কম্পিউটার নিরাপত্তা

কম্পিউটার নিরাপত্তা (যা সাইবার নিরাপত্তা, ডিজিটাল নিরাপত্তা বা তথ্যপ্রযুক্তি নিরাপত্তা নামেও পরিচিত) হলো তথ্য নিরাপত্তার একটি উপক্ষেত্র। এটি কম্পিউটার সফটওয়্যার, সিস্টেম এবং নেটওয়ার্ককে এমন সব হুমকি থেকে সুরক্ষিত রাখার ওপর গুরুত্ব দেয়, যেগুলোর ফলে হার্ডওয়্যার, সফটওয়্যার বা উপাত্তের অননুমোদিত প্রকাশ, চুরি বা ক্ষতি হতে পারে অথবা এসব ব্যবস্থা প্রদত্ত সেবার কার্যক্রম ব্যাহত বা ভুল পথে পরিচালিত হতে পারে।

কম্পিউটার নিরাপত্তার ক্রমবর্ধমান গুরুত্ব কম্পিউটার ব্যবস্থা, ইন্টারনেটের ওপর নির্ভরতা বৃদ্ধি এবং বেতার নেটওয়ার্কের মানের ক্রমবিকাশকে প্রতিফলিত করে। স্মার্টফোন, টেলিভিশন এবং ইন্টারনেট অব থিংসের বিভিন্ন উপাদানসহ স্মার্ট ডিভাইসের ব্যাপক প্রসারের ফলে এই নির্ভরতা আরও বেড়েছে।

দৈনন্দিন জীবনে ডিজিটাল অবকাঠামোর ব্যবহার যত গভীর হচ্ছে, সাইবার নিরাপত্তা ততই গুরুত্বপূর্ণ উদ্বেগের বিষয় হয়ে উঠছে। আধুনিক তথ্যব্যবস্থার জটিলতা এবং এসব ব্যবস্থার ওপর নির্ভরশীল সামাজিক কার্যক্রম নতুন নতুন দুর্বলতা সৃষ্টি করেছে। বিদ্যুৎ সরবরাহ, নির্বাচনী প্রক্রিয়া এবং অর্থব্যবস্থার মতো অত্যাবশ্যকীয় সেবা পরিচালনাকারী ব্যবস্থাগুলো বিশেষভাবে নিরাপত্তা লঙ্ঘনের ঝুঁকিতে রয়েছে। ২০২৬ সালে বিশ্বব্যাপী তথ্য নিরাপত্তায় আনুমানিক ২৪৪ বিলিয়ন থেকে ৩০৮ বিলিয়ন মার্কিন ডলার ব্যয় হয়েছে।

কম্পিউটার নিরাপত্তার অনেক দিক ডিজিটাল নিরাপত্তার সঙ্গে সম্পর্কিত। এর মধ্যে রয়েছে ইলেকট্রনিক পাসওয়ার্ড ও এনক্রিপশন। তবে অননুমোদিত হস্তক্ষেপ প্রতিরোধে শারীরিক নিরাপত্তার ব্যবস্থাও ব্যবহৃত হয়, যেমন ধাতব তালা ইত্যাদি। যদিও তথ্যপ্রযুক্তি নিরাপত্তা তথ্য নিরাপত্তার সঙ্গে সম্পর্কিত, তবে তথ্যপ্রযুক্তি নিরাপত্তা তথ্য নিরাপত্তার নিখুঁত উপক্ষেত্র নয়। তাই এটি নিরাপত্তার সমন্বয়বিষয়ক কাঠামোর সঙ্গেও পুরোপুরি সামঞ্জস্যপূর্ণ নয়।

দুর্বলতা ও আক্রমণ

দুর্বলতা বলতে কম্পিউটার বা কোনো সিস্টেমের গঠন, কার্যসম্পাদন, কার্যপ্রণালি কিংবা অভ্যন্তরীণ তদারকির এমন ত্রুটিকে বোঝায়, যা সেটির নিরাপত্তাকে ঝুঁকির মুখে ফেলে। এখন পর্যন্ত আবিষ্কৃত বেশির ভাগ দুর্বলতার তথ্য কমন ভালনারেবিলিটিজ অ্যান্ড এক্সপোজারস ডেটাবেজে নথিভুক্ত করা হয়েছে। যে দুর্বলতাকে কাজে লাগানোর জন্য অন্তত একটি কার্যকর কৌশল রয়েছে, তাকে এক্সপ্লয়টেবল ভালনারেবিলিটিজ হিসেবে অ্যাখ্যায়িত করা হয়। থ্রেট হলো এমন কোনো কাজ বা ঘটনা, যা হার্ডওয়্যার, সফটওয়্যার কিংবা ডেটার ক্ষতি করতে পারে। থ্রেট অ্যাক্টর হলো এমন কোনো ব্যক্তি বা সত্তা, যে এ ধরনের হুমকি সৃষ্টি করে। জনপ্রিয় গণমাধ্যমে এদের বোঝাতে হ্যাকার শব্দটি বেশি ব্যবহৃত হয়। এরা সাধারণত কোনো দুর্বলতাকে কাজে লাগিয়ে আক্রমণ চালায়। স্বয়ংক্রিয় টুল বা নিজেদের তৈরি স্ক্রিপ্ট ব্যবহার করে দুর্বলতা নিয়ে গবেষণা করা যায়, রিভার্স ইঞ্জিনিয়ারিংয়ের মাধ্যমে তা বিশ্লেষণ করা যায়, সেগুলো খুঁজে বের করা যায় কিংবা কাজে লাগানো যায়।

বিভিন্ন ব্যক্তি বা গোষ্ঠী সাইবার আক্রমণের ঝুঁকিতে থাকেন। তবে একেক গোষ্ঠী অন্যদের তুলনায় একেক ধরনের সাইবার আক্রমণের শিকার হওয়ার আশঙ্কায় বেশি থাকে।

২০২৩ সালের এপ্রিল মাসে যুক্তরাজ্যের বিজ্ঞান, উদ্ভাবন ও প্রযুক্তি বিভাগ তার পূর্ববর্তী এক বছরে সংঘটিত সাইবার আক্রমণ নিয়ে একটি প্রতিবেদন প্রকাশ করে। জরিপে যুক্তরাজ্যের ২,২৬৩টি ব্যবসাপ্রতিষ্ঠান, যুক্তরাজ্যে নিবন্ধিত ১,১৭৪টি দাতব্য সংস্থা এবং ৫৫৪টি শিক্ষাপ্রতিষ্ঠান অন্তর্ভুক্ত ছিল। গবেষণায় দেখা যায়, "সামগ্রিকভাবে ৩২% ব্যবসাপ্রতিষ্ঠান এবং ২৪% দাতব্য সংস্থা আগের ১২ মাসে কোনো না কোনো নিরাপত্তা লঙ্ঘন বা আক্রমণের কথা স্মরণ করতে পেরেছে।" মাঝারি আকারের ব্যবসাপ্রতিষ্ঠানের (৫৯%), বড় ব্যবসাপ্রতিষ্ঠানের (৬৯%) এবং বছরে ৫০০,০০০ পাউন্ড বা তার বেশি আয় করা দাতব্য সংস্থার (৫৬%) ক্ষেত্রে এই হার অনেক বেশি ছিল। মাঝারি ও বড় ব্যবসাপ্রতিষ্ঠান বেশি আক্রমণের লক্ষ্য হলেও ক্ষুদ্র ও মাঝারি ব্যবসাপ্রতিষ্ঠানগুলোও ক্রমশ বেশি ঝুঁকিতে পড়ছে। কারণ, তাদের প্রায়ই "ব্যবসা রক্ষার জন্য উন্নত সরঞ্জাম থাকে না"। ম্যালওয়্যার, র‍্যানসমওয়্যার, ফিশিং, মধ্যবর্তী ব্যক্তি আক্রমণ এবং ডিনাইয়াল অব সার্ভিস আক্রমণে ক্ষুদ্র ও মাঝারি ব্যবসাপ্রতিষ্ঠানগুলোর আক্রান্ত হওয়ার সম্ভাবনা সবচেয়ে বেশি।

বাড়িতে ইন্টারনেট ব্যবহারকারীরা সাধারণত নির্বিচার সাইবার আক্রমণের শিকার হওয়ার ঝুঁকিতে থাকেন। এসব আক্রমণে আক্রমণকারীরা নির্দিষ্ট লক্ষ্য বেছে না নিয়ে যত বেশি সম্ভব ডিভাইস, সেবা বা ব্যবহারকারীকে লক্ষ্য করে। তারা ইন্টারনেটের উন্মুক্ত বৈশিষ্ট্যকে কাজে লাগানো বিভিন্ন কৌশল ব্যবহার করে। এসব কৌশলের মধ্যে প্রধানত ফিশিং, র‍্যানসমওয়্যার, ওয়াটারিং হোল অ্যাটাক এবং স্ক্যানিং ইত্যাদি উল্লেখযোগ্য।

কম্পিউটার সিস্টেমকে সুরক্ষিত রাখতে হলে প্রথমে বুঝতে হবে, সেটির বিরুদ্ধে কী ধরনের আক্রমণ চালানো হতে পারে। এসব হুমকিকে সাধারণত নিচের যেকোনো একটি শ্রেণিতে ভাগ করা যায়:

ব্যাকডোর

একটি কম্পিউটার সিস্টেম, ক্রিপ্টোসিস্টেম বা অ্যালগরিদমে থাকা ব্যাকডোর হলো স্বাভাবিক প্রমাণীকরণ বা নিরাপত্তা নিয়ন্ত্রণব্যবস্থা এড়িয়ে যাওয়ার কোনো গোপন পদ্ধতি। মূল নকশার ত্রুটি বা ভুল কনফিগারেশনসহ বিভিন্ন কারণে এসব দুর্বলতা তৈরি হতে পারে। ব্যাকডোরের প্রকৃতির কারণে ব্যক্তির তুলনায় কোম্পানি ও ডেটাবেজের ক্ষেত্রে এগুলো বেশি উদ্বেগের বিষয়।

বৈধভাবে প্রবেশের সুযোগ দেওয়ার জন্য অনুমোদিত কোনো পক্ষ ব্যাকডোর যুক্ত করতে পারে। আবার কোনো আক্রমণকারী ক্ষতিকর উদ্দেশ্যেও এটি স্থাপন করতে পারে। অপরাধীরা প্রায়ই ম্যালওয়্যার ব্যবহার করে ব্যাকডোর স্থাপন করে, যার মাধ্যমে তারা দূর থেকে কোনো সিস্টেমের প্রশাসনিক প্রবেশাধিকার পায়। প্রবেশাধিকার পাওয়ার পর সাইবার অপরাধীরা ফাইল পরিবর্তন করার পাশাপাশি ব্যক্তিগত তথ্য চুরি, অনাকাঙ্ক্ষিত সফটওয়্যার ইনস্টল ইত্যাদি ক্ষতি করার পাশাপাশি পুরো কম্পিউটারের নিয়ন্ত্রণও নিতে পারে।

ব্যাকডোর শনাক্ত করা কঠিন হতে পারে, কেননা এগুলো প্রায়ই সোর্স কোড বা সিস্টেমের ফার্মওয়্যারের মধ্যে লুকিয়ে থাকে। এগুলো শনাক্ত করতে অনেক সময় অপারেটিং সিস্টেম সম্পর্কে গভীর জ্ঞান প্রয়োজন হয়।

ডিনাইয়াল অব সার্ভিস

ডিনাইয়াল অব সার্ভিস আক্রমণ এমনভাবে পরিচালিত হয়, যাতে কোনো যন্ত্র বা নেটওয়ার্কের সম্পদ তার নির্ধারিত ব্যবহারকারীদের জন্য অনুপলব্ধ হয়ে পড়ে। আক্রমণকারীরা কোনো নির্দিষ্ট ব্যবহারকারীর সেবা বন্ধ করে দিতে পারে। যেমন: ইচ্ছাকৃতভাবে পরপর অনেকবার ভুল পাসওয়ার্ড দিয়ে ব্যবহারকারীর অ্যাকাউন্ট লক করে দেওয়া। আবার কোনো যন্ত্র বা নেটওয়ার্কের সক্ষমতার ওপর অতিরিক্ত চাপ সৃষ্টি করে একসঙ্গে সব ব্যবহারকারীর সেবা ব্যাহত করা হতে পারে। একটি মাত্র আইপি ঠিকানা থেকে আসা নেটওয়ার্ক আক্রমণ নতুন ফায়ারওয়াল নিয়ম যুক্ত করে প্রতিহত করা সম্ভব হতে পারে। তবে ডিস্ট্রিবিউটেড ডিনাইয়াল অব সার্ভিসের অনেক ধরন রয়েছে, যেখানে বিপুলসংখ্যক স্থান থেকে আক্রমণ চালানো হয়। এ ধরনের আক্রমণ প্রতিহত করা অনেক কঠিন। এসব আক্রমণ বটনেটের অন্তর্ভুক্ত জম্বি কম্পিউটার থেকে অথবা ডিস্ট্রিবিউটেড রিফ্লেক্টিভ ডিনাইয়াল-অব-সার্ভিস ইত্যাদি পদ্ধতিতে পরিচালিত হতে পারে। এ আক্রমণে নিরীহ সিস্টেমগুলোকে কৌশলে আক্রান্ত সিস্টেমের দিকে ট্রাফিক পাঠাতে বাধ্য করা হয়। এ ধরনের আক্রমণের ফলে প্রাপ্ত ট্রাফিক বিবর্ধন আক্রমণকারীর কাজ সহজ করে দেয়, কারণ তাকে নিজে খুব সামান্য ব্যান্ডউইডথ ব্যবহার করতে হয়। আক্রমণকারীরা কেন এসব আক্রমণ চালায়, তা জানতে আক্রমণকারীদের উদ্দেশ্য অংশটি দেখুন।

প্রত্যক্ষ প্রবেশাধিকারভিত্তিক আক্রমণ

অননুমোদিত কোনো ব্যবহারকারী (আক্রমণকারী) সরাসরি কোনো কম্পিউটারে নিজেই প্রবেশাধিকার পেলে তাকে প্রত্যক্ষ প্রবেশাধিকারভিত্তিক আক্রমণ বলা হয়। সাধারণত কম্পিউটার থেকে উপাত্ত নকল করা বা তথ্য চুরি করার জন্য এ ধরনের প্রবেশাধিকার নেওয়া হয়। অপারেটিং সিস্টেমে পরিবর্তন আনা, সফটওয়্যার ওয়ার্ম, কী-লগার, গোপন শ্রবণযন্ত্র ইনস্টল করা কিংবা বেতার মাইক্রোফোন ব্যবহার করেও আক্রমণকারীরা নিরাপত্তা বিঘ্নিত করতে পারে। সিস্টেমে প্রচলিত নিরাপত্তাব্যবস্থা থাকলেও সিডি-রম বা অন্য বুটযোগ্য মাধ্যম থেকে অন্য কোনো অপারেটিং সিস্টেম বা টুল চালু করে সেগুলো এড়িয়ে যাওয়া সম্ভব হতে পারে। ডিস্ক এনক্রিপশন এবং বিশ্বস্ত প্ল্যাটফর্ম মডিউল মান এ ধরনের আক্রমণ প্রতিরোধের জন্য তৈরি করা হয়েছে।

ধারণাগতভাবে প্রত্যক্ষ প্রবেশাধিকারভিত্তিক আক্রমণের সঙ্গে সরাসরি মেমোরি প্রবেশাধিকার আক্রমণের সম্পর্ক রয়েছে। এ ধরনের আক্রমণে আক্রমণকারী সরাসরি কম্পিউটারের মেমোরিতে প্রবেশ করতে পারে। এসব আক্রমণ আধুনিক কম্পিউটারের এমন একটি বৈশিষ্ট্যকে কাজে লাগায়, যার মাধ্যমে বাহ্যিক হার্ড ড্রাইভ, গ্রাফিকস কার্ড বা নেটওয়ার্ক কার্ডের মতো কিছু যন্ত্র সরাসরি কম্পিউটারের মেমোরিতে প্রবেশ করতে পারে।

আড়িপাতা

আড়িপাতা হলো ব্যক্তিগত কম্পিউটারভিত্তিক কথোপকথন বা যোগাযোগ গোপনে শোনার কাজ। সাধারণত নেটওয়ার্কে যুক্ত দুটি হোস্টের মধ্যে এ ধরনের যোগাযোগ হয়। এটি সাধারণত তখন ঘটে, যখন কোনো ব্যবহারকারী এমন নেটওয়ার্কে যুক্ত হন যেখানে ডেটা আদান-প্রদান সুরক্ষিত বা এনক্রিপ্ট করা নয় এবং তিনি অন্য কোনো ব্যবহারকারীর কাছে সংবেদনশীল তথ্য পাঠাচ্ছেন। আক্রমণকারী সেই তথ্য শুনে তা কাজে লাগাতে পারে। উন্মুক্ত নেটওয়ার্কের মাধ্যমে পাঠানো তথ্য বিভিন্ন পদ্ধতিতে আক্রমণকারীরা আটক করতে পারে।

ম্যালওয়্যার, প্রত্যক্ষ প্রবেশাধিকারভিত্তিক আক্রমণ বা অন্যান্য সাইবার আক্রমণের তুলনায় আড়িপাতার আক্রমণে নেটওয়ার্ক বা যন্ত্রের কার্যক্ষমতা ব্যাহত হওয়ার সম্ভাবনা কম। ফলে এসব আক্রমণ সহজে চোখে পড়ে না। প্রকৃতপক্ষে আড়িপাতার জন্য আক্রমণকারীর সফটওয়্যারটির সঙ্গে সব সময় সংযুক্ত থাকার প্রয়োজন হয় না। আক্রমণকারী সরাসরি কোনো আক্রান্ত যন্ত্রে সফটওয়্যারটি স্থাপন করতে পারে, অথবা ভাইরাস কিংবা অন্য ম্যালওয়্যারের মাধ্যমে সেটি প্রবেশ করাতে পারে। পরে ফিরে এসে সংগৃহীত তথ্য উদ্ধার করতে পারে কিংবা নির্দিষ্ট সময়ে তথ্য পাঠানোর জন্য সফটওয়্যারটিকে সক্রিয় করতে পারে।

আড়িপাতা থেকে সুরক্ষার একটি বহুল ব্যবহৃত পদ্ধতি হলো ভার্চুয়াল প্রাইভেট নেটওয়ার্ক (ভিপিএন) ব্যবহার করা। এটি দুটি ডিভাইসের মধ্যে আদান-প্রদান করা তথ্য এনক্রিপ্ট করে। বেতার নেটওয়ার্কে যথাসম্ভব শক্তিশালী এনক্রিপশন ব্যবহার করা উত্তম পদ্ধতি। একইভাবে, এনক্রিপশনবিহীন এইচটিটিপির পরিবর্তে এইচটিটিপিএস ব্যবহার করা উচিত।

ফেডারেল ব্যুরো অব ইনভেস্টিগেশন (এফবিআই), মার্কিন যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) ইত্যাদি সংস্থা কার্নিভোর এবং নারুসইনসাইটের মতো প্রোগ্রাম ব্যবহার করেছে। এগুলোর সাহায্যে ইন্টারনেট সেবা প্রদানকারীদের সিস্টেমে আড়িপাতা হয়েছে। বাইরের জগতের সঙ্গে কোনো যোগাযোগ নেই, এমন বদ্ধ সিস্টেমেও হার্ডওয়্যার থেকে নির্গত ক্ষীণ তড়িৎচুম্বকীয় বিকিরণ পর্যবেক্ষণ করে আড়িপাতা সম্ভব। এনএসএ-এর টেম্পেস্ট নামক একটি অংশ এ ধরনের আক্রমণের সঙ্গে সম্পর্কিত।

ম্যালওয়্যার

মূল নিবন্ধ: ম্যালওয়্যার

ক্ষতিকর সফটওয়্যার (ম্যালওয়্যার) হলো এমন সফটওয়্যার কোড বা কম্পিউটার প্রোগ্রাম, যা ইচ্ছাকৃতভাবে কোনো কম্পিউটার সিস্টেম বা এর ব্যবহারকারীদের ক্ষতি করার জন্য লেখা হয়। কম্পিউটারে প্রবেশ করার পর এটি ব্যক্তিগত তথ্য, ব্যবসায়িক তথ্য ও পাসওয়ার্ডের মতো সংবেদনশীল তথ্য ফাঁস করতে পারে, আক্রমণকারীকে সিস্টেমের নিয়ন্ত্রণ দিতে পারে এবং স্থায়ীভাবে উপাত্ত নষ্ট বা মুছে ফেলতে পারে।

ম্যালওয়্যারের ধরন

• ভাইরাস হলো এক ধরনের ম্যালওয়্যার। এটি সাধারণত এমন ক্ষতিকর কোড, যা সফটওয়্যারের নিয়ন্ত্রণ নিয়ে ক্ষতি সাধন করে এবং নিজের অনুলিপি ছড়িয়ে দেওয়ার চেষ্টা করে। কম্পিউটারের অন্যান্য প্রোগ্রামে ছড়িয়ে পড়ার উদ্দেশ্যে এর অনুলিপি তৈরি করা হয়।
• ওয়ার্ম ভাইরাসের মতো হলেও এদের মধ্যে পার্থক্য রয়েছে। ভাইরাস সাধারণত তখনই কাজ করে, যখন ব্যবহারকারী আক্রান্ত প্রোগ্রাম চালু করেন। অন্য দিকে ওয়ার্ম এমন এক ধরনের স্ব-প্রতিলিপি তৈরিকারী ম্যালওয়্যার, যা মানুষের হস্তক্ষেপ ছাড়াই বিভিন্ন প্রোগ্রাম, অ্যাপ ও ডিভাইসে ছড়িয়ে পড়ে।
• ট্রোজান হর্স এমন প্রোগ্রাম যা নিজেকে উপকারী হিসেবে উপস্থাপন করে অথবা কাঙ্ক্ষিত ও বৈধ সফটওয়্যারের মধ্যে লুকিয়ে থাকে, যাতে ব্যবহারকারীরা প্রতারিত হয়ে সেগুলো ইনস্টল করেন। ইনস্টল হওয়ার পর রিমোট অ্যাক্সেস ট্রোজান আক্রান্ত যন্ত্রে গোপন ব্যাকডোর তৈরি করে ক্ষতি করতে পারে।
• স্পাইওয়্যার হলো এমন ম্যালওয়্যার, যা আক্রান্ত কম্পিউটার থেকে গোপনে তথ্য সংগ্রহ করে এবং সেই সংবেদনশীল তথ্য আক্রমণকারীর কাছে পাঠায়। স্পাইওয়্যারের একটি বহুল ব্যবহৃত ধরন হলো কী-লগার। এগুলো ব্যবহারকারীর কিবোর্ডে চাপ দেওয়া প্রতিটি বোতামের তথ্য সংরক্ষণ করে। এর মাধ্যমে হ্যাকাররা ব্যবহারকারীর নাম, পাসওয়ার্ড, ব্যাংক অ্যাকাউন্ট ও ক্রেডিট কার্ডের নম্বর সংগ্রহ করতে পারে।
• স্কেয়ারওয়্যার হলো এমন এক ধরনের ম্যালওয়্যার, যা সামাজিক প্রকৌশল বা মনস্তাত্ত্বিক কৌশল ব্যবহার করে ব্যবহারকারীকে ভয় দেখায়, আতঙ্কিত করে বা কোনো হুমকির ধারণা সৃষ্টি করে। এর উদ্দেশ্য ব্যবহারকারীকে অনাকাঙ্ক্ষিত সফটওয়্যার কিনতে বা ইনস্টল করতে প্ররোচিত করা। প্রায়ই হঠাৎ দেখা দেওয়া একটি পপ-আপ বার্তা দিয়ে এসব আক্রমণ শুরু হয়। সেখানে জরুরি সতর্কবার্তার মাধ্যমে বলা হতে পারে যে ব্যবহারকারী আইন ভঙ্গ করেছেন অথবা তাঁর যন্ত্রে ভাইরাস রয়েছে।
• র‍্যানসমওয়্যার হলো এমন ম্যালওয়্যার, যা আক্রান্ত ব্যক্তির কম্পিউটারে ইনস্টল হয়ে ফাইলগুলো এনক্রিপ্ট করে। এরপর সেই উপাত্ত ফেরত দেওয়ার বিনিময়ে মুক্তিপণ দাবি করা হয়। এই মুক্তিপণ সাধারণত বিটকয়েনে চাওয়া হয়।

মধ্যবর্তী ব্যক্তির আক্রমণ

মধ্যবর্তী ব্যক্তি আক্রমণের মাধ্যমে কোনো ক্ষতিকর আক্রমণকারী দুটি পক্ষের মধ্যে যোগাযোগ আটকানো, পর্যবেক্ষণ বা পরিবর্তন করার চেষ্টা করে। এ জন্য সে এক বা উভয় পক্ষের পরিচয় নকল করে তাদের মধ্যবর্তী স্থানে নিজেকে যুক্ত করে। মধ্যবর্তী ব্যক্তি আক্রমণের ধরনগুলোর মধ্যে রয়েছে:

• আইপি ঠিকানা নকল করা: আক্রমণকারী রাউটিং প্রোটোকলের নিয়ন্ত্রণ নিয়ে লক্ষ্যবস্তুর ট্রাফিককে কোনো দুর্বল নেটওয়ার্ক নোডের দিকে পাঠিয়ে দেয়, যাতে ট্রাফিক আটকানো বা তাতে তথ্য যুক্ত করা যায়।
• বার্তার পরিচয় নকল করা: ইমেইল, এসএমএস বা ওটিটি বার্তাব্যবস্থায় আক্রমণকারী কোনো ব্যক্তি বা সেবাদাতার পরিচয় নকল করে। লক্ষ্যবস্তু যখন ইমেইল, এসএমএস বা ওটিটি (আইপি-ভিত্তিক) বার্তা আদান-প্রদানের অ্যাপ ব্যবহার করে, তখন আক্রমণকারী কথোপকথন পর্যবেক্ষণ, সোশ্যাল ইঞ্জিনিয়ারিংভিত্তিক আক্রমণ ইত্যাদি কাজে লাগিয়ে আরও আক্রমণ চালাতে পারে।
• ওয়াই-ফাই এসএসআইডি নকল করা: আক্রমণকারী কোনো ওয়াই-ফাই বেস স্টেশনের এসএসআইডি নকল করে ট্রাফিক ও লেনদেনের তথ্য সংগ্রহ বা পরিবর্তন করে। সাধারণ দুর্বলতা কাজে লাগিয়ে সে স্থানীয় নেটওয়ার্কের ঠিকানা এবং দুর্বল নিরাপত্তাব্যবস্থার সাহায্যে লক্ষ্যবস্তুর ফায়ারওয়ালও অতিক্রম করতে পারে। একটি জনপ্রিয় যন্ত্রের নাম অনুসারে এ আক্রমণকে কখনো কখনো ‘পাইনঅ্যাপল আক্রমণ’ হিসেবে অভিহিত করা হয়।
• ডিএনএস নকলকরণের মাধ্যমে আক্রমণকারীরা ডোমেইন নামের বরাদ্দ পরিবর্তন করে ট্রাফিককে নিজেদের নিয়ন্ত্রণাধীন সিস্টেমে পাঠায়। এর উদ্দেশ্য ট্রাফিক পর্যবেক্ষণ করা বা অন্য আক্রমণ চালানো।
• এসএসএল হাইজ্যাকিং: এটি সাধারণত অন্য কোনো মাধ্যমভিত্তিক মধ্যবর্তী ব্যক্তি আক্রমণের সঙ্গে পরিচালিত হয়। আক্রমণকারী সার্টিফিকেট কর্তৃপক্ষের তথ্য প্রবেশ করিয়ে এসএসএল-এর প্রমাণীকরণ ও এনক্রিপশন প্রোটোকল নকল করে। এর ফলে সে ট্রাফিকের এনক্রিপশন খুলতে, তা পর্যবেক্ষণ করতে এবং পরিবর্তন করতে পারে।

বহুমুখী ও বহুরূপী আক্রমণ

২০১৭ সালে এক নতুন ধরনের বহুমুখী, বহুরূপী সাইবার হুমকির আবির্ভাব ঘটে। এই হুমকিগুলোতে একাধিক ধরনের আক্রমণ একত্রে ব্যবহার করা হয়। ছড়িয়ে পড়ার সময় এগুলো নিজেদের রূপও পরিবর্তন করে। এর ফলে সাইবার নিরাপত্তার প্রতিরোধব্যবস্থাকে এড়িয়ে যাওয়া সহজ হয়।

