এই নিবন্ধটি XBOW দ্বারা স্পনসর করা হয়েছে এবং আমাদের Emerj স্পনসর করা বিষয়বস্তু নির্দেশিকাগুলির সাথে সারিবদ্ধভাবে লেখা, সম্পাদনা এবং প্রকাশিত হয়েছে। আমাদের ইমারজ মিডিয়া সার্ভিসেস পৃষ্ঠায় আমাদের চিন্তা নেতৃত্ব এবং বিষয়বস্তু তৈরি পরিষেবা সম্পর্কে আরও জানুন।
ক্লাউড সিকিউরিটি অ্যালায়েন্স রিপোর্ট করেছে যে এআই-সহায়তা সফ্টওয়্যার বিকাশ প্রথাগত অ্যাপ্লিকেশন-নিরাপত্তা কর্মপ্রবাহকে ছাড়িয়ে যাচ্ছে। একই সময়ে, G7 সাইবার বিশেষজ্ঞ গ্রুপ সতর্ক করে যে AI আক্রমণকারীদের সিস্টেমগুলিকে দ্রুত, বৃহত্তর স্কেলে এবং কম দক্ষতার সাথে তদন্ত করতে দেয়।
ন্যাশনাল ইন্সটিটিউট অফ স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজির প্রতিবেদনে বলা হয়েছে, 2020 থেকে 2025 সালের মধ্যে ন্যাশনাল ভালনারেবিলিটি ডেটাবেসে কমন ভালনারেবিলিটি অ্যান্ড এক্সপোজার (CVE) জমা 263% বেড়েছে। এদিকে, এফবিআই-এর 2025 ইন্টারনেট অপরাধ প্রতিবেদনে রিপোর্ট করা ইন্টারনেট-অপরাধের ক্ষতির প্রায় $21 বিলিয়ন রেকর্ড করা হয়েছে।
এন্টারপ্রাইজ নেতাদের জন্য, চ্যালেঞ্জটি কর্মক্ষম এবং আর্থিক। নিরাপত্তা দলগুলিকে ম্যানুয়াল পর্যালোচনা খরচ বৃদ্ধি না করে বা জটিল সিস্টেমগুলিকে ব্যাহত না করে দ্রুত শোষণযোগ্য দুর্বলতাগুলি সনাক্ত করতে এবং অগ্রাধিকার দিতে হবে।
বিজনেস পডকাস্টে এমার্জ এআই-এর একটি সাম্প্রতিক সিরিজে, XBOW-এর প্রধান রাজস্ব কর্মকর্তা নিরোশান রাজাদুরাই এবং MassMutual-এর সিকিউরিটি প্ল্যাটফর্ম ইঞ্জিনিয়ারিং-এর প্রধান শ্রীধর বোদ্দুলা, কীভাবে এন্টারপ্রাইজগুলি তাদের নিরাপত্তা ক্রিয়াকলাপগুলিকে এই চাপগুলির সাথে খাপ খাইয়ে নিতে পারে তা পরীক্ষা করে।
এআই সাইবার হুমকি এবং সফ্টওয়্যার বিকাশকে ত্বরান্বিত করার কারণে এই নিবন্ধটি এন্টারপ্রাইজ নিরাপত্তা নেতাদের দুর্বলতা চিহ্নিত করতে এবং মোকাবেলা করতে সহায়তা করার জন্য তিনটি কৌশল পরীক্ষা করে:
ব্যবসায়িক ঝুঁকির দ্বারা দুর্বলতাগুলিকে অগ্রাধিকার দেওয়ার জন্য বৈধতা ব্যবহার করুন: আক্রমণকারীরা চিহ্নিত সফ্টওয়্যার দুর্বলতাগুলিতে পৌঁছাতে এবং শোষণ করতে পারে কিনা তা পরীক্ষা করুন, তারপর প্রভাবিত সিস্টেমের সংবেদনশীলতা এবং ব্যবসায়িক গুরুত্ব অনুসারে প্রতিকারকে অগ্রাধিকার দিন৷
স্বায়ত্তশাসিত নিরাপত্তা পরীক্ষার উপর নিয়ন্ত্রণ বজায় রাখার জন্য অন্তর্নির্মিত শাসন: অনুমোদিত পরীক্ষার লক্ষ্যমাত্রা সংজ্ঞায়িত করুন, ধ্বংসাত্মক ক্রিয়াকলাপ নিষিদ্ধ করুন এবং নিরীক্ষার প্রয়োজনীয়তা স্থাপন করুন যাতে স্বয়ংক্রিয় মূল্যায়ন প্রতিটি পদক্ষেপে অনুমোদনের প্রয়োজন ছাড়াই নিরাপদে কাজ করতে পারে।
