রডম্যান রামেজানিয়ান - গ্লোবাল ক্লাউড থ্রেট লিড, Skyhigh Security
22 অক্টোবর, 2024 3 মিনিট পড়া
সাইবার নিরাপত্তা পেশাদার হিসাবে Skyhigh Security , এবং আমাদের দেশের সমালোচনামূলক সম্পদ রক্ষার জন্য নিবেদিত একজন প্রযুক্তিবিদ হিসাবে, আমি হুমকি অভিনেতাদের অনুসন্ধান এবং ইন্টারনেট-মুখী এজ ডিভাইসগুলিকে শোষণ করতে দেখতে কয়েক বছর কাটিয়েছি - সেই সমালোচনামূলক গেটওয়ে যা আমাদের কর্পোরেট নেটওয়ার্কগুলিকে বিস্তৃত ডিজিটাল বিশ্বের সাথে সংযুক্ত করে। এই কারণেই আমি এই গুরুত্বপূর্ণ অবকাঠামোগত উপাদানগুলিকে সুরক্ষিত করার বিষয়ে অস্ট্রেলিয়ান সাইবার সিকিউরিটি সেন্টারের (ACSC) সর্বশেষ প্রান্ত নিরাপত্তা নির্দেশিকাকে আন্তরিকভাবে স্বাগত জানাই।
সময় ভালো হতে পারে না. আমরা পরবর্তী প্রজন্মের ফায়ারওয়াল থেকে লোড ব্যালেন্সার এবং ভিপিএন কনসেনট্রেটর পর্যন্ত এজ ডিভাইসগুলিকে লক্ষ্য করে অত্যাধুনিক আক্রমণে একটি অভূতপূর্ব বৃদ্ধি দেখতে পাচ্ছি। এগুলি এখন আর কেবল নেটওয়ার্ক উপাদান নয় - তারা ক্রমবর্ধমান প্রতিকূল সাইবার ল্যান্ডস্কেপে প্রতিরক্ষার প্রথম লাইন। যখন আপোস করা হয়, তখন তারা আক্রমণকারীদের আমাদের নেটওয়ার্কে একটি বিশেষ সুবিধা প্রদান করতে পারে, সম্ভাব্যভাবে সংবেদনশীল ডেটা এবং সমালোচনামূলক সিস্টেমগুলিকে প্রকাশ করে৷
ভিপিএন প্রযুক্তির মৌলিক সমস্যা, উদাহরণস্বরূপ, তারা একটি পাবলিক অ্যাক্সেস পয়েন্ট তৈরি করে; দুর্বলতা অনুসন্ধানকারী আক্রমণকারীদের জন্য একটি ধ্রুবক লক্ষ্য। VPN ব্যবহার করে সফল প্রমাণীকরণ (বা শোষণ) আপনার নেটওয়ার্কে ব্যবহারকারী এবং আক্রমণকারী উভয়কেই অনুমতি দেয়। উচ্চ সম্ভাব্য পুরষ্কার সহ, ভিপিএনগুলি একটি প্রধান লক্ষ্য হিসাবে রয়ে গেছে। অতীত, বর্তমান এবং ভবিষ্যতের আক্রমণ এটি প্রমাণ করে – লাভজনক তথ্য তাদের সাইবার অপরাধীদের জন্য একটি নিরলস বুলসি করে তোলে।
এবং পুরানো কথাটি বলে - "যদি আপনি পৌঁছাতে পারেন তবে আপনি লঙ্ঘনযোগ্য।" সাম্প্রতিক হুমকি থেকে আমরা কী শিখেছি?
