DNS sinkhole ব্যাখ্যা করা হয়েছে: কীভাবে এটি ক্ষতিকারক কলব্যাক প্রতিরোধ করে

একজন অতিথি আপনার ক্যাফে-এর WiFi-এ একটি ল্যাপটপ সংযোগ করেন, একটি ব্রাউজার খোলেন এবং নিজের কাজ শুরু করেন। পটভূমিতে, সেই ল্যাপটপের ম্যালওয়্যার তার কন্ট্রোলারের সাথে যোগাযোগ করার চেষ্টা করে। আপনি প্রতিটি ভিজিটরের ডিভাইসে সিকিউরিটি সফটওয়্যার ইনস্টল করতে পারবেন না, তবে ইন্টারনেট গন্তব্যের জন্য সেই ডিভাইসের অনুরোধগুলিতে আপনার নেটওয়ার্ক কীভাবে প্রতিক্রিয়া জানাবে তা আপনি নিয়ন্ত্রণ করতে পারেন।

একটি DNS সিঙ্কহোল আপনাকে সেই কলব্যাক ব্যাহত করার এবং তদন্তের যোগ্য প্রমাণ রেকর্ড করার একটি উপায় দেয়। দরকারী প্রশ্নটি কেবল এটি নয় যে এটি কী ব্লক করে। এটি হলো আপনি ক্ষতিগ্রস্ত ডিভাইসটি সনাক্ত করতে পারেন কিনা, আপনার পলিসি প্রয়োগের বিষয়টি প্রমাণ করতে পারেন কিনা এবং কোনো নিয়ম ভুল হলে বৈধ অ্যাক্সেস পুনরুদ্ধার করতে পারেন কিনা।

সূচিপত্র

• সহজ ভাষায় DNS সিঙ্কহোল কী
  • DNS ব্লকিং আর IP ব্লকিং এক নয়
• ক্ষতিকারক লুকআপে সিঙ্কহোল কীভাবে সাড়া দেয়
  • আপনার প্রয়োজনীয় প্রমাণের ভিত্তিতে সাড়া বেছে নিন
• Conficker-এর প্রাদুর্ভাব যা সিঙ্কহোলকে স্ট্যান্ডার্ডে পরিণত করেছে
  • লুকআপটি একটি পরিমাপের পয়েন্টে পরিণত হয়েছে
• সিঙ্কহোল হিটকে সংক্রামিত ডিভাইসের সংকেতে রূপান্তর করা
  • ক্লায়েন্ট খোঁজার জন্য পর্যাপ্ত কনটেক্সট বজায় রাখুন
  • সিগন্যাল যাচাই করুন এবং কভারেজ বজায় রাখুন
• শেয়ার্ড এবং গেস্ট নেটওয়ার্কের জন্য ডিপ্লয়মেন্ট মডেল
  • এনক্রিপশন এবং এনফোর্সমেন্ট দুটি আলাদা বিষয়
  • আপনার পরীক্ষা করার মতো একটি সীমানায় কন্ট্রোলটি রাখুন
• ফলস পজিটিভ এবং দ্রুত কীভাবে রিকভার করবেন
  • সুরক্ষা না সরিয়ে অ্যাক্সেস পুনরায় চালু করুন
• সিঙ্কহোল আপনার নেটওয়ার্কের উপযুক্ত কি না তা নির্ধারণ করুন
  • অপারেটিং মডেলটিকে আপনার এস্টেটের সাথে মেলান

সহজ কথায় DNS সিঙ্কহোল কী

সংক্রামিত ল্যাপটপটি নির্দেশের জন্য জিজ্ঞাসা করার আগে তার কন্ট্রোলারকে খুঁজে নেওয়া আবশ্যক। যদি ম্যালওয়্যারটি একটি ডোমেইন নাম ব্যবহার করে, তবে ল্যাপটপটি প্রথমে একটি DNS রিজলভারকে সেই নামটি একটি IP ঠিকানায় অনুবাদ করতে বলে।

DNS-কে একটি ফোন ডিরেক্টরি হিসেবে ভাবুন। ডোমেইনটি হল সেই নাম যা আপনি খুঁজছেন, এবং IP ঠিকানাটি হল সেই নম্বর যা আপনাকে কল করতে হবে। একটি প্রতিরক্ষামূলক রিজলভার পরীক্ষা করে যে তার সেই নম্বরটি প্রদান করা উচিত কিনা।

একটি DNS সিঙ্কহোল ক্ষতিকারক হিসেবে পরিচিত ডোমেইনের উত্তরকে একটি নিয়ন্ত্রিত গন্তব্য দিয়ে প্রতিস্থাপন করে, অথবা উত্তরটি ব্লক করে, যাতে ডিভাইসটি আক্রমণকারীর কাছে পৌঁছাতে সেই লুকআপ ব্যবহার করতে না পারে।

কঠোরভাবে বলতে গেলে, সিঙ্কহোলিং অর্থ হল ট্রাফিককে একটি নিয়ন্ত্রিত এন্ডপয়েন্টে পুনর্নির্দেশ করা। প্রশাসকরা এমন DNS পলিসির জন্য ব্যাপকভাবে এই শব্দটি ব্যবহার করেন যা কোনও গন্তব্য না প্রদান করেই ক্ষতিকারক লুকআপগুলিকে দমন করে।

