NAC Posture Assessment: নেটওয়ার্ক অ্যাক্সেসের পূর্বে ম্যানেজড ডিভাইসের কমপ্লায়েন্স নিশ্চিত করা

Purple টেকনিক্যাল ব্রিফিং সিরিজে আপনাকে স্বাগতম। আজ আমরা এন্টারপ্রাইজ নেটওয়ার্ক সিকিউরিটির সবচেয়ে অপারেশনালি সমালোচনামূলক - এবং প্রায়শই ভুল বোঝা যায় এমন একটি ক্ষেত্র নিয়ে আলোচনা করছি: NAC পশ্চার অ্যাসেসমেন্ট, এবং বিশেষ করে কীভাবে আপনি নিশ্চিত করবেন যে শুধুমাত্র ম্যানেজড, কমপ্লায়েন্ট ডিভাইসগুলি আপনার নেটওয়ার্কে অ্যাক্সেস পাবে, এমনকি তারা একটিও প্রোডাকশন ট্রাফিকের প্যাকেট পাঠানোর আগেই। আপনি যদি একজন IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট, বা CTO হন যিনি একটি মাল্টি-সাইট এস্টেটের জন্য দায়ী - তা কোনো হোটেল গ্রুপ, রিটেল চেইন, স্টেডিয়াম, বা কোনো পাবলিক-সেক্টর অর্গানাইজেশন যাই হোক না কেন - এটি সরাসরি আপনার সিকিউরিটি পোস্টারের সাথে প্রাসঙ্গিক। আমরা আর্কিটেকচার, স্ট্যান্ডার্ড, বাস্তব-জগতের ডিপ্লয়মেন্ট প্যাটার্ন এবং অভিজ্ঞ টিমগুলোকেও সমস্যায় ফেলে এমন ফাঁদগুলো কভার করতে যাচ্ছি। চলুন শুরু করা যাক। তাহলে, NAC পশ্চার অ্যাসেসমেন্ট আসলে কী? Network Access Control বা NAC হলো সামগ্রিক ফ্রেমওয়ার্ক যা নিয়ন্ত্রণ করে কোন ডিভাইসগুলো আপনার নেটওয়ার্কে সংযুক্ত হতে পারে এবং কোন শর্তে। পশ্চার অ্যাসেসমেন্ট হলো NAC-এর মধ্যকার নির্দিষ্ট মেকানিজম যা কোনো ডিভাইস সংযুক্ত হওয়ার আগে - অথবা ঠিক পরে - তার সিকিউরিটি স্টেট পরীক্ষা করে। এটিকে দরজায় একটি হেলথ চেক হিসেবে ভাবুন। ডিভাইসটিকে কেবল এটি প্রমাণ করলেই হবে না যে সে কে; তাকে প্রমাণ করতে হবে যে সে বিশ্বস্ত হওয়ার মতো উপযুক্ত অবস্থায় আছে। এই আর্কিটেকচারের তিনটি মূল উপাদান রয়েছে। প্রথমত, আপনার কাছে আছে পলিসি এনফোর্সমেন্ট পয়েন্ট - PEP। এটি সাধারণত আপনার অ্যাক্সেস পয়েন্ট, আপনার সুইচ, বা আপনার ওয়্যারলেস কন্ট্রোলার। এটি হলো গেটকিপার যা ফিজিক্যালি ট্রাফিকের প্রবাহ নিয়ন্ত্রণ করে। দ্বিতীয়ত, আপনার কাছে আছে পলিসি ডিসিশন পয়েন্ট - PDP। এটি হলো আপনার NAC ইঞ্জিন, যা প্রায়শই একটি RADIUS বা AAA সার্ভারের সাথে ইন্টিগ্রেটেড থাকে। এটি পশ্চার ডেটা গ্রহণ করে, আপনার পলিসির বিপরীতে এটি মূল্যায়ন করে এবং PEP-কে কী করতে হবে তা বলে। তৃতীয়ত, আপনার কাছে আছে