নেটওয়ার্ক সিকিউরিটি টেস্টিং: পেনিট্রেশন টেস্ট এবং এসিড টেস্ট

নেটওয়ার্ক সিকিউরিটি অ্যাসেসমেন্ট এবং পেনিট্রেশন টেস্টিং গাইড

নেটওয়ার্ক সিকিউরিটি টেস্টিং কী?

নেটওয়ার্ক সিকিউরিটি টেস্টিং হলো নেটওয়ার্কের ভালনারেবিলিটি, কনফিগারেশন ত্রুটি এবং সিকিউরিটি কন্ট্রোলের কার্যকারিতা যাচাই করার প্রক্রিয়া। এর লক্ষ্য হামলার আগে দুর্বলতা শনাক্ত ও নিরसन।

প্রধান টেস্টিং পদ্ধতি

1. Vulnerability Scanning: অটোমেটেড টুলস (Nessus, OpenVAS, Qualys) দিয়ে পরিচিত ভালনারেবিলিটি স্ক্যান।
2. Penetration Testing (Ethical Hacking): ম্যানুয়াল সিমুলেটেড আক্রমণ দিয়ে এক্সপ্লয়েটেবল দুর্বলতা খুঁজে বের করা।
3. Configuration Review: ফায়ারওয়াল, রাউটার, স্যুইচ, সার্ভার কনফিগারেশন বেস্ট প্র্যাকটিস অনুযায়ী কিনা চেক।
4. Password Cracking: হ্যাশড পাসওয়ার্ডের স্ট্রেন্থ টেস্ট (John the Ripper, Hashcat)।
5. Social Engineering Testing: ফিশিং সিমুলেশন, фізиকাল সিকিউরিটি টেস্ট।

পেনিট্রেশন টেস্টিং (Pentest) প্রক্রিয়া

1. Planning & Scoping: লক্ষ্য, নিয়ম, টাইমলাইন, লিগ্যাল অনুমতি।
2. Reconnaissance: প্যাসিভ/অ্যাক্টিভ ইনফরমেশন গেদারিং।
3. Scanning & Enumeration: পোর্ট স্ক্যান, সার্ভিস ভার্শন, ভালনারেবিলিটি স্ক্যান।
4. Exploitation: ভালনারেবিলিটি এক্সপ্লয়েট করে অ্যাক্সেস অর্জন।
5. Post-Exploitation: ল্যাটারাল মুভমেন্ট, ডেটা এক্সফিল্ট্রেশন, পায়েরসিস্টেন্স।
6. Reporting: ফাইন্ডিং, রিস্ক রেটিং (CVSS), রিমিডিয়েশন সুপারিশ, এক্সিকিউটিভ সামারি।

পেনিট্রেশন টেস্টের ধরন

• Black Box: কোনো তথ্য নেই, বাহ্যিক হামলাকারির দৃষ্টিভঙ্গি।
• White Box: পুরো আর্কিটেকচার, সোর্স কোড, কনফিগারেশন দেওয়া থাকে।
• Gray Box: আংশিক তথ্য (যেমন: ইউজার লেভেল অ্যাক্সেস)।

লিগ্যাল ও এথিক্যাল বিবেচনা

লিখিত অনুমতি (Rules of Engagement) ছাড়া পেনিট্রেশন টেস্টিং غيرকানুনি। ISO 27001, PCI-DSS, HIPAA কম্প্লায়েন্সের জন্য বার্ষিক পেনিট্রেশন টেস্ট বাধ্যতামূলক।