EDR আর XDR — endpoint telemetry, সাড়া আর সীমা

১ · EDR কী দেখে — ছয় ধরনের telemetry

একটি বড় মার্কেটের কথা ভাবুন। পুরোনো ব্যবস্থায় গেটে একজন দারোয়ান আছেন, হাতে চোরদের ছবির তালিকা। ছবির সাথে মিললে আটকান, না মিললে যেতে দেন। এটি signature antivirus. এখন যদি চোর নতুন মুখ হয়, অথবা মার্কেটের কর্মীর পোশাক পরে ঢোকে? তখন দরকার সারা মার্কেটের CCTV, দোকানের রেজিস্টার খাতা আর একটি নিয়ন্ত্রণ কক্ষ, যেখান থেকে দরকারে একটি গেট বন্ধ করা যায়।

পর্ব ২৯-এ দেখেছেন, EDR (Endpoint Detection and Response) ঠিক এই ভূমিকা নেয়। সেখানে তিনটি কথা মনে রাখতে বলা হয়েছিল: alert কেউ না পড়লে কাজের নয়, agent নিজেই ঝুঁকির জায়গা, আর agent যেখানে নেই সেখানে EDR নেই। এই পর্বে সেই ভেতরের কাজটি খুলে দেখব।

যন্ত্র মানে এখানে endpoint: ল্যাপটপ, ডেস্কটপ বা server. যন্ত্রে বসানো agent ঘটনা জমা করে, আর এই ধারাবাহিক তথ্যকে বলে telemetry. মূল ধরন ছয়টি।

সবচেয়ে দামি বিষয় হলো জোড়া। আলাদা log বলে “PowerShell চলেছে” আর “203.0.113.50-এর সাথে connection হয়েছে”। EDR বলে “এই PowerShell, যাকে Word চালু করেছিল, সেই connection করেছে”। অর্থাৎ প্রতিটি ঘটনা একটি process-এর সাথে বাঁধা।

২ · ভেতরের গঠন — agent, kernel আর cloud

EDR-এর তিনটি অংশ। যন্ত্রের ভেতরে থাকে দুই স্তরের agent, আর দূরে থাকে বিশ্লেষণের কেন্দ্র। Operating Systems কোর্সে দেখেছেন, OS দুটি স্তরে চলে। User mode-এ সাধারণ app চলে, আর kernel mode-এ OS-এর মূল অংশ চলে, যার হাতে পুরো যন্ত্রের ক্ষমতা।

• Kernel অংশ কেন? OS-এর গভীর থেকে process চালু হওয়া বা ফাইল খোলার খবর আগে পাওয়া যায়, আর কিছু কাজ শুরুর আগেই আটকানো যায়।
• User mode অংশ: জমা করা, ছাঁকা, স্থানীয় নিয়ম চালানো আর কেন্দ্রের সাথে কথা বলা। এখানে ভুল হলে সাধারণত শুধু agent-টি পড়ে।
• Cloud অংশ: বহু যন্ত্রের তথ্য একসাথে মেলানো যায়, যা একা একটি যন্ত্রে সম্ভব নয়। তবে সংযোগ না থাকলে যন্ত্রকে স্থানীয় নিয়মের ওপর চলতে হয়।

এই নকশার দাম আছে। Kernel-এর ক্ষমতা মানে agent বিশ্বাসের একটি বড় ঘাঁটি। এর ভুল আর এর admin console, দুটোই পুরো বহরকে ছুঁতে পারে। সেই কথায় ফিরব অংশ ৯-এ।

৩ · Process tree — alert পড়ার আসল কৌশল

Windows-এ powershell.exe চলা নিজে কোনো অপরাধ নয়। আপনার IT কর্মী প্রতিদিনই চালান। এখানেই living off the land সমস্যা: বৈধ টুলই ব্যবহার হলে ফাইল দেখে কিছু বোঝা যায় না। বোঝা যায় প্রসঙ্গ দেখে। দোকানের চাবি মালিকের হাতে স্বাভাবিক, রাত দুইটায় অচেনা মানুষের হাতে নয়।