নিরাপত্তা বিনিয়োগকে গাইড করার জন্য সমালোচনামূলক সিস্টেমগুলির কেন্দ্রীভূত পরীক্ষা: সংবেদনশীল নিয়ন্ত্রিত ডেটা ধারণ করে এমন অ্যাপ্লিকেশনগুলি সনাক্ত করুন, একটি উচ্চ-অগ্রাধিকার সিস্টেমের একটি অনুমোদিত সুরক্ষা মূল্যায়ন পরিচালনা করুন এবং প্রতিকার এবং ভবিষ্যতের বিনিয়োগের সিদ্ধান্তগুলিকে গাইড করতে ফলাফলগুলি ব্যবহার করুন৷
নীচের পুরো পর্বগুলি শুনুন:
পর্ব 1: AI-এর যুগে মেশিন-স্পিড সিকিউরিটি রিস্ক - XBOW-এর নিরো রাজাদুরাইয়ের সাথে
অতিথি: নিরোশান রাজাদুরাই, XBOW-এর প্রধান রাজস্ব কর্মকর্তা
দক্ষতা: অ্যাপ্লিকেশন নিরাপত্তা, DevSecOps, AI কৌশল, সফ্টওয়্যার ইঞ্জিনিয়ারিং
সংক্ষিপ্ত স্বীকৃতি: নিরোশান রাজাদুরাই XBOW-এর প্রধান রাজস্ব কর্মকর্তা। পূর্বে GitHub-এ, তিনি GitHub অ্যাডভান্সড সিকিউরিটিতে সিনিয়র নেতৃত্বের ভূমিকা অনুসরণ করে AI, DevSecOps এবং অ্যাপ্লিকেশন সিকিউরিটির জন্য Go-to-Market Strategy-এর ভাইস প্রেসিডেন্ট হিসেবে দায়িত্ব পালন করেছেন। তিনি মেলবোর্ন বিশ্ববিদ্যালয় থেকে কম্পিউটার সায়েন্স এবং ইলেকট্রিক্যাল অ্যান্ড ইলেকট্রনিক্স ইঞ্জিনিয়ারিংয়ে ডিগ্রি অর্জন করেছেন।
পর্ব 2: কিভাবে নিরাপত্তা নেতারা মেশিনের গতির হুমকিতে সাড়া দিচ্ছেন – ম্যাসমিউচুয়ালের শ্রীধর বোদ্দুলার সাথে
অতিথি: শ্রীধর বোদ্দুলা, ম্যাসমিউচুয়াল-এর নিরাপত্তা প্ল্যাটফর্ম ইঞ্জিনিয়ারিংয়ের প্রধান
দক্ষতা: সিকিউরিটি ইঞ্জিনিয়ারিং, সাইবার সিকিউরিটি স্ট্র্যাটেজি, আইডেন্টিটি অ্যান্ড এক্সেস ম্যানেজমেন্ট, জিরো ট্রাস্ট আর্কিটেকচার
সংক্ষিপ্ত স্বীকৃতি: শ্রীধর বোদ্দুলা MassMutual-এর নিরাপত্তা প্ল্যাটফর্ম ইঞ্জিনিয়ারিংয়ের প্রধান। পূর্বে, তিনি স্টেট স্ট্রিটে কাজ করেছিলেন, যেখানে তিনি সাইবারসিকিউরিটি আর্কিটেকচার এবং ইঞ্জিনিয়ারিং, অ্যাপ্লিকেশন সিকিউরিটি এবং ডিজিটাল প্ল্যাটফর্মগুলিতে সিনিয়র নেতৃত্বের পদে অধিষ্ঠিত ছিলেন।
ব্যবসায়িক ঝুঁকি দ্বারা দুর্বলতাকে অগ্রাধিকার দেওয়ার জন্য বৈধতা ব্যবহার করুন
GitHub-এ, নিরোশান রাজাদুরাই-এর দল অনুসন্ধান করেছে যে AI মডেলগুলি নতুন নিরাপত্তা ঝুঁকি প্রবর্তন না করে বিদ্যমান কোড দুর্বলতার প্রতিকার করতে পারে কিনা। যেহেতু এআই-সহায়তা বিকাশের ফলে পর্যালোচনার প্রয়োজন কোডের পরিমাণ বৃদ্ধি পায়, তিনি দেখান যে নিরাপত্তা দলগুলিকে অবশ্যই প্রকৃত দুর্বলতা থেকে মিথ্যা ইতিবাচককে আলাদা করতে হবে এবং কোন নিশ্চিত ফলাফলগুলি একটি শোষণযোগ্য ঝুঁকি উপস্থাপন করে তা নির্ধারণ করতে হবে:
"যখন আমরা একটি নিরাপত্তা দুর্বলতা সম্পর্কে চিন্তা করি, তখন আসলে এর দুটি অংশ থাকে। একটি হল আসল দুর্বলতা। তাই এটি একটি সমস্যা। এই কোডটিতে একটি বাগ রয়েছে, যার ফলে খারাপ কিছু ঘটতে পারে। কিন্তু এর দ্বিতীয় অংশটি হল: এই বাগটি কি আসলেই এমন কারো কাছে পৌঁছানো যায় যে এটির সাথে খারাপ কিছু করতে চায়?"
