বাস্তব বহরের জন্য IoT network segmentation নির্দেশিকা

একটি 2020 Unit 42 IoT থ্রেট স্টাডিতে দেখা গেছে যে 72% হেলথকেয়ার VLAN-এ IoT এবং IT অ্যাসেট মিশ্রিত ছিল

। সিকিউরিটি কন্ট্রোল হিসেবে কোনো VLAN নাম ব্যবহার করার ক্ষেত্রে এটাই সমস্যা: IoT লেবেলযুক্ত একটি নেটওয়ার্ক এখনও চিকিৎসা সরঞ্জাম, প্রিন্টার, ফোন এবং সাধারণ কম্পিউটারকে একে অপরের নাগালের মধ্যে রাখতে পারে।

IoT নেটওয়ার্ক সেগমেন্টেশনের মাধ্যমে সুস্পষ্ট কন্টেইনমেন্ট প্রদান করা উচিত, VLAN-এর দীর্ঘ তালিকা তৈরি করা নয়। মাল্টি-সাইট IT এবং ফ্যাসিলিটি টিমের জন্য প্রয়োজনীয় প্রশ্নগুলি হলো, কোন ডিভাইসগুলি একটি ট্রাস্ট জোন শেয়ার করে, কোন যোগাযোগগুলি অনুমোদিত এবং কোনও আপোস করা এন্ডপয়েন্ট কি মূল্যবান কোনো কিছুতে আক্রমণ চালানোর পথ সম্পূর্ণ করতে পারে কিনা।

সূচিপত্র

• একটি পৃথক IoT VLAN যখন তখনও লিক করে
  • VLAN সীমানা যা করে না
• IoT জোন এবং আপনার অনুমোদিত ফ্লো
  • ভৌত অবস্থান থেকে কার্যকারিতাকে পৃথক করুন
  • ট্রাস্ট প্রসারিত করার পরিবর্তে ভেন্ডর অ্যাক্সেস ব্রোকার করুন
• চারটি ধাপে কীভাবে একটি IoT ফ্লিট সেগমেন্ট করবেন
  • সীমানা কার্যকর করার আগে প্রমাণ তৈরি করুন
  • সংকীর্ণভাবে প্রয়োগ করুন, তারপর ব্যর্থতা পরীক্ষা করুন
• ডাম ডিভাইসের জন্য কী এবং ক্ষতিপূরণমূলক নিয়ন্ত্রণ
  • ক্ষুদ্রতম পরিচালনাযোগ্য ক্রিডেনশিয়াল স্কোপ নির্বাচন করুন
  • আইডেন্টিটি দুর্বল থাকলে ক্ষতিপূরণ দিন
• মনিটরিং, কনটেইনমেন্ট এবং সাধারণ ব্যর্থতা
  • নাইট শিফ্টকে একটি কনটেইনমেন্ট রানবুক দিন
  • পুনরাবৃত্তিমূলক ব্যর্থতাগুলি সেগুলির উৎস স্তরে সমাধান করুন
• ডিজাইনটি কপি করার আগে একটি সাইটে প্রমাণ করুন
  • পাইলটকে গ্রহণযোগ্যতা-ভিত্তিক করুন

যখন একটি আলাদা IoT VLAN থেকেও তথ্য ফাঁস হয়

২০৯টি এন্টারপ্রাইজ জুড়ে ৪৭,৭০০টিরও বেশি নেটওয়ার্ক সেগমেন্ট কভার করে করা একটি Security Boulevard বিশ্লেষণ অনুসারে, অপারেশনাল-টেকনোলজি ডিভাইস ধারণকারী সেগমেন্টগুলির মধ্যে মাত্র ১৩% শুধুমাত্র OT-এর জন্য ছিল, যেখানে চিকিৎসা সরঞ্জাম ধারণকারী হেলথকেয়ার সেগমেন্টগুলির মাত্র ৬% শুধুমাত্র চিকিৎসা সরঞ্জামের জন্য উৎসর্গীকৃত ছিল। একটি পৃথক সেগমেন্ট স্পষ্টভাবে অ্যাসেটগুলির একটি যুক্তিযুক্ত গ্রুপিং নিশ্চিত করে না।

ক্যামেরা, বিল্ডিং কন্ট্রোলার, প্রিন্টার এবং VoIP ফোন কেবল এর জন্যই একসঙ্গে রাখা সঠিক নয় যে এদের কোনটিই একটি প্রথাগত ডেস্কটপ চালায় না। এদের মালিক, রক্ষণাবেক্ষণের ব্যবস্থা এবং ব্যর্থতার পরিণতি পৃথক। এগুলিকে একত্রিত করলে এমন একটি ভাগ করা ঝুঁকি তৈরি হয় যা একটি পরিচ্ছন্ন নেটওয়ার্ক ডায়াগ্রাম আড়াল করতে পারে।

নিচে দেওয়া সেগমেন্টের গঠনে এই পার্থক্যটি স্পষ্ট বোঝা যাচ্ছে।

VLAN সীমানা যা করতে পারে না

একটি VLAN লেয়ার 2 ব্রডকাস্ট ডোমেনকে আলাদা করে। এটি স্বয়ংস্ক্রিয়ভাবে ট্রাফিক এনক্রিপ্ট করে না, স্পুফিং প্রতিরোধ করে না, শেয়ার্ড পাসওয়ার্ড পরিবর্তন করে না বা সেই VLAN-এর মধ্যে ইস্ট-ওয়েস্ট মুভমেন্ট ব্লক করে না। তাছাড়া এটি প্যাকেট ক্যাপচার প্রতিরোধ করে না যেখানে ব্রডকাস্ট, মিররিং, ভুল কনফিগারেশন বা একটি সফল স্থানীয় আক্রমণের মাধ্যমে ট্রাফিক অ্যাক্সেস করা সম্ভব।

