Cyber Security MCQ — ২৬২ প্রশ্ন ও ব্যাখ্যা বাংলায় | পর্ব ৭৭

এক নজরে · এই পাতা কীভাবে ব্যবহার করবেন

২৬২টি প্রশ্ন, কোর্সের ক্রমে: প্রথমে কৌশল, তারপর মডিউল ১ থেকে ১২; প্রতিটি মডিউলের শুরুতে কোন পর্ব ঝালিয়ে নেবেন, তার লিংক।
আগে খাতায় উত্তর, তারপর চাপুন: যে অপশনই চাপুন, ব্যাখ্যা খুলবে: কেন সঠিক বা ভুল, আর কোন পর্বে বিষয়টি আছে।
কঠিনতা প্রশ্নের শুরুতেই: (সহজ), (মাঝারি) বা (কঠিন)। সব তথ্য প্রশ্নের ভেতরেই আছে, আর টাকার অঙ্ক সবসময় ধরে নেওয়া।
সংখ্যা script-এ যাচাই করা: Numerical-এর উত্তর তিনটি checker-এ আবার চালানো যায়।
স্কোর দেখে দুর্বল মডিউল খুঁজুন: সব প্রশ্ন শেষে প্রথম চেষ্টার স্কোর দেখাবে; যে মডিউলে বেশি ভুল, তার পর্বে ফিরে যান।

এই পর্বে যা করবেন

নিরাপত্তার MCQ কোন ছাঁচে আসে তা চেনা, আর বাদ দেওয়ার পদ্ধতি শেখা
“Control আছে” আর “control এই ঝুঁকি থামায়”, এই দুইয়ের ফাঁদ ধরা
ALE, entropy, CVSS, precision, recall আর সময়ের ছোট numerical দ্রুত করা
Hash বনাম MAC, IDS বনাম IPS, severity বনাম priority, এমন জোড়া দূর করা
পুরো কোর্সের প্রশ্নে নিজের দুর্বল মডিউল খুঁজে সেই পর্বে ফেরা

১ · MCQ কীভাবে সামলাবেন — প্রশ্নের ধরন, বাদ দেওয়া আর সময়

নিরাপত্তার MCQ-তে নম্বর বেশি হারায় একটি শব্দ এড়িয়ে যাওয়ায়। “Identification” আর “authentication”, “precision” আর “recall”, “severity” আর “priority” পাশাপাশি থাকে। ভুল অপশনগুলো জেনেশুনে বানানো, একে বলে distractor. এই কোর্সের distractor-গুলো ঘুরেফিরে কয়েকটি ভুল ধারণা থেকেই আসে।

পরীক্ষার প্রস্তুতি বলতে এখানে বোঝায় বিশ্ববিদ্যালয়, চাকরি বা ইন্টারভিউর পরীক্ষা, আর নিজের ঝালিয়ে নেওয়া। এ ধরনের প্রশ্ন প্রায়ই আসে, তবে নিজের পরীক্ষার ধরন আলাদা হতে পারে।

প্রশ্নের পাঁচ ছাঁচ

ধরন	উদাহরণ	কৌশল
জোড়া-ধারণা	Hash বনাম MAC, SPF বনাম DKIM	সংজ্ঞার একটি চাবি-শব্দ ধরুন
পরিস্থিতি	Log দেখে পরের কাজ কী	আগে ঝুঁকি থামান, তারপর তদন্ত
কোন control	কোন প্রতিরক্ষা এটি থামাত	আগে ঝুঁকিটির নাম দিন, তারপর ছাঁকুন
ছোট numerical	ALE, entropy, precision	সূত্র আর একক আগে, মাত্রা আন্দাজ করুন
মান ও তথ্য	Top 10:2025-এর ক্রম, RFC নম্বর	Version আর বছর সহ মনে রাখুন

কৌশল ১ · বাদ দেওয়ার পদ্ধতি — একটি কঠিন প্রশ্ন ধাপে ধাপে

সঠিক উত্তর সরাসরি খোঁজার চেয়ে ভুল বাদ দেওয়া প্রায়ই সহজ। একে বলে elimination method. নিচের প্রশ্নের প্রতিটি ভুল অপশন একটি নিয়ম দিয়ে কাটুন।

ঝুঁকিrelayআগে নাম দিন
Window?ক বাদসময়ের ভেতরে
Password?খ বাদদিয়েই ফেলেছেন
VPN?গ বাদশুধু পথ
উত্তরঘorigin-বাঁধা

প্রশ্ন (কঠিন)নকল পাতা

কর্মী নকল পাতায় password আর
TOTP দিলেন। ঠিক তখনই কেউ সেগুলো
আসল সাইটে ব্যবহার করল।
কোনটি সবচেয়ে ভালো ঠেকাত?

ক) TOTP window ছোট করা
খ) Password ১৫ অক্ষর করা
গ) সবার জন্য VPN
ঘ) Origin-বাঁধা passkey

ধাপ ২ক কাটুন

Relay ঘটছে মুহূর্তেই
Code তখনও বৈধ
Window ছোট করলেও
৩০ সেকেন্ডের ভেতরে চলে
→ ক থামায় না

ধাপ ৩খ কাটুন

লম্বা password অনুমান ঠেকায়
এখানে অনুমান নেই
কর্মী নিজেই টাইপ করেছেন
→ খ থামায় না

ধাপ ৪গ কাটুন

VPN পথ রক্ষা করে
নকল পাতা পথের ওপারে
Tunnel দিয়েও সেখানেই যায়
→ গ থামায় না

ধাপ ৫উত্তর ঘ

Passkey-র সই origin-এ বাঁধা
নকল সাইট আসলটির
জন্য সই পায় না
হাতে টাইপ করার কিছু নেই
→ relay করার মতো কিছু নেই

আগে ঝুঁকির নাম দিন। এটি real-time relay: কর্মী যা দিলেন, তা বৈধ সময়ের মধ্যেই অন্য জায়গায় ব্যবহার হলো (পর্ব ১৬)।
“Window ছোট” সময় কমায়, পথ বন্ধ করে না। Relay সেকেন্ডের মধ্যে ঘটে, তাই ক বাদ।
Password-এর দৈর্ঘ্য অনুমানের বিরুদ্ধে কাজ করে। এখানে কেউ অনুমান করছে না, তাই খ বাদ (পর্ব ১৫)।
VPN পথ রক্ষা করে, গন্তব্যের সত্যতা নয়। নকল পাতা tunnel-এর ওপারেও নকল, তাই গ বাদ (পর্ব ২৫)।
উত্তর ঘ. Origin binding মানুষের চোখের কাজ browser আর সইকে দেয়। প্রতিটি ভুল অপশন একটি আলাদা ভুল ধারণা থেকে বানানো, এটিই ভালো distractor-এর চিহ্ন।

কৌশল ২ · প্রতিটি control একটি নির্দিষ্ট প্রশ্নের উত্তর

কোর্সের সবচেয়ে দামি ফাঁদ এটি। “এই control আছে, তাই আমরা নিরাপদ” ধরনের অপশন প্রায়ই ভুল। প্রশ্নে কোনো control দেখলেই জিজ্ঞেস করুন: এটি কোন ঝুঁকি থামায়, আর কোনটি থামায় না?

যা থামায় আর যা থামায় না

Every control answers one narrow question; the right column is where exam traps live

কৌশল ৩ · রীতি আর একক আগে, হিসাব পরে

বিষয়	সূত্র	ফাঁদ
ক্ষতি	SLE = AV × EF; ALE = SLE × ARO	“তিন বছরে একবার” মানে ARO ১ ÷ ৩
Key space	গড় সময় = 2ⁿ⁻¹ ÷ গতি	গড় মানে অর্ধেক; প্রতি bit-এ দ্বিগুণ
Entropy	দৈর্ঘ্য × log₂(চিহ্নের সংখ্যা)	শুধু এলোমেলো password-এ খাটে
Hash	Collision ≈ 2^n/2, preimage ≈ 2ⁿ	দুটি আলাদা গুণ
Detection	Precision = TP ÷ (TP + FP); recall = TP ÷ (TP + FN)	হর আলাদা; base rate দেখুন
CVSS v3.1	Scope অপরিবর্তিত: Roundup(Impact + Exploitability)	Roundup সবসময় ওপরের দিকে
সময়	UTC = লেখা সময় − zone − ঘড়ির এগিয়ে থাকা	পিছিয়ে থাকলে যোগ হয়
গতি	সময় = GB × ৮,০০০ ÷ Mbps সেকেন্ড	Byte আর bit-এ ৮ গুণ

নিচের checker মডিউল ১ থেকে ৪-এর numerical আবার করে। সংখ্যা বদলে নিজের প্রশ্নও মেলাতে পারেন। পরের দুটি checker আছে মডিউল ৮ আর ১২-এর শেষে। সব ডেটা বানানো, কোনো network নেই।

// Re-check the numericals of modules 1-4. Toy numbers only.
const p = (label, v) => console.log(label.padEnd(30), v);
const f = (x, d = 2) => Number(x.toFixed(d));
const modpow = (b, e, m) => { let r = 1; for (let i = 0; i < e; i++) r = r * b % m; return r; };
const prec = (n, real, rec, fpr) => {
  const tp = real * rec, fp = (n - real) * fpr;
  return f(100 * tp / (tp + fp), 2) + "%";
};
p("Any gap, 50 controls 98%", f(100 * (1 - 0.98 ** 50), 1) + "%");
p("ALE 90000 once in 3 years", 90000 / 3);
p("ALE AV x EF x ARO", 2000000 * 0.1 * 0.5);
p("Net benefit of control", 800000 - 300000 - 200000);
p("Layers 0.1 x 0.3 x 0.5", f(0.1 * 0.3 * 0.5, 3));
p("With common cause 0.01", f(0.01 + 0.99 * 0.015, 3));
p("40-bit key, mean seconds", 2 ** 39 / 2 ** 30);
p("DH A = 5^6 mod 23", modpow(5, 6, 23));
p("Toy RSA 4^3 mod 33", modpow(4, 3, 33));
p("Toy RSA d (3d mod 20 = 1)", [...Array(20).keys()].find(d => 3 * d % 20 === 1));
p("bcrypt bytes 20x3 + 20x1", 20 * 3 + 20);
p("Mosca x + y - z", 10 + 6 - 12);
p("Entropy 15 lowercase", f(15 * Math.log2(26), 1));
p("TOTP counter", Math.floor(1800000000 / 30));
p("TOTP guess, 50 tries x 3", f(100 * 50 * 3 / 1e6, 3) + "%");
p("Privileged hours before", 6 * 24 * 365);
p("Privileged hours after", 6 * 3 * 2 * 52);
p("TXID x source ports", 65536 * 30000);
p("Precision 1M, 50, .9, .5%", prec(1e6, 50, 0.9, 0.005));
p("WireGuard TCP MSS", 1420 - 60 - 40);
p("WPA hours, half of 26^8", f(26 ** 8 / 2 / 1e6 / 3600, 1));
p("pps, 10 Gbps of 100 B", 1e10 / (100 * 8));

আউটপুট (নির্ধারিত, প্রতিবার একই):

Any gap, 50 controls 98%       63.6%
ALE 90000 once in 3 years      30000
ALE AV x EF x ARO              100000
Net benefit of control         300000
Layers 0.1 x 0.3 x 0.5         0.015
With common cause 0.01         0.025
40-bit key, mean seconds       512
DH A = 5^6 mod 23              8
Toy RSA 4^3 mod 33             31
Toy RSA d (3d mod 20 = 1)      7
bcrypt bytes 20x3 + 20x1       80
Mosca x + y - z                4
Entropy 15 lowercase           70.5
TOTP counter                   60000000
TOTP guess, 50 tries x 3       0.015%
Privileged hours before        52560
Privileged hours after         1872
TXID x source ports            1966080000
Precision 1M, 50, .9, .5%      0.89%
WireGuard TCP MSS              1320
WPA hours, half of 26^8        29
pps, 10 Gbps of 100 B          12500000

প্রতিটি সংখ্যা মডিউল ১ থেকে ৪-এর কোনো প্রশ্নের উত্তর। Precision-এর লাইনটি দেখায়, বিরল ঘটনায় recall ৯০% হলেও ১%-এর কম alert আসল।

কৌশল ৪ · বিরল ঘটনায় সংখ্যা উল্টে যায়

Detection-এর MCQ-তে সবচেয়ে চেনা ফাঁদ base-rate fallacy. “৯৯% নির্ভুল” শুনলে মনে হয় alert বিশ্বাসযোগ্য, অথচ আসল ঘটনা বিরল হলে প্রায় সব alert-ই ভুল।

ধাপ ১ভাগ করুন

মোট ঘটনা       1,000,000
আসল ক্ষতিকর          100
নিরাপদ           999,900

ধাপ ২Recall ৯৯%

TP = 100 × 0.99 = 99
FN = 100 − 99   = 1

ধাপ ৩FPR ১%

FP = 999,900 × 0.01 = 9,999

ধাপ ৪Precision

মোট alert = 99 + 9,999 = 10,098
Precision = 99 ÷ 10,098
          ≈ 0.98%

আগে দুই দলে ভাগ করুন। আসল ১০০, নিরাপদ ৯,৯৯,৯০০. শতাংশ দুটি দুই আলাদা দলের ওপর খাটে।
Recall খাটে আসল দলে। ১০০-র ৯৯% মানে ৯৯টি ধরা পড়ল।
False positive rate খাটে নিরাপদ দলে। ছোট ১% বড় দলে দাঁড়ায় ৯,৯৯৯টি ভুল alert.
প্রায় ১%. প্রতি ১০০ alert-এ একটি আসল। তাই প্রশ্নে prevalence খুঁজুন (পর্ব ২৩, ৩৩)।

কৌশল ৫ · Negative marking আর সময়

ধরা যাক ঠিক হলে +১, ভুলে −০.২৫. চার অপশনে অন্ধ আন্দাজের গড় লাভ +০.০৬২৫; একটি নিশ্চিতভাবে বাদ দিলে +০.১৬৭; দুটি বাদ দিলে +০.৩৭৫. তাই একটিও বাদ দিতে পারলে আন্দাজ লাভজনক। কত কাটে বা আদৌ কাটে কি না, তা পরীক্ষাভেদে আলাদা; নিজের পরীক্ষার নিয়ম দেখে নিন।

সময় ভাগ করুন দুই দফায়: প্রথমে সংজ্ঞার প্রশ্ন, numerical লাগলে চিহ্ন দিয়ে এগিয়ে যান; পরে চিহ্নিতগুলো, খাতায়।

বারোটি বড় ফাঁদ

ফাঁদ	ভুল ধারণা	সঠিক কথা
Encryption	“Encrypted, তাই বদল ধরা পড়বে”	অখণ্ডতা দেয় MAC বা AEAD (পর্ব ৮)
Digest	“Digest মিলেছে, তাই ফাইল আসল”	দুটিই এক server-এ থাকলে প্রমাণ দুর্বল (পর্ব ৯)
HMAC	“HMAC আদালতে প্রমাণ”	দুই পক্ষের একই key, non-repudiation নেই (পর্ব ৯, ১১)
JWT	“JWT encrypted”	সই আছে, পড়া যায় (পর্ব ১৭)
MFA	“MFA থাকলে account নিরাপদ”	Session চুরি আর দুর্বল recovery থাকে (পর্ব ১৬)
VPN	“VPN phishing আটকায়”	VPN পথ রক্ষা করে (পর্ব ২৫)
Accuracy	“৯৯.৯৯% accuracy, দারুণ”	বিরল ঘটনায় অর্থহীন (পর্ব ২৩)
CVSS	“৯.৮ আগে, ৭.৫ পরে”	তীব্রতা ঝুঁকি নয়; KEV ও সম্পদ দেখুন (পর্ব ৩২)
CORS	“CORS থাকলে CSRF নেই”	CORS মূলত পড়া নিয়ন্ত্রণ করে (পর্ব ৪১)
লুকানো	“বোতাম সরিয়েছি, UUID দিয়েছি”	Server-এ অনুমতি যাচাই লাগে (পর্ব ৩৮)
Account বন্ধ	“Password বদলালেই শেষ”	Session আর token বাতিল লাগে (পর্ব ৬২)
Compliance	“সনদ আছে, তাই নিরাপদ”	শর্তের প্রমাণ আর কম ঝুঁকি আলাদা (পর্ব ৬৯)

এই পাতার প্রশ্নগুলো সম্পর্কে: প্রশ্নগুলো এই কোর্সের জন্য নতুন করে লেখা। এ ধরনের প্রশ্ন প্রায়ই আসে, এমন ধারণা থেকে বানানো; কোনোটিই কোনো নির্দিষ্ট পরীক্ষা, প্রতিষ্ঠান বা vendor certificate-এর আসল প্রশ্ন নয়। সব টাকার অঙ্ক আর গতি ধরে নেওয়া। এখানে প্রতিরক্ষা নিয়েই প্রশ্ন; অন্যের system-এ পরীক্ষার জন্য লিখিত অনুমতি লাগে, দেখুন পর্ব ৬. আইনের প্রশ্ন আইনি পরামর্শ নয়। পূর্ণ সমাধানের numerical পর্ব ৭৬-এ, কারণসহ লিখিত উত্তর পর্ব ৭৮-এ।

২ · মডিউল ১ — নিরাপত্তার ভিত্তি (২১টি প্রশ্ন)

মডিউল ১ — নিরাপত্তার ভিত্তি (২১টি প্রশ্ন)

সংজ্ঞা, ঝুঁকির হিসাব আর মূলনীতি। নম্বর বেশি হারায় threat বনাম vulnerability, ARO-র ভগ্নাংশ আর স্বাধীন স্তরের গুণে।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ০১–০৬

পর্ব ০১ · Cybersecurity কী আর পর্ব ০২ · CIA triad, threat, vulnerability আর risk — CIA, threat, vulnerability, ALE, residual risk
পর্ব ০৩ · নিরাপত্তার মূলনীতি আর পর্ব ০৪ · Threat modeling — least privilege, defense in depth, fail secure, STRIDE, attack tree
পর্ব ০৫ · হামলার মানচিত্র আর পর্ব ০৬ · আইন আর নৈতিকতা — kill chain, ATT&CK, Pyramid of Pain, অনুমতি, CVD, বাংলাদেশের আইন

(সহজ) একটি নতুন প্রতিষ্ঠানে নিরাপত্তার কাজ শুরু করতে হবে। সবচেয়ে কাজের প্রথম প্রশ্ন কোনটি?

