ক্রেডেনশিয়াল পরিবর্তন করুন। রিকোয়ারমেন্ট ২.১.১ কোনোভাবেই আপসযোগ্য নয়। প্রতিটি অ্যাক্সেস পয়েন্ট, ওয়্যারলেস কন্ট্রোলার, RADIUS সার্ভার এবং নেটওয়ার্ক সুইচের ফ্যাক্টরি-ডিফল্ট ক্রেডেনশিয়াল স্থাপনের আগেই পরিবর্তন করতে হবে। একটি ক্রেডেনশিয়াল ম্যানেজমেন্ট প্রক্রিয়া বজায় রাখুন যা জটিলতার প্রয়োজনীয়তা এবং নিয়মিত পরিবর্তন (rotation) প্রয়োগ করে।

Disable Unused Management Protocols. Telnet, HTTP, এবং SNMPv1/v2 ক্রেডেনশিয়াল এবং ডেটা ক্লিয়ারটেক্সটে ট্রান্সমিট করে। সমস্ত নেটওয়ার্ক হার্ডওয়্যারে এই প্রোটোকলগুলো নিষ্ক্রিয় করুন এবং ম্যানেজমেন্ট অ্যাক্সেসের জন্য একচেটিয়াভাবে SSH, HTTPS এবং SNMPv3 ব্যবহার করুন।

ওয়্যার্ড সুইচে পোর্ট সিকিউরিটি বাস্তবায়ন করুন। রিকোয়ারমেন্ট ১.৩.২ অননুমোদিত ডিভাইসগুলোকে নেটওয়ার্কের সাথে সংযুক্ত হওয়া প্রতিরোধ করার জন্য নিয়ন্ত্রণের দাবি করে। ওয়্যার্ড সুইচ পোর্টে 802.1X সক্ষম করা এটি নিশ্চিত করে যে একটি নেটওয়ার্ক জ্যাকে প্লাগ করা ক্ষতিকারক অ্যাক্সেস পয়েন্ট অথেন্টিকেশন ছাড়া নেটওয়ার্ক অ্যাক্সেস পেতে পারবে না।

নিয়মিত পেনিট্রেশন টেস্টিং পরিচালনা করুন। PCI DSS রিকোয়ারমেন্ট ১১.৪ বার্ষিক পেনিট্রেশন টেস্টিং বাধ্যতামূলক করে যার মধ্যে ওয়্যারলেস পরিবেশ অন্তর্ভুক্ত থাকে। পরীক্ষাটিতে অবশ্যই যাচাই করতে হবে যে সেগমেন্টেশন কন্ট্রোলগুলো কার্যকর — কেবল সেগুলো কনফিগার করা হয়েছে তা নয়। একজন পেনিট্রেশন টেস্টারের সক্রিয়ভাবে গেস্ট VLAN থেকে CDE লঙ্ঘন করার চেষ্টা করা উচিত এবং ফলাফলগুলো নথিবদ্ধ করা উচিত।

একটি ওয়্যারলেস ডিভাইস ইনভেন্টরি বজায় রাখুন। সমস্ত অনুমোদিত ওয়্যারলেস অ্যাক্সেস পয়েন্টের একটি আপ-টু-ডেট ইনভেন্টরি রাখুন, যার মধ্যে তাদের MAC অ্যাড্রেস, ফিজিক্যাল অবস্থান এবং ফার্মওয়্যার সংস্করণ অন্তর্ভুক্ত থাকবে। এই ইনভেন্টরিটি ক্ষতিকারক ডিভাইসগুলো সনাক্ত করতে এবং অডিটরদের কাছে ওয়্যারলেস পরিবেশের উপর নিয়ন্ত্রণ প্রদর্শনের জন্য অপরিহার্য।

ট্রাবলশুটিং এবং ঝুঁকি প্রশমন

সাধারণ অডিট ফাইন্ডিংস

VLAN ভুল কনফিগারেশন হলো ওয়্যারলেস-সম্পর্কিত সবচেয়ে সাধারণ ফাইন্ডিং। একটি সুইচ পোর্ট কনফিগারেশনে একটি মাত্র টাইপো — উদাহরণস্বরূপ, একটি ট্রাঙ্ক পোর্টকে ভুল নেটিভ VLAN-এ অ্যাসাইন করা — গেস্ট এবং CDE VLAN-কে সংযুক্ত করতে পারে, যা তাৎক্ষণিকভাবে সমগ্র পাবলিক নেটওয়ার্ককে PCI স্কোপের মধ্যে নিয়ে আসে। সমস্ত সুইচে স্ট্যান্ডার্ডাইজড টেমপ্লেট প্রয়োগ করে এমন কনফিগারেশন ম্যানেজমেন্টツール ব্যবহার করে এবং প্রতিটি পরিবর্তনের পরে স্বয়ংক্রিয় কনফিগারেশন অডিট চালিয়ে এটি প্রশমন করুন।

