নিরাপত্তা দলগুলো খুব কমই তথ্যের অভাবে ব্যর্থ হয়। বেশিরভাগ ক্ষেত্রেই, তারা প্রথমে ভুল সমস্যাগুলো সমাধান করার চেষ্টা করার কারণেই ব্যর্থ হয়। ঠিক এই কারণেই Known-Exploit Intelligence, ঝুঁকি-ভিত্তিক দুর্বলতা ব্যবস্থাপনা, Cyber Resilience Act, এবং অন্যান্য বিষয়গুলো গুরুত্বপূর্ণ। CISপরিচিত ও ব্যবহৃত দুর্বলতার একটি ক্যাটালগ এখন আধুনিক অ্যাপসেক ওয়ার্কফ্লোতে সমন্বিত হয়েছে।
প্রতি সপ্তাহে স্ক্যানারগুলো শত শত দুর্বলতার খবর দেয়। কিন্তু আক্রমণকারীরা সেগুলোর মধ্যে মাত্র অল্প কিছু দুর্বলতার সুযোগ নেয়। ফলে, দুর্বলতার প্রেক্ষাপট না বুঝে অগ্রাধিকার নির্ধারণকারী দলগুলো সময় নষ্ট করে, আর আসল হুমকিগুলো তাদের নজর এড়িয়ে যায়। নোন-এক্সপ্লয়েট ইন্টেলিজেন্স এই ঘাটতি পূরণ করে, কারণ এটি শুধু কাগজে-কলমে গুরুতর মনে হওয়া দুর্বলতাগুলোই নয়, বরং আক্রমণকারীরা প্রকৃতপক্ষে ব্যবহার করে এমন দুর্বলতাগুলোকেও সামনে নিয়ে আসে।
যা জানা আছে-বুদ্ধিমত্তার অপব্যবহার
নোন-এক্সপ্লয়েট ইন্টেলিজেন্স এমন দুর্বলতাগুলো শনাক্ত করে, যা আক্রমণকারীরা বাস্তব পরিবেশে সক্রিয়ভাবে কাজে লাগায়। অন্য কথায়, এটি তাত্ত্বিক ঝুঁকিকে নিশ্চিত আক্রমণ আচরণ থেকে পৃথক করে।
দুর্বলতা জিজ্ঞাসা করার পরিবর্তে পারা শোষিত হলে, দলগুলো অবশেষে জিজ্ঞাসা করতে পারে:
এর কি ইতিমধ্যেই অপব্যবহার করা হচ্ছে, এবং এটি কি আমার পণ্যকে প্রভাবিত করছে?
এই পার্থক্যটি কার্যক্ষেত্রে এবং ক্রমবর্ধমানভাবে আইনগতভাবেও গুরুত্বপূর্ণ।
কেন প্রচলিত অগ্রাধিকার ব্যবস্থা ভেঙে পড়ে
বেশিরভাগ দল এখনও ঝুঁকির অগ্রাধিকার নির্ধারণ করতে স্থির সংকেতের উপর নির্ভর করে।
সাধারণত, তারা দুর্বলতাগুলোকে নিম্নলিখিত ভিত্তিতে শ্রেণীবদ্ধ করে:
- CVSS তীব্রতা
- স্ক্যানার আত্মবিশ্বাস
- প্যাকেজের জনপ্রিয়তা
যদিও এই সংকেতগুলো অপ্রয়োজনীয় তথ্য কমাতে সাহায্য করে, তবুও এগুলো একটি গুরুত্বপূর্ণ বিষয় এড়িয়ে যায়: আক্রমণকারীর আচরণ। এর ফলে, দলগুলো প্রায়শই উচ্চ-গুরুত্বপূর্ণ সমস্যাগুলো দ্রুত সমাধান করতে গিয়ে এমন সব ত্রুটি এড়িয়ে যায় যেগুলো কখনোই কাজে লাগানো হয় না, এবং একই সাথে কম-গুরুত্বপূর্ণ ত্রুটিগুলোও উপেক্ষা করে, যেগুলোকে আক্রমণকারীরা সক্রিয়ভাবে লক্ষ্যবস্তু বানায়।
