রেড টিমিং হল আক্রমণের একটি জটিল সিমুলেশন। পদ্ধতি এবং সরঞ্জাম

সূত্র: একুনেটিক্স

রেড টিমিং হল সিস্টেমের সাইবার নিরাপত্তা মূল্যায়ন করার জন্য বাস্তব আক্রমণের একটি জটিল সিমুলেশন। "লাল দল" একটি দল পেন্টেস্টার (বিশেষজ্ঞরা সিস্টেমে একটি অনুপ্রবেশ পরীক্ষা করছেন)। তারা হয় বাইরে থেকে বা আপনার সংস্থার কর্মচারীদের থেকে নিয়োগ করা যেতে পারে, তবে সমস্ত ক্ষেত্রে তাদের ভূমিকা একই - অনুপ্রবেশকারীদের ক্রিয়াকলাপ অনুকরণ করা এবং আপনার সিস্টেমে প্রবেশ করার চেষ্টা করা।

সাইবার নিরাপত্তায় "রেড টিম" এর পাশাপাশি, আরও অনেকগুলি রয়েছে৷ সুতরাং, উদাহরণস্বরূপ, "নীল দল" (নীল দল) লালের সাথে একসাথে কাজ করে, তবে এর কার্যক্রমগুলি ভিতরে থেকে সিস্টেমের অবকাঠামোর সুরক্ষার উন্নতির লক্ষ্যে। পার্পল টিম হল সেই লিঙ্ক, অন্য দুটি দলকে আক্রমণের কৌশল এবং প্রতিরক্ষার বিকাশে সহায়তা করে। যাইহোক, রেডটাইমিং হল সাইবার সিকিউরিটি পরিচালনার ন্যূনতম বোধগম্য পদ্ধতিগুলির মধ্যে একটি, এবং অনেক সংস্থা এই অনুশীলনটি গ্রহণ করতে অনিচ্ছুক।
এই নিবন্ধে, আমরা রেড টিমিংয়ের ধারণার পিছনে কী রয়েছে তা বিস্তারিতভাবে ব্যাখ্যা করব এবং কীভাবে বাস্তব আক্রমণের জটিল সিমুলেশন অনুশীলনগুলি বাস্তবায়ন আপনার সংস্থার নিরাপত্তা উন্নত করতে সাহায্য করতে পারে। এই নিবন্ধটির উদ্দেশ্য হল এই পদ্ধতিটি কীভাবে উল্লেখযোগ্যভাবে আপনার তথ্য সিস্টেমের নিরাপত্তা বাড়াতে পারে তা দেখানো।

রেড টিমিং ওভারভিউ

যদিও আমাদের সময়ে, "লাল" এবং "নীল" দলগুলি প্রাথমিকভাবে তথ্য প্রযুক্তি এবং সাইবার নিরাপত্তার ক্ষেত্রের সাথে যুক্ত, এই ধারণাগুলি সামরিক দ্বারা তৈরি করা হয়েছিল। সাধারণভাবে, সেনাবাহিনীতে আমি এই ধারণাগুলি সম্পর্কে প্রথম শুনেছিলাম। 1980 এর দশকে সাইবার নিরাপত্তা বিশ্লেষক হিসাবে কাজ করা আজকের থেকে অনেক আলাদা ছিল: এনক্রিপ্ট করা কম্পিউটার সিস্টেমে অ্যাক্সেস আজকের তুলনায় অনেক বেশি সীমাবদ্ধ ছিল।

অন্যথায়, আমার যুদ্ধ গেমের প্রথম অভিজ্ঞতা—সিমুলেশন, সিমুলেশন এবং মিথস্ক্রিয়া—আজকের জটিল অ্যাটাক সিমুলেশন প্রক্রিয়ার সাথে খুব মিল ছিল, যা সাইবার নিরাপত্তার পথ খুঁজে পেয়েছে। এখনকার মতো, সামরিক ব্যবস্থায় "শত্রু"কে অনুপযুক্ত অ্যাক্সেস দেওয়ার জন্য কর্মীদের বোঝানোর জন্য সামাজিক প্রকৌশল পদ্ধতির ব্যবহারের দিকে খুব মনোযোগ দেওয়া হয়েছিল। অতএব, যদিও আক্রমণের সিমুলেশনের প্রযুক্তিগত পদ্ধতিগুলি 80 এর দশক থেকে উল্লেখযোগ্যভাবে উন্নত হয়েছে, এটি লক্ষণীয় যে প্রতিপক্ষের পদ্ধতির অনেকগুলি প্রধান হাতিয়ার এবং বিশেষ করে সামাজিক প্রকৌশল কৌশলগুলি মূলত প্ল্যাটফর্ম স্বাধীন।

বাস্তব আক্রমণের জটিল অনুকরণের মূল মানও 80 এর দশক থেকে পরিবর্তিত হয়নি। আপনার সিস্টেমে আক্রমণ অনুকরণ করে, আপনার পক্ষে দুর্বলতাগুলি আবিষ্কার করা এবং কীভাবে সেগুলিকে কাজে লাগানো যায় তা বোঝা সহজ। এবং যখন রেডটিমিং প্রাথমিকভাবে হোয়াইট হ্যাট হ্যাকার এবং সাইবারসিকিউরিটি পেশাদারদের দ্বারা অনুপ্রবেশ পরীক্ষার মাধ্যমে দুর্বলতার সন্ধানে ব্যবহৃত হত, এটি এখন সাইবার নিরাপত্তা এবং ব্যবসায় আরও ব্যাপকভাবে ব্যবহৃত হয়েছে।

রেডটাইমিংয়ের চাবিকাঠি হল এটি বোঝা যে আপনার সিস্টেমগুলি আক্রমণ না করা পর্যন্ত আপনি তাদের নিরাপত্তার ধারনা পেতে পারবেন না। এবং নিজেকে প্রকৃত আক্রমণকারীদের দ্বারা আক্রান্ত হওয়ার ঝুঁকিতে ফেলার পরিবর্তে, একটি রেড কমান্ড দিয়ে এই জাতীয় আক্রমণকে অনুকরণ করা অনেক বেশি নিরাপদ।

