A09/A10: সিকিউরিটি লগিং ফেইলিওর ও SSRF

১ · A09 — সিকিউরিটি লগিং ও মনিটরিং ফেইলিওর

Security Logging and Monitoring FailuresA09 (OWASP Top 10, 2021)ব্যর্থ লগইন, অ্যাক্সেস-কন্ট্রোল লঙ্ঘন, উচ্চ-মূল্যের ট্রানজ্যাকশনের মতো সিকিউরিটি-প্রাসঙ্গিক ইভেন্ট পর্যাপ্তভাবে লগ ও মনিটর না করার ব্যর্থতা। -এর প্রভাব প্রায়ই বাস্তব বিশ্বে বিশাল — অনেক প্রকৃত ব্রিচের গড় শনাক্তকরণ সময় মাসের পর মাস পরিমাপ করা হয়, শুধু এই কারণে যে কেউ সেই সময় পর্যন্ত লক্ষ করেইনি কিছু ভুল হচ্ছে। একটি সিস্টেম প্রযুক্তিগতভাবে "নিরাপদ" হলেও, যদি কোনো আক্রমণ ঘটার পর তা শনাক্ত করার কোনো উপায়ই না থাকে, তাহলে প্রতিরক্ষা কার্যকরভাবে অসম্পূর্ণ।

যা অবশ্যই লগ করা উচিত: ব্যর্থ লগইন প্রচেষ্টা (ties to L25, L30-এর ব্রুট-ফোর্স প্যাটার্ন), অ্যাক্সেস-কন্ট্রোল লঙ্ঘনের প্রচেষ্টা (ties to L18), উচ্চ-মূল্যের ট্রানজ্যাকশন, এবং কনফিগারেশন পরিবর্তন। সমাধান শুধু "লগ রাখা" নয় — লগ + অ্যালার্টিং + একটি নিয়মিত রিভিউ প্রক্রিয়া একসাথে প্রয়োজন (M10-এ আমরা SIEM ও লগ-অ্যানালাইসিস বিস্তারিত কভার করব)।

২ · A10 — Server-Side Request Forgery (SSRF)

SSRFServer-Side Request Forgeryএকটি সার্ভার-সাইড ফিচার যখন ব্যবহারকারীর সরবরাহ করা একটি URL যাচাই ছাড়াই ফেচ করে, আক্রমণকারী সেই সার্ভারকে দিয়ে এমন ইন্টারনাল-অনলি রিসোর্সে অনুরোধ পাঠাতে পারে যা বাইরে থেকে সরাসরি অ্যাক্সেসযোগ্য নয়। -এর একটি ক্লাসিক উদাহরণ: একটি অ্যাপ যদি ব্যবহারকারীর দেওয়া একটি "ইমেজ URL" থেকে থাম্বনেইল তৈরি করার ফিচার দেয়, এবং সেই URL ফেচ করার আগে যাচাই না করে, একজন আক্রমণকারী সেই URL হিসেবে সার্ভারের ইন্টারনাল ক্লাউড মেটাডেটা এন্ডপয়েন্টের মতো ঠিকানা দিয়ে দিতে পারে — সার্ভার নিজেই (আক্রমণকারীর ব্রাউজার নয়) সেই ইন্টারনাল রিসোর্সে অনুরোধ পাঠিয়ে ফেলে এবং প্রতিক্রিয়া আক্রমণকারীকে ফিরিয়ে দেয়।

SSRF-এর প্রতিরক্ষা: অনুমোদিত গন্তব্যের একটি allowlist ব্যবহার করা (শুধু নির্দিষ্ট, পূর্ব-অনুমোদিত ডোমেইন/IP-তে ফেচ করার অনুমতি দেওয়া), অপ্রয়োজনীয় URL-ফেচিং ফিচার সম্পূর্ণ নিষ্ক্রিয় রাখা, এবং নেটওয়ার্ক সেগমেন্টেশন (যাতে অ্যাপ্লিকেশন সার্ভার থেকেও সবচেয়ে স্পর্শকাতর ইন্টারনাল রিসোর্স সরাসরি পৌঁছানো না যায়)।

৩ · কোড ডেমো ১ — লগিং থাকা বনাম না থাকার পার্থক্য

নিচের কোড সেলটি একটি সিমুলেটেড আক্রমণ-সিকোয়েন্স দুইভাবে চালাচ্ছে — একবার লগিং-সহ, একবার লগিং ছাড়া — এবং দেখাচ্ছে লগিং ছাড়া ঘটনাগুলো কার্যত অদৃশ্য থেকে যায়।

events = []

def log_event(event_type, details):
    events.append({"event_type": event_type, "details": details})

def silent_action(event_type, details):
    pass  # লগিং নেই — কিছুই সংরক্ষিত হয় না

# একটি সিমুলেটেড আক্রমণ-সিকোয়েন্স
attack_sequence = [
    ("failed_login", {"user": "admin", "ip": "203.0.113.9"}),
    ("failed_login", {"user": "admin", "ip": "203.0.113.9"}),
    ("access_denied", {"user": "guest42", "resource": "/admin/settings"}),
    ("login_success", {"user": "admin", "ip": "203.0.113.9"}),
    ("high_value_txn", {"user": "admin", "amount": 900000}),
]

for event_type, details in attack_sequence:
    log_event(event_type, details)      # প্রপার লগিং ভার্সনে সংরক্ষিত হচ্ছে
    silent_action(event_type, details)  # সাইলেন্ট ভার্সনে কিছুই সংরক্ষিত হচ্ছে না

print(f"লগ করা ইভেন্ট সংখ্যা: {len(events)} — পুরো আক্রমণ-সিকোয়েন্স পুনর্গঠনযোগ্য")
for e in events:
    print(" -", e["event_type"], e["details"])
print()
print("সাইলেন্ট (আনলগড) ভার্সনে সংরক্ষিত ইভেন্ট সংখ্যা: 0 — একই আক্রমণ সম্পূর্ণ অদৃশ্য থেকে গেল")

৪ · কোড ডেমো ২ — SSRF allowlist ভ্যালিডেশন

নিচের কোড সেলটি একটি "URL fetch" ফিচারের allowlist-ভিত্তিক প্রতিরক্ষা সিমুলেট করছে — কোনো বাস্তব নেটওয়ার্ক কল ছাড়াই, শুধু স্ট্রিং প্যাটার্ন মিলিয়ে।

def is_allowed_url(url, allowlist_prefixes):
    return any(url.startswith(prefix) for prefix in allowlist_prefixes)

allowlist_prefixes = [
    "https://images.trusted-cdn.com/",
    "https://api.partner-service.com/",
]

candidate_urls = [
    "https://images.trusted-cdn.com/photo123.jpg",     # বৈধ, অনুমোদিত CDN
    "http://169.254.169.254/latest/meta-data/",         # ইন্টারনাল ক্লাউড মেটাডেটা এন্ডপয়েন্ট — বিপজ্জনক
    "http://localhost:6379/",                           # ইন্টারনাল সার্ভিস (যেমন Redis) — বিপজ্জনক
    "https://api.partner-service.com/v1/status",        # বৈধ, অনুমোদিত পার্টনার API
]

for url in candidate_urls:
    decision = "অনুমোদিত (fetch করা হবে)" if is_allowed_url(url, allowlist_prefixes) else "প্রত্যাখ্যাত — allowlist-এ নেই"
    print(f"{decision:35s} <- {url}")