নেটওয়ার্ক সিকিউরিটি ভাঙার পদ্ধতি নয়, বরং সুরক্ষা কৌশল: এথিক্যাল হ্যাকিং ও পেনিট্রেশন টেস্টিং গাইড

সতর্কতা: অনুমতিহীন নেটওয়ার্ক সিকিউরিটি ভাঙা অপরাধ

দूसरोंの নেটওয়ার্ক, সিস্টেম বা ডেটায় मालিকের লিখিত অনুমতি ছাড়া অ্যাক্সেস করার চেষ্টা করা বাঙালি আইন (আইসিটি এক্ট ২০০৬, সংশোধিত ২০১৩) ও আন্তর্জাতিক কানুনের অধীনে দণ্ডনীয় অপরাধ। এই আর্টিকেলটি শুধুমাত্র **শিক্ষামূলক উদ্দেশ্যে**, নিজের নেটওয়ার্ক বা লিখিত অনুমতिप্রাপ্ত সুযোগে (Penetration Testing Engagement) সিকিউরিটি অसेসমেন্ট করার প্রেক্ষাপটে লেখা হয়েছে।

নেটওয়ার্ক সিকিউরিটি-এর ৪টি মূল স্তর (Defense Layers)

1. Access Control (অ্যাক্সেস কন্ট্রোল): AAA (Authentication, Authorization, Accounting), NAC, MFA, RBAC।
2. Threat Prevention (হুমকি প্রতিরোধ): Firewall (NGFW), IPS/IDS, Antivirus/Anti-malware, Sandbox, EDR/XDR।
3. Application & Data Security: WAF, DLP, Encryption (TLS/IPsec), API Security, Secure Coding (DevSecOps)।
4. Monitoring & Response: SIEM, SOAR, UEBA, NTA, Threat Hunting, Incident Response Plan।

৫টি সাধারণ নেটওয়ার্ক আক্রমণের ভেক্টর (Attack Vectors)

1. ফিশিং / সোশ্যাল ইঞ্জিনিয়ারিং: ব্যবহারকারীকে প্রতারক করে ক্রেডেনশিয়াল বা ম্যালওয়্যার ডেলিভারি (৯০%+ ব্রিচের মূল কারণ)।
2. এক্সপ্লয়েটেশন অফ পাব্লিক-ফেসিং অ্যাপ্লিকেশন: ওয়েব সার্ভার, VPN, RDP, Exchange Server-এর 언প্যাচড ভালনারেবিলিটি (Log4j, ProxyShell, ZeroLogon)।
3. ক্রেডেনশিয়াল থেফট / লেটারাল মובמেন্ট: Mimikatz, LSASS ডাম্প, Pass-the-Hash, Kerberoasting দিয়ে নেটওয়ার্কে ফেলা।
4. ম্যালওয়্যার / র‍্যানসমওয়্যার / বটনেট: ড্রপার, লোডার, C2 (Command & Control) কমিউনিকেশন।
5. DDoS (Distributed Denial of Service): ভলিউমেট্রিক, প্রোটোকল, অ্যাপ্লিকেশন লেয়ার আক্রমণ।

এথিক্যাল হ্যাকাররা নেটওয়ার্ক কীভাবে অसेস করে? (Penetration Testing Methodology)

স্ট্যান্ডার্ড পद्धতি: PTES (Penetration Testing Execution Standard) বা MITRE ATT&CK Framework অনুযায়ী।

ফেজ ১: Reconnaissance (তথ্য সংগ্রহ) — Passive & Active

• OSINT: ডোমেইন, সাবডোমেইন, ইমেইল, আইপি রেঞ্জ, কর্মচারীর লিংকডইন প্রোফাইল, টেক স্ট্যাক (Wappalyzer, BuiltWith)।
• নেটওয়ার্ক স্ক্যানিং: Nmap, Masscan — ওপেন পোর্ট, সার্ভিস ভার্সন, ওএস ফিংগারপ্রিন্টিং।

ফেজ ২: Vulnerability Assessment (ভালনারেবিলিটি শনাক্তকরণ)

• অটোমেটেড স্ক্যানার: Nessus, OpenVAS, Qualys, Rapid7 InsightVM।
• ম্যানুয়াল ভেরিফিকেশন: ফালস পজিটিভ ফিল্টার করা।
• CVE স্কোরিং (CVSS) ভিত্তে রিস্ক প্রায়োরিটি নির্ধারণ।