এই ব্যবধানটিই ব্যাখ্যা করে কেন স্থির অগ্রাধিকার পদ্ধতি আর কার্যকরভাবে প্রয়োগ করা যায় না।
সাইবার স্থিতিস্থাপকতা আইন কেন নিয়ম পরিবর্তন করে
অধীনে সাইবার স্থিতিস্থাপকতা আইনজ্ঞাত শোষণযোগ্য দুর্বলতাসহ সফটওয়্যার সরবরাহ করা কেবল একটি নিরাপত্তা উদ্বেগই নয়, বরং একটি সম্মতিগত সমস্যা হয়ে দাঁড়ায়।
প্রবিধান অনুযায়ী আবশ্যক যে:
- ডিজিটাল উপাদানযুক্ত কোনো পণ্য জ্ঞাত শোষণযোগ্য দুর্বলতা নিয়ে ইইউ বাজারে প্রবেশ করতে পারবে না।
- নির্মাতারা দুর্বলতা মোকাবেলা এবং ছাড়পত্র গেট বাস্তবায়ন করে।
- বাস্তব পরিবেশে শোষণের গুরুত্ব তাত্ত্বিক তীব্রতার চেয়ে বেশি।
এর ফলে, অগ্রাধিকার সর্বোত্তম অনুশীলন থেকে আইনি বাধ্যবাধকতার দিকে সরে যায়।
ঠিক এইখানেই এক্সপ্লয়েট ইন্টেলিজেন্স অপরিহার্য হয়ে ওঠে।
সাইবার স্থিতিস্থাপকতা আইন
সার্জারির সাইবার স্থিতিস্থাপকতা আইন এটি ইউরোপীয় ইউনিয়নের একটি প্রবিধান যা ইইউ-তে বিক্রি হওয়া ডিজিটাল উপাদানযুক্ত পণ্যগুলির জন্য বাধ্যতামূলক সাইবার নিরাপত্তা প্রয়োজনীয়তা নির্ধারণ করে।
সহজ কথায়, এটি নির্মাতাদের এমন সফটওয়্যার ডিজাইন, ডেভেলপ এবং রক্ষণাবেক্ষণ করতে বাধ্য করে, যা প্রকাশের সময় কোনো পরিচিত শোষণযোগ্য দুর্বলতা ধারণ করে না। অধিকন্তু, এটি কোম্পানিগুলোকে প্রকাশের পর দুর্বলতাগুলো পর্যবেক্ষণ করতে এবং কঠোর সময়সীমার মধ্যে সক্রিয়ভাবে ব্যবহৃত সমস্যাগুলো সম্পর্কে রিপোর্ট করতে বাধ্য করে।
এই প্রবিধানটি ২০২৪ সালের ডিসেম্বরে কার্যকর হয়েছে। তবে, এর পূর্ণাঙ্গ প্রয়োগ শুরু হবে ২০২৭ সালের ডিসেম্বরে। ২০২৬ সাল থেকে, কোম্পানিগুলোকে সক্রিয়ভাবে ব্যবহৃত দুর্বলতাগুলো আবিষ্কারের ২৪ ঘণ্টার মধ্যে ইইউ কর্তৃপক্ষকে জানাতে হবে।
অন্য কথায়, সাইবার স্থিতিস্থাপকতা আইন দুর্বলতা ব্যবস্থাপনাকে একটি সর্বোত্তম অনুশীলন থেকে বাজারে প্রবেশের আবশ্যিক শর্তে পরিণত করে।
কেন KEV-গুলি CRA পরিপালনের কেন্দ্রবিন্দুতে থাকে
সার্জারির CISএকটি পরিচিত শোষিত দুর্বলতার ক্যাটালগ এই তালিকায় এমন সব CVE-এর নাম রয়েছে যা আক্রমণকারীরা ইতিমধ্যেই বাস্তবে কাজে লাগাচ্ছে। এই ক্যাটালগটি অস্পষ্টতা দূর করে।
ঝুঁকি নিয়ে বিতর্কের পরিবর্তে, দলগুলো যাচাইকৃত এক্সপ্লয়টেশন ডেটার উপর নির্ভর করতে পারে। ফলস্বরূপ, KEV-গুলো প্রতিকারমূলক SLA এবং রিলিজ ব্লক করার জন্য সবচেয়ে শক্তিশালী ট্রিগার হয়ে ওঠে।