স্বয়ং পশ্চার অ্যাসেসমেন্ট ইঞ্জিন - এটি হয় এন্ডপয়েন্টে চলমান একটি এজেন্ট, অথবা SNMP, WMI, বা SSH এর মতো প্রোটোকল ব্যবহার করে রিমোটলি ডিভাইসটিকে কুয়েরি করার জন্য একটি এজেন্টহীন মেকানিজম। এখন, এই সবকিছুর পেছনে থাকা অথেন্টিকেশন লেয়ারটি হলো IEEE 802.1X। এটি পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল স্ট্যান্ডার্ড যা ২০০১ সাল থেকে রয়েছে তবে আজও এন্টারপ্রাইজ NAC এর মেরুদণ্ড হিসেবে রয়ে গেছে। 802.1X তিনটি ভূমিকা নির্ধারণ করে: সাপ্লিক্যান্ট - এটি সংযোগ করার চেষ্টা করা ডিভাইস; অথেন্টিকেটর - আপনার সুইচ বা অ্যাক্সেস পয়েন্ট; এবং অথেন্টিকেশন সার্ভার - আপনার RADIUS সার্ভার। সাপ্লিক্যান্ট এবং অথেন্টিকেশন সার্ভার EAP - এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল - এর মাধ্যমে যোগাযোগ করে, যা অথেন্টিকেটরের মাধ্যমে টানেলড হয়। EAP-TLS, যা মিউচুয়াল সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন ব্যবহার করে, তা হলো এখানকার গোল্ড স্ট্যান্ডার্ড। আপনি যদি ম্যানেজড ডিভাইসের কমপ্লায়েন্স নিয়ে সিরিয়াস হন, তবে এটিই আপনার ডিপ্লয় করা উচিত। পোশ্চার চেকটি আসলে কী যাচাই করে? এখানে ছয়টি প্রধান বিভাগ রয়েছে। অপারেটিং সিস্টেম প্যাচ স্তর - ডিভাইসটি কি একটি সমর্থিত OS সংস্করণে চলছে, এবং আপনার নির্দিষ্ট করা সময়ের মধ্যে কি গুরুত্বপূর্ণ প্যাচগুলি প্রয়োগ করা হয়েছে? এন্ডপয়েন্ট সিকিউরিটি স্ট্যাটাস - একটি অনুমোদিত AV বা EDR এজেন্ট কি ইনস্টলড, সক্রিয় এবং আপ-টু-ডেট ডেফিনিশন সহ রয়েছে? ফায়ারওয়াল স্ট্যাটাস - হোস্ট-ভিত্তিক ফায়ারওয়াল কি সক্রিয় এবং এর পলিসি কি অক্ষত আছে? ডিস্ক এনক্রিপশন - ফুল-ডিস্ক এনক্রিপশন কি সক্রিয় আছে এবং স্থগিত নেই? সার্টিফিকেট বৈধতা - ডিভাইসটিতে কি আপনার PKI দ্বারা জারি করা একটি বৈধ, বিশ্বস্ত মেশিন সার্টিফিকেট আছে? এবং সবশেষে, কনফিগারেশন কমপ্লায়েন্স - ডিভাইসের সিকিউরিটি কনফিগারেশন কি আপনার নির্ধারিত বেসলাইনের সাথে মিলে যায়? এই চেকগুলির ফলাফলের উপর ভিত্তি করে, আপনার NAC পলিসি ইঞ্জিন তিনটি অবস্থার মধ্যে একটি বরাদ্দ করে। কমপ্লায়েন্ট - ডিভাইসটি সমস্ত প্রয়োজনীয় চেক পাস করে এবং সম্পূর্ণ নেটওয়ার্ক অ্যাক্সেস পায়, সাধারণত এটি তার বরাদ্দকৃত VLAN বা রোলে যুক্ত