Enterprise WiFi Security: 2026 साठी एक संपूर्ण मार्गदर्शक

बहुतांश संस्था एका विचारपूर्वक आखलेल्या वायरलेस सुरक्षा धोरणाने सुरुवात करत नाहीत. त्यांना ते वारसाहक्काने मिळते. वर्षांपूर्वी एक कर्मचारी SSID सेट केला गेला होता, ऑनबोर्डिंग दरम्यान कोणीतरी तो पासवर्ड शेअर केला, तीच की वैयक्तिक फोन्स, टॅब्लेट्स, प्रिंटर्स, मीटिंग रूमच्या स्क्रीन्स आणि कधीतरी कंत्राटदाराच्या लॅपटॉपवर पोहोचली, आणि आता कोणालाही त्याला हात लावायचा नाही कारण तो बदलल्यास सर्वकाही विस्कळीत होईल.

काही थेट प्रश्न विचारण्यापूर्वी ही मांडणी सामान्य वाटते. सध्या पासवर्ड कोणाला माहीत आहे? कोणती उपकरणे तो वापरत आहेत? जेव्हा एखादा कर्मचारी वाईट अटींवर कंपनी सोडतो तेव्हा काय होते? संपूर्ण साइट रि-की न करता तुम्ही एका उपकरणाचा प्रवेश रद्द करू शकता का? अनेक वातावरणात, या चारही प्रश्नांचे उत्तर "सहजपणे नाही" असेच काहीसे असते.

हाच एंटरप्राइझ WiFi सुरक्षेच्या केंद्रस्थानी असलेला मोठा फरक आहे. केवळ एन्क्रिप्शन हाच मुद्दा नाही. तो ओळख, नियंत्रण आणि प्रति वापरकर्ता, प्रति उपकरण आणि प्रति सेशन प्रवेशाचे निर्णय घेण्याची क्षमता याबद्दल आहे. आधुनिक वायरलेस नेटवर्कने सामायिक केलेल्या घराच्या मुख्य दरवाजाच्या चावीसारखे काम न करता, नावाचे बॅजेस, पॉलिसीज, लॉग्स आणि त्वरित प्रवेश रद्द करण्याची सुविधा असलेल्या प्रवेश नियंत्रण प्रणालीसारखे काम केले पाहिजे.

सामायिक पासवर्डच्या पलीकडे जाणे

ओळखीचे मॉडेल असे दिसते. ऑफिसमध्ये एकाच पासफ्रेजने सुरक्षित केलेले "Staff" नेटवर्क असते. IT विभाग ते नवीन कर्मचाऱ्यांना देतो, फॅसिलिटी टीम्स त्याचा वापर स्मार्ट टीव्ही आणि प्रिंटर्ससाठी करतात, आणि दीर्घकालीन कंत्राटदार त्यांच्या स्वतःच्या उपकरणांवर ते सोयीचे असल्यामुळे ठेवतात. जेव्हा एखादी व्यक्ती नोकरी सोडते, तेव्हा पासवर्ड सहसा तोच राहतो कारण तो बदलण्याचा अर्थ प्रत्येक उपकरण आणि प्रत्येक साइटला स्पर्श करणे असा होतो.

ते मॉडेल आधीपासूनच कमकुवत होते. आता ते कार्यात्मकदृष्ट्या धोकादायक झाले आहे.

UK मध्ये, enterprise WiFi security best practices summary मध्ये उद्धृत केलेल्या मार्गदर्शनानुसार, २०२४ मध्ये ५०% व्यवसायांनी सायबर सुरक्षा उल्लंघन किंवा हल्ल्याचा सामना केला, जे मोठ्या व्यवसायांसाठी ७४% पर्यंत वाढले आहे. वायरलेस प्रवेश नियंत्रण थेट त्या जोखमीच्या चित्रात बसते कारण सामायिक केलेला पासवर्ड तुम्हाला कोणतीही अचूकता देत नाही. तुम्ही एकतर सर्वांना प्रवेश देऊ शकता किंवा सर्वांना बाहेर ठेवू शकता. या दोन्हींच्या दरम्यान फार काही नसते.

व्यवहारात सामायिक गुपिते का अपयशी ठरतात

सामायिक पासफ्रेज चार वारंवार उद्भवणाऱ्या समस्या निर्माण करतो:

• कोणतीही वैयक्तिक जबाबदारी नाही. तुम्हाला माहिती असते की SSID वापरले गेले आहे, परंतु त्या क्षणी कोणत्या व्यक्तीला किंवा व्यवस्थापित उपकरणाला प्रवेश मिळावा हे माहित नसते.
• कठीण ऑफबोर्डिंग. जर एखादी व्यक्ती किंवा उपकरण धोकादायक बनले, तर सर्वांसाठी पासवर्ड बदलणे हाच एकमेव स्पष्ट उपाय असतो.
• पासवर्डचा प्रसार. कर्मचारी त्याचा पुन्हा वापर करतात, तो व्यवस्थापित नसलेल्या उपकरणांवर सेव्ह करतात आणि कधीकधी अनौपचारिकपणे इतरांना देतात.
• सरधपट विश्वास (Flat trust). एकदा कनेक्ट झाल्यावर, बरेच युझर्स आणि उपकरणे त्याच विस्तृत नेटवर्कवर येतात.

प्रायोगिक नियम: जर एका युझरला काढून टाकण्यासाठी संपूर्ण साइटचा पासवर्ड बदलणे आवश्यक असेल, तर वायरलेस डिझाइन आधीच संस्थेच्या जोखीम प्रोफाइलच्या मागे पडले आहे.

या मॉडेलपासून दूर जाणे म्हणजे केवळ नेटवर्क क्रॅक करणे कठीण करणे नाही. हे एका गुप्त पासवर्डऐवजी ओळख स्थापित करण्याबद्दल आहे. म्हणूनच अधिक टीम्स कर्मचारी आणि पाहुणे दोघांसाठीही passwordless WiFi access कडे वळत आहेत. याचा प्राथमिक फायदा नाविन्यता नाही, तर नियंत्रण हा आहे. तुम्ही एखाद्या डिव्हाइसला मान्यता देऊ शकता, प्रमाणपत्र रद्द करू शकता, डिरेक्टरी स्टेटसशी पॉलिसी जोडू शकता आणि प्रत्येक युझरला एकाच दरवाजाची एकच किल्ली वापरणाऱ्या व्यक्तीसारखे वागवणे थांबवू शकता.

