Product / application security
শুধু scanner report নিয়ে শেষে হাজির নয়—design থেকে release পর্যন্ত threat, control, code আর evidence নিয়ে partner হওয়া।
System নিরাপদ রাখুন · ক্যারিয়ার গাইড
Application Security
অনুমোদিত সীমার মধ্যে team-কে এমন software তৈরি ও যাচাই করতে সাহায্য করুন, যা অপব্যবহার ঠেকাতে পারে—release আটকে রাখা পুলিশ না হয়ে।
এক নজরে ক্যারিয়ার
কাজের চাপ কেমন
তিনটি dot মানে ‘ভালো’ নয়। শুধু বোঝায়—এই ক্যারিয়ারে ওই ধরনের কাজ বেশি আসে।
কোডিং
গণিত
সিস্টেমের গভীরতা
অনুসন্ধান
সৃজনশীলতা
যোগাযোগ
Production-এর দায়িত্ব
আসল কাজ
একটি সত্যিকারের সপ্তাহে যা করতে হতে পারে
- Feature, data flow আর trust boundary threat-model করা।
- Exploitable weakness-এর জন্য code আর design review করা।
- Secure default, test আর developer guardrail বানানো।
- Likelihood, impact আর evidence দিয়ে finding triage করা।
- Fix, verification আর incident-এর পর learning-এ partner হওয়া।
বাস্তব কথাটা
Tutorial শেষ করা আর production-এর ফলাফলের দায় নেওয়া এক দক্ষতা নয়। এই page-এর কাজ hype তোলা নয়—দুটোর মাঝের ফাঁকটা দেখানো।
এই ক্ষেত্রের ভেতরের পথ
একটি title-এর আড়ালে কয়েক ধরনের কাজ থাকে
শুরুতেই একটি specialization স্থায়ীভাবে বেছে নিতে হবে না। কাজগুলোর পার্থক্য বুঝে ছোট experiment দিয়ে fit যাচাই করুন।
Security testing
Written scope-এর মধ্যে risk-based manual ও automated test দিয়ে application control verify করা।
Security champion / enablement
Security-কে gatekeeper না বানিয়ে engineering team-কে secure default, review pattern আর practical guardrail ব্যবহার করতে সাহায্য করা।
DevSecOps ও supply-chain security
Application risk-কে reviewed pipeline check, dependency provenance, secret আর deployment control-এর সঙ্গে যুক্ত করা।
ভালো লাগতে পারে যদি
কৌতূহলের ছোট ইঙ্গিত
- Feature কীভাবে misuse হতে পারে স্বাভাবিকভাবে ভাবুন।
- Code জুড়ে input, identity আর privilege trace করতে ভালো লাগে।
- Drama বা blame ছাড়া risk বোঝাতে পারেন।
কঠিন লাগতে পারে যদি
যে অংশটি অস্বস্তিকর হতে পারে
- শুধু offensive testing চান; prevention work অপছন্দ।
- Application code পড়া আর developer collaboration tedious লাগে।
- Actual impact বোঝার চেয়ে vulnerability count পছন্দ।
বাস্তবসম্মত একটি দিন
প্রতিদিন এমন হবে না, তবে চাপের স্বাদটা এমন হতে পারে
এই timeline কোনো সাজানো career fantasy নয়; সাধারণ কয়েকটি কাজের সম্ভাব্য মিশ্রণ।
Team-এর সঙ্গে নতুন file-upload flow threat-model করা।
Isolated test app-এ finding reproduce আর rank করা।
Fix review আর regression guardrail যোগ করা।
কীভাবে শিখবেন
Checklist নয়—ধাপে ধাপে এগোনোর পথ
ভিত্তি
- Web/API behavior, authentication, authorization, HTTP আর Git।
- Input validation, session, secret, dependency আর logging।
- Legal authorization, lab isolation আর responsible disclosure।
মূল দক্ষতা
- Threat modelling, trust boundary আর abuse case।
- OWASP risk, secure design আর code review।
- Risk-based testing, remediation আর verification।
হাতে-কলমে কাজ
- নিজের tiny app threat-model করে তিনটি abuse case rank করুন।
- Local app-এর একটি weakness fix আর regression-test করুন।
- Scope, evidence, impact আর limit-সহ calm report লিখুন।
পরে
- Secure architecture, identity আর cloud-native control।
- Supply-chain security আর review-সহ security automation।
- Security champion program, metric আর incident learning।
যেগুলো এখনই না শিখলেও চলবে
এখনই নয়—কারণ কোনটার পর কোনটা শিখছ, সেটি জরুরি
- Explicit written authorization ছাড়া public target test।
- Scope আর expected behavior না বুঝে scanner চালানো।
- সব finding-কে critical বা developer-কে opponent ভাবা।
ভবিষ্যতের আপনি বলছেন
‘পরে’ মানে অপ্রয়োজনীয় নয়। ভিত তৈরি হওয়ার আগে শিখলে শুধু context-টাই থাকবে না।
AI ও এই ক্যারিয়ার
কাজ কতটা automate হতে পারে
এটি replacement-এর শতকরা হিসাব নয়। AI-এর ক্ষমতা বদলাবে; তাই কাজ, বিচারবোধ আর দায়িত্ব—তিনটাকে আলাদা করে দেখুন।
Security checklist আর code-review suggestion
AI common pattern দ্রুত flag করতে পারে; false positive দেয় আর context-dependent authorization flaw miss করে।
আপনার করণীয়: প্রতিটি claim authorized reproduction-এ verify করে requirement বা threat-এর সঙ্গে trace করুন।
Threat exploration আর remediation option
AI hypothesis বাড়াতে পারে; system context, exploitability বা operational trade-off own করে না।
আপনার করণীয়: Trust boundary map, owner-এর সঙ্গে assumption validate আর chosen fix test করুন।
Risk acceptance আর responsible response
Disclosure, user harm, release timing আর residual risk-এ accountable human decision লাগে।
আপনার করণীয়: Evidence-based severity, respectful collaboration আর explicit escalation path practice করুন।
বাছাই করা শেখার রিসোর্স
Learn → Practice → Go deeper
কতগুলো resource জমিয়েছেন, সেটি progress নয়। দরকারি অংশটুকু শেষ করে কিছু বানান।
OWASP Top 10
Application-security risk-এর shared starting vocabulary; complete test plan নয়।
এতটুকু করুন: Common application risk চিনতে category ব্যবহার করুন; public target scan নয়, authorized lab-এ behavior verify করুন।
শেষবার যাচাই:
OWASP Cheat Sheet Series
Developer যে problem implement করছে সেই অনুযায়ী actionable prevention guidance।
এতটুকু করুন: Input validation বা authentication-এর মতো একটি feature-এর matching sheet নিন; নিজের small app-এ recommendation test করুন।
শেষবার যাচাই:
Web Security Academy
নিরাপদ, legal, ইচ্ছাকৃত vulnerable lab—ব্যাখ্যাও দারুণ।
এতটুকু করুন: Getting started পড়ে academy-র beginner SQLi/XSS lab করুন—শুধু authorized lab-এ।
শেষবার যাচাই:
এবার কী করবেন
এবার নিজের জন্য কোন evidence বানাবে?
কাছাকাছি আরও কিছু পথ
Skill থেকে গন্তব্য
এই skill নিয়ে কোথায় এগোবেন?
Career roadmap বলে কী শিখবেন। Goal guide বলে সেই skill দিয়ে কীভাবে এগোবেন। একটি পথ দিয়ে শুরু করুন; সব একসঙ্গে নয়।