वास्तविक फ्लीट्ससाठी IoT नेटवर्क सेगमेंटेशन मार्गदर्शक

२०२० मधील युनिट 42 IoT थ्रेट स्टडीनुसार, ७२% हेल्थकेअर VLANs मध्ये IoT आणि IT ॲसेट्स एकत्र मिसळलेले होते. एका VLAN नावाला सुरक्षेचे नियंत्रण मानण्यात हीच समस्या आहे: IoT नाव नेटवर्क दिल्यानंतरही वैद्यकीय उपकरणे, प्रिंटर्स, फोन्स आणि सामान्य कॉम्प्युटर्स एकमेकांच्या संपर्कात येऊ शकतात.

IoT नेटवर्क सेगमेंटेशनने प्रात्यक्षिक करता येण्याजोगे कंटेनमेंट (नियंत्रण) दिले पाहिजे, VLANs ची लांबच लांब यादी नाही. मल्टी-साइट IT आणि फॅसिलिटीज टीम्ससाठी, कोणते डिव्हाइसेस ट्रस्ट झोन शेअर करतात, कोणते कम्युनिकेशन मंजूर आहेत आणि तडजोड केलेला एंडपॉईंट एखाद्या मौल्यवान गोष्टीपर्यंत हल्ल्याचा मार्ग पूर्ण करू शकतो का, हे उपयुक्त प्रश्न आहेत.

अनुक्रमणिका

• जेव्हा स्वतंत्र IoT VLAN तरीही लीक होते
  • VLAN बाउंड्री काय करत नाही
• IoT झोन आणि तुम्ही अनुमती देणारे प्रवाह (Flows)
  • भौतिक स्थानापासून कार्य वेगळे करा
  • ट्रस्टचा विस्तार करण्याऐवजी व्हेंडर ॲक्सेसचे मध्यस्थी (Broker) करा
• IoT फ्लीटचे चार टप्प्यांत सेगमेंटेशन कसे करावे
  • बाउंड्री लागू करण्यापूर्वी पुरावे तयार करा
  • संकुचितपणे लागू करा, नंतर अपयशाची (Failure) चाचणी घ्या
• डंब उपकरणांसाठी की (Keys) आणि भरपाई नियंत्रण (Compensating Controls)
  • सर्वात लहान व्यवस्थापनयोग्य क्रेडेन्शियल स्कोप निवडा
  • ओळख कमकुवत राहिल्यास भरपाई द्या
• मॉनिटरिंग, कंटेनमेंट आणि सामान्य अपयश
  • नाईट शिफ्टला कंटेनमेंट रनबुक द्या
  • वारंवार होणाऱ्या चुका त्यांच्या स्रोतावरच सुधारा
• डिजाइनची कॉपी करण्यापूर्वी एका साइटवर सिद्ध करा
  • पायलट स्विकृती-आधारित (Acceptance-based) करा

स्वतंत्र IoT VLAN असूनही माहिती लीक होते तेव्हा

209 एंटरप्रायझेसमधील 47,700 पेक्षा जास्त नेटवर्क सेगमेंटचा समावेश असलेल्या Security Boulevard विश्लेषणानुसार, ऑपरेशनल-टेक्नॉलॉजी डिव्हाइसेस असलेल्या सेगमेंट्सपैकी फक्त 13% सेगमेंट्स केवळ OT साठी होते, तर वैद्यकीय उपकरणे असलेल्या आरोग्यसेवा सेगमेंट्सपैकी केवळ 6% सेगमेंट्स पूर्णपणे वैद्यकीय उपकरणांसाठी समर्पित होते. स्वतंत्र सेगमेंट ॲसेटच्या योग्य गटवारीची खात्री देत नाही.

कॅमेरे, बिलडिंग कंट्रोलर्स, प्रिंटर्स आणि VoIP फोन हे केवळ यांपैकी कोणतेही पारंपारिक डेस्कटॉप चालवत नाही या कारणास्तव एकत्र राहू शकत नाहीत. त्यांचे मालक, देखभाल व्यवस्था आणि अपयशाचे परिणाम वेगवेगळे असतात. त्यांना एकत्रित केल्याने एक सामायिक धोक्याची शक्यता निर्माण होते जी एक सुटसुटीत नेटवर्क आकृती लपवू शकते.

हा फरक खालील सेगमेंट कंपोझिशनमध्ये स्पष्टपणे दिसतो.

VLAN बाउंड्री काय करत नाही

एक VLAN हे लेयर 2 ब्रॉडकास्ट डोमेन विभक्त करते. ते आपोआप ट्रॅफिक एन्क्रिप्ट करत नाही, स्फूफिंग रोखत नाही, सामायिक केलेले पासवर्ड बदलत नाही किंवा त्या VLAN मधील पूर्व-पश्चिम हालचाली (east-west movement) ब्लॉक करत नाही. जिथे ब्रॉडकास्ट, मिररिंग, चुकीचे कॉन्फिगरेशन किंवा यशस्वी स्थानिक हल्ल्याद्वारे ट्रॅफिक ॲक्सेस करण्यायोग्य असते, तिथे ते पॅकेट कॅप्चर देखील रोखत नाही.

