বাস্তব breach-এর শিক্ষা — প্রকাশিত ঘটনা থেকে প্রতিরক্ষা

১ · অন্যের breach কেন পড়বেন, আর কীভাবে পড়বেন না

লঞ্চডুবির পরে তদন্ত কমিটি বসে। ভালো কমিটি শুধু মাঝিকে দোষ দেয় না। সে দেখে: ধারণক্ষমতার বেশি যাত্রী কেন উঠল, ফিটনেস সনদ কে দিল, ঝড়ের সংকেত কে পেল, লাইফ জ্যাকেট ছিল কি না। উদ্দেশ্য একটাই, পরের লঞ্চটি যেন না ডোবে।

Breach রিপোর্টের কাজও তাই। আপনার প্রতিষ্ঠানকে নিজের ভুলের দাম দিয়ে শিখতে হবে না, অন্যের প্রকাশিত ভুল থেকেই শেখা যায়। আগের পর্বগুলোয় আপনি control শিখেছেন। এই পর্বে দেখবেন, সেই control না থাকলে বা কাজ না করলে বাস্তবে কী ঘটেছে।

একটি মডেল মনে রাখুন। James Reason তাঁর Human Error (১৯৯০) বইয়ের ধারায় যে চিত্র জনপ্রিয় হয়েছে, তার নাম Swiss cheese model. প্রতিটি প্রতিরক্ষা স্তর একটি পনিরের টুকরো, আর প্রতিটি টুকরোয় ফুটো আছে। ফুটোগুলো এক সারিতে এলেই ক্ষতি হয়। এটিই defense in depth-এর (পর্ব ৩) উল্টো পিঠ।

২ · একটি রিপোর্ট ঠিকভাবে পড়ার পদ্ধতি

সব উৎসের ওজন সমান নয়। Primary source বলতে মূল নথি বোঝায়। তার ওপর ভিত্তি করে লেখা সংবাদ বা ব্লগ দ্বিতীয় স্তরের উৎস। তবে মূল নথিরও পক্ষ থাকে, তাই প্রথম প্রশ্ন: কে লিখেছেন, আর কেন?

এবার একটি বাস্তব উদাহরণ ধাপে ধাপে দেখুন। ২০১৭ সালের Equifax breach নিয়ে দুটি বিখ্যাত নথি আছে: GAO-র GAO-18-559 (২০১৮) আর মার্কিন House কমিটির majority staff রিপোর্ট (ডিসেম্বর ২০১৮)।

৩ · Root cause, contributing factor আর hindsight bias

মহল্লায় চুরি হলো। তালা ভাঙা ছিল, পাহারাদার ঘুমাচ্ছিলেন, রাস্তার বাতি নষ্ট, আর দারোয়ানের বেতন তিন মাস বাকি। কোনটি “আসল” কারণ? উত্তরটি নির্ভর করে আপনি কী বদলাতে চান তার ওপর।

• সরাসরি কারণ: যে ব্যর্থতা ঘটনাটি সম্ভব করেছে। যেমন, internet-মুখী পোর্টালে পরিচিত ত্রুটি।
• Contributing factor: যে শর্ত ঘটনা ঘটতে সাহায্য করেছে বা ক্ষতি বাড়িয়েছে। যেমন, segmentation না থাকা।
• Root cause: গভীর কারণ, যা সারালে একই ধরনের ঘটনা কমে। অনেক গবেষক মনে করেন জটিল সিস্টেমে একটিমাত্র root cause থাকে না; তাই বহুবচনে ভাবা নিরাপদ।

কারণগুলো তিন স্তরে সাজালে কাজ ভাগ করা সহজ হয়: technical (কী ভেঙেছিল), process (কোন নিয়ম বা ধাপ কাজ করেনি), governance (কার দায়িত্ব ছিল, কে সম্পদ দিলেন, কে ঝুঁকি মানলেন)।

Five whys একটি সহজ হাতিয়ার: বারবার “কেন” জিজ্ঞেস করা। Toyota-র উৎপাদন ব্যবস্থায় এটি পরিচিত হয়। নিচে Equifax-এর একটি শাখা, প্রতিটি উত্তরের পাশে প্রমাণসহ।

