QA ও রিলিজ অ্যাসুরেন্স
পেনেট্রেশন টেস্টিং
আপনার ওয়েব অ্যাপ, API ও ক্লাউড সেটআপে অনুমোদিত, স্কোপ করা আক্রমণ, যা দেখায় কোন দুর্বলতাগুলো সত্যিই কাজে লাগানো যায়। আপনি পাবেন প্রমাণ, ফিক্সের নির্দেশনা, আর ফিক্স সম্পন্ন হলে একটি রিটেস্ট।

কারা পেনেট্রেশন টেস্ট করান
একজন গ্রাহক, বিমা প্রতিষ্ঠান বা অডিটর নিরপেক্ষ প্রমাণ চান যে মানুষ আপনার প্রোডাক্টে ঢোকার চেষ্টা করে দেখেছেন, আর আপনার প্রয়োজন এমন ফাইন্ডিং, যার ভিত্তিতে পদক্ষেপ নেওয়া যায়, শুধু একটি স্ক্যানারের প্রিন্টআউট নয়।
- এন্টারপ্রাইজ গ্রাহকের সিকিউরিটি রিভিউয়ের মুখোমুখি SaaS কোম্পানি
- পেমেন্ট বা স্বাস্থ্যসেবা প্রোডাক্ট লঞ্চ করছে এমন টিম, যারা আগে একজন আক্রমণকারীর দৃষ্টিতে দেখে নিতে চায়
- যেসব কোম্পানির ক্লাউড সেটআপ দ্রুত বেড়েছে এবং কখনো নিরপেক্ষভাবে টেস্ট করা হয়নি
একটি সাধারণ স্কোপ ও এনগেজমেন্টের নিয়ম
একটি ওয়েব প্রোডাক্টের নমুনা স্কোপ; আপনার স্কোপ টেস্টিং শুরুর আগেই সম্মত ও স্বাক্ষরিত হয়।
স্কোপের মধ্যে
- ওয়েব অ্যাপ ও প্রতিটি ইউজার রোল, আপনার দেওয়া টেস্ট অ্যাকাউন্ট দিয়ে
- পাবলিক API এবং আপনার মোবাইল অ্যাপ যে ব্যাকএন্ড কল করে
- নির্দিষ্ট করে উল্লেখ করা ক্লাউড অ্যাকাউন্ট: স্টোরেজ, আইডেন্টিটি সেটিংস ও উন্মুক্ত সার্ভিস
- ডেটা বা টুলে পৌঁছানোর পথ হিসেবে চ্যাটবট বা এজেন্ট ফিচার
স্কোপের বাইরে
- ডিনায়াল-অফ-সার্ভিস, বা এমন লোড যা বাস্তব ব্যবহারকারীদের বিঘ্ন ঘটাতে পারে
- আপনার কর্মীদের ওপর ফিশিং বা সোশ্যাল ইঞ্জিনিয়ারিং, যদি না আলাদাভাবে সম্মত হয়
- অফিস, ডিভাইস বা নেটওয়ার্কে ফিজিক্যাল অ্যাক্সেস
- যেসব থার্ড-পার্টি সার্ভিসের মালিক আপনি নন, সেগুলোর মালিকের অনুমতি ছাড়া
এনগেজমেন্টের নিয়ম
- টার্গেট, টেস্ট অ্যাকাউন্ট ও সোর্স IP অ্যাড্রেস উল্লেখসহ স্বাক্ষরিত অনুমোদন
- প্রোডাকশনের জন্য সম্মত টেস্টিংয়ের সময়; যেখানে স্টেজিং প্রোডাকশনের যথাযথ প্রতিফলন, সেখানে স্টেজিং ব্যবহার
- দুই পক্ষেই নির্দিষ্ট যোগাযোগের ব্যক্তি, টেস্টিং চলাকালে যাঁদের পাওয়া যাবে
- গুরুতর ফাইন্ডিং সঙ্গে সঙ্গে জানানো হয়, চূড়ান্ত রিপোর্টের জন্য আটকে রাখা হয় না
- টেস্টিং শেষ হলে টেস্ট অ্যাকাউন্ট ও আপলোড করা টেস্ট ডেটা সরিয়ে ফেলা হয়
আপনার প্রোডাক্টকে দেখুন একজন আক্রমণকারীর চোখে
