Micro Segmentation क्या है और Zero Trust के लिए यह क्यों महत्वपूर्ण है

माइक्रो - सेगमेंटेशन एक सुरक्षा आर्किटेक्चर है जो नेटवर्क को सूक्ष्म, पृथक ट्रस्ट ज़ोन में विभाजित करता है, जिसमें व्यक्तिगत वर्कलोड, उपयोगकर्ता या डिवाइस शामिल हैं, ताकि शुरुआती सुरक्षा उल्लंघन के बाद हमलावरों को लेटरल मूवमेंट करने से रोका जा सके। UK में, 2025/2026 में पिछले 12 महीनों के दौरान 43% व्यवसायों, लगभग 612,000 संगठनों ने साइबर सुरक्षा उल्लंघन या हमले का अनुभव किया, जिससे खतरे को रोकना एक सैद्धांतिक डिज़ाइन प्राथमिकता के बजाय एक परिचालन आवश्यकता बन गया है (UK cyber security data)।

महत्वपूर्ण अंतर यह है कि माइक्रो-विभाजन अधिक VLANs बनाना नहीं है। यह उन प्रणालियों के बीच संकीर्ण रूप से दायरे वाली एक्सेस नीतियों को लागू करता है जो पहले से ही समान नेटवर्क, डेटा सेंटर, वायरलेस इंफ्रास्ट्रक्चर, या क्लाउड वातावरण को साझा कर सकती हैं। एक हैक किया गया लैपटॉप अभी भी उन सेवाओं तक पहुंच सकता है जिनकी उसे आवश्यकता है, लेकिन उसे स्वचालित रूप से फाइनेंस सर्वर, बिल्डिंग-मैनेजमेंट कंट्रोलर, डोमेन कंट्रोलर, या किसी अन्य उपयोगकर्ता के डिवाइस तक नहीं पहुंचना चाहिए।

वह अंतर पुराने और मिश्रित-विश्वास वाले UK एस्टेट में बहुत मायने रखता है। संगठन अक्सर पुराने एप्लिकेशनों, अनमैनेज्ड डिवाइसों, ऑपरेशनल टेक्नोलॉजी, ठेकेदार की पहुंच और अतिथि WiFi के साथ आधुनिक क्लाउड वर्कलोड का संचालन करते हैं। एक पेरिमीटर फ़ायरवॉल यह नियंत्रित कर सकता है कि एस्टेट में क्या प्रवेश करता है, लेकिन एक बार जब किसी हमलावर ने वैध क्रेडेंशियल प्राप्त कर लिए हों या आंतरिक एंडपॉइंट से समझौता कर लिया हो, तो वह अकेले हर ईस्ट-वेस्ट कनेक्शन को नियंत्रित नहीं कर सकता है।

UK नेटवर्क के लिए माइक्रो सेगमेंटेशन क्यों आवश्यक हो गया है

यूके सरकार के नवीनतम ब्रीच सर्वेक्षण का अनुमान है कि 43% व्यवसायों, लगभग 612,000 संगठनों ने पिछले 12 महीनों में ब्रीच या हमले का अनुभव किया, जबकि लगभग 19%, लगभग 267,000 व्यवसाय, कम से कम एक साइबर अपराध के शिकार थे (यूके ब्रीच और हमले के आंकड़े)। यही स्रोत हर व्यवसाय आकार बैंड में साइबर अपराध को रिकॉर्ड करता है, जिसमें 17% सूक्ष्म व्यवसायों से लेकर 48% बड़े व्यवसाय शामिल हैं। रोकथाम अब हर आकार के संगठनों के लिए एक परिचालन आवश्यकता है, न कि केवल वित्तीय संस्थानों या सरकारी विभागों तक सीमित चिंता।

एक परिधि मॉडल सुरक्षा निर्णयों को किनारे पर केंद्रित करता है। फायरवॉल, एज इंट्रूशंन डिटेक्शन, रिमोट-एक्सेस गेटवे और व्यापक VLAN सीमाएं अभी भी महत्वपूर्ण भूमिकाएं निभाती हैं, लेकिन वे एक संपत्ति के अंदर हर वर्कलोड-टू-वर्कलोड कनेक्शन का निरीक्षण या नियंत्रण नहीं कर सकती हैं। फ़िशिंग, चोरी किए गए क्रेडेंशियल्स, एक असुरक्षित सेवा, या एक कमजोर एंडपॉइंट द्वारा पहुंच प्रदान करने के बाद, एक सपाट आंतरिक नेटवर्क हमलावर को जांच करने और आगे बढ़ने की गुंजाइश देता है।

ब्लास्ट-रेडियस की समस्या

पुराने UK एस्टेट अक्सर विभागों, भवनों या तकनीकी कार्यों के इर्द-गिर्द व्यवस्थित होते हैं। वे व्यापक क्षेत्र प्रशासन के लिए उपयोगी बने हुए हैं, फिर भी उनकी सीमाएं आधुनिक एक्सेस कंट्रोल के लिए बहुत अधिक सामान्य हो सकती हैं। स्टाफ सबनेट पर एक डिवाइस फ़ाइल सेवाओं, प्रिंट सिस्टम, प्रबंधन इंटरफेस, एप्लिकेशन सर्वर और अन्य एंडपॉइंट्स तक पहुंच सकता है, बिना इसके कि प्रत्येक रूट को एक विशिष्ट व्यावसायिक औचित्य प्राप्त हो।

