कर्मचारी नोकरी सोडतो तेव्हा WiFi ॲक्सेस कसा रद्द करावा

Purple टेक्निकल ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण एंटरप्राइझ ऑफबोर्डिंगमधील सर्वात सामान्य त्रुटींपैकी एकावर चर्चा करत आहोत: कर्मचारी नोकरी सोडतो तेव्हा प्रत्यक्षात WiFi ॲक्सेसचे काय होते? हे अगदी सोपे वाटते. कोणीतरी त्यांचे बॅज जमा करते, HR त्यांचे खाते बंद करते आणि तुम्ही पुढे जाता. पण जर तुमचे नेटवर्क अजूनही सामायिक WPA2 पासवर्डवर चालत असेल, तर ती व्यक्ती बाहेर पडतानाही पासवर्ड माहित ठेवूनच बाहेर पडते. आणि जोपर्यंत तुम्ही तो प्रत्येकासाठी बदलत नाही, तोपर्यंत ते कार पार्कमधून पुन्हा कनेक्ट करू शकतात. आज आपण याच समस्येचे निराकरण करत आहोत. आम्ही प्रति-वापरकर्ता WiFi ॲक्सेस रद्द करण्यासाठीच्या तीन विश्वसनीय मॉडेल्सचा आढावा घेऊ, त्याच दिवशी ॲक्सेस रद्द करण्याच्या चेकलिस्टचा सराव करू आणि ISO 27001 किंवा SOC 2 ऑडिटरला तुमच्या लॉग्समध्ये नक्की काय पाहायचे असते हे स्पष्ट करू. चला सुरुवात करूया. विभाग एक: सामायिक पासवर्ड हे या कामासाठी चुकीचे साधन का आहे. WPA2-Personal, जे सामान्य होम-राउटर सेटअप आहे, एकच प्री-शेअर्ड की वापरते. नेटवर्कवरील प्रत्येकाला तोच पासवर्ड माहित असतो. जेव्हा एखादी व्यक्ती नोकरी सोडते, तेव्हा तो पासवर्ड त्यांच्या फोनवर, लॅपटॉपवर किंवा त्यांनी कधीही कनेक्ट केलेल्या कोणत्याही डिव्हाइसवर वैध राहतो. त्यांचा ॲक्सेस रद्द करण्याचा एकमेव मार्ग म्हणजे संपूर्ण नेटवर्कचा पासवर्ड बदलणे आणि तो उर्वरित प्रत्येक वापरकर्त्याला आणि डिव्हाइसला पुन्हा देणे. २०० कर्मचारी असलेल्या हॉटेलमध्ये, याचा अर्थ प्रत्येक पॉइंट-ऑफ-सेल टर्मिनल, प्रत्येक बॅक-ऑफिस PC, प्रत्येक मॅनेजरचा फोन अपडेट करणे असा होतो. ५० स्टोअर्स असलेल्या रिटेल चेनमध्ये, याचा अर्थ प्रत्येक ठिकाणी समन्वित अंमलबजावणी करणे असा होतो. याचा परिचालन खर्च (operational cost) जास्त आहे, कामात व्यत्यय येतो आणि कर्मचारी गेल्याचा शेवटचा दिवस और पासवर्ड बदलण्याची प्रक्रिया पूर्ण होणे यामधील काळ सुरक्षेची मोठी त्रुटी ठरतो. PCI-DSS, जे पेमेंट कार्ड उद्योगाचे मानक आहे, त्यानुसार क्रेडेंशियल्सची माहिती असलेले कर्मचारी नोकरी सोडून जातात तेव्हा सामायिक क्रेडेंशियल्स बदलणे आवश्यक असते. त्यामुळे जर तुमचे कॅश काउंटर (tills) तुमच्या कर्मचारी WiFi सारख्याच नेटवर्कवर असतील, तर कर्मचारी जाण्याने केवळ सर्वोत्तम पद्धतीची शिफारस नाही, तर अनुपालनाचे बंधन (compliance obligation) लागू होते. याचे मूळ कारण सोपे आहे: सामायिक पासवर्डला कोणतीही