Process tree সেই প্রসঙ্গ দেখায়। প্রতিটি process-এর একটি parent process থাকে, মানে যে তাকে চালু করেছে। নিচে একটি কাল্পনিক alert ধাপে ধাপে পড়া হয়েছে। সব নাম, সময় আর ঠিকানা বানানো।

host     : LT-14      user: rina
10:14:08 severity: HIGH
title    : Office app started a script host
tree     : (এখনো খোলা হয়নি)

explorer.exe                  10:13:40
└─ winword.exe  invoice_oct.docm
   ফাইল এসেছে: email attachment

explorer.exe
└─ winword.exe  invoice_oct.docm
   └─ powershell.exe  10:14:07
      cmd: -enc <encoded-script>
      Word কেন script চালাবে?

powershell.exe [355]
10:14:11 connect 203.0.113.50:443
         domain age: 2 days
         seen on other hosts: 0

powershell.exe [355]
├─ whoami.exe           10:14:20
└─ schtasks.exe         10:14:31
   new task: OfficeUpdateCheck
   persistence-এর লক্ষণ

verdict : true positive (likely)
scope   : LT-14 only (search: 1 host)
user    : asked, did open the file
action  : request isolation
ticket  : INC-1042

এবার একই চিন্তা কোডে। নিচের block খেলনা ঘটনা থেকে গাছ বানায় আর সন্দেহজনক parent-child জোড়ায় point দেয়। Point আমাদের অনুমান। খেয়াল করুন, দুটি powershell.exe আছে।

// Toy process events from one fictional laptop. Nothing real is read.
const events = [
  { pid: 100, ppid: 0,   img: 'explorer.exe' },
  { pid: 210, ppid: 100, img: 'chrome.exe' },
  { pid: 340, ppid: 100, img: 'winword.exe' },
  { pid: 355, ppid: 340, img: 'powershell.exe' },
  { pid: 361, ppid: 355, img: 'schtasks.exe' },
  { pid: 362, ppid: 355, img: 'whoami.exe' },
  { pid: 430, ppid: 100, img: 'powershell.exe' },
  { pid: 431, ppid: 430, img: 'winget.exe' },
];
// Parent -> child pairs that deserve a look. Toy list, not a real product's.
const RISKY = {
  'winword.exe>powershell.exe': 3,
  'powershell.exe>schtasks.exe': 2,
  'powershell.exe>whoami.exe': 1,
};
const kids = {};
for (const e of events) (kids[e.ppid] ||= []).push(e);

function walk(e, depth, chainScore, parentImg) {
  const pts = RISKY[parentImg + '>' + e.img] || 0;
  const total = chainScore + pts;
  const flag = pts ? `  <-- +${pts} (chain=${total})` : '';
  console.log('  '.repeat(depth) + `${e.img} [${e.pid}]` + flag);
  let best = total;
  for (const k of kids[e.pid] || []) best = Math.max(best, walk(k, depth + 1, total, e.img));
  return best;
}
const score = Math.max(...(kids[0] || []).map(e => walk(e, 0, 0, '')));
const sev = score >= 5 ? 'HIGH' : score >= 2 ? 'MEDIUM' : 'LOW';
console.log(`\nworst chain score = ${score}, severity = ${sev}`);

explorer.exe [100]
  chrome.exe [210]
  winword.exe [340]
    powershell.exe [355]  <-- +3 (chain=3)
      schtasks.exe [361]  <-- +2 (chain=5)
      whoami.exe [362]  <-- +1 (chain=4)
  powershell.exe [430]
    winget.exe [431]