- নিরোশান রাজাদুরাই, XBOW-এর প্রধান রাজস্ব কর্মকর্তা
রাজাদুরাই ব্যাখ্যা করেছেন যে একটি দুর্বলতাকে কাজে লাগানো যায় কিনা তা প্রদর্শন করা তার অগ্রাধিকার নির্ধারণে সহায়তা করে। একটি শোষণ একজন আক্রমণকারীকে সংবেদনশীল তথ্য বের করতে, প্রভাবিত সিস্টেমে কমান্ড কার্যকর করতে বা নেটওয়ার্কের অন্যান্য অংশে অ্যাক্সেস পেতে অনুমতি দিতে পারে।
শোষণ প্রদর্শনে ব্যর্থতার মানে এই নয় যে শোষণ অসম্ভব। ফলাফলটি দুর্বলতার এক্সপোজার, সম্পদের সমালোচনা এবং সম্ভাব্য পরিণতিগুলির পাশাপাশি অগ্রাধিকার সম্পর্কে অবহিত করা উচিত।
শ্রীধর বোদ্দুলা প্রভাবিত সিস্টেমের সমালোচনা এবং ব্যবসায়িক ক্রিয়াকলাপের সম্ভাব্য পরিণতি অনুসারে সফ্টওয়্যার দুর্বলতাগুলিকে অগ্রাধিকার দেওয়ার গুরুত্বের উপর জোর দেন।
একটি ই-কমার্স ব্যবসায়, ক্রয় বা বিক্রয় পরিকাঠামোকে প্রভাবিত করে এমন একটি দুর্বলতা প্রকৃত অ্যাক্সেস পাথ এবং সম্ভাব্য প্রভাবের উপর নির্ভর করে একটি নন-ইন্টারনেট-মুখী অভ্যন্তরীণ সিস্টেমে তুলনামূলক দুর্বলতার চেয়ে আগে প্রতিকারের নিশ্চয়তা দিতে পারে।
একসাথে, শোষণের বৈধতার উপর রাজাদুরাইয়ের জোর এবং ব্যবসায়িক এক্সপোজারের উপর বোদ্দুলার ফোকাস দুর্বলতাগুলিকে অগ্রাধিকার দেওয়ার এবং প্রতিকার যাচাই করার জন্য একটি চার-পদক্ষেপের কাঠামো প্রদান করে:
একজন আক্রমণকারী কি এটিতে পৌঁছাতে পারে? প্রত্যক্ষ এবং পরোক্ষ অ্যাক্সেস পাথ মূল্যায়ন. সম্পদের সংবেদনশীলতা এবং সম্ভাব্য প্রভাবের উপর নির্ভর করে সীমিত এক্সপোজার অগ্রাধিকার হ্রাস করতে পারে।
পরীক্ষা কি একটি শোষণ প্রদর্শন করতে পারে? একটি বৈধ শোষণ জরুরী প্রতিকারের জন্য মামলাকে শক্তিশালী করে। একটি অসফল পরীক্ষা নিশ্চিত করে না যে দুর্বলতা নিরাপদ।
আপস কি প্রভাব ফেলবে? নিয়ন্ত্রিত ডেটা, রাজস্ব-সমালোচনামূলক পরিষেবা, বিশেষাধিকার এবং অন্যান্য সিস্টেমে সম্ভাব্য অ্যাক্সেস বিবেচনা করুন। ব্যবসার ফলাফল এবং প্রযুক্তিগত তীব্রতা অনুসারে ফলাফলগুলিকে র্যাঙ্ক করুন।
ফিক্স রাখা? অন্তর্নিহিত দুর্বলতা সমাধান করা হয়েছে কিনা তা নির্ধারণ করতে মূল শোষণের বিভিন্নতা সহ প্রতিকারের পরে আবেদনটি পুনরায় পরীক্ষা করুন।
রাজাদুরাই যাকে একটি সাদাসিধা সমাধান বলে তার কারণে শেষ ধাপটি গুরুত্বপূর্ণ। তিনি একটি প্রকাশিত গ্রাহকের ক্ষেত্রে বর্ণনা করেছেন যেখানে একটি দল তার ওয়েব অ্যাপ্লিকেশন ফায়ারওয়ালে সেই স্ট্রিংয়ের জন্য একটি ফিল্টার যোগ করে একটি দূষিত URL ব্লক করেছে। তারা এর শতাংশ-এনকোডেড সমতুল্যের জন্য একটি অক্ষর অদলবদল করে পুনরায় পরীক্ষা করেছে এবং অনুরোধটি সরাসরি পাস হয়েছে কারণ ফিল্টারটি কেবলমাত্র কাঁচা পাঠ্যের সাথে মিলেছে।
