লাইট থ্রেট মডেলিং ব্যবহার করে ফাস্ট-ট্র্যাক সিকিউর ডেভেলপমেন্ট

ব্যস্ত সফ্টওয়্যার কোম্পানিতে সব সময় নতুন বিকাশ ঘটে। কিন্তু নিরাপদ উন্নয়নও কি ঘটছে?

লাইট থ্রেট মডেলিং (LTM) নামক একটি প্রক্রিয়া নিরাপদ উন্নয়নে স্টেকহোল্ডারদের জড়িত করে, যাতে নিরাপত্তা বেক করা হয় এবং তা বন্ধ না হয়। LTM কি, এবং কিভাবে এটি ঐতিহ্যগত হুমকি মডেলিং থেকে পৃথক?

লাইট থ্রেট মডেলিং এপ্রোচ

LTM হল একটি সিস্টেম বা অ্যাপ্লিকেশনে সম্ভাব্য নিরাপত্তা হুমকি এবং দুর্বলতা সনাক্তকরণ, মূল্যায়ন এবং প্রশমিত করার জন্য একটি সুবিন্যস্ত পদ্ধতি। এটি একটি সরলীকৃত সংস্করণ ঐতিহ্যগত হুমকি মডেলিং, যা সাধারণত নিরাপত্তা ঝুঁকির আরও ব্যাপক এবং বিশদ বিশ্লেষণ জড়িত।

এলটিএম-এর সাহায্যে, আমরা ম্যানুয়ালি সিস্টেম বা অ্যাপে পিন আটকে রাখছি না যে এটি ভেঙ্গে যায় কিনা, যেমনটি আমরা পেন টেস্টিং করি। বরং, আমরা অ্যাপ্লিকেশানে "তাত্ত্বিক ছিদ্র" খোঁচা দিই, সম্ভাব্য আক্রমণের পথ এবং দুর্বলতা উন্মোচন করি।

জিজ্ঞাসা করা বিবেচনা করার জন্য এখানে কিছু প্রশ্ন রয়েছে:

• কে আমাদের সিস্টেম আক্রমণ করতে চান?
• সিস্টেমের কি উপাদান আক্রমণ করা যেতে পারে, এবং কিভাবে?
• যদি কেউ প্রবেশ করে তাহলে সবচেয়ে খারাপ জিনিসটি কী হতে পারে?
• এটা আমাদের কোম্পানির উপর কি নেতিবাচক প্রভাব ফেলবে? আমাদের গ্রাহকদের উপর?

কখন LTM সঞ্চালিত হয়? 

যখনই একটি নতুন বৈশিষ্ট্য প্রকাশ করা হয়, একটি নিরাপত্তা নিয়ন্ত্রণ পরিবর্তন করা হয়, বা বিদ্যমান সিস্টেম আর্কিটেকচার বা অবকাঠামোতে কোনো পরিবর্তন করা হয় তখনই একটি LTM সম্পাদন করা ভাল।

আদর্শভাবে, LTM সঞ্চালিত হয় পরে নকশা পর্যায় এবং আগে বাস্তবায়ন. সর্বোপরি, এটি উত্পাদনে মুক্তি পাওয়ার আগে একটি দুর্বলতা ঠিক করা অনেক, অনেক সহজ। আপনার প্রতিষ্ঠান জুড়ে LTM স্কেল করতে, স্পষ্ট এবং সামঞ্জস্যপূর্ণ প্রক্রিয়া এবং মান স্থাপন করতে ভুলবেন না। এতে হুমকি শ্রেণীগুলির একটি সাধারণ সেট সংজ্ঞায়িত করা, হুমকি এবং দুর্বলতার সাধারণ উত্সগুলি সনাক্ত করা এবং ঝুঁকিগুলি মূল্যায়ন এবং হ্রাস করার জন্য মানক পদ্ধতিগুলি বিকাশ করা জড়িত থাকতে পারে।