इंटर-VLAN फायरवॉल कॅमेरा-टू-कॅमेरा ट्रॅफिक न हाताळता पेमेंट नेटवर्कशी कॅमेऱ्याचे कनेक्शन नाकारू शकते. पीअर आयसोलेशन महत्त्वाचे असल्यास, प्रायव्हेट VLANs, ॲक्सेस-पोर्ट कंट्रोल्स, वायरलेस क्लायंट आयसोलेशन किंवा योग्य डिस्ट्रीब्युटेड पॉलिसीद्वारे त्याची अंमलबजावणी करा.

कंटेनमेंट म्हणजे लहान ट्रस्ट झोन, जे मालकी, उद्देश, संवेदनशीलतेने आणि operational भुमिकेनुसार वर्गीकृत केलेले असतात, आणि त्यांच्या दरम्यान स्पष्ट ॲलोलिस्ट असते. झोन एक्सक्लुझिव्हिटी ही एक उपयुक्त तपासणी आहे, परंतु ती पुरेशी नाही: केवळ कॅमेऱ्यांच्या सेगमेंटमध्ये अजूनही अतिरिक्त आऊटबाउंड परवानग्या असू शकतात.

हॉटेल्स, हॉस्पिटल्स, कॅम्पस, रिटेल इस्टेट्स आणि मल्टिफॅमिली इमारतींसाठी, डिलिव्हरेबल्समध्ये समाविष्ट असले पाहिजे:

• झोन आणि फ्लो मॅप: प्रत्येक डिव्हाइस श्रेणीचा एक मालक, गंतव्यसूची आणि प्रत्येक कनेक्शनचे कारण असते.
• नियंत्रित मायग्रेशन: इतर प्रॉपर्टीजपर्यंत पॅटर्न पोहोचण्यापूर्वी अवलंबित्व तपासले जाते.
• कमकुवत ओळखीसाठी फॉलबॅक: प्रमाणपत्र सपोर्ट नसलेल्या डिव्हाइसेसना भरपाई देणारी नियंत्रणे मिळतात.
• एक अयशस्वी अटॅक पाथ: एक प्रतिनिधी एंडपॉइंट प्रतिबंधित कनेक्शन स्थापित करू शकत नाही.

मंजूर प्रवाहाशिवाय लॉजिकल अलगीकरण हे अद्यापही जास्त-परवानगी असलेले नेटवर्क आहे.

IoT झोन आणि तुम्ही अनुमती दिलेले प्रवाह

IoT ट्रस्ट झोन आणि अनुमती दिलेले प्रवाह

झोन	उदाहरणाचे डिव्हाइसेस	पहोचू शकतात	पहोचता कामा नये	प्राथमिक नियंत्रण
गेस्ट आणि निवासी	फोन्स, लॅपटॉप्स, शॉर्ट-स्टे BYOD	इंटरनेट, कॅप्टिव्ह पोर्टल, DNS	रुम IoT, टिल्स, कॅमेरे, स्टाफ VLANs	क्लायंट आयसोलेशन आणि एक गेस्ट VLAN
कॉर्पोरेट IT	स्टाफ लॅपटॉप्स, युझर LAN वरील प्रिंटर्स	आयडेंटिटी, फाइल आणि ॲप सर्व्हिसेस	OT, कॅमेरे, पेमेंट सेगमेंट्स	802.1X किंवा सर्टिफिकेट-असाईन केलेले VLAN
बिल्डिंग सिस्टीम्स	HVAC, लाईटिंग, ॲक्सेस कंट्रोल	BMS आणि नामांकित क्लाउड एंडपॉइंट्स	युझर वर्कस्टेशन्स आणि गेस्ट WiFi	IoT VLAN अधिक डेस्टिनेशन ॲलोलिस्ट
कॅमेरे	IP कॅमेरे, NVRs	फक्त असाईन केलेले NVR आणि मंजूर व्हिडिओ सर्व्हिसेस	मेडिकल, पेमेंट, आयडेंटिटी सिस्टीम्स	प्रायव्हेट VLAN आणि ईस्ट-वेस्ट डिनाय
क्लिनिकल किंवा सेफ्टी OT	इमेजिंग, पंप्स, PLCs	फक्त नामांकित क्लिनिकल किंवा ऑपरेशनल सर्व्हर्स	गेस्ट, कॉर्पोरेट, कॅमेरे	उच्च-सुरक्षा झोन आणि फायरवॉल
पेमेंट	टिल्स, PIN पॅड्स	फक्त पेमेंट प्रोसेसर	वर्कस्टेशन्स आणि इतर IoT	डेडिकेटेड VLAN आणि IoT कडून कोणतेही इनबाउंड नाही
व्हेंडर DMZ	जंप होस्ट, अपडेट ब्रोकर	मंजूर डिव्हाइस क्लाससाठी वेळ-मर्यादित मार्ग	प्रत्येक VLAN मध्ये फ्लॅट रूट	लॉग केलेला, एक्सपायर होणारा ॲक्सेस

या ओळींना सुरवातीच्या पॉलिसीज म्हणून विचारात घ्या, संपूर्ण ॲप्लिकेशन स्पेसिफिकेशन्स म्हणून नाही. DNS आणि टाइम सिंक्रोनायझेशन सारख्या मंजूर पायाभूत सुविधा सेवांसाठी स्वतंत्र दस्तऐवजीकरण केलेले नियम आवश्यक आहेत. क्लिनिकल ॲप्लिकेशन्स वापरणाऱ्या कॉर्पोरेट वापरकर्त्यांनी ॲप्लिकेशन सर्व्हिसपर्यंत पोहोचले पाहिजे, त्यांना क्लिनिकल डिव्हाइस सबनेटवर अमर्याद ॲक्सेस मिळता कामा नये.