आताची सर्वोत्तम पद्धत नेमकी काय आहे

एक मजबूत बेसलाईन प्रत्येक युझर किंवा डिव्हाइससाठी स्वतंत्र ऑथेंटिकेशनसह सुरू होते. तिथून, तुम्ही कर्मचारी, कंत्राटदार, पाहुणे आणि ऑपरेशनल तंत्रज्ञानासाठी वेगवेगळा ॲक्सेस सेट करू शकता. तसेच, प्रिंटर आणि फायनान्स लॅपटॉप एकाच एअरस्पेसवर कनेक्टेड आहेत म्हणून ते एकाच ट्रस्ट लेव्हलवर आहेत असे मानणे तुम्ही थांबवू शकता.

प्रत्यक्षात, एंटरप्राइझ WiFi सुरक्षा हा रेडिओ प्रोजेक्ट इतकाच एक ओळखीचा प्रोजेक्ट बनला आहे. ॲक्सेस पॉईंट्स अजूनही महत्त्वाचे आहेत. कंट्रोलर अजूनही महत्त्वाचा आहे. पण मुख्य फरक हा प्रवेशाचा निर्णय स्टिकी नोटऐवजी पॉलिसीच्या माध्यमातून घेण्यामुळे पडतो.

आजचे WiFi सुरक्षा धोके समजून घेणे

वायरलेस धोका ही एकच समस्या नाही. जेव्हा संस्था कमकुवत ऑथेंटिकेशन, ब्रॉड ॲक्सेस आणि खराब व्हिजिबिलिटी वापरतात तेव्हा उद्भवणाऱ्या त्रुटींचा हा एक संग्रह आहे.

अनेक टीम्स विचार करतात त्यापेक्षा अटॅकचा आवाका खूप मोठा आहे. Cisco ॲन्युअल इंटरनेट रिपोर्टने अंदाज वर्तवला होता की 2023 पर्यंत UK मध्ये दरडोई 3.6 नेटवर्क डिव्हाइसेस आणि देशात एकूण 5.5 अब्ज नेटवर्क डिव्हाइसेस असतील, हा स्केल network access control best practices च्या या चर्चेमध्ये हायलाइट केला आहे. हे महत्त्वाचे आहे कारण WiFi शी कनेक्ट केलेले प्रत्येक डिव्हाइस हे संभाव्य एन्ट्री पॉईंट, मिसकॉन्फिगरेशन किंवा लॅटरल मुव्हमेंटचा मार्ग असू शकते.

सतत समोर येणारे धोके

काही वायरलेस अटॅक्स थेट असतात. इतर हे युझर्सनी घेतलेल्या एका चुकीच्या कनेक्शनच्या निर्णयावर अवलंबून असतात.

धोका (Risk)	हे कसे काम करते	हे का महत्त्वाचे आहे
Rogue access points	कोणीतरी अनधिकृत AP इन्स्टॉल करते किंवा अधिकृत दिसणारा बनावट SSID तयार करते	युझर्स चुकीच्या नेटवर्कशी कनेक्ट होतात आणि अटॅकरला ट्रॅफिक सुपूर्द करतात
क्रेडेन्शियल चोरी (Credential theft)	युझर्स कमकुवत पोर्टल किंवा फिशिंग पेजेसमध्ये कॉर्पोरेट क्रेडेन्शियल्स एंटर करतात	चोरी झालेले क्रेडेन्शियल्स केवळ WiFi पेक्षा बरेच काही अनलॉक करू शकतात
Man-in-the-middle attacks	एक आक्रमणकर्ता स्वतःला क्लायंट आणि सेवा यांच्या दरम्यान आणून ठेवतो	सेशन्स अडवले, बदलले किंवा मॉनिटर केले जाऊ शकतात
Lateral movement	एक तडजोड केलेला एंडपॉइंट त्याच ब्रॉड सेगमेंटमधील इतर सिस्टम्सपर्यंत पोहोचतो	एक लहान तडजोड मोठ्या घटनेत बदलते
Weak IoT posture	खराब सुरक्षा असलेली डिव्हाइसेस व्यावसायिक सिस्टम्ससह कनेक्ट होतात	आक्रमणकर्ते सर्वात महत्त्वाच्या डिव्हाइसला नाही, तर सर्वात सोप्या डिव्हाइसला लक्ष्य करतात

"Evil twin" आक्रमण हे एक सोपे उदाहरण आहे. एक आक्रमणकर्ता तुमच्या साइटजवळ एका परिचयाच्या नावाने वायरलेस नेटवर्क सेट करतो. SSID योग्य दिसत असल्यामुळे किंवा त्यांच्या डिव्हाइसच्या ऑटो-जॉइनमुळे युजर्स कनेक्ट होतात. जर तुमचे वातावरण युजरच्या जजमेंट आणि पासवर्डवर अवलंबून असेल, तर त्या बनावट नेटवर्कला यशस्वी होण्याची संधी असते. जर वातावरण मजबूत सर्टिफिकेट-बेस्ड म्युच्युअल ऑथेंटिकेशन वापरत असेल, तर हे आक्रमण करणे अधिक कठीण होते कारण क्लायंट संभाषणाची नेटवर्क बाजू देखील पडताळून पाहतो.

फ्लॅट नेटवर्क्स लहान चुका महाग करतात

कनेक्शननंतर सहसा नुकसान होते. जर कर्मचारी डिव्हाइसेस, अनमॅनेज्ड डिव्हाइसेस आणि ऑपरेशनल एंडपॉइंट्स ब्रॉड नेटवर्क ॲक्सेस शेअर करत असतील, तर एक घुसखोरी अपेक्षेपेक्षा खूप पुढे पोहोचू शकते.

म्हणूनच वायरलेस सुरक्षा ही केवळ हवेतील एन्क्रिप्शनशी नाही, तर सेगमेंटेशन आणि पॉलिसी अंमलबजावणीशी जोडलेली असावी लागते. व्यवसायांसाठी सायबर धोके व्यवस्थापित करण्याच्या व्यापक स्तरावर काम करणारे ( managing cyber threats for businesses ) टीम्सना सहसा आढळते की WiFi मुख्य रिस्क मॉडेलच्या बाहेर राहू शकत नाही. हा उर्वरित नेटवर्कप्रमाणेच आयडेंटिटी, मॉनिटरिंग आणि कंटेनमेंट स्ट्रॅटेजीचा भाग आहे.

