Threat intelligence — IOC, TTP, STIX আর কাজে লাগানো

১ · Data, information আর intelligence — কে কী জানতে চান

মহল্লায় চুরি বেড়েছে। পাহারাদারের খাতায় লেখা, “রাত ২টা, একটি সাদা মাইক্রোবাস গলিতে ঢুকেছে।” এটি data: একটি কাঁচা পর্যবেক্ষণ। এক মাসের খাতা মিলিয়ে দেখা গেল, চুরির ৪ রাতের ৩ রাতেই ওই গাড়ি এসেছে। এটি information: সাজানো, প্রসঙ্গসহ তথ্য। এবার সর্দার ভাবলেন, “ওরা বৃহস্পতিবার রাতে আসে, যখন গেটে একজন পাহারাদার থাকে। তাই বৃহস্পতিবার দুজন রাখি, আর মাইক্রোবাসের নম্বর থানায় দিই।” এটি intelligence: বিশ্লেষণ, যা একটি সিদ্ধান্ত বদলায়।

তিন স্তর, তিন ধরনের মানুষ

একই ঘটনা তিনজন তিনভাবে চান। তাই intelligence-কে সাধারণত তিন স্তরে ভাগ করা হয়। কেউ কেউ চতুর্থ একটি “technical” স্তর আলাদা করেন, আবার কেউ সেটিকে tactical-এর ভেতরেই রাখেন। নামে নয়, কে পড়বেন সেদিকে মন দিন।

২ · Lifecycle আর PIR — প্রশ্ন আগে, feed পরে

সবচেয়ে সাধারণ ভুল হলো আগে feed কেনা, তারপর ভাবা এটি দিয়ে কী হবে। ফল: হাজার হাজার indicator, ক্লান্ত analyst, কোনো সিদ্ধান্ত নেই। সঠিক পথটি একটি চক্র, যার নাম intelligence lifecycle. বইভেদে ধাপের নাম আর সংখ্যা সামান্য বদলায়, কেউ পাঁচ ধাপ বলেন। এখানে ছয় ধাপের রূপটি নেওয়া হলো।

PIR — একটি কাল্পনিক দোকানের প্রশ্ন

PIR (priority intelligence requirement) হলো অগ্রাধিকার পাওয়া প্রশ্ন, যার উত্তর একটি সিদ্ধান্তকে সরাসরি বদলায়। ধরুন “রঙিন হাট” একটি কাল্পনিক অনলাইন দোকান। ঢাকায় ২০ জন কর্মী, একটি জনপ্রিয় ই-কমার্স platform, একটি payment gateway, একজন IT কর্মকর্তা। তাঁর কোনো SOC নেই, কিন্তু প্রশ্ন আছে। পর্ব ৪-এর threat model এখানে শুরুর বিন্দু।

লক্ষ করুন, এখানে “APT গ্রুপের তালিকা” নেই। ২০ জনের দোকানের জন্য তা কোনো সিদ্ধান্ত বদলায় না। ভালো PIR-এর তিনটি গুণ: নির্দিষ্ট, সময়বাঁধা, আর সিদ্ধান্তের সাথে বাঁধা। এই চারটি প্রশ্ন একা একজন মানুষ সপ্তাহে এক ঘণ্টায় সামলাতে পারেন।

৩ · IOC, TTP আর defang — চিহ্ন, অভ্যাস আর নিরাপদ শেয়ার

IOC হলো হামলার পর পড়ে থাকা চিহ্ন: একটি IP, domain, URL, ফাইলের hash. TTP (tactics, techniques, procedures) হলো কাজের ধরন: যেমন “বৈধ admin account দিয়ে ঢুকে রাতে গ্রাহকের তালিকা export করা”। পকেটমারের লাল জামা IOC, আর ভিড়ে সঙ্গীকে ইশারা করার অভ্যাস TTP.

