নেটওয়ার্ক সিকিউরিটি অডিট কী?
নেটওয়ার্ক সিকিউরিটি অডিট হলো সংগঠনের নেটওয়ার্ক ইনফ্রাস্ট্রাকচার, পলিসি, কনফিগারেশন, লগ, ও সিকিউরিটি কন্ট্রোলের **সিস্টেমেটিক, স্বাধীন মূল্যায়ন** যা নির্ধারণ করে যে সিকিউরিটি পজিশন প্রতিষ্ঠিত স্ট্যান্ডার্ড (NIST, ISO 27001, PCI-DSS, HIPAA, GDPR, বাংলাদেশ ডিজিটাল সিকিউরিটি এক্ট) এবং অভ্যন্তরীণ নীতিমালার সাথে কমপ্লায়েন্ট কিনা, এবং হুমকি থেকে কতটা রক্ষা পাচ্ছে।
নেটওয়ার্ক সিকিউরিটি অডিট ডেটা কী কী (What Constitutes Audit Data?)
| ডেটা ক্যাটাগরি | উদাহরণ | উৎস (Source) | রিটেনশন (Typical) |
|---|---|---|---|
| Network Device Configurations | Running/Startup Config (Router, Switch, FW, LB, WLC), ACL, VLAN, Routing Table, AAA Config, SNMP/NTP/Syslog Settings | CLI, API, NetConf/RESTConf, Backup Server (Ansible, SolarWinds, NCM) | ১-৭ বছর (Compliance-driven) |
| Log & Event Data (SIEM/Syslog) | Firewall Logs (Allow/Deny), IDS/IPS Alerts, Auth Logs (VPN, SSH, RADIUS, TACACS+), DHCP/DNS Logs, Proxy/URL Filter Logs, Flow Data (NetFlow/IPFIX/sFlow) | Syslog Server, SIEM (Splunk, QRadar, Sentinel, Elastic), Log Aggregator | ৯০ দিন - ৭ বছর (Regulation অনুযায়ী) |
| Vulnerability Scan Results | Asset Inventory, Open Ports, CVE IDs, CVSS Scores, Remediation Status, False Positive Tags | Nessus, Qualys, OpenVAS, Rapid7, Tenable.io, Microsoft Defender Vulnerability Mgmt | সкан রিপোর্ট + রিমিডিয়েশন প্রুফ (১-৩ বছর) |
| Penetration Test / Red Team Reports | Executive Summary, Technical Findings (PoC, Impact, Likelihood, CVSS), ATT&CK Mapping, Remediation Roadmap, Retest Results | Internal/External Pentest Team, 3rd Party Assessor | অসীম (ইতিহাস রাখা ভালো) |
| Policy & Procedure Documents | InfoSec Policy, AUP, Incident Response Plan, BCP/DRP, Access Control Policy, Encryption Policy, Vendor Risk Policy | GRC Platform (RSA Archer, ServiceNow GRC, LogicGate), SharePoint, Confluence | ভার্সন কন্ট্রোল সহ চিরকাল |
| Access Control & Identity Data | User/Service Accounts, Group Memberships, Privileged Accounts (Admin/Root), MFA Status, Last Login, Orphaned Accounts, Access Recertification Reports | AD/LDAP, Azure AD/Entra ID, IAM (AWS/IAM, GCP IAM), PAM Solution (CyberArk, BeyondTrust) | অ্যাকাউন্ট লাইফসাইকেল + ১-৩ বছর |
| Network Architecture Diagrams | Logical/Physical Topology, Trust Zones, DMZ, Segmentation (VLAN/VRF/Zero Trust), Data Flows, Cloud On-prem Connectivity | Visio, Lucidchart, draw.io, NetBrain, CloudMapper | লেটেস্ট ভার্সন + আর্কাইভ |
