Micro-segmentation ही एक सुरक्षा आर्किटेक्चर आहे जी नेटवर्कला बारीक, वेगळ्या विश्वासार्ह झोनमध्ये, अगदी वैयक्तिक वर्कलोड्स, वापरकर्ते किंवा उपकरणांपर्यंत विभागते, ज्यामुळे सुरुवातीच्या उल्लंघनानंतर हल्लेखोरांना बाजूने फिरण्यापासून रोखता येते. UK मध्ये, २०२५/२०२६ मधील मागील १२ महिन्यांत ४३% व्यवसायांना, म्हणजेच सुमारे ६,१२,००० संस्थांना सायबर सुरक्षा उल्लंघन किंवा हल्ल्याचा सामना करावा लागला, ज्यामुळे अशा हल्ल्यांना मर्यादित ठेवणे ही एक सैद्धांतिक डिझाइन पसंती न राहता कार्यात्मक आवश्यकता बनली आहे (UK सायबर सुरक्षा डेटा).
महत्त्वाचा फरक हा आहे की मायक्रो-सेगमेंटेशन म्हणजे केवळ "अधिक VLANs" नव्हे. हे आधीपासूनच समान नेटवर्क, डेटा सेंटर, वायरलेस पायाभूत सुविधा किंवा क्लाउड वातावरण शेअर करणाऱ्या सिस्टीम्स दरम्यान संकुचित स्वरूपाची ॲक्सेस धोरणे लागू करते. एखादा हॅक झालेला लॅपटॉप कदाचित त्याला आवश्यक असलेल्या सेवांपर्यंत पोहोचू शकेल, परंतु तो आपोआप फायनान्स सर्व्हर, बिल्डिंग-मॅनेजमेंट कंट्रोलर, डोमेन कंट्रोलर किंवा इतर युझरच्या डिव्हाइसपर्यंत पोहोचू नये.
हा फरक जुन्या आणि मिश्रित-विश्वास असलेल्या UK मालमत्तांमध्ये महत्त्वाचा ठरतो. संस्था बऱ्याचदा जुने ॲप्लिकेशन्स, अनमॅनेज्ड डिव्हाइसेस, ऑपरेशनल टेक्नॉलॉजी, कंत्राटदार ॲक्सेस आणि guest WiFi सोबत आधुनिक क्लाउड वर्कलोड्स ऑपरेट करतात. एक पेरिमिटर फायरवॉल मालमत्तेमध्ये काय प्रवेश करते हे नियंत्रित करू शकते, परंतु एकदा आक्रमणकर्त्याने वैध क्रेडेंशियल्स मिळवले किंवा अंतर्गत एंडपॉइंटशी तडजोड केली की ते स्वतःहून प्रत्येक पूर्व-पश्चिम कनेक्शन नियंत्रित करू शकत नाही.
यूके नेटवर्कसाठी मायक्रो सेगमेंटेशन का आवश्यक बनले आहे
यूके सरकारच्या ताज्या ब्रीच सर्वेक्षणात असा अंदाज वर्तवला आहे की ४३% व्यवसाय, म्हणजे साधारण ६,१२,००० संस्थांना गेल्या १२ महिन्यांत ब्रीच किंवा हल्ल्याचा सामना करावा लागला आहे, तर सुमारे १९%, म्हणजे साधारण २,६७,००० व्यवसाय, किमान एका सायबर गुन्ह्याचे बळी ठरले आहेत (UK breach and attack figures). तोच स्रोत प्रत्येक आकाराच्या व्यवसायांमध्ये सायबर गुन्हे नोंदवतो, ज्यामध्ये १७% सूक्ष्म व्यवसायांपासून ते ४८% मोठ्या व्यवसायांचा समावेश आहे. कंटेनमेंट ही आता प्रत्येक आकाराच्या संस्थांसाठी एक ऑपरेशनल गरज बनली आहे, ती केवळ वित्तीय संस्था किंवा सरकारी विभागांपुरती मर्यादित चिंता राहिलेली नाही.
पेरीमीटर मॉडेल सुरक्षेचे निर्णय सीमेवर केंद्रित करते. फायरवॉल्स, एज इंट्र्यूजन डिटेक्शन, रिमोट-ॲक्सेस गेटवेज आणि व्यापक VLAN सीमांच्या अजूनही महत्त्वाच्या भूमिका आहेत, परंतु ते एखाद्या मालमत्तेमधील प्रत्येक वर्कलोड-टू-वर्कलोड कनेक्शनची तपासणी किंवा नियंत्रण करू शकत नाहीत. फिशिंग, चोरीचे क्रेडेंशियल्स, उघडी पडलेली सेवा किंवा असुरक्षित एंडपॉइंट याद्वारे प्रवेश मिळाल्यानंतर, सपाट अंतर्गत नेटवर्क हल्लेखोराला शोध घेण्यास आणि फिरण्यास वाव देते.
ब्लास्ट - रेडियस समस्या
जुन्या UK मालमत्ता बऱ्याचदा विभाग, इमारती किंवा तांत्रिक कार्यांभोवती आयोजित केल्या जातात. ते विस्तृत झोन प्रशासनासाठी उपयुक्त राहतात, तरीही त्यांच्या सीमा आधुनिक ॲक्सेस नियंत्रणासाठी अत्यंत ढोबळ असू शकतात. स्टाफ सबनेटवरील डिव्हाइस प्रत्येक रूटला विशिष्ट व्यावसायिक समर्थन न मिळता फाईल सर्व्हिसेस, प्रिंट सिस्टम्स, मॅनेजमेंट इंटरफेसेस, ॲप्लिकेशन सर्व्हर्स आणि इतर एंडपॉइंट्सपर्यंत पोहोचू शकते.