NIST ची IoT सायबर सुरक्षा मार्गदर्शक तत्वे नेटवर्क सेग्रिगेशन आणि सेगमेंटेशनला नेटवर्क अखंडतेला पाठिंबा देणारे उपाय म्हणून ओळखतात, ज्यामध्ये डिव्हाइसेसना शेजाऱ्यांवर हल्ला करण्यापासून, गुप्तपणे ऐकण्यापासून किंवा एकाच सेगमेंटवरील इतर डिव्हाइसेस तडजोड करण्यापासून रोखणे समाविष्ट आहे. पेरीमीटरच्या आत असणे हा पुरावा नाही की डिव्हाइस ॲक्सेस मिळवण्यास पात्र आहे.

भौतिक स्थानापासून कार्य वेगळे करा

फॅसिलिटीज टीम अनेकदा कपाटांनुसार, मजल्यानुसार किंवा इन्स्टॉलेशन कंत्राटदारांनुसार उपकरणांचे गट तयार करतात. त्या उपयुक्त इन्व्हेंटरी वैशिष्ट्ये आहेत, परंतु ट्रस्ट बाउंड्रीसाठी खराब पर्याय आहेत. एक ॲक्सेस कंट्रोलर आणि लॉबी डिस्प्ले परवानग्या सामायिक न करता स्विच सामायिक करू शकतात.

सुविधांच्या दृष्टीने सुरुवातीचा मुद्दा म्हणून, HighFlow Energy चे एम्बेडेड डिव्हाइस कम्युनिकेशन समजून घेण्याबाबतचे मार्गदर्शक तत्त्वे त्या सिस्टीम्ससाठी जबाबदार असलेल्या लोकांशी कनेक्ट केलेल्या सिस्टीम्सवर चर्चा करण्यासाठी संदर्भ प्रदान करतात. ती चर्चा पुन्हा ठोस इंटरफेसेसवर आणा: कोणता कंट्रोलर कोणत्या सर्व्हिसशी बोलतो, ते कोण व्यवस्थापित करते आणि तो मार्ग अपयशी ठरल्यास काय होते.

कॅमेऱ्यांची विशेष काळजी घेणे आवश्यक आहे. NVR हे एक मंजूर ठिकाण आहे, प्रत्येक कॅमेऱ्याला इतर सर्व कॅमेऱ्यांशी संवाद साधण्याची परवानगी नाही. जर रेकॉर्डरने कनेक्शन सुरू केले, तर त्या दिशेने पॉलिसी लिहा आणि कॅमेऱ्यातून सुरू होणाऱ्या सत्रांवर स्वतंत्रपणे मर्यादा घाला.

ट्रस्टचा विस्तार करण्याऐवजी व्हेंडर ॲक्सेस ब्रोकर्ड करा

व्हेंडर ॲक्सेस सर्व्हिस DMZ मध्ये ठेवा, कंत्राटदार तिची देखभाल करतो या कारणास्तव केवळ तांत्रिक डिव्हाइसमध्ये ठेवू नका. व्हेंडरने जंप होस्ट किंवा ब्रोकरकडे प्रामाणिक असणे आवश्यक आहे, त्यानंतर मुदत समाप्ती आणि सत्र लॉगसह मर्यादित देखभाल मार्ग प्रदान करा.

प्रायव्हेट VLAN स्विचिंग इन्फ्रास्ट्रक्चर शेअर करणाऱ्या एंडपॉइंट्सना वेगळे करू शकतात. VRF भाडेकरूचे राउटिंग टेबल वेगळे ठेवू शकतात, परंतु दोन्ही पैकी कोणतेही नियंत्रित मार्ग एक्सचेंज आणि फायरवॉल अंमलबजावणीची आवश्यकता दूर करत नाहीत.

काही वेळासाठी आलेले पाहुणे (Short-stay guests) खोलीतील टीव्ही, थर्मास्टॅट्स आणि कॅश काउंटर्सपासून (tills) वेगळे राहिले पाहिजेत. ज्या दीर्घकालीन रहिवाशांना वैयक्तिक कास्टिंग किंवा डिव्हाइस शोधण्याची (device discovery) आवश्यकता आहे, त्यांच्यासाठी संपूर्ण गेस्ट-टू-IoT अपवादाऐवजी जाणीवपूर्वक मर्यादित केलेला रहिवासी नेटवर्क आवश्यक आहे.

स्विच बदलण्यापूर्वी, प्रत्येक वर्तमान डिव्हाइस वर्ग एका ओळीवर टिक करा. ज्यांच्या सदस्यांना भौतिकदृष्ट्या भिन्न परवानग्यांची आवश्यकता आहे ती कोणतीही ओळ विभक्त करा. फायरवॉल पॉलिसी, VLAN ID नाही, ती ओळ वास्तविक बनवते.

