The Ultimate Guide to Database Security/ডেটাবেস নিরাপত্তার জন্য চূড়ান্ত গাইড

The Ultimate Guide to Database Security/ডেটাবেস নিরাপত্তার জন্য চূড়ান্ত গাইড

সারাংশ: ডাটাবেস নিরাপত্তা আমাদের সকলকে প্রভাবিত করে, আমরা জানি বা না জানি। জানুন কেন এটা গুরুত্বপূর্ণ, ডাটাবেসের নিরাপত্তার মৌলিক বিষয়, সাধারণ দুর্বলতা এবং যেকোনো আক্রমণ প্রতিরোধ করার জন্য সর্বোত্তম অনুশীলন।

একটি ডাটাবেসকে ডেটার সংগ্রহে ইলেকট্রনিক অ্যাক্সেস সঞ্চয়, সংগঠিত, পরিচালনা এবং সমর্থন করার জন্য ডিজাইন করা হয়েছে, যার বেশিরভাগই গোপনীয় বা মালিকানাধীন, সংবেদনশীল, বা শিল্প, রাজ্য, ফেডারেল বা বৈশ্বিক প্রবিধান দ্বারা কোনোভাবে সুরক্ষিত। আর্থিক লাভ, ব্যাঘাত বা সাইবার গুপ্তচরবৃত্তির উদ্দেশ্যে সাইবার অপরাধীদের কাছে সেই ডেটার মূল্য রয়েছে।

আগের বছরের তুলনায় প্রতি সপ্তাহে সাইবার আক্রমণে ৫০% বৃদ্ধির সাথে, অনুপ্রবেশ, অপব্যবহার বা ক্ষতির বিরুদ্ধে ডেটাবেসগুলিকে রক্ষা করার জন্য প্রোগ্রামগুলি ইনস্টিটিউট করা আগের চেয়ে আরও গুরুত্বপূর্ণ।

ডাটাবেস নিরাপত্তা কি?

ডেটাবেস নিরাপত্তা বলতে নিয়ন্ত্রণ, সরঞ্জাম, নীতি এবং ডেটার গোপনীয়তা, অখণ্ডতা এবং প্রাপ্যতা, সেইসাথে ডেটা ম্যানেজমেন্ট সিস্টেম এবং এটি অ্যাক্সেস করা অ্যাপ্লিকেশনগুলিকে সংরক্ষণ করার জন্য ডিজাইন করা অন্যান্য ব্যবস্থা বোঝায়।

ডাটাবেস নিরাপত্তা কি অন্তর্ভুক্ত করে?

ডেটাবেস সুরক্ষা প্রোগ্রামগুলি ডেটার সমস্ত দিক এবং এর বিস্তৃত ইকোসিস্টেমকে রক্ষা করার জন্য ডিজাইন করা হয়েছে, যার মধ্যে রয়েছে:

• ডাটাবেস সার্ভার (শারীরিক, ভার্চুয়াল, অন্তর্নিহিত হার্ডওয়্যার)
• ডাটাবেসে ডাটা
• ডাটাবেস ম্যানেজমেন্ট সিস্টেম (DBMS)
• ডাটাবেস অ্যাক্সেস করে এমন অ্যাপ্লিকেশন
• ডেটাবেস অ্যাক্সেস করতে ব্যবহৃত কম্পিউটিং এবং নেটওয়ার্ক অবকাঠামো

ডাটাবেস নিরাপত্তা কেন গুরুত্বপূর্ণ?

ডাটাবেস নিরাপত্তার গুরুত্বের জন্য উদ্ধৃত শীর্ষ কারণ হল ডেটা লঙ্ঘনের ঝুঁকি হ্রাস করা। সাম্প্রতিক তথ্য অনুসারে, ডেটা লঙ্ঘনের গড় খরচ এখন $৪.২৪ মিলিয়ন, আগের বছরের তুলনায় একটি বিশাল ১০% বৃদ্ধি – এবং এমনকি বেশি যেখানে দূরবর্তী কাজ একটি ফ্যাক্টর ছিল। যাইহোক, ডাটাবেস নিরাপত্তার জন্য অনেক কারণ রয়েছে, যার মধ্যে রয়েছে:

• প্রটেকশন অফ ইন্টেলেকচুয়াল প্রপার্টি (আইপি) অপসারণ বা ক্ষতির বিরুদ্ধে (যেমন হার্ডওয়্যার ব্যর্থতা), যা প্রতিযোগিতা করার ক্ষমতাকে প্রভাবিত করতে পারে।
• ডেটা লঙ্ঘন প্রতিরোধ করুন, যা প্রকৃত ডলারে (নিয়ন্ত্রক সম্মতি জরিমানা, আইনী ফি, লঙ্ঘনের বিজ্ঞপ্তি খরচ) এবং ব্র্যান্ডের খ্যাতি উভয় ক্ষেত্রেই উচ্চ খরচ বহন করে।
• IP হারানো বা উচ্চ লঙ্ঘনের খরচের কারণে ব্যবসার ধারাবাহিকতা। অনেক ছোট থেকে মাঝারি আকারের ব্যবসা বন্ধ হয়ে যাবে যদি তারা লঙ্ঘনের সম্মুখীন হয়।
• ডেটা অখণ্ডতা বজায় রাখতে এবং ব্যবহারকারীর ভুলে যাওয়ার অধিকারকে সমর্থন করার জন্য নিয়ন্ত্রক সম্মতির প্রয়োজনীয়তা।

