Endpoint নিরাপত্তা — antivirus থেকে EDR, encryption আর device management

১ · কেন endpoint-ই প্রধান প্রবেশপথ আর নিশানা

একটি বড় বাজারের কথা ভাবুন। মূল ফটকে দারোয়ান আছেন, CCTV আছে। কিন্তু প্রতিটি দোকানের নিজের দরজা, নিজের ক্যাশবাক্স আর নিজের কর্মচারী আছে। চোর ফটক ভাঙে না। সে কোনো একটি দোকানের ভুলে খোলা জানালা খোঁজে।

Endpoint হলো সেই দোকান: ল্যাপটপ, ডেস্কটপ, ফোন, ট্যাবলেট, আর অনেক সংজ্ঞায় server-ও। যে যন্ত্রে মানুষ বা program সরাসরি কাজ করে, সেটিই endpoint. গত কয়েকটি পর্বে আপনি network পাহারা দিয়েছেন। এবার নজর যন্ত্রের ভেতরে।

রক্ষকের দিক থেকে endpoint গুরুত্বপূর্ণ চারটি কারণে:

• মানুষ এখানে কাজ করেন: Email খোলা হয়, ফাইল নামানো হয়, link চাপা হয়। Phishing শেষ পর্যন্ত একটি endpoint-এই পৌঁছায়।
• চাবি এখানে থাকে: Browser-এর login session, saved password, SSH key আর VPN profile. Infostealer ধরনের malware এগুলোই লক্ষ্য করে।
• যন্ত্র ঘোরে: ল্যাপটপ বাড়িতে যায়, ক্যাফের Wi-Fi-তে বসে, আবার অফিসে ফেরে। ফলে network সীমানার firewall সবসময় তাকে ঢেকে রাখে না।
• এখান থেকে ভেতরে যাওয়া যায়: একটি যন্ত্র দখল মানে তার সব অধিকার দখল। পর্ব ৫-এর kill chain-এ এখান থেকেই persistence আর lateral movement শুরু হয়।

আর যন্ত্রের ঝুঁকি শুধু হামলা নয়। ল্যাপটপ হারায়, চুরি হয়, disk নষ্ট হয়। তাই এই পর্বের নিরাপত্তা পর্ব ২-এর CIA, তিনটিই ছোঁয়।

২ · ভিত্তি আগে — asset inventory

মহল্লার পাহারাদারকে আগে জানতে হয় মহল্লায় কয়টি বাড়ি। তালিকা না থাকলে কোন বাড়ির গেট খোলা, সেটি ধরাই যায় না। Asset inventory মানে আপনার সব যন্ত্র আর software-এর হালনাগাদ তালিকা।

এই কারণেই CIS Controls (v8.1, ২০২৪)-এর প্রথম দুটি control তালিকা নিয়ে। Control 1 হলো Inventory and Control of Enterprise Assets, আর Control 2 হলো Inventory and Control of Software Assets. প্রথমটি বলে কী কী যন্ত্র আছে, দ্বিতীয়টি বলে তাতে কী কী চলছে। দুটিই শুধু তালিকা নয়, নিয়ন্ত্রণ: অচেনা যন্ত্র বা software পেলে তা সরানো বা অনুমোদন করার ব্যবস্থাও এর অংশ।

তালিকা বানানোর পথ একটি নয়। একাধিক উৎস মেলালেই ফাঁক ধরা পড়ে: ক্রয়ের রেজিস্টার, management agent-এর তালিকা, DHCP log, আর Wi-Fi-তে যুক্ত যন্ত্রের তালিকা। কোনো যন্ত্র DHCP log-এ আছে, কিন্তু agent-এর তালিকায় নেই? সেটিই আপনার প্রথম প্রশ্ন। পর্ব ২০-এ Colonial Pipeline-এর ভুলে যাওয়া VPN profile দেখেছেন। যন্ত্রের ক্ষেত্রেও শিক্ষা একই: তালিকার বাইরের জিনিসই বিপজ্জনক।

৩ · প্রতিটি যন্ত্রের baseline

Baseline মানে ন্যূনতম সাজানো অবস্থা, যার নিচে কোনো যন্ত্র থাকবে না। নিচের ছয়টি নিয়ন্ত্রণে বেশি খরচ নেই, আর প্রধান OS-গুলোতে এগুলো সাধারণত আগে থেকেই থাকে।