একটি ইন্টার-VLAN ফায়ারওয়াল পেমেন্ট নেটওয়ার্কে ক্যামেরার সংযোগ প্রত্যাখ্যান করতে পারে, তবে ক্যামেরা থেকে ক্যামেরা ট্রাফিক অপরিবর্তিত রাখতে পারে। যদি পিয়ার আইসোলেশন গুরুত্বপূর্ণ হয়, তবে প্রাইভেট VLAN, অ্যাক্সেস-পোর্ট কন্ট্রোল, ওয়্যারলেস ক্লায়েন্ট আইসোলেশন বা উপযুক্ত ডিস্ট্রিবিউটেড পলিসির মাধ্যমে এটি বলবৎ করুন।

নিয়ন্ত্রণ মানে ছোট ট্রাস্ট জোন, যা মালিকানা, উদ্দেশ্য, সংবেদনশীলতা এবং কার্যক্ষম ভূমিকার ভিত্তিতে শ্রেণীবদ্ধ করা হয় এবং তাদের মধ্যে একটি স্পষ্ট অনুমোদিত তালিকা থাকে। জোন এক্সক্লুসিভিটি একটি দরকারী পরীক্ষা, কিন্তু এটিই যথেষ্ট নয়: একটি এক্সক্লুসিভ ক্যামেরা সেগমেন্টেও অত্যধিক আউটবাউন্ড অনুমতি থাকতে পারে।

হোটেল, হাসপাতাল, ক্যাম্পাস, খুচরা এস্টেট এবং মাল্টিফ্যামিলি বিল্ডিংগুলির জন্য, ডেলিভারেবলগুলির অন্তর্ভুক্ত করা উচিত:

• একটি জোন এবং ফ্লো ম্যাপ: প্রতিটি ডিভাইস ক্লাসের একজন ওনার, একটি গন্তব্য তালিকা এবং প্রতিটি সংযোগের জন্য একটি কারণ রয়েছে।
• একটি নিয়ন্ত্রিত মাইগ্রেশন: প্যাটার্নটি অন্যান্য প্রপার্টিতে পৌঁছানোর আগে নির্ভরতা বা ডিপেন্ডেন্সিগুলি পরীক্ষা করা হয়।
• দুর্বল পরিচয়ের ক্ষেত্রে বিকল্প ব্যবস্থা: সার্টিফিকেট সাপোর্ট ছাড়া ডিভাইসগুলি ক্ষতিপূরণমূলক নিয়ন্ত্রণ বা কমপেনসেটিং কন্ট্রোল পায়।
• একটি ব্যর্থ অ্যাটাক পাথ: একটি প্রতিনিধি বা রিপ্রেজেন্টেটিভ এন্ডপয়েন্ট কোনো নিষিদ্ধ সংযোগ স্থাপন করতে পারে না।

অনুমোদিত ফ্লো ছাড়া লজিক্যাল সেপারেশন তখনও একটি অতিরিক্ত-অনুমতিমূলক নেটওয়ার্ক।

IoT জোন এবং আপনার অনুমোদিত ফ্লোসমূহ

IoT ট্রাস্ট জোন এবং অনুমোদিত ফ্লোসমূহ

জোন	উদাহরণস্বরূপ ডিভাইস	পৌঁছাতে পারে	অবশ্যই পৌঁছানো চলবে না	প্রধান নিয়ন্ত্রণ
গেস্ট এবং রেসিডেন্ট	ফোন, ল্যাপটপ, স্বল্পমেয়াদী BYOD	ইন্টারনেট, ক্যাপটিভ পোর্টাল, DNS	রুম IoT, টিল, ক্যামেরা, স্টাফ VLANs	ক্লায়েন্ট আইসোলেশন এবং একটি গেস্ট VLAN
কর্পোরেট IT	স্টাফ ল্যাপটপ, ইউজার LAN-এর প্রিন্টার	আইডেন্টিটি, ফাইল এবং অ্যাপ সার্ভিস	OT, ক্যামেরা, পেমেন্ট সেগমেন্ট	802.1X অথবা সার্টিফিকেট-অ্যাসাইন করা VLAN
বিল্ডিং সিস্টেম	HVAC, লাইটিং, অ্যাক্সেস কন্ট্রোল	BMS এবং নামাঙ্কিত ক্লাউড এন্ডপয়েন্ট	ইউজার ওয়ার্কস্টেশন এবং গেস্ট WiFi	IoT VLAN সহ ডেস্টিনেশন অ্যালউলিস্ট
ক্যামেরা	IP ক্যামেরা, NVRs	শুধুমাত্র অ্যাসাইন করা NVR এবং অনুমোদিত ভিডিও সার্ভিস	মেডিকেল, পেমেন্ট, আইডেন্টিটি সিস্টেম	প্রাইভেট VLAN এবং ইস্ট-ওয়েস্ট ডিনাই
ক্লিনিক্যাল বা সেফটি OT	ইমেজিং, পাম্প, PLCs	শুধুমাত্র নামাঙ্কিত ক্লিনিক্যাল বা অপারেশনাল সার্ভার	গেস্ট, কর্পোরেট, ক্যামেরা	উচ্চতর-নিরাপত্তার জোন এবং ফায়ারওয়াল
পেমেন্ট	টিল, PIN প্যাড	শুধুমাত্র পেমেন্ট প্রসেসর	ওয়ার্কস্টেশন এবং অন্যান্য IoT	ডেডিকেটেড VLAN এবং IoT থেকে কোনো ইনবাউন্ড নয়
ভেন্ডর DMZ	জাম্প হোস্ট, আপডেট ব্রোকার	একটি অনুমোদিত ডিভাইস ক্লাসের সময়-সীমাবদ্ধ পাথ	প্রতিটি VLAN-এ ফ্ল্যাট রুট	লগ করা, মেয়াদ শেষ হওয়া অ্যাক্সেস