এই পদ্ধতি স্বাভাবিকভাবেই এর সাথে সামঞ্জস্যপূর্ণ ঝুঁকি-ভিত্তিক দুর্বলতা ব্যবস্থাপনাকারণ এটি সেখানেই প্রচেষ্টা কেন্দ্রীভূত করে যেখানে প্রকৃত ক্ষতি ঘটে।
CVSS, EPSS এবং KEV ভিন্ন ভিন্ন উদ্দেশ্য সাধন করে
কার্যকরী অগ্রাধিকার নির্ধারণের জন্য সংকেতগুলো কীভাবে ভিন্ন হয় তা বোঝা প্রয়োজন।
- সিভিএসএস সম্ভাব্য প্রভাব দেখায়
- ইপিএসএস শোষণের সম্ভাব্যতা অনুমান করে
- সার্জারির CISএকটি পরিচিত শোষিত দুর্বলতার ক্যাটালগ সক্রিয় শোষণ নিশ্চিত করে।
এককভাবে ব্যবহার করলে প্রতিটি সংকেত বিভ্রান্ত করে। একত্রে ব্যবহার করলে, এগুলো প্রাসঙ্গিকতা তুলে ধরে। এই সমন্বয়ই আধুনিক ঝুঁকি-ভিত্তিক দুর্বলতা ব্যবস্থাপনার ভিত্তি তৈরি করে।
বাস্তবে পরিচিত-এক্সপ্লয়েট ইন্টেলিজেন্স কীভাবে কাজ করে
একটি বাস্তবসম্মত অগ্রাধিকার নির্ধারণ মডেল একটি সুস্পষ্ট অনুক্রম অনুসরণ করে:
- কোড এবং নির্ভরতা জুড়ে দুর্বলতা সনাক্ত করুন
- মিলের ফলাফল CISএকটি পরিচিত শোষিত দুর্বলতার ক্যাটালগ
- EPSS ব্যবহার করে শোষণের সম্ভাব্যতা মূল্যায়ন করুন
- অ্যাপ্লিকেশনে নাগালের মধ্যে আছে কিনা তা যাচাই করুন অথবা pipeline
- ঝুঁকি এবং পণ্যের ভূমিকার উপর ভিত্তি করে প্রতিকারের নিয়ম প্রয়োগ করুন।
এর ফলে, দলগুলো দুর্বলতার তালিকাগুলোকে ব্যাকলগ হিসেবে বিবেচনা করা বন্ধ করে দেয় এবং সেগুলোকে ডিগ্রী হিসেবে বিবেচনা করতে শুরু করে।cisআয়ন।
Xygeni-তে আমরা কীভাবে পরিচিত-এক্সপ্লয়েট ইন্টেলিজেন্স তৈরি করেছি
বারবার বিভিন্ন টিমকে উচ্চ-CVSS যুক্ত সমস্যা সমাধান করতে দেখার পরই, পরিচিত ও ব্যবহৃত দুর্বলতাগুলো প্রোডাকশনে পৌঁছে যাচ্ছিল—এই অভিজ্ঞতা থেকেই আমরা সিস্টেমটির ডিজাইনকে রূপ দিয়েছি।
সঙ্গে v5.36, জাইজেনি যাচাইকৃত এক্সপ্লয়েট ইন্টেলিজেন্স সরাসরি প্রায়োরিটাইজেশন ইঞ্জিনে একীভূত করে।
ইঞ্জিনের ভেতরে কী ঘটে
- Xygeni ক্রমাগত KEV-এর মতো বিশ্বস্ত এক্সপ্লয়েট ক্যাটালগ এবং অন্যান্য পাবলিক এক্সপ্লয়েট উৎস থেকে তথ্য গ্রহণ করে।
- প্রতিটি দুর্বলতা এক্সপ্লয়েট-উপস্থিতি মেটাডেটা গ্রহণ করে।
- অগ্রাধিকার নির্ধারণ ফানেলটি নিম্নলিখিত বিষয়গুলোকে একত্রিত করে:
- পরিচিত এক্সপ্লয়েট স্ট্যাটাস