প্রতিদিনের কাজে admin নয়

আপনি যখন একটি program চালান, সেটি আপনার অধিকার নিয়েই চলে। Local admin হয়ে email খুললে ফাঁদের ফাইলও admin হয়ে চলে। তখন সে নিরাপত্তা software বন্ধ করা বা সিস্টেমের গভীরে বসার চেষ্টা করতে পারে। সাধারণ account-এ এই পথ অনেকটা বন্ধ থাকে। আলাদা admin account-এর নিয়ম পর্ব ২০-এ দেখেছেন। ল্যাপটপে একই কথা: দরকারে উঁচু অধিকার নিন, কাজ শেষে ফিরে আসুন।

ছোট একটি উদাহরণ দেখুন। Shared folder-এ অধিকারের ভুল নীরবে জমে। নিচের block নিজেই একটি অস্থায়ী folder আর কয়েকটি নকল ফাইল বানায়, ভুল অধিকার বসায়, audit করে, ঠিক করে, তারপর সব মুছে ফেলে। অন্য কোনো ফাইলে হাত দেয় না।

# Permission audit on files this block creates. Touches nothing else.
set -eu
umask 022
work=$(mktemp -d); cd "$work"
mkdir shared tools
printf 'name,salary\n' > shared/payroll.csv
printf 'example-token\n' > shared/api.token
printf '#!/bin/sh\necho backup\n' > tools/backup.sh
printf '#!/bin/sh\necho helper\n' > tools/helper.sh
chmod 640 shared/payroll.csv
chmod 666 shared/api.token        # mistake: anyone can read and change it
chmod 777 tools tools/backup.sh   # mistake: a "quick fix" from a forum
chmod 4755 tools/helper.sh        # mistake: setuid nobody reviewed

audit() {
  echo "world-writable: $(find . -mindepth 1 -perm -0002 | wc -l)"
  find . -mindepth 1 -perm -0002 | sort | sed 's/^/  /'
  echo "setuid: $(find . -type f -perm -4000 | wc -l)"
  find . -type f -perm -4000 | sort | sed 's/^/  /'
  echo "token open to others: $(find shared -name '*.token' -perm /0007 | wc -l)"
}
echo '=== before'; audit
chmod g-w,o-w tools tools/backup.sh
chmod 600 shared/api.token
chmod u-s tools/helper.sh
echo '=== after'; audit
echo '=== final modes'
find . -mindepth 1 | sort | while read -r p; do stat -c '%a %n' "$p"; done
cd / && rm -rf "$work"

নিজের যন্ত্রে baseline যাচাই

নিচের command শুধু নিজের যন্ত্রের অবস্থা পড়ে, কিছু বদলায় না। অফিসের যন্ত্র হলে আগে IT দলের নিয়ম দেখে নিন। আউটপুট OS-এর version-ভেদে আলাদা হয়, তাই এখানে নমুনা দেওয়া হলো না।

manage-bde -status C:
Confirm-SecureBootUEFI
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

fdesetup status
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
spctl --status
softwareupdate --list

mokutil --sb-state
lsblk -o NAME,TYPE,FSTYPE,MOUNTPOINTS
sudo ufw status verbose
apt list --upgradable

Linux-এর hardening-এর পুরো গল্প পর্ব ৩০-এ, Windows আর Active Directory পর্ব ৩১-এ, আর কোন patch আগে তা পর্ব ৩২-এ আসবে। OS-এর ভেতরের নিরাপত্তা-ব্যবস্থার তত্ত্ব পড়তে পারেন OS নিরাপত্তা পর্বে।

৪ · Disk encryption আর হারানো ল্যাপটপ

ধরুন আপনার অফিসের কাগজপত্র একটি আলমারিতে। চোর আলমারিসহ নিয়ে গেল। তালা ছাড়া আলমারি হলে সে সব পড়বে। ব্যাংকের লকারের মতো তালা আর চাবি আলাদা থাকলে সে পাবে শুধু একটি ভারী বাক্স। Full-disk encryption (FDE) সেই তালা: পুরো disk-এর ডেটা encrypt হয়ে থাকে, চলার সময় চোখের আড়ালে খোলে।

