কিভাবে আপনার নেটওয়ার্ক পরিকাঠামো নিয়ন্ত্রণ নিতে. তৃতীয় অধ্যায়. নেটওয়ার্ক নিরাপত্তা। তৃতীয় অংশ

এই নিবন্ধটি "কিভাবে আপনার নেটওয়ার্ক পরিকাঠামো নিয়ন্ত্রণ করতে হবে" সিরিজের পঞ্চম। সিরিজের সমস্ত নিবন্ধের বিষয়বস্তু এবং লিঙ্কগুলি পাওয়া যাবে এখানে.

এই অংশটি ক্যাম্পাস (অফিস) এবং দূরবর্তী অ্যাক্সেস VPN বিভাগে নিবেদিত হবে।

অফিস নেটওয়ার্ক ডিজাইন সহজ মনে হতে পারে।

প্রকৃতপক্ষে, আমরা L2/L3 সুইচ নিই এবং একে অপরের সাথে সংযুক্ত করি। এর পরে, আমরা ভিলান এবং ডিফল্ট গেটওয়েগুলির একটি প্রাথমিক সেটআপ করি, সাধারণ রাউটিং সেট আপ করি, ওয়াইফাই কন্ট্রোলার সংযোগ করি, অ্যাক্সেস পয়েন্ট করি, দূরবর্তী অ্যাক্সেসের জন্য ASA ইনস্টল এবং কনফিগার করি, আমরা আনন্দিত যে সবকিছু কাজ করেছে। মূলত, আমি ইতিমধ্যে আগের এক লিখেছেন হিসাবে নিবন্ধ এই চক্রের, প্রায় প্রত্যেক ছাত্র যারা একটি টেলিকম কোর্সের দুটি সেমিস্টারে অংশ নিয়েছে (এবং শিখেছে) তারা একটি অফিস নেটওয়ার্ক ডিজাইন এবং কনফিগার করতে পারে যাতে এটি "কোনওভাবে কাজ করে।"

তবে আপনি যত বেশি শিখবেন, এই কাজটি তত কম সহজ বলে মনে হতে শুরু করবে। আমার জন্য ব্যক্তিগতভাবে, এই বিষয়টি, অফিস নেটওয়ার্ক ডিজাইনের বিষয়, মোটেও সহজ বলে মনে হয় না এবং এই নিবন্ধে আমি কেন ব্যাখ্যা করার চেষ্টা করব।

সংক্ষেপে, বিবেচনা করার জন্য বেশ কয়েকটি কারণ রয়েছে। প্রায়শই এই কারণগুলি একে অপরের সাথে দ্বন্দ্বে থাকে এবং একটি যুক্তিসঙ্গত আপস চাওয়া হয়।
এই অনিশ্চয়তাই প্রধান অসুবিধা। সুতরাং, নিরাপত্তা সম্পর্কে বলতে গেলে, আমাদের তিনটি শীর্ষবিন্দু সহ একটি ত্রিভুজ রয়েছে: নিরাপত্তা, কর্মীদের জন্য সুবিধা, সমাধানের মূল্য।
এবং প্রতিবার আপনাকে এই তিনজনের মধ্যে একটি সমঝোতার সন্ধান করতে হবে।

স্থাপত্য

এই দুটি বিভাগের জন্য একটি স্থাপত্যের উদাহরণ হিসাবে, পূর্ববর্তী নিবন্ধগুলির মতো, আমি সুপারিশ করছি সিসকো সেফ মডেল: এন্টারপ্রাইজ ক্যাম্পাস, এন্টারপ্রাইজ ইন্টারনেট এজ.

এগুলো কিছুটা সেকেলে নথি। আমি সেগুলি এখানে উপস্থাপন করছি কারণ মৌলিক স্কিম এবং পদ্ধতির পরিবর্তন হয়নি, তবে একই সাথে আমি উপস্থাপনার চেয়ে বেশি পছন্দ করি নতুন ডকুমেন্টেশন.

Cisco সমাধানগুলি ব্যবহার করার জন্য আপনাকে উত্সাহিত না করে, আমি এখনও মনে করি এই নকশাটি যত্ন সহকারে অধ্যয়ন করা দরকারী।

এই নিবন্ধটি, যথারীতি, কোনভাবেই সম্পূর্ণ হওয়ার ভান করে না, বরং এই তথ্যের একটি সংযোজন।

নিবন্ধের শেষে, আমরা এখানে বর্ণিত ধারণার পরিপ্রেক্ষিতে Cisco SAFE অফিসের নকশা বিশ্লেষণ করব।

সাধারণ নীতি

অফিস নেটওয়ার্কের নকশা অবশ্যই, আলোচনা করা হয়েছে এমন সাধারণ প্রয়োজনীয়তাগুলি পূরণ করতে হবে এখানে অধ্যায়ে "নকশা গুণমান মূল্যায়নের জন্য মানদণ্ড"। মূল্য এবং নিরাপত্তা ছাড়াও, যা আমরা এই নিবন্ধে আলোচনা করতে চাই, এখনও তিনটি মানদণ্ড রয়েছে যা ডিজাইন করার সময় আমাদের অবশ্যই বিবেচনা করতে হবে (বা পরিবর্তন করতে):

• মাপযোগ্যতা
• পরিচালনার সহজতা
• উপস্থিতি

কি জন্য আলোচনা করা হয়েছে অনেক তথ্যকেন্দ্রগুলো এটি অফিসের জন্যও সত্য।

কিন্তু তবুও, অফিস বিভাগের নিজস্ব সুনির্দিষ্ট বৈশিষ্ট্য রয়েছে, যা নিরাপত্তার দৃষ্টিকোণ থেকে সমালোচনামূলক। এই নির্দিষ্টতার সারমর্ম হল যে এই বিভাগটি কোম্পানির কর্মীদের (সেইসাথে অংশীদার এবং অতিথিদের) নেটওয়ার্ক পরিষেবা প্রদানের জন্য তৈরি করা হয়েছে, এবং ফলস্বরূপ, সমস্যাটির বিবেচনার সর্বোচ্চ স্তরে আমাদের দুটি কাজ রয়েছে:

• কর্মীদের (অতিথি, অংশীদার) এবং তাদের ব্যবহার করা সফ্টওয়্যার থেকে আসা দূষিত ক্রিয়া থেকে কোম্পানির সংস্থানগুলিকে রক্ষা করুন। এটি নেটওয়ার্কে অননুমোদিত সংযোগের বিরুদ্ধে সুরক্ষাও অন্তর্ভুক্ত করে৷
• সিস্টেম এবং ব্যবহারকারীর ডেটা রক্ষা করুন

এবং এটি সমস্যার শুধুমাত্র একটি দিক (বা বরং, ত্রিভুজের একটি শীর্ষবিন্দু)। অন্যদিকে ব্যবহারকারীর সুবিধা এবং ব্যবহৃত সমাধানের দাম।

একটি আধুনিক অফিস নেটওয়ার্ক থেকে একজন ব্যবহারকারী কী প্রত্যাশা করে তা দেখে শুরু করা যাক।

সুবিধা

আমার মতে একজন অফিস ব্যবহারকারীর জন্য "নেটওয়ার্ক সুবিধাগুলি" কেমন দেখায় তা এখানে:

• গতিশীলতা
• পরিচিত ডিভাইস এবং অপারেটিং সিস্টেমের সম্পূর্ণ পরিসর ব্যবহার করার ক্ষমতা
• সমস্ত প্রয়োজনীয় কোম্পানির সংস্থানগুলিতে সহজ অ্যাক্সেস
• বিভিন্ন ক্লাউড পরিষেবা সহ ইন্টারনেট সংস্থানগুলির প্রাপ্যতা
• নেটওয়ার্কের "দ্রুত অপারেশন"

এই সমস্ত কর্মচারী এবং অতিথি (বা অংশীদার) উভয়ের ক্ষেত্রেই প্রযোজ্য, এবং অনুমোদনের ভিত্তিতে বিভিন্ন ব্যবহারকারী গোষ্ঠীর জন্য অ্যাক্সেসকে আলাদা করা কোম্পানির ইঞ্জিনিয়ারদের কাজ।