রেড টিমিং: কেস ব্যবহার করুন

রেডটাইমিংয়ের মূল বিষয়গুলি বোঝার একটি সহজ উপায় হল কয়েকটি উদাহরণ দেখা। এখানে তাদের দুটি:

• দৃশ্যপট 1. কল্পনা করুন যে একটি গ্রাহক পরিষেবা সাইট পেনটেস্ট করা হয়েছে এবং সফলভাবে পরীক্ষা করা হয়েছে। দেখে মনে হবে এটি পরামর্শ দেয় যে সবকিছু ঠিক আছে। যাইহোক, পরে, একটি জটিল মক আক্রমণে, রেড টিম আবিষ্কার করে যে গ্রাহক পরিষেবা অ্যাপটি নিজেই ঠিক থাকলেও, তৃতীয় পক্ষের চ্যাট বৈশিষ্ট্যটি সঠিকভাবে লোকেদের সনাক্ত করতে পারে না এবং এটি গ্রাহক পরিষেবা প্রতিনিধিদের তাদের ইমেল ঠিকানা পরিবর্তন করার জন্য প্রতারণা করা সম্ভব করে। অ্যাকাউন্টে (যার ফলস্বরূপ একজন নতুন ব্যক্তি, একজন আক্রমণকারী, অ্যাক্সেস পেতে পারে)।
• দৃশ্যপট 2. পেন্টেস্টিংয়ের ফলে, সমস্ত ভিপিএন এবং রিমোট অ্যাক্সেস কন্ট্রোল সুরক্ষিত পাওয়া গেছে। যাইহোক, তারপরে "লাল দল" এর প্রতিনিধি অবাধে রেজিস্ট্রেশন ডেস্কের পাশ দিয়ে যায় এবং একজন কর্মচারীর ল্যাপটপ বের করে।

উপরোক্ত উভয় ক্ষেত্রেই, "লাল দল" শুধুমাত্র প্রতিটি পৃথক সিস্টেমের নির্ভরযোগ্যতাই নয়, দুর্বলতাগুলির জন্য সম্পূর্ণ সিস্টেমকেও পরীক্ষা করে।

কার জটিল আক্রমণ সিমুলেশন প্রয়োজন?

সংক্ষেপে, প্রায় যেকোনো কোম্পানিই রেডটাইমিং থেকে উপকৃত হতে পারে। হিসাবে দেখানো হয়েছে আমাদের 2019 গ্লোবাল ডেটা রিস্ক রিপোর্টে।, একটি ভীতিজনকভাবে বড় সংখ্যক সংস্থা মিথ্যা বিশ্বাসের অধীনে রয়েছে যে তাদের ডেটার উপর তাদের সম্পূর্ণ নিয়ন্ত্রণ রয়েছে। উদাহরণস্বরূপ, আমরা খুঁজে পেয়েছি যে একটি কোম্পানির ফোল্ডারের গড়ে 22% প্রতিটি কর্মচারীর কাছে উপলব্ধ, এবং 87% কোম্পানির তাদের সিস্টেমে 1000টিরও বেশি পুরানো সংবেদনশীল ফাইল রয়েছে৷

যদি আপনার কোম্পানি টেক ইন্ডাস্ট্রিতে না থাকে, তাহলে রেডটাইমিং আপনাকে অনেক ভালো করবে বলে মনে হতে পারে না। কিন্তু এটা না. সাইবার সিকিউরিটি শুধুমাত্র গোপন তথ্য রক্ষা করার জন্য নয়।

কোম্পানির কার্যকলাপের ক্ষেত্র নির্বিশেষে অপরাধীরা সমানভাবে প্রযুক্তিগুলিকে ধরে রাখার চেষ্টা করে। উদাহরণস্বরূপ, তারা বিশ্বের অন্য কোথাও অন্য সিস্টেম বা নেটওয়ার্ক দখল করার জন্য তাদের ক্রিয়া লুকানোর জন্য আপনার নেটওয়ার্কে অ্যাক্সেস পেতে চাইতে পারে। এই ধরনের আক্রমণের সাথে, আক্রমণকারীদের আপনার ডেটার প্রয়োজন হয় না। তারা আপনার কম্পিউটারকে ম্যালওয়্যার দ্বারা সংক্রমিত করতে চায় যাতে আপনার সিস্টেমকে তাদের সাহায্যে বটনেটের একটি গ্রুপে পরিণত করতে পারে।

ছোট কোম্পানির জন্য, রিডিম করার জন্য রিসোর্স খুঁজে পাওয়া কঠিন হতে পারে। এই ক্ষেত্রে, এই প্রক্রিয়াটি একটি বহিরাগত ঠিকাদারকে অর্পণ করা অর্থপূর্ণ।

রেড টিমিং: সুপারিশ

রেডটাইমিংয়ের জন্য সর্বোত্তম সময় এবং ফ্রিকোয়েন্সি নির্ভর করে আপনি যে সেক্টরে কাজ করেন এবং আপনার সাইবার সিকিউরিটি টুলের পরিপক্কতার উপর।

বিশেষ করে, আপনার স্বয়ংক্রিয় ক্রিয়াকলাপ থাকা উচিত যেমন সম্পদ অনুসন্ধান এবং দুর্বলতা বিশ্লেষণ। নিয়মিতভাবে সম্পূর্ণ অনুপ্রবেশ পরীক্ষা পরিচালনা করার মাধ্যমে আপনার সংস্থাকে মানব তদারকির সাথে স্বয়ংক্রিয় প্রযুক্তির সমন্বয় করা উচিত।
অনুপ্রবেশ পরীক্ষার বেশ কয়েকটি ব্যবসায়িক চক্র সম্পূর্ণ করার পরে এবং দুর্বলতাগুলি খুঁজে বের করার পরে, আপনি একটি বাস্তব আক্রমণের একটি জটিল সিমুলেশনে এগিয়ে যেতে পারেন। এই পর্যায়ে, রেডটাইমিং আপনাকে বাস্তব সুবিধা নিয়ে আসবে। যাইহোক, সাইবার সিকিউরিটির মূল বিষয়গুলি আপনার জায়গায় থাকার আগে এটি করার চেষ্টা করা বাস্তব ফলাফল আনবে না।

