कर्मचाऱ्यांच्या WiFi नेटवर्कसाठी सुरक्षित BYOD धोरणे

पॉडकास्ट स्क्रिप्ट: स्टाफ WiFi नेटवर्कसाठी सुरक्षित BYOD पॉलिसी रनटाइम लक्ष्य: ~१० मिनिटे | आवाज: UK इंग्लिश, पुरुष, वरिष्ठ सल्लागाराचा सूर Purple WiFi इंटेलिजन्स प्लॅटफॉर्म — स्टाफ WiFi मालिका --- [प्रस्तावना आणि संदर्भ — ~१ मिनिट] Purple स्टाफ WiFi मालिकेत आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण एंटरप्राइझ नेटवर्क मॅनेजमेंटमधील सर्वात सातत्याने चुकीच्या पद्धतीने हाताळल्या जाणाऱ्या क्षेत्रांपैकी एकावर चर्चा करणार आहोत: BYOD — Bring Your Own Device — विशेषतः स्टाफ WiFi साठी. जर तुम्ही हॉटेल ग्रुप, रिटेल चेन, स्टेडियम किंवा सार्वजनिक क्षेत्रातील संस्थेमध्ये IT डायरेक्टर, नेटवर्क आर्किटेक्ट किंवा CTO असाल, तर हा एपिसोड तुमच्यासाठीच बनवला आहे. आपण WiFi म्हणजे काय याच्या मूलभूत गोष्टींवर बोलणार नाही आहोत. आपण आर्किटेक्चरचे निर्णय, तुम्हाला संदर्भ घ्यावे लागणारे स्टँडर्ड्स आणि अशा डिप्लॉयमेंटच्या चुका ज्यांमुळे संस्थांचे प्रत्यक्ष पैसे आणि कंप्लायन्सचे नुकसान होते, यावर बोलणार आहोत. मुख्य समस्या अगदी स्पष्ट आहे: तुमच्या कर्मचाऱ्यांना त्यांचे वैयक्तिक फोन आणि टॅब्लेट कामासाठी वापरायचे आहेत. हे रास्त आहे. परंतु अनमॅनेज्ड वैयक्तिक डिव्हाइसेसना तुमच्या POS सिस्टीम्स, तुमचे HR डेटाबेस किंवा तुमच्या पेमेंट इन्फ्रास्ट्रक्चरसारख्याच नेटवर्क सेगमेंटमध्ये जोडणे हा एक अस्वीकार्य धोका आहे. प्रश्न BYOD ला परवानगी द्यायची की नाही हा नाही — तर तुमच्या मुख्य नेटवर्कशी तडजोड न करता त्याला कशी परवानगी द्यायची हा आहे. चला यावर सविस्तर बोलूया. --- [तांत्रिक सखोल विश्लेषण — ~५ मिनिटे] चला पायाभूत तत्त्वापासून सुरुवात करूया: नेटवर्क सेगमेंटेशन. प्रत्येक सुरक्षित BYOD डिप्लॉयमेंटची सुरुवात एकाच आर्किटेक्चरल निर्णयाने होते — तुम्ही वैयक्तिक डिव्हाइसेसना तुमच्या कॉर्पोरेट इन्फ्रास्ट्रक्चरसारख्याच VLAN वर ठेवत नाही. अगदी स्पष्ट. यासाठीचा प्रमाणित दृष्टिकोन म्हणजे एक समर्पित BYOD VLAN, जे तुमच्या कॉर्पोरेट कोर आणि तुमच्या गेस्ट WiFi नेटवर्कच्या दरम्यान असते. याला एक मध्यम स्तर समजा. स्टाफ डिव्हाइसेसना इंटरनेट ॲक्सेस आणि मंजूर केलेल्या अंतर्गत संसाधनांच्या एका निश्चित संचाचा ॲक्सेस मिळतो — कदाचित तुमचा इंट्रानेट, तुमचा क्लाउड प्रॉडक्टिव्हिटी सूट, तुमचा अंतर्गत संवाद प्लॅटफॉर्म — परंतु ते तुमच्या पेमेंट सिस्टीम्स, तुमचे बॅक-ऑफिस सर्व्हर्स आणि तुमच्या मुख्य स्विचिंग इन्फ्रास्ट्रक्चरपासून फायरवॉलद्वारे सुरक्षितपणे वेगळे ठेवले जातात. आता, तुम्ही त्या BYOD VLAN वर