PWN-ALL · سائبر سیکیورٹی اور سافٹ ویئر ڈیولپمنٹ

PWN-ALL چار مربوط خدمات فراہم کرتا ہے: نفوذ کی جانچ اور حملے کی نقل؛ واقعے کے ردعمل اور ڈیجیٹل عدالتی طب؛ محفوظ Rust اور Python سافٹ ویئر انجینئرنگ؛ اور فروشندہ سے آزاد سیکیورٹی مشاورت۔ ہر معاہدے میں تحریری دائرہ کار، ٹھوس نتائج، اور متفقہ قبولیت کے معیار شامل ہیں۔

جی ہاں۔ PWN-ALL آڈٹنگ، ریویوئنگ اینڈ ٹیسٹنگ سائبر رسکس کمپنی لمیٹڈ ایک دبئی، متحدہ عرب امارات کی کمپنی ہے جو 2024 میں قائم ہوئی اور دبئی ڈی ای ٹی لائسنس نمبر 1324553 کے تحت کام کر رہی ہے۔ کمپنی D-U-N-S 571235572 اور NCAGE 10G8W کو بھی درج کرتی ہے۔

ہم بنیادی طور پر دنیا بھر میں کاروباری اداروں، سرکاری تنظیموں اور اعلیٰ قدر کے پلیٹ فارمز کے ساتھ کام کرتے ہیں۔ ہم خدمات مختلف دائرہ اختیار میں دور دراز طریقے سے فراہم کر سکتے ہیں، اور مواصلت 20 سے زائد زبانوں میں ممکن ہے۔ کسی بھی مقام سے متعلق قانونی، ثبوت یا ڈیٹا ہینڈلنگ کی ضروریات کا تعین اسکوپنگ کے دوران باہمی اتفاق رائے سے کیا جاتا ہے۔

جی ہاں۔ ہم حساس تفصیلات شیئر کرنے سے پہلے ایک این ڈی اے پر دستخط کر سکتے ہیں اور Signal، پی جی پی سے خفیہ کردہ ای میل، یا کلائنٹ کی منظور شدہ کسی اور چینل کا استعمال کر سکتے ہیں۔ کلائنٹ کی معلومات تک رسائی صرف ضرورت کے مطابق، معاہدے کے لیے طے شدہ کنٹرولز کے تحت فراہم کی جاتی ہے۔

اپنی ضروریات کے مطابق مطلوبہ نتیجہ، شامل خدمات یا اثاثے، ہنگامی صورتحال، آخری تاریخیں، اور کسی بھی آپریشنل یا ضابطہ جاتی پابندیوں کے ساتھ آغاز کریں؛ جب تک این ڈی اے اور محفوظ چینل موجود نہ ہوں، کوئی رازدارانہ معلومات بھیجنے سے گریز کریں۔ پھر ہم تحریری طور پر دائرہ کار، استثنا، اجازت نامہ، تعامل کے قواعد، فراہم کردہ اشیاء، قبولیت کے معیار، رابطے، اور شیڈول کی تصدیق کرتے ہیں۔

منصوبہ بند نفوذ کے ٹیسٹ عموماً اسکوپنگ اور تحریری اجازت کے بعد 3–5 کاروباری دنوں کے اندر شروع کیے جا سکتے ہیں، بشرطیکہ موجودہ دستیابی ہو۔ فعال واقعات کے لیے الگ 24/7 ردعمل کا عمل استعمال ہوتا ہے، لہٰذا ہنگامی صورتحال کو فوری طور پر فون یا محفوظ میسجنگ چینل کے ذریعے رپورٹ کیا جانا چاہیے۔

قیمت کا انحصار اثاثوں، گہرائی، مقررہ اوقات، خطرے، شواہد کی ضروریات اور فراہم کردہ اشیاء پر ہوتا ہے۔ دائرہ کار طے کرنے کے بعد آپ کو تحریری تجویز موصول ہوتی ہے؛ واضح طور پر متعین کام کے لیے مقررہ قیمت کے اختیارات دستیاب ہیں، ادائیگی کی شرائط معاہدے میں طے کی جاتی ہیں، اور بڑے منصوبوں کے لیے بینک ضمانتیں زیرِ بحث لائی جا سکتی ہیں۔