নিরাপত্তা নেতারা তিনটি কর্মক্ষমতা সূচক ট্র্যাক করে স্বায়ত্তশাসিত দুর্বলতা পরীক্ষার অপারেশনাল প্রভাব পরিমাপ করতে পারেন:
বিশ্লেষক ঘন্টাগুলি অনুসন্ধানগুলি যাচাই করতে ব্যয় করেছে।
দুর্বলতা আবিষ্কার থেকে যাচাইকৃত প্রতিকারের সময়।
একটি সংজ্ঞায়িত পরীক্ষা চক্রের মধ্যে মূল্যায়ন করা উচ্চ-অগ্রাধিকার অ্যাপ্লিকেশনের অনুপাত।
একসাথে, এই ব্যবস্থাগুলি নেতাদের মূল্যায়ন করতে সাহায্য করে যে স্বায়ত্তশাসিত পরীক্ষা আনুপাতিকভাবে স্টাফিং খরচ না বাড়িয়ে নিরাপত্তা কভারেজ এবং প্রতিকারের দক্ষতা উন্নত করে কিনা।
স্বায়ত্তশাসিত নিরাপত্তা পরীক্ষার উপর নিয়ন্ত্রণ বজায় রাখার জন্য অন্তর্নির্মিত শাসন
রাজাদুরাই উল্লেখ করেছেন যে যদি একটি মডেল প্রতি ঘন্টায় 200 মাইল বেগে কোড লেখে এবং একজন মানব পর্যালোচক 10 বেগে তা পরীক্ষা করে, তাহলে মানুষ একটি গতির বাম্প হয়ে যায় যা পাইপলাইন শোষণ করতে পারে না। প্রতিটি পর্যায়ে মানুষের অনুমোদনের প্রয়োজন হলে স্বায়ত্তশাসিত পরীক্ষা বিলম্বিত হতে পারে, বিশেষ করে কাজের সময়ের বাইরে যখন পর্যালোচক অনুপলব্ধ হতে পারে।
রুটিন মানব অনুমোদন অপসারণের জন্য স্বয়ংক্রিয় পরীক্ষকদের সংজ্ঞায়িত নিরাপত্তা সীমার মধ্যে কাজ করার প্রয়োজন, বিশেষ করে যখন উৎপাদন ব্যবস্থা মূল্যায়ন করা যেখানে ধ্বংসাত্মক ক্রিয়া ব্যবসায়িক ক্রিয়াকলাপকে বাধাগ্রস্ত করতে পারে বা ডেটা আপস করতে পারে:
"একজন অভিজ্ঞ হ্যাকার বলবে, 'এটা করো না,' কারণ এটি যদি একটি প্রোডাকশন সিস্টেম হয় তবে আপনি সমস্ত ডেটা মুছে ফেলতে যাচ্ছেন এবং এটি একটি খারাপ জিনিস৷ আপনি যদি একই অনুশীলন করার জন্য একটি মডেল ব্যবহার করেন তবে এটি দেখা যাচ্ছে, মডেলটি বলে, 'বাহ, আমি একটি এসকিউএল ইনজেকশন পেয়েছি৷ আমি একটি ড্রপ টেবিল করতে যাচ্ছি৷'"
- নিরোশান রাজাদুরাই, XBOW-এর প্রধান রাজস্ব কর্মকর্তা
তাই স্বায়ত্তশাসিত আক্রমণাত্মক পরীক্ষার জন্য পরীক্ষার কাঠামোর মধ্যে তৈরি শাসন এবং নিরাপত্তা নিয়ন্ত্রণ প্রয়োজন। রাজাদুরাই অভিজ্ঞ নৈতিক হ্যাকারদের অনুশীলন অনুসরণ করার জন্য গাইডিং মডেল বর্ণনা করেন, অপারেশনাল সীমানা নির্ধারণ করেন এবং যুক্তি প্রক্রিয়া চলাকালীন বিশেষজ্ঞ নির্দেশাবলী প্রদান করেন।
