সাইবার সিকিউরিটির জন্য

নেটওয়ার্ক কী?

নেটওয়ার্ক হলো দুই বা তার বেশি কম্পিউটার বা ডিভাইসের সমষ্টি যারা একে অপরের সাথে যোগাযোগ করতে পারে এবং রিসোর্স শেয়ার করতে পারে। উদাহরণস্বরূপ: তোমার বাড়ির WiFi নেটওয়ার্কে মোবাইল, ল্যাপটপ ও স্মার্ট টিভি একসাথে ইন্টারনেট ব্যবহার করে — এটাই একটি নেটওয়ার্ক।

নেটওয়ার্কের প্রকারভেদ

নেটওয়ার্ক টপোলজি

টপোলজি হলো নেটওয়ার্কের ডিভাইসগুলো কীভাবে সংযুক্ত — এই বিন্যাস। সিকিউরিটির দৃষ্টিকোণ থেকে টপোলজি বোঝা গুরুত্বপূর্ণ কারণ এটি ব্যর্থতার সম্ভাব্য পয়েন্ট (Single Point of Failure) নির্ধারণ করে।

ডেটা ট্রান্সমিশন মিডিয়া

তারযুক্ত মিডিয়া (Wired)

তারবিহীন মিডিয়া (Wireless)

OSI মডেল কী?

OSI (Open Systems Interconnection) মডেল হলো নেটওয়ার্ক যোগাযোগের একটি কনসেপচুয়াল ফ্রেমওয়ার্ক যা ISO তৈরি করেছে। এটি নেটওয়ার্ক ফাংশনকে ৭টি লেয়ারে ভাগ করে। সাইবার সিকিউরিটিতে প্রতিটি লেয়ারে আলাদা ধরনের অ্যাটাক হয়।

┌─────────────────────────────────────────────────────┐
│  লেয়ার ৭ │  Application Layer  │  HTTP, FTP, DNS   │
├─────────────────────────────────────────────────────┤
│  লেয়ার ৬ │  Presentation Layer │  SSL/TLS, JPEG    │
├─────────────────────────────────────────────────────┤
│  লেয়ার ৫ │  Session Layer      │  NetBIOS, RPC     │
├─────────────────────────────────────────────────────┤
│  লেয়ার ৪ │  Transport Layer    │  TCP, UDP         │
├─────────────────────────────────────────────────────┤
│  লেয়ার ৩ │  Network Layer      │  IP, ICMP, ARP    │
├─────────────────────────────────────────────────────┤
│  লেয়ার ২ │  Data Link Layer    │  Ethernet, MAC    │
├─────────────────────────────────────────────────────┤
│  লেয়ার ১ │  Physical Layer     │  Cables, Signals  │
└─────────────────────────────────────────────────────┘

লেয়ার ১ — Physical Layer (ভৌত স্তর)

কাজ: বিট (0 ও 1) কে ইলেকট্রিক সিগন্যাল, আলো বা রেডিও তরঙ্গে রূপান্তর করে পাঠানো।

• ডেটা ইউনিট: Bit
• ডিভাইস: Hub, Repeater, Cable, Network Interface Card
• সিকিউরিটি অ্যাটাক: Physical tapping, Wiretapping, Cable cutting (DoS)
• সুরক্ষা: Physical security, Fiber Optic ব্যবহার, CCTV

লেয়ার ২ — Data Link Layer (ডেটা লিংক স্তর)

কাজ: নোড থেকে নোডে ডেটা ফ্রেম পাঠানো। MAC Address ব্যবহার করে।

• ডেটা ইউনিট: Frame
• ডিভাইস: Switch, Bridge, NIC
• প্রোটোকল: Ethernet, PPP, ARP, VLAN (802.1Q)
• সিকিউরিটি অ্যাটাক: ARP Spoofing/Poisoning, MAC Flooding, VLAN Hopping
• সুরক্ষা: Dynamic ARP Inspection, Port Security, 802.1X Authentication

লেয়ার ৩ — Network Layer (নেটওয়ার্ক স্তর)