আসুন একটু বিস্তারিতভাবে এই দিকগুলির প্রতিটির দিকে তাকাই।

গতিশীলতা

আমরা বিশ্বের যে কোনও জায়গা থেকে (অবশ্যই, যেখানে ইন্টারনেট উপলব্ধ) কাজ করার এবং সমস্ত প্রয়োজনীয় সংস্থার সংস্থানগুলি ব্যবহার করার সুযোগ সম্পর্কে কথা বলছি।

এটি অফিসের ক্ষেত্রে সম্পূর্ণ প্রযোজ্য। এটি সুবিধাজনক যখন আপনার কাছে অফিসের যেকোনো জায়গা থেকে কাজ চালিয়ে যাওয়ার সুযোগ থাকে, উদাহরণস্বরূপ, মেল গ্রহণ করা, একটি কর্পোরেট মেসেঞ্জারে যোগাযোগ করা, একটি ভিডিও কলের জন্য উপলব্ধ থাকা, ... এইভাবে, এটি আপনাকে একদিকে অনুমতি দেয়, কিছু সমস্যা "লাইভ" যোগাযোগের সমাধান করতে (উদাহরণস্বরূপ, সমাবেশে অংশগ্রহণ করুন), এবং অন্যদিকে, সর্বদা অনলাইন থাকুন, আপনার আঙুলটি নাড়িতে রাখুন এবং কিছু জরুরি উচ্চ-অগ্রাধিকারমূলক কাজ দ্রুত সমাধান করুন। এটি খুব সুবিধাজনক এবং সত্যিই যোগাযোগের মান উন্নত করে।

এটি সঠিক ওয়াইফাই নেটওয়ার্ক ডিজাইন দ্বারা অর্জন করা হয়।

মন্তব্য

এখানে সাধারণত প্রশ্ন ওঠে: শুধুমাত্র ওয়াইফাই ব্যবহার করা কি যথেষ্ট? এর মানে কি আপনি অফিসে ইথারনেট পোর্ট ব্যবহার করা বন্ধ করতে পারেন? যদি আমরা শুধুমাত্র ব্যবহারকারীদের সম্পর্কে কথা বলি, এবং সার্ভার সম্পর্কে নয়, যা এখনও একটি নিয়মিত ইথারনেট পোর্টের সাথে সংযোগ করার জন্য যুক্তিসঙ্গত, তাহলে সাধারণভাবে উত্তর হল: হ্যাঁ, আপনি নিজেকে শুধুমাত্র ওয়াইফাইতে সীমাবদ্ধ করতে পারেন। কিন্তু সূক্ষ্মতা আছে.

Есть важные группы пользователей, к которым требуется отдельный подход. Это, конечно же, администраторы. В принципе, WiFi подключение является менее надежным (с точки зрения потери трафика) и менее скоростным, чем обычный Ethernet порт. Это может быть существенно для администраторов. К тому же у сетевых администраторов, например, в принципе может быть своя выделенная Ethernet сеть для out-of-band подключения.

আপনার কোম্পানিতে অন্যান্য গোষ্ঠী/বিভাগ থাকতে পারে যার জন্য এই বিষয়গুলিও গুরুত্বপূর্ণ।

আরেকটি গুরুত্বপূর্ণ বিষয় আছে - টেলিফোনি। সম্ভবত কিছু কারণে আপনি ওয়্যারলেস ভিওআইপি ব্যবহার করতে চান না এবং নিয়মিত ইথারনেট সংযোগ সহ আইপি ফোন ব্যবহার করতে চান।

সাধারণভাবে, আমি যে কোম্পানিগুলির জন্য কাজ করেছি তাদের সাধারণত WiFi সংযোগ এবং একটি ইথারনেট পোর্ট উভয়ই ছিল৷

আমি চাই গতিশীলতা যেন শুধু অফিসে সীমাবদ্ধ না থাকে।

বাড়ি থেকে কাজ করার ক্ষমতা নিশ্চিত করতে (অথবা অ্যাক্সেসযোগ্য ইন্টারনেট সহ অন্য কোনও জায়গায়), একটি VPN সংযোগ ব্যবহার করা হয়। একই সময়ে, এটি বাঞ্ছনীয় যে কর্মীরা বাড়ি থেকে কাজ করা এবং দূরবর্তী কাজের মধ্যে পার্থক্য অনুভব করবেন না, যা একই অ্যাক্সেস অনুমান করে। আমরা "ইউনিফাইড সেন্ট্রালাইজড অথেনটিকেশন অ্যান্ড অথরাইজেশন সিস্টেম" অধ্যায়ে একটু পরে এটি কীভাবে সংগঠিত করব তা নিয়ে আলোচনা করব।

মন্তব্য

খুব সম্ভবত, আপনি অফিসে থাকা দূরবর্তী কাজের জন্য একই মানের পরিষেবা সম্পূর্ণরূপে প্রদান করতে পারবেন না। ধরুন আপনি আপনার VPN গেটওয়ে হিসাবে একটি Cisco ASA 5520 ব্যবহার করছেন। ডাটা শীট এই ডিভাইসটি শুধুমাত্র 225 Mbit VPN ট্র্যাফিক "হজম" করতে সক্ষম। এটি অবশ্যই, ব্যান্ডউইথের পরিপ্রেক্ষিতে, VPN এর মাধ্যমে সংযোগ করা অফিস থেকে কাজ করার থেকে খুব আলাদা। এছাড়াও, যদি, কোনো কারণে, আপনার নেটওয়ার্ক পরিষেবাগুলির জন্য দেরি, ক্ষতি, ঝাঁকুনি (উদাহরণস্বরূপ, আপনি অফিস আইপি টেলিফোনি ব্যবহার করতে চান) তাৎপর্যপূর্ণ হয়, আপনি অফিসে থাকাকালীন একই গুণমান পাবেন না। অতএব, গতিশীলতা সম্পর্কে কথা বলার সময়, আমাদের অবশ্যই সম্ভাব্য সীমাবদ্ধতা সম্পর্কে সচেতন হতে হবে।

সমস্ত কোম্পানির সংস্থানগুলিতে সহজ অ্যাক্সেস

এই কাজটি অন্যান্য প্রযুক্তিগত বিভাগের সাথে যৌথভাবে সমাধান করা উচিত।
আদর্শ পরিস্থিতি হল যখন ব্যবহারকারীকে শুধুমাত্র একবার প্রমাণীকরণ করতে হবে, এবং তার পরে তার সমস্ত প্রয়োজনীয় সংস্থানগুলিতে অ্যাক্সেস থাকে।
নিরাপত্তা ত্যাগ না করে সহজে প্রবেশাধিকার প্রদান করলে তা উল্লেখযোগ্যভাবে উৎপাদনশীলতা উন্নত করতে পারে এবং আপনার সহকর্মীদের মধ্যে চাপ কমাতে পারে।

মন্তব্য 1

অ্যাক্সেসের সহজতা কেবলমাত্র আপনাকে কতবার পাসওয়ার্ড লিখতে হবে তা নয়। যদি, উদাহরণস্বরূপ, আপনার সুরক্ষা নীতি অনুসারে, অফিস থেকে ডেটা সেন্টারে সংযোগ করার জন্য, আপনাকে প্রথমে ভিপিএন গেটওয়ের সাথে সংযোগ করতে হবে এবং একই সাথে আপনি অফিসের সংস্থানগুলিতে অ্যাক্সেস হারাবেন, তবে এটিও খুব , খুব অসুবিধাজনক।

মন্তব্য 2

এমন পরিষেবা রয়েছে (উদাহরণস্বরূপ, নেটওয়ার্ক সরঞ্জামগুলিতে অ্যাক্সেস) যেখানে আমাদের সাধারণত আমাদের নিজস্ব ডেডিকেটেড AAA সার্ভার থাকে এবং এই ক্ষেত্রে আমাদের বেশ কয়েকবার প্রমাণীকরণ করতে হয়।