মানব পর্যালোচকরা তখন প্রতিটি স্বয়ংক্রিয় পদক্ষেপকে অনুমোদন করার পরিবর্তে বিচারের প্রয়োজন বৃদ্ধির দিকে মনোনিবেশ করতে পারে। সংস্থাগুলি পরীক্ষার অনুমোদন, গ্রহণযোগ্য আচরণ প্রতিষ্ঠা এবং ফলাফল প্রমাণের মূল্যায়নের জন্য দায়ী থাকে।
সেই ফ্রেমওয়ার্কও যেখানে রাজাদুরাই দেখেন ইন-হাউস বিল্ড স্টল। যে কোম্পানিগুলি তাদের নিজস্ব তৈরি করেছে তাদের সাথে কথোপকথন থেকে তার নিয়মটি হল যে একটি AI সুরক্ষা সরঞ্জামের প্রায় 80% তৈরি করা সহজ এবং 20% কঠিন। একটি বিল্ড ওজনের নেতারা তাদের 20% কঠোর পরিকল্পনার বিরুদ্ধে পরীক্ষা করতে পারেন যা তিনি বর্ণনা করেছেন:
নয়েজ কন্ট্রোল: ডেডিকেটেড ফিল্টারিং মেকানিজম এবং চলমান বিশ্লেষণের মাধ্যমে বড় ল্যাঙ্গুয়েজ মডেল (LLM) স্ক্যানার থেকে মিথ্যা ইতিবাচকতা কমিয়ে আনুন।
নিরাপত্তা সীমানা: স্থাপনের আগে শাসন কাঠামোর মধ্যে অনুমোদিত পরীক্ষার লক্ষ্যমাত্রা, নিষিদ্ধ ধ্বংসাত্মক কর্ম, এবং বৃদ্ধির শর্তগুলি সংজ্ঞায়িত করুন।
শোষণ প্রজন্ম: অনুমোদিত দুর্বলতা বৈধতা সমর্থন করে এমন কাঠামোর মাধ্যমে শোষণ প্রজন্মের উপর মডেল-প্রদানকারীর সীমাবদ্ধতার ঠিকানা।
মডেল অভিযোজনযোগ্যতা: বিভিন্ন প্রদানকারীদের থেকে মডেলগুলিকে একত্রিত করুন এবং বারবার মডেল প্রশিক্ষণ ছাড়াই নতুন ক্ষমতাগুলিকে মিটমাট করার জন্য তাদের প্রসঙ্গ উইন্ডোগুলির মাধ্যমে বিশেষজ্ঞ নির্দেশিকা প্রদান করুন।
টুলচেইন ইন্টিগ্রেশন: প্রতিষ্ঠিত ওয়ার্কফ্লোগুলির মধ্যে প্রতিকার সমর্থন করার জন্য বিদ্যমান বিকাশকারী সরঞ্জাম এবং কোডিং সহকারীগুলিতে বৈধ ফলাফলগুলিকে একীভূত করুন।
বোদ্দুলা হাইলাইট করেছেন যে স্বয়ংক্রিয় হুমকির সাথে তাল মিলিয়ে চলার জন্য কেবলমাত্র সরঞ্জাম যোগ করার পরিবর্তে সুরক্ষা ক্রিয়াকলাপে পরিবর্তন প্রয়োজন। উন্নয়ন কর্মপ্রবাহের মধ্যে নিরাপত্তা প্রকৌশলীদের এম্বেড করা সংস্থাগুলিকে আগে ঝুঁকি শনাক্ত করতে এবং ম্যানুয়াল পর্যালোচনার কারণে বিলম্ব কমাতে দেয়:
"নিরাপত্তা একটি পর্যালোচনা সারিতে থাকতে পারে না যা আক্রমণকারীরা ঘন্টার মধ্যে কাজ করার সময় পরিবর্তনকে ধীর করে দেয়। এটি একটি এমবেডেড, ইঞ্জিনিয়ারিং-নেটিভ ফাংশন হয়ে উঠতে হবে। এর মানে নিরাপত্তা প্রকৌশলীরা DevOps এবং DevSecOps পাইপলাইনের পাশে বা ভিতরে কাজ করছেন, কোড হিসাবে নীতি প্রকাশ করছেন এবং স্বয়ংক্রিয় গার্ডেল তৈরি করছেন যা এই ধরনের সমস্যা বা এই ধরনের ঝুঁকিগুলিকে ধরতে পারে।"