কিভাবে আপনার প্রতিষ্ঠানে LTM সম্পাদন করবেন 

আপনার নিজের প্রতিষ্ঠানের মধ্যে LTMগুলি সম্পাদন করা শুরু করতে, প্রথমে আপনার অভ্যন্তরীণ নিরাপত্তা দলগুলিকে আপনার LTM কথোপকথনের নেতৃত্ব দিন৷ আপনার ইঞ্জিনিয়ারিং দলগুলি প্রক্রিয়াটির সাথে আরও পরিচিত হওয়ার সাথে সাথে তারা তাদের নিজস্ব হুমকি মডেলগুলি সম্পাদন করা শুরু করতে পারে।

আপনার প্রতিষ্ঠান জুড়ে LTM স্কেল করতে, স্পষ্ট এবং সামঞ্জস্যপূর্ণ প্রক্রিয়া এবং মান স্থাপন করতে ভুলবেন না। এতে হুমকি শ্রেণীগুলির একটি সাধারণ সেট সংজ্ঞায়িত করা, হুমকি এবং দুর্বলতার সাধারণ উত্সগুলি সনাক্ত করা এবং ঝুঁকিগুলি মূল্যায়ন এবং হ্রাস করার জন্য মানক পদ্ধতিগুলি বিকাশ করা জড়িত থাকতে পারে।

এড়ানোর জন্য সাধারণ LTM ভুল

নিরাপত্তা ব্যক্তিরা হুমকি মডেলিংয়ে দুর্দান্ত: তারা প্রায়শই সবচেয়ে খারাপ আশা করে এবং এজ কেসগুলি নিয়ে চিন্তা করার জন্য যথেষ্ট কল্পনাপ্রবণ। কিন্তু এই গুণগুলি তাদের LTM ফাঁদেও পড়তে বাধ্য করে, যেমন:

• বহিরাগতদের উপর খুব বেশি ফোকাস করা। এটি একটি LTM অনুশীলনের সময় ঘটে যখন কথোপকথনের ফোকাস তার বহিরাগতদের জন্য সবচেয়ে বাস্তবসম্মত হুমকি থেকে দূরে সরে যায়। এটি সমাধান করতে, আপনার ইকোসিস্টেমটি পুঙ্খানুপুঙ্খভাবে বুঝতে ভুলবেন না। আপনার নিরাপত্তা তথ্য এবং ইভেন্ট ম্যানেজমেন্ট (SIEM) এবং অন্যান্য নিরাপত্তা পর্যবেক্ষণ সিস্টেম থেকে তথ্য ব্যবহার করুন। আপনি যদি বলুন, 10,000 আক্রমণ আপনার অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেস (API) এন্ডপয়েন্টে আঘাত করছে, উদাহরণস্বরূপ, আপনি জানেন যে আপনার প্রতিপক্ষরা সেদিকেই মনোনিবেশ করছে। আপনার এলটিএম এর দিকেও মনোযোগ দেওয়া উচিত।
• খুব প্রযুক্তিগত হচ্ছে. প্রায়শই, একবার একটি তাত্ত্বিক দুর্বলতা আবিষ্কৃত হলে, প্রযুক্তিগত লোকেরা "সমস্যা সমাধানের মোডে" ঝাঁপিয়ে পড়ে। তারা সমস্যাটির "সমাধান" করে এবং সংস্থার উপর দুর্বলতার প্রভাব সম্পর্কে কথা বলার পরিবর্তে প্রযুক্তিগত বাস্তবায়নের কথা বলে। আপনি যদি দেখেন যে এটি আপনার LTM অনুশীলনের সময় ঘটছে, তাহলে কথোপকথনটি ফিরিয়ে আনার চেষ্টা করুন: দলকে বলুন যে আপনি এখনও বাস্তবায়নের বিষয়ে কথা বলতে যাচ্ছেন না। মাধ্যমে কথা বলুন ঝুঁকি এবং প্রভাব প্রথম।
• অনুমান করা সরঞ্জামগুলি একাই ঝুঁকিগুলি পরিচালনা করে। প্রায়শই, বিকাশকারীরা আশা করে যে তাদের সরঞ্জামগুলি সমস্ত সমস্যা খুঁজে পাবে। সর্বোপরি, বাস্তবতা হল যে একটি হুমকি মডেল একটি নির্দিষ্ট দুর্বলতা খুঁজে বের করার জন্য নয়। বরং, এটি স্থাপত্য স্তরে সিস্টেমের সামগ্রিক ঝুঁকির দিকে তাকাতে বোঝানো হয়েছে। প্রকৃতপক্ষে, অনিরাপদ নকশা ছিল OWASP-এর সাম্প্রতিকতম একটি শীর্ষ 10 ওয়েব অ্যাপ্লিকেশন নিরাপত্তা ঝুঁকি. আপনার আর্কিটেকচারাল স্তরে হুমকি মডেলের প্রয়োজন কারণ স্থাপত্য সুরক্ষা সমস্যাগুলি সমাধান করা সবচেয়ে কঠিন।
• সম্ভাব্য হুমকি এবং দুর্বলতা উপেক্ষা করা. থ্রেট মডেলিং এককালীন ব্যায়াম নয়। ক্রমাগত পরিবর্তনশীল আক্রমণ ভেক্টর এবং হুমকি অভিনেতাদের থেকে এগিয়ে থাকার জন্য সম্ভাব্য হুমকি এবং দুর্বলতাগুলি নিয়মিতভাবে পুনঃমূল্যায়ন করা গুরুত্বপূর্ণ।
• উচ্চ-স্তরের বাস্তবায়ন কৌশল পর্যালোচনা না করা। একবার সম্ভাব্য হুমকি এবং দুর্বলতাগুলি চিহ্নিত করা হয়ে গেলে, সেগুলি প্রশমিত বা নির্মূল করার জন্য কার্যকর পাল্টা ব্যবস্থা বাস্তবায়ন করা গুরুত্বপূর্ণ। এর মধ্যে প্রযুক্তিগত নিয়ন্ত্রণগুলি অন্তর্ভুক্ত থাকতে পারে, যেমন ইনপুট বৈধতা, অ্যাক্সেস নিয়ন্ত্রণ বা এনক্রিপশন, সেইসাথে কর্মচারী প্রশিক্ষণ বা প্রশাসনিক নীতির মতো অপ্রযুক্তিগত নিয়ন্ত্রণ।

উপসংহার

LTM হল সম্ভাব্য নিরাপত্তা হুমকি এবং দুর্বলতা সনাক্তকরণ, মূল্যায়ন এবং প্রশমিত করার জন্য একটি সুবিন্যস্ত পদ্ধতি। এটি অত্যন্ত ডেভেলপার-বান্ধব এবং এটি নিরাপদ কোড চলে যায় প্রথম দিকে হুমকি মডেলিং করছেন সফটওয়্যার ডেভেলপমেন্ট লাইফ সাইকেলে (SDLC)। এখনও ভাল, হুমকি মডেলিং চালানোর জন্য ল্যাবগুলির উপর নির্ভর করার বিপরীতে সফ্টওয়্যার বিকাশকারী এবং স্থপতিদের দ্বারা একটি LTM করা যেতে পারে।

সামঞ্জস্যপূর্ণ এবং কার্যকর পদ্ধতিতে LTM-এর বিকাশ ও বাস্তবায়নের মাধ্যমে, সংগঠনগুলি সাধারণ ত্রুটি এবং ভুলগুলি এড়িয়ে সবচেয়ে গুরুত্বপূর্ণ নিরাপত্তা ঝুঁকিগুলিকে দ্রুত এবং কার্যকরভাবে চিহ্নিত করতে এবং মোকাবেলা করতে পারে।

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• প্লেটোব্লকচেন। Web3 মেটাভার্স ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• উত্স: https://www.darkreading.com/vulnerabilities-threats/fast-track-secure-development-using-lite-threat-modeling