ক্ষতিকারক অ্যাক্সেস পয়েন্টগুলো একটি অবিরাম ঝুঁকি হিসেবে রয়ে গেছে। স্টক রুম বা ব্যাক অফিসে WiFi কভারেজ উন্নত করতে কর্মচারীরা কর্পোরেট নেটওয়ার্ক জ্যাকে কনজিউমার-গ্রেড রাউটার প্লাগ করলে তা সমস্ত এন্টারপ্রাইজ সিকিউরিটি কন্ট্রোলকে বাইপাস করতে পারে। একটি WIDS ক্রমাগত সনাক্তকরণ প্রদান করে, তবে মূল কারণ — কর্মচারীরা যারা নিরাপত্তার প্রভাবগুলো বোঝেন না — সিকিউরিটি সচেতনতা প্রশিক্ষণের মাধ্যমে সমাধান করতে হবে।

লিগ্যাসি ডিভাইস রেখে দেওয়া একটি উল্লেখযোগ্য কমপ্লায়েন্স ঝুঁকি। একটি মাত্র লিগ্যাসি বারকোড স্ক্যানার সমর্থন করার জন্য একটি একক SSID-তে WPA2-TKIP সক্ষম রাখা সেই SSID-এর প্রতিটি ডিভাইসের নিরাপত্তাকে বিপন্ন করে। লিগ্যাসি হার্ডওয়্যার অবসরের ব্যবসায়িক যৌক্তিকতা কমপ্লায়েন্স ঝুঁকির পরিপ্রেক্ষিতে তৈরি করা উচিত: একটি হার্ডওয়্যার রিফ্রেশের খরচ প্রায় সবসময়ই একটি PCI DSS ফাইন্ডিং-এর খরচের চেয়ে কম হয়।

অপ্রতুল লগ রিটেনশন প্রায়শই অডিটে উল্লেখ করা হয়। অনেক সংস্থার লগিং ব্যবস্থা চালু আছে কিন্তু লগগুলো SIEM-এ ফরোয়ার্ড করা হচ্ছে কিনা এবং প্রয়োজনীয় সময়ের জন্য সংরক্ষণ করা হচ্ছে কিনা তা যাচাই করেনি। রিকোয়ারমেন্ট ১০.৫.১ ন্যূনতম ৯০ দিনের সক্রিয় রিটেনশন এবং মোট ১২ মাসের রিটেনশন বাধ্যতামূলক করে। এই কনফিগারেশনটি স্পষ্টভাবে যাচাই করুন এবং ৯১ দিন আগের ইভেন্টগুলোর জন্য SIEM-এ কোয়েরি করে এটি পরীক্ষা করুন।

পেনিট্রেশন টেস্ট স্কোপে ওয়্যারলেস অন্তর্ভুক্ত করতে ব্যর্থ হওয়া একটি সাধারণ অসাবধানতা। পেনিট্রেশন টেস্টিং চুক্তিগুলো প্রায়শই ডিফল্টরূপে বাহ্যিক এবং অভ্যন্তরীণ নেটওয়ার্ক টেস্টিং-এ সীমাবদ্ধ থাকে, যেখানে ওয়্যারলেস একটি ঐচ্ছিক অ্যাড-অন হিসেবে থাকে। ওয়্যারলেস পরিবেশ — যার মধ্যে VLAN সেগমেন্টেশনের ভ্যালিডেশন অন্তর্ভুক্ত — কাজের পরিধিতে (scope of work) স্পষ্টভাবে অন্তর্ভুক্ত রয়েছে তা নিশ্চিত করুন।

ROI এবং ব্যবসায়িক প্রভাব

একটি PCI-কমপ্লায়েন্ট ওয়্যারলেস আর্কিটেকচার বাস্তবায়নের জন্য এন্টারপ্রাইজ-গ্রেড হার্ডওয়্যার, RADIUS অবকাঠামো, সার্টিফিকেট পরিচালনার জন্য PKI এবং WIDS/WIPS লাইসেন্সিং-এ অগ্রিম বিনিয়োগ প্রয়োজন। পঞ্চাশটি অবস্থান সহ একটি মাঝারি আকারের খুচরা চেইনের জন্য, এই বিনিয়োগটি যথেষ্ট হতে পারে। তবে, কমপ্লায়েন্স না মানার খরচের বিপরীতে পরিমাপ করা হলে ROI গণনা করা সহজ।

একটি একক PCI DSS কমপ্লায়েন্স লঙ্ঘনের ফলে সমস্যাটি সমাধান না হওয়া পর্যন্ত কার্ড ব্র্যান্ডগুলো থেকে প্রতি মাসে $৫,০০০ থেকে $১০০,০০০ পর্যন্ত জরিমানা হতে পারে। একটি অসুরক্ষিত ওয়্যারলেস নেটওয়ার্ক থেকে উদ্ভূত ডেটা ব্রিচের অতিরিক্ত খরচ বহন করতে হয়: ফরেনসিক তদন্ত, ক্ষতিগ্রস্ত কার্ডহোল্ডারদের বাধ্যতামূলক বিজ্ঞপ্তি, সম্ভাব্য মামলা এবং সুনামহানি যা পুনরুদ্ধার করতে কয়েক বছর সময় লাগতে পারে। Ponemon Institute-এর বার্ষিক Cost of a Data Breach রিপোর্ট ধারাবাহিকভাবে একটি খুচরা ডেটা ব্রিচের গড় খরচ মিলিয়নের ঘরে দেখায়।