কোন বাক্য কোন স্তরের, তা অভ্যাসের বিষয়। নিচের ছোট simulator সাতটি বানানো বাক্যকে keyword দিয়ে ভাগ করে। উদ্দেশ্য ইচ্ছা করেই সীমিত: যন্ত্র কোথায় থেমে যায়, সেটি দেখা।

// Toy keyword classifier on made-up statements. Not an analysis tool.
const rules = [
  ['technical',  ['expired', 'firewall', 'mfa', 'bug', 'unpatched']],
  ['process',    ['list', 'policy', 'handover', 'ticket', 'checklist']],
  ['governance', ['board', 'budget', 'owner', 'accountable', 'risk accepted']],
];

function classify(text) {
  const t = text.toLowerCase();
  const scores = rules.map(([label, words]) =>
    [label, words.filter(w => t.includes(w)).length]);
  scores.sort((a, b) => b[1] - a[1]);
  if (scores[0][1] === 0) return 'unclear -> human';
  if (scores[0][1] === scores[1][1]) return 'mixed -> human';
  return scores[0][0];
}

const statements = [
  'The certificate on the inspection device expired.',
  'The warning went to an old recipient list.',
  'No single owner was accountable for certificates.',
  'The remote portal had no MFA.',
  'The board saw the risk accepted with no budget.',
  'The patch policy existed; the unpatched server stayed.',
  'The team was exhausted after a long week.',
];

const tally = {};
for (const s of statements) {
  const c = classify(s);
  tally[c] = (tally[c] || 0) + 1;
  console.log(c.padEnd(17), '|', s);
}
console.log('tally:', JSON.stringify(tally));

technical         | The certificate on the inspection device expired.
process           | The warning went to an old recipient list.
governance        | No single owner was accountable for certificates.
technical         | The remote portal had no MFA.
governance        | The board saw the risk accepted with no budget.
mixed -> human    | The patch policy existed; the unpatched server stayed.
unclear -> human  | The team was exhausted after a long week.
tally: {"technical":2,"process":1,"governance":2,"mixed -> human":1,"unclear -> human":1}

Hindsight bias: পরে সবই স্পষ্ট লাগে

১৯৭৫ সালে Baruch Fischhoff দেখান, ফল জানা থাকলে মানুষ ভাবে সে আগেই সেটি অনুমান করতে পারত। একে বলে hindsight bias. House রিপোর্ট Equifax breach-কে “entirely preventable” বলেছে। পরে পড়লে কথাটি সহজ লাগে। কিন্তু ঘটনার দিন বিশ্লেষকের সামনে ছিল শত শত alert, হাজার সার্ভার আর সীমিত সময়।

Hindsight এড়াতে তিনটি প্রশ্ন করুন:

• সেই মুহূর্তে মানুষটির হাতে কোন তথ্য ছিল, আর কোনটি ছিল না?
• তাঁর কাজ তখনকার পরিস্থিতিতে যুক্তিসঙ্গত ছিল কি?
• একই ব্যবস্থায় অন্য কেউ থাকলে কি একই কাজ করতেন? উত্তর “হ্যাঁ” হলে সমস্যা ব্যবস্থায়, ব্যক্তিতে নয়।

৪ · পরিচয়ের ফাঁক — Colonial Pipeline, Change Healthcare, Target

তিনটি ঘটনা, একই ধরনের দরজা: দূর থেকে ঢোকার পথে একটি মাত্র প্রমাণ, অর্থাৎ password. বাড়ির সদর দরজায় তিনটি তালা, অথচ পেছনের পুরোনো দরজায় ছিটকিনিও নেই, এমন অবস্থা।

Colonial Pipeline, ২০২১

যা প্রকাশিত: ৮ জুন ২০২১-এর মার্কিন সিনেট শুনানিতে প্রধান নির্বাহী জানান, হামলাকারীরা একটি পুরোনো VPN profile ব্যবহার করেছিল, যা ব্যবহারের কথা ছিল না, আর তাতে শুধু single-factor ছিল। ৭ মে ransomware ধরা পড়ে, আর control room-এর একজন supervisor-এর সিদ্ধান্তে পাইপলাইন বন্ধ করা হয়। শুক্রবার থেকে পরের বুধবার বিকেল পর্যন্ত বন্ধ ছিল। তিনি জানান, তদন্তকারী দল OT system-এ হামলাকারীর প্রমাণ পায়নি; এটি IT নেটওয়ার্কের ঘটনা।