পর্ব ৫-এর Pyramid of Pain মনে করুন। David Bianco-র ২০১৩ সালের এই মডেলে নিচ থেকে ওপরে আছে hash, IP, domain, network ও host artifact, tool, আর TTP. ওপরে উঠলে আক্রমণকারীর বদলের খরচ বাড়ে। তবু IOC ফেলনা নয়। এটি সস্তা, দ্রুত, আর চলমান ঘটনার সময় অমূল্য। ঠিক কথাটি হলো: IOC দিয়ে আজকের ঘটনা ধরুন, TTP দিয়ে আগামী মাসেরটি।

Defang — চিহ্নকে নিরাপদ করা

Report-এ সক্রিয় ক্ষতিকর URL লিখলে email বা chat নিজে থেকেই সেটিকে link বানিয়ে ফেলে। কেউ ভুলে চাপলে বিপদ। আবার কিছু mail gateway সেটি নিজেই খুলে দেখে। তাই শেয়ারের সময় চিহ্নটিকে অকেজো রূপে লেখা হয়, যাকে defang বলে। যেমন . হয় [.], আর http হয় hxxp. বিষাক্ত ওষুধের শিশিতে ছিপি এঁটে লেবেল লাগানোর মতো। ভেতরের তথ্য একই, শুধু ভুলে খেয়ে ফেলার পথ বন্ধ। এর কোনো একক আনুষ্ঠানিক মান নেই, দলভেদে [@] বা [at] দেখবেন।

উল্টো কাজের নাম refang. যন্ত্রে মেলানোর আগে আসল রূপে ফেরাতেই হয়, নইলে কিছুই মিলবে না। নিচের কোড একটি খেলনা report থেকে চিহ্ন বের করে। এটি শুধু লেখা নিয়ে কাজ করে, কোথাও সংযোগ করে না। সব মান কাল্পনিক, documentation-এর ঠিকানা আর example নাম।

// Toy report: fictional. Nothing here touches a network.
const hash = '3b0389aa4907ed05fe93a7829b8718663d60b027a50bf9115ba98c31cb61c461';
const report = `Admin logins came from 203[.]0[.]113[.]45 and 198[.]51[.]100[.]7.
Internal server 10.0.0.5 was touched. Mail sender: support[@]shop-help[.]example.
Fake page hxxps://pay-verify[.]example[.]net/login linked to shop.example.com.
Sample sha256 ${hash} seen on one host.`;

const refang = s => s.replace(/hxxp/gi, 'http').replace(/\[\.\]/g, '.').replace(/\[@\]/g, '@');
const defang = s => s.replace(/^http/i, 'hxxp').replace(/@/g, '[@]').replace(/\./g, '[.]');

const finders = [
  ['url',    /https?:\/\/[^\s]+/g],
  ['sha256', /\b[a-f0-9]{64}\b/g],
  ['email',  /\b[\w.-]+@[\w.-]+\.[a-z]{2,}\b/g],
  ['ipv4',   /\b\d{1,3}(?:\.\d{1,3}){3}\b/g],
  ['domain', /\b[a-z0-9-]+(?:\.[a-z0-9-]+)*\.(?:example|net|com)\b/g],
];
const ownNames = ['shop.example.com'];              // our own shop: not an IOC
const isPrivate = v => /^(10|127)\.|^192\.168\./.test(v);

let rest = refang(report);
for (const [type, re] of finders) {
  for (const value of rest.match(re) || []) {
    const drop = ownNames.includes(value) || (type === 'ipv4' && isPrivate(value));
    const shown = type === 'sha256' ? value.slice(0, 12) + '...' : defang(value);
    console.log(type.padEnd(7), (drop ? 'DROP' : 'KEEP'), shown);
    if (refang(defang(value)) !== value) console.log('round trip failed');
  }
  rest = rest.replace(re, ' ');                     // avoid double counting
}

url     KEEP hxxps://pay-verify[.]example[.]net/login
sha256  KEEP 3b0389aa4907...
email   KEEP support[@]shop-help[.]example
ipv4    KEEP 203[.]0[.]113[.]45
ipv4    KEEP 198[.]51[.]100[.]7
ipv4    DROP 10[.]0[.]0[.]5
domain  DROP shop[.]example[.]com

৪ · Indicator-এর আয়ু — চিহ্নও পচে

বাজারের মাছের মতো indicator-এরও মেয়াদ আছে। আজ যে IP ক্ষতিকর, এক মাস পরে সেটি হয়তো কোনো সাধারণ দোকানের সার্ভার। আক্রমণকারী ভাড়া ছেড়ে দিয়েছেন, ঠিকানাটি নতুন ভাড়াটের হাতে। একটি shared hosting IP-তে শত শত নির্দোষ সাইট থাকতে পারে। মেয়াদ না রাখলে পুরোনো তালিকা আপনারই গ্রাহককে আটকাবে। এই ক্ষয়ের নাম indicator decay.

