ইমেইল আট্যাচমেন্ট হিসেবে নেটওয়ার্ক সুরক্ষা যেন ব্লক করে রেখে যাবে সেসব ফাইল টাইপ (স্ট্যান্ডার্ড ফাইল এক্সটেনশন ব্যান লিস্ট)

ইমেইল আট্যাচমেন্ট ব্লকিং নীতি: স্ট্যান্ডার্ড ব্যান ফাইল টাইপস ও সুরক্ষা গাইডলাইন

সাইবার সুরক্ষা সেরা অনুশীলন অনুযায়ী, সংস্থার ইমেইল গেটওয়ে / সিকিউর ইমেইল গেটওয়ে (SEG) / Microsoft 365 Defender / Google Workspace Security / Proofpoint / Mimecast / Cisco ESA — এগুলোতে নিচের ফাইল এক্সটেনশনগুলো ডিফল্টভাবে ব্লক করা উচিত কারণ এগুলো ম্যালওয়ার, র‍্যানসমওয়্যার, ট্রোজান, এক্সপ্লয়েট ডেলিভারির প্রধান ভেক্টর।

সর্বোচ্চ ঝুঁকিপূর্ণ ফাইল এক্সটেনশন (Must Block — High Risk)

উচ্চ ঝুঁকিপূর্ণ ফাইল এক্সটেনশন (Should Block — High Risk)

মাঝারি ঝুঁকিপূর্ণ (Context-Dependent — Block or Scan Deeply)

• .docx, .xlsx, .pptx (OOXML): সাধারণত সুরক্ষিত, কিন্তু Embedded OLE Object, Remote Template Injection, Hyperlink Phishing হতে পারে। Deep Scan + Macro Disable (Group Policy) সুপারিশ করা হয়।
• .odt, .ods, .odp (OpenDocument): একই রিস্ক।
• .html / .htm / .mhtml / .mht: Phishing Page, Malicious Script, Redirect।
• .xml / .xsl / .xsd: XXE (XML External Entity) Attack, XSLT Execution।
• .svg: XML-based, Script Execution (JavaScript) সম্ভব।
• .eml / .msg: Email File — Embedded Attachment, Phishing Forward।
• .ics / .vcs: Calendar Invite — Phishing, Social Engineering।

সাধারণত নিরাপদ (Low Risk — Allow with Scanning)

• Image: .jpg, .jpeg, .png, .gif, .bmp, .tiff, .webp, .heic, .avif (Steganography রিস্ক কম, কিন্তু স্ক্যান করুন)
• Audio/Video: .mp3, .wav, .mp4, .mov, .avi, .mkv, .flac (Codec Exploit রեր, কিন্তু সম্ভব)
• Text/Data: .txt, .csv, .json, .log, .md, .rtf (Plain text), .ics (Calendar — সতর্কতা)
• Document (Non-Macro): .pdf (Scanned + Sanitized), .docx/.xlsx/.pptx (Macro Disabled via Policy)

ব্লকিং বাইপাস প্রতিরোধ (Evasion Techniques to Counter)

• Double Extension: invoice.pdf.exe, photo.jpg.scr — ফুল ফাইলনেম পার্স করুন, এক্সটেনশন চেক করুন।
• Right-to-Left Override (RTLO): exe.pdf‮cod.scr (Unicode U+202E) — ফাইলনেম রেন্ডারিং ম্যানিপুলেশন। ফাইল টাইপ ডিটেকশন ম্যাজিক বাইটস (File Signature / Magic Numbers) দিয়ে করুন।
• Password-Protected Archives: .zip/.rar পাসওয়ার্ড দিয়ে — গেটওয়ে স্ক্যান করতে পারে না। Block Password-Protected Archives বা Quarantine for Manual Review।
• Container Files: .iso, .img, .vhd মাউন্ট করে .exe এক্সিকিউট। Block ISO Mounting via Group Policy / EDR।
• OLE / ActiveX Embedding: .docx, .pdf, .rtf-এ Embedded Object। Office Macro Settings: "Disable all macros with notification" বা "Disable all macros except digitally signed"।