مجاز دائرہ کار میں ویب ایپلیکیشنز، APIs، بیرونی اور اندرونی نیٹ ورکس، ایکٹیو ڈائریکٹری، کلاؤڈ ماحول، اور موبائل ایپلیکیشنز شامل ہو سکتی ہیں۔ وسیع تر ریڈ ٹیم کی مصروفیات میں شناخت، افراد، اور جسمانی کنٹرولز کا بھی جائزہ لیا جا سکتا ہے جب ان سرگرمیوں کی واضح طور پر اجازت دی گئی ہو۔

نہیں۔ خودکار اوزار احاطے میں مدد کر سکتے ہیں، لیکن یہ عمل ماہرین کے زیرِ قیادت ہوتا ہے جو حملے کے راستے نقشے پر لیتے ہیں، کاروباری منطق کا تجربہ کرتے ہیں، استحصال کی صلاحیت کی تصدیق کرتے ہیں، اور حقیقی اثرات کا اندازہ لگاتے ہیں۔ نتیجہ شواہد اور ترجیحی اصلاح ہوتا ہے، نہ کہ ایک غیر تصدیق شدہ اسکینر کا اخراج۔

ٹیسٹنگ OWASP اور PTES کے مطابق پانچ مراحل کے ذریعے کی جاتی ہے: دائرہ کار اور ضوابطِ کار، جاسوسی اور حملے کی سطح کا نقشہ سازی، محفوظ استحصال، دو سطحی رپورٹنگ، اور دوبارہ ٹیسٹنگ۔ ٹیسٹ کے مخصوص کیسز متفقہ اثاثوں اور خطرے کے ماڈل کے مطابق ڈھالے جاتے ہیں۔

ہم صرف ان اثاثوں کا جائزہ لیتے ہیں جن کے لیے تحریری اجازت اور طے شدہ تعامل کے قواعد موجود ہوں۔ کلائنٹ کے پاس ان نظاموں کی ملکیت ہونی چاہیے یا متعلقہ مالک یا فراہم کنندہ سے اجازت ہونی چاہیے؛ تیسری پارٹی کے اثاثے، سوشل انجینئرنگ، جسمانی رسائی، اور تباہ کن اقدامات دائرہ کار سے خارج ہیں جب تک کہ خاص طور پر منظوری نہ دی گئی ہو۔

یہ کام خلل کو کم سے کم کرنے کے لیے ترتیب دیا گیا ہے، لیکن ٹیسٹنگ کبھی بھی خطرے سے خالی نہیں ہو سکتی۔ حملے کے اوقات، رفتار کی حدیں، اہم نظاموں کی استثنیات، ایسکالیشن رابطے، روکنے کی شرائط، اور واپسی کے منصوبے پہلے سے طے کیے جاتے ہیں، اور تباہ کن چیکس بغیر واضح منظوری کے نہیں چلائے جاتے۔

دورانِہ کار دائرہ کار، رسائی، پیچیدگی اور دوبارہ جانچ کی ضروریات پر منحصر ہوتا ہے۔ سروس پیج ویب اور API ٹیسٹنگ کے لیے تقریباً دو ہفتے، نیٹ ورک ٹیسٹنگ کے لیے تین ہفتے اور ریڈ ٹیم مشق کے لیے چھ ہفتے کے ابتدائی تخمینے فراہم کرتا ہے؛ اصل شیڈول تجویز نامے میں دیا گیا ہے۔

آپ کو قیادت کے لیے ایک ایگزیکٹو خلاصہ اور انجینئرز کے لیے تکنیکی نتائج موصول ہوتے ہیں، جن میں شواہد، متاثرہ اثاثے، حقیقی اثر، شدت، اور ترجیحی اصلاحی رہنمائی شامل ہیں۔ حتمی دائرہ کار اندرونی اسٹیک ہولڈرز کے لیے ڈی بریفز، اصلاحی ورکشاپس، یا مطلوبہ شواہد کی شکلوں کو بھی متعین کر سکتا ہے۔