হয়। কন্ডিশনাল - ডিভাইসটি গুরুত্বপূর্ণ চেকগুলি পাস করে কিন্তু এক বা একাধিক অ-গুরুত্বপূর্ণ চেকে ব্যর্থ হয়; এটি সীমিত অ্যাক্সেস পায়, সম্ভবত শুধুমাত্র ইন্টারনেট, সাথে ব্যবহারকারীকে একটি বিজ্ঞপ্তি পাঠানো হয়। এবং নন-কমপ্লায়েন্ট - ডিভাইসটি একটি গুরুত্বপূর্ণ চেকে ব্যর্থ হয় এবং শুধুমাত্র একটি প্রতিকার পোর্টালে অ্যাক্সেস সহ একটি কোয়ারেন্টাইন VLAN-এ স্থানান্তরিত হয়। সেই প্রতিকার পোর্টাল থেকেই ডিভাইসটি প্যাচ ডাউনলোড করতে পারে, AV ডেফিনিশন আপডেট করতে পারে বা ম্যানুয়াল প্রতিকারের জন্য নির্দেশাবলী পেতে পারে। এখন, এখানে WPA3 কীভাবে খাপ খায়? WPA3-Enterprise, বিশেষ করে 192-bit মোড সহ, 802.1X-এর অধীনে ক্রিপ্টোগ্রাফিক স্তরকে শক্তিশালী করে। এটি এনক্রিপশনের জন্য GCMP-256 এবং ইন্টিগ্রিটির জন্য HMAC-SHA-384 বাধ্যতামূলক করে, যা GDPR-এর অধীনে পেমেন্ট কার্ড ডেটা বা সংবেদনশীল ব্যক্তিগত ডেটা পরিচালনাকারী পরিবেশের জন্য বিশেষভাবে প্রাসঙ্গিক। আপনি যদি PCI DSS স্কোপ সহ একটি রিটেইল পরিবেশ পরিচালনা করেন বা NHS ডেটা গভর্ন্যান্সের প্রয়োজনীয়তার অধীনে একটি স্বাস্থ্যসেবা কেন্দ্র পরিচালনা করেন, তবে নতুন স্থাপনার জন্য আপনার রোডম্যাপে WPA3-Enterprise থাকা উচিত। আসুন এজেন্টহীন বনাম এজেন্ট-ভিত্তিক পোশ্চার অ্যাসেসমেন্ট সম্পর্কে কথা বলি, কারণ এটি একটি বাস্তব আর্কিটেকচারাল সিদ্ধান্তের বিষয়। এজেন্ট-ভিত্তিক অ্যাসেসমেন্ট - যেখানে একটি লাইটওয়েট ক্লায়েন্ট এন্ডপয়েন্টে চলে - আপনাকে সবচেয়ে গভীর ভিজিবিলিটি দেয়। আপনি রেজিস্ট্রি কী, চলমান প্রসেস, ইনস্টল করা সফ্টওয়্যার এবং রিয়েল-টাইম সিকিউরিটি স্টেট পরীক্ষা করতে পারেন। এর অসুবিধা হলো স্থাপনার অতিরিক্ত কাজ: আপনার পুরো এস্টেটে এজেন্ট পুশ এবং রক্ষণাবেক্ষণ করার জন্য একটি MDM বা এন্ডপয়েন্ট ম্যানেজমেন্ট প্ল্যাটফর্মের প্রয়োজন। এজেন্টহীন অ্যাসেসমেন্ট নেটওয়ার্ক-ভিত্তিক জিজ্ঞাসাবাদ ব্যবহার করে - যেমন নেটওয়ার্কের মাধ্যমে SNMP, WMI বা আপনার MDM প্ল্যাটফর্মে API কল। এটি স্থাপন করা সহজ কিন্তু আপনাকে কম ভিজিবিলিটি দেয় এবং এটি এড়ানো সহজ। একটি পরিচালিত কর্পোরেট এস্টেটের জন্য, এজেন্ট-ভিত্তিক অ্যাসেসমেন্ট হলো সঠিক সমাধান। যেখানে আপনার কাছে পরিচালিত এবং অপঠিত ডিভাইসের মিশ্রণ রয়েছে - যেমন একটি কনফারেন্স সেন্টার বা হোটেলের ব্যাক-অফ-হাউস নেটওয়ার্ক - সেখানে একটি হাইব্রিড পদ্ধতি বেশি অর্থপূর্ণ।