কাজ: সোর্স থেকে ডেস্টিনেশনে প্যাকেট রাউটিং করা। IP Address ব্যবহার করে।

• ডেটা ইউনিট: Packet
• ডিভাইস: Router, Layer 3 Switch
• প্রোটোকল: IP (v4/v6), ICMP, OSPF, BGP, RIP
• সিকিউরিটি অ্যাটাক: IP Spoofing, ICMP Flood (Ping of Death), BGP Hijacking, TTL Manipulation
• সুরক্ষা: Ingress/Egress Filtering, IPsec, Firewall ACL

লেয়ার ৪ — Transport Layer (ট্রান্সপোর্ট স্তর)

কাজ: End-to-end যোগাযোগ নিশ্চিত করা। পোর্ট নম্বর ব্যবহার করে।

• ডেটা ইউনিট: Segment (TCP) / Datagram (UDP)
• প্রোটোকল: TCP, UDP, SCTP
• সিকিউরিটি অ্যাটাক: SYN Flood, Port Scanning, Session Hijacking, UDP Flood
• সুরক্ষা: SYN Cookies, Rate Limiting, Stateful Firewall

লেয়ার ৫, ৬, ৭ — Session, Presentation, Application

TCP/IP মডেল

TCP/IP মডেল বাস্তবে ইন্টারনেটে ব্যবহৃত হয়। এটি OSI-এর ৭ লেয়ারকে ৪ লেয়ারে সংকুচিত করে।

Data Encapsulation — ডেটা কীভাবে যায়?

পাঠানোর সময় (Sender):
Application Data: [DATA]
Transport adds header: [TCP Header][DATA]              → Segment
Network adds header:   [IP Header][TCP Header][DATA]   → Packet
Data Link adds frame:  [ETH][IP][TCP][DATA][FCS]       → Frame
Physical:              0101010101... (bits)              → Bits

পাওয়ার সময় (Receiver):
বিপরীত ক্রমে প্রতিটি লেয়ার Header খুলে ফেলে।

IP Address কী?

IP (Internet Protocol) Address হলো প্রতিটি নেটওয়ার্ক ডিভাইসের একটি অনন্য পরিচয়পত্র। ঠিক যেমন বাড়ির ঠিকানা দিয়ে চিঠি পাঠানো হয়, তেমনি IP Address দিয়ে ডেটা প্যাকেট পাঠানো হয়।

IPv4 বিস্তারিত

IPv4 হলো ৩২-বিটের একটি সংখ্যা যা ৪টি অক্টেটে (৮ বিট করে) লেখা হয়।

উদাহরণ: 192.168.1.100

বাইনারি:
11000000 . 10101000 . 00000001 . 01100100
   192   .    168   .     1    .    100

মোট বিট: 32
মোট সম্ভাব্য IP: 2^32 = প্রায় ৪.৩ বিলিয়ন

IPv4 ক্লাস

Private vs Public IP Address

NAT (Network Address Translation)

NAT হলো এমন একটি পদ্ধতি যেখানে Router একটি Public IP দিয়ে অনেকগুলো Private IP ডিভাইসকে ইন্টারনেট অ্যাক্সেস দেয়।

তোমার বাড়ির নেটওয়ার্ক:
মোবাইল: 192.168.1.2  ──┐
ল্যাপটপ: 192.168.1.3  ──┤──→ Router (NAT) ──→ Internet
স্মার্ট TV: 192.168.1.4 ──┘     Public IP: 103.x.x.x

বাইরে থেকে শুধু 103.x.x.x দেখা যায়।
কে কোন ডিভাইস সেটা লুকানো থাকে।

সাবনেটিং (Subnetting)

সাবনেটিং হলো একটি বড় নেটওয়ার্ককে ছোট ছোট অংশে (সাবনেট) ভাগ করা। সিকিউরিটির জন্য এটি অত্যন্ত গুরুত্বপূর্ণ কারণ আলাদা ডিপার্টমেন্টকে আলাদা সাবনেটে রাখলে একটি হ্যাক হলে অন্যটি সুরক্ষিত থাকে।

CIDR Notation (সিডার নোটেশন)

IPv6 বিস্তারিত

IPv4 ঠিকানা শেষ হয়ে যাওয়ায় IPv6 তৈরি হয়েছে। এটি ১২৮-বিটের।

IPv6 উদাহরণ:
2001:0db8:85a3:0000:0000:8a2e:0370:7334

সংক্ষিপ্ত রূপ:
2001:db8:85a3::8a2e:370:7334

মোট সম্ভাব্য IP: 2^128 = 340 undecillion (প্রায় অসীম!)