একটি হোয়াইট হ্যাট টিম সম্ভবত একটি অপ্রস্তুত সিস্টেমের সাথে এত দ্রুত এবং সহজে আপস করতে সক্ষম হবে যে আপনি পরবর্তী পদক্ষেপ নেওয়ার জন্য খুব কম তথ্য পাবেন। একটি বাস্তব প্রভাব পেতে, "লাল দল" দ্বারা প্রাপ্ত তথ্য পূর্ববর্তী অনুপ্রবেশ পরীক্ষা এবং দুর্বলতা মূল্যায়নের সাথে তুলনা করা আবশ্যক।

অনুপ্রবেশ পরীক্ষা কি?

একটি বাস্তব আক্রমণের জটিল অনুকরণ (রেড টিমিং) প্রায়শই বিভ্রান্ত হয় অনুপ্রবেশ পরীক্ষা (পেন্টেস্ট), কিন্তু দুটি পদ্ধতি সামান্য ভিন্ন। আরও স্পষ্টভাবে, অনুপ্রবেশ পরীক্ষা রেডটাইমিং পদ্ধতিগুলির মধ্যে একটি মাত্র।

একটি Pentester ভূমিকা ভালভাবে সংজ্ঞায়িত. পেন্টেস্টারদের কাজ চারটি প্রধান পর্যায়ে বিভক্ত: পরিকল্পনা, তথ্য আবিষ্কার, আক্রমণ এবং রিপোর্টিং। আপনি দেখতে পাচ্ছেন, পেন্টেস্টরা কেবল সফ্টওয়্যার দুর্বলতাগুলি সন্ধান করার চেয়ে আরও বেশি কিছু করে। তারা নিজেদেরকে হ্যাকারদের জুতা দেওয়ার চেষ্টা করে এবং একবার তারা আপনার সিস্টেমে প্রবেশ করলে তাদের আসল কাজ শুরু হয়।

তারা দুর্বলতাগুলি আবিষ্কার করে এবং তারপরে প্রাপ্ত তথ্যের উপর ভিত্তি করে নতুন আক্রমণ চালায়, ফোল্ডার স্তরক্রমের মধ্য দিয়ে চলে। এটিই পোর্ট স্ক্যানিং সফ্টওয়্যার বা ভাইরাস সনাক্তকরণ ব্যবহার করে দুর্বলতা খুঁজে বের করার জন্য নিয়োগপ্রাপ্তদের থেকে অনুপ্রবেশ পরীক্ষকদের আলাদা করে। একজন অভিজ্ঞ পেন্টেস্টার নির্ধারণ করতে পারেন:

• যেখানে হ্যাকাররা তাদের আক্রমণ পরিচালনা করতে পারে;
• হ্যাকাররা যেভাবে আক্রমণ করবে;
• আপনার প্রতিরক্ষা কিভাবে আচরণ করবে?
• লঙ্ঘনের সম্ভাব্য মাত্রা।

অনুপ্রবেশ পরীক্ষার লক্ষ্য হল অ্যাপ্লিকেশন এবং নেটওয়ার্ক স্তরে দুর্বলতাগুলি চিহ্নিত করার পাশাপাশি শারীরিক নিরাপত্তা বাধাগুলি অতিক্রম করার সুযোগগুলি। যদিও স্বয়ংক্রিয় পরীক্ষা কিছু সাইবার নিরাপত্তা সমস্যা প্রকাশ করতে পারে, ম্যানুয়াল পেনিট্রেশন টেস্টিং আক্রমণের জন্য ব্যবসার দুর্বলতাও বিবেচনা করে।

রেড টিমিং বনাম অনুপ্রবেশ পরীক্ষা

নিঃসন্দেহে, অনুপ্রবেশ পরীক্ষা গুরুত্বপূর্ণ, তবে এটি রেডটাইমিং কার্যক্রমের সম্পূর্ণ সিরিজের একটি অংশ মাত্র। "রেড টিম" এর ক্রিয়াকলাপগুলির পেন্টেস্টারদের তুলনায় অনেক বিস্তৃত লক্ষ্য রয়েছে, যারা প্রায়শই কেবল নেটওয়ার্কে অ্যাক্সেস পেতে চায়। রেডটিমিং-এ প্রায়শই আরও বেশি লোক, সংস্থান এবং সময় জড়িত থাকে কারণ রেড টিম প্রযুক্তি এবং সংস্থার মানব ও শারীরিক সম্পদের ঝুঁকি এবং দুর্বলতার প্রকৃত স্তর সম্পূর্ণরূপে বোঝার জন্য গভীরভাবে খনন করে।

উপরন্তু, অন্যান্য পার্থক্য আছে. রেডটাইমিং সাধারণত আরও পরিপক্ক এবং উন্নত সাইবার নিরাপত্তা ব্যবস্থা সহ সংস্থাগুলি ব্যবহার করে (যদিও এটি সর্বদা অনুশীলনে হয় না)।

এইগুলি সাধারণত এমন সংস্থাগুলি যা ইতিমধ্যেই অনুপ্রবেশ পরীক্ষা করেছে এবং বেশিরভাগ দুর্বলতাগুলিকে স্থির করেছে এবং এখন এমন কাউকে খুঁজছে যে সংবেদনশীল তথ্য অ্যাক্সেস করার জন্য আবার চেষ্টা করতে পারে বা যে কোনও উপায়ে সুরক্ষা ভঙ্গ করতে পারে৷
এই কারণেই রেডটাইমিং একটি নির্দিষ্ট লক্ষ্যের উপর দৃষ্টি নিবদ্ধ করা নিরাপত্তা বিশেষজ্ঞদের একটি দলের উপর নির্ভর করে। তারা অভ্যন্তরীণ দুর্বলতাগুলিকে লক্ষ্য করে এবং সংস্থার কর্মীদের উপর ইলেকট্রনিক এবং শারীরিক উভয় সামাজিক প্রকৌশল কৌশল ব্যবহার করে। পেন্টেস্টারের বিপরীতে, লাল দলগুলি তাদের আক্রমণের সময় তাদের সময় নেয়, প্রকৃত সাইবার অপরাধীর মতো সনাক্তকরণ এড়াতে চায়।