ভেতরে কী হয়

Windows-এ BitLocker, macOS-এ FileVault, Linux-এ LUKS. ভেতরের নকশা প্রায় এক। Disk-এর ডেটা encrypt হয় একটি এলোমেলো key দিয়ে, যাকে DEK বলতে পারেন। সাধারণত mode থাকে XTS, যা disk-এর জন্য বানানো (NIST SP 800-38E, ২০১০)। সেই DEK আবার encrypt করা থাকে আপনার password, PIN বা TPM-এর key দিয়ে। এটি পর্ব ৮-এর envelope encryption-এর সাথে মেলে। দুটি লাভ:

• Password বদলাতে পুরো disk আবার encrypt করতে হয় না: শুধু DEK-এর মোড়ক বদলায়।
• মোছা খুব দ্রুত হতে পারে: Key নষ্ট করলে ডেটা পড়ার পথ থাকে না। একে crypto-erasure বলে। Remote wipe অনেক সময় এই পথেই কাজ করে।

TPM মাদারবোর্ডের একটি ছোট নিরাপদ চিপ বা firmware-ভিত্তিক সমতুল্য অংশ। এটি key আগলে রাখে, আর measured boot-এর মাপ মিললে তবেই key ছাড়ে। আরেকটি ভালো গুণ: PIN বারবার ভুল হলে TPM চেষ্টা ধীর করে দেয়।

হিসাব: ছোট PIN কেন চলে

৬ অঙ্কের PIN-এর সংখ্যা 10⁶, মানে log₂(10⁶) ≈ ১৯.৯ bit entropy. Disk থেকে key নিয়ে অন্য কম্পিউটারে দ্রুত অনুমান করা গেলে এটি খুব দুর্বল হতো। কিন্তু key TPM-এর ভেতরে থাকলে প্রতিটি চেষ্টা TPM-কে দিয়েই করাতে হয়। ধরা যাক (অনুমান মাত্র, আসল সীমা চিপ-ভেদে আলাদা) লকআউটের পর ২ ঘণ্টায় একটি চেষ্টা চলে। তাহলে সব PIN পরীক্ষায় সর্বোচ্চ 10⁶ × 2 = 2,000,000 ঘণ্টা, অর্থাৎ 2,000,000 ÷ 8,760 ≈ ২২৮ বছর। শিক্ষা: নিরাপত্তা শুধু PIN-এর দৈর্ঘ্যে নয়, অনুমানের গতি কে সীমিত করছে তাতেও।

এবার একই ল্যাপটপের ঘটনা দুইভাবে দেখুন। দুটি ল্যাপটপই বন্ধ অবস্থায় বাসে হারিয়েছে। ক-তে FDE আছে, খ-তে নেই। বাকি সব সমান।

Recovery key: encryption-এর উল্টো ঝুঁকি

Encryption ডেটা রক্ষা করে, আবার ভুল হলে মালিককেও বাইরে রাখে। Recovery key ছাড়া motherboard বদল বা PIN ভুলে যাওয়ায় ডেটা চিরতরে হারাতে পারে। প্রতিষ্ঠানে এই key কেন্দ্রীয়ভাবে জমা রাখুন, আর ব্যক্তিগত যন্ত্রে password manager-এ বা ছাপিয়ে নিরাপদ জায়গায়, ল্যাপটপের ব্যাগে নয়। Key কে দেখল, তার log থাকুক। আর মনে রাখুন, encryption backup-এর বদলে নয়। Disk নষ্ট হলে encrypted ডেটাও যায়।

হারানো ল্যাপটপের পরিকল্পনা

ঘটনার সময় পরিকল্পনা বানানো কঠিন। তাই আগেই এক পাতায় লিখে রাখুন।

আইনি দিকের জন্য পর্ব ৬ দেখুন, আর উপাত্ত আইনের বিষয় পর্ব ৭০-এ আসবে। এই পর্ব আইনি পরামর্শ নয়। Incident-এর পুরো কাঠামো পর্ব ৬১-এ পাবেন।

৫ · Signature antivirus থেকে behaviour আর EDR

পুলিশের কাছে পরিচিত অপরাধীর ছবি আছে। ছবির মানুষ এলে সহজেই ধরা পড়ে। কিন্তু নতুন মুখ বা ছদ্মবেশ এলে? তখন ছবি নয়, আচরণ দেখতে হয়: রাত তিনটায় ব্যাংকের পেছনের দরজায় কে হাঁটছে। Endpoint পাহারা ঠিক এভাবেই বদলেছে।