বিশেষ IPv6 ঠিকানা:
::1          → Loopback (127.0.0.1 এর মতো)
::           → Unspecified
fe80::/10    → Link-local
ff00::/8     → Multicast

IPv4 vs IPv6 তুলনা

TCP vs UDP — সবচেয়ে গুরুত্বপূর্ণ পার্থক্য

TCP Three-Way Handshake বিস্তারিত

Client                    Server
  |                          |
  |──── SYN (seq=100) ──────→|   "হ্যালো, কথা বলতে চাই"
  |                          |
  |←── SYN-ACK (seq=200, ───|   "ঠিক আছে, প্রস্তুত আছি"
  |     ack=101)             |
  |                          |
  |──── ACK (ack=201) ──────→|   "চমৎকার, শুরু করা যাক"
  |                          |
  |═══════ Data Flow ════════|

SYN Flood Attack:
Client (Hacker)           Server
  |──── SYN ───────────────→|
  |──── SYN ───────────────→|  সার্ভার অনেক SYN-ACK
  |──── SYN ───────────────→|  পাঠায় কিন্তু ACK আসে না
  |──── SYN ───────────────→|  → সার্ভারের মেমোরি ভরে যায়
  |                          |  → Legitimate connection reject করে

HTTP ও HTTPS

HTTP (HyperText Transfer Protocol) — পোর্ট 80

ওয়েব ব্রাউজার ও ওয়েব সার্ভারের মধ্যে যোগাযোগের প্রোটোকল। HTTP সম্পূর্ণ অনিরাপদ — সব ডেটা Plaintext-এ যায়।

HTTPS — পোর্ট 443

HTTP + TLS/SSL = HTTPS। ডেটা এনক্রিপ্ট করে পাঠায়। সিকিউরিটির জন্য সব সাইটে HTTPS থাকা উচিত।

DNS — ডোমেইন নেম সিস্টেম (পোর্ট 53)

DNS ইন্টারনেটের ফোনবুক। Domain Name কে IP Address-এ রূপান্তর করে।

DHCP — ডায়নামিক হোস্ট কনফিগারেশন (পোর্ট 67/68)

DHCP স্বয়ংক্রিয়ভাবে নেটওয়ার্ক ডিভাইসকে IP Address, Subnet Mask, Default Gateway ও DNS দেয়।

DHCP DORA Process:
Client              DHCP Server
  |─── Discover ──────────→|   "কেউ IP দেবে?"
  |←── Offer ─────────────|   "192.168.1.100 নাও"
  |─── Request ───────────→|   "ঠিক আছে, ওটাই চাই"
  |←── ACK ───────────────|   "নাও, লিজ দিলাম"

DHCP Starvation Attack:
হ্যাকার লক্ষ লক্ষ Discover পাঠিয়ে সব IP নিয়ে নেয়
→ নতুন ডিভাইস IP পায় না → DoS

SSH — সিকিউর শেল (পোর্ট 22)

SSH এনক্রিপ্টেড কমান্ড-লাইন অ্যাক্সেস দেয়। Telnet (পোর্ট 23) এর নিরাপদ বিকল্প।

গুরুত্বপূর্ণ পোর্ট নম্বর — সম্পূর্ণ তালিকা

প্রধান নেটওয়ার্ক ডিভাইস

Hub — লেয়ার ১

Hub সব পোর্টে ডেটা ব্রডকাস্ট করে। সিকিউরিটির দৃষ্টিকোণ থেকে অত্যন্ত বিপজ্জনক কারণ যেকোনো ডিভাইস সব ট্র্যাফিক দেখতে পারে। আধুনিক নেটওয়ার্কে Hub ব্যবহার হয় না।