ধরনভেদে ক্ষয়ের গতি আলাদা। IP সবচেয়ে দ্রুত যায়। Domain একটু বেশি টেকে, তবে তা-ও বিক্রি বা জব্দ হতে পারে। Hash কখনো “মিথ্যা” হয় না, কারণ একটি ফাইলের hash সবসময় একই। তবু সেটি আর কাজে আসে না, যখন আক্রমণকারী নতুন build বের করেন। সত্য থাকা আর কাজের থাকা এক কথা নয়।

একটি সহজ হিসাব

একটি প্রচলিত ধারণা হলো confidence-কে সময়ের সাথে কমানো। সবচেয়ে সরল মডেলটি তেজস্ক্রিয় ক্ষয়ের মতো:

উদাহরণ: একটি IP-র C0 = ৮০, H = ১৪ দিন (ধরে নেওয়া)। ১৪ দিনে ৪০, ২৮ দিনে ২০। Alert-এর সীমা ৩০ হলে কবে বাদ দেবেন? ৮০ × 0.5^(t/14) = ৩০ থেকে t = ১৪ × log₂(৮০/৩০) = ১৪ × ১.৪১৫ ≈ ১৯.৮ দিন। অর্থাৎ ২০তম দিনে এটি alert থেকে সরবে। এই half-life সংখ্যাগুলো প্রকৃতির নিয়ম নয়, আপনার নীতি। নিজের log দেখে ঠিক করুন। MISP-এও একটি decay মডেল আছে, যেখানে সূত্র আর প্রকারভেদ নিজের মতো ঠিক করা যায়।

// Toy decay model. Half-lives and thresholds are assumed policy, not facts.
const kinds = [
  { name: 'ipv4',   start: 80, half: 14 },
  { name: 'domain', start: 80, half: 45 },
  { name: 'sha256', start: 90, half: 180 },
];
const BLOCK = 60, ALERT = 30;
const ages = [0, 7, 14, 30, 60, 90];              // simulated ages in days

const conf = (k, age) => k.start * Math.pow(0.5, age / k.half);
const action = c => c >= BLOCK ? 'block' : c >= ALERT ? 'alert' : 'retire';

console.log('kind    ' + ages.map(a => ('d' + a).padStart(11)).join(''));
for (const k of kinds) {
  const cells = ages.map(a => {
    const c = conf(k, a);
    return (c.toFixed(0) + ' ' + action(c)).padStart(11);
  });
  console.log(k.name.padEnd(8) + cells.join(''));
}
for (const k of kinds) {
  const retireDay = k.half * Math.log2(k.start / ALERT);
  console.log(k.name, 'drops below', ALERT, 'after', retireDay.toFixed(1), 'days');
}

kind             d0         d7        d14        d30        d60        d90
ipv4       80 block   57 alert   40 alert  18 retire   4 retire   1 retire
domain     80 block   72 block   64 block   50 alert   32 alert  20 retire
sha256     90 block   88 block   85 block   80 block   71 block   64 block
ipv4 drops below 30 after 19.8 days
domain drops below 30 after 63.7 days
sha256 drops below 30 after 285.3 days

মেলানো — মেয়াদসহ

এবার তালিকাটি log-এর সাথে মেলাই। Log পর্ব ৫৫-এর বিষয়, আর SIEM-এ এই মেলানোর নিয়ম পর্ব ৫৬-এ। ঘড়ি বানানো, তাই ফল সবসময় একই। Feed-এর মান defanged অবস্থায় এসেছে। প্রথমে দেখুন সরাসরি মেলালে কী হয়, তারপর refang করে।