- অভ্যন্তরীণ হুমকি এবং সামাজিক প্রকৌশল : Lapsus$ বিশ্বস্ত অভ্যন্তরীণ ব্যক্তি এবং সামাজিক প্রকৌশলকে কাজে লাগিয়ে প্রান্ত-ভিত্তিক রিমোট অ্যাক্সেস প্রযুক্তির সুবিধার নিছক প্রভাবগুলি আমাদের দেখিয়েছে।
- র্যানসমওয়্যার : *কিলিন* , *আকিরা* এবং *ফোগ*-এর মতো প্রচারাভিযানগুলি এজ-ভিত্তিক প্রযুক্তিতে ভিপিএন এবং স্ট্যাটিক শংসাপত্রের উপর বিশ্বব্যাপী নির্ভরশীল সংস্থাগুলিকে লক্ষ্য করে চলেছে৷
- দুর্বলতা : Fortinet , Check Point , Ivanti , এবং অন্যান্যদের থেকে প্রান্ত ডিভাইসে গুরুতর ত্রুটি এবং শূন্য-দিনের দুর্বলতাগুলি সংস্থাগুলিকে প্রকাশ করা অব্যাহত রাখে৷
- লক্ষ্যযুক্ত প্রচারাভিযান : আক্রমণকারীরা ক্রমাগত সিসকো , চেক পয়েন্ট এবং অন্যান্য থেকে প্রান্ত-ভিত্তিক VPN প্রযুক্তিগুলিকে লক্ষ্য করে চুরি করা শংসাপত্রগুলি ব্যবহার করে নেটওয়ার্কগুলি লঙ্ঘন করতে৷
যা ACSC-এর সর্বশেষ নির্দেশিকাকে বিশেষভাবে মূল্যবান করে তুলেছে তা হল ডিভাইসের নিরাপত্তার জন্য এর সামগ্রিক পদ্ধতি। শুধুমাত্র প্রযুক্তিগত কনফিগারেশনের উপর ফোকাস করার পরিবর্তে, এটি ব্যাপক নিরাপত্তা স্থাপত্য, সঠিক অ্যাক্সেস নিয়ন্ত্রণ এবং ক্রমাগত পর্যবেক্ষণের গুরুত্বের উপর জোর দেয়। এটি আমরা ক্ষেত্রটিতে যা পর্যবেক্ষণ করেছি তার সাথে পুরোপুরি সারিবদ্ধ: সফল প্রান্ত ডিভাইস সুরক্ষার জন্য একটি স্তরযুক্ত কৌশল প্রয়োজন যা শক্তিশালী প্রযুক্তিগত নিয়ন্ত্রণগুলিকে সাউন্ড অপারেশনাল অনুশীলনের সাথে একত্রিত করে।
তাদের নির্দেশিকা একটি গুরুত্বপূর্ণ প্রশমন কৌশল হিসাবে মাল্টি-ফ্যাক্টর প্রমাণীকরণ (MFA) এর উপর স্পর্শ করে, কিন্তু আমি যোগ করব যে আজকাল MFA পরিপূরক করার জন্য আরও অনেক কিছু প্রয়োজন। উপরে উল্লিখিত সাইবার আক্রমণ এবং হুমকি প্রচারণার অনেকগুলিতে, আক্রমণকারীরা খুব সহজেই MFA-কে অতিক্রম করেছে যা MFA ক্লান্তি বা বোমাবাজি কৌশল নামে পরিচিত।
সুতরাং, আপনি জিজ্ঞাসা করতে পারেন: আমাদের আর কি সম্পর্কে চিন্তা করা উচিত?
" জিরো ট্রাস্ট " অবিলম্বে এখানে মনে আসতে পারে। দুর্ভাগ্যবশত, জিরো ট্রাস্ট সমস্ত যুক্তিসঙ্গত অনুপাতের বাইরে হাইপ করা হয়েছে। সমস্ত গুঞ্জন একটি মৌলিক বিন্দুর দিকে এগিয়ে যাচ্ছে বলে মনে হচ্ছে: জিরো ট্রাস্ট একটি পণ্য নয়, এবং আমি ACSC-কে এমন পরামর্শ না দেওয়ার জন্য প্রশংসা করি৷ যদিও একটি পণ্য বা পরিষেবা প্রকৃতপক্ষে একটি জিরো ট্রাস্ট নিরাপত্তা কৌশলের অংশ হতে পারে, কোন একক পণ্য সমস্ত জিরো ট্রাস্ট প্রয়োজনীয়তা পূরণ করতে এবং আপনার সংস্থাকে রূপান্তর করতে পারে না। জিরো ট্রাস্ট আর্কিটেকচারের জন্য একাধিক সিস্টেমের সমন্বয় প্রয়োজন - পরিচয় এবং প্রমাণীকরণ পরিষেবা থেকে ডেটা শ্রেণীবিভাগ ইঞ্জিন পর্যন্ত।