আরেকটি আর্কিটেকচারাল পয়েন্ট উল্লেখ করা প্রয়োজন: পয়েন্ট-ইন-টাইমের বিপরীতে ক্রমাগত পোস্টার অ্যাসেসমেন্ট। বেশিরভাগ লেগ্যাসি NAC ইমপ্লিমেন্টেশন শুধুমাত্র কানেকশন করার সময় পোস্টার পরীক্ষা করে। এটি একটি উল্লেখযোগ্য ঘাটতি। সকাল নয়টায় কানেক্ট করার সময় যে ডিভাইসটি কমপ্লায়েন্ট ছিল, বেলা এগারোটায় কোনো ব্যবহারকারী সেটির AV নিষ্ক্রিয় করে দিতে পারে। আধুনিক NAC প্ল্যাটফর্মগুলো ক্রমাগত অ্যাসেসমেন্ট সমর্থন করে - নির্দিষ্ট সময়ের ব্যবধানে বা ইভেন্টের প্রতিক্রিয়া হিসাবে পোস্টার পুনরায় মূল্যায়ন করে - এবং পুনরায় কানেক্ট করার প্রয়োজন ছাড়াই ডিভাইসের নেটওয়ার্ক অ্যাক্সেস লেভেল ডাইনামিকভাবে পরিবর্তন করে। আপনার এই দিকেই অগ্রসর হওয়া উচিত। ঠিক আছে, এবার ব্যবহারিক দিকগুলো দেখা যাক। যখন আপনি NAC পোস্টার অ্যাসেসমেন্ট ডেপ্লয় করছেন, তখন আমার দেখা সবচেয়ে সাধারণ ব্যর্থতার কারণ হলো সরাসরি এনফোর্সমেন্ট মোডে চলে যাওয়া। এটি করবেন না। মনিটর মোড দিয়ে শুরু করুন - যাকে কখনও কখনও অডিট মোড বা ভিজিবিলিটি মোড বলা হয়। আপনার পোস্টার পরীক্ষাগুলো চালান, ফলাফলগুলো লগ করুন, কিন্তু পলিসি প্রয়োগ করবেন না। এটি অন্তত দুই থেকে চার সপ্তাহ চালান। আপনি প্রায় নিশ্চিতভাবেই এমন কিছু ডিভাইস আবিষ্কার করবেন যা আপনার নেটওয়ার্কে ছিল বলে আপনি জানতেনই না, এবং আপনি দেখতে পাবেন যে আপনার পরিচিত ডিভাইসগুলোর একটি উল্লেখযোগ্য অংশ এক বা একাধিক পোস্টার পরীক্ষায় ব্যর্থ হচ্ছে। পলিসি প্রয়োগ করার আগে আপনার এস্টেট ঠিক করতে সেই ডেটা ব্যবহার করুন। দ্বিতীয় সমস্যাটি হলো সার্টিফিকেট ইনফ্রাস্ট্রাকচার। EAP-TLS সহ এজেন্ট-ভিত্তিক পোস্টার অ্যাসেসমেন্টের জন্য একটি কার্যক্ষম PKI প্রয়োজন। আপনার যদি এটি না থাকে, অথবা আপনার সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট ম্যানুয়াল এবং অ্যাড-হক হয়, তবে আপনার পরিষেবাতে বিঘ্ন ঘটবে। সার্টিফিকেটের মেয়াদ শেষ হয়ে যায়। সার্টিফিকেট ছাড়াই ডিভাইসগুলো পুনর্নির্মাণ করা হয়। আপনার NAC ডেপ্লয়মেন্ট পরিকল্পনা করার আগেই আপনার PKI পরিকল্পনা করুন। তৃতীয়: VLAN ডিজাইন। আপনার কোয়ারেন্টাইন VLAN কে