কেন signature একা যথেষ্ট নয়? পর্ব ৯-এ দেখেছেন, একটি bit বদলালেই hash সম্পূর্ণ বদলায়। তাই শুধু hash-এর তালিকা সহজেই পিছিয়ে পড়ে। আবার কিছু হামলায় নতুন ফাইলই লাগে না। হামলাকারী OS-এর ভেতরের বৈধ টুল ব্যবহার করে। একে living off the land বলে। এখানে ফাইল পরিষ্কার, আচরণটিই সন্দেহজনক। ধরন আর আচরণের বিস্তার পর্ব ৩৩-এ আসবে।

রক্ষকের দিক থেকে behaviour-এর কিছু সাধারণ প্রশ্ন: Word কি হঠাৎ একটি script চালাল? একটি program কি অল্প সময়ে শত শত ফাইল বদলাচ্ছে? নতুন autostart যোগ হলো কি? নিরাপত্তা software বন্ধের চেষ্টা হলো কি?

EDR সংক্ষেপে

EDR (endpoint detection and response) মানে যন্ত্রে একটি agent বসে, যা process, ফাইল, network আর login-এর ঘটনা জমা করে কেন্দ্রে পাঠায়। এই telemetry থেকে detection চলে। Analyst চাইলে পুরো ঘটনাগাছ দেখতে পারেন, আর সমস্যা হলে যন্ত্রটিকে network থেকে আলাদা করতে পারেন। অনেকটা অফিসের CCTV, রেজিস্টার খাতা আর একজন পাহারাদার একসাথে। বিস্তারিত পর্ব ৫৯-এ, আর এই পর্বে শুধু মনে রাখুন তিনটি কথা:

• EDR-এর alert কেউ না পড়লে তা কাজের নয়। পর্ব ৫-এর গল্পেই সতর্কতা পরের দিনের জন্য রয়ে গিয়েছিল। ধরা পড়া আর সাড়া দেওয়া আলাদা জিনিস।
• Agent নিজেও উঁচু অধিকারের software. এর ভুল update পুরো fleet থামাতে পারে, আর এর console দখল হলে সব যন্ত্রই ঝুঁকিতে।
• Agent যেখানে নেই, সেখানে EDR নেই। Printer, পুরোনো যন্ত্র আর ব্যক্তিগত ফোন প্রায়ই বাদ থাকে। তাই পর্ব ২৩-এর network নজরদারিও দরকার।

৬ · Application allowlisting — অচেনা কিছু চলবে না

Antivirus-এর প্রশ্ন: “এটি কি খারাপ?” না জানলে চলতে দেয়। Application allowlisting-এর প্রশ্ন উল্টো: “এটি কি অনুমোদিত?” না হলে চলবে না। প্রথমটি অপরাধীর তালিকা, দ্বিতীয়টি অনুষ্ঠানের অতিথি তালিকা। গেটের দারোয়ান দেখেন নাম খাতায় আছে কি না। পর্ব ৩-এর default deny এখানে program চালানোর ক্ষেত্রে বসে।

নিয়ম সাধারণত তিন রকমের পরিচয়ে হয়, আর প্রত্যেকটির আলাদা ভারসাম্য আছে:

Windows-এ দুটি প্রযুক্তি আছে। AppLocker এসেছে Windows 7-এর সময়, user বা group ধরে নিয়ম দিতে পারে। আর App Control for Business, আগে সুপরিচিত ছিল Windows Defender Application Control (WDAC) নামে, এসেছে Windows 10-এর সাথে। Microsoft-এর দলিল বলে, App Control security feature হিসেবে নকশা করা, আর AppLocker তাদের servicing criteria অনুযায়ী security feature নয়। AppLocker security fix পায়, নতুন feature নয়, আর সম্ভব হলে App Control বেছে নিতে বলা হয়। Linux-এ একই ধারণার কাছাকাছি কাজ করে fapolicyd ধরনের টুল, আর macOS-এ Gatekeeper আংশিক এই ভূমিকা নেয়।

নিচে একটি খেলনা সিদ্ধান্ত-ইঞ্জিন। Hash আর ঘটনা সব বানানো। প্রথমে নিষিদ্ধ hash, তারপর অনুমোদিত hash, তারপর signer, শেষে path. কোনো নিয়ম না মিললে deny. Audit আর enforce দুই mode-এ একই ঘটনা চালানো হলো।

