সাইবারসিকিউরিটি ও এথিক্যাল হ্যাকিং পরিচিতি

১ · CIA Triad — সাইবারসিকিউরিটির ভিত্তি

সাইবারসিকিউরিটিCybersecurityকম্পিউটার সিস্টেম, নেটওয়ার্ক ও ডেটাকে অননুমোদিত অ্যাক্সেস, ক্ষতি বা ধ্বংস থেকে রক্ষা করার অনুশীলন। -এর প্রতিটি সিদ্ধান্ত তিনটি মৌলিক লক্ষ্যের ভারসাম্য বজায় রাখে, যাকে একসাথে CIA TriadCIA TriadConfidentiality, Integrity, Availability — সাইবারসিকিউরিটির তিনটি মূল স্তম্ভ। প্রায় প্রতিটি সিকিউরিটি সিদ্ধান্ত এই তিনটির মধ্যে একটি ট্রেড-অফ। বলা হয়।

২ · এথিক্যাল হ্যাকিং আসলে কী — এবং কী নয়

এথিক্যাল হ্যাকিংEthical Hackingএকজন সিস্টেমের মালিকের কাছ থেকে লিখিত অনুমতি নিয়ে, সংজ্ঞায়িত স্কোপের মধ্যে থেকে, দুর্বলতা খুঁজে বের করার এবং প্রতিরক্ষা শক্তিশালী করার উদ্দেশ্যে করা নিরাপত্তা পরীক্ষা। এটিকে Penetration Testing বা "Pen Testing"ও বলা হয়। একজন malicious hacker যে কৌশল ব্যবহার করে, একজন এথিক্যাল হ্যাকার প্রায় সেই একই কৌশল ব্যবহার করেন। পার্থক্যটা কৌশলে নয় — পার্থক্যটা তিনটি জিনিসে:

1. অনুমতি (Authorization) — সিস্টেমের মালিকের কাছ থেকে স্পষ্ট, লিখিত অনুমতি আছে।
2. স্কোপ (Scope) — ঠিক কোন সিস্টেম, কোন সময়ে, কোন পদ্ধতিতে পরীক্ষা করা যাবে তা আগে থেকে নির্ধারিত।
3. উদ্দেশ্য (Intent) — লক্ষ্য ক্ষতি করা নয়, বরং দুর্বলতা খুঁজে বের করে রিপোর্ট করা যাতে তা ঠিক করা যায়।

৩ · Rules of Engagement — একটি পেশাদার পেনিট্রেশন টেস্ট যেভাবে শুরু হয়

একটি বাস্তব, পেশাদার পেনিট্রেশন টেস্ট কখনোই মৌখিক অনুমতিতে শুরু হয় না। এটি শুরু হয় একটি লিখিত Rules of Engagement (RoE)Rules of Engagementএকটি লিখিত চুক্তি যা নির্ধারণ করে কোন সিস্টেম টেস্ট করা যাবে, কখন, কোন পদ্ধতিতে, এবং কী করা যাবে না — একজন এথিক্যাল হ্যাকারের আইনি সুরক্ষার ভিত্তি। নথি দিয়ে, যাতে থাকে —

• স্কোপ — ঠিক কোন IP রেঞ্জ, ডোমেইন বা অ্যাপ্লিকেশন টেস্ট করা যাবে (এবং কোনগুলো একেবারেই নিষিদ্ধ)।
• সময়সীমা — কোন সময়ে টেস্ট চালানো যাবে (যাতে প্রোডাকশন সিস্টেমে অপ্রত্যাশিত প্রভাব এড়ানো যায়)।
• অনুমোদিত পদ্ধতি — DoS-স্টাইল টেস্টিং অনুমোদিত কি না, সোশ্যাল ইঞ্জিনিয়ারিং অনুমোদিত কি না, ইত্যাদি।
• জরুরি যোগাযোগ — কিছু ভুল হলে (যেমন প্রোডাকশন সিস্টেম ক্র্যাশ) কাকে সাথে সাথে জানাতে হবে।

এই নথিটিই একজন এথিক্যাল হ্যাকারের "গেট আউট অফ জেল" সুরক্ষা — এটি প্রমাণ করে যে তার কাজ অনুমোদিত ছিল।

৪ · Integrity রক্ষার একটি ছোট্ট, নিরাপদ উদাহরণ — হ্যাশিং

Integrity (অখণ্ডতা) রক্ষার একটি মৌলিক টুল হলো ক্রিপ্টোগ্রাফিক হ্যাশ ফাংশনCryptographic Hash Functionযেকোনো দৈর্ঘ্যের ইনপুট থেকে একটি নির্দিষ্ট দৈর্ঘ্যের "ফিঙ্গারপ্রিন্ট" তৈরি করে। ইনপুটে সামান্যতম পরিবর্তনেও আউটপুট সম্পূর্ণ ভিন্ন হয়ে যায় (avalanche effect)। M7-এ বিস্তারিত কভার হবে। — একটি ফাইলের হ্যাশ কম্পিউট করে রাখলে, পরে সেই ফাইল পরিবর্তিত হয়েছে কি না তা যাচাই করা যায়। নিচের কোড সেলটি সম্পূর্ণ নিরাপদ — এটি শুধু দুটি প্রায়-অভিন্ন স্ট্রিং-এর হ্যাশ তুলনা করছে, কোনো বাস্তব সিস্টেমকে স্পর্শ করছে না।

import hashlib

original = "Hello, ABCL TECH!"
tampered = "Hallo, ABCL TECH!"   # মাত্র ১টি অক্ষর পরিবর্তিত (e -> a)

hash_original = hashlib.sha256(original.encode()).hexdigest()
hash_tampered = hashlib.sha256(tampered.encode()).hexdigest()

print("মূল বার্তা:      ", original)
print("মূল হ্যাশ:       ", hash_original)
print()
print("পরিবর্তিত বার্তা: ", tampered)
print("পরিবর্তিত হ্যাশ: ", hash_tampered)
print()
print("হ্যাশ দুটি কি মিলছে?", hash_original == hash_tampered)

৫ · এই কোর্সের সুরক্ষা মডেল

এই কোর্সের প্রতিটি হ্যান্ডস-অন কোড সেল একটি নির্দিষ্ট নীতি মেনে চলে — সবসময় ভুয়া, ইন-মেমরি ডেটার উপর সিমুলেশন, কখনো বাস্তব নেটওয়ার্ক কল বা বাস্তব সিস্টেমের বিরুদ্ধে নয়। যেমন, SQL ইনজেকশন শেখার সময় আমরা একটি ভুয়া Python dictionary-কে "ডেটাবেস" হিসেবে ব্যবহার করব, বাস্তব কোনো ডেটাবেস সার্ভারকে নয়। এটি আপনাকে কৌশলগুলোর যুক্তি নিরাপদে শিখতে দেয়, বাস্তব-জগতের কোনো ঝুঁকি ছাড়াই।

বাস্তব হাতে-কলমে অনুশীলনের জন্য, শুধুমাত্র এই ধরনের বৈধ জায়গা ব্যবহার করুন: নিজের ব্যক্তিগত ল্যাব (যেমন নিজের কম্পিউটারে virtual machine), অনুমোদিত CTF প্ল্যাটফর্ম (যেমন TryHackMe, HackTheBox — যেগুলো নিজেরাই টেস্টিং-এর জন্য অনুমতি দেয়), অথবা কোনো প্রতিষ্ঠানের আনুষ্ঠানিক বাগ বাউন্টি প্রোগ্রাম যার স্পষ্ট স্কোপ আছে।