পাঁচজন নিরাপত্তা প্রকৌশলীকে “সাইবার হুমকি”-র সংজ্ঞা দিতে বললে আপনি পাঁচটি ভিন্ন উত্তর পাবেন, যার প্রত্যেকটিতেই থাকবে সেই সাম্প্রতিক ঘটনাটির বর্ণনা যা তাদের রাতের ঘুম কেড়ে নিয়েছিল। সমস্যাটা এখানেই। হুমকির শ্রেণিবিভাগ আগে খুবই সহজ ছিল: ফিশিং, ম্যালওয়্যার, চুরি হওয়া পাসওয়ার্ড। বর্তমানে, আক্রমণের পরিধির মধ্যে অন্তর্ভুক্ত রয়েছে আপনার ডেভেলপারদের লেখা কোড, তাদের ইম্পোর্ট করা ওপেন-সোর্স প্যাকেজ, ইত্যাদি। pipelineযেগুলো সেই কোড তৈরি ও সরবরাহ করে, এবং ক্রমবর্ধমানভাবে, খোদ IDE-র ভেতরে থাকা AI টুলগুলোও।
এই পোস্টে আধুনিক সফটওয়্যার সংস্থাগুলির সম্মুখীন হওয়া প্রধান ধরণের সাইবার হুমকিগুলি বিশদভাবে আলোচনা করা হয়েছে, যা সফটওয়্যার ডেভেলপমেন্ট লাইফসাইকেল জুড়ে আক্রমণগুলি আসলে কীভাবে ঘটে তার উপর ভিত্তি করে তৈরি।SDLC), এক দশক পুরোনো শব্দকোষ থেকে অনুলিপি করা একটি সাধারণ তালিকায় নেই।
কেন পুরোনো ধরনের সাইবার হুমকি আজকের ঝুঁকিগুলোকে মোকাবেলা করতে পারে না
‘সাইবার হুমকির প্রকারভেদ’ বিষয়ক বেশিরভাগ আলোচনায় এখনও নিরাপত্তাকে একটি পরিধিগত সমস্যা হিসেবেই দেখা হয়: যেমন ফায়ারওয়াল, এন্ডপয়েন্ট, ফিশিং ইমেল। এই দৃষ্টিভঙ্গিটি তখন যুক্তিযুক্ত ছিল যখন সফটওয়্যার বেশিরভাগই অভ্যন্তরীণভাবে তৈরি করা হতো এবং ধীরে ধীরে সরবরাহ করা হতো। কিন্তু নিম্নলিখিত পরিস্থিতিতে এটি আর কার্যকর নয়:
- অ্যাপ্লিকেশনগুলো শত শত ওপেন-সোর্স নির্ভরতা থেকে তৈরি করা হয়, যেগুলোর যেকোনো একটি ঝুঁকিপূর্ণ হতে পারে।
- কোড এর মধ্য দিয়ে যায় CI/CD pipelineযেগুলো ব্যাপক অনুমতি এবং সামান্য মানবিক তত্ত্বাবধান নিয়ে চলে।
- কোডের একটি ক্রমবর্ধমান অংশ এআই-দ্বারা তৈরি বা এআই-এর সহায়তায় নির্মিত হচ্ছে, যা প্রেরিত ত্রুটিগুলোর পরিমাণ ও প্রকৃতি উভয়ই পরিবর্তন করে দিচ্ছে।
আজকের হুমকিগুলো বোঝার অর্থ হলো, সফটওয়্যার সরবরাহ শৃঙ্খলের কোন পর্যায় থেকে প্রত্যেকটির উৎপত্তি, শুধু এটি শেষ পর্যন্ত কী ক্ষতি করে তা বোঝা নয়।
বর্তমানে নিরাপত্তা দলগুলো যে প্রধান ধরনের সাইবার হুমকির সম্মুখীন হয়
প্রতিটি ধরণের সাইবার হুমকি ব্যাখ্যা করা হলো
১. সফটওয়্যার সরবরাহ শৃঙ্খলে ম্যালওয়্যার
ক্ষতিকর কোড এখন আর শুধু সংক্রামিত ইমেল অ্যাটাচমেন্টের মাধ্যমেই আসে না। এটি ক্রমবর্ধমানভাবে ওপেন-সোর্স প্যাকেজ, হ্যাক হওয়া গিটহাব অ্যাকশন, বা বিকৃত বিল্ড আর্টিফ্যাক্টের মাধ্যমে আসে। আক্রমণকারীরা প্যাকেজ প্রকাশ বা হাইজ্যাক করে, ডিপেন্ডেন্সিগুলোতে ব্যাকডোর ও ট্রোজান ঢুকিয়ে দেয় এবং ডেভেলপারদের সাধারণ প্রক্রিয়ার মাধ্যমে সেগুলো যুক্ত করার জন্য অপেক্ষা করে। install কমান্ড।
