আমি অন্য দিন একজন ক্লায়েন্টের সাথে কল করছিলাম এবং সে আমার সাথে শেয়ার করেছে যে তার কোম্পানির সাম্প্রতিক অনুপ্রবেশ পরীক্ষা শূন্য ফলাফল নিয়ে ফিরে এসেছিল। শুধুমাত্র কয়েকটি সুপারিশ ছিল যেগুলি লক্ষ্যগুলির সাথে সামঞ্জস্যপূর্ণ ছিল যা তিনি পূর্বে পরীক্ষার দলের সাথে ভাগ করেছিলেন।
তিনি এই দলটিকে বিশ্বাস করেছিলেন কারণ তারা কয়েক বছর ধরে ব্যবহার করা হয়েছিল; তারা জানত কখন সে সম্পাদিত পরীক্ষা পছন্দ করে, কীভাবে সে নথিভুক্ত জিনিস পছন্দ করে এবং দ্রুত (এবং সস্তা) পরীক্ষা করতে পারে। অবশ্যই, এই বার্ষিক কলম পরীক্ষার মাধ্যমে কমপ্লায়েন্স বক্স চেক করা হচ্ছে, কিন্তু সংস্থাটি কি সত্যিই সাম্প্রতিক সাইবার হামলার বিরুদ্ধে পরীক্ষিত বা সুরক্ষিত ছিল? না। যদি কিছু হয়, সংস্থাটির এখন নিরাপত্তার ভ্রান্ত ধারণা ছিল।
তিনি তাদের সাম্প্রতিক উল্লেখ করেছেন যে টেবিলটপ ব্যায়াম (অনুপ্রবেশ পরীক্ষার অংশ যেখানে প্রতিষ্ঠানের নিরাপত্তার সাথে জড়িত মূল স্টেকহোল্ডাররা তাদের ভূমিকা, দায়িত্ব এবং তাদের সম্পর্কিত ক্রিয়াকলাপ এবং মক সাইবার লঙ্ঘনের প্রতিক্রিয়া নিয়ে আলোচনা করে) ঘটনার প্রতিক্রিয়া ছিল র্যানসমওয়্যারের জন্য। আপনি উচিত র্যানসমওয়্যারের উপর দৃষ্টি নিবদ্ধ করুন যদি এটি ইতিমধ্যেই পূর্ববর্তী পরীক্ষায় কভার করা না থাকে, তবে মানুষের ঝুঁকি বা অভ্যন্তরীণ হুমকি সম্পর্কে কী? যদিও সাম্প্রতিক অনুসন্ধান অনুযায়ী, চারটির মধ্যে তিনটি সাইবার হুমকি এবং হামলা প্রতিষ্ঠানের বাইরে থেকে আসছে, এবং অংশীদারদের জড়িত ঘটনাগুলি বহিরাগত উত্স দ্বারা সৃষ্ট ঘটনাগুলির তুলনায় অনেক বড় হতে থাকে৷ একই সমীক্ষা অনুসারে, বিশেষ সুবিধাপ্রাপ্ত দলগুলি বহিরাগতদের চেয়ে সংস্থার বেশি ক্ষতি করতে পারে।
সুতরাং, কেন আমরা এখনও অযৌক্তিক অনুপ্রবেশ পরীক্ষা করছি যখন আমরা বাস্তবসম্মত হুমকির অনুকরণ করতে পারি এবং সর্বাধিক ব্যবসায়িক ক্ষতির ঝুঁকিতে থাকা সিস্টেমগুলিকে চাপ-পরীক্ষা করতে পারি? আমরা কেন বাস্তবসম্মত এবং প্রভাবশালী ট্যাবলেটপ তৈরি করতে ISAC, CISA এবং অন্যান্য হুমকি প্রতিবেদন থেকে সহজলভ্য অন্তর্দৃষ্টি ব্যবহার করে একটি সংস্থার জন্য সবচেয়ে ক্রমাগত হুমকির দিকে তাকাচ্ছি না? তারপরে আমরা অনুকরণ করতে পারি যে অনুপ্রবেশ পরীক্ষা এবং সিস্টেমের ক্রমবর্ধমান বাস্তবসম্মত স্ট্রেস টেস্টিং এর মাধ্যমে একটি পরিশীলিত নৈতিক হ্যাকিং দলকে সাহায্য করার অনুমতি দেয়, বনাম ভবিষ্যতে কোন সময়ে একটি অনিবার্য লঙ্ঘনের জন্য অপেক্ষা করা।
অডিট সংস্থা এবং নিয়ন্ত্রকরা আশা করে যে কোম্পানিগুলি তাদের নিজস্ব প্রযুক্তি এবং নিরাপত্তা স্ট্যাকের উপর যথাযথ পরিশ্রম করবে, কিন্তু তারা এখনও কঠোরতার স্তরের প্রয়োজন যা আজ প্রয়োজন হয় না। অগ্রগামী সংস্থাগুলি তাদের পরীক্ষায় আরও পরিশীলিত হয়ে উঠছে এবং তাদের অনুপ্রবেশ পরীক্ষা এবং প্রতিপক্ষ সিমুলেশন (যাকে রেড টিম টেস্টিংও বলা হয়) সহ তাদের হুমকি মডেলিং ট্যাবলেটপ অনুশীলনগুলি অন্তর্ভুক্ত করছে। এটি নিশ্চিত করতে সাহায্য করে যে তারা সামগ্রিকভাবে হুমকি প্রকারের মডেলিং করছে, তাদের সম্ভাব্যতা অনুশীলন করছে এবং তারপর তাদের শারীরিক ও প্রযুক্তিগত নিয়ন্ত্রণের কার্যকারিতা পরীক্ষা করছে। এথিক্যাল হ্যাকিং দল একটি কোলাহলপূর্ণ অনুপ্রবেশ পরীক্ষা থেকে সময়ের সাথে সাথে একটি গোপন প্রতিপক্ষ সিমুলেশনে অগ্রগতি করতে সক্ষম হওয়া উচিত, ক্লায়েন্টের সাথে কাজ করে স্পর্শকাতর এবং অফ-লিমিট সরঞ্জামগুলির আশেপাশে দৃষ্টিভঙ্গি তৈরি করতে, যেমন আর্থিক পরিষেবা ট্রেডিং প্ল্যাটফর্ম বা ক্যাসিনো গেমিং সিস্টেমগুলি।