جی ہاں، متفقہ طور پر درست کیے گئے نتائج کا دوبارہ ٹیسٹ معیاری پنٹریشن ٹیسٹنگ کے عمل میں شامل ہے۔ تجویز میں دوبارہ ٹیسٹ کی مدت، اہل نتائج، درکار رسائی، اور تصدیق شدہ اصلاحات کو حتمی رپورٹ میں کیسے شامل کیا جائے گا، درج کیا جاتا ہے۔

نہیں۔ ایک نفوذ کی جانچ مجاز دائرہ کار کا ایک وقتی جائزہ ہے اور یہ ثابت نہیں کر سکتی کہ کوئی کمزوری موجود نہیں ہے۔ یہ غیر یقینی کو کم کرتی ہے اور آپ کو شواہد پر مبنی ترجیحات فراہم کرتی ہے، لیکن سیکیورٹی اب بھی اصلاح، آپریشنز، نگرانی اور مستقبل کی تبدیلیوں پر منحصر ہے۔

جی ہاں۔ 24/7 واقعے کے ردعمل کی سروس میں قابو، شواہد کی حفاظت، عدالتی معائنہ، خاتمہ، بحالی، اور واقعے کے بعد سخت حفاظتی اقدامات شامل ہیں۔ فعال واقعے کی صورت میں فوری طور پر کال کریں یا Signal استعمال کریں اور غیر منظور شدہ چینل کے ذریعے حساس شواہد بھیجنے سے گریز کریں۔

نہیں۔ DFIR پریکٹس انکرپشن کے بغیر ڈیٹا چوری اور جبری وصولی، کاروباری ای میل سمجھوتہ اور ادائیگی کی دھوکہ دہی، اکاؤنٹ پر قبضہ، Microsoft 365 یا Google Workspace اور کلاؤڈ سمجھوتہ، اندرونی معاملات، اور سمجھوتہ شدہ ویب ایپلیکیشنز یا سرورز کے معاملات بھی سنبھالتی ہے۔

متاثرہ ہوسٹس کو نیٹ ورک سے الگ کریں بغیر انہیں بند کیے، عارضی شواہد محفوظ رکھیں، بیک اپس کو مزید رسائی سے محفوظ رکھیں، کارروائیوں کو ریکارڈ کریں، اور ایک ردعمل پل کھولیں۔ واقعے کے لیڈ اور آپ کے قانونی یا انشورنس کے شراکت داروں کے درمیان منصوبے پر اتفاق ہونے سے پہلے وسیع پیمانے پر ریبوٹ، صفائی، بحالی، ڈی کرپٹ یا مذاکرات نہ کریں۔

واقعات کی سروس چوبیس گھنٹے، ہفتے کے ساتوں دن ایک مشترکہ جوابی پل چلاتی ہے۔ اس کی بیان کردہ سروس سطح پہلی کال سے تجزیہ کار کے مشترکہ پل میں شامل ہونے تک ساٹھ منٹ سے کم ہے، جبکہ ابتدائی کنٹینمنٹ رہنمائی ٹرائج کے دوران شروع ہوتی ہے؛ اصل کنٹینمنٹ کا وقت رسائی، واقعے کے دائرہ کار اور کلائنٹ کی کارروائیوں کو انجام دینے کی صلاحیت پر منحصر ہوتا ہے۔

عمومی طور پر ہاں، اگرچہ شٹ ڈاؤن عارضی شواہد جیسے میموری میں موجود کیز، داخل کیے گئے عمل، اور فعال کنکشنز کو تباہ کر سکتا ہے۔ سسٹمز کو دوبارہ آن نہ کریں؛ ان کی موجودہ حالت کو برقرار رکھیں اور ردعمل ٹیم سے رابطہ کریں تاکہ کولڈ ٹرائیج اور دیگر شواہد کے ذرائع کی منصوبہ بندی کی جا سکے۔