ইন্টারনেট সম্পদের প্রাপ্যতা

ইন্টারনেট শুধুমাত্র বিনোদন নয়, কাজের জন্য খুবই উপযোগী হতে পারে এমন একগুচ্ছ পরিষেবাও। এছাড়াও বিশুদ্ধভাবে মনস্তাত্ত্বিক কারণ আছে. একজন আধুনিক ব্যক্তি অনেক ভার্চুয়াল থ্রেডের মাধ্যমে ইন্টারনেটের মাধ্যমে অন্যান্য লোকেদের সাথে সংযুক্ত থাকে এবং আমার মতে, কাজ করার সময়ও যদি তিনি এই সংযোগটি অনুভব করতে থাকেন তবে এতে কিছু ভুল নেই।

সময় নষ্ট করার দৃষ্টিকোণ থেকে, কোনও কর্মচারী, উদাহরণস্বরূপ, স্কাইপ চালালে এবং প্রয়োজনে প্রিয়জনের সাথে যোগাযোগের জন্য 5 মিনিট ব্যয় করলে কোনও ভুল নেই।

এর মানে কি এই যে ইন্টারনেট সর্বদা উপলব্ধ হওয়া উচিত, এর মানে কি কর্মচারীদের সমস্ত সংস্থানগুলিতে অ্যাক্সেস থাকতে পারে এবং সেগুলিকে কোনওভাবেই নিয়ন্ত্রণ করতে পারে না?

না এর মানে এই নয় যে, অবশ্যই। ইন্টারনেটের উন্মুক্ততার মাত্রা বিভিন্ন কোম্পানির জন্য পরিবর্তিত হতে পারে - সম্পূর্ণ বন্ধ থেকে সম্পূর্ণ খোলামেলা পর্যন্ত। আমরা নিরাপত্তা ব্যবস্থার বিভাগগুলিতে পরে ট্রাফিক নিয়ন্ত্রণের উপায়গুলি নিয়ে আলোচনা করব৷

পরিচিত ডিভাইসের সম্পূর্ণ পরিসর ব্যবহার করার ক্ষমতা

এটি সুবিধাজনক যখন, উদাহরণস্বরূপ, আপনি কর্মক্ষেত্রে অভ্যস্ত যোগাযোগের সমস্ত মাধ্যম ব্যবহার চালিয়ে যাওয়ার সুযোগ পান। প্রযুক্তিগতভাবে এটি বাস্তবায়নে কোন অসুবিধা নেই। এর জন্য আপনার WiFi এবং একটি অতিথি উইলান প্রয়োজন।

আপনার অভ্যস্ত অপারেটিং সিস্টেমটি ব্যবহার করার সুযোগ থাকলে এটিও ভাল। কিন্তু, আমার পর্যবেক্ষণে, এটি সাধারণত শুধুমাত্র ম্যানেজার, অ্যাডমিনিস্ট্রেটর এবং ডেভেলপারদের জন্য অনুমোদিত।

উদাহরণ

আপনি অবশ্যই, নিষেধাজ্ঞার পথ অনুসরণ করতে পারেন, দূরবর্তী অ্যাক্সেস নিষিদ্ধ করতে পারেন, মোবাইল ডিভাইস থেকে সংযোগ নিষিদ্ধ করতে পারেন, স্ট্যাটিক ইথারনেট সংযোগে সবকিছু সীমিত করতে পারেন, ইন্টারনেটে অ্যাক্সেস সীমিত করতে পারেন, চেকপয়েন্টে সেল ফোন এবং গ্যাজেটগুলি বাধ্যতামূলকভাবে বাজেয়াপ্ত করতে পারেন... এবং এই পথ প্রকৃতপক্ষে কিছু সংস্থার দ্বারা বর্ধিত নিরাপত্তা প্রয়োজনীয়তাগুলি অনুসরণ করা হয়, এবং সম্ভবত কিছু ক্ষেত্রে এটি ন্যায়সঙ্গত হতে পারে, কিন্তু... আপনাকে অবশ্যই একমত হতে হবে যে এটি একটি একক সংস্থার অগ্রগতি বন্ধ করার চেষ্টা বলে মনে হচ্ছে৷ অবশ্যই, আমি সেই সুযোগগুলিকে একত্রিত করতে চাই যা আধুনিক প্রযুক্তিগুলি পর্যাপ্ত স্তরের নিরাপত্তা প্রদান করে।

নেটওয়ার্কের "দ্রুত অপারেশন"

তথ্য স্থানান্তর গতি প্রযুক্তিগতভাবে অনেক কারণ নিয়ে গঠিত। এবং আপনার সংযোগ পোর্টের গতি সাধারণত সবচেয়ে গুরুত্বপূর্ণ নয়। একটি অ্যাপ্লিকেশনের ধীর অপারেশন সবসময় নেটওয়ার্ক সমস্যার সাথে যুক্ত হয় না, কিন্তু আপাতত আমরা শুধুমাত্র নেটওয়ার্ক অংশে আগ্রহী। স্থানীয় নেটওয়ার্ক "স্লোডাউন" এর সাথে সবচেয়ে সাধারণ সমস্যাটি প্যাকেটের ক্ষতির সাথে সম্পর্কিত। এটি সাধারণত ঘটে যখন কোনও বাধা বা L1 (OSI) সমস্যা থাকে। খুব কমই, কিছু ডিজাইনের সাথে (উদাহরণস্বরূপ, যখন আপনার সাবনেটে ডিফল্ট গেটওয়ে হিসাবে একটি ফায়ারওয়াল থাকে এবং এইভাবে সমস্ত ট্র্যাফিক এটির মধ্য দিয়ে যায়), হার্ডওয়্যার কর্মক্ষমতার অভাব হতে পারে।

অতএব, সরঞ্জাম এবং আর্কিটেকচার নির্বাচন করার সময়, আপনাকে শেষ পোর্ট, ট্রাঙ্ক এবং সরঞ্জামের কার্যকারিতার গতির সাথে সম্পর্কযুক্ত করতে হবে।

উদাহরণ

ধরুন আপনি অ্যাক্সেস লেয়ার সুইচ হিসাবে 1 গিগাবিট পোর্ট সহ সুইচগুলি ব্যবহার করছেন। তারা ইথারচ্যানেল 2 x 10 গিগাবিটের মাধ্যমে একে অপরের সাথে সংযুক্ত। একটি ডিফল্ট গেটওয়ে হিসাবে, আপনি গিগাবিট পোর্ট সহ একটি ফায়ারওয়াল ব্যবহার করেন, যেটি L2 অফিস নেটওয়ার্কের সাথে সংযোগ করতে আপনি 2 গিগাবিট পোর্টগুলিকে একটি ইথারচ্যানেলে একত্রিত করে ব্যবহার করেন৷

এই আর্কিটেকচারটি কার্যকারিতার দৃষ্টিকোণ থেকে বেশ সুবিধাজনক, কারণ... সমস্ত ট্র্যাফিক ফায়ারওয়ালের মধ্য দিয়ে যায়, এবং আপনি আরামদায়কভাবে অ্যাক্সেস নীতিগুলি পরিচালনা করতে পারেন, এবং ট্র্যাফিক নিয়ন্ত্রণ করতে এবং সম্ভাব্য আক্রমণগুলি প্রতিরোধ করতে জটিল অ্যালগরিদম প্রয়োগ করতে পারেন (নীচে দেখুন), তবে একটি থ্রুপুট এবং কার্যক্ষমতার দৃষ্টিকোণ থেকে এই নকশাটিতে অবশ্যই সম্ভাব্য সমস্যা রয়েছে। সুতরাং, উদাহরণস্বরূপ, 2টি হোস্ট ডাটা ডাউনলোড করে (1 গিগাবিটের পোর্ট স্পিড সহ) ফায়ারওয়ালের সাথে একটি 2 গিগাবিট সংযোগ সম্পূর্ণরূপে লোড করতে পারে এবং এইভাবে পুরো অফিস বিভাগের জন্য পরিষেবার অবনতি ঘটাতে পারে৷

আমরা ত্রিভুজের একটি শীর্ষবিন্দু দেখেছি, এখন দেখা যাক কিভাবে আমরা নিরাপত্তা নিশ্চিত করতে পারি।

প্রতিকার

সুতরাং, অবশ্যই, সাধারণত আমাদের ইচ্ছা (বা বরং, আমাদের পরিচালনার ইচ্ছা) হল অসম্ভব অর্জন করা, যথা, সর্বাধিক নিরাপত্তা এবং সর্বনিম্ন খরচ সহ সর্বাধিক সুবিধা প্রদান করা।

আসুন আমরা সুরক্ষা প্রদান করতে কি পদ্ধতি আছে তা দেখুন.