मायक्रो-सेगमेंटेशन लहान ट्रस्ट झोन्स तयार करते आणि त्यामधील संबंधांना पॉलिसी लागू करते. एखादा नियम पॉइंट-ऑफ-सेल टर्मिनलला त्याच्या पेमेंट सेवेशी संपर्क साधण्याची, क्लिनिकल डिव्हाइसला एखाद्या विशिष्ट व्यवस्थापन प्लॅटफॉर्मपर्यंत पोहोचण्याची किंवा ॲप्लिकेशन टियरला त्याच्या डेटाबेसला क्वेरी पाठवण्याची परवानगी देऊ शकतो. सिस्टीम्स सामायिक स्विचिंग इन्फ्रास्ट्रक्चर वापरत असताना देखील असंबद्ध मार्ग नाकारले जाऊ शकतात.
UK मधील सर्वेक्षणात नुकत्याच झालेल्या सर्वेक्षण वर्षात UK व्यवसायांवर परिणाम करणारे अंदाजे ८.५८ दशलक्ष सायबर गुन्हे नोंदवले गेले आहेत, तर रिपोर्ट केलेल्या उल्लंघनाचे प्रमाण २०२३/२०२४ मध्ये ५०% राहिल्यानंतर, २०२४/२०२५ आणि २०२५/२०२६ दोन्हीमध्ये ४३% वर स्थिर राहिले (UK सायबर सुरक्षा आकडेवारी). सातत्यपूर्ण धोके असल्याने मिश्र-विश्वासू मालमत्तेसाठी केवळ परिमिती-आधारित (perimeter-only) नियंत्रणे अयोग्य ठरतात.
व्यावहारिक नियम: असे गृहीत धरा की हल्लेखोर अखेर अंतर्गत भागात प्रवेश मिळवेलच. तो प्रवेश मिळवून एकूण मालमत्तेच्या किती भागापर्यंत पोहोचू शकतो ते निश्चित करा, आणि नंतर चाचणी केलेल्या धोरणाद्वारे ती पोहोच कमी करा.
झिरो ट्रस्ट हा धोरणात्मक सिद्धांत प्रदान करतो की प्रवेश केवळ नेटवर्क स्थानावरून वारसा मिळण्याऐवजी सत्यापित आणि मर्यादित असणे आवश्यक आहे. मायक्रो-सेगमेंटेशन हा अंमलबजावणीचा स्तर आहे जो त्या सिद्धांताला ट्रॅफिक निर्णयांमध्ये रूपांतरित करतो. UK सार्वजनिक-क्षेत्र नेटवर्क मार्गदर्शन कार्य, डेटा संवेदनशीलता, वापरकर्ता गट आणि सेवा गंभीरतेवर आधारित ग्रॅन्युलर, विलग झोन तयार करण्याचे आवाहन करते, ज्यामध्ये उत्पादन, विकास, चाचणी आणि प्रशिक्षण वातावरणांमधील पृथक्करण समाविष्ट आहे (UK झिरो-ट्रस्ट नेटवर्क मार्गदर्शन).
जेव्हा टीम्स अंमलबजावणीपूर्वी परस्पर संबंधांचा नकाशा तयार करतात तेव्हा उपयोजन यशस्वी होते. जुन्या सिस्टीममध्ये, एखादा दस्तऐवजीकरण नसलेला सर्व्हिस कॉल किंवा व्यवस्थापन कनेक्शन एखाद्या गंभीर प्रक्रियेला सपोर्ट करू शकतो, म्हणून धोरणे निरीक्षणाच्या मोडमध्ये सुरू झाली पाहिजेत, एका मर्यादित पायलटमधून पुढे गेली पाहिजेत आणि अपवाद सत्यापित केल्यावर त्यांचा विस्तार केला पाहिजे. आर्किटेक्चरल संदर्भासाठी, वर्कलोड-स्तरीय नियंत्रणे सादर करण्यापूर्वीचे व्यापक नियम UK व्यवसायांसाठी नेटवर्क सेगमेंटेशन स्पष्ट करते.
वायरलेस ॲक्सेस देखील याच डिझाइनचा भाग आहे. कर्मचारी, कंत्राटदार आणि अतिथी एकाच इमारतीच्या पायाभूत सुविधांचा वापर करू शकतात, परंतु ओळख-आधारित WiFi प्लॅटफॉर्म, जसे की enterprise WiFi security guide, युझर आणि डिव्हाइसचा संदर्भ सेगमेंटेशनच्या निर्णयांमध्ये देऊ शकतात, ज्यामुळे WiFi ला स्वतंत्र सुरक्षा क्षेत्र न मानता भिन्न ॲक्सेस धोरणे लागू करण्यास मदत होते.
मायक्रो सेगमेंटेशन प्रत्यक्षात कसे कार्य करते
यासाठी एका सुरक्षित ऑफिस इमारतीचे व्यावहारिक उदाहरण घेता येईल. पेरिमीटर फायरवॉल म्हणजे मुख्य दरवाजा आहे. हे बाहेरून इमारतीमध्ये कोण प्रवेश करत आहे यावर नियंत्रण ठेवते. VLANs हे मजले आहेत, जे कर्मचारी, अतिथी, सर्व्हर्स किंवा सुविधा उपकरणे यासारखे मोठे गट वेगळे करतात. मायक्रो-सेगमेंट्स म्हणजे वैयक्तिक खोल्या आहेत, ज्यातील प्रत्येकाला स्वतःचे लॉक आणि कोण किंवा काय प्रवेश करू शकते हे दर्शवणारी पॉलिसी असते.