نہیں۔ بازیابی کا انحصار رینسم ویئر کے خاندان، دستیاب کیز یا ڈیسیکرپٹرز، شواہد کے معیار، بیک اپ کی سالمیت، سسٹم کی حالت، قانونی پابندیوں، اور سمجھوتے کے بعد ہونے والی سرگرمیوں کی مقدار پر ہوتا ہے۔ ہم صاف بیک اپ، ری کنسٹرکشن، ڈیسیکرپٹر تحقیق، اور کی بازیابی کے اختیارات کا جائزہ لیتے ہیں، پھر بتاتے ہیں کہ کیا بازیابی ممکن ہے اور کیا نہیں۔

ادائیگی پہلا ردعمل نہیں ہونی چاہیے اور یہ چوری شدہ ڈیٹا کی بحالی یا حذف ہونے کی ضمانت نہیں دیتی۔ بحالی کے اختیارات اور شواہد کا پہلے جائزہ لیا جانا چاہیے؛ کسی بھی آپریٹر سے رابطے یا ادائیگی کے فیصلے میں کلائنٹ، قانونی مشیر، جہاں قابل اطلاق ہو بیمہ کنندہ، اور پابندیوں کی منظوری شامل ہونی چاہیے۔

دائِرۂ کار کے مطابق فراہم کردہ دستاویزات میں شواہد اور تحویلِ سلسلہ کا ریکارڈ، ردِعمل کا ٹائم لائن، جڑِ وجہ اور ابتدائی رسائی کے نتائج، افقی نقل و حرکت اور اخراج کا تجزیہ، سمجھوتے کے اشارے، بحالی کی ترجیحات، اور ایک بیمہ کنندہ یا نگرانِ تنظیم کے لیے تیار رپورٹ جس میں حفاظتی اقدامات کا منصوبہ شامل ہو، شامل ہو سکتے ہیں۔ نتائج محفوظ کردہ شواہد اور برقرار رکھے گئے تحویل کے عمل تک محدود رہتے ہیں۔

ہم محفوظ Rust اور Python بیک اینڈز، APIs، ڈیٹا سسٹمز، آٹومیشن، AI انٹیگریشنز، منتقلیاں، اور سیکیورٹی کے اعتبار سے انتہائی اہم پروڈکشن سروسز تیار کرتے ہیں۔ اسی انجینئرنگ عمل کے تحت واقعے کے مخصوص فارنزک کلیکٹرز، پارسرز، ٹائم لائن بلڈرز، IOC یا YARA اسکینرز، اور ڈی کرپٹر یا کلید بازیابی کے تحقیقی ٹولز بھی بنائے جاتے ہیں۔

رسٹ اُن جگہوں پر استعمال ہوتا ہے جہاں میموری سیفٹی، ہم آہنگی، متوقع کارکردگی اور نچلی سطح کا کنٹرول اہمیت رکھتے ہیں؛ پائتھن اُن جگہوں پر استعمال ہوتا ہے جہاں ترسیل کی رفتار، ڈیٹا، مشین لرننگ، ترتیب کاری اور انضمامات اہمیت رکھتے ہیں۔ آرکیٹیکچر کا کام ہر جزو کے لیے الگ زبان مختص کرتا ہے، بجائے اس کے کہ پورے نظام کو ایک ہی اسٹیک میں زبردستی ڈال دیا جائے۔

ڈیلیوری ماڈل دریافت، فنِ تعمیر، نفاذ، مضبوطی اور حوالگی کے مراحل سے گزرتا ہے، جس میں پروجیکٹ کے لیے منظوری اور کارکردگی کے ٹیسٹ طے کیے جاتے ہیں۔ حوالگی میں ماخذ کوڈ، تعیناتی کے اثاثے، API معاہدے، فنِ تعمیر کے فیصلے، رن بکس، خاکے، علم کی منتقلی اور جہاں معاہدہ ہو، لانچ کے بعد 30 روزہ معاونت شامل ہو سکتی ہے۔

