হামলার মানচিত্র — cyber kill chain আর MITRE ATT&CK, রক্ষকের চোখে

১ · রক্ষক কেন প্রতিপক্ষের মানচিত্র আঁকেন

আপনার এলাকায় পরপর কয়েকটি বাড়িতে চুরি হলো। মহল্লার পাহারাদার দল দুইভাবে ভাবতে পারে। এক, প্রতিটি বাড়িতে আরও বড় তালা লাগানো। দুই, চোরের পুরো কাজটি বোঝা। চোর আগে কয়েকদিন গলি ঘুরে দেখে। তারপর যন্ত্রপাতি জোগাড় করে। রাতে গেট পার হয়, তালা ভাঙে, ভেতরে লুকিয়ে থাকে, বাইরের সঙ্গীর সাথে যোগাযোগ করে, শেষে আলমারি খালি করে।

দ্বিতীয় ভাবনায় পাহারাদার দেখেন, থামানোর জায়গা একটি নয়, সাতটি। গলিতে অচেনা মুখ দেখলে খাতায় লেখা যায়। গেটে আলো বসানো যায়। আলমারি আলাদা ঘরে রাখা যায়। চোরকে সবগুলো ধাপ পার হতে হয়, আর রক্ষকের দরকার যেকোনো এক জায়গায় তাকে থামানো। ডিজিটাল জগতেও এই চিন্তাটিই কাজ করে।

পর্ব ৪ (Threat modeling)-এ আপনি নিজের সিস্টেম থেকে শুরু করে দেখেছেন কোথায় কী ভুল হতে পারে। এই পর্বে দৃষ্টি ঘুরছে প্রতিপক্ষের দিকে। Threat আসলে কীভাবে এগোয়, সেই বাস্তব আচরণের মানচিত্র এখানে আঁকা হবে। মডেল বানালে রক্ষক চারটি প্রশ্নের উত্তর পান:

২ · Cyber Kill Chain — সাত ধাপের শিকল

“Kill chain” শব্দটি এসেছে সামরিক লক্ষ্যভেদ-নীতি থেকে। সেখানে find, fix, track, target, engage, assess, এই ক্রমের যেকোনো একটি আংটা ভাঙলে পুরো কাজ থেমে যায়। ২০১১ সালে Lockheed Martin-এর Eric Hutchins, Michael Cloppert আর Rohan Amin একটি গবেষণাপত্রে এই ধারণা network হামলায় আনেন। শিরোনাম ছিল “Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains”. তাঁদের লক্ষ্য ছিল দীর্ঘমেয়াদি, ধৈর্যশীল প্রতিপক্ষ, যাদের বলা হয় APT.

ধাপগুলোর নাম ইংরেজিতেই মনে রাখা ভালো, কারণ রিপোর্ট আর ইন্টারভিউতে এগুলোই চলে। Reconnaissance মানে লক্ষ্য সম্পর্কে খোঁজখবর। Weaponization মানে আক্রমণকারীর নিজের জায়গায় ক্ষতিকর জিনিস তৈরি। Delivery মানে সেটি লক্ষ্যে পৌঁছানো। Exploitation মানে কোনো vulnerability বা মানুষের ভুলের সুযোগে কোড চলা। Installation মানে টিকে থাকার ব্যবস্থা, যাকে বলে persistence. Command and Control (C2) মানে বাইরের নিয়ন্ত্রকের সাথে যোগাযোগ। আর Actions on Objectives মানে আসল লক্ষ্য পূরণ, যেমন তথ্য বের করে নেওয়া বা সিস্টেম নষ্ট করা।

এবার একটি পুরো কাল্পনিক ঘটনা দেখুন। একটি কাল্পনিক অনলাইন বাজারে হিসাব বিভাগকে লক্ষ্য করা হয়েছে। প্রতিটি ধাপে রক্ষকের হাতে কী সুযোগ ছিল, সেটিই আসল দেখার বিষয়। কারিগরি কৌশল এখানে নেই, শুধু ধারণা।