কোন firewall আর antivirus কিনব
কোন হামলার খবর এখন বেশি আলোচিত
কতজন নিরাপত্তা কর্মী নিয়োগ দেব
কী রক্ষা করছি, আর কার হাত থেকে

(মাঝারি) একটি প্রতিষ্ঠানে ৫০টি স্বতন্ত্র নিয়ন্ত্রণের প্রতিটি ৯৮% ক্ষেত্রে ঠিক থাকে। অন্তত একটিতে ফাঁক থাকার সম্ভাবনা প্রায় কত?

৬৪%
২%
৩৬%
৯৮%

(মাঝারি) একটি ঘটনায় একবারের ক্ষতি (SLE) ৯০,০০০ টাকা, আর ঘটনাটি গড়ে তিন বছরে একবার ঘটে। ALE কত?

৯০,০০০ টাকা
৩০,০০০ টাকা
২,৭০,০০০ টাকা
৪৫,০০০ টাকা

(মাঝারি) একটি asset-এর মূল্য ২০,০০,০০০ টাকা, exposure factor ১০%, আর ARO ০.৫. ALE কত?

২,০০,০০০ টাকা
১০,০০,০০০ টাকা
১,০০,০০০ টাকা
৪,০০,০০০ টাকা

(মাঝারি) একটি control বসালে ALE ৮,০০,০০০ টাকা থেকে কমে ৩,০০,০০০ টাকা হয়। Control-এর বছরের খরচ ২,০০,০০০ টাকা। শুধু টাকার হিসাবে নিট লাভ কত?

৫,০০,০০০ টাকা
৬,০০,০০০ টাকা
১,০০,০০০ টাকা
৩,০০,০০০ টাকা

(সহজ) একটি প্রতিষ্ঠান cyber insurance কিনে একটি ঝুঁকির আর্থিক ক্ষতির একাংশ অন্যের ওপর দিল। এটি কোন risk treatment?

Avoid
Mitigate
Transfer
Accept

(মাঝারি) নিয়মিত access review অপ্রয়োজনীয় অনুমতি খুঁজে বের করে, আর MFA চুরি হওয়া password-এর login আটকায়। কাজ অনুযায়ী এই দুটি কোন ধরনের control?

Detective আর preventive
Preventive আর corrective
Corrective আর deterrent
Compensating আর detective

(সহজ) একটি রিপোর্টিং app-এর database account-কে শুধু দরকারি টেবিল পড়ার অধিকার দেওয়া হলো। এটি কোন নীতি?

Open design
Least privilege
Security through obscurity
Fail open

(মাঝারি) তিনটি স্বাধীন স্তর ০.১, ০.৩ আর ০.৫ সম্ভাবনায় একটি খারাপ অনুরোধ ফসকায়। তিনটিই ফসকানোর সম্ভাবনা কত?

০.৩
০.১
০.৯
০.০১৫

(কঠিন) তিনটি স্তরের ফসকানোর গুণফল ০.০১৫. কিন্তু ০.০১ সম্ভাবনায় একটি common cause তিনটিকেই একসাথে অকেজো করে। মোট P = c + (১ − c) × গুণফল ধরলে P প্রায় কত?

০.০২৫
০.০১৫
০.০০০১৫
০.০১

(মাঝারি) বিদ্যুৎ গেলে ব্যাংকের ভল্টের দরজা বন্ধই থাকে, কিন্তু আগুনের সময়ের নির্গমন দরজা খুলে যায়। দুটিকে কী বলে?

দুটিই fail open
ভল্ট fail secure, নির্গমন দরজা fail safe
দুটিই fail secure
ভল্ট fail safe, নির্গমন দরজা fail secure

(মাঝারি) একটি app login-এর সময় অনুমতি যাচাই করে ফলটি সারাদিন cache-এ রাখে। Admin অনুমতি সরালেও কাজ চলতে থাকে। কোন নীতি ভাঙছে?

Economy of mechanism
Separation of duties
Complete mediation
Psychological acceptability

(সহজ) Threat modeling-এর পরিচিত চার প্রশ্নের মধ্যে কোনটি পড়ে না?

আমরা কী নিয়ে কাজ করছি
কী ভুল হতে পারে
কাজটি কি ভালো হলো
হামলাকারীর আসল নাম কী

(মাঝারি) একজন ব্যবহারকারী বললেন, “এই order আমি দিইনি।” Log-এ প্রমাণ করার মতো কিছু নেই। STRIDE-এর কোন বিভাগ?

Repudiation
Spoofing
Tampering
Elevation of privilege

(মাঝারি) STRIDE-এর “E” (Elevation of privilege) কোন নিরাপত্তা-গুণের উল্টো?

Availability
Authentication
Authorization
Confidentiality

(মাঝারি) একটি attack tree-র মূল OR ডালে তিনটি পথের ধরে নেওয়া প্রচেষ্টা ৫, ৯ আর ৪. রক্ষক ৪-এর পথটিকে ১০ করলেন। মূলের মান এখন কত?

৪
৫
৯
২৪

(মাঝারি) একটি DFD-তে browser থেকে API-তে যাওয়া তীর trust boundary পেরোয়। রিভিউতে কী ধরে নেওয়া উচিত?

তীরের সব ডেটা বিশ্বাসযোগ্য
তীরটি diagram থেকে বাদ দেওয়া যায়
TLS থাকলেই আর কিছু লাগবে না
প্রমাণ ছাড়া কিছুই মানা যাবে না

(মাঝারি) Pyramid of Pain অনুযায়ী প্রতিপক্ষের জন্য কোনটি বদলানো সবচেয়ে কষ্টের?

File hash
TTP
IP ঠিকানা
Domain name

(মাঝারি) একটি দলের ৪০টি গুরুত্বপূর্ণ technique-এর ১০টিতে পরীক্ষিত alert, ১৬টিতে অপরীক্ষিত alert, ৮টিতে শুধু log আছে। পরীক্ষিত coverage কত?

২৫%
৬৫%
৮৫%
৪০%

(সহজ) অন্যের system-এ নিরাপত্তা পরীক্ষাকে বৈধ করে কোনটি?

পরীক্ষকের ভালো উদ্দেশ্য আর পেশাগত সনদ
সিস্টেমটি internet-এ সবার জন্য খোলা থাকা
মালিকের লিখিত অনুমতি আর scope
পরীক্ষায় কোনো ক্ষতি না হওয়া আর পরে জানানো

(সহজ) ৩১ অক্টোবর ২০২৬ তারিখে যাচাই অনুযায়ী বাংলাদেশে সাইবার অপরাধের প্রধান আইন কোনটি?

ডিজিটাল নিরাপত্তা আইন, ২০১৮
ব্যক্তিগত উপাত্ত সুরক্ষা আইন, ২০২৬
জাতীয় উপাত্ত ব্যবস্থাপনা আইন, ২০২৬
সাইবার সুরক্ষা আইন, ২০২৬ (৮১ নং)

৩ · মডিউল ২ — Cryptography (৩০টি প্রশ্ন)

মডিউল ২ — Cryptography (৩০টি প্রশ্ন)

লক্ষ্য আগে, হাতিয়ার পরে। ফাঁদ আসে nonce পুনরাবৃত্তি, birthday bound আর public বনাম private key-র ব্যবহারে।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ০৭–১৪

পর্ব ০৭ · Cryptography-র ভিত্তি আর পর্ব ০৮ · Symmetric encryption — Kerckhoffs, entropy, AES, mode, nonce, AEAD
পর্ব ০৯ · Hash আর MAC আর পর্ব ১০ · Public key cryptography — HMAC, birthday bound, Diffie-Hellman, RSA, security strength
পর্ব ১১ · Digital signature আর PKI আর পর্ব ১২ · TLS বাস্তবে — PKI, certificate, CT, forward secrecy, ACME
পর্ব ১৩ · Password নিরাপদে রাখা আর পর্ব ১৪ · Cryptography-র সাধারণ ভুল — Argon2id, salt, pepper, envelope encryption, post-quantum

(সহজ) Kerckhoffs-এর নীতি একটি app-এর নকশায় কী বলে?

গোপন থাকবে শুধু key
Algorithm গোপন রাখলেই নিরাপত্তা আসে
Key কোডে রাখলে সমস্যা নেই
প্রতিটি দল নিজের cipher বানাবে

(মাঝারি) ৪০-bit key space, আর ধরে নেওয়া গতি সেকেন্ডে 2³⁰ চেষ্টা। গড়ে key পেতে কত সেকেন্ড লাগবে?

১,০২৪
১০
৫১২
১,০৭৩

(সহজ) AES সম্পর্কে কোন জোড়া ঠিক?

Block ২৫৬ bit, AES-128-এ round ১৪টি
Block ৬৪ bit, AES-256-এ round ১০টি
Block key-র সমান, round সব সময় ১০
Block ১২৮ bit, AES-192-এ round ১২টি

(মাঝারি) ECB mode-এ একই ১৬ byte ডেটা দুবার এলে ciphertext-এ কী দেখা যায়?

দুটি সম্পূর্ণ আলাদা block
হুবহু একই দুটি block
শুধু প্রথম block ঠিক থাকে
Decrypt করা অসম্ভব হয়ে যায়

(মাঝারি) CBC-র IV আর GCM-এর nonce-এর শর্ত কোনটি ঠিক?

দুটিই key-র মতো গোপন রাখতে হবে, প্রকাশ করা যাবে না
দুটিই শূন্য দিয়ে শুরু করলে সবচেয়ে নিরাপদ
CBC-র IV অনুমান-অযোগ্য, GCM-এর nonce অনন্য
দুটিই একবার বানিয়ে পুরো app-এ স্থায়ী রাখা

(সহজ) শুধু encryption থাকলে, tag ছাড়া, কোন গুণটি নিশ্চিত হয় না?

গোপনীয়তা
অখণ্ডতা
Ciphertext-এর আকার
Block-এর দৈর্ঘ্য

(মাঝারি) AEAD-এ একটি বার্তার header খোলা রাখতে হবে, কিন্তু কেউ বদলালে ধরা পড়তে হবে। Header কীভাবে দেওয়া হবে?

Plaintext-এর সাথে encrypt করে
আলাদা SHA-256 দিয়ে
আলাদা log ফাইলে
Associated data হিসেবে

(কঠিন) ৯৬-bit random nonce-এ NIST-এর পরামর্শের সাথে মিলিয়ে এক key-তে সর্বোচ্চ প্রায় কত বার্তা নিরাপদ ধরা হয়?

2³²
2¹²
2⁶⁴
2⁹⁶

(মাঝারি) ১৬০-bit আদর্শ hash-এ collision খুঁজতে birthday bound অনুযায়ী প্রায় কত গণনা লাগে?

2¹⁶⁰
2⁸⁰
2⁴⁰
2¹²⁰

(মাঝারি) দুটি নতুন ফাইল বানানো, যাদের digest এক, কোন গুণ ঠেকায়?

Preimage resistance
Second preimage resistance
Collision resistance
Key rotation

(মাঝারি) SHA-1 সম্পর্কে ২০১৭ সালের SHAttered গবেষণা কী দেখায়?

একই digest-এর দুটি আলাদা PDF বানানো গেছে
SHA-1-এর preimage খুঁজে পাওয়া গেছে
SHA-256 ভেঙে গেছে
HMAC এখন অনিরাপদ প্রমাণিত

(মাঝারি) API-র ট্যাগ বানাতে SHA-256(key + message)-এর বদলে কোনটি ব্যবহার করা উচিত?

SHA-256(message + message)
MD5(key + message)
Base64(key + message)
HMAC-SHA-256

(মাঝারি) একটি API-তে HMAC বৈধ, কিন্তু কেউ পুরোনো অনুরোধটি হুবহু আবার পাঠাচ্ছেন। কোন ব্যবস্থা এটি থামায়?

HMAC-এর key আরও লম্বা আর এলোমেলো করা
SHA-256-এর বদলে SHA-512 দিয়ে ট্যাগ বানানো
সই করা timestamp আর একবারের nonce
অনুরোধের body gzip করে তারপর সই করা

(মাঝারি) Diffie-Hellman-এ p = 23, g = 5, আর a = 6. প্রকাশ্য মান A = g^a mod p কত?

২০
১৭
৩০
৮

(মাঝারি) খেলনা RSA-তে p = 3, q = 11, e = 3. ছোট বার্তা m = 4-এর ciphertext কত? (শুধু ধারণার জন্য, real নয়)

৩১
১২
৪
৬৪

(মাঝারি) খেলনা RSA-তে n = 33, φ(n) = 20, e = 3. Private exponent d কত? (শুধু ধারণার জন্য)

৩
৭
১১
১৩

(সহজ) রিনা মিতুকে গোপন বার্তা পাঠাবেন, public key encryption-এ। কোন key ব্যবহার হবে?

মিতুর public key
রিনার private key
রিনার public key
মিতুর private key

(মাঝারি) ১২৮ bit security strength-এর কাছাকাছি কোন জোড়া, NIST SP 800-57-এর তালিকায়?

RSA-1024 আর ১৬০-bit curve
RSA-2048 আর ২২৪-bit curve
RSA-4096 আর ৫২১-bit curve
RSA-3072 আর ২৫৬-bit curve

(সহজ) Certificate মূলত কী বাঁধে?

Password আর username
Private key আর domain
নাম আর public key
IP আর MAC ঠিকানা

(মাঝারি) SAN-এ *.shop.example.com আছে। কোন host মিলবে?

shop.example.com
pay.shop.example.com
a.b.shop.example.com
pay.example.com

(কঠিন) ECDSA firmware সইয়ে একই nonce দুবার ব্যবহার হলো। সঠিক সাড়া কোনটি?

পরের firmware থেকে নতুন nonce দিলেই চলবে
শুধু দ্বিতীয় firmware-টি মুছে দেওয়া
Key ফাঁস ধরে নিয়ে key বদলানো, পুরোনোটি বাতিল করা
SHA-256-এর বদলে SHA-512 নেওয়া

(মাঝারি) ACME নবায়ন সফল, ফাইলও নতুন, তবু client পুরোনো certificate দেখছে। প্রথমে কী দেখবেন?

নতুন CA খোঁজা
Server reload হয়েছে কি না
Client-এ যাচাই বন্ধ করা
Private key প্রকাশ করা

(মাঝারি) CA/Browser Forum-এর পরিকল্পনা অনুযায়ী সর্বজনীন TLS certificate-এর মেয়াদ ২০২৯ সালে কত দিনে নামার কথা?

৩৯৮
২০০
৭
৪৭

(মাঝারি) verify=False দিয়ে CERTIFICATE_VERIFY_FAILED “সমাধান” করলে আসলে কী হয়?

ত্রুটি লুকায়, on-path হামলার পথ খোলে
সংযোগের encryption আরও শক্ত হয়ে যায়
শুধু handshake একটু দ্রুত হয়, ঝুঁকি বদলায় না
Server-এর certificate নিজে থেকে নবায়ন হয়

(মাঝারি) দুই ব্যবহারকারীর password এক। ভালো নকশায় database-এ কী দেখা যাবে?

দুটি হুবহু এক hash
দুটি আলাদা hash
হুবহু এক ciphertext
দুটি খালি ঘর

(মাঝারি) Argon2id-এর OWASP ন্যূনতম উদাহরণের সাথে কোনটি মেলে?

m = 1 KiB, t = 100
m = 19 GiB, t = 1000
p = 0, t = 0
m = 19 MiB, t = 2, p = 1

(সহজ) দ্রুত hash-এ অনুমানের গতি সেকেন্ডে ১০^৯, আর Argon2id-এ ধরে নেওয়া গতি সেকেন্ডে ১০^৩. একই তালিকা শেষ করতে সময় কত গুণ বাড়ে?