নাম থেকেই বোঝা যায়, বহুমুখী ও বহুরূপী আক্রমণ একই সঙ্গে একাধিক আক্রমণপদ্ধতি ব্যবহার করে এবং নিজেদের রূপ পরিবর্তন করতে পারে। প্রথমত, এগুলো একটি একক আক্রমণ হলেও এতে আক্রমণের একাধিক পদ্ধতি ব্যবহৃত হয়। এ কারণে এগুলোকে বহুমুখী বলা হয়। অর্থাৎ ওয়েব, ইমেইল ও বিভিন্ন অ্যাপ্লিকেশনের মাধ্যমে এগুলো ছড়িয়ে পড়তে পারে। তবে এগুলো একাধিক ধাপেও সংঘটিত হয়। এর অর্থ হলো, আক্রমণকারীরা কোনো নেটওয়ার্কে অনুপ্রবেশ করতে পারে এবং পরে সেই নেটওয়ার্কের ভেতরে এক স্থান থেকে অন্য স্থানে ছড়িয়ে পড়তে পারে। এসব আক্রমণ বহুরূপীও হতে পারে। অর্থাৎ ভাইরাস, ওয়ার্ম বা ট্রোজানের মতো ব্যবহৃত সাইবার আক্রমণগুলো নিজেদের রূপ ক্রমাগত পরিবর্তন করে। ফলে নির্দিষ্ট পরিচিতির ভিত্তিতে কাজ করা নিরাপত্তাব্যবস্থা দিয়ে এগুলো শনাক্ত করা প্রায় অসম্ভব হয়ে পড়ে।

ফিশিং

ফিশিং ইমেইলের একটি উদাহরণ। এখানে একটি কাল্পনিক ব্যাংকের আনুষ্ঠানিক ইমেইল হিসেবে বার্তাটি সাজানো হয়েছে। প্রেরক প্রাপককে প্রতারণা করে গোপনীয় তথ্য প্রকাশ করাতে চায়। এ জন্য প্রাপককে ফিশারের ওয়েবসাইটে গিয়ে তথ্য নিশ্চিত করতে বলা হয়। এখানে শব্দ দুটির বানান ভুল লক্ষ করুন। এগুলো যথাক্রমে recieved এবং discrepency হিসেবে লেখা হয়েছে। ব্যাংকের ওয়েব ঠিকানা দেখে ওয়েবপৃষ্ঠাটিকে বৈধ মনে হলেও, হাইপারলিংকটি আসলে ফিশারের ওয়েবপৃষ্ঠায় নিয়ে যায়।

ফিশিং হলো ব্যবহারকারীদের প্রতারণা করে সরাসরি তাদের কাছ থেকে সংবেদনশীল তথ্য সংগ্রহের চেষ্টা। এসব তথ্যের মধ্যে ব্যবহারকারীর নাম, পাসওয়ার্ড এবং ক্রেডিট কার্ডের বিবরণ অন্তর্ভুক্ত। সাধারণত ইমেইল জালিয়াতি, তাৎক্ষণিক বার্তা, খুদে বার্তা অথবা টেলিফোন কলের মাধ্যমে ফিশিং করা হয়। আক্রমণকারীরা প্রায়ই ব্যবহারকারীদের এমন একটি ভুয়া ওয়েবসাইটে তথ্য দিতে প্রলুব্ধ করে, যেটির চেহারা ও কার্যপদ্ধতি আসল ওয়েবসাইটের সঙ্গে প্রায় হুবহু মিলে যায়। ভুয়া ওয়েবসাইটটিতে প্রায়ই ব্যক্তিগত তথ্য চাওয়া হয়, যেমন লগইনের বিবরণ ও পাসওয়ার্ড। পরে এসব তথ্য ব্যবহার করে আসল ওয়েবসাইটে থাকা ব্যক্তির প্রকৃত অ্যাকাউন্টে প্রবেশ করা সম্ভব হয়।

শিকারের বিশ্বাসকে কাজে লাগানো হয় বলে ফিশিংকে সোশ্যাল ইঞ্জিনিয়ারিংয়ের একটি ধরন হিসেবে বিবেচনা করা যায়। আক্রমণকারীরা প্রকৃত অ্যাকাউন্টে প্রবেশের জন্য নানা কৌশল ব্যবহার করতে পারে। প্রতারণার একটি প্রচলিত ধরন হলো আক্রমণকারীরা ব্যক্তিদের কাছে ভুয়া ইলেকট্রনিক চালান পাঠানো। এসব চালানে দেখানো হয় যে তাঁরা সম্প্রতি গান, অ্যাপ বা অন্য কোনো পণ্য কিনেছেন। এরপর বলা হয়, কেনাকাটাটি অনুমোদিত না হলে একটি লিংকে ক্লিক করতে হবে। ফিশিংয়ের আরও পরিকল্পিত একটি ধরন হলো স্পিয়ার-ফিশিং। এতে ব্যক্তিগত বা নির্দিষ্ট প্রতিষ্ঠানের সঙ্গে সম্পর্কিত তথ্য ব্যবহার করা হয়, যাতে আক্রমণকারীকে বিশ্বস্ত কোনো উৎস বলে মনে হয়। সাধারণ ফিশিংয়ে যেখানে নির্বিচারে অনেক মানুষকে লক্ষ্য করা হয়, সেখানে স্পিয়ার-ফিশিংয়ে নির্দিষ্ট ব্যক্তিদের লক্ষ্যবস্তু করা হয়।

বিশেষাধিকার বৃদ্ধি

বিশেষাধিকার বৃদ্ধি বলতে এমন পরিস্থিতিকে বোঝায়, যেখানে সীমিত প্রবেশাধিকার থাকা কোনো আক্রমণকারী অনুমতি ছাড়াই নিজের বিশেষাধিকার বা প্রবেশাধিকারের স্তর বাড়িয়ে নিতে পারে। উদাহরণস্বরূপ, একজন সাধারণ কম্পিউটার ব্যবহারকারী ব্যবস্থার কোনো দুর্বলতা কাজে লাগিয়ে সীমাবদ্ধ তথ্যে প্রবেশ করতে পারে। এমনকি সে রুট হিসেবেও প্রবেশাধিকার পেতে পারে। তখন ব্যবস্থাটিতে তার পূর্ণ ও সীমাহীন প্রবেশাধিকার থাকে। আক্রমণের তীব্রতা বিভিন্ন রকম হতে পারে। কোনো আক্রমণে শুধু অনাকাঙ্ক্ষিত ইমেইল পাঠানো হতে পারে। আবার কোনো আক্রমণে বিপুল পরিমাণ তথ্যকে পুঁজি করে মুক্তিপণ দাবি করা হতে পারে। বিশেষাধিকার বৃদ্ধির আক্রমণ সাধারণত সোশ্যাল ইঞ্জিনিয়ারিংয়ের মাধ্যমে শুরু হয়। এর মধ্যে ফিশিং একটি প্রচলিত পদ্ধতি।

বিশেষাধিকার বৃদ্ধির কৌশলকে দুটি ভাগে ভাগ করা যায়: অনুভূমিক ও উল্লম্ব বিশেষাধিকার বৃদ্ধি।

• অনুভূমিক বিশেষাধিকার বৃদ্ধি: একে অ্যাকাউন্ট দখলও বলা হয়। এ ক্ষেত্রে আক্রমণকারী তুলনামূলকভাবে কম বিশেষাধিকারসম্পন্ন কোনো সাধারণ ব্যবহারকারীর অ্যাকাউন্টে প্রবেশ করে। ব্যবহারকারীর নাম ও পাসওয়ার্ড চুরি করে সে এই প্রবেশাধিকার পেতে পারে। অ্যাকাউন্টে প্রবেশ করার পর আক্রমণকারী সেখানে একটি ভিত্তি তৈরি করে। এরপর সেই ভিত্তি ব্যবহার করে একই নিম্ন স্তরের অন্য ব্যবহারকারীদের নেটওয়ার্কে চলাচল করতে পারে। এভাবে সে একই ধরনের বিশেষাধিকারসম্পন্ন তথ্যেও প্রবেশ করতে পারে।
• উল্লম্ব বিশেষাধিকার বৃদ্ধি: এই কৌশলে আক্রমণকারীরা প্রতিষ্ঠানের উচ্চপদস্থ ব্যক্তিদের লক্ষ্য করে। এসব ব্যক্তির প্রশাসনিক ক্ষমতাও সাধারণত বেশি থাকে। যেমন তথ্যপ্রযুক্তি বিভাগের কোনো কর্মীর বিশেষাধিকার বেশি থাকতে পারে। সেই বিশেষাধিকারসম্পন্ন অ্যাকাউন্ট ব্যবহার করে আক্রমণকারী অন্য অ্যাকাউন্টেও প্রবেশ করতে পারে।

পার্শ্ব-চ্যানেল আক্রমণ

যেকোনো গণনাকারী ব্যবস্থা কোনো না কোনোভাবে তার পরিবেশকে প্রভাবিত করে। এই প্রভাব বিভিন্ন রূপে দেখা দিতে পারে, যেমন তড়িৎচুম্বকীয় বিকিরণ নির্গত হতে পারে। আবার র‍্যাম সেলগুলোতে অবশিষ্ট প্রভাব থেকে যেতে পারে। এর ফলে কোল্ড বুট আক্রমণ সম্ভব হয়। হার্ডওয়্যারের বাস্তবায়নগত ত্রুটিও থাকতে পারে। এসব ত্রুটি কাজে লাগিয়ে সাধারণত অপ্রবেশযোগ্য অন্য মানে প্রবেশ করা বা সেগুলো অনুমান করা সম্ভব হতে পারে।

পার্শ্ব-চ্যানেল আক্রমণের ক্ষেত্রে আক্রমণকারী কোনো ব্যবস্থা বা নেটওয়ার্ক সম্পর্কে এ ধরনের তথ্য সংগ্রহ করে। এরপর সে ব্যবস্থাটির অভ্যন্তরীণ অবস্থা অনুমান করার চেষ্টা করে। এর মাধ্যমে সে এমন তথ্য পেতে পারে, যা ভুক্তভোগী নিরাপদ বলে মনে করেন। অন্য সংকেতের সঙ্গে মিশে গেলে পার্শ্ব-চ্যানেলের লক্ষ্যবস্তু তথ্য শনাক্ত করা কঠিন হতে পারে। এর কারণ হলো, সেই তথ্যের সংকেতের মাত্রা খুব কম হতে পারে।

সোশ্যাল ইঞ্জিনিয়ারিং

কম্পিউটার নিরাপত্তার ক্ষেত্রে সোশ্যাল ইঞ্জিনিয়ারিংয়ের উদ্দেশ্য হলো ব্যবহারকারীকে পাসওয়ার্ড, কার্ড নম্বর ইত্যাদি গোপন তথ্য প্রকাশ করতে রাজি করানো। এর মাধ্যমে কাউকে সরাসরি কোনো স্থানে প্রবেশের অনুমতি দিতেও প্ররোচিত করা হতে পারে। উদাহরণস্বরূপ, আক্রমণকারী কোনো ঊর্ধ্বতন কর্মকর্তা, ব্যাংক, ঠিকাদার বা গ্রাহকের পরিচয় ধারণ করতে পারে। সাধারণত মানুষের বিশ্বাসকে কাজে লাগিয়ে এবং তাদের চিন্তাগত পক্ষপাতের ওপর নির্ভর করে এ ধরনের কাজ করা হয়। একটি প্রচলিত প্রতারণায় হিসাবরক্ষণ ও অর্থ বিভাগের কর্মীদের কাছে ইমেইল পাঠানো হয়। সেখানে প্রতিষ্ঠানের প্রধান নির্বাহী কর্মকর্তার পরিচয় ধারণ করে জরুরি পদক্ষেপ নিতে বলা হয়। সোশ্যাল ইঞ্জিনিয়ারিংয়ের অন্যতম প্রধান কৌশল হলো ফিশিং আক্রমণ।

২০১৬ সালের শুরুর দিকে এফবিআই জানায়, এ ধরনের ব্যবসায়িক ইমেইল জালিয়াতির কারণে প্রায় দুই বছরে যুক্তরাষ্ট্রের ব্যবসাপ্রতিষ্ঠানগুলোর দুই বিলিয়ন ডলারেরও বেশি ক্ষতি হয়েছিল।

২০১৬ সালের মে মাসে মিলওয়াকি বাকস এনবিএ দলও এ ধরনের সাইবার প্রতারণার শিকার হয়। একজন প্রতারক মিলওয়াকি বাকস দলের সভাপতি পিটার ফেইগিনের পরিচয় ধারণ করে দলের সব কর্মীর ২০১৫ সালের ডব্লিউ-২ করসংক্রান্ত নথি নিজের হাতে নিয়ে নেয়।

ছদ্মবেশ ধারণ

ছদ্মবেশ ধারণ হলো তথ্য জালিয়াতির মাধ্যমে নিজেকে কোনো বৈধ সত্তা হিসেবে উপস্থাপন করা। উদাহরণস্বরূপ বলা যায়, আইপি ঠিকানা বা ব্যবহারকারীর নাম জাল করা এর অন্তর্ভুক্ত। এর উদ্দেশ্য হলো এমন তথ্য বা সম্পদে প্রবেশ করা, যেগুলো পাওয়ার অনুমতি আক্রমণকারীর নেই। ছদ্মবেশ ধারণের সঙ্গে ফিশিংয়ের ঘনিষ্ঠ সম্পর্ক রয়েছে। ছদ্মবেশ ধারণের কয়েকটি ধরন রয়েছে। সেগুলো হলো:

• ইমেইল ছদ্মবেশ: আক্রমণকারী ইমেইলের প্রেরক ঠিকানা জাল করে। এই ঠিকানাটি সাধারণত প্রেরক বা উৎস হিসেবে দেখানো হয়।
• আইপি ঠিকানা ছদ্মবেশ: আক্রমণকারী নেটওয়ার্ক প্যাকেটের উৎস আইপি ঠিকানা পরিবর্তন করে। এর মাধ্যমে সে নিজের পরিচয় গোপন করতে পারে অথবা অন্য কোনো কম্পিউটার ব্যবস্থার পরিচয় ধারণ করতে পারে।
• ম্যাক প্রতারণা: আক্রমণকারী নিজের নেটওয়ার্ক ইন্টারফেস নিয়ন্ত্রকের ম্যাক ঠিকানা পরিবর্তন করে। এর ফলে সে নিজের পরিচয় গোপন করতে পারে অথবা অন্য কারও পরিচয় ধারণ করতে পারে।
• বায়োমেট্রিক ছদ্মবেশ: আক্রমণকারী অন্য ব্যবহারকারীর পরিচয় ধারণ করার জন্য একটি নকল বায়োমেট্রিক নমুনা তৈরি করে।
• ঠিকানা নির্ণয় প্রোটোকল (এআরপি) ছদ্মবেশ: আক্রমণকারী একটি লোকাল এরিয়া নেটওয়ার্কে জাল ঠিকানা নির্ণয় প্রোটোকল বার্তা পাঠায়। এর মাধ্যমে সে নিজের ম্যাক ঠিকানাকে অন্য কোনো যন্ত্রের আইপি ঠিকানার সঙ্গে যুক্ত করে। ফলে তথ্য নির্ধারিত যন্ত্রের পরিবর্তে আক্রমণকারীর কাছে চলে যায়।

তথ্যের অননুমোদিত পরিবর্তন

তথ্যের অননুমোদিত পরিবর্তন বলতে তথ্যের ক্ষতিকর ও ইচ্ছাকৃত পরিবর্তন বা রদবদলকে বোঝায়। এটি এমন একটি কাজ, যা ইচ্ছাকৃতভাবে করা হয়, কিন্তু এর জন্য অনুমতি নেওয়া হয় না। এর ফলে কোনো ব্যবস্থা, ব্যবস্থার উপাদান, তার নির্ধারিত কার্যপদ্ধতি অথবা তথ্য পরিবর্তিত হতে পারে। এর উদাহরণ হলো ইভিল মেইড অ্যাটাক। নিরাপত্তা সংস্থার মাধ্যমে রাউটারে নজরদারির ব্যবস্থা বসানোও এর একটি উদাহরণ।

এইচটিএমএল পাচার

এইচটিএমএল পাচার পদ্ধতিতে আক্রমণকারী কোনো নির্দিষ্ট এইচটিএমএল ফাইল বা ওয়েবপৃষ্ঠার ভেতরে ক্ষতিকর কোড লুকিয়ে রাখতে পারে। এইচটিএমএল ফাইলে ক্ষতিকর উপাদানকে নিরীহ ও নিষ্ক্রিয় তথ্যের আড়ালে রাখা যায়।

এইচটিএমএল পাচার পদ্ধতির উদ্দেশ্য হলো বিষয়বস্তু ছাঁকনিকে ফাঁকি দেওয়া। ছাঁকনি পার হওয়ার পর এসব উপাদান আবার পুনর্গঠন করা সম্ভব।

লক্ষ্যকৃত ব্যবহারকারী এইচটিএমএল ফাইলটি খুললে ক্ষতিকর কোড সক্রিয় হয়। এরপর ওয়েব ব্রাউজার স্ক্রিপ্টটি পাঠোদ্ধার করে। এর ফলে ক্ষতিকর সফটওয়্যারটি লক্ষ্যবস্তুর যন্ত্রে ছড়িয়ে পড়ে।

তথ্য নিরাপত্তার চর্চা

তথ্য নিরাপত্তা এবং সাইবার নিরাপত্তা ঘনিষ্ঠভাবে সম্পর্কিত হলেও দুটি এক নয়। সাইবার নিরাপত্তা ইন্টারনেটের সঙ্গে সংযুক্ত থাকার কারণে সৃষ্ট বাহ্যিক ও ক্ষতিকর হুমকি মোকাবিলা করে। অন্যদিকে তথ্য নিরাপত্তার আওতায় অভ্যন্তরীণ নীতি, দায়িত্ব ও নিয়ন্ত্রণব্যবস্থাও অন্তর্ভুক্ত।

প্রতিষ্ঠানের তথ্য নিরাপত্তার ওপর কর্মীদের আচরণ বড় প্রভাব ফেলতে পারে। প্রতিষ্ঠানের সংস্কৃতিসংক্রান্ত ধারণাগুলো বিভিন্ন বিভাগকে কার্যকরভাবে কাজ করতে সাহায্য করতে পারে। আবার এগুলো তথ্য নিরাপত্তা নিশ্চিত করার প্রচেষ্টায় বাধাও সৃষ্টি করতে পারে। তথ্য নিরাপত্তার সংস্কৃতি হলো, “একটি প্রতিষ্ঠানে প্রচলিত আচরণের সব ধরনের ধরন, যা সব ধরনের তথ্যের সুরক্ষায় অবদান রাখে।”

অ্যান্ডারসন ও রেইমার্স (২০১৪) দেখেছেন, কর্মীরা প্রায়ই নিজেদের প্রতিষ্ঠানের তথ্য নিরাপত্তার প্রচেষ্টার অংশ বলে মনে করেন না। তাঁরা এমন কাজও করেন, যা প্রতিষ্ঠানের পরিবর্তনকে বাধাগ্রস্ত করে। ভেরাইজনের ২০২০ সালের তথ্য ফাঁস তদন্ত প্রতিবেদনে ৩,৯৫০টি নিরাপত্তা লঙ্ঘনের ঘটনা পরীক্ষা করা হয়েছিল। এতে দেখা যায়, সাইবার নিরাপত্তার ৩০ শতাংশ ঘটনায় প্রতিষ্ঠানের অভ্যন্তরীণ ব্যক্তিরা জড়িত ছিলেন।

গবেষণায় দেখা যায়, তথ্য নিরাপত্তার সংস্কৃতির ধারাবাহিক উন্নতি প্রয়োজন। “বিশ্লেষণ থেকে পরিবর্তন: তথ্য নিরাপত্তার সংস্কৃতি” শীর্ষক রচনায় লেখকেরা মন্তব্য করেছেন, “এটি কখনো শেষ না হওয়া একটি প্রক্রিয়া। এটি মূল্যায়ন, পরিবর্তন অথবা রক্ষণাবেক্ষণের একটি চক্র।” তথ্য নিরাপত্তার সংস্কৃতি পরিচালনার জন্য পাঁচটি ধাপ অনুসরণ করা উচিত: প্রাথমিক মূল্যায়ন, কৌশলগত পরিকল্পনা, কার্যপরিকল্পনা, বাস্তবায়ন এবং পরবর্তী মূল্যায়ন।

• প্রাথমিক মূল্যায়ন: কর্মীদের মধ্যে তথ্য নিরাপত্তা সম্পর্কে সচেতনতার মাত্রা শনাক্ত করা এবং বর্তমান নিরাপত্তানীতিগুলো বিশ্লেষণ করা।
• কৌশলগত পরিকল্পনা: সচেতনতামূলক কর্মসূচি তৈরির জন্য স্পষ্ট লক্ষ্য নির্ধারণ করতে হবে। দক্ষ পেশাজীবীদের নিয়ে একটি দল গঠন করলে লক্ষ্য অর্জন সহজ হয়।
• কার্যপরিকল্পনা: অভ্যন্তরীণ যোগাযোগ, ব্যবস্থাপনার সমর্থন, নিরাপত্তা সম্পর্কে সচেতনতা এবং প্রশিক্ষণ কর্মসূচির মাধ্যমে নিরাপত্তার সংস্কৃতি গড়ে তোলা যায়।
• বাস্তবায়ন: তথ্য নিরাপত্তার সংস্কৃতি বাস্তবায়নে চারটি ধাপ অনুসরণ করা উচিত:

1. ব্যবস্থাপনার অঙ্গীকার
2. প্রতিষ্ঠানের সদস্যদের সঙ্গে যোগাযোগ
3. প্রতিষ্ঠানের সব সদস্যের জন্য প্রশিক্ষণ
4. কর্মীদের অঙ্গীকার

• পরবর্তী মূল্যায়ন: পরিকল্পনা ও বাস্তবায়নের সাফল্য যাচাই করা এবং যেসব উদ্বেগের সমাধান হয়নি, সেগুলো শনাক্ত করা।

কম্পিউটার সুরক্ষা (প্রতিরোধমূলক ব্যবস্থা)

কম্পিউটার নিরাপত্তার ক্ষেত্রে, প্রতিরোধমূলক ব্যবস্থা হলো এমন কোনো পদক্ষেপ, যন্ত্র, পদ্ধতি বা কৌশল, যা কোনো হুমকি, দুর্বলতা বা আক্রমণ দূর করে বা প্রতিরোধ করে, এর ফলে সৃষ্ট ক্ষতি কমিয়ে আনে অথবা এটি শনাক্ত ও প্রতিবেদন করার মাধ্যমে সংশোধনমূলক ব্যবস্থা গ্রহণের সুযোগ তৈরি করে।

কিছু প্রচলিত প্রতিরোধমূলক ব্যবস্থা নিচের অনুচ্ছেদগুলোতে তুলে ধরা হয়েছে:

নকশার মাধ্যমে নিরাপত্তা

নকশার মাধ্যমে নিরাপত্তা (অথবা বিকল্পভাবে নিরাপদ নকশা) বলতে বোঝায় এমন সফটওয়্যার, যা শুরু থেকেই নিরাপত্তা নিশ্চিত করার উদ্দেশ্যে তৈরি করা হয়েছে। এ সকল সফটওয়্যারের ক্ষেত্রে নিরাপত্তাকে একটি প্রধান বৈশিষ্ট্য হিসেবে বিবেচনা করা হয়।

যুক্তরাজ্য সরকারের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার সাইবার নিরাপত্তার নকশাগত নীতিগুলোকে পাঁচটি ভাগে বিভক্ত করেছে:

1. নিরাপদ কোনো ব্যবস্থা তৈরি বা হালনাগাদ করার আগে প্রতিষ্ঠানগুলোর উচিত সংশ্লিষ্ট ব্যবস্থার মৌলিক বিষয় ও প্রেক্ষাপট সম্পর্কে ভালোভাবে জানা এবং ব্যবস্থাটির সম্ভাব্য দুর্বলতাগুলো শনাক্ত করা।
2. প্রতিষ্ঠানগুলোর উচিত এমন কৌশল ও প্রতিরক্ষাব্যবস্থার ভিত্তিতে নিরাপত্তা নকশা তৈরি করা, যাতে আক্রমণকারীদের জন্য তথ্য বা সিস্টেমে আক্রমণ চালানো স্বভাবতই আরও কঠিন হয়ে পড়ে।
3. প্রযুক্তিনির্ভর গুরুত্বপূর্ণ পরিষেবাগুলো সুরক্ষিত রাখতে হবে, যাতে সংশ্লিষ্ট ব্যবস্থাগুলো কার্যত কখনোই বন্ধ হয়ে না যায়।
4. অনেক ধরনের আক্রমণ থেকে সুরক্ষিত ব্যবস্থা তৈরি করা সম্ভব হলেও, এর অর্থ এই নয় যে সেসব ব্যবস্থায় আক্রমণের চেষ্টা করা হবে না। নিরাপত্তাব্যবস্থা থাকা সত্ত্বেও, সব প্রতিষ্ঠানেরই উচিত আক্রমণ শুরু হওয়ার সঙ্গে সঙ্গে তা শনাক্ত করতে সক্ষম এমন ব্যবস্থা তৈরি করা, যাতে সবচেয়ে কার্যকরভাবে তার মোকাবিলা করা যায়।
5. প্রতিষ্ঠানগুলোর এমন নিরাপদ ব্যবস্থা তৈরি করা উচিত, যাতে কোনো আক্রমণ সফল হলেও তার ক্ষতির মাত্রা সর্বনিম্ন থাকে।

নকশার মাধ্যমে নিরাপত্তার এসব নীতি বাস্তবায়নে নিচের কৌশলগুলোর কয়েকটি ব্যবহার করা যেতে পারে:

• ন্যূনতম বিশেষাধিকারের নীতির মাধ্যমে যেখানে ব্যবস্থার প্রতিটি অংশকে তার কাজের জন্য যতটুকু অনুমতি প্রয়োজন, কেবল ততটুকুই দেওয়া যেতে পারে। ফলে কোনো আক্রমণকারী ব্যবস্থার কোনো একটি অংশে প্রবেশাধিকার পেলেও পুরো ব্যবস্থায় তার প্রবেশাধিকার সীমিত থাকে।
• গুরুত্বপূর্ণ সফটওয়্যার উপব্যবস্থাগুলোর সঠিকতা প্রমাণ করার জন্য স্বয়ংক্রিয় উপপাদ্য প্রমাণ ব্যবহার করা যেতে পারে।
• আনুষ্ঠানিকভাবে সঠিকতা প্রমাণ করা সম্ভব না হলে মডিউলগুলোকে আরও নিরাপদ করতে কোড পর্যালোচনা ও ইউনিট পরীক্ষা ব্যবহার করা উচিত।
• বহুস্তরীয় প্রতিরক্ষা ব্যবহার করা উচিত, যেখানে এমনভাবে নকশা তৈরি করা হয় যে ব্যবস্থার অখণ্ডতা ও এতে সংরক্ষিত তথ্যের নিরাপত্তা নষ্ট করতে একাধিক উপব্যবস্থার সুরক্ষা ভেদ করতে হয়।
• ডিফল্টভাবেই নিরাপদ সেটিংস ব্যবহার করা এবং ব্যবস্থাকে অনিরাপদ অবস্থায় ব্যর্থ হওয়ার পরিবর্তে নিরাপদ অবস্থায় ব্যর্থ হওয়ার উপযোগী করে নকশা করা উচিত। আদর্শভাবে, কোনো নিরাপদ ব্যবস্থাকে অনিরাপদ করতে হলে বৈধ কর্তৃপক্ষের পক্ষ থেকে ইচ্ছাকৃত, সচেতন, জ্ঞানভিত্তিক ও স্বেচ্ছামূলক সিদ্ধান্তের প্রয়োজন হওয়া উচিত।
• নিরীক্ষা নথি ব্যবস্থার কার্যকলাপ অনুসরণ করা উচিত। ফলে নিরাপত্তা লঙ্ঘনের ঘটনা ঘটলে কীভাবে এবং কতটা ব্যাপকভাবে তা ঘটেছে, সেটি নির্ধারণ করা যায়। নিরীক্ষা নথি দূরবর্তী স্থানে সংরক্ষণ করা এবং সেখানে কেবল নতুন তথ্য যোগ করার অনুমতি রাখা হলে অনুপ্রবেশকারীরা নিজেদের কার্যকলাপের চিহ্ন মুছে ফেলতে পারে না।
• ত্রুটি শনাক্ত হওয়ার পর দুর্বলতা থাকার সময়কাল যতটা সম্ভব কমিয়ে রাখতে সব দুর্বলতা সম্পর্কে পূর্ণ প্রকাশ নিশ্চিত করা উচিত।

