নেটওয়ার্ক সিকিউরিটি অডিট (Network Security Audit) কী?
নেটওয়ার্ক সিকিউরিটি অডিট হল সংস্থার নেটওয়ার্ক ইনফ্রাস্ট্রাকচার (হার্ডওয়্যার, সফটওয়্যার, কনফিগারেশন, পলিসি, প্রসিডিউার) এর একটি সিস্টেমেটিক, স্বতন্ত্র এবং ডকুমেন্টেড 評価 যা সিকিউরিটি কন্ট্রোলের কার্যকারিতা, কমপ্লায়ান্স স্ট্যাটাস এবং রিস্ক এক্সপোজার নির্ধারণ করে। এটি আভ্যন্তরীণ (Internal Audit Team) বা বাহ্যিক (MSSP, Big 4, স্পেশালাইজড ফার্ম) হতে পারে।
অডিট প্রক্রিয়া (NIST SP 800-115 / ISO 27001 / ISACA فرেমওয়ার্ক)
- Planning & Scoping: উদ্দেশ্য, স্কোপ (IP রেঞ্জ, সিস্টেম, লোকেশন), টিম, টুলস, টাইমলাইন, রুলস অফ এনগেজমেন্ট।
- Information Gathering (Reconnaissance):
- নেটওয়ার্ক টপোলজি, এসেট ইনভেন্টরি (CMDB)۔
- ফায়ারওয়াল/রাউটার/সুইচ কনফিগারেশন ব্যাকআপ।
- সিকিউরিটি পলিসি, আগের অডিট রিপোর্ট, ইনসিডেন্ট লগ।
- ভালনরেবিলিটি স্ক্যান রেজাল্ট (Nessus, Qualys, OpenVAS)।
- Vulnerability Assessment (Automated + Manual):
- নেটওয়ার্ক স্ক্যান (Nmap, Masscan) → ওপেন পোর্ট, সার্ভিস, ওএস ফিঙ্গারপ্রিন্ট।
- ক্রিডেনশিয়ালড ভালনরেবিলিটি স্ক্যান (Agent-based/SSH/WinRM) → CVE, Misconfiguration, Missing Patches।
- ওয়েব অ্যাপ্লিকেশন স্ক্যান (Burp, OWASP ZAP) যদি স্কোপে থাকে।
- Configuration Audit (Hardening Review):
- CIS Benchmarks / DISA STIGs বেঞ্চমার্কের সাথে কনফিগারেশন তুলনা।
- ফায়ারওয়াল রুল অ্যানালাইসিস: Shadowed, Redundant, Overly Permissive (Any-Any-Allow) রুলস।
- ডিফল্ট পাসওয়ার্ড, SNMP Community Strings, 텔নেট/HTTP এনাবলড চেক।
- রাউটিং প্রোটোকল অথেন্টিকেশন (OSPF MD5, BGP TTL Security)。《
- Wireless Security Audit: WPA3/WPA2-AES, Rogue AP Detection (Kismet, Ekahau), Client Isolation, 802.1X/EAP যাচাই।
- Penetration Testing (ঐচ্ছিক কিন্তু প্রস্তাবিত): এক্সটার্নাল/ইন্টার্নাল/ওয়াইলারেস/সোশ্যাল ইঞ্জিনিয়ারিং/ফিজিক্যাল।
- Log & Monitoring Review: SIEM 룰 কভারেজ, লগ রিটেনশন, אלার্ট টিউনিং, ব্লাইন্ড স্পট।
- Reporting:
- Executive Summary: রিস্ক রেটিং (Critical/High/Medium/Low), বিজনেস ইম্প্যাক্ট, কেয়ার রিকমেন্ডেশন।
- Technical Findings: CVE ID, CVSS Score, Affected Assets, PoC, Remediation Steps, Priority।
- Compliance Mapping: PCI-DSS Req 11.4, HIPAA §164.308(a)(8), ISO 27001 A.12.6, NIST 800-53 CA-8।
- Remediation Tracker: Owner, Due Date, Status, Re-test Plan।
- Remediation & Follow-up: প্যাচ, কনফিগারেশন চেঞ্জ, পলিসি আপডেট → Re-scan/Re-test → Closure।
অডিট টুলস (Categorized)
| ক্যাটাগরি | টুলস (Open Source / Commercial) |
|---|---|
| Vulnerability Scanner | Nessus (Tenabl), OpenVAS (Greenbone), Qualys VM, Rapid7 InsightVM, Microsoft Defender Vulnerability Management |
