एंटरप्राइझ नेटवर्क्सवरील Rogue Access Points चे धोके कमी करणे

Purple Enterprise Architecture Briefing मध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण एका गंभीर सुरक्षेच्या त्रुटीवर चर्चा करत आहोत जी लाखो पौंड किमतीच्या परिमिती सुरक्षेला (perimeter security) बायपास करते: Rogue Access Points. जर तुम्ही IT संचालक, नेटवर्क आर्किटेक्ट असाल किंवा रिटेल चेन्स, हॉस्पिटल्स, स्टेडियम्स यांसारख्या मोठ्या ठिकाणांचे ऑपरेशन्स व्यवस्थापित करत असाल — तर हे तुमच्यासाठी आहे. आपण सिद्धांताच्या पलीकडे जाऊन Wireless Intrusion Prevention Systems म्हणजेच WIPS चा वापर करून या धोक्याचे प्रत्यक्ष निवारण कसे करायचे ते पाहणार आहोत. चला आधी संदर्भ समजून घेऊया. तुम्ही नेक्स्ट-जनरेशन फायरवॉल्स, एंडपॉइंट डिटेक्शन आणि कडक प्रॉक्सी नियमांवर मोठ्या प्रमाणावर गुंतवणूक केली आहे. परंतु, यासाठी फक्त एका कर्मचाऱ्याने कॉन्फरन्स रूममधील वॉल जॅकमध्ये पन्नास पौंडचा ग्राहक राउटर प्लग करणे पुरेसे आहे, आणि अचानक, तुमचे सुरक्षित LAN थेट कार पार्कपर्यंत ब्रॉडकास्ट होऊ लागते. यालाच Rogue AP म्हणतात. हा तुमच्या मुख्य नेटवर्कमध्ये थेट प्रवेश देणारा एक अनमॅनेज्ड, अनएनक्रिप्टेड ब्रिज आहे. पण हे केवळ चांगल्या सिग्नलच्या शोधात असलेल्या कर्मचाऱ्यांपुरते मर्यादित नाही. आपण Evil Twin हल्ल्यांमध्ये वाढ पाहत आहोत. यामध्ये हल्लेखोर तुमच्या इमारतीबाहेर — कदाचित शेजारच्या कॉफी शॉपमध्ये — बसतो आणि तुमच्या कॉर्पोरेटचे अचूक SSID ब्रॉडकास्ट करतो. 'Corp-WiFi'. ते सिग्नलची ताकद वाढवतात आणि तुमच्या कर्मचाऱ्यांचे लॅपटॉप तुमच्या ॲक्सेस पॉईंटऐवजी आपोआप हल्लेखोराच्या ॲक्सेस पॉईंटशी कनेक्ट होतात. आता, हल्लेखोर त्या सर्व ट्रॅफिकच्या मध्यभागी बसलेला असतो. त्या कनेक्शनमधून जाणारे प्रत्येक क्रेडेंशियल, प्रत्येक सेशन टोकन आणि संवेदनशील डेटाचा प्रत्येक भाग धोक्यात येऊ शकतो. यामध्ये हनीपॉट प्रकार देखील आहे — एक ओपन नेटवर्क जे 'Free Public WiFi' सारखे निरुपद्रवी नाव ब्रॉडकास्ट करते — जे विशेषतः हॉस्पिटॅलिटी आणि रिटेल वातावरणात अत्यंत धोकादायक आहे जिथे ग्राहक सक्रियपणे कनेक्टिव्हिटी शोधत असतात. तर, आपण हे कसे रोखू शकतो? हँडहेल्ड स्पेक्ट्रम ॲनालायझरसह मॅन्युअल स्कॅनिंग करणे हे प्राथमिक नियंत्रण म्हणून आता पूर्णपणे कालबाह्य झाले आहे. हे खूप संथ, खूप महाग आहे आणि स्कॅन सायकलच्या दरम्यानच्या काळात सुरक्षेमध्ये मोठी पोकळी निर्माण करते. एंटरप्राइझ मानक म्हणजे सतत चालणारे, स्वयंचलित WIPS. चला तांत्रिक आर्किटेक्चर सविस्तर समजून घेऊया. एक मजबूत WIPS डिप्लॉयमेंट सेन्सर ओव्हरले लेयरवर अवलंबून असते. येथे तुमच्याकडे दोन मुख्य दृष्टिकोन आहेत. पहिला, डेडिकेटेड सेन्सर मोड. यामध्ये तुम्ही असे ॲक्सेस पॉईंट्स तैनात करता ज्यांचे एकमेव काम फक्त ऐकणे (listen) हे असते. ते क्लायंट ट्रॅफिक हाताळत नाहीत; ते फक्त प्रत्येक चॅनेलवर सतत २.