एक सुरक्षित SSID जो प्रत्येक ऑथेंटिकेट केलेल्या डिव्हाइसला त्याच अनिर्बंध सेगमेंटमध्ये टाकतो, तो अर्थपूर्ण एंटरप्राइझ WiFi सुरक्षा प्रदान करत नाही. तो समस्येला फक्त एक पाऊल पुढे ढकलत आहे.

आधुनिक WiFi ऑथेंटिकेशनचा गाभा

तुम्ही संक्षिप्त रूपे बाजूला सारली की तांत्रिक बदल समजणे सोपे आहे. WPA-Personal एक शेअर्ड की वापरते. WPA2-Enterprise आणि WPA3-Enterprise प्रत्येक युजर किंवा डिव्हाइसला स्वतंत्रपणे ऑथेंटिकेट करण्यासाठी 802.1X वापरतात. तो एक बदल संपूर्ण ऑपरेटिंग मॉडेल बदलून टाकतो.

UK मधील एंटरप्रायझेससाठी, सर्वात मजबूत आणि व्यावहारिक बेसलाइन म्हणजे WPA2-Enterprise किंवा WPA3-Enterprise सोबत 802.1X, कारण ते प्रत्येक वापरकर्त्याची किंवा डिव्हाइसची वैयक्तिकरित्या पडताळणी करते आणि झटपट रद्द करणे (revocation) शक्य करते, जसे की enterprise WiFi network security च्या या विहंगावलोकनमध्ये वर्णन केले आहे.

शेअर्ड की विरुद्ध नेमलेला बॅज

यासाठी सर्वात सोपी उपमा म्हणजे इमारतीमधील प्रवेश.

एक शेअर्ड WiFi पासवर्ड म्हणजे इमारतीतील प्रत्येकासाठी कॉपी केलेली एकच चावी आहे. जर एक प्रत गहाळ झाली, तर तुम्हाला प्रत्येक कुलूप बदलावे लागेल किंवा तो धोका पत्करावा लागेल.

802.1X ही एक बॅज प्रणाली आहे. प्रत्येक व्यक्ती किंवा डिव्हाइस स्वतःची स्वतंत्र ओळख सादर करते. नेटवर्क एका सेंट्रल पॉलिसी इंजिनद्वारे, सहसा RADIUS सेवेद्वारे, त्या ओळखीची पडताळणी करते आणि नंतर काय परवानगी द्यायची ते ठरवते. इतर सर्वांच्या अनुभवात कोणताही बदल न करता एक बॅज निष्क्रिय केला जाऊ शकतो.

एंटरप्राइज टीम्स हे स्वीकारण्याचे व्यावहारिक कारण हेच आहे. संक्षेप नाव अधिक प्रगत वाटते म्हणून नाही, तर यामुळे त्यांना प्रत्यक्ष वापरता येईल असे ऑपरेशनल नियंत्रण मिळते.

802.1X काय करते

कनेक्शनच्या वेळी, ऍक्सेस पॉइंट क्लायंटला नेटवर्कवर आपोआप स्वीकारत नाही. तो एक अंमलबजावणी पॉइंट म्हणून काम करतो आणि ऑथेंटिकेशनचे संभाषण पॉलिसी बॅकएंडकडे पाठवतो. ती प्रक्रिया तुम्हाला खालील गोष्टी ठरवण्याची परवानगी देते:

• कोण कनेक्ट होत आहे - कर्मचारी सदस्य, कंत्राटदार, व्यवस्थापित डिव्हाइस, BYOD हँडसेट, प्रिंटर.
• त्यांनी ओळख कशी सिद्ध केली - युझरनेम आणि पासवर्ड, प्रमाणपत्र, किंवा दुसरी मान्यताप्राप्त EAP पद्धत.
• पुढे काय होईल - VLAN असाइनमेंट, ACL ॲप्लिकेशन, रोल मॅपिंग, किंवा नकार.

ऑथेंटिकेशन आता एकाच पासवर्डच्या विरुद्ध केवळ हो किंवा नाही अशी तपासणी उरत नाही. तो ओळख आणि संदर्भाशी जोडलेला एक पॉलिसी निर्णय बनतो.

WPA3 का महत्त्वाचे आहे

WPA3-Enterprise सुरक्षेचा दर्जा वाढवते आणि वायरलेस सेशनची क्रिप्टोग्राफिक स्थिती सुधारते. तथापि, दैनंदिन आर्किटेक्चर निर्णयांमध्ये, WPA3 ला एक जादुई उपाय मानू नये हे महत्त्वाचे आहे. जर तुम्ही WPA3 तैनात केले परंतु तरीही कमकुवत ओळख हाताळणी, फॉलबॅक पाथमध्ये शेअर्ड क्रेडेंशियल्स किंवा खराब सेगमेंटेशनवर अवलंबून असाल, तर तुम्ही मूळ समस्येचे निराकरण केलेले नाही.

एक समजूतदार दृष्टिकोन सोपा आहे:

1. प्रथम एंटरप्राइज मोडवर शिफ्ट व्हा - वैयक्तिक ऑथेंटिकेशन तुमचे नियंत्रण मॉडेल त्वरित बदलते.
2. जिथे क्लायंट सपोर्ट करतात तिथे WPA3-Enterprise वापरा - मायग्रेशन दरम्यान इंटरऑपरेबिलिटी लक्षात ठेवा.
3. पॉलिसी डिझाइनला रेडिओ सुरक्षेइतकेच महत्त्व द्या - सर्वात मजबूत एन्क्रिप्शन देखील व्यापक विश्वासाची जागा घेऊ शकत नाही.

EAP-TLS हा गोल्ड स्टँडर्ड का आहे

802.1X ऑथेंटिकेशन पद्धतींमध्ये, EAP-TLS ही अशी पद्धत आहे ज्यावर बहुतेक आर्किटेक्ट्स उच्च-सुरक्षा उपयोजनांसाठी विश्वास ठेवतात कारण ती पासवर्डऐवजी प्रमाणपत्रांचा वापर करते.