डिव्हाइसेसचे ऑथेंटिकेशन कसे करता? याचे उत्तर आहे IEEE 802.1X. हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल स्टँडर्ड आहे, आणि ते दोन दशकांहून अधिक काळ एंटरप्राइझ वायरलेस ऑथेंटिकेशनचा कणा राहिले आहे. जेव्हा एखादे डिव्हाइस कनेक्ट करण्याचा प्रयत्न करते, तेव्हा 802.1X हे डिव्हाइस, ऑथेंटिकेटर म्हणून काम करणारे वायरलेस ॲक्सेस पॉईंट आणि ऑथेंटिकेशन बॅकएंड म्हणून तुमचे RADIUS सर्व्हर यांच्यात EAP एक्सचेंज — Extensible Authentication Protocol — सुरू करते. विशेषतः BYOD साठी, EAP-TLS हे सर्वोत्तम स्टँडर्ड आहे. हे सर्टिफिकेट-आधारित म्युच्युअल ऑथेंटिकेशन आहे. डिव्हाइस एक सर्टिफिकेट सादर करते, RADIUS सर्व्हर त्याची पडताळणी करतो आणि त्यानंतरच नेटवर्क ॲक्सेस दिला जातो. हे सर्टिफिकेट तुमच्या MDM प्लॅटफॉर्मद्वारे — Microsoft Intune, Jamf, VMware Workspace ONE, तुम्ही जे काही वापरत असाल — SCEP (Simple Certificate Enrollment Protocol) चा वापर करून डिव्हाइसवर प्रोव्हिजन केले जाते. पासवर्डपेक्षा सर्टिफिकेट्स का? कारण पासवर्ड शेअर केले जातात, फिशिंगद्वारे चोरले जातात आणि विसरले जातात. एखाद्या विशिष्ट डिव्हाइस आणि विशिष्ट वापरकर्त्याच्या ओळखीशी जोडलेले सर्टिफिकेट हॅक करणे अत्यंत कठीण असते. आणि सर्वात महत्त्वाचे म्हणजे, जेव्हा एखादा कर्मचारी नोकरी सोडतो, तेव्हा तुम्ही तुमच्या PKI मधील सर्टिफिकेट रद्द करता आणि त्या डिव्हाइसचा ॲक्सेस त्वरित बंद होतो — कोणत्याही पासवर्ड रिसेटची किंवा शिल्लक राहिलेल्या क्रेडेंशियल्सची गरज पडत नाही. आता, एन्क्रिप्शनच्या बाजूने विचार करूया: जर तुम्ही २०२४ आणि त्यानंतर नवीन इन्फ्रास्ट्रक्चर तैनात करत असाल, तर WPA3-Enterprise हे तुमचे लक्ष्य असले पाहिजे. WPA3 मुळे WPA2 ला प्रभावित करणारी KRACK असुरक्षितता दूर होते, एंटरप्राइझ उपयोजनांसाठी १९२-बिट सुरक्षा मोड अनिवार्य होतो आणि SAE (Simultaneous Authentication of Equals) द्वारे फॉरवर्ड सिक्युरिटी प्रदान केली जाते. याचा अर्थ असा की एखादी सेशन की हॅक झाली तरीही, जुना ट्रॅफिक डीक्रिप्ट केला जाऊ शकत नाही. पेमेंट कार्ड डेटा किंवा रुग्णांचे रेकॉर्ड हाताळणाऱ्या वातावरणासाठी, हे ऐच्छिक नाही — हा PCI DSS 4.0 अंतर्गत एक अनुपालन नियम आहे आणि NHS डिजिटल सुरक्षा फ्रेमवर्कमध्ये याचा वारंवार संदर्भ दिला जातो. आता MDM इंटिग्रेशनबद्दल बोलूया, कारण बऱ्याच अंमलबजावणी या ठिकाणी अपयशी ठरतात. तुमचे MDM हे केवळ सर्टिफिकेट वितरणाचे साधन नाही — ते तुमचे अनुपालन लागू करणारे इंजिन आहे. एखाद्या डिव्हाइसला BYOD VLAN चा ॲक्सेस देण्यापूर्वी, तुमच्या NAC सोल्यूशनने