২০২২ সালের ২০ আগস্ট শনিবার সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম অস্বাভাবিক এক প্রকাশ্য সতর্কতা জারি করল: সম্প্রতি বাংলাদেশি লক্ষ্যবস্তুতে ডিস্ট্রিবিউটেড ডিনায়েল-অব-সার্ভিস হামলা দেখা গেছে, আর গুরুত্বপূর্ণ তথ্য অবকাঠামো চালানো প্রতিটি প্রতিষ্ঠান—ব্যাংক, ইউটিলিটি, টেলিকম, সরকারি ব্যবস্থা—যেন প্রতিরক্ষা পরীক্ষা করে। প্রকল্প পরিচালক তারেক এম বরকতউল্লাহর স্বাক্ষরিত বিজ্ঞপ্তিতে হামলার ধরনের তালিকা: টিসিপি এসওয়াইএন, পুশ ও আরএসটি ফ্লাড, টিসিপি উইন্ডো-সাইজ ফ্লাড, ইউডিপি ফ্লাড ও আইপি ফ্র্যাগমেন্ট ফ্লাড।
ডিডস আসলে কী
ডিনায়েল-অব-সার্ভিস হামলা কিছু চুরি করে না। দরজা আটকে দেয়। হামলাকারী নিয়ন্ত্রণ করে একটি "বটনেট"—বিশ্বজুড়ে হ্যাক হওয়া হাজারো কম্পিউটার, রাউটার আর সস্তা সিকিউরিটি ক্যামেরা—আর সবাইকে একসঙ্গে এক সার্ভারে ট্রাফিক পাঠাতে বলে। সার্টের নাম করা ফ্লাডগুলো তা করার আলাদা আলাদা উপায়: এসওয়াইএন ফ্লাড লাখো অর্ধসমাপ্ত সংযোগ খোলে, যতক্ষণ না আসল সংযোগের জন্য সার্ভারের মেমোরি ফুরায়; ইউডিপি ফ্লাড লাইনটাকেই ডুবিয়ে দেয়; ফ্র্যাগমেন্ট ফ্লাড ভাঙা প্যাকেট পাঠায়, যা জোড়া লাগাতে সার্ভার শক্তি নষ্ট করে। সাইট ধীর হয়, তারপর থামে। হামলা শেষ হলে ফিরে আসে, কিন্তু ব্যাংক বা পেমেন্ট গেটওয়ের এক ঘণ্টা অফলাইন মানে সত্যিকারের টাকা আর সত্যিকারের আতঙ্ক।
কেন ২০২২ সালের আগস্ট
সার্ট হামলাকারীর নাম বলেনি। সতর্কতাটি এল এমন এক মাসে, যখন বাংলাদেশ ও ভারতের হ্যাকটিভিস্ট গোষ্ঠীর মধ্যে পাল্টাপাল্টি হামলা চলছিল—দুই পাশের স্বঘোষিত "সাইবার আর্মি" সীমান্তের ওপারের সরকারি ও করপোরেট সাইট ফেলে দেওয়ার দাবি করছিল—আর ইউক্রেন যুদ্ধের ছায়ায়, যেখানে ডিডস দৈনিক অস্ত্র। বটনেটের ক্ষমতা ভাড়া সস্তা; কয়েক ডলারে এক কিশোর এক ঘণ্টার ফ্লাড কিনতে পারে।
সার্ট যা চেয়েছে
গুরুত্বপূর্ণ তথ্য অবকাঠামোর ডিজিটাল সুরক্ষা গাইডলাইন মানা; অ্যান্টি-ডিডস হার্ডওয়্যার ও সফটওয়্যার বসানো বা হালনাগাদ; আর সঠিক প্রটেকশন থ্রেশোল্ড—যে মাত্রার ট্রাফিকে ছাঁকা শুরু হয়—ঠিক করা। বাস্তবে এর মানে ওপরের দিকে ধারণক্ষমতা রাখা, ইন্টারনেট গেটওয়েতে বা ক্লাউড স্ক্রাবিং সেবায়; কারণ বন্যা আপনার নিজের সার্ভারে পৌঁছালে অনেক দেরি।
ছোট সাইট চালালে
- ডিডস সুরক্ষাসহ কনটেন্ট ডেলিভারি নেটওয়ার্কের পেছনে রাখুন; ক্লাউডফ্লেয়ারের বিনা মূল্যের স্তরই বেশির ভাগ অপেশাদার ফ্লাড শুষে নেয়।
- মূল সার্ভারের আসল আইপি লুকিয়ে রাখুন; হামলাকারী তা পেলে সিডিএন কাজে আসবে না।
- লগইন ও সার্চ পাতায় রেট-লিমিট দিন—হামলাকারীর সবচেয়ে সস্তা লক্ষ্য।
- হোস্টিং প্রোভাইডারের জরুরি যোগাযোগ এমন কোথাও লিখে রাখুন, যা সার্ভারে নয়।
ডিডস সবচেয়ে কম কৌশলী হামলা, আর তবু সবচেয়ে প্রচলিত। প্রতিরক্ষাও চতুর কিছু নয়; প্রস্তুতি।
ছোট সাইট আসলে যা করতে পারে
প্রতিরক্ষার বেশির ভাগ পরামর্শ বাজেট ধরে নেয়। তিনটি জিনিস ধরে না।
সাইটটি বিনা মূল্যের সুবিধা আছে এমন রিভার্স প্রক্সির পেছনে রাখুন—সাধারণত ক্লাউডফ্লেয়ার—যাতে ফ্লাড ট্রাফিক আপনার সার্ভারে নয়, তাদের নেটওয়ার্কে গিয়ে পড়ে, আর আপনার অরিজিন আইপি ঠিকানা প্রকাশ্য না থাকে। ছোট সাইটে লক্ষ্য করা আয়তনভিত্তিক হামলার বিপুল অংশ এই একটিমাত্র পরিবর্তনেই শুষে নেয়।
ব্যয়বহুল পাতাগুলোতে রেট লিমিটিং বসান: লগইন, সার্চ, আর প্রতিটি অনুরোধে ডেটাবেজ কোয়েরি চালায় এমন সবকিছু। ডেটাবেজের সংযোগ আগে ফুরিয়ে দিতে পারলে ফ্লাডের আর আপনার ব্যান্ডউইডথ শেষ করার দরকার পড়ে না।
আর রাখুন একটি স্ট্যাটিক ফলব্যাক—যোগাযোগের তথ্যসহ সাধারণ এইচটিএমএল পাতা, অ্যাপ্লিকেশন বন্ধ থাকলেও যা দেখানো যায়। যে সাইট একটি বিজ্ঞপ্তিতে নেমে আসে, আর যে সাইট কিছুই ফেরত দেয় না—পাঠক ও নজর রাখা সার্চ ইঞ্জিন, দুয়ের কাছেই দুটি আলাদা অবস্থান।