যেসব ব্যবসার ডেটাবেস নিরাপত্তার প্রয়োজন সবচেয়ে বেশি

সাইবার ক্রাইম বৈষম্য করে না, সমস্ত আকারের সমস্ত শিল্প এবং ব্যবসায় আক্রমণ করে। যদিও এটি সত্য, কিছু শিল্প অন্যদের তুলনায় বেশি টার্গেট করা হয় – যে শিল্পগুলির ডেটা কালো বাজারে বেশি মূল্যের হতে পারে, তারা সাইবার গুপ্তচরবৃত্তির লক্ষ্য, বা যাদের সুরক্ষা দুর্বল হিসাবে বিবেচিত হতে পারে৷

১. স্বাস্থ্যসেবা

রোগীর তথ্য কালোবাজারে বেশি মূল্যবান, ক্রেডিট কার্ডের ডেটার চেয়ে অন্তত ১০ গুণ বেশি মূল্যবান, স্বাস্থ্যসেবা সাইবার আক্রমণের জন্য সবচেয়ে বেশি টার্গেট করা শিল্প। একীভূতকরণ এবং অধিগ্রহণের প্রবণতা এবং ঘূর্ণায়মান এবং চুক্তি কর্মীদের জন্য ডেটা অ্যাক্সেস পরিচালনার জটিলতার সাথে মিলিত উত্তরাধিকার এবং নতুন চিকিৎসা ডিভাইসের একটি জটিল মিশ্রণ, ফাঁকগুলি উপেক্ষা করার ঝুঁকি বাড়ায়।

২. সরকার ও সমালোচনামূলক অবকাঠামো

গত দুই বছরে, জাতি রাষ্ট্র আক্রমণকারীদের দ্বারা সংঘটিত আক্রমণের দিকে একটি প্রবণতা রয়েছে যারা আর্থিক লাভের পাশাপাশি সাইবার গুপ্তচরবৃত্তি (গুপ্তচরবৃত্তি) কার্যকলাপে ব্যাঘাত ও ধ্বংস বা অংশ নেওয়ার ইচ্ছা দ্বারা অনুপ্রাণিত। ২০২০-তে, ১৩% দূষিত লঙ্ঘন হয়েছিল জাতি রাষ্ট্র আক্রমণকারীদের দ্বারা।

৩. অর্থনৈতিক সেবা সমূহ

স্বাস্থ্যসেবার পিছনে, আর্থিক পরিষেবাগুলি ডেটা লঙ্ঘনের সর্বোচ্চ ব্যয় এবং আক্রমণের সর্বোচ্চ হারগুলির মধ্যে একটির মুখোমুখি হয়। প্রকৃতপক্ষে, অর্থের উপর ২৮% আক্রমণ ছিল সার্ভার অ্যাক্সেস আক্রমণ।

৪. খুচরা এবং ইকমার্স

ডাটাবেসে সংরক্ষিত উচ্চ মূল্যের আর্থিক এবং ব্যক্তিগত বিবরণের কারণে সমস্ত আক্রমণের অন্তত ১০.২% খুচরা শিল্পকে লক্ষ্য করে।

ডাটাবেস নিরাপত্তা হুমকি এবং দুর্বলতা

সবচেয়ে সাধারণ ডাটাবেস নিরাপত্তা দুর্বলতা, হুমকি এবং চ্যালেঞ্জ অন্তর্ভুক্ত:

১. ভিতরের হুমকি

এগুলি সিস্টেম এবং ডেটাতে অভ্যন্তরীণ অ্যাক্সেস রয়েছে এমন ব্যক্তিদের থেকে ঝুঁকি, যার মধ্যে বর্তমান কর্মচারীদের পাশাপাশি অতীতের কর্মচারী (অধিকৃত অ্যাক্সেস সহ) বা তৃতীয় পক্ষের অংশীদার বা ঠিকাদার অন্তর্ভুক্ত থাকতে পারে। অভ্যন্তরীণ হুমকিগুলি গত দুই বছরে ৪৪% বেড়েছে এবং ঘটনা প্রতি খরচ হয়েছে $১৫.৩৮ মিলিয়ন। ক্ষতিকারক অভ্যন্তরীণ হুমকিগুলিও ক্রমবর্ধমানভাবে ডাটাবেস ব্যাকআপগুলিকে লক্ষ্যবস্তু করছে৷

অভ্যন্তরীণ হুমকি উভয়ই বিদ্বেষপূর্ণ হতে পারে (যারা লাভ বা প্রতিশোধের জন্য ক্ষতি করতে চায় তাদের কাছ থেকে) এবং অবহেলা (যারা ঝুঁকির পরিচয় দেয় এমন ভুল করে)। আপোসকৃত শংসাপত্রের ব্যবহার একটি অভ্যন্তরীণ হুমকিও গঠন করে, বাইরের আক্রমণকারী ফিশিং বা শংসাপত্র ডাটাবেসের আপসের মাধ্যমে শংসাপত্রগুলিতে অ্যাক্সেস লাভ করে।

