Legacy NAC कडून Cloud-Native NAC वर स्थलांतरित करण्यासाठीची चेकलिस्ट

Legacy NAC कडून Cloud-Native NAC कडे स्थलांतरित करण्यासाठीची चेकलिस्ट एक Purple WiFi इंटेलिजन्स ब्रीफिंग — साधारण १० मिनिटे --- परिचय आणि संदर्भ — साधारण १ मिनिट Purple WiFi इंटेलिजन्स ब्रीफिंगमध्ये आपले स्वागत आहे. मी आपला होस्ट आहे, आणि आज आपण नेटवर्क आर्किटेक्ट्स आणि IT डिरेक्टर्ससमोरील सर्वात महत्त्वाच्या पायाभूत सुविधांच्या निर्णयांपैकी एकावर चर्चा करत आहोत: जुन्या पद्धतीच्या म्हणजेच legacy Network Access Control कडून cloud-native NAC आर्किटेक्चरकडे स्थलांतरित होणे. जर तुम्ही एखादा हॉटेल ग्रुप, रिटेल इस्टेट, स्टेडियम किंवा सार्वजनिक क्षेत्रातील कॅम्पस चालवत असाल, तर तुमचे सध्याचे NAC डिप्लॉयमेंट एकतर त्याचे आयुष्य संपवून बसले आहे, ते स्केल करण्यासाठी संघर्ष करत आहे किंवा अशा कम्प्लायन्स समस्या निर्माण करत आहे ज्या या दशकाच्या उत्तरार्धात तुम्हाला अजिबात परवडणाऱ्या नाहीत. GDPR ची अंमलबजावणी कडक होत आहे. PCI-DSS व्हर्जन ४ पूर्णपणे लागू झाले आहे. आणि तुमची अतिथी (guest) आणि कर्मचारी WiFi इस्टेट इतक्या वेगाने वाढत आहे की तुमचे ऑन-प्रिमाइसेस हार्डवेअर त्याचा वेग पकडू शकत नाहीये. म्हणून आज मला तुम्हाला एक व्यावहारिक, पद्धतशीर चेकलिस्ट द्यायची आहे — अशी गोष्ट ज्यातून एखादा वरिष्ठ सोल्यूशन्स आर्किटेक्ट तुम्हाला कोणतेही स्थलांतर करारावर स्वाक्षरी करण्यापूर्वी मार्गदर्शन करेल. आम्ही कव्हर करू की सुरू करण्यापूर्वी कशाचे ऑडिट करावे, पॅरेलल डिप्लॉयमेंट सुरक्षितपणे कसे चालवावे, खरे धोके कुठे आहेत आणि स्थलांतराने खरोखरच मूल्य दिले आहे की नाही हे कसे मोजावे. चला सुरुवात करूया. --- तांत्रिक सखोल विश्लेषण — साधारण ५ मिनिटे चला मूलभूत गोष्टींपासून सुरुवात करूया. Legacy NAC — म्हणजे जुन्या हार्डवेअरवरील Cisco ISE, किंवा एका दशकाहून अधिक जुन्या डिरेक्टरीला जोडलेले RADIUS सर्व्हर — हे अशा जगासाठी डिझाइन केले गेले होते जिथे तुमची नेटवर्क परिमिती (perimeter) स्पष्टपणे परिभाषित होती, तुमची डिव्हाइसेस कॉर्पोरेट-व्यवस्थापित होती आणि तुमच्या अतिथींचा (guest) ट्रॅफिक हा नंतरचा विचार होता. ते जग आता राहिले नाही. Cloud-native NAC हे मॉडेल बदलून टाकते. पॉलिसी अंमलबजावणी (policy enforcement) ही हार्डवेअरपासून वेगळी केली जाते. तुमचा कंट्रोल प्लेन क्लाउडमध्ये असतो, तुमचे एनफोर्समेंट पॉईंट्स हे हलके एजंट्स किंवा API-इंटिग्रेटेड ऍक्सेस पॉईंट्स असतात, आणि तुमचे आयडेंटिटी स्टोअर फेडरेटेड असते — जे सामान्यतः Azure Active Directory, Okta किंवा Purple