এই সারিগুলিকে সম্পূর্ণ অ্যাপ্লিকেশনের বিবরণ হিসেবে না দেখে প্রাথমিক পলিসি হিসেবে বিবেচনা করুন। অনুমোদিত পরিকাঠামোগত পরিষেবা, যেমন DNS এবং সময় সিঙ্ক্রোনাইজেশনের জন্য আলাদা নথিভুক্ত নিয়মের প্রয়োজন। কর্পোরেট ব্যবহারকারী যারা ক্লিনিকাল অ্যাপ্লিকেশন পরিচালনা করেন, তাদের অ্যাপ্লিকেশন পরিষেবাতে পৌঁছানো উচিত, ক্লিনিকাল ডিভাইস সাবনেটে অনিয়ন্ত্রিত অ্যাক্সেস পাওয়া উচিত নয়।

NIST-এর IoT সাইবার সিকিউরিটি সংক্রান্ত নির্দেশিকা নেটওয়ার্ক ইন্টিগ্রিটিকে সহায়তা করার ব্যবস্থা হিসেবে নেটওয়ার্ক সেগ্রিগেশন এবং সেগমেন্টেশনকে চিহ্নিত করে, যার মধ্যে রয়েছে ডিভাইসগুলিকে তাদের সংলগ্ন ডিভাইসে আক্রমণ করা, আড়ি পাতা বা একই সেগমেন্টের অন্যান্য ডিভাইসকে ঝুঁকির মুখে ফেলা প্রতিরোধ করা। প্যারামিটারের ভেতরে থাকাই কোনো ডিভাইসের অ্যাক্সেস পাওয়ার যোগ্যতার প্রমাণ নয়।

শারীরিক অবস্থান থেকে কাজ আলাদা করুন

ফ্যাসিলিটি টিম প্রায়শই আলমারি, ফ্লোর বা ইনস্টলেশন ঠিকাদার দ্বারা সরঞ্জামগুলিকে গ্রুপ করে। সেগুলি দরকারী ইনভেন্টরি বৈশিষ্ট্য, তবে ট্রাস্ট বাউন্ডারির জন্য দুর্বল বিকল্প। একটি অ্যাক্সেস কন্ট্রোলার এবং একটি লবি ডিসপ্লে অনুমতি শেয়ার না করেই একটি সুইচ শেয়ার করতে পারে।

ফ্যাসিলিটি-সাইডের একটি সূচনা বিন্দু হিসেবে, HighFlow Energy-র এমবেডেড ডিভাইস কমিউনিকেশন সম্পর্কিত নির্দেশিকাটি কানেক্টেড সিস্টেমের দায়িত্বে থাকা ব্যক্তিদের সাথে সেগুলো নিয়ে আলোচনা করার জন্য প্রাসঙ্গিক তথ্য প্রদান করে। সেই আলোচনাকে নির্দিষ্ট ইন্টারফেসে ফিরিয়ে আনুন: কোন কন্ট্রোলার কোন সার্ভিসকে বার্তা পাঠায়, কে এটি পরিচালনা করে এবং সিস্টেমের পথ ব্যর্থ হলে কী ঘটে।

ক্যামেরাগুলির ক্ষেত্রে বিশেষ যত্ন দরকার। একটি NVR হলো একটি অনুমোদিত ডেস্টিনেশন, প্রতিটি ক্যামেরার অন্য প্রতিটি ক্যামেরার সাথে কথা বলার অনুমতি নয়। রেকর্ডার যদি এর পরিবর্তে সংযোগ শুরু করে, তবে সেই নির্দেশনায় নীতি লিখুন এবং ক্যামেরা থেকে উদ্ভূত সেশনগুলিকে আলাদাভাবে সীমাবদ্ধ করুন।

নেটওয়ার্ক ট্রাস্ট প্রসারিত না করে ভেন্ডর অ্যাক্সেস ব্রোকার করুন

ভেন্ডর অ্যাক্সেস সার্ভিসটিকে DMZ-এ রাখুন, শুধুমাত্র কোনো ঠিকাদার এটি রক্ষণাবেক্ষণ করে বলেই অপারেশনাল ডিভাইসে রাখবেন না। ভেন্ডরের জন্য একটি জাম্প হোস্ট বা ব্রোকারে প্রমাণীকরণ করা আবশ্যক করুন, তারপর একটি মেয়াদ এবং সেশন লগ সহ একটি স্কোপড রক্ষণাবেক্ষণের পথ প্রদান করুন।

প্রাইভেট VLAN গুলি সুইচিং পরিকাঠামো ভাগ করে নেওয়া এন্ডপয়েন্টগুলিকে আলাদা করতে পারে। VRFs টেন্যান্ট রাউটিং টেবিলগুলিকে আলাদা রাখতে পারে, তবে কোনটিই নিয়ন্ত্রিত রুট এক্সচেঞ্জ এবং ফায়ারওয়াল এনফোর্সমেন্টের প্রয়োজনীয়তা দূর করে না।

স্বল্পমেয়াদী অতিথিদের ঘরের টিভি, থার্মোস্ট্যাট এবং টেল থেকে আলাদা রাখা উচিত। যে দীর্ঘমেয়াদী বাসিন্দাদের ব্যক্তিগত কাস্টিং বা ডিভাইস আবিষ্কারের প্রয়োজন, তাদের একটি সুনির্দিষ্ট রেসিডেন্ট নেটওয়ার্কের প্রয়োজন, ঢালাও গেস্ট-টু-IoT ব্যতিক্রমের নয়।

সুইচ পরিবর্তন করার আগে, প্রতিটি বর্তমান ডিভাইস ক্লাসকে একটি সারিতে টিক দিন। যে সমস্ত মেম্বারদের বস্তুগতভাবে ভিন্ন অনুমতির প্রয়োজন তাদের যেকোনো সারি বিভক্ত করুন। ফায়ারওয়াল পলিসি সেই সারিটিকে বাস্তব রূপ দেয়, VLAN ID নয়।

কীভাবে চারটি ধাপে একটি IoT ফ্লিটকে সেগমেন্‌ট করবেন

পুরো এস্টেট জুড়ে টেমপ্লেটে পরিণত করার আগে একটি প্রতিনিধিত্বমূলক সাইটে পরিবর্তনটি পাইলট করুন। রোলআউটের জন্য একজন প্রযুক্তিগত মালিক এবং একজন অপারেশনাল মালিক উভয়কেই প্রয়োজন যারা নিশ্চিত করতে পারেন যে সরঞ্জামগুলি এখনও তার কাজ সঠিকভাবে করছে।