worst chain score = 5, severity = HIGH

৪ · Behaviour detection আর severity

EDR-এর detection দুই ভাগে পড়ে। Signature detection জানা জিনিস মেলায়। Behavioural detection কাজের ধরন দেখে, যেমন “Office app script চালাল”, বা “অল্প সময়ে শত শত ফাইল বদলে গেল”। ধরনটি আগে থেকে জানা নয়, কাজটি জানা। পর্ব ২৩-এর signature আর anomaly-র তর্ক এখানেও চলে। নিচে একটি Sigma-ধাঁচের নিয়ম, বিস্তারিত পর্ব ৫৬-তে। Field-এর ফরম্যাট log-এর উৎসভেদে আলাদা হতে পারে।

title: Office App Starts a Script Host
status: experimental
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith:
      - '\winword.exe'
      - '\excel.exe'
    Image|endswith:
      - '\powershell.exe'
      - '\cmd.exe'
  condition: selection
falsepositives:
  - Approved legacy add-ins or macros
level: high

Severity আর confidence দুটি আলাদা প্রশ্ন। Severity বলে সত্যি হলে ক্ষতি কত বড়। Confidence বলে এটি সত্যি হওয়ার সম্ভাবনা কত। সব পণ্য দুটি আলাদা করে দেখায় না, আর স্তরের নামও (Low থেকে Critical) পণ্যভেদে আলাদা। তাই শুধু লেবেলের ওপর ভরসা না করে যন্ত্রের গুরুত্ব যোগ করুন। একই MEDIUM alert বিক্রয়কর্মীর ল্যাপটপে আর domain controller-এ এক কথা নয়।

৫ · সাড়ার কাজ — ক্ষমতা, অনুমোদন আর audit

“R” অংশটিই EDR-কে শুধু log-এর চেয়ে আলাদা করে। তবে প্রতিটি কাজের একটি দাম আছে।

এই ক্ষমতা অনেকটা ব্যাংকের লকারের দুই চাবির মতো হওয়া উচিত। তাই পর্ব ২০-এর নিয়মগুলো এখানে বসে: RBAC, MFA, maker-checker আর audit log. নিচে LT-14-এর গল্পের পরের অংশ।

action : isolate host
target : LT-14
by     : tanvir (analyst)
ticket : INC-1042
reason : Office -> script, new task
status : PENDING

role may request     : yes
MFA in this session  : yes
host class           : laptop
approval needed      : yes, 1 lead
approver = requester : not allowed

approver : shila (shift lead)
checked  : tree, business impact
note     : user can use spare laptop
status   : APPROVED

signed command delivered
agent ack : LT-14
network   : deny all
except    : EDR service only

console state  : ISOLATED
203.0.113.50   : blocked
file share     : blocked
EDR heartbeat  : ok
evidence collect : running

10:19 tanvir  requested isolate LT-14
10:21 shila   approved  INC-1042
10:22 system  applied, agent ack
10:24 tanvir  verified
copy sent to SIEM

LT-14 rebuilt, scan clean
password reset: rina
request : tanvir
approve : shila
state   : RELEASED
ticket  : INC-1042 updated

৬ · Rollout — coverage, performance আর exclusion

EDR কিনলেই পাহারা শুরু হয় না। বসানোর তিনটি কঠিন প্রশ্ন আছে।

• Performance: Compile, database বা backup-এর মতো ভারী কাজে agent ধীরগতি আনতে পারে। আগে ছোট দলে পরীক্ষা করে আগের-পরের সংখ্যা মাপুন, অনুমান নয়।
• ধাপে চালু: প্রথমে শুধু দেখার মোড (audit mode), তারপর ঝুঁকি কম এমন দলে আটকানোর মোড, তারপর বাকিরা। “Detect-only” যেন স্থায়ী না হয়ে যায়।
• Exclusion: EDR exclusion মানে কোনো path, process বা hash-কে পাহারার বাইরে রাখা। এটি অনেক সময় দরকার, যেমন database-এর data ফাইল। Vendor-এর লিখিত পরামর্শ থাকলে আরও ভালো।

