একটি নতুন পদ্ধতি একটি LLM-চালিত পেন্টেস্টিং (pentest) এজেন্টকে কেবল একটি ব্রিচ (breach) বা অনুপ্রবেশের দাবি করার পরিবর্তে তা প্রমাণ করতে বাধ্য করে। এটি চ্যালেঞ্জ-রেসপন্স নন্স (challenge-response nonces) ব্যবহার করে যা ফলস পজিটিভ (false positives) দূর করে। HALO ফ্রেমওয়ার্কে প্রদর্শিত এই কৌশলটি “মনে হচ্ছে আমরা একটি শেল (shell) পেয়েছি” থেকে “আমরা প্রকৃতপক্ষে একটি শেল পেয়েছি”—এতে রূপান্তরিত করে।

কেন ফলস-পজিটিভ ব্রিচ গুরুত্বপূর্ণ

লার্জ ল্যাঙ্গুয়েজ মডেলের ওপর ভিত্তি করে তৈরি অটোমেটেড এক্সপ্লয়টেশন ইঞ্জিনগুলো একটি মাত্র রান-এ ডজন ডজন “সফল” পোর্ট কম্প্রোমাইজ (port compromise) তৈরি করতে পারে। অনেক সার্ভিস তাদের ব্যানারে “uid=0”-এর মতো স্ট্রিং প্রদর্শন করে, এবং একটি সুপরিকল্পিত টার্গেট অ্যাটাকারদের কোড কার্যকর না করেই সেই আউটপুটগুলো নকল করতে পারে। যখন এজেন্ট সেই তথ্যের ওপর বিশ্বাস করে ফেলে, তখন পরবর্তী প্রতিটি সিদ্ধান্ত—তা পিভট (pivot) করা হোক, ডেটা এক্সফিল্ট্রেট (exfiltrate) করা হোক বা ল্যাটারালি মুভ (move laterally) করা হোক—সবই একটি মিথ্যার ওপর ভিত্তি করে দাঁড়িয়ে থাকে। সিকিউরিটি টিমগুলো কাল্পনিক ফুটহোল্ড (foothold) খোঁজার পেছনে ঘণ্টার পর ঘণ্টা সময় নষ্ট করে এবং ইনসিডেন্ট রেসপন্ডাররা প্রকৃত হুমকিগুলোকে ভুলভাবে অগ্রাধিকার দিতে পারে।

একটি দাবিকে প্রমাণের রূপান্তর করা

এই সমাধানটি ক্লাসিক অথেন্টিকেশন ট্রিকস থেকে ধারণা নিয়েছে। একটি এক্সপ্লয়ট চালানোর আগে, অ্যাটাকারের সিস্টেম একটি ইউনিক টোকেন বা নন্স (nonce) তৈরি করে এবং সেটি পেলোড-এ (payload) অন্তর্ভুক্ত করে। কন্ট্রোলার যাতে ফলাফলটিকে একটি প্রকৃত ব্রিচ হিসেবে গ্রহণ করতে পারে, সেজন্য এক্সপ্লয়টটিকে অবশ্যই সেই সঠিক টোকেনটি ফেরত দিতে হবে। একটি নকল ব্যানার নন্স অনুমান করতে পারে না; রেসপন্সে টোকেনটি অন্তর্ভুক্ত করার জন্য তাকে অবশ্যই অ্যাটাকারের কোডটি কার্যকর করতে হবে। যদি ফেরত আসা ডেটাতে সঠিক নন্স না থাকে, তবে সেই প্রচেষ্টাকে ফলস পজিটিভ হিসেবে বাতিল করা হয়।

এই পরিবর্তনটি ভেরিফিকেশন মডেলকে “আউটপুটটি ঠিক মনে হচ্ছে” থেকে “আউটপুটটি এক্সিকিউশন বা কার্যকারিতা প্রমাণ করছে”—এতে বদলে দেয়। এটি সেই অপটিমিজম বায়াস (optimism bias) দূর করে যা স্বায়ত্তশাসিত অফেন্সিভ টুলগুলোকে (autonomous offense tools) সমস্যায় ফেলে।

একটি নির্ভরযোগ্য ডেলিভারি ল্যাডার তৈরি করা

পেলোড টার্গেটে পৌঁছানোর জন্য এখনও একটি শক্তিশালী ডেলিভারি চেইনের প্রয়োজন। HALO তিনটি সাধারণ পথকে শ্রেণীবদ্ধ করে:

  • রিভার্স শেল (Reverse shells) – কম্প্রোমাইজড হোস্ট অ্যাটাকারের নিয়ন্ত্রণে থাকা একটি লিসেনারের (listener) কাছে সংযোগ স্থাপন করে। ইনবাউন্ড ট্রাফিক ব্লক করা থাকলে এটি কার্যকর।
  • বাইন্ড শেল (Bind shells) – অ্যাটাকার সরাসরি টার্গেটের একটি লিসেনিং সার্ভিসের সাথে সংযোগ স্থাপন করে। আউটবাউন্ড ফিল্টার শিথিল থাকলে এটি কাজ করে।
  • ব্লাইন্ড কলব্যাক (Blind callbacks) – একটি একমুখী সংকেত (যেমন, DNS রিকোয়েস্ট) যা অত্যন্ত সীমাবদ্ধ পরিবেশে এক্সিকিউশন নিশ্চিত করে, যেখানে কোনো সরাসরি চ্যানেল খোলা সম্ভব নয়।

ল্যাডারের প্রতিটি ধাপকে অবশ্যই নন্সটি বজায় রাখতে হবে, অন্যথায় প্রুফ বা প্রমাণ করার ধাপটি ব্যর্থ হবে।

সেলফ-কন্টেইনড এক্সপ্লয়ট নিশ্চিত করা

আত্মবিশ্বাসের আরেকটি ভুল উৎস হলো এক্সটার্নাল লাইব্রেরির ওপর নির্ভর করা, যা টার্গেটে নাও থাকতে পারে। HALO পাঠানোর আগে প্রতিটি প্রয়োজনীয় কম্পোনেন্টকে একটি সিঙ্গেল ফাইলে বান্ডেল করে। এরপর সেই বান্ডেলটিকে একটি স্যান্ডবক্সে (sandbox) পরীক্ষা করা হয় যেখানে উদ্দেশ্যমূলকভাবে মূল ডিপেন্ডেন্সিগুলো রাখা হয় না। যদি এক্সপ্লয়টটি তবুও চলে, তবে বোঝা যায় যে আর্টিফ্যাক্টটি (artifact) প্রকৃতপক্ষে সেলফ-কন্টেইনড এবং একটি লকড-ডাউন সিস্টেমে এটি বিশ্বাস করা যেতে পারে।

ডেভেলপমেন্ট ট্রেইল পরিষ্কার করা

পাবলিক রিলিজের প্রস্তুতির সময় লেখক দেখতে পান যে Git হিস্টোরিতে আসল IP অ্যাড্রেসগুলো রয়ে গেছে। একটি ক্লিন ওয়ার্কিং ট্রি (clean working tree) সেই রেকর্ডগুলো মুছে ফেলে না; Git প্রতিটি কমিট সংরক্ষণ করে। লেখক রিপোজিটরিটিকে একটি মাত্র ক্লিন কমিটে পুনরায় লিখে ফেলেন এবং ফাঁস হওয়া অ্যাড্রেসগুলোর পরিবর্তে RFC 5737 দ্বারা সংজ্ঞায়িত ডকুমেন্টেশন-অনলি রেঞ্জ (যেমন, 192.0.2.0/24) ব্যবহার করেন। এটি টুলটি শেয়ার করার সময় প্রোডাকশন ইনফ্রাস্ট্রাকচারের আকস্মিক প্রকাশ রোধ করে।

সিকিউরিটি টুলের জন্য ব্যবহারিক নিয়মাবলী

  • প্রতিটি টেস্ট ফিক্সচারে (test fixture) শুধুমাত্র ডকুমেন্টেশন-অনলি IP রেঞ্জ ব্যবহার করুন।
  • প্রাথমিক কমিট থেকে সিক্রেট এবং স্কোপ ফাইলগুলো সরিয়ে ফেলুন।
  • যেকোনো দাবি করা ব্রিচ যাচাই করতে চ্যালেঞ্জ-রেসপন্স নন্স প্রয়োগ করুন।
  • শুধুমাত্র সেই নির্দিষ্ট ফাইলটি যাচাই করুন যা শিপ করা হবে, কোনো অসংলগ্ন স্ক্রিপ্ট নয়।

প্রমাণ আশাবাদের চেয়ে শক্তিশালী। একটি স্বায়ত্তশাসিত পেন্টেস্টিং এজেন্টকে একটি ভেরিফায়েবল টোকেন উপস্থাপন করতে বাধ্য করার মাধ্যমে, HALO দেখায় যে একটি ব্রিচ তখনই প্রকৃত ব্রিচ যখন টার্গেট প্রমাণ করতে পারে যে এটি অ্যাটাকারের কোডটি চালিয়েছে। গেট বা প্রবেশদ্বারটি আগে তৈরি করা হয়; বাকি সবকিছু পরে আসে।