ओळख जोडलेली नसते. नेटवर्क सध्याचा कर्मचारी आणि माजी कर्मचारी यांच्यात फरक करू शकत नाही. हे दुरुस्त करण्यासाठी, तुम्हाला प्रति-वापरकर्ता क्रेडेंशियल्सची आवश्यकता आहे. विभाग दोन: प्रत्यक्षात काम करणारे तीन मॉडेल्स. मॉडेल एक म्हणजे EAP-TLS सर्टिफिकेट-आधारित प्रमाणीकरणासह 802.1X. एंटरप्राइझ WiFi सुरक्षेसाठी हे सुवर्ण मानक आहे. या मॉडेलमध्ये, प्रत्येक वापरकर्ता किंवा डिव्हाइसकडे तुमच्या Certificate Authority (CA) द्वारे जारी केलेले एक अद्वितीय डिजिटल सर्टिफिकेट असते. जेव्हा ते WiFi शी कनेक्ट होतात, तेव्हा RADIUS सर्वर त्या सर्टिफिकेटचे क्रिप्टोग्राफिक पद्धतीने प्रमाणीकरण करतो. सर्टिफिकेट हे पासवर्डशी नाही तर ओळखीशी जोडलेले असते. ॲक्सेस रद्द करण्यासाठी, तुम्ही CA स्तरावर सर्टिफिकेट रद्द करता. RADIUS सर्वर OCSP, म्हणजेच Online Certificate Status Protocol चा वापर करून रिअल-टाइममध्ये ॲक्सेस रद्द करण्याची स्थिती तपासतो. जेव्हा तुम्ही एखादे सर्टिफिकेट रद्द म्हणून चिन्हांकित करता, तेव्हा पुढील वेळी ते डिव्हाइस प्रमाणित करण्याचा प्रयत्न करते, RADIUS सर्वर OCSP रिस्पॉन्डरकडे चौकशी करतो, रद्द केल्याचा प्रतिसाद मिळवतो आणि ॲक्सेस पॉईंटला Access-Reject पाठवतो. पुढील प्रमाणीकरणाच्या प्रयत्नानंतर काही सेकंदातच डिव्हाइस नेटवर्कच्या बाहेर जाते. सक्रिय सत्रांसाठी, तुम्ही सध्याचे सत्र त्वरित समाप्त करण्यासाठी RADIUS Change of Authorisation, किंवा CoA चा वापर करता. OCSP आणि CoA एकत्रितपणे वापरल्यास तुम्ही नोकरी सोडणाऱ्या कर्मचाऱ्याचा WiFi ॲक्सेस एका मिनिटापेक्षा कमी वेळात रद्द करू शकता, ज्याची संपूर्ण नोंद तुमच्या RADIUS लॉग्समध्ये होते. EAP-TLS मधील आव्हान म्हणजे PKI चा अतिरिक्त खर्च (overhead). तुम्हाला एक Certificate Authority, डिव्हाइसेसना सर्टिफिकेट्स जारी करण्याची यंत्रणा (सामान्यतः Microsoft Intune सारख्या MDM द्वारे) आणि ते रद्द करण्याची प्रक्रिया आवश्यक असते. प्रगत MDM आणि ओळख पायाभूत सुविधा असलेल्या संस्थांसाठी, हे योग्य उत्तर आहे. लहान टीम्स किंवा सर्टिफिकेट प्रमाणीकरणाला सपोर्ट न करणाऱ्या IoT डिव्हाइसेस असलेल्या वातावरणासाठी, तुम्हाला वेगळ्या दृष्टिकोनाची आवश्यकता आहे. मॉडेल दोन म्हणजे iPSK, Identity Pre-Shared Key. Cisco याला iPSK म्हणते, Ruckus याला DPSK म्हणते, Aruba याला MPSK म्हणते, पण संकल्पना तीच आहे: प्रत्येक वापरकर्त्याला किंवा डिव्हाइसला एक अद्वितीय पासवर्ड मिळतो, जरी ते सर्व एकाच SSID शी कनेक्ट होत असले तरीही. RADIUS सर्वर प्रत्येक अद्वितीय की (key) ला एका विशिष्ट ओळखीशी आणि पर्यायाने विशिष्ट VLAN शी मॅप करतो. जेव्हा तुम्ही ती की RADIUS डेटाबेसमधून हटवता, तेव्हा ते डिव्हाइस यापुढे प्रमाणित होऊ शकत नाही. नोकरी सोडणाऱ्या व्यक्तीचा प्रभाव केवळ त्याच एका व्यक्तीपुरता मर्यादित असतो. इतर सर्वांच्या की वैध राहतात. iPSK हे मिश्रित डिव्हाइस प्रकार असलेल्या वातावरणासाठी विशेषतः योग्य आहे. IoT डिव्हाइसेस, पॉइंट-ऑफ-सेल टर्मिनल्स आणि 802.1X सर्टिफिकेट्सना सपोर्ट न करणारे जुने हार्डवेअर हे सर्व iPSK वापरू शकतात. हे पूर्ण PKI सेटअपपेक्षा चालवण्यास सोपे आहे, ज्यामुळे पायाभूत सुविधांच्या अतिरिक्त खर्चाशिवाय प्रति-वापरकर्ता ॲक्सेस रद्द करण्याची आवश्यकता असलेल्या मध्यम-आकाराच्या संस्थांसाठी हा योग्य पर्याय ठरतो. iPSK साठी ॲक्सेस रद्द करण्याचा कालावधी सामान्यतः काही मिनिटे असतो, सेकंद नाही. की हटवण्याची प्रक्रिया RADIUS सर्वरपर्यंत पोहोचते, परंतु डिव्हाइस पुन्हा प्रमाणित होईपर्यंत किंवा तुम्ही सक्तीने डिस्कनेक्ट करण्यासाठी CoA पॅकेट पाठवेपर्यंत सक्रिय सत्रे सुरू राहू शकतात. मॉडेल तीन म्हणजे SCIM-चालित डीप्रोविझनिंग. SCIM चा अर्थ System for Cross-domain Identity Management असा आहे. हे RFC 7643 और RFC 7644 मध्ये परिभाषित केलेले एक खुले मानक आहे, जे तुमच्या ओळख प्रदात्याला वापरकर्त्याच्या जीवनचक्रातील इव्हेंट्स रिअल-टाइममध्ये डाउनस्ट्रीम सिस्टम्सकडे पाठवण्याची परवानगी देते. हे प्रत्यक्षात कसे कार्य करते ते येथे आहे. तुमचा ओळख प्रदाता, मग तो Microsoft Entra ID, Okta, किंवा Google Workspace असो, वापरकर्ता खात्यांसाठी सत्याचा अधिकृत स्रोत आहे. जेव्हा HR विभाग ओळख प्रदात्यामध्ये नोकरी सोडणाऱ्याचे खाते निष्क्रिय करतो, तेव्हा SCIM तुमच्या WiFi व्यवस्थापन प्लॅटफॉर्मसह प्रत्येक कनेक्ट केलेल्या सिस्टमला विनंती पाठवतो. Purple हे SCIM द्वारे तुमच्या ओळख प्रदात्याशी कनेक्ट होते. तुम्ही Entra ID, Okta, किंवा Google Workspace मध्ये वापरकर्त्याला निष्क्रिय करताच, Purple ला SCIM इव्हेंट मिळतो आणि पुढील प्रमाणीकरणाच्या वेळी त्यांचे WiFi क्रेडेंशियल्स रद्द केले जातात. हा इव्हेंट टाइमस्टँप, वापरकर्त्याची ओळख आणि घेतलेल्या कारवाईसह लॉग केला जातो. ती लॉग नोंद नेमकी तीच असते जी ISO 27001 ऑडिटरला पाहायची असते. SCIM हे 802.1X किंवा iPSK ची जागा घेत नाही. ते त्यांच्या वर कार्य करते. SCIM ओळख जीवनचक्र हाताळते; प्रमाणीकरण प्रोटोकॉल नेटवर्क अंमलबजावणी हाताळतो. SCIM आणि 802.1X चे संयोजन तुम्हाला संपूर्ण ऑडिट ट्रेल आणि शून्य मॅन्युअल