নিরাপত্তা স্থাপত্য

নিরাপত্তা স্থাপত্যকে "নিরাপত্তার লক্ষ্য অর্জনের জন্য কম্পিউটার ব্যবস্থা নকশা করার অনুশীলন" হিসেবে সংজ্ঞায়িত করা যায়। এর লক্ষ্যগুলোর সঙ্গে আগে আলোচিত "নকশার মাধ্যমে নিরাপত্তা" নীতির মিল রয়েছে। এর মধ্যে রয়েছে "ব্যবস্থায় প্রাথমিক অনুপ্রবেশ কঠিন করে তোলা" এবং "যেকোনো নিরাপত্তা লঙ্ঘনের প্রভাব সীমিত রাখা"। বাস্তবে একজন নিরাপত্তা স্থপতির কাজ হলো নিশ্চিত করা যে ব্যবস্থার কাঠামো তার নিরাপত্তাকে আরও শক্তিশালী করে, নতুন পরিবর্তনগুলো নিরাপদ থাকে ও প্রতিষ্ঠানের নিরাপত্তাসংক্রান্ত চাহিদা পূরণ করে।

টেকোপিডিয়া নিরাপত্তা স্থাপত্যকে এভাবে সংজ্ঞায়িত করেছে: "কোনো নির্দিষ্ট পরিস্থিতি বা পরিবেশের প্রয়োজনীয়তা ও সম্ভাব্য ঝুঁকিগুলো বিবেচনায় নিয়ে তৈরি একটি সমন্বিত নিরাপত্তা নকশা। এতে নিরাপত্তা নিয়ন্ত্রণগুলো কখন ও কোথায় প্রয়োগ করতে হবে, তাও নির্দিষ্ট করা হয়। নকশা তৈরির প্রক্রিয়াটি সাধারণত পুনরায় অনুসরণ করা সম্ভব।" নিরাপত্তা স্থাপত্যের প্রধান বৈশিষ্ট্যগুলো হলো:

• বিভিন্ন উপাদানের পারস্পরিক সম্পর্ক এবং একে অপরের ওপর তাদের নির্ভরশীলতা।
• ঝুঁকি মূল্যায়ন, উত্তম চর্চা, আর্থিক সামর্থ্য ও আইনি বিষয়ের ভিত্তিতে নিয়ন্ত্রণব্যবস্থা নির্ধারণ।
• নিয়ন্ত্রণব্যবস্থার মানসম্মতকরণ।

নিরাপত্তা স্থাপত্য চর্চা করলে কোনো প্রতিষ্ঠানের ব্যবসা, তথ্যপ্রযুক্তি ও নিরাপত্তাসংক্রান্ত উদ্বেগগুলো নিয়মতান্ত্রিকভাবে মোকাবিলা করার উপযুক্ত ভিত্তি তৈরি হয়।

নিরাপত্তা ব্যবস্থা

কম্পিউটার নিরাপত্তার একটি আদর্শ অবস্থা তিনটি প্রক্রিয়ার মাধ্যমে অর্জন করা যায়: হুমকি প্রতিরোধ, শনাক্তকরণ ও প্রতিক্রিয়া। এসব প্রক্রিয়া বিভিন্ন নীতি ও ব্যবস্থার উপাদানের ওপর নির্ভরশীল। এগুলোর মধ্যে রয়েছে:

• ব্যবহারকারী অ্যাকাউন্ট ও প্রবেশাধিকার নিয়ন্ত্রণ ব্যবহার করে ব্যক্তির প্রবেশাধিকার সীমিত করা এবং ক্রিপ্টোগ্রাফি ব্যবহার করে যথাক্রমে ব্যবস্থার ফাইল ও তথ্য সুরক্ষিত রাখা।
• নেটওয়ার্ক নিরাপত্তার দৃষ্টিকোণ থেকে ফায়ারওয়াল সবচেয়ে প্রচলিত প্রতিরোধব্যবস্থাগুলোর একটি। সঠিকভাবে কনফিগার করা হলে এটি অভ্যন্তরীণ নেটওয়ার্ক পরিষেবাগুলোতে প্রবেশাধিকার সীমিত করতে পারে এবং প্যাকেট ফিল্টারিংয়ের মাধ্যমে নির্দিষ্ট ধরনের আক্রমণ প্রতিরোধ করতে পারে। ফায়ারওয়াল হার্ডওয়্যার বা সফটওয়্যার - উভয় ধরনেরই হতে পারে। এটি কম্পিউটার নেটওয়ার্কের আগত ও বহির্গামী ট্রাফিক পর্যবেক্ষণ ও নিয়ন্ত্রণ করে এবং বিশ্বস্ত ও অবিশ্বস্ত নেটওয়ার্কের মধ্যে একটি প্রতিবন্ধক তৈরি করে।
• অনুপ্রবেশ শনাক্তকরণ ব্যবস্থা নেটওয়ার্কে চলমান আক্রমণ শনাক্ত করতে এবং আক্রমণ-পরবর্তী ফরেনসিক বিশ্লেষণে সহায়তা করার জন্য তৈরি করা হয়। অন্যদিকে নিরীক্ষা নথি ও লগ পৃথক ব্যবস্থার ক্ষেত্রে একই ধরনের কাজ করে।
• প্রতিক্রিয়া নির্ধারিত হয় সংশ্লিষ্ট ব্যবস্থার নিরাপত্তার প্রয়োজনীয়তা মূল্যায়নের ভিত্তিতে। এর মধ্যে সাধারণ সুরক্ষা হালনাগাদ করা থেকে শুরু করে আইনি কর্তৃপক্ষকে অবহিত করা, পাল্টা আক্রমণ চালানো ইত্যাদি অন্তর্ভুক্ত থাকতে পারে। কিছু বিশেষ ক্ষেত্রে আক্রান্ত ব্যবস্থাটিকে সম্পূর্ণ ধ্বংস করে দেওয়াই শ্রেয় বলে বিবেচিত হয়। এর কারণ, আক্রান্ত সব সম্পদ শনাক্ত করা সম্ভব নাও হতে পারে।
• সাইবার হুমকি ও আক্রমণ মোকাবিলার জন্য সাইবার নিরাপত্তাবিষয়ক সচেতনতামূলক প্রশিক্ষণ।
• ফরোয়ার্ড ওয়েব প্রক্সি ব্যবহার করে ক্লায়েন্টকে ক্ষতিকর ওয়েবপেজে প্রবেশ করা থেকে বিরত রাখা যায়। পাশাপাশি, ক্লায়েন্ট কম্পিউটারে ডাউনলোড করার আগে বিষয়বস্তু পরীক্ষা করা যায়।

বর্তমানে কম্পিউটার নিরাপত্তা মূলত প্রতিরোধমূলক ব্যবস্থার ওপর নির্ভরশীল। এর মধ্যে রয়েছে ফায়ারওয়াল ও প্রস্থান পদ্ধতি। ফায়ারওয়াল হলো কোনো হোস্ট বা নেটওয়ার্ক এবং অন্য একটি নেটওয়ার্কের (যেমন ইন্টারনেটের) মধ্যে আদান-প্রদান করা নেটওয়ার্ক ডেটা ফিল্টার করার একটি ব্যবস্থা। এটি কম্পিউটারে চলমান সফটওয়্যার হিসেবে বাস্তবায়ন করা যায়। এ ক্ষেত্রে সফটওয়্যারটি নেটওয়ার্ক স্ট্যাকে যুক্ত হয়ে তাৎক্ষণিকভাবে ডেটা ফিল্টার ও ব্লক করে। অধিকাংশ ইউনিক্সভিত্তিক অপারেটিং সিস্টেমে (যেমন লিনাক্সে) এটি অপারেটিং সিস্টেমের কার্নেলের মধ্যেই অন্তর্নির্মিত থাকে। আরেকটি পদ্ধতি হলো ভৌত ফায়ারওয়াল, যা নেটওয়ার্ক ট্রাফিক ফিল্টার করার জন্য ব্যবহৃত একটি স্বতন্ত্র যন্ত্র। ইন্টারনেটের সঙ্গে সব সময় সংযুক্ত থাকা কম্পিউটারগুলোতে ফায়ারওয়াল ব্যাপকভাবে ব্যবহৃত হয়।

কিছু প্রতিষ্ঠান উন্নত স্থায়ী হুমকি শনাক্ত করার জন্য ডেটার সহজলভ্যতা বৃদ্ধি এবং মেশিন লার্নিংয়ের সুবিধা কাজে লাগাতে বিগ ডেটা প্ল্যাটফর্ম ব্যবহার করছে। এর একটি উদাহরণ হলো অ্যাপাচি হাডুপ।

যথাযথ নিরাপত্তা নিশ্চিত করতে একটি নেটওয়ার্কের গোপনীয়তা, অখণ্ডতা ও প্রাপ্যতা সুরক্ষিত রাখতে হয়। এই তিনটি বৈশিষ্ট্য একত্রে সিআইএ ত্রয়ী নামে পরিচিত এবং তথ্যনিরাপত্তার ভিত্তি হিসেবে বিবেচিত। এসব লক্ষ্য অর্জনের জন্য প্রশাসনিক, ভৌত ও প্রযুক্তিগত নিরাপত্তাব্যবস্থা গ্রহণ করা উচিত। কোনো সম্পদের জন্য কতটা নিরাপত্তা প্রয়োজন, কেবল তার মূল্য জানা থাকলেই তা নির্ধারণ করা সম্ভব।

দুর্বলতা ব্যবস্থাপনা

দুর্বলতা ব্যবস্থাপনা হলো দুর্বলতা শনাক্ত করা, সংশোধন করা বা এর প্রভাব কমানোর একটি ধারাবাহিক প্রক্রিয়া। এটি বিশেষত সফটওয়্যার ও ফার্মওয়্যারের দুর্বলতার ক্ষেত্রে প্রযোজ্য। কম্পিউটার নিরাপত্তা ও নেটওয়ার্ক নিরাপত্তার অবিচ্ছেদ্য অংশ হলো দুর্বলতা ব্যবস্থাপনা।

ভালনেরাবিলিটি স্ক্যানারের সাহায্যে দুর্বলতা শনাক্ত করা যায়। এটি পরিচিত দুর্বলতা খুঁজে বের করার জন্য কম্পিউটার ব্যবস্থা বিশ্লেষণ করে, যেমন: উন্মুক্ত পোর্ট, অনিরাপদ সফটওয়্যার কনফিগারেশন এবং ক্ষতিকর সফটওয়্যারের বিরুদ্ধে ব্যবস্থার দুর্বলতা ইত্যাদি। এসব সরঞ্জাম কার্যকর রাখতে হলে প্রকাশিত প্রতিটি নতুন হালনাগাদের সঙ্গে এসব সরঞ্জাম হালনাগাদ করতে হয়। সাধারণত এসব হালনাগাদের মাধ্যমে সাম্প্রতিক সময়ে যুক্ত হওয়া নতুন দুর্বলতাগুলোও শনাক্ত করা হয়।

দুর্বলতা খোঁজার পাশাপাশি অনেক প্রতিষ্ঠান তাদের ব্যবস্থায় নিয়মিত অনুপ্রবেশ পরীক্ষা চালানোর জন্য বাইরের নিরাপত্তা নিরীক্ষকদের নিয়োগ দেয়। এর মাধ্যমে দুর্বলতা শনাক্ত করা যায়। কিছু ক্ষেত্রে এটি চুক্তির শর্ত হিসেবেও বাধ্যতামূলক।

দুর্বলতা হ্রাস করা

সাইবার আক্রমণের ঝুঁকি মূল্যায়ন ও দুর্বলতা হ্রাস করার কার্যক্রমকে সাধারণত তথ্যপ্রযুক্তি নিরাপত্তা মূল্যায়ন বলা হয়। এসব মূল্যায়নের উদ্দেশ্য হলো ব্যবস্থার ঝুঁকি নিরূপণ করা এবং এর দুর্বলতাগুলো সম্পর্কে পূর্বাভাস দেওয়া ও পরীক্ষা করা। কম্পিউটার ব্যবস্থার সঠিকতা আনুষ্ঠানিকভাবে যাচাই করা সম্ভব হলেও, বাস্তবে এটি এখনো খুব বেশি প্রচলিত নয়। আনুষ্ঠানিকভাবে যাচাইকৃত অপারেটিং সিস্টেমের মধ্যে রয়েছে এসইএল৪ এবং সিসগো-এর পাইকওএস। তবে বাজারে থাকা অপারেটিং সিস্টেমগুলোর মধ্যে এ ধরনের ব্যবস্থার সংখ্যা খুবই কম।

নিরাপত্তা প্যাচ ও হালনাগাদ নিয়মিত প্রয়োগ করে এবং নিরাপত্তা বিষয়ে দক্ষ ব্যক্তিদের নিয়োগ দিয়ে আক্রমণকারীদের সফল হওয়ার সম্ভাবনা কমানো যায়। বড় ধরনের হুমকির মুখে থাকা বড় প্রতিষ্ঠানগুলো নিরাপত্তা কার্যক্রম কেন্দ্রের বিশ্লেষক নিয়োগ করতে পারে, যারা সাইবার প্রতিরক্ষাব্যবস্থায় বিশেষজ্ঞ। তারা হুমকি বিশ্লেষণ করা, নতুন কোনো সমস্যা সম্পর্কে পাওয়া প্রতিবেদন তদন্ত করা এবং দুর্যোগ-পরবর্তী পুনরুদ্ধার পরিকল্পনা প্রস্তুত ও পরীক্ষা করা ইত্যাদি কাজ করে থাকেন।

কোনো ব্যবস্থাই আক্রমণ সম্পূর্ণভাবে প্রতিরোধের নিশ্চয়তা দিতে পারে না। তবে এসব ব্যবস্থা সম্ভাব্য আক্রমণের ক্ষতি কমাতে সাহায্য করে। সতর্কতার সঙ্গে ব্যাকআপ রাখা এবং বীমা করার মাধ্যমেও তথ্য হারানো বা ক্ষতিগ্রস্ত হওয়ার প্রভাব কমানো যায়।

আনুষ্ঠানিক মূল্যায়নের বাইরেও দুর্বলতা হ্রাস করার বিভিন্ন পদ্ধতি রয়েছে। ব্যবস্থাকে আরও সুরক্ষিত করে তোলা, দ্বি-উপাদান প্রমাণীকরণ ইত্যাদি এ রকম পদ্ধতির উদাহরণ। দ্বি-উপাদান প্রমাণীকরণ হলো কোনো ব্যবস্থা বা সংবেদনশীল তথ্যে অননুমোদিত প্রবেশ প্রতিরোধের একটি পদ্ধতি। এ পদ্ধতিতে দুটি বিষয়ের প্রয়োজন হয়: আপনি যা জানেন (যেমন পাসওয়ার্ড, ব্যক্তিগত শনাক্তকরণ নম্বর বা পিন) এবং আপনার কাছে যা আছে (যেমন কার্ড, ডঙ্গল, মুঠোফোন বা অন্য কোনো হার্ডওয়্যার ইত্যাদি)। এতে নিরাপত্তা বৃদ্ধি পায়, কারণ অননুমোদিত ব্যক্তিকে প্রবেশাধিকার পেতে উভয় উপাদানই সংগ্রহ করতে হয়।

সোশ্যাল ইঞ্জিনিয়ারিং এবং কম্পিউটারে সরাসরি প্রত্যক্ষ প্রবেশের মাধ্যমে চালানো আক্রমণ থেকে সুরক্ষা দিতে হলে এমন ব্যবস্থার প্রয়োজন হয়, যেগুলো কম্পিউটারনির্ভর নয়। তথ্যের সংবেদনশীলতার তুলনায় এসব ব্যবস্থা কার্যকর করা কঠিন হতে পারে। এই ঝুঁকি কমাতে প্রায়ই প্রশিক্ষণের ব্যবস্থা করা হয়, যার মাধ্যমে মানুষ কীভাবে নিজেদের সুরক্ষিত রাখবে, সে সম্পর্কে তাদের জ্ঞান বাড়ানো হয় এবং হুমকি সম্পর্কে সচেতনতা বৃদ্ধি করা হয়। তবে সামরিক প্রতিষ্ঠানের মতো কঠোর শৃঙ্খলাপূর্ণ পরিবেশেও সোশ্যাল ইঞ্জিনিয়ারিংভিত্তিক আক্রমণের পূর্বাভাস দেওয়া ও তা প্রতিরোধ করা কঠিন হতে পারে।

ইনোকুলেশন থিওরি থেকে উদ্ভূত প্রতিরোধমূলক প্রশিক্ষণপদ্ধতি সোশ্যাল ইঞ্জিনিয়ারিং ও অন্যান্য প্রতারণামূলক কৌশল প্রতিরোধে সহায়তা করে। এ পদ্ধতিতে একই ধরনের বা তদসম্পর্কিত প্রচেষ্টার মুখোমুখি করার মাধ্যমে মানুষের মধ্যে প্রভাবিত করার প্রচেষ্টার বিরুদ্ধে প্রতিরোধক্ষমতা গড়ে তোলার চেষ্টা করা হয়।

হার্ডওয়্যারভিত্তিক সুরক্ষাব্যবস্থা

হার্ডওয়্যারভিত্তিক বা হার্ডওয়্যারের সহায়তায় পরিচালিত কম্পিউটার নিরাপত্তা কেবল সফটওয়্যারনির্ভর নিরাপত্তার একটি বিকল্প ব্যবস্থা। ডঙ্গল, বিশ্বস্ত প্ল্যাটফর্ম মডিউল, অনুপ্রবেশ শনাক্ত করতে সক্ষম কম্পিউটার কেস, ড্রাইভ লক ইত্যাদি যন্ত্র ব্যবহার করা, ইউএসবি পোর্ট নিষ্ক্রিয় করা এবং মুঠোফোনের মাধ্যমে প্রবেশাধিকার নিয়ন্ত্রণের মতো পদ্ধতি ব্যবহার করলে নিরাপত্তা বৃদ্ধি পেতে পারে। কারণ এসব ব্যবস্থা ভাঙতে সাধারণত প্রত্যক্ষ প্রবেশাধিকার অথবা অত্যাধুনিক ব্যাকডোর ব্যবহারের প্রয়োজন হয়। নিচে প্রতিটি পদ্ধতি সম্পর্কে বিস্তারিত আলোচনা করা হয়েছে।

• সফটওয়্যারের লাইসেন্সিং ব্যবস্থায় সফটওয়্যারের বিভিন্ন সুবিধা চালু করার জন্য সাধারণত ইউএসবি ডঙ্গল ব্যবহার করা হয়। তবে কম্পিউটার বা অন্য কোনো যন্ত্রের সফটওয়্যারে অননুমোদিত প্রবেশ ঠেকাতেও এটি ব্যবহার করা যায়। ডঙ্গল বা কী-টি সফটওয়্যার অ্যাপ্লিকেশন ও কী-টির মধ্যে একটি নিরাপদ, এনক্রিপ্ট করা সংযোগ তৈরি করে। ডঙ্গলে অ্যাডভান্সড এনক্রিপশন স্ট্যান্ডার্ডের মতো এনক্রিপশন পদ্ধতি ব্যবহার করা হলে নিরাপত্তা বৃদ্ধি পায়। কারণ, ডঙ্গল হ্যাক করা ও এর প্রতিলিপি তৈরি করা তুলনামূলকভাবে কঠিন। অন্যদিকে, মূল সফটওয়্যারটি অন্য কম্পিউটারে কপি করে ব্যবহার করা সহজ। ওয়েবভিত্তিক বিষয়বস্তু (যেমন ক্লাউড সফটওয়্যার বা ভার্চুয়াল প্রাইভেট নেটওয়ার্কে) প্রবেশাধিকার নিয়ন্ত্রণেও ডঙ্গল ব্যবহার করা যায়। এ ছাড়া ইউএসবি ডঙ্গল ব্যবহার করে কম্পিউটার লক বা আনলক করার ব্যবস্থাও করা যায়।
• বিশ্বস্ত প্ল্যাটফর্ম মডিউলগুলো মাইক্রোপ্রসেসর ইত্যাদি প্রযুক্তির সাহায্যে প্রবেশাধিকার নিয়ন্ত্রণকারী যন্ত্রে ক্রিপ্টোগ্রাফিক সক্ষমতা যুক্ত করে সেগুলোকে সুরক্ষিত রাখে। সার্ভার-পার্শ্বের সফটওয়্যারের সঙ্গে বিশ্বস্ত প্ল্যাটফর্ম মডিউল ব্যবহার করলে হার্ডওয়্যার যন্ত্র শনাক্ত ও প্রমাণীকরণ করা যায়। এর ফলে অননুমোদিত নেটওয়ার্ক ও তথ্যপ্রবেশ প্রতিরোধ করা সম্ভব হয়।
• কম্পিউটার কেসে অনুপ্রবেশ শনাক্তকরণ বলতে এমন একটি যন্ত্রকে বোঝায়, যা সাধারণত পুশ-বাটন সুইচের মাধ্যমে কম্পিউটার কেস খোলা হয়েছে কি না, তা শনাক্ত করে। পরবর্তীবার কম্পিউটার চালু হলে সতর্কবার্তা দেখানোর জন্য এর ফার্মওয়্যার বা বায়োস প্রোগ্রাম করা থাকে।
• ড্রাইভ লক মূলত হার্ডড্রাইভ এনক্রিপ্ট করার সফটওয়্যার সরঞ্জাম। এর ফলে চোরেরা ড্রাইভের তথ্য ব্যবহার করতে পারে না। বাহ্যিক ড্রাইভ এনক্রিপ্ট করার জন্যও বিশেষ সরঞ্জাম রয়েছে।
• অননুমোদিত ও ক্ষতিকর প্রবেশ ঠেকানোর একটি উত্তম নিরাপত্তাব্যবস্থা হলো ইউএসবি পোর্ট নিষ্ক্রিয় করা। নেটওয়ার্ক ওয়ার্ল্ড সাময়িকীর মতে, ফায়ারওয়ালের সুরক্ষায় থাকা কোনো কম্পিউটারের সঙ্গে সংযুক্ত সংক্রমিত ইউএসবি ডঙ্গল নেটওয়ার্কে প্রবেশের অন্যতম সাধারণ হার্ডওয়্যার হুমকি।
• ক্যামেরা, জিপিএস ও অপসারণযোগ্য স্টোরেজের মতো যেসব পার্শ্বযন্ত্র ব্যবহার করা হচ্ছে না, সেগুলো সংযোগ বিচ্ছিন্ন করা বা নিষ্ক্রিয় করে রাখা।
• মুঠোফোনের ব্যাপক ব্যবহারের কারণে মোবাইল দ্বারা প্রবেশাধিকার নিয়ন্ত্রণকারী যন্ত্রের জনপ্রিয়তা বাড়ছে। ব্লুটুথ, অপেক্ষাকৃত নতুন ব্লুটুথ লো এনার্জি, আইওএসবহির্ভূত যন্ত্রে নিয়ার-ফিল্ড কমিউনিকেশন, আঙুলের ছাপ শনাক্তকারী যন্ত্রের মতো বায়োমেট্রিক যাচাইব্যবস্থা এবং মুঠোফোনের জন্য তৈরি কিউআর কোড রিডার সফটওয়্যার ইত্যাদি অন্তর্নির্মিত সুবিধা মুঠোফোনের মাধ্যমে প্রবেশাধিকার নিয়ন্ত্রণব্যবস্থার সঙ্গে সংযোগ স্থাপনের নতুন ও নিরাপদ উপায় তৈরি করেছে। এসব নিয়ন্ত্রণব্যবস্থা কম্পিউটার নিরাপত্তা নিশ্চিত করে এবং নিরাপদ ভবনে প্রবেশাধিকার নিয়ন্ত্রণ করতেও ব্যবহার করা যায়।
• আইওএমএমইউ ব্যবহার করে সরাসরি মেমোরি প্রবেশাধিকারের সুরক্ষাব্যবস্থা কাজে লাগিয়ে ডেস্কটপ ও মুঠোফোনে হার্ডওয়্যারভিত্তিক স্যান্ডবক্স তৈরি করা যায়।
• ভৌতভাবে অনুকরণ-অসম্ভব ফাংশনগুলো সমন্বিত বর্তনী ও হার্ডওয়্যারের জন্য ডিজিটাল ছাপ বা অনন্য শনাক্তকারী হিসেবে ব্যবহার করা যায়। এর মাধ্যমে ব্যবহারকারীরা নিজেদের ব্যবস্থায় ব্যবহৃত হার্ডওয়্যার সিস্টেম সুরক্ষিত রাখতে পারেন।

নিরাপদ অপারেটিং সিস্টেম

'কম্পিউটার নিরাপত্তা' শব্দটির অন্যতম অর্থ নিরাপদ অপারেটিং সিস্টেম বাস্তবায়নে ব্যবহৃত প্রযুক্তি। নিরাপদ অপারেটিং সিস্টেম ব্যবহার করা কম্পিউটার নিরাপত্তা নিশ্চিত করার একটি কার্যকর উপায়। এসব ব্যবস্থা বহিরাগত নিরাপত্তা নিরীক্ষাকারী প্রতিষ্ঠানের কাছ থেকে সনদ অর্জন করেছে। এ ধরনের মূল্যায়নের মধ্যে সবচেয়ে জনপ্রিয় হলো কমন ক্রাইটেরিয়া (সিসি)।

নিরাপদ কোডিং

সফটওয়্যার প্রকৌশলে নিরাপদ কোডিংয়ের লক্ষ্য হলো অনিচ্ছাকৃতভাবে সফটওয়্যারে নিরাপত্তাজনিত দুর্বলতা যুক্ত হওয়া প্রতিরোধ করা। শুরু থেকেই নিরাপদ থাকার উদ্দেশ্যে সফটওয়্যার তৈরি করাও সম্ভব। এ ধরনের ব্যবস্থাকে নকশার মাধ্যমে নিরাপত্তা বলা হয়। এ ছাড়া আনুষ্ঠানিক যাচাইয়ের মাধ্যমে কোনো ব্যবস্থার অন্তর্নিহিত অ্যালগরিদমগুলোর সার্থকতা প্রমাণ করার চেষ্টা করা হয়। উদাহরণস্বরূপ বলা যায়, ক্রিপ্টোগ্রাফিক প্রোটোকলের ক্ষেত্রে এটি গুরুত্বপূর্ণ।

সক্ষমতা ও প্রবেশাধিকার নিয়ন্ত্রণ তালিকা

কম্পিউটার ব্যবস্থায় বিশেষাধিকারের পৃথকীকরণ কার্যকর করার জন্য ব্যবহৃত দুটি প্রধান নিরাপত্তা মডেল হলো প্রবেশাধিকার নিয়ন্ত্রণ তালিকা এবং ভূমিকাভিত্তিক প্রবেশাধিকার নিয়ন্ত্রণ।

কম্পিউটার ফাইল সিস্টেমের ক্ষেত্রে প্রবেশাধিকার নিয়ন্ত্রণ তালিকা বলতে কোনো বস্তুর সঙ্গে সম্পর্কিত অনুমতিগুলোর তালিকা বোঝায়। এতে উল্লেখ থাকে কোন ব্যবহারকারী বা সিস্টেম প্রক্রিয়া নির্দিষ্ট বস্তুতে প্রবেশ করতে পারবে এবং সেখানে কোন ধরনের কাজ করার অনুমতি পাবে।

ভূমিকাভিত্তিক প্রবেশাধিকার নিয়ন্ত্রণ হলো অনুমোদিত ব্যবহারকারীদের মধ্যে সিস্টেমে প্রবেশাধিকার সীমাবদ্ধ রাখার একটি পদ্ধতি। পাঁচ শতাধিক কর্মী রয়েছে এমন অধিকাংশ প্রতিষ্ঠানেই এটি ব্যবহৃত হয়। এ পদ্ধতির মাধ্যমে বাধ্যতামূলক প্রবেশাধিকার নিয়ন্ত্রণ অথবা বিবেচনামূলক প্রবেশাধিকার নিয়ন্ত্রণ বাস্তবায়ন করা যায়।