শিক্ষা: অব্যবহৃত অ্যাকাউন্ট বন্ধ করা, সব দূরবর্তী প্রবেশে MFA. কিন্তু দ্বিতীয় শিক্ষাটি আরও ভাবায়: OT আক্রান্ত না হলেও ব্যবসা থেমেছে, কারণ সতর্কতা হিসেবে থামানোই নিরাপদ মনে হয়েছিল। শুনানিতে উঠে আসে, তাদের পরিকল্পনায় ransom নিয়ে নির্দিষ্ট আলোচনা ছিল না। যা জানা নেই: password কীভাবে ফাঁস হয়েছিল, শুনানিতে তা নিশ্চিত হয়নি।

Change Healthcare, ২০২৪

যা প্রকাশিত: ১ মে ২০২৪-এ মার্কিন House কমিটির শুনানির লিখিত বক্তব্যে UnitedHealth Group-এর প্রধান নির্বাহী জানান, ১২ ফেব্রুয়ারি চুরি করা credential দিয়ে একটি Citrix দূরবর্তী প্রবেশ portal-এ ঢোকা হয়, আর সেই portal-এ MFA ছিল না। নয় দিন পরে ransomware চালানো হয়। প্রতিষ্ঠানের হিসাবে আক্রান্ত প্রায় ১৯ কোটি মানুষ; পরে সংখ্যাটি প্রায় ১৯.২৭ কোটি বলে প্রকাশিত প্রতিবেদনে এসেছে।

শিক্ষা: নয় দিন মানে ভেতরে lateral movement ধরার সুযোগ ছিল। একটি প্রতিষ্ঠান বহু হাসপাতাল ও ফার্মেসির লেনদেনের মাঝখানে থাকায় তার ব্যর্থতা গোটা খাতে ছড়িয়ে পড়ে। আপনার প্রতিষ্ঠানে এমন “একক ব্যর্থতার বিন্দু” কোনটি?

Target, ২০১৩

যা প্রকাশিত: মার্কিন সিনেট কমিটির majority staff রিপোর্ট (মার্চ ২০১৪) জনসমক্ষে থাকা তথ্য দিয়ে ঘটনাটি kill chain ধরে বিশ্লেষণ করে। রিপোর্টের মতে হামলা শুরু হয় একটি HVAC vendor-এর credential দিয়ে, সব vendor-এর জন্য two-factor ছিল না, কম সংবেদনশীল অংশ থেকে গ্রাহকের তথ্যের অংশে যাওয়া সম্ভব হয়েছিল, আর স্বয়ংক্রিয় alert-এর ওপর ব্যবস্থা নেওয়া হয়নি বলে মনে হয়।

শিক্ষা: Vendor-এর প্রবেশ শুধু তার কাজের সিস্টেমে সীমিত করা, পর্ব ২২-এর segmentation, আর alert-এর একজন দায়িত্বশীল মানুষ। সাবধানতা: রিপোর্টটি নিজেই জনসমক্ষে থাকা তথ্যের ওপর দাঁড়ানো, আর alert-এর তথ্যের বড় অংশ একটি সংবাদ প্রতিবেদন থেকে নেওয়া। তাই “apparently” শব্দটি বাদ দিয়ে পড়বেন না।

৫ · জানা ত্রুটি, অজানা সম্পদ — Equifax আর Log4Shell

আপনার গুদামে কতগুলো ফায়ার এক্সটিংগুইশার আছে না জানলে মেয়াদ শেষ হলো কি না কীভাবে বুঝবেন? Patch-এর সমস্যা প্রায়ই আসলে তালিকার সমস্যা।

Equifax, ২০১৭

GAO-র হিসাবে অন্তত ১৪.৫৫ কোটি মানুষের ব্যক্তিগত তথ্য প্রকাশ পেয়েছিল। সময়রেখাটি দেখুন। প্রতিটি বিন্দু প্রতিরক্ষার একটি সুযোগ।

GAO-র মতে সতর্কতা ছিল একটি পুরোনো প্রাপক-তালিকায়, আর পরে scan পোর্টালের ত্রুটি ধরতে পারেনি। House রিপোর্টে আছে, scan চালানো হয়েছিল ভুল directory-তে। আরও ছিল: একটি database-এ এনক্রিপ্ট না করা credential, যা দিয়ে অন্য database-এ যাওয়া গেছে (GAO), আর file integrity monitoring না থাকা (House). পুরো জীবনচক্র দেখুন পর্ব ৩২-এ।