त्याचे वास्तविक परिणाम होतात:

• फिशिंगचा प्रतिकार - वापरकर्त्याने बनावट पेजवर टाईप करण्यासाठी कोणताही WiFi पासवर्ड अस्तित्वात नसतो.
• पासवर्ड पुन्हा वापरण्याची समस्या नाही. ऑथेंटिकेशनचा मार्ग मानवाद्वारे व्यवस्थापित केलेल्या गुपितावर अवलंबून नसतो.
• अधिक सोपे रिव्होकेशन (Revocation). तुम्ही संपूर्ण इस्टेट न बदलता एक प्रमाणपत्र किंवा एका डिव्हाइसची ओळख रद्द करू शकता.
• परस्पर ऑथेंटिकेशन (Mutual authentication). क्लायंट सर्व्हर बाजूची पडताळणी करू शकतो, ज्यामुळे बनावट इन्फ्रास्ट्रक्चर हल्ल्यांपासून संरक्षण मिळण्यास मदत होते.

डिझाइन तत्व: जर एखाद्या वापरकर्त्याला फसवून WiFi क्रेडेंशियल टाईप करायला लावले जाऊ शकत असेल, तर वायरलेस लॉगिन मार्ग अजूनही तुमच्या फिशिंगच्या जोखमीचा भाग आहे.

प्रमाणपत्र उपयोजनामुळे (Certificate deployment) काही कामे वाढतात. तुम्हाला लाईफसायकल मॅनेजमेंट, एनरोलमेंट फ्लो, PKI निर्णय आणि मिश्र डिव्हाइस प्रकारांसाठी सपोर्टची आवश्यकता असते. परंतु एकदा का ते कार्यान्वित झाले की, एंटरप्राइझ WiFi सुरक्षा अधिक अंदाज लावण्यायोग्य बनते. तुम्ही आता वापरकर्त्यांनी पासवर्ड सुरक्षित ठेवावा या आशेवर राहत नाही. तुम्ही झिरो-ट्रस्ट मॉडेलमध्ये बसणाऱ्या व्यवस्थापित क्रेडेंशियल्सद्वारे ओळख लागू करत आहात.

पासवर्डलेस आणि फेडरेटेड ऍक्सेसचा स्वीकार करणे

सर्वात मजबूत वायरलेस वातावरण सहसा वापरण्यास सोपे वाटते, कठीण नाही. यामुळे अशा टीम्स आश्चर्यचकित होतात ज्या अजूनही सुरक्षेचा संबंध अधिक प्रॉम्ट्स, अधिक पासवर्ड आणि अधिक ऑनबोर्डिंग घर्षणाशी जोडतात.

प्रत्यक्षात, पासवर्डलेस आणि फेडरेटेड ऍक्सेसमुळे नियंत्रण आणि वापरकर्ता अनुभव दोन्ही सुधारतात. कर्मचारी WiFi कडे एक वेगळा लॉगिन आयलँड म्हणून पाहणे बंद करतात. पाहुणे इंटरनेटवर पोहोचण्यापूर्वीच विश्वास तोडणाऱ्या क्लिष्ट पोर्टल फ्लोचा सामना करणे बंद करतात.

कर्मचारी ऍक्सेस कॉर्पोरेट ओळखीनुसार असावा

कर्मचाऱ्यांसाठी, जर व्यवसाय आधीपासूनच Entra ID, Okta किंवा Google Workspace सारखा ओळख प्रदाता वापरत असेल, तर WiFi साठी स्वतंत्र क्रेडेंशियल स्टोअरची आवश्यकता नसावी. वायरलेस नेटवर्कने त्याच ओळख स्रोताचा वापर केला पाहिजे जो डिव्हाइस एनरोलमेंट, ॲप्लिकेशन ऍक्सेस आणि ऑफबोर्डिंग चालवतो.

हे तुम्हाला अधिक स्पष्ट ऑपरेटिंग मॉडेल देते:

• नवीन जॉइन होणाऱ्यांना सध्याच्या आयडेंटिटी वर्कफ्लोद्वारे ऍक्सेस मिळतो.
• बदली होणाऱ्यांना भूमिका बदलांच्या आधारे नवीन ऍक्सेस मिळतो.
• सोडून जाणाऱ्यांचा डिरेक्टरी स्टेटस बदलल्यावर ऍक्सेस बंद होतो.
• BYOD ला सरसकट विश्वासाऐवजी नियंत्रित ऑनबोर्डिंगसह हाताळले जाऊ शकते.

येथे SSO महत्त्वाचे आहे कारण ते आउट-ऑफ-सिंक होणाऱ्या स्वतंत्र सिस्टीमची संख्या कमी करते. त्या पध्दतीचे कार्यात्मक मूल्य या single sign-on benefits वरील लेखात चांगल्या प्रकारे स्पष्ट केले आहे. वायरलेससाठी महत्त्वाचा मुद्दा सोपा आहे. वापरकर्ते जितक्या कमी वेळा गुपिते मॅन्युअली हाताळतील, तितक्या कमी संधी लीक होण्याच्या, पुन्हा वापरल्या जाण्याच्या किंवा चुकीच्या टाईप होण्याच्या मिळतील.

पासवर्डलेस हे केवळ सोयीचे वैशिष्ट्य नसून एक सुरक्षा नियंत्रण आहे

जेव्हा टीम्स “पासवर्डलेस WiFi” बद्दल ऐकतात, तेव्हा त्या कधीकधी आधी सोयीचा विचार करतात. पण मजबूत कारण म्हणजे जोखीम कमी करणे. वायरलेस मार्गावरून पासवर्ड काढून टाकल्याने सपोर्ट कॉल्सची एक मोठी श्रेणी आणि टाळता येण्याजोग्या जोखमीची मोठी श्रेणी कमी होते.

पासवर्डविरहित डिझाइनमध्ये सहसा खालील गोष्टींचा समावेश होतो:

• व्यवस्थापित कर्मचारी उपकरणांसाठी प्रमाणपत्र-आधारित ऑनबोर्डिंग (Certificate-based onboarding).
• डिरेक्टरी-बॅक्ड पॉलिसी जेणेकरून ऍक्सेस हा ओळख स्थितीचे (identity status) अनुसरण करेल.
• पहिल्या नोंदणीनंतर सायलेंट रीकनेक्शन, ज्यामुळे अखंड वापरकर्ता अनुभव सुनिश्चित होतो.
• जेव्हा एखादे उपकरण किंवा वापरकर्ता यापुढे विश्वासार्ह नसेल तेव्हा त्वरित रद्दीकरण.