| Wireless Security Data | SSID Config, Auth Method (PSK/802.1X), Encryption (WPA2/WPA3), RADIUS Config, Guest Network Isolation, Rogue AP Detection Logs | WLC (Cisco/Aruba/Meraki/Mist), WIPS Sensor | কনফিগারেশন ভার্সনিং |
| Encryption & Certificate Inventory | SSL/TLS Certs (Expiry, SAN, CA, Key Size), IPsec VPN Certs, SSH Keys, Code Signing Certs, PKI Hierarchy | Cert Manager (Venafi, Keyfactor, DigiCert, Let's Encrypt ACME), OpenSSL | এক্সপায়ারি + ১ বছর |
| Incident & Ticketing Records | Ticket ID, Timeline, Root Cause (RCA), IOCs, MITRE ATT&CK Tags, Lessons Learned, MTTR/MTTD Metrics | ITSM (ServiceNow, Jira, Remedy), SOAR, TheHive | ৫-৭ বছর (Legal/Forensic Hold) |
| Compliance Evidence / Artifacts | Control Implementation Screenshots, Config Excerpts, Test Results, Attestation Letters, Auditor Workpapers | GRC Tool, Audit Management Platform | অডিট সাইকেল + ৩-৭ বছর |
নেটওয়ার্ক সিকিউরিটি অডিট প্রক্রিয়া (Audit Process - NIST SP 800-53 / ISO 27001 Aligned)
- Planning & Scoping: অডিট উদ্দেশ্য, স্কোপ (নেটওয়ার্ক সেগমেন্ট, সিস্টেম, লোকেশন), কার्इটেরিয়া (ফ্রেমওয়ার্ক), টিম, টাইমলাইন, রিস্ক-ভিত্তিক প্রায়োরিটি।
- Information Gathering (Data Collection): উপরের টেবিলের ডেটা সংগ্রহ (অটোমেটেড API/CLI স্ক্রিপ্ট, ম্যানুয়াল রিভিউ, ইন্টারভিউ, ওবসার্ভেশন)।
- Risk Assessment & Threat Modeling: Crown Jewels চিহ্নিতকরণ, STRIDE/PASTA থ্রেট মডেলিং, আক্রমণের সতহ (Attack Surface) ম্যাপিং।
- Technical Testing (Validation):
- Configuration Review (Hardening Benchmarks: CIS Benchmarks, DISA STIGs)।
- Vulnerability Scanning (Credentialed + Non-credentialed)।
- Penetration Testing (Internal/External, Wireless, Cloud, API)।
- Wireless Site Survey / Rogue AP Detection।
- Traffic Analysis (PCAP Review, Flow Analysis)।
- Physical Security Walkthrough (Server Room, Cabling, Console Access)।
- Gap Analysis & Findings Classification: Critical / High / Medium / Low / Informational (CVSS + Business Context)।
- Reporting: Executive Summary (Business Risk), Technical Findings (Evidence, Impact, Root Cause, Recommendation), Remediation Tracker, Compliance Mapping Matrix।
- Remediation & Follow-up: POA&M (Plan of Action & Milestones), Retesting, Continuous Monitoring Integration।
- Continuous Audit / Continuous Compliance: পয়েন্ট-ইন-টাইম অডিটের বদলে অটোমেটেড কনটিনিউয়াস কন্ট্রোল মনিটরিং (CCM) দিয়ে রিয়েল-টাইম কমপ্লায়েন্স ড্যাশবোর্ড।
অডিট রিপোর্টে কী কী থাকবে (Audit Report Components)
- Executive Summary: বিজনেস রিস্ক, কে-ফাইন্ডিংস, রিকমেন্ডেশন, কমপ্লায়েন্স স্ট্যাটাস (Pass/Fail/Conditional)।
- Scope & Methodology: কী অডিট হয়েছে, কোন স্ট্যান্ডার্ড, কোন টুলস, কোন লিমিটেশন।