माइक्रो-सेगमेंटेशन छोटे विश्वास क्षेत्र बनाता है और उनके भीतर के संबंधों पर नीति लागू करता है। एक नियम पॉइंट-ऑफ-सेल टर्मिनल को उसकी भुगतान सेवा से संपर्क करने, एक नैदानिक उपकरण को नामित प्रबंधन प्लेटफॉर्म तक पहुंचने, या एक एप्लीकेशन टियर को अपने डेटाबेस से क्वेरी करने की अनुमति दे सकता है। सिस्टम द्वारा स्विचिंग इंफ्रास्ट्रक्चर साझा करने पर भी असंबंधित पथों को अस्वीकार किया जा सकता है।

UK के सर्वेक्षण में सबसे हालिया सर्वेक्षण वर्ष में UK व्यवसायों को प्रभावित करने वाले लगभग 8.58 मिलियन साइबर अपराधों का भी अनुमान लगाया गया है, जबकि रिपोर्ट की गई उल्लंघन की व्यापकता 2024/2025 और 2025/2026 दोनों में 43% पर बनी रही, जो कि 2023/2024 में 50% थी (UK cyber security statistics)। लगातार बने रहने वाले खतरों के कारण केवल-पेरिमीटर नियंत्रण मिश्रित-ट्रस्ट संपत्तियों के लिए अनुपयुक्त साबित होते हैं।

व्यावहारिक नियम: मान लें कि कोई हमलावर अंततः आंतरिक नेटवर्क में अपनी जगह बना ही लेगा। यह परिभाषित करें कि वह जगह नेटवर्क के कितने हिस्से तक पहुँच सकती है, और फिर परीक्षण की गई नीतियों के माध्यम से उस पहुँच को सीमित करें।

शून्य विश्वास (Zero Trust) यह रणनीतिक सिद्धांत प्रदान करता है कि नेटवर्क स्थान से विरासत में मिलने के बजाय पहुंच को सत्यापित और सीमित किया जाना चाहिए। माइक्रो-सेगमेंटेशन वह प्रवर्तन परत (enforcement layer) है जो उस सिद्धांत को ट्रैफ़िक निर्णयों में बदल देती है। UK सार्वजनिक क्षेत्र का नेटवर्क मार्गदर्शन कार्य, डेटा संवेदनशीलता, उपयोगकर्ता समूहों और सेवा की गंभीरता के आधार पर बारीक, पृथक ज़ोन की मांग करता है, जिसमें उत्पादन, विकास, परीक्षण और प्रशिक्षण वातावरण के बीच अलगाव शामिल है (UK zero-trust network guidance)।

परिनियोजन तब सफल होता है जब टीमें लागू करने से पहले निर्भरताओं का मानचित्रण करती हैं। लीगेसी परिवेशों में, एक बिना दस्तावेजीकरण वाला सर्विस कॉल या प्रबंधन कनेक्शन किसी महत्वपूर्ण प्रक्रिया का समर्थन कर सकता है, इसलिए नीतियों को पहले निगरानी मोड में शुरू करना चाहिए, फिर एक सीमित पायलट के माध्यम से आगे बढ़ना चाहिए, और अपवादों के सत्यापित होने पर इसका विस्तार करना चाहिए। आर्किटेक्चरल संदर्भ के लिए, network segmentation for UK businesses वर्कलोड-स्तर के नियंत्रण पेश किए जाने से पहले व्यापक सीमाओं को समझाता है।

वायरलेस एक्सेस भी इसी डिज़ाइन का हिस्सा है। कर्मचारी, ठेकेदार और मेहमान एक ही बिल्डिंग इंफ्रास्ट्रक्चर का उपयोग कर सकते हैं, लेकिन पहचान-आधारित WiFi प्लेटफॉर्म जैसे कि enterprise WiFi security guide उपयोगकर्ता और डिवाइस के संदर्भ को विभाजन निर्णयों में फीड कर सकते हैं, जिससे WiFi को एक अलग सुरक्षा डोमेन के रूप में माने बिना विभिन्न एक्सेस नीतियों को लागू करने में मदद मिलती है।

माइक्रो सेगमेंटेशन वास्तव में कैसे काम करता है

एक उपयोगी सादृश्य एक सुरक्षित कार्यालय भवन का है। परिमिति फ़ायरवॉल सामने का दरवाजा है। यह नियंत्रित करता है कि बाहर से भवन में कौन प्रवेश करता है। VLANs फर्श हैं, जो कर्मचारियों, मेहमानों, सर्वर या सुविधाओं के उपकरण जैसे व्यापक समूहों को अलग करते हैं। माइक्रो-सेगमेंट व्यक्तिगत कमरे हैं, जिनमें से प्रत्येक का अपना लॉक और एक नीति है जो यह बताती है कि कौन या क्या प्रवेश कर सकता है।