हा तो मुद्दा देखील आहे जिथे प्लॅटफॉर्मची निवड महत्त्वाची ठरते. काही संस्था त्यांच्या विद्यमान NAC स्टॅक आणि क्लाउड आयडेंटिटी टूल्सच्या आधारे हे तयार करतात. इतर संस्था व्यवस्थापित ओळख-आधारित नेटवर्किंग सेवांचा वापर करतात. उदाहरणार्थ, Purple हे 802.1X, प्रमाणपत्र-आधारित ऑनबोर्डिंग आणि Entra ID, Google Workspace आणि Okta सह SSO इंटिग्रेशनसह कर्मचारी WiFi ला सपोर्ट करते. संबंधित डिझाइनचा प्रश्न ब्रँड पसंतीचा नाही. तर तो प्लॅटफॉर्म तुमच्या ओळख आर्किटेक्चर, रद्दीकरण मॉडेल (revocation model) आणि सपोर्ट क्षमतेशी सुसंगत आहे की नाही हा आहे.

अतिथी आणि अभ्यागत ऍक्सेस कठीण न होताही सुरक्षित असू शकतो

अतिथी WiFi सहसा कर्मचारी सुरक्षेच्या तुलनेत मागे पडते कारण टीम्सना असे वाटते की साधेपणा आणि संरक्षण यामध्ये तडजोड करावी लागेल. पण तसे असण्याची गरज नाही.

आधुनिक अतिथी ऍक्सेस सामायिक पासवर्ड किंवा वारंवार येणाऱ्या स्पॅश-पेज विधीवर अवलंबून न राहता एनक्रिप्टेड, स्वयंचलित कनेक्शन तयार करण्यासाठी Passpoint आणि OpenRoaming सारख्या तंत्रज्ञानाचा वापर करू शकतात. वापरकर्ता अनुभव सुधारतो कारण उपकरण एका विश्वासार्ह ऍक्सेस फ्रेमवर्कला ओळखते. सुरक्षा सुधारते कारण कनेक्शनची सुरुवात ओपन SSID किंवा मूलभूत Captive Portal पेक्षा अधिक मजबूत ओळख आणि एन्क्रिप्शन वर्तनाने होते.

वापरकर्ते सुरक्षित WiFi ला विरोध करत नाहीत. ते अशा WiFi ला विरोध करतात जे असुरक्षित आणि गैरसोयीचे दोन्ही असते.

हेच व्यावहारिक उद्दिष्ट आहे. कर्मचाऱ्यांसाठी एक ओळख मॉडेल, BYOD साठी एक नियंत्रित मार्ग, आणि असा अतिथी ऍक्सेस जो लोकांना अस्पष्ट पोर्टल पेजेसवर क्लिक करण्याचे आणि जे नेटवर्क आधी दिसेल त्यावर विश्वास ठेवण्याचे प्रशिक्षण देत नाही.

झिरो ट्रस्ट वायरलेस आर्किटेक्चर डिझाइन करणे

WiFi वर झिरो ट्रस्टचा अर्थ सर्वात महत्त्वाचा म्हणजे एकच गोष्ट आहे. कनेक्शन म्हणजे विश्वास नव्हे. एखादे उपकरण रेडिओ रेंजमध्ये आहे, त्याला SSID माहित आहे किंवा त्याने मूलभूत प्रमाणीकरण पायरी पार केली आहे याचा अर्थ अंतर्गत संसाधनांचा व्यापक ऍक्सेस मिळणे असा होत नाही.

एक व्यवहार्य zero-trust वायरलेस डिझाइन हे ओळखीपासून सुरू होते आणि प्रतिबंधावर संपते. हे "zero trust" लेबल असलेले उत्पादन खरेदी करण्यापेक्षा प्रत्येक प्रवेशाचा निर्णय मर्यादित, स्पष्ट आणि पूर्ववत करता येणारा असावा याची खात्री करण्याबद्दल आहे. zero trust network access मधील व्यापक चौकट वायरलेसशी सुसंगत आहे कारण WiFi हे संस्थांसाठी डीफॉल्टनुसार अतिरिक्त विश्वास ठेवण्याचे सर्वात सोपे ठिकाण आहे.

SSIDs ऐवजी पॉलिसीपासून सुरुवात करा

विविध गटांचे प्रतिनिधित्व करण्यासाठी मोठ्या संख्येने SSIDs तयार करणे ही एक सामान्य चूक आहे. हे संघटित दिसत असले तरी बऱ्याचदा लवकरच गोंधळाचे बनते. पडद्यामागे कमी SSIDs, मजबूत प्रमाणीकरण आणि पॉलिसी-आधारित असाइनमेंट हा एक उत्तम पॅटर्न आहे.

उदाहरणार्थ, तोच एंटरप्राइझ SSID ओळख आणि डिव्हाइसच्या स्थितीवर आधारित वापरकर्त्यांना वेगवेगळ्या ठिकाणी ठेवू शकतो:

ओळख किंवा डिव्हाइस प्रकार	सामान्य प्रक्रिया
मॅनेज्ड स्टाफ लॅपटॉप	भूमिका-आधारित प्रवेशासह कॉर्पोरेट विभाग
कंत्राटदाराचे डिव्हाइस	केवळ विशिष्ट साधनांसाठी मर्यादित विभाग
एक्झिक्युटिव्ह मोबाईल डिव्हाइस	कठोर पॉलिसी नियंत्रणांसह मॅनेज्ड प्रवेश
प्रिंटर किंवा स्कॅनर	मर्यादित पूर्व-पश्चिम प्रवेशासह वेगळा केलेला ऑपरेशनल विभाग
पाहुण्यांचा फोन	केवळ इंटरनेट प्रवेश, अंतर्गत प्रणालींपासून वेगळा केलेला

डायनॅमिक VLAN असाइनमेंट आणि भूमिका-आधारित पॉलिसी विशेषतः उपयुक्त ठरतात. एखादी व्यक्ती कोणत्या कार्यालयात गेली आहे याने नेटवर्कला काही फरक पडत नाही. ते ती व्यक्ती कोण आहे, ते कोणते डिव्हाइस वापरत आहेत आणि त्यांना कोणता प्रवेश मिळाला पाहिजे याचे मूल्यांकन करते.

