কিভাবে একজন ইথক্যিাল হ্যাকার (Ethical Hacker) কাজ করে থাকে?
কিভাবে একজন ইথক্যিাল হ্যাকার কাজ করে থাকে?
“একজন ইথিক্যাল হ্যাকার তাকেই বলা হয়ে থাকে যে আনন্দের সাথে প্রতিনিয়ত নিত্য-নতুন হ্যাকিং কৌশল রপ্ত করে এবং নিয়ম-শৃঙ্খলার বেড়াজালের মধ্যে থেকে কল্যানমূলক কাজে প্রয়োগ করে থাকে।”
তথ্য-প্রযুক্তি খুবই দ্রুত গতিতে এগিয়ে চলছে। একই সাথে সাইবার বিশ্বে তথ্য-প্রযুক্তিগত বিভিন্ন ঝুঁকিও প্রতি মূহুর্তে বৃদ্ধি পাচ্ছে। এই ঝুঁকির মূলে রয়েছে তীব্র বুদ্ধিমত্তা ও কৌশলী দক্ষতা সম্পন্ন ব্ল্যাক-হ্যাট হ্যাকার। এধরনের একজন ব্ল্যাক-হ্যাট হ্যাকার কে প্রতিহত করতে গেলে ঠিক সম-দক্ষতা এবং সম-চিন্তাভাবনা সম্পন্ন একজন ইথিক্যাল হ্যাকারকে প্রয়োজন। একজন ইথিক্যাল হ্যাকারকে অবশ্যই এই পরিমান দক্ষতা সম্পন্ন হতে হয় যেন একজন ব্ল্যাক-হ্যাট হ্যাকারের সিস্টেম কেন্দ্রিক বিভিন্ন উপসর্গ, আক্রমন, আক্রমনের ধরন ইত্যাদি সম্পর্কে পূর্বেই অনুমান করতে পারে। বাহ্যিক যেকোন প্রকার আক্রমনের পূর্বেই সিস্টেমের দুর্বলতা যাচাই পূর্বক তা প্রতিহত করার জন্য আপ্রান চেষ্টা করতে পারে।
একজন ইথিক্যাল হ্যাকারকে বাধ্যতামূলকভাবে যা যা করতে হয়ঃ
- ক্রিয়েটিভ থিংকি (Creative Thinking) বা সৃষ্টিশীল চিন্তা-ভাবনা।
- ক্রিটিক্যাল থিংকিং (Critical Thinking) বা জটিল চিন্তা-ভাবনা।
- ভালনারিবিলিটি টেষ্টিং (Vulnerability Testing) দুর্বলতা পরীক্ষা করা।
- সিকিউরিটি অডিট (Security Audit) নিরাপত্তা নিরীক্ষা।
- পেনিট্রেশন টেস্টিং (Penetration Testing) বা ইথিক্যাল হ্যাকিং (Ethical Hacking) ।
নোট: এত কিছুর পরও কোন সিস্টেমকে ১০০% নিরাপদ বলা যাবে না। নিরাপত্তা জটিল করার জন্য ইথিক্যাল হ্যাকাররা “Defense in Depth” এই নামে একটি কৌশল ব্যবহার করে থাকে। যা নিয়ে অন্য কোথাও কথা বলা হবে।
একজন ইথিক্যাল হ্যাকারের চিন্তা ভাবনা
একজন ইথিক্যাল হ্যাকার কিভাবে চিন্তা করে এটা একজন দক্ষ ইথিক্যাল হ্যাকার বলতে পারবে কিন্তু কমন কিছু বিষয় আছে যা আলোচনা করছি:
- একজন ব্লাক-হ্যাট হ্যাকার টার্গেট সিস্টেমের কাছে কি তথ্য জানতে চায়?
