IPS (Intrusion Prevention System)

IPS কী

IPS (Intrusion Prevention System) হলো একটি ইনট্রুশন প্রিভেনশন সিস্টেম, যা নেটওয়ার্ক অবকাঠামোর অভ্যন্তরে এমবেড করা একটি সক্রিয় প্রতিরক্ষা ব্যবস্থা হিসেবে কাজ করে। ফায়ারওয়াল-এর বিপরীতে, যেগুলো স্ট্যাটিক নিয়মের (IP ঠিকানা ও পোর্টের ভিত্তিতে) মাধ্যমে শুধু ট্রাফিক পাস করায় বা ব্লক করে, IPS প্যাকেটের বিষয়বস্তু ও ফ্লোর আচরণ গভীরভাবে বিশ্লেষণ করে এবং রিয়েল টাইমে সিদ্ধান্ত নেয়: পাস করা হবে, ব্লক করা হবে নাকি ট্রান্সফার গতি সীমিত করা হবে।

সহজ ভাষায় বললে, ফায়ারওয়াল যদি হয় এমন ব্যারিয়ার যা শুধু গাড়ির নম্বর (IP ঠিকানা) দেখে, তবে IPS হলো সেই পরিদর্শক, যিনি ব্যাগের ভেতরটি পরীক্ষা করেন, ডকুমেন্ট ও চালকের আচরণ যাচাই করেন যাতে নিশ্চিত হওয়া যায় গাড়িতে বিপজ্জনক কিছু নেই। IPS সক্রিয়ভাবে প্রক্রিয়ায় হস্তক্ষেপ করে, সন্দেহজনক সংযোগ ব্লক করে এবং হুমকির বিস্তার প্রতিরোধ করে।

IPS-কে প্রায়ই IDS (ইনট্রুশন ডিটেকশন সিস্টেম)-এর সঙ্গে একত্রিত করা হয়, তবে মূল পার্থক্য হলো—IPS সক্রিয়ভাবে প্রক্রিয়ায় হস্তক্ষেপ করে: সংযোগ বিচ্ছিন্ন করে, আক্রমণকারীদের IP ঠিকানা ব্লক করে, ম্যালিশাস প্যাকেট ব্লক করে এবং তথ্য নিরাপত্তা মনিটরিং কেন্দ্রকে (SOC) জানায়। কর্পোরেট নেটওয়ার্কে IPS নেটওয়ার্কের সীমানায় (ডেটা সেন্টার-এর সামনে) বা গুরুত্বপূর্ণ সার্ভার ও ডেটাবেস সুরক্ষার জন্য সেগমেন্টের অভ্যন্তরে স্থাপন করা হয়।

Gartner-এর তথ্য অনুযায়ী, 2027 সালের মধ্যে 80%-এর বেশি বড় প্রতিষ্ঠান নেটওয়ার্ক নিরাপত্তা কৌশলের অংশ হিসেবে IPS ব্যবহার করবে, যার কারণ অ্যাপ্লিকেশন স্তরের (L7) জটিল আক্রমণ বৃদ্ধি এবং কর্পোরেট নেটওয়ার্ক দিয়ে যাওয়া ট্রাফিকের বৃদ্ধি।

IPS কীভাবে কাজ করে

IPS রিয়েল টাইমে (inline) কাজ করে হুমকি শনাক্ত ও ব্লক করতে বেশ কয়েকটি পদ্ধতি ব্যবহার করে:

1. সিগনেচার বিশ্লেষণ: ট্রাফিককে পরিচিত আক্রমণের ডেটাবেসের সঙ্গে তুলনা করা (অ্যান্টিভাইরাস সিগনেচারের অনুরূপ)। ইতোমধ্যে সিগনেচার তৈরি হয়ে যাওয়া পরিচিত হুমকির বিরুদ্ধে কার্যকর, তবে “জিরো-ডে” (0-day) আক্রমণের বিরুদ্ধে অকার্যকর। সিগনেচার ডেটাবেস নিয়মিত (প্রতিদিন বা সাপ্তাহিক) আপডেট করা হয়।
2. অ্যানোমালি বিশ্লেষণ (বিহেভিয়ারাল): সিস্টেম সাধারণ ট্রাফিক থেকে শেখে (স্বাভাবিক আচরণের প্রোফাইল তৈরি করে) এবং বিচ্যুতি শনাক্ত করে (যেমন, SYN প্যাকেটের সংখ্যা হঠাৎ বৃদ্ধি, বন্ধ পোর্টে অস্বাভাবিক ট্রাফিক, প্যাকেটের অস্বাভাবিক আকার)।
3. প্রোটোকল বিশ্লেষণ: নেটওয়ার্ক প্রোটোকলের মানের সঙ্গে সামঞ্জস্য পরীক্ষা (যেমন, HTTP smuggling, ভুয়া DNS রেসপন্স, TLS প্রোটোকল লঙ্ঘন শনাক্তকরণ)।
4. রেপুটেশন বিশ্লেষণ: IP ঠিকানা ও ডোমেন রেপুটেশন ডেটাবেসের (Threat Intelligence) মাধ্যমে পরীক্ষা করে পরিচিত C&C সার্ভার (Command and Control) বা বটনেটের সঙ্গে সংযোগ শনাক্ত করা।

IPS SIEM সিস্টেম-এর সঙ্গে যুগ্মভাবে কাজ করে, কোরিলেশন ও বিশ্লেষণের জন্য ইভেন্ট পাঠায়। পরবর্তীতে ইনসিডেন্ট অনুসন্ধান ও ফরেনসিকের জন্য IPS-এর লগ ডেটা স্টোরেজ সিস্টেমে (SAN) সংরক্ষণ করা হয়। আধুনিক IPS-এ সিগনেচার ছাড়াই নতুন আক্রমণ প্যাটার্ন শনাক্ত করতে মেশিন লার্নিংও ব্যবহৃত হয়।

IPS-এর প্রধান প্রকারভেদ

IPS স্থাপনের স্থান, কার্যপদ্ধতি ও সুরক্ষার স্তর অনুযায়ী শ্রেণিবদ্ধ হয়:

• নেটওয়ার্ক IPS (NIPS — Network IPS): নেটওয়ার্কের মূল বিন্দুগুলোতে (সীমানায়, সেগমেন্টের মধ্যে, ডেটা সেন্টার-এর সামনে) স্থাপন করা হয়। নেটওয়ার্ক ও অ্যাপ্লিকেশন স্তরে সমস্ত ট্রাফিক বিশ্লেষণ করে। কর্পোরেট নেটওয়ার্কের জন্য সর্বাধিক প্রচলিত প্রকার।
• হোস্ট IPS (HIPS — Host IPS): পৃথক সার্ভার বা ওয়ার্কস্টেশনে স্থাপন করা হয়। OS স্তরে (সিস্টেম কল, প্রসেস চালু, রেজিস্ট্রি পরিবর্তন) কার্যকলাপ বিশ্লেষণ করে। প্রায়ই অ্যান্টিভাইরাস সফটওয়্যার ও EDR সমাধানের সঙ্গে ইন্টিগ্রেট করা হয়।
• ওয়্যারলেস IPS (WIPS — Wireless IPS): Wi-Fi নেটওয়ার্ককে অননুমোদিত অ্যাক্সেস পয়েন্ট (Rogue AP) এবং 802.11 প্রোটোকলের আক্রমণ (যেমন, deauthentication) থেকে সুরক্ষা দেয়।
• Network Behavior Analysis (NBA): আচরণগত অসঙ্গতি শনাক্ত করতে নেটওয়ার্ক ট্রাফিক বিশ্লেষণ করে (ব্যবহারকারীর আচরণ বিশ্লেষণকারী UEBA-র সঙ্গে বিভ্রান্ত হবেন না)।

রাশিয়ায় IPS সমাধান নির্বাচন প্রায়ই 187-FZ-এর শর্তাবলি এবং দেশীয় সফটওয়্যার রেজিস্ট্রি-ভুক্ত সরঞ্জাম ব্যবহারের প্রয়োজনীয়তা দ্বারা নির্ধারিত হয়। দেশীয় IPS সমাধানগুলো (যেমন, UserGate IPS, Positive Technologies IPS) FSTEC-সার্টিফাইড এবং সরকারি তথ্য সিস্টেমে ব্যবহারযোগ্য।

