DNS ফিল্টারিং বনাম সিকিউর ওয়েব গেটওয়ে: কখন আপনার আরও ভারী টুলের প্রয়োজন হয়

কোনো হার্ডওয়্যার ইনস্টল না করেই 90টি দেশের 80,000+ ভেন্যুতে আনম্যানেজড WiFi ডিভাইসগুলি সুরক্ষিত করার সময় RFC 1035-এর অধীনে রেসোলিউশনে DNS ফিল্টারিং বেছে নিন। Microsoft Entra ID-এর মতো প্ল্যাটফর্ম ব্যবহার করে ম্যানেজড ডিভাইসগুলিতে সম্পূর্ণ URL, ডাউনলোড বা আপলোড পরীক্ষা করার সময় একটি সিকিউর ওয়েব গেটওয়ে বেছে নিন। সংযোগগুলি খোলার আগেই DNS ফিল্টারিং ক্ষতিকারক গন্তব্যগুলি বন্ধ করে দেয়, পক্ষান্তরে গেটওয়েগুলি ট্র্যাফিক প্রক্সি এবং ডিক্রিপ্ট করে।

DNS ফিল্টারিং বনাম সিকিউর ওয়েব গেটওয়ে: সংক্ষেপে উত্তর

উত্তরটি একটি প্রশ্নের ওপর নির্ভর করে: আপনার কি সংযোগের ভেতরে দেখার প্রয়োজন আছে, নাকি কেবল এটি কোথায় যাচ্ছে তা জানা প্রয়োজন?

DNS ফিল্টারিং ডোমেন নেমের স্তরে সিদ্ধান্ত নেয়। এটি ক্ষতিকারক বা অবাঞ্ছিত গন্তব্যের রেসোলিউশন করতে অস্বীকার করে, ফলে ডিভাইসটি কখনই সংযোগ স্থাপন করতে পারে না। একটি সিকিউর ওয়েব গেটওয়ে (SWG) হলো একটি প্রক্সি যা ট্র্যাফিক পাথের মধ্যে থাকে। এটি সম্পূর্ণ URL, ফাইল এবং পৃষ্ঠাটি পড়তে পারে, তবে কেবল এটি TLS ডিক্রিপ্ট করার পরেই তা করতে পারে।

গেস্ট WiFi-এর ক্ষেত্রে, প্রশ্নটি নিজেই সমাধান হয়ে যায়। আপনি একজন গেস্টের ফোনে রুট সার্টিফিকেট ইনস্টল করতে পারবেন না। সেই সার্টিফিকেট ছাড়া, একটি গেটওয়ে সার্টিফিকেটের ত্রুটি তৈরি না করে ট্র্যাফিক ডিক্রিপ্ট করতে পারে না। DNS ফিল্টারিং কোনো কিছু ইনস্টল না করেই নেটওয়ার্কের প্রতিটি ডিভাইসকে সুরক্ষিত রাখে। এই কারণেই এটি হসপিটালিটি, খুচরা ব্যবসা, ট্রাভেল হাব এবং ইভেন্টগুলির জন্য ডিফল্ট পছন্দ।

ম্যানেজড স্টাফ ল্যাপটপগুলিতে যেগুলি নিয়ন্ত্রিত ডেটা পরিচালনা করে, গেটওয়েটি তার উপযুক্ত মূল্য বজায় রাখে। আপলোড পরীক্ষা করা, URL পাথে নিয়ম চালু করা বা ডেটা লস প্রিভেনশন (DLP) প্রয়োগ করার জন্য আপনার এটি প্রয়োজন। DLP সংবেদনশীল ডেটাকে আপনার নেটওয়ার্ক ছেড়ে যেতে বাধা দেয়।

বেশিরভাগ ভেন্যুর প্রতিটি নেটওয়ার্কে প্রোটেক্টিভ DNS এবং কিছু কিছু ম্যানেজড ডিভাইসে একটি গেটওয়ের প্রয়োজন হয়, যদি আদৌ কোনোটার প্রয়োজন হয়ে থাকে। Purple Shield প্রথম অংশটি পূরণ করে। এটি যেকোনো WiFi-এ স্ট্যান্ডঅ্যালোন হিসেবে বা Purple Access-এর সাথে প্রতিটি নেটওয়ার্ক এবং VLAN নীতির সাথে চলে। DNS কৌশলের বৃহত্তর পরিধি জানতে, আমাদের DNS ফিল্টারিংয়ের সীমা ওভারভিউটি দেখুন।