ভিজ্যুয়ালটিকে একটি রোলআউট ওভারভিউ হিসাবে ব্যবহার করুন, তারপরে এটির নীচে নির্ভরতা এবং পলিসির রেকর্ড তৈরি করুন।

সীমানা লাগু করার আগে প্রমাণ তৈরি করুন

1. সম্ভাব্য ডিভাইস এবং পরিষেবাগুলির তালিকা তৈরি করুন। ওনারশিপ, মডেল, ফার্মওয়্যার, সুইচ পোর্ট বা ওয়্যারলেস অ্যাসোসিয়েশন, পর্যবেক্ষিত ফ্লো, ম্যানেজমেন্ট পাথ এবং ব্যবসায়িক গুরুত্ব রেকর্ড করুন। যে সমস্ত এন্ডপয়েন্ট সার্টিফিকেট গ্রহণ করতে পারে না সেগুলিকে ফ্ল্যাগ করুন, এবং কোনো বিভ্রাট অনুমোদন করার জন্য যাকে অনুমোদিত করা হয়েছে সেই ব্যক্তিকে চিহ্নিত করুন।
   পরীক্ষা করুন: ডিসকভারির ফলাফলগুলির সাথে সুইচ টেবিল, ওয়্যারলেস কন্ট্রোলার রেকর্ড এবং ফ্যাসিটিজ অ্যাসেট রেজিস্টারের মিলন ঘটান। অব্যাখ্যাত ডিভাইসগুলি অমীমাংসিত থাকে, সেগুলিকে ক্ষতিকর নয় হিসাবে শ্রেণীবদ্ধ করা হয় না।

2. আইসোলেশনের পূর্বে নির্ভরণীয়তা ম্যাপিং করুন। DNS, NTP, আইডেন্টিটি, ক্লাউড এন্ডপয়েন্ট, আপডেট সার্ভার, ভেন্ডর সাপোর্ট এবং ইন্টার-ডিভাইস প্রোটোকল ক্যাপচার করুন। ডিসকভারি ট্রাফিকের দিকেও নজর রাখুন - mDNS-এর মাধ্যমে রেসিডেন্ট ফোন একটি TV খুঁজে পাওয়ার বিষয়টি, সেই ফোনের মিডিয়া সেশন শুরু করা থেকে আলাদা।
   পরীক্ষা করুন: টিম যখন প্রয়োজনীয় সংযোগগুলি রেকর্ড করে, তখন অপারেশনাল ওনারকে রিস্টার্ট এবং রিকভারি সহ একটি স্বাভাবিক ওয়ার্কফ্লো সম্পূর্ণ করতে বলুন। একটি শান্ত এন্ডপয়েন্ট কিন্তু বাধ্যতামূলকভাবে নির্ভরতামুক্ত নাও হতে পারে।

ওয়্যারলেস ডেপ্লয়মেন্টের জন্য, সুরক্ষা পরিবর্তনের পাশাপাশি WiFi নেটওয়ার্ক ডিজাইন পর্যালোচনা করুন। প্রতিটি সরঞ্জামের বিভাগের জন্য একটি SSID তৈরি করার পরিবর্তে সমর্থিত ক্ষেত্রগুলিতে ভূমিকা অনুযায়ী VLAN বা VRF অ্যাসাইন করুন। অতিরিক্ত SSID বিকন ওভারহেড বাড়ায় এবং রক্ষণাবেক্ষণের জন্য আরও একটি কনফিগারেশন যোগ করে।

সংকীর্ণভাবে লাগু করুন, তারপর ব্যর্থতা পরীক্ষা করুন

1. প্রতিটি ট্রাস্ট বাউন্ডারিতে অত্যন্ত কম-অধিকারের নিয়ম লিখুন। উৎসের ভূমিকা, গন্তব্য পরিষেবা, প্রোটোকল, পোর্ট, দিক এবং ব্যবসায়িক মালিকের নাম নির্দিষ্ট করুন। শটকাট হিসেবে প্রস্তাবিত বিস্তৃত সাবনেট-টু-সাবনেট অনুমতি প্রত্যাখ্যান করুন। একটি কাল্পনিক ক্যামেরা নীতি হিসেবে, ক্যামেরা ভূমিকাকে TCP 443-এ নির্দিষ্ট NVR এবং TCP 554-এ RTSP-তে পৌঁছানোর অনুমতি দিন, অন্যান্য ইস্ট-ওয়েস্ট সেশনগুলি অস্বীকার করুন এবং অস্বীকারগুলি লগ করুন। আসল ক্যামেরা ট্রান্সপোর্ট আগে নিশ্চিত করুন, কারণ প্রোডাক্টটির বিভিন্ন মিডিয়া ফ্লোর প্রয়োজন হতে পারে।
   যাচাই করুন: রাউটিং, প্রশাসনিক অ্যাক্সেস এবং স্থানীয় পিয়ার নিয়ন্ত্রণগুলি কেবল VLAN অ্যাসাইনমেন্টের সাথেই নয়, কাঙ্ক্ষিত নীতির সাথেও মেলে কিনা তা যাচাই করুন।

2. একটি ডিভাইস ক্লাস পর্যায়ক্রমে স্থানান্তর করুন। অস্বীকার করা ট্র্যাফিক পর্যবেক্ষণ করুন এবং কেবল সেই নির্ভরতাগুলি অনুমোদন করুন যা একজন মালিক যৌক্তিক প্রমাণ করতে পারেন। একটি সিমুলেটেড ক্যামেরা কম্প্রোমাইজ, ম্যানেজমেন্ট প্লেনে প্রত্যাখ্যাত অ্যাক্সেস, DNS রেজোলিউশন, সার্টিফেকেট রিনিউয়াল, ক্লাউড কানেক্টিভিটি হ্রাস এবং ভেন্ডর অ্যাক্সেসের মেয়াদ শেষ হওয়ার পরিস্থিতি পরীক্ষা করুন।
   যাচাই করুন: সফল ব্যবসায়িক ওয়ার্কফ্লো এবং ব্যর্থ নিষিদ্ধ সংযোগ উভয়ই নিশ্চিত করুন।

