# আপনার হোস্ট করা প্রকল্পের জন্য একটি ব্যবহারিক হুমকি মডেল | SwissOctet ইনসাইটস

https://swissoctet.com/bn/insights/threat-model-a-hosted-project/

SwissOctet / অন্তর্দৃষ্টি / দ্বিতীয় দিনের অপারেশন দ্বিতীয় দিনের অপারেশন প্রয়োগকৃত · 6 মিনিট পড়া

আপনার হোস্ট করা প্রকল্পের জন্য একটি ব্যবহারিক হুমকি মডেল

সম্পদ এবং বিশ্বাস সীমানা ম্যাপ করুন, কয়েকটি বাস্তবসম্মত ব্যর্থতার পরিস্থিতি বেছে নিন এবং সেগুলোকে পরীক্ষাযোগ্য নিয়ন্ত্রণে রূপান্তর করুন।

SwissOctet এডিটোরিয়াল দ্বারা গাইড সংরক্ষণ করুন লিঙ্ক কপি করুন

এই পৃষ্ঠায় 01 একটি সুযোগ নির্ধারণ করুন যা সম্পর্কে চিন্তা করার জন্য যথেষ্ট ছোট 02 যেখানে বিশ্বাস পরিবর্তিত হয় সেই স্থানগুলি আঁকুন 03 সুনির্দিষ্ট ব্যর্থতার দৃশ্যপট বেছে নিন 04 প্রভাব এবং একটি বিশ্বাসযোগ্য পথ দ্বারা অগ্রাধিকার দিন 05 একটি অনুমোদিত পরিবেশে নিয়ন্ত্রণ পরীক্ষা করুন 06 মডেলটিকে পরিবর্তনের সাথে সংযুক্ত রাখুন আপনার ব্যবহারিক চেকলিস্ট সূত্র ও আরও পড়া লাইব্রেরিতে ফিরে যান সরাসরি উত্তর একটি কার্যকর হুমকি মডেল ব্যাখ্যা করে আপনি কী সুরক্ষিত করেন, কে বা কী এটি প্রভাবিত করতে পারে, বিশ্বাস কোথায় পরিবর্তিত হয় এবং আপনি কীভাবে সবচেয়ে গুরুত্বপূর্ণ ঝুঁকিগুলি হ্রাস এবং পরীক্ষা করবেন। সরঞ্জামের একটি সাধারণ তালিকার পরিবর্তে প্রকৃত প্রকল্প দিয়ে শুরু করুন।

01 একটি সুযোগ নির্ধারণ করুন যা সম্পর্কে চিন্তা করার জন্য যথেষ্ট ছোট

একটি কার্যকর পরিষেবা দিয়ে শুরু করুন: একটি গ্রাহক পোর্টাল, প্রকাশনা সাইট বা অভ্যন্তরীণ অ্যাপ্লিকেশন। আপনি যে উপাদানগুলি পরিচালনা করেন এবং যে বাহ্যিক সিস্টেমগুলির উপর নির্ভর করেন তা লিখুন। একটি হুমকি মডেল অনুমানগুলিকে দৃশ্যমান করা উচিত, পরামর্শ দেওয়া উচিত নয় যে প্রতিটি সম্ভাব্য আক্রমণ সমাধান করা হয়েছে। প্রথম সংস্করণটি যথেষ্ট ছোট রাখুন যাতে অ্যাপ্লিকেশন স্থাপনকারী ব্যক্তিরা একটি পৃথক পরামর্শদাতা ডায়াগ্রাম ব্যাখ্যা না করেই এটি ব্যাখ্যা করতে পারেন।

মূল্যবান ফলাফল এবং সম্পদ তালিকাভুক্ত করুন। এর মধ্যে গ্রাহক ডেটা, প্রশাসন অ্যাক্সেস, পেমেন্ট অবস্থা, প্রকাশিত বিষয়বস্তু এবং পরিষেবা পুনরুদ্ধার করার ক্ষমতা অন্তর্ভুক্ত থাকতে পারে। তথ্য সর্বজনীন হলেও প্রাপ্যতা একটি সম্পদ হতে পারে। কোন ব্যর্থতাগুলি অসুবিধাজনক হবে এবং কোনটি মানুষ বা সংস্থার ক্ষতি করবে তা নির্ধারণ করুন। সেই পার্থক্য প্রতিটি সতর্কতাকে সমানভাবে বিবেচনা করার পরিবর্তে নিয়ন্ত্রণগুলিকে অগ্রাধিকার দিতে সহায়তা করে।

