থ্রেট মডেলিং

থ্রেট মডেলিং বা হুমকির ঝুঁকি বিশ্লেষণ হলো আপনি কী রক্ষা করতে চান, কার কাছ থেকে রক্ষা করতে চান এবং এর পেছনে কতটুকু প্রচেষ্টা প্রয়োজন তা নির্ধারণ করা। যেকোনো টুল, সেটিংস বা অভ্যাস গ্রহণ করার পেছনে আপনার সময় দেওয়া অর্থপূর্ণ কি না—কোনো কিছু শুরু করার আগেই এই ধাপটি আপনাকে তা জানিয়ে দেয়।

এটি ছাড়া মানুষ সাধারণত দুটি ফাঁদের যেকোনো একটিতে পড়ে। কেউ কেউ নিরাপত্তাকে সীমাহীন ভেবে কিছুই করে না। আবার কেউ কেউ প্রতিটি সতর্কবার্তার পেছনে ছুটতে গিয়ে ক্লান্ত হয়ে পড়ে। ইলেকট্রনিক ফ্রন্টিয়ার ফাউন্ডেশন (EFF) সব সময় সব কিছুর কাছ থেকে সমস্ত ডেটা সুরক্ষিত রাখার চেষ্টা করাকে অবাস্তব এবং ক্লান্তিকর বলে অভিহিত করেছে। একটি থ্রেট মডেল আপনার কাজের পরিধিকে কেবল সেই হুমকিগুলোর মধ্যেই সীমাবদ্ধ রাখে যেগুলো আপনার ক্ষেত্রে প্রযোজ্য।

এই পেজটি পড়ার পর আপনি এক পৃষ্ঠার একটি পরিকল্পনা তৈরি করতে পারবেন এবং বুঝতে পারবেন কেন একই টুল বা প্রযুক্তির বিষয়ে দুজন বিজ্ঞ ব্যক্তি দুটি ভিন্ন সিদ্ধান্তে পৌঁছাতে পারেন। এটি নির্দিষ্ট কোনো টুলের সুপারিশ করে না; তবে অন্যান্য পেজগুলোতে ধরে নেওয়া হয়েছে যে আপনি এই কাজটি আগেই করে রেখেছেন।

সহজ কথায় থ্রেট মডেলিং কী

কম্পিউটার নিরাপত্তার ভাষায়, ‘হুমকি’ (Threat) হলো এমন একটি সম্ভাব্য ঘটনা যা আপনার ডেটা রক্ষার নিরাপত্তামূলক ব্যবস্থাকে বিঘ্নিত করতে পারে। আর ‘থ্রেট মডেল’ হলো সেই হুমকিগুলোর একটি সংক্ষিপ্ত তালিকা যা আপনি গুরুত্বের সাথে বিবেচনা করার সিদ্ধান্ত নিয়েছেন এবং প্রতিটি হুমকির বিষয়ে আপনি কী পদক্ষেপ নেবেন তার পরিকল্পনা। EFF এই প্রক্রিয়াকে একটি ‘নিরাপত্তা পরিকল্পনা’ (Security plan) হিসেবে উল্লেখ করে।

পেশাদাররা বড় পরিসরে এই একই ধারণা ব্যবহার করেন। সফটওয়্যার নিরাপত্তা নিয়ে কাজ করা অলাভজনক সংস্থা OWASP থ্রেট মডেলিংকে হুমকি শনাক্ত করা, তা জানানো ও বোঝা এবং তা কমানোর উপায় হিসেবে বর্ণনা করে। সফটওয়্যার এবং নেটওয়ার্ক থেকে শুরু করে ব্যবসায়িক প্রক্রিয়া—যেকোনো মূল্যবান বিষয়ের ক্ষেত্রেই এটি প্রযোজ্য। ২০২০ সালে প্র্যাক্টিশনার ও গবেষকদের একটি দল কর্তৃক লিখিত থ্রেট মডেলিং ম্যানিফেস্টো-তে এটিকে একটি সিস্টেমের রূপরেখা বিশ্লেষণ করে এর নিরাপত্তা ও গোপনীয়তার ঝুঁকিগুলো খুঁজে বের করার পদ্ধতি হিসেবে বর্ণনা করা হয়েছে। কাজের পরিধি বা স্কেল বদলালেও এর মূল প্রশ্নগুলো একই থাকে।