Switch — লেয়ার ২

Switch MAC Address টেবিল ব্যবহার করে সঠিক পোর্টে ডেটা পাঠায়। Hub-এর চেয়ে নিরাপদ কিন্তু ARP Spoofing ও MAC Flooding-এর মাধ্যমে আক্রান্ত হতে পারে।

Router — লেয়ার ৩

Router নেটওয়ার্কের মধ্যে ট্র্যাফিক রাউটিং করে। IP Address ব্যবহার করে সেরা পাথ নির্ধারণ করে।

Firewall — সবচেয়ে গুরুত্বপূর্ণ সিকিউরিটি ডিভাইস

Firewall নেটওয়ার্ক ট্র্যাফিক ফিল্টার করে। নির্দিষ্ট নিয়ম (Rules) অনুযায়ী ট্র্যাফিক Allow বা Block করে।

IDS ও IPS

Proxy Server

Proxy হলো মধ্যবর্তী সার্ভার যা Client ও Internet-এর মধ্যে কাজ করে।

• Forward Proxy: Client-এর পক্ষে Internet-এ রিকোয়েস্ট করে (Client IP লুকায়)
• Reverse Proxy: Server-এর পক্ষে Client রিকোয়েস্ট গ্রহণ করে (Server IP লুকায়) — Nginx, Cloudflare
• Transparent Proxy: ব্যবহারকারী জানে না Proxy আছে

DNS কীভাবে কাজ করে?

তুমি browser-এ টাইপ করলে: www.google.com

১. Browser Cache চেক করে
          ↓ না পেলে
২. OS Cache (/etc/hosts) চেক করে
          ↓ না পেলে
৩. Recursive Resolver (ISP DNS) কে জিজ্ঞেস করে
          ↓ না জানলে
৪. Root DNS Server (.) জিজ্ঞেস করে → .com কে জানে
          ↓
৫. TLD DNS Server (.com) জিজ্ঞেস করে → google.com কে জানে
          ↓
৬. Authoritative DNS Server (Google) → 142.250.x.x
          ↓
৭. Browser পায় IP: 142.250.x.x
          ↓
৮. Browser connect করে 142.250.x.x:443 এ

DNS Record Types

DNS অ্যাটাক

১. DNS Spoofing / Cache Poisoning

হ্যাকার DNS Cache-এ ভুয়া রেকর্ড ঢুকিয়ে দেয়। ব্যবহারকারী সঠিক domain টাইপ করলেও হ্যাকারের সার্ভারে চলে যায়।

২. DNS Zone Transfer

Zone Transfer ভুলভাবে কনফিগার থাকলে সব DNS রেকর্ড (সব subdomain সহ) একসাথে বের করা যায়।

৩. DNS Amplification DDoS

UDP-র spoofed packet দিয়ে DNS সার্ভারকে victim-এর IP-তে বড় Response পাঠাতে বলে। ছোট request-এ বড় response → ট্র্যাফিক amplification।

৪. DNS Tunneling

Firewall bypass করতে DNS প্যাকেটের মধ্যে ডেটা লুকিয়ে পাঠানো।

WiFi স্ট্যান্ডার্ড

WiFi সিকিউরিটি প্রোটোকল

WEP (Wired Equivalent Privacy) — ব্যবহার করবেন না!

