Incident response — NIST-এর ধাপ, দল আর পরিকল্পনা

১ · Event, alert, incident, breach — চারটি আলাদা শব্দ

আপনার মহল্লার রাতের পাহারার কথা ভাবুন। গেট খোলার শব্দ হলো, এটি একটি ঘটনা মাত্র। পাহারাদারের কুকুর ঘেউ ঘেউ করল, এটি সন্দেহের সংকেত। দেখা গেল অচেনা কেউ দেয়াল টপকেছে, এবার সবাইকে ডাকতে হবে। আর যদি দেখা যায় ঘর থেকে গয়না উধাও, তাহলে ক্ষতি হয়ে গেছে। চারটি অবস্থায় আপনার করণীয় আলাদা।

পর্ব ৬০-এ আপনি alert-এর পথ দেখেছেন। এবার প্রশ্ন বড়: alert যদি সত্যিই বড় ঘটনা হয়, পুরো প্রতিষ্ঠান কীভাবে সাড়া দেবে? এই সংগঠিত সাড়ার নাম incident response, সংক্ষেপে IR.

সংজ্ঞায় একটু পার্থক্য আছে। NIST SP 800-61 Rev. 3-এ event মানে কম্পিউটিং সম্পদ জড়িত যেকোনো দৃশ্যমান ঘটনা, আর adverse event মানে যে event-এর ফল ক্ষতিকর। Incident হলো যা বৈধ কর্তৃত্ব ছাড়া তথ্য বা সিস্টেমের গোপনীয়তা, অখণ্ডতা বা প্রাপ্যতাকে আসলেই বা আসন্নভাবে বিপন্ন করে, অথবা আইন বা নিরাপত্তা নীতি ভাঙে। “আসন্নভাবে” শব্দটি খেয়াল করুন: ক্ষতি হওয়ার আগেও incident হতে পারে।

“Breach” শব্দের সীমা উৎসভেদে বদলায়। Verizon-এর DBIR রিপোর্ট breach বলে তখনই, যখন তথ্য প্রকাশ নিশ্চিত। GDPR-এর personal data breach আরও চওড়া: ব্যক্তিগত তথ্য নষ্ট, হারানো বা বদলে যাওয়াও এর মধ্যে পড়ে। তাই “এটি breach কি না” প্রশ্নে আগে দেখুন কোন আইন বা চুক্তির সংজ্ঞা খাটছে। শব্দটি ব্যবহার করবেন আইন-পরামর্শকের সাথে কথা বলে, কারণ এর আইনি ওজন আছে।

Service incident আর security incident

Service বন্ধ হওয়ার ঘটনা নিয়ে Cloud & DevOps কোর্সের incident management পর্ব বিস্তারিত বলে: ভূমিকা, status page, postmortem. এখানে সেসব আবার বলা হবে না। আমরা দেখব security incident কোথায় আলাদা।

২ · পরিকল্পনা কেন সংকটের আগেই

গার্মেন্টস কারখানায় আগুন লাগলে কেউ তখন বসে সিঁড়ির নকশা আঁকেন না। মহড়া আগেই হয়, কে কোন দরজা খুলবেন তা ঠিক করা থাকে। IR-ও তাই। সংকটের সময় মানুষ ক্লান্ত, ভয় পাওয়া, আর তথ্য অসম্পূর্ণ। তখন তিনটি জিনিস বানানো প্রায় অসম্ভব: ক্ষমতা, সম্পর্ক আর ফোন নম্বর।

• ক্ষমতা: রাত দুটোয় অনলাইন দোকান বন্ধ করার অনুমতি কার আছে? আগে লেখা না থাকলে সবাই একে অপরের দিকে তাকিয়ে থাকেন।
• সম্পর্ক: আইনজীবী, বীমা আর বাইরের IR দলের সাথে ঘটনার রাতে প্রথম চুক্তি করা কঠিন আর ধীর।
• তথ্য: কোন সিস্টেম জরুরি, ব্যক্তিগত তথ্য কোথায় আছে, log কতদিন থাকে, তা ঘটনার আগেই জানতে হয়। যে log রাখা হয়নি, তা ঘটনার পরে বানানো যায় না (পর্ব ৫৫)।