ते धोरण सहसा बाय-डिफॉल्ट-नाकारण्याच्या (deny-by-default) भूमिकेपासून सुरू होते. प्लॅटफॉर्म दोन वर्कलोड्स, युझर्स किंवा डिव्हाइसेसमधील कनेक्शनचे निरीक्षण करतो, त्यानंतर केवळ परिभाषित व्यवसाय आवश्यकता अस्तित्वात असेल तेव्हाच त्यास परवानगी देतो. महत्त्वाचा तपशील म्हणजे हे नियंत्रण केवळ कॉर्पोरेट नेटवर्क आणि इंटरनेट दरम्यानच नव्हे, तर अंतर्गत घटकांमध्ये देखील कार्य करते.
धोरण कुठे लागू केले जाते
अंमलबजावणीची जागा (enforcement point) हे ठरवते की सिस्टीम काय पाहू शकते आणि ती किती अचूकपणे कृती करू शकते.
- हायपरवायझर किंवा व्हर्च्युअल स्विच प्रत्येक फ्लो प्रत्यक्ष फायरवॉलकडे न पाठवता व्हर्च्युअल मशीनमधील ट्रॅफिक तपासू शकतात. हे व्हर्च्युअलाइज्ड ॲप्लिकेशन इस्टेट्ससाठी योग्य ठरते.
- होस्ट ऑपरेटिंग सिस्टीम फायरवॉल वर्कलोडच्या अगदी जवळ नियंत्रणे लागू करते आणि वेगवेगळ्या नेटवर्क ठिकाणी असलेल्या सिस्टीमचे संरक्षण करू शकते.
- नेटवर्क फॅब्रिक किंवा सॉफ्टवेअर-डिफाईंड नेटवर्क स्विचेस, राउटर किंवा गेटवेवर पॉलिसी लागू करते. यामुळे एंडपॉइंट बदलांची गरज उरत नाही परंतु सामान्यत: हे व्यापक नेटवर्क वैशिष्ट्यांसह कार्य करते.
- आयडेंटिटी-अवेअर ॲक्सेस प्लॅटफॉर्म केवळ ॲड्रेसवर अवलंबून न राहता एखादी व्यक्ती, डिव्हाइस, भूमिका किंवा ऑथेंटिकेशन निकालाशी निर्णय बांधू शकतो.
तो शेवटचा मुद्दा महत्त्वाचा आहे कारण IP ॲड्रेस बदलतात. व्हर्च्युअल मशीन्स मायग्रेट होतात, DHCP लीजेस एक्स्पायर होतात, डिव्हाइसेस ॲक्सेस पॉइंट्स दरम्यान रोमिंग करतात आणि क्लाउड रिसोर्सेस पुन्हा तयार केले जातात. केवळ एखाद्या ॲड्रेसशी जोडलेला नियम चुकीचा ठरू शकतो. वर्कलोड आयडेंटिटी, ॲप्लिकेशन रोल, डिव्हाइस पोश्चर किंवा ऑथेंटिकेटेड युझर कॉन्टेक्स्टशी जोडलेला नियम ज्या गोष्टीचे संरक्षण करायचे आहे त्या गोष्टीचा मागोवा घेण्यास अधिक सक्षम असतो.
ईस्ट-वेस्ट ट्रॅफिक हा मुख्य फरक आहे
उत्तर - दक्षिण (North-south) ट्रॅफिक सीमा ओलांडते, जसे की एखादा युझर इंटरनेट ब्राउझ करतो किंवा बाहेरील क्लायंट एखाद्या पब्लिश केलेल्या ॲप्लिकेशनपर्यंत पोहोचतो. पूर्व - पश्चिम (East-west) ट्रॅफिक इस्टेटच्या आत फिरते, जसे की एखादे ॲप्लिकेशन डेटाबेसला कॉल करते किंवा एंडपॉईंट फाईल सर्व्हरशी संपर्क साधतो. हल्लेखोर ऍक्सेस मिळवल्यानंतर पूर्व - पश्चिम मार्गांवर अवलंबून असतात.
Micro-segmentation थेट त्या अंतर्गत संभाषणांचे नियमन करते. दोन्ही सिस्टीम एकाच मोठ्या सर्व्हर किंवा कॅम्पस झोनमध्ये असल्या तरीही, हे ॲप्लिकेशन-टू-डेटाबेस प्रवाहाला परवानगी देऊ शकते आणि एंडपॉइंट-टू-डेटाबेस प्रवेश ब्लॉक करू शकते. वायरलेस मालमत्तेमध्ये, ओळख-आधारित डिझाइन प्रमाणीकरणाला नेटवर्क प्लेसमेंटमध्ये अनुवादित करण्यास मदत करते. आधुनिक वापरकर्ता प्रमाणीकरण वापरू न शकणाऱ्या उपकरणांसाठी मुद्दाम अलगाव राखण्यास iPSK subnet designer सारखी साधने मदत करू शकतात.
योग्य पॉलिसी ग्रॅन्युलॅरिटी निवडणे हे एक मोठे ऑपरेशनल आव्हान आहे. खूप व्यापक असलेला नियम पुन्हा एक अव्यक्त विश्वास निर्माण करतो. तर खूप मर्यादित असलेला नियम कायदेशीररित्या आवश्यक असलेल्या परस्पर संबंधांना बाधा आणू शकतो. यशस्वी अंमलबजावणीची सुरुवात नेहमी सुरू असलेल्या संप्रेषणाचे निरीक्षण करून होते आणि त्यानंतर परवानगी असलेले मार्ग अधिक परिष्कृत केले जातात.