ঝুঁকি প্রশমনের বাইরে, একটি সঠিকভাবে সেগমেন্টেড ওয়্যারলেস আর্কিটেকচার কমপ্লায়েন্স ঝুঁকি ছাড়াই ব্যবসাকে রাজস্ব-উৎপাদনকারী সরঞ্জামগুলো স্থাপন করতে সক্ষম করে। একটি সুরক্ষিত, বিচ্ছিন্ন Guest WiFi নেটওয়ার্ক মার্কেটিং টিমকে গ্রাহক সম্পৃক্ততা এবং অ্যানালিটিক্স প্ল্যাটফর্মগুলোর সুবিধা নেওয়ার সুযোগ দেয় — যার মধ্যে HubSpot এবং Guest WiFi: লিড সমৃদ্ধকরণ এবং বিভাজন-এর মতো ইন্টিগ্রেশনগুলো অন্তর্ভুক্ত — পেমেন্ট ডেটা এক্সপোজারের কোনো ঝুঁকি ছাড়াই। Purple-এর Guest WiFi প্ল্যাটফর্মটি সম্পূর্ণরূপে নেটওয়ার্কের গেস্ট-মুখী সাইডে কাজ করে, যা পেমেন্ট অবকাঠামো থেকে পরিষ্কারভাবে আলাদা। এর অর্থ হলো খুচরা বিক্রেতারা ফার্স্ট-পার্টি গ্রাহক ডেটা সংগ্রহ করতে পারে, লয়্যালটি প্রোগ্রাম চালাতে পারে এবং ব্যক্তিগতকৃত মার্কেটিং প্রদান করতে পারে — এই সমস্ত কিছুই একটি সুরক্ষিত, অডিটযোগ্য সিকিউরিটি অবস্থান বজায় রেখে করা সম্ভব।

রোগীদের WiFi এবং ক্লিনিকাল ডিভাইস নেটওয়ার্ক উভয়ই পরিচালনা করা হেলথকেয়ার ভেন্যুগুলোর জন্য একই সেগমেন্টেশন নীতিগুলো প্রযোজ্য, যা আমাদের Healthcare শিল্প সংস্থানগুলোতে অন্বেষণ করা হয়েছে। অপারেশনাল এবং পাবলিক নেটওয়ার্কের পরিষ্কার বিভাজন একটি সর্বজনীন আর্কিটেকচারাল নীতি যা বিভিন্ন কমপ্লায়েন্স ফ্রেমওয়ার্ক জুড়ে সুবিধা প্রদান করে।

মূল সংজ্ঞাসমূহ

Cardholder Data Environment (CDE)

ব্যক্তিবর্গ, প্রক্রিয়া এবং প্রযুক্তি যা কার্ডহোল্ডারের ডেটা বা সংবেদনশীল অথেন্টিকেশন ডেটা সংরক্ষণ, প্রক্রিয়াকরণ বা প্রেরণ করে, যার মধ্যে এই ধরনের সিস্টেমের সাথে সংযুক্ত যেকোনো সিস্টেম অন্তর্ভুক্ত রয়েছে।

আইটি টিমগুলোকে যেকোনো ওয়্যারলেস আর্কিটেকচার ডিজাইন করার আগে অবশ্যই CDE-এর সীমানা সঠিকভাবে নির্ধারণ করতে হবে। এই সীমানার ভেতরের সবকিছুই PCI DSS কন্ট্রোলের সম্পূর্ণ সেটের আওতাভুক্ত।

Network Segmentation

লজিক্যাল কন্ট্রোল (VLANs, ফায়ারওয়াল, ACLs) বা ফিজিক্যাল কন্ট্রোল (ডেডিকেটেড হার্ডওয়্যার) ব্যবহার করে কর্পোরেট এবং পাবলিক নেটওয়ার্কের অবশিষ্টাংশ থেকে CDE কে আলাদা করার অনুশীলন।

একটি PCI DSS অডিটের আওতা, খরচ এবং জটিলতা কমানোর প্রাথমিক পদ্ধতি হলো কার্যকর সেগমেন্টেশন। এটি ছাড়া, সম্পূর্ণ নেটওয়ার্কটি অডিটের আওতাভুক্ত হয়ে যায়।

WPA3-Enterprise

সর্বশেষ WiFi নিরাপত্তা প্রোটোকল, যা CCMP-256 এর মাধ্যমে AES-256 এনক্রিপশন প্রদান করে এবং একটি RADIUS সার্ভার দ্বারা সমর্থিত 802.1X প্রমাণীকরণ প্রয়োজন। এটি ডিফল্টরূপে সুরক্ষিত ম্যানেজমেন্ট ফ্রেম (PMF) ও বাধ্যতামূলক করে।