প্রথাগত VPN সিস্টেমের বিপরীতে যা ব্যবহারকারীরা নেটওয়ার্কের সাথে সংযুক্ত হওয়ার পরে তাদের বিশ্বাস করে, জিরো ট্রাস্ট আর্কিটেকচার তাদের অবস্থান বা পূর্ববর্তী অ্যাক্সেস নির্বিশেষে সম্পদ অ্যাক্সেস করার চেষ্টাকারী প্রতিটি ব্যবহারকারী এবং ডিভাইসকে ক্রমাগত যাচাই করে। এই ধ্রুবক যাচাইকরণ আজকের বিশ্বে অত্যন্ত গুরুত্বপূর্ণ হয়ে উঠেছে যেখানে অফিস নেটওয়ার্ক থেকে হোম ওয়াই-ফাই থেকে কফি শপ পর্যন্ত সব জায়গায় কাজ করা হয় - শুধুমাত্র কর্পোরেট নেটওয়ার্ক পরিধির মধ্যে সকলকে বিশ্বাস করে নিরাপত্তা বজায় রাখা কঠিন করে তোলে৷
যেখানে আমি ACSC-এর নির্দেশিকা প্রসারিত করব তা হল ঐতিহ্যগত প্রান্ত নিরাপত্তা থেকে ঝুঁকি-ভিত্তিক রূপান্তরের প্রয়োজন। যদিও ক্লাউড-ডেলিভারি নিরাপত্তা পরিষেবাগুলি বাধ্যতামূলক সুবিধা প্রদান করে, একটি হাইব্রিড পদ্ধতি প্রায়শই আরও কৌশলগত ধারণা তৈরি করে। নিয়ন্ত্রক এবং/অথবা সার্বভৌমত্বের প্রয়োজনীয়তা, ডেটা সংবেদনশীলতা এবং শ্রেণীবিভাগ, লেটেন্সি উদ্বেগ, বা ব্যবসার ধারাবাহিকতা বিবেচনার কারণে কিছু সমালোচনামূলক সিস্টেম এবং সংবেদনশীল ডেটা প্রাঙ্গনে থাকতে হতে পারে।
আপনার অবকাঠামোর বিভিন্ন অংশে বিভিন্ন পদ্ধতির প্রয়োজন হতে পারে তা স্বীকার করার সাথে সাথে প্রান্তের নিরাপত্তাকে আধুনিকীকরণ করাই মূল বিষয়। এর অর্থ হতে পারে কিছু অন-প্রাঙ্গনে উপাদান এবং অবকাঠামো বজায় রাখা যা এখনও নির্দিষ্ট ব্যবহারের ক্ষেত্রে জিরো ট্রাস্ট নীতিগুলিকে সমর্থন করে যখন অন্যদের জন্য ক্লাউড-ডেলিভারি নিরাপত্তা পরিষেবাগুলি গ্রহণ করে, প্রতিটি পছন্দ একটি সর্বজনীন ক্লাউড-ফার্স্ট ম্যান্ডেট অনুসরণ করার পরিবর্তে ঝুঁকি মূল্যায়ন দ্বারা চালিত হয় তা নিশ্চিত করা।
এই নির্দেশিকাগুলি আমাদের মনে করিয়ে দেয় যে প্রান্ত সুরক্ষা প্যাচিং এবং ফায়ারওয়াল নিয়মের বাইরে প্রসারিত। এটি এমন স্থিতিস্থাপক সিস্টেম তৈরির বিষয়ে যা ব্যবসার প্রয়োজনের সাথে নিরাপত্তার ভারসাম্য বজায় রাখে। যেহেতু হাইব্রিড কাজ এবং জটিল ডিজিটাল সাপ্লাই চেইনগুলি আদর্শ হয়ে উঠেছে, তাই ACSC-এর নতুন প্রান্ত নিরাপত্তা নির্দেশিকা আমাদের গুরুত্বপূর্ণ নেটওয়ার্ক এন্ট্রি পয়েন্টগুলিকে রক্ষা করার জন্য একটি শক্ত ভিত্তি প্রদান করে৷
যদিও কেউ কেউ যুক্তি দিতে পারে যে ACSC-এর নতুন এজ নিরাপত্তা নির্দেশিকা " সমস্ত ভিত্তিগুলিকে কভার " করার জন্য যথেষ্ট পরিপূর্ণ বা প্রেসক্রিপটিভ নয়, তাই বলতে গেলে, এটি একটি গুরুত্বপূর্ণ অনুস্মারক এবং কল-টু-অ্যাকশন হিসাবে কাজ করে যাতে প্রথাগত প্রান্ত এবং পরিধির উপর ভারী নির্ভরতা পুনর্মূল্যায়ন করা যায়। -ভিত্তিক প্রযুক্তি, যা আমাদের সরকার এবং সমালোচনামূলক অবকাঠামো খাতে এখনও প্রচলিত রয়েছে, এতগুলি বিবর্তিত হুমকি সত্ত্বেও।
ব্লগে ফিরে যান