Log4Shell, ২০২১

Log4j একটি Java logging library, আর Log4Shell (CVE-2021-44228) তার গুরুতর ত্রুটি। এটি একটি breach নয়, একটি ঘটনা-ধারা। CSRB-এর রিপোর্ট (জুলাই ২০২২) অনুযায়ী ২৪ নভেম্বর ২০২১-এ Alibaba Cloud-এর একজন engineer Apache-কে জানান, আর ১০ ডিসেম্বর তা সবার সামনে আসে। রিপোর্টের প্রধান কথাগুলো:

• এটি একটি “endemic vulnerability”; দুর্বল সংস্করণ বহু বছর, হয়তো এক দশক বা তার বেশি, সিস্টেমে থেকে যাবে।
• একটি মার্কিন মন্ত্রণালয় শুধু এই সাড়ায় ৩৩ হাজার ঘণ্টা ব্যয়ের কথা জানায়।
• অবাক করা তথ্য: exploit বিশেষজ্ঞদের ধারণার চেয়ে কম হয়েছে, যদিও নির্ভরযোগ্য বৈশ্বিক উপাত্ত নেই বলে রিপোর্ট নিজেই সতর্ক করেছে।
• স্বেচ্ছাসেবী-নির্ভর open source প্রকল্পের সম্পদ কম। সুপারিশে আছে সঠিক asset inventory আর SBOM-এর টুল উন্নত করা।

আসল প্রশ্নটি ছিল “আমাদের কোথায় Log4j আছে?” যাঁদের dependency তালিকা ছিল, তাঁরা দ্রুত উত্তর পেয়েছেন। বিস্তারিত দেখুন পর্ব ৪৮-এ।

রিপোর্টের তারিখ দিয়ে ঘটনার গতি মাপা যায়। নিচের calculator প্রকাশিত তারিখ থেকে দিন গোনে, আর রিপোর্টের নিজের সংখ্যার পাশে বসায়।

// Dates as published in the named reports. Plain subtraction of calendar days.
const day = s => Date.UTC(+s.slice(0, 4), +s.slice(5, 7) - 1, +s.slice(8, 10)) / 864e5;

// case, interval, start, end, source, figure the source itself states
const rows = [
  ['Equifax',   'patch out -> intrusion',  '2017-03-07', '2017-05-13', 'House 2018', null],
  ['Equifax',   'intrusion -> detected',   '2017-05-13', '2017-07-29', 'House 2018', 76],
  ['CapitalOne','access -> confirmed',     '2019-03-22', '2019-07-19', 'MIT 2020',   null],
  ['Colonial',  'halt -> restart',         '2021-05-07', '2021-05-12', 'Hearing',    null],
  ['Log4Shell', 'private report -> fix',   '2021-11-24', '2021-12-10', 'CSRB 2022',  null],
  ['Change',    'entry -> ransomware',     '2024-02-12', '2024-02-21', 'Hearing',    9],
  ['xz',        '5.6.0 out -> CISA alert', '2024-02-24', '2024-03-29', 'CISA',       null],
];

console.log('case       interval                  days  stated  source');
for (const [c, what, a, b, src, stated] of rows) {
  const d = day(b) - day(a);
  const note = stated === null ? '-' : String(stated);
  console.log(c.padEnd(10), what.padEnd(25), String(d).padStart(4), note.padStart(6), ' ' + src);
}

// The July 2024 outage is an interval in minutes, not days.
const min = (h, m) => h * 60 + m;
console.log('Outage     content out -> reverted   ' + (min(5, 27) - min(4, 9)) + ' minutes (vendor PIR)');