২. মানুষের ত্রুটি

মানবিক ত্রুটি হল গুরুতর ডেটা লঙ্ঘনের প্রধান কারণ, যা নিরাপত্তার ঘটনাগুলির ৮৪% এর সাথে যুক্ত, বিশেষ মনোযোগের যোগ্য। সবচেয়ে সাধারণ মানবিক ত্রুটিগুলির মধ্যে রয়েছে: ফিশিং লিঙ্কে ক্লিক করা, দুর্বল পাসওয়ার্ড স্বাস্থ্যবিধি, পাসওয়ার্ড ভাগ করে নেওয়া, প্যাচিং উপেক্ষা করা, এবং অন্য উত্সে (যেমন ক্লাউড অ্যাপ্লিকেশন, ইমেল) নিরাপদ ডেটার অননুমোদিত বহিষ্কার। মানব ত্রুটি শারীরিক নিরাপত্তার সাথে আপস করতে পারে, যেমন কাউকে প্রমাণীকরণ ছাড়া একটি নিরাপদ এলাকায় হাঁটার অনুমতি দেয়।

৩. সাইবার হামলা

সাইবার আক্রমণ অনেক রূপে আসে, কিন্তু ডাটাবেস নিরাপত্তার সবচেয়ে সাধারণ আক্রমণ এবং শোষণের মধ্যে রয়েছে:

ক. ডাটাবেস সফ্টওয়্যার দুর্বলতা

ডাটাবেস ম্যানেজমেন্ট প্ল্যাটফর্ম, নেটওয়ার্ক বা এই সিস্টেমগুলি অ্যাক্সেস করার জন্য ব্যবহৃত অ্যাপ্লিকেশনগুলি সহ সমস্ত সফ্টওয়্যারের জন্য দুর্বলতাগুলি সাধারণ। নিয়মিত প্যাচিং ছাড়া, এই দুর্বলতাগুলি আক্রমণের জন্য সিস্টেমগুলিকে উন্মুক্ত করে দেয়।

খ. SQL/NoSQL ইনজেকশন আক্রমণ

সমস্ত ডাটাবেস সিস্টেম এই ধরণের আক্রমণের জন্য ঝুঁকিপূর্ণ, যা আক্রমণকারীদের ডাটাবেসে কমান্ড কার্যকর করতে বা ডাটাবেসের জন্য কমান্ডগুলিতে কোড ইনজেক্ট করতে দেয়।

গ. পরিষেবা অস্বীকার (DoS/DDoS) আক্রমণ

আক্রমণগুলি একটি মেশিন বা নেটওয়ার্ক বন্ধ করে দেয়, যা ডাটাবেস অ্যাক্সেস করা অসম্ভব করে তোলে। সবচেয়ে সাধারণ DoS আক্রমণ হল একটি বাফার ওভারফ্লো আক্রমণ, যা পরিচালনার জন্য ডিজাইন করা সিস্টেমের চেয়ে বেশি ট্রাফিক পাঠায়।

ঘ. ম্যালওয়্যার

ক্ষতিকারক সফ্টওয়্যার (ম্যালওয়্যার) হল এমন সফ্টওয়্যার যা ডেটা চুরি করতে, সিস্টেমকে ব্যাহত করতে বা ক্ষতি করার জন্য টার্গেট সিস্টেমে অনুপ্রবেশ করার জন্য ডিজাইন করা হয়েছে। ম্যালওয়্যারের সবচেয়ে সাধারণ বিপজ্জনক প্রকারগুলি হল র্যানসমওয়্যার (যেখানে অপরাধীরা তথ্য এনক্রিপ্ট করে এবং অর্থ প্রদানের দাবি করে) বা শূন্য-দিনের আক্রমণ, যা বিক্রেতা সচেতন হওয়ার আগেই ডাটাবেস সফ্টওয়্যার দুর্বলতাগুলিকে কাজে লাগায়।

৪. আইটি পরিবেশের চাপ

পরিবর্তনশীল আইটি পরিবেশ বিদ্যমান ডাটাবেসের পাশাপাশি ডাটাবেস সুরক্ষা অনুশীলন এবং সরঞ্জামগুলির উপর চাপ সৃষ্টি করছে, যার সবগুলি গতিশীল নয়। আইটি পরিবেশে কিছু শীর্ষ চাপের মধ্যে রয়েছে:

ক. ডেটা ভলিউম

‘বিগ ডেটা’-এর বৃদ্ধি কীভাবে ডেটা ক্যাপচার করা, সংরক্ষণ করা, প্রক্রিয়া করা এবং ব্যাক আপ করা হয় তার উপর নতুন চাপ তৈরি করে। সমস্ত সিস্টেম এবং প্রক্রিয়াগুলি ভালভাবে স্কেল করা হয় না, যার ফলে ধীর সিস্টেম, ঝুঁকি এবং ক্রমবর্ধমান ত্রুটি হয়।