স্ক্যানার খুঁজে পায় পরিচিত প্যাটার্ন; আক্রমণকারীরা ছোট ছোট দুর্বলতা একটির সাথে আরেকটি জুড়ে দেয়। একটি পেনেট্রেশন টেস্ট, অর্থাৎ অনুমোদিত এথিক্যাল হ্যাকিং, দেখায় আপনার ওয়েব অ্যাপ্লিকেশন, API, মোবাইল ব্যাকএন্ড বা ক্লাউড সেটআপের কোন দুর্বলতাগুলো আসলে কাজে লাগানো যায়, এবং একজন আক্রমণকারী কতদূর পৌঁছাতে পারত। লঞ্চ, গ্রাহকের সিকিউরিটি রিভিউ বা অডিটের আগে এটি কাজে আসে। আমরা কাজ করি কেবল আপনার অনুমোদিত লিখিত স্কোপ ও এনগেজমেন্টের নিয়মের মধ্যে, ডিফল্টভাবে ক্ষতিকর নয় এমন কৌশল ব্যবহার করি, এবং প্রতিটি ফাইন্ডিং রিপোর্ট করি প্রমাণ, রিপ্রোডিউস করার ধাপ ও ফিক্সের নির্দেশনাসহ।
AI-সহায়তায় রিকনেসান্স, মানুষের নেতৃত্বে এক্সপ্লয়টেশন
AI যেভাবে সহায়তা করে
- রিকনেসান্সের গতি বাড়ায়: সম্মত স্কোপের মধ্যে রুট, প্যারামিটার, টেকনোলজি ও উন্মুক্ত সার্ভিসের ম্যাপ তৈরি করে।
- স্ক্যানারের আউটপুট বাছাই করে, ডুপ্লিকেট ও সম্ভাব্য ফলস পজিটিভ সরিয়ে দেয়, যাতে টেস্টাররা প্রকৃত সূত্রগুলোতে মনোযোগ দিতে পারেন।
- অ্যাপ্লিকেশনের রোল, ওয়ার্কফ্লো ও পরিচিত দুর্বলতার প্যাটার্ন থেকে আক্রমণের সম্ভাব্য পথ ও টেস্ট কেসের পরামর্শ দেয়।
- ফাইন্ডিংয়ের বিবরণ ও ফিক্সের নির্দেশনার খসড়া তৈরি করে, যা টেস্টাররা যাচাই করে সম্পূর্ণ করেন।
আমাদের বিশেষজ্ঞদের দায়িত্ব
- যেকোনো টেস্টিং শুরুর আগেই স্কোপ, এনগেজমেন্টের নিয়ম ও টেস্টিংয়ের সময় আপনার সাথে লিখিতভাবে ঠিক করা হয়।
- এক্সপ্লয়টেশনের প্রতিটি ধাপ টেস্টাররা নিজেরাই চালান। AI টুল তত্ত্বাবধান ছাড়া আপনার সিস্টেমের বিরুদ্ধে কোনো পদক্ষেপ নেয় না।
- টেস্টাররা ফাইন্ডিংগুলো একসাথে জুড়ে দেখেন, বাস্তব প্রভাব বিচার করেন এবং কোনটি রিপোর্ট করার মতো, তা ঠিক করেন।
- তীব্রতা নির্ধারিত হয় আপনার এনভায়রনমেন্টে একজন আক্রমণকারী কতদূর পৌঁছাতে পারত, তার ভিত্তিতে, কোনো সাধারণ স্কোরে নয়।
আপনি কী পাবেন
স্কোপ করা টেস্টিং, স্পষ্ট প্রমাণ ও রিটেস্ট
ওয়েব অ্যাপ্লিকেশন টেস্টিং
অথেনটিকেশন, অ্যাক্সেস কন্ট্রোল, ইনজেকশন, ক্রস-সাইট স্ক্রিপ্টিং, রিকোয়েস্ট ফরজারি ও ব্যবসায়িক লজিকের ত্রুটি, OWASP টেস্টিং নির্দেশিকা অনুসরণ করে।
API পেনেট্রেশন টেস্টিং
REST ও GraphQL API-তে ত্রুটিপূর্ণ অবজেক্ট ও ফাংশন লেভেলের অথরাইজেশন, ম্যাস অ্যাসাইনমেন্ট, ইনজেকশন ও টোকেনের দুর্বলতা।
ক্লাউড ও ইনফ্রাস্ট্রাকচার রিভিউ
আপনার ক্লাউড এনভায়রনমেন্টে উন্মুক্ত সার্ভিস, নেটওয়ার্ক রুল, স্টোরেজের অনুমতি, আইডেন্টিটি ও অ্যাক্সেস সেটিংস, এবং ফাঁস হওয়া সিক্রেট।
AI ফিচার টেস্টিং
চ্যাটবট, এজেন্ট ও অন্যান্য LLM ফিচারে প্রম্পট ইনজেকশন, উত্তরের মাধ্যমে ডেটা ফাঁস, এবং প্রয়োজনের চেয়ে বিস্তৃত টুল বা ডেটার অনুমতি।