– শ্রীধর বোদ্দুলা, ম্যাসমিউচুয়াল-এর নিরাপত্তা প্ল্যাটফর্ম ইঞ্জিনিয়ারিংয়ের প্রধান
বোদ্দুলা শূন্য বিশ্বাসের নীতিগুলি প্রয়োগ করারও সুপারিশ করেন, যার জন্য ব্যবহারকারী, ডিভাইস এবং অ্যাপ্লিকেশনগুলিকে স্বয়ংক্রিয়ভাবে বিশ্বস্ত হওয়ার পরিবর্তে তাদের অ্যাক্সেস যাচাই করতে হবে। অনুমতি সীমাবদ্ধ করা এবং অ্যাক্সেসের ক্রমাগত মূল্যায়ন করা আক্রমণকারীর সিস্টেমগুলির মধ্যে স্থানান্তর করার ক্ষমতাকে সীমিত করতে পারে যদি একটি অ্যাকাউন্টের সাথে আপস করা হয়।
তিনি অটোমেশন ইঞ্জিনিয়ারিংকে একটি মূল নিরাপত্তা শৃঙ্খলা হিসাবে বিবেচনা করার সুপারিশ করেন, উন্নয়ন কর্মপ্রবাহের মধ্যে স্বয়ংক্রিয় নিয়ন্ত্রণগুলি এম্বেড করে যাতে প্রকৌশলীরা পর্যাপ্ত প্রসঙ্গ এবং প্রস্তাবিত প্রতিকার পাথগুলির সাথে অগ্রাধিকারপ্রাপ্ত ফলাফলগুলি পান। এটি প্রতিষ্ঠিত নিরাপত্তা নীতির মাধ্যমে তত্ত্বাবধান বজায় রাখার সময় ম্যানুয়াল পর্যালোচনা সারিগুলির উপর নির্ভরতা হ্রাস করে।
রুটিন হ্যান্ডঅফ এবং যাচাইকরণ প্রচেষ্টা হ্রাস করে, সংস্থাগুলি আনুপাতিকভাবে হেডকাউন্ট না বাড়িয়ে নিরাপত্তা-পরীক্ষার ক্ষমতা প্রসারিত করতে পারে। নেতারা ম্যানুয়াল পর্যালোচনাতে ব্যয় করা বিশ্লেষক ঘন্টা, যাচাইকৃত প্রতিকারের জন্য সময় এবং একটি সংজ্ঞায়িত পরীক্ষা চক্রের মধ্যে মূল্যায়ন করা উচ্চ-অগ্রাধিকার অ্যাপ্লিকেশনের সংখ্যার মাধ্যমে অপারেশনাল উন্নতি পরিমাপ করতে পারেন।
নিরাপত্তা বিনিয়োগ গাইড করার জন্য সমালোচনামূলক সিস্টেমের ফোকাসড টেস্টিং
বোদ্দুলা ব্যাখ্যা করেছেন যে এআই-সক্ষম প্রোবিং, ফিশিং টুলস এবং সিন্থেটিক মিডিয়া নির্দিষ্ট সাইবার অ্যাটাক চালু করার জন্য প্রয়োজনীয় দক্ষতা এবং খরচ কমিয়ে দিয়েছে। তিনি একটি এআই মডেলে অ্যাক্সেসের জন্য প্রায় $50 এর একটি উদাহরণ দিয়ে এই অ্যাক্সেসযোগ্যতাকে ব্যাখ্যা করেছেন, যা আক্রমণকারীদের তুলনামূলকভাবে সামান্য অতিরিক্ত খরচে একাধিক লক্ষ্য জুড়ে কৌশলগুলি পুনরাবৃত্তি করতে সক্ষম করে। চিত্রটি একটি সফল সাইবার আক্রমণ পরিচালনার যাচাইকৃত খরচের পরিবর্তে প্রবেশে বাধা হ্রাসের চিত্র তুলে ধরে।
রাজাদুরাই আক্রমণকারী এবং ডিফেন্ডারদের মধ্যে ভারসাম্যহীনতা তুলে ধরেন। একটি আক্রমণকারীকে একটি অ্যাপ্লিকেশনের সাথে আপোস করার জন্য শুধুমাত্র একটি দুর্বলতাকে কাজে লাগাতে হবে, যখন নিরাপত্তা দলগুলিকে অবশ্যই প্রতিটি শোষণযোগ্য দুর্বলতা সনাক্ত করতে হবে এবং তার সমাধান করতে হবে। এই অসমতা ক্রমাগত, স্বয়ংক্রিয় নিরাপত্তা পরীক্ষার জন্য কেসকে শক্তিশালী করে যা আক্রমণকারীরা তাদের শোষণ করার আগে দুর্বলতা সনাক্ত করতে এবং প্রতিকার যাচাই করতে পারে।