আমরা কী তুলনা করেছি এবং কেন এই মানদণ্ডগুলি পছন্দ নির্ধারণ করে

আমরা আটটি মানদণ্ডে উভয় কৌশলের স্কোর মূল্যায়ন করেছি। প্রতিটি স্কোর ফিল্টারিংয়ের স্কোপ নির্ধারণ করার সময় একজন IT নিরাপত্তা ম্যানেজার বা ভেন্যু অপারেশন ম্যানেজার নেওয়া সিদ্ধান্তের সাথে মেলে। আমরা প্রতিটি অপশনের ক্ষমতা তার নিজস্ব পাবলিক তথ্য এবং উভয় অপশন প্রয়োগ করার অভিজ্ঞতা থেকে সংগ্রহ করেছি।

প্লেসমেন্ট আগে আসে কারণ এটি বাকি সাতটি মানদণ্ডকে রূপ দেয়। RFC 1035-এ সংজ্ঞায়িত নেম রেসোলিউশন লুকআপে DNS ফিল্টারিং কাজ করে। সংযোগ করার আগে প্রতিটি ডিভাইস একটি রেসোলভারকে অ্যাড্রেস জিজ্ঞাসা করে। একটি প্রোটেক্টিভ DNS রেসোলভার থ্রেট ইন্টেলিজেন্স এবং ক্যাটাগরি পলিসির সাথে ডোমেনটি যাচাই করে, তারপর উত্তর দেয় বা প্রত্যাখ্যান করে।

যেহেতু কোনো সংযোগ স্থাপনের আগেই সেই যাচাইটি ঘটে, তাই এটি ফায়ারওয়াল যা মিস করে তা সনাক্ত করে। ফায়ারওয়াল নিয়মগুলি IP অ্যাড্রেস এবং পোর্টের ওপর ভিত্তি করে কাজ করে। ক্ষতিকারক ডোমেনগুলি শেয়ার্ড ক্লাউড অ্যাড্রেস জুড়ে পরিবর্তিত হয় যা একটি ফায়ারওয়াল নিরাপদে ব্লক করতে পারে না।একটি সিকিউর ওয়েব গেটওয়ে কানেকশনের পরবর্তী ধাপে, ভেতরে অবস্থান করে। ট্রাফিক কোনো শেষ সীমানার এন্ডপয়েন্ট এজেন্ট, একটি প্রক্সি অটো-কনফিগ (PAC) ফাইল বা একটি ইনলাইন অ্যাপ্লায়েন্সের মাধ্যমে এতে পৌঁছায়। HTTPS পড়তে, গেটওয়ে TLS সমাপ্ত করে, বিষয়বস্তু পরিদর্শন করে এবং তা আবার এনক্রিপ্ট করে। এই গভীরতার জন্য এটি পরিদর্শন করা প্রতিটি ডিভাইসে একটি বিশ্বস্ত রুটের শংসাপত্র বা সার্টিফিকেট প্রয়োজন হয়।

আটটি মানদণ্ড:

• প্লেসমেন্ট: সংযোগের ঠিক কোথায় ফিল্টারটি তার সিদ্ধান্ত নেয়।
• দৃশ্যমানতা: ডোমেইন নাম থেকে শুরু করে পেজের বিষয়বস্তু পর্যন্ত ফিল্টারটি যা দেখতে পারে।
• আনম্যানেজড ডিভাইস: গেস্ট এবং BYOD (আপনার নিজের ডিভাইস আনুন) ট্রাফিক কভার করা হয়েছে কিনা।
• ডিপ্লয়মেন্ট ফুটপ্রিন্ট: প্রয়োজনীয় হার্ডওয়্যার, এজেন্ট এবং সার্টিফিকেট।
• পারফর্ম্যান্স: ফিল্টারটি যে লেটেন্সি এবং ব্যান্ডউইথ যোগ করে।
• ব্যর্থতার আচরণ: সার্ভিসটিতে পৌঁছানো না গেলে কী ঘটে।
• বাইপাস প্রতিরোধ: একটি ডিভাইস কত সহজে ফিল্টারের চারপাশ দিয়ে রুট করে, উদাহরণস্বরূপ DNS over TLS (DoT) বা DNS over HTTPS (DoH) এর মাধ্যমে।
• গোপনীয়তার ফুটপ্রিন্ট: ফিল্টারটি কতটা ব্যক্তিগত তথ্য প্রসেস করে।

বাজারে, সীমানাটি সর্বদা পরিষ্কার নয়। DNSFilter হলো একটি প্রতিরক্ষামূলক DNS সার্ভিস, যা Shield এর মতো একই ক্যাটাগরির। Cisco Umbrella ডোমেইন বা DNS-লেয়ার সিকিউরিটি বিক্রি করে এবং এর উচ্চতর প্যাকেজগুলোতে একটি সম্পূর্ণ সিকিউর ওয়েব গেটওয়ে প্রদান করে, তাই এটি এই তুলনার উভয় দিক জুড়ে বিস্তৃত। আপনি যখন যেকোনো ভেন্ডর বা বিক্রেতাকে মূল্যায়ন করবেন, তখন কেবল পণ্যের নামের ওপর নির্ভর না করে প্রতিটি প্যাকেজ কোন লেয়ার সরবরাহ করে তা পরীক্ষা করুন।

DNS filtering এবং একটি secure web gateway-এর মধ্যে তুলনা কীভাবে করা যায়?