রেড টিমিংয়ের সুবিধা

বাস্তব আক্রমণের জটিল সিমুলেশনের অনেক সুবিধা রয়েছে, তবে সবচেয়ে গুরুত্বপূর্ণভাবে, এই পদ্ধতিটি আপনাকে একটি প্রতিষ্ঠানের সাইবার নিরাপত্তার স্তরের একটি বিস্তৃত চিত্র পেতে দেয়। একটি সাধারণ এন্ড-টু-এন্ড সিমুলেটেড আক্রমণ প্রক্রিয়ার মধ্যে থাকবে অনুপ্রবেশ পরীক্ষা (নেটওয়ার্ক, অ্যাপ্লিকেশন, মোবাইল ফোন এবং অন্যান্য ডিভাইস), সোশ্যাল ইঞ্জিনিয়ারিং (লাইভ অন-সাইট, ফোন কল, ইমেল, বা টেক্সট মেসেজ এবং চ্যাট), এবং শারীরিক অনুপ্রবেশ (তালা ভাঙ্গা, নিরাপত্তা ক্যামেরার মৃত অঞ্চল সনাক্ত করা, সতর্কীকরণ সিস্টেমকে বাইপাস করা)। যদি আপনার সিস্টেমের এই দিকগুলির মধ্যে কোনও দুর্বলতা থাকে তবে সেগুলি খুঁজে পাওয়া যাবে৷

একবার দুর্বলতা পাওয়া গেলে, সেগুলি ঠিক করা যেতে পারে। একটি কার্যকর আক্রমণ সিমুলেশন পদ্ধতি দুর্বলতা আবিষ্কারের সাথে শেষ হয় না। একবার নিরাপত্তা ত্রুটিগুলি পরিষ্কারভাবে চিহ্নিত হয়ে গেলে, আপনি সেগুলি ঠিক করতে এবং সেগুলি পুনরায় পরীক্ষা করার জন্য কাজ করতে চাইবেন৷ প্রকৃতপক্ষে, আসল কাজটি সাধারণত লাল দলের অনুপ্রবেশের পরে শুরু হয়, যখন আপনি ফরেনসিক আক্রমণটি বিশ্লেষণ করেন এবং পাওয়া দুর্বলতাগুলি প্রশমিত করার চেষ্টা করেন।

এই দুটি প্রধান সুবিধা ছাড়াও, রেডটাইমিং আরও অনেকগুলি অফার করে৷ সুতরাং, "লাল দল" করতে পারে:

• মূল ব্যবসায়িক তথ্য সম্পদে আক্রমণের ঝুঁকি এবং দুর্বলতা চিহ্নিত করা;
• সীমিত এবং নিয়ন্ত্রিত ঝুঁকি সহ একটি পরিবেশে প্রকৃত আক্রমণকারীদের পদ্ধতি, কৌশল এবং পদ্ধতি অনুকরণ করা;
• জটিল, লক্ষ্যযুক্ত হুমকি সনাক্তকরণ, প্রতিক্রিয়া এবং প্রতিরোধ করার জন্য আপনার সংস্থার ক্ষমতা মূল্যায়ন করুন;
• নিরাপত্তা বিভাগ এবং নীল দলগুলির সাথে ঘনিষ্ঠ সহযোগিতাকে উল্লেখযোগ্য প্রশমন প্রদানের জন্য উত্সাহিত করুন এবং আবিষ্কৃত দুর্বলতাগুলি অনুসরণ করে ব্যাপক হ্যান্ডস-অন ওয়ার্কশপ পরিচালনা করুন৷

রেড টিমিং কিভাবে কাজ করে?

রেডটাইমিং কীভাবে কাজ করে তা বোঝার একটি দুর্দান্ত উপায় হল এটি সাধারণত কীভাবে কাজ করে তা দেখা। জটিল আক্রমণ সিমুলেশনের স্বাভাবিক প্রক্রিয়াটি বেশ কয়েকটি ধাপ নিয়ে গঠিত:

• সংগঠনটি আক্রমণের উদ্দেশ্য নিয়ে "লাল দল" (অভ্যন্তরীণ বা বাহ্যিক) এর সাথে একমত। উদাহরণস্বরূপ, এই ধরনের লক্ষ্য একটি নির্দিষ্ট সার্ভার থেকে সংবেদনশীল তথ্য পুনরুদ্ধার করা হতে পারে।
• তারপরে "লাল দল" লক্ষ্যের পুনরুদ্ধার করে। ফলাফল হল নেটওয়ার্ক পরিষেবা, ওয়েব অ্যাপ্লিকেশন এবং অভ্যন্তরীণ কর্মচারী পোর্টাল সহ টার্গেট সিস্টেমের একটি চিত্র। .
• এর পরে, লক্ষ্য সিস্টেমে দুর্বলতাগুলি অনুসন্ধান করা হয়, যা সাধারণত ফিশিং বা XSS আক্রমণ ব্যবহার করে প্রয়োগ করা হয়। .
• একবার অ্যাক্সেস টোকেন প্রাপ্ত হয়ে গেলে, রেড টিম সেগুলিকে আরও দুর্বলতা তদন্ত করতে ব্যবহার করে। .
• যখন অন্যান্য দুর্বলতাগুলি আবিষ্কৃত হয়, তখন "লাল দল" লক্ষ্য অর্জনের জন্য প্রয়োজনীয় স্তরে তাদের অ্যাক্সেসের স্তর বাড়ানোর চেষ্টা করবে। .
• টার্গেট ডেটা বা সম্পদে অ্যাক্সেস পাওয়ার পরে, আক্রমণের কাজটি সম্পন্ন বলে মনে করা হয়।