02 যেখানে বিশ্বাস পরিবর্তিত হয় সেই স্থানগুলি আঁকুন

OWASP-এর হুমকি-মডেল নির্দেশিকা একটি নকশাকে বোধগম্য করতে ডেটা প্রবাহ এবং বিশ্বাস সীমানা ব্যবহার করে। একটি ছোট হোস্ট করা অ্যাপ্লিকেশনের জন্য, ব্রাউজার, ওয়েব প্রক্রিয়া, ডেটাবেস, প্রশাসক, ব্যাকআপ গন্তব্য এবং বাহ্যিক ইন্টিগ্রেশন আঁকুন। তাদের মধ্যে চলমান তথ্য চিহ্নিত করুন। একটি অবিশ্বস্ত ক্লায়েন্ট থেকে একটি বিশেষাধিকারপ্রাপ্ত সার্ভার অপারেশনে প্রবেশ করা একটি অনুরোধ স্পষ্ট বৈধতা এবং অনুমোদনের দাবি রাখে।

ধরে নেবেন না যে একই মেশিনের ভিতরে থাকা প্রতিটি উপাদানকে সমানভাবে বিশ্বস্ত করে তোলে। একটি সর্বজনীন আপলোড প্রক্রিয়ার ডেটাবেস প্রশাসনের মতো একই অনুমতি থাকা উচিত নয়। একটি ব্যাকআপ কাজের লাইভ অ্যাপ্লিকেশন রেকর্ড পরিবর্তন করার ক্ষমতা ছাড়াই পঠন অ্যাক্সেস প্রয়োজন হতে পারে। সেই ভূমিকাগুলি আলাদা করা একটি আপস করা উপাদানের প্রভাব ধারণ করা সহজ করে এবং প্রয়োজনীয় অনুমতিগুলি পর্যালোচনা করা সহজ করে।

03 সুনির্দিষ্ট ব্যর্থতার দৃশ্যপট বেছে নিন

নকশাকে চ্যালেঞ্জ করতে কয়েকটি বিশ্বাসযোগ্য ঘটনা ব্যবহার করুন। একজন আক্রমণকারী একটি প্রশাসক পাসওয়ার্ড চুরি করে; একজন ব্যবহারকারী অন্য ব্যবহারকারীর রেকর্ড অনুরোধ করে; একটি আপলোড ডিস্ক পূর্ণ করে; একটি স্থাপনা একটি কনফিগারেশন ফাইল প্রকাশ করে; একটি পুনরুদ্ধার কপি পুনরুদ্ধার করা যায় না। প্রারম্ভিক অবস্থা, প্রভাবিত উপাদান এবং পরিণতি বর্ণনা করুন। একটি নির্দিষ্ট দৃশ্যপট নিরাপত্তা উন্নত করার একটি বিস্তৃত নির্দেশের চেয়ে পরীক্ষা করা সহজ।

বাহ্যিক অনুপ্রবেশের পাশাপাশি ভুল এবং বৈধ ওয়ার্কফ্লো অপব্যবহার অন্তর্ভুক্ত করুন। একটি পুনঃপ্রচেষ্টা দুটি মূল্যবান অপারেশন তৈরি করতে পারে, বা দুটি অনুরোধ একই বস্তু পরিবর্তন করার জন্য প্রতিযোগিতা করতে পারে। OWASP-এর ব্যবসা-লজিক নির্দেশিকা এই প্রক্রিয়া অনুমানগুলিকে হাইলাইট করে। পরীক্ষা করুন কে একটি ওয়ার্কফ্লোকে তার পরবর্তী অবস্থায় নিয়ে যাওয়ার অনুমতি পায় এবং একটি অনুরোধ পুনরাবৃত্তি বা পুনর্বিন্যাস ফলাফল অপ্রত্যাশিতভাবে পরিবর্তন করে কিনা।