দুটি সারি ভালোভাবে দেখা দরকার। দৃশ্যমানতার ক্ষেত্রে গেটওয়ে সরাসরি এগিয়ে রয়েছে। একটি DNS ফিল্টার example.com দেখতে পায় কিন্তু সেই সাইটের কোনো ফাইলের পাথ দেখতে পায় না। আমরা এটি ব্যাখ্যা করেছি কেন DNS filtering সম্পূর্ণ URL দেখতে পায় না নির্দেশিকায়। আনম্যানেজড ডিভাইসের ক্ষেত্রে, DNS filtering সরাসরি জয়ী হয়, কারণ গেস্ট কভারেজের জন্য কোনো সার্টিফিকেট বা এজেন্টের প্রয়োজন হয় না।

বাকি সারিগুলো এমন কিছু সুবিধা ও অসুবিধার ভারসাম্য যা আপনি ম্যানেজ করতে পারেন। আপনি ফায়ারওয়াল রুল ব্যবহার করে এনক্রিপ্টেড DNS বাইপাস বন্ধ করতে পারেন। একটি সঠিক সাইজের ক্লাউড সার্ভিসে গেটওয়ে ল্যাটেন্সি সহনশীল। ব্যর্থতার আচরণ প্রোডাক্টের ওপর নির্ভর করে, যা Shield স্পষ্টভাবে জানায়: এটি ফেল-ক্লোজড হয়।

যেখানে DNS filtering জয়ী হয়

গেস্ট WiFi এবং আনম্যানেজড ডিভাইস

একটি WiFi নেটওয়ার্কের প্রতিটি ডিভাইস DHCP প্রদান করা DNS সার্ভার ব্যবহার করে। সেই সার্ভারটিকে একটি প্রোটেক্টিভ রিজলভারের দিকে নির্দেশ করুন এবং প্রতিটি ফোন, ল্যাপটপ, গেম কনসোল এবং স্মার্ট টিভি কভার হয়ে যাবে। কাউকে কিছুই ইনস্টল করতে হয় না। Captive Portal, অর্থাৎ নেটওয়ার্ক অ্যাক্সেসের আগে দেখানো সাইন-ইন পেজটি যেমন আছে তেমনই থাকে। স্কেলে গেস্ট, বাসিন্দা, যাত্রী এবং ফ্যানদের ফিল্টার করার জন্য এটিই একমাত্র ব্যবহারিক উপায়।

অনেক সাইট, কোনো নতুন হার্ডওয়্যার নেই

DNS filtering-এ সুইচ করা একটি কনফিগারেশন পরিবর্তন, এটি কোনো বিশাল প্রজেক্ট নয়। Shield আপনার ইতিমধ্যে চলা WiFi-তেই কাজ করে, যার মধ্যে রয়েছে Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet।

আপনি প্রতি নেটওয়ার্ক এবং প্রতি VLAN-এ একটি পলিসি সেট করেন। তাই একই সাইটে একটি পরিবার-বান্ধব গেস্ট নেটওয়ার্ক এবং একটি স্টাফ নেটওয়ার্ক বিভিন্ন নিয়ম চালাতে পারে। আপনার স্টাফ নেটওয়ার্ক IEEE 802.1X, যা একটি পোর্ট-ভিত্তিক নেটওয়ার্ক অথেনটিকেশন স্ট্যান্ডার্ড, তার মাধ্যমে রোল অনুসারে VLAN অ্যাসাইন করতে পারে। যদি তা হয়, তবে কোনো প্রক্সি ছাড়াই রোল-নির্দিষ্ট DNS পলিসি কার্যকর হয়।