খ. বিতরণ করা অবকাঠামো

যেহেতু সংস্থাগুলি ক্রমবর্ধমানভাবে ক্লাউড অবকাঠামো এবং মাইক্রোসার্ভিস আর্কিটেকচার গ্রহণ করছে, ডাটাবেস সুরক্ষা চ্যালেঞ্জগুলি দ্রুতগতিতে আরও জটিল হয়ে উঠেছে।

গ. নিয়ন্ত্রক প্রয়োজনীয়তা

রাজ্য, ফেডারেল, শিল্প এবং বৈশ্বিক স্তরে নিয়ন্ত্রক পরিবেশ দ্রুত পরিবর্তিত হচ্ছে, এখন ডাটাবেস সুরক্ষা থেকে আরও বেশি প্রয়োজন (যেমন ডেটা অখণ্ডতা, ভুলে যাওয়ার অধিকার), যা কিছু সিস্টেম পরিচালনা করতে পারে না।

ঘ. আইটি দক্ষতার অভাব

মার্কিন যুক্তরাষ্ট্রে আইটি দক্ষতার ঘাটতি, বিশেষ করে সাইবার নিরাপত্তায়, অনেক সংস্থার জন্য ডাটাবেস নিরাপত্তার পরিবর্তনশীল চাহিদাগুলি মেনে চলা কঠিন করে তোলে।

৫. নকশা এবং স্থাপনার ব্যর্থতা

স্থাপনা ডাটাবেস নিরাপত্তার জন্য একটি গুরুত্বপূর্ণ পয়েন্ট। যদিও অনেক সংস্থা ডাটাবেস প্রত্যাশিতভাবে কাজ করবে তা নিশ্চিত করার জন্য কার্যকরী পরীক্ষা পরিচালনা করবে, এই পরীক্ষাগুলি সনাক্ত করতে ব্যর্থ হবে যে ডাটাবেসটি প্রত্যাশার চেয়ে বেশি কাজ করবে (নেতিবাচক প্রভাব), নির্বাচিত বৈশিষ্ট্য বা নিয়ন্ত্রণগুলিতে ত্রুটি রয়েছে, বা ডাটাবেসটি গুরুতর অনুপস্থিত কিনা। সুরক্ষা যা নিরাপত্তাকে প্রভাবিত করতে পারে।

ডাটাবেস নিরাপত্তা নিয়ন্ত্রণ প্রকার

উপরোক্ত অনেক দুর্বলতা এবং চ্যালেঞ্জ ভালো ডাটাবেস নিরাপত্তা নিয়ন্ত্রণের মাধ্যমে উন্নত করা যেতে পারে। এই নিয়ন্ত্রণগুলি সুরক্ষা অনুপ্রবেশ বা প্রাপ্যতা হারানোর প্রভাব প্রতিরোধ, সনাক্ত বা প্রতিকার/কমানোর জন্য ডিজাইন করা হয়েছে।

ডাটাবেস নিরাপত্তায় ব্যবহৃত নিয়ন্ত্রণের তিনটি ভিন্ন প্রকার বা বিভাগ রয়েছে:

• শারীরিক নিয়ন্ত্রণ
• প্রযুক্তিগত নিয়ন্ত্রণ
• পদ্ধতিগত / প্রশাসনিক নিয়ন্ত্রণ

ডেটাবেস নিরাপত্তা সর্বোত্তম অভ্যাস

তিন ধরনের ডাটাবেস নিরাপত্তা নিয়ন্ত্রণের মধ্যে (ভৌত, প্রযুক্তিগত, প্রশাসনিক), অনেকগুলি নির্দিষ্ট স্তর রয়েছে। এই স্তরগুলি একটি নির্দিষ্ট আইটি পরিবেশের মধ্যে ডাটাবেসের নকশা, স্থাপনা এবং চলমান ব্যবহার সম্পর্কে অবহিত করতে সহায়তা করে।

ডাটাবেস নিরাপত্তা মূল্যায়ন করার সময়, নিম্নলিখিত সেরা অনুশীলনগুলি বিবেচনা করুন:

১. শারীরিক নিরাপত্তা

নিশ্চিত করুন যে ডাটাবেস সার্ভারটি সুরক্ষিত আছে, সাইটটিতে হোক বা ক্লাউড ডেটা সেন্টারে, পর্যাপ্তভাবে পর্যবেক্ষণ করা এবং জলবায়ু-নিয়ন্ত্রিত একটি সুবিধায় শারীরিক অ্যাক্সেস ব্যবস্থা (যেমন কার্ড বা হার্ডওয়্যার-ভিত্তিক প্রমাণীকরণ প্রোটোকল) দ্বারা সুরক্ষিত। যারা ওয়েব হোস্টিং ব্যবহার করেন তাদের জন্য, ডাটাবেসের নিরাপত্তা নিশ্চিত করার জন্য যথাযথ পরিশ্রম করা উচিত।

২. প্রযুক্তিগত নিয়ন্ত্রণ

ডাটাবেস নিরাপত্তার অনেক দুর্বলতা উন্নত ডাটাবেস ডিজাইনের মাধ্যমে সমাধান করা যেতে পারে। এই নকশা পর্যায়ে, উন্নয়ন ঝুঁকি কমানোর জন্য পছন্দ করা যেতে পারে, যার মধ্যে রয়েছে:

• ওয়েব সার্ভারকে ডাটাবেস সার্ভার থেকে আলাদা করুন যাতে ওয়েব লেভেলে আপস ডাটাবেস সার্ভারকে প্রভাবিত না করে।
• স্থাপনার ব্যর্থতা এড়াতে কার্যকরী পরীক্ষার বাইরে পরীক্ষামূলক পদক্ষেপগুলি নিশ্চিত করতে বাস্তবায়ন পরীক্ষা ব্যবহার করুন।
• বৃহত্তর অপ্রয়োজনীয়তা প্রদানের জন্য প্রতিটি ডাটাবেস সার্ভার আলাদা করুন এবং ডেটার সম্ভাব্য এক্সপোজারগুলিকে আলাদা করুন৷
• বৈশিষ্ট্যগুলিকে সীমিত করুন কারণ হ্যাকাররা ক্রমবর্ধমানভাবে স্ট্যান্ডার্ড ডেটাবেস বৈশিষ্ট্যগুলিকে একটি সিস্টেমের সাথে আপস করে এমন কোড চালানোর জন্য ব্যবহার করছে৷ বৈশিষ্ট্য সীমিত করে, এটি সম্ভাব্য আক্রমণের পৃষ্ঠকে হ্রাস করে।
• আউটবাউন্ড সংযোগ প্রতিরোধ করতে ওয়েব অ্যাপ্লিকেশন এবং ডাটাবেস ফায়ারওয়াল ব্যবহার করুন।
• একটি HTTPS প্রক্সি সার্ভার সেট আপ করুন।
• ডিফল্ট নেটওয়ার্ক পোর্ট ব্যবহার করা এড়িয়ে চলুন।
• অ্যান্টি-ভাইরাস, পাসওয়ার্ড স্ক্যানার, ডেটা মাস্কিং, নেটওয়ার্ক অডিটিং, SQL ইনজেকশন পরীক্ষক এবং স্ক্যানার, দুর্বলতা স্ক্যান এবং আরও অনেক কিছুর মতো সুরক্ষা সরঞ্জামগুলি চয়ন করুন (নীচের বিভাগটি দেখুন)।
• পাবলিক নেটওয়ার্ক অ্যাক্সেস অক্ষম করুন এবং পরিবর্তে একটি গেটওয়ে সার্ভার ব্যবহার করুন৷
• ডাটাবেসের সাথে ইন্টারঅ্যাক্ট করে এমন সমস্ত অ্যাপ্লিকেশন এবং ওয়েব সার্ভারের চলমান পরীক্ষা নিশ্চিত করুন।
• নিশ্চিত করুন যে ডাটাবেস ম্যানেজমেন্ট সফ্টওয়্যারটি বাস্তবায়নের আগে আপ টু ডেট আছে, নিয়মিত প্যাচিংয়ের জন্য একটি পরিকল্পনা সহ (নীচের বিভাগটি দেখুন)।

৩. প্যাচিং

যেকোন ডাটাবেস সিস্টেমে দুর্বলতার সবচেয়ে বড় ক্ষেত্রগুলির মধ্যে একটি হল ডাটাবেস সার্ভারের কার্যকর প্যাচ ব্যবস্থাপনার অভাব এবং নেটওয়ার্কের সাথে সংযোগকারী অ্যাপ্লিকেশনগুলি নিয়মিতভাবে নতুন দুর্বলতা আবিষ্কৃত হয়। আরও, অনেক প্যাচ স্থিতিশীলতার সমস্যাগুলিকে মোকাবেলা করে, ডাটাবেস সিস্টেমের অখণ্ডতা এবং প্রাপ্যতা মোকাবেলায় সহায়তা করে।

৪. অ্যাক্সেস কন্ট্রোল এবং প্রমাণীকরণ

অ্যাক্সেস কন্ট্রোলগুলি নির্ধারণ করে যে কে একটি সিস্টেমে অ্যাক্সেস পায় এবং কী ক্ষমতায় – ডাটাবেস সিস্টেমে রিসোর্স পড়তে, তৈরি করতে, আপডেট করতে বা মুছতে পারে। প্রমাণীকরণ হল একটি ব্যবহারকারী যাচাই করার প্রক্রিয়া যা তারা বলে যে তারা।

ডাটাবেসের নিরাপত্তার জন্য, ব্যবহারকারীদের তাদের কাজ করার জন্য প্রয়োজনীয় ন্যূনতম সংখ্যক অনুমতি বরাদ্দ করা এবং অ্যাডমিন অ্যাকাউন্ট অ্যাক্সেস আলাদা করা এবং সর্বদা ব্যবহারকারীদের যাচাই করার জন্য “শূন্য বিশ্বাস” ধারণার সাথে সক্রিয়ভাবে অ্যাক্সেস নিয়ন্ত্রণগুলি পরিচালনা করা গুরুত্বপূর্ণ। তারা যারা বলে তারা। ডেটাবেস সুরক্ষা প্রোগ্রামগুলিকে অবশ্যই নিয়মিত ব্যবহারকারীর অ্যাক্সেস অডিট করতে হবে, অনবোর্ডিং এবং অফবোর্ডিং প্রক্রিয়াগুলি পর্যালোচনা করতে হবে এবং সুবিধাপ্রাপ্ত ব্যবহারকারীদের জন্য আরও কঠোর প্রমাণীকরণ বিবেচনা করতে হবে।