// Toy matcher on in-memory lines. Clock is simulated; values are fictional.
const today = '2026-10-20';
const feed = [
  { ioc: '203[.]0[.]113[.]45',          conf: 80, until: '2026-10-27' },
  { ioc: '198[.]51[.]100[.]7',          conf: 70, until: '2026-10-02' },
  { ioc: 'pay-verify[.]example[.]net',  conf: 75, until: '2026-12-15' },
  { ioc: 'cdn-stat[.]example[.]org',    conf: 25, until: '2026-11-30' },
];
const logs = [
  '08:12 src=203.0.113.45 host=shop.example.com',
  '08:40 src=192.0.2.10 host=shop.example.com',
  '09:05 src=198.51.100.7 host=shop.example.com',
  '10:31 src=192.0.2.21 dns=pay-verify.example.net',
  '11:02 src=192.0.2.22 dns=cdn-stat.example.org',
  '11:30 src=192.0.2.23 dns=news.example.com',
];
const refang = s => s.replace(/\[\.\]/g, '.');
const tokens = line => line.split(/[ =]/);       // exact token, never substring

const naive = logs.filter(l => feed.some(f => tokens(l).includes(f.ioc)));
console.log('defanged compare:', naive.length, 'hits');

const live = new Map(feed.map(f => [refang(f.ioc), f]));
for (const line of logs) {
  const hit = tokens(line).find(t => live.has(t));
  if (!hit) continue;
  const f = live.get(hit);
  const verdict = f.until < today ? 'EXPIRED: note only'
                : f.conf < 30    ? 'LOW CONF: context only'
                : 'INVESTIGATE';
  console.log(line.slice(0, 5), hit.padEnd(24), verdict);
}

defanged compare: 0 hits
08:12 203.0.113.45             INVESTIGATE
09:05 198.51.100.7             EXPIRED: note only
10:31 pay-verify.example.net   INVESTIGATE
11:02 cdn-stat.example.org     LOW CONF: context only

৫ · STIX আর TAXII — যন্ত্রের বোঝার ভাষা

দশটি দোকান PDF-এ চিহ্ন পাঠালে দশটি ছাঁচ, আর হাতে কপি করতে গিয়ে ভুল। দরকার একটি সাধারণ ভাষা। STIX (Structured Threat Information Expression) হলো তথ্যের ছাঁচ, আর TAXII (Trusted Automated Exchange of Intelligence Information) হলো তা আদান-প্রদানের পথ। ডাকঘরের উপমায় STIX হলো চিঠির নির্দিষ্ট ফর্ম, TAXII হলো ডাক ব্যবস্থা। দুটোরই 2.1 সংস্করণ OASIS Standard হয়েছে ২০২১ সালের ১০ জুন।

STIX Indicator-এ type, spec_version, id, created, modified-এর সাথে নিজের তিনটি বাধ্যতামূলক ঘর আছে: pattern, pattern_type, valid_from. আগের অংশের মেয়াদের ধারণাটি এখানে valid_until, যা ঐচ্ছিক এবং valid_from-এর চেয়ে পরের হতে হবে। confidence-ও ঐচ্ছিক, ০ থেকে ১০০-এর পূর্ণসংখ্যা। Pattern শুধু STIX ভাষায় নয়, Sigma, YARA, Snort-এর মতো ভাষাতেও হতে পারে; pattern_type সেটি বলে দেয়।

নিচের কোডটি সরলীকৃত, শেখার জন্য। শুধু json দিয়ে একটি Indicator বানায়, id আর সময় স্থির। মানুষের জন্য লেখা ঘরে defanged রূপ, আর যন্ত্রের pattern-এ refanged রূপ। এখানে শুধু সংরক্ষিত example নাম আছে।