// One certificate, two published durations, checked against the House date.
const months = (a, b) => ((day(b) - day(a)) / 30.44).toFixed(1);
console.log('cert expiry 2016-01-31 -> detection:', months('2016-01-31', '2017-07-29'), 'months');
console.log('cert expiry 2016-01-31 -> intrusion:', months('2016-01-31', '2017-05-13'), 'months');

case       interval                  days  stated  source
Equifax    patch out -> intrusion      67      -  House 2018
Equifax    intrusion -> detected       77     76  House 2018
CapitalOne access -> confirmed        119      -  MIT 2020
Colonial   halt -> restart              5      -  Hearing
Log4Shell  private report -> fix       16      -  CSRB 2022
Change     entry -> ransomware          9      9  Hearing
xz         5.6.0 out -> CISA alert     34      -  CISA
Outage     content out -> reverted   78 minutes (vendor PIR)
cert expiry 2016-01-31 -> detection: 17.9 months
cert expiry 2016-01-31 -> intrusion: 15.4 months

৬ · Cloud আর supply chain — Capital One, SolarWinds, xz

Capital One, ২০১৯

যা প্রকাশিত: প্রতিষ্ঠানের নিজের হিসাবে প্রায় ১০ কোটি মার্কিন আর ৬০ লাখ কানাডীয় মানুষ আক্রান্ত। Novaes Neto ও সহলেখকদের MIT গবেষণাপত্র (২০২০) প্রকাশিত নথি মিলিয়ে বলে, একটি ভুলভাবে সাজানো WAF, SSRF আর cloud metadata service-এর সাময়িক credential মিলে ক্ষতির পথ তৈরি হয়। ভুল ধরা পড়ে নিজেদের monitoring-এ নয়, responsible disclosure-এর পথে আসা বাইরের একটি বার্তায়। আগস্ট ২০২০-এ OCC ৮ কোটি ডলার জরিমানা করে; অভিযোগ ছিল, cloud-এ যাওয়ার আগে ঝুঁকি মূল্যায়ন যথেষ্ট ছিল না, network control ও data loss prevention দুর্বল, alert সামলানো অকার্যকর, আর internal audit দুর্বলতা ধরতে পারেনি।

শিক্ষা: Least privilege থাকলে একটি role-এর ক্ষতি সীমিত হয়। Metadata সুরক্ষা ও প্রতিরক্ষা দেখুন পর্ব ৪২-এ। মনে রাখুন, OCC-র সাথে মীমাংসায় প্রতিষ্ঠানটি অভিযোগ স্বীকার বা অস্বীকার করেনি। আমাদের বিচারে এটি cloud-এর নিজের ব্যর্থতা নয়, cloud ব্যবহারের নিয়ন্ত্রণের ব্যর্থতা।

SolarWinds, ২০২০

যা প্রকাশিত: প্রতিষ্ঠানের SEC filing (১৪ ডিসেম্বর ২০২০) বলে, মার্চ থেকে জুন ২০২০-এর Orion update-এ দুর্বলতাটি ছিল, আর ১৮ হাজারের কম গ্রাহক তা বসিয়ে থাকতে পারেন। GAO (২০২২) জানায়, প্রতিষ্ঠানের হিসাবে সত্যিকারের আক্রান্ত গ্রাহক ১০০-র কম। ঘটনাটি ধরা পড়ে সফটওয়্যারের নির্মাতার কাছে নয়, এক গ্রাহকের কাছে: FireEye নিজের breach তদন্ত করতে গিয়ে Orion update পর্যন্ত পৌঁছায়, আর ১২ ডিসেম্বর নির্মাতাকে জানায়। পরদিন CISA জরুরি নির্দেশ দেয়।

শিক্ষা: বিশ্বস্ত update-ও ঝুঁকি (supply chain attack). পর্যবেক্ষণ সফটওয়্যারের বেশি অধিকার থাকে, তাই তার বের হওয়া সংযোগ সীমিত করা (egress filtering) জরুরি। GAO জানায় কিছু সংস্থায় log-ই ছিল না, যা তদন্ত কঠিন করেছে (পর্ব ৫৫)।

xz, ২০২৪

যা প্রকাশিত: Linux-এ বহুল ব্যবহৃত compression library xz-এর ৫.৬.০ আর ৫.৬.১ সংস্করণে ক্ষতিকর কোড পাওয়া যায় (CVE-2024-3094, CISA সতর্কতা ২৯ মার্চ ২০২৪)। একজন engineer SSH login-এ অস্বাভাবিক CPU ব্যবহার আর memory-পরীক্ষার টুলের ত্রুটি দেখে কৌতূহলবশে অনুসন্ধান করেন, তারপর oss-security তালিকায় জানান। কোনো পরিকল্পিত control ধরেনি; ধরা পড়েছে প্রায় কাকতালীয়ভাবে।