डिव्हाइसच्या स्थितीबद्दल MDM कडे चौकशी केली पाहिजे: OS किमान आवृत्तीवर पॅच केले आहे का? डिव्हाइस एन्क्रिप्शन सक्षम आहे का? डिव्हाइस जेलब्रोकन किंवा रूटेड आहे का? एक सुसंगत स्क्रीन लॉक कॉन्फिगर केले आहे का? याला पोश्चर असेसमेंट (स्थिती मूल्यांकन) म्हणतात, आणि हाच एका BYOD पॉलिसी आणि BYOD सुरक्षा प्रोग्राममधील फरक आहे. जे डिव्हाइस पोश्चर असेसमेंटमध्ये अपयशी ठरते, त्याला क्वारंटाईन केले पाहिजे — म्हणजेच त्याला अशा रेमेडिएशन VLAN वर ठेवले पाहिजे जिथे त्याला फक्त ते सुसंगत बनवण्यासाठी आवश्यक असलेल्या संसाधनांचा ॲक्सेस मिळेल, इतर कशाचाही नाही. लॉगिंग आणि ऑडिटच्या बाजूने: तुमच्या BYOD VLAN शी कनेक्ट होणाऱ्या प्रत्येक डिव्हाइसने एक सेशन रेकॉर्ड तयार केला पाहिजे — डिव्हाइसची ओळख, वापरकर्त्याची ओळख, टाइमस्टॅम्प, कालावधी, ट्रान्सफर केलेले बाईट्स आणि नियुक्त केलेले VLAN. ही केवळ एक चांगली पद्धत नाही; GDPR कलम ३२ अंतर्गत, नेटवर्क सुरक्षा सुनिश्चित करण्यासाठी योग्य तांत्रिक उपाययोजना लागू करणे तुमचे कर्तव्य आहे. कर्मचाऱ्यांच्या डिव्हाइस कनेक्शन्सचा ऑडिट ट्रेल असणे हा त्या कर्तव्याचे प्रदर्शन करण्याचा एक मुख्य घटक आहे. जर तुम्हाला ऑडिट ट्रेलच्या आवश्यकतांबद्दल अधिक सखोल माहिती हवी असेल, तर २०२६ मधील IT सुरक्षेसाठी ऑडिट ट्रेलचा काय अर्थ आहे यावर Purple कडे एक समर्पित मार्गदर्शक आहे — मी त्याची लिंक शो नोट्समध्ये देईन. आणखी एक आर्किटेक्चरल मुद्दा लक्षात घेण्यासारखा आहे: MAC ॲड्रेस रँडमायझेशन. आधुनिक iOS आणि Android डिव्हाइसेस नेटवर्क शोधताना डीफॉल्टनुसार त्यांचे MAC ॲड्रेस रँडमाइज करतात. यामुळे MAC-आधारित ऑथेंटिकेशन खंडित होते आणि तुमच्या RADIUS अकाउंटिंगमध्ये समस्या निर्माण होऊ शकतात. याचा उपाय म्हणजे MAC-आधारित ऑथेंटिकेशन पूर्णपणे बंद करणे — जे तुम्ही आधीच करायला हवे — आणि सर्टिफिकेट किंवा क्रेडेंशियल-आधारित ओळखीवर अवलंबून राहणे. तुमच्या RADIUS सर्व्हरने सेशन रेकॉर्ड्स वापरकर्त्याच्या ओळखीशी जोडले पाहिजेत, डिव्हाइसच्या हार्डवेअर ॲड्रेसशी नाही. --- [अंमलबजावणीच्या शिफारसी आणि त्रुटी — ~२ मिनिटे] चला, आता डिप्लॉयमेंटबद्दल (deployment) बोलूया. कोणत्याही संस्थेने सुरुवातीपासून BYOD प्रोग्राम सुरू करताना खालील क्रमाचा वापर करावा अशी मी शिफारस करतो. पहिले पाऊल: इन्फ्रास्ट्रक्चरला हात लावण्यापूर्वी तुमचे पॉलिसी धोरण निश्चित करा. वैयक्तिक डिव्हाइस नोंदणीकृत करण्याची परवानगी कोणाला आहे? कोणत्या प्रकारच्या डिव्हाइसेसना सपोर्ट आहे? वैयक्तिक डिव्हाइसवरून कोणत्या डेटाचा ॲक्सेस मिळवता येऊ शकतो? तुम्ही एकही VLAN कॉन्फिगर करण्यापूर्वी