- EPSS সম্ভাবনা
- পৌঁছানোর যোগ্যতার প্রেক্ষাপট
- কোড এবং নির্ভরতার প্রকাশ
প্ল্যাটফর্মটি একটি সমন্বিত বাস্তব-জগতের ঝুঁকি স্কোর গণনা করে।
বিদ্যমান সংকেত প্রতিস্থাপন করার পরিবর্তে, এই মডেলটি সেগুলোকে পরিমার্জন করে।
সনাক্তকরণ → এক্সপ্লয়েট ম্যাচ → রিচেবিলিটি → ফিক্স
এই প্রবাহ প্রতিটি ডিকে চালিত করেcisআয়ন:
ডেভেলপাররা সরাসরি এক্সপ্লয়েট কনটেক্সট দেখতে পান pull requests. Pipelines ব্লক তখনই মার্জ করা হয় যখন অ্যাক্সেসযোগ্য কোডে পরিচিত ব্যবহৃত দুর্বলতা অন্তর্ভুক্ত থাকে। স্বয়ংক্রিয় প্রতিকার ব্যবস্থা অবিলম্বে নিরাপদ আপগ্রেডের প্রস্তাব দেয়।
কোনো মিটিং নেই। কোনো আন্দাজ নেই। আতঙ্কের কোনো সাময়িক সমাধান নেই।
নিয়মকানুন মেনে চলার বাইরেও কেন এটি গুরুত্বপূর্ণ
যদিও সাইবার রেজিলিয়েন্স অ্যাক্ট এই পরিবর্তনটি এনেছে, এর সুফল আরও সুদূরপ্রসারী।
যে দলগুলো এক্সপ্লয়েট ইন্টেলিজেন্স ব্যবহারকে অগ্রাধিকার দেয়:
- সতর্কতাজনিত ক্লান্তি হ্রাস করুন
- প্রতিকারের সময় সংক্ষিপ্ত করুন
- জরুরি প্যাচ চক্র এড়িয়ে চলুন
- আত্মবিশ্বাসের সাথে আরও নিরাপদ সফটওয়্যার সরবরাহ করুন।
সঠিকভাবে নিরাপত্তা ব্যবস্থা গ্রহণ করা হলে, তার ফলস্বরূপ সম্মতি আদায় হয়।
চূড়ান্ত ভাবনা: CRA ঝুঁকি-ভিত্তিক ব্যবস্থাপনাকে বাধ্যতামূলক করেছে
সাইবার রেজিলিয়েন্স অ্যাক্ট অভিজ্ঞ দলগুলোর অর্জিত জ্ঞানকে আনুষ্ঠানিক রূপ দেয়। সব দুর্বলতা সমানভাবে গুরুত্বপূর্ণ নয়।
সার্জারির CISপরিচিত ও ব্যবহৃত দুর্বলতার একটি ক্যাটালগ দেখায় যে আক্রমণকারীরা বর্তমানে কী ব্যবহার করে। এর প্রেক্ষাপট এবং নাগালযোগ্যতা দেখায় যে এটি আপনাকে প্রভাবিত করে কি না। এই দুটি একত্রে আধুনিক দুর্বলতাকে সংজ্ঞায়িত করে। ঝুঁকি-ভিত্তিক দুর্বলতা ব্যবস্থাপনা.
জাইজেনি এই মডেলটি ক্রমাগত, স্বয়ংক্রিয়ভাবে এবং যেখানে ডেভেলপাররা ইতিমধ্যেই কাজ করেন, সেখানেই প্রয়োগ করে।
লেখক সম্পর্কে
লিখেছেন ফাতিমা Saidজাইজেনি সিকিউরিটির অ্যাপ্লিকেশন সিকিউরিটিতে বিশেষজ্ঞ কন্টেন্ট মার্কেটিং ম্যানেজার। তিনি অ্যাপসেক (AppSec) বিষয়ে ডেভেলপার-কেন্দ্রিক ও গবেষণালব্ধ কন্টেন্ট তৈরি করেন। ASPMএবং ডেভসেকওপিএস, যা বাস্তব-জগতের নিরাপত্তা চ্যালেঞ্জগুলোকে সুস্পষ্ট ও কার্যকর নির্দেশনায় রূপান্তরিত করে।