सारख्या खास अतिथी आयडेंटिटी प्लॅटफॉर्मसह इंटिग्रेट होते. तर मग ही चेकलिस्ट प्रत्यक्षात कशी दिसते? मी याचे तीन टप्प्यांत विभाजन करतो. पहिला टप्पा म्हणजे स्थलांतरपूर्व मूल्यमापन (pre-migration assessment). तुम्ही एकाही कॉन्फिगरेशनला हात लावण्यापूर्वी, तुमच्याकडे तुमच्या सध्याच्या NAC इन्फ्रास्ट्रक्चरची संपूर्ण माहिती असणे आवश्यक आहे. याचा अर्थ प्रत्येक RADIUS सर्व्हर, प्रत्येक सप्लिकंट पॉलिसी, प्रत्येक VLAN असाइनमेंट आणि प्रत्येक इंटिग्रेशन पॉईंट — तुमचे SIEM, तुमचे ITSM तिकीटिंग सिस्टम, तुमच्या डिरेक्टरी सर्व्हिसेस. क्लाउडमध्ये त्याची प्रतिकृती तयार करण्यापूर्वी तुमची legacy सिस्टीम नक्की काय करत आहे हे तुम्हाला अचूकपणे माहित असणे आवश्यक आहे. त्या इन्व्हेंटरीमध्ये, विशेषतः तीन गोष्टींवर लक्ष केंद्रित करा. पहिली गोष्ट, तुमची IEEE 802.1X उपयोजन (deployment). वापरात असलेल्या प्रत्येक EAP पद्धतीचे - मग ते EAP-TLS असो, PEAP-MSCHAPv2 असो, किंवा तुम्ही चालवत असलेले इतर काहीही असो - दस्तऐवजीकरण (document) करा कारण तुमच्या क्लाउड-नेटिव्ह NAC ला त्याच पद्धतींचे समर्थन करणे आवश्यक आहे, अन्यथा पहिल्याच दिवशी तुमच्या एंडपॉइंट ऑथेंटिकेशनमध्ये त्रुटी येतील. दुसरी गोष्ट, तुमचे गेस्ट WiFi फ्लो. जर तुम्ही आज captive portal चालवत असाल, तर ते तुमच्या NAC सोबत कसे समाकलित (integrate) होते हे तंतोतंत समजून घ्या - ते इनलाइन आहे, रिडायरेक्ट-आधारित आहे, की ऑथेंटिकेशननंतर VLAN बदलण्यासाठी ते RADIUS CoA वापरत आहे? उदाहरणार्थ, Purple चे गेस्ट WiFi प्लॅटफॉर्म क्लाउड-आधारित पॉलिसी अंमलबजावणीसह हे मूळ स्वरूपात हाताळते, परंतु स्थलांतर (migrate) करण्यापूर्वी तुम्हाला तुमच्या सध्याच्या फ्लोचा नकाशा तयार करावा लागेल. तिसरी गोष्ट, तुमची अनुपालन (compliance) स्थिती. जर तुम्ही PCI DSS च्या कक्षेत येत असाल, तर तुम्हाला तुमच्या सध्याच्या नेटवर्क सेगमेंटेशनचे दस्तऐवजीकरण करावे लागेल - विशेषतः कार्डधारक डेटाचे वातावरण गेस्ट आणि कर्मचारी नेटवर्कपासून कसे वेगळे केले आहे हे स्पष्ट करावे लागेल. क्लाउड-नेटिव्ह NAC प्रत्यक्षात हे अधिक सुटसुटीत करू शकते, परंतु हे स्थलांतर स्वतःच एक बदल दर्शवणारी घटना आहे ज्याचे तुमच्या QSA साठी दस्तऐवजीकरण करणे आवश्यक आहे. दुसरा टप्पा म्हणजे समांतर रन (parallel run). येथेच बहुतेक स्थलांतरे यशस्वी किंवा अपयशी ठरतात. योग्य दृष्टीकोन असा आहे की तुमच्या जुन्या प्रणालीसोबत (legacy system) शॅडो मोडमध्ये तुमचा क्लाउड-नेटिव्ह NAC तैनात करा. तुम्ही अद्याप पूर्णपणे नवीन प्रणालीवर जात नाही आहात - तर तुम्ही