নেটওয়ার্ক সিকিউরিটি হুমকি শনাক্তকরণ: পদ্ধতি, টুল ও স্ট্র্যাটেজি
নেটওয়ার্ক হুমকি শনাক্তকরণ (Threat Detection) হলো সিকিউরিটি অপারেশন সেন্টার (SOC) এবং নেটওয়ার্ক ডিফেন্সের মূল কার্যকলাপ। এটি আক্রমণকারীদের কার্যকলাপ, ম্যালওয়েয়ার, ডেটা এক্সফিলট্রেশন এবং অসম্ভাব্য বিহেভিয়ার पकঙের প্রক্রিয়া।
নেটওয়ার্ক হুমকির প্রধান ধরন
| ক্যাটেগরি | উদাহরণ | চিহ্নিতকরণ পদ্ধতি |
|---|---|---|
| Malware | Virus, Worm, Trojan, Ransomware, RAT, Cryptominer | Signature-based AV/EDR, Sandboxing, Behavioral analysis |
| Network Attacks | DDoS, Man-in-the-Middle, DNS Tunneling, ARP Spoofing | Flow analysis, IDS/IPS, NDR, Anomaly detection |
| Unauthorized Access | Brute force, Credential stuffing, Pass-the-hash, VPN abuse | SIEM correlation, UEBA, Identity threat detection |
| Data Exfiltration | Large uploads, DNS exfil, Cloud storage abuse, Steganography | DLP, CASB, Network traffic analysis, Egress filtering |
| Reconnaissance | Port scanning, Vulnerability scanning, OS fingerprinting | IDS/IPS, Honeypots, Deception technology |
| Insider Threat | Data theft, Sabotage, Privilege misuse | UEBA, DLP, User activity monitoring |
হুমকি চিহ্নিতকরণের ৩টি মূল পদ্ধতি
- Signature-based Detection: জানা ম্যালওয়েয়ার হ্যাশ, আট্যাক প্যাটার্ন, IOC (Indicators of Compromise) মিলিয়ে চিহ্নিতকরণ। দ্রুত, কম ফালস পজিটিভ, কিন্তু জিরো-ডে पकঙে না।
- Anomaly/Behavioral Detection: বেসলাইন বিহেভিয়ার থেকে বিচ্যুতি (Anomaly) খোঁজা। ML/AI ব্যবহার করে। জিরো-ডে পকড়ে, কিন্তু ফালস পজিটিভ বেশি।
- Threat Intelligence-driven Detection: এক্সটার্নাল থ্রেট ফিড (MITRE ATT&CK, STIX/TAXII, ISAC, Commercial TI) কোরিলেট করা। প্রোঅ্যাক্টিভ হান্টিংয়ের ভিত্তি।
হুমকি চিহ্নিতকরণের প্রক্রিয়া (Workflow)
- Data Collection: NetFlow/sFlow, PCAP, Logs (Firewall, Proxy, DNS, AD, VPN, Cloud), EDR Telemetry।
- Normalization & Enrichment: পার্সিং, ট্যাগিং, GeoIP, Threat Intel エンরিচমেন্ট।
- Detection Logic: Sigma Rules, YARA, Snort/Suricata Rules, Splunk/KQL/Elastic Queries, ML Models।
- Alert Generation & Triage: Severity Scoring (Critical/High/Medium/Low), False Positive Reduction।
- Investigation: Timeline Analysis, MITRE ATT&CK Mapping, Root Cause Analysis।
- Response: Containment, Eradication, Recovery, Lessons Learned।
অনিবার্য টুলসেট
- SIEM: Splunk, Elastic (ELK), Microsoft Sentinel, IBM QRadar, LogRhythm।
- NDR (Network Detection & Response): Corelight (Zeek), ExtraHop, Darktrace, Vectra AI।
- IDS/IPS: Suricata, Snort, Zeek (Bro), Palo Alto, Cisco Firepower।
- Threat Intel Platforms: MISP, OpenCTI, Anomali, Recorded Future।
- Deception: Thinkst Canary, Attivo, Acalvio।
MITRE ATT&CK Framework ব্যবহার
আট্যাকারের ট্যাকটিক, টেকনিক ও প্রোসিজার (TTP) ম্যাপ করুন। উদাহরণ:
- T1046 - Network Service Scanning → Zeek/Suricata রুল দিয়ে ডিটেক্ট।
- T1048 - Exfiltration Over Alternative Protocol → DNS/HTTP বড় ট্রাফিক অ্যালার্ট।
- T1550.002 - Pass the Hash → Windows Event ID 4624 (Logon Type 3) + NTLM প্রয়োগ মোনিটর।
হুমকি চিহ্নিতকরণে চ্যালেঞ্জ ও সমাধান
| চ্যালেঞ্জ | সমাধান |
|---|---|
| Alert Fatigue (প্রতিদিন ১০,০০০+ অ্যালার্ট) | SOAR অটোমেশন, Risk-based Alerting, Detection Engineering |
| Encrypted Traffic Visibility (TLS 1.3) | TLS Inspection (SSL Decryption), JA3 Fingerprinting, EDR Telemetry |
| Cloud/Hybrid Visibility Gap | CSPM, CWPP, Cloud-native logging (VPC Flow Logs, CloudTrail) |
| Skill Shortage | Managed Detection & Response (MDR), Automation, Upskilling |
সারমর্ম: হুমকি চিহ্নিতকরণ শুধু টুল ইনস্টল করলে হয় না—এটি **People, Process, Technology**-র সমন্বয়। কন্টিনিউয়াস ডিটেকশন ইঞ্জিনিয়ারিং (Detection as Code), থ্রেট হান্টিং এবং MITRE ATT&CK-এালাইনড ডিটেকশন রুল—এই তিনটি আধুনিক SOC-এর কী।