एजंट-बेस्ड, नेटवर्क-बेस्ड आणि होस्ट-बेस्ड दृष्टिकोनांची तुलना
इस्टेटनुसार अंमलबजावणीचे मॉडेल्स बदलतात. योग्य निवड ही ऑपरेटिंग सिस्टिम्स, मालकीच्या मर्यादा, दृश्यमानतेच्या आवश्यकता आणि एंडपॉइंट बदलांच्या संवेदनशीलतेवर अवलंबून असते. यूकेमधील मिश्र-विश्वासू वातावरणात, केवळ कागदावर चांगल्या दिसणाऱ्या आर्किटेक्चरपेक्षा या मर्यादांचे महत्त्व अधिक असते.
एजंट-आधारित नियंत्रणे प्रत्येक संरक्षित वर्कलोडवर एक लाईटवेट घटक स्थापित करतात. एजंट प्रोसेस-लेव्हल कम्युनिकेशन ओळखू शकतो आणि ऑपरेटिंग सिस्टमच्या जवळ पॉलिसी लागू करू शकतो. हे क्लाउड आणि व्हर्च्युअलाइज्ड वर्कलोड्ससाठी योग्य आहे, जिथे फिजिकल नेटवर्क प्लेसमेंटपेक्षा वर्कलोड आयडेंटिटी वारंवार बदलू शकते. हे सुरक्षा टीम्सना कोणत्या प्रोसेसने कनेक्शन सुरू केले याबद्दल अधिक स्पष्ट पुरावे देखील देते.
यामधील तडजोड म्हणजे डिप्लॉयमेंटसाठी लागणारे प्रयत्न. जुने ऑपरेटिंग सिस्टम, सपोर्ट नसलेली उपकरणे, कडकपणे नियंत्रित केलेले प्रॉडक्शन सर्व्हर आणि अनमॅनेज्ड डिव्हाइसेस कदाचित एजंट स्वीकारणार नाहीत. जिथे सॉफ्टवेअर इन्स्टॉलेशनचा प्रॉडक्शनवर परिणाम होतो, तिथे व्हर्जन मॅनेजमेंट, हेल्थ मॉनिटरिंग, अपवाद हाताळणी आणि औपचारिक मंजुरीसाठी टीम्सना प्रक्रियेची आवश्यकता असते.
नेटवर्क-आधारित नियंत्रणे स्विचेस, राउटर, गेटवेज किंवा सॉफ्टवेअर-डिफाइंड फॅब्रिकवर धोरण लागू करतात. ते प्रत्येक एंडपॉइंटमधील बदल टाळतात, ज्यामुळे ते कॅम्पस नेटवर्क्स, IoT, अतिथी पायाभूत सुविधा आणि एजंट चालवू न शकणाऱ्या उपकरणांसाठी व्यावहारिक बनतात. त्यांची मर्यादा संदर्भाची असते. एन्क्रिप्टेड ईस्ट-वेस्ट प्रवाहामागील प्रक्रिया ओळखल्याशिवाय ते ॲड्रेस, पोर्ट, सेगमेंट किंवा डिव्हाइस श्रेणीनुसार ट्रॅफिकचे वर्गीकरण करू शकतात.
होस्ट-आधारित नियंत्रणे नेटिव्ह ऑपरेटिंग-सिस्टम फायरवॉल आणि सेंट्रल कॉन्फिगरेशन मॅनेजमेंटचा वापर करतात. मिश्रित-विश्वास असलेल्या मालमत्तेसाठी, हे दुसरे एन्फोर्समेंट प्लॅटफॉर्म न जोडता एक व्यावहारिक प्रस्थान बिंदू प्रदान करू शकते. नियंत्रण अद्याप शिस्तबद्ध डिप्लॉयमेंट, ऑडिटिंग आणि सिस्टम बदलल्यावर ते काढून टाकण्यावर अवलंबून असते. विसंगत कॉन्फिगरेशनमुळे पॉलिसी ड्रिफ्ट तयार होते आणि नंतर ट्रबलशूटिंग करणे कठीण होते.
| निकष | एजंट-आधारित (Agent-Based) | नेटवर्क-आधारित (Network-Based) | होस्ट-आधारित (Host-Based) |
|---|---|---|---|
| अंमलबजावणीचे ठिकाण | वर्कलोड किंवा एंडपॉइंट | स्विच, राउटर, गेटवे, किंवा फॅब्रिक | नेटिव्ह ऑपरेटिंग सिस्टीम फायरवॉल |
| दृश्यमानता | सहसा प्रोसेस आणि वर्कलोडची जाणीव असणारे | सहसा नेटवर्क आणि फ्लोची जाणीव असणारे | सुरक्षित होस्टवर मजबूत |
| जुनी सुसंगतता (Legacy compatibility) | ऑपरेटिंग सिस्टीम किंवा उपकरणाद्वारे मर्यादित असू शकते | ज्या डिव्हाइसेसवर एजंट रन होऊ शकत नाहीत त्यांच्यासाठी योग्य | ऑपरेटिंग सिस्टीमच्या क्षमतेवर अवलंबून |
| कार्यक्षमतेचा बोजा | एजंट रोलआउट, अपग्रेड्स आणि हेल्थ चेक्स | फॅब्रिक डिझाइन, इंटिग्रेशन आणि नियम व्यवस्थापन | कॉन्फिगरेशन नियंत्रण आणि पॉलिसी सुसंगतता |
| सर्वोत्तम फिट | डेटा-सेंटर आणि क्लाउड वर्कलोड्स | कॅम्पस, IoT, अतिथी, आणि व्यवस्थापित नसलेल्या मालमत्ता | मिश्र मालमत्ता आणि वाढीव कार्यक्रम |
| मुख्य कमजोरी | जिथे एजंट इन्स्टॉल केले जाऊ शकत नाहीत तिथे कव्हरेज गॅप्स | अस्पष्ट ओळख आणि प्रोसेस संदर्भ | मोठ्या प्रमाणावर व्यवस्थापनाची गुंतागुंत |
हायब्रिड डिप्लॉयमेंट्स हे प्रत्यक्ष मालमत्ता कशा प्रकारे तयार केल्या जातात हे दर्शवतात. एखादी संस्था ॲप्लिकेशन वर्कलोड्ससाठी एजंट्सद्वारे, कॅमेरा आणि बिल्डिंग सिस्टीम्ससाठी नेटवर्क नियंत्रणांद्वारे आणि या दोन्ही गटांच्या दरम्यान असणाऱ्या सर्व्हर्ससाठी होस्ट फायरवॉल्सद्वारे पॉलिसी लागू करू शकते. प्रत्येक डिव्हाइसला एकाच मॉडेलमध्ये बळजबरीने बसवण्याऐवजी, डिझाइन हे डिपेंडन्सी मॅपिंग आणि टप्प्याटप्प्याने अंमलबजावणीवर आधारित असावे.