শিক্ষা: প্রকাশিত বিশ্লেষণ অনুযায়ী ঘটনাটির মূলে ছিল সময় নিয়ে অর্জন করা maintainer-এর আস্থা, আর সহায়তাহীন, প্রায় একা একজন maintainer. OpenSSF আর OpenJS ২০২৪-এর এপ্রিলে এ ধরনের social engineering নিয়ে সতর্ক করে। Reproducible build, দুই maintainer-এর পর্যালোচনা, আর প্রকল্পে অর্থ ও লোকবল এখানে প্রাসঙ্গিক। সবচেয়ে অস্বস্তিকর প্রশ্ন: যেগুলো ধরা পড়েনি, সেগুলো কোথায়?

৭ · Payment system আর হামলা ছাড়া ব্যর্থতা — Bangladesh Bank আর জুলাই ২০২৪

Bangladesh Bank, ২০১৬

২০১৬ সালের ফেব্রুয়ারিতে নিউ ইয়র্ক ফেডে রাখা Bangladesh Bank-এর হিসাব থেকে SWIFT বার্তায় জাল লেনদেনের নির্দেশ যায়। BAE Systems-এর প্রকাশিত বিশ্লেষণ চেষ্টার অঙ্ক বলে প্রায় ৯৫.১ কোটি ডলার। প্রকাশিত প্রতিবেদনগুলো সাধারণত বলে, প্রায় ১০.১ কোটি ডলার সরেছিল, যার প্রায় ৮.১ কোটি ডলার ফিলিপাইনে যায়, আর অঙ্কের একাংশ পরে ফেরত এসেছে। BAE সতর্ক করে যে কারিগরি বিবরণ তখনো প্রকাশিত হয়নি, আর তাদের বিশ্লেষণ অনলাইন malware ভাণ্ডারে পাওয়া কিছু tool-এর ওপর দাঁড়ানো, যেগুলোকে তারা ঘটনার সাথে যুক্ত বলে মনে করে। দায় নিয়ে বিভিন্ন পক্ষের বক্তব্য ভিন্ন ছিল; SWIFT জানিয়েছিল, নিজের সংযোগের কম্পিউটার সুরক্ষিত রাখা গ্রাহকের দায়িত্ব।

এই ধরনের ঘটনার পরে SWIFT তার Customer Security Programme শুরু করে (অধিকাংশ উৎসে ২০১৬), আর পরে গ্রাহকদের জন্য বাধ্যতামূলক control ও বার্ষিক ঘোষণা যুক্ত হয়। যেকোনো payment system-এর জন্য সাধারণ শিক্ষা:

• আলাদা অঞ্চল: payment terminal সাধারণ অফিস নেটওয়ার্ক থেকে আলাদা, সীমিত প্রবেশসহ।
• দুই জোড়া চোখ: Four-eyes principle, শক্ত MFA, আর operator credential-এর আলাদা সুরক্ষা।
• স্বাধীন মিলানো: Payment reconciliation এমন পথে হওয়া চাই, যা একই কম্পিউটারের ওপর নির্ভর করে না। ক্যাশিয়ারের খাতা আর ব্যাংকের বিবরণী আলাদা হাতে মেলানোর মতো।
• সীমা ও সংকেত: অস্বাভাবিক অঙ্ক, নতুন প্রাপক আর অসময়ের লেনদেনে থামানোর নিয়ম, দুই প্রান্তেই।
• ছুটির দিনের প্রস্তুতি: সাপ্তাহিক ছুটি আর ভিন্ন সময় অঞ্চলেও জরুরি যোগাযোগের নির্দিষ্ট পথ।

জুলাই ২০২৪-এর বিভ্রাট: কোনো হামলাকারী ছিল না

১৯ জুলাই ২০২৪ তারিখে নিরাপত্তা প্রতিষ্ঠান CrowdStrike-এর একটি content update Windows কম্পিউটার crash করায়। প্রতিষ্ঠানের হিসাবে update ছাড়া হয় ০৪:০৯ UTC-তে, ফেরানো হয় ০৫:২৭ UTC-তে, অর্থাৎ ৭৮ মিনিট। Microsoft-এর অনুমান প্রায় ৮৫ লাখ Windows device আক্রান্ত, যা সব Windows-এর ১ শতাংশের কম। প্রতিষ্ঠানের root cause রিপোর্ট বলে, ২১টি input field-এর বিপরীতে কোড দিচ্ছিল ২০টি, যা memory-র সীমার বাইরে পড়ে; validator-এর একটি ত্রুটিও এটি আটকায়নি, আর staged deployment ছিল না।