Exclusion হলো পাহারাদারকে বলা, “এই দরজা দেখার দরকার নেই।” তাই প্রশ্ন একটাই: সেই দরজা দিয়ে অন্য কেউ ঢুকতে পারে কি? সাধারণ user যেখানে লিখতে পারেন, সেই ফোল্ডার বাদ দিলে ফাঁকটি বড়। পুরো script host বাদ দেওয়া তার চেয়েও বিপজ্জনক। নিয়ম: যত সরু, তত ভালো; path-এর চেয়ে স্বাক্ষর বা hash ভালো; সব যন্ত্রের বদলে নির্দিষ্ট যন্ত্র; আর মালিক, কারণ ও মেয়াদ বাধ্যতামূলক। নিচের block খেলনা তালিকা যাচাই করে। Point আমাদের অনুমান।

// Toy exclusion auditor: fictional rules, no real product is changed.
const rules = [
  { id: 'EX1', kind: 'path', value: 'D:\\AcmeDB\\data\\*.mdf', scope: 'DB-01',
    owner: 'dba', why: 'vendor note 42', expires: '2027-03-01' },
  { id: 'EX2', kind: 'path', value: 'C:\\Users\\*\\Downloads\\*', scope: 'all',
    owner: '', why: '', expires: null },
  { id: 'EX3', kind: 'process', value: 'powershell.exe', scope: 'all',
    owner: 'it', why: 'slow login script', expires: null },
  { id: 'EX4', kind: 'hash', value: 'sha256:example-1f3a', scope: 'BK-01',
    owner: 'backup', why: 'signed backup tool', expires: '2026-12-31' },
  { id: 'EX5', kind: 'path', value: 'C:\\Temp\\', scope: 'FIN-*',
    owner: 'finance', why: '', expires: '2027-01-15' },
];
const USER_WRITABLE = /\\Users\\|\\Temp\\|\\Downloads\\/i;
const SCRIPT_HOST = /^(powershell|cmd|wscript|cscript|mshta)\.exe$/i;

function audit(r) {
  const hits = [];
  if (r.kind === 'path' && USER_WRITABLE.test(r.value)) hits.push([3, 'user-writable']);
  if (r.kind === 'process' && SCRIPT_HOST.test(r.value)) hits.push([3, 'script-host']);
  if (r.kind === 'path' && r.value.includes('*\\')) hits.push([1, 'wildcard-dir']);
  if (r.scope === 'all') hits.push([2, 'every-host']);
  if (!r.owner) hits.push([1, 'no-owner']);
  if (!r.why) hits.push([1, 'no-reason']);
  if (!r.expires) hits.push([2, 'no-expiry']);
  const score = hits.reduce((s, h) => s + h[0], 0);
  const band = score >= 6 ? 'HIGH' : score >= 3 ? 'MEDIUM' : 'LOW';
  return { id: r.id, score, band, why: hits.map(h => h[1]).join(', ') || '-' };
}
const report = rules.map(audit).sort((a, b) => b.score - a.score);
for (const x of report) console.log(`${x.id} ${String(x.score).padStart(2)} ${x.band.padEnd(6)} ${x.why}`);

EX2 10 HIGH   user-writable, wildcard-dir, every-host, no-owner, no-reason, no-expiry
EX3  7 HIGH   script-host, every-host, no-expiry
EX5  4 MEDIUM user-writable, no-reason
EX1  0 LOW    -
EX4  0 LOW    -

এবার coverage. পর্ব ২৯-এর শিক্ষা মনে রাখুন: coverage metric-এর হর হবে inventory, agent তালিকা নয়। আর “বসানো” মানেই “সুস্থ” নয়।