CISA-এর মাইক্রোসেগমেন্টেশন নির্দেশিকায় সতর্ক করা হয়েছে যে আরও নিখুঁত সেগমেন্টেশন ডিজাইন এবং রক্ষণাবেক্ষণের জটিলতা বাড়ানোর পাশাপাশি ল্যাটারাল-মুভমেন্টের সুযোগ কমায়, এবং লেগ্যাসি বা IoT ডিভাইসগুলি আধুনিক নিয়ন্ত্রণ সমর্থন নাও করতে পারে। সেই গ্র্যানুলারিটি বেছে নিন যা আপনার টিম পরিচালনা করতে পারে।

সংগ্রহের প্রয়োজনীয়তা: সংযোগ সীমাবদ্ধ থাকলে একটি ডিভাইসকে কী করতে হবে তা নির্দিষ্ট করুন। কন্টেনমেন্টের সময় অনিয়ন্ত্রিত ইন্টারনেট অ্যাক্সেসের ওপর এর নির্ভরশীলতা আবিষ্কার করবেন না।

একসেপ্টেন্স টেস্টিংয়ের পরিপূরক হিসেবে নিচের ওয়াকথ্রুটি একটি লিখিত পরিবর্তন রেকর্ডের সাথে ব্যবহার করুন, তার বিকল্প হিসেবে নয়।

পারমিসিভ নিয়ম সক্রিয় রাখার বদলে রক্ষণাবেক্ষণের সময়সীমার মধ্যে পূর্ববর্তী কনফিগারেশনটিকে রোলব্যাক আর্টিফ্যাক্ট হিসেবে উপলব্ধ রাখুন। প্রত্যাশিত ট্রাফিক কাজ করার পর, ব্যাখ্যাতীত প্রত্যাখ্যান সমাধান হলে এবং অপারেশনাল মালিক সাইন অফ করার পরে রোলব্যাক নির্ভরতা সরিয়ে ফেলুন।

স্মার্ট সুবিধা-বিহীন ডিভাইসের জন্য কি (Key) এবং ক্ষতিপূরণমূলক নিয়ন্ত্রণসমূহ

থার্মোস্ট্যাট, টিভি, কনসেশন সরঞ্জাম এবং ভেন্ডর পরিচালিত বক্সগুলি কখনই সার্টিফিকেট ভিত্তিক অ্যাডমিশন সমর্থন না করতে পারে। কিছু কেবল একটি WiFi কী এর মাধ্যমে প্রমাণীকরণ করতে পারে; অন্যরা একটি MAC অ্যাড্রেস এবং একটি অসামঞ্জস্যপূর্ণ ট্র্যাফিক প্রোফাইল ছাড়া বিশেষ কিছুই প্রদান করে না।

ইন্ডাস্ট্রিয়াল-IoT ট্র্যাফিক ফিঙ্গারপ্রিন্টিং নিয়ে IEEE ইন্ডাস্ট্রিয়াল ইলেকট্রনিক্স সোসাইটির সমীক্ষা অজানা ডিভাইস, পরিবর্তিত পরিবেশ, সীমিত সাধারণীকরণ এবং দুর্লভ মূল্যায়নের ডেটা সহ বিভিন্ন বাধা চিহ্নিত করে। একটি ফিঙ্গারপ্রিন্টকে মূল্যায়ন করার মতো প্রমাণ হিসেবে বিবেচনা করুন, এমন কোনো আইডেন্টিটি হিসেবে নয় যা আপনি অনির্দিষ্টকালের জন্য বিশ্বাস করতে পারেন।

VLAN, ডিভাইস-ভিত্তিক কি (key) এবং মাইক্রোসেগমেন্টেশন

পদ্ধতি	যার জন্য সেরা	এটি যা আটকায়	এটি যা মিস করে
শেয়ার করা ক্লাস VLAN	একই গন্তব্য সহ একটি ডিভাইস ক্লাস	অননুমোদিত গেস্ট এবং IT অ্যাক্সেস, যখন সীমানা সম্পর্কিত নিয়ম এটি প্রয়োগ করে	VLAN এর ভেতরে পার্শ্বীয় মুভমেন্ট
ইউনিক কি এবং VLAN	অ্যাপার্টমেন্ট, কনসেশন, রুম টিভি এবং টিল	একটি ফাঁস হওয়া কি যা পুরো ভবন জুড়ে অ্যাক্সেস প্রদান করে	একটি ডুয়াল-হোমড বক্স যা জোনগুলোকে ব্রিজিং করে
প্রোফাইল মাইক্রোসেগমেন্টেশন	ক্লিনিকাল এবং OT ফ্লীট	ভিন্ন ধরনের ডিভাইসের মধ্যে অননুমোদিত ইস্ট-ওয়েস্ট অ্যাক্সেস	যে ডিভাইসগুলোকে নির্ভরযোগ্যভাবে সনাক্ত করা যায় না

সবচেয়ে ছোট এবং পরিচালনাযোগ্য ক্রিডেনশিয়াল স্কোপ বেছে নিন

একটি ভাগ করা ক্লাস VLAN যুক্তিসঙ্গত যখন এর সদস্যদের একই গন্তব্যের প্রয়োজন হয় এবং পিয়ার এক্সপোজার গ্রহণযোগ্য হয়। যে সরঞ্জামগুলি দল চিহ্নিত করেনি এটি তার জন্য কোনো ডিফল্ট হোল্ডিং এরিয়া নয়।