দৃশ্যপট তদন্ত করার নিয়ন্ত্রণ সংগ্রহ করার প্রমাণ

চুরি হওয়া প্রশাসন শংসাপত্র সীমাবদ্ধ অ্যাক্সেস এবং যেখানে সমর্থিত সেখানে একটি দ্বিতীয় ফ্যাক্টর একটি অননুমোদিত লগইন সম্পূর্ণ করতে পারে না

অন্য ব্যবহারকারীর বস্তু অনুরোধ করা হয়েছে সার্ভার-সাইড বস্তু অনুমোদন একটি বিচ্ছিন্ন পরীক্ষা একটি অস্বীকৃত ফলাফল ফেরত দেয়

আপলোড দ্বারা ডিস্ক নিঃশেষ আকার, কোটা এবং রিটেনশন নিয়ন্ত্রণ পরিষেবা ব্যর্থতার আগে একটি সীমা প্রয়োগ করা হয়

সদৃশ ওয়ার্কফ্লো অনুরোধ আইডেম্পোটেন্সি এবং লেনদেন সীমানা একটি পুনরাবৃত্ত অনুরোধ একটি ফলাফল তৈরি করে

04 প্রভাব এবং একটি বিশ্বাসযোগ্য পথ দ্বারা অগ্রাধিকার দিন

প্রতিটি দৃশ্যপটের জন্য, তার সম্ভাব্য প্রভাব এবং এটি ঘটতে প্রয়োজনীয় শর্তগুলি রেকর্ড করুন। একটি অনুমানকৃত সংখ্যাসূচক স্কোর একটি সুনির্দিষ্ট সম্ভাবনা বলে ভান করা এড়িয়ে চলুন। আপনি এখনও একটি ইন্টারনেট-এক্সপোজড দুর্বল পাসওয়ার্ড একটি অত্যন্ত শর্তসাপেক্ষ স্থানীয় ঘটনা থেকে আলাদা করতে পারেন। গুরুত্বপূর্ণ ঝুঁকিগুলিতে একটি মালিক এবং একটি ব্যবহারিক পরবর্তী পদক্ষেপ নির্ধারণ করুন যাতে মডেলটি এমন কাজ তৈরি করে যা কেউ আসলে সম্পূর্ণ করতে পারে।

অ্যাপ্লিকেশন আপসের পাশাপাশি তথ্য জীবনচক্র বিবেচনা করুন। একটি ডায়াগনস্টিক এক্সপোর্ট অন্যথায় স্বাভাবিক পরিচালনার সময় অপ্রয়োজনীয় ডেটা প্রকাশ করতে পারে। একটি সংরক্ষিত অ্যাকাউন্ট ক্ষেত্র তার উদ্দেশ্য শেষ হওয়ার অনেক পরে এক্সপোজার তৈরি করতে পারে। তাই গোপনীয়তা পর্যালোচনা তথ্য সরাতে বা রিটেনশন সংক্ষিপ্ত করতে পারে, যখন নিরাপত্তা পর্যালোচনা যা অবশিষ্ট থাকে তার অ্যাক্সেস সীমাবদ্ধ করে। উভয় পরিবর্তনই মডেলে অন্তর্ভুক্ত যখন তারা প্রকল্পকে সুরক্ষিত করে।

05 একটি অনুমোদিত পরিবেশে নিয়ন্ত্রণ পরীক্ষা করুন

প্রতিনিধিত্বমূলক অনুমতি ও কৃত্রিম রেকর্ডসহ একটি স্টেজিং পরিবেশ তৈরি করুন। প্রত্যাখ্যাত অ্যাক্সেস, অনুরোধের সীমা, ওয়ার্কফ্লো পুনঃপ্রচেষ্টা এবং পুনরুদ্ধার পরীক্ষা করুন। যখন কৃত্রিম ডেটা আচরণ প্রদর্শন করতে পারে তখন প্রকৃত গ্রাহক ডেটা ব্যবহার করবেন না। উদ্দেশ্য হলো নিয়ন্ত্রণ যাচাই করা, চিত্তাকর্ষক আক্রমণ ট্রাফিক তৈরি করা নয়। আপনি যে সিস্টেমগুলোর মালিক বা স্পষ্টভাবে মূল্যায়নের জন্য অনুমোদিত, তার মধ্যেই থাকুন।