সত্যিকার অর্থেই বিচ্ছিন্ন হতে হবে - একই ফিজিক্যাল ইনফ্রাস্ট্রাকচারের উপর কেবল একটি ভিন্ন সাবনেট হলে চলবে না। এটির কেবল আপনার রেমিডিয়েশন পোর্টাল এবং প্রয়োজন হলে Windows আপডেট বা আপনার প্যাচ ম্যানেজমেন্ট সার্ভারে অ্যাক্সেস থাকা উচিত। যদি আপনার কোয়ারেন্টাইন VLAN-এর প্রোডাকশন সিস্টেমে যাওয়ার কোনো রুট থাকে, তবে আপনি সুরক্ষার একটি মিথ্যা ধারণা তৈরি করেছেন। চতুর্থ: ব্যতিক্রম এবং বাইপাস প্রক্রিয়া। প্রতিটি প্রতিষ্ঠানে এমন কিছু ডিভাইস থাকে যা এজেন্ট চালাতে পারে না - যেমন প্রিন্টার, IoT সেন্সর, বিল্ডিং ম্যানেজমেন্ট সিস্টেম। ক্ষতিপূরণমূলক নিয়ন্ত্রণ সহ এই ডিভাইসগুলোকে MAC অথেন্টিকেশন বাইপাস দেওয়ার জন্য আপনার একটি ডকুমেন্টেড, অনুমোদিত প্রক্রিয়া প্রয়োজন। আপনি যদি এই প্রক্রিয়াটি আগে থেকে নির্ধারণ না করেন, তবে আপনার কাছে এমন একটি অনানুষ্ঠানিক হোয়াইটলিস্ট তৈরি হবে যার কোনো মালিক নেই এবং কেউ তা অডিট করে না। স্ট্যান্ডার্ডের দৃষ্টিকোণ থেকে, আপনার অপারেটিং সিস্টেম প্ল্যাটফর্মগুলোর জন্য CIS বেঞ্চমার্কের সাথে আপনার পোস্টার পলিসি সামঞ্জস্যপূর্ণ করুন। এগুলো ভেন্ডর-নিরপেক্ষ, নিয়মিত আপডেট করা হয় এবং এন্টারপ্রাইজ এন্ডপয়েন্ট সিকিউরিটির জন্য বেসলাইন হিসেবে ব্যাপকভাবে স্বীকৃত। PCI-DSS পরিবেশের জন্য, প্যাচ ম্যানেজমেন্টের প্রয়োজনীয়তা 6.3 এবং অ্যান্টি-ম্যালওয়্যারের প্রয়োজনীয়তা 5.3 সরাসরি আপনার পোস্টার চেক ক্যাটাগরির সাথে ম্যাপ করে। এখন কয়েকটি দ্রুত প্রশ্নোত্তর দেখা যাক। BYOD ডিভাইসের জন্য কি NAC posture assessment কাজ করতে পারে? হ্যাঁ, তবে আপনার একটি পৃথক পলিসি ট্র্যাকের প্রয়োজন। BYOD ডিভাইসগুলি সাধারণত একটি ভিন্ন EAP পদ্ধতির মধ্য দিয়ে যায় - মেশিন সার্টিফিকেটের সাথে EAP-TLS-এর পরিবর্তে ব্যবহারকারীর ক্রেডেনশিয়াল সহ EAP-PEAP - এবং আরও সীমাবদ্ধ নেটওয়ার্ক সেগমেন্ট লাভ করে। BYOD-এর জন্য Posture চেকগুলি সাধারণত তুলনামূলকভাবে হালকা হয়: OS সংস্করণ, মৌলিক AV উপস্থিতি, স্ক্রিন লক সক্রিয় থাকা। এটি একটি গেস্ট WiFi নেটওয়ার্কের সাথে কীভাবে ইন্টারঅ্যাক্ট করে? এটি করে না, এবং করা উচিতও নয়। গেস্ট WiFi একটি সম্পূর্ণ পৃথক SSID এবং নেটওয়ার্ক সেগমেন্ট, যা আপনার কর্পোরেট পরিকাঠামো থেকে সম্পূর্ণ বিচ্ছিন্ন। NAC