पायऱ्यांसह स्वयंचलित, रिअल-टाइम ॲक्सेस रद्द करण्याची सुविधा देते. विभाग तीन: उसी दिन ॲक्सेस रद्द करण्याची चेकलिस्ट. जेव्हा नोकरी सोडणाऱ्याचा शेवटचा दिवस येतो, तेव्हा तुमच्या IT टीमने या क्रमाचे पालन केले पाहिजे. पायरी एक: तुमच्या ओळख प्रदात्यामध्ये खाते निष्क्रिय करा. हे इतर सर्व गोष्टींसाठी ट्रिगर आहे. Microsoft Entra ID मध्ये, खाते 'disabled' वर सेट करा. Okta मध्ये, वापरकर्त्याला निष्क्रिय करा. Google Workspace मध्ये, खाते निलंबित करा. पायरी दोन: तुम्ही SCIM चालवत असल्यास, डीप्रोविझनिंग इव्हेंट सुरू झाल्याची खात्री करा. संबंधित इव्हेंटसाठी तुमचे SCIM लॉग्स किंवा तुमचे WiFi व्यवस्थापन प्लॅटफॉर्म तपासा. SCIM नसल्यास, तुमच्या CA मधील सर्टिफिकेट मॅन्युअली रद्द करा किंवा तुमच्या RADIUS डेटाबेसमधून iPSK की हटवा. पायरी तीन: कोणतेही सक्रिय WiFi सत्र समाप्त करण्यासाठी RADIUS CoA पाठवा. बहुतेक एंटरप्राइझ RADIUS सर्वर्स आणि Purple सारखे प्लॅटफॉर्म डीप्रोविझनिंग इव्हेंटवर हे स्वयंचलितपणे करू शकतात. तुम्ही हे मॅन्युअली करत असल्यास, वापरकर्त्याचे डिव्हाइस MAC ॲड्रेस किंवा सेशन ID द्वारे डिस्कनेक्ट करण्यासाठी तुमच्या RADIUS सर्वरचा CoA इंटरफेस वापरा. पायरी चार: कोणतेही सक्रिय सत्र शिल्लक नसल्याची खात्री करा. तुमचे WiFi कंट्रोलर डॅशबोर्ड तपासा. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, किंवा Fortinet वर, तुम्ही वापरकर्तानाव किंवा डिव्हाइसद्वारे शोध घेण्यास आणि शून्य सक्रिय असोसिएशनची खात्री करण्यास सक्षम असावे. पायरी पाच: ऑडिट लॉग नोंद संग्रहित (archive) करा. संबंधित वापरकर्ता आणि तारखेसाठी RADIUS प्रमाणीकरण लॉग, SCIM इव्हेंट लॉग आणि CoA लॉग एक्सपोर्ट किंवा फ्लॅग करा. हे तुमच्या ITSM किंवा सुरक्षा माहिती आणि इव्हेंट व्यवस्थापन प्लॅटफॉर्ममध्ये संग्रहित करा. ISO 27001 Annex A नियंत्रण A.9.2.6 नुसार तुम्ही सेवा समाप्तीनंतर सर्व कर्मचारी आणि कंत्राटदारांचे ॲक्सेस अधिकार काढून टाकणे किंवा समायोजित करणे आवश्यक आहे. तुमचा लॉग हाच पुरावा आहे. पायरी सहा: जर तुम्ही WPA2 सामायिक PSK चालवत असाल आणि वरीलपैकी काहीही लागू होत नसेल, तर पासवर्ड बदला. शक्य असल्यास नोकरी सोडणाऱ्याच्या शेवटच्या दिवसापूर्वी किंवा त्यानंतर लगेचच सर्व साइट्स आणि डिव्हाइसेसवर पासवर्ड बदलण्याच्या प्रक्रियेचे समन्वय साधा. विभाग चार: ऑडिटरला काय अपेक्षित आहे. ISO 27001 आणि SOC 2 दोन्हीसाठी रोजगार संपल्यावर ॲक्सेस त्वरित काढून टाकला गेल्याचे दाखवणे आवश्यक आहे. विशेषतः WiFi साठी, ऑडिटर्स