Microsoft 365 / Exchange Online / Google Workspace-এ ব্লকিং কনফিগারেশন

Microsoft 365 Defender (Exchange Online Protection + Defender for Office 365):

1. Security Admin Center > Policies & Rules > Threat Policies > Anti-malware Policy > Common Attachment Types Filter > Enable > Add custom extensions (উপরের Must Block লিস্ট)।
2. Safe Attachments Policy Enable করুন (Dynamic Delivery + Detonation Sandbox)।
3. Mail Flow Rules (Transport Rules): "If attachment extension matches .exe,.bat,.ps1... > Block / Quarantine / Notify Sender"।
4. Attack Surface Reduction (ASR) Rules: GUID: BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550 (Block executable content from email client/webmail) — Intune/Group Policy/MECM দিয়ে ডিপ্লয় করুন।

Google Workspace (Gmail):

1. Admin Console > Apps > Google Workspace > Gmail > Safety > Attachment Compliance > Add Rule > Expression: filename_suffix:.exe OR filename_suffix:.bat ... > Action: Reject / Quarantine / Modify Subject।
2. Security Sandbox Enable করুন (Enterprise Plus / Education Standard / Teaching & Learning Upgrade) — ডাইনামিক এনালাইসিস।

সেরা অনুশীলন (Best Practices)

• Layered Defense: Gateway Blocking + Sandbox Detonation + Endpoint EDR + User Training।
• False Positive Management: লেজিটিমেট বিজনেস নীড (যেমন: ডেভেলপার টিম .ps1 ফাইল পাঠায়) এর জন্য Exception Process: Ticketing System > Security Approval > Time-limited Allow Rule (Specific Sender/Recipient/IP)।
• User Education: "Unexpected .exe/.zip/.pdf ফাইল খুলবেন না, IT-কে রিপোর্ট করুন" — ফিশিং সিমুলেশন চালান।
• File Type Detection by Content (Magic Bytes): এক্সটেনশন না, ফাইল হেডার (Magic Numbers) দিয়ে টাইপ যাচাই করুন (যেমন: PK = ZIP, MZ = EXE, %PDF = PDF)।
• Regular Review: ত্রৈমাসিক ব্লক লিস্ট রিভিউ, নতুন হুমকি ইন্টেলিজেন্স অনুযায়ী আপডেট (CISA Alerts, Vendor Advisories)।

সাংকেতিক ব্লক লিস্ট (Copy-Paste Ready for Transport Rules)

.exe,.msi,.bat,.cmd,.ps1,.ps1xml,.psm1,.psd1,.vbs,.vbe,.js,.jse,.wsf,.wsh,.scr,.com,.pif,.jar,.app,.dmg,.pkg,.sh,.bash,.zsh,.py,.pl,.rb,.iso,.img,.vhd,.vmdk,.zip,.rar,.7z,.tar,.gz,.bz2,.xz,.doc,.docm,.dotm,.xls,.xlsm,.xltm,.xlam,.ppt,.pptm,.potm,.ppam,.rtf,.lnk,.url,.website,.hta,.cpl,.msc,.reg,.inf

সারসংক্ষেপ: ইমেইল আট্যাচমেন্ট হিসেবে .exe, .ps1, .bat, .zip, .docm, .xlsm, .pdf, .iso, .lnk, .hta ইত্যাদি হাই-রিস্ক এক্সটেনশন ব্লক করা সেরা অনুশীলন। কিন্তু ব্লকিং একমাত্র সমাধান নয় — স্যান্ডবক্স ডেটোনেশন, এন্ডপয়েন্ট EDR, ইউজার ট্রেনিং এবং লেয়ারড ডিফেন্স একসাথে প্রয়োগ করতে হবে। ব্লক লিস্ট নিয়মিত আপডেট করুন নতুন হুমকি ইন্টেলিজেন্স অনুযায়ী।