IoT फ्लिटचे चार टप्प्यांत सेगमेंटेशन कसे करावे

बदल संपूर्ण मालमत्तेसाठी (estate-wide) टेम्पलेट बनवण्यापूर्वी प्रातिनिधिक साइटवर पायलट करा. रोलआउटसाठी तांत्रिक मालक आणि कंत्राटी मालक या दोघांचीही गरज असते, जे उपकरण अद्याप आपले काम करत असल्याची पुष्टी करू शकतात.

रोलआउट विहंगावलोकन (rollout overview) म्हणून व्हिज्युअल वापरा, नंतर त्याखालील अवलंबित्व आणि धोरण रेकॉर्ड तयार करा.

बाउंड्री लागू करण्यापूर्वी पुरावे तयार करा

1. उमेदवार डिव्हाइसेस आणि सर्व्हिसेसची इन्व्हेंटरी तयार करा. मालकी, मॉडेल, फर्मवेअर, स्विच पोर्ट किंवा वायरलेस असोसिएशन, निरीक्षण केलेले फ्लो, मॅनेजमेंट पाथ आणि बिझनेस क्रिटिकॅलिटीची नोंद ठेवा. सर्टिफिकेट स्वीकारू न शकणारे एंडपॉइंट्स फ्लॅग करा आणि आउटेज मंजूर करण्यासाठी प्राधिकृत व्यक्ती ओळखून घ्या.
   तपासा: डिस्कव्हरी निकालांचे स्विच टेबल्स, वायरलेस कंट्रोलर रेकॉर्ड्स आणि फॅसिलिटीज ॲसेट रजिस्टरशी जुळवणी करा. ज्या डिव्हाइसेसचे स्पष्टीकरण मिळालेले नाही ते अनरिझresolved राहतात, त्यांना हानीरहित मानू नका.

2. आयसोलेशनपूर्वी अवलंबित्व मॅप करा. DNS, NTP, आयडेंटिटी, क्लाउड एंडपॉइंट्स, अपडेट सर्व्हर्स, व्हेंडर सपोर्ट आणि इंटर-डिव्हाइस प्रोटोकॉल्स कॅप्चर करा. डिस्कव्हरी ट्रॅफिकवरही लक्ष ठेवा: mDNS द्वारे TV शोधणारा निवासी फोन आणि तोच फोन मीडिया सेशन सुरू करणे या दोन वेगळ्या गोष्टी आहेत.
   तपासा: टीमने आवश्यक कनेक्शन्स नोंदवत असताना, ऑपरेशनल मालकाकडून रीस्टार्ट आणि रिकव्हरीसह सामान्य वर्कफ्लो पूर्ण करून घ्या. एखादा शांत एंडपॉइंट हा अवलंबित्व-मुक्त असेलच असे नाही.

वायर्ड/वायरलेस उपयोजनांसाठी, सुरक्षा बदलांसोबत WiFi नेटवर्क डिझाइनचे पुनरावलोकन करा. प्रत्येक उपकरण श्रेणीसाठी एक SSID तयार करण्याऐवजी सपोर्ट असलेल्या ठिकाणी भूमिकेनुसार VLAN किंवा VRF असाइन करा. अतिरिक्त SSIDs मुळे बीकन ओव्हरहेड वाढतो आणि मेंटेन करण्यासाठी आणखी एक कॉन्फिगरेशन पृष्ठभाग जोडला जातो.

मर्यादित स्वरूपात अंमलबजावणी करा, नंतर त्रुटी तपासा

1. प्रत्येक ट्रस्ट बाउंड्रीवर किमान-अधिकार (Least-privilege) नियम लिहा. सोर्स रोल, डेस्टिनेशन सर्व्हिस, प्रोटोकॉल, पोर्ट, दिशा आणि बिझनेस ओनरचे नाव निश्चित करा. शॉर्टकट म्हणून ऑफर केलेल्या व्यापक सबनेट-टू-सबनेट परवानग्या नाकारा. एक काल्पनिक कॅमेरा पॉलिसी म्हणून, कॅमेरा रोलला TCP 443 वर आणि RTSP ला TCP 554 वर त्याच्या नियुक्त NVR पर्यंत पोहोचण्याची अनुमती द्या, इतर ईस्ट-वेस्ट सेशन्स नाकारा आणि नाकारलेल्यांची नोंद घ्या. आधी वास्तविक कॅमेरा ट्रान्सपोर्टची पडताळणी करा, कारण उत्पादनासाठी वेगवेगळे मीडिया प्रवाह आवश्यक असू शकतात.
   तपासा: केवळ VLAN असाइनमेंटच नाही, तर राऊटिंग, ॲडमिनिस्ट्रेटिव्ह ॲक्सेस आणि लोकल पिअर नियंत्रणे इच्छित पॉलिसीशी जुळतात याची पडताळणी करा.

2. डिव्हाइस क्लास टप्प्याटप्प्याने पुढे न्या. नाकारलेल्या ट्रॅफिकवर लक्ष ठेवा आणि ओनर योग्य ठरवू शकेल अशाच अवलंबितवांना (Dependencies) मंजुरी द्या. सिम्युलेटेड कॅमेरा तडजोड, मॅनेजमेंट प्लेनला नाकारलेला ॲक्सेस, DNS रिझोल्यूशन, सर्टिफिकेट नूतनीकरण, क्लाउड कनेक्टिव्हिटीचे नुकसान आणि व्हेंडर ॲक्सेसची समाप्ती यांची चाचणी घ्या.
   तपासा: यशस्वी व्यवसाय कार्यप्रवाह (Business workflows) आणि अयशस्वी प्रतिबंधित कनेक्शन या दोन्हीची पुष्टी करा.