ডিরেক্টরির উপমাটি পরবর্তী সংযোগ থেকে নামের লুকআপ আলাদা করতে সাহায্য করে।

DNS ব্লকিং কোনো IP ব্লকিং নয়

ডিভাইসটি সেই গন্তব্যের সাথে যোগাযোগ করার জন্য উত্তর ব্যবহার করার আগেই একটি DNS সিঙ্কহোল অনুরোধ করা নামের উপর কাজ করে। একটি সাধারণ ফায়ারওয়াল রুল প্যাকেটগুলি মূল্যায়ন করে, প্রায়শই তাদের গন্তব্য IP ঠিকানা ব্যবহার করে, এবং প্রাথমিক সংযোগের চেষ্টা প্রত্যাখান করতে পারে। ফায়ারওয়ালকে একটি প্রতিষ্ঠিত সংযোগের জন্য অপেক্ষা করতে হয় না।

বৈধ এবং ক্ষতিকারক পরিষেবাগুলি যখন একই হোস্টিং পরিকাঠামো শেয়ার করে তখন সেই পার্থক্যটি গুরুত্বপূর্ণ হয়ে ওঠে। একটি সম্পূর্ণ IP ঠিকানা ব্লক করলে তা সম্পর্কিত নয় এমন পরিষেবাগুলিকেও প্রভাবিত করতে পারে, যেখানে একটি DNS নীতি একটি নির্দিষ্ট হোস্টনেমকে টার্গেট করতে পারে। কোনো পদ্ধতিই অন্যটির বিকল্প নয়।

শেয়ার করা WiFi-এ, রেজোলাভারটি দরকারী কারণ অপারেটরের ল্যাপটপে প্রশাসনিক অ্যাক্সেসের প্রয়োজন নেই। তবে, একটি কলব্যাক বন্ধ করা সংক্রমণ সরিয়ে দেয় না। এটি অপারেটরকে একটি কনটেইনমেন্টের সুযোগ দেয় এবং উপযুক্ত লগিং সহ তদন্তের জন্য একটি সূত্র দেয়।

একটি সিঙ্কহোল কীভাবে ক্ষতিকারক লুকআপের প্রতিক্রিয়া জানায়

একটি DNS লুকআপ হল তথ্যের জন্য একটি অনুরোধ, অনুরোধ করা ওয়েবসাইটের সাথে একটি সংযোগ নয়। রিজলভারের উত্তর নির্ধারণ করে যে ডিভাইসটি এরপরে কী চেষ্টা করতে পারে।

মূল পাথটি ডিভাইস, পলিসি চেক এবং নিয়ন্ত্রিত গন্তব্যকে পৃথক করে।

1. ডিভাইসটি তার কলব্যাক ডোমেনের জন্য অনুরোধ জানায়। এটি তার কনফিগার করা সমাধানকারীর কাছে একটি কোয়েরি পাঠায়।
2. সমাধানকারীটি চিহ্নিত করে যে কোন পলিসিটি মূল নেটওয়ার্কের ক্ষেত্রে প্রযোজ্য, যেমন কোনো গেস্ট SSID বা কর্মী VLAN।
3. নামটি থ্রেট ইন্টেলিজেন্স এবং স্থানীয় নিয়মের সাথে যাচাই করা হয়, যার মধ্যে কমান্ড-এন্ড-কন্ট্রোল, ফিশিং এবং ম্যালওয়্যার ক্যাটাগরি অন্তর্ভুক্ত রয়েছে।
4. ব্লক করার মতো মিল পাওয়া গেলে, সমাধানকারী একটি নিয়ন্ত্রিত ঠিকানা প্রদান করে, একটি নো-সাচ-নেম প্রতিক্রিয়া ফেরত দেয়, অথবা উত্তরটি প্রত্যাখ্যান বা দমন করে।
5. ডিভাইসটি হয় ডিকয়-এ সংযোগের চেষ্টা করে অথবা একটি ব্যবহারযোগ্য গন্তব্য পেতে ব্যর্থ হয়। অনুমোদিত নামগুলি স্বাভাবিকভাবে সমাধান হয়।

একটি ডিভাইস কোনো সাইট বা অ্যাপ খোলার আগে, এটি DNS-কে জিজ্ঞাসা করে যে কোথায় এটি পাওয়া যাবে, এবং Shield সেই নেটওয়ার্কের পলিসি ব্যবহার করে উত্তর দেয়। কোনো ডোমেইন ব্লক করা থাকলে, সেই গন্তব্যের সাথে সংযোগ কখনোই শুরু হয় না এবং ডিভাইসটি তার পরিবর্তে কাস্টমারের ব্র্যান্ডেড ব্লক পেজ দেখে। ইউজার-ফেসিং সেই অভিজ্ঞতাকে ব্যর্থ ব্যাক-কলের চেষ্টা করা ম্যালওয়্যারের সাথে গুলিয়ে ফেলা উচিত নয়।