অফিসের জন্য, আমি নিম্নলিখিত হাইলাইট করব:

• ডিজাইনে শূন্য বিশ্বাসের পদ্ধতি
• উচ্চ স্তরের সুরক্ষা
• নেটওয়ার্ক দৃশ্যমানতা
• একীভূত কেন্দ্রীভূত প্রমাণীকরণ এবং অনুমোদন ব্যবস্থা
• হোস্ট চেকিং

এর পরে, আমরা এই প্রতিটি দিক সম্পর্কে একটু বিস্তারিতভাবে আলোচনা করব।

জিরো ট্রাস্ট

আইটি জগত খুব দ্রুত বদলে যাচ্ছে। মাত্র গত 10 বছরে, নতুন প্রযুক্তি এবং পণ্যগুলির উত্থান নিরাপত্তা ধারণাগুলির একটি বড় সংশোধনের দিকে পরিচালিত করেছে। দশ বছর আগে, নিরাপত্তার দৃষ্টিকোণ থেকে, আমরা নেটওয়ার্কটিকে বিশ্বাস, dmz এবং অবিশ্বাস অঞ্চলে ভাগ করেছিলাম এবং তথাকথিত "পেরিমিটার সুরক্ষা" ব্যবহার করেছিলাম, যেখানে প্রতিরক্ষার 2টি লাইন ছিল: অবিশ্বাস -> dmz এবং dmz -> বিশ্বাস এছাড়াও, সুরক্ষা সাধারণত L3/L4 (OSI) হেডার (IP, TCP/UDP পোর্ট, TCP পতাকা) এর উপর ভিত্তি করে অ্যাক্সেস তালিকার মধ্যে সীমাবদ্ধ ছিল। L7 সহ উচ্চ স্তরের সাথে সম্পর্কিত সবকিছুই শেষ হোস্টগুলিতে ইনস্টল করা OS এবং সুরক্ষা পণ্যগুলিতে ছেড়ে দেওয়া হয়েছিল।

এখন পরিস্থিতি নাটকীয়ভাবে পরিবর্তিত হয়েছে। আধুনিক ধারণা শূন্য ভরসা এই সত্য থেকে আসে যে অভ্যন্তরীণ সিস্টেমগুলিকে বিবেচনা করা আর সম্ভব নয়, অর্থাৎ, ঘেরের ভিতরে থাকাগুলিকে বিশ্বস্ত হিসাবে বিবেচনা করা, এবং ঘেরের ধারণাটি নিজেই ঝাপসা হয়ে গেছে।
ইন্টারনেট সংযোগ ছাড়াও আমাদের রয়েছে

• দূরবর্তী অ্যাক্সেস VPN ব্যবহারকারীদের
• বিভিন্ন ব্যক্তিগত গ্যাজেট, ল্যাপটপ নিয়ে আসা, অফিস ওয়াইফাই এর মাধ্যমে সংযুক্ত
• অন্যান্য (শাখা) অফিস
• ক্লাউড অবকাঠামোর সাথে একীকরণ

জিরো ট্রাস্ট পদ্ধতিটি অনুশীলনে কেমন দেখায়?

আদর্শভাবে, শুধুমাত্র প্রয়োজনীয় ট্রাফিকের অনুমতি দেওয়া উচিত এবং, যদি আমরা একটি আদর্শের কথা বলি, তাহলে নিয়ন্ত্রণ শুধুমাত্র L3/L4 স্তরে নয়, কিন্তু প্রয়োগ স্তরে হওয়া উচিত।

উদাহরণস্বরূপ, যদি আপনার কাছে ফায়ারওয়ালের মাধ্যমে সমস্ত ট্র্যাফিক পাস করার ক্ষমতা থাকে তবে আপনি আদর্শের কাছাকাছি যাওয়ার চেষ্টা করতে পারেন। কিন্তু এই পদ্ধতিটি আপনার নেটওয়ার্কের মোট ব্যান্ডউইথকে উল্লেখযোগ্যভাবে হ্রাস করতে পারে এবং পাশাপাশি, অ্যাপ্লিকেশন দ্বারা ফিল্টারিং সবসময় ভাল কাজ করে না।

একটি রাউটার বা L3 সুইচ (স্ট্যান্ডার্ড ACL ব্যবহার করে) ট্রাফিক নিয়ন্ত্রণ করার সময়, আপনি অন্যান্য সমস্যার সম্মুখীন হন:

• এটি শুধুমাত্র L3/L4 ফিল্টারিং। আক্রমণকারীকে তাদের অ্যাপ্লিকেশনের জন্য অনুমোদিত পোর্ট (যেমন TCP 80) ব্যবহার করা থেকে বিরত রাখার কিছু নেই (http নয়)
• জটিল ACL ব্যবস্থাপনা (ACL পার্স করা কঠিন)
• এটি একটি স্টেটফুল ফায়ারওয়াল নয়, যার অর্থ আপনাকে স্পষ্টভাবে বিপরীত ট্র্যাফিকের অনুমতি দিতে হবে
• সুইচের সাহায্যে আপনি সাধারণত টিসিএএম-এর আকার দ্বারা বেশ শক্তভাবে সীমাবদ্ধ থাকেন, আপনি যদি "শুধু আপনার যা প্রয়োজন তা অনুমোদন করেন" পদ্ধতিটি গ্রহণ করলে এটি দ্রুত একটি সমস্যা হয়ে উঠতে পারে

মন্তব্য

বিপরীত ট্র্যাফিক সম্পর্কে কথা বলতে, আমাদের অবশ্যই মনে রাখতে হবে যে আমাদের নিম্নলিখিত সুযোগ রয়েছে (সিসকো)

অনুমতি টিসিপি যে কোনো প্রতিষ্ঠিত

কিন্তু আপনাকে বুঝতে হবে যে এই লাইনটি দুটি লাইনের সমতুল্য:
অনুমতি tcp কোনো ack
অনুমতি টিসিপি যে কোনো প্রথম

যার মানে হল যে SYN পতাকার সাথে কোনো প্রাথমিক TCP সেগমেন্ট না থাকলেও (অর্থাৎ, TCP সেশন এমনকি প্রতিষ্ঠা করা শুরু হয়নি), এই ACL ACK পতাকা সহ একটি প্যাকেটের অনুমতি দেবে, যা একজন আক্রমণকারী ডেটা স্থানান্তর করতে ব্যবহার করতে পারে।

অর্থাৎ, এই লাইনটি কোনোভাবেই আপনার রাউটার বা L3 সুইচকে স্টেটফুল ফায়ারওয়ালে পরিণত করবে না।

উচ্চ স্তরের সুরক্ষা

В প্রবন্ধ ডেটা সেন্টারের বিভাগে, আমরা নিম্নলিখিত সুরক্ষা পদ্ধতিগুলি বিবেচনা করেছি।

• রাষ্ট্রীয় ফায়ারওয়ালিং (ডিফল্ট)
• ddos/dos সুরক্ষা
• অ্যাপ্লিকেশন ফায়ারওয়ালিং
• হুমকি প্রতিরোধ (অ্যান্টিভাইরাস, অ্যান্টি-স্পাইওয়্যার, এবং দুর্বলতা)
• ইউআরএল ফিল্টারিং
• ডেটা ফিল্টারিং (কন্টেন্ট ফিল্টারিং)
• ফাইল ব্লকিং (ফাইলের প্রকার ব্লকিং)