posture assessment শুধুমাত্র আপনার কর্পোরেট SSID-এর ক্ষেত্রে প্রযোজ্য। এই দুটি নেটওয়ার্ক কখনই একটি VLAN শেয়ার করা বা একে অপরের সাথে রুট করা উচিত নয়। একটি সম্পূর্ণ NAC ডিপ্লয়মেন্টের জন্য সাধারণ সময়সীমা কত? একটি মাঝারি আকারের এন্টারপ্রাইজের জন্য - ধরা যাক, একাধিক সাইট জুড়ে পাঁচশ থেকে দুই হাজার এন্ডপয়েন্ট - ডিজাইন থেকে শুরু করে সম্পূর্ণ প্রয়োগ পর্যন্ত বারো থেকে ষোলো সপ্তাহ সময় দিন। এর মধ্যে PKI সেটআপ, এজেন্ট ডিপ্লয়মেন্ট, মনিটর মোড, রেমিডিয়েশন এবং ধাপে ধাপে প্রয়োগের রোলআউট অন্তর্ভুক্ত রয়েছে। পরিশেষে বলা যায়: NAC posture assessment হলো এমন একটি প্রক্রিয়া যা নিশ্চিত করে যে আপনার নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল ফ্রেমওয়ার্ক কার্যকর রয়েছে। শুধুমাত্র পরিচয় - কে সংযোগ করছে তা জানা - যথেষ্ট নয়। আপনাকে ডিভাইসের নিরাপত্তা অবস্থা জানতে হবে, পলিসির বিপরীতে এটি যাচাই করতে হবে এবং অ-অনুবর্তীতার জন্য ব্যবস্থা প্রয়োগ করতে হবে। এই আর্কিটেকচারটি পরিপক্ক এবং 802.1X, RADIUS এবং EAP-TLS-এর চারপাশে সু-মানসম্মত। বাস্তবায়নের চ্যালেঞ্জগুলি বাস্তবসম্মত কিন্তু আপনি যদি ধাপে ধাপে পদ্ধতি অনুসরণ করেন তবে তা পরিচালনাযোগ্য। আপনার তাৎক্ষণিক পরবর্তী পদক্ষেপগুলি: আপনার বিদ্যমান MDM বা এন্ডপয়েন্ট ম্যানেজমেন্ট টুলিং ব্যবহার করে posture কমপ্লায়েন্সের জন্য আপনার বর্তমান এন্ডপয়েন্ট এস্টেট অডিট করুন। আপনার PKI প্রস্তুতি মূল্যায়ন করুন। কমপ্লায়েন্ট, কন্ডিশনাল এবং কোয়ারেন্টাইন সেগমেন্টের জন্য আপনার VLAN আর্কিটেকচার ডিজাইন করুন। এবং আপনি প্রয়োগ করার আগে একটি মনিটর-মোড ডিপ্লয়মেন্টের পরিকল্পনা করুন। যেসব সংস্থা মিশ্র পরিবেশ পরিচালনা করছে - গেস্ট বা পাবলিক WiFi-এর পাশাপাশি কর্পোরেট ব্যাক-অফ-হাউস - তাদের জন্য Purple-এর মতো প্ল্যাটফর্মগুলি গেস্ট-সাইড নেটওয়ার্ক ইন্টেলিজেন্স এবং অ্যানালিটিক্স প্রদান করে যা আপনার কর্পোরেট NAC ডিপ্লয়মেন্টকে পরিপূরক করে, এই দুটি জগতকে পরিচ্ছন্নভাবে পৃথক রেখে আপনাকে উভয় জুড়েই সম্পূর্ণ দৃশ্যমানতা প্রদান করে। শোনার জন্য ধন্যবাদ। আর্কিটেকচার ডায়াগ্রাম, কাজের উদাহরণ এবং কনফিগারেশন রেফারেন্সের জন্য Purple প্ল্যাটফর্মে সম্পূর্ণ লিখিত গাইডটি অন্বেষণ করুন।