पॉलिसीच्या समानतेची पडताळणी करत आहात. तुमची जुनी प्रणाली जो काही प्रवेशाचा निर्णय घेते, तोच निर्णय क्लाउड-नेटिव्ह प्रणालीकडून देखील घेतला जात असल्याचे तुम्हाला पहायचे आहे. हे किमान दोन आठवडे चालवा, आदर्शपणे चार आठवडे चालवा. वास्तविक एंडपॉइंट्सचा एक उपसंच वापरा - कर्मचारी उपकरणांचा एक पायलट गट, एकाच ठिकाणी एकच गेस्ट SSID - आणि ऑथेंटिकेशन लॉगची शेजारी-शेजारी तुलना करा. समांतर रन दरम्यान, तीन विशिष्ट गोष्टींची पडताळणी करायची असते. पहिली: लेटन्सी. बहुतांश विनंत्यांसाठी (requests) क्लाउड-नेटिव्ह RADIUS ऑथेंटिकेशन १०० मिलीसेकंदांपेक्षा कमी असावे. जर तुम्हाला जास्त लेटन्सी दिसत असेल, तर तुमचे RADIUS प्रॉक्सी कॉन्फिगरेशन आणि तुमची क्लाउड क्षेत्र निवड तपासा. दुसरी: पॉलिसीची अचूकता. प्रत्येक भूमिका असाइनमेंट, प्रत्येक VLAN टॅग, प्रत्येक प्रवेश निर्बंध - क्लाउड प्रणाली जुन्या प्रणालीशी जुळते का? कोणतीही तफावत ही संभाव्य सुरक्षा अंतर किंवा वापरकर्त्याच्या अनुभवातील अपयश असू शकते. तिसरी: फेलओव्हर वर्तन. जेव्हा क्लाउड नियंत्रण स्तर तात्पुरता पोहोचण्याबाहेर असतो तेव्हा काय होते? तुमच्या अंमलबजावणीच्या पॉइंट्सकडे एक निश्चित फॉलबॅक पॉलिसी असणे आवश्यक आहे - सामान्यतः गेस्ट ट्रॅफिकसाठी फेल-ओपन किंवा कर्मचारी आणि IoT साठी फेल-क्लोज्ड. याचे स्पष्टपणे दस्तऐवजीकरण करा. तिसरा टप्पा म्हणजे पूर्ण कटओव्हर आणि ऑप्टिमायझेशन. एकदा तुम्ही पॉलिसीच्या समानतेची पडताळणी केल्यानंतर, तुम्ही मेंटेनन्स विंडोमध्ये कटओव्हर करता. येथे महत्त्वाची गोष्ट म्हणजे क्रमवारी: आधी गेस्ट ट्रॅफिक कटओव्हर करा - यामध्ये सर्वात कमी धोका असतो आणि रोलबॅक करणे सर्वात सोपे असते. त्यानंतर कर्मचारी SSIDs. लागू असल्यास, त्यानंतर वायर्ड 802.1X. शेवटी, IoT आणि ऑपरेशनल तंत्रज्ञान नेटवर्क, ज्यांचे ऑथेंटिकेशन कॉन्फिगरेशन सहसा सर्वात नाजूक असते आणि ज्यांना सर्वात जास्त काळजी घेण्याची आवश्यकता असते. कटओव्हरनंतरचे तुमचे पहिले तीस दिवस हे ऑप्टिमायझेशनचे असतात. क्लाउड-नेटिव्ह NAC तुम्हाला असे टेलीमेट्री प्रदान करते जे पूर्वी तुमच्याकडे नव्हते - प्रति-डिव्हाइस ऑथेंटिकेशन दर, पॉलिसी हिट काउंट्स, आणि विसंगत वर्तन फ्लॅग्ज. त्या डेटाचा वापर करा. उदाहरणार्थ, Purple चे WiFi ॲनालिटिक्स प्लॅटफॉर्म एकाच डॅशबोर्डमध्ये डिव्हाइसचा थांबण्याचा वेळ (dwell time), कनेक्शन पॅटर्न आणि ऑथेंटिकेशन विसंगती दर्शवते, जे तुमच्या पोस्ट-मायग्रेशन पॉलिसी सुव्यवस्थित करण्यासाठी अत्यंत उपयुक्त ठरते. आणखी एक तांत्रिक मुद्दा जो नमूद करणे आवश्यक आहे: WPA3. तुम्ही तुमचे NAC मायग्रेट