আধুনিক ওয়্যারলেস পেমেন্ট নেটওয়ার্ক সুরক্ষিত করার জন্য বাধ্যতামূলক। PCI DSS v4.0 এর অধীনে প্রস্তাবিত স্ট্যান্ডার্ড হিসেবে WPA2-Enterprise কে প্রতিস্থাপন করে।

IEEE 802.1X

পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের জন্য একটি IEEE স্ট্যান্ডার্ড, যা LAN বা WLAN এ সংযোগ করতে ইচ্ছুক ডিভাইসগুলিকে একটি প্রমাণীকরণ প্রক্রিয়া প্রদান করে। এর জন্য একটি সাপ্লিক্যান্ট (ক্লায়েন্ট), প্রমাণীকরণকারী (AP বা সুইচ) এবং প্রমাণীকরণ সার্ভার (RADIUS) প্রয়োজন।

শেয়ার্ড প্রি-শেয়ার্ড কীগুলিকে ব্যক্তিগত ব্যবহারকারী এবং ডিভাইস প্রমাণীকরণ দ্বারা প্রতিস্থাপন করে, জবাবদিহিতা নিশ্চিত করে এবং পেমেন্ট নেটওয়ার্কে দানাদার অ্যাক্সেস নিয়ন্ত্রণ সক্ষম করে।

WIDS / WIPS

ওয়্যারলেস ইন্ট্রুশন ডিটেকশন সিস্টেম / ওয়্যারলেস ইন্ট্রুশন প্রিভেনশন সিস্টেম। অননুমোদিত অ্যাক্সেস পয়েন্ট, রোগ ক্লায়েন্ট এবং ডিঅথে প্রমাণীকরণ আক্রমণের মতো ক্ষতিকারক ওয়্যারলেস কার্যকলাপের জন্য রেডিও স্পেকট্রাম পর্যবেক্ষণকারী সেন্সর।

অননুমোদিত ওয়্যারলেস ডিভাইস সনাক্ত এবং প্রতিক্রিয়া জানাতে PCI DSS প্রয়োজনীয়তা 11.2.1 পূরণ করার জন্য প্রয়োজন। সর্বোত্তম অনুশীলন হল ত্রৈমাসিক ম্যানুয়াল স্ক্যানের পরিবর্তে অবিচ্ছিন্ন পর্যবেক্ষণ করা।

Rogue Access Point

একটি অননুমোদিত ওয়্যারলেস অ্যাক্সেস পয়েন্ট যা কর্পোরেট নেটওয়ার্কের সাথে সংযুক্ত থাকে, হয় আক্রমণকারীর দ্বারা উদ্দেশ্যমূলকভাবে বা কর্মচারীর দ্বারা অসাবধানতাবশত, যা এন্টারপ্রাইজ নিরাপত্তা নিয়ন্ত্রণকে বাইপাস করে।

খুচরা ব্যবসায়িক পরিবেশে নেটওয়ার্ক সমঝোতার একটি প্রাথমিক মাধ্যম। IT টিমের কাছে স্বয়ংক্রিয় সনাক্তকরণ সরঞ্জাম এবং একটি নথিভুক্ত প্রতিক্রিয়া প্রক্রিয়া থাকতে হবে।

VLAN Hopping

একটি আক্রমণ কৌশল যেখানে একটি VLAN-এর একটি ডিভাইস অন্য VLAN-এর ট্রাফিকের অননুমোদিত অ্যাক্সেস লাভ করে, সাধারণত ভুল কনফিগার করা সুইচ ট্রাঙ্ক পোর্ট বা নেটিভ VLAN সেটিংসের অপব্যবহার করে।

একটি গুরুতর ঝুঁকি যদি গেস্ট WiFi VLAN কে CDE VLAN থেকে সঠিকভাবে আলাদা করা না হয়। DTP নিষ্ক্রিয় করে, স্পষ্ট নেটিভ VLAN সেট করে এবং ডেডিকেটেড ট্রাঙ্ক পোর্ট ব্যবহার করে এটি কমানো যায়।

RADIUS Server

রিমোট অথেনটিকেশন ডায়াল-ইন ইউজার সার্ভিস। একটি কেন্দ্রীভূত প্রমাণীকরণ, অনুমোদন, এবং অ্যাকাউন্টিং (AAA) সার্ভার যা নেটওয়ার্ক অ্যাক্সেস দেওয়ার আগে শংসাপত্রগুলি যাচাই করে, যা 802.1X প্রমাণীকরণের ব্যাকএন্ড হিসাবে ব্যবহৃত হয়।

ওয়্যারলেস পেমেন্ট নেটওয়ার্কে 802.1X স্থাপনের জন্য প্রয়োজনীয় অবকাঠামো। অন-প্রাঙ্গনে স্থাপন করা যেতে পারে বা ক্লাউড-পরিচালিত পরিষেবা হিসাবে ব্যবহার করা যেতে পারে।