EFF-এর প্রাথমিক উদাহরণটি হলো একটি বাড়ির। যদি আপনার মালামাল মূল্যবান হয় এবং আপনার এলাকায় চুরি বা ডাকাতি সাধারণ ঘটনা হয়, তবে একটি উন্নত লক এবং অ্যালার্ম ব্যবহার করা যুক্তিযুক্ত। কিন্তু চুরি যদি বিরল হয়, তবে দামি লকের পেছনে অতিরিক্ত অর্থ খরচ করা অর্থহীন। পাসওয়ার্ড, ফোন এবং অ্যাকাউন্টের ক্ষেত্রেও একই যুক্তি প্রযোজ্য।

৪টি পরিচিত পরিভাষা

EFF ’ঝুঁকি’কে ঘটনার সম্ভাবনা হিসেবে সংজ্ঞায়িত করে। মার্কিন মান নিয়ন্ত্রণ সংস্থা NIST একটি প্রাতিষ্ঠানিক সংজ্ঞা ব্যবহার করে যা হুমকি ঘটলে তার ক্ষতির প্রভাবকেও পরিমাপ করে। আমরা এখানে দুটি ধারণাই একসাথে ব্যবহার করব এবং নিচের প্রশ্নগুলোতে একটি হুমকি কতটুকু সম্ভাব্য এবং তা কতটা ক্ষতিকারক হতে পারে তা জিজ্ঞাসা করা হয়েছে।

কীভাবে একটি থ্রেট মডেল তৈরি করবেন

EFF-এর নিরাপত্তা পরিকল্পনায় ছয়টি প্রশ্ন রয়েছে। এক বা দুই বাক্যে প্রতিটির উত্তর দিন। প্রশ্নগুলোর ধারাবাহিকতা একদম নির্দিষ্ট নয়, এবং আপনি প্রায়শই আগের কোনো উত্তরের সংশোধনে ফিরে আসতে পারেন।

আমি কী রক্ষা করতে চাই?

আপনার সম্পদগুলোর একটি তালিকা তৈরি করুন। অধিকাংশ মানুষের জন্য এর অর্থ হলো তথ্য: ইমেইল, পরিচিতি, বার্তা, লোকেশন, নথিপত্র। এর পাশাপাশি ডিভাইসগুলোও এর অন্তর্ভুক্ত। আমরা সেই অ্যাকাউন্টগুলোকেও যুক্ত করব যেগুলো এই সমস্ত কিছুতে প্রবেশের অধিকার দেয়। প্রতিটি সম্পদের জন্য নোট করুন—এটি কোথায় সংরক্ষিত আছে, কার কার প্রবেশাধিকার রয়েছে এবং বর্তমানে অন্যদের প্রবেশে কী বাধা দিচ্ছে।

কার কাছ থেকে আমি এটি রক্ষা করতে চাই?

EFF-এর প্রতিপক্ষের (Adversary) উদাহরণের মধ্যে রয়েছে বস, আইনশৃঙ্খলা রক্ষাকারী বাহিনী, প্রাক্তন সঙ্গী, ব্যবসায়ী প্রতিদ্বন্দ্বী, সরকার এবং পাবলিক নেটওয়ার্কের কোনো হ্যাকার। এর মধ্যে এমন বিশ্বস্ত ব্যক্তিরাও অন্তর্ভুক্ত যারা নিজেদের নিরাপত্তার বিষয়ে অসাবধানতার মাধ্যমে আপনার সম্পদের ক্ষতি করতে পারে।