CISA चे मायक्रोसेगमेंटेशन मार्गदर्शक तत्त्वे सावध करतात की सूक्ष्म सेगमेंटेशनमुळे लॅटरल मूव्हमेंटच्या संधी कमी होतात, परंतु डिझाइन आणि मेंटेनन्सची गुंतागुंत वाढते; तसेच जुनी किंवा IoT डिव्हाइसेस अत्याधुनिक नियंत्रणांना सपोर्ट करू शकत नाहीत. टीम हाताळू शकेल एवढीच सूक्ष्मता निवडा.

प्रोक्युअरमेंट आवश्यकता: कनेक्टिव्हिटी प्रतिबंधित असताना डिव्हाइसने काय केले पाहिजे हे निर्दिष्ट करा. कंटेनमेंटदरम्यान अनियंत्रित इंटरनेट ॲक्सेसवरील त्याचे अवलंबित्व शोधू नका.

स्वीकृती चाचणी ऐवजी नाही, तर लेखी बदल रेकॉर्डसह खालील वॉकथ्रू वापरा.

परमिसिव्ह नियम सक्रिय ठेवण्याऐवजी, मेंटेनन्स विंडोदरम्यान मागील कॉन्फिगरेशन रोलबॅक आर्टिफॅक्ट म्हणून उपलब्ध ठेवा. अपेक्षित ट्रॅफिक कार्य करण्यास सुरुवात झाल्यावर, अस्पष्ट नकार निरस्त झाल्यावर आणि तांत्रिक मालकाने साइन ऑफ केल्यानंतर रोलबॅक अवलंबित्व काढून टाका.

डंब डिव्हाइसेससाठी की आणि कॉम्पन्सेटिंग कंट्रोल्स

थर्मास्टॅट्स, टीव्ही, सवलत उपकरणे (concession equipment) आणि व्हेंडर-व्यवस्थापित बॉक्सेस कदाचित कधीही प्रमाणपत्र-आधारित प्रवेशास (certificate-based admission) सपोर्ट करणार नाहीत. काही केवळ WiFi की द्वारे ऑथेंटिकेट करू शकतात; तर काही केवळ MAC ॲड्रेस आणि विसंगत ट्रॅफिक प्रोफाइलपेक्षा अधिक काही प्रदान करत नाहीत.

इंडस्ट्रियल-IoT ट्रॅफिक फिंगरप्रिंटिंगवरील IEEE इंडस्ट्रियल इलेक्ट्रॉनिक्स सोसायटीचे सर्वेक्षण अज्ञात डिव्हाइसेस, बदलणारे वातावरण, मर्यादित सामान्यीकरण क्षमता आणि दुर्मीळ मूल्यांकन डेटा यांसारख्या अडचणी ओळखते. फिंगरप्रिंटला मूल्यांकनासाठीचा एक पुरावा माना, तुम्ही ज्याच्यावर अनिश्चित काळासाठी विश्वास ठेवू शकता अशी ओळख मानू नका.

VLAN, प्रति-डिव्हाइस की आणि मायक्रोसेगमेंटेशन

पद्धत	यासाठी सर्वोत्तम	हे काय थांबवते	याचे कशावर दुर्लक्ष होते
शेअर केलेला क्लास VLAN	त्याच डेस्टिनेशन्ससह डिव्हाईस क्लास	जेव्हा बाउंड्री रूल्स ते एन्फोर्स करतात, तेव्हा अनधिकृत गेस्ट आणि IT ॲक्सेस	VLAN च्या आत लॅटरल मूव्हमेंट
युनिक की आणि VLAN	अपार्टमेंट्स, कन्सेशन्स, रूम टिव्ही आणि टिल्स	लीक झालेली की ज्यामुळे संपूर्ण इमारतीचा ॲक्सेस मिळतो	झोन जोडणारा ड्युअल-होम बॉक्स
प्रोफाईल मायक्रोसेगमेंटेशन	क्लिनिकल आणि OT ताफे	भिन्न उपकरणांमधील अनधिकृत ईस्ट-वेस्ट ॲक्सेस	ज्या उपकरणांची विश्वासार्हपणे ओळख पटवता येत नाही अशी उपकरणे

सर्वात लहान व्यवस्थापनयोग्य क्रेडेंशियल स्कोप निवडा

सामायिक वर्ग VLAN तेव्हा योग्य ठरतो जेव्हा त्याच्या सदस्यांना एकाच गंतव्यस्थानांची आवश्यकता असते आणि पियर एक्सपोजर स्वीकार्य असते. हे अशा उपकरणांसाठी डीफॉल्ट होल्डिंग क्षेत्र नाही जे टीमने ओळखलेले नाहीत.