প্রকৃতপক্ষে, একজন অভিজ্ঞ রেড টিম বিশেষজ্ঞ এই প্রতিটি ধাপের মধ্য দিয়ে যাওয়ার জন্য বিপুল সংখ্যক বিভিন্ন পদ্ধতি ব্যবহার করবেন। যাইহোক, উপরের উদাহরণ থেকে মূল টেকঅ্যাওয়ে হল যে পৃথক সিস্টেমে ছোট দুর্বলতাগুলি একসাথে শৃঙ্খলিত হলে বিপর্যয়কর ব্যর্থতায় পরিণত হতে পারে।

"লাল দল" উল্লেখ করার সময় কি বিবেচনা করা উচিত?

রেডটাইমিংয়ের সবচেয়ে বেশি সুবিধা পেতে, আপনাকে সাবধানে প্রস্তুত করতে হবে। প্রতিটি সংস্থার দ্বারা ব্যবহৃত সিস্টেম এবং প্রক্রিয়াগুলি আলাদা, এবং আপনার সিস্টেমে দুর্বলতাগুলি খুঁজে বের করার লক্ষ্যে রেডটাইমিংয়ের মানের স্তরটি অর্জন করা হয়। এই কারণে, বেশ কয়েকটি কারণ বিবেচনা করা গুরুত্বপূর্ণ:

আপনি খুঁজছেন কি জানেন

প্রথমত, আপনি কোন সিস্টেম এবং প্রক্রিয়াগুলি পরীক্ষা করতে চান তা বোঝা গুরুত্বপূর্ণ। সম্ভবত আপনি জানেন যে আপনি একটি ওয়েব অ্যাপ্লিকেশন পরীক্ষা করতে চান, কিন্তু আপনি এটির প্রকৃত অর্থ কী এবং আপনার ওয়েব অ্যাপ্লিকেশনগুলির সাথে অন্যান্য সিস্টেমগুলি কী একত্রিত হয়েছে তা আপনি খুব ভালভাবে বুঝতে পারবেন না। অতএব, এটি গুরুত্বপূর্ণ যে আপনার নিজের সিস্টেমগুলি সম্পর্কে ভাল ধারণা থাকা এবং একটি বাস্তব আক্রমণের একটি জটিল সিমুলেশন শুরু করার আগে কোনও সুস্পষ্ট দুর্বলতাগুলি ঠিক করা।

আপনার নেটওয়ার্ক জানুন

এটি পূর্ববর্তী সুপারিশের সাথে সম্পর্কিত, তবে এটি আপনার নেটওয়ার্কের প্রযুক্তিগত বৈশিষ্ট্য সম্পর্কে আরও বেশি। আপনি আপনার পরীক্ষার পরিবেশ যত ভালভাবে পরিমাপ করতে পারবেন, আপনার লাল দল তত বেশি নির্ভুল এবং নির্দিষ্ট হবে।

আপনার বাজেট জানুন

রেডটাইমিং বিভিন্ন স্তরে সঞ্চালিত হতে পারে, তবে সামাজিক প্রকৌশল এবং শারীরিক অনুপ্রবেশ সহ আপনার নেটওয়ার্কে আক্রমণের সম্পূর্ণ পরিসরের অনুকরণ করা ব্যয়বহুল হতে পারে। এই কারণে, এই ধরনের চেকের জন্য আপনি কতটা ব্যয় করতে পারেন তা বোঝা গুরুত্বপূর্ণ এবং সেই অনুযায়ী, এর সুযোগের রূপরেখা তৈরি করুন।

আপনার ঝুঁকির মাত্রা জানুন

কিছু সংস্থা তাদের স্ট্যান্ডার্ড ব্যবসায়িক পদ্ধতির অংশ হিসাবে মোটামুটি উচ্চ স্তরের ঝুঁকি সহ্য করতে পারে। অন্যদের তাদের ঝুঁকির মাত্রা অনেক বেশি পরিমাণে সীমিত করতে হবে, বিশেষ করে যদি কোম্পানিটি একটি উচ্চ নিয়ন্ত্রিত শিল্পে কাজ করে। অতএব, রেডটাইমিং পরিচালনা করার সময়, আপনার ব্যবসার জন্য সত্যিই বিপদ ডেকে আনে এমন ঝুঁকিগুলির উপর ফোকাস করা গুরুত্বপূর্ণ।

রেড টিমিং: টুলস এবং কৌশল

সঠিকভাবে প্রয়োগ করা হলে, "লাল দল" হ্যাকারদের দ্বারা ব্যবহৃত সমস্ত সরঞ্জাম এবং পদ্ধতি ব্যবহার করে আপনার নেটওয়ার্কগুলিতে একটি পূর্ণ-স্কেল আক্রমণ চালাবে। অন্যান্য জিনিসের মধ্যে, এর মধ্যে রয়েছে:

• অ্যাপ্লিকেশন অনুপ্রবেশ পরীক্ষা - অ্যাপ্লিকেশন স্তরে দুর্বলতাগুলি চিহ্নিত করার লক্ষ্য, যেমন ক্রস-সাইট অনুরোধ জালিয়াতি, ডেটা এন্ট্রি ত্রুটি, দুর্বল সেশন পরিচালনা এবং আরও অনেক কিছু।
• নেটওয়ার্ক অনুপ্রবেশ পরীক্ষা - ভুল কনফিগারেশন, ওয়্যারলেস নেটওয়ার্ক দুর্বলতা, অননুমোদিত পরিষেবা এবং আরও অনেক কিছু সহ নেটওয়ার্ক এবং সিস্টেম স্তরে দুর্বলতা চিহ্নিত করা।
• শারীরিক অনুপ্রবেশ পরীক্ষা — কার্যকারিতা পরীক্ষা করা, সেইসাথে বাস্তব জীবনে শারীরিক নিরাপত্তা নিয়ন্ত্রণের শক্তি এবং দুর্বলতা।
• সামাজিক প্রকৌশলী - ফিশিং ইমেল, ফোন কল এবং টেক্সট বার্তাগুলির পাশাপাশি ঘটনাস্থলে শারীরিক যোগাযোগের মাধ্যমে প্রতারণা, প্ররোচনা এবং ম্যানিপুলেশনের প্রতি মানুষের সংবেদনশীলতা পরীক্ষা করা, মানুষের এবং মানব প্রকৃতির দুর্বলতাগুলিকে কাজে লাগানোর লক্ষ্য।