প্রমাণভিত্তিক রিপোর্ট
একটি এক্সিকিউটিভ সারসংক্ষেপ ও টেকনিক্যাল ফাইন্ডিং, প্রতিটির সাথে প্রমাণ, রিপ্রোডিউস করার ধাপ, তীব্রতা, প্রভাব ও ফিক্সের নির্দেশনা।
ফিক্সের রিটেস্ট
আপনি ফাইন্ডিংগুলো ঠিক করার পর আমরা প্রতিটি রিটেস্ট করি এবং রিপোর্ট আপডেট করি, যাতে কোন সমস্যাগুলোর সমাধান হয়েছে, তা আপনি দেখাতে পারেন।
একটি পেনেট্রেশন টেস্ট যেভাবে চলে
- 01
স্কোপ ও নিয়ম
টার্গেট, এনভায়রনমেন্ট, টেস্ট অ্যাকাউন্ট, টেস্টিংয়ের সময় ও যোগাযোগের ব্যক্তি ঠিক করা। টেস্টিং শুরুর আগেই লিখিত অনুমোদন নিশ্চিত করা হয়।
- 02
রিকনেসান্স
AI-সহায়তায় বিশ্লেষণের মাধ্যমে স্কোপের মধ্যে অ্যাটাক সারফেসের ম্যাপ তৈরি করা, যার মধ্যে রয়েছে রুট, API, রোল, টেকনোলজি ও উন্মুক্ত সার্ভিস।
- 03
নিয়ন্ত্রিত এক্সপ্লয়টেশন
টেস্টাররা কোনো ক্ষতি না করে দুর্বলতাগুলো কাজে লাগানোর চেষ্টা করেন, আর কোনো কিছু লাইভ ব্যবহারকারী বা ডেটার ওপর প্রভাব ফেলতে পারলে থেমে আপনার সাথে যোগাযোগ করেন।
- 04
রিপোর্ট ও রিটেস্ট
ফিক্সের নির্দেশনাসহ প্রমাণভিত্তিক ফাইন্ডিং ডেলিভার করা, আপনার টিমকে সেগুলো ধাপে ধাপে বুঝিয়ে দেওয়া, এবং ফিক্স ডিপ্লয় হলে রিটেস্ট করা।
AI টুল নিয়ে কাজের দুটি উপায়
AI টেস্টের খসড়া তৈরি ও ত্রুটি অনুসন্ধানে সাহায্য করে। এটি আপনার কোড ও টেস্ট ডেটা কোথায় প্রসেস করতে পারবে, তা বেছে নিন।
- প্রাইভেট / লোকাল AI ইঞ্জিনিয়ারিং
আপনার নিয়ন্ত্রণাধীন ইনফ্রাস্ট্রাকচারে বা সম্মত একটি আইসোলেটেড এনভায়রনমেন্টে প্রাইভেটভাবে হোস্ট করা মডেল।
এই প্যাকেজ নিয়ে আলোচনা করুন - Claude Code / OpenAI Codex ইঞ্জিনিয়ারিং
আপনার প্রতিষ্ঠানের অনুমোদিত ক্লাউড সেটিংসে Claude Code এবং/অথবা OpenAI Codex।
এই প্যাকেজ নিয়ে আলোচনা করুন
নিশ্চিত নন? স্কোপিংয়ের সময় আমরা একটি সুপারিশ করব। AI ব্যবহারের বিকল্প তুলনা করুন
সাধারণত যে ধরনের পেনেট্রেশন টেস্ট অনুরোধ আসে
যে ধরনের পরিস্থিতি আমরা সাধারণত স্কোপ করি; এগুলো ক্লায়েন্টের কেস স্টাডি নয়।
এন্টারপ্রাইজ ক্রেতার জন্য টেস্ট রিপোর্ট
একটি SaaS কোম্পানির নতুন গ্রাহক চুক্তি সইয়ের আগে সাম্প্রতিক একটি নিরপেক্ষ টেস্ট চান। সেই গ্রাহক প্রোডাক্টের যে অংশগুলো ব্যবহার করবেন, আমরা সেগুলো স্কোপ করি ও টেস্ট করি, এবং এমন একটি রিপোর্ট দিই, যা তাঁদের সিকিউরিটি টিম রিভিউ করতে পারে এবং যা রিটেস্টের পরে হালনাগাদ করা হয়।
তাড়াহুড়োয় সেটআপ করা ক্লাউড অ্যাকাউন্ট