এই কারণেই সফটওয়্যার সাপ্লাই চেইন অ্যাটাক সবচেয়ে দ্রুত বর্ধনশীল হুমকির একটি শ্রেণীতে পরিণত হয়েছে: এগুলো বিশ্বাসের সুযোগ নেয়। একজন ডেভেলপার একটি প্যাকেজ রেজিস্ট্রিকে ঠিক সেভাবেই বিশ্বাস করেন, যেভাবে তিনি তার নিজের কোড এডিটরকে বিশ্বাস করেন, এবং আক্রমণকারীরা তা জানে।
২. গোপনীয় তথ্য ফাঁস
সোর্স কোড, কনফিগারেশন ফাইল বা অন্য কোনো ফাইলে হার্ডকোড করা পাসওয়ার্ড, এপিআই কী এবং টোকেন। CI/CD লগগুলি ডেটা লঙ্ঘনের অন্যতম সাধারণ এবং প্রতিরোধযোগ্য কারণ হিসেবে রয়ে গেছে। একবার কোনো গোপনীয় তথ্য ফাঁস হয়ে গেলে... commitকোনো রিপোজিটরিতে, এমনকি ব্যক্তিগত রিপোজিটরিতেও, এটি সংরক্ষিত থাকলে, কেউ মনে রাখার অনেক পরেও তা ভার্সন হিস্ট্রিতে থেকে যেতে পারে, এবং ফাঁস হওয়া গোপনীয় তথ্য প্রায়শই ফাঁস হওয়ার কয়েক দিন পরেও সক্রিয় অবস্থায় পাওয়া যায়।
৩. নির্ভরশীলতা এবং ওপেন-সোর্স ঝুঁকি
পরিচিত CVE-গুলো ছাড়াও, এই বিভাগে এমন সব অ্যাটাক প্যাটার্ন অন্তর্ভুক্ত রয়েছে যা বিশেষভাবে ডেভেলপারদের (এবং ক্রমবর্ধমানভাবে, এআই কোডিং অ্যাসিস্ট্যান্টদের) প্যাকেজ বাছাই করার পদ্ধতিকে লক্ষ্য করে:
- টাইপস্কোটিংজনপ্রিয় কোনো প্যাকেজের নামের সাথে প্রতারণামূলকভাবে সাদৃশ্যপূর্ণ একটি ক্ষতিকারক প্যাকেজ প্রকাশ করা।
- নির্ভরশীলতার বিভ্রান্তিবিল্ড সিস্টেমকে ধোঁকা দিয়ে উদ্দিষ্ট অভ্যন্তরীণ প্যাকেজের পরিবর্তে একটি পাবলিক প্যাকেজ পুল করানো।
- স্লপস্কোয়াটিংএমন একটি প্যাকেজ নাম নিবন্ধন করা যা একটি এআই কোডিং সহকারী অলীক কল্পনায় সুপারিশ করে, ফলে সেই “সহায়ক” পরামর্শটি আসল লাইব্রেরির পরিবর্তে ম্যালওয়্যার ইনস্টল করে দেয়।
4. CI/CD এবং বিল্ড pipeline হামলা
Pipelineএগুলো মেশিনের গতিতে চলে, উন্নত ও প্রায়শই অপর্যাপ্ত পরিসরের অনুমতি এবং অ-মানব পরিচয় ব্যবহার করে, যেগুলো ব্যবহারকারী অ্যাকাউন্টের মতো খুব কমই নিরীক্ষিত হয়। এই সংমিশ্রণটি এগুলোকে একটি কার্যকর লক্ষ্যে পরিণত করে: অননুমোদিত কোড ইনজেকশন, নির্ভরতা শৃঙ্খলের অপব্যবহারঅপর্যাপ্ত অ্যাক্সেস নিয়ন্ত্রণ এবং আপোসকৃত বিল্ড আর্টিফ্যাক্ট হলো সেইসব ঝুঁকির বিভাগ যা NIST SP 800-204D এবং OWASP Top 10-এর মতো ফ্রেমওয়ার্কগুলিতে স্পষ্টভাবে উল্লেখ করা হয়েছে। CI/CD নিরাপত্তা ঝুঁকি। একটি মাত্র হ্যাক হওয়া গিটহাব অ্যাকশন হাজার হাজার বার চলতে পারে। pipelineকেউ খেয়াল করার আগেই।