// Toy allowlist engine on made-up events. Hashes are fake short labels.
const policy = {
  denyHash: ['h-old7'],                     // known-bad version, checked first
  allowHash: ['h-tally'],
  allowSigner: ['Example Payroll Ltd', 'Example OS Vendor'],
  allowPath: ['C:\\Windows\\', 'C:\\Program Files\\'],
  userWritable: ['C:\\Users\\', 'C:\\Temp\\'],
};
function decide(e) {
  if (policy.denyHash.includes(e.hash)) return ['deny', 'hash on deny list'];
  if (policy.allowHash.includes(e.hash)) return ['allow', 'exact hash'];
  if (e.signer && policy.allowSigner.includes(e.signer)) return ['allow', 'trusted signer'];
  const inPath = policy.allowPath.some(p => e.path.startsWith(p));
  const writable = policy.userWritable.some(p => e.path.startsWith(p));
  if (inPath && !writable) return ['allow', 'admin-only path'];
  return ['deny', 'no rule matched'];
}
const events = [
  { name: 'payroll.exe', hash: 'h-pay3', signer: 'Example Payroll Ltd', path: 'C:\\Program Files\\Pay\\payroll.exe' },
  { name: 'tally.exe', hash: 'h-tally', signer: null, path: 'C:\\Users\\rumi\\tally.exe' },
  { name: 'notes.exe', hash: 'h-note1', signer: null, path: 'C:\\Windows\\notes.exe' },
  { name: 'updater.exe', hash: 'h-old7', signer: 'Example Payroll Ltd', path: 'C:\\Program Files\\Pay\\updater.exe' },
  { name: 'invoice.exe', hash: 'h-unk9', signer: null, path: 'C:\\Users\\rumi\\Downloads\\invoice.exe' },
];
function run(mode) {
  console.log(`--- mode: ${mode}`);
  for (const e of events) {
    const [verdict, why] = decide(e);
    const act = verdict === 'allow' ? 'RUN  ' : mode === 'enforce' ? 'BLOCK' : 'RUN* ';
    console.log(`${act} ${e.name.padEnd(12)} ${why}`);
  }
}
run('audit');
run('enforce');
console.log('RUN* = would be blocked; logged only in audit mode');

Rollout-এর কষ্ট

কাগজে allowlisting সহজ। বাস্তবে প্রথম দিন enforce করলে payroll, printer driver আর কারও পুরোনো Excel add-in একসাথে আটকে যাবে। তাই পথটি ধীরে এগোয়। Audit mode শুধু লেখে, enforcement mode সত্যিই আটকায়। নিচের সংখ্যা ১২০টি যন্ত্রের একটি কাল্পনিক অফিসের।

৭ · Device management, compliance আর BYOD

১০টি যন্ত্র হাতে সামলানো যায়। ৩০০টি যায় না। MDM (mobile device management) এই কাজের জন্যই এসেছিল ফোন সামলাতে। এখন একই console থেকে ল্যাপটপ, ফোন, ট্যাবলেট সব সামলানোকে UEM (unified endpoint management) বলে। উদাহরণ হিসেবে Microsoft Intune, Jamf বা Google-এর endpoint management-এর নাম শোনা যায়। এগুলো সুপারিশ নয়, শুধু ধরন বোঝানোর জন্য।

একটি নীতি কেমন দেখতে হয়, নিচে তার একটি কাল্পনিক রূপ। প্রতিটি product-এর নিজের format আছে, তাই এটি শুধু ধারণার জন্য।

# Fictional format for learning; every MDM product has its own.
policy: laptop-baseline-v3
applies_to: [company-laptops]
require:
  os_patch_age_days_max: 30
  disk_encryption: on
  secure_boot: on
  host_firewall: on
  screen_lock_minutes_max: 10
  edr_agent_last_seen_days_max: 7
on_fail:
  notify_user: immediately
  grace_days: 3
  then: block-sensitive-apps
exceptions:
  owner_required: true
  max_days: 30

