নেটওয়ার্ক সিকিউরিটি হার্ডেনিং: রাউটার, ফায়ারওয়াল, সার্ভার ও হোম নেটওয়ার্কের জন্য সম্পূর্ণ গাইড

নেটওয়ার্ক সিকিউরিটি হার্ডেনিং কী?

সিস্টেম/নেটওয়ার্ক হার্ডেনিং হলো আক্রমণের ভুমি (attack surface) কমানোর জন্য অপ্রয়োজনীয় সার্ভিস, পোর্ট, অ্যাকাউন্ট, পারমিশন বন্ধ করা এবং সিকিউরিটি কন্ট্রোল বাড়ানো প্রক্রিয়া। লক্ষ্য: ডিফল্ট ইনসিকিউর কনফিগারেশন থেকে নিরাপদ, কমপ্লায়েন্ট স্টেটে আনা।

নেটওয়ার্ক ডিভাইস হার্ডেনিং (রাউটার, স্যুইচ, ফায়ারওয়াল)

ডিফল্ট ক্রেডেনশিয়াল পরিবর্তন: admin/admin → শক্তিশালী ইউনিক পাসওয়ার্ড + MFA
অপ্রয়োজনীয় সার্ভিস বন্ধ: Telnet, HTTP, SNMP v1/v2, CDP, LLDP, kecil সার্ভিস
শুধু SSH v2, HTTPS, SNMPv3 ব্যবহার করুন (এনক্রিপ্টেড ম্যানেজমেন্ট)
RBAC (Role-Based Access Control): লিষ্ট প্রিভিলেজ, রিড-অনلی রোল, কমান্ড অথোরাইজেশন
লগিং ও মনিটরিং: Syslog → SIEM, SNMPv3 ট্র্যাপ, AAA অ্যাকাউন্টিং (TACACS+/RADIUS)
ফার্মওয়্যার আপডেট: সিকিউরিটি প্যাচ সময়মতো লাগান (CVE ট্র্যাক করুন)
কনফিগারেশন ব্যাকআপ / ভার্শন কন্ট্রোল: Git/Ansible/Terraform দিয়ে IaC
কন্ট্রোল প্লেন প্রোটেকশন (CoPP/CPPr): CPU ওভারলোড রোধ
BGP সিকিউরিটি: RPKI,_PREFIX ফিল্টার, MD5/SHA অথেন্টিকেশন

সার্ভার হার্ডেনিং (Windows / Linux)

এরিয়া	Windows	Linux
অপ্রয়োজনীয় সার্ভিস/রোল	Server Manager > Remove Roles, services.msc	systemctl disable --now , systemd-analyze
ফায়ারওয়াল	Windows Firewall w/ Advanced Security, GPO	nftables/iptables/ufw, firewalld, default deny
অ্যাকাউন্ট পলিসি	GPO: Password complexity, lockout, LAPS	/etc/login.defs, PAM, faillock, sudoers
অডিটিং / লগিং	Advanced Audit Policy, Sysmon, Event Forwarding	auditd, journald, rsyslog → SIEM
রেজিস্ট্রি / কার্নেল হার্ডেনিং	Registry hardening, EMET/Exploit Protection	sysctl (net.ipv4., kernel.), grsecurity, lockdown
অ্যাপ্লিকেশন হার্ডেনিং	AppLocker, WDAC, Attack Surface Reduction	SELinux/AppArmor (Enforcing), seccomp, bubblewrap

হোম নেটওয়ার্ক হার্ডেনিং (ব্যক্তিগত / স্মল অফিস)

