Cyber Essentials आणि Staff WiFi: तुमच्या वायरलेस नेटवर्कवरील पाच नियंत्रणे यशस्वीपणे पार पाडणे

तुमच्या वायरलेस नेटवर्कवर पाच Cyber Essentials नियंत्रणे पास करण्यासाठी, आपण 802.1X मानक किंवा iPSK वापरून कर्मचाऱ्यांचे WiFi सुरक्षित करणे आवश्यक आहे. Cisco Meraki सारख्या प्लॅटफॉर्म्सचे एकत्रीकरण केल्याने तुम्हाला वैयक्तिक वापरकर्ता प्रवेश नियंत्रणे लागू करणे, १४ दिवसांच्या आत फर्मवेअर पॅच करणे आणि तुमच्या इन-स्कोप उपकरणांचे रक्षण करण्यासाठी MFA लागू करणे सोपे जाते.

Cyber Essentials तुमच्या कर्मचाऱ्यांच्या WiFi कडून काय अपेक्षीत करत आहे?

Cyber Essentials ही UK सरकारच्या पाठबळावर चालणारी एक योजना आहे जी सामान्य इंटरनेट-जन्य हल्ल्यांविरुद्ध पाच तांत्रिक नियंत्रणे प्रमाणित करते. National Cyber Security Centre (NCSC) कडे तांत्रिक गरजांचे अधिकार आहेत. एप्रिल २०२० पासून NCSC चे भागीदार म्हणून IASME ने ही योजना राबवली आहे. २८ एप्रिल २०२५ पासूनच्या मूल्यांकनांमध्ये Willow प्रश्न संच वापरला जातो, जो NCSC च्या गरजांच्या आवृत्ती ३.२ शी सुसंगत आहे.

प्रश्नावलीमध्ये स्वतंत्र वायरलेस प्रकरण नाही. त्याऐवजी तुमचे कर्मचारी WiFi प्रत्येक नियंत्रणामध्ये दिसते. ॲक्सेस पॉइंट्स, वायरलेस कंट्रोलर्स आणि त्यांचे व्यवस्थापन करणारे क्लाउड डॅशबोर्ड ही इन-स्कोप उपकरणे किंवा सेवा आहेत. तुमच्या कर्मचाऱ्यांच्या SSID वर (तुमचे कर्मचारी ज्या नेटवर्क नावाने जोडले जातात) असलेले लॅपटॉप आणि फोन्स हे इन-स्कोप एंड-युझर उपकरणे आहेत जर ते संस्थात्मक डेटा किंवा सेवांपर्यंत पोहोचत असतील.

हे मार्गदर्शक Purple च्या Staff WiFi स्तंभांतर्गत येते, ज्यामध्ये तुम्ही आधीपासूनच चालवत असलेल्या हार्डवेअरवर ओळख-आधारित कर्मचारी प्रवेश समाविष्ट आहे. येथे आम्ही ते एका व्यावहारिक प्रश्नापुरते मर्यादित करतो. कोणते वायरलेस सेटिंग्ज Cyber Essentials किंवा Cyber Essentials Plus मूल्यांकन पास करतात आणि कोणते ते नापास करतात?

कर्मचाऱ्यांचे WiFi इतक्या साऱ्या ऑडिट्सचा निर्णय का घेते?

योजनेची तीन वैशिष्ट्ये तुमच्या वायरलेस नेटवर्कला चर्चेत आणतात.

व्याप्ती (Scope). NCSC च्या गरजा वायरलेस उपकरणांना, ज्यामध्ये ॲक्सेस पॉइंट्सचा समावेश आहे, तेव्हा इन-स्कोप मानतात जेव्हा ते इंटरनेटद्वारे इतर उपकरणांशी संवाद साधू शकतात. प्रत्येक क्लाउड-व्यवस्थापित ॲक्सेस पॉइंट डिझाइननुसार हेच करतो.

तुमचे स्वतःचे उपकरण आणा (BYOD). जानेवारी २०२२ मध्ये गरजांची आवृत्ती ३.० लागू झाल्यापासून, संस्थात्मक डेटा किंवा सेवांमध्ये प्रवेश करणारी कर्मचाऱ्यांच्या मालकीची उपकरणे इन-स्कोप आहेत. वैयक्तिक फोन्सचे स्वागत करणारे कर्मचारी SSID तुमच्या मूल्यांकनामध्ये शांतपणे डझनभर उपकरणे जोडू शकतात. केवळ MFA ॲप्स, व्हॉइस कॉल्स आणि टेक्स्ट मेसेजसाठी वापरली जाणारी उपकरणे यातून वगळली आहेत.

पडताळणी (Verification). Cyber Essentials Plus तुमच्या स्वयं-मूल्यांकन उत्तरांची तुमच्या लाइव्ह इस्टेटशी पडताळणी करते. एखाद्या कंत्राटदाराने वर्षांपूर्वी कॉन्फिगर केलेले कर्मचारी नेटवर्क त्या तुलनेत बदलल्याशिवाय क्वचितच टिकते.

पाच नियंत्रणे तुमच्या वायरलेस नेटवर्कला कशी लागू होतात?

फायरवॉल आणि बाउंड्री उपकरणे

प्रत्येक इन-स्कोप उपकरण योग्यरित्या कॉन्फिगर केलेल्या फायरवॉल किंवा बाउंड्री उपकरणाच्या मागे असणे आवश्यक आहे. वायरलेससाठी, आवश्यकतांमध्ये तीन विशिष्ट मुद्दे उपस्थित केले जातात:

• डिफॉल्ट पासवर्ड. तुमच्या कर्मचाऱ्यांचे WiFi ट्रॅफिक वाहून नेणाऱ्या राउटर किंवा फायरवॉलचा डिफॉल्ट प्रशासकीय पासवर्ड बदलून तो मजबूत करणे आवश्यक आहे.
• प्रशासक इंटरफेस एक्सपोजर. फायरवॉलचा प्रशासकीय इंटरफेस इंटरनेटवरून पोहोचण्यायोग्य नसावा. दस्तऐवजीकरण केलेली व्यावसायिक गरज हा याला अपवाद आहे, जी MFA किंवा IP परवानगी सूचीद्वारे सुरक्षित केलेली असावी.
• इनबाउंड नियम. प्रत्येक इनबाउंड नियमासाठी एक दस्तऐवजीकरण केलेले व्यावसायिक कारण आवश्यक आहे. ती गरज संपल्यावर तो नियम काढून टाका.