HR, कायदेशीर विभाग आणि CISO कडून याला मंजुरी मिळवून घ्या. दुसरे पाऊल: तुम्ही अद्याप तुमचे MDM डिप्लॉय केले नसेल तर ते करा, आणि BYOD डिव्हाइसेससाठी SCEP सर्टिफिकेट टेम्पलेट्स कॉन्फिगर करा. iOS, Android आणि Windows वर सर्टिफिकेट एनरोलमेंटची चाचणी घ्या — या सर्वांचे कार्य थोडे वेगळे असते. तिसरे पाऊल: BYOD विरुद्ध कॉर्पोरेट-व्यवस्थापित डिव्हाइसेससाठी स्वतंत्र पॉलिसीसह तुमचे RADIUS सर्व्हर कॉन्फिगर करा. BYOD डिव्हाइसेसना VLAN असाइनमेंट ॲट्रिब्यूट मिळायला हवे — RADIUS च्या भाषेत Tunnel-Private-Group-ID — जे त्यांना BYOD VLAN वर ठेवते. चौथे पाऊल: तुमचे वायरलेस इन्फ्रास्ट्रक्चर कॉन्फिगर करा. BYOD साठी एक समर्पित SSID तयार करा, किंवा तुमच्या सध्याच्या कॉर्पोरेट SSID वर डायनॅमिक VLAN असाइनमेंट वापरा — वापरकर्त्याच्या अनुभवाच्या दृष्टीने दुसरा पर्याय अधिक सोयीचा आहे. कर्मचाऱ्यांना एकच SSID दिसतो, परंतु RADIUS सर्व्हर त्यांच्या सर्टिफिकेटच्या आधारे ते कोणत्या VLAN वर जातील हे ठरवतो. पाचवे पाऊल: BYOD VLAN आणि तुमच्या कॉर्पोरेट कोअर दरम्यान फायरवॉल ACLs लागू करा. डीफॉल्ट नकार (Default deny) ठेवा, फक्त मंजूर सेवांसाठीच स्पष्ट परवानग्या द्या. प्रत्येक परवानगी नियमाचे दस्तऐवजीकरण करा आणि दर तिमाहीला त्याचे पुनरावलोकन करा. सहावे पाऊल: सेशन लॉगिंग सुरू करा आणि तुमच्या SIEM सोबत इंटिग्रेट करा. प्रत्येक BYOD कनेक्शन इव्हेंट हा अलर्ट मिळण्यास पात्र असलेला रेकॉर्ड असावा. आता, येणाऱ्या अडचणींबद्दल बोलूया. मला सर्वात जास्त दिसणारी चूक म्हणजे BYOD VLAN फायरवॉल नियमांमध्ये होणारी व्याप्ती वाढ (scope creep). कोणालातरी एखाद्या रिसोर्सचा तात्पुरता ॲक्सेस हवा असतो, एक नियम जोडला जातो आणि सहा महिन्यांनंतर BYOD VLAN ला कॉर्पोरेट नेटवर्कसारखाच ॲक्सेस मिळतो. BYOD फायरवॉल नियमांसाठी बदल व्यवस्थापन प्रक्रिया (change management process) लागू करा आणि त्यांच्याकडे प्रॉडक्शन इन्फ्रास्ट्रक्चर बदलांइतक्याच काटेकोरपणे पहा. दुसरी अडचण म्हणजे सर्टिफिकेट लाइफसायकल मॅनेजमेंट. सर्टिफिकेट्स एक्स्पायर होतात. जर तुम्ही तुमच्या MDM मध्ये ऑटोमेटेड रिन्यूअल कॉन्फिगर केले नसेल, तर ज्या दिवशी सर्टिफिकेट्स एक्स्पायर होतील त्या दिवशी कनेक्ट न होऊ शकणाऱ्या कर्मचाऱ्यांची गर्दी होईल. रिन्यूअल किमान ३० दिवस आधी ट्रिगर होईल असे सेट करा. तिसरी अडचण म्हणजे गेस्ट नेटवर्क विसरणे. तुमचे BYOD VLAN आणि तुमचे गेस्ट WiFi नेटवर्क एकमेकांपासून पूर्णपणे वेगळे असले पाहिजेत. तुमच्या गेस्ट नेटवर्कवरील व्हिजिटरला तुमच्या BYOD सेगमेंटमध्ये जाण्याचा कोणताही मार्ग नसावा. जर