Threat Hunting এ দক্ষতা অর্জন: একটি ব্যবহারিক গাইড

Threat hunting ঐতিহ্যগত সিকিউরিটি মডেলকে উল্টে দেয়: alerts এর জন্য অপেক্ষা করার পরিবর্তে, আপনি সক্রিয়ভাবে আপস ধরে নেন এবং প্রমাণ খুঁজতে যান। সঠিকভাবে সম্পাদিত হলে, এটি স্বয়ংক্রিয় প্রতিরক্ষা অতিক্রম করে যায় এমন প্রতিদ্বন্দ্বীদের ধরে ফেলে। এই গাইড একটি ব্যবহারিক, পুনরাবৃত্তিযোগ্য প্রক্রিয়ার মধ্য দিয়ে যায় যা আপনি আপনার সংস্থার আকার বা টুলসেট নির্বিশেষে প্রয়োগ করতে পারেন।

কেন Hunting গুরুত্বপূর্ণ

Signature-ভিত্তিক ডিটেকশন এবং এমনকি বেশিরভাগ behavioral analytics শুধুমাত্র পরিচিত-খারাপ patterns বা সুস্পষ্ট anomalies ধরতে পারে। দক্ষ আক্রমণকারীরা সেই থ্রেশহোল্ডের নিচে সচেতনভাবে কাজ করে, legitimate tools (living-off-the-land binaries), বৈধ credentials এবং ধীর, ধৈর্যশীল চলাচল ব্যবহার করে। Threat hunting সেই ব্যবধান বন্ধ করে একজন মানব বিশ্লেষক attacker behavior সম্পর্কে অনুমান গঠন করে এবং আপনার telemetry তে supporting evidence সক্রিয়ভাবে খুঁজে বের করে।

একটি Hypothesis-চালিত প্রক্রিয়া তৈরি করুন

কার্যকর hunts একটি নির্দিষ্ট, পরীক্ষাযোগ্য hypothesis দিয়ে শুরু হয় এবং না একটি খোলা-প্রান্তের fishing expedition। ভালো hypotheses সাধারণত তিনটি উৎস থেকে আসে:

• Threat intelligence: একটি নতুন রিপোর্ট একটি technique বর্ণনা করে যা একটি গ্রুপ দ্বারা ব্যবহৃত হয় যা আপনার industry কে লক্ষ্য করে। Hypothesis: "যদি এই গ্রুপ আমাদের environment এ সক্রিয় থাকে, আমরা PowerShell দেখব যা একটি নির্দিষ্ট pattern এর মাধ্যমে payloads ডাউনলোড করছে।"
• MITRE ATT&CK gaps: আপনার বর্তমান detection coverage কে ATT&CK techniques এর বিপরীতে ম্যাপ করুন এবং আপনি বর্তমানে স্বয়ংক্রিয়ভাবে সনাক্ত করতে পারেন না এমন techniques এর জন্য hunts অগ্রাধিকার দিন।
• Anomaly-চালিত কৌতূহল: অস্বাভাবিক login times, বিরল parent-child process relationships বা alerts ট্রিগার করে না এমন unexpected outbound connections কিন্তু পর্যালোচনায় অদ্ভুত দেখায়।

প্রতিটি hypothesis, ডেটা সোর্স আপনি query করবেন এবং কী প্রমাণ এটি নিশ্চিত বা খণ্ডন করবে তা ডকুমেন্ট করুন। এই শৃঙ্খলা hunts কে unfocused হওয়া থেকে প্রতিরোধ করে এবং ফলাফলগুলি reproducible করে তোলে।

আপনার ডেটা সোর্স জানুন

একটি hunt শুধুমাত্র এর পিছনে থাকা telemetry এর মতো ভালো। মূল সোর্সগুলির মধ্যে রয়েছে:

• Endpoint Detection and Response (EDR) logs: process creation, command-line arguments, file writes, প্রতি process network connections।
• Windows Event Logs: বিশেষ করে Security (4624/4625 logons), Sysmon (process creation, network, registry) এবং PowerShell operational logs।
• Network data: connection metadata এর জন্য NetFlow/Zeek logs, DNS query logs এবং outbound web traffic এর জন্য proxy logs।
• Authentication logs: identity providers, VPNs এবং directory services থেকে impossible travel বা credential abuse স্পট করতে।
• Cloud audit logs: privilege changes এবং API abuse এর জন্য CloudTrail, Azure Activity Logs বা GCP Audit Logs।