दुसऱ्या मुद्द्यावर वायरलेस किट सामान्यतः अपयशी ठरते. रिमोट सपोर्टसाठी वर्षांपूर्वी सेट केलेले पोर्ट फॉरवर्ड ॲक्सेस पॉइंटचे लोकल वेब ॲडमिन पेज इंटरनेटवरून ॲक्सेस करण्यायोग्य ठेवू शकते.

हे नियंत्रण अविश्वासू नेटवर्कवरील डिव्हाइसेस देखील कव्हर करते. हॉटेलच्या गेस्ट नेटवर्कसह सार्वजनिक हॉटस्पॉटवर वापरल्या जाणाऱ्या कर्मचाऱ्यांच्या लॅपटॉपचे सॉफ्टवेअर फायरवॉल चालू असणे आवश्यक आहे.

गेस्ट WiFi हे स्वतः बाउंड्री डिव्हाइस नाही. या आवश्यकता तुम्हाला तुमच्या नेटवर्कचा एक उप-संच स्कोपमधून वगळण्याची परवानगी देतात, जर फायरवॉल किंवा VLAN द्वारे ते स्कोप-मधील सिस्टम्सपासून वेगळे केले गेले असेल. VLAN (व्हर्च्युअल LAN) हे शेअर केलेल्या स्विचेस आणि ॲक्सेस पॉइंट्सवर चालणारे लॉजिकली स्वतंत्र नेटवर्क असते. गेस्ट आणि स्टाफ ट्रॅफिक स्वतंत्र VLANs वर ठेवा, त्यांच्यामधील राउटिंग ब्लॉक करा आणि तुमच्या स्कोप स्टेटमेंटमध्ये त्या पृथक्करणाचे वर्णन करा.

सुरक्षित कॉन्फिगरेशन

हे नियंत्रण तुम्हाला आवश्यक नसलेल्या गोष्टी काढून टाकण्यास आणि असुरक्षितपणे येणाऱ्या गोष्टी बदलण्यास सांगते. वायरलेस बाजूला, याचा अर्थ असा आहे:

• प्रत्येक ॲक्सेस पॉइंट, कंट्रोलर आणि मॅनेजमेंट अप्लायन्सवरील डीफॉल्ट ॲडमिनिस्ट्रेटर क्रेडेंशियल बदलणे.
• वापरात नसलेली लोकल खाती काढून टाकणे किंवा निष्क्रिय करणे, ज्यामध्ये तुम्ही कधीही सक्रिय न केलेली व्हेंडर सपोर्ट खाती समाविष्ट आहेत.
• तुम्ही वापरत नसलेल्या मॅनेजमेंट सेवा निष्क्रिय करणे, जसे की ॲक्सेस पॉइंट्सचा अनएन्क्रिप्टेड HTTP किंवा Telnet ॲक्सेस.
• नेटवर्क उपकरणे अनलॉक करणाऱ्या प्रत्येक क्रेडेंशियलवर या आवश्यकतेचे पासवर्ड नियम लागू करणे.

पासवर्डचे नियम विशिष्ट आहेत. MFA वापरा, किंवा किमान १२ अक्षरे, किंवा सामान्य पासवर्डवर स्वयंचलित ब्लॉकसह किमान आठ अक्षरे वापरा. थ्रॉटलिंगसह ब्रूट-फोर्स गेसिंगपासून संरक्षण करा, किंवा जास्तीत जास्त १० अयशस्वी प्रयत्नांनंतर लॉक आउट करा.

जर तुम्ही जुन्या डिव्हाइसेससाठी WPA2-PSK (प्री-शेअर्ड की) नेटवर्क ठेवत असाल, तर आम्ही त्याच्या पासफ्रेजवर हेच किमान नियम लागू करण्याची शिफारस करतो. शेअर केलेली पासफ्रेज देखील एक पासवर्डच आहे, आणि ती तुमच्या नेटवर्कवर जाण्याचा मार्ग खुली करते.

युझर ॲक्सेस कंट्रोल

हे नियंत्रण असे आहे जिथे बहुतेक स्टाफ WiFi डिझाइन्सना संघर्ष करावा लागतो. यासाठी आवश्यक आहे की:

• प्रत्येक व्यक्तीचे स्वतःचे खाते असावे, जे जारी करण्यापूर्वी मंजूर केलेले असावे.
• जेव्हा खात्यांची यापुढे गरज नसेल, ज्यामध्ये कोणीतरी नोकरी सोडल्याचा समावेश आहे, तेव्हा ती खाती काढून टाकली किंवा निष्क्रिय केली जावीत.
• प्रशासकीय खाती केवळ प्रशासनासाठीच वापरली जावीत, दैनंदिन खात्यांपासून वेगळी ठेवली जावीत आणि ईमेल किंवा ब्राउझिंगसाठी कधीही वापरली जाऊ नयेत.
• क्लाउड सेवांवर जिथे जिथे ही सेवा उपलब्ध असेल तिथे MFA लागू केले जावे.

तुमचे क्लाउड वायरलेस डॅशबोर्ड ही एक क्लाउड सेवा आहे. जर तुमचे ॲक्सेस पॉइंट्स Cisco Meraki डॅशबोर्ड, Juniper Mist किंवा तत्सम प्लॅटफॉर्मवर व्यवस्थापित केले जात असतील, तर प्रत्येक ॲडमिन लॉगिनला MFA ची आवश्यकता आहे.