चार गोष्टी शोधतात. पहिली, एक दस्तऐवजीकरण केलेली ऑफबोर्डिंग प्रक्रिया ज्यामध्ये स्पष्टपणे नेटवर्क ॲक्सेसचा समावेश आहे. दुसरी, गेल्या १२ महिन्यांतून निवडलेल्या साधारणपणे १० ते २५ व्यक्तींच्या नमुन्यासाठी त्या प्रक्रियेचे पालन केले गेल्याचा पुरावा. तिसरी, खाते निष्क्रिय केल्याचा टाइमस्टँप आणि WiFi ॲक्सेस रद्द केल्याचा टाइमस्टँप दर्शवणारा लॉग, ज्यामधील फरक स्पष्टपणे दिसत असेल. चौथी, कोणत्याही माजी कर्मचाऱ्याच्या खात्यावर सक्रिय WiFi सत्रे दिसत नसल्याची खात्री. जर तुम्ही WPA2 सामायिक PSK चालवत असाल, तर तुम्ही तिसऱ्या आणि चौथ्या मुद्द्यासाठी पुरावा सादर करू शकत नाही. कोणताही प्रति-वापरकर्ता लॉग नसतो. तुम्ही जास्तीत जास्त पासवर्ड बदलण्याची तारीख दाखवू शकता आणि असा युक्तिवाद करू शकता की ते नोकरी सोडणाऱ्याच्या शेवटच्या दिवशी किंवा त्यापूर्वी पूर्ण झाले होते. ऑडिटर्स आता यावर आक्षेप घेतात. जर तुम्ही SCIM सह 802.1X चालवत असाल, तर लॉग स्वयंचलित असतो. Purple प्रत्येक SCIM डीप्रोविझनिंग इव्हेंटची नोंद UTC टाइमस्टँप, ओळख प्रदाता स्रोत, वापरकर्त्याचा अद्वितीय आयडेंटिफायर आणि परिणामी कारवाईसह करते. हा एक स्पष्ट, ऑडिट करण्यायोग्य रेकॉर्ड आहे. विभाग पांच: अंमलबजावणीतील त्रुटी आणि त्या कशा टाळाव्यात. सर्वात सामान्य चूक म्हणजे ओळख प्रदात्यामध्ये खाते निष्क्रिय करणे पुरेसे आहे असे गृहीत धरणे. जोपर्यंत तुमचा WiFi प्लॅटफॉर्म SCIM किंवा तत्सम रिअल-टाइम एकत्रीकरणाद्वारे त्या ओळख प्रदात्याशी जोडलेला नसेल, तोपर्यंत हे पुरेसे नाही. त्या कनेक्शनशिवाय, WiFi सिस्टमला खाते निष्क्रिय केल्याचे समजण्याचा कोणताही मार्ग नाही. दुसरी त्रुटी म्हणजे सर्टिफिकेट कॅशिंग. OCSP असूनही, RADIUS सर्वर्स एका कॉन्फिगर करण्यायोग्य कालावधीसाठी (सामान्यतः १५ ते ६० मिनिटे) चांगल्या प्रतिसादांना कॅश करतात. जर तुम्ही सर्टिफिकेट रद्द केले और RADIUS सर्वरकडे कॅश केलेला चांगला प्रतिसाद असेल, तर कॅश संपेपर्यंत डिव्हाइस प्रमाणित होत राहू शकते. उच्च-सुरक्षा वातावरणासाठी तुमचे OCSP कॅश TTL १५ मिनिटे किंवा त्यापेक्षा कमी सेट करा. तिसरी त्रुटी म्हणजे सक्रिय सत्रे विसरणे. क्रेडेंशियल्स रद्द केल्याने नवीन प्रमाणीकरण रोखले जाते परंतु विद्यमान WiFi सत्र समाप्त होत नाही. डिव्हाइस त्वरित डिस्कनेक्ट करण्यासाठी क्रेडेंशियल्स रद्द केल्यानंतर नेहमी RADIUS CoA पाठवा. चौथी त्रुटी म्हणजे IoT आणि सामायिक डिव्हाइसेस. नोकरी सोडणाऱ्याच्या ओळखीवर नोंदणीकृत असलेले डिव्हाइस सामायिक वर्कस्टेशन किंवा ऑपरेशनल हार्डवेअरचा भाग