पहिल्या पॅकेटपासून किमान विशेषाधिकार लागू करा

वायरलेसवर किमान विशेषाधिकार (least privilege) हे केवळ एक अमूर्त तत्त्व नाही. हा ठोस निर्णयांचा एक क्रम आहे:

1. 802.1X किंवा स्वीकृत पर्यायाद्वारे ओळख प्रमाणित करा.
2. एंडपॉइंटचे मॅनेज्ड, अनमॅनेज्ड, अतिथी किंवा ऑपरेशनल म्हणून वर्गीकरण करा.
3. डिरेक्टरी गुणधर्म आणि पॉलिसीवर आधारित नेटवर्क भूमिका नियुक्त करा.
4. एक एंडपॉइंट उर्वरित मालमत्तेवर सहजपणे ब्राउझ करू नये म्हणून पूर्व-पश्चिम हालचालींवर मर्यादा घाला.
5. विसंगतींसाठी सेशनच्या वर्तनाचे निरीक्षण करा आणि आवश्यक असल्यास त्वरित रद्द करा.

हे डिझाइन नुकसानीची व्याप्ती मर्यादित करते. एखादे डिव्हाइस धोक्यात आले असल्यास, हल्लेखोराला आपोआप व्यापक अंतर्गत दृश्यमानता मिळत नाही.

" अंतर्गत" च्या खोट्या समाधानापासून दूर राहा

अनेक भंग (breaches) मोठे होतात कारण नेटवर्क अंतर्गत WLAN वर आलेल्या कोणत्याही गोष्टीला विश्वासार्ह मानते. ही गृहीतके आता योग्य ठरवणे कठीण आहे. कॉर्पोरेट लॅपटॉप्स फिशिंगचे बळी ठरतात. मोबाईल डिव्हाइसेस गहाळ होतात. IoT हार्डवेअर कमकुवत डीफॉल्टसह येते. कंत्राटदार मिश्र वातावरणातून कनेक्ट होतात.

“अंतर्गत WiFi” ही कोणतीही सुरक्षा सीमा नाही. जोपर्यंत पॉलिसी अन्यथा ठरवत नाही, तोपर्यंत हे केवळ एक वाहतुकीचे माध्यम आहे.

मजबूत एंटरप्राइझ WiFi सुरक्षा प्रत्येक वायरलेस सत्राला जोपर्यंत ते सिद्ध आणि प्रतिबंधित केले जात नाही, तोपर्यंत अविश्वासू मानून चालते. यामुळेच झिरो ट्रस्ट ही संकल्पना केवळ एका स्लाइड-डेक मधील शब्दापासून प्रत्यक्ष कार्यरत डिझाईनमध्ये बदलते.

लेगसी आणि IoT डिव्हाइसेस सुरक्षितपणे हाताळणे

प्रत्येक चांगल्या वायरलेस डिझाईनमध्ये शेवटी एकच आक्षेप समोर येतो. “हे लॅपटॉप आणि फोनसाठी ठीक वाटते, पण ज्या उपकरणांमध्ये 802.1X चे समर्थन नाही त्यांचे काय?” हा एक वाजवी प्रश्न आहे. प्रिंटर, स्कॅनर, वैद्यकीय उपकरणे, इमारतींच्या नियंत्रण प्रणाली, कॅमेरे आणि जुने स्पेशलिस्ट हार्डवेअर सहसा आधुनिक सप्लिकंट्स योग्य प्रकारे चालवू शकत नाहीत.

यावर चुकीचा उपाय म्हणजे एक सामायिक WPA2-Personal पासवर्ड असलेले फॉलबॅक SSID तयार करणे आणि त्याला “IoT नेटवर्क” म्हणणे. हे आपण नुकत्याच तयार केलेल्या सुरक्षा मॉडेलचे मोठे नुकसान करते. तो पासवर्ड पसरतो. कोणते उपकरण तो वापरत आहे हे कोणालाच माहीत नसते. एक एंडपॉईंट रद्द करणे पुन्हा त्रासदायक ठरते.

एक सामायिक फॉलबॅक SSID ही एक वाईट तडजोड का आहे

लेगसी उपकरणांसाठी एकच पासवर्ड वापरल्याने आधी चर्चा केलेल्या त्याच समस्या उद्भवतात, पण अगदी कमी दृश्यमानतेसह. यापैकी बरेच एंडपॉईंट्स अनमॅनेज्ड असतात किंवा त्यांच्यावर कमी नियंत्रण असते. काहींना पॅच करणे कठीण असते. तर काही इन्स्टॉल करून विसरले जातात.

यामुळे सामायिक-की असलेले नेटवर्क तीन कारणांमुळे धोकादायक ठरते:

• ॲट्रिब्युशन कमकुवत असते. एक उपकरण जोडले गेले आहे हे तुम्हाला समजते, परंतु ते तुम्ही मंजूर केलेलेच उपकरण आहे की नाही हे समजत नाही.
• रोटेशन त्रासदायक असते. की बदलण्याचा अर्थ प्रत्येक उपकरणावर प्रत्यक्ष जाऊन बदल करणे असा होऊ शकतो.
• सेगमेंटेशन ढिले होते. टीम्स बऱ्याचदा लेगसी उपकरणांना एकत्र ठेवतात आणि केवळ फायरवॉलचे नियम पुरेसे आहेत अशी आशा बाळगतात.

जिथे पूर्ण 802.1X शक्य नसेल तिथे प्रति-डिव्हाइस क्रेडेंशियल वापरा

यासाठी अधिक चांगली तडजोड म्हणजे iPSK किंवा PPSK. वेगवेगळे व्हेंडर्स याला वेगवेगळे नाव देतात, पण तत्त्व तेच आहे. SSID सामायिक असले तरीही प्रत्येक उपकरणाला स्वतःची स्वतंत्र युनिक प्री-शेअर्ड की मिळते.

यामुळे तुम्हाला पूर्ण 802.1X सप्लिकंटची आवश्यकता नसतानाही व्यावहारिक नियंत्रण मिळते:

• एक डिव्हाइस, एक की. जर एखादा प्रिंटर बदलला किंवा कॅमेरा हॅक झाला, तर तुम्ही केवळ तीच विशिष्ट की रद्द करता.
• उत्कृष्ट पॉलिसी मॅपिंग. तुम्ही एखादी विशिष्ट की थेट VLAN, भूमिका किंवा मर्यादित नेटवर्क पॉलिसीशी जोडू शकता.
• सुधारित दृश्यमानता. कोणते एंडपॉईंट नेटवर्कवर असावे हे सपोर्ट टीम सहज ओळखू शकते.