यह नीति आम तौर पर डिफ़ॉल्ट-रूप-से-अस्वीकार (deny-by-default) की स्थिति से शुरू होती है। प्लेटफॉर्म दो वर्कलोड, उपयोगकर्ताओं या उपकरणों के बीच संबंध का निरीक्षण करता है, फिर केवल तभी अनुमति देता है जब कोई परिभाषित व्यावसायिक आवश्यकता मौजूद हो। महत्वपूर्ण विवरण यह है कि यह नियंत्रण आंतरिक संस्थाओं के बीच काम करता है, न कि केवल कॉर्पोरेट नेटवर्क और इंटरनेट के बीच।

जहाँ नीति लागू की जाती है

लागू करने का बिंदु (enforcement point) यह निर्धारित करता है कि सिस्टम क्या देख सकता है और वह कितनी सटीकता से कार्रवाई कर सकता है।

• एक हाइपरवाइजर या वर्चुअल स्विच हर फ्लो को भौतिक फ़ायरवॉल पर भेजे बिना वर्चुअल मशीनों के बीच ट्रैफ़िक का निरीक्षण कर सकता है। यह वर्चुअलाइज़्ड एप्लिकेशन एस्टेट्स के लिए उपयुक्त है।
• एक होस्ट ऑपरेटिंग सिस्टम फ़ायरवॉल वर्कलोड के करीब नियंत्रण लागू करता है और विभिन्न नेटवर्क स्थानों पर मौजूद सिस्टम की सुरक्षा कर सकता है।
• एक नेटवर्क फैब्रिक या सॉफ़्टवेयर-परिभाषित नेटवर्क (SDN) स्विच, राउटर या गेटवे पर नीति लागू करता है। यह एंडपॉइंट परिवर्तनों से बचाता है लेकिन आम तौर पर व्यापक नेटवर्क विशेषताओं के साथ काम करता है।
• एक पहचान-जागरूक एक्सेस प्लेटफ़ॉर्म केवल एक एड्रेस पर भरोसा करने के बजाय किसी व्यक्ति, डिवाइस, भूमिका या प्रमाणीकरण परिणाम के साथ निर्णय को जोड़ सकता है।

यह अंतिम बिंदु महत्वपूर्ण है क्योंकि IP पते बदलते रहते हैं। वर्चुअल मशीनें माइग्रेट होती हैं, DHCP लीज समाप्त हो जाती है, डिवाइस एक्सेस पॉइंट्स के बीच रोम करते हैं, और क्लाउड संसाधन फिर से बनाए जाते हैं। केवल एक पते से जुड़ा नियम गलत हो सकता है। वर्कलोड पहचान, एप्लिकेशन भूमिका, डिवाइस की स्थिति, या प्रमाणित उपयोगकर्ता संदर्भ से जुड़े नियम में उस चीज़ का अनुसरण करने का बेहतर मौका होता है जिसकी सुरक्षा के लिए इसे बनाया गया है।

ईस्ट-वेस्ट ट्रैफिक ही मुख्य अंतर है

उत्तर-दक्षिण ट्रैफ़िक परिधि को पार करता है, जैसे कि कोई उपयोगकर्ता इंटरनेट ब्राउज़ कर रहा हो या कोई बाहरी क्लाइंट किसी प्रकाशित एप्लिकेशन तक पहुँच रहा हो। पूर्व-पश्चिम ट्रैफ़िक एस्टेट के अंदर चलता है, जैसे कि कोई एप्लिकेशन डेटाबेस को कॉल कर रहा हो या कोई एंडपॉइंट फ़ाइल सर्वर से संपर्क कर रहा हो। हमलावर पहुँच प्राप्त करने के बाद पूर्व-पश्चिम मार्गों पर निर्भर रहते हैं।

माइक्रो - सेगमेंटेशन इन आंतरिक गतिविधियों को सीधे नियंत्रित करता है। यह एप्लीकेशन-टू-डेटाबेस प्रवाह की अनुमति दे सकता है, जबकि एंडपॉइंट-टू-डेटाबेस एक्सेस को ब्लॉक कर सकता है, भले ही दोनों सिस्टम एक बड़े सर्वर या कैंपस ज़ोन के भीतर हों। वायरलेस संपत्तियों में, पहचान-संचालित डिज़ाइन ऑथेंटिकेशन को नेटवर्क प्लेसमेंट में बदलने में भी मदद करता है। iPSK subnet designer जैसे टूल उन डिवाइसों के लिए जानबूझकर अलगाव का समर्थन कर सकते हैं जो आधुनिक उपयोगकर्ता ऑथेंटिकेशन का उपयोग नहीं कर सकते हैं।

परिचालन चुनौती सही पॉलिसी ग्रैन्युलैरिटी को चुनने की है। एक नियम जो बहुत व्यापक है वह अंतर्निहित विश्वास को फिर से पैदा करता है। एक नियम जो बहुत संकीर्ण है वह वैध निर्भरताओं को बाधित कर सकता है। प्रभावी परिनियोजन देखे गए संचार के साथ शुरू होते हैं और फिर अनुमत मार्गों को परिष्कृत करते हैं।