অধিকাংশ মানুষের ক্ষেত্রে সবচেয়ে সম্ভাব্য প্রতিপক্ষ কোনো সরকারের চেয়ে অনেক কম নাটকীয়। নিউ ইয়র্ক ইউনিভার্সিটি এবং ইউনিভার্সিটি অব ক্যালিফোর্নিয়া, সান ডিয়েগো-র গবেষকদের সাথে গুগল অ্যাকাউন্ট হাইজ্যাকিং সংক্রান্ত এক বছরব্যাপী গবেষণায় দেখা গেছে—অধিকাংশ আক্রমণই এসেছে অটোমেটেড বট থেকে, যা অন্যান্য সাইটের ডেটা ব্রিচ বা লিক হওয়া পাসওয়ার্ড ব্যবহার করে চালানো হয়েছিল। ফিশিং এবং নির্দিষ্ট কোনো ব্যক্তিকে লক্ষ্য করে চালানো আক্রমণও ছিল, তবে সেগুলো তুলনামূলক কম।

আমি ব্যর্থ হলে পরিণতি কতটা খারাপ হতে পারে?

একজন প্রতিপক্ষ আপনার সম্পদ বা তথ্য দিয়ে কী করতে পারে তা ভাবুন। তারা এটি পড়তে পারে, মুছে ফেলতে পারে বা আপনার বিরুদ্ধে ব্যবহার করতে পারে। EFF-এর উদাহরণের মধ্যে একটি ক্ষতিকারক লিঙ্ক (যা কম্পিউটার ক্ষতিগ্রস্ত করে) থেকে শুরু করে আপনার ব্যক্তিগত বার্তার স্ক্রিনশট নেওয়ার মতো বিষয় রয়েছে। নিজেকে প্রশ্ন করুন—যা হারিয়েছে তা কি আপনি পুনরুদ্ধার বা পুনরায় সংগ্রহ করতে পারবেন এবং অন্য মানুষও এতে প্রভাবিত হবে কি না।

প্রতিপক্ষের সক্ষমতার বিষয়টিও বিবেচনা করুন। আপনার মোবাইল সেবাদাতা প্রতিষ্ঠান আপনার কলের বিবরণ দেখতে পারে, আর কোনো শক্তিশালী প্রতিপক্ষের সক্ষমতা আরও অনেক বেশি হতে পারে।

আমার এটি রক্ষা করার প্রয়োজন হওয়ার সম্ভাবনা কতটুকু?

সক্ষমতা এবং সম্ভাবনা দুটি ভিন্ন জিনিস। আপনার মোবাইল সেবাদাতা আপনার সমস্ত রেকর্ড দেখতে পারে, তবে আপনাকে ক্ষতিগ্রস্ত করতে তারা এটি প্রকাশ করে দেবে—এমন সম্ভাবনা খুবই কম। EFF এটিকে একটি ভবন ধসে পড়ার সাথে তুলনা করেছে: যা যেকোনো জায়গায় ঘটতে পারে, তবে স্টকহোমের চেয়ে সান ফ্রান্সিসকোর মতো ভূমিকম্পপ্রবণ এলাকায় ঘটার সম্ভাবনা অনেক বেশি।

এই সিদ্ধান্তটি সম্পূর্ণ ব্যক্তিগত। EFF উল্লেখ করেছে যে কিছু মানুষ যেকোনো সম্ভাবনার হুমকিকেই প্রত্যাখ্যান করে কারণ তার জন্য নিরাপত্তা ব্যয় করা তাদের কাছে অর্থহীন মনে হয়, আবার অন্যরা উচ্চ ঝুঁকিকেও উপেক্ষা করে কারণ তারা সেটিকে কোনো সমস্যা মনে করে না। আপনি কোন হুমকিগুলোকে গুরুত্বের সাথে নেবেন এবং কোনগুলোকে খুব বিরল, ক্ষতিহীন বা লড়াই করা খুব কঠিন হিসেবে বিবেচনা করবেন—তা লিখে রাখুন।

আমি কতখানি ঝামেলা বা অসুবিধা মেনে নিতে রাজি আছি?