स्टाफ SSID हा स्वतः एक कठीण प्रश्न आहे, आणि आम्ही याचे उत्तर खालील WPA2-PSK विभागात पूर्णपणे दिले आहे.

मालवेअर संरक्षण

स्कोपमधील प्रत्येक डेस्कटॉप, लॅपटॉप, टॅब्लेट आणि फोनला अँटी-मालवेअर सॉफ्टवेअर किंवा ॲप्लिकेशन अलो-लिस्टिंगची आवश्यकता असते. या नियंत्रणामध्ये थेट वायरलेस सेटिंग नसते. हे ज्या उपकरणांना प्रवेश देते त्याद्वारे ते तुमच्या स्टाफ WiFi पर्यंत पोहोचते.

जर वैयक्तिक फोन तुमच्या स्टाफ SSID शी कनेक्ट होत असतील आणि कंपनीचा ईमेल उघडत असतील, तर प्रत्येक फोनने हे नियंत्रण पूर्ण केले पाहिजे. ते तसे करते हे तुम्हाला दाखवता आले पाहिजे.

सुरक्षा अपडेट व्यवस्थापन

फर्मवेअर हे सॉफ्टवेअर म्हणून गणले जाते. ॲक्सेस पॉइंट्स, कंट्रोलर्स आणि वायरलेस-सक्षम राउटरवर व्हेंडर-सपोर्टेड फर्मवेअर चालणे आवश्यक आहे. हाय (उच्च) आणि क्रिटिकल (गंभीर) अपडेट्स रिलीझ झाल्यापासून १४ दिवसांच्या आत इन्स्टॉल केले पाहिजेत. हाय आणि क्रिटिकल म्हणजे CVSS v3 स्कोर ७ किंवा त्यापेक्षा जास्त असणे, किंवा अशी कोणतीही दुरुस्ती ज्यासाठी व्हेंडरने तीव्रतेचा स्तर दिलेला नाही.

ज्या ॲक्सेस पॉइंट्सचा सपोर्ट कालावधी संपला आहे (end of support) ते या नियंत्रणामध्ये थेट अपयशी ठरतात. तुम्ही ते काढून टाकले पाहिजेत किंवा कव्हरेजच्या व्याप्तीमधून (scope) वेगळे केले पाहिजेत. सबमिट करण्यापूर्वी तुमच्या मालमत्तेमधील प्रत्येक मॉडेलसाठी एंड-ऑफ-लाइफ नोटीस तपासा. गेल्या काही वर्षांत उभारलेल्या रिटेल किंवा हॉटेल मालमत्तेमध्ये सहसा बंद पडलेले एखादे दुसरे मॉडेल लपलेले असते.

चुकीच्या पद्धतीने कॉन्फिगर केलेले स्टाफ WiFi कोणत्या प्रश्नावलीच्या मुद्द्यांमुळे अपयशी ठरू शकते?

Willow प्रश्न हे तंत्रज्ञानाऐवजी नियंत्रणांनुसार गटबद्ध केले जातात. आयटी टीम्स ज्या वायरलेस-संबंधित मुद्द्यांमुळे अडचणीत येतात ते खालीलप्रमाणे आहेत, जे प्रश्नांच्या क्रमांकांऐवजी विषयांच्या स्वरूपात दिले आहेत:

• व्याप्तीचे वर्णन (Scope description): हे तुमच्या वायरलेस उपकरणांचे नाव स्पष्ट करते आणि गेस्ट ट्रॅफिक कशा प्रकारे वेगळा केला जातो हे सांगते का?
• डिफॉल्ट क्रेडेंशियल्स: तुम्ही प्रत्येक ॲक्सेस पॉइंट, कंट्रोलर आणि राउटरवरील डिफॉल्ट सेटिंग्स बदलल्या आहेत का?
• ॲडमिन इंटरफेस एक्सपोजर: इंटरनेटवरून कोणीही वायरलेस मॅनेजमेंट पेजवर पोहोचू शकते का?
• मॅनेजमेंटवर MFA: प्रत्येक ॲडमिन अकाउंटसाठी तुमच्या क्लाउड वायरलेस डॅशबोर्डवर MFA सक्तीचा केला आहे का?
• ॲडमिन अकाउंट वेगळे करणे: सामायिक (shared) "admin" लॉगिन वापरण्याऐवजी, नावाचे स्वतंत्र ॲडमिन अकाउंट्स WiFi व्यवस्थापित करतात का?
• सोडून जाण्याची प्रक्रिया (Leaver process): जेव्हा कोणी नोकरी सोडतो, तेव्हा त्याचा WiFi ॲक्सेस संपतो का, की सामायिक की (shared key) त्यांच्याकडेच राहते?
• पासवर्ड पॉलिसी: तुमची घोषित पॉलिसी नेटवर्क उपकरणे आणि कोणत्याही PSK पासफ्रेजला कव्हर करते का?
• फर्मवेअर अपडेट: प्रत्येक ॲक्सेस पॉइंट सपोर्टेड फर्मवेअरवर कार्यरत आहे का, आणि हाय व क्रिटिकल फिक्ससाठी १४ दिवसांच्या आत पॅच केले आहे का?
• BYOD इन्व्हेंटरी: ऑर्गनायझेशनच्या डेटापर्यंत पोहोचणाऱ्या आणि तुमच्या स्टाफ SSID वर असलेल्या वैयक्तिक उपकरणांची तुम्ही यादी केली आहे का?
• अविश्वासू नेटवर्क्स: जेव्हा कर्मचारी गेस्ट किंवा सार्वजनिक WiFi वर जॉइन होतात तेव्हा त्यांच्या लॅपटॉपचे सॉफ्टवेअर फायरवॉल सुरू राहते का?

खालील तक्ता प्रत्येक नियंत्रणाला असेसर्सना आढळू शकणाऱ्या वायरलेस त्रुटीशी आणि त्याचे उत्तर देणाऱ्या कॉन्फिगरेशनशी मॅप करतो.