আপনার প্রয়োজনীয় প্রমাণের জন্য প্রতিক্রিয়া বেছে নিন

সিঙ্কহোল প্রতিক্রিয়ার বিকল্প এবং তার থেকে কী প্রকাশ পায়

প্রতিক্রিয়া	ডিভাইসটি কী অনুভব করে	প্রতিরক্ষাকারীরা কী জানতে পারে	প্রধান ট্রেড-অফ
নো-সাচ-নেম (NXDOMAIN)	লুকআপ ব্যর্থ হয় এবং সংযোগটি কখনোই শুরু হয় না	একটি লুকআপের চেষ্টা করা হয়েছিল এবং সেটি ব্লক করা হয়েছে	কলব্যাকটি বন্ধ করে কিন্তু পরবর্তী কোনো সংযোগ আচরণের তথ্য প্রদান করে না
সিঙ্কহোল অ্যাড্রেস	লুকআপ একটি নিয়ন্ত্রিত সার্ভারের ঠিকানা ফেরত দেয়	উৎস IP, কলব্যাকের সময়সূচী, পুনরায় চেষ্টা করার প্যাটার্ন এবং পর্যবেক্ষণযোগ্য প্রোটোকল	একটি নজরদারিকৃত এন্ডপয়েন্ট এবং সতর্কতামূলক লগ স্টোরেজ প্রয়োজন
প্রত্যাখ্যাত বা দমন করা উত্তর	সমাধানকারী কোয়েরিটি প্রত্যাখ্যান করে বা উত্তর না দিয়ে ছেড়ে দেয়	সমাধানকারীর লগিং সক্রিয় না থাকলে চেষ্টার চেয়ে বেশি কিছু জানা যায় না	প্রয়োগ করা দ্রুত, তবে কিছু ক্লায়েন্ট দ্রুত ও বারংবার চেষ্টা করে

NXDOMAIN সোর্স বা টাইমস্ট্যাম্পের তথ্য মুছে ফেলে না। একটি রিভলভার দুটোই লগ করতে পারে। ব্যর্থ লুকআপ থেকে এটি যা সংগ্রহ করতে পারে না তা হলো ম্যালওয়্যারটি পরবর্তী সময়ে যে সংযোগ স্থাপন করত।

একটি পিয়ার-রিভিউ করা সিঙ্কহোল প্যাকেট-ক্যাপচার মূল্যায়ন চিরাচরিত বাস্তবায়নের তুলনায় একটি উন্নত কালেকশন ডিজাইনে ক্ষতিকারক-প্যাকেট ক্যাপচারে পাঁচ গুণ উন্নতির রিপোর্ট দিয়েছে। এটি কালেকশন আর্কিটেকচার সম্পর্কিত প্রমাণ, প্রতিটি সিঙ্কহোল একই উন্নতি প্রদান করবে এমন কোনো প্রতিশ্রুতি নয়।

এই ভিডিওটি মেকানিজমটি অনুসরণ করার আরেকটি উপায় সরবরাহ করে।

আপনার বেছে নেওয়া প্রতিক্রিয়া নির্ধারণ করে যে আপনি পরবর্তীতে কোন আচরণ পর্যবেক্ষণ করতে পারবেন। সংগ্রাহকদের আলাদা রাখুন এবং ধরে নেবেন না যে রিডাইরেকশন প্রতিটি এনক্রিপ্ট করা অ্যাপ্লিকেশনের জন্য একটি পরিষ্কার সতর্কবার্তা পৃষ্ঠা তৈরি করবে।

কনফিকারের প্রাদুর্ভাব যা সিঙ্কহোলকে স্ট্যান্ডার্ডে পরিণত করেছে

Conficker দেখিয়েছিল যে রক্ষাকারীরা কীভাবে ম্যালওয়্যারের নির্দেশাবলীর সন্ধানকে বুদ্ধিমত্তার উৎসে পরিণত করতে পারে। প্রতিটি সংক্রামিত কম্পিউটার পরিদর্শন করার পরিবর্তে, গবেষকরা সেই গন্তব্যগুলিকে প্রতিহত করেছিলেন যেগুলির সাথে যোগাযোগ করার জন্য ওয়ার্মটিকে প্রোগ্রাম করা হয়েছিল।

CAIDA-এর Conficker আর্কাইভ প্রথমবারের মতো নভেম্বর 2008-এ সনাক্ত হওয়া প্রাদুর্ভাবের বর্ণনা দেয়, যার প্রাথমিক রূপগুলি প্রতিদিন প্রায় 250টি ছদ্ম-র্যান্ডম ডোমেন নাম তৈরি করেছিল। নির্দেশাবলী বা অতিরিক্ত ম্যালওয়্যার পেতে ওয়ার্মটি HTTP-এর মাধ্যমে জেনারেট করা নামগুলির সাথে যোগাযোগ করেছিল।

অপরাধীরা সেগুলি ব্যবহার করার আগেই গবেষক এবং নেটওয়ার্ক অপারেটররা নির্বাচিত ডোমেইনগুলি নিবন্ধিত করেছিলেন, তারপর সেই নামগুলিকে নিয়ন্ত্রিত সার্ভারের দিকে পয়েন্ট করেছিলেন। ফলস্বরূপ সংক্রামিত কম্পিউটারগুলি রক্ষকারীদের দ্বারা পরিচালিত পরিকাঠামোতে কল করেছিল।