আরও দ্রুত হুমকি প্রতিরোধ

যেকোনো ট্রাফিক প্রবাহিত হওয়ার আগেই DNS উদ্দেশ্য চিহ্নিত করতে পারে। একটি ফিশিংয়ের শিকার ডিভাইস সংযোগ করার আগে অবশ্যই একটি ডোমেন সার্চ করে। কমান্ড-এন্ড-কন্ট্রোল সার্ভারে কল করা কোনো সংক্রামিত ডিভাইসের ক্ষেত্রেও একই কথা প্রযোজ্য। Shield ওয়েব কানেকশন তৈরি হওয়ার আগেই থ্রেট বা হুমকির লাইফসাইকেলের প্রাথমিক পর্যায়ে সেগুলোকে চিহ্নিত করে। এই সময় ব্যবধানই নির্ধারণ করে দিতে পারে যে একটি ফিশিং ডোমেন প্রথম ক্লিকের আগে নাকি পরে ব্লক করা হবে।

হালকা নেটওয়ার্ক

একই লেয়ারে অ্যাড ব্লকিং ঘটে। অ্যাড ব্লকিং চালু থাকলে ব্যাকগ্রাউন্ড ব্যান্ডউইথ ব্যবহার কমায় এবং DNS কোয়েরির পরিমাণ কমিয়ে আনে। সীমিত ব্যাকহল সহ একটি ব্যস্ত ভেন্যু নেটওয়ার্কে, নতুন কোনো খরচ ছাড়াই সেই ক্ষমতা ফিরে আসে।

ব্যর্থ হলেও যা সুরক্ষিত থাকে

Shield ফেল-ক্লোজড মোডে কাজ করে, ফলে বিভ্রাটের সময়ও কোনো নেটওয়ার্ক আনফিল্টারড থাকে না। এটি গেস্ট নেটওয়ার্কের ক্ষেত্রে বেশ গুরুত্বপূর্ণ, কারণ সেখানে যা কিছু লোড হয় তার সুনামের ঝুঁকি আপনাকেই বহন করতে হয়। আমরা DNS filtering fail open vs fail closed-এ সুবিধা এবং অসুবিধাগুলো স্পষ্টভাবে ব্যাখ্যা করেছি।

ছোট প্রাইভেসি ফুটপ্রিন্ট

একটি DNS ফিল্টার ডোমেন নাম প্রসেস করে, পেজের কন্টেন্ট নয়। GDPR-এর অধীনে, এটি ডিক্রিপ্ট করা ব্রাউজিং সেশনের তুলনায় ব্যক্তিগত ডেটার একটি সীমিত অংশ। এর ফলে আপনার প্রসেসিং রেকর্ডগুলো আরও সহজ থাকে।

যেখানে একটি সিকিউর ওয়েব গেটওয়ে এগিয়ে থাকে

গেটওয়ের শক্তি সম্পর্কে সুনির্দিষ্ট হন। আপনি যদি ধরে নেন যে DNS ফিল্টারিং এই বিষয়গুলো কভার করে, তবে আপনার সিকিউরিটি প্রোগ্রামে প্রকৃত ফাঁক থেকে যাবে।

সম্পূর্ণ URL এবং পাথ নিয়ন্ত্রণ

কিছু পলিসি ডোমেনের নিচে অবস্থান করে। আপনি হয়তো একটি ক্লাউড স্টোরেজ সার্ভিস অনুমোদন করতে চান কিন্তু একটি শেয়ার করা ফোল্ডার ব্লক করতে চান। আপনি হয়তো একটি সংবাদ সাইট অনুমোদন করতে চান কিন্তু তার কমেন্ট পেজগুলো ব্লক করতে চান। কেবল একটি প্রক্সি যা পুরো URL দেখতে পায়, এই ধরণের নিয়মগুলো প্রয়োগ করতে পারে। শেয়ার করা প্ল্যাটফর্মগুলো একটি কঠিন ক্ষেত্র, কারণ একটি DNS ফিল্টারকে পুরো ডোমেনটি হয় অনুমোদন বা ব্লক করতে হয়।

ফাইল এবং কন্টেন্ট পরিদর্শন

একটি গেটওয়ে ম্যালওয়্যারের জন্য ডাউনলোড স্ক্যান করতে পারে, ফাইলের ধরন ব্লক করতে পারে এবং অজানা এক্সিকিউটেবল ফাইলগুলোকে স্যান্ডবক্স করতে পারে। DNS ফিল্টারিং কেবল পরিচিত-ক্ষতিকর ডোমেনগুলোতে সংযোগ প্রদান বন্ধ করে। একটি বিশ্বস্ত ডোমেনে হোস্ট করা একটি ক্ষতিকারক ফাইল ঠিকই পার পেয়ে যায়।

ডেটা লস প্রিভেনশন

আপনার কর্মীরা PCI-DSS এর আওতাভুক্ত পেমেন্ট কার্ডের তথ্য বা রোগীদের রেকর্ড পরিচালনা করতে পারেন। সেক্ষেত্রে সংবেদনশীল কনটেন্ট পরীক্ষা করার জন্য আপনাকে আপলোডগুলো নজরদারি করতে হতে পারে। এর জন্য প্রয়োজন ডিক্রিপ্ট করা ট্রাফিক এবং হয় একটি গেটওয়ে অথবা একটি ডেডিকেটেড DLP টুল।