नियंत्रण	वायरलेस प्रश्न क्षेत्र	असेसमेंटमध्ये अपयशी ठरणारे	असेसमेंटमध्ये पास होणारे
फायरवॉल्स	ॲडमिन इंटरफेस एक्सपोजर	पोर्ट फॉरवर्डद्वारे ॲक्सेस पॉइंट वेब ॲडमिनपर्यंत पोहोचता येणे	मॅनेजमेंट केवळ अंतर्गत पातळीवरच, किंवा MFA किंवा IP अलाऊ लिस्टच्या मागे उपलब्ध असणे
फायरवॉल्स	गेस्ट पृथक्करण	गेस्ट आणि स्टाफ एकाच फ्लॅट नेटवर्कवर असणे	गेस्ट आणि स्टाफ दरम्यान कोणत्याही राउटिंगशिवाय स्वतंत्र VLANs असणे
सुरक्षित कॉन्फिगरेशन	डिफॉल्ट क्रेडेंशियल्स	कंट्रोलर किंवा ॲक्सेस पॉइंट्सवर फॅक्टरी ॲडमिन पासवर्ड असणे	१२-अक्षरी नियमाचे पालन करणारे अद्वितीय क्रेडेंशियल्स असणे, डिफॉल्ट पासवर्ड काढून टाकणे
युझर ॲक्सेस कंट्रोल	वैयक्तिक अकाउंट्स	सर्व स्टाफ आणि कंत्राटदारांद्वारे एकच WPA2-PSK की शेअर केली जाणे	802.1X किंवा iPSK, प्रति व्यक्ती किंवा प्रति डिव्हाइस एक क्रेडेंशियल असणे
युझर ॲक्सेस कंट्रोल	मॅनेजमेंट प्लेन	MFA शिवाय क्लाउड डॅशबोर्ड लॉगिन	प्रत्येक ॲडमिन अकाउंटसाठी MFA सक्तीचा असणे
Security updates	Firmware	End-of-life access points still in service	Supported models, high and critical patches within 14 days

WPA2-PSK वापरकर्ता प्रवेश नियंत्रण यशस्वीरित्या पूर्ण करते का?

स्पष्टपणे नाही. या आवश्यकतांमध्ये WPA2-PSK वर नावाचा उल्लेख करून बंदी घालण्यात आलेली नाही. परंतु त्यामध्ये वैयक्तिक खाती असणे आणि एखादी व्यक्ती संस्था सोडून गेल्यास त्याचा प्रवेश काढून घेणे आवश्यक आहे. एकच सामायिक की (shared key) या दोन्ही गोष्टी पूर्ण करत नाही. जर संस्था सोडणाऱ्या व्यक्तीला ती की माहित असेल, तर ती की वापरणाऱ्या प्रत्येक डिव्हाइसवर ती बदलणे हाच तुमच्याकडे एकमात्र पर्याय उरतो.

दोन पर्याय तुम्हाला प्रति-व्यक्ति नियंत्रण देतात.

802.1X हे पोर्ट-आधारित नेटवर्क प्रवेश नियंत्रणासाठीचे IEEE मानक आहे. WiFi वर, हे WPA2-Enterprise किंवा WPA3-Enterprise म्हणून चालते. प्रत्येक व्यक्ती किंवा डिव्हाइस RADIUS सर्व्हरद्वारे प्रमाणीकृत (authenticate) होते, जी क्रेडेंशियल तपासणारी आणि नेटवर्क प्रवेश देणारी सेवा आहे. या देवाणघेवाणीसाठी EAP पद्धत वापरली जाते जसे की EAP-TLS (प्रमाणपत्र-आधारित), EAP-TTLS किंवा PEAP (दोन्ही TLS अंतर्गत क्रेडेंशियल टनेल करतात).

iPSK (identity pre-shared key, ज्याला काही विक्रेत्यांद्वारे PPSK किंवा private PSK म्हटले जाते) एकाच SSID वर प्रति व्यक्ती किंवा डिव्हाइससाठी एक युनिक की जारी करते. फक्त पासफ्रेजला सपोर्ट करणारे डिव्हाइसेस देखील याद्वारे कनेक्ट होतात आणि तुम्ही प्रत्येक की वैयक्तिकरित्या रद्द करू शकता.

कर्मचारी SSID पद्धत	प्रति-व्यक्ति रद्द करण्याची सुविधा	वापरकर्ता प्रवेश नियंत्रणाशी सुसंगतता	BYOD हाताळणी	डिव्हाइस सपोर्ट	कोणासाठी योग्य
WPA2-PSK, एक सामायिक की	नाही, प्रत्येक डिव्हाइसवर की बदलावी लागते	कमकुवत, वैयक्तिक खाती नाहीत	सुमार, वैयक्तिक आणि कॉर्पोरेट डिव्हाइसेसमधील फरक ओळखणे अशक्य	सर्व WiFi डिव्हाइसेस	केवळ जुने लेगसी नेटवर्क, कक्षेबाहेर स्वतंत्र केलेले
iPSK किंवा PPSK	होय, प्रति की	चांगली, प्रति व्यक्ती किंवा डिव्हाइस एक की	होय, प्रत्येक वैयक्तिक डिव्हाइसला स्वतःची स्वतंत्र की मिळते	पासफ्रेज स्वीकारणारे सर्व डिव्हाइसेस	स्कॅनर, टिल (tills) आणि IoT असलेले मिश्रित संच जे 802.1X चालवू शकत नाहीत
EAP-TTLS किंवा PEAP सह 802.1X	होय, प्रति खाते	मजबूत, वैयक्तिक खात्यांशी जोडलेली	होय, प्रत्येक सेशनवर ओळख पडताळणीसह	आधुनिक लॅपटॉप, फोन्स आणि टॅब्लेट	डिरेक्टरी खाती असलेले ऑफिस आणि बॅक-ऑफिस कर्मचारी
EAP-TLS प्रमाणपत्रांसह 802.1X	होय, प्रति प्रमाणपत्र	सर्वात मजबूत, चोरण्यासाठी कोणतेही पासवर्ड नाहीत	केवळ व्यवस्थापित (managed) डिव्हाइसेस, जोपर्यंत तुम्ही BYOD प्रमाणपत्रे जारी करत नाही	प्रमाणपत्रे नोंदणी करू शकणारे डिव्हाइसेस	व्यवस्थापित कॉर्पोरेट ताफा

जर तुम्हाला PSK नेटवर्क ठेवणे आवश्यकच असेल, तर त्याला स्वतःच्या स्वतंत्र VLAN वर वेगळे करा. ते यापेक्षा चांगला पर्याय नसलेल्या डिव्हाइसेसपुरते मर्यादित ठेवा, ते असण्याचे कारण दस्तऐवजीकरण (document) करा, आणि ती की माहिती असलेली कोणतीही व्यक्ती संस्था सोडून गेल्यास पासफ्रेज बदला.