४, ५ आणि ६ गिगाहर्ट्झ स्पेक्ट्रम स्कॅन करतात. हे तुम्हाला अत्यंत अचूक डिटेक्शन आणि रिअल-टाइमच्या जवळ धोके रोखण्याची क्षमता देते. जर तुम्ही हेल्थकेअर, फायनान्शियल सर्व्हिसेस किंवा PCI-सुसंगत रिटेल क्षेत्रात असाल, तर हे सर्वोत्तम मानक आहे. अतिरिक्त हार्डवेअरचा खर्च केवळ कंप्लायन्स ऑटोमेशन आणि कमी झालेल्या इन्सिडेंट रिस्पॉन्स वेळेमुळे सार्थ ठरतो. दुसरा दृष्टिकोन म्हणजे बॅकग्राउंड स्कॅनिंग, ज्याला कधीकधी टाइम-स्लाइसिंग म्हटले जाते. येथे, तुमचे विद्यमान ॲक्सेस पॉइंट्स नेहमीप्रमाणे क्लायंटना सेवा देतात, परंतु धोके शोधण्यासाठी ते ठराविक अंतराने त्यांचे चॅनेल बदलतात. हे किफायतशीर आहे कारण तुम्हाला समर्पित हार्डवेअरची आवश्यकता नसते, परंतु यामुळे तुम्हाला सततच्या विजिबिलिटीचा त्याग करावा लागतो. स्कॅन्सच्या दरम्यानच्या काळात एखादा रोग (rogue) AP सक्रिय होऊन नुकसान करू शकतो. कमी जोखीम असलेल्या वातावरणासाठी किंवा विखुरलेल्या रिटेल आउटलेट्ससाठी जिथे समर्पित ओव्हरले अत्यंत खर्चिक असतात, तिथे हा एक व्यवहार्य तडजोड पर्याय आहे — बशर्ते तुम्ही मजबूत वायर्ड-साइड कंट्रोल्सद्वारे याची भरपाई केली पाहिजे, ज्यावर आपण लवकरच बोलू. आता, केवळ शोध घेणे ही अर्धीच लढाई आहे. WIPS ची खरी ताकद स्वयंचलित वर्गीकरण (classification) आणि प्रतिबंध (containment) यामध्ये आहे. आणि नेमके इथेच बहुतांश अंमलबजावणी चुकते. तुम्ही दिसणारे प्रत्येक WiFi सिग्नल ब्लॉक करू शकत नाही — यामुळे तुम्ही शेजारच्या व्यवसायाच्या नेटवर्कमध्ये अडथळा आणाल, आणि त्यामुळे तुम्ही दूरसंचार नियामकांच्या गंभीर कायदेशीर अडचणीत सापडू शकता. तुम्हाला कडक, स्तरित वर्गीकरण नियमांची आवश्यकता आहे. मी तुम्हाला यामागील लॉजिक समजावून सांगतो. जर WIPS सेन्सरला एखादा अज्ञात MAC ॲड्रेस दिसला — असा BSSID जो तुमच्या अधिकृत इन्व्हेंटरीमध्ये नाही — आणि तो तुमचा कॉर्पोरेट SSID ब्रॉडकास्ट करत असेल, आणि सिग्नलची ताकद मजबूत असेल — समजा, उणे पासष्ट dBm पेक्षा जास्त, जे दर्शवते की तो भौतिकदृष्ट्या तुमच्या इमारतीच्या आत किंवा अगदी जवळ आहे — तर तो एक 'इव्हिल ट्विन' (Evil Twin) आहे. त्याचे वर्गीकरण अत्यंत गंभीर (critical) म्हणून करा. त्यावर त्वरित स्वयंचलित प्रतिबंध लागू करा. जर WIPS ला एखादा अज्ञात BSSID दिसला, आणि तो त्या MAC ॲड्रेसचा संबंध तुमच्या नेटवर्कवरील वायर्ड स्विच पोर्टशी जोडू शकत असेल — म्हणजेच ते डिव्हाइस भौतिकदृष्ट्या तुमच्या LAN शी जोडलेले आहे — तर तो खरा अंतर्गत रोग (rogue) आहे. हा देखील गंभीर प्रकार आहे. मात्र, यासाठी प्रतिबंधाची पद्धत वेगळी असेल. जर सिग्नल कमकुवत असेल — उणे पंच्याहत्तर dBm पेक्षा कमी — आणि SSID तुमच्याशी जुळत नसेल, तर ते नक्कीच शेजारचे नेटवर्क आहे. त्याची नोंद ठेवा, बेसलाइन करा आणि त्याला सोडून द्या. एकदा वर्गीकरण झाल्यावर, आपण या धोक्याचा सामना कसा करणार? आमच्याकडे दोन शस्त्रे आहेत: वायर्ड प्रतिबंध आणि वायरलेस प्रतिबंध. येथील सुवर्ण नियम असा आहे: आधी वायर, नंतर वायरलेस. जर WIPS रोग AP च्या वायरलेस MAC ॲड्रेसचा संबंध तुमच्या नेटवर्कवरील भौतिक स्विच पोर्टशी जोडू शकत असेल, तर सर्वोत्तम प्रतिसाद म्हणजे पोर्ट सप्रेशन (port suppression). WIPS हे SNMP किंवा आधुनिक REST API द्वारे तुमच्या मुख्य स्विचशी संवाद साधते आणि प्रशासकीयदृष्ट्या तो विशिष्ट पोर्ट बंद करते. त्या डिव्हाइसची नेटवर्क कनेक्टिव्हिटी खंडित होते. तो धोका संपतो. निश्चितपणे. कायमचा. जोपर्यंत कोणीतरी भौतिकदृष्ट्या तो पोर्ट पुन्हा सुरू करत नाही. पण जर तो 'इव्हिल ट्विन' असेल तर? तो तुमच्या वायर्ड नेटवर्कवर नसतो, त्यामुळे तुम्ही पोर्ट बंद करू शकत नाही. अशा वेळी आपण वायरलेस प्रतिबंधाचा वापर करतो. WIPS सेन्सर रोग AP च्या MAC ॲड्रेसची नक्कल (spoof) करतो आणि सर्व संबंधित क्लायंटना लक्ष्यित IEEE 802.11 डी-ऑथेंटिकेशन फ्रेम्स पाठवतो. त्याच वेळी, तो क्लायंटच्या MAC ॲड्रेसेसची नक्कल करतो आणि रोग AP ला डी-ऑथेंटिकेशन फ्रेम्स परत पाठवतो. यामुळे त्यांचे कनेक्शन सतत खंडित होते आणि क्लायंटना कायदेशीर AP शोधण्यास भाग पाडले जाते. हे लक्षात घेणे महत्त्वाचे आहे की 802.11w — Protected Management Frames — हे सपोर्ट करणाऱ्या क्लायंट्सवर डी-ऑथेंटिकेशन हल्ले करणे कठीण बनवते. तथापि, WIPS अजूनही रोग (rogue) AP ला स्वतः विस्कळीत करू शकते, आणि डी-ऑथ तसेच तुमचे APs अधिक क्षमतेने कायदेशीर SSID ब्रॉडकास्ट करत असल्याने हा हल्ला हाणून पाडण्यासाठी सामान्यतः पुरेसे ठरते. चला अंमलबजावणीतील त्रुटींबद्दल बोलूया, कारण अशा अनेक त्रुटी आहेत ज्या आम्हाला या क्षेत्रात वारंवार पाहायला मिळतात. सर्वात मोठी चूक म्हणजे योग्य RSSI मर्यादांशिवाय अति-आक्रमक स्वयंचलित कंटेनमेंट (प्रतिबंध) करणे. जर