যেখানে শংসাপত্র প্রয়োগ করা বাস্তবসম্মত নয়, সেখানে প্রতিটি ডিভাইস, ব্যক্তি বা টেন্যান্ট পিছু একটি অনন্য প্রি-শেয়ার্ড কী ব্যবহার করুন। নির্দিষ্ট পলিসি এবং সেগমেন্টের সাথে ক্রেডেনশিয়াল বাইন্ড করুন, এবং ভূমিকার জন্য উপযুক্ত ব্যান্ডউইথ সীমা প্রয়োগ করুন। শুধুমাত্র কী-এর অনন্যতা আলাদা করার সুবিধা তৈরি করে না; কন্ট্রোলার, সুইচিং এবং ফায়ারওয়াল কনফিগারেশনের মাধ্যমে এই অ্যাসাইনমেন্ট কঠোরভাবে মেনে চলা নিশ্চিত করতে হবে।

প্রতিটি ডিভাইসের IoT কী ম্যানেজমেন্টের অপারেশনাল সুবিধা হলো লক্ষ্যযুক্ত বাতিলকরণ। একটি ব্যর্থ ক্যামেরা পরিবর্তন করার পর তার নতুন ক্রেডেনশিয়াল পাওয়া উচিত, ঠিকাদারদের নোটে থেকে যেতে পারে এমন কোনো কপি করা কী উত্তরাধিকারসূত্রে পাওয়ার বদলে।

পেমেন্ট সরঞ্জামের জন্য, প্রসেসর অনবোর্ডিংয়ের সাথে নেটওয়ার্কের প্রয়োজনীয়তা সমন্বয় করুন। মার্চেন্ট সার্ভিস প্রোভাইডার নির্বাচনের বিষয়ে Sambapay-এর নির্দেশিকাটি একটি উপযোগী বাণিজ্যিক প্রসঙ্গ হলেও, নেটওয়ার্ক হ্যান্ডওভারের জন্য এখনও একটি নির্দিষ্ট এন্ডপয়েন্ট এবং প্রোটোকল তালিকার প্রয়োজন। সরবরাহকারীর সম্পর্ককে সাধারণ ইন্টারনেট অনুমতিতে রূপান্তরিত করবেন না।

আইডেন্টিটি দুর্বল থাকলে বিকল্প সুরক্ষা দিয়ে ক্ষতিপূরণ করুন

প্রোফাইল মাইক্রোসেগমেন্টেশন সেইসব সরঞ্জামের জন্য উপযুক্ত যার কাজ, গুরুত্ব এবং হুমকির স্তর আরও কঠোর পৃথকীকরণকে সমর্থন করে। এর জন্য আপডেট করা প্রোফাইল, এক্সেপশন হ্যান্ডলিং এবং শ্রেণীবিন্যাস পরিবর্তিত হলে একটি নিরাপদ প্রতিক্রিয়া প্রয়োজন।

আইডেন্টিটি-দরিদ্র ডিভাইসগুলির জন্য, একক সিগন্যালকে বিশ্বাস না করে কন্ট্রোলগুলি একত্রিত করুন:

• প্যাসিভভাবে আবিষ্কার করুন: অ্যাক্টিভ প্রোবিং নিরাপদ বলে মনে না করে, চিহ্নিত ডিভাইসের ভূমিকার সাথে পর্যবেক্ষণ করা আচরণের তুলনা করুন।
• গন্তব্য সীমাবদ্ধ করুন: সরবরাহকারী বা স্থান-ভিত্তিক অ্যাডমিশন, নির্দিষ্ট গন্তব্য তালিকা, প্রোটোকল অ্যালাউলিস্ট এবং DNS নিয়ন্ত্রণ ব্যবহার করুন।
• কোয়ারেন্টাইন প্রস্তুত করুন: একটি সীমাবদ্ধ নীতি নির্ধারণ করুন যা কেবল সেই রিকভারি সার্ভিসগুলিকেই টিকিয়ে রাখে যা ডিভাইসের প্রয়োজন।
• বাতিল করার অনুশীলন করুন: একটি নিষ্ক্রিয় করা কী একটি বিদ্যমান সেশন শেষ করে বলে ধরে নেওয়ার পরিবর্তে, সেশন সমাপ্তি এবং পুনরায় সংযোগ সহ মিনিটে আইসোলেশন পরিমাপ করুন।

একটি নথিভুক্ত তারিখে ঠিকাদার ব্যতিক্রমগুলির মেয়াদ শেষ করুন। অনুমোদিত কাজের পরে ভেন্ডর অ্যাক্সেস বন্ধ করুন এবং একটি নতুন কাজের জন্য পুনরায় অনুমোদনের প্রয়োজন রাখুন।

নিবাসীদের পরিষেবাগুলির জন্য, কেবল বাসিন্দার নিজস্ব প্রাইভেট নেটওয়ার্কের মধ্যেই mDNS প্রতিফলিত করুন। পার্শ্ববর্তী অ্যাপার্টমেন্টগুলিকে উন্মুক্ত না করে AirPlay ডিসকভারি সেই সীমানার মধ্যে কাজ করা উচিত। ডিসকভারি অনুমতি এবং প্রকৃত মিডিয়া-সেশন অনুমতি সারিবদ্ধ রাখুন।

নজরদারি, কন্টেইনমেন্ট এবং সাধারণ ব্যর্থতাসমূহ

একটি মাসিক পর্যালোচনার মাধ্যমে এমন প্রমাণ তৈরি করা উচিত যার ওপর ভিত্তি করে অপারেটররা পদক্ষেপ নিতে পারে, কেবল একটি গ্রিন ড্যাশবোর্ড নয়। CISA-এর IoT ডিভাইস ঝুঁকি এবং প্রশমন নির্দেশিকা গুরুত্বপূর্ণ নেটওয়ার্কগুলি থেকে IoT-কে আইসোলেট করার পরামর্শ দেয় এবং সতর্ক করে যে বিভিন্ন সেগমেন্ট জুড়ে সংযুক্ত সরঞ্জাম, অথবা রিমুভেবল মিডিয়া সম্পর্কিত পলিসি অমান্য করা সীমানাকে দুর্বল করতে পারে।