৩ · প্রতিরক্ষা-ম্যাট্রিক্স — প্রতি ধাপে ছয় রকম কাজ

ধাপ জানলেই হবে না। প্রতিটি ধাপে রক্ষক কী কী করতে পারেন, সেটি একটি ছকে সাজানো যায়। মূল গবেষণাপত্রে একে বলা হয়েছে courses of action matrix. সারি হলো সাত ধাপ, কলাম হলো রক্ষকের কাজের ধরন।

মূল ছকে কিছু সুন্দর উদাহরণ আছে। Exploitation ধাপে HIDS দেখে (detect), patch আটকায় (deny), memory সুরক্ষা ভেঙে দেয় (disrupt). C2 ধাপে tarpit গতি কমায় (degrade), আর DNS redirect ভুল পথে পাঠায় (deceive). নিচের ছকটি সেই ধারণার ওপর একটি আধুনিক উদাহরণ। এটি কোনো মানদণ্ড নয়, আর প্রতিটি ঘর পূরণ করাও লক্ষ্য নয়।

ছকটির সবচেয়ে বড় লাভ ফাঁকা ঘর চোখে পড়া। আর একটি লাভ হিসাবের। ধরুন প্রতিটি ধাপে একটি হামলা থামার সম্ভাবনা জানা। সবগুলো স্বাধীন ধরলে শেষ ধাপে পৌঁছানোর সম্ভাবনা হলো:

এটি defense in depth-এর গাণিতিক ছবি। নিচের কোডের সংখ্যাগুলো ধরে নেওয়া, কোনো বাস্তব পরিমাপ নয়। চালিয়ে দেখুন, আর সংখ্যা বদলে আবার চালান।

// Toy numbers (assumed, not measured): the chance that a defence
// stops one intrusion at each stage, treated as independent.
const stages = [
  ['Reconnaissance', 0.05], ['Weaponization', 0.00], ['Delivery', 0.60],
  ['Exploitation', 0.40], ['Installation', 0.30], ['C2', 0.30],
  ['Actions on Obj.', 0.20],
];

function reach(list) {
  return list.reduce((alive, [, stop]) => alive * (1 - stop), 1);
}

let alive = 1;
for (const [name, stop] of stages) {
  alive *= 1 - stop;
  console.log(name.padEnd(16), 'stop', stop.toFixed(2), ' still going', (alive * 100).toFixed(1) + '%');
}

// What if one stage improves by 0.10?
for (const i of [2, 5]) {
  const better = stages.map((s, k) => (k === i ? [s[0], s[1] + 0.10] : s));
  console.log('Add 0.10 at', stages[i][0].padEnd(9), '-> reach goal', (reach(better) * 100).toFixed(1) + '%');
}

// What if the email filter is absent?
const noFilter = stages.map(s => (s[0] === 'Delivery' ? [s[0], 0] : s));
console.log('No delivery control   -> reach goal', (reach(noFilter) * 100).toFixed(1) + '%');

৪ · Kill chain-এর সীমা, আর তার পরের মডেল

মডেল মানে সরলীকরণ, তাই প্রতিটি মডেলের একটি সীমা থাকে। Kill chain-এর পরিচিত সমালোচনাগুলো জানা জরুরি:

• সীমানা-কেন্দ্রিক ভাবনা। মডেলটি ধরে নেয় হামলা বাইরে থেকে একটি সীমানা পেরিয়ে ভেতরে আসে। প্রথম ধাপগুলো আপনার network-এর বাইরে ঘটে, তাই সেখানে দেখা বা থামানো কঠিন।
• ভেতরের মানুষ। Insider threat-এ Reconnaissance, Delivery বা Installation দরকারই নাও হতে পারে। একজন অনুমোদিত কর্মী সরাসরি শেষ ধাপে থাকতে পারেন।
• Cloud আর পরিচয়-নির্ভর হামলা। চুরি হওয়া credential দিয়ে cloud console-এ ঢুকলে malware, Installation বা C2 ধাপই হয়তো নেই। Log-এ শুধু “বৈধ login” দেখা যায়। প্রতিরক্ষার কেন্দ্র তখন identity (পর্ব ১৬), least privilege আর audit log.
• সরল রেখা বনাম বাস্তব। বাস্তব হামলা ঘুরেফিরে চলে। আক্রমণকারী ভেতরে ঢুকে আবার খোঁজ নেয়, পাশের যন্ত্রে যায়। এই lateral movement মডেলটিতে আলাদা ধাপ নয়।
• Web আর supply chain. সরাসরি web app-এর ত্রুটি থেকে ডেটা বের হলে অনেক ধাপ এক হয়ে যায়। আর supply chain হামলায় Delivery আসে বিশ্বস্ত update-এর পথে।

তার মানে মডেলটি বাতিল নয়। ব্যবস্থাপনার কাছে একটি ঘটনা বোঝাতে এটি এখনো খুব ভালো। কিন্তু বিস্তারিত প্রতিরক্ষা পরিকল্পনায় আরও সূক্ষ্ম মানচিত্র লাগে।

৫ · MITRE ATT&CK — বাস্তব আচরণের অভিধান

Kill chain যদি বড় রাস্তার মানচিত্র হয়, ATT&CK হলো প্রতিটি গলির তালিকা। পুরো নাম Adversarial Tactics, Techniques, and Common Knowledge. মার্কিন অলাভজনক প্রতিষ্ঠান MITRE ২০১৩ সালে Fort Meade Experiment নামের একটি গবেষণা-পরিবেশে এর কাজ শুরু করে, আর ২০১৫ সালে জনসমক্ষে আনে। মূল কথা: ভিত্তি হলো বাস্তবে দেখা আচরণ, প্রকাশিত রিপোর্ট থেকে নেওয়া। সব সম্ভাব্য কল্পনা নয়।

গঠনটি চার স্তরের। উদাহরণ হিসেবে দেখুন T1110.003:

• Tactic: আক্রমণকারীর সেই মুহূর্তের উদ্দেশ্য। যেমন Persistence, Lateral Movement.
• Technique: উদ্দেশ্য পূরণের ধরন। একটি technique একাধিক tactic-এ থাকতে পারে।
• Sub-technique: technique-এর আরও নির্দিষ্ট রূপ। ২০২০ সালের জুলাইয়ে v7-এ যোগ হয়েছে।
• Procedure: কোনো দল বা malware বাস্তবে যেভাবে কাজটি করেছে, রিপোর্টের উদ্ধৃতিসহ। এই তিনটির সংক্ষেপই TTP.
• Mitigation: M দিয়ে শুরু ID. যেমন M1032 Multi-factor Authentication.
• Detection: আগে পাতায় data source আর data component থাকত, অর্থাৎ কোন log বা telemetry দরকার। v18 থেকে এসেছে detection strategy (DET) আর analytic (AN). Data component-এর হিসাব এখনো আছে।

ATT&CK-এর কয়েকটি আলাদা জগৎ আছে, যাকে বলে matrix. নিচের সংখ্যা ২০২৬ সালের ১৩ অক্টোবরে প্রকাশিত v20-এর, MITRE-এর পাতা থেকে নেওয়া। বছরে সাধারণত দুবার, এপ্রিল আর অক্টোবরের কাছাকাছি, বড় সংস্করণ আসে। তাই এই সংখ্যা মুখস্থ করবেন না, কাজের সময় attack.mitre.org মিলিয়ে নিন।

v20-এ Enterprise-এর ১৫টি tactic হলো: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Stealth, Defense Impairment, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact. পুরোনো বই বা blog-এ “Defense Evasion” দেখলে অবাক হবেন না। ২০২৬ সালের এপ্রিলে v19 সেই tactic-কে Stealth আর Defense Impairment-এ ভাগ করেছে, শুধু Enterprise-এ। ICS-এ আবার আছে Inhibit Response Function আর Impair Process Control-এর মতো নিজস্ব tactic, কারণ সেখানে ক্ষতি মানে যন্ত্র বা প্রক্রিয়ার ক্ষতি।