// Toy agent-health report. Inventory is the denominator, not the agent list.
const MAX_SILENT_DAYS = 1, MIN_VERSION = 70;
const inventory = ['LT-01', 'LT-02', 'LT-03', 'LT-04', 'LT-05', 'LT-06',
                   'SRV-01', 'SRV-02', 'SRV-03', 'POS-01'];
const agents = {                // what the console reports (made-up values)
  'LT-01':  { seen: 0, ver: 72, tamper: true,  mode: 'block' },
  'LT-02':  { seen: 0, ver: 72, tamper: true,  mode: 'block' },
  'LT-03':  { seen: 9, ver: 71, tamper: true,  mode: 'block' },
  'LT-04':  { seen: 0, ver: 64, tamper: true,  mode: 'block' },
  'LT-05':  { seen: 0, ver: 72, tamper: false, mode: 'block' },
  'SRV-01': { seen: 0, ver: 71, tamper: true,  mode: 'block' },
  'SRV-02': { seen: 1, ver: 72, tamper: true,  mode: 'detect' },
  'SRV-03': { seen: 0, ver: 72, tamper: true,  mode: 'block' },
};
let installed = 0, healthy = 0;
const problems = [];
for (const host of inventory) {
  const a = agents[host];
  if (!a) { problems.push(`${host}: NO AGENT`); continue; }
  installed++;
  const bad = [];
  if (a.seen > MAX_SILENT_DAYS) bad.push(`silent ${a.seen}d`);
  if (a.ver < MIN_VERSION) bad.push(`old version ${a.ver}`);
  if (!a.tamper) bad.push('tamper protection off');
  if (a.mode !== 'block') bad.push('detect-only');
  if (bad.length) problems.push(`${host}: ${bad.join(', ')}`);
  else healthy++;
}
const pct = n => (100 * n / inventory.length).toFixed(0) + '%';
console.log(`inventory ${inventory.length}`);
console.log(`installed ${installed} (${pct(installed)})`);
console.log(`healthy   ${healthy} (${pct(healthy)})`);
problems.forEach(p => console.log('  ' + p));

inventory 10
installed 8 (80%)
healthy   4 (40%)
  LT-03: silent 9d
  LT-04: old version 64
  LT-05: tamper protection off
  LT-06: NO AGENT
  SRV-02: detect-only
  POS-01: NO AGENT

৭ · বিনা খরচে telemetry — Sysmon আর osquery

EDR ছাড়াও শেখা যায়। আপনার নিজের যন্ত্র বা ল্যাবে, অথবা প্রতিষ্ঠানে অনুমতি নিয়ে, দুটি টুল দেখতে পারেন। “বিনা খরচে” মানে software-এর দাম নেই। Log জমা, নিয়ম লেখা আর পড়ার মানুষ আপনাকেই দিতে হবে।

Sysmon — Windows-এর বিস্তারিত রেজিস্টার খাতা

Microsoft Sysinternals-এর Sysmon একটি service আর driver, যা ঘটনা Windows event log-এ লেখে। Microsoft-এর নথি স্পষ্ট বলে, এটি নিজে বিশ্লেষণ করে না, আর নিজেকে লুকায়ও না। তাই এটি শুধু তথ্যের উৎস, SIEM-এ পাঠিয়ে তবে কাজে লাগে। Log থাকে Microsoft/Windows/Sysmon/Operational-এ।

<!-- Lab example. Match schemaversion to your binary: sysmon64 -? config -->
<Sysmon schemaversion="4.82">
  <HashAlgorithms>SHA256</HashAlgorithms>
  <EventFiltering>
    <!-- exclude with no rule: log every process start -->
    <ProcessCreate onmatch="exclude" />
    <!-- network: only programs running from user folders -->
    <NetworkConnect onmatch="include">
      <Image condition="begin with">C:\Users\</Image>
    </NetworkConnect>
    <!-- autostart changes in the registry -->
    <RegistryEvent onmatch="include">
      <TargetObject condition="contains">\CurrentVersion\Run</TargetObject>
    </RegistryEvent>
  </EventFiltering>
</Sysmon>

