কখন একটি বিদ্যমান অ্যাপ্লিকেশন বা OS ম্যানিপুলেট করা সাইবার সিকিউরিটি ইন্টারভেনশন হিসেবে গ্রহণযোগ্য?

সাইবার সিকিউরিটি ইন্টারভেনশন হিসেবে অ্যাপ্লিকেশন/OS ম্যানিপুলেশন: নীতিমালা ও সেরা অনুশীলন

সাইবার সিকিউরিটিতে একটি বিদ্যমান অ্যাপ্লিকেশন বা অপারেটিং সিস্টেম ম্যানিপুলেট করা (প্যাচিং, কনফিগারেশন চেঞ্জ, কোড মডিফিকেশন) শুধুমাত্র নির্দিষ্ট পরিস্থিতিতে এবং সঠিক প্রক্রিয়া মেনে গ্রহণযোগ্য। নিচে বিস্তারিত গাইডলাইন দেওয়া হলো:

১. গ্রহণযোগ্য পরিস্থিতিগুলো

• ভালন্যারেবিলিটি প্যাচিং: ভেন্ডার থেকে অফিসিয়াল প্যাচ রিলিজ হওয়ার পর তা প্রযোজ্য করা।
• কনফিগারেশন হার্ডেনিং: সিকিউরিটি বেসলাইন (CIS Benchmarks, STIGs) অনুযায়ী সেটিংস পরিবর্তন।
• ম্যালিশিয়াস কোড রিমুভাল: কম্প্রোমাইজড সিস্টেম থেকে ব্যাকডোর, রুটকিট সরানো।
• এমার্জেন্সি মিটিগেশন: জিরো-ডে এক্সপ্লয়িটের জন্য ভেন্ডার প্যাচ না আসা পর্যন্ত টেম্পোরারি ওয়ার্কঅরাউন্ড (যেমন: রেজিস্ট্রি চেঞ্জ, ফায়ারওয়াল রুল) প্রয়োগ।
• লেজিটিমেট পেনট্রেশন টেস্টিং: লিখিত অনুমতিপত্র (Rules of Engagement) সহ অথরাইজড টেস্টিং।

২. গ্রহণযোগ্য নয় এমন পরিস্থিতিগুলো

• অননুমোদিত সোর্স কোড মডিফিকেশন
• ভেন্ডার সাপোর্ট ভাঙা (Unsupported State) তৈরি করা
• প্রোডাকশন এনভায়রনমেন্টে অনটেস্টেড চেঞ্জ ডেপ্লয় করা
• লাইসেন্স/ইউএলএ (EULA) লঙ্ঘন করা
• চেঞ্জ ম্যানেজমেন্ট প্রসেস বাইপাস করা

৩. সাইবার আক্রমণের সাধারণ পদ্ধতি (Attack Vectors)

1. ফিশিং (Phishing): সবচেয়ে সাধারণ (৯০%+ ব্রিচ)। ইমেইল, SMS, সোশ্যাল মিডিয়া মাধ্যমে শিকার ফাঁসানো।
2. ম্যালওয়্যার/র‍্যানসমওয়্যার: ডেটা এনক্রিপ্ট করেrana মুক্তিপণ দাবি।
3. ক্রেডেনশিয়াল থেফ্ট/স্টাফিং: চুরি করা ইউজারনেম/পাসওয়ার্ড ব্যবহার।
4. এক্সপ্লয়িটেশন অফ পাবলিক-ফেসিং অ্যাপ্লিকেশন: আনপ্যাচড ভালন্যারেবিলিটি (Log4j, ProxyShell ইত্যাদি)।
5. সাপ্লাই চেইন আক্রমণ: থার্ড-পার্টি সফ্টওয়্যার আপডেট মিডিয়ামে ম্যালওয়্যার বিতরণ।

৪. সিকিউরিটি কন্ট্রোলের ৪ প্রকার (NIST SP 800-53)

৫. সাইবার সিকিউরিটি মিটিগেশন স্ট্র্যাটেজি (Essential Eight / ASD)

1. Application Whitelisting
2. Patch Applications (৪৮ ঘণ্টার মধ্যে ক্রিটিক্যাল প্যাচ)
3. Configure MS Office Macros (ব্লক করুন)
4. Application Hardening (অনাবশ্যক ফিচার ডিজেবল)
5. Restrict Administrative Privileges
6. Patch Operating Systems
7. Multi-Factor Authentication (MFA)
8. Daily Backups (Offline + Tested Restore)

৬. CIA Triad: সাইবার সিকিউরিটির ৩ মূল স্তম্ভ

• Confidentiality (গোপনীয়তা): অননুমোদিত অ্যাক্সেস রোধ
• Integrity (অখণ্ডতা): ডেটা পরিবর্তন/নষ্ট হওয়া রোধ
• Availability (উপলব্ধতা): সিস্টেম এবং ডেটা যогаয়োগ থাকা নিশ্চিত করা

৭. সাইবার সিকিউরিটি প্রোগ্রামের মূল উপাদান

• Risk Management & Governance
• Threat Intelligence & Collaboration
• Third-Party Risk Management
• Incident Response & Resilience
• Security Awareness Training
• Vulnerability Management
• Identity & Access Management (IAM)

সারসংক্ষেপ: অ্যাপ্লিকেশন বা OS ম্যানিপুলেট করা কেবলমাত্র>Authorাইজড, ডকুমেন্টেড, টেস্টেড এবং চেঞ্জ ম্যানেজমেন্ট প্রক্রিয়া মেনে করা উচিত। কোনো অবস্থায় প্রোডাকশনে অনটেস্টেড চেঞ্জ করা যাবে না।