तुम्ही Purple चे गेस्ट WiFi प्लॅटफॉर्म चालवत असाल, तर ते आयसोलेशन इन्फ्रास्ट्रक्चर पातळीवर हाताळले जाते — तरीही तुमच्या फायरवॉल पॉलिसीमध्ये त्याची पडताळणी नक्की करा. --- [रॅपिड-फायर प्रश्नोत्तरे — ~१ मिनिट] मला वारंवार विचारल्या जाणाऱ्या काही प्रश्नांवर नजर टाकूया. "आम्ही BYOD साठी शेअर्ड पासफ्रेजसह WPA2-Personal वापरू शकतो का?" नाही. शेअर्ड पासफ्रेज प्रत्येक डिव्हाइसनुसार उत्तरदायित्व देत नाही, वापरकर्त्यानुसार रद्द केला जाऊ शकत नाही आणि तो सहजपणे हॅक होऊ शकतो. 802.1X वापरा."आम्हाला BYOD साठी स्वतंत्र SSID ची आवश्यकता आहे का?" आवश्यक नाही. RADIUS द्वारे डायनॅमिक VLAN असाइनमेंट अधिक सोयीस्कर आहे. एकच SSID, आणि सर्टिफिकेट ओळखीवर आधारित पॉलिसी-चालित VLAN प्लेसमेंट. "कंत्राटदार आणि तात्पुरत्या कर्मचाऱ्यांचे काय?" तुमच्या RADIUS पॉलिसीमध्ये त्यांना एक स्वतंत्र ओळख वर्ग म्हणून गृहीत धरा. त्यांच्या कराराच्या कालावधीशी जोडलेली कमी कालावधीची — ३० किंवा ९० दिवसांची — सर्टिफिकेट्स जारी करा. करार संपल्यावर, सर्टिफिकेटची मुदत संपेल. "WPA3 बॅकवर्ड सुसंगत (backwards compatible) आहे का?" होय, ट्रान्झिशन मोडमध्ये. तुमचे ॲक्सेस पॉइंट्स एकाच वेळी WPA2 आणि WPA3 दोन्ही क्लायंट्सना सपोर्ट करू शकतात. नवीन डिव्हाइस नोंदणीसाठी केवळ WPA3 अनिवार्य करा आणि एका निश्चित कालमर्यादेत WPA2 टप्प्याटप्प्याने बंद करा. --- [सारांश आणि पुढील पायऱ्या — ~१ मिनिट] थोडक्यात सांगायचे तर: कर्मचारी WiFi साठी सुरक्षित BYOD प्रोग्राम हा केवळ एक सिंगल कॉन्फिगरेशन टास्क नाही — हा एक आर्किटेक्चरल निर्णय, एक पॉलिसी फ्रेमवर्क आणि एक निरंतर चालणारी ऑपरेशनल शिस्त आहे. या गोष्टी अत्यंत आवश्यक आहेत: समर्पित BYOD VLAN, EAP-TLS सर्टिफिकेट ऑथेंटिकेशनसह IEEE 802.1X, MDM-सक्तीचे डिव्हाइस पोश्चर, WPA3-Enterprise एन्क्रिप्शन आणि सर्वसमावेशक ऑडिट लॉगिंग. ऑपरेशनल शिस्तीमध्ये या गोष्टी येतात: सर्टिफिकेट लाइफसायकल मॅनेजमेंट, त्रैमासिक फायरवॉल नियम पुनरावलोकने आणि एक निश्चित ऑफबोर्डिंग प्रक्रिया जी कर्मचारी कंपनी सोडतो त्याच दिवशी डिव्हाइस सर्टिफिकेट्स रद्द करते. जर तुम्ही अगदी सुरुवातीपासून सुरुवात करत असाल, तर Purple प्लॅटफॉर्म तुम्हाला तुमच्या सध्याच्या वायरलेस इन्फ्रास्ट्रक्चरवर ॲनालिटिक्स आणि ॲक्सेस मॅनेजमेंट लेयर प्रदान करतो — मग तुम्ही एकच हॉटेल चालवत असाल किंवा २००-साइट्सचे रिटेल इस्टेट. आर्किटेक्चर गाइड, ऑडिट ट्रेल संदर्भ आणि BYOD ऑनबोर्डिंग चेकलिस्टच्या लिंक्स शो नोट्समध्ये दिल्या आहेत. ऐकल्याबद्दल धन्यवाद — भेटूया पुढील भागात. --- स्क्रिप्ट समाप्त