असू शकते. ॲक्सेस रद्द करण्यापूर्वी, डिव्हाइस वैयक्तिक आहे की सामायिक आहे याची खात्री करा. ते सामायिक असल्यास, नोकरी सोडणाऱ्याचे क्रेडेंशियल्स रद्द करण्यापूर्वी सेवा खात्यांतर्गत (service account) त्याची पुन्हा नोंदणी करा. विभाग सहा: जलद प्रश्नोत्तरे. प्रश्न: सर्टिफिकेट-आधारित WiFi ॲक्सेस किती वेगाने रद्द केला जाऊ शकतो? OCSP आणि RADIUS CoA सह, तुम्ही CA वर सर्टिफिकेट रद्द केल्यापासून ६० सेकंदांपेक्षा कमी वेळात. पुढील प्रमाणीकरणाच्या प्रयत्नावेळी OCSP तपासणी होते. CoA सक्रिय सत्र त्वरित समाप्त करते. प्रश्न: SCIM सर्व WiFi हार्डवेअरसह कार्य करते का? SCIM हे ओळख व्यवस्थापन स्तरावर कार्य करते, हार्डवेअर स्तरावर नाही. Purple हे हार्डवेअर-अज्ञेयवादी (hardware-agnostic) आहे आणि Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, आणि Fortinet सह कार्य करते. SCIM एकत्रीकरण थेट ॲक्सेस पॉईंट्सशी नसून Purple शी आहे. प्रश्न: आमच्याकडे MDM नसल्यास आणि आम्ही सर्टिफिकेट्स तैनात करू शकत नसल्यास काय करावे? iPSK हे तुमचे उत्तर आहे. हे तुम्हाला सर्टिफिकेट पायाभूत सुविधांची आवश्यकता नसताना प्रति-वापरकर्ता ॲक्सेस रद्द करण्याची सुविधा देते. Purple हे iPSK की व्यवस्थापित करू शकते आणि जीवनचक्र स्वयंचलित करण्यासाठी तुमच्या ओळख प्रदात्याशी कनेक्ट होऊ शकते. सारांश आणि पुढील पायऱ्या. मुख्य संदेश असा आहे: जर तुम्ही इतरांवर परिणाम न करता एका व्यक्तीचा WiFi ॲक्सेस रद्द करू शकत नसाल, तर तुम्हाला सामायिक-क्रेडेंशियलची समस्या आहे. यावरील उपाय म्हणजे प्रति-वापरकर्ता क्रेडेंशियल्स, एकतर 802.1X EAP-TLS द्वारे सर्टिफिकेट्स किंवा iPSK द्वारे अद्वितीय की, आणि HR ने कारवाई करताच ॲक्सेस रद्द करणे स्वयंचलित करण्यासाठी SCIM-चालित डीप्रोविझनिंगचे संयोजन. Purple हे SCIM द्वारे Microsoft Entra ID, Okta, आणि Google Workspace शी कनेक्ट होते, ८०,००० पेक्षा जास्त थेट ठिकाणांवर चालते आणि ऑडिटसाठी प्रत्येक डीप्रोविझनिंग इव्हेंटची नोंद करते. जर तुम्ही ISO 27001 किंवा SOC 2 ची तयारी करत असाल, किंवा एखादी घटना घडण्यापूर्वी नोकरी सोडणाऱ्या कर्मचाऱ्यांमधील सुरक्षेची त्रुटी दूर करू इच्छित असाल, तर येथून सुरुवात करा. सर्टिफिकेट रद्द करणे आणि OCSP च्या संपूर्ण तांत्रिक विश्लेषणासाठी, WiFi प्रमाणीकरणासाठी OCSP आणि सर्टिफिकेट रद्द करण्याबद्दलचे आमचे मार्गदर्शक पहा. अधिक व्यापक जॉइनर-मूवर-लीव्हर ऑटोमेशन चित्रासाठी, आमचे एंटरप्राइझ WiFi सुरक्षा मार्गदर्शक पहा. Purple टेक्निकल ब्रीफिंग ऐकल्याबद्दल धन्यवाद.