এক্ষেত্রে রিকনাইসেন্স (Reconnaissance) এবং স্ক্যানিং (Scanning) এই দুটি পর্যায়ের মধ্য দিয়ে একজন ব্ল্যাক হ্যাট হ্যাকারকে যেতে হয়।
সাধারনত যেকোন প্রতিষ্ঠানের সিস্টেম এ্যাডমিনিস্টেটর (System Administrator) নেটওয়ার্ক নিরাপত্তা তদারকি করে থাকেন। অনেক সময় দেখা যায় কাজের চাপে সিস্টেম এ্যাডমিনিস্টেটর কোন ভুল করে তাকে অথবা এমন কোন ভুল যা তার চোখেই পড়লনা। এক্ষেত্রে একজন ইথিক্যাল হ্যাকারকে কি কি ধরনের ভুল হতে পারে এবং এই সকল ভুল রিকনাইসেন্স (Reconnaissance) এবং স্ক্যানিং (Scanning) এই দুটি পর্যায়ে একজন ব্ল্যাক হ্যাট হ্যাকার কি কি ভাবে খুজে পেতে পারে তা নিয়ে একজন ইথিক্যাল হ্যাকারকে ক্রিটিক্যাল থিংকিং (Critical Thinking) বা জটিল চিন্তা-ভাবনা করতে হয়। একজন ইথিক্যাল হ্যাকারকে ঠিক একজন ব্ল্যাক হ্যাট হ্যাকারের মতো ভাবতে হয়।
- একজন ব্ল্যাক হ্যাট হ্যাকার টার্গেট সিস্টেম হতে চুরিকৃত তথ্য দ্বারা কি এবং কত ধরনের ক্ষতি করতে পারে।
এক্ষেত্রে গেইনিং এক্সেস (Gaining Access) এবং মেইন্টেইনিং এক্সেস (Maintaining Access) এই দুটি পর্যায়ের মধ্য দিয়ে একজন ব্ল্যাক হ্যাট হ্যাকারকে যেতে হয়।
একটি সিস্টেমের কোন কোন অংশ কোন কোন তথ্য ধারন করছে এবং এই সকল তথ্যগুলির গুরুত্ব কতটা তা একজন ইথিক্যাল হ্যাকারকে অবশ্যই অনুধাবন করতে হয়। এখান থেকেই একজন ইথিক্যাল হ্যাকারকে সিস্টেমে আক্রমনের পূর্বেই যতটা সম্ভব আক্রমন সম্পর্কে ধারনা রাখা, কি ধরনের আক্রমন? এবং আক্রমনের সম্ভাব্য কারন সম্পর্কে গভীর ধারনা রাখতে হয়। একই সাথে আক্রমন প্রতিরোধী ব্যবস্থাও গ্রহন করতে হয়। সব সময় একজন ইথিক্যাল হ্যাকারকে একজন ব্ল্যাক হ্যাট হ্যাকারের চেয়ে এক অংক বেশী চিন্তা-ভাবনা করতে হয়।
- টার্গেট সিস্টেমের সাথে যুক্ত এবং টার্গেট প্রতিষ্ঠানের কোন ব্যক্তি কি কোন আক্রমন উপলব্দি করতে পেরেছে?
এক্ষেত্রে রিকনাইসেন্স (Reconnaissance) এবং ক্লিয়ারিং ট্র্যাকস (Clearing Tracks) এই দুটি পর্যায়ের মধ্য দিয়ে একজন ব্ল্যাক হ্যাট হ্যাকারকে যেতে হয়।
অনেক সময় ব্ল্যাক-হ্যাট হ্যাকার কোন একটি সিস্টেমকে একবার বা দুবার নয়, বেশ কয়েক দিন, মাস বা বছরের জন্য হ্যাক করে থাকে। আবার অনেক সময় ব্ল্যাক-হ্যাট হ্যাকার সিস্টেমের নিয়ন্ত্রন নিয়ে চুপচাপ সিস্টেমে অবস্থান করে এবং উপযুক্ত তথ্যের জন্য উপযুক্ত সময় সন্ধান করে। সিস্টেমে অবস্থানরত অবস্থায় কর্মরত ব্যক্তিরা হ্যাকিং এর কোন লক্ষন বুঝতে পারছে কিনা? তা যেমন একজন ইথিক্যাল হ্যাকারকে ভাবতে হবে তেমনি একজন ইথিক্যাল হ্যাকার নিজে অথবা তার দল এধরনের লক্ষন বুঝতে পারছে কিনা তা একজন ইথিক্যাল হ্যাকারকে ভাবতে হবে।
- ইনফরমেশন সিস্টেম (Information System) এর প্রতিটি উপাদান পর্যাপ্ত নিরাপত্তায় আছে কিনা? নিরাপত্তা ব্যবস্থা হালনাগাদ কিনা? প্যাচ সফটওয়্যার (Patch Software) হালনাগাদ আছে কিনা? এসকল কিছু একজন ইথিক্যাল হ্যাকারের ভাবনায় থাকতে হয়।
- পর্যাপ্ত নিরাপত্তার জন্য সময়, শ্রম এবং অর্থের পর্যাপ্ততা ও প্রয়োজনীয়তা তুলে ধরা।
- সাইবার নিরাপত্তা ব্যবস্থা প্রচলিত আইন এবং প্রাতিষ্ঠানিক মানদন্ড বজায় রাখছে কিনা তা যাাচাই করাও একজন ইথিক্যাল হ্যাকারের অন্যতম দক্ষতা।
