Penetration testing
Defined application, API, network বা cloud scope assess করে reproducible finding আর retest evidence দেওয়া।
System নিরাপদ রাখুন · ক্যারিয়ার গাইড
Offensive Security ও Penetration Testing
Careful engineer-এর মতো explicitly authorized system test করুন: scope ঠিক করুন, weakness validate করুন, impact সীমিত রাখুন আর fix-কে actionable করুন।
এক নজরে ক্যারিয়ার
কাজের চাপ কেমন
তিনটি dot মানে ‘ভালো’ নয়। শুধু বোঝায়—এই ক্যারিয়ারে ওই ধরনের কাজ বেশি আসে।
কোডিং
গণিত
সিস্টেমের গভীরতা
অনুসন্ধান
সৃজনশীলতা
যোগাযোগ
Production-এর দায়িত্ব
আসল কাজ
একটি সত্যিকারের সপ্তাহে যা করতে হতে পারে
- Testing-এর আগে scope, objective, exclusion, data rule আর stop condition agree করা।
- Target বুঝে risk-based test hypothesis বানানো।
- Weakness manually validate আর proof-of-impact যতটা সম্ভব সীমিত রাখা।
- Evidence, impact, uncertainty আর remediation-সহ reproducible finding লেখা।
- Fix retest করে technical ও business owner-কে residual risk বোঝানো।
বাস্তব কথাটা
Tutorial শেষ করা আর production-এর ফলাফলের দায় নেওয়া এক দক্ষতা নয়। এই page-এর কাজ hype তোলা নয়—দুটোর মাঝের ফাঁকটা দেখানো।
এই ক্ষেত্রের ভেতরের পথ
একটি title-এর আড়ালে কয়েক ধরনের কাজ থাকে
শুরুতেই একটি specialization স্থায়ীভাবে বেছে নিতে হবে না। কাজগুলোর পার্থক্য বুঝে ছোট experiment দিয়ে fit যাচাই করুন।
Red teaming / adversary emulation
Agreed objective আর rules of engagement মেনে detection ও response evaluate করা; এটি unsupervised beginner starting point নয়।
Web ও API security testing
Authentication, authorization, input আর business logic test করার মতো গভীরভাবে application behavior বোঝা।
Vulnerability research
অপরিচিত failure mechanism নিয়ে study আর defensible reproduction তৈরি করা; advanced কাজের জন্য গভীর systems knowledge দরকার।
ভালো লাগতে পারে যদি
কৌতূহলের ছোট ইঙ্গিত
- Unfamiliar behavior নিয়ে hypothesis বানিয়ে ভুল প্রমাণ করতেও ভালো লাগে।
- Weakness খোঁজার মতো precise report আর useful fix-ও satisfying লাগে।
- Strict scope আর ethical constraint challenge নষ্ট নয়, বরং পরিষ্কার করে।
কঠিন লাগতে পারে যদি
যে অংশটি অস্বস্তিকর হতে পারে
- মূল আগ্রহ random public system attack করার permission পাওয়া।
- Tool চালানোর তুলনায় code, protocol আর দীর্ঘ documentation পড়া boring লাগে।
- Evidence, remediation আর limitation লেখাকে optional মনে হয়।
বাস্তবসম্মত একটি দিন
প্রতিদিন এমন হবে না, তবে চাপের স্বাদটা এমন হতে পারে
এই timeline কোনো সাজানো career fantasy নয়; সাধারণ কয়েকটি কাজের সম্ভাব্য মিশ্রণ।
Rules of engagement confirm করে ambiguous target scope থেকে বাদ দেওয়া।
Harmless test account দিয়ে authorization weakness manually validate করা।
Owner-এর সঙ্গে finding review, exaggeration কমানো আর fix কীভাবে retest হবে agree করা।
কীভাবে শিখবেন
Checklist নয়—ধাপে ধাপে এগোনোর পথ
ভিত্তি
- Networking, HTTP, Linux, scripting আর application কীভাবে identity ও data রাখে।
- Authentication, authorization, session, input handling আর common architecture।
- Written authorization, lab isolation, evidence handling আর responsible disclosure।
মূল দক্ষতা
- Rules of engagement, threat-informed scoping আর test methodology।