- Detailed Findings (Per Finding):
- Finding ID, Title, Description, Evidence (Screenshot/Log/Config Excerpt)।
- Affected Assets (IP, Hostname, Device, Cloud Resource)।
- Risk Rating (CVSS + Business Impact)।
- Root Cause (Config Gap, Missing Patch, Process Failure, Design Flaw)।
- Compliance Mapping (NIST Control ID, ISO Annex A Control, PCI Requirement)।
- Recommendation (Short-term Fix, Long-term Strategic Fix)।
- Remediation Owner, Target Date, Status।
- Metrics Dashboard: Open Findings by Severity, Mean Time to Remediate (MTTR), Recurring Findings Trend, Compliance Scorecard।
- Appendices: Tool Outputs, Raw Data Samples, Interview Notes, Glossary।
অডিটের জন্য সাধারণ টুলস (Audit Toolchain)
- Config/Compliance: Nipper-ng, ciscoconfparse, Batfish, Netmiko/NAPALM (Python), Ansible, Terraform Plan, Cloud Custodian, AWS Config Rules, Azure Policy।
- Vuln Scanning: Nessus, OpenVAS, Qualys VMDR, Tenable.io, Rapid7 InsightVM।
- Network Discovery/Mapping: Nmap, Masscan, Netdisco, Network Topology Mapper (SolarWinds), Auvik।
- Log Analysis/SIEM: Splunk, Elastic (ELK), Graylog, Wazuh, Microsoft Sentinel, IBM QRadar।
- Wireless: Ekahau, AirMagnet, Kismet, Aircrack-ng, Wireshark।
- GRC/Automation: Drata, Vanta, Secureframe, Tugboat Logic, AuditBoard, Hyperproof।
নেটওয়ার্ক অডিট কেন গুরুত্বপূর্ণ? (Why Network Auditing Matters)
- রেগুলেটরি কমপ্লায়েন্স এড়াতে পারা যায় না (Avoid Fines/Legal Action)।
- প্রোঅ্যাক্টিভ রিস্ক রিডাকশন: ব্রিচ হওয়ার আগেই গ্যাপ খুঁজে বের করা।
- ইন্সুরেন্স প্রিমিয়াম কমাতে সাহায্য করে (Cyber Insurance Requirements)।
- মার্জার/অ্যাকুইজিশন (M&A) ডিউ ডিলিজেন্স-এ জরুরি।
- সাইবার রেজিলিয়েন্স মেট্রিক্স (MTTD, MTTR) উন্নত করে।
- স্টেকহোল্ডার আস্থা (Board, Customers, Partners, Regulators) বাড়ায়।
নেটওয়ার্ক সিকিউরিটি অডিট vs ভালনারেবিলিটি অсеসমেন্ট vs পেনিট্রেশন টেস্ট
| বিষয় | Security Audit | Vulnerability Assessment | Penetration Test |
|---|---|---|---|
| ফোকাস | পলিসি, কনফিগ, প্রসেস, কমপ্লায়েন্স, কন্ট্রোল ইফেক্টিভনেস | জানা ভালনারেবিলিটি শনাক্তকরণ (Breadth) | এক্সপ্লয়েটেশন দিয়ে রিয়াল ওয়ার্ল্ড ইম্প্যাক্ট প্রুফ (Depth) |
| অটোমেশন | মध्यম (Config Check, Log Review) | উচ্চ (Scanner-based) | নিম্ন (Manual, Creative, Adversary Emulation) |
| ফ্রিকোয়েন্সি | বার্ষিক / অর্ধ-বার্ষিক / কনটিনিউয়াস | মাসিক / কোয়ার্টারলি / কনটিনিউয়াস | বার্ষিক / বড় পরিবর্তনের পর / ট্রিগার-ভিত্তিক |
| আউটপুট | Compliance Report, Gap Analysis, Policy Updates | Vulnerability List, Remediation Priority | Attack Path, PoC, Business Impact, Detection Gaps |