এটি কেন এই পর্বে? কারণ availability-ও নিরাপত্তার অংশ। আর control-গুলো একই: staged rollout, rollback, পুনরুদ্ধারের অনুশীলন। ফেরানো হয়েছিল ৭৮ মিনিটে, কিন্তু অনেক কম্পিউটার হাতে ঠিক করতে হয়েছে। অর্থাৎ ছড়ানোর গতি আর সারানোর গতি সমান নয়। হামলাকারীর জন্য যে প্রস্তুতি, দুর্ঘটনাতেও সেটিই কাজে লাগে।

৮ · কী থাকলে সাহায্য হতো — সারাংশ আর control-এর সাথে জোড়া

নিচের টেবিল এই কোর্সের লেখকের নিজের mapping, রিপোর্টের নয়। CIS Controls v8.1-এর নম্বর আর ATT&CK Enterprise mitigation-এর ID ব্যবহার করা হয়েছে। “সাহায্য হতো” মানে ঝুঁকি কমত; ঘটনা নিশ্চিত ঠেকত, এমন দাবি নয়।

* প্রকাশিত প্রতিবেদনের ভিত্তিতে সাধারণ payment-control শিক্ষা; ব্যাংকের নিজস্ব অবস্থার মূল্যায়ন নয়।

একটি ঘটনার mapping হাতে করে দেখুন। উদাহরণ Change Healthcare-এর “portal-এ MFA ছিল না”।

দশটি ঘটনা পাশাপাশি রাখলে কোন control পরিবার বারবার আসে? নিচের matrix-এ ২ মানে কোনো উল্লেখিত রিপোর্ট ফাঁকটির কথা বলেছে, ১ মানে দুর্বল প্রমাণে আমাদের ব্যাখ্যা।

// 2 = a cited report names the gap; 1 = our reading, weaker evidence.
const cases = {
  Equifax:    { INV: 2, VUL: 2, SEG: 2, DET: 2, DAT: 2 },
  Target:     { TPR: 2, IAM: 2, SEG: 2, DET: 2 },
  CapitalOne: { CFG: 2, IAM: 1, DET: 2, DAT: 2 },
  SolarWinds: { TPR: 2, SDL: 2, DET: 2 },
  Colonial:   { INV: 2, IAM: 2, REC: 2 },
  Log4Shell:  { INV: 2, VUL: 2, SDL: 1, TPR: 1 },
  BangBank:   { IAM: 1, SEG: 1, DET: 1, REC: 1 },
  Change:     { IAM: 2, SEG: 1, REC: 2 },
  xz:         { TPR: 2, SDL: 2 },
  Outage2024: { SDL: 2, TPR: 1, REC: 2 },
};
const names = { INV: 'inventory', VUL: 'patching', IAM: 'identity/MFA',
  SEG: 'segmentation', DET: 'detection', TPR: 'third party', SDL: 'secure release',
  CFG: 'configuration', REC: 'recovery/IR', DAT: 'data protection' };

const total = {};
for (const row of Object.values(cases))
  for (const [f, w] of Object.entries(row)) {
    total[f] = total[f] || { n: 0, weight: 0, strong: 0 };
    total[f].n += 1;
    total[f].weight += w;
    if (w === 2) total[f].strong += 1;
  }

const ranked = Object.entries(total).sort((a, b) =>
  b[1].weight - a[1].weight || b[1].strong - a[1].strong);
console.log('rank family           cases strong weight');
ranked.forEach(([f, t], i) => console.log(
  String(i + 1).padStart(3), ' ' + names[f].padEnd(16),
  String(t.n).padStart(4), String(t.strong).padStart(6), String(t.weight).padStart(6)));
const n = Object.keys(cases).length;
console.log('cases:', n, '| non-malicious:', 1, '| families:', ranked.length);

rank family           cases strong weight
  1  detection           5      4      9
  2  third party         5      3      8
  3  identity/MFA        5      3      8
  4  secure release      4      3      7
  5  recovery/IR         4      3      7
  6  inventory           3      3      6
  7  segmentation        4      2      6
  8  patching            2      2      4
  9  data protection     2      2      4
 10  configuration       1      1      2
cases: 10 | non-malicious: 1 | families: 10