एजेंट-आधारित, नेटवर्क-आधारित और होस्ट-आधारित दृष्टिकोणों की तुलना

कार्यान्वयन मॉडल एस्टेट के अनुसार भिन्न होते हैं। सही विकल्प ऑपरेटिंग सिस्टम, स्वामित्व सीमाओं, दृश्यता आवश्यकताओं और एंडपॉइंट परिवर्तन के प्रति संवेदनशीलता पर निर्भर करता है। एक मिश्रित-विश्वास वाले UK वातावरण में, कागज़ पर पसंदीदा आर्किटेक्चर की तुलना में ये सीमाएँ अक्सर अधिक मायने रखती हैं।

एजेंट-आधारित नियंत्रण (Agent-based controls) प्रत्येक सुरक्षित वर्कलोड पर एक लाइटवेट घटक स्थापित करते हैं। एजेंट प्रोसेस-लेवल कम्युनिकेशन्स की पहचान कर सकता है और ऑपरेटिंग सिस्टम के करीब पॉलिसी लागू कर सकता है। यह क्लाउड और वर्चुअलाइज्ड वर्कलोड के अनुकूल है, जहां भौतिक नेटवर्क प्लेसमेंट की तुलना में वर्कलोड की पहचान अक्सर बदल सकती है। यह सुरक्षा टीमों को इस बारे में अधिक स्पष्ट प्रमाण भी देता है कि किस प्रोसेस ने कनेक्शन शुरू किया था।

इसका नुकसान परिनियोजन प्रयास है। लीगेसी ऑपरेटिंग सिस्टम, असमर्थित उपकरण, कड़े नियंत्रित प्रोडक्शन सर्वर और अप्रबंधित डिवाइस किसी एजेंट को स्वीकार नहीं कर सकते हैं। टीमों को संस्करण प्रबंधन, स्वास्थ्य निगरानी, अपवाद हैंडलिंग और औपचारिक अनुमोदन के लिए प्रक्रियाओं की आवश्यकता होती है जहाँ सॉफ़्टवेयर इंस्टॉलेशन प्रोडक्शन को प्रभावित करता है।

नेटवर्क-आधारित नियंत्रण स्विच, राउटर, गेटवे, या सॉफ़्टवेयर-डिफाइंड फैब्रिक पर नीति लागू करते हैं। वे प्रत्येक एंडपॉइंट में परिवर्तनों से बचते हैं, जिससे वे कैंपस नेटवर्क, IoT, गेस्ट इंफ्रास्ट्रक्चर और ऐसे उपकरणों के लिए व्यावहारिक बन जाते हैं जो एजेंट नहीं चला सकते। उनकी सीमा संदर्भ की कमी है। वे एक एन्क्रिप्टेड ईस्ट-वेस्ट प्रवाह के पीछे की प्रक्रिया की पहचान किए बिना एड्रेस, पोर्ट, सेगमेंट या डिवाइस श्रेणी द्वारा ट्रैफ़िक को वर्गीकृत कर सकते हैं।

होस्ट-आधारित नियंत्रण (Host-based controls) नेटिव ऑपरेटिंग-सिस्टम फ़ायरवॉल और सेंट्रल कॉन्फ़िगरेशन मैनेजमेंट का उपयोग करते हैं। मिश्रित-विश्वास वाले एस्टेट के लिए, यह एक अन्य प्रवर्तन प्लेटफ़ॉर्म जोड़े बिना एक व्यावहारिक प्रारंभिक बिंदु प्रदान कर सकता है। यह नियंत्रण अभी भी अनुशासित परिनियोजन, ऑडिटिंग और सिस्टम बदलने पर हटाने पर निर्भर करता है। असंगत कॉन्फ़िगरेशन पॉलिसी में भटकाव पैदा करता है और बाद में समस्या निवारण को कठिन बनाता है।

मानदंड	एजेंट-आधारित (Agent-Based)	नेटवर्क-आधारित (Network-Based)	होस्ट-आधारित (Host-Based)
लागू करने का स्थान	वर्कलोड या एंडपॉइंट	स्विच, राउटर, गेटवे, या फैब्रिक	नेटिव ऑपरेटिंग सिस्टम फ़ायरवॉल
विजिबिलिटी	अक्सर प्रोसेस और वर्कलोड के प्रति संवेदनशील	आमतौर पर नेटवर्क और फ्लो के प्रति संवेदनशील	सुरक्षित होस्ट पर मजबूत स्थिति
लीगेसी अनुकूलता	ऑपरेटिंग सिस्टम या एप्लायंस द्वारा सीमित हो सकती है	उन डिवाइस के लिए उपयुक्त जो एजेंट नहीं चला सकते	ऑपरेटिंग सिस्टम की क्षमता पर निर्भर
परिचालन का बोझ	एजेंट रोलआउट, अपग्रेड और हेल्थ चेक	फैब्रिक डिज़ाइन, इंटीग्रेशन और नियम प्रबंधन	कॉन्फ़िगरेशन नियंत्रण और पॉलिसी निरंतरता
सर्वोत्तम उपयुक्तता	डेटा सेंटर और क्लाउड वर्कलोड	कैंपस, IoT, गेस्ट और अप्रबंधित एस्टेट	मिश्रित एस्टेट और क्रमिक कार्यक्रम
मुख्य कमजोरी	कवरेज में कमियां जहां एजेंट इंस्टॉल नहीं किए जा सकते	कमजोर पहचान और प्रोसेस संदर्भ (कॉन्टेक्स्ट)	व्यापक स्तर पर प्रबंधन की जटिलता