करत असाल, तर तुमच्या एन्क्रिप्शन मानकांचे मूल्यमापन करण्यासाठी हाच योग्य क्षण आहे. Wi-Fi Alliance च्या सुरक्षा प्रमाणन कार्यक्रमांतर्गत उच्च सुरक्षा असलेल्या वातावरणासाठी आता 192-बिट मोडसह WPA3-Enterprise ची शिफारस केली जाते. बहुतेक गेस्ट WiFi उपयोजनांसाठी हे अनिवार्य नाही, परंतु संवेदनशील डेटा हाताळणाऱ्या कर्मचारी आणि IoT नेटवर्कसाठी, हा अपग्रेड समांतर प्रयत्न करण्यासारखा नक्कीच आहे. - अंमलबजावणीच्या शिफारसी आणि त्रुटी - अंदाजे २ मिनिटे मला तुम्हाला NAC मायग्रेशनमध्ये दिसणारे तीन सर्वात सामान्य फेल्युअर मोड्स आणि ते कसे टाळावे याबद्दल सांगू द्या. फेल्युअर मोड १: आयडेंटिटी परावलंबित्वाचा अंदाज कमी लावणे. क्लाउड-नेटिव्ह NAC हे तुमच्या आयडेंटिटी इन्फ्रास्ट्रक्चरइतकेच कार्यक्षम असते. जर तुमचे Active Directory योग्यरित्या व्यवस्थापित नसेल - कालबाह्य खाती, विसंगत गट सदस्यत्वे, MFA अंमलबजावणीचा अभाव - तर तुम्ही या समस्या क्लाउडमध्ये मोठ्या प्रमाणावर आणि हॅकर्सना अधिक स्पष्टपणे दिसतील अशा प्रकारे पुन्हा निर्माण कराल. तुमचे NAC मायग्रेट करण्यापूर्वी, आयडेंटिटी हायजीन ऑडिट करा. कालबाह्य खाती काढून टाका. सर्व विशेषाधिकार प्राप्त आयडेंटिटींवर MFA लागू करा. तुमच्या कॉर्पोरेट डिरेक्टरीमध्ये पाहुण्यांना जोडण्याचा प्रयत्न करण्याऐवजी, विशिष्ट उद्देशाने तयार केलेल्या प्लॅटफॉर्मद्वारे तुमच्या गेस्ट आयडेंटिटीचे संघटन (federate) करा. फेल्युअर मोड २: IoT कडे दुर्लक्ष करणे. हॉस्पिटॅलिटी आणि रिटेल वातावरणात, IoT डिव्हाइसेस - डोअर कंट्रोलर, HVAC सेन्सर्स, डिजिटल सायनेज, POS टर्मिनल्स - सहसा MAC ॲड्रेस बायपासद्वारे ऑथेंटिकेट होतात, जी एक कमकुवत ऑथेंटिकेशन पद्धत आहे आणि जी जुन्या वारसा लाभलेल्या NAC द्वारे ऐतिहासिकदृष्ट्या सहन केली गेली आहे. क्लाउड-नेटिव्ह NAC तुम्हाला IoT साठी योग्य सर्टिफिकेट-आधारित ऑथेंटिकेशन लागू करण्याची संधी देते, परंतु यासाठी डिव्हाइस सर्टिफिकेट डिप्लॉयमेंट प्रोजेक्ट आवश्यक असतो ज्याचा अनेक संस्था कमी अंदाज लावतात. यासाठी स्वतंत्र बजेट ठेवा. फेल्युअर मोड ३: मायग्रेशनला वन-टाइम प्रोजेक्ट म्हणून वागवणे. क्लाउड-नेटिव्ह NAC हे सेट-अँड-फॉरगेट (एकदा सेट करून विसरून जाणे) प्रकारचे डिप्लॉयमेंट नाही. याचे खरे मूल्य चालू असणाऱ्या टेलीमेट्री आणि पॉलिसी ऑटोमेशनमध्ये आहे. जर तुम्ही मायग्रेशननंतर प्लॅटफॉर्मची मालकी सोपवली नाही - एखादा नियुक्त नेटवर्क सुरक्षा अभियंता किंवा मॅनेज्ड सर्व्हिस पार्टनर - तर तुम्ही बारा महिन्यांच्या आत पुन्हा त्याच कंप्लायन्स आणि व्हिजिबिलिटी त्रुटींकडे जाल ज्या तुमच्या