مشاورت میں سیکیورٹی آرکیٹیکچر، کاروباری خطرات کا جائزہ، جی ڈی پی آر کی تیاری، آڈٹ کی تیاری، پالیسیاں اور حادثاتی ردعمل کے عمل، محفوظ ترقیاتی انضمام، اور کردار مخصوص تربیت شامل ہیں۔ عام طور پر نتائج میں ترجیحی سفارشات، مالکان کے ساتھ خطرے کا ریکارڈ، سخت سازی کا روڈ میپ، آپریشنل رہنما کتابیں، اور آڈٹ کے لیے تیار ثبوتوں کا پیکیج شامل ہوتا ہے۔

نہیں۔ تعمیل کی تیاری تکنیکی اور عملیاتی معاونت ہے، قانونی مشورہ یا سرٹیفیکیشن کی ضمانت نہیں؛ عدالتی شواہد محفوظ شدہ ثبوتوں پر منحصر ہیں؛ بحالی واقعے کے حالات پر منحصر ہے؛ اور سیکیورٹی ٹیسٹنگ کمزوریوں کی عدم موجودگی ثابت نہیں کر سکتی۔ ہر تجویز قابلِ پیمائش کام اور قبولیت کے معیار کو متعین کرتی ہے، بغیر PWN-ALL کے کنٹرول سے باہر نتائج کا وعدہ کیے۔

PWN-ALL ڈارک ویب اور لیک مانیٹر، BotGuard بوٹ ڈیٹیکشن، اور Vulnerability Scan Hub کو الگ الگ مصنوعات کے طور پر فہرست کرتا ہے۔ یہ 20 سے زائد مفت براؤزر پر مبنی ٹولز بھی فراہم کرتا ہے جو ہیشنگ، کی جنریشن، سٹیگانوگرافی، رینسم ویئر کی شناخت، اور فائل یا فارنزک ویوزنگ جیسے کام انجام دیتے ہیں؛ کلائنٹ سائیڈ کے طور پر شناخت شدہ یہ ٹولز پراسیس شدہ ڈیٹا کو اپ لوڈ کیے بغیر براؤزر میں مقامی طور پر چلتے ہیں۔

متاثرہ اکاؤنٹ کا پاس ورڈ کسی معلوم طور پر صاف ڈیوائس سے ری سیٹ کریں، نہ کہ سمجھوتہ شدہ ڈیوائس سے، سائن آؤٹ کریں اور تمام فعال سیشنز منسوخ کریں، کسی بھی ایپ پاس ورڈ یا منسلک ایپس کی رسائی ختم کریں، اور ملٹی فیکٹر توثیق آن کریں۔ میل باکس کو سائن ان اور آڈٹ لاگز کے ساتھ محفوظ رکھیں اور پوشیدہ فارورڈنگ یا ان باکس قواعد کی جانچ کریں، لیکن پیغامات، قواعد یا اکاؤنٹ کو حذف نہ کریں کیونکہ یہ ثبوت ہیں۔ اگر سمجھوتہ ابھی بھی فعال ہے یا رقم کی کوئی منتقلی ملوث ہے تو چیٹ پر انتظار کرنے کے بجائے 24/7 لائن پر کال کریں یا Signal استعمال کریں۔ DFIR پریکٹس Microsoft 365، Google Workspace، اور اکاؤنٹ پر قبضے کے کیسز کو ابتدا سے انتہا تک، یعنی قابو کرنے، اصل وجہ معلوم کرنے اور سکیورٹی مضبوط کرنے تک، مکمل طور پر سنبھالتی ہے۔

یہ ایک فعال کاروباری ای میل سمجھوتہ اور ادائیگی میں فراڈ کا واقعہ ہے، اس لیے رفتار اہمیت رکھتی ہے — اپنے بینک اور وصول کنندہ بینک سے فوری رابطہ کریں تاکہ منتقلی کو واپس بلوائیں یا منجمد کریں، اور متعلقہ حکام کو رپورٹ کریں۔ چیٹ کے انتظار کے بجائے اسے 24/7 لائن پر ہم سے اٹھائیں، خاص طور پر جب رقم ابھی بھی منتقل ہو رہی ہو۔ ہماری DFIR پریکٹس پھر اس بات کی تفتیش کرتی ہے کہ میل باکس یا اکاؤنٹ تک رسائی کیسے حاصل کی گئی، آیا انوائس یا بینکنگ تفصیلات میں تبدیلی کی گئی، اور اور کیا کچھ متاثر ہوا، جبکہ آپ کے بینک، بیمہ کنندہ اور کسی بھی ریگولیٹر کے لیے شواہد محفوظ رکھے جاتے ہیں۔ ای میلز اور اکاؤنٹ لاگز کو بغیر کچھ حذف کیے برقرار رکھیں تاکہ فارنزک تصویر مکمل رہے۔