आयडेंटिटी सर्व्हिसेस एक स्वतंत्र नियंत्रण इनपुट जोडतात. cloud RADIUS provider ऑथेंटिकेशन इव्हेंट्सना रोल-बेस्ड नेटवर्क ॲक्सेसशी जोडू शकतो, ज्यामुळे ॲक्सेस लेयरवर युझर्स किंवा डिव्हाइस आयडेंटिटींना पॉलिसी असाइन करण्यात मदत होते. हे WiFi आणि इतर सामायिक इन्फ्रास्ट्रक्चरसाठी सेगमेंटेशनला सपोर्ट करते, परंतु ते वर्कलोड-लेव्हल नियंत्रणे किंवा होस्ट फायरवॉल्सची जागा घेत नाही.
सर्वात मजबूत डिझाइन सहसा प्रत्येक डिव्हाइसला आधुनिक क्लाउड वर्कलोड मानण्याऐवजी नेटवर्कच्या मर्यादांचा स्वीकार करते.
WiFi पासून मल्टी-टेनंट वातावरणापर्यंतचे वास्तविक-जगातील वापर
जेव्हा मायक्रो-सेगमेंटेशन एखादी उघडपणे दिसणारी ॲक्सेसची समस्या सोडवते, तेव्हा त्याचे महत्त्व सिद्ध करणे सोपे होते. Guest WiFi हे याचे एक उत्तम आणि सोपे उदाहरण आहे. बाहेरील पाहुण्याला इंटरनेट ॲक्सेस हवा असतो, परंतु दोन्ही नेटवर्क एकाच ॲक्सेस पॉईंट्स आणि स्विचिंग उपकरणांचा वापर करतात म्हणून त्याला कर्मचारी वापरत असलेल्या ॲप्लिकेशन्सचा ॲक्सेस मिळता कामा नये.
आयडेंटिटी-आधारित प्लॅटफॉर्म युझर्सना ऑथेंटिकेशननंतर वेगवेगळ्या VLANs किंवा ट्रस्ट झोनमध्ये विभागू शकतो. कर्मचाऱ्यांच्या क्रेडेंशियल्सद्वारे एक ऍक्सेस प्रोफाईल तयार होऊ शकते, कंत्राटदारांसाठी दुसरी, आणि पाहुण्यांसाठी (गेस्ट) एक मर्यादित प्रोफाईल बनू शकते. सामायिक गेस्ट पासवर्डवर अवलंबून राहण्यापेक्षा हे अधिक सुरक्षित आहे, कारण एखादा पासवर्ड लीक झाल्यास तो आपोआप अंतर्गत नेटवर्कची किल्ली बनत नाही.
IoT आणि आरोग्य सेवा वातावरण
IoT डिव्हाइसेस स्वतंत्र पॉलिसी मॉडेलसाठी पात्र आहेत कारण त्यांच्याकडे बऱ्याचदा मर्यादित सुरक्षा क्षमता आणि मोठे रिप्लेसमेंट सायकल्स असतात. CCTV कॅमेऱ्याला रेकॉर्डिंग प्लॅटफॉर्म आणि मॅनेजमेंट सर्व्हिसपर्यंत पोहोचण्याची आवश्यकता असू शकते, परंतु त्याने युझरच्या लॅपटॉपवर कनेक्शन सुरू करू नये. HVAC कंट्रोलरला फॅसिलिटीज-मॅनेजमेंट पाथची आवश्यकता असू शकते, तर पेमेंट टर्मिनलने केवळ त्याच्या मंजूर पेमेंट आणि मॅनेजमेंट सर्व्हिसेसशी संवाद साधला पाहिजे.
हेल्थकेअर क्षेत्रांमध्ये अधिक ऑपरेशनल संवेदनशीलता असते. क्लिनिकल उपकरणे, प्रशासकीय एंडपॉईंट्स, रुग्णांसाठीच्या सेवा आणि सुविधा सिस्टीम्स यांच्या मालकी हक्क आणि उपलब्धतेच्या वेगवेगळ्या आवश्यकता असू शकतात. प्रत्येक डिव्हाइसला एकाच परवानगी देणाऱ्या "विश्वासू" नेटवर्कमध्ये ठेवण्याऐवजी आवश्यक फ्लो परिभाषित करणे, डिव्हाइस गट वेगळे करणे आणि अपवादांचे निरीक्षण करणे हा योग्य दृष्टिकोन आहे.
मल्टी-टेनंट व्यावसायिक मालमत्ता
बहु-भाडेकरू (Multi-tenant) इमारती वेगळी सीमा समस्या निर्माण करतात. एखादा जमीनदार सामायिक भौतिक कनेक्टिव्हिटी प्रदान करू शकतो, तर प्रत्येक भाडेकरू इतर प्रत्येक भाडेकरूपासून तार्किक अलिप्ततेची (logical isolation) अपेक्षा करतो. प्रत्येक भाडेकरूला स्वतःचे प्रवेश धोरण, प्रशासकीय सीमा आणि इंटरनेट प्रवेश किंवा इमारत सुविधा यासारख्या मंजूर सामायिक सेवांचा मार्ग आवश्यक असतो.