এগুলি একটি SIEM বা data lake এ কেন্দ্রীভূত করুন যেখানে আপনি দ্রুত ad-hoc queries চালাতে পারেন। যদি আপনার retention খুব ছোট হয়, ঐতিহাসিক intrusions এর বিপরীতে hunts অসম্ভব হয়ে যায়—যেখানে সম্ভব সেখানে কমপক্ষে 90 দিনের লক্ষ্য রাখুন।

ব্যবহারিক Hunting Techniques

Stack counting (frequency analysis): একটি field এর ঘটনা গণনা করুন—parent process names, scheduled task names, service names—আপনার environment জুড়ে। Outliers (একটি process দশ হাজারের মধ্যে একটি host এ চলছে) প্রায়শই অনুসন্ধানের মূল্য এমন কিছু নির্দেশ করে।

SELECT parent_process, COUNT(*) as cnt
FROM process_events
GROUP BY parent_process
ORDER BY cnt ASC
LIMIT 50;

Least frequency of occurrence (LFO): stacking এর মতো কিন্তু combinations এ প্রয়োগ করা, যেমন authentication এর জন্য (user, source_ip) pairs, rare access patterns উঠানোর জন্য।

Baseline deviation: একটি host বা user এর জন্য "normal" কেমন দেখায় তা প্রতিষ্ঠা করুন (typical login hours, common processes) এবং deviations ফ্ল্যাগ করুন। এটি profiling এ একটি প্রাথমিক বিনিয়োগ প্রয়োজন কিন্তু ongoing hunts এর জন্য মূল্যবান।

IOCs এবং TTPs উপর Pivoting: একটি পরিচিত indicator (hash, domain, IP) বা technique (যেমন, T1055 process injection) থেকে শুরু করুন এবং সমস্ত উপলব্ধ logs জুড়ে সম্পর্কিত activity এর জন্য খুঁজুন, তারপর কোনো hits থেকে বাইরের দিকে pivot করুন সম্পর্কিত infrastructure বা প্রভাবিত hosts খুঁজতে।

শিখার মূল্যবান Tools

• Sysmon + Sigma rules: Sysmon সমৃদ্ধ endpoint telemetry প্রদান করে; Sigma আপনাকে SIEM platforms জুড়ে সনাক্ত এবং hunt করতে একটি portable rule format দেয়।
• Velociraptor বা osquery: fleet-wide live querying এর জন্য যখন আপনাকে কয়েক শত endpoints এ একটি নির্দিষ্ট artifact এর জন্য এখনই চেক করতে হবে।
• Zeek: সাধারণ NetFlow এর বাইরে গভীর network protocol analysis এর জন্য।
• MITRE ATT&CK Navigator: সময়ের সাথে hunt coverage ট্র্যাক এবং ভিজুয়ালাইজ করতে।

লুপ বন্ধ করা

প্রতিটি hunt একটি outcome তৈরি করা উচিত "কিছু খুঁজে পাইনি" এর বাইরে। যদি আপনি malicious activity নিশ্চিত করেন, এটি incident response এ feed করুন। যদি আপনি visibility তে gaps খুঁজে পান, সেগুলি detection engineering tickets হিসেবে file করুন। যদি একটি hunt technique মূল্যবান প্রমাণিত হয়, এটিকে একটি automated detection rule তে রূপান্তরিত করুন যাতে ভবিষ্যত instances ম্যানুয়াল effort ছাড়াই alerts ট্রিগার করে। এটি threat hunting কে আপনার সম্পূর্ণ security program এর জন্য একটি continuous improvement engine তে পরিণত করে এবং একটি one-off exercise নয়।

হypotheses, ব্যবহৃত queries এবং findings সহ একটি hunt log রাখুন—এই institutional knowledge সময়ের সাথে জমা হয় এবং নতুন hunters কে onboarding করা অনেক দ্রুত করে তোলে।

গভীরে যেতে প্রস্তুত? Korra Studio এর Digital Forensics এবং Blue Team segments অন্বেষণ করুন detection এবং investigation skills তৈরি করতে যা threat hunting এর সাথে প্রাকৃতিকভাবে জোড়া থাকে।