লুকআপ একটি পরিমাপের পয়েন্ট হয়ে উঠেছে

সেই কলব্যাকগুলি রেসপন্ডারদের সংক্রামিত সিস্টেমগুলি চিহ্নিত করতে, ওয়ার্মের বিস্তার অনুমান করতে এবং অপরাধমূলক কমান্ড নেটওয়ার্কের সাথে সরাসরি যোগাযোগ না করেই ক্লিনআপের অগ্রগতি ট্র্যাক করতে সহায়তা করেছিল। তাই একটি সফল ইন্টারসেপশন কেবল একটি আপডেট অস্বীকার করার চেয়ে বেশি কাজ করেছে। এটি এমন একটি কম্পিউটার রেকর্ড করেছে যা এখনও একটি পাওয়ার চেষ্টা করছে।

• প্রতিরোধের জন্য, রেসপন্ডাররা বাছাই করা নামগুলিকে আক্রমণকারীর নিয়ন্ত্রণে থাকা পরিকাঠামোর দিকে নিয়ে যাওয়া থেকে আটকেছিল।
• তদন্তের জন্য, কলব্যাক লগগুলি এমন সিস্টেমগুলি চিহ্নিত করেছিল যেগুলিতে নজর দেওয়া প্রয়োজন ছিল।
• প্রতিকার ট্র্যাকিংয়ের জন্য, ক্রমাগত কলব্যাক ইঙ্গিত করেছিল যে ক্লিনআপ অসম্পূর্ণ রয়ে গেছে।

Conficker-এর পরবর্তী ভ্যারিয়েন্টগুলি তৈরি হওয়া নামের সংখ্যা বাড়ায় এবং পিয়ার-টু-পিয়ার আপডেট যোগ করে। সাড়াদানকারীদের একটি ছোট, স্থির তালিকার ওপর নির্ভর করার বদলে রেজিস্ট্রেশন এবং ব্লকিং সমন্বয় করতে হয়েছিল।

ঐতিহাসিক ডিপ্লয়মেন্টও একটি সংস্থার স্থানীয় ফিল্টারিং পলিসি থেকে আলাদা ছিল। গবেষকরা তাদের নিয়ন্ত্রিত ডোমেনগুলির গন্তব্য পরিবর্তন করেছেন, যা সাধারণ DNS-এর মাধ্যমে সেই নামগুলি সমাধান করা সংক্রামিত কম্পিউটারগুলিকে প্রভাবিত করেছে। একজন ভেন্যু অপারেটর সাধারণত এর নিজস্ব রিকার্সিভ রেজোলাভারে পলিসি প্রয়োগ করে।

উভয় ক্ষেত্রেই কভারেজ একটি সীমাবদ্ধতা ছিল। ডিফেন্ডাররা তাদের নিয়ন্ত্রণে থাকা নামগুলির কলব্যাকগুলি ইন্টারসেপ্ট করতে পারত, কিন্তু তার মানে এই ছিল না যে সম্ভাব্য প্রতিটি আপডেট রুট অদৃশ্য হয়ে গেছে। Conficker সিঙ্কহোলিংকে একটি প্রতিরোধমূলক কৌশল এবং পরিমাপের টুল উভয় হিসাবেই প্রতিষ্ঠিত করেছিল, সংক্রামিত কম্পিউটারগুলি মেরামতের বিকল্প হিসাবে নয়।

সিঙ্কহোলের ঘটনাকে সংক্রমিত ডিভাইসের লিডে রূপান্তর করা

একটি ক্লায়েন্ট যা একটি ব্লক করা কমান্ড-অ্যান্ড-কন্ট্রোল (C2) ডোমেনে বারবার কোয়েরি করে, তা মনোযোগের দাবি রাখে। এমনকি আপনার কাছে এন্ডপয়েন্ট এজেন্ট, পেলোড পরিদর্শন, বা বিস্তারিত ফায়ারওয়াল রেকর্ড না থাকলেও এই প্যাটার্নটি একটি দরকারী সূত্র প্রদান করতে পারে।

নির্ভরশীলতাটি গুরুত্বপূর্ণ: ইউনিভার্সিটি অফ অ্যারিজোনার বটনেট-ডিফেন্স পেপার ব্যাখ্যা করে যে কার্যকর DNS রিডাইরেকশনের জন্য বটনেটের C2 পরিকাঠামো চিহ্নিত করা এবং বট যে DNS অপারেটর ব্যবহার করে তার সহযোগিতা প্রয়োজন। একটি হিট দেখায় যে একটি নির্দিষ্ট অনুরোধ আপনার পলিসির সম্মুখীন হয়েছে, এটি বোঝায় না যে আপনি প্রতিটি যোগাযোগের পথ আবিষ্কার করে ফেলেছেন।

ক্লায়েন্ট খুঁজে বের করার জন্য পর্যাপ্ত বিষয়বস্তু রাখুন

বিচ্ছিন্ন ড্যাশবোর্ডে এগুলি ছড়িয়ে না রেখে এই ফিল্ডগুলি একসাথে রেকর্ড করুন:

• টাইমস্ট্যাম্প: নেটওয়ার্ক লিজ এবং অথেন্টিকেশন রেকর্ডের সাথে ঘটনাটি মেলান।
• SSID বা VLAN: জড়িত নেটওয়ার্ক এবং পলিসির সীমা চিহ্নিত করুন।
• ক্লায়েন্ট আইডেন্টিফায়ার: কেবল ভেন্যুর পাবলিক অ্যাড্রেস নয়, একটি ব্যবহারযোগ্য ডিভাইস রেফারেন্স সংরক্ষণ করুন।
• কোয়েরি করা ডোমেইন: রুলটি ট্রিগার করেছে এমন সঠিক হোস্টনেমটি বজায় রাখুন।
• পলিসি ক্যাটাগরি: কনটেন্ট বিধিনিষেধ থেকে একটি থ্রেট ক্লাসিফিকেশনকে আলাদা করুন।
• রেসপন্স অ্যাকশন: রিভলভারটি রিডাইরেক্ট করেছে, রিফিউজ করেছে, নাকি NXDOMAIN রিটার্ন করেছে তা রেকর্ড করুন।