অ্যাক্সেস কন্ট্রোল এবং প্রমাণীকরণ চেকলিস্ট:

• অ্যাক্সেস ম্যানেজমেন্টের জন্য মৌলিক নিয়ন্ত্রণ সেট আপ করুন
• নীতিগুলি সেট আপ করুন যা ডাটাবেসে প্রশাসনিক বা বিশেষাধিকারপ্রাপ্ত অ্যাক্সেস পরিচালনা করে (ডাটাবেস ইনস্টল, পরিবর্তন, কনফিগার, মুছে ফেলা বা অন্যথায় পরিচালনা করতে)
• বিশেষাধিকারপ্রাপ্ত ব্যবহার / সুবিধাপ্রাপ্ত ব্যবহারকারীদের জন্য উচ্চ স্তরের নিয়ন্ত্রণ বিবেচনা করুন (IAM, PAM)
• প্রমাণীকরণ ফ্যাক্টর(গুলি) এবং প্রয়োজনীয় যেকোন প্রয়োগকরণ নির্ধারণ করুন (যেমন পাসওয়ার্ডের শক্তি, অ্যাকাউন্ট লক সেটিংস, সঞ্চিত পাসওয়ার্ডগুলির এনক্রিপশন)
• ন্যূনতম বিশেষাধিকার অ্যাক্সেস কার্যকর করতে নিয়মিত পর্যালোচনা সেট আপ করুন এবং নিয়মিতভাবে অব্যবহৃত অ্যাকাউন্টগুলি সরান৷

৫. মনিটরিং ও অডিটিং

চলমান সম্মতি নিশ্চিত করতে ডাটাবেস নিরাপত্তার জন্য নিয়মিত পর্যবেক্ষণ এবং নিরীক্ষা প্রয়োজন। নিয়মিত গোয়েন্দা তথ্য সংগ্রহের মধ্যে কার্যকলাপ নিরীক্ষণ এবং সন্দেহজনক কিছুর জন্য সতর্কতা প্রদানের উপায় অন্তর্ভুক্ত থাকবে:

• রিয়েল-টাইম ডাটাবেস পর্যবেক্ষণ
• সমস্ত লগইন এবং অপারেশনের জন্য কার্যকলাপ লগ
• হুমকি বুদ্ধি/অসংগতি সনাক্তকরণ
• দুর্বলতার মূল্যায়ন
• ডেটা বুদ্ধিমত্তার সরঞ্জাম (যেমন সংবেদনশীল ডেটা পুনরুদ্ধার)
• নিয়মিত অডিট

৬. ডেটা এনক্রিপ্ট করুন

ডাটাবেসের সমস্ত ডেটা, এবং ব্যাকআপে, ট্রানজিট এবং বিশ্রামের ডেটা উভয়ের জন্য সুরক্ষা প্রদানের জন্য এনক্রিপ্ট করা উচিত। ডাটাবেস এনক্রিপশন হল একটি অ্যালগরিদম ব্যবহার করে পাঠ্যকে “সাইফার টেক্সট”-এ রূপান্তরিত করার একটি প্রক্রিয়া যা ডিক্রিপ্ট করা ছাড়াই অপাঠ্য হয়ে যায়। এনক্রিপশনের লক্ষ্য হল ডেটা সুরক্ষিত করা এবং ডেটাবেসকে কম আকর্ষণীয় করে তোলা, যেহেতু ডেটা সাইবার অপরাধীদের কাছে অর্থহীন হয়ে পড়বে।

ডাটাবেস এনক্রিপশনের জন্য বিভিন্ন পদ্ধতি এবং প্রযুক্তি রয়েছে। কী ম্যানেজমেন্টে বিশেষ মনোযোগ দিন, যা প্রায়শই অনেক এনক্রিপশন প্রোগ্রামের একটি ত্রুটি।

৭. অখণ্ডতা নিয়ন্ত্রণ

ডেটাবেস অখণ্ডতা নিয়ন্ত্রণ ডাটাবেসে সংরক্ষিত ডেটার যথার্থতা এবং সামঞ্জস্য নিশ্চিত করতে সহায়তা করে। ডেটা ইন্টিগ্রিটি কন্ট্রোলগুলি মানুষের ত্রুটি কমাতে, বিভ্রাট থেকে স্থিতিস্থাপকতা, হার্ডওয়্যার ব্যর্থতা, স্থানান্তর ত্রুটি, বা হ্যাকারদের থেকে বাধাগুলি প্রবর্তন করার জন্য ডিজাইন করা হয়েছে৷ ডেটা অখণ্ডতা নিয়ন্ত্রক সম্মতির একটি গুরুত্বপূর্ণ উপাদান (যেমন GDPR)।