Cyber Essentials Plus तुमच्या कर्मचारी WiFi ची तपासणी कशी करते?

Cyber Essentials Plus मूलभूत प्रमाणपत्राच्या समान आवश्यकतांचा वापर करते. त्यानंतर एक मूल्यमापनकर्ता (assessor) प्रत्यक्ष चाचण्यांद्वारे त्यांची पडताळणी करतो. Plus ऑडिट तुमच्या मूलभूत प्रमाणपत्र मिळाल्यापासून तीन महिन्यांच्या आत पूर्ण करणे आवश्यक आहे.

चाचणी तपशीलांमध्ये खालील गोष्टींचा समावेश होतो:

• तुमच्या इंटरनेट-फेसिंग आयपी (IP) पत्त्यांचे बाह्य सुरक्षा असुरक्षितता स्कॅन (external vulnerability scan).
• एंड-युझर डिव्हाइसेसच्या नमुन्याचे अंतर्गत सुरक्षा असुरक्षितता स्कॅन (internal vulnerability scan).
• ईमेल आणि ब्राउझरद्वारे पाठवलेल्या चाचणी फाइल्सचा वापर करून, नमुना घेतलेल्या उपकरणांवर पॅच लागू केले आहेत आणि ते मालवेअर संरक्षणाचा वापर करत आहेत का याची तपासणी केली जाते.
• इन-स्कोप क्लाउड सेवांवर MFA लागू आहे का याची तपासणी.
• ॲडमिन खाती दैनंदिन वापरल्या जाणाऱ्या खात्यांपेक्षा वेगळी आहेत का याची तपासणी.

या स्पेसिफिकेशनमध्ये स्वतंत्र ओव्हर-द-एअर वायरलेस हल्ला चाचणी समाविष्ट नाही. तुमचे WiFi इतर चार मार्गांनी समोर येते.

1. External scan (बाह्य स्कॅन) द्वारे इंटरनेटवर उघड झालेले कोणतेही ॲक्सेस पॉइंट, कंट्रोलर किंवा राउटर मॅनेजमेंट पेज शोधले जाते. ज्ञात असुरक्षितता असलेले अनपॅच केलेले फर्मवेअर हे हाय किंवा क्रिटिकल फाइंडिंग म्हणून समोर येते.
2. Device sample (उपकरणांच्या नमुन्यात) तुमच्या कर्मचाऱ्यांच्या SSID वर कनेक्ट होणारे लॅपटॉप आणि फोन समाविष्ट असतात, जर ते इन-स्कोप असतील तर त्यामध्ये BYOD चा देखील समावेश होतो.
3. जर तुम्ही तुमची क्लाउड वायरलेस डॅशबोर्ड इन-स्कोप सेवा म्हणून सूचीबद्ध केली असेल, तर MFA check मध्ये तिचा समावेश होऊ शकतो.
4. Account check (खाते तपासणी) वायरलेस मॅनेजमेंटवरील सामायिक ॲडमिन लॉगिन उघड करू शकते.

असेसॉर येण्यापूर्वी उघड झालेली सुरक्षा त्रुटी दुरुस्त करा. पोर्ट स्कॅनमध्ये सापडू शकणारे मॅनेजमेंट पेज हे फाइंडिंग म्हणून गणले जाईल.

Purple तुमच्या विद्यमान वायरलेस नेटवर्कसोबत कसे काम करते?

Purple हे कोणत्याही हार्डवेअरशी सुसंगत असणारे क्लाउड ओव्हरले आहे. Purple Staff WiFi हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर चालते, ज्यासाठी कोणतेही रिप आणि रिप्लेस (बदल) करण्याची गरज नसते.

तुमच्या विद्यमान कंट्रोलरवर, स्टाफ नेटवर्क हे विना captive portal चे WPA2-Enterprise (802.1X) SSID बनते. captive portal हे सामान्यतः पाहुण्यांना दिसणारे वेब लॉगिन पेज असते. ऑथेंटिकेशन RadSec द्वारे Purple च्या क्लाउड RADIUS कडे जाते, जे RADIUS ट्रॅफिकला TLS मध्ये सुरक्षित करते. तुमच्या कंट्रोलरमध्ये तुम्ही इन्स्टॉल केलेले सर्टिफिकेट ती लिंक सुरक्षित करते. रेडंडन्सीसाठी दोन Purple RADIUS सर्व्हर कॉन्फिगर केलेले असतात. Passpoint (हॉटस्पॉट 2.0, जे उपकरणांना साठवलेली क्रेडेन्शियल्स वापरून स्वयंचलितपणे जोडण्याची परवानगी देणारे मानक आहे) हे EAP-TTLS सह चालते, ज्यामुळे नोंदणीकृत उपकरणे कोणत्याही प्रॉम्टशिवाय कनेक्ट होतात.

आमच्या सपोर्ट लेखांमध्ये प्रत्येक प्लॅटफॉर्मसाठीचे अचूक सेटिंग्ज दिले आहेत:

• Staff WiFi on Juniper Mist
• Staff WiFi on Cisco Meraki

अधिक व्यापक व्हेंडर माहितीसाठी, How to Configure WPA2-Enterprise on Common Access Point Platforms (Cisco, Aruba, Ubiquiti) वाचा.