একটি পাবলিক সোর্স IP একই গেটওয়ের পিছনের একাধিক গেস্টের প্রতিনিধিত্ব করতে পারে। কোনো ব্যক্তিগত ডিভাইস সনাক্ত করতে, রিসলভার এবং নেটওয়ার্ক রেকর্ডের সাথে এন্ডপয়েন্ট পর্যবেক্ষণ মেলাুন। কোনো সংগ্রাহক এর শেয়ার করা ঠিকানা দেখেছে বলেই সমগ্র স্থানটিকে সংক্রামিত হিসেবে চিহ্নিত করবেন না।

তদন্তের নিয়ম: সিঙ্কহোলের কোনো ঘটনাকে সহায়ক বিষয়বস্তু সহ একটি লিড হিসাবে গণ্য করুন, ডিভাইসের মালিকের বিরুদ্ধে স্বয়ংক্রিয় রায় হিসাবে নয়।

সিগন্যাল যাচাই করুন এবং কভারেজ বজায় রাখুন

সেই নেটওয়ার্কের স্বাভাবিক আচরণের সাথে বারবার হওয়া হিটগুলির তুলনা করুন এবং নতুন threat intelligence feeds-এর সাথে শ্রেণিবিন্যাস পরীক্ষা করুন। জেনারেট করা ডোমেন, দ্রুত পরিবর্তনশীল হোস্টিং, হার্ড-কোডেড ঠিকানা এবং ফলব্যাক চ্যানেলগুলি ফাঁক তৈরি করতে পারে। হিট না থাকার অর্থ এটি নয় যে কোনো ডিভাইস ঝুঁকিমুক্ত।

ডোমেনের স্ট্যাটাসও ক্রমাগত পর্যালোচনা করা প্রয়োজন। ক্ষতিকারক-ডোমেন টেকডাউনের একটি 2019 সালের একাডেমিক গবেষণা থেকে জানা গেছে যে পূর্ববর্তী দশ মাসে টেকডাউন করা 14%-এরও বেশি ডোমেন পরবর্তীতে বাণিজ্যিকভাবে পুনরায় ডোমেন বাজারে ফিরে এসেছে।

একটি সময়সূচীতে রুল অরিজিন, মালিকানা এবং শ্রেণিবিন্যাস পর্যালোচনা করুন। আপনি যদি নিজেই নিবন্ধিত সিঙ্কহোল ডোমেনগুলি পরিচালনা করেন তবে তাদের DNS কনফিগারেশন এবং পুনর্নবীকরণগুলি সুরক্ষিত করুন। ক্লায়েন্ট-লেভেল লগে অ্যাক্সেস সীমাবদ্ধ করুন এবং স্থানীয় আইন এবং আপনার তদন্তের চাহিদার সাথে সামঞ্জস্যপূর্ণ ধরে রাখার সময়কাল সেট করুন।

শেয়ার করা এবং গেস্ট নেটওয়ার্কের জন্য ডিপ্লয়মেন্ট মডেল

একটি সিঙ্কহোল আপনার নিয়ন্ত্রণাধীন DNS পাথকে সুরক্ষিত করে। কিন্তু অতিথির ব্রাউজার বা অ্যাপ্লিকেশন এর পরিবর্তে বাইরের কোনো এনক্রিপ্টেড সমাধানকারী বেছে নিতে পারে, যার ফলে মূল্যায়ন করার জন্য আপনার স্থানীয় পলিসিতে কিছুই অবশিষ্ট থাকে না।

এনক্রিপ্টেড DNS-এর একটি প্রযুক্তিগত বিশ্লেষণ ব্যাখ্যা করে যে কেন বাহ্যিক DNS-over-HTTPS প্রথাগত DNS পর্যবেক্ষণকে বাইপাস করতে পারে। তাই স্থাপনের সিদ্ধান্তটি কেবল ব্লকলিস্টের মানের উপরে নয়, বরং resolver enforcement এবং ক্লায়েন্টের আচরণের উপরেও নির্ভর করে।