১৯৯৭ সালে তৈরি। RC4 encryption ব্যবহার করে। মাত্র কয়েক মিনিটে crack করা যায়।

WPA (WiFi Protected Access)

WEP-এর উন্নত বিকল্প। TKIP encryption ব্যবহার করে। এখনো দুর্বল।

WPA2 — সবচেয়ে বেশি ব্যবহৃত

AES-CCMP encryption ব্যবহার করে। দুটি মোড:

• WPA2-Personal (PSK): একটি পাসওয়ার্ড সবার জন্য। হোম নেটওয়ার্কে ব্যবহার।
• WPA2-Enterprise: RADIUS Server দিয়ে আলাদা authentication। অফিস নেটওয়ার্কে।

দুর্বলতা: PMKID ও 4-Way Handshake ক্যাপচার করে offline brute force।

WPA3 — সর্বশেষ ও সবচেয়ে নিরাপদ

SAE (Simultaneous Authentication of Equals) ব্যবহার করে। Dictionary Attack প্রতিরোধ করে।

ওয়্যারলেস অ্যাটাক

১. Evil Twin Attack

আসল AP: "HomeWiFi" (BSSID: AA:BB:CC)
হ্যাকারের AP: "HomeWiFi" (জোরালো সিগন্যাল দিয়ে)

ব্যবহারকারীর ডিভাইস হ্যাকারের AP-তে connect করে
→ সব ট্র্যাফিক হ্যাকারের মধ্য দিয়ে যায়
→ Captive portal দেখিয়ে পাসওয়ার্ড চুরি

২. Deauthentication Attack

802.11 Management Frame-এ authentication নেই। হ্যাকার Deauth Frame পাঠিয়ে সব ডিভাইস disconnect করতে পারে। এরপর WPA Handshake ক্যাপচার করা যায়।

৩. WPA Handshake Capture ও Crack

ক্রিপ্টোগ্রাফি কী?

ক্রিপ্টোগ্রাফি হলো তথ্য এনক্রিপ্ট করে অননুমোদিত অ্যাক্সেস থেকে রক্ষা করার বিজ্ঞান। Confidentiality, Integrity, Authentication — তিনটিই নিশ্চিত করে।

Symmetric Encryption (প্রতিসম এনক্রিপশন)

একই Key দিয়ে Encrypt ও Decrypt করা হয়।

Sender                              Receiver
  |                                    |
  | Plain: "Hello"                     |
  | Key: "SecretKey123"                |
  |                                    |
  | Encrypt → "X7$mK9#"  ──────────→ | 
  |                                    | Decrypt (same key)
  |                                    | → "Hello"

সমস্যা: Key কীভাবে নিরাপদে পাঠাবে?

Asymmetric Encryption (অপ্রতিসম এনক্রিপশন)

দুটি Key — Public Key (সবাইকে দেওয়া যায়) ও Private Key (শুধু নিজের কাছে)।

Sender                              Receiver
  |                                    |
  | Receiver-এর Public Key দিয়ে      | নিজের Private Key দিয়ে
  | Encrypt → "X7$mK9#"  ──────────→ | Decrypt → "Hello"
  |                                    |
  
Digital Signature (বিপরীত):
Sender নিজের Private Key দিয়ে Sign করে
Receiver Sender-এর Public Key দিয়ে Verify করে

Hashing — একমুখী ফাংশন

Hash এমন একটি ফাংশন যা যেকোনো ডেটা থেকে নির্দিষ্ট দৈর্ঘ্যের একটি মান তৈরি করে। Hash থেকে মূল ডেটা বের করা অসম্ভব।

TLS/SSL — HTTPS-এর ভিত্তি

TLS Handshake (সরলীকৃত):
Client                          Server
  |                                |
  |── ClientHello (TLS version, ──→|
  |   supported ciphers)           |
  |                                |
  |←── ServerHello + Certificate ──|
  |    (Server-এর Public Key সহ)  |
  |                                |
  |── Pre-Master Secret ──────────→| (Server-এর Public Key দিয়ে encrypt)
  |   (র‍্যান্ডম নম্বর)            |
  |                                |
  |   উভয়পক্ষ Session Key তৈরি করে|
  |                                |
  |══════ Encrypted Data ══════════| (Symmetric AES দিয়ে)