রেড টিম শুধুমাত্র পেশাদারদের আক্রমণাত্মক দল নয় যা একটি কোম্পানির নেটওয়ার্ক পরীক্ষা করে; আজকাল, তারা কিছু সর্বাধিক চাওয়া সাইবার বিশেষজ্ঞদের দ্বারা গঠিত যারা অত্যাধুনিক সাইবার আক্রমণের পিছনে প্রযুক্তিকে বাঁচায় এবং শ্বাস নেয়।
শক্তিশালী আক্রমণাত্মক নিরাপত্তা অংশীদাররা শক্তিশালী লাল দল অফার করে; সংস্থাগুলিকে নিশ্চিত করা উচিত যে তারা আজকের বিপজ্জনক সাইবার অপরাধী বা জাতি-রাষ্ট্রের হুমকি অভিনেতার জন্য সুরক্ষা এবং প্রস্তুত করতে পারে। একটি সাইবার নিরাপত্তা অংশীদার বিবেচনা করার সময়, কিছু বিষয় বিবেচনা করতে হবে।
এই অংশীদার কি আপনাকে কিছু বিক্রি করার চেষ্টা করছে বা এটি কি অজ্ঞেয়বাদী?
একটি বৈধ এবং মজবুত সাইবারসিকিউরিটি প্রোগ্রাম তৈরি করেছে একটি দল যা আপনার প্রতিষ্ঠানকে এমন প্রযুক্তি দিয়ে সজ্জিত করতে চাইছে যা আপনার পরিস্থিতির জন্য উপযুক্ত। সমস্ত প্রযুক্তি এক-আকার-ফিট-সমস্ত নয়, এবং সেইজন্য, পণ্যগুলিকে আগে থেকে সুপারিশ করা উচিত নয় তবে আপনার কোম্পানির চাহিদা এবং অনন্য প্রয়োজনীয়তাগুলির পুঙ্খানুপুঙ্খ পর্যালোচনার পরে সুপারিশ করা উচিত।
প্রতিরক্ষামূলক ডেটা থেকে R&D প্রাপ্ত করা
তাদের দলটি সাম্প্রতিকতম এন্ডপয়েন্ট সনাক্তকরণ এবং প্রতিক্রিয়া এবং অন্যান্য উন্নত প্রতিরক্ষার উপর ভিত্তি করে কাস্টম সরঞ্জাম এবং ম্যালওয়্যার গবেষণা করে এবং বিকাশ করে কিনা তা সন্ধান করুন৷ সাইবার সিকিউরিটির জন্য কোন কুকি-কাটার পন্থা নেই, বা হওয়া উচিতও নয়। উন্নত সাইবার আক্রমণের বিরুদ্ধে একটি সংস্থাকে প্রস্তুত এবং রক্ষা করার জন্য ব্যবহৃত সরঞ্জামগুলি ক্রমাগত আপগ্রেড করা হচ্ছে এবং অপরাধীদের ক্রমবর্ধমান পরিশীলিততার বিরুদ্ধে লড়াই করার জন্য সংক্ষিপ্ত করা হচ্ছে।
সেরা পান
তাদের আক্রমণাত্মক নিরাপত্তা প্রকৌশলী কি সত্যিই জাতি-রাষ্ট্রের ক্ষমতা সনাক্তকরণ এড়াতে এবং স্টিলথ বজায় রাখার জন্য, নাকি তারা সম্মতি-ভিত্তিক কলম পরীক্ষক? সহজ কথায়, আপনার সাথে কি সেরা, সবচেয়ে অভিজ্ঞ দল কাজ করছে? যদি না হয়, অন্য সঙ্গী খুঁজুন।
মানসিকতা পরীক্ষা করুন
দল কি একটি সম্মতি মানসিকতা বা হুমকি প্রস্তুতির সাথে নেতৃত্ব দেয়? যদিও কমপ্লায়েন্স চেকলিস্টগুলি আপনার কাছে মৌলিক বিষয়গুলি রয়েছে তা নিশ্চিত করার জন্য গুরুত্বপূর্ণ, এটি কেবল এটিই: একটি চেকলিস্ট। সংস্থাগুলির বোঝা উচিত, চেকলিস্টের বাইরে, তাদের 24/7 নিরাপদ থাকতে হবে৷
শেষ পর্যন্ত, একটি সাইবার অংশীদার খুঁজুন যে কঠিন প্রশ্ন জিজ্ঞাসা করবে এবং একটি প্রোগ্রাম বিশ্লেষণ করার সময় বিবেচনার বিস্তৃত সুযোগ সনাক্ত করবে। এটি একটি আক্রমণাত্মক সমাধান অফার করবে যা আপনার সংস্থাকে সাইবার অপরাধীদের থেকে এক ধাপ এগিয়ে রাখবে যা সর্বাধিক স্থিতিস্থাপকতার জন্য বার বাড়াতে থাকে। কলম পরীক্ষা ছাড়িয়ে যান!
