नेटवर्क आरेख अक्सर भौतिक सुरक्षा प्रणालियों को सावधानी से अलग किए गए ज़ोन में दिखाते हैं, लेकिन कोई आरेख यह सिद्ध नहीं करता कि नियंत्रण काम करते हैं। फ़ायरवॉल ड्रिफ्ट, अस्थायी रखरखाव नियम, दो नेटवर्क से जुड़े सर्वर और अप्रबंधित स्विच उन नेटवर्क को दोबारा जोड़ सकते हैं जिन्हें अलग रहना था। सेगमेंटेशन सत्यापन डिज़ाइन दस्तावेज़ पर भरोसा करने के बजाय तैनात मार्गों का परीक्षण करता है।
ज़ोन और अनुमत प्रवाह निर्धारित करें
फ़ील्ड डिवाइस, नियंत्रक, रिकॉर्डिंग, प्रबंधन, ऑपरेटर क्लाइंट, एकीकरण सेवाएँ और रिमोट समर्थन जैसे कार्यात्मक ज़ोन से शुरुआत करें। ज़ोन की प्रत्येक जोड़ी के लिए सटीक अनुमत स्रोत, गंतव्य, प्रोटोकॉल और व्यावसायिक उद्देश्य का दस्तावेजीकरण करें। जहाँ आर्किटेक्चर अनुमति देता है, वहाँ अन्य सभी चीज़ें डिफ़ॉल्ट रूप से अस्वीकृत होनी चाहिए।
ऐसी निर्भरताएँ शामिल करें जिन्हें आसानी से अनदेखा किया जा सकता है: DNS, NTP, प्रमाणपत्र नामांकन, डायरेक्टरी सेवाएँ, सॉफ्टवेयर रिपॉजिटरी, ईमेल रिले और निगरानी। अपूर्ण अलाउलिस्ट टीमों को व्यापक आपातकालीन नियम अपनाने की ओर धकेल सकती है, जो बाद में स्थायी हो जाते हैं।
प्रतिनिधि एंडपॉइंट से सत्यापित करें
परीक्षण वास्तविक डिवाइस वर्गों या उनके सुरक्षित समकक्षों से शुरू होना चाहिए। IT नेटवर्क से किया गया स्कैन यह सिद्ध नहीं कर सकता कि कोई एम्बेडेड कैमरा या नियंत्रक कहाँ तक पहुँच सकता है। निर्धारित कनेक्शनों की पुष्टि करें, फिर नियंत्रित तरीके से निषिद्ध मार्गों का प्रयास करें। क्लाइंट परिणाम और फ़ायरवॉल या स्विच लॉग—दोनों की समीक्षा करें, ताकि बिना सूचना के ड्रॉप और रूटिंग विफलताओं में अंतर किया जा सके।
NIST का ऑपरेशनल-टेक्नोलॉजी सुरक्षा मार्गदर्शन सेगमेंटेशन और नियंत्रित संचार मार्गों को जोखिम घटाने के केंद्रीय उपायों के रूप में सुझाता है। भौतिक सुरक्षा नेटवर्क की कई सीमाएँ समान हैं: लंबे समय तक चलने वाले डिवाइस, विक्रेता प्रोटोकॉल, उपलब्धता आवश्यकताएँ और सीमित एंडपॉइंट सुरक्षा।
प्रबंधन और विक्रेता पहुँच का अलग-अलग परीक्षण करें
प्रशासनिक मार्गों का सत्यापन सामान्य इवेंट ट्रैफ़िक की तुलना में अधिक कठोर होना चाहिए। पुष्टि करें कि डिवाइस प्रबंधन स्वीकृत जंप होस्ट, नामित उपयोगकर्ताओं और निगरानी वाले सत्रों तक सीमित है। परीक्षण करें कि विक्रेता की VPN पहुँच केवल अनुबंधित प्रणालियों तक पहुँच सकती है और स्वीकृत अवधियों के बाहर पहुँच निष्क्रिय रहती है।
Wi-Fi, सेल्युलर मॉडेम, द्वितीयक नेटवर्क इंटरफेस और सेवा लैपटॉप के माध्यम से वैकल्पिक मार्गों की जाँच करें। प्राथमिक इंटरफेस पर अलग किया गया नियंत्रक भी अनदेखे चैनल के माध्यम से प्रबंधन सेवा उपलब्ध करा सकता है। SectechMedia का एक्सेस-कंट्रोल साइबर सुरक्षा हार्डनिंग पर लेख संबंधित डिवाइस और क्रेडेंशियल नियंत्रणों को शामिल करता है।
विफलता और रिकवरी स्थितियाँ शामिल करें
फेलओवर के दौरान सेगमेंटेशन बदल सकता है। रिडंडेंट फ़ायरवॉल, बैकअप लिंक, डिज़ास्टर-रिकवरी साइट और रखरखाव के दौरान उपयोग होने वाली अस्थायी रूटिंग का परीक्षण करें। पुष्टि करें कि विफल सुरक्षा उपकरण डिफ़ॉल्ट रूप से अप्रतिबंधित मार्ग नहीं खोलता और बहाल कॉन्फ़िगरेशन स्वीकृत नीति को बनाए रखते हैं।
महत्त्वपूर्ण परीक्षणों के लिए पैकेट कैप्चर या लॉग साक्ष्य दर्ज करें। केवल पास/फेल वर्कशीट तब अपर्याप्त होती है जब कोई नियम बाद में बदलता है या घटना टीम को ऐतिहासिक पहुँच समझने की आवश्यकता होती है।
अपवादों को समाप्त होने वाले जोखिमों के रूप में प्रबंधित करें
प्रत्येक अपवाद में स्वामी, कारण, प्रतिपूरक नियंत्रण और समाप्ति तिथि की पहचान होनी चाहिए। फर्मवेयर अपग्रेड, VMS माइग्रेशन, नियंत्रक प्रतिस्थापन और नेटवर्क पुनःडिज़ाइन के बाद दोबारा परीक्षण करें। अनपेक्षित रूप से पहुँच योग्य मार्गों, पुराने नियमों और अपने निर्धारित ज़ोन से बाहर मौजूद एसेट को ट्रैक करें। परिणाम ऐसा सतत सत्यापन कार्यक्रम होना चाहिए जो किसी हमलावर या सेवा बाधा के सामने आने से पहले आर्किटेक्चरल ड्रिफ्ट का पता लगा सके।