हाइब्रिड परिनियोजन यह दर्शाते हैं कि वास्तविक संपत्तियां कैसे बनाई जाती हैं। एक उद्यम एप्लीकेशन वर्कलोड के लिए एजेंटों के माध्यम से, कैमरों और भवन प्रणालियों के लिए नेटवर्क नियंत्रणों के माध्यम से, और दोनों समूहों के बीच बैठे सर्वरों के लिए होस्ट फ़ायरवॉल के माध्यम से नीतियां लागू कर सकता है। डिज़ाइन को हर डिवाइस को एक मॉडल में मजबूर करने के बजाय, निर्भरता मैपिंग और चरणबद्ध प्रवर्तन का पालन करना चाहिए।

पहचान सेवाएं एक अलग नियंत्रण इनपुट जोड़ती हैं। एक cloud RADIUS provider प्रमाणीकरण घटनाओं को भूमिका-आधारित नेटवर्क एक्सेस के साथ जोड़ सकता है, जिससे एक्सेस लेयर पर उपयोगकर्ताओं या डिवाइस की पहचान के लिए पॉलिसी असाइन करने में मदद मिलती है। यह WiFi और अन्य साझा बुनियादी ढांचे के लिए सेगमेंटेशन का समर्थन करता है, लेकिन यह वर्कलोड-स्तर के नियंत्रण या होस्ट फ़ायरवॉल को प्रतिस्थापित नहीं करता है।

सबसे मजबूत डिज़ाइन आमतौर पर हर डिवाइस को एक आधुनिक क्लाउड वर्कलोड मानने के बजाय मौजूदा नेटवर्क सीमाओं को स्वीकार करता है।

WiFi से मल्टी-टेनेंट परिवेशों तक के वास्तविक दुनिया के व्यावहारिक उदाहरण

माइक्रो-सेगमेंटेशन को सही ठहराना तब आसान हो जाता है जब यह किसी स्पष्ट एक्सेस समस्या का समाधान करता है। अतिथि WiFi इसका एक सीधा उदाहरण है। एक विज़िटर को इंटरनेट एक्सेस की आवश्यकता होती है, लेकिन उसे कर्मचारियों के अनुप्रयोगों तक का मार्ग विरासत में नहीं मिलना चाहिए क्योंकि दोनों नेटवर्क एक ही एक्सेस पॉइंट और स्विचिंग एस्टेट का उपयोग करते हैं।

एक पहचान-आधारित प्लेटफॉर्म प्रमाणीकरण के बाद उपयोगकर्ताओं को विभिन्न VLANs या ट्रस्ट ज़ोन में असाइन कर सकता है। कर्मचारियों के क्रेडेंशियल एक एक्सेस प्रोफ़ाइल तैयार कर सकते हैं, ठेकेदार दूसरा, और अतिथि एक प्रतिबंधित प्रोफ़ाइल प्राप्त कर सकते हैं। यह एक साझा अतिथि पासवर्ड पर निर्भर रहने की तुलना में अधिक सुरक्षित है, क्योंकि लीक हुआ पासवर्ड स्वचालित रूप से आंतरिक नेटवर्क की कुंजी नहीं बनता है।

IoT और स्वास्थ्य सेवा परिवेश

IoT डिवाइस एक अलग पॉलिसी मॉडल के हकदार हैं क्योंकि उनके पास अक्सर सीमित सुरक्षा क्षमता और लंबे प्रतिस्थापन चक्र होते हैं। एक CCTV कैमरे को रिकॉर्डिंग प्लेटफ़ॉर्म और प्रबंधन सेवा तक पहुँचने की आवश्यकता हो सकती है, लेकिन इसे उपयोगकर्ता के लैपटॉप से कनेक्शन शुरू नहीं करना चाहिए। एक HVAC नियंत्रक को सुविधा-प्रबंधन पथ की आवश्यकता हो सकती है, जबकि एक भुगतान टर्मिनल को केवल अपने स्वीकृत भुगतान और प्रबंधन सेवाओं के साथ संचार करना चाहिए।

हेल्थकेयर संपत्तियां परिचालन संवेदनशीलता को बढ़ाती हैं। नैदानिक उपकरण, प्रशासनिक एंडपॉइंट, रोगियों से संबंधित सेवाएं और सुविधाओं की प्रणालियों के पास अलग-अलग स्वामित्व और उपलब्धता की आवश्यकताएं हो सकती हैं। समझदारी भरा दृष्टिकोण यह है कि आवश्यक फ्लो को परिभाषित किया जाए, डिवाइस समूहों को अलग किया जाए, और हर डिवाइस को एक अनुमेय "विश्वसनीय" नेटवर्क में रखने के बजाय अपवादों की निगरानी की जाए।