sysmon64 -accepteula -i sysmon-config.xml
sysmon64 -c

প্রথম কমান্ড configuration-সহ Sysmon বসায়, দ্বিতীয়টি বর্তমান configuration দেখায়। এটি শুরু করার একটি ছোট configuration. Exclude-এ কোনো নিয়ম না দেওয়ায় সব process লেখা হবে, আর network ও registry শুধু নির্দিষ্ট ক্ষেত্রে। সব চালু করলে log-এর বন্যা হয়, আর খুব কম চালু করলে অন্ধ। আগে ল্যাবে দেখুন দিনে কত ঘটনা আসে।

osquery — যন্ত্রকে database-এর মতো জিজ্ঞেস করা

osquery OS-কে একটি relational database-এর মতো দেখায়, তাই SQL দিয়ে প্রশ্ন করা যায়। এটি Windows, macOS আর Linux-এ চলে। হাতে চালানোর জন্য osqueryi, আর নিয়মিত চালানোর জন্য osqueryd. Facebook-এ তৈরি এই open source প্রকল্প এখন Linux Foundation-এর অধীনে চলে। নিচে দুটি শুধু-পড়ার query, যা কিছু বদলায় না।

-- Which process listens on which port? (own lab machine)
SELECT p.pid, p.name, p.path, l.port
FROM listening_ports AS l
JOIN processes AS p USING (pid)
WHERE l.port > 0;

-- Running, but the file on disk is gone
SELECT pid, name, path FROM processes WHERE on_disk = 0;

Table আর column osquery-র version ও OS-ভেদে আলাদা হতে পারে, তাই নিজের যন্ত্রের schema দেখে নিন। এখানে ব্রাউজারে osquery চালানো যায় না, আর আমরা আসল process পড়তেও চাই না। তাই নিচের block একটি স্থির নমুনা table-এ একই ধরনের প্রশ্ন করে।

#!/bin/bash
# osquery-like filter on a fixed sample table. Real osquery is not used here,
# and no real process on this machine is read.
table=$(cat <<'EOF'
pid,name,path,on_disk,port
401,sshd,/usr/sbin/sshd,1,22
522,nginx,/usr/sbin/nginx,1,443
610,edr-agent,/opt/agent/edr-agent,1,0
733,postgres,/usr/lib/postgresql/bin/postgres,1,5432
815,updater,/tmp/.cache/updater,1,8081
902,worker,/var/tmp/worker,0,0
EOF
)
approved="sshd nginx postgres"

echo "Q1: running, but file is gone from disk (on_disk = 0)"
echo "$table" | awk -F, 'NR>1 && $4==0 {print "  "$1, $2, $3}'

echo "Q2: running from a temp folder"
echo "$table" | awk -F, 'NR>1 && $3 ~ /^\/(var\/)?tmp\// {print "  "$1, $2, $3}'

echo "Q3: listening, but not on the approved list"
echo "$table" | awk -F, -v ok="$approved" '
  BEGIN { n = split(ok, a, " "); for (i = 1; i <= n; i++) allow[a[i]] = 1 }
  NR>1 && $5 > 0 && !($2 in allow) {print "  "$1, $2, "port", $5}'

Q1: running, but file is gone from disk (on_disk = 0)
  902 worker /var/tmp/worker
Q2: running from a temp folder
  815 updater /tmp/.cache/updater
  902 worker /var/tmp/worker
Q3: listening, but not on the approved list
  815 updater port 8081

৮ · XDR, NDR, MDR, SOAR — আর কেনার সিদ্ধান্ত

এই বাজারে শব্দের ভিড় বেশি। মনে রাখার সহজ উপায়: কোনোটি কী দেখে, কোনোটি কী করে, আর কোনোটি কে করে।

XDR-এর একক মানসম্মত সংজ্ঞা নেই। কেউ বোঝান এক vendor-এর সব পণ্য জোড়া, কেউ বোঝান নানা vendor-এর উৎস জোড়া। তাই “XDR” লেখা দেখলে জিজ্ঞেস করুন: ঠিক কোন কোন উৎস, কোন গভীরতায়, আর সাড়া কোথায় কোথায় দেওয়া যায়?