ফেজ ৩: Exploitation (এক্সপ্লয়েটেশন) — Controlled & Authorized

• Metasploit Framework, Cobalt Strike, Core Impact, কাস্টম এক্সপ্লয়েট।
• এক্সপ্লয়েটেশনের আগে **Rules of Engagement (RoE)** অনুযায়ী স্কোপ, টাইম, ইম্প্যাক্ট লিমিট নির্ধারিত থাকে।
• লক্ষ্য: প্রুফ-অফ-কনসেপ্ট (PoC) তৈরি করা, ডেটা চুরি বা সিস্টেম ড্যামেজ করা নয়।

ফেজ ৪: Post-Exploitation & Lateral Movement

• Priviledge Escalation (Local/Remote), Credential Dumping, Network Discovery (BloodHound, PingCastle)।
• Persistence Mechanism (Scheduled Tasks, Services, WMI, Registry Run Keys)।
• Data Staging & Exfiltration Simulation (ডেটা আসলে এক্সফিলট্রেট করা হয় না, শুধু প্রুফ করা হয়)।

ফেজ ৫: Reporting & Remediation (রিপোর্টিং ও সমাধান)

• এক্সিকিউটিভ সামারি (বিজনেস রিস্ক), টেকনিক্যাল ফাইন্ডিংস (CVE, CVSS, PoC, Impact, Likelihood)।
• Remediation Roadmap: Critical > High > Medium > Low।
• Re-testing (Retest) যেন ফিক্স কাজ করছে কিনা।

সিকিউরিটি ব্রিচ (Security Breach) কী?

অননুমোদিত অ্যাক্সেসের ফলে কম্পিউটার ডেটা, ডিভাইস, প্রোগ্রাম, নেটওয়ার্ক বা অ্যাপ্লিকেশনে অনধিকার প্রবেশ বা ডেটা এক্সফিলট্রেশন ঘটাকে সিকিউরিটি ব্রিচ বলা হয়। এটি সিকিউরিটি কন্ট্রোল ফেইল হলে ঘটে।

আপনার নিজের নেটওয়ার্ক টেস্ট করার নিরাপদ উপায় (Safe Self-Assessment)

1. Vulnerability Scan: OpenVAS (ফ্রি), Nessus Essentials (ফ্রি ১৬ আইপি পর্যন্ত), Greenbone।
2. Network Mapping: Nmap (nmap -sS -sV -O 192.168.1.0/24)।
3. Password Audit: Hashcat, John the Ripper (অপন হ্যাশ ফাইলের ওপর) — নিজের হ্যাশে।
4. Wireless Audit: Aircrack-ng suite (নিজের WPA2 হ্যান্ডশেক ক্যাপচার করে ক্র্যাক করার চেষ্টা — শুধু ল্যাব এনভায়রনমেন্টে)।
5. Configuration Audit: CIS Benchmarks, Lynis (Linux/Unix Hardening Audit)।
6. Phishing Simulation: GoPhish (সেলফ-হোস্টেড) দিয়ে নিজের টিম টেস্ট করুন।

লégal পেনিট্রেশন টেস্টিং শিখতে চাইলে?

• সার্টিফিকেশন: **OSCP (OffSec), PNPT (TCM), CEH (EC-Council), eCPPT (eLearnSecurity)**।
• প্র্যাকটিস প্ল্যাটফর্ম: **Hack The Box, TryHackMe, VulnHub, Proving Grounds, RangeForce**।
• বাগ বাউন্টি: **HackerOne, Bugcrowd, Intigriti, YesWeHack** (Scope কঠোরভাবে মেনে চলুন)।
• ফ্রেমওয়ার্ক: **MITRE ATT&CK, NIST 800-115, OWASP Testing Guide, PTES**।

নেটওয়ার্ক সিকিউরিটি মজবুত করার চেকলিস্ট

• [ ] MFA সব জায়গায় (VPN, Admin Panel, Email, Cloud Console)।
• [ ] নেটওয়ার্ক সেগমেন্টেশন (VLAN, Firewall Rules, Zero Trust)।
• [ ] এন্ডপয়েন্টে EDR/XDR ইনস্টল।
• [ ] প্যাচ ম্যানেজমেন্ট অটোমেটেড (WSUS, Intune, SCCM, Ansible)।
• [ ] ব্যাকআপ ৩-২-১ রুল + অফলাইন/ইমিউটেবল ব্যাকআপ।
• [ ] SIEM/Log Aggregation + Alerting Rules।
• [ ] ইমেইল সিকিউরিটি (DMARC p=reject, ATP)।
• [ ].widgets員 ট্রেনিং + ফিশিং সিমুলেশন (ত্রৈমাসিক)।
• [ ] ইন্সিডেন্ট রেসপন্স প্ল্যান টেস্ট (টেবিলটপ এক্সারসাইজ)।