प्रश्नावलीमध्ये हे कसे मॅप होते ते खालीलप्रमाणे आहे:

• User access control (वापरकर्ता प्रवेश नियंत्रण): प्रत्येक सेशनमध्ये वैयक्तिक ओळख असते, कोणतीही सामायिक की नसते.
• Leavers (नोकरी सोडणारे): Microsoft Entra ID, Okta किंवा Google Workspace मधील जॉइनर्स, मूव्हर्स, लीव्हर्स (JML) प्रक्रिया WiFi ऍक्सेस नियंत्रित करतात, त्यामुळे एखादे खाते निष्क्रिय केल्यास त्या व्यक्तीचा ॲक्सेस संपुष्टात येतो.
• Secure configuration (सुरक्षित कॉन्फिगरेशन): RADIUS क्रेडेन्शियल्स इंटरनेटवर उघडपणे जाण्याऐवजी TLS च्या आतून प्रवास करतात.
• Supplier assurance (विक्रेता हमी): Purple कडे ISO 27001 प्रमाणपत्र आहे आणि ते GDPR सुसंगत आहे, ज्यामुळे तुमचा असेसॉर जेव्हा थर्ड-पार्टी सेवांबद्दल विचारतो तेव्हा मदत होते.

Purple च्या स्वतःच्या प्लॅटफॉर्म डेटाच्या माहितीनुसार, Purple ने 2024 मध्ये 80,000+ पेक्षा जास्त लाइव्ह ठिकाणांवर 44 कोटी लॉगिन यशस्वीरित्या हाताळले आहेत.

दोन सविस्तर उदाहरणे

एका सामायिक स्टाफ कीसह २०० खोल्यांचे हॉटेल

परिस्थिती. एका २०० खोल्यांच्या हॉटेलमध्ये त्यांचे ८५ कर्मचारी एकाच WPA2-PSK नेटवर्कवर काम करत होते. चार वर्षांपूर्वी हॉटेल सुरू झाल्यापासून ती की बदलण्यात आली नव्हती. कंत्राटदार आणि एजन्सीच्या हाऊसकीपिंग कर्मचाऱ्यांना ती माहित होती. मूळ इन्स्टॉलरने केलेल्या पोर्ट फॉरवर्डमुळे कंट्रोलरचे वेब ॲडमिन अजूनही त्याच्या फॅक्टरी पासवर्डवर असून इंटरनेटवरून ॲक्सेस करण्यायोग्य राहिले होते.

केलेली कारवाई. IT व्यवस्थापकाने पोर्ट फॉरवर्ड बंद केले आणि प्रत्येक डिफॉल्ट क्रेडेंशियल बदलले. त्यांनी क्लाउड डॅशबोर्डवर MFA लागू केले आणि प्रत्येक प्रशासकाला एक नामांकित खाते दिले. कर्मचारी Purple द्वारे एका 802.1X SSID वर स्थलांतरित झाले, ज्याचा ॲक्सेस हॉटेलच्या डिरेक्टरीशी जोडलेला होता. 802.1X चालवू न शकणारे हाऊसकीपिंग टॅब्लेट्स त्यांच्या स्वतःच्या पासफ्रेजसह एका वेगळ्या VLAN वर स्थलांतरित केले गेले. अतिथींचे WiFi कर्मचारी प्रणालींसाठी कोणताही मार्ग नसलेल्या एका वेगळ्या VLAN वर ठेवण्यात आले.

परिणाम. स्टाफ नेटवर्कवरील सामायिक कीची संख्या एकावरून शून्यावर आली. एखादा कर्मचारी नोकरीवरून गेल्यावर १२० हून अधिक उपकरणांची की पुन्हा बदलण्याऐवजी केवळ एक डिरेक्टरी खाते निष्क्रिय करणे पुरेसे ठरू लागले. प्रश्नावली कोणत्याही विसंगत वायरलेस उत्तरांशिवाय सादर करण्यात आली. उच्च कर्मचारी उलाढाल असलेल्या हॉटेल्सना हा बदल सर्वात जास्त जाणवतो, कारण आधी प्रत्येक कर्मचारी गेल्यावर की पुन्हा बदलावी लागत असे.

Plus साठी तयारी करणारी ४० स्टोअर्सची रिटेल साखळी

परिस्थिती. ४० स्टोअर्सच्या एका रिटेल साखळीकडे मूलभूत Cyber Essentials प्रमाणपत्र होते आणि त्यांनी त्यांच्या Plus मूल्यांकनासाठी बुकिंग केले होते. सुमारे ३०० वैयक्तिक फोन स्टाफ SSID चा वापर करत होते, मुख्यतः सुट्टीच्या वेळेत ब्राउझिंग करण्यासाठी. मूल्यांकनापूर्वीच्या बाह्य स्कॅनमध्ये स्टोअर राउटर्सवर रिमोट मॅनेजमेंट सक्षम असल्याचे आढळले, ज्यामध्ये उच्च-गंभीरतेची चेतावणी असलेली फर्मवेअर आवृत्ती होती.

केलेली कारवाई. टीमने रिमोट मॅनेजमेंट निष्क्रिय केले आणि १४ दिवसांच्या मुदतीत पॅच केलेले फर्मवेअर लागू केले. त्यानंतर त्यांनी वैयक्तिक फोन अतिथी नेटवर्कवर स्थलांतरित केले, जे वेगळे केलेले होते आणि कक्षेबाहेर होते. केवळ स्टोअर मॅनेजर्सचे फोन, जे कंपनीचे ईमेल वाचतात, तेच स्टाफ ॲक्सेसवर राहिले, ज्यातील प्रत्येकाकडे स्वतःची iPSK की आणि डिव्हाइस मॅनेजमेंट नोंदणी होती. हँडहेल्ड स्कॅनर्सना प्रति-डिव्हाइस iPSK की देण्यात आल्या.