मल्टी-टेनेंट व्यावसायिक संपत्ति

मल्टी-टेनेंट इमारतें एक अलग प्रकार की सीमा समस्या उत्पन्न करती हैं। एक मकान मालिक साझा भौतिक कनेक्टिविटी प्रदान कर सकता है जबकि प्रत्येक किरायेदार दूसरे किरायेदार से लॉजिकल अलगाव की अपेक्षा करता है। प्रत्येक किरायेदार को अपनी स्वयं की एक्सेस पॉलिसी, प्रशासनिक सीमा और स्वीकृत साझा सेवाओं, जैसे इंटरनेट एक्सेस या भवन की सुविधाओं के लिए मार्ग की आवश्यकता होती है।

पॉलिसी-एज-कोड ऑनबोर्डिंग को दोहराने योग्य बना सकता है। प्रत्येक नए किराएदार के लिए मैन्युअल रूप से स्विच कॉन्फ़िगरेशन को बदलने के बजाय, ऑपरेटर एक टेनेंट प्रोफ़ाइल को परिभाषित करता है और इसे नेटवर्क और पहचान प्रणालियों के माध्यम से लागू करता है। इसका परिणाम ऐसा अलगाव होता है जिसे वायर्ड एक्सेस, वायरलेस एक्सेस, और SD-WAN किनारों तक बढ़ाया जा सकता है।

इस मॉडल का मूल्यांकन करने वाली टीमों को पृथक किरायेदारों और केवल अलग खातों के बीच के अंतर को समझना चाहिए। SaaS किरायेदारों को समझने का एक व्यावहारिक विवरण उपयोगी है क्योंकि यही सिद्धांत नेटवर्क सेवाओं पर भी लागू होता है, यानी साझा बुनियादी ढांचे का मतलब साझा विश्वास होना आवश्यक नहीं है।

Purple उपयोगकर्ता या डिवाइस पहचान के अनुसार नेटवर्क एक्सेस असाइन करने के लिए पहचान प्रदाताओं और RADIUS के साथ एकीकृत हो सकता है, जिसमें मल्टी-टेनेंट WiFi के लिए डायनामिक भूमिका-आधारित प्लेसमेंट और अलगाव शामिल है। व्यावहारिक रूप से, यह इसे एक व्यापक विभाजन आर्किटेक्चर का एक घटक बनाता है। एक्सेस प्लेटफॉर्म यह तय करता है कि कनेक्शन कहां से संबंधित है, जबकि फायरवॉल, स्विच, होस्ट और वर्कलोड नियंत्रण यह निर्धारित करते हैं कि वह कनेक्शन कहां तक पहुंच सकता है।

माइक्रो सेगमेंटेशन जोखिम को सबसे अधिक कहाँ कम करता है

माइक्रो-सेगमेंटेशन मुख्य रूप से डेटा-सेंटर अनुपालन का अभ्यास नहीं है। यह सबसे अधिक मूल्य वहां प्रदान करता है जहां एक ट्रस्ट ग्रुप में सेंधमारी दूसरे बिल्कुल अलग परिचालन भूमिका वाले सिस्टम को खतरे में डाल सकती है।

NCSC का ऑपरेशनल टेक्नोलॉजी मार्गदर्शन माइक्रो-सेगमेंटेशन को वर्कलोड, एप्लिकेशन्स या डिवाइस कार्यों के आधार पर ज़ोन को छोटी इकाइयों में विभाजित करने के रूप में वर्णित करता है, जो संभावित रूप से व्यक्तिगत डिवाइस, सेवाओं या प्रोटोकॉल तक हो सकता है (NCSC OT माइक्रो-सेगमेंटेशन मार्गदर्शन)। हर परिवेश को एक सामान्य IP नेटवर्क के रूप में मानने की तुलना में वह ढांचा अधिक उपयोगी है। एक औद्योगिक नियंत्रक, एक बिल्डिंग-मैनेजमेंट सिस्टम और एक कॉर्पोरेट लैपटॉप को अलग-अलग सुरक्षा और अलग-अलग संचार नियमों की आवश्यकता होती है।

महंगे विफलता पथों (failure paths) को प्राथमिकता दें

एक फ्लैट कैंपस नेटवर्क एंडपॉइंट्स, फ़ाइल सेवाओं, प्रिंट सिस्टम, वॉयस प्लेटफॉर्म और प्रशासनिक इंटरफेस के बीच अनावश्यक मार्ग बनाता है। इसका समाधान हमेशा पूरी तरह से रीडिज़ाइन करना नहीं होता है। विशेषाधिकार प्राप्त प्रशासन, संवेदनशील सर्वर, तृतीय-पक्ष एक्सेस और डिवाइस श्रेणियों के आस-पास एक लक्षित नीति सबसे पहले सबसे खतरनाक मार्गों को हटा सकती है।