উপরের সবগুলোই রেডটাইমিং উপাদান। এটি একটি সম্পূর্ণ-প্রস্ফুটিত, স্তরযুক্ত আক্রমণ সিমুলেশন যা নির্ধারণ করার জন্য ডিজাইন করা হয়েছে যে আপনার লোকেরা, নেটওয়ার্ক, অ্যাপ্লিকেশন এবং শারীরিক সুরক্ষা নিয়ন্ত্রণগুলি একজন প্রকৃত আক্রমণকারীর আক্রমণকে কতটা ভালভাবে প্রতিরোধ করতে পারে।

রেড টিমিং পদ্ধতির ক্রমাগত বিকাশ

বাস্তব আক্রমণের জটিল সিমুলেশনের প্রকৃতি, যেখানে লাল দলগুলি নতুন নিরাপত্তা দুর্বলতাগুলি খুঁজে বের করার চেষ্টা করে এবং নীল দলগুলি সেগুলি ঠিক করার চেষ্টা করে, এই ধরনের চেকের জন্য পদ্ধতিগুলির ক্রমাগত বিকাশের দিকে নিয়ে যায়। এই কারণে, আধুনিক রেডটাইমিং কৌশলগুলির একটি আপ-টু-ডেট তালিকা সংকলন করা কঠিন, কারণ সেগুলি দ্রুত অপ্রচলিত হয়ে যায়।

তাই, রেড টিম সম্প্রদায়ের দ্বারা প্রদত্ত অনেক সংস্থান ব্যবহার করে, বেশিরভাগ রেডটিমরা তাদের সময়ের অন্তত একটি অংশ নতুন দুর্বলতা সম্পর্কে শিখতে এবং তাদের শোষণ করতে ব্যয় করবে। এখানে এই সম্প্রদায়গুলির মধ্যে সবচেয়ে জনপ্রিয়:

• Pentester একাডেমি এটি একটি সাবস্ক্রিপশন পরিষেবা যা অনলাইন ভিডিও কোর্সগুলি অফার করে যা প্রাথমিকভাবে অনুপ্রবেশ পরীক্ষার উপর দৃষ্টি নিবদ্ধ করে, সেইসাথে অপারেটিং সিস্টেম ফরেনসিক, সোশ্যাল ইঞ্জিনিয়ারিং কাজ এবং তথ্য সুরক্ষা সমাবেশ ভাষার কোর্সগুলি।
• ভিনসেন্ট ইয়ু একজন "আক্রমণাত্মক সাইবারসিকিউরিটি অপারেটর" যিনি নিয়মিতভাবে বাস্তব আক্রমণের জটিল সিমুলেশনের পদ্ধতি সম্পর্কে ব্লগ করেন এবং নতুন পদ্ধতির একটি ভাল উৎস৷
• আপনি যদি আপ-টু-ডেট রেডটাইমিং তথ্য খুঁজছেন তাহলে টুইটারও একটি ভালো উৎস। আপনি হ্যাশট্যাগ দিয়ে এটি খুঁজে পেতে পারেন #লাল টিম и #লাল দল.
• ড্যানিয়েল মিসলার আরেকজন অভিজ্ঞ রেডটাইমিং বিশেষজ্ঞ যিনি একটি নিউজলেটার তৈরি করেন এবং পোডকাস্ট, বাড়ে ওয়েবসাইট এবং বর্তমান লাল দলের প্রবণতা সম্পর্কে অনেক কিছু লিখেছেন। তার সাম্প্রতিক নিবন্ধগুলির মধ্যে: "বেগুনি টিম পেন্টেস্ট মানে আপনার লাল এবং নীল দল ব্যর্থ হয়েছে" и "ভালনারেবিলিটি পুরষ্কার এবং কখন দুর্বলতা মূল্যায়ন, অনুপ্রবেশ পরীক্ষা, এবং ব্যাপক আক্রমণের সিমুলেশন ব্যবহার করতে হবে".
• দৈনিক সুইগ পোর্টসুইগার ওয়েব সিকিউরিটি দ্বারা স্পনসর করা একটি ওয়েব নিরাপত্তা নিউজলেটার। রেডটাইমিং - হ্যাক, ডেটা ফাঁস, শোষণ, ওয়েব অ্যাপ্লিকেশন দুর্বলতা এবং নতুন নিরাপত্তা প্রযুক্তির ক্ষেত্রে সাম্প্রতিক উন্নয়ন এবং খবর সম্পর্কে জানার জন্য এটি একটি ভাল সম্পদ।
• ফ্লোরিয়ান হ্যানসেম্যান একজন হোয়াইট হ্যাট হ্যাকার এবং পেনিট্রেশন টেস্টার যিনি নিয়মিত তার নতুন লাল দলের কৌশলগুলি কভার করেন ব্লগ পোস্ট.
• এমডব্লিউআর ল্যাবগুলি একটি ভাল, যদিও অত্যন্ত প্রযুক্তিগত, সংবাদের রেডটাইমিংয়ের উত্স৷ তারা লাল দলের জন্য দরকারী পোস্ট যন্ত্রএবং তাদের টুইটার ফিড নিরাপত্তা পরীক্ষকদের সম্মুখীন হওয়া সমস্যা সমাধানের জন্য টিপস রয়েছে।
• এমাদ শানব - আইনজীবী এবং "সাদা হ্যাকার"। তার টুইটার ফিডে "লাল দল" এর জন্য দরকারী কৌশল রয়েছে, যেমন SQL ইনজেকশন লেখা এবং OAuth টোকেন জাল করা।
• মিত্রের প্রতিপক্ষের কৌশল, কৌশল এবং সাধারণ জ্ঞান (ATT & CK) আক্রমণকারীর আচরণের একটি কিউরেটেড জ্ঞানের ভিত্তি। এটি আক্রমণকারীদের জীবনচক্রের পর্যায়গুলি এবং তারা যে প্ল্যাটফর্মগুলিকে লক্ষ্য করে তা ট্র্যাক করে৷
• হ্যাকার প্লেবুক হ্যাকারদের জন্য একটি নির্দেশিকা, যা বেশ পুরানো হলেও, অনেক মৌলিক কৌশলকে কভার করে যা এখনও বাস্তব আক্রমণের জটিল অনুকরণের কেন্দ্রবিন্দুতে রয়েছে। লেখক পিটার কিমও আছে টুইটার ফিড, যাতে সে হ্যাকিং টিপস এবং অন্যান্য তথ্য প্রদান করে।
• SANS ইনস্টিটিউট সাইবার নিরাপত্তা প্রশিক্ষণ সামগ্রীর আরেকটি প্রধান প্রদানকারী। তাদের টুইটার ফিডডিজিটাল ফরেনসিক এবং ঘটনার প্রতিক্রিয়ার উপর দৃষ্টি নিবদ্ধ করা, এতে SANS কোর্সের সর্বশেষ খবর এবং বিশেষজ্ঞ অনুশীলনকারীদের পরামর্শ রয়েছে।
• রেডটাইমিং সম্পর্কে সবচেয়ে মজার কিছু খবর প্রকাশিত হয় রেড টিম জার্নাল. এখানে প্রযুক্তি-কেন্দ্রিক নিবন্ধ রয়েছে যেমন রেড টিমিংকে অনুপ্রবেশ পরীক্ষার সাথে তুলনা করা, সেইসাথে রেড টিম স্পেশালিস্ট ম্যানিফেস্টোর মতো বিশ্লেষণমূলক নিবন্ধ রয়েছে।
• অবশেষে, অসাধারণ রেড টিমিং হল একটি গিটহাব সম্প্রদায় যা অফার করে খুব বিস্তারিত তালিকা রেড টিমিং নিবেদিত সম্পদ. এটি একটি রেড টিমের ক্রিয়াকলাপের কার্যত প্রতিটি প্রযুক্তিগত দিককে কভার করে, প্রাথমিক অ্যাক্সেস লাভ করা থেকে শুরু করে দূষিত ক্রিয়াকলাপ সম্পাদন করা, ডেটা সংগ্রহ এবং বের করা পর্যন্ত।