# Simplified STIX 2.1-like indicator, for learning. Fictional values only.
import json
from datetime import datetime

shared = "pay-verify[.]example[.]net"        # safe form for people
machine = shared.replace("[.]", ".")         # form a matcher needs

indicator = {
    "type": "indicator",
    "spec_version": "2.1",
    "id": "indicator--0b7e1c52-4f3a-4d1e-9a6b-2c8d7e5f1a90",
    "created": "2026-10-20T06:00:00.000Z",
    "modified": "2026-10-20T06:00:00.000Z",
    "name": "Fake payment page " + shared,
    "indicator_types": ["malicious-activity"],
    "pattern": f"[domain-name:value = '{machine}']",
    "pattern_type": "stix",
    "valid_from": "2026-10-20T00:00:00Z",
    "valid_until": "2026-12-15T00:00:00Z",
    "confidence": 70,
}
bundle = {"type": "bundle",
          "id": "bundle--6d2f9a14-8c3b-4e7a-b1d5-3f0e9c7a2b64",
          "objects": [indicator]}
print(json.dumps(bundle, indent=1))

need = ["type", "spec_version", "id", "created", "modified",
        "pattern", "pattern_type", "valid_from"]
start = datetime.fromisoformat(indicator["valid_from"])
end = datetime.fromisoformat(indicator["valid_until"])
print("missing:", [k for k in need if k not in indicator])
print("until after from:", end > start)
print("days valid:", (end - start).days)
print("confidence ok:", 0 <= indicator["confidence"] <= 100)

   "name": "Fake payment page pay-verify[.]example[.]net",
   "pattern": "[domain-name:value = 'pay-verify.example.net']",
   ...
missing: []
until after from: True
days valid: 56
confidence ok: True

৬ · MISP, community আর TLP 2.0 — কাকে বলবেন

একটি বাজারের দোকানিরা যদি নিজেদের মধ্যে বলেন “কাল এক প্রতারক জাল নোট দিয়েছে”, পরের দোকানটি বেঁচে যায়। Threat sharing-এর মূল কথা এটুকুই। আক্রমণকারী একবার ধরা পড়লে সবার কাছে সেটি খরচ হয়ে যাক।

MISP হলো মুক্ত সোর্স threat sharing platform, যার শুরু ২০১১ সালের দিকে। উদ্যোক্তা Christophe Vandeplas দেখেছিলেন, IOC শেয়ার হচ্ছে email আর PDF-এ, যা যন্ত্র পড়তে পারে না। এখন এর উন্নয়নে নেতৃত্ব দেয় লুক্সেমবার্গের CIRCL. MISP-এ event, attribute, correlation আছে, আর আছে warninglist, যা সাধারণ ভুল-চিহ্ন (যেমন জনপ্রিয় DNS সার্ভারের ঠিকানা) ধরিয়ে দেয়।

Community-র রূপ অনেক। ISAC (Information Sharing and Analysis Center) হলো একই খাতের প্রতিষ্ঠানের জোট, যেমন আর্থিক খাতের। আছে জাতীয় CIRT-এর নেটওয়ার্ক, আর পেশাজীবীদের বিশ্বাসভিত্তিক দল। ছোট দোকানের জন্য payment gateway-র গ্রাহক গ্রুপ বা স্থানীয় ব্যবসায়ী দলই শুরু হতে পারে। ভাগ করার আগে একটি নিয়ম মানতে হবে: গ্রাহকের ব্যক্তিগত তথ্য, ভেতরের ঠিকানা আর কর্মীর নাম বাদ দিন। আইনি দিকের জন্য পর্ব ৬ দেখুন।

TLP 2.0 — কতদূর যেতে পারে

Traffic Light Protocol বলে দেয় তথ্যটি কতদূর ছড়ানো যাবে। ঘরের গোপন কথায় যেমন বলা হয়, “এটি শুধু আপনার জন্য” বা “পরিবারের ভেতরে থাকুক”। FIRST-এর TLP 2.0 আগস্ট ২০২২ থেকে কার্যকর। এতে আগের TLP:WHITE হয়েছে TLP:CLEAR, আর যুক্ত হয়েছে TLP:AMBER+STRICT.