একটি অফিসের ক্ষেত্রে, পরিস্থিতি একই রকম, তবে অগ্রাধিকারগুলি কিছুটা আলাদা। অফিসের প্রাপ্যতা (উপলব্ধতা) সাধারণত ডেটা সেন্টারের ক্ষেত্রে ততটা গুরুত্বপূর্ণ নয়, যখন "অভ্যন্তরীণ" দূষিত ট্র্যাফিকের সম্ভাবনা বেশি মাত্রার অর্ডার।
অতএব, এই বিভাগের জন্য নিম্নলিখিত সুরক্ষা পদ্ধতিগুলি গুরুত্বপূর্ণ হয়ে উঠেছে:

• অ্যাপ্লিকেশন ফায়ারওয়ালিং
• হুমকি প্রতিরোধ (অ্যান্টি-ভাইরাস, অ্যান্টি-স্পাইওয়্যার, এবং দুর্বলতা)
• ইউআরএল ফিল্টারিং
• ডেটা ফিল্টারিং (কন্টেন্ট ফিল্টারিং)
• ফাইল ব্লকিং (ফাইলের প্রকার ব্লকিং)

যদিও এই সমস্ত সুরক্ষা পদ্ধতি, অ্যাপ্লিকেশন ফায়ারওয়ালিং ব্যতীত, ঐতিহ্যগতভাবে শেষ হোস্টে (উদাহরণস্বরূপ, অ্যান্টিভাইরাস প্রোগ্রাম ইনস্টল করে) এবং প্রক্সি ব্যবহার করে সমাধান করা হয়েছে, আধুনিক NGFWs এই পরিষেবাগুলিও প্রদান করে।

নিরাপত্তা সরঞ্জাম বিক্রেতারা ব্যাপক সুরক্ষা তৈরি করার চেষ্টা করে, তাই স্থানীয় সুরক্ষার পাশাপাশি, তারা হোস্টের জন্য বিভিন্ন ক্লাউড প্রযুক্তি এবং ক্লায়েন্ট সফ্টওয়্যার অফার করে (এন্ড পয়েন্ট সুরক্ষা/ইপিপি)। সুতরাং, উদাহরণস্বরূপ, থেকে 2018 গার্টনার ম্যাজিক কোয়াড্রেন্ট আমরা দেখি যে Palo Alto এবং Cisco-এর নিজস্ব EPPs আছে (PA: Traps, Cisco: AMP), কিন্তু নেতাদের থেকে অনেক দূরে।

আপনার ফায়ারওয়ালে এই সুরক্ষাগুলি সক্ষম করা (সাধারণত লাইসেন্স কেনার মাধ্যমে) অবশ্যই বাধ্যতামূলক নয় (আপনি ঐতিহ্যবাহী রুটে যেতে পারেন), তবে এটি কিছু সুবিধা প্রদান করে:

• এই ক্ষেত্রে, সুরক্ষা পদ্ধতি প্রয়োগের একটি একক পয়েন্ট রয়েছে, যা দৃশ্যমানতা উন্নত করে (পরবর্তী বিষয় দেখুন)।
• যদি আপনার নেটওয়ার্কে একটি অরক্ষিত ডিভাইস থাকে, তবে এটি এখনও ফায়ারওয়াল সুরক্ষার "ছাতার" অধীনে পড়ে
• শেষ-হোস্ট সুরক্ষার সাথে একত্রে ফায়ারওয়াল সুরক্ষা ব্যবহার করে, আমরা দূষিত ট্র্যাফিক সনাক্ত করার সম্ভাবনা বাড়াই। উদাহরণস্বরূপ, স্থানীয় হোস্ট এবং ফায়ারওয়ালে হুমকি প্রতিরোধ ব্যবহার করা সনাক্তকরণের সম্ভাবনা বাড়িয়ে দেয় (অবশ্যই, এই সমাধানগুলি বিভিন্ন সফ্টওয়্যার পণ্যের উপর ভিত্তি করে)

মন্তব্য

উদাহরণস্বরূপ, যদি আপনি ফায়ারওয়াল এবং শেষ হোস্ট উভয় ক্ষেত্রেই অ্যান্টিভাইরাস হিসাবে ক্যাসপারস্কি ব্যবহার করেন, তবে এটি অবশ্যই আপনার নেটওয়ার্কে ভাইরাস আক্রমণ প্রতিরোধ করার সম্ভাবনাকে খুব বেশি বাড়িয়ে তুলবে না।

নেটওয়ার্ক দৃশ্যমানতা

মূল ধারণা সহজ - রিয়েল টাইম এবং ঐতিহাসিক ডেটা উভয় ক্ষেত্রেই আপনার নেটওয়ার্কে কী ঘটছে তা "দেখুন"৷

আমি এই "দৃষ্টি" দুটি গ্রুপে বিভক্ত করব:

গ্রুপ এক: আপনার মনিটরিং সিস্টেম সাধারণত আপনাকে কি প্রদান করে।

• সরঞ্জাম লোডিং
• চ্যানেল লোড হচ্ছে
• মেমরি ব্যবহার
• ডিস্ক ব্যবহার
• রাউটিং টেবিল পরিবর্তন
• লিঙ্ক স্ট্যাটাস
• সরঞ্জামের প্রাপ্যতা (বা হোস্ট)
• ...

গ্রুপ দুই: নিরাপত্তা সম্পর্কিত তথ্য।

• বিভিন্ন ধরনের পরিসংখ্যান (উদাহরণস্বরূপ, অ্যাপ্লিকেশন দ্বারা, ইউআরএল ট্র্যাফিক দ্বারা, কি ধরনের ডেটা ডাউনলোড করা হয়েছে, ব্যবহারকারীর ডেটা)
• কি নিরাপত্তা নীতি দ্বারা অবরুদ্ধ ছিল এবং কি কারণে, যথা
  • নিষিদ্ধ আবেদন
  • ip/protocol/port/flags/zones এর উপর ভিত্তি করে নিষিদ্ধ
  • হুমকি প্রতিরোধ
  • ইউআরএল ফিল্টারিং
  • ডেটা ফিল্টারিং
  • ফাইল ব্লক করা
  • ...
• DOS/DDOS আক্রমণের পরিসংখ্যান
• ব্যর্থ সনাক্তকরণ এবং অনুমোদন প্রচেষ্টা
• উপরের সমস্ত নিরাপত্তা নীতি লঙ্ঘনের ইভেন্টের পরিসংখ্যান
• ...

নিরাপত্তার এই অধ্যায়ে, আমরা দ্বিতীয় অংশে আগ্রহী।

কিছু আধুনিক ফায়ারওয়াল (আমার Palo Alto অভিজ্ঞতা থেকে) দৃশ্যমানতার একটি ভাল স্তর প্রদান করে। কিন্তু, অবশ্যই, আপনি যে ট্র্যাফিকের প্রতি আগ্রহী তা অবশ্যই এই ফায়ারওয়ালের মধ্য দিয়ে যেতে হবে (যে ক্ষেত্রে আপনার ট্র্যাফিক ব্লক করার ক্ষমতা আছে) বা ফায়ারওয়ালে মিরর করা উচিত (শুধুমাত্র পর্যবেক্ষণ এবং বিশ্লেষণের জন্য ব্যবহৃত হয়), এবং সমস্ত সক্ষম করার জন্য আপনার অবশ্যই লাইসেন্স থাকতে হবে। এই সেবা.

অবশ্যই, একটি বিকল্প উপায়, বা বরং ঐতিহ্যগত উপায় আছে, উদাহরণস্বরূপ,

• সেশন পরিসংখ্যান নেটফ্লো মাধ্যমে সংগ্রহ করা যেতে পারে এবং তারপর তথ্য বিশ্লেষণ এবং ডেটা ভিজ্যুয়ালাইজেশনের জন্য বিশেষ উপযোগিতা ব্যবহার করা যেতে পারে
• হুমকি প্রতিরোধ - শেষ হোস্টে বিশেষ প্রোগ্রাম (অ্যান্টি-ভাইরাস, অ্যান্টি-স্পাইওয়্যার, ফায়ারওয়াল)
• ইউআরএল ফিল্টারিং, ডেটা ফিল্টারিং, ফাইল ব্লকিং - প্রক্সিতে
• এটি ব্যবহার করে tcpdump বিশ্লেষণ করাও সম্ভব যেমন নাক ডাকা

আপনি এই দুটি পন্থা একত্রিত করতে পারেন, অনুপস্থিত বৈশিষ্ট্যের পরিপূরক বা আক্রমণ শনাক্ত করার সম্ভাবনা বাড়াতে তাদের নকল করতে পারেন।

আপনি কোন পদ্ধতি নির্বাচন করা উচিত?
আপনার দলের যোগ্যতা এবং পছন্দের উপর নির্ভর করে।
সেখানে এবং সেখানে উভয় পক্ষের এবং অসুবিধা আছে.