৫. কোড হিসাবে পরিকাঠামো (IaCভুল কনফিগারেশন
টেরাফর্ম, ক্লাউডফর্মেশন, কুবারনেটিস এবং হেলম টেমপ্লেটগুলো নির্ধারণ করে যে অবকাঠামো কীভাবে প্রোভিশন করা হবে, যার মানে হলো একটি দূষিত বা অসতর্ক কমান্ড IaC ফাইলটি শুধু একটি ভুলের বর্ণনা দেয় না; বরং প্রতিবার টেমপ্লেটটি চলার সময় এটি সেই ভুলটিকে বৃহৎ পরিসরে পুনরাবৃত্তি করে।
৬. এআই-সৃষ্ট কোডের ঝুঁকি
এআই কোডিং অ্যাসিস্ট্যান্টরা প্রোডাকশন কোডের একটি ক্রমবর্ধমান অংশ লেখে, এবং সেই কোডে সহায়তা ছাড়া লেখা কোডের তুলনায় পরিমাপযোগ্যভাবে বেশি ত্রুটি থাকে, যার মধ্যে অথেনটিকেশন এবং আইডেন্টিটি-অ্যান্ড-অ্যাক্সেস-ম্যানেজমেন্ট সংক্রান্ত সমস্যাও অন্তর্ভুক্ত। ঝুঁকিটি এআই টুলটি নিজে নয়; বরং ঝুঁকিটি হলো, এআই-সহায়তায় তৈরি কোড এত দ্রুত প্রকাশিত হয়, যা সামলানোর জন্য বেশিরভাগ রিভিউ প্রক্রিয়া ডিজাইন করা হয়নি।
৭. এআই এজেন্ট এবং এমসিপি-স্তরের হুমকি
এআই যখন অটোকমপ্লিট থেকে টুল অ্যাক্সেসসহ স্বায়ত্তশাসিত এজেন্টের দিকে অগ্রসর হচ্ছে, তখন একটি নতুন হুমকির স্তর উন্মোচিত হয়েছে: প্রম্পট ইনজেকশন, টুল পয়জনিং (যেখানে একটি এজেন্টকে ক্ষতিকারক টুলের বিবরণ দিয়ে প্রতারিত করে অনাকাঙ্ক্ষিত কাজ করানো হয়), এবং বিভিন্ন দুর্বলতা। মডেল কনটেক্সট প্রোটোকল (MCP) যে সার্ভারগুলো এজেন্টদেরকে বাস্তব সিস্টেমের সাথে সংযুক্ত করে। এই স্তরটি প্রচলিত AppSec এবং এন্ডপয়েন্ট টুলগুলোর কাছে অদৃশ্য থাকে, কারণ এটি IDE এবং এজেন্টের নিজস্ব ডিরেক্টরির ভেতরে থাকে।cisআয়ন-গঠন সংক্রান্ত, স্ক্যান করা ফাইলে নেই।
৮. অভ্যন্তরীণ হুমকি এবং রক্ষণাবেক্ষণকারীর নিরাপত্তা লঙ্ঘন
সব হুমকিই বাহ্যিক নয়। রক্ষণাবেক্ষণকারীর অ্যাকাউন্ট হ্যাক হওয়া, অননুমোদিত বিশেষাধিকারের ব্যবহার এবং বিশ্বস্ত অবদানকারীদের দ্বারা করা অপরীক্ষিত পরিবর্তনসমূহ নিরাপত্তা লঙ্ঘনের একটি উল্লেখযোগ্য অংশের জন্য দায়ী। একারণেই কোড স্ক্যান করার মতোই প্যাকেজের মালিকানার পরিবর্তন এবং রক্ষণাবেক্ষণকারীর সুনাম ট্র্যাক করাও সমান গুরুত্বপূর্ণ।
এই ধরণের সাইবার হুমকিগুলোর মধ্যে সাধারণ যোগসূত্রটি হলো