কোনো নিখুঁত বিকল্প নেই। EFF-এর উদাহরণ হলো জাতীয় নিরাপত্তা সংক্রান্ত একটি সংবেদনশীল মামলা পরিচালনা করা একজন আইনজীবী, যিনি বিড়ালের ভিডিও ইমেইল করা কোনো আত্মীয়ের চেয়ে অনেক বেশি অসুবিধা মেনে নিতে পারেন। আপনার উত্তরটিতে অর্থ, সময়, প্রযুক্তিগত দক্ষতা এবং আপনার চারপাশের মানুষের বিষয়টি বিবেচনায় রাখা উচিত।

আমার সহযোগী বা মিত্র কারা?

গোপনীয়তা এবং নিরাপত্তা আপনার চারপাশের মানুষদের সাথেও সম্পর্কিত, তাই আপনার ওপর তৈরি হওয়া হুমকি প্রায়শই তাদের কাছেও পৌঁছে যায়। EFF পরামর্শ দেয় যারা আপনার একই রকম উদ্বেগ শেয়ার করে, তাদের সাথে একটি সমঝোতায় আসা—যে আপনারা কীভাবে একে অপরের খেয়াল রাখবেন এবং একে অপরকে কতটা বিশ্বাস করবেন। এটি আপনাকে মনে করিয়ে দেয় যে আপনার বিশ্বস্ত পরিমণ্ডলের কেউ ‘অভ্যন্তরীণ হুমকি’ (Insider threat) হতে পারে, তবে তার মানে এই নয় যে আপনি সেই সম্পর্কগুলো তৈরি করবেন না।

একটি সম্পদ, তিনটি পরিকল্পনা

একই সম্পদের জন্য সম্পূর্ণ ভিন্ন ধরনের নিরাপত্তার প্রয়োজন হতে পারে। এখানে তিনজন ব্যক্তির উদাহরণ দেওয়া হলো, যাদের প্রত্যেকেই তাদের মূল ইমেইল অ্যাকাউন্ট নিয়ে চিন্তিত:

পরিকল্পনাগুলো ভিন্ন কারণ তাদের প্রতিপক্ষ ভিন্ন, কেউ কারও চেয়ে বেশি চিন্তা করে বলে নয়। গুগলের গবেষণাটি দেখায় কেন এটি বাস্তবে গুরুত্বপূর্ণ। রিকভারি ফোনে পাঠানো একটি এসএমএস কোড সমস্ত অটোমেটেড বট, ৯৬% ঢালাও ফিশিং এবং ৭৬% নির্দিষ্ট লক্ষ্যভিত্তিক আক্রমণ আটকে দিয়েছে। অন-ডিভাইস প্রম্পট (On-device prompts) যথাক্রমে ১০০%, ৯৯% এবং ৯০% আক্রমণ আটকেছে। এই গবেষণার সময় যে ব্যবহারকারীরা কেবল সিকিউরিটি কি (Security key)-র ওপর নির্ভর করেছিলেন, তাদের কেউই লক্ষ্যভিত্তিক ফিশিংয়ের শিকার হননি। এই ডেটাটি ২০১৯ সালের গুগল অ্যাকাউন্টের ওপর ভিত্তি করে তৈরি, তাই এটি অন্যান্য পরিষেবা বা আজকের আক্রমণের ক্ষেত্রে হুবহু মিলবে না। তবে মূল ধরণটি এখনো সত্য। প্রিয়ার ঝুঁকি মূলত প্রথম ধরনের আক্রমণের ক্ষেত্রে, এবং ড্যানিয়েলের ঝুঁকি শেষেরটির কাছাকাছি।