हे सर्टिफिकेट-आधारित EAP-TLS च्या तोडीचे नाही. परंतु जे हार्डवेअर यापेक्षा अधिक करू शकत नाही, त्यांच्यासाठी ही एक व्यावहारिक प्रतिबंधात्मक धोरण (containment strategy) आहे.

IoT कडे सोयीची श्रेणी म्हणून नव्हे, तर जोखीम श्रेणी म्हणून पहा

डिझाईनची विचारसरणी महत्त्वाची आहे. लेगसी आणि IoT उपकरणे म्हणजे “सोप्या नेटवर्कवर जाणारी साधी गोष्ट” नसावीत. त्यांच्याकडे अत्यंत मर्यादित कम्युनिकेशन्स पाथ्स असलेली एक स्वतंत्र जोखीम श्रेणी म्हणून पाहिले पाहिजे.

एक सुज्ञ मार्ग म्हणजे त्यांना युझर नेटवर्कपासून वेगळे करणे, केवळ त्यांना आवश्यक असलेल्या प्रोटोकॉल आणि डेस्टिनेशनना परवानगी देणे आणि त्यांच्या मालकीचे स्पष्ट दस्तऐवजीकरण करणे हा आहे. जर कोणत्याही टीमकडे डिव्हाइस लाईफसायकलची मालकी नसेल, तर केवळ वायरलेस पॉलिसी तुमचे रक्षण करू शकत नाही. परंतु आपण कडक सेगमेंटेशनसह प्रति-डिव्हाइस क्रेडेंशियल एकत्र केल्यास, आपण जुन्या अपवादांना उर्वरित वायरलेस आर्किटेक्चर पोकळ करण्यापासून रोखू शकता.

कॉम्प्लायन्स आणि इन्सिडंट रिस्पॉन्सचे मॉनिटरिंग करणे

युझर्स यशस्वीरित्या कनेक्ट झाल्यावर सुरक्षित डिप्लॉयमेंट पूर्ण होत नाही. रोलआउटच्या दिवसापेक्षा त्यानंतरचे दैनंदिन ऑपरेशन्स अधिक महत्त्वाचे असतात. जर आपण हे पाहू शकला नाहीत की कोणी ऑथेंटिकेशन केले, त्यांनी कोणती पद्धत वापरली, त्यांना कोणती भूमिका मिळाली आणि इन्सिडंट घडण्यापूर्वी काय बदलले, तर तुमच्या वायरलेस पर्यावरणाचा बचाव करणे कठीण होईल आणि तपास करणे तर त्याहूनही कठीण होईल.

दररोज काय मॉनिटर करावे

किमान, सुरक्षा आणि नेटवर्क टीम्सनी त्यांच्या वायरलेस आणि RADIUS लॉग्जमधील या डेटा पॉईंट्सवर लक्ष ठेवले पाहिजे:

• ऑथेंटिकेशन अयशस्वी होणे (Authentication failures) जे ब्रूट-फोर्सचे प्रयत्न, सर्टिफिकेट समस्या किंवा चुकीचे कॉन्फिगर केलेले क्लायंट दर्शवू शकतात
• वारंवार येणाऱ्या ऑनबोर्डिंग समस्या ज्या बऱ्याचदा त्रुटीयुक्त पॉलिसी किंवा सपोर्ट नसलेले डिव्हाइस प्रकार दर्शवतात
• अपेक्षित नसलेले रोल बदल (Unexpected role changes) जसे की एखादे डिव्हाइस चुकीच्या सेगमेंटमध्ये जाणे
• नवीन एंडपॉईंट पॅटर्न जे संशयास्पद डिव्हाइसेस किंवा अनमॅनेज्ड वाढ सूचित करतात
• वायरलेस मॉनिटरिंग टूल्सकडील रोग (Rogue) AP आणि स्पूफ केलेले SSID अलर्ट

हे लॉग्ज कॉम्प्लायन्सच्या कामालाही मदत करतात. UK GDPR आणि डेटा प्रोटेक्शन ॲक्ट 2018 नुसार वैयक्तिक डेटाचे संरक्षण करण्यासाठी योग्य तांत्रिक आणि संस्थात्मक उपाययोजना करणे आवश्यक आहे. वायरलेस नेटवर्कवर, या अपेक्षेचा अर्थ मजबूत ॲक्सेस कंट्रोल, सुज्ञ सेगमेंटेशन आणि ऑडिट करण्यायोग्य डिसिजन पॉईंट्स असा होतो. आयडेंटिटी-आधारित WiFi मदत करते कारण ते तुम्हाला शेअर्ड सिक्रेटच्या अनामित वापराऐवजी नावासह ॲक्सेस इव्हेंट्स देते.

उच्च-निश्चिती (High-assurance) पर्यावरणांना अधिक कडक पर्यायांची गरज असते

सरकारी किंवा संरक्षण क्षेत्र यांसारख्या अधिक मजबूत निश्चितीची आवश्यकता असलेल्या पर्यावरणांसाठी, WPA3-Enterprise 192-bit mode हा येथे वर्णन केलेला सर्वात मजबूत उपलब्ध पर्याय आहे आणि तरीही तो प्रति-सेशन आयडेंटिटी तपासणीसाठी 802.1X आणि EAP-TLS वर अवलंबून असतो, जसे की या WiFi सुरक्षेच्या मार्गदर्शकामध्ये सारांशित केले आहे. यामुळे मॉनिटरिंगची गरज संपत नाही. हे पॉलिसी, सर्टिफिकेट स्वच्छता आणि इन्सिडंट हाताळणी तितकीच शिस्तबद्ध असण्याची अपेक्षा वाढवते.