EAP-TLS

ট্রান্সপোর্ট লেয়ার সিকিউরিটি সহ এক্সটেনসিবল অথেনটিকেশন প্রোটোকল। একটি পারস্পরিক প্রমাণীকরণ পদ্ধতি যা ক্লায়েন্ট এবং RADIUS সার্ভার উভয়ের উপর X.509 শংসাপত্র ব্যবহার করে, যা সবচেয়ে শক্তিশালী উপলব্ধ ওয়্যারলেস প্রমাণীকরণ নিশ্চয়তা প্রদান করে।

পেমেন্ট নেটওয়ার্কে এন্টারপ্রাইজ ওয়্যারলেস প্রমাণীকরণের জন্য সোনার স্ট্যান্ডার্ড। ক্লায়েন্ট শংসাপত্র ইস্যু এবং পরিচালনা করার জন্য একটি PKI প্রয়োজন কিন্তু শংসাপত্র চুরি বা রোগ RADIUS সার্ভার আক্রমণের ঝুঁকি দূর করে।

Protected Management Frames (PMF)

একটি IEEE 802.11w বৈশিষ্ট্য যা ওয়্যারলেস ম্যানেজমেন্ট ফ্রেমগুলিকে এনক্রিপ্ট এবং প্রমাণীকরণ করে, ডিঅথে প্রমাণীকরণ এবং বিচ্ছিন্নকরণ আক্রমণ প্রতিরোধ করে।

WPA3 এ বাধ্যতামূলক। আক্রমণকারীদের ক্লায়েন্টদের পুনরায় সংযোগ করতে বাধ্য করা এবং প্রমাণীকরণ হ্যান্ডশেকগুলি ক্যাপচার করা থেকে প্রতিরোধ করতে WPA2-Enterprise স্থাপনেও এটি সক্ষম করা উচিত।

সমাধানকৃত উদাহরণসমূহ

একটি ২০০ রুমের হোটেলের হাই-স্পিড গেস্ট WiFi প্রদানের পাশাপাশি পুলসাইডে পানীয় অর্ডার করার জন্য মোবাইল POS ট্যাবলেট সাপোর্ট করা প্রয়োজন। বর্তমানে, উভয়ই একই WPA2-PSK নেটওয়ার্ক ব্যবহার করে। আইটি আর্কিটেক্টকে বিদ্যমান অ্যাক্সেস পয়েন্ট হার্ডওয়্যার পরিবর্তন না করেই PCI DSS v4.0 কমপ্লায়েন্সের জন্য এটিকে পুনরায় ডিজাইন করতে বলা হয়েছে।

ধাপ ১: বিদ্যমান ওয়্যারলেস কন্ট্রোলারটি অডিট করে নিশ্চিত করুন যে এটি আলাদা VLAN এবং WPA3-Enterprise-এ ম্যাপ করা একাধিক SSID সাপোর্ট করে। ধাপ ২: দুটি SSID তৈরি করুন: VLAN 10-এ ম্যাপ করা 'Hotel_Guest' এবং VLAN 20-এ ম্যাপ করা 'Hotel_Ops'। ধাপ ৩: VLAN 10 থেকে VLAN 20-এ সমস্ত ট্রাফিক ব্লক করার জন্য একটি স্পষ্ট ডিনাই রুল সহ কোর ফায়ারওয়াল কনফিগার করুন। VLAN 10 শুধুমাত্র ইন্টারনেটের জন্য একটি ডিফল্ট রুট পাবে। ধাপ ৪: 'Hotel_Ops'-কে WPA3-Enterprise-এ আপগ্রেড করুন। একটি RADIUS সার্ভার (ক্লাউড-ম্যানেজড বা অন-প্রিমিসেস) ডেপ্লয় করুন এবং একটি ইন্টারনাল CA-এর মাধ্যমে প্রতিটি POS ট্যাবলেটে ক্লায়েন্ট সার্টিফিকেট ইস্যু করুন। ধাপ ৫: রোগ AP-গুলো মনিটর করার জন্য ওয়্যারলেস কন্ট্রোলারে WIDS সক্ষম করুন। ধাপ ৬: VLAN 10-এর কোনো ডিভাইস যেন VLAN 20-এর কোনো ডিভাইসে পৌঁছাতে না পারে তা যাচাই করতে একটি পেনিট্রেশন টেস্ট করুন। অডিটের প্রমাণ হিসেবে টেস্টের ফলাফলগুলো ডকুমেন্ট করুন।

পরীক্ষকের মন্তব্য: এই পদ্ধতিটি হার্ডওয়্যার প্রতিস্থাপনের প্রয়োজন ছাড়াই পাবলিক নেটওয়ার্ক (VLAN 10) থেকে CDE (VLAN 20)-কে সফলভাবে সেগমেন্ট করে, যা একটি সাধারণ সীমাবদ্ধতা। PSK থেকে 802.1X-এ স্থানান্তর প্রতিটি ডিভাইসের জন্য ব্যক্তিগত জবাবদিহিতা প্রদান করে, যা Requirement 8 পূরণ করে। পেনিট্রেশন টেস্টটি অত্যন্ত গুরুত্বপূর্ণ - একজন PCI অ্যাসেসরের কাছে কার্যকর সেগমেন্টেশনের প্রমাণ হিসেবে শুধুমাত্র কনফিগারেশনই যথেষ্ট নয়।