এই প্রস্তুতির লিখিত রূপ হলো incident response plan. এটি লম্বা বই নয়। চাপের মধ্যে যা খুঁজে পাওয়া যায়, সেটিই ভালো plan. নিচের কাঠামোটি একটি নমুনা, কোনো মান নয়। প্রতিটি ধরনের ঘটনার ধাপ থাকবে আলাদা playbook-এ।

৩ · NIST-এর ধাপ, Rev. 3 আর PICERL

NIST SP 800-61 IR-এর সবচেয়ে উদ্ধৃত নির্দেশিকা। এর Revision 2 (২০১২) চার ধাপের একটি বৃত্ত শিখিয়েছিল, যা আজও পরীক্ষায় আর ইন্টারভিউতে আসে:

1. Preparation: দল, plan, tool আর প্রতিরোধ।
2. Detection and Analysis: ঘটনা ধরা, যাচাই, মাত্রা ঠিক করা।
3. Containment, Eradication and Recovery: ছড়ানো থামানো, মূল থেকে সরানো, ধাপে ধাপে ফেরা।
4. Post-Incident Activity: শিক্ষা, যা আবার প্রস্তুতিতে ফেরে।

এপ্রিল ২০২৫-এ NIST প্রকাশ করে Rev. 3, যা Rev. 2-কে প্রতিস্থাপন করেছে। এর পুরো নাম Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile. এটি আর ধাপে ধাপে হাতে-কলমে নির্দেশিকা নয়। NIST বলছে, কাজের খুঁটিনাটি এত দ্রুত বদলায় যে একটি স্থির দলিলে তা ধরে রাখা আর সম্ভব নয়। তাই সুপারিশগুলো সাজানো হয়েছে NIST CSF 2.0-এর ছয় Function-এ।

দুই মডেলের সম্পর্ক কী, আর PICERL কোথায় বসে? PICERL হলো SANS-ঘরানার ছয় ধাপ। এটি Rev. 2-এর তৃতীয় ধাপকে তিন ভাগ করে দেখায়, তাই হাতে কাজ করার সময় অনেকের কাছে সহজ লাগে। নিচের প্রথম দুই কলামের মিল Rev. 3-এর নিজের টেবিল থেকে নেওয়া।

এবার একটি কাল্পনিক অনলাইন বাজারের একটি ঘটনা সব ধাপে দেখুন। সব নাম আর সময় বানানো। এই ঘটনাটিই পুরো পর্বে ফিরে আসবে।

৪ · CSIRT — কে কী করবেন

আগুন নেভানোর সময় ফায়ার সার্ভিসের দলনেতা নিজে পাইপ ধরেন না। তিনি পুরো ছবি দেখেন আর নির্দেশ দেন। CSIRT (Computer Security Incident Response Team) একইভাবে কাজ করে। ছোট প্রতিষ্ঠানে একজন দুটি ভূমিকা নিতে পারেন, তবে ভূমিকাগুলোর কথা ভাবতেই হবে।

এই নামগুলো শিল্পের প্রচলিত ব্যবহার, NIST-এর বাধ্যতামূলক তালিকা নয়। Rev. 3 ভূমিকা বলে আরও চওড়াভাবে: নেতৃত্ব, incident handler, প্রযুক্তিবিদ, আইন, জনসংযোগ, HR, শারীরিক নিরাপত্তা আর সম্পদের মালিক। সম্পদের মালিক মানে যিনি ওই সিস্টেম বা তথ্যের দায়িত্বে আছেন। তিনি জানাতে পারেন কোনটি আগে ফেরাতে হবে। IC পদ কোনো পদমর্যাদা নয়, দায়িত্ব। ঘটনা বড় হলে IC-ও বদলাতে পারেন, তবে স্পষ্ট করে shift handover লিখে রাখতে হবে।