বোদ্দুলা একটি কাল্পনিক আক্রমণের মাধ্যমে ধারাবাহিক, দৃশ্যকল্প-ভিত্তিক নিরাপত্তা পরীক্ষার গুরুত্ব তুলে ধরেন যেখানে একটি এআই-উত্পন্ন ভয়েস ব্যবহার করা হয় একজন হেল্প ডেস্কের কর্মচারীকে ম্যানিপুলেট করার জন্য, তারপরে একটি সুপ্ত পরিষেবা অ্যাকাউন্টের আপস এবং সংস্থার পরিচয় প্রদানকারীর মাধ্যমে অ্যাক্সেস বৃদ্ধি করার চেষ্টা করা হয়। বিদ্যমান সুরক্ষা নিয়ন্ত্রণগুলি আক্রমণ প্রতিরোধ বা বাধা দিতে পারে কিনা তা নির্ধারণ করতে তিনি এই জাতীয় পরিস্থিতিগুলি সক্রিয়ভাবে পরীক্ষা করার পরামর্শ দেন।
ক্রমাগত, অনুমোদিত পরীক্ষা নিরাপত্তা দলগুলিকে শুধুমাত্র পর্যায়ক্রমিক অনুপ্রবেশ পরীক্ষার চেয়ে বেশি ঘন ঘন উচ্চ-অগ্রাধিকার অ্যাপ্লিকেশন মূল্যায়ন করতে দেয়। সিস্টেম পরিবর্তনের সাথে সাথে, দলগুলি প্রতিকারকে অগ্রাধিকার দিতে এবং সংশোধনগুলি অন্তর্নিহিত দুর্বলতাগুলিকে সমাধান করে কিনা তা যাচাই করতে প্রমাণ ব্যবহার করতে পারে।
সুরক্ষা নেতারা সংবেদনশীল ডেটা ধারণ করে বা সমালোচনামূলক ব্যবসায়িক ক্রিয়াকলাপগুলিকে সমর্থন করে এমন সিস্টেমগুলিকে অগ্রাধিকার দিয়ে ক্রমাগত দুর্বলতা পরীক্ষা বাস্তবায়ন শুরু করতে পারে। উভয় অতিথির সুপারিশের উপর ভিত্তি করে, নিম্নলিখিত পাঁচটি পদক্ষেপ পরীক্ষার অগ্রাধিকার প্রতিষ্ঠা, নিরাপত্তা দুর্বলতাগুলি মোকাবেলা এবং ভবিষ্যতের বিনিয়োগের সিদ্ধান্তগুলিকে জানানোর জন্য একটি ব্যবহারিক পদ্ধতি প্রদান করে:
একটি সম্পদ ইনভেন্টরি তৈরি করুন: সংবেদনশীল ডেটা, প্রযোজ্য প্রবিধান, ডেটা অবস্থান, প্রক্রিয়াকরণ কার্যক্রম এবং দায়বদ্ধ মালিকদের সনাক্ত করুন। Boddula প্রতিষ্ঠানের ডিজিটাল সম্পদে দৃশ্যমানতা উন্নত করতে অভ্যন্তরীণ অ্যাপ্লিকেশন, সাবস্ক্রাইব করা ক্লাউড পরিষেবা, পরিচালিত প্ল্যাটফর্ম এবং নেটওয়ার্ক হার্ডওয়্যার অন্তর্ভুক্ত করার সুপারিশ করে।
ব্যবসায়িক এক্সপোজার দ্বারা অ্যাপ্লিকেশনগুলিকে অগ্রাধিকার দিন: সংবেদনশীল ডেটা, সমালোচনামূলক সিস্টেম এবং অভ্যন্তরীণ উন্নয়ন পরিবেশের সাথে তাদের সংযোগ অনুসারে জন-মুখী অ্যাপ্লিকেশনগুলিকে মূল্যায়ন করুন। একটি স্বতন্ত্র বিপণন পৃষ্ঠা গ্রাহক বা বিলিং সিস্টেমের সাথে সংযুক্ত একটি অ্যাপ্লিকেশনের চেয়ে কম অগ্রাধিকারের নিশ্চয়তা দিতে পারে, যদি এর ইন্টিগ্রেশন, শংসাপত্র, এবং সম্ভাব্য ডাউনস্ট্রিম অ্যাক্সেস মূল্যায়ন করা হয়।