৯ · খরচের হিসাব আর নিজের প্রতিষ্ঠানে প্রয়োগ

“একটি breach-এ এত টাকা ক্ষতি” শুনলেই জিজ্ঞেস করুন: কে বলেছেন, কী গোনা হয়েছে, কখন? নিচের সংখ্যাগুলো একে অন্যের সাথে তুলনীয় নয়।

ঝুঁকির হিসাব কীভাবে করবেন, তা পরে পর্ব ৬৮-তে আসবে। এখানে মূল কথা: জরিমানা, মীমাংসা, মুক্তিপণ, মোট আর্থিক প্রভাব, মডেলের অনুমান পাঁচটি আলাদা জিনিস।

এবার শিক্ষাগুলো একটি কাল্পনিক অনলাইন বাজারে প্রয়োগ করি। ওজনগুলো উপরের matrix থেকে নেওয়া। উত্তর: ১ মানে করা ও পরীক্ষিত, ০.৫ মানে আংশিক, ০ মানে নেই।

// Fictional online market. Answers: 1 = done and tested, 0.5 = partial, 0 = no.
// Weight = family weight from the case-control matrix (course example only).
const checks = [
  ['MFA on every remote entry, vendors too',  'identity',      8, 1],
  ['One list of exposed services, with owner','inventory',     6, 0.5],
  ['Alerts reach a person who must respond',  'detection',     9, 0.5],
  ['Vendor access limited and reviewed',      'third party',   8, 0],
  ['Payment zone separated from office LAN',  'segmentation',  6, 1],
  ['Restore practised from offline backup',   'recovery',      7, 0],
  ['Updates released in stages with rollback','release',       7, 0.5],
  ['Critical patch deadline measured',        'patching',      4, 0.5],
  ['Secrets and personal data encrypted',     'data',          4, 1],
  ['Config reviewed after every change',      'configuration', 2, 0.5],
];

let got = 0, max = 0;
const gaps = [];
for (const [text, family, w, ans] of checks) {
  got += w * ans;
  max += w;
  if (ans < 1) gaps.push({ text, lost: w * (1 - ans) });
}

console.log(`score: ${got} / ${max} = ${(100 * got / max).toFixed(1)}%`);
gaps.sort((a, b) => b.lost - a.lost);
console.log('fix first:');
gaps.slice(0, 4).forEach((g, i) =>
  console.log(` ${i + 1}. ${g.text} (loses ${g.lost})`));

// A score is not safety: one missing control can still be the way in.
const hardGaps = checks.filter(c => c[3] === 0).map(c => c[1]);
console.log('never tested at all:', hardGaps.join(', '));

score: 32 / 61 = 52.5%
fix first:
 1. Vendor access limited and reviewed (loses 8)
 2. Restore practised from offline backup (loses 7)
 3. Alerts reach a person who must respond (loses 4.5)
 4. Updates released in stages with rollback (loses 3.5)
never tested at all: third party, recovery

১০ · AI-এর যুগে রিপোর্ট পড়া

AI একটি ৯৬ পৃষ্ঠার রিপোর্ট কয়েক সেকেন্ডে সংক্ষেপ করতে পারে। ঠিক এখানেই বিপদ। সে সবচেয়ে চেনা গল্পটি লেখে, সূক্ষ্ম অমিলগুলো মুছে দেয়, আর এমনভাবে বলে যেন সব নিশ্চিত।

AI-এর সারাংশ ব্যবহারের আগে চেকলিস্ট

• প্রতিটি সংখ্যা ও তারিখ মূল নথিতে মিলিয়েছি
• প্রতিটি CVE, control নম্বর আর mitigation ID সরকারি পাতায় দেখেছি
• “কে বলেছেন” আর “কতটা নিশ্চিত” লেখা আছে
• Prompt-এ কোনো secret, ব্যক্তিগত তথ্য বা অপ্রকাশিত incident-এর বিবরণ নেই
• প্রতিষ্ঠানের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষ নিয়েছেন