On-call আর বিকল্প

একটি on-call তালিকা তখনই কাজের, যখন তাতে এই চারটি উত্তর থাকে: এই সপ্তাহে কে, তিনি না ধরলে কে, কত মিনিটে সাড়া, আর ছুটির দিনে কী নিয়ম। ঈদের ছুটির রাতে ঘটনা হলে বোঝা যায় তালিকাটি সত্যি কি না। এক রাতে একজন মানুষের ওপর সব ভার রাখবেন না। ঘণ্টার পর ঘণ্টা চললে কাজের পালা ভাগ করুন, কারণ ক্লান্ত মানুষই সবচেয়ে বড় ভুলটি করেন।

৫ · Severity আর incident ঘোষণা

হাসপাতালের জরুরি বিভাগের মতোই সব ঘটনা সমান নয়। Severity বলে ঘটনাটি কতটা গুরুতর, আর সেই অনুযায়ী কতজন মানুষ, কত দ্রুত আসবেন। Rev. 2-এর পরামর্শ ছিল, প্রথমে-এলে-প্রথমে নিয়মে ঘটনা ধরবেন না। Rev. 3 বিচারের উদাহরণ হিসেবে দেয় সম্পদের গুরুত্ব, সেবার ক্ষতি, তথ্যের ক্ষতি, হামলার পর্যায়, হামলাকারীর ধরন আর পুনরুদ্ধারের সম্ভাবনা।

নিচের ছকটি একটি উদাহরণ। স্তরের নাম আর সময় আপনার প্রতিষ্ঠান নিজের মতো ঠিক করবে।

কখন ঘোষণা করবেন

Incident declaration মানে আনুষ্ঠানিকভাবে বলা: এটি incident, plan চালু হোক। শর্ত আগে লেখা থাকলে কেউ দায় এড়ানোর ভয়ে অপেক্ষা করেন না। Rev. 3-ও বলে, নির্ধারিত শর্ত মিললেই ঘোষণা। নিচের যেকোনো একটি মিললে ঘোষণা করা যায়, এমন একটি নমুনা:

• অননুমোদিত প্রবেশ নিশ্চিত, অথবা জোরালো প্রমাণ আছে
• ব্যক্তিগত, আর্থিক বা গোপন তথ্য ক্ষতিগ্রস্ত হতে পারে
• নিরাপত্তার কারণে প্রধান সেবা ব্যাহত
• Admin বা service account-এ অজানা কাজ দেখা গেছে
• বাইরের কেউ, যেমন অংশীদার বা সংস্থা, ঘটনা জানিয়েছে

নিচের ছোট হিসাবটি toy data-তে চলে। ওজনগুলো আমাদের অনুমান, কোনো মান নয়। লক্ষ্য হলো দেখা যে একই কাঠামোয় আলাদা ঘটনা কেমন ফল দেয়।

// Toy severity calculator. Scales 0-3; weights are assumptions, not a standard.
const levels = [[12, 'SEV1'], [8, 'SEV2'], [4, 'SEV3'], [0, 'SEV4']];
const rank = name => levels.findIndex(l => l[1] === name);

function severity(c) {
  // Worst harm counts double; a live attacker adds urgency.
  const score = 2 * Math.max(c.service, c.data) + c.scope + c.recover
              + (c.active ? 2 : 0);
  let sev = levels.find(l => score >= l[0])[1];
  // Floor: confirmed sensitive data exposure is never below SEV2.
  let note = '';
  if (c.data === 3 && rank(sev) > rank('SEV2')) { sev = 'SEV2'; note = ' (floor)'; }
  return { score, sev, note };
}

const cases = [
  { name: 'Blocked malware, one laptop', service: 0, data: 0, scope: 0, recover: 0, active: false },
  { name: 'Infected laptop, isolated',   service: 1, data: 1, scope: 1, recover: 1, active: false },
  { name: 'Finance mailbox taken over',  service: 1, data: 2, scope: 1, recover: 1, active: true },
  { name: 'Customer data export',        service: 1, data: 3, scope: 2, recover: 2, active: true },
  { name: 'Ransomware on many servers',  service: 3, data: 2, scope: 3, recover: 3, active: true },
  { name: 'Old backup found public',     service: 0, data: 3, scope: 0, recover: 0, active: false },
];
for (const c of cases) {
  const r = severity(c);
  console.log(`${c.name.padEnd(28)} score ${String(r.score).padStart(2)}  ${r.sev}${r.note}`);
}
const later = { ...cases[3], active: false };
const r = severity(later);
console.log(`Customer data export, contained: score ${r.score}, formula says ${r.sev}`);
console.log('Rule: only the incident commander lowers severity, with a written reason.');

