ইনসিডেন্ট রেসপন্স লাইফসাইকেল

১ · ইনসিডেন্ট রেসপন্স লাইফসাইকেল কী

যখন একটি সিকিউরিটি ঘটনা (breach, malware infection, unauthorized access) ঘটে, একটি সংগঠন কীভাবে সাড়া দেয় তা প্রায়ই ক্ষতির পরিমাণ নির্ধারণ করে দেয়। ইনসিডেন্ট রেসপন্সIncident Response (IR)একটি সিকিউরিটি ঘটনা শনাক্ত করা, নিয়ন্ত্রণ করা, নির্মূল করা এবং তা থেকে পুনরুদ্ধার করার সুসংগঠিত প্রক্রিয়া, যাতে ক্ষতি ও পুনরাবৃত্তির ঝুঁকি সর্বনিম্ন হয়। এই প্রক্রিয়াকে সুশৃঙ্খল করে, যাতে চাপের মুহূর্তেও দল এলোমেলোভাবে প্রতিক্রিয়া না জানিয়ে একটি প্রমাণিত কাঠামো অনুসরণ করে। NIST (National Institute of Standards and Technology)-স্টাইল মডেলে এটি ছয়টি ধাপে বিভক্ত।

২ · কেন Containment সবসময় Eradication-এর আগে

একটি সাধারণ ভুল হলো ঘটনা শনাক্ত হওয়ার সাথে সাথেই তাড়াহুড়ো করে "সব পরিষ্কার" করে ফেলার চেষ্টা করা। কিন্তু পুরো স্কোপ (কতগুলো সিস্টেম প্রভাবিত, আক্রমণকারীর কতগুলো অ্যাক্সেস পয়েন্ট আছে) না বুঝেই ম্যালওয়্যার মুছে ফেললে —

• গুরুত্বপূর্ণ প্রমাণ নষ্ট হয়ে যেতে পারে — যা পরবর্তী তদন্ত বা আইনি প্রক্রিয়ার জন্য প্রয়োজন হতে পারে (ties to L49)।
• আক্রমণকারী অন্য কোনো গোপন অ্যাক্সেস পয়েন্ট (backdoor) থেকে যেতে পারে — একটি সিস্টেম পরিষ্কার করলেও যদি আক্রমণকারীর দ্বিতীয় প্রবেশপথ থেকে যায়, সে কয়েক মুহূর্তের মধ্যেই ফিরে আসতে পারে।

তাই সঠিক ক্রম হলো: প্রথমে Containment (শর্ট-টার্ম — প্রভাবিত সিস্টেমকে নেটওয়ার্ক থেকে বিচ্ছিন্ন করা; লং-টার্ম — সাময়িক প্যাচ বা নিয়ন্ত্রিত অ্যাক্সেস দিয়ে সিস্টেম চালু রাখা), তারপর পুরো স্কোপ ও মূল কারণ নিশ্চিত হওয়ার পরই Eradication।

৩ · ধাপগুলোর ক্রম কেন গুরুত্বপূর্ণ — কোড দিয়ে দেখা

নিচের কোড সেলটি সম্পূর্ণ নিরাপদ ও ইন-মেমরি — এটি ছয়টি ধাপকে একটি dict-এ সংরক্ষণ করে ক্রমানুসারে প্রিন্ট করে, এবং একটি সাধারণ স্টেট-মেশিন ফাংশন দিয়ে দেখায় কেন ক্রম ভঙ্গ করে সরাসরি Recovery-তে "লাফ দেওয়া" যায় না।

ir_lifecycle = {
    "Preparation":    {"goal": "ঘটনার আগেই দল, টুল ও প্লেবুক প্রস্তুত রাখা"},
    "Identification": {"goal": "একটি প্রকৃত ঘটনা শনাক্ত ও নিশ্চিত করা"},
    "Containment":    {"goal": "ছড়িয়ে পড়া থামানো (শর্ট-টার্ম ও লং-টার্ম)"},
    "Eradication":    {"goal": "মূল কারণ (ম্যালওয়্যার/অ্যাক্সেস) সরিয়ে ফেলা"},
    "Recovery":       {"goal": "সিস্টেমকে নিরাপদে স্বাভাবিক কার্যক্রমে ফেরানো"},
    "Lessons Learned":{"goal": "পোস্ট-ইনসিডেন্ট রিভিউ, পরবর্তী Preparation উন্নত করা"},
}

phase_order = list(ir_lifecycle.keys())

print("=== ইনসিডেন্ট রেসপন্স লাইফসাইকেল ===")
for i, phase in enumerate(phase_order, start=1):
    print(f"{i}. {phase} — {ir_lifecycle[phase]['goal']}")

def advance_phase(current_phase, requested_phase, order=phase_order):
    current_index = order.index(current_phase)
    requested_index = order.index(requested_phase)
    if requested_index == current_index + 1:
        return True, f"অনুমোদিত: {current_phase} -> {requested_phase}"
    return False, f"প্রত্যাখ্যাত: {current_phase} থেকে সরাসরি {requested_phase}-এ যাওয়া যাবে না"

print()
print("=== ধাপ পরিবর্তনের চেষ্টা ===")
ok1, msg1 = advance_phase("Containment", "Eradication")
print(msg1)

ok2, msg2 = advance_phase("Identification", "Recovery")   # ক্রম ভঙ্গ করার চেষ্টা
print(msg2)