এই পরিসংখ্যানগুলো সেই সব আক্রমণকারীদের তুলে ধরে যাদের সিস্টেম ভেঙে ভেতরে ঢুকতে হয়। তবে যিনি আপনার পাসওয়ার্ড আগেই জানেন বা আপনার ফোন হাতে নিতে পারেন—তাঁর বিষয়ে এই তথ্যগুলো খাটে না, যা মূলত মে-র পরিস্থিতি। আপনি যদি সেই পরিস্থিতিতে থাকেন, তবে প্রযুক্তিগত নিরাপত্তায় বিশেষজ্ঞ কোনো গার্হস্থ্য সহিংসতা বিষয়ক সেবা সংস্থা আপনার নিরাপত্তা এবং ডিভাইস—উভয় বিষয়েই সাহায্য করতে পারে। সাধারণ টিপস বা পরামর্শ সেটির বিকল্প হতে পারে না।

আপনার নিজের জন্য একটি পরিকল্পনা লিখতে, যেকোনো একটি সম্পদ বেছে নিন (যেমন আপনার প্রধান ইমেইল অ্যাকাউন্ট) এবং এক বাক্যে ছয়টি প্রশ্নের উত্তর দিন। পেজটি কোনো গোপন স্থানে রাখুন। EFF উল্লেখ করেছে যে প্রতিপক্ষের এই তালিকাটি কাজ শেষে আপনি ধ্বংস করে ফেলতে চাইতে পারেন।

থ্রেট মডেলিং যা করতে পারে না

• এটি নিখুঁত নিরাপত্তা দেয় না। EFF সরাসরি জানিয়েছে যে কোনো নিখুঁত বিকল্প নেই, কেবল আপনার পরিস্থিতির জন্য একটি যুক্তিসঙ্গত পরিকল্পনা রয়েছে।
• এটি কেবল আপনার জানার পরিধির ওপর নির্ভর করে। আপনার যদি বিশ্বাস করার কারণ থাকে যে কোনো লক্ষ্যভিত্তিক গোষ্ঠী আপনাকে আক্রমণ করছে, তবে নিজের তৈরি করা পরিকল্পনা যথেষ্ট নয় এবং আপনার বিশেষজ্ঞ প্রতিষ্ঠানের সাথে কথা বলা উচিত।
• এটি আপনার সম্পর্কে অন্যদের কাছে থাকা ডেটা পর্যন্ত পৌঁছাতে পারে না। কোম্পানি এবং সংস্থাগুলো আপনার তথ্য সংরক্ষণ করে, এবং সেই সিস্টেমগুলো থেকে লিক হওয়া তথ্য আপনার পরিকল্পনার বাইরে। কেন গোপনীয়তা গুরুত্বপূর্ণ বিভাগে এই সমস্যাটি তুলে ধরা হয়েছে।
• অতিরিক্ত সংকুচিত চিন্তাভাবনার কারণে এটি ভুল হতে পারে। থ্রেট মডেলিং ম্যানিফেস্টো প্রতিপক্ষ, সম্পদ বা কৌশলের ওপর অতিরিক্ত মনোযোগ দিয়ে পুরো চিত্রটি ভুলে যাওয়ার বিষয়ে সতর্ক করে।

পদ্ধতি সম্পর্কে আরও একটি নোট। অ্যাডাম শোস্টাকের চারটি প্রশ্নের ফ্রেমওয়ার্ক (আমরা কী নিয়ে কাজ করছি, কী ভুল হতে পারে, আমরা এটি নিয়ে কী করতে যাচ্ছি, আমরা কি ভালো কাজ করেছি) পেশাদারদের কাজের মানদণ্ড। তিনি বলেন এটি সিস্টেম তৈরি করা মানুষদের জন্য তৈরি করা হয়েছিল এবং সাধারণ ব্যবহারকারীদের জন্য ততটা ভালো কাজ করে না। তাই এই পেজে EFF-এর সহজ ভাষার সংস্করণটি ব্যবহার করা হয়েছে।

সাধারণ কিছু ভুল ধারণা

“থ্রেট মডেলিং কেবল গোয়েন্দা এবং অ্যাক্টিভিস্টদের জন্য”