নেটওয়ার্কের বাইরে ব্যক্তিভিত্তিক পলিসি

একটি গেটওয়ে এজেন্ট Microsoft Entra ID, Okta বা Google Workspace থেকে সিঙ্ক করা নির্দিষ্ট পরিচয়ের মাধ্যমে পলিসি প্রয়োগ করে। সেই পলিসি কোনো পরিচালিত ল্যাপটপকে হোম ব্রডব্যান্ড বা হোটেল WiFi পর্যন্ত অনুসরণ করে। Shield এর পলিসি নেটওয়ার্ক এবং VLAN প্রতি নির্ধারণ করা হয়, যা বিভিন্ন ভেন্যু এবং নির্দিষ্ট স্থানের জন্য উপযুক্ত। পরিচালিত ডিভাইসে থাকা দূরবর্তী কর্মীদের ক্ষেত্রে মানুষ যেখানেই কানেক্ট করুক না কেন, ব্যক্তিভিত্তিক পলিসি প্রয়োগের প্রয়োজন হতে পারে।

অ্যাপ্লিকেশন নিয়ন্ত্রণ

অনেক গেটওয়ে নির্দিষ্ট অ্যাপ্লিকেশনের ট্রাফিক ডিকোড করে। উদাহরণস্বরূপ, তারা কর্মীদের ফাইল শেয়ারিং সার্ভিস পড়ার অনুমতি দিতে পারে কিন্তু সেখানে ফাইল আপলোড ব্লক করতে পারে। DNS ফিল্টারিং কোনো অ্যাপ্লিকেশনের ডোমেনগুলোকে অনুমতি বা ব্লক করতে পারে, কিন্তু অ্যাপ্লিকেশনের ভেতরের ব্যক্তিগত কাজগুলো নিয়ন্ত্রণ করতে পারে না।

আপনি যদি আপনার ঝুঁকি নিবন্ধের সাথে এই পার্থক্যগুলো তুলনা করেন, তবে প্রোটেক্টিভ DNS এর পাশাপাশি যে নিয়ন্ত্রণগুলো থাকে তার জন্য is DNS filtering enough? নির্দেশিকাটি পড়ুন।

প্রতিটি চালাতে কত খরচ হয়?

এই দুটি পদ্ধতির মূল্য নির্ধারণের ধরণ ভিন্ন, তাই মূল পরিসংখ্যানের পরিবর্তে তাদের খরচের কাঠামো তুলনা করুন। আমরা প্রতিযোগীদের মূল্য উদ্ধৃত করি না। প্রতিটি ভেন্ডরের সাথে বর্তমান শর্তাবলী নিশ্চিত করুন।

একটি গেটওয়ের লুকানো খরচ হলো সার্টিফিকেট এবং ব্যতিক্রম পরিচালনা। যে অ্যাপগুলি তাদের সার্টিফিকেট পিন করে সেগুলি TLS অনুসন্ধানের অধীনে কাজ করা বন্ধ করে দেয়, তাই প্রতিটির জন্য একটি ব্যতিক্রমের প্রয়োজন হয়। বেশিরভাগ ডিপ্লয়মেন্টই গোপনীয়তার কারণে ব্যাঙ্কিং এবং স্বাস্থ্যের সাইটগুলিকে ব্যতিক্রম হিসেবে রাখে। প্রতিটি ছাড় এমন একটি নিয়মে পরিণত হয় যা কাউকে না কাউকে রক্ষণাবেক্ষণ করতে হয়। পুরো ডিভাইস ফ্লিট জুড়ে এজেন্টগুলিও আপডেট করা প্রয়োজন। এর কোনটিই কোনো ত্রুটি নয়। এটি ট্রাফিকের ভেতরে দেখার মূল্য।

DNS ফিল্টারিংয়ের চলমান খরচ নীতি রক্ষণাবেক্ষণ এবং বাইপাস নিয়ন্ত্রণে নিহিত। আপনি ক্যাটাগরির সিদ্ধান্ত পর্যালোচনা করেন এবং অনুমতির অনুরোধগুলি সামলান। নতুন পাবলিক রিজলভার উপস্থিত হওয়ার সাথে সাথে আপনি এনক্রিপ্টেড DNS-এর জন্য ফায়ারওয়াল নিয়মগুলিও আপ-টু-ডেট রাখেন।

DNS ফিল্টারিং এবং একটি গেটওয়ের মধ্যে স্থানান্তর করতে কী কী জড়িত?