১০ লাখ গুণ
১,০০০ গুণ
১০০ কোটি গুণ
৩ গুণ

(সহজ) Authenticated encryption-এ ciphertext খোলার সঠিক ক্রম কোনটি?

আগে decrypt, পরে ব্যবহার, শেষে tag দেখা
আগে decrypt, পরে tag যাচাই
আগে tag যাচাই, তারপর decrypt
Tag যাচাই না করা

(মাঝারি) ডেটা ১০ বছর গোপন থাকতে হবে, migration-এ ৬ বছর লাগবে, আর ধরে নেওয়া হলো বড় quantum computer ১২ বছরে আসবে। Mosca-র x + y > z হিসাবে ফল কী?

৪ বছর হাতে আছে
৪ বছর দেরি, এখনই শুরু করা দরকার
সমস্যা নেই, ১৬ বছর হাতে আছে
২ বছর দেরি

(মাঝারি) “Harvest now, decrypt later” ঝুঁকিটি কোন ডেটায় সবচেয়ে বড়?

যে ডেটার মূল্য এক দিনে শেষ
যে ডেটা public
যে ডেটা বহু বছর গোপন থাকতে হবে
যে ডেটা শুধু AES-256-এ disk-এ রাখা

৪ · মডিউল ৩ ও ৪ — Identity আর network (৪৯টি প্রশ্ন)

মডিউল ৩ — Identity আর access (২১টি প্রশ্ন)

দাবি, প্রমাণ আর অনুমতি আলাদা রাখুন। Token-এর প্রশ্নে কে দিল, কার জন্য আর মেয়াদ কত, এই তিনটি দেখুন।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ১৫–২০

পর্ব ১৫ · Authentication আর পর্ব ১৬ · MFA আর passkey — password নীতি, MFA, TOTP, passkey, origin binding
পর্ব ১৭ · Session আর token আর পর্ব ১৮ · OAuth 2.0 আর OpenID Connect — cookie flag, JWT, refresh rotation, OAuth, PKCE
পর্ব ১৯ · Authorization model আর পর্ব ২০ · Privileged access — RBAC, ABAC, Bell-LaPadula, PEP, PDP, JIT, break-glass

(সহজ) Identification, authentication আর authorization-এর সঠিক অর্থ কোনটি?

তিনটি একই কাজের ভিন্ন নাম
অনুমতি, দাবি, প্রমাণ
প্রমাণ, অনুমতি, দাবি
দাবি, প্রমাণ, অনুমতি

(মাঝারি) NIST SP 800-63B-4 অনুযায়ী MFA-র অংশ নয় এমন একক password-এর জন্য কোন নীতি ঠিক?

ন্যূনতম ১৫ অক্ষর, blocklist, composition নয়
৮ অক্ষর, বাধ্যতামূলক চিহ্ন, ৯০ দিনে বদল
১২ অক্ষর, প্রতি মাসে বদল
সর্বোচ্চ ১৬ অক্ষর, বেশি হলে বাতিল

(মাঝারি) ১৫ অক্ষরের এলোমেলো ছোট হাতের password-এ entropy প্রায় কত? (log₂26 ≈ ৪.৭০)

প্রায় ৩৯০ bit
প্রায় ৭০.৫ bit
প্রায় ৫২.৬ bit
প্রায় ১৫ bit

(মাঝারি) ৪০০টি আলাদা IP থেকে ৪০০টি account-এ ধীরে একটি করে ব্যর্থ login এলো। কোন ব্যবস্থায় এই ধরন সবচেয়ে ভালো ধরা পড়বে?

প্রতি account-এ ৫ বারের lockout
প্রতি IP-তে ২০ বারের limit
পুরো সাইটের ব্যর্থতার হার নজরে রাখা
CAPTCHA শুধু প্রথম page-এ

(মাঝারি) Password reset-এর উত্তরে “এই email আমাদের কাছে নেই” দেখালে কোন ঝুঁকি হয়?

Rate limit বন্ধ হয়ে যায়
Account enumeration
Session fixation
Replay

(সহজ) TOTP-এ RFC 6238-এর ৩০ সেকেন্ডের step ধরলে t = 1800000000-এ counter T কত?

60000000
1800000000
30000000
90000000

(মাঝারি) ছয় অঙ্কের TOTP, window ±১ (একসাথে ৩টি code বৈধ), আর ৫০ ব্যর্থ চেষ্টায় বন্ধ। অনুমানে সফল হওয়ার সম্ভাবনা প্রায় কত?

০.০০০৩%
০.০৫%
১.৫%
০.০১৫%

(মাঝারি) Passkey-তে phishing প্রতিরোধ আসে মূলত কোথা থেকে?

Code টাইপ করা ৮ অঙ্কের হওয়া
Server password hash করে রাখা
সই সাইটের origin-এ বাঁধা থাকা
ব্যবহারকারীর সতর্কতা

(সহজ) MFA চালু থাকার পরও কোনটি থামে না?

Password-স্প্রে থেকে সাধারণ login
চুরি হওয়া session token-এর ব্যবহার
ফাঁস হওয়া password একা দিয়ে login
শুধু username দিয়ে প্রবেশ

(মাঝারি) একটি service-এ passkey চালু হলো, কিন্তু recovery পথে SMS রয়ে গেল। Login-এর আসল শক্তি কত?

SMS recovery-র সমান
Passkey-র সমান
দুই পথের গড়
কোনোটিরই সাথে সম্পর্ক নেই

(মাঝারি) একটি JWT-এর payload base64url-এ আছে, আর সই বৈধ। কোনটি ঠিক?

Payload গোপন, কারণ সই আছে
Key ছাড়া পড়া যায় না
পড়া যায়, তবে বদলালে সই ভাঙে
Token কখনো মেয়াদোত্তীর্ণ হয় না

(মাঝারি) একটি JWT যাচাইয়ে সই ঠিক থাকলেও আর কী অবশ্যই মেলাতে হবে?

ব্যবহারকারীর ব্রাউজারের নাম
Payload-এর দৈর্ঘ্য
Server-এর IP
iss, aud আর exp

(কঠিন) Refresh token rotation-এ R5 দিয়ে R6 নেওয়ার পর R5 আবার এল। সবচেয়ে নিরাপদ সাড়া কোনটি?

পুরো family বাতিল করে সতর্ক করা
R5 দিয়ে নতুন token দেওয়া
শুধু R5 প্রত্যাখ্যান করে R6 চালু রাখা
Access token-এর মেয়াদ বাড়ানো

(সহজ) OAuth 2.0 মূলত কী দেয়?

ব্যবহারকারীর password অন্য app-কে পাঠানো
Disk encryption
Network-এর সব traffic গোপন করা
Password না দিয়ে সীমিত অধিকার ধার দেওয়া

(মাঝারি) Login-এর জন্য OIDC-তে কোন token পরিচয়ের প্রমাণ?

Access token
Refresh token
ID token
Authorization code

(মাঝারি) RBAC-এ ৩টি বিভাগ, ৪টি শাখা আর ৬টি গ্রেডের প্রতিটি মিশ্রণে আলাদা role বানালে role কতটি?

১৩
৭২
৩৬
২৪

(মাঝারি) “দুপুর ২টার আগে, নিজের শাখার গ্রাহকের ফাইল” এই শর্ত কোন মডেলে সবচেয়ে স্বাভাবিক?

ABAC
DAC
শুধু RBAC
Bell-LaPadula

(সহজ) PEP আর PDP-র কাজ কী?

PEP সিদ্ধান্ত নেয়, PDP প্রয়োগ করে
PDP সিদ্ধান্ত নেয়, PEP প্রয়োগ করে
দুটিই শুধু log রাখে
দুটিই browser-এ চলে

(সহজ) “Standing privilege” কমানোর সবচেয়ে সরাসরি উপায় কোনটি?

সবাইকে admin বানানো
Password আরও লম্বা করা
Just-in-time access
Log বন্ধ করা

(মাঝারি) ৬ জন admin-এর ২৪ ঘণ্টা standing অধিকার ছিল। JIT-এ প্রতিজন সপ্তাহে ৩ বার ২ ঘণ্টা করে নেন। বছরে ৫২ সপ্তাহ, ৩৬৫ দিন ধরলে privileged ঘণ্টা আগে ও পরে কত?

৮,৭৬০ থেকে ৩১২
৫২,৫৬০ থেকে ৩১২
৮,৭৬০ থেকে ১,৮৭২
৫২,৫৬০ থেকে ১,৮৭২

(মাঝারি) ৩০ দিন পরপর rotate হওয়া secret নীরবে ফাঁস হলো। চক্রের যেকোনো জায়গায় ফাঁস সমান সম্ভাবনায় ধরলে চুরি করা secret গড়ে আর সবচেয়ে খারাপে কত দিন চলে?

গড়ে ৩০, খারাপে ৬০
গড়ে ১৫, খারাপে ৩০
গড়ে ৫, খারাপে ১০
গড়ে ৩০, খারাপে ৩০

মডিউল ৪ — Network নিরাপত্তা (২৮টি প্রশ্ন)

আগে স্তর ঠিক করুন, তারপর উত্তর। Firewall-এ ক্রম, detection-এ হর আর email-এ alignment, এই তিনটিতেই ভুল বেশি।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ২১–২৮

পর্ব ২১ · Network-এর ঝুঁকি আর পর্ব ২২ · Firewall আর segmentation — spoofing, BCP 38, DAI, RPKI, first match, segmentation
পর্ব ২৩ · IDS আর IPS আর পর্ব ২৪ · Packet দেখে বোঝা — IDS, IPS, precision, recall, capture filter, TCP
পর্ব ২৫ · VPN আর ZTNA আর পর্ব ২৬ · DNS আর email নিরাপত্তা — IPsec, WireGuard, ZTNA, DNSSEC, SPF, DKIM, DMARC
পর্ব ২৭ · Wireless নিরাপত্তা আর পর্ব ২৮ · DDoS প্রতিরক্ষা — SAE, 802.1X, Gbps বনাম pps, amplification, autoscaling-এর সীমা

(সহজ) মূল IPv4-এ packet-এর source address সম্পর্কে কোনটি ঠিক?

ISP প্রতিটি packet-এ নিজের private key দিয়ে সই করে
পথের প্রতিটি router উৎস যাচাই করে তবেই পাঠায়
প্রেরক লেখে, protocol প্রমাণ করে না
TLS চালু না থাকলে packet গন্তব্যে পৌঁছায় না

(মাঝারি) একটি DNS resolver ১৬-bit transaction ID আর ৩০,০০০টি এলোমেলো source port ব্যবহার করে। অন্ধভাবে মেলানোর মোট জোড়া কত?

৯৫,৫৩৬
৩০,০০০
৬,৫৫,৩৬০
১,৯৬,৬০,৮০,০০০

(মাঝারি) RPKI route origin validation কী প্রমাণ করে না?

Prefix-এর origin AS অনুমোদিত কি না
পুরো AS path-টি আসল কি না
ROA-র সইটি বৈধ কি না
ROA-র মেয়াদ আছে কি না

(সহজ) First-match firewall-এ নিয়মের ক্রম কেন গুরুত্বপূর্ণ?

প্রথম মেলা নিয়মই ফল ঠিক করে
নিয়ম বেশি হলে বিল বাড়ে
সব নিয়মের ফল গড় হয়
শেষ নিয়ম সব সময় জেতে

(কঠিন) নিয়ম: R1 allow 10.0.0.0/8 → any port 443; R2 deny 10.0.5.0/24 → any port 443; R3 deny all. First-match-এ 10.0.5.9 থেকে port 443-এ packet এলে?

R2-তে deny, কারণ এটি বেশি নির্দিষ্ট
R3-তে deny, কারণ শেষ নিয়ম জেতে
তিনটি নিয়মের সংখ্যাগরিষ্ঠতায় deny
R1-এ allow; R2 shadowed rule

(মাঝারি) ৬টি zone-এ দিকসহ কতটি zone-জোড়ার নীতি ভাবতে হয়?

৩০
১৫
৩৬
১২

(মাঝারি) Staff আর CCTV আলাদা VLAN-এ, কিন্তু Layer 3 switch-এ মাঝে ACL নেই। ফল কী?

দুই VLAN সম্পূর্ণ বিচ্ছিন্ন, কোনো নিয়ম লাগবে না
Routing-এ একে অন্যকে পেতে পারে
দুই VLAN-এর মাঝের traffic নিজে থেকে encrypted হয়
দুই VLAN-এর সব traffic switch-এ বন্ধ হয়ে যায়

(মাঝারি) একটি rule-এ TP = ৩০, FP = ৯০, FN = ১০. Precision আর recall কত?

Precision ৭৫%, recall ২৫%
Precision ৩৩%, recall ৮৩%
Precision ২৫%, recall ৭৫%
Precision ৯০%, recall ১০%

(কঠিন) দিনে ১০,০০,০০০ ঘটনায় ৫০টি ক্ষতিকর। Recall ৯০%, false positive rate ০.৫%. Precision প্রায় কত?

প্রায় ০.৯%
৯০%
৯৯.৫%
প্রায় ৫০%

(মাঝারি) Inline IPS-কে fail open রাখলে যন্ত্র ব্যর্থ হলে কী হয়?

Traffic বন্ধ হয়, পাহারাও থাকে
Traffic চলে, পাহারা থাকে না
Traffic বন্ধ হয়, পাহারা থাকে না
Traffic চলে, পাহারাও থাকে

(মাঝারি) TCP-তে client-এর SYN seq 5000, server-এর SYN-ACK seq 9000. Client-এর ACK-এ seq আর ack কত হবে?

seq 5000, ack 9000
seq 9001, ack 5001
seq 5002, ack 9002
seq 5001, ack 9001

(মাঝারি) দুটি host-এর বাইরে সংযোগের বিরতি: A গড় ৬০ s, SD ৩০ s; B গড় ৩০০ s, SD ৯ s. Coefficient of variation ধরে কোনটি বেশি নিয়মিত?

A, CV ০.৫০
A, CV ০.০৩
B, CV ০.০৩
B, CV ৩.০

(সহজ) Traffic capture করার আগে কোন শর্তটি বাধ্যতামূলক?

Capture file বড় হতে হবে
যন্ত্রে root থাকলেই যথেষ্ট
রাতে করতে হবে
নিজের network বা লিখিত অনুমতি

(সহজ) IPsec-এ AH আর ESP-র পার্থক্য কোনটি?

দুটিই শুধু encryption দেয়, অখণ্ডতা দেয় না
AH অখণ্ডতা, ESP encryption ও অখণ্ডতা
AH key exchange করে, ESP শুধু key জমা রাখে
AH চলে IPv4-এ, ESP চলে শুধু IPv6-এ

(মাঝারি) WireGuard-এ IPv4-এর ওপর মোট খরচ ৬০ বাইট। Link MTU ১৪২০ হলে ভেতরের TCP MSS (IPv4 + TCP ৪০ বাইট) কত?

১৩৮০
১৩৬০
১৩২০
১৪০০

(সহজ) DNSSEC আর DoH কোনটি কী দেয়?

DNSSEC সত্যতা, DoH পথের গোপনীয়তা
DNSSEC গোপনীয়তা, DoH সত্যতা
দুটিই একই কাজ করে
দুটিই শুধু email-এর জন্য

(কঠিন) From: a@example.com. SPF pass mail.example.net-এর জন্য, DKIM pass d=example.org. DMARC-এর ফল কী?

Pass, কারণ SPF pass
Pass, কারণ DKIM pass
Fail
Neutral সব সময়

(মাঝারি) RFC 7208 অনুযায়ী SPF যাচাইয়ে DNS lookup-এর সীমা কত, আর পেরোলে কী?

৫, softfail
১০, permerror
১০০, pass
২, temperror

(মাঝারি) ২০২৬ সালের প্রকাশনা ধরে DMARC-এর বর্তমান মূল মান কোনটি?

RFC 7489
RFC 6376
RFC 7208
RFC 9989

(মাঝারি) Cloud সেবা বন্ধের সময় subdomain takeover এড়াতে কোন ক্রম ঠিক?

আগে DNS record সরানো, পরে সেবা মোছা
আগে সেবা মোছা, record পরে সময় পেলে সরানো
Record রেখে দিয়ে শুধু তার TTL বাড়ানো
কিছুই না করা, কারণ provider record নিজে মোছেন

(মাঝারি) WPA3-Personal-এর SAE কোন ঝুঁকি সরাসরি কমায়?

রেডিও jamming-এ network অচল হওয়া
Router-এর পুরোনো firmware-এর জানা ত্রুটি
রেকর্ড করা handshake-এর offline অনুমান
Captive portal-এর নকল পাতায় মানুষের ভুল

(কঠিন) ৮ অক্ষরের এলোমেলো ছোট হাতের passphrase (২৬^৮ ≈ ২.০৯ × ১০^১১). ধরে নেওয়া offline হার সেকেন্ডে ১০^৬ হলে গড়ে কত সময়?

প্রায় ৫৮ ঘণ্টা
প্রায় ২৯ ঘণ্টা
প্রায় ৩ মিনিট
প্রায় ২৯ দিন

(সহজ) DDoS শুরু হলে রক্ষকের প্রথম প্রশ্ন কোনটি?