ইউনিফাইড কেন্দ্রীভূত প্রমাণীকরণ এবং অনুমোদন ব্যবস্থা

ভালভাবে ডিজাইন করা হলে, এই নিবন্ধে আমরা যে গতিশীলতা নিয়ে আলোচনা করেছি তা অনুমান করে যে আপনি অফিস থেকে বা বাড়ি থেকে, বিমানবন্দর থেকে, কফি শপ থেকে বা অন্য কোথাও (আমরা উপরে আলোচনা করা সীমাবদ্ধতা সহ) কাজ করুন না কেন আপনার একই অ্যাক্সেস রয়েছে। মনে হবে, সমস্যা কী?
এই কাজের জটিলতা আরও ভালভাবে বোঝার জন্য, আসুন একটি সাধারণ নকশা দেখুন।

উদাহরণ

• আপনি সমস্ত কর্মচারীকে দলে ভাগ করেছেন। আপনি গ্রুপ দ্বারা অ্যাক্সেস প্রদান করার সিদ্ধান্ত নিয়েছে
• অফিসের ভিতরে, আপনি অফিস ফায়ারওয়ালে অ্যাক্সেস নিয়ন্ত্রণ করেন
• আপনি ডেটা সেন্টার ফায়ারওয়ালে অফিস থেকে ডেটা সেন্টারে ট্রাফিক নিয়ন্ত্রণ করেন
• আপনি VPN গেটওয়ে হিসাবে একটি Cisco ASA ব্যবহার করেন এবং দূরবর্তী ক্লায়েন্টদের থেকে আপনার নেটওয়ার্কে প্রবেশ করা ট্রাফিক নিয়ন্ত্রণ করতে আপনি স্থানীয় (ASA-তে) ACL ব্যবহার করেন

এখন, ধরা যাক আপনাকে একটি নির্দিষ্ট কর্মচারীর অতিরিক্ত অ্যাক্সেস যোগ করতে বলা হয়েছে। এই ক্ষেত্রে, আপনাকে শুধুমাত্র তাকে এবং তার গ্রুপ থেকে অন্য কাউকে অ্যাক্সেস যোগ করতে বলা হবে।

এর জন্য আমাদের এই কর্মীর জন্য আলাদা গ্রুপ তৈরি করতে হবে, অর্থাৎ

• এই কর্মচারীর জন্য ASA-তে একটি পৃথক আইপি পুল তৈরি করুন
• ASA-তে একটি নতুন ACL যোগ করুন এবং এটিকে সেই দূরবর্তী ক্লায়েন্টের সাথে আবদ্ধ করুন
• অফিস এবং ডেটা সেন্টার ফায়ারওয়ালে নতুন নিরাপত্তা নীতি তৈরি করুন

এই ঘটনা বিরল হলে এটা ভাল. তবে আমার অনুশীলনে এমন একটি পরিস্থিতি ছিল যখন কর্মীরা বিভিন্ন প্রকল্পে অংশ নিয়েছিল এবং তাদের মধ্যে কয়েকটির জন্য এই প্রকল্পের সেটটি প্রায়শই পরিবর্তিত হয় এবং এটি 1-2 জন নয়, কয়েক ডজন ছিল। অবশ্যই, এখানে কিছু পরিবর্তন করা প্রয়োজন.

এটি নিম্নলিখিত উপায়ে সমাধান করা হয়েছিল।

আমরা সিদ্ধান্ত নিয়েছি যে LDAP হবে সত্যের একমাত্র উৎস যা সমস্ত সম্ভাব্য কর্মচারী অ্যাক্সেস নির্ধারণ করে। আমরা সমস্ত ধরণের গ্রুপ তৈরি করেছি যা অ্যাক্সেসের সেটগুলিকে সংজ্ঞায়িত করে, এবং আমরা প্রতিটি ব্যবহারকারীকে এক বা একাধিক গ্রুপে বরাদ্দ করেছি।

সুতরাং, উদাহরণস্বরূপ, ধরুন গ্রুপ ছিল

• অতিথি (ইন্টারনেট অ্যাক্সেস)
• সাধারণ অ্যাক্সেস (ভাগ করা সম্পদগুলিতে অ্যাক্সেস: মেল, জ্ঞানের ভিত্তি, ...)
• হিসাবরক্ষণ
• প্রকল্প 1
• প্রকল্প 2
• ডেটা বেস প্রশাসক
• লিনাক্স অ্যাডমিনিস্ট্রেটর
• ...

এবং যদি একজন কর্মচারী প্রকল্প 1 এবং প্রকল্প 2 উভয়ের সাথে জড়িত থাকে এবং এই প্রকল্পগুলিতে কাজ করার জন্য তার প্রয়োজনীয় অ্যাক্সেসের প্রয়োজন হয়, তবে এই কর্মচারীকে নিম্নলিখিত গ্রুপগুলিতে নিয়োগ করা হয়েছিল:

• অতিথি
• সাধারণ প্রবেশাধিকার
• প্রকল্প 1
• প্রকল্প 2

কীভাবে আমরা এখন এই তথ্যটিকে নেটওয়ার্ক সরঞ্জামগুলিতে অ্যাক্সেসে পরিণত করতে পারি?

Cisco ASA ডাইনামিক এক্সেস পলিসি (DAP) (দেখুন www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) সমাধান এই কাজের জন্য ঠিক সঠিক।

আমাদের বাস্তবায়ন সম্পর্কে সংক্ষেপে, শনাক্তকরণ/অনুমোদন প্রক্রিয়া চলাকালীন, ASA LDAP থেকে একটি প্রদত্ত ব্যবহারকারীর সাথে সম্পর্কিত গ্রুপগুলির একটি সেট পায় এবং বেশ কয়েকটি স্থানীয় ACL (যার প্রত্যেকটি একটি গোষ্ঠীর সাথে সম্পর্কিত) থেকে সমস্ত প্রয়োজনীয় অ্যাক্সেস সহ একটি গতিশীল ACL "সংগ্রহ" করে। , যা সম্পূর্ণরূপে আমাদের ইচ্ছার সাথে মিলে যায়।

কিন্তু এটি শুধুমাত্র VPN সংযোগের জন্য। VPN এর মাধ্যমে সংযুক্ত এবং অফিসে থাকা উভয় কর্মচারীদের জন্য পরিস্থিতি একই করতে, নিম্নলিখিত পদক্ষেপ নেওয়া হয়েছিল।

অফিস থেকে সংযোগ করার সময়, ব্যবহারকারীরা 802.1x প্রোটোকল ব্যবহার করে অতিথি LAN (অতিথিদের জন্য) অথবা একটি ভাগ করা LAN (কোম্পানীর কর্মীদের জন্য) শেষ হয়। আরও, নির্দিষ্ট অ্যাক্সেস পেতে (উদাহরণস্বরূপ, একটি ডেটা সেন্টারের প্রকল্পগুলিতে), কর্মীদের ভিপিএন এর মাধ্যমে সংযোগ করতে হয়েছিল।