২৪ ঘণ্টার হিসাব আর MDR

একটি চেয়ারে সবসময় একজন মানুষ রাখতে কত লোক লাগে? সপ্তাহে ১৬৮ ঘণ্টা ÷ জনপ্রতি ৪০ ঘণ্টা = ৪.২ জন, ছুটি আর অসুস্থতা বাদে। বাস্তবে অন্তত ৫ থেকে ৬ জন। অধিকাংশ ছোট প্রতিষ্ঠানের জন্য এটি অসম্ভব, আর আক্রমণ অফিস সময় মেনে হয় না। এখানেই MDR-এর যুক্তি। সেবাদাতার analyst আপনার alert দেখেন, যাচাই করেন, আর চুক্তি অনুযায়ী সাড়া দেন।

তবে দায় কেনা যায় না। চুক্তির আগে লিখে নিন: তাঁরা কি যন্ত্র isolate করতে পারবেন, নাকি শুধু ফোন করবেন? রাতে কাকে ফোন? সাড়ার SLA কত? আপনার ডেটা কোথায় থাকে? চুক্তি শেষে log ফেরত পাবেন? এসব প্রশ্নের বিস্তারিত পর্ব ৭১-এ।

ATT&CK Evaluations সমালোচনার চোখে

MITRE-র ATT&CK Evaluations-এ অংশ নেওয়া পণ্যকে একটি অনুকরণ করা আক্রমণের সামনে রাখা হয়, আর ফল প্রকাশ হয়। এই স্বচ্ছতা মূল্যবান। কিন্তু MITRE নিজেই বলে তারা vendor-দের ক্রম করে না। “আমরা প্রথম” বিজ্ঞাপনটি vendor-এর নিজের ব্যাখ্যা। পড়ার সময় মনে রাখুন:

• অংশগ্রহণ ঐচ্ছিক, তাই নেই মানে খারাপ নয়।
• পরীক্ষার পরিবেশ আপনার অফিস নয়। আসল বহরের শব্দ, দুর্বল configuration আর ক্লান্ত analyst সেখানে নেই।
• Detection সব সমান নয়। শুধু telemetry দেখা আর স্পষ্ট alert দেওয়া আলাদা জিনিস।
• False positive, মোট alert-এর সংখ্যা, দাম আর ব্যবহারের সহজতা আলাদা করে দেখতে হবে। এক রাউন্ডের সংখ্যা নয়, MITRE-র মূল ফল নিজে পড়ুন।

ছোট প্রতিষ্ঠান কীভাবে বেছে নেবে

আগে পর্ব ২৯-এর ভিত্তি: inventory, patch, MFA, backup. সেগুলো ছাড়া EDR ফুটো নৌকায় দামি পাম্প বসানোর মতো। তারপর কোনো নাম নয়, এই প্রশ্নগুলো ধরে এগোন। আপনার OS বা office suite-এ বিল্ট-ইন সুবিধা থাকলে সেটিও তুলনায় রাখুন।

• কে পড়বে? সন্ধ্যা আর ছুটির দিনে alert কে দেখবেন? উত্তর না থাকলে MDR বা বিল্ট-ইন সমাধান ভাবব।
• Coverage: আমাদের সব OS, server আর পুরোনো যন্ত্রে চলে কি?
• পাইলট: ১০ থেকে ২০টি যন্ত্রে দুই সপ্তাহ, performance আর alert-এর সংখ্যা মেপে দেখব।
• Update নিয়ন্ত্রণ: Sensor আর content, দুটো update-ই ধাপে নেওয়া যায় কি?
• Console নিরাপত্তা: MFA, role, অনুমোদন আর audit log আছে কি?
• বেরোনোর পথ: Log export করা যায়? চুক্তি শেষে ডেটা ফেরত পাব? কোথায় রাখা হয়?