| Network Discovery/Mapping | Nmap, Masscan, Zmap, Advanced IP Scanner, Lansweeper, SolarWinds NPM, Auvik, NetBrain |
| Config Audit/Compliance | Nipper (Open Source), SolarWinds NCM, ManageEngine NCM, RedSeal, Tufin, FireMon |
| Wireless Audit | Kismet, Aircrack-ng Suite, Ekahau Sidekick, NetSpot, Wireshark (Wi-Fi Analysis), Wifite |
| Penetration Testing | Metasploit Framework, Cobalt Strike, BloodHound (AD), CrackMapExec, Impacket, Responder |
| Log Analysis/SIEM | Splunk, Elastic Stack (ELK), Graylog, Wazuh (Open Source), Microsoft Sentinel, IBM QRadar, Sumo Logic |
| Cloud Network Audit | Prowler (AWS/Azure/GCP), ScoutSuite, CloudSploit, Cloud Custodian, CSP Native Tools (Security Hub, Defender for Cloud)。《 |
অডিট রিপোর্টে কী কী থাকবে? (Essential Components)
- Executive Summary (Risk Posture Score, Top 5 Findings, Business Impact)。《
- Methodology & Scope (Standards Used: NIST, ISO, CIS, PCI)。《
- Network Architecture Diagram (Current vs Recommended Segmentation)。《
- Detailed Findings Table: Finding ID, Title, Severity (CVSS), Asset, Evidence, Root Cause, Recommendation, Reference (CVE, CIS Rule)。《
- Firewall Rule Optimization Report (Unused, Shadowed, Risky Rules)。《
- Segmentation Gap Analysis (Flat Network Risks)。《
- Wireless Security Assessment (Encryption, Auth, Rogue AP)。《
- Compliance Matrix (Control ID → Finding → Status: Compliant/Non-Compliant/Partial)。《
- Remediation Roadmap (30/60/90 Day Plan, Quick Wins vs Strategic)。《
কতবার অডিট করবেন? (Frequency)
- Full Comprehensive Audit: वार्षিক (Annual) বা বড় পরিবর্তনের পরে (Merger, Migration, Breach, New Regulation)。《
- Vulnerability Scanning: মাসিক (Internal), সাপ্তাহিক (Internet-facing / Critical Assets)。《
- Configuration Drift Detection: দৈনিক/সাপ্তাহিক (Automated: SolarWinds NCM, RedSeal, Tufin)。《
- Penetration Testing: বছরে একবার + মেজর রিলিজ/ইনফ্রা চেঞ্জের পরে।
- Wireless Site Survey/Audit: অর্ধবার্ষিক বা অফিস রিলোকেশন/রিনোভেশনের পরে।
কমপ্লায়ান্স ড্রাইভারস (Why Audit?)
- PCI-DSS Requirement 11.4 (Annual Internal/External Vuln Scan + Pen Test)。《
- HIPAA Security Rule §164.308(a)(8) (Evaluation) & §164.312(e)(1) (Transmission Security)。《
- SOX 404 (IT General Controls over Financial Systems)。《
- GDPR Art. 32 (Security of Processing) & Art. 33/34 (Breach Notification)。《
- ISO 27001 Annex A.12.6 (Technical Vulnerability Management) & A.18.2 (Independent Review)。《
- NIST CSF: DE.CM-8 (Vulnerability Scans), ID.RA (Risk Assessment), RS.AN (Analysis)。《
