নিরাপত্তা পরীক্ষার অ্যাক্সেস হ্যান্ডঅফ: পরিধি, অ্যাকাউন্ট ও প্রত্যাহার
VPN শংসাপত্র চাওয়া একজন পরীক্ষকের প্রয়োজন পরিধি-নির্ধারিত হ্যান্ডঅফ, অতিরিক্ত লগইন নয়। অনুমোদন যাচাই করুন, লক্ষ্য চিহ্নিত করুন, অ্যাকাউন্ট ইস্যু করুন, তারপর প্রত্যাহার করুন।
একজন পরীক্ষক গেটওয়ে ঠিকানা, অভ্যন্তরীণ DNS বিবরণ ও VPN শংসাপত্র চান, এবং অনুরোধটি «অ্যাক্সেস প্রয়োজন» বিষয়সহ আপনার কাছে পাঠানো হয়। অনুরোধটি একা আপনাকে বলে না এটি অভ্যন্তরীণ মূল্যায়ন, প্রমাণিত অ্যাপ্লিকেশন পরীক্ষা, নাকি পাবলিক ওয়েবসাইট কাজ যেখানে কেউ পরিধি ভুল বুঝেছে। হ্যান্ডঅফটি প্রতিটি ধাপে একটি গেট সহ ক্রম হিসেবে চালান এবং যে প্রথম গেট খোলে না সেখানে থামুন। এটি একটি অস্পষ্ট অনুরোধকে এমন কিছুতে পরিণত করে যা আপনি অনুমোদন করতে, সরবরাহ করতে এবং পরে প্রত্যাহার করতে পারেন।
শংসাপত্র নয়, অনুমোদন দিয়ে শুরু করুন
আপনার ইনবক্স থেকে কোনো ঠিকানা বের হওয়ার আগে নির্ধারণ করুন কে লক্ষ্যগুলোর মালিক এবং কে সেগুলোতে পরীক্ষার অনুমোদন দিতে পারে। আপনার প্রতিষ্ঠান ইতিমধ্যে যে এনগেজমেন্ট পরিচিতি ব্যবহার করে তার মাধ্যমে পরীক্ষককে যাচাই করুন, ইমেইল ফরোয়ার্ড করা ব্যক্তির মাধ্যমে নয়। গ্রাহক সম্পর্ক অ্যাকাউন্ট থেকে পৌঁছানো প্রতিটি সিস্টেম পরীক্ষা করার অনুমতি নয়, এবং ক্রয় আদেশ পরিধি নথি নয়।
অনুমোদিত উদ্দেশ্যটি এক বাক্যে লিখুন এবং হ্যান্ডঅফের পাশে রাখুন। «গ্রাহক পোর্টালের প্রমাণীকরণ মূল্যায়ন করুন» এবং «অভ্যন্তরীণ নেটওয়ার্ক মূল্যায়ন করুন» সম্পূর্ণ ভিন্ন প্যাকেজে নিয়ে যায়, এবং পার্থক্যটি সরবরাহের আগেই নিষ্পত্তি করতে হবে, কোনো ফলাফল আসার পরে নয়। বাক্যটি আপনাকে এমন কিছুও দেয় যা দেখিয়ে বলা যায় যখন অনুরোধটি এনগেজমেন্টের মাঝখানে বেড়ে যায়।
যদি পথে একটি হোস্টিং প্রদানকারী বা অন্য তৃতীয় পক্ষ থাকে, তাদের প্রয়োজনীয়তা আপনার সুবিধার আগে আসে। অনুমতি ছাড়া অন্যের অবকাঠামো পরীক্ষা করা তার উপর চলা অ্যাপ্লিকেশন পরীক্ষা করার থেকে আলাদা সমস্যা।
দৃষ্টিকোণ ও লক্ষ্যগুলো চিহ্নিত করুন