পাঁচটি নজরদারি ব্যবস্থা এবং তাদের টেলিমেট্রি

পরিমাপ	টেলিমেট্রি উৎস
নির্দিষ্ট জোন বরাদ্দ থাকা IoT অ্যাসেটের শেয়ার	জোন ম্যাপের সাথে মেলানো অ্যাসেট ইনভেন্টরি
স্পষ্টভাবে অনুমোদিত আন্তঃ-জোন প্রবাহের শেয়ার	জোন চার্টের বিরুদ্ধে যাচাই করা ফায়ারওয়াল রুল এক্সপোর্ট
ব্লক করা অননুমোদিত প্রবাহ	জোন অনুযায়ী ডিনাই লগ কাউন্ট
একটি ডিভাইস বা কী বাতিল করার গড় সময়	কী বা NAC সিস্টেম থেকে পাওয়া রিভোকেশন টাইমস্ট্যাম্প
অনুশীলনে সংহতকরণ বা কন্টেইনমেন্ট যাচাই করা হয়েছে	টেবিলটপ বা অ্যাটাক-পাথ টেস্টের রেকর্ড

প্রতিটি শতাংশের জন্য হর বা ডিনোমিনেটর সংজ্ঞায়িত করুন। বরাদ্দ করা অ্যাসেটগুলি কেবল অনুমোদিত রেজিস্টারে ইতিমধ্যে নথিভুক্ত ডিভাইসগুলির পরিমাপে নয়, বরং আবিষ্কৃত IoT অ্যাসেটের বিরুদ্ধে পরিমাপ করা উচিত। অন্যথায়, ইনভেন্টরি বাদ পড়লে ফলাফলটি কৃত্রিমভাবে উন্নত দেখাবে।

অথেন্টিকেশন ব্যর্থতা, নতুনভাবে পরিলক্ষিত MAC অ্যাড্রেস, আইডেন্টিটি বা পেমেন্ট সার্ভিসে পৌঁছানোর চেষ্টা এবং অনুমোদিত প্যাটার্নের বাইরের DNS অনুরোধ থেকে তদন্তের তথ্য ইনপুট করুন। রোল অমিল সনাক্ত করতে ব্যান্ডউইথ ব্যবহারের পরিমাপ ব্যবহার করুন, যেমন একটি থার্মোস্ট্যাট ক্রেডেনশিয়াল হঠাৎ করে টেকসই বাল্ক ট্র্যাফিক বহন করছে। স্পাইক হল তদন্ত করার একটি কারণ, এটি ট্র্যাফিকের অনৈতিক অ্যাক্সেসের প্রমাণ নয়।

নাইট শিফটের কর্মীদের একটি কন্টেইনমেন্ট রানবুক দিন

1. কোয়ারেন্টাইন বা বাতিল করুন। এন্ডপয়েন্টটিকে পৃথক করুন এবং যেখানে সমর্থিত সেখানে বিদ্যমান অ্যাক্সেস বন্ধ করুন। এটি যাতে অন্য কোনো উপলব্ধ শংসাপত্রের অধীনে পুনরায় সংযোগ করতে না পারে তা নিশ্চিত করুন।
2. ব্লকটি যাচাই করুন। এনফোর্সমেন্ট লগ পরীক্ষা করুন এবং নিষিদ্ধ পিয়ার, টিল এবং ডোমেন কন্ট্রোলারের বিরুদ্ধে সংযোগ পরীক্ষা পুনরাবৃত্তি করুন। পর্যবেক্ষণ করা এনফোর্সমেন্ট ছাড়া নীতি পরিবর্তন কোনো সমাধান নয়।
3. বিকল্প পথ খুঁজুন। ডুয়াল-হোমড ক্যাবলিং, ভুলে যাওয়া VPN, সেলুলার ম্যানেজমেন্ট পাথ এবং রিমুভেবল-মিডিয়া পদ্ধতি পরীক্ষা করুন। নেটওয়ার্ক কোয়ারেন্টাইন কোনো স্বতন্ত্র সংযোগকে সরিয়ে দেয় না।
4. নতুন পরিচয়ের মাধ্যমে পুনরুদ্ধার করুন। উপযুক্ত হিসাবে ডিভাইসটি পরিবর্তন করুন বা পুনরায় রিইমেজ করুন, একটি নতুন কি (key) ইস্যু করুন এবং যেকোনো অস্থায়ী ব্যতিক্রমের মালিক ও সময়কাল রেকর্ড করুন।
5. অ্যাটাক-পাথ টেস্টটি পুনরাবৃত্তি করুন। প্রাসঙ্গিক ফার্মওয়্যার পরিবর্তন, অধিগ্রহণ এবং সাইট কাটওভারের পরে, যখন নির্ভরতা বা টপোলজি পরিবর্তিত হতে পারে, তখন পুনরায় পরীক্ষা করুন।

একটি উচ্চ ডিনাই কাউন্ট ভালো সেগমেন্টেশন প্রমাণ করে না। এর অর্থ সফল ব্লকিং, একটি ভাঙা অ্যাপ্লিকেশন বা মালিকহীন ব্যতিক্রম ঘটতে চলা হতে পারে।

বার বারবার ঘটা ব্যর্থতাগুলি উৎস স্তরেই সমাধান করুন

• শেয়ার করা WiFi শংসাপত্র: ক্যামেরার পাসওয়ার্ড বিতরণ করার পরিবর্তে আলাদাভাবে বাতিলযোগ্য কি (key) প্রদান করুন।
• অনিয়ন্ত্রিত আউটবাউন্ড ইন্টারনেট: ঢালাও অ্যাক্সেসের পরিবর্তে গন্তব্য এবং প্রোটোকল সম্পর্কিত নিয়ম চালু করুন।
• ল্যাপটপে IoT সেশন: অননুমোদিত IoT-থেকে-ওয়ার্কস্টেশন পাথগুলো সরিয়ে দিন।
• কন্ট্রাকটরদের স্থায়ী অ্যাক্সেস: মেয়াদ শেষ হওয়ার নিয়ম প্রয়োগ করুন এবং এমন পোর্ট টেমপ্লেট ব্যবহার করুন যা OT পোর্টে অনুচিত সরঞ্জাম প্রত্যাখ্যান করে।
• SSID অনিয়ন্ত্রিত বিস্তার: সরঞ্জাম-নির্দিষ্ট অন্য একটি SSID প্রচার করার পরিবর্তে গতিশীলভাবে নেটওয়ার্কের ভূমিকা অর্পণ করুন।
• পুরোনো ব্যতিক্রমসমূহ: সপ্তাহে একবার ব্যতিক্রমের সময়কালের রিপোর্ট পর্যালোচনা করুন এবং জবাবদিহি করার মতো মালিক ছাড়া এন্ট্রিগুলো বন্ধ করুন।