- Web/API vulnerability class আর business logic-এর manual validation।
- Evidence, severity reasoning, remediation আর retesting।
হাতে-কলমে কাজ
- Deliberately vulnerable lab complete করে payload-এর আগে mechanism explain করুন।
- Tiny authorized assessment plan করে প্রতিটি tested hypothesis লিখুন।
- Secret expose না করে একটি finding, fix recommendation আর retest result দিন।
পরে
- Network, cloud, mobile বা identity-focused penetration testing।
- Mature supervision-এর মধ্যে red/purple teaming আর adversary emulation।
- Operating-system depth-এর পরে exploit development আর vulnerability research।
যেগুলো এখনই না শিখলেও চলবে
এখনই নয়—কারণ কোনটার পর কোনটা শিখছ, সেটি জরুরি
- Kali Linux install, tool collect আর সেটিকেই methodology বলা।
- Explicit written authorization ছাড়া public target, classmate বা campus system test করা।
- Explain করতে পারেন না এমন payload copy বা report dramatic করতে impact বাড়ানো।
ভবিষ্যতের আপনি বলছেন
‘পরে’ মানে অপ্রয়োজনীয় নয়। ভিত তৈরি হওয়ার আগে শিখলে শুধু context-টাই থাকবে না।
AI ও এই ক্যারিয়ার
কাজ কতটা automate হতে পারে
এটি replacement-এর শতকরা হিসাব নয়। AI-এর ক্ষমতা বদলাবে; তাই কাজ, বিচারবোধ আর দায়িত্ব—তিনটাকে আলাদা করে দেখুন।
Payload আর checklist draft
AI familiar test idea দ্রুত বানাতে পারে—unsafe বা scope-এর বাইরে idea-ও দিতে পারে।
আপনার করণীয়: প্রতিটি request বুঝে written lab scope-এ সীমিত করুন আর execution-এর আগে side effect অনুমান করুন।
Attack-path hypothesis আর finding triage
AI hypothesis বাড়ায়; exploitability, severity আর system relationship hallucinate-ও করতে পারে।
আপনার করণীয়: Safely reproduce, raw evidence preserve আর observed behavior থেকে possible impact আলাদা করুন।
Authorization, impact limit আর responsible reporting
Model permission দিতে, business risk accept করতে বা test-এর harm-এর দায় নিতে পারে না।
আপনার করণীয়: Scope unclear হলে stop, proof minimize, data protect আর accountable owner-কে involve করুন।
বাছাই করা শেখার রিসোর্স
Learn → Practice → Go deeper
কতগুলো resource জমিয়েছেন, সেটি progress নয়। দরকারি অংশটুকু শেষ করে কিছু বানান।
OWASP Web Security Testing Guide v4.2
Vendor-neutral testing methodology; penetration testing-কে random scanning নয়, scoped investigation আর reporting হিসেবে শেখায়।
এতটুকু করুন: Introduction আর testing framework পড়ে explicitly authorized training application-এর জন্য relevant versioned scenario বাছুন। Scope, evidence আর limit লিখে রাখুন।
শেষবার যাচাই:
Web Security Academy
নিরাপদ, legal, ইচ্ছাকৃত vulnerable lab—ব্যাখ্যাও দারুণ।
এতটুকু করুন: Getting started পড়ে academy-র beginner SQLi/XSS lab করুন—শুধু authorized lab-এ।
শেষবার যাচাই:
OWASP Top 10
Application-security risk-এর shared starting vocabulary; complete test plan নয়।
এতটুকু করুন: Common application risk চিনতে category ব্যবহার করুন; public target scan নয়, authorized lab-এ behavior verify করুন।
শেষবার যাচাই:
এবার কী করবেন
এবার নিজের জন্য কোন evidence বানাবে?
কাছাকাছি আরও কিছু পথ
Skill থেকে গন্তব্য
এই skill নিয়ে কোথায় এগোবেন?
Career roadmap বলে কী শিখবেন। Goal guide বলে সেই skill দিয়ে কীভাবে এগোবেন। একটি পথ দিয়ে শুরু করুন; সব একসঙ্গে নয়।