গেস্ট নেটওয়ার্কে প্রক্সি থেকে DNS ফিল্টারিং-এ স্থানান্তর

এটি সবচেয়ে সাধারণ পদক্ষেপ। টিমগুলি প্রায়শই দেখে যে গেস্ট WiFi-এ থাকা একটি প্রক্সি হোস্টনেমের বাইরে খুব কমই ফিল্টার করে, কারণ এটি গেস্ট ট্রাফিক ডিক্রিপ্ট করতে পারে না। পদক্ষেপগুলি হলো:

১. আপনার বর্তমান প্রক্সি ক্যাটাগরি এবং আপনার অনুমতি এবং ব্লকের তালিকা এক্সপোর্ট করুন। ২. সেগুলি DNS ক্যাটাগরিতে ম্যাপ করুন। URL-path নিয়মের কোনো DNS সমতুল্য নেই, তাই প্রতিটি নিয়মের ভিত্তিতে সিদ্ধান্ত নিন যে পুরো ডোমেনটি অনুমতি দেবেন নাকি ব্লক করবেন। ৩. প্রতিটি নেটওয়ার্কের DHCP স্কোপে থাকা DNS সার্ভারকে সুরক্ষামূলক রিজলভারের দিকে পয়েন্ট করুন। ৪. অন্যান্য রিজলভারে আউটবাউন্ড DNS, পোর্ট 853-এ DoT এবং পরিচিত DoH এন্ডপয়েন্টগুলি ব্লক করুন। ৫. একটি আসল গেস্ট ডিভাইস থেকে পরীক্ষা করুন, তারপর সেই নেটওয়ার্কের জন্য প্রক্সি নিয়ম সেটটি বাদ দিন।

Shield-এর সেটআপের পদক্ষেপগুলি Shield কীভাবে কাজ করে-এ কভার করা হয়েছে। এনক্রিপ্টেড DNS স্ট্যান্ডার্ডগুলি হলো DoT-এর জন্য RFC 7858 এবং DoH-এর জন্য RFC 8484।

পরিচালিত ডিভাইসগুলির জন্য একটি গেটওয়ে যোগ করা

এই পদক্ষেপটি আরও ভারী, এবং এটি যে ডিভাইসগুলির জন্য প্রয়োজন কেবল সেগুলির জন্য স্কোপ করা উচিত। আপনার মোবাইল ডিভাইস ম্যানেজমেন্ট (MDM) প্ল্যাটফর্মের মাধ্যমে রুট সার্টিফিকেট ডিপ্লয় করুন। এজেন্ট বা PAC ফাইল রোল আউট করুন, তারপর পিন করা অ্যাপ এবং গোপনীয়তা-সংবেদনশীল ক্যাটাগরিগুলির জন্য ব্যতিক্রম তৈরি করুন। অনুসন্ধান শুরু হওয়ার আগে একটি ডেটা প্রোটেকশন ইম্প্যাক্ট অ্যাসেসমেন্ট (DPIA) সম্পন্ন করুন। Shield-কে নিচে যথাস্থানে রাখুন, কারণ এটি এখনও সেই প্রতিটি ডিভাইসকে কভার করে যা গেটওয়ে করে না।

উভয়ই চালানো

মিশ্র সাইটে দুটিকে স্তরীভূত করাই হলো সবচেয়ে শক্তিশালী ডিজাইন। Shield গেস্ট এবং স্টাফ নেটওয়ার্ক উভয় জুড়েই রেজোলিউশনের সময় পরিচিত-ক্ষতিকর ডোমেনগুলি ব্লক করে। গেটওয়ে তখন পরিচালিত ট্রাফিক গভীরভাবে অনুসন্ধান করে। যেহেতু DNS প্রথমে ক্ষতিকারক গন্তব্যগুলি সরিয়ে দেয়, তাই কম বৈরী ট্রাফিক প্রক্সিতে পৌঁছায়। দুটি ক্যাটাগরি নীতি একই সারিতে আনুন যাতে একটি স্তরে ব্লক করা ডোমেন অন্য স্তরে অনুমোদিত না হয়।

DNS ফিল্টারিং এবং একটি সিকিউর ওয়েব গেটওয়ের মধ্যে কীভাবে সিদ্ধান্ত নেবেন

এই সিদ্ধান্ত নেওয়ার নিয়মটি ব্যবহার করুন। আপনার যদি ডিভাইসগুলির মালিকানা না থাকে, তবে DNS ফিল্টারিং ব্যবহার করুন। যদি ডিভাইসগুলি আপনার নিজের হয় এবং ট্র্যাফিকের ভেতরের অংশ পর্যালোচনা করা বাধ্যতামূলক হয়, তবে শুধুমাত্র সেই ডিভাইসগুলিতে একটি গেটওয়ে যোগ করুন। অন্যান্য সমস্ত ক্ষেত্রে, সুরক্ষামূলক DNS-ই হল সবচেয়ে উপযুক্ত টুল।