একটি ৫০টি স্টোরের রিটেইল চেইন গ্রাহকদের উপস্থিতি ট্র্যাক করতে এবং লয়্যালটি প্রোগ্রামে সাইন-আপ সাপোর্ট করতে একটি নতুন গেস্ট WiFi অ্যানালিটিক্স প্ল্যাটফর্ম ডেপ্লয় করছে। আইটি সিকিউরিটি ম্যানেজার চিন্তিত যে এই প্ল্যাটফর্মটি ডেপ্লয় করার ফলে PCI DSS-এর আওতা বৃদ্ধি পাবে। এটি প্রতিরোধ করতে আর্কিটেকচারটি কীভাবে ডিজাইন করা উচিত?

গেস্ট WiFi অ্যানালিটিক্স প্ল্যাটফর্মটি সম্পূর্ণভাবে গেস্ট VLAN-এর মধ্যে ডেপ্লয় করতে হবে, যার CDE-তে কোনো রুট থাকবে না। প্ল্যাটফর্মের সার্ভারগুলো - ক্লাউড-হোস্টেড হোক বা অন-প্রিমিসেস - কোনোভাবেই এমন কোনো সাবনেটে একসাথে রাখা যাবে না যেখানে পেমেন্ট সিস্টেম রয়েছে। গেস্ট অ্যাক্সেসের জন্য ব্যবহৃত SSID-টিকে VLAN এবং ফায়ারওয়াল উভয় স্তরেই পেমেন্ট SSID থেকে আলাদা রাখতে হবে। অ্যানালিটিক্স প্ল্যাটফর্মের Captive Portal এবং ডেটা সংগ্রহের উপাদানগুলো শুধুমাত্র ইন্টারনেটের সাথে (ক্লাউড-হোস্টেড প্ল্যাটফর্মের জন্য) অথবা একটি পৃথক, নন-CDE VLAN-এ থাকা ডেডিকেটেড অ্যানালিটিক্স সার্ভারের সাথে যোগাযোগ করবে। গেস্ট অ্যানালিটিক্স প্ল্যাটফর্ম এবং পেমেন্ট নেটওয়ার্ক উভয়ের ডেটা ফ্লো প্রদর্শনকারী একটি নেটওয়ার্ক ডায়াগ্রাম QSA দ্বারা পর্যালোচনা করা আবশ্যক যাতে নিশ্চিত করা যায় যে এই দুটি পরিবেশের মধ্যে কোনো সংযোগ নেই।

পরীক্ষকের মন্তব্য: PCI-এর আওতা না বাড়িয়ে Purple-এর মতো কাস্টমার এনগেজমেন্ট টুল ডেপ্লয় করার জন্য এটিই সঠিক আর্কিটেকচার। মূল নীতিটি হলো গেস্ট অ্যানালিটিক্স প্ল্যাটফর্মটি পেমেন্ট ইনফ্রাস্ট্রাকচার থেকে সম্পূর্ণ পৃথক একটি নেটওয়ার্ক জোনে কাজ করবে। নেটওয়ার্ক ডায়াগ্রামের QSA পর্যালোচনা একটি বাস্তবসম্মত পদক্ষেপ যা আনুষ্ঠানিক মূল্যায়নের সময় ভুল বোঝাবুঝি প্রতিরোধ করে।

অনুশীলনী প্রশ্নসমূহ

Q1. একটি খুচরা চেইন ৩০টি স্টোর জুড়ে একটি নতুন মোবাইল POS সিস্টেম স্থাপন করছে। বিক্রেতা সমস্ত স্থানে দ্রুত স্থাপনের জন্য WPA2-PSK সহ একটি লুকানো SSID ব্যবহার করার পরামর্শ দিচ্ছেন। নেটওয়ার্ক স্থপতি হিসাবে, আপনি কি এই ডিজাইনটি অনুমোদন করেন? আপনার সিদ্ধান্ত যুক্তিযুক্ত করুন।

ইঙ্গিত: লুকানো SSIDs এর নিরাপত্তা মান, PSK কী ব্যবস্থাপনার স্কেলেবিলিটি এবং পেমেন্ট নেটওয়ার্কে প্রমাণীকরণের জন্য PCI DSS প্রয়োজনীয়তাগুলি বিবেচনা করুন।