এর বাইরে 'সক্ষমতাভিত্তিক নিরাপত্তা' নামক পদ্ধতিও প্রচলিত। এটি মূলত গবেষণামূলক অপারেটিং সিস্টেমেই সীমাবদ্ধ রয়েছে। তবে প্রোগ্রামিং ভাষার স্তরেও সক্ষমতা বাস্তবায়ন করা যায়। এর ফলে এমন এক ধরনের প্রোগ্রামিং পদ্ধতি তৈরি হয়, যা মূলত প্রচলিত অবজেক্ট-ভিত্তিক নকশার আরও পরিমার্জিত রূপ। এ ক্ষেত্রে একটি মুক্ত উৎস প্রকল্প হলো ই ভাষা।

ব্যবহারকারীর নিরাপত্তা প্রশিক্ষণ

নিরাপত্তাব্যবস্থার শৃঙ্খলে শেষ ব্যবহারকারীকে ব্যাপকভাবে সবচেয়ে দুর্বল সংযোগ হিসেবে বিবেচনা করা হয় এবং ধারণা করা হয়, নিরাপত্তা-সংক্রান্ত ৯০ শতাংশেরও বেশি ঘটনা ও লঙ্ঘনের পেছনে কোনো না কোনো ধরনের মানবিক ভুল থাকে। সাধারণত যেসব ভুল ও বিচার-বিবেচনার ত্রুটি নথিভুক্ত করা হয়, সেগুলোর মধ্যে রয়েছে পাসওয়ার্ড ব্যবস্থাপনায় অবহেলা, সংবেদনশীল তথ্য ও সংযুক্তি ভুল প্রাপকের কাছে ই-মেইল করা, বিভ্রান্তিকর ইউআরএল শনাক্ত করতে না পারা, ভুয়া ওয়েবসাইট চিনতে ব্যর্থ হওয়া এবং বিপজ্জনক ই-মেইল সংযুক্তি শনাক্ত করতে না পারা। ব্যবহারকারীদের একটি সাধারণ ভুল হলো ব্যাংকিং ওয়েবসাইটে সহজে প্রবেশ করার জন্য ব্রাউজারে নিজেদের ব্যবহারকারী পরিচিতি ও পাসওয়ার্ড সংরক্ষণ করা। কোনোভাবে কম্পিউটারে প্রবেশাধিকার পেয়ে যাওয়া আক্রমণকারীদের জন্য এটি একটি বড় সুযোগ তৈরি করে। দ্বি-স্তরীয় প্রমাণীকরণ ব্যবহার করে এই ঝুঁকি কমানো যেতে পারে।

কোনো প্রতিষ্ঠান যে সামগ্রিক সাইবার ঝুঁকির মুখোমুখি হয়, তা নির্ধারণে মানবিক উপাদানটি বিশেষভাবে গুরুত্বপূর্ণ। তাই প্রতিষ্ঠানের সব স্তরে নিরাপত্তা-সচেতনতা প্রশিক্ষণ দেওয়া জরুরি। এ ধরনের প্রশিক্ষণ শুধু নিয়ন্ত্রক সংস্থা ও শিল্পখাতের নির্ধারিত বিধিবিধান মেনে চলার আনুষ্ঠানিক শর্ত পূরণ করে না, বরং সাইবার ঝুঁকি কমানো এবং অধিকাংশ সাইবার হুমকি থেকে ব্যক্তি ও প্রতিষ্ঠানকে সুরক্ষিত রাখার জন্যও অত্যন্ত গুরুত্বপূর্ণ বলে বিবেচিত হয়।

শেষ ব্যবহারকারীর ওপর গুরুত্ব দেওয়া অনেক নিরাপত্তা পেশাজীবীর জন্য একটি গভীর সাংস্কৃতিক পরিবর্তনের প্রতিনিধিত্ব করে। ঐতিহ্যগতভাবে তাঁরা কেবল প্রযুক্তিগত দৃষ্টিকোণ থেকে সাইবার নিরাপত্তার বিষয়টি বিবেচনা করে এসেছেন। এই নতুন দৃষ্টিভঙ্গি বিভিন্ন প্রধান নিরাপত্তাকেন্দ্রের সুপারিশের সঙ্গে সামঞ্জস্যপূর্ণ। এর উদ্দেশ্য হলো প্রতিষ্ঠানের মধ্যে সাইবার নিরাপত্তা-সচেতনতার সংস্কৃতি গড়ে তোলা এবং স্বীকার করা যে নিরাপত্তা সম্পর্কে সচেতন একজন ব্যবহারকারী সাইবার আক্রমণের বিরুদ্ধে প্রতিরক্ষার একটি গুরুত্বপূর্ণ স্তর হিসেবে কাজ করেন।

ডিজিটাল স্বাস্থ্যবিধি

শেষ ব্যবহারকারীর প্রশিক্ষণের সঙ্গে সম্পর্কিত ডিজিটাল স্বাস্থ্যবিধি বা সাইবার স্বাস্থ্যবিধি তথ্য নিরাপত্তার একটি মৌলিক নীতি। ব্যক্তিগত স্বাস্থ্যবিধির সঙ্গে তুলনা করলে বোঝা যায়, সাইবার হুমকি থেকে সৃষ্ট ঝুঁকি কমানোর জন্য নিয়মিত কিছু সহজ পদক্ষেপ গ্রহণ করাই এর মূল ধারণা। মনে করা হয়, সাইবার স্বাস্থ্যবিধির ভালো অভ্যাসগুলো নেটওয়ার্কে যুক্ত ব্যবহারকারীদের সুরক্ষার আরও একটি স্তর দিতে পারে। এর ফলে কোনো দুর্বল নোডকে কাজে লাগিয়ে অন্য নোড বা নেটওয়ার্কে আক্রমণ চালানো কিংবা সেগুলোর নিরাপত্তা ক্ষুণ্ন করার ঝুঁকি কমে যায়। বিশেষ করে প্রচলিত সাইবার আক্রমণের ক্ষেত্রে এটি কার্যকর। সাইবার স্বাস্থ্যবিধিকে 'সক্রিয় সাইবার প্রতিরক্ষা' নামক সামরিক পরিভাষার সঙ্গে গুলিয়ে ফেলা উচিত নয়।

ডিজিটাল স্বাস্থ্যবিধির সাধারণ পদক্ষেপগুলোর মধ্যে রয়েছে ক্ষতিকর সফটওয়্যার প্রতিরোধব্যবস্থা হালনাগাদ করা, ক্লাউডে ব্যাকআপ রাখা, পাসওয়ার্ড হালনাগাদ করা এবং প্রশাসনিক অধিকার সীমিত রাখা ও নেটওয়ার্ক ফায়ারওয়াল নিশ্চিত করা। হুমকি মোকাবিলায় সম্পূর্ণ প্রযুক্তিনির্ভর প্রতিরক্ষাব্যবস্থার বিপরীতে সাইবার স্বাস্থ্যবিধি মূলত এমন কিছু নিয়মিত পদক্ষেপের ওপর গুরুত্ব দেয়, যেগুলো প্রযুক্তিগতভাবে সহজে বাস্তবায়ন করা যায় এবং যেগুলো অনেকাংশে শৃঙ্খলা অথবা শিক্ষার ওপর নির্ভরশীল। একে এমন কিছু পরামর্শ বা পদক্ষেপের একটি ধারণাগত তালিকা হিসেবে বিবেচনা করা যায়, যেগুলো ব্যক্তিগত কিংবা সামষ্টিক ডিজিটাল নিরাপত্তায় ইতিবাচক প্রভাব ফেলে বলে প্রমাণিত হয়েছে। তাই এসব পদক্ষেপ শুধু নিরাপত্তা বিশেষজ্ঞরাই নন, সাধারণ মানুষও গ্রহণ করতে পারেন।

কম্পিউটার ভাইরাসের সঙ্গে জৈবিক ভাইরাস বা রোগসৃষ্টিকারী জীবাণুর যেমন সম্পর্ক, ব্যক্তিগত স্বাস্থ্যবিধির সঙ্গে সাইবার স্বাস্থ্যবিধির সম্পর্কও তেমন। তবে প্রথম কার্যকর কম্পিউটার ভাইরাস তৈরির প্রায় একই সময়ে কম্পিউটার ভাইরাস পরিভাষাটির উদ্ভব ঘটলেও, সাইবার স্বাস্থ্যবিধি পরিভাষাটি অনেক পরে উদ্ভাবিত হয়েছে। সম্ভবত ২০০০ সালের দিকে ইন্টারনেটের অন্যতম পথিকৃৎ ভিন্ট সার্ফ এই পরিভাষাটি ব্যবহার করেন। পরবর্তীকালে যুক্তরাষ্ট্রের কংগ্রেস ও সিনেট, এফবিআই, ইউরোপীয় ইউনিয়নের প্রতিষ্ঠানগুলো এবং বিভিন্ন দেশের রাষ্ট্রপ্রধানেরা এই পরিভাষাটি গ্রহণ করেছেন।

নিরাপত্তা লঙ্ঘনের প্রতিক্রিয়া জানাতে অসুবিধা

বিভিন্ন কারণে নিরাপত্তা লঙ্ঘনের প্রচেষ্টার প্রতিক্রিয়া জানানো অত্যন্ত কঠিন হয়ে পড়ে। এর মধ্যে রয়েছে:

• আক্রমণকারীদের শনাক্ত করা কঠিন। তারা প্রক্সি, অস্থায়ী বেনামি ডায়াল-আপ অ্যাকাউন্ট, বেতার সংযোগ এবং পরিচয় গোপন রাখার অন্যান্য পদ্ধতি ব্যবহার করতে পারে। এসব পদ্ধতির কারণে আক্রমণের উৎস অনুসরণ করা কঠিন হয়ে পড়ে। আক্রমণকারীরা প্রায়ই অন্য কোনো বিচারিক এখতিয়ারের অধীন এলাকায় অবস্থান করে। তারা সফলভাবে নিরাপত্তাব্যবস্থা ভেদ করতে পারলে নিজেদের কার্যকলাপের প্রমাণ মুছে ফেলার জন্য লগ মুছে দেওয়ার মতো প্রশাসনিক প্রবেশাধিকারও অনেক সময় পেয়ে যায়।
• আক্রমণের প্রচেষ্টা এত বেশি হয় যে প্রতিটি ঘটনার পেছনে সময় ব্যয় করে অনুসন্ধান চালানো প্রতিষ্ঠানের পক্ষে সম্ভব হয় না। এসব আক্রমণের অনেকগুলোই স্বয়ংক্রিয় দুর্বলতা শনাক্তকারী স্ক্যানার ও কম্পিউটার ওয়ার্মের মাধ্যমে পরিচালিত হয়।
• আইন প্রয়োগকারী কর্মকর্তাদের আক্রমণকারীদের বিরুদ্ধে ব্যবস্থা নেওয়ার জন্য প্রয়োজনীয় দক্ষতা, আগ্রহ বা অর্থের অভাব থাকতে পারে। এ ছাড়া একটি নেটওয়ার্কজুড়ে আক্রমণকারীদের শনাক্ত করতে হলে নেটওয়ার্কের বিভিন্ন স্থান এবং বিভিন্ন দেশ থেকে লগ সংগ্রহ করতে হতে পারে। এই প্রক্রিয়া একই সঙ্গে কঠিন ও সময়সাপেক্ষ।

কোনো আক্রমণ সফল হলে এবং নিরাপত্তা লঙ্ঘনের ঘটনা ঘটলে, বর্তমানে অনেক বিচারিক এখতিয়ারে এ ধরনের ঘটনা সম্পর্কে অবহিত করার জন্য বাধ্যতামূলক নিরাপত্তা লঙ্ঘন বিজ্ঞপ্তি আইন রয়েছে।

নিরাপত্তা ও গোপনীয়তার ধরন

• প্রবেশাধিকার নিয়ন্ত্রণ
• কী-লগার প্রতিরোধক
• ক্ষতিকর সফটওয়্যার প্রতিরোধক
• স্পাইওয়্যার প্রতিরোধক
• সাবভার্সন প্রতিরোধী সফটওয়্যার
• কারসাজি প্রতিরোধী সফটওয়্যার
• চুরি প্রতিরোধ
• অ্যান্টিভাইরাস সফটওয়্যার
• ক্রিপ্টোগ্রাফিক সফটওয়্যার
• কম্পিউটার-সহায়তাপ্রাপ্ত প্রেরণব্যবস্থা
• তথ্য হারানো প্রতিরোধী সফটওয়্যার
• ফায়ারওয়াল
• অনুপ্রবেশ শনাক্তকরণ ব্যবস্থা
• অনুপ্রবেশ প্রতিরোধ ব্যবস্থা
• লগ ব্যবস্থাপনা সফটওয়্যার
• অভিভাবকীয় নিয়ন্ত্রণ
• নথি ব্যবস্থাপনা
• স্যান্ডবক্স (কম্পিউটার নিরাপত্তা)
• নিরাপত্তা তথ্য ব্যবস্থাপনা
• নিরাপত্তা তথ্য ও ঘটনা ব্যবস্থাপনা
• সফটওয়্যার ও অপারেটিং সিস্টেম হালনাগাদ
• দুর্বলতা ব্যবস্থাপনা

ঝুঁকিতে থাকা ব্যবস্থা

কম্পিউটার ব্যবস্থার সংখ্যা বৃদ্ধি এবং ব্যক্তি, ব্যবসাপ্রতিষ্ঠান, শিল্পখাত ও সরকারের এসব ব্যবস্থার ওপর ক্রমবর্ধমান নির্ভরতার ফলে ঝুঁকিতে থাকা ব্যবস্থার সংখ্যাও বাড়ছে।

আর্থিক ব্যবস্থা

যুক্তরাষ্ট্রের সিকিউরিটিজ অ্যান্ড এক্সচেঞ্জ কমিশন, সুইফট, বিনিয়োগ ব্যাংক এবং বাণিজ্যিক ব্যাংকের মতো আর্থিক নিয়ন্ত্রক সংস্থা ও আর্থিক প্রতিষ্ঠানের কম্পিউটার ব্যবস্থাগুলো সাইবার অপরাধীদের কাছে হ্যাকিংয়ের উল্লেখযোগ্য লক্ষ্যবস্তু। এসব অপরাধী বাজারে কারসাজি করে অবৈধভাবে লাভবান হতে আগ্রহী। যেসব ওয়েবসাইট ও অ্যাপ ক্রেডিট কার্ড নম্বর, ব্রোকারেজ অ্যাকাউন্ট এবং ব্যাংক হিসাবের তথ্য গ্রহণ বা সংরক্ষণ করে, সেগুলোও হ্যাকিংয়ের উল্লেখযোগ্য লক্ষ্যবস্তু। কারণ অর্থ স্থানান্তর, কেনাকাটা অথবা কালোবাজারে তথ্য বিক্রির মাধ্যমে দ্রুত আর্থিক লাভ করা সম্ভব। গ্রাহকদের অ্যাকাউন্টের তথ্য ও ব্যক্তিগত শনাক্তকরণ নম্বর (পিন) সংগ্রহ করার জন্য দোকানের ভেতরে ব্যবহৃত অর্থ পরিশোধের ব্যবস্থা এবং এটিএমে কারসাজি করা হয়ে থাকে।

ক্যালিফোর্নিয়া বিশ্ববিদ্যালয়, লস অ্যাঞ্জেলসের ইন্টারনেট প্রতিবেদন: ডিজিটাল ভবিষ্যৎ জরিপ (২০০০) থেকে জানা যায়, ব্যক্তিগত তথ্যের গোপনীয়তা অনলাইনে পণ্য বিক্রির ক্ষেত্রে বাধা সৃষ্টি করেছিল। প্রতিবেদনটিতে আরও দেখা যায়, প্রতি ১০ জনের মধ্যে ৯ জনেরও বেশি ইন্টারনেট ব্যবহারকারী ক্রেডিট কার্ডের নিরাপত্তা নিয়ে কিছুটা অথবা অত্যন্ত উদ্বিগ্ন ছিলেন।

ব্রাউজার ও ওয়েবসাইটের মধ্যে নিরাপত্তা উন্নত করার জন্য ব্যবহৃত সবচেয়ে প্রচলিত ওয়েব প্রযুক্তিগুলোর মধ্যে রয়েছে এসএসএল (সিকিউর সকেটস লেয়ার) এবং এর উত্তরসূরি টিএলএস (ট্রান্সপোর্ট লেয়ার সিকিউরিটি)। পরিচয় ব্যবস্থাপনা ও প্রমাণীকরণ পরিষেবা এবং ডোমেইন নাম-সংক্রান্ত পরিষেবাও প্রতিষ্ঠান ও ভোক্তাদের নিরাপদ যোগাযোগ এবং বাণিজ্য পরিচালনায় সহায়তা করে। বর্তমানে ওয়েব ব্রাউজিং, ই-মেইল, ইন্টারনেট ফ্যাক্স, তাৎক্ষণিক বার্তা আদান-প্রদান এবং ভিওআইপি (ভয়েস ওভার আইপি)-এর মতো কাজে এসএসএল ও টিএলএসের বিভিন্ন সংস্করণ বহুল ব্যবহৃত হয়। এসব প্রযুক্তির বিভিন্ন পারস্পরিক-সামঞ্জস্যপূর্ণ বাস্তবায়ন রয়েছে। এর মধ্যে অন্তত একটি উন্মুক্ত সোর্সের বাস্তবায়ন। উন্মুক্ত সোর্স হওয়ার ফলে যে কেউ অ্যাপ্লিকেশনটির সোর্স কোড দেখতে, দুর্বলতা খুঁজে বের করতে এবং সেগুলো সম্পর্কে প্রতিবেদন দিতে পারেন।

ক্রেডিট কার্ড কোম্পানি ভিসা ও মাস্টারকার্ড একযোগে নিরাপদ ইএমভি চিপ তৈরিতে কাজ করেছে, যা ক্রেডিট কার্ডের মধ্যে সংযুক্ত থাকে। পরবর্তী উন্নয়নের মধ্যে রয়েছে চিপ প্রমাণীকরণ কর্মসূচি। এই কর্মসূচির আওতায় ব্যাংকগুলো গ্রাহকদের হাতে বহনযোগ্য কার্ড রিডার দেয়, যাতে তাঁরা অনলাইনে নিরাপদ লেনদেন করতে পারেন। এ ক্ষেত্রের অন্যান্য উন্নয়নের মধ্যে রয়েছে ইনস্ট্যান্ট ইস্যু করার মতো প্রযুক্তি। এর মাধ্যমে ব্যাংকের পক্ষে কাজ করা বিপণিবিতানের কিয়স্কগুলো আগ্রহী গ্রাহকদের তাৎক্ষণিকভাবে ক্রেডিট কার্ড ইস্যু করতে পারে।

উপযোগিতা ও শিল্পকারখানার সরঞ্জাম

অনেক উপযোগিতা পরিষেবা প্রদানকারী প্রতিষ্ঠানে বিভিন্ন কাজ নিয়ন্ত্রণের জন্য কম্পিউটার ব্যবহার করা হয়। এসব কাজের মধ্যে রয়েছে টেলিযোগাযোগ, বিদ্যুৎ গ্রিড, পারমাণবিক বিদ্যুৎকেন্দ্র এবং পানি ও গ্যাসের নেটওয়ার্কে ভাল্‌ভ খোলা ও বন্ধ করার কাজের সমন্বয়ব্যবস্থা। এসব কম্পিউটার ইন্টারনেটের সঙ্গে যুক্ত থাকলে ইন্টারনেটের মাধ্যমে সেগুলোতে আক্রমণ চালানো সম্ভব। তবে স্টাক্সনেট নামের কম্পিউটার ওয়ার্ম দেখিয়েছে, ইন্টারনেটের সঙ্গে যুক্ত নয়, এমন কম্পিউটারনিয়ন্ত্রিত সরঞ্জামও ঝুঁকির মুখে থাকতে পারে। ২০১৪ সালে কম্পিউটার ইমারজেন্সি রেডিনেস টিম (ইউনাইটেড স্টেটস ডিপার্টমেন্ট অফ হোমল্যান্ড সিকিউরিটির একটি শাখা) জ্বালানি খাতের প্রতিষ্ঠানগুলোতে ৭৯টি হ্যাকিংয়ের ঘটনা তদন্ত করে।

বিমান চলাচল

বিমান শিল্প অনেকগুলো জটিল ব্যবস্থার ওপর নির্ভরশীল। এসব ব্যবস্থায় আক্রমণ চালানো সম্ভব। কোনো একটি বিমানবন্দরে সামান্য বিদ্যুৎ বিভ্রাট ঘটলেও সারা বিশ্বে এর প্রভাব পড়তে পারে। বিমান চলাচলব্যবস্থার বড় একটি অংশ বেতার সংকেতের ওপর নির্ভর করে। এসব সংকেত বাধাগ্রস্ত করা সম্ভব। সমুদ্রের ওপর দিয়ে উড়ে যাওয়া বিমান নিয়ন্ত্রণ করা বিশেষভাবে ঝুঁকিপূর্ণ। কারণ, উপকূল থেকে মাত্র ১৭৫ থেকে ২২৫ মাইল দূর পর্যন্ত রাডারের নজরদারি পৌঁছায়। বিমানের ভেতর থেকেও আক্রমণ চালানোর আশঙ্কা রয়েছে।

বিমান ও মহাকাশযানের ব্যবস্থায় নিরাপত্তাজনিত ত্রুটি সংশোধন করা একটি বিশেষ চ্যালেঞ্জ। কারণ দক্ষ বিমান পরিবহনব্যবস্থা ওজন ও আয়তনের ওপর ব্যাপকভাবে নির্ভরশীল। বিমানে অতিরিক্ত নিরাপত্তা সরঞ্জাম বসালে খালি অবস্থায় বিমানের ওজন বেড়ে যেতে পারে। এর ফলে পণ্য বা যাত্রী বহনের ক্ষমতাও কমে যেতে পারে।

ইউরোপে সর্ব-ইউরোপীয় নেটওয়ার্ক পরিষেবা ও নিউপেনসের মাধ্যমে এবং যুক্তরাষ্ট্রে নেক্সটজেন কর্মসূচির মাধ্যমে বিমান চলাচল নেভিগেশন পরিষেবা প্রদানকারী প্রতিষ্ঠানগুলো নিজস্ব নিবেদিত নেটওয়ার্ক গড়ে তুলছে।

বর্তমানে অনেক আধুনিক পাসপোর্টই বায়োমেট্রিক পাসপোর্ট। এসব পাসপোর্টে একটি অন্তর্নির্মিত মাইক্রোচিপ থাকে। এতে ডিজিটাল ছবি এবং নাম, লিঙ্গ ও জন্মতারিখের মতো ব্যক্তিগত তথ্য সংরক্ষিত থাকে। এ ছাড়া পরিচয়সংক্রান্ত জালিয়াতি কমাতে আরও অনেক দেশ মুখমণ্ডল শনাক্তকরণ প্রযুক্তি চালু করছে। ই-পাসপোর্ট চালু হওয়ায় সীমান্ত কর্মকর্তারা পাসপোর্টধারীর পরিচয় যাচাই করতে পারছেন। ফলে যাত্রীদের দ্রুত প্রক্রিয়াকরণ করা সম্ভব হচ্ছে। যুক্তরাষ্ট্র, যুক্তরাজ্য ও অস্ট্রেলিয়ায় চোখের রেটিনা ও আঙুলের ছাপ শনাক্তকরণ প্রযুক্তিসহ স্মার্টগেট কিয়স্ক চালু করার পরিকল্পনা চলছে। বিমান পরিবহন শিল্প প্রচলিত কাগজের টিকিটের পরিবর্তে বৈদ্যুতিন টিকিট বা ই-টিকিট ব্যবহার করছে। বিমান সংস্থাগুলোর সঙ্গে অংশীদারত্ব এবং অনলাইনে ক্রেডিট কার্ডের লেনদেনের উন্নতির ফলে এটি সম্ভব হয়েছে। দূরপাল্লার বাস পরিচালনাকারী প্রতিষ্ঠানগুলোও বর্তমানে ই-টিকিট ব্যবস্থায় চলে যাচ্ছে। সফল সাইবার আক্রমণের ফলে গোপনীয়তা নষ্ট হতে পারে। ব্যবস্থার অখণ্ডতা ক্ষতিগ্রস্ত হতে পারে। বিমান চলাচল নিয়ন্ত্রণ ব্যবস্থা অচল হয়ে পড়তে পারে। বিমান হারিয়ে যেতে পারে। এমনকি প্রাণহানিও ঘটতে পারে।

ভোক্তা যন্ত্রপাতি

ডেস্কটপ কম্পিউটার ও ল্যাপটপ প্রায়ই পাসওয়ার্ড বা আর্থিক হিসাবের তথ্য চুরি করার লক্ষ্যবস্তু হয়। অন্য কোনো লক্ষ্যবস্তুতে আক্রমণ চালানোর জন্য বটনেট তৈরি করতেও এসব কম্পিউটার ব্যবহার করা হয়। স্মার্টফোন, ট্যাবলেট কম্পিউটার, স্মার্ট ঘড়ি এবং অন্যান্য মোবাইল যন্ত্রের মধ্যে পরিমাণগত স্ব-পর্যবেক্ষণ যন্ত্র ও কার্যকলাপ অনুসরণকারী যন্ত্রও রয়েছে। এসব যন্ত্রে ক্যামেরা, মাইক্রোফোন, জিপিএস গ্রাহক, কম্পাস ও ত্বরণমাপক যন্ত্রের মতো সেন্সর থাকে। আক্রমণকারীরা এসব সেন্সরের অপব্যবহার করতে পারে। এসব যন্ত্র সংবেদনশীল স্বাস্থ্যতথ্যসহ ব্যক্তিগত তথ্য সংগ্রহ করতে পারে। এগুলোর ওয়াই-ফাই, ব্লুটুথ ও মুঠোফোন নেটওয়ার্ক আক্রমণের মাধ্যম হিসেবে ব্যবহৃত হতে পারে। কোনো যন্ত্রের নিরাপত্তাব্যবস্থা ভেঙে ফেলতে পারলে এর সেন্সরগুলো দূর থেকে সক্রিয় করাও সম্ভব হতে পারে।

নেস্ট তাপমাত্রা নিয়ন্ত্রকের মতো গৃহ স্বয়ংক্রিয়করণ যন্ত্রের সংখ্যা বাড়ছে। এসব যন্ত্রও সাইবার আক্রমণের সম্ভাব্য লক্ষ্যবস্তু।

স্বাস্থ্যসেবা

বর্তমানে অনেক স্বাস্থ্যসেবা প্রদানকারী প্রতিষ্ঠান ও স্বাস্থ্য বীমা কোম্পানি উন্নত পণ্য ও পরিষেবা দেওয়ার জন্য ইন্টারনেট ব্যবহার করে। উদাহরণস্বরূপ, দূরস্বাস্থ্যসেবার মাধ্যমে স্বাস্থ্যসেবার মান ও প্রাপ্তিসুবিধা বাড়ানোর চেষ্টা করা হচ্ছে। আবার শরীরচর্চার কার্যকলাপ অনুসরণকারী যন্ত্র ব্যবহার করলে বীমার প্রিমিয়াম কমানোর সুযোগও দেওয়া হচ্ছে। রোগীদের নথিপত্র ক্রমেই প্রতিষ্ঠানের নিজস্ব সুরক্ষিত নেটওয়ার্কে সংরক্ষণ করা হচ্ছে। এতে অতিরিক্ত স্টোরেজের প্রয়োজন কমছে।

বড় কর্পোরেশন

বড় কর্পোরেশনগুলো সাইবার আক্রমণের সাধারণ লক্ষ্যবস্তু। অনেক ক্ষেত্রে পরিচয় চুরি এবং তথ্যভান্ডারে অনুপ্রবেশের মাধ্যমে আর্থিক লাভ করাই এসব আক্রমণের উদ্দেশ্য। উদাহরণ হিসেবে হোম ডিপো থেকে লাখ লাখ গ্রাহকের ক্রেডিট কার্ড ও আর্থিক তথ্য চুরি হওয়ার ঘটনা উল্লেখ করা যায়। এ ছাড়া স্ট্যাপলস, টার্গেট করপোরেশন এবং ইকুইফ্যাক্সের ক্ষেত্রেও এ ধরনের ঘটনা ঘটেছে।