तुम्ही तुमचे कंटेनमेंट धोरण सिग्नलच्या क्षमतेचा विचार न करता कोणत्याही अज्ञात BSSID वर ट्रिगर होण्यासाठी सेट केले, तर तुम्ही तुमच्या शेजाऱ्यांच्या नेटवर्कला देखील प्रतिबंधित कराल. तो बेकायदेशीर हस्तक्षेप आहे. किमान RSSI मर्यादा सेट करा — सामान्यतः उणे पासष्ट ते उणे सत्तर dBm — आणि केवळ त्या मर्यादेपेक्षा जास्त असलेल्या सिग्नलसाठी कंटेनमेंट स्वयंचलित करा. त्यापेक्षा कमकुवत असलेल्या कोणत्याही सिग्नलसाठी, मॅन्युअल तपासणीसाठी अलर्ट जनरेट करा. दुसरी त्रुटी म्हणजे WIPS कडे एक स्वतंत्र सोल्यूशन म्हणून पाहणे. WIPS हे तुमचे सुरक्षा जाळे आहे. तुमचा प्राथमिक बचाव तुमच्या वायर्ड एज स्विचेसवर IEEE 802.1X नेटवर्क ॲक्सेस कंट्रोल हा असावा. जर एखाद्या कर्मचाऱ्याने रोग (rogue) राउटर प्लग इन केला, तर स्विच पोर्टने ऑथेंटिकेशनची मागणी केली पाहिजे, जे अयशस्वी होईल — कारण राउटर हे मॅनेज्ड, सर्टिफाइड डिव्हाइस नाही — आणि ट्रॅफिक पास करण्यास नकार दिला पाहिजे. तुम्ही धोक्याला IP ॲड्रेस मिळण्यापूर्वीच थांबवता. तो RF सिग्नल म्हणून दिसण्यापूर्वीच. तुमच्या ताफ्यातील 802.1X हे सर्वात किफायतशीर रोग (rogue) AP प्रतिबंधक साधन आहे. तिसरी त्रुटी म्हणजे प्रत्यक्ष प्रतिसादाकडे दुर्लक्ष करणे. WIPS मल्टिपल सेन्सर्सच्या सिग्नल क्षमतेचा वापर करून फ्लोअर प्लॅनवर रोग (rogue) AP चे प्रत्यक्ष स्थान शोधू शकते. परंतु WIPS प्रत्यक्षपणे ते डिव्हाइस काढून टाकू शकत नाही. तुम्हाला एका प्रक्रियेची आवश्यकता आहे: अलर्ट ट्रिगर होतो, स्थान ओळखले जाते, IT किंवा सुरक्षा टीम एका निश्चित SLA च्या आत त्या ठिकाणी पोहोचते. त्या मानवी प्रतिसाद चक्राशिवाय, तुम्ही धोक्याचे समूळ उच्चाटन करण्याऐवजी केवळ अनिश्चित काळासाठी त्याला प्रतिबंधित करत आहात. ठीक आहे, आता क्लायंटच्या सामान्य परिस्थितींवर आधारित जलद प्रश्नोत्तरांकडे वळूया. प्रश्न पहिला: आमचे रोग (rogue) APs SSID ब्रॉडकास्ट करत नाहीत. तरीही WIPS त्यांचा शोध घेऊ शकते का? होय, नक्कीच. आधुनिक WIPS केवळ बीकन फ्रेम्सवर अवलंबून नसतात. ते क्लायंट डिव्हाइसेसकडून येणाऱ्या प्रोब विनंत्या आणि ॲक्सेस पॉईंट्सकडून मिळणाऱ्या प्रोब प्रतिसादांवर लक्ष ठेवतात. जरी SSID लपवलेला असला तरीही — एक नल (null) SSID बीकन — RF सिग्नेचर आणि MAC ॲड्रेस अजूनही सेन्सरला दृश्यमान असतात. SSID च्या दृश्यमानतेचा विचार न करता, कोणत्याही न ओळखलेल्या BSSID ला फ्लॅग करण्यासाठी तुमचे WIPS कॉन्फिगर करा. प्रश्न दुसरा: WIPS चा आमच्या गेस्ट WiFi कामगिरीवर परिणाम होतो का? जर तुम्ही डेडिकेटेड