ম্যানিফেস্টো তার নিজের প্রশ্নে—কার থ্রেট মডেল করা উচিত—এর উত্তর দিয়েছে “আপনি” এবং “প্রত্যেকে”। EFF-এর নিজের শুরুর উদাহরণটি একটি বাড়ি এবং তালা নিয়ে, কোনো রাষ্ট্রীয় প্রতিপক্ষকে নিয়ে নয়।

“সবচেয়ে নিরাপদ বিকল্পটিই সবসময় সেরা”

শক্তিশালী সুরক্ষার জন্য সাধারণত বেশি অর্থ, সময় বা সুবিধার ত্যাগ স্বীকার করতে হয় এবং EFF স্পষ্টভাবে বলে যে কেউ নিখুঁত বিকল্প পায় না। সেরা বিকল্প হলো সেটিই যা আপনি বাস্তবে আপনার মুখোমুখি হওয়া হুমকিগুলোর বিরুদ্ধে ধারাবাহিকভাবে ব্যবহার করতে পারবেন।

“আমাকে প্রতিটি সম্ভাব্য আক্রমণকারীর জন্য পরিকল্পনা করতে হবে”

OWASP বলে যে আক্রমণকারী, আক্রমণ, দুর্বলতা এবং প্রভাবের প্রতিটি সংমিশ্রণ মূল্যায়ন করার চেষ্টা প্রায়শই সময় এবং শ্রমের অপচয়। অনুসন্ধানকে কেবল আপনার জন্য গুরুত্বপূর্ণ হুমকিগুলোতে সংকুচিত করাই এই অনুশীলনের মূল উদ্দেশ্য।

কখন এটি পুনরায় পর্যালোচনা করবেন

আপনার থ্রেট মডেলটি কোনো একটি নির্দিষ্ট মুহূর্তে আপনার জীবনকে বর্ণনা করে, কিন্তু জীবন পরিবর্তিত হয়। EFF আপনার পরিকল্পনাটি নিয়মিত পর্যালোচনা করার কথা বলে এবং ক্যালেন্ডারে পর্যালোচনার একটি তারিখ যুক্ত করার পরামর্শ দেয়। OWASP কোনো নতুন ফিচার বা নিরাপত্তা সংক্রান্ত ঘটনার পর মডেলটি আপডেট করার পরামর্শ দেয়। সাধারণ মানুষের জন্য এর অর্থ হতে পারে নতুন চাকরি শুরু করা, সম্পর্কের সমাপ্তি, জনসমক্ষে দৃশ্যমান হওয়া বা একটি নতুন ডিভাইস কেনা। এগুলো আমাদের নিজস্ব উদাহরণ, EFF-এর নয়।

উৎসসমূহ (Sources)

• Your Security Plan, ইলেকট্রনিক ফ্রন্টিয়ার ফাউন্ডেশন (সার্ভেইল্যান্স সেলফ-ডিফেন্স), সর্বশেষ পর্যালোচনা অক্টোবর ২০২৩।
• Threat Modeling, ওডব্লিউএএসপি (OWASP) ফাউন্ডেশন, তথ্য সংগ্রহ অক্টোবর ২০২৬।
• Threat Modeling Manifesto, থ্রেট মডেলিং ম্যানিফেস্টো ওয়ার্কিং গ্রুপ, ২০২০।
• Shostack’s Four Question Frame for Threat Modeling, অ্যাডাম শোস্টাক, তথ্য সংগ্রহ অক্টোবর ২০২৬।
• Risk (glossary entry), ন্যাশনাল ইনস্টিটিউট অব স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজি, তথ্য সংগ্রহ অক্টোবর ২০২৬।
• New research: How effective is basic account hygiene at preventing hijacking, গুগল সিকিউরিটি ব্লগ, ২০১৯।

সম্পর্কিত পেজসমূহ

• কেন গোপনীয়তা গুরুত্বপূর্ণ
• ডিজিটাল নিরাপত্তা