হামলাকারী কোন দেশ থেকে পাঠাচ্ছে
নতুন domain কিনে সরে যাওয়া যায় কি না
মুক্তিপণ দেওয়া বেশি সস্তা হবে কি না
কোনটি ভরছে: পথ, state, না app

(মাঝারি) ১০ Gbps traffic, প্রতিটি packet ১০০ byte (overhead বাদ). pps প্রায় কত?

১.২৫ কোটি
১০ লাখ
১২.৫ কোটি
১০ কোটি

(মাঝারি) একটি reflection-এ অনুরোধ ৬০ byte, উত্তর ৩,০০০ byte. উৎসে ২০০ Mbps থাকলে লক্ষ্যে প্রায় কত পৌঁছাতে পারে?

২০০ Mbps
২ Gbps
৩ Gbps
১০ Gbps

(মাঝারি) ৫০,০০০ rps আসছে, cache hit ৯৫%, origin-এর সীমা ৪,০০০ rps. Origin-এ কত যায়?

২,৫০০ rps, সীমার ভেতরে
৪৭,৫০০ rps, সীমার বাইরে
৪,০০০ rps, ঠিক সীমায়
৫,০০০ rps, সীমার বাইরে

(মাঝারি) ISP-র দিক থেকে আসা link পুরো ভরে গেলে কোনটি একা কাজে আসে না?

ISP-র দিকে scrubbing সেবা চালু করা
নিজের server-এ SYN cookie
CDN-এর edge-এ traffic শোষণ করা
Anycast-এ অনেক জায়গায় ছড়ানো

(মাঝারি) DDoS-এর সময় autoscaling নিয়ে কোন কথাটি ঠিক?

এটি হামলার উৎস খুঁজে বন্ধ করে দেয়
এতে সব সময় cloud-এর বিল কমে আসে
কিছু সময় কেনে, হামলা থামায় না
এটি শুধু DNS query-র ভার সামলায়

৫ · মডিউল ৫ — System আর endpoint (২৪টি প্রশ্ন)

যন্ত্র, patch আর ফেরার পথ। নম্বর বেশি হারায় coverage-এর হরে, CVSS-এর Roundup-এ আর RPO বনাম RTO-তে।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ২৯–৩৫

পর্ব ২৯ · Endpoint নিরাপত্তা আর পর্ব ৩০ · Linux hardening — inventory, FDE, EDR, allowlist, umask, auditd, SELinux
পর্ব ৩১ · Windows আর Active Directory সুরক্ষা আর পর্ব ৩২ · Vulnerability management — Tier 0, LAPS, Event ID, CVSS, EPSS, KEV
পর্ব ৩৩ · Malware প্রতিরক্ষা আর পর্ব ৩৪ · Ransomware প্রতিরক্ষা — malware-এর ধরন, base rate, ransomware, 3-2-1-1-0, immutable backup
পর্ব ৩৫ · Mobile আর IoT নিরাপত্তা — permission, client-এ secret, secure boot, anti-rollback, OT-র অগ্রাধিকার

(মাঝারি) আসল যন্ত্র ৫০০, inventory-তে ৪৫০, EDR বসানো ৪২০, গত ৭ দিনে সুস্থ রিপোর্ট ৩৬০. আসল coverage কত?

৯৩%
৮৪%
৭২%
৮০%

(মাঝারি) চালু, unlocked ল্যাপটপে full-disk encryption কী দেয়?

চলন্ত malware থেকে ব্যবহারকারীর ফাইল রক্ষা
Phishing পাতায় দেওয়া password-এর সুরক্ষা
USB দিয়ে ফাইল কপি স্বয়ংক্রিয়ভাবে আটকানো
প্রায় কিছুই; এটি বন্ধ যন্ত্র রক্ষা করে

(মাঝারি) Application allowlist চালুর ভালো ক্রম কোনটি?

প্রথম দিনেই সব যন্ত্রে একসাথে enforce করা
আগে audit, তারপর ধাপে ধাপে enforce
Allowlist বাদ দিয়ে শুধু blocklist বড় করা
চিরকাল audit mode-এ রেখে শুধু report পড়া

(মাঝারি) umask 077-এ নতুন ফাইল আর নতুন folder-এর mode কত হবে?

৬০০ আর ৭০০
৬৪৪ আর ৭৫৫
৬৪০ আর ৭৫০
০৭৭ আর ০৭৭

(মাঝারি) Audit log-এ auid=tania, uid=root. এর মানে কী?

Tania-র account-এর password আসলে root
Tania-র session থেকে root হয়ে কাজ
Root সরাসরি login করে কাজটি করেছে
auditd ভুল লিখেছে, log বাতিল করতে হবে

(মাঝারি) SELinux-এ nginx আটকে গেছে। সবচেয়ে ঠিক সাড়া কোনটি?

পুরো server-এ SELinux চিরতরে বন্ধ করা
ওই folder-এর সব ফাইলে chmod 777 দেওয়া
ঘটনা ধরে নিয়ে পুরো server rebuild করা
AVC পড়ে সবচেয়ে ছোট সমাধান

(সহজ) FIM আর auditd-এর মধ্যে কোন বর্ণনা ঠিক?

দুটিই শুধু ফাইলের backup নেয়
FIM বলে কে করলেন, auditd বলে কী বদলাল
FIM বলে কী বদলাল, auditd বলে কে করলেন
দুটিই শুধু Windows Server-এ চলে

(সহজ) CIS Benchmark ব্যবহারের সঠিক পথ কোনটি?

Role বুঝে প্রয়োগ, ব্যতিক্রম লিখে রাখা
সব নিয়ম না পড়ে একসাথে চালানো
শুধু certificate পেতে কাগজে লেখা
বছরে একবার পড়ে ফেলে রাখা

(সহজ) Windows LAPS কোন ঝুঁকি কমায়?

Domain Admin-কে phishing করার ঝুঁকি
ল্যাপটপ হারালে disk থেকে ডেটা পড়া
একই local admin password ছড়ানো
SMBv1 protocol চালু থেকে যাওয়া

(মাঝারি) Windows-এ local group-এ সদস্য যোগ আর logon ব্যর্থ হওয়ার Event ID কোন জোড়া?

4728 আর 4624
4756 আর 4697
4624 আর 4728
4732 আর 4625

(মাঝারি) Kerberos-এর ডিফল্ট policy-তে কত মিনিটের বেশি ঘড়ির তফাতে authentication ব্যর্থ হতে পারে?

৫
৬০
৩০
১

(মাঝারি) CVSS v3.1-এ Impact 3.5952 আর Exploitability 3.8870 (Scope Unchanged) হলে base score কত?

7.4
7.5
7.48
7.0

(সহজ) CVSS v3.1 base score 7.5 কোন qualitative severity?

Critical
Medium
Low
High

(সহজ) KEV আর EPSS-এর পার্থক্য কোনটি?

দুটিই CVSS-এর মতো তীব্রতার স্কোর দেয়
KEV পূর্বাভাসের স্কোর, EPSS হামলার প্রমাণের তালিকা
KEV হামলার প্রমাণ, EPSS সম্ভাবনার অনুমান
দুটিই নতুন ত্রুটিকে নাম দেওয়ার ব্যবস্থা

(মাঝারি) ৫টি ticket-এর ২টি ৪ ও ৮ দিনে বন্ধ, ৩টি ৯০ দিনের বেশি খোলা। MTTR ৬ দিন দেখিয়ে “দল দারুণ করছে” বলায় ভুল কোথায়?

গড়ের যোগ-ভাগেই গণিতের ভুল আছে
খোলা পুরোনো ticket বাদ পড়ে
৫ দিয়ে ভাগ করলে সংখ্যাটি একদম ঠিক হতো
MTTR যত বেশি, দল তত ভালো, তাই উল্টো

(সহজ) মানুষের কাজ ছাড়া network-এ নিজে থেকে ছড়াতে পারে কোনটি?

Worm
Virus
Trojan
Adware

(কঠিন) ২০,০০,০০০ ঘটনায় ১০টি ক্ষতিকর। Recall ৮০%, false positive rate ০.০১%. Precision প্রায় কত?

প্রায় ৮০%
প্রায় ৩.৮%
প্রায় ৯৯.৯৯%
প্রায় ০.০১%

(মাঝারি) Antivirus একটি RAT মুছে দিয়েছে, আর ল্যাপটপে সম্প্রতি admin login হয়েছিল। পরের সিদ্ধান্ত কী?

কিছু না, কারণ ফাইলটি মুছে গেছে
User-কে সতর্ক করে একই যন্ত্র ফেরত দেওয়া, আর পরের দিন আবার scan
আলাদা করা, পরিধি দেখা, rebuild, credential বদল
Antivirus-এর ব্র্যান্ড বদলে নতুন একটি বসানো, আর পুরোনো report মুছে ফেলা

(মাঝারি) ১,৮০০ GB ডেটা ৪০০ Mbps আসল গতিতে ফেরাতে কত সময়? (১ GB = ৮,০০০ megabit)

১.২৫ ঘণ্টা
৪০ ঘণ্টা
১ ঘণ্টা
১০ ঘণ্টা

(মাঝারি) ৬ ঘণ্টা পরপর backup. ঠিক পরের backup-এর আগে ঘটনা ঘটলে সবচেয়ে খারাপ ডেটা হারানো, মানে RPO, কত?

৬ ঘণ্টা
১ ঘণ্টা
১২ ঘণ্টা
০

(মাঝারি) হামলাকারী ৩০ দিন ভেতরে ছিল, আর backup-এর retention ২১ দিন। পুনরুদ্ধারে প্রধান সমস্যা কী?

Backup-এর ফাইলগুলো আকারে অনেক ছোট হয়ে যাবে
কোনো কপিই অনুপ্রবেশের আগের নয়
Restore এত দ্রুত হবে যে যাচাইয়ের সময় মিলবে না
পুরোনো backup-এ MFA নিজে থেকে বন্ধ হয়ে যাবে

(কঠিন) Ransomware পুনরুদ্ধারে dependency ধরে কোন ক্রম সবচেয়ে যুক্তিসঙ্গত?

App → database → identity → network
Database → network → app → identity
Identity → app → network → database
Network → identity → database → app

(সহজ) IoT যন্ত্রের সাধারণ তিন রোগ কোনটি?

Default password, update নেই, দীর্ঘ আয়ু
বেশি RAM, বড় পর্দা, দাম
TLS 1.3, Secure Boot, signed OTA
Short lifetime, দ্রুত patch, MFA

(সহজ) OT পরিবেশে সাধারণ অগ্রাধিকার কোনটি?

আগে গোপনীয়তা, তারপর বাকি সব
আগে খরচ কমানো
আগে safety আর availability
Patch সবসময় সঙ্গে সঙ্গে

৬ · মডিউল ৬ — Web application (৩১টি প্রশ্ন)

Client থেকে আসা সবকিছু অবিশ্বস্ত। অপশন বাছার আগে দেখুন: ঝুঁকিটি browser-এর, server-এর, না অনুমতির।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ৩৬–৪৪

পর্ব ৩৬ · Web-এর নিরাপত্তা মডেল আর পর্ব ৩৭ · OWASP Top 10 — same-origin policy, CORS, OWASP Top 10:2025, ASVS
পর্ব ৩৮ · Broken access control আর পর্ব ৩৯ · Injection প্রতিরক্ষা — IDOR, function-level ত্রুটি, parameterized query, second-order
পর্ব ৪০ · XSS প্রতিরক্ষা আর পর্ব ৪১ · CSRF আর cookie সুরক্ষা — XSS, output encoding, CSP, CSRF, SameSite, clickjacking
পর্ব ৪২ · SSRF আর file handling আর পর্ব ৪৩ · API নিরাপত্তা আর পর্ব ৪৪ · Web hardening — SSRF, file handling, API Top 10, rate limit, HSTS, WAF

(সহজ) https://app.example.com-এর সাথে কোনটি same-origin?

http://app.example.com
https://api.example.com
https://app.example.com:8443
https://app.example.com:443/home

(সহজ) Same-origin policy মূলত কী আটকায়?

অন্য origin-এ request পাঠানো
HTTPS সংযোগ তৈরি হওয়া
অন্য origin-এর response পড়া
অন্য origin-এ cookie যাওয়া

(মাঝারি) পাতায় অন্য domain থেকে script src দিয়ে আনা script কার ক্ষমতায় চলে?

পাতার origin-এ, DOM ও storage-সহ
যে domain থেকে এল, সেই origin-এর ক্ষমতায়
আলাদা sandbox-এ, DOM ছোঁয়ার ক্ষমতা ছাড়া
Script আসা server-এই চলে, browser-এ নয়

(সহজ) OWASP Top 10 সম্পর্কে কোনটি ঠিক?

পূর্ণ নিরাপত্তা মান
সচেতনতার তালিকা
কোনো একটি company-র পণ্য
দশটি নির্দিষ্ট bug

(মাঝারি) OWASP Top 10:2025-এর A03 কোনটি?

Injection
Security Misconfiguration
Software Supply Chain Failures
Cryptographic Failures

(মাঝারি) OWASP Top 10:2025-এর A10 কোনটি?

Server-Side Request Forgery
Mishandling of Exceptional Conditions
Security Logging and Alerting Failures
Insecure Design

(মাঝারি) ৫০০টি app পরীক্ষায় একটি CWE ৭৫টি app-এ মোট ৩,০০০ বার পাওয়া গেল। OWASP Top 10-এর পদ্ধতিতে incidence rate কত?

৬০০%
২.৫%
৪,০০০%
১৫%

(মাঝারি) ব্যাংকের app যাচাইযোগ্য শর্ত পূরণ করছে কি না, দেখতে কোন দলিল?

ASVS 5.0.0
OWASP Top 10
SAMM
Cheat Sheet

(সহজ) URL-এর সংখ্যা বদলে অন্য গ্রাহকের order দেখা গেলে এটি কী?

Stored XSS, client-পাশের ত্রুটি
IDOR, horizontal ত্রুটি
CSRF, cookie-র ত্রুটি
SQL injection, query-র ত্রুটি

(মাঝারি) Customer-এর পর্দা থেকে admin বোতাম সরানো হলো, কিন্তু route-এ শুধু login যাচাই। অবস্থা কী?

পদের যাচাই নেই, function-level ত্রুটি
সমস্যা মিটে গেছে, কারণ বোতাম আর দেখা যায় না
Route-টি এখন CSRF-এ আক্রান্ত, কারণ form নেই
HTTPS চালু করলেই route-টি নিরাপদ হবে

(সহজ) Order-এর ID সংখ্যা থেকে UUID করলে কী হয়?

Access control-এর যাচাই আর লাগে না
BOLA চিরতরে দূর হয়ে যায়
অনুমান কঠিন হয়, যাচাইয়ের বিকল্প নয়
ID নিজে থেকে encrypted হয়ে যায়

(মাঝারি) ৫ ধরনের ব্যবহারকারী আর ২০টি route-এর অনুমোদন-ছকে কয়টি ঘর?

২৫
৪
৫০
১০০

(মাঝারি) "… WHERE id = " + <user-input> ধরনের কোডের সবচেয়ে ভালো সংশোধন কোনটি?

Parameterized query: গঠন আগে, মান পরে
<user-input>-এ শুধু trim() চালিয়ে জোড়া
Database-এর নাম বদলে অনুমান কঠিন করা
HTTPS চালু করে অনুরোধ encrypted করা

(কঠিন) একটি নাম bind হয়ে নিরাপদে জমা হলো। পরে রিপোর্টের কোড সেটি পড়ে SQL লেখায় জুড়ল। এই ধারণার নাম কী?

Stored XSS
Second-order injection
Blind SSRF
Session fixation

(সহজ) Comment জমা হয়ে পরে সবার browser-এ script হিসেবে চলে। ধরন কী?

Reflected XSS
DOM XSS
Stored XSS
CSRF

(সহজ) Output encoding কখন করা ঠিক?

ইনপুট নেওয়ার সময়, সব জায়গার জন্য একবারে
Database-এ জমার সময়
কখনো না
দেখানোর ঠিক আগে, সেই context-এর নিয়মে

(সহজ) শুধু লেখা দেখাতে JavaScript-এ কোনটি নিরাপদ?

el.innerHTML = value
document.write(value)
el.textContent = value
eval(value)

(সহজ) Content Security Policy সম্পর্কে কোনটি ঠিক?

XSS-এর মূল সমাধান, encoding আর লাগে না
এটি শুধু CSS ফাইলের উৎস ঠিক করে
এটি server-পাশের SQL query আটকায়
ক্ষতি কমায়, ত্রুটি সারায় না

(মাঝারি) Session cookie-তে HttpOnly আছে, তবু পাতায় XSS হলো। কোনটি সত্য?

কোনো ঝুঁকি নেই, HttpOnly সব থামায়
Script ব্যবহারকারীর নামে request পাঠাতে পারবে
Script document.cookie থেকে session পড়বে
Browser পুরো পাতা নিজে থেকে বন্ধ করবে

(মাঝারি) SameSite=Lax cookie cross-site কোন অনুরোধে যায়?