দৃষ্টিকোণ হলো সেই প্রশ্ন যার উত্তর মূল্যায়ন দিতে চায়, এবং এটি পরীক্ষকের ব্যবহারের পরিকল্পিত যেকোনো টুলের চেয়ে বেশি অ্যাক্সেস প্যাকেজ নির্ধারণ করে। পাবলিক অ-প্রমাণিত পরীক্ষার প্রয়োজন একটি URL ও একটি সময়সীমা। প্রমাণিত পরীক্ষার প্রয়োজন পরিধির নির্দিষ্ট ভূমিকার জন্য নিবেদিত অ্যাকাউন্ট, আর অভ্যন্তরীণ মূল্যায়নের প্রয়োজন স্পষ্ট লক্ষ্য পরিসরের সাথে নির্ধারিত প্রবেশবিন্দু।
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
সুড়ঙ্গ কোথায় প্রবেশ করে তা তার পিছনে কোন অ্যাপ্লিকেশন আছে সেই তথ্য নয়, এবং এটি অবশ্যই প্রবেশবিন্দু অনুসন্ধানের অনুমতি দেয় না। হ্যান্ডঅফে এটি স্পষ্টভাবে বলুন, কারণ কোনো ফলাফল বিতর্কিত হলে «তুমি আমাকে ওই সাবনেটে অ্যাক্সেস দিয়েছ» বাক্যটি দ্রুত আসে। লিখিত লক্ষ্য তালিকা একমাত্র জিনিস যা পরে এটি নিষ্পত্তি করে।
URL-এর সাথে TLS হোস্টনাম দিন। শুধু IP ঠিকানা পরীক্ষককে নাম অনুমান করতে বাধ্য করে, আর অনুমান করা নাম সার্টিফিকেট ত্রুটি তৈরি করে যা হ্যান্ডঅফ ভুল নয়, ফলাফল হিসেবে রিপোর্ট হয়।
মেয়াদসহ নিবেদিত পরিচয় ইস্যু করুন
কেবল এই এনগেজমেন্টের জন্য বিদ্যমান অ্যাকাউন্ট সরবরাহ করুন; কর্মীর দৈনন্দিন লগইন ধার দেবেন না। সম্মত কাজগুলোর জন্য নেটওয়ার্ক নাগাল ও অ্যাপ্লিকেশন অনুমতি সেট করুন, সমর্থিত পথে প্রমাণীকরণ নথিভুক্তি ব্যবস্থা করুন, এবং প্রত্যাহারের জন্য দায়ী একজন নামযুক্ত ব্যক্তিসহ মেয়াদ শেষের তারিখ সংযুক্ত করুন. সম্মত নিরাপদ চ্যানেলে শংসাপত্র সরবরাহ করুন, চারদিকে ফরোয়ার্ড হওয়া পরিধি নথি থেকে আলাদাভাবে।
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
কে কী পেল এবং কখন, তা লিপিবদ্ধ করুন। সেই রেকর্ডই নিয়ন্ত্রিত হ্যান্ডঅফ ও কেউ অনুসরণ করতে না পারা ভাগ করা পাসওয়ার্ডের মধ্যে পার্থক্য, এবং কোনো ঘটনার পরে সবার আগে যা চাওয়া হয়। এটি চ্যাট থ্রেডে নয়, পরিধি নথির সাথে রাখুন, এবং প্রাপকের পাশে সরবরাহ চ্যানেল লিখুন। সময় উল্লেখ করা একটি লাইন প্রতিবারই স্মৃতির চেয়ে ভালো।
মেয়াদ ক্ষেত্রটি শেষ প্রতিরক্ষা, পরিকল্পনা নয়। শেষে কাউকে নেটওয়ার্ক পথ ও অ্যাপ্লিকেশন ভূমিকা সরাতে হবে, কারণ এখনও পৌঁছানো যায় এমন নেটওয়ার্কে মেয়াদোত্তীর্ণ লগইন প্রত্যাহৃত অ্যাক্সেস নয়।
সময়সীমা খোলার আগে হ্যান্ডঅফ কাজ করে তা প্রমাণ করুন