Compliance রিপোর্টের আসল শক্তি আসে যখন তা access-এর সাথে জোড়া হয়। পর্ব ২৫-এ ZTNA-তে device posture দেখেছেন। Conditional access মানে login-এর সিদ্ধান্তে শুধু password নয়, যন্ত্রের অবস্থাও দেখা। নিচে Sohel-এর ল্যাপটপ LT-02-এর সকালটি দেখুন। তাঁর patch-এর বয়স ৪৭ দিন, সীমা ৩০।

patch_age_days : 47
disk_encrypted : yes
firewall       : on
edr_last_seen  : 1 day

patch_age 47 > 30      FAIL
disk_encrypted         PASS
firewall               PASS
edr_last_seen 1 <= 7   PASS
state: NON-COMPLIANT (grace ended)

user     : sohel
password : ok
mfa      : ok
app      : payroll
device   : LT-02

identity : ok
device   : NON-COMPLIANT
decision : BLOCK payroll
message  : Install updates, then retry.

updates installed, device restarted
patch_age_days : 0
MDM re-check   : COMPLIANT

identity : ok
device   : COMPLIANT
decision : ALLOW payroll
log      : block + allow both recorded

Fleet report: কোনটি আগে ঠিক করবেন

রিপোর্টে শুধু “৩৭.৫% compliant” দেখে কাজ এগোয় না। লাগে ক্রমতালিকা। নিচের block ৮টি কাল্পনিক যন্ত্রের inventory পড়ে। ল্যাপটপে encryption না থাকলে বেশি point, কারণ ল্যাপটপ বাইরে যায়। Point-এর ওজন আমাদের অনুমান, আপনার প্রতিষ্ঠানে আলাদা হবে।

// Toy fleet report: made-up inventory, no real device is touched.
const MAX_PATCH_DAYS = 30, MAX_AGENT_DAYS = 7;
const fleet = [
  { id: 'LT-01', laptop: true,  patch: 12, enc: true,  seen: 0,    admin: false },
  { id: 'LT-02', laptop: true,  patch: 47, enc: true,  seen: 1,    admin: false },
  { id: 'LT-03', laptop: true,  patch: 9,  enc: false, seen: 0,    admin: true  },
  { id: 'LT-04', laptop: true,  patch: 5,  enc: true,  seen: 0,    admin: true  },
  { id: 'LT-05', laptop: true,  patch: 96, enc: false, seen: null, admin: true  },
  { id: 'DT-06', laptop: false, patch: 61, enc: false, seen: 12,   admin: false },
  { id: 'DT-07', laptop: false, patch: 21, enc: true,  seen: 2,    admin: false },
  { id: 'LT-08', laptop: true,  patch: 28, enc: true,  seen: 3,    admin: false },
];
function findings(d) {                 // each finding: [name, priority points]
  const f = [];
  if (d.seen === null) f.push(['no-agent', 4]);
  else if (d.seen > MAX_AGENT_DAYS) f.push(['stale-agent', 3]);
  if (!d.enc) f.push(['no-encryption', d.laptop ? 4 : 1]);   // laptops travel
  if (d.patch > MAX_PATCH_DAYS) f.push(['old-patch', d.patch > 60 ? 4 : 3]);
  if (d.admin) f.push(['daily-admin', 2]);
  return f;
}
const rows = fleet.map(d => {
  const f = findings(d);
  return { id: d.id, f, score: f.reduce((s, x) => s + x[1], 0) };
});
const clean = rows.filter(r => r.f.length === 0).length;
console.log(`compliant ${clean}/${fleet.length} (${(clean / fleet.length * 100).toFixed(1)}%)`);
for (const name of ['no-agent', 'stale-agent', 'no-encryption', 'old-patch', 'daily-admin'])
  console.log(`${name.padEnd(14)} ${rows.filter(r => r.f.some(x => x[0] === name)).length}`);
console.log('--- fix first');
rows.filter(r => r.score > 0).sort((a, b) => b.score - a.score || a.id.localeCompare(b.id))
  .forEach((r, i) => console.log(`${i + 1}. ${r.id} score ${String(r.score).padStart(2)}: ${r.f.map(x => x[0]).join(', ')}`));

BYOD — নিজের ফোনে অফিসের কাজ

BYOD (bring your own device) মানে কর্মী নিজের যন্ত্রে অফিসের কাজ করেন। প্রতিষ্ঠানের খরচ কমে, কর্মীর সুবিধা হয়। কিন্তু যন্ত্রটি প্রতিষ্ঠানের নয়, ছবি আর ব্যক্তিগত বার্তাও তাতেই থাকে।