Top-level link-এর GET-এ
সব POST অনুরোধে, form থেকে এলেও
অন্য সাইটের সব iframe অনুরোধে
কোনো অবস্থাতেই যায় না

(সহজ) Clickjacking ঠেকাতে কোনটি আধুনিক উপায়?

Cookie-তে HttpOnly
CSP frame-ancestors
Script-এ integrity
Strict-Transport-Security

(মাঝারি) Cloud-এর VM-এ SSRF-এর ক্ষতি কমাতে কোন জোড়া সবচেয়ে কাজের?

IMDSv2-ধরনের session, কম অধিকারের role
পুরোনো metadata পথ, আর চওড়া admin role
বড় disk আর বেশি CPU-র instance
Public bucket আর সবার জন্য খোলা VPN

(মাঝারি) ৫ MB archive, অনুপাতের সীমা ৫০ : ১, মোট আকারের সীমা ২০০ MB. খোলা সর্বোচ্চ কত MB যাবে?

২৫০
৫০
১,০০০
২০০

(সহজ) অবিশ্বস্ত XML parse করতে কোনটি জরুরি?

Parser-এ সব entity চালু রাখা
UTF-16 encoding বাধ্য করা
External entity বন্ধ রাখা
ফাইলটি আগে ZIP করে নেওয়া

(মাঝারি) OWASP API Top 10 (২০২৩)-এর API1 কোনটি?

Broken Authentication
Unrestricted Resource Consumption
Server Side Request Forgery
Broken Object Level Authorization

(মাঝারি) Token bucket: ধারণক্ষমতা ১০, প্রতি সেকেন্ডে ১ token, শুরুতে ভরা। ৩০ সেকেন্ডে সর্বোচ্চ কত অনুরোধ?

৪০
৩০
১০
৩০০

(মাঝারি) GraphQL query-র তিন স্তরের সীমা ১০, ১০, ১০. Node-এর সর্বোচ্চ যোগফল কত?

৩০
১,১১০
১,০০০
১০০

(সহজ) Rate limit কী সারায় না?

অনুমানের গতি
Scraping-এর হার
BOLA-র ত্রুটি
ভারের চাপ

(মাঝারি) বন্ধ বলে ঘোষিত /v1 route এখনো সাড়া দিচ্ছে। একে কী বলে?

Shadow IT
Canary
WAF
Zombie API

(মাঝারি) HSTS header শুধু HTTP উত্তরে এলে browser কী করে?

মেনে নিয়ে সাইট HTTPS-এ বাঁধে
উপেক্ষা করে
সাইটটি খোলা বন্ধ করে দেয়
সাইটের সব cookie মুছে দেয়

(মাঝারি) Script tag-এ integrity hash না মিললে browser কী করে?

চালিয়ে শুধু console-এ সতর্ক করে
অন্য CDN থেকে নিজে এনে চালায়
ফাইল প্রত্যাখ্যান করে, script চলে না
Cache-এ থাকা পুরোনো কপি চালায়

৭ · মডিউল ৭ ও ৮ — নিরাপদ software আর মানুষ (৩৪টি প্রশ্ন)

মডিউল ৭ — নিরাপদ software (২৪টি প্রশ্ন)

প্রতিটি ধাপে একটি কাজ, একটি প্রমাণ। Tool কী দেখে আর কী দেখে না, সেটিই প্রশ্নের কেন্দ্র।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ৪৫–৫১

পর্ব ৪৫ · Secure SDLC আর পর্ব ৪৬ · Secure coding — gate, exception, canonicalise, TOCTOU, fail closed
পর্ব ৪৭ · Memory safety আর পর্ব ৪৮ · Supply chain নিরাপত্তা — spatial ও temporal ত্রুটি, mitigation-এর সীমা, SBOM, VEX, SLSA
পর্ব ৪৯ · নিরাপত্তা পরীক্ষা আর পর্ব ৫০ · অনুমোদিত penetration testing — SAST, DAST, fuzzing, scope, RoE, retest, VDP
পর্ব ৫১ · AI নিরাপত্তা — prompt injection, RAG-এর অনুমতি, output handling

(সহজ) Secure SDLC-এর সবচেয়ে ঠিক বর্ণনা কোনটি?

Release-এর ঠিক আগে একবার pentest করা
প্রতিটি ধাপে একটি কাজ আর একটি প্রমাণ
নিরাপত্তা দলের আলাদা একটি প্রক্রিয়া
শুধু CI-তে কিছু scanner বসানো

(মাঝারি) নিচের কোনটি পরীক্ষাযোগ্য security acceptance criterion?

App-টি বাস্তবে যথেষ্ট নিরাপদ হতে হবে, কোনো ফাঁক থাকবে না
সব ব্যবহারকারীর ডেটা সব সময় ভালোভাবে রাখতে হবে
User A, B-র order চাইলে 403 পাবেন
OWASP-এর নিয়মগুলো সবাই সব সময় মাথায় রাখবেন

(মাঝারি) একটি build gate কোন finding-এ থামানো সবচেয়ে যৌক্তিক?

পুরোনো সব low finding-এ, যাতে ঋণ শূন্য হয়
শুধু বড় release-এর সপ্তাহের commit-এ
কেবল documentation বদলের pull request-এ
নতুন, গুরুতর, পৌঁছানো যায় এমন

(সহজ) Security exception-এ সবচেয়ে জরুরি কোনটি?

লিখিত কারণ, ঝুঁকির মালিক, মেয়াদ
Developer-এর মৌখিক সম্মতি আর চা-পানের আলাপ
মেয়াদ ছাড়া চিরকালের জন্য ছাড় দেওয়া
কোনো ticket না খুলে নীরবে কাজ চালানো

(মাঝারি) Input যাচাইয়ের সঠিক ক্রম কোনটি?

Allowlist → আকার → canonicalise → parse
Parse → জমা → যাচাই
Log → জমা → আকার → allowlist
আকার → canonicalise → allowlist → typed parse

(মাঝারি) ৮-bit unsigned ঘরে ২০০ + ১০০ করলে wrap হয়ে মান কত হয়?

৩০০
২৫৫
৪৪
১০০

(মাঝারি) Permission service timeout হলে নিরাপদ আচরণ কোনটি?

অস্বীকার করে কারণ log করা
অনুমতি দেওয়া, যাতে কাজ না থামে
আগের যেকোনো ব্যবহারকারীর ফল ব্যবহার
Exception চেপে কিছুই না করা

(সহজ) Production-এ ব্যবহারকারীকে কোন error দেখানো উচিত?

পুরো stack trace আর চলতে থাকা SQL query
সাধারণ বার্তা আর একটি reference id
Database-এর ঠিকানা আর account-সহ বিবরণ
Server-এর পুরো config আর version-এর তালিকা

(মাঝারি) কোনটি spatial memory safety-র ত্রুটি?

Free করা memory আবার ব্যবহার
একই memory দুবার free
Lock না নিয়ে দুই thread-এ লেখা
Buffer-এর সীমার বাইরে পড়া

(কঠিন) Stack canary কোন ক্ষেত্রে কোনো কাজে আসে না?

Stack-এর return address-এর ওপর overflow
Heap-এর out-of-bounds read
Buffer থেকে টানা লিখে canary-র ঘরও বদলে ফেলা
Function ফেরার সময় canary-র মান না মেলা

(মাঝারি) ASLR, NX আর stack canary সম্পর্কে কোনটি ঠিক?

এগুলো bug সারিয়ে দেয়
থাকলে memory-safe ভাষার দরকার নেই
এগুলো ত্রুটি কাজে লাগানোর খরচ বাড়ায়
এগুলো শুধু test-এ চলে

(মাঝারি) “প্রায় ৭০% নিরাপত্তা ত্রুটি memory safety-র” সংখ্যাটি কীভাবে পড়বেন?

বড় C ও C++ কোডের প্রকাশিত হিসাব
সব software-এর সর্বজনীন হার
Python app-এর হিসাব
OWASP Top 10-এর A01-এর হার

(সহজ) Lockfile-এ hash রাখার মূল লাভ কী?

প্রতিটি install অনেক দ্রুত শেষ হয়
Package-এর সব bug নিজে থেকে মিটে যায়
একই version-এর ভিন্ন byte ধরা পড়ে
License-এর সব সমস্যা দূর হয়ে যায়

(সহজ) একটি package-এর hash আর সই দুটোই মিললে কী বলা যায়?

Package নিরাপদ
কোনো CVE নেই
Maintainer নির্ভরযোগ্য
একই জিনিস, এই উৎস থেকে

(মাঝারি) SBOM আর VEX-এর কাজের ভাগ কোনটি ঠিক?

SBOM সই করে, VEX build করে
SBOM বলে কী আছে, VEX বলে পণ্য আক্রান্ত কি না
SBOM বলে কে build করল, VEX পরীক্ষা চালায়
দুটিই ত্রুটি সারানোর patch

(কঠিন) SLSA Build track-এ L3 কী বাড়তি দেয়, L2-এর তুলনায়?

Build চলাকালের বদলও ঠেকানো
Build-এর পরের বদল ঠেকানো
Source code-এর bug খোঁজা
প্রতিটি dependency-র audit

(সহজ) SAST, DAST আর SCA কী দেখে?

চলন্ত app, source, আর log
তিনটিই শুধু network packet
তিনটিই শুধু password
Source, চলন্ত app, আর dependency

(মাঝারি) একটি tool ৪০০টি finding দিল, যার ৮০টি সত্য। Precision কত?

৮০%
২০%
৪০%
৫%

(সহজ) পরীক্ষক সব source code আর নকশার দলিল পেয়েছেন। এটি কোন ধরন?

Black box
Grey box
White box
Red box

(মাঝারি) অনুমোদিত পরীক্ষার সময় আসল অনুপ্রবেশের চিহ্ন দেখলে প্রথম কাজ?

থেমে RoE-র জরুরি যোগাযোগে জানানো
পরীক্ষা চালিয়ে রিপোর্টে লিখে রাখা
নিজে পরিষ্কার করে দেওয়া
সামাজিক মাধ্যমে সতর্ক করা

(মাঝারি) ওয়েব পাতার লুকানো লেখা সহায়কের আচরণ বদলে দিল। ধরন কী, OWASP LLM Top 10 Version 2026-এর কোন নম্বর?

Direct, LLM03
Direct, LLM01
Indirect, LLM10
Indirect, LLM01

(মাঝারি) OWASP LLM Top 10 Version 2026-এ Excessive Agency কোন নম্বরে?

LLM03
LLM01
LLM06
LLM10

(মাঝারি) RAG-এ অনুমতি যাচাই কখন হওয়া উচিত?

Model উত্তর লেখার পরে, regex-এ
খোঁজার সময়, যাচাই করা পরিচয়ে
Prompt-এ “গোপন রাখুন” লিখে
মাসে একবার index মিলিয়ে

(কঠিন) দিনে ৫০,০০০ নথিতে ৫০টিতে ঢোকানো লেখা। একটি filter-এর recall ৯০%, false positive rate ১%. Precision প্রায় কত?

প্রায় ৯০%
প্রায় ১%
প্রায় ৮.৩%
প্রায় ৫০%

মডিউল ৮ — মানুষ আর নিরাপত্তা (১০টি প্রশ্ন)

দোষ নয়, নকশা। সঠিক অপশন সাধারণত প্রক্রিয়া বদলায়, মানুষকে দোষ দেয় না।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ৫২–৫৪

পর্ব ৫২ · Social engineering প্রতিরক্ষা আর পর্ব ৫৩ · Phishing প্রতিরক্ষা — call-back, দুজনের অনুমোদন, registrable domain, phishing সাড়া
পর্ব ৫৪ · নিরাপত্তা সংস্কৃতি — compliance budget, just culture, report rate

(সহজ) Social engineering প্রধানত কীসের ওপর নির্ভর করে?

Kernel-এর নতুন কোনো ত্রুটির ওপর
দুর্বল hash আর ছোট key-র ওপর
মানুষের স্বাভাবিক ভালো গুণ
ধীর network আর পুরোনো router-এর ওপর

(মাঝারি) Authority, তাড়া আর গোপনীয়তা একসাথে একটি বার্তায় দেখলে কী করবেন?

দ্রুত কাজ শেষ করা
থামা, আর চেনা নম্বরে call-back
বার্তার উত্তরেই পরিচয় জিজ্ঞেস
সহকর্মীকে কাজটি দেওয়া

(মাঝারি) একজন কর্মী ঠকার সম্ভাবনা ০.২০; প্রথমজন ঠকলে দ্বিতীয় অনুমোদনকারীর ঠকার সম্ভাবনা ০.৩০. দুজনের ধাপ পেরোনোর সম্ভাবনা কত?

০.০৬
০.৫০
০.২০
০.৩০

(মাঝারি) Video call-এ CFO-কে দেখে একজন কর্মীকে বড় অঙ্কের টাকা পাঠাতে বলা হলো। সবচেয়ে ভালো নিয়ন্ত্রণ কোনটি?

চেহারা আর ঠোঁটের নড়াচড়া মন দিয়ে দেখা
একই call-এ CFO-কে আবার জিজ্ঞেস করা
Video-র resolution বাড়িয়ে আবার দেখা
স্বাধীন call-back আর দুজনের অনুমোদন

(মাঝারি) URL: https://secure.example.com.login.example.net/a. Registrable domain কোনটি?

example.net
example.com
secure.example.com
login.example.net

(সহজ) একটি চিঠিতে DMARC pass দেখলে কী বলা যায়?

প্রেরক সৎ ও চেনা, ঝুঁকি নেই
বার্তাটি পথে encrypted ছিল
ভেতরের সব link নিরাপদ
From-এর domain প্রমাণিত, এটুকুই

(মাঝারি) নকল পাতায় password আর OTP দেওয়ার পরে শুধু password বদলানো কেন যথেষ্ট নয়?

পুরোনো OTP যেকোনো সময় আবার ব্যবহার করা যায় বলে
Session, MFA, recovery আর inbox rule থাকে
নতুন password-টিও সব সময় ছোট হয় বলে
Browser cache-এ পুরোনো password থেকে যায় বলে

(মাঝারি) Phishing simulation-এ সবচেয়ে কাজের metric কোনটি?

শুধু click rate, কঠিনতা যা-ই হোক না কেন
কতজনকে শাস্তি দেওয়া হলো, তার পুরো তালিকা
Report rate আর প্রথম report-এর সময়
মোট কতগুলো mail পাঠানো হলো, তার সংখ্যা

(সহজ) Compliance budget ধারণার মূল কথা কী?

নিরাপত্তার টাকার বাজেট বছরে একবার ঠিক হয়
কর্মীরা স্বভাবতই নিয়ম ভাঙতে পছন্দ করেন
প্রতিষ্ঠানে কোনো নিয়মেরই দরকার নেই
নিয়ম মানার প্রচেষ্টা সীমিত

(সহজ) ৪০ জনের একটি অনুশীলনে ১২ জন রিপোর্ট করলেন, পরেরটিতে ২৪ জন। Report rate কত থেকে কত হলো?

৩০% থেকে ৬০%
১২% থেকে ২৪%
৪০% থেকে ৮০%
৩০% থেকে ৩০%

নিজে যাচাই করুন — মডিউল ৫ থেকে ৮-এর হিসাব

// Re-check the numericals of modules 5-8. All data is made up.
const p = (label, v) => console.log(label.padEnd(30), v);
const f = (x, d = 2) => Number(x.toFixed(d));
const roundup = x => { const i = Math.round(x * 100000); return i % 10000 === 0 ? i / 100000 : (Math.floor(i / 10000) + 1) / 10; };
const prec = (n, real, rec, fpr) => {
  const tp = real * rec, fp = (n - real) * fpr;
  return f(100 * tp / (tp + fp), 1) + "%";
};
const impact = 6.42 * 0.56, expl = 8.22 * 0.85 * 0.77 * 0.85 * 0.85;
p("EDR coverage 360 / 500", 100 * 360 / 500 + "%");
p("umask 077, file", (0o666 & ~0o077).toString(8));
p("umask 077, folder", (0o777 & ~0o077).toString(8));
p("CVSS C:H only, S:U", roundup(impact + expl));
p("Precision malware", prec(2e6, 10, 0.8, 0.0001));
p("Restore 1800 GB, 400 Mbps", 1800 * 8000 / 400 / 3600 + " h");
p("Incidence 75 of 500", 100 * 75 / 500 + "%");
p("Grid 5 roles x 20 routes", 5 * 20);
p("Archive limit (MB)", Math.min(5 * 50, 200));
p("Token bucket, 30 s", 10 + 1 * 30);
p("GraphQL nodes 10,10,10", 10 + 10 ** 2 + 10 ** 3);
p("uint8 200 + 100", (200 + 100) % 256);
p("Finding precision", 100 * 80 / 400 + "%");
p("Filter precision", prec(50000, 50, 0.9, 0.01));
p("Both approvers fooled", f(0.2 * 0.3, 2));
p("Report rate 12, 24 of 40", [12, 24].map(x => 100 * x / 40 + "%").join(" -> "));

আউটপুট (নির্ধারিত, প্রতিবার একই):

EDR coverage 360 / 500         72%
umask 077, file                600
umask 077, folder              700
CVSS C:H only, S:U             7.5
Precision malware              3.8%
Restore 1800 GB, 400 Mbps      10 h
Incidence 75 of 500            15%
Grid 5 roles x 20 routes       100
Archive limit (MB)             200
Token bucket, 30 s             40
GraphQL nodes 10,10,10         1110
uint8 200 + 100                44
Finding precision              20%
Filter precision               8.3%
Both approvers fooled          0.06
Report rate 12, 24 of 40       30% -> 60%

CVSS-এর লাইনে যোগফল 7.48-এর মতো, আর Roundup তাকে 7.5 করে। umask-এর হিসাব বিয়োগ নয়, বিটের AND NOT.