এবার সেই কাল্পনিক ঘটনায় একই সূত্র ধরে দেখুন, তথ্য আসার সাথে মাত্রা কীভাবে বদলায়।

৬ · Triage, scoping আর আগে প্রমাণ

ঘটনা শুরু হলে সবার মন চায় কিছু একটা করতে। কিন্তু ডাক্তার ওষুধ দেওয়ার আগে পরীক্ষা করেন। প্রথম কয়েক মিনিটে এই প্রশ্নগুলো লিখে ফেলুন:

1. কী দেখা গেছে, আর কোন উৎস থেকে জানা গেল?
2. কখন শুরু? প্রথম সংকেত মানে প্রথম ঘটনা নয়।
3. কোন account, কোন যন্ত্র, কোন তথ্য জড়িত?
4. এখনো চলছে কি? তথ্য কি এই মুহূর্তে বেরোচ্ছে?
5. আসল কি? আলাদা কোনো উৎস দিয়ে নিশ্চিত করা গেছে?
6. ব্যবসায় প্রভাব কী, আর কে এখনো জানেন না?
7. কী দেখা হয়নি? অজানা অংশ লিখে রাখুন।

Scoping মানে ঘটনার সীমা খোঁজা। একটি সূত্র ধরে সব জায়গায় খুঁজুন: একটি IOC, একটি account, একটি সময়সীমা। যা পাবেন, সেটি দিয়ে আবার খুঁজুন। বাজারের পকেটমার ধরা পড়লে প্রশ্ন শুধু তাঁর পকেট নয়, তাঁর সঙ্গী কারা। Containment সীমিত হয়ে গেলে হামলাকারী অন্য পথে বেঁচে যান, তাই scope না বুঝে একটি যন্ত্র সরালেই শেষ নয়। তবে তথ্য চলে যেতে থাকলে অপেক্ষাও করা যায় না। Rev. 3 এই টানাপোড়েনটি স্বীকার করে: দ্রুত ফেরা আর গভীর তদন্তের মধ্যে প্রতিটি সিদ্ধান্তে কিছু ছাড়তে হয়।

আগে প্রমাণ, মানে কী

অপরাধের জায়গায় পুলিশ আসার আগে কেউ ঘর ঝাড়ু দিলে সব চিহ্ন যায়। কম্পিউটারেও একই। এই মানসিকতার সহজ নিয়মগুলো:

• সন্দেহজনক যন্ত্র বন্ধ বা wipe করবেন না। Network থেকে আলাদা করা অনেক সময় ভালো, কারণ memory-র তথ্য থেকে যায়।
• Log আগে অন্য জায়গায় কপি করুন, যাতে নিজে থেকে মুছে না যায় আর হামলাকারীও মুছতে না পারেন।
• আক্রান্ত যন্ত্রে উঁচু ক্ষমতার account দিয়ে login করবেন না, এতে সেই account-ও ঝুঁকিতে পড়তে পারে।
• যা করলেন, সময়সহ লিখুন। আপনার নিজের কাজও প্রমাণের ওপর দাগ ফেলে, লেখা থাকলে আলাদা করা যায়।
• আইনি কাজে লাগতে পারে এমন প্রমাণে chain of custody রাখুন। পদ্ধতি পর্ব ৬৩-তে।

৭ · Mail বিশ্বাস করা না গেলে কথা বলবেন কোথায়

ধরুন ডাকাত আপনার বাড়িতে ঢুকে আপনাদের ফোনের লাইনে কান পেতেছে। আপনারা ফোনে পরিকল্পনা করলে সে আগেই জেনে যাবে। হামলাকারী কারও mailbox দখল করলে ঠিক এমনটিই হতে পারে: IR দলের প্রতিটি পদক্ষেপ তিনি পড়ছেন, আর আগে থেকে সরে যাচ্ছেন বা প্রমাণ মুছছেন। Rev. 2-এর Appendix G-তে (Crisis Handling Steps) সোজা কথায় লেখা ছিল, হামলাকারী mail দখল করলে ঘটনা নিয়ে mail পাঠাবেন না।