শেয়ার করা নেটওয়ার্কের জন্য সিঙ্কহোল ডিপ্লয়মেন্ট মডেল

মডেল	কন্ট্রোল কোথায় থাকে	সবচেয়ে উপযুক্ত	প্রধান সীমাবদ্ধতা
গেস্টের ক্ষেত্রে নেটওয়ার্ক রিজলভার WiFi	নেটওয়ার্ক দ্বারা প্রতিটি ক্লায়েন্টকে দেওয়া রিজলভার	হোটেল, পাব, পাবলিক WiFi	যেসব ক্লায়েন্টের নিজস্ব হার্ড-কোডেড বা এনক্রিপ্ট করা রিজলভার রয়েছে তারা এটি বাইপাস করতে পারে
ফায়ারওয়াল DNS পরিদর্শন	বিদ্যমান ফায়ারওয়াল বা গেটওয়ের ভেতরে	প্রতিষ্ঠিত ফায়ারওয়াল এস্টেট সহ অফিসসমূহ	প্রচলিত DNS পরিদর্শনে HTTPS হিসেবে থাকা বাইরের DoH দেখা যায় না
ম্যানেজ করা ব্রাউজার বা ডিভাইস নীতি	ব্রাউজার বা OS রিজলভার সেট করে এবং বিকল্প DoH নিষ্ক্রিয় করে	ম্যানেজ করা কর্পোরেট বা স্কুলের ডিভাইসসমূহ	আনম্যানেজড ব্যক্তিগত ডিভাইসে পৌঁছায় না
ক্লাউড প্রোটেক্টিভ DNS	প্রোভাইডার-হোস্টেড রিজলভার যা নেটওয়ার্ক DNS নির্দেশ করে	মাল্টি-সাইট ভেন্যু এবং এস্টেটসমূহ	প্রোভাইডারের আপটাইম এবং টেলিম্যাট্রি অ্যাক্সেসের ওপর নির্ভর করে

এনক্রিপশন এবং এনফোর্সমেন্ট হল পৃথক সিদ্ধান্ত

এনক্রিপ্টেড DNS ক্লায়েন্ট এবং সলভারের মধ্যে গোপনীয়তা উন্নত করে। এটি ফিল্টারিংকে দুর্বল করে না: একটি অনুমোদিত সুরক্ষিত সলভার এনক্রিপ্টেড কোয়েরি গ্রহণ করতে পারে এবং তবুও নীতি প্রয়োগ করতে পারে। দৃশ্যমানতার সমস্যাটি তখন দেখা দেয় যখন ক্লায়েন্ট একটি বাইরের সলভার বেছে নেয় যা আপনার নিয়ম প্রয়োগ করে না।

ম্যানেজ করা ডিভাইসগুলির জন্য, ব্রাউজার এবং অপারেটিং সিস্টেম পলিসি অনুমোদিত পরিষেবা নির্দিষ্ট করতে পারে। গেস্ট নেটওয়ার্কগুলিতে, বিকল্প এনক্রিপ্ট করা DNS, ব্যবহারকারীর গোপনীয়তা এবং অনুমোদিত ব্যতিক্রম সম্পর্কে আপনার একটি নথিভুক্ত অবস্থানের প্রয়োজন। DoH বন্ধ করতে সমস্ত এনক্রিপ্ট করা ওয়েব ট্র্যাফিক ব্লক করা একটি কার্যকর সাধারণ কৌশল নয়।

এমন একটি সীমানায় নিয়ন্ত্রণ রাখুন যা আপনি পরীক্ষা করতে পারেন

নেটওয়ার্ক কনফিগারেশনের মাধ্যমে অনুমোদিত রেজোলাভার বিতরণ করুন। ট্রান্সপোর্ট প্রোটোকল এবং উভয় IP ফ্যামিলি উভয়কেই কভার করে, অনুমোদিত রেজোলাভারগুলিতে সরাসরি আউটবাউন্ড প্রথাগত DNS সীমাবদ্ধ করুন। স্বচ্ছ রিডাইরেকশন অন্য কোথাও পাঠানো প্রথাগত DNS ক্যাপচার করতে পারে, তবে এটি স্বচ্ছভাবে যেকোনো এনক্রিপ্ট করা DNS সমস্যার সমাধান করে না।

স্টাফ, গেস্ট এবং স্পেশালিস্ট-ডিভাইসের নীতি আলাদা করতে নেটওয়ার্ক সেগমেন্টেশন ব্যবহার করুন। একটি কঠোর গেস্ট নিয়ম ক্লিনিকাল সরঞ্জাম বা কর্মীদের অ্যাপ্লিকেশনগুলিকে ব্যাহত করা উচিত নয়।

• সাধারণ রেজোলেশন পরীক্ষা করুন: অনুমতি প্রাপ্ত অ্যাপ্লিকেশনগুলি এখনও কাজ করছে কিনা তা নিশ্চিত করুন।
• বাইপাস পাথগুলি পরীক্ষা করুন: ব্রাউজার-নির্বাচিত রেজোলাভার এবং অন্যান্য অনুমোদিত টানেলগুলি পরীক্ষা করুন।
• অ্যাট্রিবিউশন পরীক্ষা করুন: সঠিক নেটওয়ার্ক এবং ক্লায়েন্টের বিরুদ্ধে একটি নিয়ন্ত্রিত পলিসি ম্যাচ প্রদর্শিত হচ্ছে কিনা তা নিশ্চিত করুন।

একটি নেটওয়ার্ক-লেভেলের DNS পরিবর্তন প্রতিটি ডিভাইসে সফটওয়্যার ইনস্টল না করেই অংশগ্রহণকারী ডিভাইস জুড়ে ফিল্টারিং প্রয়োগ করতে পারে। একটি রিসলভার ঠিকানা বিতরণ করলেই যে প্রতিটি অ্যাপ্লিকেশন সেটি ব্যবহার করতে বাধ্য হবে তা ধরে নেওয়ার চেয়ে পরীক্ষার মাধ্যমে কভারেজ প্রমাণ করুন।