রাউটার প্লেসমেন্ট: কেন্দ্রীয় অবস্থান, সিগন্যাল লিকেজ কমাতে
অ্যাডমিন ক্রেডেনশিয়াল পরিবর্তন: ডিফল্ট admin/password → শক্তিশালী পাসওয়ার্ড
SSID পরিবর্তন: ব্যক্তিগত তথ্য (নাম, ঠিকানা) ব্যবহার করবেন না
Wi-Fi পাসওয়ার্ড: WPA2-AES বা WPA3, ১২+ ক্যারেক্টার
WPS & UPnP সম্পূর্ণরূপে ডিসেবল করুন (বড় সিকিউরিটি হোল)
গেস্ট নেটওয়ার্ক সক্রিয় করুন: IoT, স্মার্ট ডিভাইস, দর্শকদের জন্য আলাদা
DMZ / Port Forwarding বন্ধ রাখুন (যদি আবশ্যক না হয়)
ফার্মওয়্যার অটো-আপডেট অন করুন
রিমোট ম্যানেজমেন্ট (WAN থেকে) ডিসেবল রাখুন
DNS সিকিউরিটি: NextDNS, Control D, বা Pi-hole ব্যবহার করুন
IoT ডিভাইস ভিএলএনে আইসোলেট করুন (VLAN-aware রাউটার দরকার)

হার্ডেনিং এর ফয়দা (Why Hardening Matters)

আক্রমণের ভুমি (Attack Surface) কমানো: কম এন্ট্রি পয়েন্ট = কম ঝুঁকি
কমপ্লায়েন্স: CIS Benchmarks, DISA STIG, NIST 800-53, PCI-DSS Requirement 2.2
ইনসিডেন্ট রেসপন্স সহজ: কম নויז, ক্লিয়ার বেসলাইন
লেটারাল মুভমেন্ট রোধ: ভাঙলেও স্প্রেড করতে পারবে না
অপারেশনাল স্ট্যাবিলিটি: কম ক্র্যাশ, কম অনপ্রিডিক্টেবল বিহেভিয়র

CIS Benchmarks (সার্বজনীন হার্ডেনিং স্ট্যান্ডার্ড)

CIS Microsoft Windows 10/11 Benchmark
CIS Ubuntu / RHEL / Debian Linux Benchmark
CIS Cisco IOS / ASA / NX-OS Benchmark
CIS AWS / Azure / GCP Foundations Benchmark
CIS Kubernetes / Docker Benchmark
সাবগুলো ফ্রি ডাউনলোডযোগ্য: cisecurity.org

হার্ডেনিং অটোমেশন টুলস

Ansible Hardening Roles: dev-sec/ansible-collection-hardening
OpenSCAP / SCAP Scanner: CIS/DISA STIG কমপ্লায়েন্স চেক
Microsoft Security Compliance Toolkit: GPO ব্যাকআপ/কমপেয়ার
Lynis (Linux Auditing): sudo lynis audit system
Windows Defender ATP / MDE: Attack Surface Reduction Rules

নেটওয়ার্ক হার্ডেনিং চেকলিস্ট (Quick Reference)

☐ ডিফল্ট পাসওয়ার্ড পরিবর্তন (সব ডিভাইস)
☐ MFA সক্রিয় (সব অ্যাডমিন/রিমোট অ্যাক্সেস)
☐ শুধু এনক্রিপ্টেড ম্যানেজমেন্ট (SSHv2, HTTPS, SNMPv3)
☐ অপ্রয়োজনীয় পোর্ট/সার্ভিস বন্ধ
☐ নেটওয়ার্ক সেগমেন্টেশন (VLAN/জোন)
☐ ফায়ারওয়াল ডিফল্ট-ডেনি পলিসি
☐ লগিং → SIEM (NTP সিঙ্ক্রোনাইজড)
☐ ফার্মওয়্যার/OS প্যাচ করেন্ট
☐ ব্যাকআপ টেস্টেড (রিস্টোর যাচাই)
☐ ইনসিডেন্ট রেসপন্স প্ল্যান আপডেটেড

হার্ডেনিং একবারই নয়—এটি একটি চলমান প্রক্রিয়া। প্রতিটি পরিবর্তনের পর টেস্ট করুন, ডকুমেন্ট করুন, এবং নিয়মিত অডিট করুন।