सेन्सर्स वापरत असाल, तर क्लायंट ट्रॅफिकवर कोणताही परिणाम होत नाही. सेन्सर्स तुमच्या सेवा देणाऱ्या इन्फ्रास्ट्रक्चरपासून पूर्णपणे वेगळे असतात. जर तुम्ही टाइम-स्लाइसिंग वापरत असाल, तर AP चॅनेल बदलत असताना थोडा लॅटन्सी (विलंब) येतो, परंतु सामान्य वेब ब्राउझिंग आणि व्यावसायिक ॲप्लिकेशन्ससाठी, तो सामान्यतः जाणवत नाही. VoIP किंवा व्हिडिओ कॉन्फरन्सिंगसारख्या लॅटन्सी-संवेदनशील ॲप्लिकेशन्ससाठी, डेडिकेटेड सेन्सर्स वापरण्याची जोरदार शिफारस केली जाते. प्रश्न तिसरा: हे थेट PCI DSS अनुपालनासाठी (compliance) कशी मदत करते? PCI DSS Requirement 11.1 नुसार संस्थांनी वायरलेस ॲक्सेस पॉइंट्सच्या अस्तित्वाची चाचणी घेणे आणि प्रत्येक त्रैमासिकात सर्व अधिकृत आणि अनधिकृत वायरलेस ॲक्सेस पॉइंट्स शोधणे आणि ओळखणे अनिवार्य आहे. WIPS हे पूर्णपणे स्वयंचलित करते — हे त्रैमासिक नसून निरंतर चालते. मॅनेजमेंट कन्सोल अचूक ऑडिट लॉग आणि रिपोर्ट्स तयार करते जे QSAs ना आवश्यक असतात, ज्यामुळे तुमच्या टीमचे अनेक आठवड्यांचे मॅन्युअल प्रयत्न वाचतात आणि अनुपालनाचा (compliance) खर्च लक्षणीयरीत्या कमी होतो. आजच्या ब्रीफिंगमधील मुख्य मुद्दे थोडक्यात सांगायचे तर. Rogue APs हे तुमच्या एज सिक्युरिटी गुंतवणुकीला बायपास करणारे एक गंभीर माध्यम आहेत. एकच अनमॅनेज्ड डिव्हाइस तुमच्या संपूर्ण पेरिमिटर डिफेन्सला निरुपयोगी ठरू शकते. त्यांचा धोका कमी करण्यासाठी वेळोवेळी केल्या जाणाऱ्या मॅन्युअल स्कॅन्सकडून निरंतर स्वयंचलित WIPS कडे वळणे आवश्यक आहे. हे तंत्रज्ञान प्रगत आहे आणि याचा ROI (गुंतवणुकीवरील परतावा) सिद्ध करता येण्याजोगा आहे. अचूक वर्गीकरण (classification) अत्यंत आवश्यक आहे. RSSI थ्रेशोल्ड्स आणि वायर्ड कोरिलेशन फॉल्स पॉझिटिव्ह्स रोखतात आणि तुम्हाला दूरसंचार कायद्याच्या योग्य बाजूला ठेवतात. जेव्हा rogue डिव्हाइस तुमच्या LAN ला प्रत्यक्ष जोडलेले असेल, तेव्हा वायरलेस डी-ऑथेंटिकेशनपेक्षा नेहमी वायर्ड पोर्ट सप्रेशनला प्राधान्य द्या. हा एक खात्रीशीर उपाय आहे. तुमच्या WIPS ला वायर्ड एजवर 802.1X चे पाठबळ द्या. प्रतिबंध करणे हे नेहमीच नियंत्रण ठेवण्यापेक्षा स्वस्त असते. आणि शेवटी, प्रत्यक्ष प्रतिसाद प्रक्रियेसह हे चक्र पूर्ण करा. तंत्रज्ञान धोक्याची ओळख पटवते; तुमची टीम तो नष्ट करते. अधिक तपशीलवार डिप्लॉयमेंट टोपोलॉजीज, केस स्टडीज आणि वेंडर-न्यूट्रल कॉन्फिगरेशन मार्गदर्शनासाठी, Purple वेबसाइटवरील संपूर्ण तांत्रिक संदर्भ मार्गदर्शिका पहा. ऐकल्याबद्दल धन्यवाद, आणि तुमचे नेटवर्क सुरक्षित ठेवा.