মডেল উত্তর দেখুন

না। এই ডিজাইনটি দুটি কারণে অবশ্যই প্রত্যাখ্যান করতে হবে। প্রথমত, হিডেন SSID কোনো অতিরিক্ত নিরাপত্তা সুবিধা প্রদান করে না - এগুলো যেকোনো ওয়্যারলেস প্যাকেট অ্যানালাইজার দ্বারা সহজেই সনাক্ত করা সম্ভব এবং কোনো কার্যকর নিয়ন্ত্রণ ছাড়াই এটি পরিচালনাগত জটিলতা তৈরি করে। দ্বিতীয়ত, এবং আরও গুরুত্বপূর্ণ বিষয় হলো, WPA2-PSK সমস্ত ডিভাইসের জন্য একটি মাত্র শেয়ার্ড কী ব্যবহার করে। যদি একটি ট্যাবলেট ম্যালওয়্যার দ্বারা আক্রান্ত হয়, চুরি হয় বা কী-টি ভুলভাবে শেয়ার করা হয়, তবে সম্পূর্ণ পেমেন্ট নেটওয়ার্কটি হুমকির মুখে পড়ে। PCI DSS পেমেন্ট নেটওয়ার্কের জন্য প্রতিটি ডিভাইসের পৃথক প্রমাণীকরণ (authentication) দাবি করে। এই ডিজাইনটি সংশোধন করে 802.1X প্রমাণীকরণ সহ WPA3-Enterprise (অথবা ব্যাকআপ হিসেবে AES সহ WPA2-Enterprise) ব্যবহার করতে হবে যা একটি RADIUS সার্ভার দ্বারা পরিচালিত হবে এবং প্রতিটি ডিভাইসের জন্য একটি অনন্য ক্লায়েন্ট সার্টিফিকেট ইস্যু করা হবে।

Q2. একটি PCI DSS অ্যাসেসমেন্ট চলাকালীন, QSA লক্ষ্য করলেন যে গেস্ট WiFi এবং পেমেন্ট নেটওয়ার্ক একই ফিজিক্যাল অ্যাক্সেস পয়েন্ট শেয়ার করছে। QSA এই দুটি নেটওয়ার্ক সঠিকভাবে সেগমেন্ট করা হয়েছে কিনা তার প্রমাণ চেয়েছেন। আপনি কী প্রমাণ উপস্থাপন করবেন?

ইঙ্গিত: PCI DSS শেয়ার্ড ফিজিক্যাল হার্ডওয়্যার ব্যবহারের অনুমতি দেয়। প্রশ্নটি হলো কার্যকর লজিক্যাল সেগমেন্টেশন প্রমাণ করার জন্য কী ধরনের প্রমাণের প্রয়োজন হয় তা নিয়ে।

মডেল উত্তর দেখুন

নিম্নলিখিত প্রমাণগুলো প্রদান করুন: (১) একটি নেটওয়ার্ক ডায়াগ্রাম যা পৃথক VLAN-এ ম্যাপ করা দুটি SSID, সুইচের VLAN কনফিগারেশন এবং গেস্ট VLAN ও CDE VLAN-এর মধ্যে ট্রাফিক ব্লক করার ফায়ারওয়াল নিয়মগুলো প্রদর্শন করে। (২) ওয়্যারলেস কন্ট্রোলার কনফিগারেশন যা SSID-to-VLAN ম্যাপিং দেখায়। (৩) ফায়ারওয়াল রুলসেট যা ইন্টার-VLAN ট্রাফিকের জন্য স্পষ্ট ডিনাই (deny) নিয়মগুলো দেখায়। (৪) সবচেয়ে সাম্প্রতিক পেনেট্রেশন টেস্টের ফলাফল, যেখানে একটি নির্দিষ্ট টেস্ট কেস থাকা উচিত যেখানে টেস্টার গেস্ট VLAN থেকে CDE রিসোর্সগুলো অ্যাক্সেস করার চেষ্টা করেছিলেন এবং নিশ্চিত করেছিলেন যে এই ধরনের সমস্ত চেষ্টা ব্লক করা হয়েছিল।

Q3. আপনার WIDS একটি রোগ (rogue) অ্যাক্সেস পয়েন্টের জন্য অ্যালার্ট জেনারেট করেছে যার সিগন্যাল স্ট্রেন্থ দেখে মনে হচ্ছে এটি ফিজিক্যালি আপনার স্টোরের ভিতরে রয়েছে। অনুসন্ধানে দেখা গেছে যে এর MAC অ্যাড্রেসটি আপনার অনুমোদিত AP ইনভেন্টরিতে নেই। আপনার তাৎক্ষণিক পদক্ষেপগুলো কী হবে এবং কী ধরনের ডকুমেন্টেশন প্রয়োজন?