जोखिम हॉटस्पॉट	सेगमेंटेशन रणनीति	ब्लास्ट-रेडियस (नुकसान का दायरा) में कमी
गेस्ट एक्सेस	गेस्ट पहचान और ट्रैफ़िक को कॉर्पोरेट सेवाओं से अलग करना, जहां उपयुक्त हो केवल इंटरनेट पॉलिसी के साथ	एक गेस्ट के प्रभावित होने पर भी वह गेस्ट ट्रस्ट ज़ोन के भीतर ही सीमित रहता है
IoT डिवाइस	केवल आवश्यक प्रबंधन और सर्विस फ्लो की अनुमति देना	एक असुरक्षित डिवाइस उपयोगकर्ता या सर्वर नेटवर्क की स्वतंत्र रूप से जांच नहीं कर सकता
कॉन्ट्रैक्टर एक्सेस	प्रतिबंधित रूट के साथ एक समय-बाध्य या भूमिका-विशिष्ट ज़ोन असाइन करना	थर्ड-पार्टी क्रेडेंशियल सामान्य आंतरिक पहुंच प्रदान नहीं करते हैं
लीगेसी एप्लिकेशन सर्वर	जहां एजेंट व्यावहारिक नहीं हैं वहां होस्ट या नेटवर्क नियंत्रण का उपयोग करना, फिर डॉक्यूमेंटेड डिपेंडेंसी की अनुमति देना	एक प्रभावित लीगेसी वर्कलोड के पास आस-पास के सिस्टम तक जाने के बहुत कम रास्ते होते हैं
OT और सुविधा सिस्टम	परिचालन क्षेत्रों को कॉर्पोरेट IT से अलग करना और अंतर-क्षेत्र संचार की जांच करना	IT में रैनसमवेयर के लिए सुरक्षा या उपलब्धता-संवेदनशील प्रणालियों में प्रवेश करना कठिन हो जाता है

NCSC सेगमेंटेशन के निर्णयों को इस बात पर आधारित करने की सलाह देता है कि संपत्तियों को किस सुरक्षा की आवश्यकता है, अन्य संपत्तियों के साथ बातचीत करने की उनकी आवश्यकता क्या है, और उनकी अखंडता पर किस हद तक भरोसा किया जाता है। यह संगठनात्मक चलन के अनुसार सेगमेंट करने के बजाय जोखिम-आधारित प्राथमिकता को अधिक तर्कसंगत बनाता है।

प्रदर्शन संबंधी चिंताएं अभी भी परीक्षण की हकदार हैं। नीति निर्धारण, एन्क्रिप्शन, निरीक्षण विधि और डिवाइस क्षमता सभी परिणाम को प्रभावित करते हैं, इसलिए किसी आपूर्तिकर्ता का सामान्य प्रदर्शन दावा लक्षित एस्टेट में एक पायलट का विकल्प नहीं है। परिचालन ओवरहेड वास्तविक है, लेकिन उच्च-मूल्य वाले मार्गों को अस्पष्ट छोड़ने की लागत भी वास्तविक है।

पुराने सिस्टम को नुकसान पहुंचाए बिना माइक्रो सेगमेंटेशन लागू करना

सबसे सुरक्षित कार्यक्रम ब्लॉक करने से नहीं, बल्कि अवलोकन से शुरू होता है। मॉनिटर-ओनली मोड में, प्रोडक्शन ट्रैफिक को बदले बिना फ्लो रिकॉर्ड और एंडपॉइंट जानकारी एकत्र करें। नेटवर्क TAPs, NetFlow कलेक्टर, स्विच टेलीमेट्री और एजेंट-आधारित खोज यह प्रकट कर सकते हैं कि कौन से सिस्टम संचार करते हैं, कौन से कनेक्शन स्थायी हैं, और कौन से "अस्थायी" अपवाद व्यावसायिक निर्भरता बन गए हैं।

नियम लिखने से पहले नेटवर्क का पता लगाएं

केवल इन्वेंट्री ही काफी नहीं है। प्रत्येक एप्लिकेशन को उसकी सहायक सेवाओं, स्वामियों, डेटा संवेदनशीलता और परिचालन की गंभीरता के साथ मैप करें। गैर-दस्तावेजीकृत सेवा कॉल, प्रशासनिक पथ, बैकअप ट्रैफ़िक, मॉनिटरिंग कनेक्शन और वेंडर एक्सेस को रिकॉर्ड करें। वर्षों पुराने आर्किटेक्चर आरेख पर आधारित नीति जैसे ही वास्तविक सेटअप से टकराएगी, विफल हो जाएगी।

NCSC यह दस्तावेजीकरण करने की सिफारिश करता है कि सेगमेंटेशन की योजना, डिज़ाइन, कार्यान्वयन और निगरानी कैसे की जाएगी ताकि कोई भी समझौता उल्लंघन किए गए सेगमेंट तक ही सीमित रहे (NCSC segmentation planning guidance)। वह दस्तावेजीकरण एक परिचालन रिकॉर्ड होना चाहिए, न कि केवल एक बार का डिज़ाइन दस्तावेज़।

नियंत्रित प्रवर्तन के माध्यम से आगे बढ़ें

एक चरणबद्ध मार्ग का उपयोग करें:

1. खोजें (Discover): ईस्ट-वेस्ट फ्लो को कैप्चर करें और एसेट मालिकों, एप्लिकेशन्स, प्रोटोकॉल और अज्ञात डिवाइस की पहचान करें।
2. योजना बनाएं (Plan): व्यावसायिक कार्य, संवेदनशीलता, विश्वास और निर्भरता के आधार पर एसेट्स को समूहित करें। देखी गई आवश्यकताओं से अनुमति नीतियां तैयार करें।
3. पायलट (Pilot): एक प्रतिनिधि वर्कलोड समूह के खिलाफ नीतियों का परीक्षण करें, अधिमानतः शैडो या स्टेजिंग मोड में। पुष्टि करें कि मॉनिटरिंग, बैकअप, प्रशासन और सहायता पथ काम करना जारी रखते हैं।
4. लागू करें (Enforce): उच्च-विश्वास प्रतिबंधों के साथ शुरुआत करें, जैसे गेस्ट-टू-कॉरपोरेट एक्सेस या IoT-टू-डोमेन-कंट्रोलर पथ। सेवा मालिकों द्वारा परिणाम को मान्य करने के बाद ही विस्तार करें।