जुन्या सिस्टममध्ये होत्या. - रॅपिड-फायर प्रश्नोत्तरे - अंदाजे १ मिनिट मला वारंवार विचारले जाणारे काही प्रश्न. "सामान्य मायग्रेशनसाठी किती वेळ लागतो?" एका सिंगल-साइट डिप्लॉयमेंटसाठी, मूल्यांकन करण्यापासून ते पूर्ण कटओव्हरपर्यंत चार ते आठ आठवडे लागतात. बहु-साइट मालमत्तेसाठी - समजा, पन्नास हॉटेल्स असलेला हॉटेल समूह - प्रत्येक साइटवर टप्प्याटप्प्याने कार्यक्रम राबवून सहा ते बारा महिने लागतील. "आम्हाला आमचे ॲक्सेस पॉईंट्स बदलण्याची गरज आहे का?" तसे करणे आवश्यकच आहे असे नाही. बहुतांश क्लाउड-नेटिव्ह NAC प्लॅटफॉर्म्स मानक RADIUS ऑथेंटिकेशनला सपोर्ट करतात, त्यामुळे तुमचे सध्याचे 802.1X सक्षम APs काम करतील. तथापि, तुमचे APs जर पाच वर्षांपेक्षा जुने असतील आणि ते WPA3 किंवा आधुनिक व्यवस्थापन APIs ला सपोर्ट करत नसतील, तर हे स्थलांतर एकाच वेळी नवीन हार्डवेअर घेण्यास चालना देणारे ठरू शकते. "GDPR आणि अतिथी डेटाबद्दल काय?" क्लाउड-नेटिव्ह NAC, योग्य अतिथी WiFi प्लॅटफॉर्मसह एकत्रित केल्यावर, प्रत्यक्षात तुमची GDPR स्थिती सुधारते. तुम्हाला केंद्रीकृत संमती व्यवस्थापन, डेटा रेसिडेन्सी कंट्रोल्स आणि ऑटोमेटेड रिटेंशन पॉलिसी मिळतात - या सर्व गोष्टी जुन्या ऑन-प्रिमायसेस इन्फ्रास्ट्रक्चरवर लागू करणे लक्षणीयरित्या कठीण आहे. - सारांश आणि पुढील पावले - अंदाजे १ मिनिट थोडक्यात सांगायचे तर: जुन्या NAC कडून क्लाउड-नेटिव्ह NAC कडे स्थलांतर करणे हे केवळ इन्फ्रास्ट्रक्चर रीफ्रेश नाही - तर हे तुम्ही नेटवर्क ॲक्सेस, अनुपालन आणि अतिथी इंटेलिजिन्स मोठ्या प्रमाणावर कसे व्यवस्थापित करता यामधील एक धोरणात्मक बदल आहे. चेकलिस्ट स्पष्ट आहे. तुम्ही सुरुवात करण्यापूर्वी तुमच्या सध्याच्या इन्फ्रास्ट्रक्चरचे सखोल ऑडिट करा. पॉलिसी पॅरिटी सत्यापित करण्यासाठी समांतर डिप्लॉयमेंट चालवा. क्रमबद्ध, कमी जोखमीच्या पद्धतीने कट ओव्हर करा. आणि सातत्यपूर्ण टेलिमेट्री व पॉलिसी ऑटोमेशनमध्ये गुंतवणूक करा जी क्लाउड-नेटिव्ह NAC ला पूर्वीच्या सिस्टीमपेक्षा खरोखर उत्कृष्ट बनवते. तुम्ही प्लॅटफॉर्म्सचे मूल्यांकन करत असल्यास, Purple ची अतिथी WiFi आणि ॲनालिटिक्स क्षमता क्लाउड-नेटिव्ह NAC आर्किटेक्चरसह नेटिव्हली इंटिग्रेट होते, ज्यामुळे तुम्हाला अतिथी ओळख, नेटवर्क पॉलिसी आणि व्हेन्यू ॲनालिटिक्ससाठी सिंगल पेन ऑफ ग्लास मिळतो. या संदर्भात आमच्या टीमसोबत चर्चा करणे फायदेशीर ठरेल. Purple WiFi इंटेलिजन्स ब्रीफिंग ऐकल्याबद्दल धन्यवाद. संपूर्ण तांत्रिक दस्तऐवज, आर्किटेक्चर डायग्राम्स आणि या चेकलिस्टची लिखित आवृत्ती purple.ai वर उपलब्ध आहे. पुन्हा भेटू पुढील वेळी.