৬ · Pyramid of Pain — কোনটি ধরলে আক্রমণকারীর সবচেয়ে কষ্ট

বাজারের পকেটমারকে আপনি কীভাবে চিনবেন? লাল জামা দেখে? পরের দিন সে নীল জামা পরবে। কিন্তু তার ভিড়ে ঢোকার ধরন, সঙ্গীকে ইশারা, হাতের কৌশল, এগুলো রাতারাতি বদলায় না। ২০১৩ সালের মার্চে নিরাপত্তা-বিশেষজ্ঞ David Bianco এই ধারণাটিই একটি পিরামিডে আঁকেন। প্রশ্নটি ছিল: আপনি যে indicator ধরছেন, সেটি হারালে আক্রমণকারীর কতটা কষ্ট হয়?

এখন খরচের হিসাবটি ধাপে ধাপে দেখুন। সময়ের সংখ্যাগুলো বোঝার জন্য ধরে নেওয়া, মাপা তথ্য নয়। আসল বিষয় হলো ক্রমটি।

এবার একটি toy log-এ দুই রকম rule তুলনা করুন। IOC rule শুধু চেনা IP মেলায়। Behaviour rule দেখে একটি উৎস ১০ মিনিটে অন্তত ৫টি ভিন্ন অ্যাকাউন্টে ব্যর্থ হয়েছে কি না। সব ডেটা বানানো, সব ঠিকানা documentation range-এর। কোড শুধু log পড়ে সিদ্ধান্ত দেয়।

// Toy failed-login log. Addresses are documentation ranges.
const fails = (src, n, min) => Array.from({ length: n }, (_, i) =>
  ({ src, user: 'user' + (i + 1), min: min + i }));

const round1 = fails('203.0.113.7', 6, 0);          // intrusion attempt
const round2 = fails('198.51.100.9', 6, 40);        // same behaviour, new IP
const typo = [1, 2, 3].map(m => ({ src: '203.0.113.20', user: 'rina', min: m }));
const office = fails('198.51.100.50', 5, 70);       // benign: shared office IP

const blocklist = new Set(['203.0.113.7']);         // learned from round 1
const iocRule = log => [...new Set(log.filter(e => blocklist.has(e.src)).map(e => e.src))];

function behaviourRule(log, limit = 5, windowMin = 10) {
  const hits = [];
  for (const src of new Set(log.map(e => e.src))) {
    const ev = log.filter(e => e.src === src);
    const users = new Set(ev.map(e => e.user));
    const span = Math.max(...ev.map(e => e.min)) - Math.min(...ev.map(e => e.min));
    if (users.size >= limit && span <= windowMin) hits.push(src);
  }
  return hits;
}

const cases = { 'round 1': round1, 'round 2 new IP': round2, 'one user typo': typo, 'shared office': office };
console.log('case'.padEnd(16), 'IOC rule'.padEnd(10), 'behaviour rule');
for (const [name, log] of Object.entries(cases)) {
  console.log(name.padEnd(16), String(iocRule(log).length).padEnd(10), behaviourRule(log).length);
}

const truth = ['203.0.113.7', '198.51.100.9'];      // real attempts
const all = [...round1, ...round2, ...typo, ...office];
for (const [name, hits] of [['IOC', iocRule(all)], ['behaviour', behaviourRule(all)]]) {
  const tp = hits.filter(h => truth.includes(h)).length;
  console.log(name.padEnd(10), 'precision', (tp / hits.length).toFixed(2), 'recall', (tp / truth.length).toFixed(2));
}

৭ · একটি detection-কে technique-এর সাথে মেলানো

ATT&CK-এর হাতেকলমে ব্যবহার শুরু হয় এখান থেকে। আপনার SIEM বা EDR-এ একটি পর্যবেক্ষণ আছে। প্রশ্ন হলো, এটি মানচিত্রের কোন ঘরে পড়ে, আর পড়লে কী বাড়তি লাভ।

