সাপ্লাই‑চেইন অ্যাটাক (Supply-chain attack) হলো এক ধরণের সাইবার আক্রমণ, যেখানে সরাসরি কোনো বড় প্রতিষ্ঠানকে আক্রমণ না করে তার বিশ্বস্ত কোনো সরবরাহকারী, থার্ড‑পার্টি ভেন্ডর, ওপেন‑সোর্স লাইব্রেরি বা সফটওয়্যার তৈরির পেছনের দুর্বল কোনো পয়েন্টকে লক্ষ্যবস্তু বানানো হয়। যেহেতু প্রতিষ্ঠানগুলো তাদের সাপ্লাই চেইন বা অংশীদারদের বিশ্বাস করে, তাই এই আস্থার সুযোগ নিয়ে আক্রমণকারীরা খুব সহজে মূল লক্ষ্যে প্রবেশ করতে পারে।
সফটওয়্যার সাপ্লাই চেইন মারফত আক্রমণ কীভাবে ঘটে?
আধুনিক সফটওয়্যার প্রায় কখনোই শূন্য থেকে সম্পূর্ণ একা তৈরি হয় না; এতে থার্ড‑পার্টি এপিআই (API), ওপেন‑সোর্স কোড, শেয়ার্ড লাইব্রেরি এবং বিভিন্ন বিল্ড টুল ব্যবহার করা হয়। আক্রমণকারীরা সাধারণত যেভাবে আক্রমণ চালায়:
১. থার্ড‑পার্টি ভেন্ডর বা সার্ভিস কম্প্রোমাইজ: হ্যাকাররা কোনো সফটওয়্যার সরবরাহকারী প্রতিষ্ঠানের সিস্টেমে অননুমোদিত প্রবেশ করে বা তাদের লগইন ক্রেডেনশিয়াল চুরি করে।
২. ওপেন‑সোর্স ডিপেন্ডেন্সি টেম্পারিং: ডেভেলপাররা কোড তৈরির সময় যেসব ওপেন‑সোর্স প্যাকেজ বা লাইব্রেরি (যেমন: npm, PyPI) ব্যবহার করেন, হ্যাকাররা সেখানে ম্যালিসিয়াস বা ক্ষতিকর কোড ঢুকিয়ে দেয়।
৩. বিল্ড পাইপলাইন বা সিআই/সিডি (CI/CD) আক্রমণ: সফটওয়্যার তৈরির ও সংকলন করার সার্ভার বা টুলগুলোর ভেতরে ম্যালওয়্যার ঢুকিয়ে দেওয়া হয়, ফলে সফটওয়্যারটি কম্পাইল হওয়ার সময় অজান্তেই তার ভেতর ক্ষতিকর কোড বা ব্যাকডোর যুক্ত হয়ে যায়।
৪. কোড‑সাইনিং সার্টিফিকেট চুরি: বৈধ ডিজিটাল সার্টিফিকেট চুরি করে বা অপব্যবহার করে ক্ষতিকর সফটওয়্যার বা আপডেটকে 'নিরাপদ' বা বিশ্বস্ত হিসেবে ব্যবহারকারীর কাছে পাঠানো হয়।
৫. ডাউনস্ট্রিম আপডেট ডেলিভারি: এরপর ব্যবহারকারী যখন নিয়মিত সফটওয়্যার আপডেট করেন, তখন সেই বিশ্বস্ত আপডেটের মাধ্যমেই তার ডিভাইসে বা নেটওয়ার্কে ম্যালওয়্যার ছড়িয়ে পড়ে (যেমন: SolarWinds-এর ঘটনা)।
প্রতিরোধের উপায়গুলো কী কী?
সফটওয়্যার সাপ্লাই চেইন আক্রমণ প্রতিরোধে বহুমাত্রিক সুরক্ষা কৌশল বা DevSecOps পদ্ধতি অনুসরণ করতে হয়:
• এসবিওএম (SBOM - Software Bill of Materials) ব্যবহার: সফটওয়্যারে ব্যবহৃত সকল থার্ড-পার্টি কম্পোনেন্ট, লাইব্রেরি ও ওপেন-সোর্স কোডের একটি পরিষ্কার তালিকা বা ইনভেন্টরি রাখা।
• ভেন্ডর ও থার্ড-পার্টি রিস্ক অ্যাসেসমেন্ট: সফটওয়্যার সরবরাহকারী বা ভেন্ডরদের নিরাপত্তা মানদণ্ড (যেমন: ISO 27001, SOC 2) নিয়মিত যাচাই করা।
• সফটওয়্যার কম্পোজিশন অ্যানালাইসিস (SCA) ও স্ক্যানিং: কোড ও ওপেন-সোর্স লাইব্রেরি ব্যবহারের আগেই সেগুলোতে কোনো পরিচিত দুর্বলতা বা ক্ষতিকর কোড আছে কি না তা স্ক্যান করা।
• জিরো ট্রাস্ট আর্কিটেকচার (Zero Trust): নেটওয়ার্ক বা সিস্টেমের ভেতরের বা বাইরের কোনো টুল বা ব্যবহারকারীকে অন্ধভাবে বিশ্বাস না করা এবং 'লিস্ট প্রিভিলেজ' বা সর্বনিম্ন প্রয়োজনীয় অ্যাক্সেস নিশ্চিত করা।
• নিরাপদ বিল্ড পাইপলাইন (CI/CD Security): সোর্স কোড রিপোজিটরি, বিল্ড সার্ভার এবং রিলিজ বা সাইনিং কি' (Signing Keys)-এর নিরাপত্তা কঠোর করা।
• ক্রমাগত মনিটরিং: সফটওয়্যার ইনস্টল বা আপডেটের পরেও সেটির অস্বাভাবিক আচরণ বা নেটওয়ার্ক অ্যাক্টিভিটি রিয়েল-টাইমে পর্যবেক্ষণ করা।