মূল বিষয়বস্তুতে যান
BilgeQor

Red Team অনুশীলন

ভারতের সংস্থাগুলির জন্য, সাইবার নিরাপত্তা ও ডেটা-সুরক্ষা প্রত্যাশার প্রেক্ষাপট একটি উদ্দেশ্য-নির্দেশিত রেড টিম অনুশীলনের জন্য প্রস্তুতির কাঠামো দেয়, যার মধ্যে অনুমোদিত সিদ্ধান্ত রেকর্ড, লিখিত অনুমোদন, সম্মত লক্ষ্য, এনগেজমেন্টের নিয়ম, ব্ল্যাকআউট উইন্ডো, নামযুক্ত যোগাযোগ এবং স্টপ শর্তাবলী থাকে। BilgeQor অনুমোদিত স্কোপের জন্য প্রমাণ-নির্ভর ফলাফল, রিপ্লে আর্টিফ্যাক্ট এবং একটি ডিব্রিফ দেয়। এটি একটি লিখিত প্রস্তাবের মাধ্যমে স্কোপ করা হয় এবং অনিয়ন্ত্রিত পরীক্ষা, অবিচ্ছিন্ন পর্যবেক্ষণ, ধ্বংসাত্মক কর্ম, অথবা প্রতিটি দুর্বলতা আবিষ্কৃত হবে এমন কোনো গ্যারান্টি দেয় না।

সম্মত লক্ষ্য, পরিসীমা এবং এনগেজমেন্টের নিয়মের মধ্যে পরিচালিত একটি কাঠামোগত, অনুমোদিত প্রতিপক্ষের সিমুলেশনের বিরুদ্ধে আপনার প্রতিরক্ষা কীভাবে কাজ করে তা মূল্যায়ন করুন।

ব্যাপ্তি নির্ধারিত অংশগ্রহণ

উপযুক্ত যদি

  • ✓আপনি সম্মত লক্ষ্য, পরিধি এবং পরীক্ষার উইন্ডো বা এনগেজমেন্টের নিয়মসহ বিশেষজ্ঞ মূল্যায়ন অনুমোদন করেছেন
  • ✓আপনার স্পষ্টভাবে নিশ্চিত করা পরামিতির মধ্যে পরিসীমাবদ্ধ, সীমাবদ্ধ মূল্যায়ন প্রয়োজন
  • ✓আপনি একটি নিয়ন্ত্রিত এনগেজমেন্ট থেকে নথিভুক্ত ফলাফল এবং অগ্রাধিকার-নির্ধারিত পর্যবেক্ষণ চান
  • ✓আপনি বুঝতে পেরেছেন এটা একটি পরিসীমাবদ্ধ মূল্যায়ন, কোন ধারাবাহিক সুরক্ষা বা গ্যারান্টিযুক্ত ফলাফল নয়

উপযুক্ত নয় যদি

  • –আপনার প্রয়োজন নৈমিত্তিক স্ক্যানিং বা রুটিন দুর্বলতা চেক
  • –আপনার জরুরী লাইভ রেসপন্স বা অননুমোদিত পরীক্ষার প্রয়োজন
  • –আপনি গ্যারান্টিযুক্ত এক্সপ্লয়েট আবিষ্কার বা সম্পূর্ণ সুরক্ষা প্রত্যাশা করেন
  • –আপনার 24/7 পর্যবেক্ষণ, MDR, অথবা নির্ধারিত পরিসরের এনগেজমেন্টের বাইরে ধারাবাহিক হুমকি শিকার দরকার।

যাদের জন্য আদর্শ

  • প্রতিষ্ঠিত সনাক্তকরণ বা প্রতিক্রিয়া ক্ষমতাসম্পন্ন যেসব সংস্থা একটি সৎ, পরিধি-নির্দিষ্ট মূল্যায়ন চায়
  • বোর্ডের পর্যালোচনা, গ্রাহক আশ্বাসের অনুরোধ বা অভ্যন্তরীণ বৈধকরণের মাইলফলকের জন্য প্রস্তুতিরত নিরাপত্তা নেতারা
  • যে দলগুলি পূর্বে দুর্বলতা মূল্যায়ন সম্পন্ন করেছে এবং উদ্দেশ্যমূলক অনুশীলনের জন্য প্রস্তুত
  • সম্মত লক্ষ্যগুলোর বিরুদ্ধে অনুমোদিত প্রতিপক্ষের পথ কীভাবে উন্মোচিত হবে, তার নথিভুক্ত বিবরণ প্রয়োজন এমন ব্যবসা