শংসাপত্র ছাড়াই উচ্চ-অগ্রাধিকারের অ্যাপ্লিকেশন পরীক্ষা করুন: রাজাদুরাই অনুমোদিত স্বায়ত্তশাসিত পরীক্ষা ব্যবহার করার পরামর্শ দেন যে আক্রমণকারীরা সংস্থার বাইরে থেকে গুরুত্বপূর্ণ অ্যাপ্লিকেশনগুলিতে অ্যাক্সেস পেতে পারে কিনা। পরীক্ষার সম্প্রসারণের আগে শোষণযোগ্য দুর্বলতাগুলি সনাক্ত করতে উচ্চ-মূল্যের, সর্বজনীন-মুখী সিস্টেম দিয়ে শুরু করুন।
ঠিকানা পরিচয় এবং অ্যাক্সেসের দুর্বলতা: সুপ্ত পরিষেবা অ্যাকাউন্ট, অত্যধিক অনুমতি, অব্যবস্থাপিত অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেস কী, স্থায়ী প্রশাসকের অ্যাক্সেস এবং তৃতীয় পক্ষের একীকরণ সনাক্ত করুন। Boddula সম্ভাব্য আক্রমণ পথ সীমিত করতে অপ্রয়োজনীয় অ্যাক্সেস অপসারণ এবং নিয়ন্ত্রণ শক্তিশালী করার সুপারিশ করেন।
বোর্ডের কাছে উপস্থিত ফলাফলগুলি: বৈধ দুর্বলতা, প্রতিকারের অগ্রাধিকারগুলি এবং একটি প্রাথমিক উচ্চ-মূল্যের মূল্যায়নের ফলাফলগুলি ব্যবহার করুন যাতে অবশিষ্ট নিরাপত্তা ঝুঁকিগুলি প্রদর্শন করা যায় এবং ক্রমাগত পরীক্ষার সম্প্রসারণ সম্পর্কে সিদ্ধান্তগুলিকে সমর্থন করা যায়৷
বোদ্দুলা পরবর্তী অডিট বা বাজেট চক্র পর্যন্ত প্রাথমিক নিরাপত্তা মূল্যায়ন বিলম্বিত করার বিরুদ্ধে সতর্ক করে, সুপারিশ করে যে নেতারা সংবেদনশীল নিয়ন্ত্রিত ডেটা ধারণকারী একটি সিস্টেমের একটি ফোকাসড পরীক্ষা দিয়ে শুরু করুন:
"আজ একটি অপূর্ণ নিয়ন্ত্রণ অপারেটিং একটি নিখুঁত কৌশল যা কাগজে রয়ে গেছে তার চেয়ে বেশি মূল্য তৈরি করে৷ যদি আমি অবিলম্বে একটি ক্রিয়া দিয়ে শ্রোতাদের ছেড়ে দিই, তবে এটি হবে: সিস্টেমটি চয়ন করুন, অন্তত একটি সিস্টেম যা আপনার সবচেয়ে সংবেদনশীল নিয়ন্ত্রিত ডেটা ধারণ করে এবং এটিতে একটি ফোকাসড পরীক্ষা চালান এবং দেখুন সেই ফলাফলগুলি কী।"
– শ্রীধর বোদ্দুলা, ম্যাসমিউচুয়াল-এর নিরাপত্তা প্ল্যাটফর্ম ইঞ্জিনিয়ারিংয়ের প্রধান
নিরাপত্তা নেতাদের জন্য, তাৎক্ষণিক অগ্রাধিকার হল আক্রমণকারী কী পৌঁছাতে পারে তা স্থাপন করা, সবচেয়ে বড় ব্যবসায়িক ঝুঁকি তৈরি করে এমন দুর্বলতাগুলিকে যাচাই করা এবং একটি প্রতিকার পরিকল্পনা তৈরি করা। ফলাফলগুলি ক্রমাগত পরীক্ষার সম্প্রসারণ, নিরাপত্তা কভারেজের উন্নতি পরিমাপ এবং আরও বিনিয়োগ কোথায় ন্যায্য তা নির্ধারণের জন্য একটি বেসলাইন স্থাপন করতে পারে।