লিখিত নীতিতে অন্তত চারটি জিনিস থাকুক: কোন তথ্য প্রতিষ্ঠান দেখবে আর কোনটি দেখবে না, যন্ত্রের কতটুকু মোছা যাবে, চাকরি ছাড়লে কী হবে, আর ন্যূনতম OS version কত।

৮ · USB, macro আর browser

Removable media

USB drive সুবিধাজনক, আবার ডেটা বাইরে যাওয়া আর অচেনা ফাইল ভেতরে আসা, দুটোরই পথ। ২০১০ সালে প্রকাশিত Stuxnet-এর প্রতিবেদনগুলোতে USB-কে air gap পেরোনোর একটি পথ হিসেবে বর্ণনা করা হয়েছে। অর্থাৎ network থেকে বিচ্ছিন্ন যন্ত্রও নিশ্চিন্ত নয়।

• Autorun বন্ধ: CIS Safeguard 10.3 removable media-র autorun আর autoplay বন্ধ করতে বলে।
• নীতি: প্রয়োজন না থাকলে USB storage বন্ধ, অথবা শুধু পড়ার অনুমতি, অথবা অনুমোদিত encrypted drive.
• অচেনা USB: রাস্তায় পাওয়া drive নিজের কাজের যন্ত্রে লাগাবেন না। IT দলকে দিন।
• বিকল্প দিন: নিরাপদ ফাইল শেয়ারের পথ না থাকলে মানুষ USB-তেই ফিরে যাবেন।

Macro নীতি

Macro হলো Office ফাইলের ভেতরের ছোট program. হিসাব বিভাগে এটি কাজের জিনিস, আবার ফাঁদের ফাইলেও এটি বহু বছর ধরে ব্যবহার হয়েছে। Microsoft ২০২২ সালে ধাপে ধাপে Windows-এর Office-এ default বদলায়। ইন্টারনেট থেকে আসা ফাইলে, যা Mark of the Web দিয়ে চেনা যায়, VBA macro এখন default-ভাবে বন্ধ থাকে। আগে একটি বোতাম চাপলেই চলত। Microsoft-এর দলিলে বলা ভালো অভ্যাস:

• যাঁদের macro লাগে না, তাঁদের জন্য সব macro বন্ধ।
• যাঁদের লাগে, তাঁদের জন্য শুধু বিশ্বস্ত প্রকাশকের সই করা macro.
• Trusted Location অল্প রাখা, কারণ সেখানে Mark of the Web-এর যাচাই এড়িয়ে যায়।

Browser hardening

আজকের বেশিরভাগ কাজই browser-এ, তাই browser-ই একরকম ছোট OS. Browser hardening-এর সরল তালিকা:

• Update: স্বয়ংক্রিয় রাখুন, আর restart করুন। Download হলেও restart না করলে পুরোনোটাই চলে।
• Extension: Extension অনেক সময় আপনার দেখা পাতা পড়তে পারে। প্রতিষ্ঠানে allowlist রাখুন, ব্যক্তিগত যন্ত্রে কম রাখুন।
• Password: প্রতিষ্ঠানের জন্য browser-এ সেভ করার বদলে password manager ভালো, আর ব্যক্তিগত ও অফিসের browser profile আলাদা রাখুন।
• Download ও site সুরক্ষা: Browser-এর নিরাপদ ব্রাউজিং আর DNS সুরক্ষা চালু রাখুন।
• পুরোনো জিনিস বন্ধ: অপ্রয়োজনীয় plugin আর পুরোনো সংস্করণ সরান।

৯ · ছোট অফিসের শুরু আর coverage মাপা

১৫ জনের অফিসের checklist

কাল্পনিক একটি ১৫ জনের অফিস। কোনো নিরাপত্তা দল নেই। এই ক্রমে শুরু করুন। প্রথম সাতটিতে বেশি টাকা লাগে না।

• একটি spreadsheet-এ সব যন্ত্র, মালিক, OS আর serial লিখেছি
• সব যন্ত্রে automatic update চালু, মাসে একবার যাচাই
• প্রতিদিনের account থেকে admin অধিকার সরিয়েছি
• সব ল্যাপটপে disk encryption চালু, recovery key নিরাপদে জমা
• Screen lock ১০ মিনিটের মধ্যে, host firewall চালু
• Email ও প্রধান account-এ MFA, password manager
• OS-এর ভেতরের antivirus সচল, macro আর USB-র নীতি লেখা
• ফাইলের backup আলাদা জায়গায়, আর restore একবার পরীক্ষা করেছি
• হারানো ল্যাপটপের এক পাতার পরিকল্পনা সবাই জানেন
• যন্ত্র বাড়লে একটি MDM আর EDR-এর প্রয়োজন যাচাই করব

Coverage: হর কী?