এই detection-টি Sigma ধাঁচে এমন হতে পারে। False positive কমানোর কৌশল পর্ব ৫৬-এ আছে।

title: Failed logon
name: failed_logon
status: experimental
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4625
  condition: selection
---
title: One source fails on many accounts
status: experimental
correlation:
  type: value_count
  rules:
    - failed_logon
  group-by:
    - IpAddress
  timespan: 10m
  condition:
    field: TargetUserName
    gte: 5
tags:
  - attack.credential-access
  - attack.t1110.003
level: medium

এটি উদাহরণ, চালানোর জন্য নয়। Field-এর নাম আপনার log source অনুযায়ী মিলিয়ে নিতে হবে। tags লাইনই rule-টিকে মানচিত্রের সাথে জুড়ে দেয়, ফলে পরে কোন technique-এ কয়টি rule আছে তা স্বয়ংক্রিয়ভাবে গোনা যায়।

৮ · Coverage map, gap বাছাই আর purple team

Detection coverage map হলো ATT&CK-এর ঘরগুলো রঙ করে দেখা, কোথায় আপনার চোখ আছে। MITRE-এর ATT&CK Navigator-এর মতো টুলে এটি আঁকা যায়। তবে একটি রং দিয়ে তিনটি আলাদা অবস্থা ঢেকে ফেলা বড় ভুল: log আছে, alert আছে, আর alert পরীক্ষা করে দেখা হয়েছে।

নিচের কোডে একটি কাল্পনিক প্রতিষ্ঠানের toy map আছে, সাতটি tactic-এ ৩২টি technique. প্রতিটি অক্ষর একটি technique-এর অবস্থা। এখানে কোনো tactic-এর পূর্ণ তালিকা নেই, শুধু ধারণার জন্য।

// Toy coverage data for a fictional company. One letter = one technique.
// T = alert tested, A = alert not tested, L = logs only, N = nothing
const map = {
  'Initial Access':    'TTALNN',
  'Execution':         'TALLN',
  'Persistence':       'TALNNN',
  'Credential Access': 'TLNN',
  'Lateral Movement':  'ANNN',
  'Exfiltration':      'LNN',
  'Impact':            'TTLN',
};
const paint = { T: '#', A: '+', L: '.', N: '_' };
const count = (s, set) => [...s].filter(c => set.includes(c)).length;
const pct = (a, b) => String(Math.round(100 * a / b)).padStart(3) + '%';

console.log('tactic'.padEnd(18), 'heat'.padEnd(7), 'tested', 'alert', 'seen');
let total = 0, tested = 0, alert = 0, seen = 0;
for (const [tactic, s] of Object.entries(map)) {
  const n = s.length, t = count(s, 'T'), a = count(s, 'TA'), v = count(s, 'TAL');
  total += n; tested += t; alert += a; seen += v;
  const heat = [...s].map(c => paint[c]).join('');
  console.log(tactic.padEnd(18), heat.padEnd(7), pct(t, n).padStart(6), pct(a, n).padStart(5), pct(v, n).padStart(4));
}
console.log('ALL'.padEnd(18), String(total).padEnd(7), pct(tested, total).padStart(6),
  pct(alert, total).padStart(5), pct(seen, total).padStart(4));
console.log('legend: # tested  + untested alert  . logs only  _ nothing');

সব gap একসাথে সারানো যায় না। কোনটি আগে? সবচেয়ে কম শতাংশের tactic বেছে নেওয়া একটি ফাঁদ। তার চেয়ে ভালো প্রশ্ন: আমার মতো প্রতিষ্ঠানের বিরুদ্ধে কোন আচরণ বেশি দেখা যায়, ক্ষতি কত, log আছে কি, কাজটি কত বড়? নিচের সূত্রটি শুধু আলোচনা শুরুর একটি toy স্কোর, কোনো মানদণ্ড নয়।