আপনার পরবর্তী পদক্ষেপ হলো আপনার নেটওয়ার্ক এবং VLAN-গুলির তালিকা তৈরি করা এবং কোনগুলিতে অপরিমাপিত ডিভাইস রয়েছে তা চিহ্নিত করা। সেই নেটওয়ার্কগুলিতে এখনই সুরক্ষামূলক DNS পান। তারপর নিয়ন্ত্রণের জন্য Shield যেভাবে কাজ করে তা দেখুন। পরিচয়, এনক্রিপশন এবং সেগমেন্টেশন সম্পর্কিত অন্যান্য নিয়ন্ত্রণের জন্য আমাদের enterprise WiFi security guide পড়ুন।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

একটি secure web gateway-এর তুলনায় কি DNS ফিল্টারিং চালানো সস্তা?

সাধারণত, হ্যাঁ, কারণ DNS ফিল্টারিংয়ের জন্য কোনো হার্ডওয়্যার, এ্যান্ডপয়েন্ট এজেন্ট বা সার্টিফিকেট ব্যবস্থাপনার প্রয়োজন হয় না। একটি গেটওয়ে প্রতিটি আসন বা ডিভাইসের জন্য লাইসেন্সিং, এজেন্ট রক্ষণাবেক্ষণ, রুট সার্টিফিকেট নবায়ন এবং পরিদর্শনের অধীনে ব্যর্থ হওয়া অ্যাপগুলির জন্য ব্যতিক্রম নিয়ম যুক্ত করে। DNS ফিল্টারিং পরিচালনার খরচ হলো নীতি রক্ষণাবেক্ষণ এবং এনক্রিপ্ট করা DNS-এর জন্য ফায়ারওয়াল নিয়ম। লাইসেন্সের খরচের বদলে মোট পরিচালনার খরচের তুলনা করুন এবং প্রতিটি বিক্রেতার সাথে বর্তমান শর্তাবলী নিশ্চিত করুন।

Purple Shield কি আমার ইতিমধ্যেই থাকা WiFi হার্ডওয়্যারের সাথে কাজ করে?

হ্যাঁ। Shield DNS স্তরে কাজ করে, তাই এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet সহ যেকোনো WiFi-এ চলে। আপনি প্রতিটি নেটওয়ার্কের DNS-কে Shield-এর দিকে নির্দেশ করেন এবং প্রতি নেটওয়ার্ক ও VLAN অনুযায়ী একটি নীতি নির্ধারণ করেন। এটি সাইটে কোনো নতুন হার্ডওয়্যার ছাড়াই এককভাবে বা Purple Access-এর সাথে যৌথভাবে চলে।

DNS ফিল্টারিং কি একটি secure web gateway-কে প্রতিস্থাপন করতে পারে?

এটি অতিথি এবং ভেন্যু নেটওয়ার্কে করতে পারে, কিন্তু যেখানে আপনার ট্র্যাফিকের ভেতরের অংশ পর্যালোচনা করা বাধ্যতামূলক সেখানে নয়। যেকোনো সংযোগ খোলার আগেই DNS ফিল্টারিং ক্ষতিকারক এবং অবাঞ্ছিত ডোমেনগুলিকে ব্লক করে, যা দর্শনার্থীদের জন্য বেশিরভাগ হুমকি এবং বিষয়বস্তুর চাহিদা পূরণ করে। এটি URL পাথের ওপর নিয়ম কার্যকর করতে, বিশ্বস্ত ডোমেনে ফাইল স্ক্যান করতে বা ডেটা ক্ষতি প্রতিরোধে আপলোড পরিদর্শন করতে পারে না। যে সমস্ত পরিমাপিত ডিভাইসে এই নিয়ন্ত্রণগুলির প্রয়োজন, সেগুলির জন্য একটি গেটওয়ে বজায় রাখুন।

আমি কি একসাথে DNS ফিল্টারিং এবং একটি সিকিউর ওয়েব গেটওয়ে চালাতে পারি?