পরীক্ষকের প্রথম ধাপটি নিজেই চালান, যতটা সম্ভব তার কাছাকাছি অবস্থান থেকে। নামটি রিজলভ করুন, সার্টিফিকেট পরিচয় যাচাই করুন এবং নিশ্চিত করুন পথটি পাশের নয়, অভীষ্ট ঠিকানায় পৌঁছায়।
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
যদি পথটি কোনো লক্ষ্যে পৌঁছাতে না পারে, থামুন এবং হ্যান্ডঅফ সমন্বয় করুন, পরীক্ষককে বিকল্প পথ আবিষ্কার করতে দেবেন না। তাৎক্ষণিক নাগালই হলো যেভাবে একটি মূল্যায়ন নিঃশব্দে তার পরিধির বাইরে বাড়ে, এবং পরে তা প্রায় কখনোই নথিভুক্ত হয় না।
শংসাপত্রের সাথে পরিচালনিক যোগাযোগ, অনুমোদিত সময়, বাদ দেওয়া কার্যক্রম ও থামার শর্ত পাঠান। যে পরীক্ষক 02:00-এ কারো কাছে পৌঁছাতে পারেন না তিনি এমন সিদ্ধান্ত নেবেন যা আপনি অনুমোদন করেননি, আর সেই সিদ্ধান্ত রিপোর্টে পরিধির ভেতরে থাকা হিসেবে বর্ণিত হবে।
NIST SP 800-115 প্রযুক্তিগত মূল্যায়নকে পরিকল্পিত পরীক্ষা, তারপর বিশ্লেষণ ও প্রশমন হিসেবে বর্ণনা করে, আর এই হ্যান্ডঅফ সেই আকারই অনুসরণ করে। উপরের গেটগুলো একজন সহায়তা প্রকৌশলীর সম্পাদকীয় নকশা সিদ্ধান্ত, ওই প্রকাশনা থেকে উদ্ধৃত চেকলিস্ট নয়।
অ্যাক্সেস সরিয়ে এনগেজমেন্ট বন্ধ করুন
সরবরাহের বিপরীত ক্রমে প্রত্যাহার করুন: অ্যাপ্লিকেশন ভূমিকা, তারপর নেটওয়ার্ক অ্যাক্সেস, তারপর পরিচয় নিজেই। প্রতিটি ধাপ নিশ্চিত করুন, কনসোল বোতামের প্রতিশ্রুতি রেখেছে বলে ধরে নেবেন না। সেশন বন্ধ করার আগে অ্যাকাউন্ট লক করুন, নইলে সেশনটি পুরোনো পথে আবার প্রমাণীকরণ করে। তারপর বন্ধ ঘোষণার আগে প্রতিষ্ঠিত সংযোগগুলো আরেকবার যাচাই করুন।
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
সংরক্ষিত পরীক্ষা ডেটা নিষ্পত্তি করুন, তারপর শুরুতে সম্মত রিপোর্টিং প্রক্রিয়ার মাধ্যমে প্রতিকার অনুসরণ করুন। রিপোর্টে পরিবেশ, অ্যাক্সেস স্তর, পরিধি ও সীমাবদ্ধতা উল্লেখ করা উচিত, কারণ এটি এক মূল্যায়নের ফলাফল লিপিবদ্ধ করে এবং সাইটটি নিরাপদ বলে স্থায়ী বিবৃতি নয়।
প্রত্যাহার রেকর্ডটি হ্যান্ডঅফ রেকর্ডের সাথে রাখুন। পরবর্তী এনগেজমেন্ট শুরু হলে আপনি ঠিক জানতে চান গতবার কী সরানো হয়েছিল এবং কে তা অনুমোদন করেছিল, স্মৃতি থেকে চিত্র পুনর্গঠন নয়।