"নীল দল" - এটা কি?

বহু রঙের দলগুলির সাথে, আপনার সংস্থার কোন ধরনের প্রয়োজন তা নির্ধারণ করা কঠিন হতে পারে।

লাল দলের একটি বিকল্প, এবং আরও নির্দিষ্টভাবে আরেকটি ধরনের দল যা লাল দলের সাথে ব্যবহার করা যেতে পারে, তা হল নীল দল। ব্লু টিম নেটওয়ার্ক নিরাপত্তাও মূল্যায়ন করে এবং যেকোন সম্ভাব্য অবকাঠামোগত দুর্বলতা চিহ্নিত করে। যাইহোক, তার একটি ভিন্ন লক্ষ্য আছে। ঘটনার প্রতিক্রিয়া আরও কার্যকর করার জন্য প্রতিরক্ষা ব্যবস্থাগুলিকে রক্ষা, পরিবর্তন এবং পুনর্গঠন করার উপায় খুঁজে বের করার জন্য এই ধরণের দলগুলির প্রয়োজন।

লাল দলের মতো, নীল দলের অবশ্যই আক্রমণকারীর কৌশল, কৌশল এবং পদ্ধতির একই জ্ঞান থাকতে হবে যাতে তাদের উপর ভিত্তি করে প্রতিক্রিয়া কৌশল তৈরি করা যায়। যাইহোক, নীল দলের দায়িত্ব শুধুমাত্র আক্রমণ থেকে রক্ষা করার মধ্যে সীমাবদ্ধ নয়। এটি সমগ্র নিরাপত্তা অবকাঠামোকে শক্তিশালী করার সাথে জড়িত, উদাহরণস্বরূপ, একটি অনুপ্রবেশ সনাক্তকরণ সিস্টেম (IDS) ব্যবহার করে যা অস্বাভাবিক এবং সন্দেহজনক কার্যকলাপের ক্রমাগত বিশ্লেষণ প্রদান করে।

এখানে কিছু পদক্ষেপ রয়েছে যা "নীল দল" নেয়:

• নিরাপত্তা অডিট, বিশেষ করে DNS অডিট;
• লগ এবং মেমরি বিশ্লেষণ;
• নেটওয়ার্ক ডেটা প্যাকেট বিশ্লেষণ;
• ঝুঁকি তথ্য বিশ্লেষণ;
• ডিজিটাল পদচিহ্ন বিশ্লেষণ;
• বিপরীত প্রকৌশল;
• DDoS পরীক্ষা;
• ঝুঁকি বাস্তবায়ন পরিস্থিতিতে উন্নয়ন.