কেবলমাত্র ডিভাইসের জন্য নির্ধারিত জোনগুলির ক্ষেত্রে এই গ্রহণযোগ্য মানদণ্ডটি ব্যবহার করুন: যদি কোনো অননুমোদিত টেস্ট ডিভাইস পেমেন্ট ইনফ্রাস্ট্রাকচার, আইডেন্টিটি ইনফ্রাস্ট্রাকচার বা অন্য কোনো টেন্যান্টের সাথে সেশন শুরু করতে পারে, তবে সেই সেগমেন্টটি ব্যর্থ হয়েছে বলে গণ্য হবে। চেষ্টা করা পরিষেবা এবং প্রয়োগের প্রমাণ রেকর্ড করুন যাতে ফলাফলটি পুনরায় তৈরি করা যায়।

ডিজাইনটি অনুলিপি করার আগে একটি সাইটে তা প্রমাণ করুন

এই মাসে একটি প্রপার্টি বেছে নিন: একটি হোটেলের ফ্লোর, ক্লিনিক উইং, কনসেশন এরিয়া বা অ্যাপার্টমেন্ট ব্লক। সেই সাইটের ইনভেন্টরি তৈরি করুন, জোনের চার্টে প্রতিটি ডিভাইস ক্লাস অ্যাসাইন করুন এবং প্রথমে ক্যামেরা বা ঘরের সরঞ্জাম স্থানান্তর করুন। স্কোপ যথেষ্ট ছোট রাখুন যাতে ফেসিলিটি টিম কেবল নেটওয়ার্কের পৌঁছানোর সক্ষমতা নয়, আসল পরিষেবাটি যাচাই করতে পারে।

পাইলটটিকে গ্রহণযোগ্যতা-ভিত্তিক (acceptance-based) করুন

একটি কোয়ারেন্টাইন করা ক্যামেরাকে টিল, আইডেন্টিটি সার্ভিস এবং অন্য টেন্যান্টের সাথে এর সংযোগের চেষ্টায় ব্যর্থ হওয়া আবশ্যক করুন। আইসোলেশনের সিদ্ধান্ত এবং যাচাইকৃত এনফোর্সমেন্টের মধ্যবর্তী সময় পরিমাপ করুন। পরবর্তী প্রপার্টির টেমপ্লেট হিসেবে রুল সেট, টেস্টের ফলাফল এবং অপারেশনাল সাইন-অফ Capture করুন।

রোলআউট গেট: ডিজাইনটি তখনই কপি করুন যখন অন্য একজন ইঞ্জিনিয়ার অনুমতিপ্রাপ্ত ওয়ার্কফ্লো এবং ব্লক করা অ্যাটাক পাথ উভয়ই পুনরায় তৈরি করতে পারেন।

Purple Access তিনটি SSID-এর মাধ্যমে সেই প্যাটার্নটিকে সমর্থন করে: অতিথিদের জন্য Open এবং BYOD, কর্মীদের জন্য Secure এবং বিশ্বস্ত ব্যবহারকারী, এবং জিনিসপত্র, ভাড়াটে এবং সম্প্রদায়ের জন্য xPSK। ক্লাউড RADIUS উপযুক্ত নেটওয়ার্ক এবং VLAN নির্ধারণ করতে পরিচয় ব্যবহার করে; একটি xPSK প্রতি ডিভাইস, ব্যক্তি বা ভাড়াটে হিসেবে অনন্য হতে পারে, যার নিজস্ব VLAN এবং ব্যান্ডউইথের সীমা রয়েছে। প্ল্যানার আপনাকে আজ কী সংযোগ করছে তা চিহ্নিত করতে দেয় এবং প্রতিটি গ্রুপ কোথায় পৌঁছাচ্ছে তা দেখতে সাহায্য করে, আর এস্টেট, সাইট এবং অ্যাক্সেস-পয়েন্ট হেলথ ভিউ এবং অথেনটিকেশন রেট অপারেটরদের রোলআউট তদন্ত করতে সাহায্য করে।

এটি ফায়ারওয়াল পলিসি বা কন্টেনমেন্ট টেস্টিং প্রতিস্থাপন না করেই অ্যাডমিশনকে সহজ করে তোলে। আপনার আসল এস্টেটের চারপাশে ডিজাইন সেশন বুক করুন এবং পাইলটের ডিভাইস তালিকা, ডিপেন্ডেন্সি এবং ব্যর্থ অ্যাটাক-পাথের প্রমাণ আনুন।

---

Purple Access আইডেন্টিটি-ভিত্তিক নেটওয়ার্ক অ্যাসাইনমেন্ট, ইন্ডিভিজুয়ালি স্কোপড xPSKs এবং সম্পর্কহীন ট্রাস্ট জোনগুলিকে একত্রিত না করে অ্যাক্সেস সুসংহত করার জন্য একটি প্ল্যানার অফার করে। আপনার প্রপার্টি টাইপের জন্য একটি নেটওয়ার্ক-ইঞ্জিনিয়ার-নেতৃত্বাধীন ডিজাইন সেশন বুক করতে এবং স্পষ্ট অনুমোদিত ফ্লো, রিভোকেশন চেক ও কন্টেইনমেন্ট টেস্ট সহ একটি পাইলট সংজ্ঞায়িত করতে Purple Access ভিজিট করুন।