یہ انکرپشن کے بغیر ڈیٹا چوری اور جبری وصولی ہے، اور یہ DFIR کے عمل میں بالکل فٹ بیٹھتا ہے حالانکہ کوئی رینسم ویئر استعمال نہیں کیا گیا تھا۔ ترجیح یہ ہے کہ شواہد محفوظ رکھے جائیں، معلوم کیا جائے کہ حقیقتاً کیا رسائی حاصل کی گئی اور کیا نکالا گیا، رسائی کے راستے کو محدود کیا جائے، اور دعوے کو سمجھا جائے اس سے پہلے کہ کوئی بھی خطرہ پیدا کرنے والے کو جواب دے۔ واقعے کے انچارج اور آپ کے قانونی و بیمہ کے شراکت داروں کے درمیان کسی حکمت عملی پر اتفاق ہونے سے پہلے مطالبے کی ادائیگی، مذاکرات یا جواب نہ دیں۔ اسے 24/7 لائن پر رپورٹ کریں اور دھمکی کے پیغامات کو عوامی یا غیر منظور شدہ چینل کے بجائے محفوظ چینل کے ذریعے شیئر کریں۔

جب آپ کے پاس اشارے ہوں یا شبہ ہو مگر کوئی تصدیق شدہ واقعہ نہ ہو، تو DFIR پریکٹس آپ کے لاگز، اینڈ پوائنٹس، اور کلاؤڈ و شناختی ڈیٹا کا جائزہ لے سکتی ہے تاکہ معلوم کیا جا سکے کہ آیا موجودہ یا ماضی کی دراندازی، مستقل موجودگی، یا غیر مجاز ڈیٹا تک رسائی کے شواہد موجود ہیں یا نہیں۔ یہ پھر رپورٹ کرتی ہے کہ آیا سمجھوتے کی کوئی علامات ہیں اور آگے کیا کرنا ہے، اور اگر واضح بدنیتی پر مبنی سرگرمی دریافت ہو تو یہ قابو اور فارنزکس کے ساتھ ایک مکمل واقعے کے ردعمل کے عمل میں داخل ہو جاتی ہے۔ جب یہ جائزہ جاری ہو، موجودہ لاگز کو محفوظ رکھیں اور سسٹمز کی دوبارہ امیجنگ یا وائپنگ سے گریز کریں، کیونکہ اس سے وہ شواہد مٹ سکتے ہیں جن کی مدد سے اس سوال کا جواب دیا جا سکتا ہے۔ اگر آپ کوئی حملہ فعال طور پر جاری ہوتا دیکھ رہے ہیں تو چیٹ کا انتظار کرنے کے بجائے فوری طور پر ہماری 24/7 لائن پر کال کریں یا Signal پر ہم سے رابطہ کریں۔

ہر جواب میں، فوری خطرہ نمٹا لینے کے بعد، واقعے کے بعد کے سخت حفاظتی اقدامات شامل ہوتے ہیں۔ بنیادی وجہ اور ابتدائی رسائی کے نتائج کی بنیاد پر، ٹیم آپ کو ایک ترجیحی سخت حفاظتی منصوبہ فراہم کرتی ہے جو ان مخصوص خامیوں کو بند کرتا ہے جو حملہ آور نے استعمال کیں اور دوبارہ ہونے کے راستوں کو کم کرتا ہے۔ گہری، جاری کارروائی کے لیے، مشاورتی شعبہ اسے ذمہ داروں کے ساتھ ایک رسک رجسٹر، تازہ ترین پالیسیوں اور واقعے کے ردعمل کے رن بکس، اور کردار مخصوص تربیت میں تبدیل کر سکتا ہے، جبکہ انجینئرنگ شعبہ ان اصلاحات کے لیے درکار کوئی بھی ٹولنگ بنا سکتا ہے۔ سخت حفاظتی اقدامات خطرے کو کم کرتے اور لچک کو بہتر بناتے ہیں، لیکن کوئی بھی فراہم کنندہ یہ وعدہ نہیں کر سکتا کہ مستقبل میں کوئی واقعہ ناممکن ہے۔