“আমাদের ৮৫% যন্ত্রে EDR আছে” শুনতে ভালো। প্রশ্ন হলো, কতটির মধ্যে ৮৫%? Coverage metric-এর হর ভুল হলে পুরো সংখ্যাই ভুল। ধরুন, খাতায় ২০০টি যন্ত্র, DHCP আর Wi-Fi log মিলিয়ে আসলে ২৩০টি। Agent বসানো ১৭০টিতে, আর গত ৭ দিনে সুস্থভাবে রিপোর্ট করেছে ১৫০টি।

এবার patch-এর দিকে তাকান। গড় একটি ভালো সংখ্যা দেখাতে পারে, অথচ কিছু যন্ত্র মাসের পর মাস পিছিয়ে থাকে। নিচের block seed দেওয়া নকল ডেটায় ২০০টি যন্ত্রের patch-এর বয়স বানায়।

// Patch-age summary on a simulated fleet of 200 devices (seeded, repeatable).
function mulberry32(a) {
  return () => {
    a |= 0; a = a + 0x6D2B79F5 | 0;
    let t = Math.imul(a ^ a >>> 15, 1 | a);
    t = t + Math.imul(t ^ t >>> 7, 61 | t) ^ t;
    return ((t ^ t >>> 14) >>> 0) / 4294967296;
  };
}
const rnd = mulberry32(29);
const ages = [];
for (let i = 0; i < 200; i++) {
  const lagging = rnd() < 0.15;        // about 15% of devices lag badly
  ages.push(Math.floor(lagging ? 31 + rnd() * 170 : rnd() * 26));
}
ages.sort((a, b) => a - b);
const pct = p => ages[Math.ceil(p / 100 * ages.length) - 1];   // nearest-rank
const mean = ages.reduce((s, x) => s + x, 0) / ages.length;
const buckets = [[0, 7], [8, 14], [15, 30], [31, 60], [61, 999]];
console.log('age days    devices');
for (const [lo, hi] of buckets) {
  const n = ages.filter(a => a >= lo && a <= hi).length;
  const label = hi === 999 ? `${lo}+` : `${lo}-${hi}`;
  console.log(`${label.padEnd(8)} ${String(n).padStart(4)}  ${'#'.repeat(Math.round(n / 4))}`);
}
const within = ages.filter(a => a <= 30).length;
console.log(`mean ${mean.toFixed(1)}  median ${pct(50)}  p90 ${pct(90)}  max ${ages[199]}`);
console.log(`within 30 days: ${within}/200 = ${(within / 2).toFixed(1)}%`);
const known = 230;                     // devices seen on the network, not only reporting
console.log(`against ${known} real devices: ${(within / known * 100).toFixed(1)}%`);

১০ · AI-এর যুগে endpoint নিরাপত্তা

AI খুব দ্রুত script, policy আর ব্যাখ্যা লিখে দেয়। কিন্তু Endpoint-এর ক্ষেত্রে ভুল script একসাথে শত যন্ত্রে যেতে পারে। তাই ছোট ভুলের দামও বড়। AI যা প্রায়ই ভুল করে, আর আপনি যেভাবে ধরবেন:

AI-এর উত্তর হাতে পেলে

• প্রতিটি CVE, control নম্বর আর setting মূল উৎসে মিলিয়েছি
• Script প্রথমে নিজের পরীক্ষার যন্ত্রে, তারপর ছোট pilot-এ চালিয়েছি
• Diff পড়েছি, আর rollback-এর পথ জানি
• Prompt-এ নাম, IP, token বা গ্রাহকের তথ্য দিইনি
• যন্ত্র মোছা বা কারও access বন্ধের সিদ্ধান্ত একজন মানুষ নিয়েছেন