PKI ও SSL Certificate

PKI (Public Key Infrastructure) হলো Certificate ব্যবস্থাপনার একটি সিস্টেম।

• Certificate Authority (CA): DigiCert, Let's Encrypt — Certificate ইস্যু করে
• DV Certificate: শুধু Domain verify করে (সবচেয়ে সহজ)
• OV Certificate: Organization verify করে
• EV Certificate: সম্পূর্ণ যাচাই, ব্রাউজারে সবুজ রঙে company নাম দেখায়
• Wildcard Certificate: *.example.com — সব subdomain কভার করে

VPN (Virtual Private Network)

VPN এনক্রিপ্টেড টানেল তৈরি করে Public Internet-এর মধ্য দিয়ে নিরাপদে ডেটা পাঠায়।

তোমার PC ──→ [Encrypted Tunnel] ──→ VPN Server ──→ Internet
              (ISP দেখতে পায় না)

Site-to-Site VPN:
Office A ──→ [VPN Tunnel] ──→ Office B
(দুটো অফিস একটি নেটওয়ার্কের মতো কাজ করে)

Zero Trust সিকিউরিটি মডেল

"Never Trust, Always Verify" — এই নীতিতে কেউই স্বয়ংক্রিয়ভাবে বিশ্বাসযোগ্য নয়, ভেতরে থাকলেও।

সাধারণ নেটওয়ার্ক অ্যাটাক

১. Man-in-the-Middle (MITM) Attack

স্বাভাবিক:  Client ────────────────── Server
MITM:        Client ── Hacker ──────── Server
             (Hacker মাঝখানে ট্র্যাফিক দেখে ও পরিবর্তন করে)

পদ্ধতি:
- ARP Spoofing → LAN-এ MITM
- Evil Twin → WiFi-এ MITM
- SSL Stripping → HTTPS কে HTTP-তে নামায়
- DNS Spoofing → ভুল সার্ভারে নিয়ে যায়

২. DDoS (Distributed Denial of Service)

৩. Port Scanning

৪. ARP Spoofing — MITM-এর ভিত্তি

Firewall Rule বোঝা

নেটওয়ার্ক সিকিউরিটি Architecture

Internet
    |
[Firewall - Edge]
    |
[DMZ Zone]
├── Web Server
├── Mail Server
└── DNS Server
    |
[Internal Firewall]
    |
[Internal Network]
├── [HR Subnet - 10.10.1.0/24]
├── [Finance Subnet - 10.10.2.0/24]
├── [IT Subnet - 10.10.3.0/24]
└── [Database Subnet - 10.10.4.0/24]

DMZ = DeMilitarized Zone
(Internet থেকে access পায় কিন্তু
Internal Network থেকে আলাদা)

Wireshark — প্যাকেট অ্যানালাইজার

Wireshark হলো সবচেয়ে জনপ্রিয় নেটওয়ার্ক প্রোটোকল অ্যানালাইজার। নেটওয়ার্ক ট্র্যাফিক ক্যাপচার করে বিশ্লেষণ করা যায়।

গুরুত্বপূর্ণ Wireshark Filter

tcpdump — Command Line প্যাকেট ক্যাপচার

Nmap — নেটওয়ার্ক ম্যাপার

Netcat — সুইস আর্মি নাইফ

অন্যান্য গুরুত্বপূর্ণ টুল

প্যাকেট অ্যানালাইসিস — হ্যান্ডস-অন

HTTP Login ক্যাপচার করা (শিক্ষামূলক)

SYN Scan কীভাবে Wireshark-এ দেখায়

Port Open:    SYN → SYN-ACK → RST   (পোর্ট খোলা)
Port Closed:  SYN → RST             (পোর্ট বন্ধ)
Filtered:     SYN → (কোনো response নেই)  (Firewall আছে)

প্র্যাকটিস করার জায়গা

সার্টিফিকেশন রোডম্যাপ

Beginner:
CompTIA Network+ → CompTIA Security+
        ↓
Intermediate:
CEH (Certified Ethical Hacker)
eJPT (eLearnSecurity Junior Penetration Tester)
        ↓
Advanced:
OSCP (Offensive Security Certified Professional) — সেরা!
PNPT (Practical Network Penetration Tester)
        ↓
Expert:
OSCE3, CRTE, CRTO (Red Team Operations)