সমাধান হলো out-of-band communication: আক্রান্ত হতে পারে এমন পথ এড়িয়ে আগে থেকে ঠিক করা আলাদা পথ। এতে থাকে একটি ছাপানো phone tree আর কোম্পানির login-এর বাইরের একটি নিরাপদ দলীয় channel. ঘটনার দিন নতুন app খোলা নিরাপদ নয়, কারণ তখন যাচাই না করা মানুষ ঢুকে যেতে পারেন। পথটি আগেই বানান, আর মহড়ায় পরীক্ষা করুন।

Out-of-band-এর নিয়মগুলো সহজ: চ্যানেলটি কোম্পানির login-এর ওপর নির্ভর করবে না। সদস্য তালিকা আগেই ঠিক থাকবে। কোম্পানির আক্রান্ত হতে পারে এমন ল্যাপটপে না চালানোই ভালো। এতে password, ব্যক্তিগত তথ্য বা বিস্তারিত গ্রাহক ডেটা লিখবেন না। আর ঘটনার সব সিদ্ধান্ত এখান থেকে পরে দলিলে তুলুন।

ভেতরের কর্মীদের জন্য একটিই সরল নির্দেশ দিন: কী করবেন, কী করবেন না, কার কাছে প্রশ্ন করবেন। বিতর্ক নয়, অনুমান নয়। বাইরের জন্য comms lead একমাত্র মুখ। সাংবাদিক বা গ্রাহকের প্রশ্ন সবাই তাঁর কাছে পাঠাবেন। প্রতিটি আপডেটে “এখন পর্যন্ত” আর “যাচাই চলছে” শব্দ রাখুন (পর্ব ৬০)। যা জানেন না, তা নিশ্চিত করে বলবেন না।

৮ · কাকে জানাতে হবে — আইন, চুক্তি আর বাইরের সাহায্য

জানানোর দায় তিন উৎস থেকে আসে: আইন, চুক্তি আর বীমার শর্ত। প্রতিটির ঘড়ি আলাদা, শুরুর বিন্দুও আলাদা। নিচের অংশ শিক্ষার জন্য, এটি আইনি পরামর্শ নয়। নিজের ক্ষেত্রে একজন যোগ্য আইনজীবীর পরামর্শ নিন।

উদাহরণ: GDPR-এর ৭২ ঘণ্টা

GDPR European Union-এর আইন, তবে EU-র মানুষের তথ্য নিয়ে কাজ করলে বাইরের প্রতিষ্ঠানেও খাটতে পারে। যেমন বাংলাদেশের কোনো outsourcing প্রতিষ্ঠান ইউরোপীয় client-এর হয়ে কাজ করলে চুক্তির মাধ্যমে এই দায় তার কাছে আসতে পারে। Article 33 থেকে মূল কথা:

• Controller ব্যক্তিগত তথ্যের breach সম্পর্কে অবগত হওয়ার পর অযথা দেরি না করে, সম্ভব হলে ৭২ ঘণ্টার মধ্যে supervisory authority-কে জানাবেন।
• মানুষের অধিকারের জন্য ঝুঁকির সম্ভাবনা কম হলে জানানো লাগে না, তবে সিদ্ধান্তটি লিখে রাখতে হয়।
• ৭২ ঘণ্টা পার হলে দেরির কারণসহ জানাতে হয়।
• সব তথ্য একসাথে না থাকলে ধাপে ধাপে দেওয়া যায়, যাকে phased notification বলা হয়।
• Processor অবগত হলে অযথা দেরি না করে controller-কে জানাবেন।
• Article 34 অনুযায়ী, ঝুঁকি বেশি হলে আক্রান্ত মানুষদেরও জানাতে হয়।

“অবগত” কখন? EDPB-র নির্দেশিকা অনুযায়ী মোটামুটি নিশ্চিত হওয়ার সময় থেকে, প্রথম সন্দেহ থেকে নয়। তবে এই যুক্তিতে তদন্ত টেনে লম্বা করা যায় না। আর ৭২ ঘণ্টা কর্মদিবস নয়, সাধারণভাবে সপ্তাহান্তও এর মধ্যে ধরা হয়।

