OWASP টপ ১০ সিকিউরিটি থ্রেটস
OWASP (Open Web Application Security Project) হল একটি বিশ্বব্যাপী সংস্থা যা ওয়েব অ্যাপ্লিকেশন সুরক্ষা নিয়ে কাজ করে। তারা নিয়মিতভাবে সাইবার সিকিউরিটির বিভিন্ন ঝুঁকির একটি তালিকা প্রকাশ করে, যা ওয়েব অ্যাপ্লিকেশন নিরাপত্তার ক্ষেত্রে সবচেয়ে প্রচলিত এবং গুরুতর হুমকি নির্দেশ করে। নিচে OWASP এর টপ ১০ সিকিউরিটি থ্রেটস এর একটি তালিকা এবং প্রতিটি ঝুঁকের বিস্তারিত আলোচনা করা হলো।
১. ইনজেকশন (Injection)
ইনজেকশন হল একটি নিরাপত্তা ত্রুটি যেখানে আক্রমণকারী অ্যাপ্লিকেশনে ক্ষতিকারক ইনপুট (যেমন SQL, NoSQL, OS কমান্ড, বা LDAP ইনজেকশন) প্রবাহিত করে। এটি ডেটাবেসে অপ্রত্যাশিত এবং ক্ষতিকারক কমান্ড চালানোর সুযোগ সৃষ্টি করে।
২. ক্রেডেনশিয়াল ও সেশন ম্যানেজমেন্ট (Broken Authentication)
ক্রেডেনশিয়াল ও সেশন ম্যানেজমেন্টের ত্রুটি ঘটে যখন ব্যবহারকারীদের লগইন তথ্য (যেমন পাসওয়ার্ড) বা সেশন আইডি সঠিকভাবে সুরক্ষিত হয় না। এর ফলে আক্রমণকারীরা ব্যবহারকারীর অ্যাকাউন্টে প্রবেশাধিকার পেতে পারে।
৩. ক্রস-সাইট স্ক্রিপ্টিং (XSS)
ক্রস-সাইট স্ক্রিপ্টিং (XSS) হল একটি আক্রমণ যেখানে আক্রমণকারী একটি নিরাপদ ওয়েবসাইটে ক্ষতিকারক স্ক্রিপ্ট সন্নিবেশ করে। ব্যবহারকারী যখন এই সাইটে প্রবেশ করে তখন ক্ষতিকারক স্ক্রিপ্টটি চলমান হয় এবং আক্রমণকারী ব্যবহারকারীর তথ্য চুরি করতে পারে।
৪. নিরাপত্তাহীন ডেটা স্টোরেজ (Insecure Direct Object References)
নিরাপত্তাহীন ডেটা স্টোরেজ ঘটে যখন অ্যাপ্লিকেশন ব্যবহারকারীদের প্রাইভেট ডেটা অ্যাক্সেসের জন্য যথাযথ অনুমতি যাচাই করে না। আক্রমণকারী সরাসরি অবজেক্ট রেফারেন্স পরিবর্তন করে গোপন ডেটাতে প্রবেশাধিকার পেতে পারে।
৫. সিকিউরিটি মিসকনফিগারেশন (Security Misconfiguration)
সিকিউরিটি মিসকনফিগারেশন হয় যখন অ্যাপ্লিকেশন বা সার্ভারের নিরাপত্তা সেটিংস সঠিকভাবে কনফিগার করা হয় না। এটি সিস্টেমে অপ্রয়োজনীয় পরিষেবা চালু করা, পুরনো সফটওয়্যার ব্যবহার, বা নিরাপত্তা প্যাচগুলি ইনস্টল না করার ফলে ঘটে।
৬. সংবেদনশীল তথ্য প্রকাশ (Sensitive Data Exposure)
সংবেদনশীল তথ্য প্রকাশ ঘটে যখন সংবেদনশীল তথ্য (যেমন ক্রেডিট কার্ড তথ্য, পাসওয়ার্ড, বা স্বাস্থ্য তথ্য) যথাযথভাবে সুরক্ষিত না হয়। এটি ডেটা চুরি বা অবৈধ প্রবেশাধিকার ঘটাতে পারে।
৭. অ্যাক্সেস কন্ট্রোলের সমস্যা (Missing Function Level Access Control)
অ্যাক্সেস কন্ট্রোলের সমস্যা ঘটে যখন একটি অ্যাপ্লিকেশন ব্যবহারকারীদের নিয়ন্ত্রণ এবং অধিকারগুলি সঠিকভাবে যাচাই করে না। এর ফলে অনুমোদিত ব্যবহারকারীরা প্রশাসনিক ফাংশন বা গোপন তথ্য অ্যাক্সেস করতে পারে।
৮. ক্রস-সাইট রিকোয়েস্ট ফরগারি (CSRF)
ক্রস-সাইট রিকোয়েস্ট ফরগারি (CSRF) হল একটি আক্রমণ যেখানে ব্যবহারকারী তাদের অনিচ্ছাকৃতভাবে একটি অনুরোধ প্রেরণ করে, যা তাদের অ্যাকাউন্টে ক্ষতিকারক কার্যক্রম ঘটায়। আক্রমণকারী একটি সাইটের লিঙ্কে ক্লিক করানোর মাধ্যমে ব্যবহারকারীর অনুমতি ছাড়া অ্যাকাউন্টে পরিবর্তন ঘটাতে পারে।
৯. ব্যবহারকারী ইনপুট সঠিকভাবে যাচাই না করা (Using Components with Known Vulnerabilities)
ব্যবহারকারী ইনপুট সঠিকভাবে যাচাই না করা ঘটে যখন অ্যাপ্লিকেশন ডিফল্ট বা নিরাপত্তাহীন কনফিগারেশন সহ সিস্টেম বা লাইব্রেরি ব্যবহার করে। এটি সিস্টেমকে নিরাপত্তার ঝুঁকিতে ফেলে।
১০. অকার্যকর লগিং এবং মনিটরিং (Insufficient Logging and Monitoring)
অকার্যকর লগিং এবং মনিটরিং হয় যখন একটি অ্যাপ্লিকেশন সঠিকভাবে লগিং বা পর্যবেক্ষণ করে না। এটি আক্রমণের ঘটনার সনাক্তকরণ এবং সেগুলির জন্য প্রতিরোধমূলক ব্যবস্থা গ্রহণে বাধা সৃষ্টি করে।
সারসংক্ষেপ
OWASP টপ ১০ সিকিউরিটি থ্রেটস একটি গুরুত্বপূর্ণ গাইডলাইন যা নিরাপত্তা বিশ্লেষক, ডেভেলপার এবং সংস্থাগুলিকে নিরাপত্তা দুর্বলতা সনাক্ত এবং প্রতিরোধ করতে সহায়ক। প্রতিটি থ্রেটের সাথে সম্পর্কিত সুরক্ষা ব্যবস্থা গ্রহণ করে নিরাপত্তা ঝুঁকি কমানো সম্ভব। নিরাপত্তা সুরক্ষা নিশ্চিত করার জন্য নিয়মিত নিরাপত্তা অডিট এবং সর্বশেষ নিরাপত্তা প্যাচ প্রয়োগ করা গুরুত্বপূর্ণ।
Read more