উপরের তালিকাটির দিকে তাকালে একটি ধরন ফুটে ওঠে। এই ধরনের সাইবার হুমকিগুলো আটটি সম্পর্কহীন সমস্যা নয়; এগুলো হলো একই আক্রমণের ক্ষেত্র, যা পাঁচটি ভিন্ন স্তর থেকে দেখা হচ্ছে। SDLCডেভেলপারদের লেখা কোড, তাদের ইম্পোর্ট করা ডিপেন্ডেন্সিগুলো, pipelineযারা এটি তৈরি ও সরবরাহ করে, সেই ওয়ার্কফ্লোতে এখন এমবেড করা এআই মডেল ও এজেন্টগুলো, এবং স্বয়ং ডেভেলপার এনভায়রনমেন্ট। একজন আক্রমণকারীর এই পাঁচটি স্তরই ভেদ করার প্রয়োজন নেই। সাধারণত একটি দুর্বল স্তরই যথেষ্ট, আর ঠিক একারণেই এগুলোকে বিচ্ছিন্ন বিভাগ হিসেবে বিবেচনা করা এবং প্রতিটির সাথে আলাদা টুল জুড়ে দিলে এদের মধ্যে ফাঁক থেকে যায়।
আটটি সতর্কতা থেকে একটি অগ্রাধিকারপ্রাপ্ত দৃশ্যে
জাইজেনি প্রতিটি হুমকির ধরনের জন্য আলাদা আলাদা টুল একত্রিত করার পরিবর্তে, এটি একটি একক প্ল্যাটফর্ম থেকেই সেই পাঁচটি স্তরকে সুরক্ষিত করে। জাইজেনি-র ম্যালওয়্যার প্রতিরক্ষা ক্ষতিকারক প্যাকেজ সনাক্ত করে এবং pipeline রিয়েল টাইমে টেম্পারিং, যার মধ্যে এমন জিরো-ডে থ্রেটও অন্তর্ভুক্ত যাদের এখনও কোনো পরিচিত সিগনেচার নেই—এমন একটি সক্ষমতা যা বেশিরভাগ স্ক্যানার দিতে পারে না, কারণ তারা বিদ্যমান ডিটেকশন রুলের সাথে মেলানোর উপর নির্ভর করে। গোপনীয়তা নিরাপত্তা ১০০টিরও বেশি ধরনের গোপনীয় তথ্য স্ক্যান করে এবং সেগুলোকে প্রকাশের আগেই ব্লক করে দেয়। commitটেড। CI/CD এবং Build Security পাকান pipelineঅননুমোদিত কোড অনুপ্রবেশ এবং অনিরাপদের বিরুদ্ধে IaC কমান্ড। দেবাই এআই অ্যাসিস্ট্যান্টরা যখন কোড লেখে, তখন তা সরাসরি IDE-তেই সুরক্ষিত হয়, এবং এটি ডেভেলপারের কর্মপ্রবাহে কোনো অতিরিক্ত প্রম্পট বা বাধা সৃষ্টি করে না। আর কারণ Xygeni-এর ASPM স্তর এটি থার্ড-পার্টি স্ক্যানার থেকেও তথ্য গ্রহণ করে, তাই ঝুঁকিটি Xygeni বা আপনার আগে থেকে ব্যবহৃত কোনো টুলের মাধ্যমে শনাক্ত হোক না কেন, একই AI-চালিত বাছাই ও অগ্রাধিকার নির্ধারণ পদ্ধতি প্রযোজ্য হয়। সুতরাং, দৃশ্যমানতা সুসংহত করার অর্থ কোনো কিছু পুরোপুরি বাদ দেওয়া নয়।
এর ফলে কোড ও ডিপেন্ডেন্সি জুড়ে আসলে কী কী কাজে লাগানো যেতে পারে, তার একটি অগ্রাধিকারভিত্তিক চিত্র পাওয়া যায়। pipelineমনোযোগ আকর্ষণের জন্য লড়াইরত আটটি বিচ্ছিন্ন অ্যালার্টের পরিবর্তে, সফটওয়্যার, এআই টুল এবং ডেভেলপার এনভায়রনমেন্ট ব্যবহার করাই হলো আসল বিষয়। এই ধরনের সাইবার হুমকির সাথে তাল মিলিয়ে চলার অর্থ প্রতিটি নতুন বিভাগের জন্য আরেকটি টুল যোগ করা নয়; বরং আপনার কাছে ইতিমধ্যে থাকা টুলগুলোর মধ্যকার ফাঁকগুলো পূরণ করাই এর মূল উদ্দেশ্য।
FAQ
সাইবার হুমকি এবং দুর্বলতার মধ্যে পার্থক্য কী?