৮ · মডিউল ৯ ও ১০ — Detection আর incident response (৪২টি প্রশ্ন)

মডিউল ৯ — Detection আর SOC (২১টি প্রশ্ন)

Log, rule, intelligence আর triage. প্রশ্নে “নীরবতা” আর “বিরল”, দুটি শব্দই সাবধানে পড়ুন।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ৫৫–৬০

পর্ব ৫৫ · নিরাপত্তার log আর পর্ব ৫৬ · SIEM আর detection rule — log-এর ক্ষেত্র, UTC, hash chain, SIEM, Sigma, sliding window
পর্ব ৫৭ · Threat intelligence আর পর্ব ৫৮ · Threat hunting — IOC, TTP, TLP, Admiralty code, hunting
পর্ব ৫৯ · EDR আর XDR আর পর্ব ৬০ · SOC পরিচালনা — process tree, exclusion, SOC, severity বনাম priority, MTTR

(সহজ) ভালো security log-এ প্রতিটি ঘটনার কোন তথ্য থাকা উচিত?

কে, কী, কখন, কোথায়, কোথা থেকে, ফল
শুধু সময় আর server-এর নাম
Password আর পূর্ণ token
ব্যবহারকারীর সব ব্যক্তিগত তথ্য

(মাঝারি) একটি ঘড়ি ৯০ সেকেন্ড এগিয়ে চলছে। Log-এ সময় 02:10:30Z. সত্য সময় কত?

02:12:00Z
02:10:30Z
02:08:30Z
02:09:00Z

(কঠিন) Hash chain-এর শেষ hash একই server-এ থাকলে root পাওয়া দখলকারী লাইন বদলালে কী হবে?

স্থানীয় যাচাইয়ে বদলটি ধরা পড়বেই
স্থানীয় যাচাই পাস করবে
পুরো log নিজে থেকে মুছে যাবে
Hash বদলানো গণিতে অসম্ভব

(মাঝারি) দিনে ২০ GB log, hot-এ ১৫ দিন। ধরে নেওয়া ৳২ প্রতি GB-মাস। স্থির অবস্থায় মাসিক খরচ কত?

৳৪০
৳৩০
৳৬০০
৳৩০০

(মাঝারি) একটি উৎস থেকে হঠাৎ কোনো event আসছে না, dashboard সবুজ। এর অর্থ কী?

কিছুই বলছে না; detection gap হতে পারে
সব ঠিক আছে, কোনো সমস্যা ঘটছে না
হামলা নিশ্চিত, সাথে সাথে ঘটনা ঘোষণা
Log-এর খরচ কমেছে, এটি ভালো খবর

(সহজ) SIEM-এ normalisation কেন লাগে?

পুরোনো log দ্রুত মুছে ফেলার জন্য
ভিন্ন উৎসের field এক নাম ও অর্থে আনতে
প্রতিটি log encrypt করে রাখার জন্য
Network-এর bandwidth বাড়ানোর জন্য

(মাঝারি) Sigma rule-এর condition selection and not filter. একটি event selection মেলে, filter মেলে না। ফল কী?

Alert হবে না
Rule বাতিল হবে
Alert হবে
Backend যা ঠিক করে

(মাঝারি) একটি rule ৬০টি alert দিল, ১৫টি আসল; ওই সময়ে মোট আসল ঘটনা ২০টি। Precision আর recall কত?

৭৫% আর ২৫%
১৫% আর ২০%
৩৩% আর ২৫%
২৫% আর ৭৫%

(সহজ) Threat intelligence কাকে বলা উচিত?

যা একটি নির্দিষ্ট সিদ্ধান্ত বদলায়
যেকোনো IOC feed-এর লম্বা তালিকাকে
যত বেশি log জমা হয়, তার সবটাকেই
শুধু হামলাকারী দলের নাম জানাকে

(মাঝারি) Confidence শুরুতে ৮০, half-life ৭ দিন, C(t) = C₀ × 0.5^t/H. ২১ দিন পরে কত?

৪০
২০
৫
১০

(মাঝারি) TLP:CLEAR লেখা একটি নোট কতদূর শেয়ার করা যায়?

শুধু নিজের দলে
সীমাহীন, তবে copyright-এর নিয়ম মেনে
শুধু নিজের প্রতিষ্ঠানে
কারো সাথে নয়

(কঠিন) Admiralty code-এ C3-এর অর্থ কী?

তথ্য নিশ্চিত, কিন্তু উৎস একেবারে অচেনা
উৎস অবিশ্বস্ত আর তথ্যটি মিথ্যা
উৎস মোটামুটি নির্ভরযোগ্য, তথ্য হয়তো সত্য
হামলাকারীর দল C, ঝুঁকির স্তর ৩

(সহজ) Threat hunting শুরু হয় কোথা থেকে?

Alert না আসা পর্যন্ত অপেক্ষা
Pentest report
Firewall বন্ধ করে
Assume breach ধরে একটি hypothesis

(মাঝারি) Threat hunt-এ কিছু মিলল না, কিন্তু log ছিল অর্ধেক সময়ের। ঠিক রিপোর্ট কোনটি?

“কোনো হামলা ঘটেনি”, এই বলে hunt বন্ধ
কোনো রিপোর্ট না লেখা, কারণ ফল নেই
Inconclusive, সীমা আর retention-এর কাজ
নিজে উদাহরণ বানিয়ে রিপোর্ট পূরণ করা

(মাঝারি) EDR-এ winword.exe → powershell.exe, আর সেই PowerShell একটি নতুন scheduled task বানাল। সবচেয়ে ভালো পরের কাজ কোনটি?

Alert বন্ধ করা, কারণ Office-এ এটি স্বাভাবিক
Command line ও user দেখে দরকারে isolation
সবার যন্ত্র থেকে সাথে সাথে Office মুছে ফেলা
ব্যবহারকারীকে সাথে সাথে চাকরি থেকে বরখাস্ত

(সহজ) EDR exclusion-এর কোন নীতি ভালো?

সরু path, মালিক, কারণ, মেয়াদ
পুরো C:\
পুরো temp folder
মালিক ছাড়া, চিরকালের ছাড়

(মাঝারি) জুলাই ২০২৪-এর ব্যাপক Windows বিভ্রাট থেকে রক্ষকের মূল শিক্ষা কী?

EDR পুরো বাদ দিয়ে শুধু firewall রাখা
Windows ব্যবহার একেবারে বন্ধ করে দেওয়া
Privileged update-এও staged rollout
সব security update চিরতরে বন্ধ রাখা

(সহজ) Severity আর priority-র পার্থক্য কী?

দুটি একই
Priority সব সময় বেশি
Severity ঠিক করে SOC ম্যানেজারের মেজাজ
Severity ক্ষতির মাপ, priority কাজের ক্রম

(মাঝারি) ৫টি case-এর resolve সময় (মিনিট): 5, 7, 9, 11, 118. গড় আর median কত?

গড় 30, median 9
গড় 9, median 30
গড় 118, median 5
গড় 30, median 30

(মাঝারি) সপ্তাহে ১৬৮ ঘণ্টা, প্রতিজন ৪০ ঘণ্টা। একটি 24x7 SOC আসনে ন্যূনতম কতজন, আর বাস্তবে সাধারণত কত?

ন্যূনতম ২, বাস্তবে ২
ন্যূনতম ৪.২, বাস্তবে প্রায় ৬
ন্যূনতম ৪.২, বাস্তবে ৪
ন্যূনতম ২৪, বাস্তবে ৪৮

(মাঝারি) কোনটি মানুষের অনুমোদন ছাড়া SOAR-কে দেওয়া সবচেয়ে নিরাপদ?

Production database server বন্ধ করে দেওয়া
প্রধান নির্বাহীর account সাথে সাথে বন্ধ করা
Alert-এ IP ও user-এর তথ্য যোগ করা
সব mailbox থেকে একই subject-এর mail purge

মডিউল ১০ — Incident response আর forensics (২১টি প্রশ্ন)

ক্রমই উত্তর। সময়ের প্রশ্নে আগে zone, তারপর ঘড়ির সংশোধন।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ৬১–৬৬

পর্ব ৬১ · Incident response আর পর্ব ৬২ · Containment, eradication আর recovery — event বনাম incident, NIST, PICERL, incident response, credential-এর ক্রম, rebuild
পর্ব ৬৩ · Digital forensics আর পর্ব ৬৪ · Forensic artifact — order of volatility, chain of custody, ctime, timeline
পর্ব ৬৫ · বাস্তব breach-এর শিক্ষা আর পর্ব ৬৬ · Tabletop exercise — breach রিপোর্ট পড়া, tabletop exercise, holding statement

(মাঝারি) NIST SP 800-61 Rev. 3 (২০২৫) IR-কে কীভাবে সাজায়?

শুধু চার ধাপের বৃত্তে
CSF 2.0-এর ছয় Function-এ
সাত ধাপের kill chain-এ
PCI DSS-এর ১২ requirement-এ

(সহজ) SANS-এর PICERL-এর “C”, “E”, “R” কী?

Collect, Encrypt, Report
Control, Enforce, Review
Classification, Escalation, Rollback
Containment, Eradication, Recovery

(সহজ) Incident commander-এর প্রধান কাজ কী?

নিজে সব log পড়ে একা বিশ্লেষণ করা
সব সংবাদমাধ্যমের সাথে নিজে কথা বলা
সমন্বয়, কাজ ভাগ, অগ্রাধিকার
পুরো ঘটনায় একা রাত জেগে থাকা

(মাঝারি) হামলাকারী IT প্রধানের mail পড়ছে সন্দেহ। যোগাযোগ কোথায়?

আগে ঠিক করা out-of-band পথে
একই mail-এ, “গোপন” লিখে
একই chat-এ
Forum-এ

(মাঝারি) GDPR-এ controller মঙ্গলবার ১০:০০-এ breach-এর কথা জানল। ৭২ ঘণ্টার সীমা কখন?

বুধবার ১০:০০
বৃহস্পতিবার ১০:০০
শুক্রবার ১০:০০
সোমবার ১০:০০

(মাঝারি) চুরি হওয়া account বন্ধের পরও কাজ চলছে। কী বাকি?

চলমান session ও token বাতিল
নতুন password নীতি লেখা
Firewall-এর রং বদল
রিপোর্ট লেখা

(মাঝারি) প্রতি ঘণ্টায় ১.৫ GB ডেটা বের হচ্ছে, সহনসীমা ৬ GB, ক্ষতি ফেরানো সম্ভব। Scope জানতে সর্বোচ্চ কতক্ষণ অপেক্ষা করা যায়?

১.৫ ঘণ্টা
৯ ঘণ্টা
৬ ঘণ্টা
৪ ঘণ্টা

(সহজ) ঘটনার পরে credential বদলের ক্রমে কোনটি আগে?

সাধারণ ব্যবহারকারীদের password
Admin আর identity-র মূল credential
পুরোনো vendor-এর ফাইলের password
ক্রম গুরুত্বহীন, যেটি হাতে আসে সেটি

(মাঝারি) Admin অধিকারের দখলকারী কী বদলেছে জানা নেই। সবচেয়ে নিরাপদ পথ?

যা ধরা পড়েছে শুধু সেটি মোছা
Antivirus আবার চালানো
কিছু না করে নজর রাখা
প্রমাণ রেখে known-good থেকে rebuild

(মাঝারি) Post-incident review-এর কোন action item সবচেয়ে ভালো?

“সবাইকে ভবিষ্যতে আরও অনেক সতর্ক হতে হবে”
“রুমা ১৪ দিনে rule বসাবেন, test-এ প্রমাণ”
“নিরাপত্তা ব্যবস্থা সার্বিকভাবে বাড়াতে হবে”
“যে কর্মী ভুল করেছেন, তাঁকে সরিয়ে দিতে হবে”

(সহজ) NIST SP 800-86-এর forensic ধাপের ক্রম কোনটি?

Collection, examination, analysis, reporting
Reporting, analysis, examination, collection
Analysis, collection, reporting, examination
Examination, reporting, collection, analysis

(মাঝারি) Forensic image-এর SHA-256 সংগ্রহের সময়ের hash-এর সাথে মিলল। কী প্রমাণ হয়?

ফাইলের মালিক নিশ্চিত দোষী
Image-এ কোনো malware নেই
Hash নেওয়ার পর bit বদলায়নি
Hash নেওয়ার আগের সব ঠিক ছিল

(কঠিন) Log-এ 2026-05-01 03:00:00, zone UTC+6, ঘড়ি ৬০ সেকেন্ড এগিয়ে। সঠিক UTC কত?

2026-05-01 09:01:00
2026-04-30 21:01:00
2026-05-01 03:01:00
2026-04-30 20:59:00

(মাঝারি) একজন কর্মী সন্দেহ থেকে সহকর্মীর ব্যক্তিগত ফোন লুকিয়ে পরীক্ষা করতে চান। কোনটি ঠিক?

হ্যাঁ, প্রমাণ পেলে সব বৈধ হয়ে যায়
না, অনুমতি বা বৈধ প্রক্রিয়া লাগবে
হ্যাঁ, অফিসের সময়ের মধ্যে হলে
হ্যাঁ, ফোনটি বন্ধ অবস্থায় থাকলে

(মাঝারি) Linux-এ mv, chmod ইত্যাদি metadata বদলে কোন সময় বদলায়?

atime
mtime
ctime
কোনোটিই না

(কঠিন) Log-এ 2026-04-02 12:00:30 +0600, ঘড়ি ৩০ সেকেন্ড পিছিয়ে। সংশোধিত UTC কত?

2026-04-02 06:01:00Z
2026-04-02 06:00:00Z
2026-04-02 18:01:00Z
2026-04-02 12:01:00Z

(মাঝারি) Analysis of Competing Hypotheses-এর মূল কৌশল কোনটি?

প্রিয় ব্যাখ্যার পক্ষে আরও প্রমাণ জমা করা
দলের ভোটে সবচেয়ে জনপ্রিয় ব্যাখ্যা নেওয়া
সবচেয়ে পুরোনো ব্যাখ্যাটিই ধরে এগোনো
কোন প্রমাণ কোন ব্যাখ্যার বিপক্ষে, দেখা

(সহজ) প্রকাশিত breach রিপোর্ট পড়ার মূল লক্ষ্য কী?

হামলার ধাপগুলো হুবহু পুনর্গঠন করা
দোষী কর্মীর নাম খুঁজে বের করা
কোন প্রতিরক্ষা ব্যর্থ হলো, কী থামাত
প্রতিযোগী প্রতিষ্ঠানকে ছোট করে দেখানো

(মাঝারি) Colonial Pipeline-এর প্রকাশিত সাক্ষ্যে দূরবর্তী প্রবেশের কোন ফাঁক উঠে এসেছিল?

Secure Boot ছিল না
MFA ছিল না
WPA3 ছিল না
CSP ছিল না

(সহজ) Tabletop exercise-এর সবচেয়ে ঠিক বর্ণনা কোনটি?

বানানো ঘটনায় পরিচালিত আলোচনা
Production-এ অঘোষিত আসল হামলা চালানো
ঘড়ি ধরে backup থেকে আসলেই restore করা
লিখিত অনুমতিতে অনুপ্রবেশের চেষ্টা করা

(মাঝারি) একটি মহড়ায় তিন লক্ষ্যের ওজন ৪, ২, ৪, আর প্রাপ্ত নম্বর (০ থেকে ২-এর মধ্যে) ২, ১, ০. ওজনসহ স্কোর কত?

৩০%
৭৫%
৫০%
১০০%

৯ · মডিউল ১১ ও ১২ — Governance আর cloud (৩১টি প্রশ্ন)

মডিউল ১১ — Governance, risk আর compliance (১৭টি প্রশ্ন)

সংখ্যা আর নাম এখানে বেশি। কাঠামোর নাম আর version একসাথে মনে রাখুন।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ৬৭–৭১

পর্ব ৬৭ · নিরাপত্তা governance আর পর্ব ৬৮ · Cyber risk management — RACI, policy বনাম standard, FAIR, Monte Carlo, risk appetite
পর্ব ৬৯ · Standard আর compliance আর পর্ব ৭০ · Privacy engineering — ISO 27001, NIST CSF 2.0, CIS, SOC 2, k-anonymity, differential privacy
পর্ব ৭১ · Vendor আর third-party ঝুঁকি — tier, SOC 2 পড়া, fourth party, offboarding

(সহজ) কোন কাজটি মূলত governance-এর?