ফলস পজিটিভ এবং কীভাবে দ্রুত পুনরুদ্ধার করবেন

একটি দীর্ঘ ব্লকলিস্ট স্বয়ংক্রিয়ভাবে বেশি নিরাপদ নয়। শেয়ার করা ক্লাউড পরিকাঠামোর বিরুদ্ধে একটি বিস্তৃত নিয়ম লক্ষ্যযুক্ত হুমকির বিরুদ্ধে সুরক্ষা উন্নত না করেই সাপ্লায়ার পোর্টাল, পেমেন্ট ওয়ার্কফ্লো বা লার্নিং অ্যাপ্লিকেশনগুলিতে ব্যাঘাত ঘটাতে পারে।

একটি 2025 সিঙ্কহোলিং ইমপ্লিমেন্টেশন স্টাডিতে ফলস পজিটিভ রিপোর্টেড করা হয়েছে যার জন্য ম্যানুয়াল অ্যালাউলিস্ট ম্যানেজমেন্ট এবং প্রশিক্ষিত কর্মী প্রয়োজন ছিল। অপারেশনাল মালিকানা শুধু ইনসিডেন্স কিউতে সীমাবদ্ধ নয়, বরং এটি ডেপ্লয়মেন্ট প্ল্যানের অংশ হওয়া উচিত।

পুনরুদ্ধার প্রক্রিয়ায় শেয়ার করা পরিষেবা এবং সংকীর্ণভাবে নির্দিষ্ট করা ব্যতিক্রমগুলি বিবেচনা করা উচিত।

সুরক্ষা না সরিয়ে অ্যাক্সেস পুনরুদ্ধার করুন

একটি সম্মত পর্যবেক্ষণ সময়কালের জন্য লগ-অনলি মোডে নতুন পলিসিগুলি শুরু করুন। ক্লায়েন্ট, বিভাগ এবং মেলানো নিয়ম ক্যাপচার করুন যাতে পরবর্তী সিদ্ধান্তগুলির জন্য একটি প্রমাণ থাকে।

সিঙ্কহোলের লক্ষণ, সম্ভাব্য কারণ এবং প্রথম পদক্ষেপসমূহ

লক্ষণ	সম্ভাব্য কারণ	প্রথম পদক্ষেপ
কর্মীদের ডিভাইস কোনো সরবরাহকারী সাইটে পৌঁছাতে পারছে না	শেয়ার করা ক্লাউড ডোমেন ক্যাটাগরি অনুসারে ব্লক করা হয়েছে	লগ করা ক্যাটাগরি পরীক্ষা করুন, তারপর সম্পূর্ণ ডোমেন নয়, নির্দিষ্ট হোস্টটিকে অ্যালোলিস্ট করুন
একটি গেস্ট ডিভাইস প্রতি মিনিটে সিঙ্কহোল হিট ট্রিগার করছে	সংক্রামিত ডিভাইস বা অ্যাগ্রেসিভ অ্যাপ পুনরায় চেষ্টা করছে	ক্লায়েন্টকে চিহ্নিত করে কন্টেইন করুন, তারপর ডিভাইস পরিদর্শনের ব্যবস্থা করুন
পলিসি পরিবর্তনের পরে ব্লক করা কোয়েরির সংখ্যা হঠাৎ বৃদ্ধি পাওয়া	বিস্তৃত ব্লকপ্রবেশ বা ওয়াইল্ডকার্ড নিয়ম	শেষ পরিবর্তনটি রোল ব্যাক করুন এবং এর SSID বা VLAN স্কোপ পর্যালোচনা করুন
অ্যাপগুলি কাজ করছে কিন্তু একটি SSID কোনো ব্লক দেখাচ্ছে না	ক্লায়েন্টরা সমাধানকারীর বাইরে এনক্রিপ্ট করা DNS ব্যবহার করতে পারে	একটি নিয়ন্ত্রিত পলিসি পরীক্ষা চালান এবং সমাধানকারী কনফিগারেশন ও আউটবাউন্ড DNS পাথ পরীক্ষা করুন

শুধুমাত্র একটি খালি রিপোর্ট বাইপাস প্রমাণ করে না। নেটওয়ার্কে হয়তো কোনো মেলানো অনুরোধ তৈরি হয়নি।

প্রতিরোধ করা ক্ষতিকারক সংযোগসমূহ, ফলস-পজিটিভ রেট, আপিল-সমাধানের সময় এবং স্থান প্রতি ব্যতিক্রম পরিমাপ করুন। কোনও অ্যাপ্লিকেশন বারবার চেষ্টা করার কারণে শুধুমাত্র ব্লক হওয়া কোয়েরির পরিমাণ বৃদ্ধি পেতে পারে।

একটি নিয়ম সক্ষম করার আগে, নিশ্চিত করুন:

• ক্লাসিফিকেশন: ডোমেইনের থ্রেট ক্যাটাগরি সমর্থিত।
• শেয়ার্ড ব্যবহার: বিজনেস অ্যাপ্লিকেশন একই হোস্ট বা প্যারেন্ট ডোমেইনের ওপর নির্ভর করে না।
• রোলব্যাক: আগের পলিসি এবং রিস্টোরেশন প্রক্রিয়া রেকর্ড করা আছে।
• স্কোপ: নির্দিষ্ট SSID বা VLAN স্পষ্ট।
• মালিকানা: একজন নির্দিষ্ট ব্যক্তি ব্যতিক্রমী অনুরোধগুলি পরিচালনা করেন এবং সেগুলির মেয়াদ পর্যালোচিত করেন।