परिणाम. कक्षेतील BYOD उपकरणांची संख्या सुमारे ३०० वरून ४५ वर आली. पुन्हा केलेल्या बाह्य स्कॅनमध्ये वायरलेस किंवा राउटर उपकरणांवर शून्य उच्च किंवा गंभीर त्रुटी आढळल्या. Plus ऑडिट तीन महिन्यांच्या मुदतीत पूर्ण झाले.

आपण कोणत्या मर्यादांबद्दल माहिती ठेवली पाहिजे?

Cyber Essentials हा वायरलेस सुरक्षा मानक नाही. तो इंटरनेट-आधारित हल्ल्यांविरूद्ध एक बेसलाइन सेट करतो. तो रोग एक्सेस पॉईंट्स (rogue access points), रेडिओ-फ्रिक्वेन्सी हल्ले किंवा वायरलेस घुसखोरी शोधण्याची चाचणी करत नाही. उत्तीर्ण होणे म्हणजे तुमचे WiFi पूर्णपणे सुरक्षित झाले आहे असा होत नाही.

सामायिक-भाडेकरू कार्यालयांना एकापेक्षा जास्त स्टाफ SSID ची आवश्यकता असते. जिथे अनेक संस्था एकच इमारत सामायिक करतात, तिथे एकच स्टाफ नेटवर्क प्रत्येक भाडेकरूची उपकरणे वेगळी ठेवू शकत नाही. iPSK प्रत्येक भाडेकरूची उपकरणे एकाच SSID वर त्यांच्या स्वतःच्या सेगमेंटमध्ये ठेवते, याच पद्धतीने Purple Multi-Tenant WiFi सामायिक इमारतींच्या समस्येचे निवारण करते. सार्वजनिक क्षेत्रातील केंद्रे, कौन्सिल कार्यालये आणि कोवर्किंग फ्लोअर्स अनेकदा या श्रेणीत येतात.

जुनी उपकरणे (Legacy devices) तुमच्या पर्यायांना मर्यादित करतात. Tills, स्कॅनर्स आणि काही वैद्यकीय किंवा बिल्डिंग-मॅनेजमेंट किट 802.1X चालवू शकत नाहीत. त्यांना बळजबरीने Enterprise ऑथेंटिकेशनवर नेण्याऐवजी iPSK किंवा वेगळ्या PSK नेटवर्कचे नियोजन करा. हाच पॅटर्न Healthcare सेटिंग्जमध्ये लागू होतो, जिथे क्लिनिकल उपकरणे बऱ्याचदा कर्मचाऱ्यांसोबत रेडिओ इस्टेट सामायिक करतात.

अतिथी (Guest) नेटवर्क्स अजूनही महत्त्वाचे असू शकतात. नेटवर्क वेगळे ठेवल्याने अतिथी WiFi तुमच्या Cyber Essentials कक्षेबाहेर राहते. यामुळे तुम्ही गोळा करत असलेल्या कोणत्याही अतिथी डेटासाठीच्या तुमच्या GDPR जबाबदाऱ्या संपत नाहीत. तुम्ही Purple Guest WiFi चालवत असल्यास, जेव्हा तुमची सीमाविषयक चर्चा अतिथी ट्रॅफिकपर्यंत पोहोचते, तेव्हा SecurePass ॲड-ऑन हे आमच्या अतिथी-समोरील उत्तर आहे.

तुम्ही पुढे काय करावे?

1. तुमचे स्कोप स्टेटमेंट काढा आणि प्रत्येक ॲक्सेस पॉइंट, कंट्रोलर आणि राउटर मॉडेलची फर्मवेअर व्हर्जन आणि सपोर्ट स्टेटससह यादी तयार करा.
2. मूल्यांकनकर्ता (assessor) तपासणी करण्यापूर्वी तुमच्या स्वतःच्या पब्लिक IPs चे बाह्य पोर्ट स्कॅन करा.
3. तुमच्या वायरलेस मॅनेजमेंट डॅशबोर्डवर MFA आणि नेमड अकाउंट्स सक्तीचे करा.
4. तुलना तक्त्यातील कोणती कर्मचारी SSID पद्धत प्रत्येक डिव्हाइस क्लाससाठी योग्य आहे ते ठरवा.
5. संस्थात्मक डेटाची आवश्यकता नसलेली वैयक्तिक उपकरणे तुमच्या अतिथी नेटवर्कवर हलवा.

हे देखील पहा: तुमच्या सध्याच्या हार्डवेअरवर ओळख-आधारित कर्मचारी प्रवेशासाठी Purple Staff WiFi. सीमा-डिव्हाइसच्या प्रश्नाचे अतिथी-समोरील उत्तरासाठी Purple SecurePass. सामायिक-भाडेकरू असलेल्या कार्यालयांमध्ये जिथे एक कर्मचारी SSID काम करणार नाही तिथे iPSK साठी Purple Multi-Tenant WiFi.

वारंवार विचारले जाणारे प्रश्न

Purple Staff WiFi आमच्याकडे आधीपासून असलेल्या ॲक्सेस पॉइंट्सवर काम करते का?

होय. Purple हे हार्डवेअर-अग्नॉस्टिक आहे आणि Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर क्लाउड ओव्हरले म्हणून चालते. तुम्ही तुमच्या सध्याच्या कंट्रोलरवर WPA2-Enterprise SSID कॉन्फिगर करता आणि RadSec द्वारे Purple च्या क्लाउड RADIUS कडे ऑथेंटिकेशन निर्देशित करता. आमचे सपोर्ट आर्टिकल्स प्रत्येक प्लॅटफॉर्मनुसार अचूक सेटिंग्ज देतात, ज्यामुळे तुम्ही तुमच्या मूल्यांकनापूर्वी हार्डवेअर बदलण्याऐवजी कॉन्फिगरेशन बदलू शकता.

Cyber Essentials पास करण्यासाठी आम्हाला WPA2-PSK काढून टाकावे लागेल का?