সাধারণ ডাটাবেস অখণ্ডতা নিয়ন্ত্রণ এবং প্রক্রিয়া বিবেচনা করুন, সহ:

• ব্যবহারকারীর অ্যাক্সেস নিয়ন্ত্রণ এবং প্রমাণীকরণ
• ডেটা যাচাইকরণ (ইনপুট এবং ব্যবহারে)
• ডুপ্লিকেট ডেটা অপসারণ
• ব্যাকআপ এবং লগিং প্রক্রিয়া
• নিয়মিত অডিট
• ত্রুটি সনাক্তকরণ সফ্টওয়্যার

ডাটাবেস নিরাপত্তা সরঞ্জাম এবং প্ল্যাটফর্ম

উপরের সর্বোত্তম অনুশীলনগুলিকে সমর্থন করার জন্য, বেশ কয়েকটি সুরক্ষা বিক্রেতা রয়েছে যারা নিম্নলিখিত সরঞ্জাম এবং প্ল্যাটফর্মগুলিতে পৃথক সরঞ্জাম বা অল-ইন-ওয়ান প্ল্যাটফর্ম ক্ষমতাগুলি অফার করে:

১. ডিসকভারি টুলস

আবিষ্কারের সরঞ্জামগুলি বিভিন্ন উদ্দেশ্যে সিস্টেমগুলি স্ক্যান করবে: দুর্বলতাগুলি সন্ধান করতে, অডিট নেটওয়ার্ক এবং সুরক্ষা, কনফিগারেশনের ভুলগুলি উন্মোচন করতে, অ্যাক্সেস নিয়ন্ত্রণের সমস্যাগুলি সনাক্ত করতে, অনুপস্থিত প্যাচগুলি খুঁজে বের করতে, সংবেদনশীল ডেটা বা ডেটা লিকেজ সনাক্ত করতে, দুর্বল পাসওয়ার্ডগুলি সনাক্ত করতে এবং আরও অনেক কিছু।

২. ডাটাবেস কার্যকলাপ পর্যবেক্ষণ

এই সরঞ্জামগুলি ডেটা আবিষ্কারের মাধ্যমে সাইবার আক্রমণগুলি সনাক্ত করতে, প্রতিক্রিয়া জানাতে এবং রক্ষা করতে সহায়তা করে (যে সমস্ত জায়গাগুলিতে ডেটা থাকে সেগুলি সন্ধান করুন), ডাটাবেসের কার্যকলাপ নিরীক্ষণ (মানুষ এবং অ্যাপ্লিকেশন থেকে), এবং বিশ্লেষণ প্রদান এবং প্রতিক্রিয়া এবং নিরীক্ষা কার্যক্রম সমর্থন করে৷

৩. জোড়া লাগানো

অনেক সরঞ্জাম এবং প্ল্যাটফর্ম রয়েছে যা এনক্রিপশন এবং টোকেনাইজেশন সমর্থন করতে সহায়তা করে। আপনি ডেটাবেসে সংরক্ষিত তথ্য রক্ষা করতে এবং এটি ভুল হাতে না পড়ে তা নিশ্চিত করতে আপনি সেগুলি ব্যবহার করতে পারেন।

৪. অ্যাক্সেস কন্ট্রোল এবং প্রমাণীকরণ

অনেক থার্ড-পার্টি পরিষেবা রয়েছে যেগুলি আইএএম এবং পিএএম সিস্টেমগুলি সহ বিশেষাধিকারগুলির পরিচালনার অ্যাক্সেস নিয়ন্ত্রণকে সমর্থন করে, সেইসাথে উন্নত প্রমাণীকরণ বিকল্পগুলি যেমন ওটিপি বা হার্ডওয়্যার বা সর্বাধিক সুবিধাপ্রাপ্ত ব্যবহারকারী বা ডেটার জন্য পাসওয়ার্ডহীন প্রমাণীকরণ।

৫. বিশ্লেষণ

আদর্শ ডাটাবেস নিরাপত্তা কনফিগারেশনের মধ্যে এমন একটি টুল বা প্ল্যাটফর্মের ব্যবহার অন্তর্ভুক্ত থাকবে যা ঝুঁকি, অপ্টিমাইজেশান এবং রিপোর্টিং ক্ষমতার আরও সম্পূর্ণ চিত্র পেতে সাহায্য করার জন্য সমগ্র সিস্টেম থেকে ডেটা বিশ্লেষণ প্রদান করতে পারে।

উপসংহার

আজকের ডিজিটাল বিশ্ব ডাটাবেসের উপর অনেক বেশি নির্ভর করে, তাই আক্রমণের বিরুদ্ধে এই মূল্যবান সম্পদগুলিকে রক্ষা করা এবং সর্বদা ডেটার অখণ্ডতা এবং প্রাপ্যতা বজায় রাখা গুরুত্বপূর্ণ। যাইহোক, ডাটাবেস সুরক্ষার অনেকগুলি চলমান অংশ রয়েছে এবং, যেমনটি আগে বলা হয়েছে, অনেক সংস্থার পরিবর্তনশীল ঝুঁকির ল্যান্ডস্কেপের শীর্ষে থাকার জন্য পর্যাপ্ত অভ্যন্তরীণ দক্ষতার অভাব রয়েছে।

আপনি একটি নতুন ক্লাউড পরিবেশে স্থানান্তরিত হচ্ছেন বা আপনার ডাটাবেস নিরাপত্তা ভঙ্গির একটি অডিট বা অপ্টিমাইজেশন খুঁজছেন কিনা, নেট সলিউশনের বিশেষজ্ঞ ডাটাবেস ডেভেলপার আছে আপনার প্রয়োজনের গভীরে ডুব দিতে।

সচরাচর জিজ্ঞাস্য

১. ডাটাবেস নিরাপত্তার বিভিন্ন স্তর কি কি?