৯ · সীমা — যা EDR পারে না, আর জুলাই ২০২৪

১৯ জুলাই ২০২৪: পাহারাদারই যখন দরজা আটকে দেন

এটি সাইবার হামলা ছিল না। CrowdStrike-এর প্রকাশিত রিপোর্ট অনুযায়ী, ১৯ জুলাই ২০২৪ তারিখে ০৪:০৯ UTC-তে Windows-এর Falcon sensor-এর জন্য একটি configuration content update ছাড়া হয়। নতুন content ২১টি input field ধরে লেখা ছিল, কিন্তু sensor-এর কোড দিয়েছিল ২০টি মান, ফলে ২১তমটি পড়তে গিয়ে memory-র সীমার বাইরে পড়া হয়, আর kernel-এ এই ভুল Windows-কে crash করায়। ০৫:২৭ UTC-তে update ফিরিয়ে নেওয়া হয়। মাত্র ৭৮ মিনিট, কিন্তু সেই সময়ে online থাকা প্রভাবিত যন্ত্রগুলো পড়ে গিয়েছিল। Microsoft-এর অনুমান প্রায় ৮৫ লাখ Windows যন্ত্র, যা তাদের হিসাবে সব Windows যন্ত্রের ১%-এর কম। বহু যন্ত্রে হাতে গিয়ে সারাতে হয়েছে, আর বিমান, হাসপাতাল ও ব্যাংকের সেবায় ব্যাঘাতের খবর এসেছিল।

রিপোর্টে এই update-এ ধাপে ধাপে ছাড়ার ব্যবস্থা না থাকার ইঙ্গিত মেলে। পরে প্রতিষ্ঠানটি staggered deployment আর গ্রাহকের নিয়ন্ত্রণ বাড়ানোর অঙ্গীকার করে। শিক্ষাটি একটি কোম্পানির নয়, পুরো শ্রেণির: kernel-এ চলা, স্বয়ংক্রিয় update পাওয়া, সব যন্ত্রে থাকা software নিজেই একটি blast radius. আর “এটি শুধু configuration” বলে যাচাই এড়ানো যায় না। নিচে একটি কাল্পনিক ৫,০০০ যন্ত্রের বহরে staged rollout দেখুন। আরও জানতে deployment strategy-র পর্ব দেখতে পারেন।

fleet      : 5,000
rings      : 10 + 50 + 500 + 4,440
stop rule  : crash or offline > 1%
soak time  : 24 h each ring
rollback   : tested, one command

hosts   : 10
crashed : 0   (0%)
gate    : PASS
note    : all 10 share one disk driver

hosts   : 50
crashed : 6   (12%)
limit   : 1%
gate    : FAIL

rollout : HALTED
sent    : 60 hosts
not sent: 4,940 hosts
alert   : on-call + vendor ticket

auto recovered : 54 hosts
manual repair  : 6 hosts
service impact : IT team only

with rings    : 6 hosts down
without rings : 5,000 x 12% = 600 hosts down
lab fix       : add other disk driver

১০ · AI-এর যুগে — EDR-এ AI-কে কীভাবে ব্যবহার করবেন

অনেক EDR পণ্যে এখন AI সহকারী আছে, যা alert-এর সারাংশ লেখে। এটি কাজের, কারণ encoded লেখা ব্যাখ্যা বা দীর্ঘ গাছের সারাংশে সময় বাঁচে। তবে AI আত্মবিশ্বাসের সাথে ভুলও বলে, আর ভুল রায় একজন মানুষের যন্ত্র আটকে দিতে পারে।

AI ব্যবহারের চেকলিস্ট

• Prompt-এ কোনো secret, আসল নাম বা ব্যক্তিগত ডেটা নেই
• প্রতিটি Event ID, CVE আর technique মূল উৎসে মিলিয়েছি
• AI-এর রায়টি আমি নিজে telemetry-তে যাচাই করেছি
• Isolation বা মুছে ফেলার মতো সিদ্ধান্ত একজন মানুষ নিয়েছেন, আর তা audit-এ আছে
• AI-এর লেখা নিয়ম আগে ল্যাবে বা audit mode-এ চালিয়েছি