একটি ছোট টিম ক্লাউডে সরে গেছে, আর প্রয়োজন পড়লেই অনুমতি দেওয়া হয়েছে। স্টোরেজ, অ্যাক্সেস কী বা অ্যাডমিন কনসোলে পৌঁছানো যায় কি না, এবং একজন অনুপ্রবেশকারী কতদূর এগোতে পারত, তা দেখতে আমরা বাইরে থেকে এবং কম অনুমতিসম্পন্ন একটি অ্যাকাউন্ট থেকে টেস্ট করি।
ছোট ছোট দুর্বলতা, যা জুড়ে বড় হতে পারে
একটি ওয়েব অ্যাপে এমন কিছু ছোট সমস্যা আছে, যেগুলোকে কেউ অগ্রাধিকার দেয়নি: অতিরিক্ত তথ্য দেখানো এরর, দুর্বল রিসেট ফ্লো, অনুমান করা যায় এমন ID। এগুলো একটির সাথে আরেকটি জুড়ে অ্যাকাউন্ট দখল পর্যন্ত গড়াতে পারে কি না, আমরা তা টেস্ট করি, এবং প্রমাণসহ সেই শৃঙ্খলটি রিপোর্ট করি, সাথে সবচেয়ে সহজ ফিক্সটি, যা শৃঙ্খলটি ভেঙে দেয়।
পেনেট্রেশন টেস্টের সীমাবদ্ধতা
- টেস্টাররা টেস্টিংয়ের সময়সীমার মধ্যে খোলা থাকা আক্রমণের পথগুলো অনুসরণ করেন; পরের রিলিজে এবং স্কোপের বাইরের সিস্টেমে তখনও দুর্বলতা থাকতে পারে।
- সব রোলজুড়ে প্রতিটি এন্ডপয়েন্ট ধরে ধরে অথরাইজেশন টেস্টিং হলো API সিকিউরিটির কাজ; পেনেট্রেশন টেস্ট API-কে ভেতরে ঢোকার একটি পথ হিসেবে দেখে।
- একটি AI ফিচার ভালো উত্তর দেয় কি না, এবং মডেল বা প্রম্পট বদলানোর পরেও তা বজায় থাকে কি না, তা দেখা AI মূল্যায়ন ও টেস্টিংয়ের কাজ; আমরা এটিকে একটি প্রবেশপথ হিসেবে টেস্ট করি।
- সোর্স কোড লাইন ধরে ধরে পড়া কোড অডিট ও রিভিউয়ের কাজ; এখানে টেস্টাররা চলমান সিস্টেমে আক্রমণ চালান।
ডিজাইন, QA ও পরিচালনার সাথে সিকিউরিটি টেস্টিং যেভাবে যুক্ত
ডিজাইন: ব্যবহারবান্ধব সিকিউরিটি
সাইন-ইন, অ্যাকাউন্ট রিকভারি বা অনুমতিতে পরিবর্তন আনে এমন ফিক্স আপনার ডিজাইনারদের সাথে মিলে ডিজাইন করা হয়, যাতে সিকিউরিটির কারণে প্রোডাক্ট ব্যবহার করা কঠিন না হয়ে পড়ে।
QA: যে ফিক্স টিকে থাকে
আমাদের ইঞ্জিনিয়াররা ফাইন্ডিংগুলো ঠিক করতে সাহায্য করতে পারেন, আর QA রিগ্রেশন টেস্ট যোগ করে, যাতে পরের কোনো পরিবর্তন একই দুর্বলতা আবার ফিরিয়ে না আনে।
পরিচালনা: শুধু প্রতিরোধ নয়, শনাক্তও
ফাইন্ডিংয়ের ভিত্তিতে আপনার ক্লাউড সেটআপের লগিং, অ্যালার্টিং ও হার্ডেনিং করা হয়, যাতে চলমান কোনো আক্রমণ আপনার টিমের নজরে পড়ার সম্ভাবনা বাড়ে।
চলমান: বড় পরিবর্তনের পরে রিটেস্ট
আপনার সাথে সম্মত সময়সূচিতে বড় রিলিজ, নতুন ইন্টিগ্রেশন বা ইনফ্রাস্ট্রাকচার পরিবর্তনের পরে রিটেস্ট আপনার সিকিউরিটির চিত্র হালনাগাদ রাখে।
প্রশ্নোত্তর
সাধারণ প্রশ্নাবলী
পেনেট্রেশন টেস্ট কি আমাদের ব্যবহারকারীদের অসুবিধায় ফেলবে?