বাংলাদেশে ঘটনা জানানোর দায় নিয়ে যাচাই করা তথ্য দেখুন পর্ব ৬-এ, আর উপাত্ত আইনের দিক পর্ব ৭০-এ আসবে। নিজের plan-এ এই ধাপটি রাখুন আর সর্বশেষ আইনি অবস্থা নিশ্চিত করুন। অন্য খাতে আলাদা নিয়ম থাকতে পারে, যেমন ব্যাংক বা আর্থিক খাতের নিয়ন্ত্রকের নির্দেশনা।

চুক্তি, vendor আর বীমা

Retainer মানে ঘটনার আগে চুক্তি, ঠিক পাড়ার পরিচিত ডাক্তারের মতো। রাত দুটোয় অচেনা কারও সাথে চুক্তি, NDA আর সিস্টেমে প্রবেশের অনুমতি শেষ করতে অনেক সময় যায়। কেনার আগে জিজ্ঞেস করুন: কত ঘণ্টায় সাড়া, কোন ভাষায় রিপোর্ট, আর আপনার তথ্য কে দেখবেন। কোনো বিক্রেতাকে আমরা সুপারিশ করি না।

নিচের ঘড়িটি simulated. শুধু ৭২ ঘণ্টা GDPR-এর উদাহরণ, বাকি সময়সীমা বানানো। ধরা হয়েছে t=0 হলো বুধবার ২৩:২০, যখন দল অবগত হলো।

// Simulated notification clock. Hours since "aware". Duties are toy examples.
const duties = [
  { name: 'Leadership briefing',  due: 1,  sent: 0.5 },
  { name: 'Payment partner',      due: 24, sent: 20 },
  { name: 'Insurer',              due: 48, sent: 55 },
  { name: 'Regulator (GDPR 72h)', due: 72, sent: 66 },
];
function cell(d, now) {
  if (d.sent <= now) return d.sent <= d.due ? 'sent' : 'sent late';
  return now > d.due ? 'OVERDUE' : `${d.due - now}h left`;
}
const views = [10, 30, 50, 70];
const row = cols => cols.map((c, i) => String(c).padEnd(i ? 11 : 22)).join('');
console.log(row(['duty', ...views.map(v => `t+${v}h`)]));
for (const d of duties) console.log(row([d.name, ...views.map(v => cell(d, v))]));

// Fixed "aware" time to a wall-clock deadline, shown in UTC+6.
const aware = Date.parse('2026-03-04T23:20:00+06:00');
const local = ms => new Date(ms + 6 * 3600e3).toISOString().slice(0, 16).replace('T', ' ');
console.log('aware       ', local(aware));
console.log('72h deadline', local(aware + 72 * 3600e3));

// Phased report: send what is known, and say what is still unknown.
const phases = [
  [66,  'first notice: what, when, data types, contact, open questions'],
  [120, 'update: record count confirmed'],
  [240, 'final: root cause and measures taken'],
];
phases.forEach(([h, text]) => console.log(`t+${String(h).padStart(3)}h ${text}`));

৯ · Timeline, শিক্ষা আর ছোট প্রতিষ্ঠানের প্রস্তুতি

পোস্ট অফিসের সিলমোহর যেমন বলে দেয় চিঠি কবে গেছে, তেমনি incident record বলে কে কখন কী করলেন। একটি ভালো record-এ থাকে: ঘটনার নম্বর, সারসংক্ষেপ, severity-র ইতিহাস, আক্রান্ত সম্পদ, IOC, প্রতিটি কাজের কর্তা আর সময়, সিদ্ধান্তের কারণ, আর কী এখনো অজানা। Rev. 3-ও প্রতিটি ঘটনার অবস্থা ট্র্যাক করতে বলে, যাতে কাজ, সময় আর পরের ধাপ দেখা যায়।