ইঙ্গিত: PCI DSS Requirement 12-এর অধীনে ইনসিডেন্ট রেসপন্স প্রয়োজনীয়তা এবং আপনার নেটওয়ার্কের সাথে যুক্ত একটি রোগ (rogue) AP বনাম পাশের কোনো নেটওয়ার্ক থেকে আসা সিগন্যালের পার্থক্যের কথা বিবেচনা করুন।

মডেল উত্তর দেখুন

তাৎক্ষণিক পদক্ষেপ: (১) ডিভাইসটির ফিজিক্যাল অবস্থান সনাক্ত করতে WIDS ট্রায়াঙ্গুলেশন ডেটা ব্যবহার করুন। (২) সুইচ পোর্ট MAC অ্যাড্রেস টেবিল চেক করে ডিভাইসটি আপনার নেটওয়ার্ক ইনফ্রাস্ট্রাকচারের সাথে ফিজিক্যালি যুক্ত কিনা তা নির্ধারণ করুন। (৩) যদি এটি আপনার নেটওয়ার্কের সাথে যুক্ত থাকে, তবে অবিলম্বে সুইচ পোর্টটি আইসোলেট করুন এবং ফরেনসিক তদন্তের জন্য ডিভাইসটি সুরক্ষিত রাখুন। (৪) যদি এটি আপনার নেটওয়ার্কের সাথে যুক্ত না থাকে (যেমন - পাশের কোনো ব্যবসা প্রতিষ্ঠান বা গ্রাহকের ব্যক্তিগত হটস্পট), তবে ভবিষ্যতে ভুল অ্যালার্ট এড়াতে WIDS-এ এটিকে একটি এক্সটার্নাল ডিভাইস হিসেবে ক্লাসিফাই করুন। প্রয়োজনীয় ডকুমেন্টেশন: অ্যালার্টের সময়, তদন্তের পদক্ষেপ, ফলাফল এবং সমাধানমূলক পদক্ষেপগুলো সিকিউরিটি ইনসিডেন্ট লগে নথিবদ্ধ করুন। Requirement 12.10-এর অধীনে এই ডকুমেন্টেশনটি একটি বাধ্যতামূলক অডিট প্রমাণ।

এই সিরিজে পড়া চালিয়ে যান

কীভাবে কর্মী এবং গেস্ট WiFi নেটওয়ার্ক সুরক্ষিতভাবে সেগমেন্ট করবেন: এন্টারপ্রাইজ LAN-এর জন্য সেরা অনুশীলনসমূহ

কর্মী এবং গেস্ট WiFi ট্রাফিক সঠিকভাবে সেগমেন্ট করে এন্টারপ্রাইজ LAN সুরক্ষিত করার জন্য এই নির্দেশিকাটি IT ম্যানেজার এবং নেটওয়ার্ক স্থপতিদের একটি ভেন্ডর-নিরপেক্ষ, প্রযুক্তিগত ব্লুপ্রিন্ট প্রদান করে। এতে শেয়ার্ড পাসফ্রেজ দূর করতে এবং কর্পোরেট সম্পদ রক্ষা করতে প্রয়োজনীয় 802.1X প্রমাণীকরণ, ক্লাউড RADIUS, VLAN আইসোলেশন এবং ক্রেডেনশিয়াল লাইফসাইকেল ম্যানেজমেন্ট কভার করা হয়েছে।

গাইডটি পড়ুন →

সেরা DNS ফিল্টারিং: ব্যবসার জন্য একটি বিস্তৃত নির্দেশিকা

এই প্রযুক্তিগত রেফারেন্স নির্দেশিকাটি ব্যাখ্যা করে যে কীভাবে এন্টারপ্রাইজ DNS ফিল্টারিং রেজোলিউশন স্তরে ক্ষতিকারক ডোমেনগুলো ব্লক করার মাধ্যমে - কোনো সংযোগ স্থাপন করার আগেই - পাবলিক নেটওয়ার্কগুলোকে সুরক্ষিত করে। এটি IT ডিরেক্টর, নেটওয়ার্ক আর্কিটেক্ট এবং ভেন্যু অপারেশন টিমগুলোকে হসপিটালিটি, রিটেইল এবং পাবলিক-সেক্টর পরিবেশ জুড়ে Guest WiFi সুরক্ষিত করার জন্য প্রয়োজনীয় ডিপ্লয়মেন্ট আর্কিটেকচার, ফায়ারওয়াল কনফিগারেশন এবং কমপ্লায়েন্সের বিবরণ প্রদান করে। Purple Shield ৮০,০০০-এরও বেশি লাইভ ভেন্যুতে DNS স্তরে ম্যালওয়্যার, বটনেট এবং অনুপযুক্ত কন্টেন্ট ব্লক করে।

গাইডটি পড়ুন →

Cisco SUDI বোঝা: Secure Network Access Control-এ হার্ডওয়্যার-অ্যাঙ্কর্ড আইডেন্টিটি

এই নির্দেশিকাটি ব্যাখ্যা করে যে কিভাবে Cisco SUDI এন্টারপ্রাইজ নেটওয়ার্ক পরিকাঠামোর জন্য হার্ডওয়্যার-অ্যাঙ্কর্ড, ক্রিপ্টোগ্রাফিকভাবে সুরক্ষিত আইডেন্টিটি প্রদান করে। আপনার ভেন্যুর নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল সুরক্ষিত করতে সহজে স্পুফ করা যায় এমন MAC অ্যাড্রেসের পরিবর্তে অপরিবর্তনীয় 802.1AR সার্টিফিকেট কিভাবে ব্যবহার করবেন তা জানুন।

গাইডটি পড়ুন →

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।