ज्या ठिकाणी सर्टिफिकेट्स व्यावहारिक नाहीत अशा ठिकाणी प्रत्येक डिव्हाइस, व्यक्ती किंवा भाडेकरूसाठी स्वतंत्र प्री-शेअर की (unique pre-shared key) वापरा. क्रेडेंशियल हे इच्छित पॉलिसी आणि सेगमेंटशी बाइंड करा आणि भूमिकेनुसार योग्य ती बँडविड्थ मर्यादा लागू करा. केवळ की-युनिकनेसमुळे आयसोलेशन तयार होत नाही; कंट्रोलर, स्विचिंग आणि फायरवॉल कॉन्फिगरेशनद्वारे या असाइनमेंटची अंमलबजावणी होणे आवश्यक आहे.

प्रती-डिव्हाइस IoT की व्यवस्थापनाचे तांत्रिक मूल्य हे लक्ष्यित रिव्होकेशन (रद्दीकरण) आहे. एखाद्या अयशस्वी कॅमेऱ्याच्या ऐवजी नवीन कॅमेरा बसवताना, त्याला नवीन क्रेडेंशियल मिळाले पाहिजे, कंत्राटदाराच्या नोंदींमध्ये राहू शकेल अशी कॉपी केलेली की वारशाने मिळण्याऐवजी.

पेमेंट उपकरणांसाठी, प्रोसेसर ऑनबोर्डिंगसह नेटवर्क आवश्यकतेचा ताळमेळ ठेवा. Sambapay चे मर्चंट सर्व्हिसेस प्रदाता निवडण्याबाबतचे मार्गदर्शक तत्त्वे उपयुक्त व्यावसायिक संदर्भ आहेत, परंतु नेटवर्क हँडओव्हरसाठी अजूनही स्पष्ट एंडपॉइंट आणि प्रोटोकॉल सूची आवश्यक आहे. पुरवठादाराच्या संबंधाचा अर्थ सरसकट इंटरनेटची परवानगी असा काढू नका.

आयडेंटिटी कमकुवत राहिल्यास भरपाई करणारे पर्याय वापरा

प्रोफाइल मायक्रोसेगमेंटेशन अशा उपकरणांसाठी योग्य आहे ज्यांचे कार्य, क्रिटिकॅलिटी आणि थ्रेट लेव्हल अधिक कडक विभक्ततेचे (tighter separation) समर्थन करतात. यासाठी मेंटेन केलेली प्रोफाईल्स, एक्सेप्शन हँडलिंग आणि वर्गीकरण बदलते तेव्हा सुरक्षित प्रतिसाद आवश्यक असतो.

ओळख-कमकुवत साधनांसाठी (identity-poor devices), एकाच सिग्नलवर विश्वास ठेवण्याऐवजी नियंत्रणे एकत्र करा:

• पॅसिव्हली शोधा: ॲक्टिव्ह प्रोबिंग सुरक्षित आहे असे गृहीत न धरता, घोषित केलेल्या डिव्हाइस रोलसोबत निरीक्षित वर्तनाची तुलना करा.
• गंतव्यस्थानांवर मर्यादा घाला: पुरवठादार किंवा स्थान-आधारित ॲडमिशन, मर्यादित गंतव्यसूची, प्रोटोकॉल ॲलोलिस्ट आणि DNS नियंत्रणांचा वापर करा.
• क्वारंटाइनची तयारी करा: डिव्हाइसला आवश्यक असलेल्या केवळ रिकव्हरी सेवा सुरक्षित ठेवणारे मर्यादित धोरण परिभाषित करा.
• रद्द करण्याचा सराव करा: डिसेबल केलेली की विद्यमान सत्र समाप्त करते असे गृहीत धरण्याऐवजी सत्र समाप्ती आणि पुनर्जोडणीसह मिनिटांमध्ये आयसोलेशन मोजा.

नोंदवलेल्या तारखेला कंत्राटदार अपवाद मुदत संपवा. मंजूर केलेल्या कामाच्या नंतर व्हेंडर ॲक्सेस बंद करा आणि नवीन कार्यासाठी पुन्हा मंजुरी आवश्यक आहे.

रेसिडेंट सेवांसाठी, mDNS केवळ रहिवाशांच्या खाजगी नेटवर्कमध्ये रिफ्लेक्ट करा. शेजारच्या अपार्टमेंट्स उघड न करता AirPlay डिस्कव्हरी त्या सीमेमध्ये कार्य केली पाहिजे. डिस्कव्हरी परवानग्या आणि वास्तविक मीडिया-सत्र परवानग्या अलाइन ठेवा.

मॉनिटरिंग, कंटेनमेंट आणि सामान्य त्रुटी

मासिक पुनरावलोकनाने केवळ हिरवे डॅशबोर्ड न दाखवता ऑपरेटर्स ज्यावर कारवाई करू शकतील असे पुरावे दिले पाहिजेत. CISA ची IoT डिव्हाइस जोखीम आणि कमी करण्याचे मार्गदर्शन महत्त्वपूर्ण नेटवर्कपासून IoT वेगळे करण्याची शिफारस करते आणि चेतावणी देते की सेगमेंट्समध्ये जोडलेली उपकरणे, किंवा रिमूव्हेबल मीडिया समाविष्ट असलेले धोरण गैर-अनुपालन सीमा कमकुवत करू शकते.