Timeline বানাতে সব সূত্রের সময় এক ঘড়িতে আনতে হয়। সাধারণত UTC ব্যবহার করা হয়, কারণ log আসে নানা অঞ্চল থেকে। NTP না থাকলে যন্ত্রের ঘড়িতে ফারাক থাকে, যাকে clock skew বলে। পদ্ধতির গভীরে যাব পর্ব ৬৪-তে। নিচের কোডে সূত্রগুলোর সময় ইচ্ছা করে এলোমেলো আর দুই অঞ্চলে লেখা।

// Toy incident timeline. Sources log in different zones. Dates are fixed.
const raw = [
  ['2026-03-04T23:35:00+06:00', 'edr',  'CONTAINED sessions revoked, export off'],
  ['2026-03-02T03:31:00Z',      'mail', 'phishing mail delivered to support-07'],
  ['2026-03-04T16:14:00Z',      'siem', 'ALERT bulk export by support-07'],
  ['2026-03-04T21:58:00+06:00', 'app',  'first bulk export starts'],
  ['2026-03-02T09:52:00+06:00', 'idp',  'COMPROMISE support-07 login, new device'],
  ['2026-03-04T22:50:00+06:00', 'ir',   'DECLARED incident, SEV2'],
  ['2026-03-04T23:20:00+06:00', 'ir',   'AWARE personal data confirmed, SEV1'],
  ['2026-03-06T11:00:00+06:00', 'ir',   'RECOVERED export back with limits'],
  ['2026-03-05T16:00:00+06:00', 'ir',   'ERADICATED tokens, rules, entry path'],
];
const events = raw.map(([t, src, what]) => ({ ms: Date.parse(t), src, what }))
                  .sort((a, b) => a.ms - b.ms);
const utc = ms => new Date(ms).toISOString().slice(5, 16).replace('T', ' ');
events.forEach(e => console.log(`${utc(e.ms)}Z ${e.src.padEnd(4)} ${e.what}`));

const at = word => events.find(e => e.what.startsWith(word)).ms;
const span = (a, b) => {
  const m = (b - a) / 60000;
  return `${Math.floor(m / 60)}h ${String(m % 60).padStart(2, '0')}m`;
};
console.log('---');
console.log('Dwell time (compromise to alert):', span(at('COMPROMISE'), at('ALERT')));
console.log('Export running before the alert: ', span(at('first bulk'), at('ALERT')));
console.log('Alert to declared:               ', span(at('ALERT'), at('DECLARED')));
console.log('Time to contain (from alert):    ', span(at('ALERT'), at('CONTAINED')));
console.log('Alert to recovered:              ', span(at('ALERT'), at('RECOVERED')));
const text = [...raw].sort((a, b) => a[0].localeCompare(b[0])).map(e => e[2]);
const wrong = text.findIndex(s => s.startsWith('ALERT')) < text.findIndex(s => s.startsWith('first bulk'));
console.log('Sorting the raw text puts ALERT before the export:', wrong);

শিক্ষা আর metric

ঘটনার পরে স্মৃতি তাজা থাকতেই, সাধারণত কয়েক দিনের মধ্যে, একটি post-incident review করুন। প্রশ্নগুলো ব্যক্তি নিয়ে নয়, ব্যবস্থা নিয়ে: কী ভালো হলো, কোথায় দেরি হলো, কোন সংকেত ছিল কিন্তু কেউ দেখেনি, কোন নিয়ম মানুষকে ভুলের দিকে ঠেলেছে। প্রতিটি শিক্ষা একটি কাজে রূপ নেবে, যার মালিক আর তারিখ আছে। মালিকহীন শিক্ষা পরের ঘটনায় একই কথা হয়ে ফেরে। দোষারোপহীন সংস্কৃতির কারণ পর্ব ৫৪-এ দেখুন।

Goodhart’s law আর metric-এর ফাঁদের কথা পর্ব ৬০-এ বিস্তারিত আছে। সংক্ষেপে, ঘটনার সংখ্যা কমানোকে লক্ষ্য বানালে মানুষ রিপোর্ট করা কমায়।

ছোট প্রতিষ্ঠানের প্রস্তুতি

পাঁচজনের অফিসেও IR লাগে, শুধু কলেবর ছোট। এই চেকলিস্টটি এক মাসের কাজ:

• একজন ঘটনার নেতা আর একজন বিকল্প ঠিক করেছি
• ফোন নম্বরের ছাপানো তালিকা আছে, অফিস আর বাড়িতে
• Mail ছাড়া একটি কথা বলার পথ ঠিক করে পরীক্ষা করেছি
• Admin account-এ MFA আছে, আর গুরুত্বপূর্ণ log জমা হচ্ছে
• Backup থেকে সত্যিই ফিরিয়ে দেখেছি, আর একটি কপি আলাদা রেখেছি
• কোন সিস্টেম জরুরি আর ব্যক্তিগত তথ্য কোথায়, তা লিখেছি
• কাকে কত সময়ে জানাতে হবে, তার এক পাতার তালিকা আছে
• একটি বাইরের সাহায্যের যোগাযোগ রেখেছি
• বছরে অন্তত একবার এক ঘণ্টার মহড়া করি

নিচের স্কোর একটি toy model. ওজন আমাদের অনুমান। মূল ধারণাটি হলো: কয়েকটি জিনিস না থাকলে বাকি সব ভালো হলেও আপনি প্রস্তুত নন।

// Toy readiness score. Weights are our assumptions, not a standard.
const items = [
  ['lead',    15, 'Named incident lead and deputy', true],
  ['phones',  15, 'Printed contact list and phone tree', true],
  ['restore', 15, 'Backup restored in a test', true],
  ['logs',    15, 'Key logs kept 90 days, stored apart', false],
  ['oob',     10, 'Out-of-band channel, tested', false],
  ['assets',  10, 'List of systems and personal data', false],
  ['duties',  10, 'List of who must be told, by when', false],
  ['outside',  5, 'External IR contact agreed', false],
  ['drill',    5, 'Tabletop in the last 12 months', false],
];
function assess(name, have) {
  const missing = items.filter(i => !have.includes(i[0]));
  const raw = 100 - missing.reduce((s, i) => s + i[1], 0);
  const gaps = missing.filter(i => i[3]);
  const score = gaps.length ? Math.min(raw, 59) : raw;
  const band = score >= 80 ? 'ready' : score >= 60 ? 'partly ready' : 'not ready';
  console.log(`${name}: raw ${raw}, score ${score}, ${band}`);
  if (gaps.length) console.log(`  capped, must-have missing: ${gaps.map(i => i[0]).join(', ')}`);
  missing.slice(0, 2).forEach(i => console.log(`  next (+${i[1]}): ${i[2]}`));
}
assess('Shop A', ['lead', 'phones', 'logs', 'oob', 'assets', 'duties', 'outside', 'drill']);
assess('Shop B', ['lead', 'phones', 'restore', 'oob']);
assess('Shop B, 30 days later', ['lead', 'phones', 'restore', 'oob', 'logs', 'assets', 'duties']);

১০ · AI-এর যুগে incident response

ঘটনার রাতে AI সত্যিই কাজে লাগতে পারে: লম্বা log-এর সারসংক্ষেপ, timeline-এর খসড়া, নেতৃত্বের জন্য সহজ ভাষার বার্তা। কিন্তু AI ঘটনার ভেতরে নেই। সে আপনার সিস্টেম দেখে না, অথচ নিশ্চিত গলায় কথা বলে।

ঘটনার সময় AI ব্যবহারের চেকলিস্ট

• প্রতিষ্ঠানের অনুমোদিত সেবা ব্যবহার করছি, আর পেস্ট করার আগে গ্রাহকের তথ্য, secret আর token সরিয়েছি
• AI-এর প্রতিটি দাবি মূল log, মূল standard বা CVE রেকর্ডে মিলিয়েছি
• AI-এর পরামর্শ চালানোর আগে দেখেছি, এতে কোনো প্রমাণ নষ্ট হবে কি না
• ঘোষণা, severity, জানানো আর মানুষকে প্রভাবিত করে এমন সিদ্ধান্ত একজন মানুষ নিয়েছেন
• Timeline-এ AI-এর খসড়া লাইন আলাদা চিহ্নিত করে যাচাই করেছি