কী পাস করেছে, কী ব্যর্থ হয়েছে এবং কী অজানা রয়েছে তা রেকর্ড করুন। একটি স্ক্যানার ফলাফল প্রমাণে অবদান রাখতে পারে, কিন্তু অ্যাপ্লিকেশনের ব্যবসায়িক নিয়মের পরীক্ষা প্রতিস্থাপন করে না। একইভাবে, একটি নেটওয়ার্ক সুরক্ষা বিকল্প অবজেক্ট অনুমোদন বা গোপন-ফাইল হ্যান্ডলিং যাচাই করে না। ভবিষ্যতের রক্ষণাবেক্ষণকারীরা কেন একটি নির্দিষ্ট নিয়ন্ত্রণ বিদ্যমান তা বুঝতে পারে সেজন্য দরকারি ফলাফলগুলো দৃশ্যপটের সাথে সংযুক্ত করুন।

06 মডেলটিকে পরিবর্তনের সাথে সংযুক্ত রাখুন

আপনি যখন একটি ইন্টিগ্রেশন যোগ করেন, একটি নতুন এন্ডপয়েন্ট প্রকাশ করেন, একটি বিশেষাধিকার পরিবর্তন করেন বা ডেটা অন্য গন্তব্যে স্থানান্তর করেন তখন প্রাসঙ্গিক অংশগুলো পর্যালোচনা করুন। একটি ছোট টেক্সট সম্পাদনার জন্য পুরো আর্কিটেকচার পুনরায় আঁকতে হবে না। ট্রিগার হলো অ্যাক্সেস, তথ্য বা সিস্টেম আচরণ সম্পর্কে পরিবর্তিত অনুমান। মডেলটিকে এককালীন ওয়ার্কশপ আউটপুট হিসেবে রেখে না দিয়ে ডিপ্লয়মেন্ট ও পুনরুদ্ধার ডকুমেন্টেশনের পাশে রাখুন।

SwissOctet অবকাঠামো পছন্দের একটি ক্যাটালগ সরবরাহ করে, সম্পূর্ণ অ্যাপ্লিকেশন হুমকি মডেল নয়। আপনার নিয়ন্ত্রণগুলোকে সমর্থন করে এমন কনফিগারেশন ও বিকল্প বেছে নিন, তারপর আপনি যে ডিপ্লয়মেন্ট তৈরি করেন তা যাচাই করুন। পরীক্ষিত কার্যক্রমসহ একটি ছোট, রক্ষণাবেক্ষণকৃত মডেল নিরাপত্তা পণ্যের একটি বড় সংগ্রহ, যেখানে তারা যে ঝুঁকিগুলো সম্বোধন করে তার স্পষ্ট ব্যাখ্যা নেই, তার চেয়ে বেশি উপযোগী।

এটিকে কাজে পরিণত করুন আপনার ব্যবহারিক চেকলিস্ট।

✓ সম্পদ এবং ব্যর্থতার পরিণতি তালিকাভুক্ত করুন।

✓ ডেটা প্রবাহ এবং বিশ্বাস সীমানা আঁকুন।

✓ নির্দিষ্ট অনুপ্রবেশ, ভুল এবং ওয়ার্কফ্লো দৃশ্যপট বেছে নিন।

✓ গুরুত্বপূর্ণ ঝুঁকিগুলোর জন্য নিয়ন্ত্রণ ও মালিক নির্ধারণ করুন।

✓ অনুমোদিত পরিবেশে কৃত্রিম ডেটা দিয়ে পরীক্ষা করুন।

✓ প্রাসঙ্গিক অনুমান পরিবর্তিত হলে মডেল পর্যালোচনা করুন।

চেকলিস্ট ডাউনলোড করুন

সাধারণ প্রশ্ন যে বিবরণগুলো গুরুত্বপূর্ণ।

শুরু করতে আমার কি একটি আনুষ্ঠানিক ফ্রেমওয়ার্ক দরকার? +

না। একটি ছোট ডায়াগ্রাম এবং নথিভুক্ত দৃশ্যপটের সেট উপযোগী হতে পারে। একটি ফ্রেমওয়ার্ক আপনাকে ধারাবাহিকভাবে ঝুঁকি পর্যালোচনা করতে সহায়তা করে।