অফিস থেকে এবং বাড়ি থেকে সংযোগ করতে, ASA-তে বিভিন্ন টানেল গ্রুপ ব্যবহার করা হয়েছিল। এটি প্রয়োজনীয় যাতে যারা অফিস থেকে সংযোগ স্থাপন করেন তাদের জন্য, শেয়ার্ড রিসোর্সে ট্রাফিক (সমস্ত কর্মচারী দ্বারা ব্যবহৃত, যেমন মেল, ফাইল সার্ভার, টিকিট সিস্টেম, ডিএনএস, ...) ASA এর মাধ্যমে না যায়, কিন্তু স্থানীয় নেটওয়ার্কের মাধ্যমে যায়। . এইভাবে, আমরা উচ্চ-তীব্রতার ট্র্যাফিক সহ অপ্রয়োজনীয় ট্র্যাফিক সহ ASA লোড করিনি।

এইভাবে, সমস্যাটি সমাধান করা হয়েছিল।
আমরা পেয়েছি

• অফিস এবং দূরবর্তী সংযোগ উভয় সংযোগের জন্য অ্যাক্সেসের একই সেট
• ASA এর মাধ্যমে উচ্চ-তীব্রতা ট্রাফিকের সংক্রমণের সাথে যুক্ত অফিস থেকে কাজ করার সময় পরিষেবার অবনতির অনুপস্থিতি

এই পদ্ধতির অন্য সুবিধা কি?
অ্যাক্সেস প্রশাসনে। অ্যাক্সেস সহজে এক জায়গায় পরিবর্তন করা যেতে পারে.
উদাহরণস্বরূপ, যদি একজন কর্মচারী কোম্পানি ছেড়ে চলে যায়, তাহলে আপনি তাকে LDAP থেকে সরান এবং সে স্বয়ংক্রিয়ভাবে সমস্ত অ্যাক্সেস হারাবে।

হোস্ট চেকিং

দূরবর্তী সংযোগের সম্ভাবনার সাথে, আমরা কেবলমাত্র একটি কোম্পানির কর্মচারীকে নেটওয়ার্কে প্রবেশ করার অনুমতি দেওয়ার ঝুঁকি চালাই না, বরং তার কম্পিউটারে (উদাহরণস্বরূপ, বাড়িতে) উপস্থিত সমস্ত দূষিত সফ্টওয়্যার এবং অধিকন্তু, এই সফ্টওয়্যারের মাধ্যমে আমরা এই হোস্টটিকে প্রক্সি হিসাবে ব্যবহার করে আক্রমণকারীকে আমাদের নেটওয়ার্কে অ্যাক্সেস প্রদান করতে পারে৷

একটি দূরবর্তীভাবে সংযুক্ত হোস্টের জন্য অফিসে হোস্ট হিসাবে একই নিরাপত্তা প্রয়োজনীয়তা প্রয়োগ করা বোধগম্য।

এটি OS, অ্যান্টি-ভাইরাস, অ্যান্টি-স্পাইওয়্যার এবং ফায়ারওয়াল সফ্টওয়্যার এবং আপডেটগুলির "সঠিক" সংস্করণও অনুমান করে৷ সাধারণত, এই ক্ষমতা VPN গেটওয়েতে বিদ্যমান থাকে (ASA-এর জন্য দেখুন, উদাহরণস্বরূপ, এখানে).

একই ট্রাফিক বিশ্লেষণ এবং ব্লকিং কৌশল ("উচ্চ স্তরের সুরক্ষা" দেখুন) প্রয়োগ করাও বুদ্ধিমানের কাজ যা আপনার নিরাপত্তা নীতি অফিস ট্রাফিকের ক্ষেত্রে প্রযোজ্য।

এটা ধরে নেওয়া যুক্তিসঙ্গত যে আপনার অফিস নেটওয়ার্ক আর অফিস বিল্ডিং এবং এর মধ্যে হোস্টদের মধ্যে সীমাবদ্ধ নয়।

উদাহরণ

একটি ভাল কৌশল হল প্রত্যেক কর্মচারীকে একটি ভাল, সুবিধাজনক ল্যাপটপের সাথে দূরবর্তী অ্যাক্সেসের প্রয়োজন এবং তাদের অফিসে এবং বাড়িতে উভয়ই কাজ করার প্রয়োজন, শুধুমাত্র এটি থেকে।

এটি শুধুমাত্র আপনার নেটওয়ার্কের নিরাপত্তাই উন্নত করে না, এটি সত্যিই সুবিধাজনক এবং সাধারণত কর্মচারীদের দ্বারা অনুকূলভাবে দেখা হয় (যদি এটি সত্যিই একটি ভাল, ব্যবহারকারী-বান্ধব ল্যাপটপ হয়)।

অনুপাত এবং ভারসাম্যের অনুভূতি সম্পর্কে

মূলত, এটি আমাদের ত্রিভুজের তৃতীয় শীর্ষবিন্দু সম্পর্কে একটি কথোপকথন - দাম সম্পর্কে।
আসুন একটি অনুমানমূলক উদাহরণ দেখি।

উদাহরণ

আপনার 200 জনের জন্য একটি অফিস আছে। আপনি এটিকে যতটা সম্ভব সুবিধাজনক এবং নিরাপদ করার সিদ্ধান্ত নিয়েছেন।

অতএব, আপনি ফায়ারওয়ালের মাধ্যমে সমস্ত ট্র্যাফিক পাস করার সিদ্ধান্ত নিয়েছেন এবং এইভাবে সমস্ত অফিস সাবনেটের জন্য ফায়ারওয়াল হল ডিফল্ট গেটওয়ে। প্রতিটি শেষ হোস্টে (অ্যান্টি-ভাইরাস, অ্যান্টি-স্পাইওয়্যার এবং ফায়ারওয়াল সফ্টওয়্যার) ইনস্টল করা নিরাপত্তা সফ্টওয়্যার ছাড়াও, আপনি ফায়ারওয়ালে সমস্ত সম্ভাব্য সুরক্ষা পদ্ধতি প্রয়োগ করার সিদ্ধান্ত নিয়েছেন।

উচ্চ সংযোগের গতি নিশ্চিত করতে (সব সুবিধার জন্য), আপনি অ্যাক্সেস সুইচ হিসাবে 10 গিগাবিট অ্যাক্সেস পোর্ট সহ সুইচ এবং ফায়ারওয়াল হিসাবে উচ্চ-পারফরম্যান্স এনজিএফডাব্লু ফায়ারওয়াল বেছে নিয়েছেন, উদাহরণস্বরূপ, Palo Alto 7K সিরিজ (40 গিগাবিট পোর্ট সহ), স্বাভাবিকভাবেই সমস্ত লাইসেন্স সহ অন্তর্ভুক্ত এবং, স্বাভাবিকভাবেই, একটি উচ্চ প্রাপ্যতা জোড়া।

এছাড়াও, অবশ্যই, এই লাইনের সরঞ্জামগুলির সাথে কাজ করার জন্য আমাদের কমপক্ষে কয়েকজন উচ্চ যোগ্য নিরাপত্তা প্রকৌশলী প্রয়োজন।

এর পরে, আপনি প্রতিটি কর্মচারীকে একটি ভাল ল্যাপটপ দেওয়ার সিদ্ধান্ত নিয়েছেন।

মোট, বাস্তবায়নের জন্য প্রায় 10 মিলিয়ন ডলার, প্রকৌশলীদের জন্য বার্ষিক সহায়তা এবং বেতনের জন্য কয়েক হাজার ডলার (আমি এক মিলিয়নের কাছাকাছি মনে করি)।

অফিস, 200 জন...
আরামপ্রদ? আমি এটা হ্যাঁ অনুমান.