IPS কেন প্রয়োজন এবং এটি কীভাবে সুরক্ষা দেয়

IPS এমন বিস্তৃত হুমকি থেকে সুরক্ষা দেয়, যেগুলো ক্লাসিক্যাল ফায়ারওয়াল দিয়ে ঠেকানো সম্ভব নয়:

• নেটওয়ার্ক আক্রমণ: পোর্ট স্ক্যানিং, DoS আক্রমণ (সার্ভিস বন্ধ), প্যাকেট ফ্র্যাগমেন্টেশন, IP spoofing (IP ঠিকানা জালিয়াতি) ব্লক করা।
• ম্যালওয়্যার: বটনেট, C&C সার্ভার থেকে আসা ট্রাফিক এবং ম্যালিশাস ফাইল ডাউনলোডের চেষ্টা (যেমন, এক্সপ্লয়েট) শনাক্ত ও ব্লক করা।
• এক্সপ্লয়েট ও দুর্বলতা: প্রোটোকল ও অ্যাপ্লিকেশনের দুর্বলতার অপব্যবহার প্রতিরোধ (যেমন, EternalBlue, Heartbleed, Shellshock)। IPS দুর্বল সার্ভারে পৌঁছানোর আগেই শোষণের চেষ্টা ব্লক করে।
• অ্যাপ্লিকেশন স্তরের আক্রমণ (L7): SQL ইনজেকশন, XSS (ক্রস-সাইট স্ক্রিপ্টিং), HTTP ট্রাফিকে কমান্ড ইনজেকশন ব্লক করা।

এছাড়া IPS বিস্তারিত লগ ও ব্লক করা আক্রমণের তথ্য প্রদানের মাধ্যমে ইনসিডেন্ট অনুসন্ধানেও সাহায্য করে, যা হুমকি বিশ্লেষণ ও নিরাপত্তা নীতি উন্নত করতে কাজে লাগে।

সাইবার নিরাপত্তা ইকোসিস্টেমে IPS

IPS কোনো বিচ্ছিন্ন সমাধান নয় এবং এটি পরিপূর্ণ তথ্য সুরক্ষা ব্যবস্থার অংশ। সর্বোচ্চ কার্যকারিতার জন্য IPS অন্যান্য সরঞ্জামের সঙ্গে ইন্টিগ্রেট করা হয়:

• নেক্সট-জেনারেশন ফায়ারওয়াল (NGFW): IPS প্রায়ই NGFW-এর অন্তর্ভুক্ত থাকে, যা ঐতিহ্যবাহী ফিল্টারিংয়ের পাশাপাশি অ্যাপ্লিকেশন স্তরে সুরক্ষা নিশ্চিত করে।
• SIEM সিস্টেম: IPS সেন্ট্রালাইজড কোরিলেশনের জন্য ইভেন্ট ও লগ SIEM-এ পাঠায় (সার্ভার, অ্যাপ্লিকেশন, অ্যান্টিভাইরাসের লগ)।
• EDR/XDR: IPS নেটওয়ার্ক স্তরে সুরক্ষা দেয়, আর EDR এন্ডপয়েন্ট স্তরে। একসঙ্গে তারা স্তরে স্তরে সুরক্ষা (defense in depth) গড়ে তোলে, সব সম্ভাব্য আক্রমণ ভেক্টর ঢেকে দেয়।
• SOAR: SOAR-এর সঙ্গে ইন্টিগ্রেশন IPS ইভেন্টের প্রতিক্রিয়া অটোমেট করতে দেয় (যেমন, ফায়ারওয়ালে স্বয়ংক্রিয়ভাবে IP ঠিকানা ব্লক)।

পরিপূর্ণ নিরাপত্তা ব্যবস্থার অংশ হিসেবে IPS বাস্তবায়নে পেশাদার ডিজাইন প্রয়োজন। ডিজাইন সেবা ও প্রশিক্ষণ কোর্স সিস্টেমটি সঠিকভাবে কনফিগার করতে এবং বিদ্যমান অবকাঠামোর সঙ্গে ইন্টিগ্রেট করতে সাহায্য করবে।