पॉलिसी-इश-कोड ऑनबोर्डिंग प्रक्रिया अधिक सुलभ आणि पुनरावृत्तीयोग्य बनवू शकते. प्रत्येक नवीन भाडेकरूसाठी मॅन्युअली स्विच कॉन्फिगरेशन बदलण्याऐवजी, ऑपरेटर एक टेनंट प्रोफाइल तयार करतो आणि ते नेटवर्क व आयडेंटिटी सिस्टिम्सद्वारे लागू करतो. याचा परिणाम असा होतो की वायर नेटवर्क, वायरलेस नेटवर्क आणि SD-WAN एडजेस सर्व स्तरांवर सुरक्षित विभाजन सहजपणे राखता येते.
या मॉडेलचे मूल्यांकन करणाऱ्या टीम्सना आयसोलेटेड टेनंट्स आणि केवळ वेगळी खाती यामधील फरक समजला पाहिजे. SaaS टेनंट्स समजून घेणे याचे व्यावहारिक स्पष्टीकरण उपयुक्त आहे कारण तोच नियम नेटवर्क सेवांना देखील लागू होतो, म्हणजेच सामायिक इन्फ्रास्ट्रक्चरचा अर्थ सामायिक विश्वास असणे असा नाही.
मल्टी-टेनंट WiFi साठी डायनॅमिक रोल-आधारित प्लेसमेंट आणि आयसोलेशनसह, युझर किंवा डिव्हाइसच्या ओळखीनुसार नेटवर्क ॲक्सेस नियुक्त करण्यासाठी Purple हे आयडेंटिटी प्रोव्हाइडर्स आणि RADIUS सोबत समाकलित होऊ शकते. व्यावहारिकदृष्ट्या, हे याला व्यापक सेगमेंटेशन आर्किटेक्चरचा एक घटक बनवते. एखादे कनेक्शन कुठे संबंधित आहे हे ॲक्सेस प्लॅटफॉर्म ठरवते, तर फायरवॉल्स, स्विचेस, होस्ट्स आणि वर्कलोड नियंत्रणे ते कनेक्शन कुठे पोहोचू शकते हे ठरवतात.
मायक्रो सेगमेंटेशनमुळे कोणत्या ठिकाणी धोका सर्वात जास्त कमी होतो
मायक्रो-सेगमेंटेशन हा प्रामुख्याने डेटा-सेंटर कंप्लायन्सचा भाग नाही. तो तिथेच सर्वोत्तम मूल्य प्रदान करतो जेथे एका ट्रस्ट ग्रुपमधील सुरक्षेचा भंग झाल्यास अगदी वेगळी ऑपरेशनल भूमिका असलेली सिस्टीम्स उघडी पडू शकतात.
NCSC चे ऑपरेशनल टेक्नॉलॉजी मार्गदर्शक मायक्रो-सेगमेंटेशनचे वर्णन झोन्सना वर्कलोड, ॲप्लिकेशन्स किंवा डिव्हाइस फंक्शन्सच्या आधारे लहान युनिट्समध्ये विभागणे असे करते, जे वैयक्तिक डिव्हाइसेस, सेवा किंवा प्रोटोकॉल्सपर्यंत देखील असू शकते (NCSC OT micro-segmentation guidance). प्रत्येक वातावरणाला सामान्य IP नेटवर्क मानण्यापेक्षा ती मांडणी अधिक उपयुक्त आहे. एक इंडस्ट्रियल कंट्रोलर, बिल्डिंग-मॅनेजमेंट सिस्टीम आणि कॉर्पोरेट लॅपटॉप यांना वेगवेगळ्या संरक्षणाची आणि वेगवेगळ्या कम्युनिकेशन नियमांची आवश्यकता असते.
खर्चिक बिघाड मार्गांना प्राधान्य द्या
एक सपाट (फ्लॅट) कॅम्पस नेटवर्क एंडपॉइंट्स, फाईल सर्व्हिस, प्रिंट सिस्टम, व्हॉईस प्लॅटफॉर्म आणि ऍडमिनिस्ट्रेटिव्ह इंटरफेस दरम्यान अनावश्यक मार्ग तयार करते. याचे उत्तर नेहमीच संपूर्ण रिडिझाईन असत नाही. विशेषाधिकार प्राप्त प्रशासन (privileged administration), संवेदनशील सर्व्हर, थर्ड-पार्टी ऍक्सेस आणि डिव्हाइस वर्गांच्या भोवती आखलेले एक लक्ष्यित धोरण सर्वात आधी धोक्याचे मार्ग काढून टाकू शकते.