কতটা ঝুঁকি মানা হবে, তার সীমা ঠিক করা
Firewall-এর নিয়ম নিজে লেখা ও বসানো
নিয়মিত patch বসানোর সময়সূচি চালানো
প্রতিদিনের alert আর log পড়া

(সহজ) RACI-তে প্রতিটি কাজে কয়জন A?

যত খুশি
দুজন
ঠিক একজন
শূন্য

(মাঝারি) Policy, standard, procedure, guideline-এর মধ্যে কোনটি শুধু পরামর্শ?

Policy
Standard
Procedure
Guideline

(মাঝারি) Three Lines Model-এ internal audit কোন line?

প্রথম
তৃতীয়
দ্বিতীয়
চতুর্থ

(মাঝারি) Board-এর জন্য ভালো key risk indicator-এর লক্ষণ কোনটি?

সংখ্যাটি যত সম্ভব বড় দেখায়
Dashboard-এ রঙিন আর আকর্ষণীয়
সীমা আছে, আর সিদ্ধান্ত আনে
শুধু হার আছে, কোনো সীমা নেই

(মাঝারি) FAIR মডেলে Threat Event Frequency বছরে ১০, Vulnerability ০.৩. Loss Event Frequency কত?

৩৩
১০.৩
০.০৩
৩

(মাঝারি) একটি ঝুঁকির Loss Event Frequency বছরে ৩, প্রতি ঘটনায় ধরে নেওয়া ক্ষতি ৫ লাখ টাকা। বছরে প্রত্যাশিত ক্ষতি কত?

৩ লাখ
১৫ লাখ
৫ লাখ
৮ লাখ

(কঠিন) একটি বিরল ঝুঁকির Monte Carlo ফলে P50 = ০, গড় = ২০ লাখ, P99 = ৩ কোটি টাকা। সঠিক ব্যাখ্যা কোনটি?

বেশিরভাগ বছর শূন্য, বিরল বছর বড়
প্রতি বছর প্রায় ২০ লাখ টাকা ক্ষতি হবে
এই ঝুঁকিতে কোনো ক্ষতিই হওয়ার কথা নয়
P50 শূন্য হওয়ায় হিসাবটি ভুল হয়েছে

(মাঝারি) NIST CSF 2.0-তে কতটি Function, আর কোনটি নতুন?

৫, Govern
৬, Respond
৬, Govern
৭, Recover

(মাঝারি) CIS Controls v8.1-এ IG1-এ কতটি Safeguard?

১৫৩
৫৬
১৩০
১৮

(মাঝারি) Control এক বছর কাজ করেছে, প্রমাণ দরকার। কোন report?

SOC 2 Type I
ISO 27001 SoA
PCI AoC
SOC 2 Type II

(মাঝারি) “আমরা compliant, তাই নিরাপদ।” এই দাবি কেন দুর্বল?

শর্তের প্রমাণ আর কম ঝুঁকি আলাদা
Compliance আইনে নিষিদ্ধ একটি কাজ বলে
সব audit report সব সময় ভুল হয় বলে
নিরাপত্তা বলে আসলে কিছু নেই বলে

(মাঝারি) Laplace mechanism-এ sensitivity Δ = ১, ε = ০.৫. Noise-এর scale b কত?

০.৫
১.৫
২
০.২৫

(মাঝারি) ১০^৮ সম্ভাব্য নম্বরের unkeyed hash, গতি সেকেন্ডে ১০^৯. পুরো space কত সময়ে শেষ?

১০ সেকেন্ড
১০০ বছর
১ ঘণ্টা
০.১ সেকেন্ড

(কঠিন) একটি প্রকাশিত টেবিলে k = ৪, কিন্তু একটি দলের চারজনেরই রোগ এক। সমস্যা আর প্রতিকার কী?

Homogeneity; l-diversity
SQL injection; parameterized query
k বেশি হয়েছে; k = ৩ করা
Replay; একবারের nonce

(সহজ) Vendor-এর ঝুঁকির tier কীসে ঠিক হয়?

চুক্তির পৃষ্ঠাসংখ্যা আর ভাষায়
ডেটা, access আর নির্ভরতার সবচেয়ে খারাপটিতে
Vendor-এর বাজারের নামডাকে
শুধু মাসিক বিলের অঙ্কে

(মাঝারি) একটি vendor-এর SOC 2 report পেলে কী দেখবেন?

সময়কাল, scope, carve-out, exception
শুধু auditor-এর logo আর প্রথম পাতা
শুধু vendor-এর লেখা বিপণন-সারাংশ
Report-এর পৃষ্ঠাসংখ্যা আর ছবির মান

মডিউল ১২ — Cloud, zero trust আর ক্যাপস্টোন (১৪টি প্রশ্ন)

ভাগের দায় আর পরিচয়ের সীমানা। সবচেয়ে সস্তা আংটাটি কোনটি, সেভাবে ভাবুন।

যে পর্বগুলো ঝালিয়ে নেবেন · পর্ব ৭২–৭৫

পর্ব ৭২ · Cloud নিরাপত্তা আর পর্ব ৭৩ · Container আর Kubernetes নিরাপত্তা — shared responsibility, CSPM, CNAPP, image layer, Kubernetes RBAC
পর্ব ৭৪ · Zero trust architecture আর পর্ব ৭৫ · ক্যাপস্টোন — zero trust, PE, PA, PEP, ঝুঁকির অগ্রাধিকার, সীমিত বাজেট

(সহজ) Shared responsibility-তে SaaS-এ গ্রাহকের ভাগে কী থাকে?

Data center-এর তালা
ডেটা, পরিচয় আর সেটিং
Hypervisor patch
Physical disk ধ্বংস

(মাঝারি) CSPM, CIEM আর CWPP যথাক্রমে কী দেখে?

Workload, সেটিং, পরিচয়ের অধিকার
পরিচয়ের অধিকার, workload, সেটিং
সেটিং, পরিচয়ের অধিকার, workload
তিনটিই শুধু খরচের বিল

(মাঝারি) Internet-মুখী patch-হীন VM-এর role গ্রাহকের ডেটার bucket পড়তে পারে। Cloud নিরাপত্তায় একে কী বলে?

একটি সাধারণ low finding
Least privilege-এর ভালো উদাহরণ
False positive
Toxic combination

(মাঝারি) ফাঁস হওয়া cloud access key বন্ধের পরও কী চলতে পারে?

আগে পাওয়া temporary credential
Provider-এর সব HTTPS সংযোগ বন্ধ থাকা
Account-এর DNS zone মুছে যাওয়া
নতুন key নিজে থেকে তৈরি হতে থাকা

(সহজ) আক্রান্ত cloud VM নিয়ে প্রথম কাজ কোনটি?

সাথে সাথে VM মুছে নতুন বানানো
আলাদা করে snapshot রাখা
আরও বড় instance-এ সরিয়ে নেওয়া
Disk-টি public করে সবাইকে দেখানো

(সহজ) একই node-এ container-এর সীমা VM-এর চেয়ে দুর্বল কেন?

Host-এর kernel ভাগ করে বলে
Image বড় হয় বলে
Network থাকে না বলে
Linux-এ চলে না বলে

(মাঝারি) Dockerfile-এ এক ধাপে token কপি করে পরের ধাপে rm করলে চূড়ান্ত image-এ কী হয়?

Token পুরো মুছে যায়, ঝুঁকি থাকে না
Image ছোট হয়ে token encrypted হয়
আগের layer-এ token থেকে যায়
Build ব্যর্থ হয়ে error দেখায়

(কঠিন) একটি ServiceAccount-এর RBAC-এ Secret-এর verb নেই, কিন্তু namespace-এ create pods আছে। ঝুঁকি কী?

কোনো ঝুঁকি নেই, কারণ Secret-এর verb নেই
Node সাথে সাথে cluster থেকে মুছে যাবে
etcd নিজে থেকে বন্ধ হয়ে যাবে
Pod দিয়ে Secret mount করে পরোক্ষে পাওয়া

(মাঝারি) Pod Security Standards-এর তিন স্তর কড়া থেকে ঢিলা কোন ক্রমে?

restricted, baseline, privileged
privileged, baseline, restricted
baseline, restricted, privileged
restricted, privileged, baseline

(মাঝারি) NIST SP 800-207-এ PE, PA আর PEP যথাক্রমে কী করে?

প্রয়োগ, সিদ্ধান্ত, কার্যকর
Log, backup, DNS
কার্যকর, প্রয়োগ, সিদ্ধান্ত
সিদ্ধান্ত, কার্যকর, প্রয়োগ

(সহজ) CISA Zero Trust Maturity Model v2.0-তে pillar কতটি?

(মাঝারি) একটি প্রতিষ্ঠানের zero trust পথ নিয়ে কোনটি ঠিক?

একটি পণ্য কিনলেই লক্ষ্য পূরণ হয়
তালিকা, identity, device, app, data ধাপে
সব VPN আজই একসাথে বন্ধ করতে হয়
বড় firewall বসালেই zero trust হয়

(মাঝারি) ঝুঁকি A: বছরে ০.২টি ঘটনা, প্রতিটিতে ৪০ লাখ টাকা। ঝুঁকি B: বছরে ৩টি, প্রতিটিতে ২ লাখ। শুধু প্রত্যাশিত ক্ষতি ধরলে কোনটি আগে?

A, ৮ লাখ বনাম ৬ লাখ
B, ৮ লাখ বনাম ৬ লাখ
দুটি সমান, ৮ লাখ করে
A, ৪০ লাখ বনাম ২ লাখ

(কঠিন) বাজেট ৮. A: খরচ ৫, ফল ৮; B: খরচ ৪, ফল ৬; C: খরচ ৪, ফল ৬. সেরা সমাবেশের মোট ফল কত?

৮
২০
১৪
১২

নিজে যাচাই করুন — মডিউল ৯ থেকে ১২-এর হিসাব

// Re-check the numericals of modules 9-12. All data is made up.
const p = (label, v) => console.log(label.padEnd(30), v);
const utc = (s, zoneH, skewS) => new Date(Date.parse(s + "Z") - zoneH * 3600e3 - skewS * 1e3)
  .toISOString().slice(0, 19) + "Z";
const xs = [5, 7, 9, 11, 118];
const best = [["A", 5, 8], ["B", 4, 6], ["C", 4, 6]];
let bestF = 0;
for (let m = 0; m < 8; m++) {
  const s = best.filter((_, i) => m >> i & 1);
  if (s.reduce((a, x) => a + x[1], 0) <= 8) bestF = Math.max(bestF, s.reduce((a, x) => a + x[2], 0));
}
p("Log cost 20 GB x 15 d x 2", 20 * 15 * 2);
p("Clock 90 s fast", utc("2026-01-01T02:10:30", 0, 90).slice(11));
p("Precision, recall 15/60/20", [100 * 15 / 60, 100 * 15 / 20].join(", "));
p("Confidence after 21 d", 80 * 0.5 ** (21 / 7));
p("Mean, median of cases", (xs.reduce((a, b) => a + b) / xs.length) + ", " + xs[2]);
p("24x7 seat, minimum", 168 / 40);
p("Exfil window (h)", 6 / 1.5);
p("UTC+6, 60 s fast", utc("2026-05-01T03:00:00", 6, 60));
p("+0600, 30 s slow", utc("2026-04-02T12:00:30", 6, -30));
p("Exercise score %", 100 * (4 * 2 + 2 * 1 + 4 * 0) / (10 * 2));
p("FAIR LEF", 10 * 0.3);
p("Expected loss (lakh)", 3 * 5);
p("Laplace b", 1 / 0.5);
p("Hash space seconds", 1e8 / 1e9);
p("Risk A, B (lakh)", (0.2 * 40) + ", " + 3 * 2);
p("Best set within budget 8", bestF);

আউটপুট (নির্ধারিত, প্রতিবার একই):

Log cost 20 GB x 15 d x 2      600
Clock 90 s fast                02:09:00Z
Precision, recall 15/60/20     25, 75
Confidence after 21 d          10
Mean, median of cases          30, 9
24x7 seat, minimum             4.2
Exfil window (h)               4
UTC+6, 60 s fast               2026-04-30T20:59:00Z
+0600, 30 s slow               2026-04-02T06:01:00Z
Exercise score %               50
FAIR LEF                       3
Expected loss (lakh)           15
Laplace b                      2
Hash space seconds             0.1
Risk A, B (lakh)               8, 6
Best set within budget 8       12

শেষ লাইনটি দেখায়, বাজেটে সেরা সমাবেশ লোভী বাছাইয়ের চেয়ে ভালো হতে পারে। Mean আর median-এর লাইনে outlier গড়কে টেনে নেয়।

AI-এর যুগে — AI দিয়ে আরও MCQ বানান, কিন্তু উত্তর নিজে যাচাই করুন

AI মুহূর্তে শত শত MCQ বানাতে পারে, কিন্তু নিরাপত্তার প্রশ্নে সে প্রায়ই পুরোনো পরামর্শকে “সঠিক” বলে, বানানো CVE বা মান লেখে, অথবা একই প্রশ্নে দুটি সঠিক অপশন রাখে।

AI-এর প্রচলিত ভুল	উদাহরণ	কীভাবে ধরবেন
বানানো সূত্র	অস্তিত্বহীন CVE, RFC বা ধারা	NVD, RFC Editor আর মূল আইনে মেলান
পুরোনো crypto	MD5, ECB, salt ছাড়া hash	পর্ব ১৩ আর ১৪-এর তালিকায় মেলান
যাচাই বন্ধের পরামর্শ	`verify=False`, `chmod 777`, চওড়া CORS	এমন “সঠিক উত্তর” দেখলেই সন্দেহ করুন
পুরোনো সংস্করণ	Top 10:2021-এর ক্রম, পুরোনো NIST password নিয়ম	Version আর বছর লিখে মিলিয়ে দেখুন
ভুল হিসাব, নিশ্চিত সুরে	Precision-এ ভুল হর, birthday bound	এই পাতার checker-এ সংখ্যা বসান
বানানো উৎস	“অমুক পরীক্ষায় এসেছিল”	উৎস দেখাতে না পারলে দাবি বাদ

নিচের প্রম্পটটি AI-কে প্রতিরক্ষার প্রশ্ন বানাতে বলে, সাথে যাচাইয়ের উপায়ও চায়:

আমি সাইবার নিরাপত্তার MCQ পরীক্ষার প্রস্তুতি নিচ্ছি। শুধু প্রতিরক্ষার দিক থেকে প্রশ্ন বানাবে। বিষয়: [যেমন: DMARC alignment / JWT যাচাই / CVSS / incident containment] কঠিনতা: [সহজ / মাঝারি / কঠিন] ১০টি MCQ বানাও। প্রতিটির জন্য: ১. ঠিক ৪টি অপশন, শুধু একটি সঠিক। দরকারি সব তথ্য প্রশ্নেই থাকবে। ২. মান বা RFC-র নাম দিলে নম্বর আর বছর লেখো, আর কোথায় মিলিয়ে দেখব তা বলো। ৩. প্রতিটি ভুল অপশন কোন ভুল ধারণা থেকে এসেছে, এক লাইনে লেখো। ৪. Numerical-এ সূত্র আর প্রতিটি ধাপ দেখাও; টাকার অঙ্ক হলে ধরে নেওয়া লেখো। ৫. কোনো exploit, payload বা হামলার ধাপ লিখবে না। ৬. নিশ্চিত না হলে “নিশ্চিত নই” লেখো; কোনো প্রশ্নকে কোনো নির্দিষ্ট পরীক্ষার আসল প্রশ্ন বলে দাবি করবে না।

যাচাইয়ের চেকলিস্ট

চারটি অপশনের মধ্যে ঠিক একটি সত্য, মিলিয়ে দেখেছি
CVE, RFC, মান আর আইনের নাম প্রাথমিক উৎসে যাচাই করেছি
প্রতিটি numerical নিজে করেছি; টাকার অঙ্ক ধরে নেওয়া
“যাচাই বন্ধ করুন” ধরনের উত্তর মেনে নিইনি
Prompt-এ কোনো আসল secret, key, log বা ব্যক্তিগত তথ্য দিইনি
মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত AI-এর ওপর ছাড়িনি

কেন এই উত্তর ভুল? — রিভিশনের কৌশল আর বড় ধারণা

আগে নিজে ভাবুন, তারপর খুলে দেখুন।

প্র ০১এতগুলো প্রশ্ন দিয়ে কীভাবে রিভিশন করলে সবচেয়ে বেশি কাজে লাগে?

একটানা পড়ে যাওয়া, মানে প্রশ্ন দেখা, উত্তর চাপা আর এগোনো, সবচেয়ে কম কাজে লাগে। শেখার গবেষণায় বারবার কার্যকর পাওয়া গেছে দুটি অভ্যাস: নিজে থেকে মনে করা (active recall) আর বিরতি দিয়ে ফেরা (spaced repetition).