नाही, आवश्यकतांमध्ये WPA2-PSK वर थेट बंदी घातलेली नाही. तथापि, सिंगल शेअर्ड की मुळे तुमच्या युझर ॲक्सेस कंट्रोलच्या उत्तरांचे समर्थन करणे कठीण होते, कारण एखादी व्यक्ती सोडून गेल्यावर ती एका व्यक्तीसाठी काढून टाकता येत नाही. कर्मचाऱ्यांना 802.1X किंवा iPSK वर हलवा. उर्वरित कोणतेही PSK नेटवर्क त्याच्या स्वतःच्या VLAN वर वेगळे ठेवा, ते जुन्या उपकरणांपुरते मर्यादित ठेवा आणि 12-वर्णांच्या नियमाचे पालन करणाऱ्या पासफ्रेससह त्याचे दस्तऐवजीकरण करा.

आमचे अतिथी WiFi Cyber Essentials च्या कक्षेत येते का?

तुम्ही ते व्यवस्थित वेगळे केले असल्यास नाही. जेव्हा एखादा फायरवॉल किंवा VLAN अतिथी नेटवर्कला कक्षेतील सिस्टम्सपासून वेगळे करतो, तेव्हा NCSC आवश्यकता तुम्हाला तुमच्या नेटवर्कचा एक उप-संच कक्षेमधून वगळण्याची परवानगी देतात. अतिथी ट्रॅफिकला त्याच्या स्वतःच्या VLAN वर ठेवा, कर्मचारी नेटवर्क्स आणि कॉर्पोरेट सिस्टम्सकडील राउटिंग ब्लॉक करा, आणि तुमच्या स्कोप स्टेटमेंटमध्ये त्या वेगळेपणाचे वर्णन करा. अतिथी नेटवर्कमध्ये सामील होणाऱ्या कर्मचाऱ्यांच्या वैयक्तिक लॅपटॉपवर त्यांचे सॉफ्टवेअर फायरवॉल सक्षम असणे अद्याप आवश्यक आहे.

कर्मचारी SSID वरील कर्मचाऱ्यांचे वैयक्तिक फोन कक्षेमध्ये येतात का?

होय, जर ते कंपनीचे ईमेल यांसारख्या संस्थात्मक डेटा किंवा सेवांमध्ये प्रवेश करत असतील तर. आवश्यकतांच्या आवृत्ती ३.० पासून, संस्थात्मक डेटापर्यंत पोहोचणारी BYOD उपकरणे कक्षेमध्ये समाविष्ट आहेत आणि त्यांनी पाचही नियंत्रणे पूर्ण करणे आवश्यक आहे. केवळ MFA ॲप्स, कॉल्स आणि मेसेजसाठी वापरले जाणारे फोन्स यातून वगळण्यात आले आहेत. ज्या वैयक्तिक उपकरणांना केवळ इंटरनेट प्रवेशाची आवश्यकता आहे त्यांना तुमच्या वेगळ्या केलेल्या गेस्ट नेटवर्कवर स्थलांतरित करणे हा कक्षेचा विस्तार कमी करण्याचा सर्वात जलद मार्ग आहे.

Cyber Essentials Plus थेट आमच्या वायरलेस नेटवर्कची चाचणी घेते का?

नाही, Plus चाचणी तपशीलामध्ये कोणतीही समर्पित ओव्हर-द-एअर वायरलेस चाचणी नाही. तरीही तुमच्या WiFi चे अप्रत्यक्षपणे परीक्षण केले जाते. बाह्य स्कॅन उघडे पडलेले ॲक्सेस पॉइंट किंवा कंट्रोलर मॅनेजमेंट पेजेस आणि असुरक्षित फर्मवेअर शोधून काढते. उपकरणांच्या नमुन्यामध्ये तुमच्या स्टाफ SSID वरील लॅपटॉप आणि फोन्सचा समावेश होतो. MFA तपासणी तुमच्या क्लाउड वायरलेस डॅशबोर्डचा समावेश करू शकते. मूल्यांकनकर्त्याची वेळ निश्चित करण्यापूर्वी मॅनेजमेंट एक्सपोजर आणि फर्मवेअर दुरुस्त करा.

आमच्या मूल्यांकनापूर्वी स्टाफ WiFi ला 802.1X वर स्थलांतरित करण्यासाठी किती काम करावे लागते?

कंट्रोलर बाजूने तुमच्या अस्तित्वात असलेल्या हार्डवेअरवर फक्त एक SSID बदल करायचा आहे. आमच्या प्रत्येक-विक्रेता (per-vendor) मदत लेखांमध्ये नमूद केल्यानुसार तुम्ही एंटरप्राइझ सुरक्षा, Purple चे RADIUS सर्व्हर्स आणि RadSec प्रमाणपत्र जोडता. बहुतेक प्रयत्न उपकरणांच्या ऑनबोर्डिंगमध्ये लागतात: लॅपटॉप आणि फोन्सची नोंदणी करणे आणि कोणत्या जुन्या उपकरणांना त्याऐवजी iPSK ची आवश्यकता आहे हे ठरवणे. त्या इन्व्हेंटरीचे नियोजन आधी करा, कारण ते BYOD च्या प्रश्नांची उत्तरे देखील देते.

Purple सुरक्षित आणि सुसंगत आहे का?

होय. Purple कडे ISO 27001 प्रमाणपत्र आहे आणि ते GDPR सुसंगत आहे. या प्लॅटफॉर्मची स्थापना २०१२ मध्ये झाली असून तो ९९.९९९% अपटाइम राखतो. जेव्हा तुमचे मूल्यांकनकर्ते विचारतात की तृतीय-पक्ष क्लाउड सेवा स्टाफ ऑथेंटिकेशन कसे हाताळतात, तेव्हा तुम्ही या क्रेडेंशियल्सचा संदर्भ देऊ शकता. Purple च्या प्लॅटफॉर्मने २०२४ मध्ये ८०,००० पेक्षा जास्त थेट ठिकाणांवर ४४ कोटी लॉगिनची नोंद केली असून ३५ कोटी वापरकर्त्यांना सेवा दिली आहे.