ডিফল্টভাবে আমরা ক্ষতিকর নয় এমন কৌশল ব্যবহার করি, স্টেজিং প্রোডাকশনের প্রতিনিধিত্ব করলে সেখানেই টেস্ট করি, এবং প্রোডাকশনের জন্য টেস্টিংয়ের সময় আপনার সাথে মিলে ঠিক করি। কোনো কিছু ঝুঁকিপূর্ণ মনে হলে টেস্টাররা থেমে যান এবং আরও এগোনোর আগে আপনার নির্ধারিত ব্যক্তির সাথে যোগাযোগ করেন।
একটি পেনেট্রেশন টেস্টে কত সময় লাগে?
এটি নির্ভর করে স্কোপে থাকা অ্যাপ্লিকেশন, ইউজার রোল ও এনভায়রনমেন্টের সংখ্যার ওপর। একটি স্কোপিং কলের পর, কাজ শুরুর আগেই আমরা আপনার সাথে মিলে একটি নির্দিষ্ট স্কোপ, টেস্টিংয়ের সময় ও রিপোর্টের তারিখ ঠিক করি।
পেনেট্রেশন টেস্ট কি আমাদের কমপ্লায়েন্ট করে তুলবে?
কোনো টেস্ট নিজে থেকে একটি প্রোডাক্টকে কমপ্লায়েন্ট করে না। আমরা আপনার কমপ্লায়েন্সের কাজে সহায়তা করি: রিপোর্ট এমনভাবে লেখা হয় যাতে অডিটর ও আপনার গ্রাহকদের সিকিউরিটি টিম তা রিভিউ করতে পারে, আর রিটেস্টের ফলাফল দেখায় কোন ফাইন্ডিংগুলোর সমাধান হয়েছে।
আমাদের ফাইন্ডিং ও ডেটা কীভাবে হ্যান্ডল করা হয়, AI টুলের ক্ষেত্রেও?
ফাইন্ডিং পাঠানো হয় কেবল আপনার নির্ধারিত ব্যক্তিদের কাছে, স্কোপিংয়ের সময় সম্মত চ্যানেলের মাধ্যমে। AI-সহায়তায় বিশ্লেষণ চলে আপনার বেছে নেওয়া সীমানার ভেতরে: প্রাইভেট / লোকাল AI ইঞ্জিনিয়ারিংয়ে আপনার নিয়ন্ত্রণাধীন ইনফ্রাস্ট্রাকচারে বা আপনার সাথে মিলে ঠিক করা একটি আইসোলেটেড এনভায়রনমেন্টে, অথবা Claude Code / OpenAI Codex ইঞ্জিনিয়ারিংয়ে প্রোভাইডারের সম্মত ডেটা হ্যান্ডলিং ও রিটেনশনের শর্তে।
জেনে নিন, একজন আক্রমণকারী কতদূর পৌঁছাতে পারত
কী টেস্ট করা দরকার এবং কেন, আমাদের জানান: লঞ্চ, গ্রাহকের সিকিউরিটি রিভিউ বা অডিট। আমরা স্কোপ ও এনগেজমেন্টের নিয়ম প্রস্তাব করব।