দুর্বলতা হলো একটি ত্রুটি, যেমন একটি পুরোনো নির্ভরতা বা ভুলভাবে কনফিগার করা কোনো কিছু। pipelineসাইবার হুমকি হলো সেই দুর্বলতাকে কাজে লাগানোর প্রকৃত প্রচেষ্টা। কোনো সফটওয়্যারে হাজার হাজার দুর্বলতা থাকতে পারে এবং তার বিরুদ্ধে কোনো হুমকি নাও দেখা যেতে পারে, অথবা একটি দুর্বলতার সুযোগ নিয়েই নিরাপত্তা লঙ্ঘন ঘটতে পারে। যে নিরাপত্তা দলগুলো শুধু দুর্বলতা গণনা করে, তারা বুঝতে পারে না যে আসলে কোনগুলোকে লক্ষ্যবস্তু করা হচ্ছে।
বর্তমানে সফটওয়্যার টিমগুলো কোন ধরনের সাইবার হুমকির সম্মুখীন সবচেয়ে বেশি হচ্ছে?
সাপ্লাই চেইন অ্যাটাক এবং গোপনীয় তথ্য ফাঁস হওয়াই হলো সবচেয়ে সাধারণ দুটি প্রবেশপথ, যার প্রধান কারণ হলো এগুলো ডেভেলপারদের সাধারণ কার্যকলাপকে (যেমন একটি প্যাকেজ ইনস্টল করা) কাজে লাগায়। commitএকটি অত্যাধুনিক এক্সপ্লয়েটের প্রয়োজন না হয়েই (যেমন কোড) এটি কাজ করে। যদি একটি বিশ্বস্ত কর্মপ্রবাহ আক্রমণকারীদের সহজে প্রবেশ করতে দেয়, তবে তাদের সিস্টেমে অনুপ্রবেশ করার প্রয়োজন হয় না।
কৃত্রিম বুদ্ধিমত্তা (AI) কীভাবে নিরাপত্তা দলগুলোর সম্মুখীন হওয়া সাইবার হুমকির ধরন পরিবর্তন করছে?
এআই পুরোনো হুমকিগুলোকে প্রতিস্থাপন করার পরিবর্তে দুটি নতুন ঝুঁকির ক্ষেত্র তৈরি করে। প্রথমত, এআই-এর সাহায্যে লেখা কোডের চেয়ে এআই-এর তৈরি কোডে বেশি ত্রুটি থাকে। দ্বিতীয়ত, এআই কোডিং অ্যাসিস্ট্যান্ট এবং এজেন্টরা সম্পূর্ণ নতুন ধরনের আক্রমণের কৌশল নিয়ে আসে, যেমন স্লপস্কোয়াটিং (এআই-এর তৈরি করা কোনো কাল্পনিক প্যাকেজ নামের আড়ালে ম্যালওয়্যার প্রবেশ করানো) এবং এমসিপি অ্যাক্সেস থাকা এআই এজেন্টদের বিরুদ্ধে টুল পয়জনিং। এই দুটিই এমন সব ঝুঁকির আওতার বাইরে, যা শনাক্ত করার জন্য পুরোনো অ্যাপসেক টুলগুলো তৈরি করা হয়েছিল।
একটি কোম্পানি কি একটিমাত্র টুল দিয়ে এই সব ধরনের সাইবার হুমকি থেকে নিজেদের রক্ষা করতে পারে?
একক-উদ্দেশ্যমূলক স্ক্যানার দিয়ে নয়, কারণ প্রতিটি হুমকির ধরণ (ম্যালওয়্যার, গোপনীয় তথ্য, নির্ভরতার ঝুঁকি, pipeline আক্রমণ, এআই কোডের ঝুঁকি ইত্যাদির মতো বিষয়গুলো সাধারণত একটি ভিন্ন পয়েন্ট টুলের সাথে সম্পর্কিত থাকে। এই ব্যবধানটি পূরণ করে এমন একটি প্ল্যাটফর্ম, যা বিভিন্ন স্তরকে একসাথে বিবেচনা করে এবং সেগুলোর সবকটি থেকে প্রাপ্ত ফলাফলকে অগ্রাধিকার দেয়; আটটি পৃথক অ্যালার্টের মতো নয়, যেগুলোর মধ্যে কোনো সাধারণ প্রেক্ষাপট নেই।