| जोखीम हॉटस्पॉट | सेगमेंटेशन धोरण | ब्लास्ट-त्रिज्येतील घट |
|---|---|---|
| अतिथी प्रवेश (Guest access) | योग्य तिथे केवळ-इंटरनेट पॉलिसीसह, कॉर्पोरेट सेवांपासून अतिथी ओळख आणि ट्रॅफिक वेगळे करा | अतिथीशी तडजोड झाल्यास ती अतिथी ट्रस्ट झोनपुरतीच मर्यादित राहते |
| IoT डिव्हाइसेस | केवळ आवश्यक व्यवस्थापन आणि सेवा फ्लोला परवानगी द्या | एक असुरक्षित डिव्हाइस वापरकर्ता किंवा सर्व्हर नेटवर्कची मुक्तपणे तपासणी करू शकत नाही |
| कंत्राटदार प्रवेश | मर्यादित मार्गांसह वेळ-बद्ध किंवा भूमिका-विशिष्ट झोन नियुक्त करा | थर्ड-पार्टी क्रेडेंशियल्स सामान्य अंतर्गत पोहोच प्रदान करत नाहीत |
| जुने ॲप्लिकेशन सर्व्हर | जिथे एजंट्स व्यवहार्य नसतात तिथे होस्ट किंवा नेटवर्क नियंत्रणे वापरा, नंतर दस्तऐवजीकरण केलेल्या अवलंबनांना अनुमती द्या | तडजोड केलेल्या जुन्या वर्कलोडचे शेजारील सिस्टम्ससाठी कमी मार्ग असतात |
| OT आणि सुविधा प्रणाली | कार्यक्षम झोन कॉर्पोरेट IT पासून वेगळे करा आणि आंतर-झोन संप्रेषणांची तपासणी करा | IT मधील रॅन्समवेअरला सुरक्षितता किंवा उपलब्धता-संवेदनशील प्रणालींमध्ये जाण्यासाठी कठीण मार्ग असतो |
NCSC सल्ला देते की सेगमेंटेशनचे निर्णय हे मालमत्तेला आवश्यक असलेले संरक्षण, इतर मालमत्तांशी संवाद साधण्याची त्यांची गरज आणि त्यांच्या अखंडतेवर असलेला विश्वास यावर आधारित असावेत. यामुळे केवळ संस्थात्मक ट्रेंडचे अनुकरण करून सेगमेंटेशन करण्यापेक्षा जोखमीवर आधारित प्राधान्यक्रम ठरवणे अधिक सुरक्षित ठरते.
कार्यक्षमतेच्या (परफॉर्मन्स) चिंता अजूनही चाचणी घेण्यास पात्र आहेत. पॉलिसीचे स्थान, एन्क्रिप्शन, तपासणी पद्धत आणि डिव्हाइस क्षमता या सर्वांचा परिणाम अंतिम निकालावर होतो, त्यामुळे पुरवठादाराचा सामान्य परफॉर्मन्सचा दावा लक्ष्यित इस्टेटमधील पायलट चाचणीचा पर्याय असू शकत नाही. ऑपरेशनल ओव्हरहेड हे वास्तव आहे, परंतु उच्च-मूल्य मार्ग अस्पष्ट ठेवण्याचा खर्च देखील तितकाच मोठा आहे.
जुन्या सिस्टम्स खंडित न करता मायक्रो सेगमेंटेशन लागू करणे
सर्वात सुरक्षित कार्यक्रमाची सुरुवात ब्लॉक करण्याऐवजी निरीक्षणाने होते. मॉनिटर-ओन्ली (फक्त निरीक्षण) मोडमध्ये, प्रोडक्शन ट्रॅफिकमध्ये कोणताही बदल न करता फ्लो रेकॉर्ड्स आणि एंडपॉईंट माहिती गोळा करा. नेटवर्क TAPs, NetFlow कलेक्टर्स, स्विच टेलिमेट्री आणि एजंट-आधारित डिस्कव्हरीच्या माध्यमातून कोणती सिस्टीम संवाद साधते, कोणते कनेक्शन कायमस्वरूपी आहेत आणि कोणते "तात्पुरते" अपवाद आता व्यवसायाच्या गरजा बनले आहेत हे समोर येऊ शकते.
नियम तयार करण्यापूर्वी नेटवर्कचा शोध घ्या
केवळ इन्व्हेंटरी असणे पुरेसे नाही. प्रत्येक ॲप्लिकेशनला त्याच्या सपोर्टिव्ह सर्व्हिसेस, मालक, डेटा संवेदनशीलता आणि ऑपरेशनल क्रिटिकॅलिटीसह मॅप करा. दस्तऐवजीकरण नसलेले सर्व्हिस कॉल्स, ॲडमिनिस्ट्रेटिव्ह पाथ्स, बॅकअप ट्रॅफिक, मॉनिटरिंग कनेक्शन्स आणि व्हेंडर ॲक्सेस यांची नोंद ठेवा. काही वर्षांपूर्वीच्या आर्किटेक्चर डायग्रामवर आधारित धोरण प्रत्यक्ष अंमलबजावणीच्या वेळी अयशस्वी ठरेल.
NCSC शिफारस करते की सेगमेंटेशनचे नियोजन, डिझाइन, अंमलबजावणी आणि देखरेख कशी केली जाईल याचे दस्तऐवजीकरण केले जावे जेणेकरून एखादा तडजोड झालेला भाग केवळ त्या उल्लंघनाच्या सेगमेंटपुरताच मर्यादित राहील (NCSC सेगमेंटेशन नियोजन मार्गदर्शन). ते दस्तऐवजीकरण एक कार्यात्मक रेकॉर्ड असावे, केवळ एक वेळचे डिझाइन दस्तऐवज नाही.
नियंत्रित अंमलबजावणीद्वारे पुढे जा
टप्प्याटप्प्याने मार्ग वापरा:
- शोधणे (Discover): ईस्ट - वेस्ट फ्लो कॅप्चर करा आणि मालमत्ता मालक, ॲप्लिकेशन्स, प्रोटोकॉल्स आणि अज्ञात डिव्हाइसेस ओळखा.
- नियोजन (Plan): व्यावसायिक कार्य, संवेदनशीलता, विश्वास आणि परावलंबित्व यानुसार मालमत्तांचे वर्गीकरण करा. निरीक्षित आवश्यकतांनुसार अलाऊ पॉलिसीजचा मसुदा तयार करा.