এবার একটি বাস্তবধর্মী শেয়ার ধাপে ধাপে দেখুন। “রঙিন হাট”-এর IT কর্মকর্তার কাছে একটি সতর্কবার্তা এসেছে।

৭ · উৎস বিচার — CERT advisory, vendor report, OSINT আর Admiralty code

চায়ের দোকানে কেউ বললেন, “কাল রাতে বড় ব্যাংকে হ্যাক হয়েছে।” আপনি প্রথমে জিজ্ঞেস করেন, “কে বলল? দেখেছে কে?” Intelligence-এর বিচারও এই দুটি প্রশ্নে।

CERT advisory

জাতীয় ও খাতভিত্তিক দলের advisory সাধারণত একটি ত্রুটি বা প্রচারণা, প্রভাবিত পণ্য আর করণীয় জানায়। উদাহরণ হিসেবে আছে CISA-র advisory আর KEV তালিকা, এবং অন্যান্য দেশের জাতীয় দল। বাংলাদেশের জাতীয় CIRT, BGD e-GOV CIRT-এর পরিচয় আর ঘটনা জানানোর পথ নিয়ে যাচাই করা নোট আছে পর্ব ৬-এ। যেকোনো advisory পড়ার সময় তিনটি জিনিস মিলিয়ে নিন: প্রকাশের তারিখ, আপনার পণ্য ও version, আর মূল vendor-এর নোটিশ।

Vendor report — সমালোচকের চোখে

Vendor-এর report থেকে অনেক কিছু শেখা যায়, কারণ তাঁদের চোখ অনেক দূর পর্যন্ত। তবু পড়ার সময় মনে রাখুন, লেখকের ব্যবসা আছে। নিচের প্রশ্নগুলো করুন:

• দৃশ্যমানতা: তিনি শুধু নিজের গ্রাহকদের দেখেন। “৮০% হামলা অমুক খাতে” মানে হতে পারে তাঁর গ্রাহক ওই খাতেই বেশি।
• প্রমাণ: ঘটনা (দেখা গেছে) আর মূল্যায়ন (মনে করা হচ্ছে) কি আলাদা করে লেখা? Confidence কি বলা আছে?
• ভয় বনাম সংখ্যা: “নজিরবিহীন” বলে শেষে কি নিজের পণ্যের বিজ্ঞাপন?
• প্রাসঙ্গিকতা: আপনার PIR-এর কোনটির উত্তর দেয়? কোনোটিরই না হলে, ফেলে দিন।
• নাম: Vendor-ভেদে একই দলের নাম আলাদা। নাম মিলিয়ে দুটিকে দুই দল ভাববেন না।

OSINT — রক্ষকের চোখে, আর সীমারেখা

OSINT মানে প্রকাশ্য উৎস থেকে তথ্য নেওয়া: advisory, প্রকাশিত report, public DNS, certificate transparency, নিজের প্রতিষ্ঠানের ফাঁস হওয়া তথ্য নিয়ে প্রকাশ্য নোটিশ। রক্ষক এটি দিয়ে প্রথমে দেখেন, বাইরে থেকে নিজের প্রতিষ্ঠানকে কেমন দেখায়।

Admiralty code — উৎস আর তথ্য আলাদা নম্বর

Admiralty code (NATO-র নথিতেও ব্যবহৃত, তাই “৬×৬ পদ্ধতি” নামেও পরিচিত) দুটি প্রশ্নকে আলাদা রাখে। অক্ষর বলে উৎস কতটা নির্ভরযোগ্য, সংখ্যা বলে এই তথ্যটি কতটা বিশ্বাসযোগ্য। সংস্করণভেদে শব্দ একটু বদলায়।

F আর 6 মানে “খারাপ” নয়, মানে “জানি না”। নতুন উৎস F দিয়েই শুরু করে। এবার একজন analyst একটি tip বিচার করছেন।

৮ · Attribution-এর সীমা আর মনের ফাঁদ

Attribution মানে হামলার জন্য নির্দিষ্ট দল বা রাষ্ট্রকে দায়ী করা। এটি পড়তে রোমাঞ্চকর, কিন্তু কঠিন আর ঝুঁকিপূর্ণ। Tool কেনা-চুরি হয়, কোড কপি হয়, IP ভাড়া নেওয়া যায়। ভাষা বা সময় অঞ্চলের চিহ্ন ইচ্ছা করে রাখা যায়, যাকে false flag বলে।

