Zero trust architecture সহজ ভাষায়
পুরোনো মডেল অফিস network-এর ভেতরের সবকিছুকে বিশ্বাস করত। Zero trust ধরে নেয় network শত্রুভাবাপন্ন এবং প্রতিটি request যাচাই করে।
পুরোনো নিরাপত্তা মডেল ছিল দুর্গ ও পরিখা: প্রান্তে শক্ত firewall, আর network-এর ভেতরে সবকিছু বিশ্বস্ত। একটি চুরি যাওয়া ল্যাপটপ, একটি phishing হওয়া পাসওয়ার্ড বা একটি compromised server আক্রমণকারীকে ভেতরে অবাধ চলাচল দিলে এটি ব্যর্থ হয়।
Zero trust বলে: কখনো বিশ্বাস নয়, সবসময় যাচাই। Network-এর অবস্থান কোনো আস্থা দেয় না। প্রতিটি request-কে প্রমাণ করতে হবে সে কে, কী থেকে আসছে, এবং তার অনুমতি আছে।
মূল নীতি
- স্পষ্টভাবে যাচাই। Identity, device-এর স্বাস্থ্য, অবস্থান ও আচরণ দিয়ে প্রতিটি request authenticate ও authorize করুন।
- Least privilege। User ও service-কে শুধু যতটুকু দরকার, শুধু ততক্ষণের জন্য access দিন।
- ধরে নিন ভাঙন হয়েছে। এমনভাবে ডিজাইন করুন যেন আক্রমণকারী আগে থেকেই ভেতরে, যাতে সে কতটা পৌঁছাতে পারে সীমিত হয় এবং দ্রুত ধরা পড়ে।
বাস্তবে কেমন দেখায়
মানুষের জন্য
- শক্ত single sign-on ও multi-factor authentication (আদর্শভাবে phishing-প্রতিরোধী, যেমন passkey বা security key)।
- Access সিদ্ধান্তে device (আপডেট করা, পরিচালিত, encrypted) ও ঝুঁকির সংকেত বিবেচিত হয়।
- পুরো network খুলে দেওয়া flat VPN-এর বদলে identity-aware proxy দিয়ে অ্যাপে পৌঁছানো।
Service-এর জন্য
- mTLS (mutual TLS): দুই পক্ষই certificate দেখায়, তাই service-রা একে অপরের কাছে পরিচয় প্রমাণ করে।
- Config ফাইলে দীর্ঘস্থায়ী পাসওয়ার্ড ও key-র বদলে স্বয়ংক্রিয়ভাবে বদলানো স্বল্পস্থায়ী credential।
- Service-থেকে-service authorization: একটি service শুধু প্রয়োজনীয় endpoint ডাকতে পারে।
- Microsegmentation: network নিয়ম যা ডিফল্টে সব আটকায় এবং শুধু নির্দিষ্ট প্রবাহ অনুমোদন করে।
Data-র জন্য
- Transit ও rest-এ encryption।
- সূক্ষ্ম access control ও পূর্ণ audit log।
ধাপে ধাপে গ্রহণ
সব একসাথে বদলানো যায় না।
- User, device, service ও data-র তালিকা করুন। যা জানেন না তা রক্ষা করা যায় না।
- আগে সর্বত্র শক্ত identity ও MFA দিন। এতে সবচেয়ে বেশি লাভ।
- ব্যাপক VPN access বদলে প্রতি-অ্যাপ access দিন।
- অভ্যন্তরীণ service-দের মধ্যে service identity ও mTLS যোগ করুন।
- Network ভাগ করুন এবং "সব অনুমতি" নিয়ম সরান।
- ক্রমাগত log, monitor ও access পর্যালোচনা করুন।
খরচ ও ফাঁদ
- এটি একটি যাত্রা, কোনো পণ্য নয়। "বাক্সে zero trust" দাবি করা টুল নিয়ে সতর্ক থাকুন।
- বেশি যাচাই ব্যবহারযোগ্যতা নষ্ট করতে পারে। নিরাপত্তা ও মসৃণ অভিজ্ঞতার ভারসাম্য রাখুন।
- পুরোনো সিস্টেমের সামনে proxy লাগতে পারে।
মূল কথা: network-কে অবিশ্বস্ত ধরুন, প্রতিটি request-এ identity ও device যাচাই করুন, least privilege দিন, এবং ভাঙনের জন্য পরিকল্পনা রাখুন।
System Design সিরিজ, পর্ব ৫ (failure ও security): 5 নম্বর (মোট 6)। আগের লেখা: DDoS প্রতিরক্ষা: ওয়েবসাইট কীভাবে বাঁচাবেন.