पाच मॉनिटरिंग उपाय आणि त्यांचे टिलेमेट्री

मोजमाप (Measure)	टेलिमेट्री स्रोत
असाइन केलेला झोन असलेल्या IoT ॲसेटचा वाटा	झोन मॅपशी जुळणारी ॲसेट इन्व्हेंटरी
स्पष्टपणे मंजूर केलेल्या इंटर-झोन फ्लोचा वाटा	झोन चार्टविरुद्ध तपासलेले फायरवॉल नियम एक्सपोर्ट
अनाधिकृत फ्लो ब्लॉक केले	झोननुसार लॉग संख्या नाकारा
डिव्हाइस किंवा की रद्द करण्याचा सरासरी वेळ	की किंवा NAC सिस्टममधील रिव्होकेशन टाइमस्टॅम्प्स
सरावात तपासालेली कंटेनमेंट	टेबलटॉप किंवा अटॅक-पाथ चाचणी रेकॉर्ड

प्रत्येक टक्क्यासाठी डिनॉमिनेटर परिभाषित करा. असाइन केलेल्या ॲसेटचे मोजमाप केवळ मंजूर रजिस्टरमध्ये नोंदवलेल्या डिव्हाइसेसऐवजी, शोधलेल्या IoT ॲसेटवर आधारित केले पाहिजे. अन्यथा, गहाळ इन्व्हेंटरीमुळे निकाल अधिक चांगला दिसून येतो.

ऑथेंटिकेशन अपयशे, नवीन दिसलेले MAC ॲड्रेसेस, आयडेंटिटी किंवा पेमेंट सर्व्हिसेसपर्यंत पोहोचण्याचे प्रयत्न आणि मंजूर केलेल्या पॅटर्नबाहेरील DNS विनंत्यांवरून तपासणीसाठी डेटा मिळवा. रोलमधील विसंगती ओळखण्यासाठी बँडविड्थ वापराचे मोजमाप वापरा, जसे की थर्मोस्टॅट क्रेडेंशियल अचानक सलग मोठा ट्रॅफिक वाहून नेणे. ट्रॅफिकमध्ये अचानक झालेली वाढ हे तपासणी करण्याचे एक कारण आहे, तडजोड झाल्याचा तो पुरावा नाही.

नाईट शिफ्टला कंटेनमेंट रनबुक द्या

1. क्वारंटाईन करा किंवा रद्द करा. एंडपॉईंट अलग करा आणि जिथे सपोर्ट असेल तिथे अस्तित्वात असलेला ॲक्सेस समाप्त करा. ते उपलब्ध असलेल्या दुसऱ्या क्रेडेंशियल अंतर्गत पुन्हा कनेक्ट होऊ शकत नाही याची खात्री करा.
2. ब्लॉकची पडताळणी करा. एन्फोर्समेंट लॉग तपासा आणि प्रतिबंधित पिअर्स, टिल्स आणि डोमेन कंट्रोलर्स विरुद्ध कनेक्शन चाचण्या पुन्हा करा. ऑब्झर्व्ह केलेल्या एन्फोर्समेंटशिवाय पॉलिसी मधील बदल म्हणजे क्लोजर नव्हे.
3. पर्यायी मार्ग शोधा. ड्युअल-होम केबलिंग, विसरलेले VPNs, सेल्युलर मॅनेजमेंट पाथ्स आणि रिमूव्हेबल-मीडिया कार्यपद्धती तपासा. नेटवर्क क्वारंटाईन स्वतंत्र कनेक्शन हटवत नाही.
4. नवीन आयडेंटिटीसह रिकव्हर करा. आवश्यकतेनुसार डिव्हाईस बदला किंवा रीइमेज करा, नवीन की जारी करा आणि कोणत्याही तात्पुरत्या अपवादाच्या मालकाची आणि वयाची नोंद ठेवा.
5. ॲटॅक-पाथ चाचणीची पुनरावृत्ती करा. जेव्हा डिपेंडेंसी किंवा टोपोलॉजी बदलली असण्याची शक्यता असते, तेव्हा संबंधित फर्मवेअर बदल, ॲक्विझिशन्स आणि साईट कटओव्हरनंतर पुन्हा चाचणी करा.

उच्च डिनाय काउंट (deny count) चांगले सेगमेंटेशन सिद्ध करत नाही. याचा अर्थ यशस्वी ब्लॉकिंग, तुटलेला ॲप्लिकेशन किंवा मालक नसलेला अपवाद असू शकतो.

पुन्हा पुन्हा होणाऱ्या त्रुटी त्यांच्या मूळ स्त्रोतावरच दुरुस्त करा

• शेअर केलेले WiFi क्रेडेंशियल्स: कॅमेरा पासवर्ड वितरीत करण्याऐवजी वैयक्तिकरित्या मागे घेण्यायोग्य की जारी करा.
• अनियंत्रित आऊटबाउंड इंटरनेट: ब्लँकेट ॲक्सेसच्या जागी डेस्टिनेशन आणि प्रोटोकॉल नियम लागू करा.
• लॅपटॉपसाठी IoT सेशन्स: अनधिकृत IoT-टू-वर्कस्टेशन मार्ग काढून टाका.
• कायमस्वरूपी कॉन्ट्रॅक्टर ॲक्सेस: मुदत समाप्तीची सक्ती करा आणि OT पोर्टवर अयोग्य उपकरणे नाकारणाऱ्या पोर्ट टेम्पलेट्सचा वापर करा.
• SSID स्प्राॅल: दुसरे उपकरण-विशिष्ट SSID ॲडव्हर्टाईज करण्याऐवजी डायनॅमिकली नेटवर्क रोल असाईन करा.
• जुने अपवाद: अपवाद-वय अहवालाचे आठवड्यातून एकदा पुनरावलोकन करा आणि उत्तरदायी मालकाशिवाय असलेल्या नोंदी बंद करा.