रोलबैक प्रक्रियाओं को व्यावहारिक रखें। यह परिभाषित करें कि कौन नीति को अक्षम कर सकता है, कौन सा परिवर्तन विंडो लागू होता है, कौन सा प्रमाण रोलबैक को ट्रिगर करता है, और निर्णय को कैसे रिकॉर्ड किया जाता है। उन विरासत प्रणालियों के लिए एक अपवाद रजिस्टर बनाए रखें जो एजेंटों या आधुनिक नियंत्रणों का समर्थन नहीं कर सकती हैं, जिसमें एक मालिक, क्षतिपूर्ति नियंत्रण, समीक्षा तिथि और हटाने की स्थिति शामिल हो।

परिनियोजन अनुशासन: यदि किसी अपवाद का कोई स्वामी नहीं है, तो वह अपवाद नहीं है। यह स्थायी गैर-दस्तावेजीकृत एक्सेस है।

क्षेत्र की रिपोर्टों द्वारा उद्धृत UK zero-trust शोध के अनुसार 92% संगठन वर्तमान में अपने नेटवर्क को विभाजित करते हैं, लेकिन यह व्यापक विभाजन को वर्कलोड-स्तर के माइक्रो-विभाजन से अलग करता है (UK zero-trust adoption data)। यह अंतर प्रोग्राम रिपोर्टिंग को आकार देने वाला होना चाहिए। एक विभाजित नेटवर्क का मतलब यह जरूरी नहीं है कि वह न्यूनतम-विशेषाधिकार नेटवर्क हो।

माइक्रो सेगमेंटेशन को अपनी Zero Trust रणनीति से जोड़ना

जीरो ट्रस्ट तब लागू करने योग्य हो जाता है जब माइक्रो-सेगमेंटेशन आंतरिक ट्रैफ़िक पर पहचान, डिवाइस संदर्भ, एप्लिकेशन स्वामित्व और न्यूनतम-विशेषाधिकार के निर्णयों को लागू करता है। उस प्रवर्तन बिंदु के बिना, सत्यापन अक्सर लॉगिन पर ही समाप्त हो जाता है।

निर्देशिका सेवाओं, RADIUS, एंडपॉइंट संकेतों, वर्कलोड पहचान और नीति इंजनों को कनेक्ट करें ताकि एक्सेस के निर्णय वायरलेस, वायर्ड, क्लाउड और SD-WAN वातावरण को प्रभावित कर सकें। UK के सार्वजनिक-क्षेत्र के एस्टेट में, यह मिश्रित-विश्वास नेटवर्क को समायोजित करते हुए प्रोडक्शन, विकास, परीक्षण और प्रशिक्षण के बीच अलगाव का समर्थन करता है।

नियंत्रणों को एक परिचालन अनुशासन के रूप में मानें। निर्भरताओं की समीक्षा करें, पुरानी विसंगतियों को हटाएँ, पॉलिसी परिवर्तनों का परीक्षण करें, और अनुप्रयोगों या स्वामित्व में बदलाव के साथ क्षेत्रों का पुनर्मूल्यांकन करें। एक उच्च-मूल्य वाले मार्ग से शुरू करें जिसके पास स्पष्ट व्यावसायिक स्वामित्व हो, फिर उसकी निर्भरताओं को समझने के बाद इसका विस्तार करें।

सबसे पहले अतिथि एक्सेस, विशेषाधिकार प्राप्त प्रशासन, IoT और सुविधा उपकरणों, और लीगेसी एप्लिकेशन निर्भरताओं का ऑडिट करें। एक ऐसी प्रवर्तन विधि चुनें जिसका प्रत्येक क्षेत्र समर्थन कर सके, आवश्यक प्रवाहों को दस्तावेज़बद्ध करें, और परिचालन जोखिम के आसपास नियंत्रणों को चरणबद्ध करें। यह what is micro segmentation को एक डिज़ाइन और शासन संबंधी प्रश्न के रूप में उपयोगी बनाता है।

Purple उपयोगकर्ताओं या उपकरणों के लिए RADIUS-संचालित नेटवर्क प्लेसमेंट और नीतियों के माध्यम से पहचान-आधारित WiFi एक्सेस को भूमिका और किरायेदार अलगाव के साथ जोड़ता है। यह मूल्यांकन करने के लिए Purple पर जाएं कि इसका नेटवर्किंग प्लेटफॉर्म अतिथि, कर्मचारी और बहु-किरायेदार वातावरण में व्यापक माइक्रो-सेगमेंटेशन और ज़ीरो-ट्रस्ट कार्यक्रम में कैसे फिट हो सकता है।