একটি দোকানের জন্য “কে” বেশিরভাগ সময় সবচেয়ে কম জরুরি। “কী করছে, আর আমরা ধরতে পারব কি”, এটিই কাজের। Attribution কাজে লাগে তখন, যখন তা থেকে পরের আচরণ অনুমান করা যায়, আর আইন-প্রয়োগ বা নীতির সিদ্ধান্ত থাকে। লিখলে confidence-সহ, এবং প্রমাণের ধরন জানিয়ে লিখুন।

লেখার সময় “দেখা গেছে” (fact) আর “আমরা মনে করি” (assessment) আলাদা রাখুন। Confidence লিখুন উচ্চ, মাঝারি বা নিম্ন, আর কেন তা এক লাইনে বলুন। মনে রাখবেন, confidence মানে প্রমাণের মান, ঘটনাটি কতটা বড় তা নয়।

৯ · Report থেকে detection আর hunt — আর মূল্য মাপা

একটি report পড়ে “জানলাম” বলাই যথেষ্ট নয়। প্রতিটি report-এর শেষে তিনটি প্রশ্ন: আমরা কি আক্রান্ত? ভবিষ্যতে ধরতে পারব? প্রতিরোধ বদলাতে হবে? নিচে একটি কাল্পনিক advisory কাজে রূপ নিচ্ছে।

নিচের rule শুধু উদাহরণ, এটি চালানো হয়নি। এটি Sigma-র ধরনে লেখা, আর log-এর নাম কাল্পনিক। এখানে tuning-এর পরের রূপটি আছে। Sigma নিয়ে বিস্তারিত পর্ব ৫৬-এ।

title: Customer export after the session IP changed
id: 4f1c6c1e-9d2a-4b7e-8a31-6e0d2c7b9f15
status: experimental
description: Fictional example. Export from an IP that differs from the login IP.
logsource:
    product: rangin-hat-shop
    service: admin_audit
detection:
    selection:
        action: customer_export
        session_ip_changed: true
    condition: selection
falsepositives:
    - Staff whose connection changes in the middle of a session
level: high

মূল্য মাপা — feed-এর হিসাব

“আমরা মাসে ১০ লাখ indicator পাই” গর্বের কথা নয়। সেটি শুধু খরচ। ধরা যাক দুটি feed, এক মাসের হিসাব (সংখ্যাগুলো ধরে নেওয়া), প্রতিটি ভুল মিল যাচাইয়ে ১০ মিনিট:

ছোট feed বেশি সত্য ধরেছে, আর অনেক কম সময় খেয়েছে। Precision (পর্ব ২৩) এখানেই কাজে লাগে। সাথে দেখুন: কোন PIR-এর উত্তর মিলল, কোন সিদ্ধান্ত বদলাল, কতটি indicator অন্য কোথাও আগে পাওয়া যায়নি, আর detection-এর আগে কত সময় লাগল। এক লাইনে মূল্য: “এই তথ্য না থাকলে আমরা কী অন্যভাবে করতাম?”

১০ · AI-এর যুগে threat intelligence

AI লম্বা report সংক্ষেপ করে, IOC বের করে, আর অনুবাদে সাহায্য করে। এগুলো সত্যিই কাজে লাগে। কিন্তু এখানেই ঝুঁকিও বড়, কারণ তথ্য যাচাই আর গোপনীয়তাই এই কাজের মূল।

AI-এর ফল হাতে পেলে — চেকলিস্ট

• প্রতিটি IOC, CVE আর নাম মূল উৎসের সাথে মিলিয়েছি
• তারিখ, version আর আমার পরিবেশের সাথে মিল দেখেছি
• Fact আর assessment আলাদা, confidence-সহ লিখেছি
• TLP:AMBER, TLP:RED, গ্রাহকের তথ্য বা secret প্রম্পটে দিইনি
• IOC defanged আছে, block করার আগে allowlist মিলিয়েছি
• যে সিদ্ধান্ত মানুষের ওপর প্রভাব ফেলে, তা একজন মানুষ নিয়েছেন