লাল এবং নীল দলের মধ্যে পার্থক্য

অনেক প্রতিষ্ঠানের জন্য একটি সাধারণ প্রশ্ন হল কোন দল তাদের ব্যবহার করা উচিত, লাল বা নীল। এই সমস্যাটি প্রায়শই "ব্যারিকেডের বিপরীত দিকে" কাজ করা লোকেদের মধ্যে বন্ধুত্বপূর্ণ শত্রুতার সাথে থাকে। বাস্তবে, কোন আদেশই অন্যটি ছাড়া অর্থবোধ করে না। তাই এই প্রশ্নের সঠিক উত্তর দুই দলই গুরুত্বপূর্ণ।

লাল দল আক্রমণ করছে এবং রক্ষা করার জন্য নীল দলের প্রস্তুতি পরীক্ষা করতে ব্যবহৃত হয়। কখনও কখনও লাল দল দুর্বলতাগুলি খুঁজে পেতে পারে যা নীল দল সম্পূর্ণরূপে উপেক্ষা করেছে, এই ক্ষেত্রে লাল দলকে অবশ্যই দেখাতে হবে যে কীভাবে সেই দুর্বলতাগুলি ঠিক করা যেতে পারে।

তথ্য নিরাপত্তা জোরদার করতে সাইবার অপরাধীদের বিরুদ্ধে একসাথে কাজ করা উভয় দলের জন্য অত্যাবশ্যক।

এই কারণে, শুধুমাত্র একটি পক্ষ বেছে নেওয়া বা শুধুমাত্র এক ধরনের দলে বিনিয়োগ করার কোন মানে হয় না। এটি মনে রাখা গুরুত্বপূর্ণ যে উভয় পক্ষের লক্ষ্য সাইবার অপরাধ প্রতিরোধ করা।
অন্য কথায়, কোম্পানিগুলিকে একটি বিস্তৃত নিরীক্ষা প্রদানের জন্য উভয় দলের পারস্পরিক সহযোগিতা স্থাপন করতে হবে - সমস্ত আক্রমণের লগ এবং সম্পাদিত চেক, সনাক্ত করা বৈশিষ্ট্যগুলির রেকর্ড সহ।

"লাল দল" সিমুলেটেড আক্রমণের সময় তাদের সম্পাদিত ক্রিয়াকলাপ সম্পর্কে তথ্য সরবরাহ করে, যখন নীল দল তাদের শূন্যস্থান পূরণ করতে এবং প্রাপ্ত দুর্বলতাগুলি ঠিক করার জন্য যে পদক্ষেপগুলি নিয়েছিল সে সম্পর্কে তথ্য সরবরাহ করে।

দুই দলেরই গুরুত্ব খাটো করা যায় না। তাদের চলমান নিরাপত্তা অডিট, অনুপ্রবেশ পরীক্ষা, এবং অবকাঠামোগত উন্নতি ছাড়া, কোম্পানিগুলি তাদের নিজস্ব নিরাপত্তার অবস্থা সম্পর্কে সচেতন হবে না। অন্তত যতক্ষণ না তথ্য ফাঁস হয় এবং এটি বেদনাদায়কভাবে পরিষ্কার হয়ে যায় যে নিরাপত্তা ব্যবস্থা যথেষ্ট ছিল না।

একটি বেগুনি দল কি?

"বেগুনি দল" লাল এবং নীল দলকে একত্রিত করার প্রচেষ্টা থেকে জন্মগ্রহণ করেছিল। বেগুনি দলটি একটি পৃথক ধরণের দলের চেয়ে একটি ধারণা বেশি। এটি লাল এবং নীল দলের সংমিশ্রণ হিসাবে সবচেয়ে ভাল দেখা হয়। তিনি উভয় দলকে নিযুক্ত করেন, তাদের একসাথে কাজ করতে সহায়তা করেন।

পার্পল টিম নিরাপত্তা দলগুলিকে দুর্বলতা শনাক্তকরণ, হুমকি আবিষ্কার এবং নেটওয়ার্ক মনিটরিং উন্নত করতে সাহায্য করতে পারে সাধারণ হুমকি পরিস্থিতির সঠিকভাবে মডেলিং করে এবং নতুন হুমকি সনাক্তকরণ এবং প্রতিরোধ পদ্ধতি তৈরি করতে সহায়তা করে।

কিছু সংস্থা এককালীন ফোকাসড ক্রিয়াকলাপের জন্য একটি বেগুনি টিম নিয়োগ করে যা সুরক্ষার উদ্দেশ্য, সময়রেখা এবং মূল ফলাফলগুলি স্পষ্টভাবে সংজ্ঞায়িত করে। এর মধ্যে রয়েছে আক্রমণ এবং প্রতিরক্ষার দুর্বলতাগুলি সনাক্ত করা, সেইসাথে ভবিষ্যতের প্রশিক্ষণ এবং প্রযুক্তির প্রয়োজনীয়তাগুলি চিহ্নিত করা।

একটি বিকল্প পদ্ধতি যা এখন গতি পাচ্ছে তা হল পার্পল টিমকে একটি স্বপ্নদর্শী মডেল হিসাবে দেখা যা একটি সাইবার নিরাপত্তা সংস্কৃতি তৈরি করতে এবং ক্রমাগত উন্নতি করতে সহায়তা করার জন্য সংগঠন জুড়ে কাজ করে।

উপসংহার

রেড টিমিং, বা জটিল আক্রমণ সিমুলেশন, একটি প্রতিষ্ঠানের নিরাপত্তা দুর্বলতা পরীক্ষা করার জন্য একটি শক্তিশালী কৌশল, কিন্তু যত্ন সহকারে ব্যবহার করা উচিত। বিশেষ করে, এটি ব্যবহার করার জন্য, আপনার যথেষ্ট থাকা দরকার তথ্য নিরাপত্তা রক্ষার উন্নত উপায়অন্যথায়, তিনি তার উপর রাখা আশাগুলিকে ন্যায্যতা দিতে পারেন না।
রেডটাইমিং আপনার সিস্টেমের দুর্বলতাগুলি প্রকাশ করতে পারে যা আপনি এমনকি জানেন না যে বিদ্যমান এবং সেগুলি ঠিক করতে সহায়তা করে৷ নীল এবং লাল দলগুলির মধ্যে একটি প্রতিকূল পন্থা গ্রহণ করে, আপনি অনুকরণ করতে পারেন যে একজন সত্যিকারের হ্যাকার যদি আপনার ডেটা চুরি করতে বা আপনার সম্পদের ক্ষতি করতে চায় তবে সে কী করবে।

উত্স: www.habr.com