ডাটাবেস সুরক্ষার চারটি স্তর রয়েছে: সুরক্ষা স্তর, ডাটাবেস স্তর, অ্যাক্সেস স্তর এবং ঘের স্তর।

• নিরাপত্তা স্তর ডাটাবেস নিরাপত্তা সমাধান নিয়ে কাজ করে।
• ডাটাবেস স্তরে টোকেনাইজেশন, মাস্কিং এবং এনক্রিপশন জড়িত।
• অ্যাক্সেস নিয়ন্ত্রণ তালিকা এবং অনুমতিগুলি অ্যাক্সেস স্তরের অংশ।
• পারমিটার স্তরে ভার্চুয়াল প্রাইভেট নেটওয়ার্ক এবং ফায়ারওয়াল অন্তর্ভুক্ত রয়েছে

২. আপনি কিভাবে SQL ইনজেকশন আক্রমণ থেকে আপনার ডাটাবেস রক্ষা করতে পারেন?

এসকিউএল ইনজেকশনের আক্রমণ থেকে আপনার ডাটাবেসকে সুরক্ষিত রাখতে এখানে কিছু সতর্কতামূলক ব্যবস্থা রয়েছে যা আপনি অনুসরণ করতে পারেন:

• বিক্রেতাদের কাছ থেকে সর্বশেষ নিরাপত্তা প্যাচ সহ আপনার ডাটাবেস সার্ভার আপ টু ডেট রাখুন।
• আপনি প্রায় কাউকে সন্নিবেশ, আপডেট বা মুছে ফেলার অনুমতি দেবেন না তা নিশ্চিত করতে ন্যূনতম বিশেষাধিকারের নীতিটি ব্যবহার করুন।
• বিভিন্ন ওয়েবসাইট/ওয়েব অ্যাপ্লিকেশনের মধ্যে শেয়ার করা ডাটাবেস অ্যাকাউন্ট ব্যবহার করা এড়িয়ে চলুন
• এটি ব্যবহার করার আগে ব্যবহারকারীর সরবরাহকৃত যাচাই করতে ভুলবেন না। তারা প্রায়ই এসকিউএল ইনজেকশন আক্রমণের সবচেয়ে সাধারণ ঝুঁকি প্ররোচিত করে।
• সময়ে সময়ে যেকোনো সম্ভাব্য সমস্যার জন্য নিয়মিতভাবে আপনার ডাটাবেস স্ক্যান করুন।

৩. ডাটাবেস নিরাপত্তা পরীক্ষা বিভিন্ন ধরনের কি কি?

বিভিন্ন ধরনের ডাটাবেস নিরাপত্তা পরীক্ষা হল:

• অনুপ্রবেশ পরীক্ষা: ইচ্ছাকৃতভাবে নিরাপত্তা ত্রুটিগুলি আবিষ্কার করার জন্য একটি সিস্টেম আক্রমণ.
• ঝুঁকি মূল্যায়ন: আপনার ডাটাবেসের সাথে জড়িত ঝুঁকির মাত্রা নির্ধারণের জন্য একটি ঝুঁকি মূল্যায়ন পরিচালনা করা।
• পাসওয়ার্ড ক্র্যাকিং: আপনার পাসওয়ার্ড হ্যাক হতে পারে কিনা তা দেখতে পাসওয়ার্ড-ক্র্যাকিং সরঞ্জাম ব্যবহার করে।
• নিরাপত্তা নিরীক্ষা: সংস্থা নিরাপত্তা মান অনুসরণ করছে কি না তা দেখতে নিরাপত্তা নিরীক্ষা পরিচালনা করা।

৪. আপনি কিছু জনপ্রিয় ডাটাবেস নিরাপত্তা পরীক্ষার সরঞ্জাম তালিকাভুক্ত করতে পারেন?

DbUnit, JDBC (জাভা ডেটাবেস ডেল্টা টেস্টিং), DbStress, NoSQLMap, NoSQLUnit, sqlmap এবং Tsung হল কিছু জনপ্রিয় ডাটাবেস নিরাপত্তা পরীক্ষার সরঞ্জাম।

৫. ডাটাবেস হার্ডনিং কি?

ডেটাবেস হার্ডনিং বলতে আপনার ডেটাবেসকে নিরাপত্তা দুর্বলতার জন্য বিশ্লেষণ করার প্রক্রিয়া বোঝায় এবং প্রস্তাবিত সেরা নিরাপত্তা অনুশীলনগুলি ব্যবহার করে সেগুলি ঠিক করা।