একটি সিঙ্কহোল আপনার নেটওয়ার্কের জন্য উপযুক্ত কিনা তা সিদ্ধান্ত নিন

ম্যানেজ করা এন্ডপয়েন্ট সহ একটি ছোট অফিসের জন্য, DNS লগিং এবং এন্ডপয়েন্ট পলিসি দিয়ে শুরু করুন। সন্দেহজনক অনুরোধগুলি সরাসরি অনুসন্ধান করার জন্য প্রয়োজনীয় ডিভাইস নিয়ন্ত্রণগুলি আপনার কাছে ইতিমধ্যেই থাকতে পারে, তাই এমন কোনও সংগ্রাহক যোগ করা এড়িয়ে চলুন যা আপনি বজায় রাখতে পারবেন না।

গেস্ট, পাবলিক বা স্টুডেন্ট নেটওয়ার্কের জন্য বাউন্ডারি এনফোর্সমেন্ট এবং ক্লায়েন্ট অ্যাট্রিবিউশনকে অগ্রাধিকার দিন। আনম্যানেজড ডিভাইসগুলি রিসলভার-লেভেল কন্ট্রোলকে দরকারী করে তোলে, কিন্তু কোনো অপারেটরের কাছে তার মালিককে আগে থেকেই অভিযুক্ত না করে কোনো ডিভাইস তদন্ত করার বা নিয়ন্ত্রণ করার একটি নিরাপদ উপায় থাকা প্রয়োজন।

অ্যাস্টেটের সাথে অপারেটিং মডেলটি মেলান

একটি মাল্টি-সাইট সংস্থা কেন্দ্রীয়ভাবে পরিচালিত রিজলভার পলিসি, নেটওয়ার্ক-নির্দিষ্ট ব্যতিক্রম এবং একত্রিত রিপোর্টিং থেকে উপকৃত হয়। পরিষেবাগুলির কেবল তাদের ক্যাটালগ গণনার ভিত্তিতে নয়, বরং তারা যে প্রমাণ উন্মোচন করে এবং যে নিয়ন্ত্রণগুলি আপনি পরীক্ষা করতে পারেন তার ভিত্তিতে তুলনা করুন।

একটি সিঙ্কহোল বেছে নিন যখন আপনি সম্পূর্ণ প্রক্রিয়ার মালিক হতে পারেন: পলিসি, কভারেজ, তদন্ত, ব্যতিক্রম এবং পুনরুদ্ধার।

একটি সীমিত পর্যায়ের ডেপ্লয়মেন্ট দিয়ে শুরু করুন:

1. সমাধানকারীর পাথ ম্যাপ করুন। প্রতিটি নেটওয়ার্ক কোন সমাধানকারী ব্যবহার করে এবং বিকল্প DNS বা টানেলগুলি কোথায় পলিসি এড়াতে পারে তা চিহ্নিত করুন।
2. একটি নথিভুক্ত শুধুমাত্র-লগ পর্যবেক্ষণ সময়কাল চালান। মিল থাকা অনুরোধগুলি তাদের ক্লায়েন্ট, ক্যাটাগরি এবং নেটওয়ার্ক সহ রেকর্ড করুন, তারপর বৈধ অ্যাপ্লিকেশন নির্ভরতা পর্যালোচনা করুন।
3. প্রথমে উচ্চ-বিশ্বস্ততার ব্লকগুলি সক্রিয় করুন। নিশ্চিত হওয়া C2 এবং ম্যালওয়্যার গন্তব্যগুলি দিয়ে শুরু করুন, একটি লিখিত রোলব্যাক পরিকল্পনা বজায় রাখুন এবং একজন ব্যতিক্রম মালিক নির্ধারণ করুন।

এন্ডপয়েন্ট প্রতিকারকে নেটওয়ার্ক নিয়ন্ত্রণের থেকে আলাদা রাখুন। একটি ব্লক করা কলব্যাক হলো একটি সফল পদক্ষেপ, তবে ডিভাইসটিকে তখনও তদন্ত করা দরকার। কর্মীদের যখন একটি নিয়ন্ত্রিত ব্লক এবং বৈধ অ্যাক্সেসের নিরাপদ পুনর্বহাল উভয়ই প্রদর্শন করার ক্ষমতা থাকবে, তখন আপনার ডেপ্লয়মেন্ট প্রস্তুত বলে গণ্য হবে।

---

Purple Shield নেটওয়ার্ক-নির্দিষ্ট পলিসি এবং রিপোর্টিং সহ সুরক্ষিত DNS অফার করে, যাতে আপনি ক্ষতিকারক-ডোমেইন ব্লকিং পর্যালোচনা করার পাশাপাশি এটি পরিচালনার জন্য প্রয়োজনীয় প্রমাণ মূল্যায়ন করতে পারেন। 30 দিনের ফ্রি ট্রায়াল ব্যবস্থার জন্য Purple Shield ভিজিট করুন, আপনার নেটওয়ার্কের DNS-কে Shield-এ নির্দেশ করুন এবং নতুন কোনও হার্ডওয়্যার বা ডিভাইস এজেন্ট ছাড়াই আপনার লাইভ নেটওয়ার্কে ফিল্টারিং পরীক্ষা করুন।