वायरलेस इन्सिडंट प्लेबुक तयार करा

जेव्हा वायरलेस इन्सिडंटचा संशय येतो, तेव्हा परिपूर्णतेपेक्षा गती अधिक महत्त्वाची असते. पहिला प्रतिसाद पद्धतशीर असावा:

1. व्याप्ती ओळखा (Identify the scope). यामध्ये कोणते SSID, साईट, आयडेंटिटी आणि डिव्हाइसेस समाविष्ट आहेत?
2. ॲक्सेस रोखा (Contain access). सर्टिफिकेट्स रद्द करा, अकाउंट्स निष्क्रिय करा किंवा प्रभावित रोल क्वारंटाईन करा.
3. लॉग्ज सुरक्षित ठेवा (Preserve logs). ऑथेंटिकेशन रेकॉर्ड्स, कंट्रोलर इव्हेंट्स आणि संबंधित आयडेंटिटी बदल जतन करा.
4. लॅटरल मुव्हमेंट तपासा. डिव्हाइस त्याच्या निर्धारित सेगमेंटच्या पलीकडे असलेल्या सिस्टीम्सपर्यंत पोहोचले आहे का याची खात्री करा.
5. निवारण आणि सक्षमीकरण करा. पॉलिसीमधील त्रुटी, चुकीचे कॉन्फिगरेशन किंवा एनरोलमेंटमधील कमकुवतपणा दुरुस्त करा ज्यामुळे ही घटना घडली.

सर्वोत्तम वायरलेस इन्सिडेंट रिस्पॉन्स प्लॅन्स पॅकेट कॅप्चरने सुरू होत नाहीत. ते नेमकी कोणती ओळख (identity) कनेक्ट झाली होती, कोणती पॉलिसी लागू केली गेली होती आणि ती त्वरित कशी रद्द करायची हे जाणून घेण्यापासून सुरू होतात.

तुमची Enterprise WiFi सुरक्षा चेकलिस्ट

एक चांगला वायरलेस सुरक्षा कार्यक्रम प्रत्येक ॲक्सेस पॉइंट बदलण्यापासून सुरू होत नाही. तो कमकुवत विश्वासाच्या गृहीतकांना बदलण्यापासून सुरू होतो. तुमचे वातावरण सध्या कुठे आहे याचे ऑडिट करण्यासाठी आणि आधी काय बदलायचे हे ठरवण्यासाठी या चेकलिस्टचा वापर करा.

सध्याच्या स्थितीचे ऑडिट करा

• शेअर्ड सिक्रेट्स शोधा. अजूनही कॉमन पासवर्ड वापरत असलेल्या प्रत्येक SSID ची यादी करा आणि तो कोणाला माहीत आहे ते शोधा.
• डिव्हाइस वर्गांचे वर्गीकरण करा. कर्मचारी, अतिथी, BYOD, कंत्राटदार, IoT आणि ऑपरेशनल डिव्हाइसेस वेगळे करा.
• विश्वास मर्यादांचे (trust boundaries) पुनरावलोकन करा. एखादे डिव्हाइस फक्त WiFi ला कनेक्ट झाले म्हणून त्याला कोणतीही विस्तृत अंतर्गत ॲक्सेस दिली जात आहे का ते तपासा.

नियंत्रण बदलांना प्राधान्य द्या

• कर्मचाऱ्यांना 802.1X वर हलवा. मॅनेज्ड डिव्हाइसेसपासून सुरुवात करा आणि वैयक्तिक ऑथेंटिकेशनला डिफॉल्ट बनवा.
• सर्टिफिकेट-आधारित ॲक्सेसला प्राधान्य द्या. जेथे डिव्हाइस लाइफसायकल आणि PKI प्रक्रिया त्याचे समर्थन करू शकतात तेथे EAP-TLS वापरा.
• WiFi ला आयडेंटिटी सिस्टीम्सशी जोडा. ऑफबोर्डिंग आणि भूमिका बदलल्यास नेटवर्क ॲक्सेस आपोआप बदलला पाहिजे.
• सेगमेंटेशनचा आक्रमकपणे वापर करा. वापरकर्ते आणि डिव्हाइसेसना केवळ SSIDs मध्ये नव्हे, तर भूमिकांमध्ये (roles) विभागा.
• अपवादात्मक परिस्थिती योग्यरित्या हाताळा. जुन्या हार्डवेअरसाठी शेअर्ड फॉलबॅक पासवर्डऐवजी प्रति-डिव्हाइस की वापरा.

ऑपरेशन्स अधिक मजबूत करा

• ऑथेंटिकेशन इव्हेंट्सचे निरीक्षण करा. अयशस्वी लॉगऑन, विचित्र डिव्हाइस पॅटर्न आणि चुकीच्या भूमिकांचे वाटप दृश्यमान असले पाहिजे.
• हानीकारक इन्फ्रास्ट्रक्चरचा शोध घ्या. अनधिकृत APs आणि बनावट नेटवर्क नावांवर लक्ष ठेवा.
• रिव्होकेशन (रद्दीकरण) तपासा. इतर कोणालाही त्रास न देता तुम्ही एका वापरकर्त्याला किंवा एका डिव्हाइसला त्वरित काढून टाकू शकता हे सिद्ध करा.
• मालकीचे दस्तऐवजीकरण करा. प्रत्येक डिव्हाइस वर्गाचा एक व्यवसाय मालक आणि पॉलिसी मालक असला पाहिजे.

जेव्हा आयडेंटिटी, सेगमेंटेशन आणि मॉनिटरिंग एकत्र काम करतात, तेव्हा Enterprise WiFi सुरक्षा वेगाने सुधारते. तुम्ही यापैकी फक्त एकच दुरुस्त केल्यास, इतर दोन सहसा तुमचे पुढील कमकुवत दुवे बनतात.

---

तुम्ही वायरलेस ऍक्सेस आधुनिक करत असाल आणि मल्टिपल टूल्स एकत्र जोडण्याऐवजी प्लॅटफॉर्म दृष्टिकोन हवा असल्यास, मूल्यमापन करण्यासाठी Purple हा एक पर्याय आहे. हे अतिथी, कर्मचारी आणि मल्टि-टेनंट वातावरणासाठी ओळख-आधारित WiFi वर लक्ष केंद्रित करते, ज्यामध्ये पासवर्डशिवाय अतिथी ऍक्सेस, SSO इंटिग्रेशन्स आणि लेगसी डिव्हाइस ऑनबोर्डिंगसाठी नियंत्रणे समाविष्ट आहेत, ज्यामुळे ते शेअर्ड पासवर्डवरून झिरो-ट्रस्ट वायरलेस मॉडेलकडे जाणाऱ्या टीम्ससाठी सुसंगत ठरते.