फक्त डिव्हाइस असलेल्या झोनसाठी हे स्वीकृती मानक (acceptance standard) वापरा: जर त्यातील एखादे अनधिकृत चाचणी डिव्हाइस पेमेंट इन्फ्रास्ट्रक्चर, आयडेंटिटी इन्फ्रास्ट्रक्चर किंवा दुसऱ्या भाडेकरूपर्यंत सेशन सुरू करू शकत असेल, तर तो सेगमेंट अयशस्वी झाला आहे. प्रयत्न केलेली सेवा आणि अंमलबजावणीचा पुरावा नोंदवून ठेवा जेणेकरून निकालाची पुनरावृत्ती करता येईल.

डिझाइन कॉपी करण्यापूर्वी एका साइटवर ते सिद्ध करा

या महिन्यात एक प्रॉपर्टी निवडा: हॉटेलचा मजला, क्लिनिकची विंग, कन्सेशन एरिया किंवा अपार्टमेंट ब्लॉक. त्या साइटची इन्व्हेंटरी करा, झोन चार्टमध्ये प्रत्येक डिव्हाइस क्लास असाइन करा आणि सर्वप्रथम कॅमेरे किंवा रूम उपकरणांचे मायग्रेशन करा. व्याप्ती पुरेशी लहान ठेवा जेणेकरून फॅसिलिटीज टीम केवळ नेटवर्क पोहोचण्यायोग्यतेचीच नाही, तर प्रत्यक्ष सेवेची पडताळणी करू शकेल.

पायलट स्वीकृती-आधारित (acceptance-based) बनवा

क्वारंटाइन केलेल्या कॅमेऱ्याचे कॅश काउंटर, ओळख सेवा आणि इतर भाडेकरूंसोबतचे प्रयत्न केलेले कनेक्शन अपयशी ठरण्याची आवश्यकता आहे. आयसोलेशनचा निर्णय आणि पडताळणी केलेली अंमलबजावणी यांमधील वेळेचे मोजमाप करा. पुढील प्रॉपर्टीसाठी टेम्पलेट म्हणून नियम संच, चाचणी परिणाम आणि तांत्रिक साइन-ऑफ Capture करा.

रोलआउट गेट: डिझाइनची कॉपी केवळ तेव्हाच करा जेव्हा दुसरा इंजिनियर परवानगी दिलेला वर्कफ्लो आणि ब्लॉक केलेला अटॅक पाथ या दोन्हीचे पुनरुत्पादन करू शकेल.

Purple ॲक्सेस तीन SSIDs सह त्या पॅटर्नला सपोर्ट करतो: पाहुणे आणि BYOD साठी ओपन, कर्मचारी आणि विश्वासू युझर्ससाठी सिक्युअर, आणि वस्तू, भाडेकरू आणि समुदायांसाठी xPSK. क्लाउड RADIUS योग्य नेटवर्क आणि VLAN असाईन करण्यासाठी आयडेंटिटीचा वापर करतो; स्वतःची VLAN आणि बँडविड्थ मर्यादेसह एक xPSK प्रति डिव्हाईस, व्यक्ती किंवा भाडेकरू युनिक असू शकते. प्लॅनर तुम्हाला आज काय कनेक्ट होते त्यावर टिक करू देतो आणि प्रत्येक गट कुठे पोहोचतो ते पाहू देतो, तर इस्टेट, साईट आणि ॲक्सेस-पॉइंट हेल्थ व्ह्यूज आणि ऑथेंटिकेशन दर ऑपरेटरना रोलआउटची तपासणी करण्यात मदत करतात.

हे फायरवॉल पॉलिसी किंवा कंटेनमेंट चाचणी न बदलता ॲडमिशन सोपे करते. तुमच्या वास्तविक मालमत्तेच्या आधारे डिझाइन सेशन बुक करा आणि पायलटची डिव्हाइस सूची, अवलंबित्वे आणि अयशस्वी अटॅक-पाथचे पुरावे सोबत आणा.

---

Purple Access आयडेंटिटी आधारित नेटवर्क असाइनमेंट, स्वतंत्रपणे स्कोप केलेले xPSKs आणि न जोडलेले ट्रस्ट झोन्स एकत्र न करता ॲक्सेस एकत्रित करण्यासाठी प्लॅनर ऑफर करते. तुमच्या प्रॉपर्टी प्रकारासाठी नेटवर्क-इंजिनियरच्या नेतृत्वाखालील डिझाइन सेशन बुक करण्यासाठी आणि स्पष्ट परवानगी दिलेले प्रवाह, रिव्होकेशन तपासण्या आणि कंटेनमेंट चाचण्यांसह पायलट परिभाषित करण्यासाठी Purple Access ला भेट द्या.