// Which gap first? A toy score, not a standard:
// score = relevance x impact x dataReady / effortDays
// relevance, impact: 1 to 5. dataReady: 1 yes, 0.5 partial, 0 no log yet.
const gaps = [
  { gap: 'Password spraying',   tactic: 'Credential Access', rel: 5, imp: 4, data: 1,   days: 2 },
  { gap: 'Backup tampering',    tactic: 'Impact',            rel: 3, imp: 5, data: 1,   days: 2 },
  { gap: 'Remote admin misuse', tactic: 'Lateral Movement',  rel: 4, imp: 5, data: 0.5, days: 5 },
  { gap: 'Cloud upload spike',  tactic: 'Exfiltration',      rel: 3, imp: 5, data: 0.5, days: 4 },
  { gap: 'USB autorun',         tactic: 'Initial Access',    rel: 1, imp: 3, data: 1,   days: 1 },
  { gap: 'Router firmware',     tactic: 'Persistence',       rel: 2, imp: 4, data: 0,   days: 3 },
];

const score = g => (g.rel * g.imp * g.data) / g.days;
const ranked = [...gaps].sort((a, b) => score(b) - score(a));

console.log('rank', 'gap'.padEnd(21), 'tactic'.padEnd(18), 'score');
ranked.forEach((g, i) => {
  console.log(String(i + 1).padEnd(4), g.gap.padEnd(21), g.tactic.padEnd(18), score(g).toFixed(2));
});

const noData = gaps.filter(g => g.data === 0).map(g => g.gap);
console.log('Fix logging first:', noData.join(', '));

// A week of work: 5 days. Take the ranked list while days remain.
let left = 5;
const plan = [];
for (const g of ranked) {
  if (g.data > 0 && g.days <= left) { plan.push(g); left -= g.days; }
}
console.log('This week:', plan.map(g => g.gap).join(' + '), '| days left', left);

Purple team — রক্ষক আর অনুমোদিত পরীক্ষক এক টেবিলে

Red team অনুমতি নিয়ে প্রতিপক্ষের আচরণ অনুকরণ করে। Blue team ধরার চেষ্টা করে। Purple team কোনো আলাদা রং নয়, দুই দল মিলে কাজ করার একটি ধরন। লক্ষ্য কাউকে হারানো নয়, ঘরটি সত্যিই সবুজ করা। পুরো কাজের সীমা লিখিত অনুমতিতে বাঁধা থাকে (পর্ব ৫০)।

চেকলিস্ট বানালে যে বিপদ

৯ · AI-এর যুগে মানচিত্র আঁকা

AI কয়েক সেকেন্ডে একটি incident রিপোর্টকে ATT&CK technique-এ ভাগ করে দিতে পারে, rule-এর খসড়াও দিতে পারে। এটি কাজের সহায়ক, কিন্তু এই ক্ষেত্রে তার ভুলও সূক্ষ্ম। ভুল ID দেখতে ঠিক সঠিক ID-র মতোই। পুরোনো সংস্করণের tactic, যেমন Defense Evasion, সে নির্দ্বিধায় লিখে দিতে পারে। একটি alert triage-এ অতিরিক্ত আত্মবিশ্বাসী উত্তরও দিতে পারে।

AI-এর mapping হাতে পেলে — চেকলিস্ট

• প্রতিটি ID নিজে attack.mitre.org-এ খুলে নাম আর বর্ণনা মিলিয়েছি
• Version লিখে রেখেছি, পুরোনো tactic-এর নাম নেই
• প্রতিটি mapping-এর পাশে log-এর প্রমাণ আছে, অনুমান আলাদা চিহ্নিত
• Prompt-এ কোনো secret, আসল IP বা ব্যক্তিগত তথ্য দিইনি
• Rule নিজের ল্যাবে পরীক্ষা করেছি, diff পড়েছি; মানুষের ওপর প্রভাব ফেলা সিদ্ধান্ত মানুষ নিয়েছেন