এক অংশ, পুরো মনোযোগ: একবারে একটি মডিউল নিন। চাপার আগে খাতায় উত্তর আর এক লাইনের কারণ লিখুন, যেমন “৭৫ ÷ ৫০০, তাই ১৫%”. কারণ লিখতে না পারলে ঠিক হলেও ভুল গুনুন।
ভুলের খাতা: প্রতিটি ভুলের পাশে প্রশ্ন নয়, নিয়মটি লিখুন: “recall-এর হর আসল ঘটনা”. পরীক্ষায় একই নিয়ম অন্য সংখ্যায় আসে।
পর্বে ফিরুন: একটি মডিউলে চারটির বেশি ভুল হলে তার পর্ব আবার পড়ুন। ১, ৩ আর ৭ দিন পরে শুধু ভুলগুলো করুন, অপশন পড়ার আগেই উত্তর বলে।
স্কোরের ফাঁদ: দ্বিতীয়বারে স্কোর বাড়ে অপশন মনে থাকার জন্যও। তাই সংখ্যা বদলে নিজের প্রশ্ন বানান, এই পাতার checker-এ মেলান।
ফলের ধরন লিখুন: প্রতিটি মডিউলে কতটি সংজ্ঞায় আর কতটি হিসাবে ভুল হলো, আলাদা গুনুন। সংজ্ঞায় ভুল মানে পর্বে ফেরা, হিসাবে ভুল মানে আরও অনুশীলন।
নিজের যন্ত্রে দেখুন: Linux-এর umask বা log-এর প্রশ্ন নিজের একটি খালি folder-এ দেখা যায়। পরীক্ষা শুধু নিজের system-এ।

একটি বাস্তব সূচি এমন হতে পারে: দিনে একটি মডিউল, ঘড়ি ধরে প্রতি প্রশ্নে এক মিনিট। সব মডিউল শেষ হলে এলোমেলো ২০টি ভুল প্রশ্ন আবার করুন, কারণ পরীক্ষায় বিষয় মিশে আসে। এলোমেলো অনুশীলন কঠিন লাগে, তবে মনে থাকে বেশি।

মূল উপলব্ধি: প্রশ্ন নয়, পেছনের নিয়ম মনে রাখাই লক্ষ্য।

প্র ০২“৯৯% নির্ভুল” detector-এর প্রায় সব alert ভুল হতে পারে কেন?

Stefan Axelsson-এর বহু-উদ্ধৃত গবেষণা (ACM TISSEC, ২০০০) দেখিয়েছিল, intrusion detection-এর সীমা প্রায়ই গণিতের, যন্ত্রের নয়। ক্ষতিকর ঘটনা বিরল। তাই ছোট false positive rate-ও বিশাল নিরাপদ দলের ওপর খেটে অনেক ভুল alert বানায়।

১০ লাখ ঘটনায় ১০০টি আসল, recall ৯৯%, FPR ১% হলে TP ৯৯ আর FP ৯,৯৯৯. Precision প্রায় ১%. Accuracy কিন্তু প্রায় ৯৯%, আর সব কিছুকে “নিরাপদ” বললে accuracy ৯৯.৯৯%, যদিও একটি ঘটনাও ধরা পড়ে না। তাই বিরল ঘটনায় accuracy দিয়ে কোনো detector বিচার করা যায় না।

পরীক্ষায় এই ধাঁচ চিনবেন তিনটি সংখ্যায়: মোট, আসল, আর দুটি হার। উত্তর বের করুন গণনার টেবিলে, শতাংশে নয়। ফাঁদ হলো recall-কেই precision ভাবা।

বাস্তবে এর অর্থ তিনটি। প্রথম, alert-কে triage করতে হয়, তাই context দিয়ে prevalence বাড়ান: শুধু internet-মুখী সম্পদ দেখলে আসল ঘটনার ভাগ বাড়ে। দ্বিতীয়, threshold, sequence আর asset-এর গুরুত্ব precision বাড়ায়। তৃতীয়, suppression সরু রাখুন, মালিক আর মেয়াদসহ, নইলে আসল ঘটনাও চাপা পড়ে।

একই গণিত অন্য জায়গাতেও ফেরে। Malware detector, phishing filter, এমনকি AI-এর prompt injection filter, সবখানেই আসল ঘটনা বিরল। তাই পরীক্ষায় হার যতই ভালো দেখাক, আগে গুনুন প্রতিদিন কতটি alert আসবে, আর একজন analyst কতটি পড়তে পারবেন। সংখ্যাটি ক্ষমতার বাইরে গেলে rule ভালো হলেও কাজের নয়।

মূল উপলব্ধি: Prevalence না জেনে কোনো detection-এর সংখ্যা বিশ্বাস করবেন না (পর্ব ২৩, ৩৩, ৫৬)।

প্র ০৩Encryption, hash, MAC আর signature: অপশন বাছার একটি নিয়ম কী?

প্রশ্নে লক্ষ্যটি খুঁজুন, হাতিয়ারের নাম নয়। লুকাতে হলে encryption. বদল ধরতে হলে, আর দুই পক্ষ একই key জানলে, MAC. তৃতীয় পক্ষকে প্রমাণ দিতে হলে signature. শুধু ছাপ দরকার, আর ছাপটি নিরাপদ পথে আসে, তাহলে hash.

ফাঁদগুলো এই সীমার ওপরেই বসানো। Encryption একা অখণ্ডতা দেয় না, তাই আধুনিক পছন্দ AEAD. Hash-এ key নেই, তাই ফাইল আর digest একই server-এ থাকলে দখলকারী দুটিই বদলাতে পারে। HMAC-এ দুই পক্ষের একই key, তাই “কে বানাল” আদালতে প্রমাণ হয় না। আর SHA-256(key + message) নকশায় length extension-এর ফাঁক থাকে, যা HMAC-এর নকশা এড়ায়।

ইতিহাসও এই শিক্ষা দেয়, তবে খেয়াল রাখুন ভেঙেছে অ্যালগরিদম, নীতি নয়। MD5-এর collision কাজে লাগিয়ে জাল code-signing certificate বানানোর ঘটনা প্রকাশ্যে আলোচিত। ফেব্রুয়ারি ২০১৭-এর SHAttered দেখাল একই SHA-1 digest-এর দুটি PDF. দুই ক্ষেত্রেই সমস্যা collision resistance-এ। তাই “hash ব্যবহার করেছি” যথেষ্ট কথা নয়; কোন hash, কোন গুণের জন্য, সেটিই প্রশ্ন।

Password আলাদা জগৎ। সেখানে ধীর, memory-খেকো Argon2id লাগে, কারণ লক্ষ্য অনুমানের দাম বাড়ানো। SHA-256 দ্রুত, আর ঠিক সেজন্যই password-এর জন্য ভুল পছন্দ।

অপশন বাছার সময় তাই একটি ছোট প্রশ্ন করুন: হামলাকারী এই ব্যবস্থার কোন অংশ নিজে বানাতে পারে, আর কোনটি পারে না? Key ছাড়া hash সে নিজেই বানায়, HMAC পারে না। Private key ছাড়া সই পারে না। এই এক প্রশ্নেই অনেক distractor কেটে যায়।

মূল উপলব্ধি: আগে গুণটি বলুন: গোপনীয়তা, অখণ্ডতা, পরিচয়, না অস্বীকার ঠেকানো (পর্ব ৭, ৯, ১১, ১৩)।

প্র ০৪CVSS 9.8 আগে, না KEV-এ থাকা 7.5 আগে?

CVSS base score ত্রুটির তীব্রতার মাপ, আপনার ঝুঁকির নয়। FIRST-এর দলিলও বলে, base score-কে একা ঝুঁকির মাপ হিসেবে ব্যবহার করা ঠিক নয়। সিদ্ধান্তে আরও লাগে: বাস্তবে হামলা হচ্ছে কি না, আর ত্রুটিটি আপনার কোন সম্পদে।

KEV হামলার প্রমাণ, EPSS পরের ৩০ দিনের অনুমান, SSVC সিদ্ধান্তের কাঠামো। ধরুন একটি CVE-র মান 7.5, KEV-এ আছে, আর সেটি internet-মুখী payment system-এ। আরেকটির মান 9.8, EPSS খুব কম, আর যন্ত্রটি বিচ্ছিন্ন পরীক্ষাগারে। আগে প্রথমটি, যদিও সংখ্যা ছোট।

প্রকাশিত ঘটনাগুলোও একই কথা বলে। Equifax (২০১৭)-এর সরকারি রিপোর্টে একটি জানা ত্রুটির patch সময়মতো না বসা আর একটি মেয়াদোত্তীর্ণ certificate-এর কারণে দেখতে না পাওয়ার কথা আছে। Log4Shell (২০২১)-এর প্রথম দিনের প্রশ্ন ছিল “এই library আমাদের কোথায় কোথায় আছে”, যার উত্তর দেয় inventory আর SBOM, স্কোর নয়।

Metric-এও একই ফাঁদ। MTTR শুধু বন্ধ ticket গোনে, তাই পুরোনো খোলা ticket চোখের আড়ালে যায়। Coverage, MTTR আর age একসাথে দেখুন। Patch সম্ভব না হলে compensating control আর মেয়াদসহ exception, ঝুঁকির মালিকের অনুমোদনে।

পরীক্ষায় এমন প্রশ্নে সবচেয়ে বড় সংখ্যাটি চোখ টানে, আর সেখানেই ফাঁদ। আগে দেখুন প্রশ্নে কোনো exposure-এর কথা আছে কি না: internet-মুখী কি না, সম্পদটি কতটা গুরুত্বপূর্ণ, আর হামলার প্রমাণ আছে কি না। এই তিনটি তথ্য প্রশ্নে থাকলে সাধারণত সেগুলোই উত্তর ঠিক করে দেয়।

মূল উপলব্ধি: তীব্রতা, সম্ভাবনা, হামলার প্রমাণ আর সম্পদ, চারটি মিলিয়ে সিদ্ধান্ত (পর্ব ৩২, ৬৫)।

প্র ০৫পরিস্থিতির MCQ-তে “প্রথম কাজ” কীভাবে বাছবেন?

“প্রথম কাজ”-এর প্রশ্নে একাধিক অপশন ভালো শোনায়। পার্থক্য হয় ক্রমে। সাধারণ যুক্তি: আগে ক্ষতি থামান, তবে প্রমাণ নষ্ট না করে; তারপর পরিধি জানুন; তারপর সারান; শেষে শিখুন।

Repository-তে production key পাওয়া গেলে history মোছা প্রথম কাজ নয়, কারণ কেউ আগেই কপি নিয়ে থাকতে পারেন। আগে বাতিল ও বদল, তারপর ব্যবহারের log. Account চুরি হলে password বদলের সাথে চলমান session বাতিল। Cloud VM আক্রান্ত হলে মুছে ফেলা নয়, আলাদা করে snapshot. আইনের দিক থেকেও সীমা আছে: GDPR-এ অবগত হওয়ার ৭২ ঘণ্টার মধ্যে সম্ভব হলে জানাতে হয়, তথ্য অসম্পূর্ণ হলে ধাপে ধাপে।

আক্রান্ত পথে কথা বলা আরেকটি ফাঁদ। হামলাকারী mail পড়ছে সন্দেহ হলে সব আলাপ আগে থেকে ঠিক করা out-of-band পথে। NIST SP 800-61 Rev. 3 IR-কে CSF 2.0-র ছয় Function-এ সাজায়, আর পুরোনো Rev. 2-এর চার ধাপ আর SANS PICERL একই কাজের অন্য মানচিত্র। তাই পরীক্ষায় কোন কাঠামোর কথা চাওয়া হচ্ছে, দেখে নিন।

আরেকটি নিয়ম: পরীক্ষায় “কিছু না করা”, “দোষীকে শাস্তি”, “চেপে যাওয়া” ধরনের অপশন প্রায়ই ভুল। আবার “সব বন্ধ করা” অতি বড় পদক্ষেপ, যদি না প্রশ্নে তার কারণ থাকে। এখানে “এখন, না পরে” একটি হিসাব: ক্ষতি ফেরে কি না, দেখা যায় কি না, সময়সীমা কত। প্রতি ঘণ্টায় কত ডেটা যাচ্ছে আর সহনসীমা কত, সেটিও হিসাবের অংশ।

মূল উপলব্ধি: থামান, প্রমাণ রাখুন, পরিধি জানুন, সারান, শিখুন (পর্ব ২০, ৬১, ৬২, ৭২)।

শেষ ধাপ — ক্রম সাজান আর স্কোর দেখুন

উপরের সব MCQ শেষ করলে নিচে আপনার মোট স্কোর দেখাবে।

ক্রমSANS-ঘরানার incident response-এর ছয় ধাপ। আগে থেকে পরে সাজান (▲▼ চেপে সরান)

Preparation: পরিকল্পনা আর মহড়া
Identification: ঘটনা চেনা
Containment: ক্ষতি থামানো
Eradication: হামলাকারীর পথ সরানো
Recovery: পরিষ্কারভাবে ফেরা
Lessons learned: শেখা আর কাজে আনা

শব্দকোষ

লেখার মধ্যে ডটেড দাগ দেওয়া শব্দে মাউস রাখুন বা চাপুন, অর্থ দেখাবে। এই পর্বের সব শব্দ এখানে একসাথে:

মনে রাখুন

বাদ দিয়ে উত্তর: আগে ঝুঁকির নাম দিন, তারপর প্রতিটি অপশনের পেছনের নিয়ম খুঁজুন।
Control ≠ সমাধান: প্রতিটি control কোন প্রশ্নের উত্তর, আর কোনটির নয়, সেটি জানুন।
বিরল ঘটনায় সাবধান: Precision-এর হর মোট alert; prevalence ছাড়া সংখ্যা অর্থহীন।
তীব্রতা ঝুঁকি নয়: CVSS-এর সাথে KEV, EPSS আর সম্পদের গুরুত্ব মেলান।
ক্রমই উত্তর: থামান, প্রমাণ রাখুন, পরিধি জানুন, সারান, শিখুন।

পরের পর্বে: MCQ চেনায় কোনটি সঠিক; লিখিত পরীক্ষা আর ভাইভা চায় কেন সঠিক। পর্ব ৭৮-এ crypto, network, web আর incident response-এর লিখিত ও মৌখিক প্রশ্ন।

MCQ প্রশ্নব্যাংক — সাইবার নিরাপত্তা

এই পর্বে যা করবেন

১ · MCQ কীভাবে সামলাবেন — প্রশ্নের ধরন, বাদ দেওয়া আর সময়

প্রশ্নের পাঁচ ছাঁচ

কৌশল ১ · বাদ দেওয়ার পদ্ধতি — একটি কঠিন প্রশ্ন ধাপে ধাপে

কৌশল ২ · প্রতিটি control একটি নির্দিষ্ট প্রশ্নের উত্তর

কৌশল ৩ · রীতি আর একক আগে, হিসাব পরে

কৌশল ৪ · বিরল ঘটনায় সংখ্যা উল্টে যায়

কৌশল ৫ · Negative marking আর সময়

বারোটি বড় ফাঁদ

২ · মডিউল ১ — নিরাপত্তার ভিত্তি (২১টি প্রশ্ন)

মডিউল ১ — নিরাপত্তার ভিত্তি (২১টি প্রশ্ন)

৩ · মডিউল ২ — Cryptography (৩০টি প্রশ্ন)

মডিউল ২ — Cryptography (৩০টি প্রশ্ন)

৪ · মডিউল ৩ ও ৪ — Identity আর network (৪৯টি প্রশ্ন)

মডিউল ৩ — Identity আর access (২১টি প্রশ্ন)

মডিউল ৪ — Network নিরাপত্তা (২৮টি প্রশ্ন)

৫ · মডিউল ৫ — System আর endpoint (২৪টি প্রশ্ন)

৬ · মডিউল ৬ — Web application (৩১টি প্রশ্ন)

৭ · মডিউল ৭ ও ৮ — নিরাপদ software আর মানুষ (৩৪টি প্রশ্ন)

মডিউল ৭ — নিরাপদ software (২৪টি প্রশ্ন)

মডিউল ৮ — মানুষ আর নিরাপত্তা (১০টি প্রশ্ন)

নিজে যাচাই করুন — মডিউল ৫ থেকে ৮-এর হিসাব

৮ · মডিউল ৯ ও ১০ — Detection আর incident response (৪২টি প্রশ্ন)

মডিউল ৯ — Detection আর SOC (২১টি প্রশ্ন)

মডিউল ১০ — Incident response আর forensics (২১টি প্রশ্ন)

৯ · মডিউল ১১ ও ১২ — Governance আর cloud (৩১টি প্রশ্ন)

মডিউল ১১ — Governance, risk আর compliance (১৭টি প্রশ্ন)

মডিউল ১২ — Cloud, zero trust আর ক্যাপস্টোন (১৪টি প্রশ্ন)

নিজে যাচাই করুন — মডিউল ৯ থেকে ১২-এর হিসাব

AI-এর যুগে — AI দিয়ে আরও MCQ বানান, কিন্তু উত্তর নিজে যাচাই করুন

যাচাইয়ের চেকলিস্ট

কেন এই উত্তর ভুল? — রিভিশনের কৌশল আর বড় ধারণা

শেষ ধাপ — ক্রম সাজান আর স্কোর দেখুন

শব্দকোষ

মনে রাখুন

আরও পড়ুন · ABCL TECH-এ আপনার পরবর্তী পদক্ষেপ