আপনি আপনার ব্যবস্থাপনার কাছে এই প্রস্তাব নিয়ে আসেন...
সম্ভবত বিশ্বের অনেক কোম্পানি আছে যার জন্য এটি একটি গ্রহণযোগ্য এবং সঠিক সমাধান। আপনি যদি এই কোম্পানির একজন কর্মচারী হন, আমার অভিনন্দন, তবে বেশিরভাগ ক্ষেত্রে, আমি নিশ্চিত যে আপনার জ্ঞান ব্যবস্থাপনার দ্বারা প্রশংসা করা হবে না।

এই উদাহরণ কি অতিরঞ্জিত? পরবর্তী অধ্যায় এই প্রশ্নের উত্তর দেবে।

যদি আপনার নেটওয়ার্কে আপনি উপরের কোনটি দেখতে না পান তবে এটিই আদর্শ।
প্রতিটি নির্দিষ্ট ক্ষেত্রে, আপনাকে সুবিধা, মূল্য এবং নিরাপত্তার মধ্যে আপনার নিজস্ব যুক্তিসঙ্গত সমঝোতা খুঁজে বের করতে হবে। প্রায়শই আপনার অফিসে NGFW এর প্রয়োজন হয় না এবং ফায়ারওয়ালে L7 সুরক্ষার প্রয়োজন হয় না। এটি একটি ভাল স্তরের দৃশ্যমানতা এবং সতর্কতা প্রদান করার জন্য যথেষ্ট, এবং এটি ওপেন সোর্স পণ্য ব্যবহার করে করা যেতে পারে, উদাহরণস্বরূপ। হ্যাঁ, আক্রমণের প্রতি আপনার প্রতিক্রিয়া তাৎক্ষণিক হবে না, তবে মূল জিনিসটি হল আপনি এটি দেখতে পাবেন এবং আপনার বিভাগে সঠিক প্রক্রিয়াগুলির সাথে আপনি এটিকে দ্রুত নিরপেক্ষ করতে সক্ষম হবেন।

এবং আমি আপনাকে মনে করিয়ে দিই যে, নিবন্ধগুলির এই সিরিজের ধারণা অনুসারে, আপনি কোনও নেটওয়ার্ক ডিজাইন করছেন না, আপনি যা পেয়েছেন তা উন্নত করার চেষ্টা করছেন।

অফিসের আর্কিটেকচারের নিরাপদ বিশ্লেষণ

এই লাল বর্গক্ষেত্রে মনোযোগ দিন যার সাথে আমি ডায়াগ্রামে একটি জায়গা বরাদ্দ করেছি সেফ সিকিউর ক্যাম্পাস আর্কিটেকচার গাইডযা আমি এখানে আলোচনা করতে চাই।

এটি স্থাপত্যের অন্যতম প্রধান স্থান এবং সবচেয়ে গুরুত্বপূর্ণ অনিশ্চয়তার একটি।

মন্তব্য

আমি কখনোই ফায়ার পাওয়ারের সাথে সেট আপ করিনি বা কাজ করিনি (সিস্কোর ফায়ারওয়াল লাইন থেকে - শুধুমাত্র ASA), তাই আমি এটিকে অন্য যেকোন ফায়ারওয়ালের মতোই ব্যবহার করব, যেমন জুনিপার এসআরএক্স বা পালো অল্টোর মতো, ধরে নিই যে এটির একই ক্ষমতা রয়েছে৷

সাধারণ ডিজাইনগুলির মধ্যে, আমি এই সংযোগের সাথে একটি ফায়ারওয়াল ব্যবহার করার জন্য শুধুমাত্র 4টি সম্ভাব্য বিকল্প দেখতে পাচ্ছি:

• প্রতিটি সাবনেটের জন্য ডিফল্ট গেটওয়ে একটি সুইচ, যখন ফায়ারওয়াল স্বচ্ছ মোডে থাকে (অর্থাৎ, সমস্ত ট্র্যাফিক এটির মধ্য দিয়ে যায়, তবে এটি একটি L3 হপ গঠন করে না)
• প্রতিটি সাবনেটের জন্য ডিফল্ট গেটওয়ে হল ফায়ারওয়াল সাব-ইন্টারফেস (বা SVI ইন্টারফেস), সুইচ L2 এর ভূমিকা পালন করে
• সুইচে বিভিন্ন ভিআরএফ ব্যবহার করা হয়, এবং ভিআরএফ-এর মধ্যে ট্রাফিক ফায়ারওয়ালের মধ্য দিয়ে যায়, একটি ভিআরএফ-এর মধ্যে ট্র্যাফিক সুইচে থাকা ACL দ্বারা নিয়ন্ত্রিত হয়
• সমস্ত ট্র্যাফিক বিশ্লেষণ এবং পর্যবেক্ষণের জন্য ফায়ারওয়ালে মিরর করা হয়; ট্র্যাফিক এর মধ্য দিয়ে যায় না

মন্তব্য 1

এই বিকল্পগুলির সংমিশ্রণ সম্ভব, তবে সরলতার জন্য আমরা সেগুলি বিবেচনা করব না।

নোট 2

পিবিআর (পরিষেবা চেইন আর্কিটেকচার) ব্যবহার করার সম্ভাবনাও রয়েছে, তবে আপাতত এটি, যদিও আমার মতে একটি সুন্দর সমাধান, বরং বহিরাগত, তাই আমি এখানে এটি বিবেচনা করছি না।

Из описания потоков в документе мы видим, что все же трафик идет через фаервол, то есть, в соответствии с дизайном Cisco четвертый вариант отпадает.

আসুন প্রথমে প্রথম দুটি বিকল্প দেখি।
এই বিকল্পগুলির সাথে, সমস্ত ট্র্যাফিক ফায়ারওয়ালের মধ্য দিয়ে যায়।

এখন আমরা তাকান ডাটা শীটবর্ণন সিসকো জিপিএল এবং আমরা দেখতে পাই যে যদি আমরা আমাদের অফিসের জন্য মোট ব্যান্ডউইথ কমপক্ষে 10 - 20 গিগাবিট হতে চাই, তাহলে আমাদের অবশ্যই 4K সংস্করণ কিনতে হবে।

মন্তব্য

আমি যখন মোট ব্যান্ডউইথ সম্পর্কে কথা বলি, তখন আমি সাবনেটের মধ্যে ট্রাফিক বোঝাতে চাই (এবং একটি ভিলানার মধ্যে নয়)।

জিপিএল থেকে আমরা দেখতে পাই যে এইচএ বান্ডেল উইথ থ্রেট ডিফেন্সের জন্য, মডেলের উপর নির্ভর করে দাম (4110 - 4150) ~0,5 - 2,5 মিলিয়ন ডলার থেকে পরিবর্তিত হয়।

অর্থাৎ, আমাদের নকশা আগের উদাহরণের অনুরূপ হতে শুরু করে।

এর মানে কি এই নকশা ভুল?
না, তার মানে এই নয়। Cisco এটির পণ্য লাইনের উপর ভিত্তি করে আপনাকে সর্বোত্তম সম্ভাব্য সুরক্ষা দেয়। কিন্তু এর অর্থ এই নয় যে এটি আপনার জন্য একটি আবশ্যক।

নীতিগতভাবে, এটি একটি সাধারণ প্রশ্ন যা একটি অফিস বা ডেটা সেন্টার ডিজাইন করার সময় উত্থাপিত হয় এবং এর অর্থ কেবলমাত্র একটি আপস চাওয়া দরকার।

উদাহরণস্বরূপ, সমস্ত ট্র্যাফিককে ফায়ারওয়ালের মধ্য দিয়ে যেতে দেবেন না, এই ক্ষেত্রে বিকল্প 3 আমার কাছে বেশ ভাল বলে মনে হচ্ছে, অথবা (আগের বিভাগটি দেখুন) হতে পারে আপনার থ্রেট ডিফেন্সের প্রয়োজন নেই বা এতে ফায়ারওয়ালের প্রয়োজন নেই নেটওয়ার্ক সেগমেন্ট, এবং আপনাকে শুধুমাত্র অর্থপ্রদান (ব্যয়বহুল নয়) বা ওপেন সোর্স সমাধান ব্যবহার করে প্যাসিভ পর্যবেক্ষণে নিজেকে সীমাবদ্ধ করতে হবে, অথবা আপনার একটি ফায়ারওয়াল প্রয়োজন, কিন্তু একটি ভিন্ন বিক্রেতার কাছ থেকে।

সাধারণত সবসময় এই অনিশ্চয়তা থাকে এবং আপনার জন্য কোন সিদ্ধান্ত সবচেয়ে ভালো তার কোন স্পষ্ট উত্তর নেই।
এটি এই কাজের জটিলতা এবং সৌন্দর্য।

উত্স: www.habr.com