আমরা যা মূল্যায়ন করি

  • শুধুমাত্র সম্মত পরিধির মধ্যে থাকা লক্ষ্যের বিরুদ্ধে ওপেন-সোর্স রিকনেসান্স
  • সুস্পষ্টভাবে সম্মতিযুক্ত প্রবেশ পৃষ্ঠের বিরুদ্ধে অনুমোদিত প্রাথমিক প্রবেশের প্রচেষ্টা
  • সম্মত লক্ষ্য তালিকা এবং অংশগ্রহণের নিয়ম দ্বারা সীমাবদ্ধ পার্শ্ববর্তী আন্দোলন লক্ষ্যমাত্রা
  • সম্মত অনুশীলনের লক্ষ্যগুলির সাপেক্ষে সনাক্তকরণ ও প্রতিক্রিয়া পর্যবেক্ষণ
  • প্রতিবেদন, রিপ্লে আর্টিফ্যাক্ট এবং যে অনুমোদিত পথ নেওয়া হয়েছে তা নিয়ে একটি ডিব্রিফ

বিতরণযোগ্যসমূহ

অনুমোদিত অনুশীলন এবং পর্যবেক্ষণকৃত ফলাফলের সংক্ষিপ্তসার সহ কার্যনির্বাহী বিবৃতি
গুরুতরতা, প্রমাণের উল্লেখ এবং অগ্রাধিকারমূলক প্রতিকারের নির্দেশিকা সহ প্রযুক্তিগত ফলাফল প্রতিবেদন
পুনরায় চালানোর আর্টিফ্যাক্ট এবং সম্পাদিত অনুমোদিত পদক্ষেপের সময়রেখা
সম্মত উদ্দেশ্যের সাপেক্ষে সনাক্তকরণ ও প্রতিক্রিয়া পর্যবেক্ষণ
আপনার নিরাপত্তা ও প্রকৌশল বিষয়ক স্টেকহোল্ডারদের সঙ্গে যৌথ ডিব্রিফ অধিবেশন
ঐচ্ছিক: নির্ধারিত স্কোপে সংশোধিত ফলাফলের পুনরায় পরীক্ষা, আলাদাভাবে সম্মত

পূর্বশর্ত ও অনুমোদন

  • +আওতায় থাকা সম্পদের ওপর কর্তৃত্ব সম্পন্ন একজন নির্বাহী কর্মকর্তার স্বাক্ষরিত অনুমোদনপত্র
  • +লক্ষ্য, পদ্ধতি, নিষিদ্ধ কর্ম এবং বন্ধের শর্তাবলী সম্পর্কিত লিখিত এনগেজমেন্টের নিয়ম
  • +স্পষ্টভাবে পরিধিভুক্ত অ্যাসেট, নেটওয়ার্ক, পরিচয় এবং অ্যাপ্লিকেশনসহ একটি পরিসীমাবদ্ধ টার্গেট তালিকা
  • +সম্মত ব্ল্যাকআউট উইন্ডো এবং যেকোনো সময়কাল, যখন অনুশীলনের কার্যক্রম বিরতি দিতে হবে
  • +এনগেজমেন্ট উইন্ডো জুড়ে যোগাযোগযোগ্য নামযুক্ত প্রাথমিক ও ব্যাকআপ যোগাযোগবিন্দু
  • +হোস্টিং, ক্লাউড বা তৃতীয় পক্ষের সরবরাহকারী-সংক্রান্ত বিজ্ঞপ্তি, যেখানে প্রয়োজন সেখানে প্রাপ্ত