চিকিৎসা নথিপত্রও বিভিন্ন উদ্দেশ্যে লক্ষ্যবস্তু হয়েছে। এর মধ্যে রয়েছে সাধারণ পরিচয় চুরি, স্বাস্থ্যবীমা জালিয়াতি এবং রোগীর ছদ্মবেশ ধারণ করে ব্যবস্থাপত্রের ওষুধ সংগ্রহ করা। এসব ওষুধ বিনোদনমূলক উদ্দেশ্যে ব্যবহার করা হতে পারে অথবা পুনর্বিক্রি করা হতে পারে। সাইবার হুমকি ক্রমাগত বাড়লেও, ২০১৫ সালে ৬২ শতাংশ প্রতিষ্ঠান তাদের কর্মীদের জন্য ব্যবসায়িক নিরাপত্তাবিষয়ক প্রশিক্ষণ বাড়ায়নি।

তবে সব সাইবার আক্রমণের উদ্দেশ্য আর্থিক লাভ নয়। ২০১১ সালে নিরাপত্তা প্রতিষ্ঠান এইচবিগ্যারি ফেডারেল ধারাবাহিকভাবে গুরুতর সাইবার আক্রমণের শিকার হয়। অ্যানোনিমাস নামের হ্যাকটিভিস্ট গোষ্ঠী এসব আক্রমণ চালায়। প্রতিষ্ঠানটির প্রধান নির্বাহী কর্মকর্তা তাদের গোষ্ঠীতে অনুপ্রবেশ করার দাবি করেছিলেন। এর প্রতিশোধ নিতেই আক্রমণগুলো চালানো হয়। ২০১৪ সালে সনি পিকচার্সও সাইবার আক্রমণের শিকার হয়। ধারণা করা হয়, তথ্য ফাঁস করে প্রতিষ্ঠানটিকে বিব্রত করা এবং কর্মীদের কম্পিউটার ও সার্ভারের তথ্য মুছে দিয়ে প্রতিষ্ঠানটির কার্যক্রম পঙ্গু করে দেওয়া, দুটিই ছিল এর উদ্দেশ্য।

মোটরযান

বর্তমানে যানবাহনে কম্পিউটারের ব্যবহার ক্রমেই বাড়ছে। অনেক গাড়ির মডেলে ইঞ্জিনের সময় নিয়ন্ত্রণ, গতিনিয়ন্ত্রণ ব্যবস্থা, অ্যান্টি-লক ব্রেকিং সিস্টেম, সিটবেল্টের টান নিয়ন্ত্রণকারী যন্ত্র, দরজার তালা, এয়ারব্যাগ এবং উন্নত চালক-সহায়তা ব্যবস্থা কম্পিউটারের মাধ্যমে নিয়ন্ত্রিত হয়। এ ছাড়া, সংযুক্ত গাড়িগুলোতে থাকা যন্ত্রের সঙ্গে যোগাযোগ করতে ওয়াই-ফাই ও ব্লুটুথ ব্যবহার করা হতে পারে। এসব গাড়ি মুঠোফোন নেটওয়ার্কের সঙ্গেও যুক্ত হতে পারে। স্বয়ংচালিত গাড়ি আরও জটিল হবে বলে ধারণা করা হয়। এসব ব্যবস্থার প্রতিটিতেই নিরাপত্তাজনিত ঝুঁকি রয়েছে। এ কারণে বিষয়টি ব্যাপক মনোযোগ পেয়েছে।

ঝুঁকির সহজ উদাহরণ হলো ক্ষতিকর কমপ্যাক্ট ডিস্ক ব্যবহার করে গাড়িতে আক্রমণ চালানো। গাড়ির ভেতরে থাকা মাইক্রোফোন ব্যবহার করে আড়ি পাতাও সম্ভব। তবে গাড়ির অভ্যন্তরীণ নিয়ন্ত্রক এলাকার নেটওয়ার্কে প্রবেশ করতে পারলে বিপদ অনেক বেড়ে যায়। ২০১৫ সালে ব্যাপক প্রচারিত একটি পরীক্ষায় হ্যাকাররা ১০ মাইল দূর থেকে দূরনিয়ন্ত্রিতভাবে একটি গাড়ির নিয়ন্ত্রণ নিয়ে সেটিকে রাস্তার পাশের খাদে ফেলে দেয়।

গাড়ি নির্মাতারা বিভিন্ন উপায়ে এসব ঝুঁকি মোকাবিলা করছে। ২০১৬ সালে টেসলা তাদের গাড়ির কম্পিউটার ব্যবস্থায় নিরাপত্তাজনিত কিছু ত্রুটি সংশোধনের জন্য বেতার সংযোগের মাধ্যমে সফটওয়্যার হালনাগাদ পাঠায়। ২০১৬ সালের সেপ্টেম্বরে যুক্তরাষ্ট্রের পরিবহন বিভাগ স্বয়ংচালিত যানবাহনের ক্ষেত্রে প্রাথমিক কিছু নিরাপত্তামান ঘোষণা করে এবং একই সঙ্গে অঙ্গরাজ্যগুলোকে অভিন্ন নীতিমালা প্রণয়নের আহ্বান জানায়।

এ ছাড়া একই প্রযুক্তি ব্যবহার করে বৈদ্যুতিন চালকের লাইসেন্স তৈরি করা হচ্ছে। উদাহরণস্বরূপ মেক্সিকোর লাইসেন্স প্রদানকারী কর্তৃপক্ষ স্মার্ট কার্ড প্রযুক্তি ব্যবহার করে নুয়েভো লেয়ন রাজ্যের মোন্তেররেই শহরে প্রথম বৈদ্যুতিন চালকের লাইসেন্স প্রদান করেছে।

জাহাজ পরিবহন

জাহাজ পরিবহনকারী প্রতিষ্ঠানগুলো দক্ষ ও ডিজিটালভাবে সুরক্ষিত বেতার তরঙ্গভিত্তিক শনাক্তকরণ বা আরএফআইডি প্রযুক্তি গ্রহণ করেছে। এটি পণ্য শনাক্ত ও অনুসরণ করার একটি ব্যবস্থা হিসেবে ব্যবহৃত হয়। বারকোডের তুলনায় আরএফআইডি দিয়ে সর্বোচ্চ ২০ ফুট দূর থেকেও তথ্য পড়া যায়। ফেডএক্স এবং ইউপিএস এই প্রযুক্তি ব্যবহার করে।

সরকার

সরকারি ও সামরিক বাহিনীর কম্পিউটার ব্যবস্থায় প্রায়ই সক্রিয় কর্মী ও বিভিন্ন গোষ্ঠী এবং বিদেশি শক্তিগুলো আক্রমণ চালায়। এসব আক্রমণের লক্ষ্যবস্তুর মধ্যে স্থানীয় ও আঞ্চলিক সরকারি অবকাঠামোও রয়েছে, যেমন: ট্রাফিক বাতি নিয়ন্ত্রণব্যবস্থা, পুলিশ ও গোয়েন্দা সংস্থার যোগাযোগব্যবস্থা, কর্মীদের নথিপত্র এবং শিক্ষার্থীদের নথিপত্র।

ইন্টারনেট অব থিংস ও ভৌত দুর্বলতা

ইন্টারনেট অব থিংস বা আইওটি হলো এমন একটি নেটওয়ার্ক, যার মধ্যে বিভিন্ন ভৌত বস্তু অন্তর্ভুক্ত থাকে। এসব বস্তুর মধ্যে রয়েছে যন্ত্রপাতি, যানবাহন ও ভবন। এগুলোর মধ্যে অন্তর্নির্মিত ইলেকট্রনিকস, সফটওয়্যার, সেন্সর এবং নেটওয়ার্ক অ্যাক্সেস থাকে। এসব উপাদানের সাহায্যে বস্তুগুলো তথ্য সংগ্রহ ও আদান-প্রদান করতে পারে। উদ্বেগ রয়েছে যে, সংশ্লিষ্ট নিরাপত্তা চ্যালেঞ্জগুলো যথাযথভাবে বিবেচনা না করেই এই প্রযুক্তির উন্নয়ন করা হচ্ছে।

আইওটি ভৌত জগতকে কম্পিউটারভিত্তিক ব্যবস্থার সঙ্গে আরও সরাসরি যুক্ত করার সুযোগ তৈরি করে। তবে এটি অপব্যবহারের সুযোগও সৃষ্টি করে। বিশেষ করে ইন্টারনেট অব থিংস যত বেশি ছড়িয়ে পড়বে, সাইবার আক্রমণ তত বেশি ভৌত জগতের জন্য হুমকি হয়ে উঠতে পারে। অর্থাৎ হুমকি শুধু ভার্চুয়াল জগতের মধ্যে সীমাবদ্ধ থাকবে না। কোনো বাড়ির সামনের দরজার তালা যদি ইন্টারনেটের সঙ্গে যুক্ত থাকে এবং মুঠোফোনের সাহায্যে সেটি খোলা বা বন্ধ করা যায়, তাহলে চুরি হওয়া বা হ্যাক করা মুঠোফোন ব্যবহার করে অপরাধী একটি বোতাম চাপলেই বাড়িতে প্রবেশ করতে পারে। আইওটি-নিয়ন্ত্রিত যন্ত্রপাতির ওপর নির্ভরশীল পৃথিবীতে মানুষ শুধু ক্রেডিট কার্ডের নম্বর হারানোর চেয়েও অনেক বেশি ক্ষতির শিকার হতে পারে। চোরেরা ইন্টারনেটের সঙ্গে যুক্ত নয়, এমন হোটেলের বৈদ্যুতিন দরজার তালার দুর্বলতাও কাজে লাগিয়েছে।

ভৌত অবকাঠামো বা মানুষের জীবনের ওপর লক্ষ্য রেখে চালানো আক্রমণকে প্রায়ই সাইবার-গতিশক্তিভিত্তিক আক্রমণ বলা হয়। ইন্টারনেট অব থিংসের যন্ত্রপাতি ও গৃহস্থালি সরঞ্জামের ব্যবহার যত বাড়বে, এ ধরনের আক্রমণের সংখ্যাও বাড়তে পারে। একই সঙ্গে এসব আক্রমণের সম্ভাব্য ক্ষয়ক্ষতিও উল্লেখযোগ্যভাবে বৃদ্ধি পেতে পারে।

চিকিৎসাব্যবস্থা

চিকিৎসায় ব্যবহৃত যন্ত্রপাতি অনেক সফল সাইবার আক্রমণের শিকার হয়েছে। এসব যন্ত্রের এমন কিছু দুর্বলতাও শনাক্ত করা হয়েছে, যেগুলো প্রাণঘাতী হতে পারে। এর মধ্যে রয়েছে হাসপাতালে ব্যবহৃত রোগ নির্ণয়ের সরঞ্জাম এবং দেহে স্থাপন করা যন্ত্র, যেমন পেসমেকার ও ইনসুলিন পাম্প।

হাসপাতাল ও হাসপাতাল পরিচালনাকারী বিভিন্ন প্রতিষ্ঠানে সাইবার আক্রমণের অনেক ঘটনা নথিভুক্ত হয়েছে। এর মধ্যে রয়েছে র‍্যানসমওয়্যার আক্রমণ, উইন্ডোজ এক্সপির দুর্বলতা কাজে লাগিয়ে আক্রমণ, কম্পিউটার ভাইরাসের সংক্রমণ এবং হাসপাতালের সার্ভারে সংরক্ষিত সংবেদনশীল তথ্য ফাঁসের ঘটনা।

২০১৬ সালের ২৮ ডিসেম্বর যুক্তরাষ্ট্রের খাদ্য ও ওষুধ প্রশাসন ইন্টারনেট-সংযুক্ত চিকিৎসা সরঞ্জামের নিরাপত্তা কীভাবে বজায় রাখতে হবে, সে বিষয়ে নির্মাতাদের জন্য নির্দেশনা প্রকাশ করে। তবে এসব নির্দেশনা কার্যকর করার জন্য কোনো সুনির্দিষ্ট ব্যবস্থা রাখা হয়নি।

জ্বালানি খাত

ডেইলি এনার্জি ইনসাইডারের মতে, বিকেন্দ্রীভূত বিদ্যুৎ উৎপাদনব্যবস্থায় সাইবার আক্রমণের ঝুঁকি বাস্তব। এ ধরনের আক্রমণে একটি বিস্তীর্ণ এলাকায় দীর্ঘ সময়ের জন্য বিদ্যুৎ সরবরাহ বন্ধ হয়ে যেতে পারে। এর পরিণতি প্রাকৃতিক দুর্যোগের মতোই গুরুতর হতে পারে।

ওয়াশিংটন, ডি.সি. শহর কর্তৃপক্ষ শহরের মধ্যে একটি বিকেন্দ্রীভূত জ্বালানি সম্পদ কর্তৃপক্ষ গঠনের কথা বিবেচনা করছে। এর উদ্দেশ্য হলো গ্রাহকদের নিজেদের জ্বালানি ব্যবহারের বিষয়ে আরও স্পষ্ট ধারণা দেওয়া এবং স্থানীয় বিদ্যুৎ সরবরাহকারী প্রতিষ্ঠান পেপকোকে বিদ্যুতের চাহিদা আরও নির্ভুলভাবে নির্ধারণের সুযোগ করে দেওয়া। তবে প্রস্তাবটি কার্যকর হলে তৃতীয় পক্ষের সরবরাহকারীরা বিদ্যুৎ বিতরণের অসংখ্য কেন্দ্র স্থাপন করতে পারবে। এর ফলে বিদ্যুৎ গ্রিডে সাইবার আক্রমণকারীদের আক্রমণের সুযোগও বেড়ে যেতে পারে।

টেলিযোগাযোগ

ডিজিটাল নিরাপত্তার জন্য বহুল পরিচিত টেলিযোগাযোগ যন্ত্রগুলোর মধ্যে একটি হলো সিম কার্ড। বিশ্বের অধিকাংশ মুঠোফোনে কোনো টেলিযোগাযোগ সেবা ব্যবহারের আগেই এই কার্ড স্থাপন করা থাকে। তবে সিম কার্ড কেবল ডিজিটাল নিরাপত্তাব্যবস্থার সূচনা মাত্র।

স্মার্ট কার্ড ওয়েব সার্ভারস খসড়ায় একটি স্মার্ট কার্ডের মধ্যে থাকা এইচটিটিপি সার্ভারের সঙ্গে সংযোগ স্থাপনের পদ্ধতি নির্ধারণ করা হয়েছে। মুঠোফোনে বেতার যোগাযোগের মাধ্যমে পাঠানো ও গ্রহণ করা অর্থ লেনদেন এবং ক্রেডিট কার্ডের তথ্য সুরক্ষিত রাখার জন্য পরীক্ষা-নিরীক্ষা চলছে।

স্মার্ট ভিডিও কার্ড প্রযুক্তির মাধ্যমে সিম ও ডিভিডি-সমন্বিত যন্ত্র তৈরি করা হচ্ছে। এতে সাধারণ সিম কার্ডের কাঠামোর মধ্যে ডিভিডিসম্মত একটি অপটিক্যাল ডিস্ক যুক্ত করা হয়।

ডিজিটাল নিরাপত্তাসংশ্লিষ্ট টেলিযোগাযোগের অন্যান্য উন্নয়নের মধ্যে রয়েছে মুঠোফোনভিত্তিক স্বাক্ষর। এতে সিম কার্ডে থাকা প্রযুক্তি ব্যবহার করে আইনগতভাবে বৈধ ইলেকট্রনিক স্বাক্ষর তৈরি করা হয়।

নিরাপত্তা লঙ্ঘনের ব্যয় ও প্রভাব

নিরাপত্তাব্যবস্থা লঙ্ঘনের ফলে ব্যাপক আর্থিক ক্ষতি হয়েছে। তবে কোনো ঘটনার ব্যয় নিরূপণের জন্য সর্বজনস্বীকৃত মানদণ্ড না থাকায় কেবল সংশ্লিষ্ট প্রতিষ্ঠানগুলোর প্রকাশ করা তথ্যই পাওয়া যায়। কম্পিউটার নিরাপত্তা নিয়ে কাজ করা কয়েকটি পরামর্শক প্রতিষ্ঠান ভাইরাস, কম্পিউটার ওয়ার্ম এবং অন্যান্য ক্ষতিকর ডিজিটাল কর্মকাণ্ডের কারণে বিশ্বব্যাপী মোট ক্ষতির হিসাব প্রকাশ করেছে। ২০০৩ সালে তাদের দেওয়া হিসাব অনুযায়ী ক্ষতির পরিমাণ ১৩ বিলিয়ন মার্কিন ডলার (শুধু ওয়ার্ম ও ভাইরাসের কারণে) থেকে ২২৬ বিলিয়ন মার্কিন ডলার (সব ধরনের গোপন সাইবার আক্রমণের কারণে) পর্যন্ত ছিল। তবে এসব হিসাবের নির্ভরযোগ্যতা নিয়ে প্রায়ই প্রশ্ন ওঠে। কারণ এগুলোর পদ্ধতিগত ভিত্তি মূলত বিচ্ছিন্ন ঘটনা ও অভিজ্ঞতাভিত্তিক তথ্যের ওপর নির্ভরশীল।

তবে নিরাপত্তা লঙ্ঘনের সম্ভাব্য আর্থিক ক্ষতির যুক্তিসংগত হিসাব প্রতিষ্ঠানগুলোকে বিনিয়োগের বিষয়ে বাস্তবসম্মত সিদ্ধান্ত নিতে সাহায্য করতে পারে। তথ্যনিরাপত্তায় সর্বোত্তম বিনিয়োগের পরিমাণ বিশ্লেষণকারী প্রচলিত গর্ডন–লোয়েব মডেল অনুযায়ী, কোনো প্রতিষ্ঠানের তথ্য সুরক্ষায় ব্যয় সাধারণত সম্ভাব্য ক্ষতির প্রত্যাশিত মূল্যের তুলনায় অনেক কম হওয়া উচিত। অর্থাৎ সাইবার আক্রমণ বা তথ্যনিরাপত্তা লঙ্ঘনের ফলে যে ক্ষতি হতে পারে, তার প্রত্যাশিত মূল্যের তুলনায় সুরক্ষার জন্য ব্যয় করা অর্থের পরিমাণ সাধারণত সামান্য হওয়াই যুক্তিসংগত।

আক্রমণকারীদের উদ্দেশ্য

ভৌত নিরাপত্তার মতোই কম্পিউটার নিরাপত্তা লঙ্ঘনের পেছনে আক্রমণকারীদের উদ্দেশ্য ভিন্ন ভিন্ন হতে পারে। কেউ রোমাঞ্চের খোঁজে বা নিছক ভাঙচুরের জন্য আক্রমণ চালায়, কেউ সক্রিয়তাবাদী, আবার কেউ আর্থিক লাভের আশায় অপরাধ করে। রাষ্ট্রের পৃষ্ঠপোষকতায় পরিচালিত আক্রমণ বর্তমানে সাধারণ ঘটনা এবং এ ধরনের আক্রমণকারীদের হাতে পর্যাপ্ত সম্পদ থাকে। তবে এ ধরনের আক্রমণের সূচনা হয়েছিল মার্কাস হেসের মতো অপেশাদার ব্যক্তিদের মাধ্যমে। হেস কেজিবির হয়ে কম্পিউটার হ্যাক করেছিলেন বলে ক্লিফোর্ড স্টল তাঁর দ্য কুকুজ এগ বইয়ে বর্ণনা করেছেন।

আক্রমণের ধরনভেদে আক্রমণকারীদের উদ্দেশ্য আনন্দ লাভ থেকে শুরু করে রাজনৈতিক লক্ষ্য অর্জন পর্যন্ত বিস্তৃত হতে পারে। উদাহরণস্বরূপ হ্যাকটিভিস্টরা এমন কোনো কোম্পানি বা প্রতিষ্ঠানের ওয়েবসাইটে আক্রমণ চালাতে পারে, যার কর্মকাণ্ডের সঙ্গে তারা একমত নয়। এর ফলে ওয়েবসাইটটি অচল করে প্রতিষ্ঠানটির নেতিবাচক প্রচার ঘটানোই তাদের উদ্দেশ্য হতে পারে।

উন্নত দক্ষতাসম্পন্ন হ্যাকাররা প্রায়ই বড় কোনো গোষ্ঠীর আর্থিক সহায়তা বা রাষ্ট্রের পৃষ্ঠপোষকতা নিয়ে আক্রমণ চালায়। তাদের আক্রমণ সাধারণত আরও গুরুতর ক্ষতি করার উদ্দেশ্যে পরিচালিত হয়। এর একটি উদাহরণ হলো ২০১৫ সালের ইউক্রেনের বিদ্যুৎ গ্রিডে সাইবার আক্রমণ। প্রতিবেদনে বলা হয়েছে, এই আক্রমণে লক্ষ্যভিত্তিক ফিশিং, ফাইল ধ্বংস এবং ডিনাইয়াল অব সার্ভিস পদ্ধতি ব্যবহার করে ব্যাপক ক্ষতিসাধন করা হয়েছিল।

এ ছাড়া সাম্প্রতিক সময়ে চরমপন্থী সংগঠনগুলোর রাজনৈতিক সুবিধা অর্জন বা সামাজিক কর্মসূচি ব্যাহত করার উদ্দেশ্যেও সাইবার আক্রমণ চালানোর প্রবণতা দেখা গেছে। ইন্টারনেট, মুঠোফোন প্রযুক্তি এবং স্বল্পমূল্যের কম্পিউটিং যন্ত্রের প্রসার আক্রমণ চালানোর সক্ষমতা বাড়িয়েছে। একই সঙ্গে গুরুত্বপূর্ণ কার্যক্রমের জন্য অপরিহার্য স্থানগুলোর নিরাপত্তাঝুঁকিও বেড়েছে। এসব গুরুত্বপূর্ণ পরিবেশের প্রতিটিই সাইবার আক্রমণের শিকার হতে পারে। ফলে এ ধরনের আক্রমণকারীদের উদ্দেশ্য বিবেচনায় নিয়ে ঝুঁকি কমানোর উপায় নির্ধারণে বিভিন্ন সক্রিয় গবেষণা পরিচালিত হয়েছে। হ্যাকারদের ব্যক্তিগত উদ্দেশ্য এবং কোনো নির্দিষ্ট মতাদর্শের ভিত্তিতে আক্রমণ চালানো জাতিরাষ্ট্রের উদ্দেশ্যের মধ্যে উল্লেখযোগ্য পার্থক্য রয়েছে।

যেকোনো ব্যবস্থার জন্য হুমকি বিশ্লেষণের একটি গুরুত্বপূর্ণ দিক হলো সম্ভাব্য আক্রমণকারীদের উদ্দেশ্য এবং আক্রমণ চালাতে পারে এমন ব্যক্তি বা গোষ্ঠীকে শনাক্ত করা। কোন ব্যবস্থাকে সুরক্ষিত করা হচ্ছে, তার ওপর নির্ভর করে নিরাপত্তাব্যবস্থার ধরন ও ব্যবস্থা ভিন্ন হয়। উদাহরণস্বরূপ বাড়িতে ব্যবহৃত ব্যক্তিগত কম্পিউটার, একটি ব্যাংক এবং গোপন সামরিক নেটওয়ার্ক - এগুলো একই ধরনের মৌলিক প্রযুক্তি ব্যবহার করলেও প্রত্যেকটির ঝুঁকি আলাদা।

কম্পিউটার নিরাপত্তা-সংক্রান্ত ঘটনা ব্যবস্থাপনা

কম্পিউটার নিরাপত্তা-সংক্রান্ত ঘটনা ব্যবস্থাপনা হলো কম্পিউটার নিরাপত্তা-সংক্রান্ত কোনো ঘটনা বা ব্যবস্থায় অননুমোদিত প্রবেশের পরবর্তী পরিস্থিতি মোকাবিলা ও পরিচালনার একটি সুসংগঠিত পদ্ধতি। এর লক্ষ্য হলো নিরাপত্তা লঙ্ঘন প্রতিরোধ করা অথবা সাইবার আক্রমণ ব্যর্থ করে দেওয়া। অনুপ্রবেশের সময় কোনো ঘটনা শনাক্ত করে যথাযথভাবে মোকাবিলা করা না হলে তা সাধারণত আরও গুরুতর সমস্যায় রূপ নেয়, যেমন তথ্য ফাঁস বা সিস্টেমের কার্যক্রম বন্ধ হয়ে যাওয়া। নিরাপত্তা-সংক্রান্ত ঘটনা মোকাবিলার পরিকল্পনার মূল লক্ষ্য হলো ঘটনাটি নিয়ন্ত্রণে আনা, ক্ষয়ক্ষতি সীমিত রাখা এবং প্রতিষ্ঠানকে স্বাভাবিক কার্যক্রমে ফিরিয়ে আনতে সহায়তা করা। দ্রুত পদক্ষেপ নিলে কাজে লাগানো নিরাপত্তা দুর্বলতা দূর করা, সেবা ও কার্যপ্রক্রিয়া পুনরুদ্ধার করা এবং ক্ষয়ক্ষতি কমানো সম্ভব।

ঘটনা মোকাবিলার পরিকল্পনা কোনো প্রতিষ্ঠানের জন্য এমন কিছু উত্তম অনুশীলন নির্ধারণের সুযোগ তৈরি করে, যার মাধ্যমে ক্ষতি হওয়ার আগেই অনুপ্রবেশ থামানো যায়। এ ধরনের পরিকল্পনায় সাধারণত সাইবার আক্রমণের সময় প্রতিষ্ঠানের করণীয় সম্পর্কে লিখিত নির্দেশনা থাকে। আগে থেকে লিখিত পরিকল্পনা না থাকলে কোনো প্রতিষ্ঠান অনুপ্রবেশ বা নিরাপত্তা লঙ্ঘন শনাক্ত করতে ব্যর্থ হতে পারে। পরিস্থিতির অবনতি ঘটলে সংশ্লিষ্ট ব্যক্তিরাও নিজেদের দায়িত্ব, কার্যপ্রক্রিয়া ও করণীয় সম্পর্কে স্পষ্ট ধারণা নাও পেতে পারেন। এতে আক্রমণের প্রতিক্রিয়া জানানো এবং সমস্যা সমাধানে দেরি হয়।

কম্পিউটার নিরাপত্তা-সংক্রান্ত ঘটনা মোকাবিলার পরিকল্পনার চারটি প্রধান উপাদান রয়েছে:

1. প্রস্তুতি: কম্পিউটার নিরাপত্তা-সংক্রান্ত ঘটনা বা নিরাপত্তা লঙ্ঘন মোকাবিলার পদ্ধতি সম্পর্কে সংশ্লিষ্ট ব্যক্তিদের প্রস্তুত করা।
2. শনাক্তকরণ ও বিশ্লেষণ: সন্দেহজনক কার্যকলাপ শনাক্ত ও তদন্ত করে নিরাপত্তা-সংক্রান্ত ঘটনা নিশ্চিত করা, প্রভাবের ভিত্তিতে প্রতিক্রিয়ার অগ্রাধিকার নির্ধারণ করা এবং ঘটনাটি সম্পর্কে অবহিত করার কাজ সমন্বয় করা।
3. নিয়ন্ত্রণ, নির্মূল ও পুনরুদ্ধার: ক্ষতির বিস্তার ঠেকাতে আক্রান্ত ব্যবস্থাগুলোকে বিচ্ছিন্ন করা, ঘটনার উৎস শনাক্ত করা, ক্ষতিকর সফটওয়্যার, আক্রান্ত ব্যবস্থা ও আক্রমণকারীদের সরিয়ে দেওয়া এবং হুমকি দূর হওয়ার পর ব্যবস্থা ও তথ্য পুনরুদ্ধার করা।
4. ঘটনা-পরবর্তী কার্যক্রম: ঘটনার কারণ, মূল উৎস এবং প্রতিষ্ঠান কীভাবে প্রতিক্রিয়া জানিয়েছে, তা বিশ্লেষণ করা। এর উদ্দেশ্য হলো ভবিষ্যতে ঘটনা মোকাবিলার পরিকল্পনা ও প্রতিক্রিয়ার কার্যকারিতা উন্নত করা।