- पायलट (Pilot): प्रातिनिधिक वर्कलोड ग्रुपवर पॉलिसीजची चाचणी घ्या, शक्यतो शॅडो किंवा स्टेजिंग मोडमध्ये. मॉनिटरिंग, बॅकअप, प्रशासन आणि सपोर्ट मार्ग कार्यरत राहतील याची खात्री करा.
- लागू करणे (Enforce): गेस्ट - टू - कॉर्पोरेट ॲक्सेस किंवा IoT - टू - डोमेन - कंट्रोलर मार्ग यांसारख्या उच्च-विश्वास असलेल्या निर्बंधांसह सुरुवात करा. सर्व्हिस मालकांनी निकालाची पडताळणी केल्यानंतरच याचा विस्तार करा.
रोलबॅक प्रक्रिया व्यावहारिक ठेवा. पॉलिसी कोण निष्क्रिय करू शकते, कोणती बदल विंडो लागू होते, कोणते पुरावे रोलबॅक ट्रिगर करतात आणि निर्णय कसा रेकॉर्ड केला जातो हे परिभाषित करा. एजंट्स किंवा आधुनिक नियंत्रणांना सपोर्ट न करू शकणाऱ्या जुन्या सिस्टीम्ससाठी अपवाद रजिस्टर ठेवा, ज्यामध्ये मालक, नुकसानभरपाई नियंत्रण, पुनरावलोकन तारीख आणि काढून टाकण्याची अट समाविष्ट असावी.
डिपार्टमेंट शिस्त: जर अपवादाची मालकी कोणाकडेही नसेल, तर तो अपवाद ठरत नाही. तो कायमस्वरूपी दस्तऐवजीकरण नसलेला ॲक्सेस बनतो.
क्षेत्रीय अहवालांद्वारे उद्धृत केलेल्या UK zero-trust संशोधनानुसार ९२% संस्था सध्या त्यांच्या नेटवर्कचे विभागणी करतात, परंतु ते सामान्य विभागणी आणि वर्कलोड-स्तरीय मायक्रो-सेगमेंटेशनमधील फरक स्पष्ट करते (UK zero-trust adoption data). हा फरक प्रोग्रामच्या रिपोर्टिंगला आकार देणारा असावा. केवळ विभागणी केलेले नेटवर्क हे अपरिहार्यपणे कमीत कमी-विशेषाधिकार (least-privilege) असलेले नेटवर्क नसते.
मायक्रो सेगमेंटेशनला तुमच्या झिरो ट्रस्ट धोरणाशी जोडणे
जेव्हा मायक्रो-सेगमेंटेशन अंतर्गत ट्रॅफिकवर आयडेंटिटी, डिव्हाइस संदर्भ, ॲप्लिकेशन मालकी आणि किमान-विशेषाधिकार (least-privilege) निर्णय लागू करते, तेव्हा झिरो ट्रस्ट अंमलात आणता येणे शक्य होते. त्या अंमलबजावणीच्या बिंदूशिवाय, पडताळणी अनेकदा फक्त लॉगिनपुरतीच मर्यादित राहते.
डिरेक्टरी सर्व्हिस, RADIUS, एंडपॉइंट सिग्नल्स, वर्कलोड आयडेंटिटी आणि पॉलिसी इंजिन कनेक्ट करा जेणेकरून ऍक्सेसचे निर्णय वायरलेस, वायर्ड, क्लाउड आणि SD-WAN वातावरणावर परिणाम करतील. UK मधील सार्वजनिक-क्षेत्राच्या इस्टेटमध्ये, हे मिश्र-विश्वास (mixed-trust) नेटवर्क सामावून घेतानाच प्रॉडक्शन, डेव्हलपमेंट, टेस्टिंग आणि ट्रेनिंगमधील फरक राखण्यास मदत करते.
या नियंत्रणांकडे एक ऑपरेटिंग शिस्त म्हणून पहा. परस्पर अवलंबित्व तपासा, जुने झालेले अपवाद काढून टाका, पॉलिसी बदलांची चाचणी घ्या आणि ॲप्लिकेशन्स किंवा मालकी हक्क बदलल्यास झोनचे पुनर्मूल्यांकन करा. स्पष्ट व्यवसाय मालकी असलेल्या उच्च-मूल्य मार्गापासून सुरुवात करा आणि नंतर त्याचे अवलंबित्व समजून घेतल्यावर त्याचा विस्तार करा.
सर्वप्रथम गेस्ट ऍक्सेस, विशेषाधिकार प्राप्त प्रशासन, IoT आणि सुविधांची उपकरणे आणि जुन्या ॲप्लिकेशनच्या परावलंबित्वाचे ऑडिट करा. प्रत्येक क्षेत्र सपोर्ट करू शकेल अशी अंमलबजावणी पद्धत निवडा, आवश्यक प्रवाहांचे दस्तऐवजीकरण करा आणि ऑपरेशनल जोखमीच्या आधारे टप्प्याटप्प्याने नियंत्रणे लागू करा. यामुळे डिझाइन आणि गव्हर्नन्सचा प्रश्न म्हणून मायक्रो-सेगमेंटेशन म्हणजे काय हे समजणे उपयुक्त ठरते.
Purple हे RADIUS-आधारित नेटवर्क प्लेसमेंट आणि युजर्स किंवा डिव्हाइसेससाठीच्या पॉलिसीजद्वारे ओळख-आधारित WiFi प्रवेशाला रोल आणि टेनंट आयसोलेशनशी जोडते. अतिथी, कर्मचारी आणि मल्टि-टेनंट वातावरणात त्याचे नेटवर्किंग प्लॅटफॉर्म अधिक व्यापक मायक्रो-सेगमेंटेशन आणि झिरो-ट्रस्ट प्रोग्राममध्ये कसे बसू शकते याचे मूल्यांकन करण्यासाठी Purple ला भेट द्या.