একটি দুর্বলতা স্ক্যানার কি হুমকি মডেলিং প্রতিস্থাপন করে? +

না। স্ক্যানার প্রযুক্তিগত দুর্বলতা খুঁজে পেতে পারে, অন্যদিকে একটি হুমকি মডেল ডিজাইনের অনুমান, অনুমতি এবং ব্যবসায়িক ওয়ার্কফ্লোও পরীক্ষা করে।

আমি কত ঘন ঘন মডেল আপডেট করা উচিত? +

ডেটা প্রবাহ, ইন্টিগ্রেশন, বিশেষাধিকার বা প্রকাশিত কার্যকারিতা পরিবর্তিত হলে প্রভাবিত অংশগুলো আপডেট করুন এবং অমীমাংসিত ঝুঁকিগুলো নিয়মিত পর্যালোচনা করুন।

প্রাথমিক রেফারেন্স সূত্রে যান।

এই রেফারেন্সগুলি এই গাইডের প্রযুক্তিগত ধারণাগুলি সমর্থন করে। একটি উৎপাদন সিস্টেম পরিবর্তন করার আগে বর্তমান ডকুমেন্টেশন অনুসরণ করুন।

OWASP: থ্রেট মডেলিং চিট শিট cheatsheetseries.owasp.org

OWASP: অনুশীলনে হুমকি মডেলিং devguide.owasp.org

OWASP: ব্যবসায়িক লজিক নিরাপত্তা cheatsheetseries.owasp.org

SwissOctet দ্বারা সম্পাদকীয় নির্দেশনা। উদাহরণগুলি উদাহরণমূলক। সেবা স্পেসিফিকেশন, উপলব্ধ অপশন এবং চুক্তিভিত্তিক শর্তগুলি আলাদাভাবে যাচাই করতে হবে।

জ্ঞান সংযুক্ত করুন সম্পর্কিত অবকাঠামো।

Vector VPS সুইজারল্যান্ড Metal Atlas সুইজারল্যান্ড Canvas Web সুইজারল্যান্ড

থ্রেড রাখুন আপনার পরবর্তী ফিল্ড নোট।

প্রতিটি গাইড অন্বেষণ করুন

ফিল্ড নোট / 01

+

দ্বিতীয় দিনের অপারেশন প্রয়োগকৃত

একটি ব্যাকআপ তৈরি করুন যা আপনি সত্যিই পুনরুদ্ধার করতে পারেন

একটি পুনরুদ্ধার লক্ষ্য বেছে নিন, একটি স্বাধীন কপি সুরক্ষিত করুন এবং একটি ঘটনা সমস্যাটি বাধ্য করার আগে পুনরুদ্ধারের অনুশীলন করুন।

4 মিনিট পড়া গাইড পড়ুন

ফিল্ড নোট / 02

+

দ্বিতীয় দিনের অপারেশন প্রয়োগকৃত

অ্যাক্সেস হারানো ছাড়াই নিরাপদ Windows RDP প্রশাসন

নেটওয়ার্ক পৌঁছানোযোগ্যতা, প্রমাণীকরণ এবং বিশেষাধিকার আলাদা করুন, তারপর দূরবর্তী অ্যাক্সেস কঠোর করার আগে একটি পুনরুদ্ধার পথ যাচাই করুন।

6 মিনিট পড়া গাইড পড়ুন

ফিল্ড নোট / 03

+

দ্বিতীয় দিনের অপারেশন প্রয়োগকৃত

একটি Linux VPS হার্ডেনিং বেসলাইন যা আপনি বজায় রাখতে পারেন

নিরাপদ প্রশাসন, শুধুমাত্র প্রয়োজনীয় সেবা প্রকাশ করুন এবং নিজেকে লক আউট না করে আপডেট ও পুনরুদ্ধার প্রতিষ্ঠা করুন।

6 মিনিট পড়া গাইড পড়ুন