উল্লেখযোগ্য আক্রমণ ও নিরাপত্তা লঙ্ঘন

কম্পিউটার নিরাপত্তা লঙ্ঘনের বিভিন্ন ধরন বোঝাতে নিচে কয়েকটি উল্লেখযোগ্য উদাহরণ দেওয়া হলো।

রবার্ট মরিস ও প্রথম কম্পিউটার ওয়ার্ম

১৯৮৮ সালে ইন্টারনেটের সঙ্গে ৬০,০০০ কম্পিউটার সংযুক্ত ছিল। এর অধিকাংশই ছিল মেইনফ্রেম, মিনিকম্পিউটার এবং পেশাদার কাজে ব্যবহৃত ওয়ার্কস্টেশন। ১৯৮৮ সালের ২ নভেম্বর এসব কম্পিউটারের অনেকগুলো ধীরগতিতে চলতে শুরু করে। কারণ সেগুলোতে এমন একটি ক্ষতিকর কোড চলছিল, যা প্রসেসরের সময় দখল করত এবং নিজে থেকেই অন্য কম্পিউটারে ছড়িয়ে পড়ত। এটিই ছিল ইন্টারনেটে ছড়িয়ে পড়া প্রথম কম্পিউটার ওয়ার্ম। অনুসন্ধানে জানা যায়, সফটওয়্যারটি তৈরি করেছিলেন ২৩ বছর বয়সী কর্নেল বিশ্ববিদ্যালয়ের স্নাতকোত্তর শিক্ষার্থী রবার্ট ট্যাপান মরিস। তিনি বলেছিলেন, তাঁর উদ্দেশ্য ছিল ইন্টারনেটের সঙ্গে কতগুলো কম্পিউটার যুক্ত রয়েছে, তা গণনা করা।

রোম ল্যাবরেটরি

১৯৯৪ সালে অজ্ঞাত পরিচয় হ্যাকাররা যুক্তরাষ্ট্রের বিমানবাহিনীর প্রধান কমান্ড ও গবেষণাকেন্দ্র রোম ল্যাবরেটরিতে শতাধিকবার অনুপ্রবেশ করে। ট্রোজান হর্স ব্যবহার করে তারা রোম ল্যাবরেটরির নেটওয়ার্ক ব্যবস্থায় অবাধ প্রবেশাধিকার পায় এবং নিজেদের কর্মকাণ্ডের চিহ্ন মুছে ফেলে। অনুপ্রবেশকারীরা বিমান অভিযানের নির্দেশনা-সংক্রান্ত ব্যবস্থার তথ্যসহ গোপন নথিপত্র সংগ্রহ করতে সক্ষম হয়। তারা বিশ্বস্ত রোম ল্যাবরেটরি ব্যবহারকারী হিসেবে পরিচয় দিয়ে যুক্তরাষ্ট্রের জাতীয় মহাকাশ ও বায়ুমণ্ডল প্রশাসনের গডার্ড মহাকাশ উড্ডয়নকেন্দ্র, রাইট-প্যাটারসন বিমানঘাঁটি, কয়েকটি প্রতিরক্ষা ঠিকাদারি প্রতিষ্ঠান এবং বেসরকারি খাতের অন্যান্য প্রতিষ্ঠানের সঙ্গে যুক্ত নেটওয়ার্কেও প্রবেশ করে।

টিজেএক্স গ্রাহকদের ক্রেডিট কার্ডের তথ্য

২০০৭ সালের শুরুর দিকে মার্কিন পোশাক ও গৃহস্থালি পণ্য বিক্রেতা প্রতিষ্ঠান টিজেএক্স জানায়, তাদের কম্পিউটার ব্যবস্থায় অননুমোদিত অনুপ্রবেশ ঘটেছে। হ্যাকাররা এমন একটি ব্যবস্থায় প্রবেশ করেছিল, যেখানে ক্রেডিট কার্ড, ডেবিট কার্ড, চেক এবং পণ্য ফেরত-সংক্রান্ত লেনদেনের তথ্য সংরক্ষিত ছিল।

স্টাক্সনেট আক্রমণ

২০১০ সালে স্টাক্সনেট নামের কম্পিউটার ওয়ার্মটি ইরানের প্রায় এক-পঞ্চমাংশ পারমাণবিক সেন্ট্রিফিউজ অকেজো করে দিয়েছিল বলে জানা যায়। লক্ষ্যভিত্তিক এই আক্রমণে শিল্পকারখানায় ব্যবহৃত প্রোগ্রামেবল লজিক কন্ট্রোলার ব্যাহত করা হয়েছিল। সাধারণভাবে ধারণা করা হয়, ইরানের পারমাণবিক কর্মসূচি ব্যাহত করার উদ্দেশ্যে ইসরায়েল ও যুক্তরাষ্ট্র যৌথভাবে এই আক্রমণ চালিয়েছিল। তবে কোনো দেশই প্রকাশ্যে এই আক্রমণের দায় স্বীকার করেনি।

বিশ্বব্যাপী নজরদারি-সংক্রান্ত তথ্য প্রকাশ

২০১৩ সালের শুরুর দিকে এডওয়ার্ড স্নোডেনের দেওয়া নথি দ্য ওয়াশিংটন পোস্ট ও দ্য গার্ডিয়ান পত্রিকায় প্রকাশিত হয়। এসব নথিতে যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থার বিশ্বব্যাপী নজরদারির ব্যাপকতা প্রকাশ পায়। এ ছাড়া, ন্যাশনাল ইনস্টিটিউট অব স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজির একটি এনক্রিপশন স্ট্যান্ডার্ডে এনএসএ গোপনে প্রবেশের সুযোগ তৈরির ব্যবস্থা যুক্ত করে থাকতে পারে বলেও ইঙ্গিত পাওয়া যায়। ব্যাপক সমালোচনার মুখে পরে ওই স্ট্যান্ডার্ডটি প্রত্যাহার করা হয়। এ ছাড়া এনএসএ গুগলের তথ্যকেন্দ্রগুলোর মধ্যে থাকা যোগাযোগ সংযোগেও আড়ি পেতেছিল বলে প্রকাশ পায়।

টার্গেট ও হোম ডিপোতে তথ্য ফাঁস

২০১৩ সালে রেসকেটর নামে পরিচিত এক ইউক্রেনীয় হ্যাকার টার্গেট করপোরেশনের কম্পিউটার ব্যবস্থায় অনুপ্রবেশ করে প্রায় চার কোটি ক্রেডিট কার্ডের তথ্য চুরি করে। এরপর ২০১৪ সালে সে হোম ডিপোর কম্পিউটার ব্যবস্থায় অনুপ্রবেশ করে পাঁচ কোটি ৩০ লাখ থেকে পাঁচ কোটি ৬০ লাখ ক্রেডিট কার্ড নম্বর চুরি করে। উভয় প্রতিষ্ঠানকেই আগেই সতর্ক করা হয়েছিল, কিন্তু তারা সেই সতর্কতা উপেক্ষা করে। স্বয়ংক্রিয় পণ্য-পরিশোধ যন্ত্র ব্যবহার করে প্রত্যক্ষ নিরাপত্তাব্যবস্থা লঙ্ঘনের ঘটনাও এসব চুরির পেছনে গুরুত্বপূর্ণ ভূমিকা রেখেছিল বলে ধারণা করা হয়।

নিরাপত্তা প্রযুক্তি প্রতিষ্ঠান ম্যাকাফির 'হুমকি-সংক্রান্ত গোয়েন্দা কার্যক্রম'-এর পরিচালক জিম ওয়াল্টারের মতে, ব্যবহৃত ক্ষতিকর সফটওয়্যারটি ছিল অত্যন্ত সাধারণ এবং বিশেষ বৈশিষ্ট্যহীন। অর্থাৎ প্রশাসকেরা সতর্কবার্তাগুলো গুরুত্ব দিয়ে ব্যবস্থা নিলে প্রচলিত অ্যান্টিভাইরাস সফটওয়্যার দিয়েই সহজে এসব চুরি ঠেকানো সম্ভব ছিল। চুরির ব্যাপকতার কারণে যুক্তরাষ্ট্রের অঙ্গরাজ্য ও ফেডারেল কর্তৃপক্ষ বিষয়টিকে বিশেষ গুরুত্ব দেয়। এ ব্যাপারে তদন্তও অব্যাহত রয়েছে।

যুক্তরাষ্ট্রের কর্মী ব্যবস্থাপনা দপ্তরের তথ্য ফাঁস

২০১৫ সালের এপ্রিলে যুক্তরাষ্ট্রের কর্মী ব্যবস্থাপনা দপ্তর জানতে পারে, এক বছরেরও বেশি সময় আগে তাদের ব্যবস্থায় সাইবার হামলা চালানো হয়েছিল। এই তথ্য ফাঁসের ঘটনায় দপ্তরটির কাছে থাকা প্রায় ২ কোটি ১৫ লাখ কর্মীসংক্রান্ত নথি চুরি হয়েছিল। সরকারি কর্মকর্তারা যুক্তরাষ্ট্রের কর্মী ব্যবস্থাপনা দপ্তরে চালানো এই সাইবার হামলাকে দেশটির ইতিহাসে সরকারি তথ্য ফাঁসের সবচেয়ে বড় ঘটনাগুলোর একটি বলে বর্ণনা করেছেন। চুরি হওয়া তথ্যের মধ্যে ব্যক্তিকে শনাক্ত করা যায় এমন বিভিন্ন তথ্য ছিল। এর মধ্যে ছিল সামাজিক নিরাপত্তা নম্বর, নাম, জন্মতারিখ ও জন্মস্থান, ঠিকানা এবং আঙুলের ছাপ। এসব তথ্য বর্তমান ও সাবেক সরকারি কর্মীদের পাশাপাশি সরকারি নিরাপত্তা যাচাইয়ের মধ্য দিয়ে যাওয়া ব্যক্তিদেরও ছিল। ধারণা করা হয়, চীনা হ্যাকাররা এই হামলা চালিয়েছিল।

অ্যাশলি ম্যাডিসনের তথ্য ফাঁস

২০১৫ সালের জুলাইয়ে দ্য ইমপ্যাক্ট টিম নামে পরিচিত একটি হ্যাকার দল অ্যাভিড লাইফ মিডিয়া পরিচালিত বিবাহবহির্ভূত সম্পর্কবিষয়ক ওয়েবসাইট অ্যাশলি ম্যাডিসনে সফলভাবে সাইবার হামলা চালায়। দলটি দাবি করে, তারা শুধু প্রতিষ্ঠানের তথ্য নয়, ব্যবহারকারীদের তথ্যও চুরি করেছে। হামলার পর নিজেদের দাবির প্রমাণ হিসেবে দলটি প্রতিষ্ঠানের প্রধান নির্বাহীর ইমেইল প্রকাশ করে। পাশাপাশি ওয়েবসাইটটি স্থায়ীভাবে বন্ধ না করলে গ্রাহকদের তথ্য প্রকাশ করার হুমকি দেয়। অ্যাভিড লাইফ মিডিয়া ওয়েবসাইটটি বন্ধ না করায় দলটি আরও দুটি সংকুচিত ফাইল প্রকাশ করে। প্রথমটির আকার ছিল ৯.৭ গিগাবাইট এবং দ্বিতীয়টির ২০ গিগাবাইট। দ্বিতীয় দফায় তথ্য প্রকাশের পর অ্যাভিড লাইফ মিডিয়ার প্রধান নির্বাহী নোয়েল বিডারম্যান পদত্যাগ করেন। তবে ওয়েবসাইটটি চালু থাকে।

কলোনিয়াল পাইপলাইনে র‍্যানসমওয়্যার হামলা

২০২১ সালের জুনে একটি সাইবার হামলার কারণে যুক্তরাষ্ট্রের বৃহত্তম জ্বালানি পরিবহন পাইপলাইনটি বন্ধ হয়ে যায়। এর ফলে দেশটির পূর্ব উপকূলজুড়ে জ্বালানির সংকট দেখা দেয়।

আইনি জটিলতা ও বৈশ্বিক নিয়ন্ত্রণ

সাইবার হামলা নিয়ে আন্তর্জাতিক আইনি সমস্যাগুলো বেশ জটিল। সাইবার অপরাধ ও অপরাধীদের বিচার এবং শাস্তি দেওয়ার জন্য বিশ্বব্যাপী অভিন্ন কোনো নিয়মকাঠামো নেই। নিরাপত্তা প্রতিষ্ঠান বা সংস্থাগুলো কোনো ক্ষতিকর সফটওয়্যার তৈরি কিংবা সাইবার হামলার পেছনে থাকা অপরাধীকে শনাক্ত করতে পারলেও অনেক সময় স্থানীয় কর্তৃপক্ষ তাদের বিরুদ্ধে ব্যবস্থা নিতে পারে না। এর কারণ, এসব অপরাধের বিচার করার মতো আইন অনেক ক্ষেত্রে নেই। সাইবার অপরাধ ও হামলার জন্য দায়ী ব্যক্তি বা গোষ্ঠীকে শনাক্ত করাও আইন প্রয়োগকারী সংস্থাগুলোর জন্য বড় সমস্যা। কম্পিউটার ভাইরাস এক দেশ থেকে অন্য দেশে, এক বিচারব্যবস্থার এলাকা থেকে অন্য এলাকায় ছড়িয়ে পড়ে। এগুলো সারা বিশ্বে ঘুরে বেড়ায়। কারণ এ ধরনের কার্যক্রমের ওপর বিশ্বব্যাপী নজরদারি চালানোর সক্ষমতা নেই। তাই ইন্টারনেট অনেকটা বিশ্বের সব অনলাইন অপরাধীকে বিনা মূল্যে বিমানের টিকিট দেওয়ার মতো জায়গায় পরিণত হয়েছে। ডাইনামিক ডিএনএস, ফাস্ট ফ্লাক্স এবং বুলেটপ্রুফ সার্ভারের মতো কৌশল তদন্ত ও আইন প্রয়োগের কাজ আরও কঠিন করে তোলে।

সরকারের ভূমিকা

সাইবার হামলা থেকে নিজেদের ব্যবস্থা, অবকাঠামো ও তথ্য সুরক্ষিত রাখতে কোম্পানি এবং সংস্থাগুলোকে বাধ্য করার জন্য সরকারকে বিধিবিধান প্রণয়ন করতে হয়। একই সঙ্গে জাতীয় বিদ্যুৎ গ্রিডের মতো নিজস্ব গুরুত্বপূর্ণ অবকাঠামোও সুরক্ষিত রাখতে হয়।

সাইবার পরিসরে সরকারের নিয়ন্ত্রণমূলক ভূমিকা জটিল। কারও কারও মতে, সাইবার পরিসর এমন একটি ভার্চ্যুয়াল জগৎ, যেখানে সরকারের হস্তক্ষেপ থাকা উচিত নয়। বর্তমানে স্বাধীনতাবাদী মতাদর্শের অনুসারীদের মধ্যে ব্লকচেইন ও বিটকয়েন নিয়ে হওয়া অনেক আলোচনায় এই ধারণা দেখা যায়।

অনেক সরকারি কর্মকর্তা ও বিশেষজ্ঞ মনে করেন, সরকারের আরও সক্রিয় হওয়া উচিত। বিশেষ করে বেসরকারি খাত সাইবার নিরাপত্তার সমস্যা কার্যকরভাবে সমাধান করতে ব্যর্থ হওয়ায় উন্নততর বিধিবিধান প্রণয়নের প্রয়োজনীয়তা বেড়েছে। আর. ক্লার্ক সান ফ্রান্সিসকোতে অনুষ্ঠিত আরএসএ নিরাপত্তা সম্মেলনে এক আলোচনায় বলেন, “নিয়ন্ত্রণের হুমকি দিলেই শিল্পখাত সাড়া দেয়। শিল্পখাত যদি সেই হুমকিতে সাড়া না দেয়, তাহলে সরকারকে সত্যিই নিয়ন্ত্রণ আরোপ করতে হবে।” অন্যদিকে বেসরকারি খাতের কর্মকর্তারাও উন্নতির প্রয়োজনীয়তা স্বীকার করেন। তবে তাদের মতে সরকারি হস্তক্ষেপ উদ্ভাবনের সক্ষমতাকে ব্যাহত করতে পারে। ড্যানিয়েল আর. ম্যাকার্থি সাইবার নিরাপত্তায় সরকারি ও বেসরকারি খাতের অংশীদারত্ব বিশ্লেষণ করেছেন। তিনি বৃহত্তর রাজনৈতিক ব্যবস্থার কাঠামোতে সাইবার নিরাপত্তার ভূমিকা নিয়েও আলোচনা করেছেন।

২০২০ সালের ২২ মে জাতিসংঘের নিরাপত্তা পরিষদ আন্তর্জাতিক শান্তির জন্য সাইবার নিরাপত্তাসংক্রান্ত চ্যালেঞ্জ নিয়ে আলোচনার উদ্দেশ্যে দ্বিতীয়বারের মতো অনানুষ্ঠানিক বৈঠক করে। জাতিসংঘের মহাসচিব আন্তোনিও গুতেরেস বলেন, নতুন প্রযুক্তি প্রায়ই অধিকার লঙ্ঘনের কাজে ব্যবহার করা হয়।

আন্তর্জাতিক উদ্যোগ

এ ক্ষেত্রে বিভিন্ন দল ও সংস্থা কাজ করে। এর মধ্যে রয়েছে:

• দ্যা ফোরাম অফ ইনসিডেন্ট রেসপন্স অ্যান্ড সিকিউরিটি টিমস (ফার্স্ট) হলো কম্পিউটার নিরাপত্তা ঘটনা মোকাবিলা দলগুলোর বৈশ্বিক সংগঠন। ইউএস-সার্ট, এটি অ্যান্ড টি, অ্যাপল, সিসকো, ম্যাকাফি এবং মাইক্রোসফট এই আন্তর্জাতিক সংগঠনের সদস্য।
• কাউন্সিল অফ ইউরোপ সাইবার অপরাধবিষয়ক কনভেনশনের মাধ্যমে বিশ্বজুড়ে সমাজকে সাইবার অপরাধের হুমকি থেকে রক্ষা করতে সহায়তা করে।
• মেসেজিং অ্যান্টি-অ্যাবিউজ ওয়ার্কিং গ্রুপের উদ্দেশ্য হলো বার্তা আদান-প্রদান শিল্পের বিভিন্ন প্রতিষ্ঠানকে একত্র করা, যাতে তারা যৌথভাবে স্প্যাম, ভাইরাস, পরিষেবা অস্বীকারমূলক হামলা এবং বার্তা আদান-প্রদানের অন্যান্য অপব্যবহার মোকাবিলা করতে পারে। ফ্রান্স টেলিকম, ফেসবুক, এটি অ্যান্ড টি, অ্যাপল, সিসকো এবং স্প্রিন্ট এই সংগঠনের উল্লেখযোগ্য সদস্য।
• ইএনআইএসএ হলো ইউরোপীয় নেটওয়ার্ক ও তথ্য নিরাপত্তা সংস্থা, যা ইউরোপীয় ইউনিয়নের একটি সংস্থা। এর উদ্দেশ্য হলো ইউরোপীয় ইউনিয়নের নেটওয়ার্ক ও তথ্যের নিরাপত্তা উন্নত করা।

ইউরোপ

২০১৬ সালের ১৪ এপ্রিল ইউরোপীয় সংসদ এবং ইউরোপীয় ইউনিয়নের কাউন্সিল সাধারণ তথ্য সুরক্ষা বিধিমালা গ্রহণ করে। এই বিধিমালা ২০১৮ সালের ২৫ মে কার্যকর হয়। এর ফলে ইউরোপীয় ইউনিয়ন (ইইউ) ও ইউরোপীয় অর্থনৈতিক অঞ্চলের অন্তর্ভুক্ত ব্যক্তিরা নিজেদের ব্যক্তিগত তথ্য সুরক্ষার অধিকার লাভ করেন। বিধিমালা অনুযায়ী ব্যক্তিগত তথ্য প্রক্রিয়াকরণকারী যেকোনো সংস্থাকে নকশা ও প্রাথমিক বিন্যাস থেকেই তথ্য সুরক্ষার ব্যবস্থা রাখতে হয়। এ ছাড়া নির্দিষ্ট কিছু সংস্থাকে তথ্য সুরক্ষা কর্মকর্তা নিয়োগ করতে হয়।

জার্মানিতে আইটি নিরাপত্তা সমিতি টেলিট্রাস্ট ১৯৮৬ সালের জুন থেকে কার্যক্রম পরিচালনা করছে। এটি আইটি নিরাপত্তাবিষয়ক একটি আন্তর্জাতিক দক্ষতা নেটওয়ার্ক।

জাতীয় উদ্যোগ

জাতীয় নেটওয়ার্ক ও ব্যবস্থার নিরাপত্তা নিশ্চিত করতে অনেক দেশ কম্পিউটার জরুরি পরিস্থিতি মোকাবিলা দল, সক্রিয় সাইবার প্রতিরক্ষা এবং সাইবার হুমকিসংক্রান্ত গোয়েন্দা কার্যক্রমের জন্য কৌশল ও জনবল গড়ে তুলেছে। জাতীয় পর্যায়ের নীতিগত উদ্যোগে সাধারণত সাইবার নিরাপত্তাবিষয়ক বিধিবিধান এবং তথ্য নিরাপত্তার মানদণ্ড অন্তর্ভুক্ত থাকে।

কানাডা

কানাডা ২০১০ সাল থেকে সাইবার নিরাপত্তা কৌশল অনুসরণ করে আসছে। এই কৌশলটি গুরুত্বপূর্ণ অবকাঠামোর জন্য প্রণীত জাতীয় কৌশল ও কর্মপরিকল্পনার পরিপূরক হিসেবে কাজ করে। কৌশলটির তিনটি প্রধান স্তম্ভ রয়েছে: সরকারি ব্যবস্থার নিরাপত্তা নিশ্চিত করা, গুরুত্বপূর্ণ বেসরকারি সাইবার ব্যবস্থার নিরাপত্তা নিশ্চিত করা এবং কানাডার নাগরিকদের অনলাইনে নিরাপদ থাকতে সহায়তা করা। সাইবার ঘটনার সময় সমন্বিতভাবে সাড়া দেওয়ার জন্য দেশটিতে একটি সাইবার ঘটনা ব্যবস্থাপনা কাঠামোও রয়েছে।

কানাডার গুরুত্বপূর্ণ অবকাঠামো ও সাইবার ব্যবস্থার বিরুদ্ধে হুমকি কমানো এবং সেগুলোর মোকাবিলা করার দায়িত্ব কানাডীয় সাইবার ঘটনা মোকাবিলা কেন্দ্রের উপর ন্যস্ত। এটি সাইবার হুমকি কমাতে সহায়তা করে, লক্ষ্যভিত্তিক সাইবার হামলার জবাব প্রদান করে ও ক্ষতি সামলাতে কারিগরি সহায়তা দেয় এবং গুরুত্বপূর্ণ অবকাঠামো খাতের সদস্যদের জন্য অনলাইন সরঞ্জাম সরবরাহ করে। কেন্দ্রটি নিয়মিত সাইবার নিরাপত্তা বুলেটিন প্রকাশ করে। পাশাপাশি ব্যক্তি ও সংস্থাগুলো যাতে সাইবার ঘটনার খবর জানাতে পারে, সে জন্য একটি অনলাইন প্রতিবেদনব্যবস্থাও পরিচালনা করে।

সাধারণ মানুষকে অনলাইনে নিজেদের সুরক্ষার উপায় জানাতে পাবলিক সেফটি কানাডা স্টপ.থিঙ্ক.কানেক্ট নামের একটি উদ্যোগের সঙ্গে অংশীদারত্ব করেছে। এটি অলাভজনক, বেসরকারি ও সরকারি সংস্থাগুলোর একটি জোট। এ ছাড়া তারা সাইবার নিরাপত্তা সহযোগিতা কর্মসূচি চালু করেছে। তারা কানাডার নাগরিকদের জন্য গেটসাইবারসেফ পোর্টাল পরিচালনা করে এবং প্রতিবছর অক্টোবর মাসে সাইবার নিরাপত্তা সচেতনতা মাস পালন করে।

পাবলিক সেফটি কানাডা ২০১৫ সালের শুরুর দিকে দেশটির সাইবার নিরাপত্তা কৌশল মূল্যায়নের কাজ শুরু করার পরিকল্পনা করেছিল।

অস্ট্রেলিয়া

অস্ট্রেলিয়ার ফেডারেল সরকার ক্ষুদ্র ও মাঝারি প্রতিষ্ঠানগুলোর সাইবার নিরাপত্তা জোরদার করতে এবং সাইবার হুমকি মোকাবিলার সক্ষমতা বাড়াতে ১ কোটি ৮২ লাখ ডলার বিনিয়োগের ঘোষণা দিয়েছে। এই অর্থায়ন ২০২৩-২০৩০ সালের অস্ট্রেলীয় সাইবার নিরাপত্তা কৌশলের একটি গুরুত্বপূর্ণ অংশ। এর মধ্যে ৭২ লাখ ডলার বরাদ্দ রাখা হয়েছে একটি স্বেচ্ছামূলক সাইবার স্বাস্থ্য যাচাই কর্মসূচি চালুর জন্য। এই কর্মসূচির মাধ্যমে ব্যবসাপ্রতিষ্ঠানগুলো নিজেদের সাইবার নিরাপত্তার অবস্থা পর্যালোচনা করতে পারবে এবং নিজেদের প্রয়োজন অনুযায়ী মূল্যায়ন করতে পারবে।

এই আধুনিক মূল্যায়নব্যবস্থা একটি নির্ণয়মূলক সরঞ্জাম হিসেবে কাজ করবে। এর সাহায্যে প্রতিষ্ঠানগুলো অস্ট্রেলিয়ার সাইবার নিরাপত্তাবিষয়ক বিধিবিধান মেনে চলার ক্ষেত্রে নিজেদের প্রস্তুতি যাচাই করতে পারবে। এ ছাড়া এই কর্মসূচির মাধ্যমে তারা শিক্ষামূলক উপকরণ ও তথ্যভান্ডারে প্রবেশাধিকার পাবে। এসব উপকরণ তাদের সাইবার নিরাপত্তা আরও উন্নত করার জন্য প্রয়োজনীয় দক্ষতা অর্জনে সহায়তা করবে। সাইবার নিরাপত্তামন্ত্রী ক্লেয়ার ও'নিল এবং ক্ষুদ্র ব্যবসাবিষয়ক মন্ত্রী জুলি কলিন্স যৌথভাবে এই উদ্যোগের ঘোষণা দেন।

হংকং

হংকংয়ের গুরুত্বপূর্ণ অবকাঠামো (কম্পিউটার ব্যবস্থা) সুরক্ষা বিলটি ২০২৫ সালের ১৯ মার্চ আইন পরিষদে পাস হয়। এর উদ্দেশ্য ছিল “গুরুত্বপূর্ণ অবকাঠামো পরিচালনাকারী হিসেবে নির্ধারিত সংস্থাগুলোর জন্য আইনি বাধ্যবাধকতা প্রতিষ্ঠা করা”। গুরুতর বিঘ্ন সৃষ্টিকারী সাইবার হুমকি থেকে অর্থনীতি ও জননিরাপত্তা রক্ষার উদ্দেশ্যে হংকংয়ের নতুন গুরুত্বপূর্ণ অবকাঠামো (কম্পিউটার ব্যবস্থা) সুরক্ষা অধ্যাদেশ (অধ্যায় ৬৫৩) ২০২৬ সালের ১ জানুয়ারি কার্যকর হয়। এর সঙ্গে প্রতিরক্ষার প্রথম সারিতে থাকা দায়িত্বপ্রাপ্ত সংস্থাগুলোর জন্য প্রণীত আচরণবিধির নির্দেশিকাও কার্যকর হয়।

ভারত

২০০০ সালের তথ্যপ্রযুক্তি আইনের অধীনে প্রণীত বিধিমালায় সাইবার নিরাপত্তার কয়েকটি বিধান অন্তর্ভুক্ত করা হয়েছে।