অনেক সময় লক্ষ্য করা যায় খরচ কমানোর জন্য অথবা সাইবার নিরাপত্তা নিয়ে গুরুত্বহীনতার কারনে একবার দুর্বলতা খুজে (Vulnerability Analysis) বের করার পর অথবা কোন আইটি বিশেষজ্ঞ দ্বারা সাইবার নিরাপত্তা পরিচালনা করে মনে করে প্রতিষ্ঠানের সাইবার নিরাপত্তা অনেক শক্তিশালী । কিন্তু এটা একটা সম্পূর্ন ভূল ধারনা। কারন সাইবার আক্রমন প্রতি মূহুর্তে নিত্য-নতুন ও অভিনব। এই জন্য একজন ইথিক্যাল হ্যাকারকে প্রতিষ্ঠানের সাথে একটি গ্রহনযোগ্য ফ্রেমওয়ার্কে (Framework) কাজ করতে হয়। যেখানে একজন ইথিক্যাল হ্যাকারের সাথে প্রতিষ্ঠানের সম্পর্ক এবং প্রতিষ্ঠান এবং গ্রাহকের স্বার্থ সংশ্লিষ্ট সকল বিষয় জড়িত থাকে। এছাড়াও একজন ইথিক্যাল হ্যাকারকে সর্বদা যৌক্তিকভাবে একটি কথা উপস্থাপনের সক্ষমতা থাকতে হবে যে, “পৃথিবীর কোন সিস্টেম ১০০% নিরাপদ নয়, প্রতি মূহুর্তে নিরাপত্তা ব্যবস্থার উন্নতি আবশ্যক”।
একজন ইথিক্যাল হ্যাকারের কর্ম পরিসর
সাইবার নিরাপত্তা বিশেষজ্ঞরা সাইবার ক্রাইম বা কম্পিউটার ক্রাইমকে দুইভাগে বিভক্ত করেছেনঃ
- অপরাধ, যেখানে কম্পিউটার বা তথ্য-প্রযুক্তি গুরুত্বপূর্ন ভূমিকা পালন করে থাকে।
- হ্যাকার যখন কোন কম্পিউটার সিস্টেমকে আক্রমন করে থাকে।
আমরা উপরে আলোচনা করেছি একজন ইথিক্যাল হ্যাকারকে কি কি কাজ বাধ্যতামূলকভাবে করতে হয় যা তার কর্ম পরিধির মধ্যে পরে।
আবারও বলছি ,
- ক্রিয়েটিভ থিংকি (Creative Thinking) বা সৃষ্টিশীল চিন্তা-ভাবনা।
- ক্রিটিক্যাল থিংকিং (Critical Thinking) বা জটিল চিন্তা-ভাবনা।
- ভালনারিবিলিটি টেষ্টিং (Vulnerability Testing) দুর্বলতা পরীক্ষা করা।
- সিকিউরিটি অডিট (Security Audit) নিরাপত্তা নিরীক্ষা।
- পেনেট্রেশন টেস্টিং (Penetration Testing) বা ইথিক্যাল হ্যাকিং (Ethical Hacking) ।
এর পাশাপাশি একজন ইথিক্যাল হ্যাকারকে,
- রিস্ক এনালাইসিস (RISK Analysis) বা ঝুঁকি ব্যবস্থাপনা।
- নেটওয়ার্ক বা সিস্টেমের দুর্বলতা কমিয়ে নিরাপত্তা ঝুঁকি কমানো, প্রযুক্তিগত খরচ কমিয়ে ব্যবসায়ীক লাভ বৃদ্ধিতে প্রতিষ্ঠানকে সহায়তা করা।
- প্রতিষ্ঠানের বিভিন্ন অংশে কর্মরত ব্যক্তিদের মধ্যে সচেতনতা বৃদ্ধিতে সহায়তা করা, বিভিন্ন অংশের নিরাপত্তা পরিসর বৃদ্ধি করা।
- “টাইগার টীমের” সদস্য হওয়া।
ইত্যাদি কাজ করতে হয়।
একজন ইথিক্যাল হ্যাকারের সীমাবদ্ধতা
- দেশের জন্য, প্রতিষ্ঠানের বা কোন ব্যক্তির জন্য কাজ শুরুর পূর্বে একজন ইথিক্যাল হ্যাকারকে অনুমোদিত কর্তৃপক্ষের নিকট হতে লিখিত অনুমতি গ্রহন করতে হয়।
- তীব্র গোপনীয়তা বজায় রাখা, পেনিট্রেশন টেস্টিং বা ইথিক্যাল হ্যাকিং শুরু করার পূর্বে একজন ইথিক্যাল হ্যাকারকে তার গ্রাহক বা প্রতিষ্ঠানের সাথে Non-Disclosure Agreement (NDA) করতে হয়। একটি ভাল পেনিট্রেশন টেস্টিং বা ইথিক্যাল হ্যাকিং করার জন্য গ্রাহককে সকল প্রকার তথ্য ইথিক্যাল হ্যাকারকে সরবরাহ করতে হয় এবং ইথিক্যাল হ্যাকার কোন প্রকার তথ্য তৃতীয় পক্ষের নিকট সরবরাহ করতে পারবে না এটাই Non-Disclosure Agreement (NDA) মূল কথা।
- পেনিট্রেশন টেস্টিং বা ইথিক্যাল হ্যাকিং ঠিক ততটুকুই করতে যতটুকুর অনুমতি গ্রহন করা হয়েছে। অনুমোদনের অতিরিক্ত কোন কাজ করা যাবে না।
সর্বোপরি একজন ইথিক্যাল হ্যাকারকে আধুনিক তথ্য-প্রযুক্তি বিষয়ে জ্ঞানী, ধীর, স্থীর হতে হয়। তথ্য-প্রযুক্তির সাথে সাথে একজন ইথিক্যাল হ্যাকারকে কর্মক্ষেত্রের বিচার ব্যবস্থা, আইন-কানুন, মানদন্ড ইত্যাদি সম্পর্কে গভীর ধারনা পোষন করতে হয়।
