নেটওয়ার্ক সুরক্ষায় Use Case: সংজ্ঞা, উদাহরণ ও নির্মাণ পদ্ধতি
Use Case (ব্যবহার কেস) নেটওয়ার্ক সুরক্ষায় একটি কাঠামোগত পদ্ধতি যা নির্দিষ্ট হুমকি, حمله বা নিরাপত্তা ঘটনা সনাক্ত করতে, বিশ্লেষণ করতে এবং প্রতিক্রিয়া জানাতে সাহায্য করে। এটি SIEM (Security Information and Event Management), SOAR, থ্রেট হান্টিং ও SOC অপারেশনের মূল ভিত্তি।
নেটওয়ার্ক সুরক্ষায় Use Case কী?
এটি হলো নির্দিষ্ট লজিক, নিয়ম ও ডেটা উৎসের সমন্বয় যা একটি নির্দিষ্ট সুরক্ষা ঘটনা (security event) সনাক্ত করার জন্য তৈরি করা হয়। উদাহরণস্বরূপ: "Brute Force SSH Login Attempts from Single IP within 5 Minutes"।
প্রচলিত নেটওয়ার্ক সুরক্ষা Use Case উদাহরণ
| Use Case নাম | বর্ণনা | ডেটা উৎস | MITRE ATT&CK টেকনিক |
|---|---|---|---|
| Brute Force Detection | সামান্য সময়ের চেয়ে বেশি ব্যর্থ লগইন প্রচেষ্টা | Firewall, VPN, SSH, Windows Security Logs | T1110 (Brute Force) |
| Impossible Travel | একই ব্যবহারকারী ভিন্ন ভৌগোলিক অবস্থান থেকে অল্প সময়ে লগইন | VPN, Cloud IdP (Okta, Azure AD), Proxy | T1078 (Valid Accounts) |
| Data Exfiltration | অস্বাভাবিক বড় ডেটা আপলোড/বাহিরের সার্ভারে সংযোগ | Firewall, Proxy, DLP, NetFlow | T1041 (Exfiltration Over C2) |
| C2 Beaconing | নিয়মিত ইন্টারভ্যালে বাহিরের সার্ভারের সাথে সংযোগ (Beaconing) | Firewall, DNS Logs, Proxy, Zeek | T1071 (Application Layer Protocol) |
| Lateral Movement (Pass-the-Hash) | SMB/Administrative Share-å কে অ্যাক্সেস করে নেটওয়ার্কে বিস্তার | Windows Security Logs (4624, 4672), Sysmon | T1550.002 (Pass the Hash) |
| Privilege Escalation | স্থানীয় অ্যাডমিন গ্রুপে অপ্রত্যাশিত যোগ বা টাস্ক স্ক্যাডিউলার অপব্যবহার | Windows Logs, Sysmon, EDR | T1068 (Exploitation for Privilege Escalation) |
| Ransomware Pre-cursor | Volume Shadow Copy ডিলিট, ফাইল এনক্রিপশন প্যাটার্ন, বুট রিকর্ড পরিবর্তন | EDR, Sysmon, File Audit | T1490 (Inhibit System Recovery) |
| VPN Anomaly | অফিস আওয়ার বাইরে, অজানা ডিভাইস/লোকেশন থেকে VPN লগইন | VPN Logs, MFA Logs, GeoIP | T1133 (External Remote Services) |
Use Case তৈরি করার ধাপাবলি (Lifecycle)
- হুমকি মডেলিং (Threat Modeling): MITRE ATT&CK Framework ব্যবহার করে সংস্থার প্রাসঙ্গিক হুমকি চিনুন।
- ডেটা উৎস চিহ্নিতকরণ: কোন লগ/টেলিমেট্রি দরকার (Firewall, EDR, AD, CloudTrail, Email Gateway)।
- লজিক/নিয়ম লিখুন (Detection Logic): SIEM কোয়েরি (SPL, KQL, Sigma Rule) লিখুন।
- বেসলাইন তৈরি করুন: সাধারণ আচরণ বুঝতে ২-৪ সপ্তাহ ডেটা বিশ্লেষণ করুন।
- আলার্ট টিউনিং: False Positive কমাতে থ্রেশহোল্ড, এনরিচমেন্ট (Threat Intel, GeoIP, Asset Criticality) যোগ করুন।
- প্লেবুক/রেসপন্স তৈরি করুন: SOC অ্যানালিস্ট কী করবে (Investigation Steps, Containment, Eradication)।
- টেস্ট ও ডিপ্লয়: Unit Test, Red Team Simulation, Purple Team Exercise।
- রিভিউ ও আপডেট: মাসিক/ত্রৈমাসিক রিভিউ, নতুন হুমকি অনুযায়ী আপডেট।
Use Case ম্যানেজমেন্ট টুল
- IBM QRadar Use Case Manager: রেডিমেড Use Case, MITRE ম্যাপিং, কাস্টম রুল ম্যানেজমেন্ট।
- Splunk Enterprise Security / Chronicle: Risk-based Alerting, MITRE Dashboard।
- Elastic Security / OpenSearch: Pre-built Detection Rules (Sigma compatible)।
- GitHub / Sigma Rules Repository: কমিউনিটি-চালিত নন-ভেন্ডর-লক-ইন রুল সেট।
Use Case কেন গুরুত্বপূর্ণ?
- Raw লগ থেকে actionable intelligence-এ রূপান্তর করে।
- SOC অ্যানালিস্টের কাজের দক্ষতা বাড়ায় (Alert Fatigue কমায়)।
- Compliance (NIST, ISO 27001, PCI-DSS) প্রয়োজনীয়তা পূরণ করে।
- থ্রেট হান্টিংর দিকনির্দেশনা দেয়।
সফল Use Case-এর বৈশিষ্ট্য: নির্দিষ্ট (Specific), পরিমাপযোগ্য (Measurable), অ্যাকশনযোগ্য (Actionable), প্রাসঙ্গিক (Relevant), সময়-সীমাবদ্ধ (Time-bound) — SMART নীতি মেনে চলা উচিত।