২০১৩ সালের জাতীয় সাইবার নিরাপত্তা নীতি ভারতের ইলেকট্রনিকস ও তথ্যপ্রযুক্তি মন্ত্রণালয়ের প্রণীত একটি নীতিকাঠামো। এর উদ্দেশ্য হলো সরকারি ও বেসরকারি অবকাঠামোকে সাইবার হামলা থেকে রক্ষা করা এবং “ব্যক্তিগত তথ্য (ওয়েব ব্যবহারকারীদের), আর্থিক ও ব্যাংকিং তথ্য এবং রাষ্ট্রীয় তথ্যের” নিরাপত্তা নিশ্চিত করা। সার্ট-ইন দেশের সাইবার হুমকির ওপর নজরদারি চালানোর প্রধান সংস্থা। এ ছাড়া ভারতের প্রধানমন্ত্রীর কার্যালয়ে জাতীয় সাইবার নিরাপত্তা সমন্বয়কের পদও সৃষ্টি করা হয়েছে।

ভারতের ২০১৩ সালের কোম্পানি আইনেও পরিচালকদের জন্য সাইবার আইন ও সাইবার নিরাপত্তাসংক্রান্ত বাধ্যবাধকতা অন্তর্ভুক্ত করা হয়েছে। ২০১৩ সালে হালনাগাদ করা ২০০০ সালের তথ্যপ্রযুক্তি আইনের অধীনে প্রণীত বিধিমালায় সাইবার নিরাপত্তার কয়েকটি বিধানও রয়েছে।

দক্ষিণ কোরিয়া

২০১৩ সালের প্রথমার্ধে একাধিক সাইবার হামলায় দেশটির সরকারি ব্যবস্থা, সংবাদমাধ্যম, টেলিভিশন কেন্দ্র এবং ব্যাংকের ওয়েবসাইট ক্ষতিগ্রস্ত হয়। এর পর দক্ষিণ কোরিয়া সরকার ২০১৭ সালের মধ্যে নতুন ৫,০০০ সাইবার নিরাপত্তা বিশেষজ্ঞকে প্রশিক্ষণ দেওয়ার প্রতিশ্রুতি দেয়। এসব হামলার পাশাপাশি ২০০৯, ২০১১ এবং ২০১২ সালের ঘটনাগুলোর জন্য দক্ষিণ কোরিয়া সরকার উত্তর কোরিয়াকে দায়ী করে। তবে পিয়ংইয়ং এসব অভিযোগ অস্বীকার করে।

যুক্তরাজ্য

২০১৬ সালে যুক্তরাজ্যে জাতীয় সাইবার নিরাপত্তা কেন্দ্র প্রতিষ্ঠিত হয়। এটি জিসিএইচকিউর অংশ হিসেবে যুক্তরাজ্যের সাইবার নিরাপত্তা তদারকির কেন্দ্রীয় সংস্থা হিসেবে কাজ করে। যুক্তরাজ্য সরকার ২০২২ সালে একটি জাতীয় সাইবার নিরাপত্তা কৌশল প্রকাশ করে। এতে শিল্পখাত, দক্ষতা উন্নয়ন এবং জাতীয় নিরাপত্তার জন্য ২৬০ কোটি পাউন্ড বরাদ্দ করা হয়। এ ছাড়া ২০২০ সালে প্রতিষ্ঠিত জাতীয় সাইবার বাহিনী জিসিএইচকিউ এবং প্রতিরক্ষা মন্ত্রণালয়ের সঙ্গে কাজ করে। এর লক্ষ্য হলো “সাইবার পরিসরে প্রতিপক্ষের মোকাবিলা করার জন্য যুক্তরাজ্যের সক্ষমতা বদলে দেওয়া, যাতে দেশ, জনগণ ও জীবনযাত্রার ধরন সুরক্ষিত রাখা যায়”।

যুক্তরাষ্ট্র

কৌশল ও নির্দেশনা

২০১৩ সালে নির্বাহী আদেশ ১৩৬৩৬ স্বাক্ষরিত হয়। এর শিরোনাম ছিল গুরুত্বপূর্ণ অবকাঠামোর সাইবার নিরাপত্তার উন্নয়ন। এই আদেশের ফলে এনআইএসটি সাইবার নিরাপত্তা কাঠামো প্রণয়নের উদ্যোগ নেওয়া হয়।

২০১৮ সালের সাইবার কৌশলে যুক্তরাষ্ট্রের সরকারি নেটওয়ার্কগুলোকে হামলা থেকে সুরক্ষিত করার জন্য নির্দিষ্ট কিছু পদক্ষেপ নেওয়ার আহ্বান জানানো হয়। এর মধ্যে ছিল ২০১৫ সালের জুনে যুক্তরাষ্ট্রের কর্মী ব্যবস্থাপনা দপ্তরে চালানো সাইবার অনুপ্রবেশের মতো ঘটনা মোকাবিলা করা। ওই হামলায় বর্তমান ও সাবেক প্রায় ৪২ লাখ সরকারি কর্মীর নথি ক্ষতিগ্রস্ত হয়েছিল।

কলোনিয়াল পাইপলাইনে র‍্যানসমওয়্যার হামলার প্রতিক্রিয়ায় প্রেসিডেন্ট জো বাইডেন ২০২১ সালের ১২ মে নির্বাহী আদেশ ১৪০২৮ স্বাক্ষর করেন। এর উদ্দেশ্য ছিল সরকারের কাছে বিক্রি করা সফটওয়্যারের নিরাপত্তার মান উন্নত করা, বিদ্যমান ব্যবস্থায় হুমকি শনাক্তকরণ ও নিরাপত্তা জোরদার করা, তথ্য আদান-প্রদান ও প্রশিক্ষণের উন্নতি ঘটানো, সাইবার নিরাপত্তা পর্যালোচনা বোর্ড গঠন করা এবং সাইবার ঘটনার মোকাবিলা করার সক্ষমতা বাড়ানো।

বাইডেন প্রশাসন ২০২৩ সালে একটি পূর্ণাঙ্গ জাতীয় সাইবার নিরাপত্তা কৌশল প্রকাশ করে।

আইন প্রণয়ন

১৯৮৬ সালের কম্পিউটার জালিয়াতি ও অপব্যবহার আইন অনুযায়ী, ১৮ ইউএসসি এর ১০৩০(ই)(২) ধারায় সংজ্ঞায়িত সুরক্ষিত কম্পিউটারে অননুমোদিত প্রবেশ বা সেগুলোর ক্ষতিসাধন নিষিদ্ধ।

সরকারি মানসম্মত পরীক্ষা সেবা

যুক্তরাষ্ট্রের জেনারেল সার্ভিসেস অ্যাডমিনিস্ট্রেশন (জিএসএ) সম্ভাব্য দুর্বলতা দ্রুত শনাক্ত ও সমাধান করতে এবং সেগুলো কাজে লাগিয়ে যুক্তরাষ্ট্রের কেন্দ্রীয়, অঙ্গরাজ্য ও স্থানীয় সরকারের ক্ষতি করার আগেই আক্রমণকারীদের ঠেকাতে অনুপ্রবেশ পরীক্ষা সেবাকে আগাম যাচাই করা সহায়ক সেবা হিসেবে মানসম্মত করেছে। এই সেবাগুলো অত্যন্ত অভিযোজনক্ষম সাইবার নিরাপত্তা সেবা নামে পরিচিত।

সংস্থাসমূহ

স্বরাষ্ট্র নিরাপত্তা বিভাগের একটি বিশেষ শাখা যুক্তরাষ্ট্রের সাইবার নিরাপত্তাসংক্রান্ত প্রতিক্রিয়া ব্যবস্থা ও ঝুঁকি ব্যবস্থাপনা কর্মসূচির দায়িত্ব পালন করে। এই শাখার নাম জাতীয় সাইবার নিরাপত্তা বিভাগ। এই বিভাগের অধীনে ইউএস-সার্টের কার্যক্রম এবং জাতীয় সাইবার সতর্কতা ব্যবস্থা পরিচালিত হয়। জাতীয় সাইবার নিরাপত্তা ও যোগাযোগ সমন্বয় কেন্দ্র কম্পিউটার নেটওয়ার্ক এবং নেটওয়ার্ক-সংযুক্ত অবকাঠামো সুরক্ষার দায়িত্বে থাকা সরকারি সংস্থাগুলোকে একত্র করে।

যুক্তরাষ্ট্রের ফেডারেল ব্যুরো অব ইনভেস্টিগেশনের (এফবিআই) তৃতীয় অগ্রাধিকার হলো “সাইবারভিত্তিক হামলা ও উচ্চপ্রযুক্তিনির্ভর অপরাধ থেকে যুক্তরাষ্ট্রকে রক্ষা করা”। এফবিআই, জাতীয় শ্বেতকলার অপরাধ কেন্দ্র এবং বিচার সহায়তা ব্যুরো মিলে ইন্টারনেট ক্রাইম কমপ্লেইন সেন্টার নামক টাস্কফোর্স গঠন করেছে। এটি আইসি৩ নামেও পরিচিত।

নিজস্ব নির্দিষ্ট দায়িত্ব পালনের পাশাপাশি এফবিআই ইনফ্রাগার্ডের মতো অলাভজনক সংস্থার সঙ্গেও কাজ করে।

কম্পিউটার অপরাধ ও মেধাস্বত্ব বিভাগ যুক্তরাষ্ট্রের বিচার বিভাগের অপরাধ বিভাগে কাজ করে। এই বিভাগ কম্পিউটার অপরাধ ও মেধাস্বত্ব-সংক্রান্ত অপরাধ তদন্তের দায়িত্বে রয়েছে। কম্পিউটার ও নেটওয়ার্কে থাকা ডিজিটাল প্রমাণ অনুসন্ধান ও জব্দ করার ক্ষেত্রে বিভাগটির বিশেষ দক্ষতা রয়েছে। ২০১৭ সালে সিসিআইপিএস অনলাইন ব্যবস্থার জন্য দুর্বলতা প্রকাশ কর্মসূচির একটি কাঠামো প্রকাশ করে। এর উদ্দেশ্য ছিল সংস্থাগুলোকে অনুমোদিত উপায়ে দুর্বলতা শনাক্ত ও প্রকাশের কার্যক্রম স্পষ্টভাবে বর্ণনা করতে সহায়তা করা। এর ফলে এসব কার্যক্রমের কারণে কম্পিউটার জালিয়াতি ও অপব্যবহার আইনের (১৮ ইউ.এস.সি. § ১০৩০) অধীনে দেওয়ানি বা ফৌজদারি আইন লঙ্ঘনের ঝুঁকি উল্লেখযোগ্যভাবে কমানো সম্ভব।

যুক্তরাষ্ট্রের সাইবার কমান্ড (যা ইউএসসাইবারকম নামেও পরিচিত) দেশের স্বার্থ রক্ষা ও এগিয়ে নেওয়ার জন্য দেশীয় ও আন্তর্জাতিক অংশীদারদের সঙ্গে সহযোগিতার মাধ্যমে সাইবার পরিসরের পরিকল্পনা ও কার্যক্রম পরিচালনা, সমন্বয় এবং একসূত্রে সংযুক্ত করার দায়িত্ব পালন করে। বেসামরিক নেটওয়ার্ক সুরক্ষার দায়িত্ব এই সংস্থার নয়।

যুক্তরাষ্ট্রের ফেডারেল যোগাযোগ কমিশনের সাইবার নিরাপত্তা বিষয়ক গুরুত্বপূর্ণ ভূমিকা পালন করে। গুরুত্বপূর্ণ যোগাযোগ অবকাঠামোর সুরক্ষা জোরদার করা, দুর্যোগের সময় নেটওয়ার্কের নির্ভরযোগ্যতা বজায় রাখতে সহায়তা করা, দুর্যোগের পর দ্রুত পুনরুদ্ধারে সাহায্য করা এবং জরুরি পরিস্থিতিতে প্রথম সাড়াদানকারীরা যাতে কার্যকর যোগাযোগসেবা পান, তা নিশ্চিত করা তাদের কাজ।

যুক্তরাষ্ট্রের খাদ্য ও ওষুধ প্রশাসন চিকিৎসা সরঞ্জামের সাইবার নিরাপত্তা নিয়ে নির্দেশনা প্রকাশ করেছে। অন্যদিকে জাতীয় মহাসড়ক যানবাহন নিরাপত্তা প্রশাসন যানবাহনের সাইবার নিরাপত্তা নিয়ে কাজ করে। সরকারি জবাবদিহি দপ্তরের সমালোচনার পর এবং বিমানবন্দরে সফল সাইবার হামলা ও বিমানে হামলার দাবির পর ফেডারেল বিমান চলাচল প্রশাসন বেসরকারি নির্মাতাদের বিমানের অভ্যন্তরীণ ব্যবস্থা এবং বিমান যোগাযোগ ঠিকানা ও প্রতিবেদন ব্যবস্থার নিরাপত্তা নিশ্চিত করতে অর্থ বরাদ্দ করে। ভবিষ্যতের পরবর্তী প্রজন্মের বিমান পরিবহন ব্যবস্থা নিয়েও উদ্বেগ প্রকাশ করা হয়েছে।

যুক্তরাষ্ট্রের প্রতিরক্ষা বিভাগ ২০০৪ সালে প্রতিরক্ষা বিভাগীয় নির্দেশনা ৮৫৭০ জারি করে। পরে এর পরিপূরক হিসেবে নির্দেশনা ৮১৪০ জারি করা হয়। এসব নির্দেশনা অনুযায়ী তথ্য নিশ্চয়তাসংক্রান্ত দায়িত্ব ও কার্যক্রমে যুক্ত প্রতিরক্ষা বিভাগের সব কর্মী এবং চুক্তিভিত্তিক কর্মীদের বিভিন্ন শিল্পখাত-স্বীকৃত তথ্যপ্রযুক্তি সনদ অর্জন ও তা বজায় রাখতে হয়। এর উদ্দেশ্য হলো নেটওয়ার্ক অবকাঠামো রক্ষার কাজে যুক্ত সব কর্মীর তথ্যপ্রযুক্তি খাতে স্বীকৃত ন্যূনতম জ্ঞান, দক্ষতা ও সক্ষমতা নিশ্চিত করা। অ্যান্ডারসন ও রেইমার্সের (২০১৯) প্রতিবেদন অনুযায়ী, এসব সনদের মধ্যে কম্পটিআইএর এ+ ও সিকিউরিটি+ থেকে শুরু করে আইসিএস২.অর্গের সিআইএসএসপি পর্যন্ত বিভিন্ন সনদ রয়েছে।

কম্পিউটার জরুরি প্রতিক্রিয়া দল বলতে কম্পিউটার নিরাপত্তাসংক্রান্ত ঘটনা মোকাবিলায় কাজ করা বিশেষজ্ঞ দলকে বোঝায়। যুক্তরাষ্ট্রে এ ধরনের দুটি পৃথক সংস্থা রয়েছে। তবে তারা ঘনিষ্ঠভাবে একসঙ্গে কাজ করে।

• ইউএস-সার্ট: এটি যুক্তরাষ্ট্রের স্বরাষ্ট্র নিরাপত্তা বিভাগের জাতীয় সাইবার নিরাপত্তা বিভাগের অংশ।
• সার্ট/সিসি: প্রতিরক্ষা অগ্রবর্তী গবেষণা প্রকল্প সংস্থা এটি প্রতিষ্ঠা করে। বর্তমানে সফটওয়্যার প্রকৌশল ইনস্টিটিউট এটি পরিচালনা করে।

যুক্তরাষ্ট্রের পারমাণবিক বিদ্যুৎকেন্দ্রগুলোর ক্ষেত্রে যুক্তরাষ্ট্রের পারমাণবিক নিয়ন্ত্রণ কমিশন ১০ সিএফআর-এর ৭৩ নম্বর অংশের অধীনে সাইবার নিরাপত্তার শর্তাবলি নির্ধারণ করেছে। পারমাণবিক শক্তি ইনস্টিটিউটের এনইআই ০৮-০৯ নথি পারমাণবিক চুল্লির সাইবার নিরাপত্তা পরিকল্পনা পারমাণবিক বিদ্যুৎশিল্পে সাইবার নিরাপত্তার জন্য একটি পূর্ণাঙ্গ কাঠামো তুলে ধরে।

আধুনিক যুদ্ধক্ষেত্রে

সাইবার পরিসর ভবিষ্যতে যুদ্ধের নতুন ক্ষেত্র হয়ে উঠতে পারে, এমন উদ্বেগ ক্রমেই বাড়ছে। এর ফলে সাইবার যুদ্ধ এবং সাইবার সন্ত্রাসবাদের মতো নতুন পরিভাষার উদ্ভব হয়েছে। দ্য ক্রিশ্চিয়ান সায়েন্স মনিটর-এর মার্ক ক্লেটন ২০১৫ সালে “নতুন সাইবার অস্ত্র প্রতিযোগিতা” শিরোনামের একটি নিবন্ধে লিখেছিলেন:

ভবিষ্যতে যুদ্ধ শুধু বন্দুক হাতে সৈন্যদের বা বোমা নিক্ষেপকারী বিমানের মাধ্যমে পরিচালিত হবে না। পৃথিবীর অন্য প্রান্তে বসে মাউসের একটি ক্লিকের মাধ্যমেও যুদ্ধ চালানো হবে। এর ফলে বিশেষভাবে তৈরি কম্পিউটার প্রোগ্রাম সক্রিয় হয়ে বিদ্যুৎ, পরিবহন, যোগাযোগ ও জ্বালানির মতো গুরুত্বপূর্ণ শিল্পখাতকে ব্যাহত বা ধ্বংস করতে পারে। এ ধরনের হামলা সেনাদের চলাচল, যুদ্ধবিমানের গতিপথ এবং যুদ্ধজাহাজের নির্দেশনা ও নিয়ন্ত্রণ পরিচালনাকারী সামরিক নেটওয়ার্কও অচল করে দিতে পারে।

যুক্তরাষ্ট্রের সাইবার কমান্ড ২০০৯ সালে প্রতিষ্ঠিত হয়। আরও অনেক দেশেও এ ধরনের বাহিনী রয়েছে।

কিছু সমালোচক প্রশ্ন তুলেছেন, সাইবার নিরাপত্তাকে যতটা বড় হুমকি হিসেবে তুলে ধরা হয়, বাস্তবে এটি ততটা গুরুতর কি না।

পেশা

সাইবার নিরাপত্তা তথ্যপ্রযুক্তির একটি দ্রুত বর্ধনশীল ক্ষেত্র। প্রতিষ্ঠানগুলো হ্যাকিং বা তথ্য ফাঁসের ঝুঁকি কমাতে সাইবার নিরাপত্তা পেশাজীবীদের নিয়োগ দিয়ে থাকে। এন্টারপ্রাইজ স্ট্র্যাটেজি গ্রুপের গবেষণা অনুযায়ী, ২০১৬ সালে ৪৬ শতাংশ প্রতিষ্ঠান জানায় যে তাদের সাইবার নিরাপত্তায় দক্ষ জনবলের “উদ্বেগজনক ঘাটতি” রয়েছে। ২০১৫ সালে এই হার ছিল ২৮ শতাংশ। বাণিজ্যিক, সরকারি ও বেসরকারি - সব ধরনের সংস্থাই সাইবার নিরাপত্তা পেশাজীবীদের নিয়োগ দেয়। অর্থায়ন, স্বাস্থ্যসেবা ও খুচরা বিক্রির মতো যেসব শিল্পখাতে ক্রেতাদের তথ্যের পরিমাণ দ্রুত বাড়ছে, সেসব খাতে সাইবার নিরাপত্তাকর্মীদের চাহিদা সবচেয়ে দ্রুত বৃদ্ধি পাচ্ছে। তবে সরকারি চাকরির বিবরণে “সাইবার নিরাপত্তা” পরিভাষাটি তুলনামূলকভাবে বেশি ব্যবহৃত হয়।

সাইবার নিরাপত্তা পেশার পদবি ও কাজের বিবরণের মধ্যে রয়েছে:

নিরাপত্তা বিশ্লেষক

সফটওয়্যার, হার্ডওয়্যার ও নেটওয়ার্কসহ অবকাঠামোর দুর্বলতা বিশ্লেষণ ও মূল্যায়ন করেন। শনাক্ত করা দুর্বলতা দূর করতে উপলব্ধ সরঞ্জাম ও প্রতিরোধমূলক ব্যবস্থা ব্যবহার করে তদন্ত করেন এবং সমাধান ও উত্তম চর্চার সুপারিশ করেন। নিরাপত্তা ঘটনার কারণে তথ্য বা অবকাঠামোর যে ক্ষতি হয়, তা বিশ্লেষণ ও মূল্যায়ন করেন। পুনরুদ্ধারের জন্য উপলব্ধ সরঞ্জাম ও প্রক্রিয়া পর্যালোচনা করে সমাধানের সুপারিশ দেন। নিরাপত্তানীতি ও পদ্ধতি যথাযথভাবে অনুসরণ করা হচ্ছে কি না, তা পরীক্ষা করেন। নিরাপত্তা সমাধান তৈরি, বাস্তবায়ন বা পরিচালনায়ও সহায়তা করতে পারেন।

নিরাপত্তা প্রকৌশলী

নিরাপত্তা ঘটনা শনাক্ত করতে নিরাপত্তা পর্যবেক্ষণ, নিরাপত্তা ও তথ্য বা লগ বিশ্লেষণ এবং ফরেনসিক বিশ্লেষণ পরিচালনা করেন। এরপর সংশ্লিষ্ট ঘটনা মোকাবিলায় পদক্ষেপ নেন। নিরাপত্তা সক্ষমতা বাড়াতে এবং উন্নতি বাস্তবায়ন করতে নতুন প্রযুক্তি ও প্রক্রিয়া নিয়ে গবেষণা করেন এবং সেগুলো ব্যবহার করেন। এ ছাড়া কোড পর্যালোচনা বা অন্যান্য নিরাপত্তা প্রকৌশল পদ্ধতি প্রয়োগ করতে পারেন।

নিরাপত্তা স্থপতি

একটি নিরাপত্তা ব্যবস্থা বা তার গুরুত্বপূর্ণ অংশগুলোর নকশা তৈরি করেন। নতুন নিরাপত্তা ব্যবস্থা নির্মাণের জন্য গঠিত নকশা দলকে নেতৃত্বও দিতে পারেন।

প্রধান তথ্য নিরাপত্তা কর্মকর্তা

তথ্য নিরাপত্তা বিভাগ বা সংশ্লিষ্ট কর্মীদের সামগ্রিক দায়িত্বে থাকা উচ্চপর্যায়ের ব্যবস্থাপনা পদ। এ পদে সরাসরি কারিগরি কাজও অন্তর্ভুক্ত থাকতে পারে।

প্রধান নিরাপত্তা কর্মকর্তা

পুরো নিরাপত্তা বিভাগ বা কর্মীদের দায়িত্বে থাকা উচ্চপর্যায়ের ব্যবস্থাপনা পদ। নিরাপত্তার ঝুঁকি বাড়তে থাকায় এ পদটি ক্রমেই প্রয়োজনীয় হয়ে উঠছে।

তথ্য সুরক্ষা কর্মকর্তা

তথ্য সুরক্ষা আইন মেনে চলা হচ্ছে কি না, তা পর্যবেক্ষণ করা এই কর্মকর্তার দায়িত্ব। এ ছাড়া তথ্য সুরক্ষানীতি বাস্তবায়ন, সচেতনতা বৃদ্ধি, প্রশিক্ষণ এবং নিরীক্ষার কাজও তিনি করেন।

নিরাপত্তা পরামর্শক/বিশেষজ্ঞ/গোয়েন্দা বিশ্লেষক

এই বিস্তৃত পদবিগুলোর আওতায় কম্পিউটার, নেটওয়ার্ক, সফটওয়্যার, তথ্য বা তথ্যব্যবস্থাকে ভাইরাস, ওয়ার্ম, স্পাইওয়্যার, ক্ষতিকর সফটওয়্যার, অনুপ্রবেশ, অননুমোদিত প্রবেশাধিকার, পরিষেবা অস্বীকারমূলক হামলা এবং হ্যাকারদের চালানো ক্রমবর্ধমান নানা ধরনের হামলা থেকে রক্ষা করার দায়িত্ব অন্তর্ভুক্ত থাকে। এসব হ্যাকার এককভাবে, সংগঠিত অপরাধচক্রের অংশ হিসেবে কিংবা বিদেশি সরকারের হয়ে কাজ করতে পারে।

সাইবার নিরাপত্তায় কর্মজীবন শুরু করতে আগ্রহী ব্যক্তিদের জন্য বিভিন্ন কর্মসূচিও রয়েছে। বিভিন্ন অভিজ্ঞতাসম্পন্ন তথ্য নিরাপত্তা পেশাজীবীরা আরো অভিজ্ঞতা অর্জন করতে বিভিন্ন পদ্ধতিতে অনলাইন নিরাপত্তা প্রশিক্ষণ (যেমন: ওয়েবকাস্ট) নিতে পারেন। এ ছাড়া বিভিন্ন ধরনের প্রশিক্ষণ কোর্সও পাওয়া যায়।

যুক্তরাজ্যে সরকারের সাইবার নিরাপত্তা কৌশলের সহায়তায় দেশজুড়ে সাইবার নিরাপত্তা ফোরাম গঠন করা হয়। এগুলো সম্মিলিতভাবে যুক্তরাজ্য সাইবার নিরাপত্তা ফোরাম নামে পরিচিত। নতুন উদ্যোগ ও উদ্ভাবনকে উৎসাহিত করা এবং দক্ষ জনবলের ঘাটতি মোকাবিলা করাই এসব ফোরামের উদ্দেশ্য। এই ঘাটতির বিষয়টি যুক্তরাজ্য সরকার চিহ্নিত করেছিল।

সিঙ্গাপুরে সাইবার নিরাপত্তা সংস্থা অপারেশনাল টেকনোলজি সাইবার নিরাপত্তা দক্ষতা কাঠামো প্রকাশ করেছে। এই কাঠামোতে অপারেশনাল টেকনোলজি ক্ষেত্রে উদীয়মান সাইবার নিরাপত্তা পেশাগুলোর সংজ্ঞা দেওয়া হয়েছে। ইনফোকম মিডিয়া উন্নয়ন কর্তৃপক্ষ কাঠামোটিকে অনুমোদন করেছে। এতে অপারেশনাল টেকনোলজির বিভিন্ন সাইবার নিরাপত্তা পদ এবং সেসব পদে প্রয়োজনীয় কারিগরি দক্ষতা ও মৌলিক সক্ষমতা তুলে ধরা হয়েছে। পাশাপাশি পদোন্নতি ও সমপর্যায়ের অন্য পদে অগ্রসর হওয়াসহ বিভিন্ন ধরনের কর্মজীবনের পথও দেখানো হয়েছে।

পরিভাষা

কম্পিউটার নিরাপত্তার সঙ্গে সম্পর্কিত নিচের পরিভাষাগুলোর ব্যাখ্যা দেওয়া হলো:

• প্রবেশাধিকার অনুমোদন প্রক্রিয়ায় অথোরাইজেশন ব্যবস্থা ব্যবহার করে নির্দিষ্ট একদল ব্যবহারকারীর জন্য কম্পিউটারে প্রবেশাধিকার সীমাবদ্ধ করা হয়। এই ব্যবস্থাগুলো পুরো কম্পিউটারকে সুরক্ষিত রাখতে পারে (যেমন ইন্টারঅ্যাকটিভ লগইন পর্দার মাধ্যমে)। আবার এফটিপি সার্ভারের মতো নির্দিষ্ট সেবাকেও সুরক্ষিত রাখতে পারে। ব্যবহারকারীদের পরিচয় শনাক্ত ও প্রমাণীকরণের জন্য বিভিন্ন পদ্ধতি রয়েছে। এর মধ্যে রয়েছে পাসওয়ার্ড, পরিচয়পত্র, স্মার্ট কার্ড এবং বায়োমেট্রিক ব্যবস্থা।
• অ্যান্টিভাইরাস সফটওয়্যার হলো এমন কম্পিউটার প্রোগ্রাম, যা কম্পিউটার ভাইরাস ও অন্যান্য ক্ষতিকর সফটওয়্যার (ম্যালওয়্যার) শনাক্ত, প্রতিরোধ ও অপসারণের চেষ্টা করে।
• অ্যাপ্লিকেশন হলো নির্বাহযোগ্য কোড। তাই সাধারণ কর্পোরেট ব্যবস্থাপনায় ব্যবহারকারীদের এগুলো ইনস্টল করার ক্ষমতা সীমিত বা বন্ধ রাখা হয়। প্রয়োজন প্রমাণিত হলেই কেবল এগুলো ইনস্টল করা হয়, যেমন কোনো কাজ সম্পন্ন করার জন্য প্রয়োজনীয় সফটওয়্যার। শুধু নির্ভরযোগ্য বলে পরিচিত সফটওয়্যার ইনস্টল করা হয়। সম্ভব হলে অ্যাপ্লিকেশন তৈরিতে ব্যবহৃত কম্পিউটার কোডে প্রবেশাধিকারও নিশ্চিত করা হয়। পাশাপাশি যতটা সম্ভব কম সফটওয়্যার ইনস্টল করে আক্রমণের ক্ষেত্র ছোট রাখা হয়। সাধারণত এসব অ্যাপ্লিকেশনকে সর্বনিম্ন বিশেষাধিকার দিয়ে চালানো হয়। প্রকাশিত নিরাপত্তা প্যাচ ও হালনাগাদ শনাক্ত, পরীক্ষা এবং ইনস্টল করার জন্যও একটি শক্তিশালী প্রক্রিয়া রাখা হয়।
  • উদাহরণস্বরূপ, কোনো প্রোগ্রাম নির্দিষ্ট ব্যবহারকারীর অ্যাকাউন্টে ইনস্টল করা যেতে পারে। এতে প্রোগ্রামটির সম্ভাব্য প্রবেশাধিকার সীমিত হয় এবং নীতিমালার ব্যতিক্রম হিসেবে কোন ব্যবহারকারীকে বিশেষ অনুমতি দেওয়া হবে, তা নিয়ন্ত্রণ করা যায়। লিনাক্স, ফ্রিবিএসডি, ওপেন বিএসডি এবং অন্যান্য ইউনিক্সসদৃশ অপারেটিং সিস্টেমে ক্রুট বা অন্য কোনো পদ্ধতিতে অ্যাপ্লিকেশনকে তার নিজস্ব 'স্যান্ডবক্সে' সীমাবদ্ধ রাখা যায়। উদাহরণস্বরূপ লিনাক্সে নেমস্পেস ও কন্ট্রোল গ্রুপ ব্যবহার করে সিস্টেমের সম্পদে অ্যাপ্লিকেশনের প্রবেশাধিকার আরও সীমিত করা যায়।
  • সেলিনাক্স বা অ্যাপআর্মরের মতো সাধারণ নিরাপত্তা কাঠামো প্রশাসকদের প্রবেশাধিকার নিয়ন্ত্রণে সহায়তা করে।
  • জাভা এবং অন্যান্য ভাষায় লেখা কিছু প্রোগ্রামের (যেগুলো জাভা বাইটকোডে কম্পাইল হয়ে জাভা ভার্চুয়াল মেশিনে চলে) অন্য অ্যাপ্লিকেশনে প্রবেশাধিকার ভার্চুয়াল মেশিন স্তরে নিয়ন্ত্রণ করা যায়।
  • কিছু সফটওয়্যার সফটওয়্যার কনটেইনারে চালানো যায়। এসব কনটেইনারে নিজস্ব সিস্টেম লাইব্রেরিও থাকতে পারে। ফলে সফটওয়্যারটির কিংবা সেটি নিয়ন্ত্রণকারী কারও সার্ভারে থাকা লাইব্রেরিগুলোর সংস্করণে প্রবেশাধিকার সীমিত হয়।
• প্রমাণীকরণ কৌশল ব্যবহার করে নিশ্চিত করা যায় যে যোগাযোগের দুই প্রান্তের পরিচয় তাদের দাবির সঙ্গে মেলে।
• স্বয়ংক্রিয় উপপাদ্য প্রমাণ এবং অন্যান্য যাচাইকরণ সরঞ্জাম ব্যবহার করে নিরাপদ ব্যবস্থায় ব্যবহৃত গুরুত্বপূর্ণ অ্যালগরিদম ও কোড গাণিতিকভাবে প্রমাণ করা যায় যে সেগুলো নির্ধারিত শর্ত পূরণ করে।
• ব্যাকআপ হলো গুরুত্বপূর্ণ কম্পিউটার ফাইলের এক বা একাধিক অতিরিক্ত অনুলিপি। সাধারণত বিভিন্ন স্থানে একাধিক অনুলিপি রাখা হয়, যাতে একটি চুরি হয়ে গেলে বা ক্ষতিগ্রস্ত হলেও অন্য অনুলিপিগুলো অক্ষত থাকে।
• বিশেষাধিকার পৃথকীকরণ এবং বাধ্যতামূলক প্রবেশাধিকার নিয়ন্ত্রণ নিশ্চিত করতে সক্ষমতা ও প্রবেশাধিকার নিয়ন্ত্রণ তালিকা পদ্ধতি ব্যবহার করা যায়।
• বিশ্বাসের শৃঙ্খল পদ্ধতির মাধ্যমে নিশ্চিত করার চেষ্টা করা হয় যে লোড করা সব সফটওয়্যারকে সিস্টেমের নকশাকারীরা প্রকৃত ও নির্ভরযোগ্য বলে প্রত্যয়ন করেছেন।
• গোপনীয়তা হলো অনুমোদিত ব্যক্তি ছাড়া অন্য কারও কাছে তথ্য প্রকাশ না করা।
• সিস্টেমগুলোর মধ্যে আদান-প্রদানের সময় তথ্য সুরক্ষিত রাখতে ক্রিপ্টোগ্রাফিক কৌশল ব্যবহার করা যায়। এতে সিস্টেমগুলোর মধ্যে তথ্য আদান-প্রদানের সময়ে আড়ি পেতে শোনা বা পরিবর্তন করার সম্ভাবনা কমে।
• সাইবার উৎস-নির্ধারণ হলো সাইবার অপরাধের জন্য দায়ী ব্যক্তি বা পক্ষকে শনাক্ত করার প্রক্রিয়া। অর্থাৎ কে সাইবার আক্রমণ চালিয়েছে, তা খুঁজে বের করা।
• সাইবার যুদ্ধ হলো ইন্টারনেটভিত্তিক সংঘাত, যেখানে তথ্য ও তথ্যব্যবস্থার ওপর রাজনৈতিক উদ্দেশ্যপ্রণোদিত আক্রমণ চালানো হয়। এ ধরনের আক্রমণে সরকারি ওয়েবসাইট এবং নেটওয়ার্ক অচল করে দেওয়া, জরুরি সেবা ব্যাহত বা বন্ধ করা, গোপন তথ্য চুরি বা পরিবর্তন করা এবং আর্থিক ব্যবস্থা অকার্যকর করে দেওয়া হতে পারে।
• তথ্যের অখণ্ডতা হলো সংরক্ষিত তথ্যের নির্ভুলতা ও সামঞ্জস্য। কোনো তথ্যের রেকর্ড দুবার হালনাগাদ করার মধ্যবর্তী সময়ে তাতে কোনো পরিবর্তন না ঘটলে এই অখণ্ডতা বজায় থাকে।

ক্রিপ্টোগ্রাফিক কৌশলে তথ্যকে রূপান্তরিত ও দুর্বোধ্য করা হয়, যাতে আদান-প্রদানের সময় তা পড়া না যায়। নির্দিষ্ট প্রাপক বার্তাটিকে আবার পাঠযোগ্য করতে পারেন। আদর্শ পরিস্থিতিতে আড়ি পেতে শোনা ব্যক্তিরা তা পারেন না।

• এনক্রিপশন বার্তার গোপনীয়তা রক্ষায় ব্যবহৃত হয়। ক্রিপ্টোগ্রাফিকভাবে নিরাপদ সাইফার এমনভাবে তৈরি করা হয়, যাতে সেগুলো ভাঙার কোনো বাস্তবসম্মত প্রচেষ্টা সফল হওয়া অত্যন্ত কঠিন হয়। প্রতিসম কী ব্যবহার করে বিপুল পরিমাণ তথ্য এনক্রিপ্ট করা যায়। অন্যদিকে পাবলিক কী এনক্রিপশন এবং পাবলিক কী সার্টিফিকেট ব্যবহার করে আগে থেকে কোনো কী ভাগাভাগি না করেও নিরাপদে যোগাযোগের সমস্যার কার্যকর সমাধান পাওয়া যায়।
• প্রান্তবিন্দু নিরাপত্তা সফটওয়্যার নেটওয়ার্কে ম্যালওয়্যারের সংক্রমণ ও তথ্য চুরি প্রতিরোধে সহায়তা করে। ল্যাপটপ, মোবাইল ডিভাইস এবং ইউএসবি ড্রাইভের মতো সম্ভাব্য সংক্রমিত যন্ত্রের ব্যাপক ব্যবহারের কারণে নেটওয়ার্কে প্রবেশের বিভিন্ন বিন্দু ঝুঁকিপূর্ণ হয়ে ওঠে।
• ফায়ারওয়াল নেটওয়ার্কগুলোর মধ্যে প্রহরীর মতো কাজ করে। এটি নির্ধারিত নিয়মের সঙ্গে মেলে এমন নেটওয়ার্ক ট্রাফিককেই কেবল চলাচলের অনুমতি দেয়। এতে প্রায়ই বিস্তারিত লগ সংরক্ষণের ব্যবস্থা থাকে। পাশাপাশি অনুপ্রবেশ শনাক্তকরণ এবং অনুপ্রবেশ প্রতিরোধের বৈশিষ্ট্যও থাকতে পারে। সাধারণত কোনো প্রতিষ্ঠানের লোকাল এরিয়া নেটওয়ার্ক ও ইন্টারনেটের মধ্যে ফায়ারওয়াল থাকে। তবে নেটওয়ার্ক বিভাজন কনফিগার করা থাকলে নেটওয়ার্কগুলোর অভ্যন্তরেও ট্রাফিক নিয়ন্ত্রণের নিয়ম প্রয়োগ করতে এটি ব্যবহার করা যায়।
• হ্যাকার হলেন এমন ব্যক্তি, যিনি কম্পিউটার ব্যবস্থা বা নেটওয়ার্কের নিরাপত্তাব্যবস্থা ভেঙে দুর্বলতাগুলো কাজে লাগানোর চেষ্টা করেন।
• হানিপট হলো এমন কম্পিউটার, যেগুলো ইচ্ছাকৃতভাবে আক্রমণকারীদের জন্য ঝুঁকিপূর্ণ অবস্থায় রাখা হয়। এগুলোর সাহায্যে অনুপ্রবেশকারীদের ফাঁদে ফেলা এবং তাদের ব্যবহৃত কৌশল শনাক্ত করা যায়।
• অনুপ্রবেশ শনাক্তকরণ ব্যবস্থা হলো এমন ব্যবস্থা বা সফটওয়্যার অ্যাপ্লিকেশন, যা নেটওয়ার্ক বা সিস্টেমে ক্ষতিকর কার্যকলাপ কিংবা নীতিমালা লঙ্ঘনের ঘটনা পর্যবেক্ষণ করে।
• মাইক্রোকার্নেল হলো অপারেটিং সিস্টেম নকশার এমন একটি পদ্ধতি, যেখানে সর্বোচ্চ বিশেষাধিকারপ্রাপ্ত স্তরে কোডের পরিমাণ প্রায় সর্বনিম্ন রাখা হয়। ডিভাইস ড্রাইভার, প্রোটোকল স্ট্যাক ও ফাইল সিস্টেমের মতো অন্যান্য উপাদানকে তুলনামূলক নিরাপদ ও কম বিশেষাধিকারপ্রাপ্ত ব্যবহারকারী স্থানে চালানো হয়।
• পিং: কোনো আইপি ঠিকানা সক্রিয় আছে কি না, তা পরীক্ষা করতে প্রচলিত পিং অ্যাপ্লিকেশন ব্যবহার করা যায়। ঠিকানাটি সক্রিয় থাকলে আক্রমণকারীরা এরপর পোর্ট স্ক্যান চালিয়ে কোন কোন সেবা উন্মুক্ত রয়েছে, তা শনাক্ত করার চেষ্টা করতে পারে।
• পোর্ট স্ক্যান ব্যবহার করে কোনো আইপি ঠিকানায় উন্মুক্ত পোর্ট খুঁজে দেখা হয়। এর মাধ্যমে কোন কোন নেটওয়ার্ক সেবা ও অ্যাপ্লিকেশনে প্রবেশ করা যায়, তা শনাক্ত করা সম্ভব।
• কী-লগার হলো একধরনের গুপ্তচর সফটওয়্যার, যা ব্যবহারকারী কম্পিউটারের কী-বোর্ডে যা টাইপ করেন, তা গোপনে ধারণ ও সংরক্ষণ করে।
• সোশ্যাল ইঞ্জিনিয়ারিং হলো প্রতারণার মাধ্যমে মানুষকে প্রভাবিত করে নিরাপত্তাব্যবস্থা লঙ্ঘন করানোর কৌশল।
• লজিক বোমা হলো একধরনের ম্যালওয়্যার, যা কোনো বৈধ প্রোগ্রামে যুক্ত করা হয় এবং নির্দিষ্ট কোনো ঘটনা না ঘটা পর্যন্ত নিষ্ক্রিয় থাকে।
• ইউনিকার্নেল হলো এমন কম্পিউটার প্রোগ্রাম, যা ন্যূনতম বৈশিষ্ট্যসম্পন্ন অপারেটিং সিস্টেমে চলে এবং যেখানে কেবল একটি অ্যাপ্লিকেশন চালানোর অনুমতি থাকে। এর বিপরীতে সাধারণ উদ্দেশ্যে ব্যবহৃত অপারেটিং সিস্টেমে একই সময়ে একাধিক অ্যাপ্লিকেশন চলতে পারে। আক্রমণের ক্ষেত্র ছোট করার এই পদ্ধতি মূলত ক্লাউড পরিবেশে ব্যবহৃত হয়, যেখানে ভার্চুয়াল মেশিনে সফটওয়্যার চালানো হয়।
• জিরো ট্রাস্ট নিরাপত্তা বলতে বোঝায়, নেটওয়ার্কের ভেতরে বা বাইরে কাউকেই পূর্বনির্ধারিতভাবে বিশ্বাস করা হয় না। নেটওয়ার্কের সম্পদে প্রবেশের চেষ্টা করা প্রত্যেকের পরিচয় ও অনুমতি যাচাই করতে হয়।

ইতিহাস

ইন্টারনেটের আবির্ভাব এবং সাম্প্রতিক বছরগুলোতে শুরু হওয়া ডিজিটাল রূপান্তরের ফলে সাইবার নিরাপত্তা আমাদের পেশাগত ও ব্যক্তিগত জীবনের পরিচিত একটি বিষয় হয়ে উঠেছে। প্রযুক্তিগত পরিবর্তনের গত ৬০ বছর ধরেই সাইবার নিরাপত্তা ও সাইবার হুমকি বিদ্যমান। ১৯৭০ ও ১৯৮০-এর দশকে কম্পিউটার নিরাপত্তা মূলত শিক্ষাজগতে সীমাবদ্ধ ছিল। পরে ইন্টারনেটের ধারণা ও বিকাশের সঙ্গে যোগাযোগের সুযোগ বাড়ে। ফলে কম্পিউটার ভাইরাস ও নেটওয়ার্কে অনুপ্রবেশের ঘটনা বাড়তে শুরু করে। ১৯৯০-এর দশকে ভাইরাস ছড়িয়ে পড়ার পর ২০০০-এর দশকে ডিনাইয়াল অব সার্ভিসের মতো সংগঠিত আক্রমণ প্রাতিষ্ঠানিক রূপ পায়। এর ফলে সাইবার নিরাপত্তা একটি আনুষ্ঠানিক পেশাগত শাস্ত্র হিসেবে প্রতিষ্ঠিত হয়।

১৯৬৭ সালের এপ্রিলে স্প্রিং জয়েন্ট কম্পিউটার সম্মেলনে উইলিস ওয়্যারের আয়োজিত কম্পিউটার ব্যবস্থায় নিরাপত্তা ও গোপনীয়তা শীর্ষক অধিবেশন এবং পরবর্তী সময়ে প্রকাশিত ওয়্যার প্রতিবেদন কম্পিউটার নিরাপত্তার ইতিহাসে গুরুত্বপূর্ণ ভিত্তি স্থাপন করে। ওয়্যারের কাজ বস্তুগত, সাংস্কৃতিক, রাজনৈতিক ও সামাজিক বিষয়গুলোর সংযোগস্থলে অবস্থিত ছিল।

১৯৭৭ সালে এনআইএসটির একটি প্রকাশনায় গোপনীয়তা, অখণ্ডতা ও প্রাপ্যতা, এই তিনটি বিষয় নিয়ে সিআইএ ত্রয়ী উপস্থাপন করা হয়। নিরাপত্তার প্রধান লক্ষ্যগুলো সহজ ও স্পষ্টভাবে ব্যাখ্যা করার জন্য এটি তৈরি করা হয়েছিল। এই ধারণা এখনো প্রাসঙ্গিক। তবে পরবর্তী সময়ে আরও বিস্তৃত অনেক কাঠামো প্রস্তাব করা হয়েছে।

তবে ১৯৭০ ও ১৯৮০-এর দশকে কম্পিউটার ও ইন্টারনেটের বিকাশ প্রাথমিক পর্যায়ে থাকায় গুরুতর কম্পিউটার হুমকি খুব বেশি ছিল না। নিরাপত্তার হুমকিগুলোও সহজে শনাক্ত করা যেত। অধিকাংশ ক্ষেত্রে অননুমোদিতভাবে সংবেদনশীল নথি ও ফাইলে প্রবেশাধিকার পাওয়া অসৎ অভ্যন্তরীণ ব্যক্তিরাই হুমকির উৎস ছিল। সে সময় ম্যালওয়্যার ও নেটওয়ার্কে অনুপ্রবেশের ঘটনা ঘটলেও সেগুলো আর্থিক লাভের উদ্দেশ্যে ব্যবহার করা হতো না। ১৯৭০-এর দশকের দ্বিতীয়ার্ধে আইবিএমের মতো প্রতিষ্ঠিত কম্পিউটার কোম্পানিগুলো বাণিজ্যিক প্রবেশাধিকার নিয়ন্ত্রণ ব্যবস্থা এবং কম্পিউটার নিরাপত্তা সফটওয়্যার পণ্য সরবরাহ করতে শুরু করে।

কম্পিউটার নেটওয়ার্কে আক্রমণের প্রাথমিক উদাহরণগুলোর একটি হলো বব থমাসের তৈরি কম্পিউটার ওয়ার্ম ক্রিপার। বিবিএন-এ তৈরি এই প্রোগ্রামটি ১৯৭১ সালে আরপানেটের মাধ্যমে ছড়িয়ে পড়ে। প্রোগ্রামটি ছিল নিছক পরীক্ষামূলক এবং এতে কোনো ক্ষতিকর কার্যক্রম ছিল না। পরে ১৯৭২ সালে রে টমলিনসন রিপার নামে আরেকটি প্রোগ্রাম তৈরি করেন, যা ক্রিপারকে ধ্বংস করার জন্য ব্যবহৃত হয়েছিল।

১৯৮৬ সালের সেপ্টেম্বর থেকে ১৯৮৭ সালের জুনের মধ্যে একদল জার্মান হ্যাকার সাইবার গুপ্তচরবৃত্তির প্রথম নথিভুক্ত ঘটনা ঘটায়। দলটি মার্কিন প্রতিরক্ষা ঠিকাদারি প্রতিষ্ঠান, বিশ্ববিদ্যালয় এবং সামরিক ঘাঁটির নেটওয়ার্কে অনুপ্রবেশ করে সংগৃহীত তথ্য সোভিয়েত কেজিবির কাছে বিক্রি করেছিল। দলের নেতৃত্বে ছিলেন মার্কুস হেস। তাঁকে ১৯৮৭ সালের ২৯ জুন গ্রেপ্তার করা হয়। ১৯৯০ সালের ১৫ ফেব্রুয়ারি আরও দুই সহযোগীর সঙ্গে তাঁকে গুপ্তচরবৃত্তির দায়ে দোষী সাব্যস্ত করা হয়।

১৯৮৮ সালে মরিস ওয়ার্ম নামে পরিচিত প্রথম দিককার কম্পিউটার ওয়ার্মগুলোর একটি ইন্টারনেটের মাধ্যমে ছড়িয়ে পড়ে। ঘটনাটি মূলধারার গণমাধ্যমে ব্যাপক মনোযোগ আকর্ষণ করে।

১৯৯৩ সালে ন্যাশনাল সেন্টার ফর সুপারকম্পিউটিং অ্যাপ্লিকেশনস (এনসিএসএ) প্রথম ওয়েব ব্রাউজার মোজাইক ১.০ চালু করার অল্প সময় পর নেটস্কেপ এসএসএল প্রোটোকল তৈরির কাজ শুরু করে। ১৯৯৪ সালে নেটস্কেপের এসএসএল ১.০ সংস্করণ প্রস্তুত হয়েছিল। তবে গুরুতর নিরাপত্তা ত্রুটি থাকায় এটি জনসাধারণের জন্য প্রকাশ করা হয়নি। ১৯৯৫ সালে নেটস্কেপ এসএসএল ২.০ সংস্করণ চালু করে।

যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা তথ্যব্যবস্থা সুরক্ষার পাশাপাশি বিদেশি গোয়েন্দা তথ্য সংগ্রহের দায়িত্ব পালন করে। সংস্থাটি বহুল ব্যবহৃত সফটওয়্যার ও সিস্টেমের বিন্যাস বিশ্লেষণ করে নিরাপত্তার ত্রুটি খুঁজে বের করে। যুক্তরাষ্ট্রের প্রতিদ্বন্দ্বীদের বিরুদ্ধে আক্রমণাত্মক উদ্দেশ্যে এসব ত্রুটি কাজে লাগানো হতে পারে।

যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থার ঠিকাদারেরা যুক্তরাষ্ট্রের বিভিন্ন সংস্থা ও ঘনিষ্ঠ মিত্রদের কাছে দ্রুত ব্যবহারযোগ্য, এক ক্লিকেই আক্রমণ চালাতে সক্ষম সরঞ্জাম তৈরি করে বিক্রি করেছিল। কিন্তু শেষ পর্যন্ত এসব সরঞ্জাম বিদেশি প্রতিপক্ষের হাতেও পৌঁছে যায়। ২০১৬ সালে যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থার নিজস্ব হ্যাকিং সরঞ্জাম হ্যাক করা হয়। পরে রাশিয়া ও উত্তর কোরিয়া সেগুলো ব্যবহার করেছে। সাইবার যুদ্ধে প্রতিযোগিতা করার লক্ষ্যে আগ্রহী প্রতিপক্ষেরা যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থার কর্মী ও ঠিকাদারদের উচ্চ বেতনের প্রস্তাব দিয়ে নিয়োগ করেছে। ২০০৭ সালে যুক্তরাষ্ট্র ও ইসরায়েল মাইক্রোসফট উইন্ডোজ অপারেটিং সিস্টেমের নিরাপত্তা ত্রুটি কাজে লাগিয়ে ইরানে পারমাণবিক উপাদান পরিশোধনে ব্যবহৃত যন্ত্রপাতিতে আক্রমণ চালায় এবং সেগুলোর ক্ষতি করে। এর জবাবে ইরান নিজস্ব সাইবার যুদ্ধের সক্ষমতা বাড়াতে ব্যাপক বিনিয়োগ করে এবং পরে যুক্তরাষ্ট্রের বিরুদ্ধে তা ব্যবহার করতে শুরু করে।

উল্লেখযোগ্য গবেষক

• রস জে. অ্যান্ডারসন
• অ্যানি অ্যান্টন
• অ্যাডাম ব্যাক
• ড্যানিয়েল জে. বার্নস্টাইন
• ম্যাট ব্লেজ
• স্টেফান ব্র্যান্ডস
• জশ ব্রান্টি
• এল. জিন ক্যাম্প
• লরি ক্র্যানর
• ডরোথি ই. ডেনিং
• পিটার জে. ডেনিং
• সিনথিয়া ডওয়ার্ক
• চাক ইস্টম
• ডেবোরা এস্ট্রিন
• জোয়ান ফেইগেনবাউম
• ইয়ান গোল্ডবার্গ
• শফি গোল্ডওয়াসার
• লরেন্স এ. গর্ডন
• পিটার গাটম্যান
• পল কার্ল কোচার
• মোনিকা এস. ল্যাম
• বাটলার ল্যাম্পসন
• ব্রায়ান লামাকিয়া
• সুসান ল্যান্ডাউ
• কার্ল ল্যান্ডওয়ের
• কেভিন মিটনিক
• পিটার জি. নিউম্যান
• সুসান নাইকম
• পল সি. ভ্যান ওরশট
• ফ্রেড পাইপার
• রজার আর. শেল
• ব্রুস স্নাইয়ার
• ডন সং
• জিন স্প্যাফোর্ড
• সালভাতোর জে. স্টলফো
• উইলিস ওয়্যার
• মোতি ইয়ুং

আরও দেখুন

• মুক্ত নিরাপত্তা
• ওয়াস্প

আরও পড়ুন

• Branch, Jordan (২৪ সেপ্টেম্বর ২০২০)। "What's in a Name? Metaphors and Cybersecurity"। International Organization। ৭৫ (1)। Cambridge University Press (CUP): ৩৯–৭০। ডিওআই:10.1017/s002081832000051x। আইএসএসএন 0020-8183। এস২সিআইডি 224886794।
• Costigan, Sean; Hennessy, Michael (২০১৬)। Cybersecurity: A Generic Reference Curriculum (পিডিএফ)। NATO। আইএসবিএন ৯৭৮-৯২-৮৪৫-০১৯৬-০। ১০ মার্চ ২০১৭ তারিখে মূল থেকে আর্কাইভকৃত (পিডিএফ)।
• Fuller, Christopher J (১১ জুন ২০১৮)। "The Roots of the United States' Cyber (In)Security" (DOC)। Diplomatic History। ৪৩ (1)। Oxford University Press (OUP): ১৫৭–১৮৫। ডিওআই:10.1093/dh/dhy038। আইএসএসএন 0145-2096।
• Bob, Yonah Jeremy (২১ আগস্ট ২০২১)। "Ex-IDF cyber intel. official reveals secrets behind cyber offense"। The Jerusalem Post।
• Kim, Peter (২০১৪)। The Hacker Playbook: Practical Guide To Penetration Testing। Seattle: ক্রিয়েটস্পেস ইনডিপেনডেন্ট পাবলিকেশন প্ল্যাটফর্ম। আইএসবিএন ৯৭৮-১-৪৯৪৯-৩২৬৩-৩।
• Lee, Newton (২০১৫)। Counterterrorism and Cybersecurity: Total Information Awareness (2nd সংস্করণ)। Springer। আইএসবিএন ৯৭৮-৩-৩১৯-১৭২৪৩-৯।
• Montagnani, Maria Lillà; Cavallo, Mirta Antonella (২০১৮)। "Cybersecurity and Liability in a Big Data World"। Market and Competition Law Review। ২ (2)। Elsevier BV: ৭১–৯৮। ডিওআই:10.2139/ssrn.3220475। আইএসএসএন 1556-5068। এস২সিআইডি 216704215। এসএসআরএন 3220475।
• Shariati, Marzieh; Bahmani, Faezeh; Shams, Fereidoon (২০১১)। "Enterprise information security, a review of architectures and frameworks from interoperability perspective"। Procedia Computer Science। ৩। Elsevier BV: ৫৩৭–৫৪৩। ডিওআই:10.1016/j.procs.2010.12.089। আইএসএসএন 1877-0509।
• Singer, P. W.; Friedman, Allan (২০১৪)। Cybersecurity and Cyberwar: What Everyone Needs to Know। Oxford University Press। আইএসবিএন ৯৭৮-০-১৯-৯৯১৮১১-৯।
• Wu, Chwan-Hwa (John); Irwin, J. David (২০১৩)। Introduction to Computer Networks and Cybersecurity। Boca Raton: CRC Press। আইএসবিএন ৯৭৮-১-৪৬৬৫-৭২১৩-৩।
• "Cybersecurity Best Practices"। Cybersecurity and Infrastructure Security Agency CISA. (n.d.)। ২৫ এপ্রিল ২০২৪ তারিখে মূল থেকে আর্কাইভকৃত। সংগ্রহের তারিখ ২৪ এপ্রিল ২০২৪।
• Sztyber-Betley, A., Syfert, M., Kościelny, J. M., & Górecka, Z. (2023). Controller Cyber-Attack Detection and Isolation †: Sensors (14248220). Sensors (14248220), 23(5), 2778. ডিওআই:10.3390/s23052778