বর্জন ও সীমানা

  • কর্মচারী, গ্রাহক বা অংশীদারদের সামাজিক প্রকৌশল অন্তর্ভুক্ত নয়, যদি না সেটি স্পষ্টভাবে লিখিতভাবে যোগ করা হয় এবং সম্মত বাজারে বৈধ হয়
  • অপারেশনাল প্রযুক্তি, শিল্প নিয়ন্ত্রণ ব্যবস্থা এবং সেফটি-ক্রিটিক্যাল পরিবেশ ডিফল্টরূপে আওতার বাইরে থাকে।
  • তৃতীয় পক্ষের SaaS প্ল্যাটফর্ম এবং সরবরাহকারী-পরিচালিত সিস্টেম বাদ দেওয়া হয়, যদি না সরবরাহকারী সুস্পষ্ট লিখিত সম্মতি দেয়
  • ডিনায়েল-অব-সার্ভিস কার্যকলাপ, ধ্বংসাত্মক কর্ম এবং সম্মত প্রমাণ-আর্টিফ্যাক্টের বাইরে ডেটা বের করে নেওয়া নিষিদ্ধ
  • এই উদ্যোগে প্রতিটি দুর্বলতা আবিষ্কারের নিশ্চয়তা নেই, এবং এটি একটি নির্দিষ্ট ফলাফলের নিশ্চয়তা দেয় না
  • এই নিযুক্তি দ্বারা কোনো সার্টিফিকেশন, স্বীকৃতি বা সম্মতি সত্যায়ন জারি করা হয় না
  • ক্রমাগত পর্যবেক্ষণ, SOC অপারেশন, MDR, এবং লাইভ ইনসিডেন্ট রেসপন্স অন্তর্ভুক্ত নয়

কিভাবে কাজ করে

1

পরিসীমা ও লক্ষ্য

আমরা উদ্দেশ্য, পরিধিভুক্ত টার্গেট, সাফল্যের মানদণ্ড, নিষিদ্ধ কাজ, ব্ল্যাকআউট উইন্ডো এবং এনগেজমেন্ট উইন্ডো নিয়ে একমত হই। পরিধি নথিভুক্ত না হওয়া পর্যন্ত কিছুই শুরু করা হয় না।

2

অনুমোদন

কোনও কার্যক্রমের আগে একটি স্বাক্ষরিত অনুমোদনপত্র এবং এনগেজমেন্টের লিখিত নিয়ম নিশ্চিত করা হয়। প্রাথমিক এবং ব্যাকআপ পরিচিতির নাম উল্লেখ করা হয় এবং স্টপ শর্তাবলী লিখিতভাবে সম্মত হয়।

3

সম্পাদন

আমরা সম্মত রুলস অফ এনগেজমেন্টের মধ্যে অনুমোদিত রিকনেসান্স, প্রাথমিক অ্যাক্সেস প্রচেষ্টা এবং ল্যাটারাল মুভমেন্টের লক্ষ্যগুলো সম্পাদন করি, ব্ল্যাকআউট উইন্ডোগুলোর জন্য বিরতি নিই এবং সব স্টপ শর্ত মেনে চলি।

4

প্রতিবেদন

আমরা নির্বাহী বর্ণনা, প্রযুক্তিগত ফলাফল, রিপ্লে আর্টেফ্যাক্ট এবং অগ্রাধিকারযুক্ত প্রতিকার নির্দেশিকা প্রদান করি। প্রমাণ আপনার নাম দেওয়া যোগাযোগদের সাথে নিরাপদে শেয়ার করা হয়।

5

ডিব্রিফ

আমরা আপনার নিরাপত্তা ও প্রকৌশল স্টেকহোল্ডারদের সঙ্গে একটি যৌথ ডিব্রিফ চালাই, যাতে পর্যবেক্ষণগুলি ধরে ধরে দেখা যায়, প্রশ্নের উত্তর দেওয়া যায় এবং সংশোধনের অগ্রাধিকারে সামঞ্জস্য করা যায়।

প্রথমে পরিসর অনুরোধ করুন। পরবর্তী যেকোনো বাণিজ্যিক পদক্ষেপের আগে আমরা লক্ষ্য, অনুমোদন, পরীক্ষার সময় এবং এনগেজমেন্টের নিয়ম লিখিতভাবে নিশ্চিত করি। এই পাতা অর্থ গ্রহণ করে না এবং বিশেষায়িত কাজ শুরু করে না। পরিসরের অনুমোদনের আগে কোনো বিশেষায়িত কাজ শুরু হয় না।

পরিধি ও কোটেশন

চূড়ান্ত সুযোগ এবং উদ্ধৃতি অনুমোদিত লক্ষ্য, পরিবেশ এবং সম্মত পরীক্ষার শর্তের উপর নির্ভর করে।

প্রায়শই জিজ্ঞাসিত প্রশ্ন

আপনার পরিসর নিয়ে আলোচনা করার জন্য প্রস্তুত?

আপনার লক্ষ্য, পরিবেশ এবং পরীক্ষার উইন্ডো সম্পর্কে আমাদের বলুন। আমরা একটি নির্দিষ্ট উদ্ধৃতি ফেরত দেব।