হ্যাঁ, এবং মিশ্র সাইটগুলিতে এটি সবচেয়ে শক্তিশালী ডিজাইন। Shield গেটওয়ে পর্যবেক্ষণ করতে পারে না এমন অতিথি ডিভাইসগুলি সহ DNS রেজোলিউশনের প্রতিটি ডিভাইস ফিল্টার করে। গেটওয়ে তখন ম্যানেজড কর্মীদের ডিভাইসগুলি বিশদভাবে পরীক্ষা করে। যেহেতু DNS প্রথমে জানা-খারাপ ডোমেইনগুলিকে ব্লক করে, তাই প্রক্সি-তে কম ক্ষতিকারক ট্র্যাফিক পৌঁছায়। দুটি ক্যাটাগরির নীতি একই সাথে সারিবদ্ধ রাখুন যাতে একটি লেয়ারে ব্লক করা ডোমেইন অন্যটিতে অনুমতি না পায়।

একটি সিকিউর ওয়েব গেটওয়ে কি অতিথি WiFi-এ কাজ করে?

শুধুমাত্র আংশিকভাবে। ডিভাইসে একটি বিশ্বস্ত রুট সার্টিফিকেট ছাড়া, কোনো গেটওয়ে সার্টিফিকেটের ত্রুটি তৈরি না করে HTTPS ডিক্রিপ্ট করতে পারে না। আপনি অতিথিদের ফোনে সার্টিফিকেট ইনস্টল করতে পারবেন না। একটি গেটওয়ে এখনও TLS হ্যান্ডশেকের সময় পাঠানো হোস্টনেম ফিল্টার করতে পারে, যা কম পরিকাঠামোর সাথে DNS ফিল্টারিং যা করে তার কাছাকাছি। অতিথি WiFi-এর জন্য, সুরক্ষামূলক DNS হলো ব্যবহারিক পছন্দ।

DNS পরিষেবা বন্ধ হয়ে গেলে ফিল্টারিংয়ের কী হবে?

Shield-এর মাধ্যমে, ফিল্টারিং চালু থাকে। Shield ফেইল-ক্লোজড মোডে কাজ করে, তাই বিভ্রাট কখনোই একটি নেটওয়ার্ককে আনফিল্টারড অবস্থায় রাখে না। যে পরিষেবাগুলি ফেইল-ওপেন মোডে কাজ করে সেগুলি ট্র্যাফিক সচল রাখতে ডিভাইসগুলিকে একটি আনফিল্টারড রেজলভারে পাঠায়, যা বিভ্রাটের সময়কাল ধরে নেটওয়ার্কটিকে উন্মুক্ত রাখে। প্রতিটি ভেন্ডরকে লিখিতভাবে তাদের ফেইলিওর আচরণ জানাতে বলুন এবং গো-লাইভ করার আগে এটি পরীক্ষা করুন।

TLS পরিদর্শন কি GDPR-এর সাথে সামঞ্জস্যপূর্ণ?

এটি হতে পারে, তবে ഇതിൽ DNS ফিল্টারিংয়ের চেয়ে বেশি গভর্নেন্স প্রয়োজন। কর্মীদের ট্র্যাফিক ডিক্রিপ্ট করা তাদের যোগাযোগের বিষয়বস্তু প্রক্রিয়া করে। তাই আপনার একটি আইনি ভিত্তি, একটি ডেটা সুরক্ষা প্রভাব মূল্যায়ন এবং কর্মীদের জন্য স্পষ্ট বিজ্ঞপ্তির প্রয়োজন। বেশিরভাগ ডেপ্লয়মেন্টে ব্যাঙ্কিং এবং স্বাস্থ্য সংক্রান্ত সাইটগুলিকে ছাড় দেওয়া হয়। DNS ফিল্টারিং কেবল ডোমেইন নেমগুলি প্রক্রিয়াজাত করে, যা একটি সংকীর্ণ ক্ষেত্র এবং এটি সমর্থন ও নথিভুক্ত করা সহজ।

প্রক্সি থেকে DNS ফিল্টারিংয়ে স্থানান্তরিত হতে কতটা প্রচেষ্টার প্রয়োজন?

বেশিরভাগ টিম যতটা আশা করে তার চেয়ে কম, কারণ এই কাটওভারটি প্রতি নেটওয়ার্কে একটি DNS পরিবর্তন। কাজটি তিনটি জায়গায় থাকে। আপনি প্রক্সি ক্যাটাগরিগুলিকে DNS ক্যাটাগরিতে ম্যাপ করবেন, URL-পাথ সংক্রান্ত নিয়মগুলির কী করবেন তা স্থির করবেন যেগুলির কোনো DNS সমতুল্য নেই, এবং ফায়ারওয়ালে এনক্রিপ্টেড DNS ব্লক করবেন। পুরানো নিয়মের সেটটি বাতিল করার আগে একটি আসল ডিভাইস থেকে প্রতিটি নেটওয়ার্ক পরীক্ষা করুন।