سروس کو بحال کرنا اہم ہے، لیکن اس سے یہ معلوم نہیں ہوتا کہ حملہ آور کیسے اندر آیا، آیا وہ ابھی بھی موجود ہے، یا کس ڈیٹا تک رسائی حاصل کی گئی، اور بحالی کا عمل ان تینوں کے شواہد کو مٹا سکتا ہے۔ اگر ابتدائی رسائی کا راستہ اور کوئی بھی مستقل موجودگی دریافت اور بند نہ کی جائے تو بحالی کے بعد یہی دراندازی دوبارہ ہو سکتی ہے۔ یہ مناسب ہے کہ DFIR ٹیم بنیادی وجہ کا تعین کرے، باقی ماندہ رسائی کی جانچ کرے، اور تصدیق کرے کہ کیا ڈیٹا نکالا گیا تھا، پھر ہدف بند سخت حفاظتی اقدامات کرے — اور باقی ماندہ لاگز، امیجز یا متاثرہ میڈیا کو ضائع کرنے کے بجائے محفوظ رکھے۔ اگر آپ کو یقین نہیں کہ خطرہ مکمل طور پر ختم ہو گیا ہے، تو اسے فعال سمجھیں اور 24/7 لائن پر رپورٹ کریں۔

موجودہ نظام بالکل دائرہ کار میں ہیں؛ انجینئرنگ پریکٹس صرف نئے گرین فیلڈ بلڈز تک محدود نہیں رہتی بلکہ باقاعدگی سے منتقلیاں، سخت حفاظتی کام، اور سیکیورٹی کے اعتبار سے انتہائی اہم پروڈکشن سروسز بھی سنبھالتی ہے۔ ایک انگیجمنٹ دریافت کے مرحلے سے شروع ہوتی ہے تاکہ یہ طے کیا جا سکے کہ موجودہ کوڈ، ڈیٹا، اور اعتماد کی حدود حقیقت میں کیسے کام کرتی ہیں، اس سے پہلے کہ کچھ بھی تبدیل کیا جائے؛ اس کے بعد فنِ تعمیر، نفاذ، اور ایک مخصوص سخت حفاظتی مرحلہ آتا ہے۔ جہاں بنیادی ضرورت موجودہ ایپلیکیشن کوڈ کا سیکیورٹی جائزہ ہو، وہاں یہ ایپلیکیشن پینیٹریشن ٹیسٹنگ اور کنسلٹنگ پریکٹس کے سیکیور ڈیولپمنٹ انٹیگریشن کے ذریعے فراہم کیا جاتا ہے، اور درست امتزاج کا دائرہ کار ابتدائی گفتگو کے دوران طے کیا جاتا ہے۔

وراثتی، جزوی طور پر تیار شدہ یا معطل نظاموں کو سنبھالا جا سکتا ہے، لیکن کام کا آغاز پھر بھی ایک دریافت کے مرحلے سے ہوتا ہے جو حقیقی موجودہ صورتحال کا تعین کرتا ہے: کیا موجود ہے، کیا چل رہا ہے، اور خطرات و خامیاں کہاں ہیں، اس سے پہلے کہ کسی بھی طریقہ کار کا عہد کیا جائے۔ اس کے بعد معیاری ماڈل فنِ تعمیر، نفاذ، سخت حفاظتی اقدامات اور حوالگی کے مراحل پر لاگو ہوتا ہے، جنہیں ایک تحریری Statement of Work کے تحت چلایا جاتا ہے، جس میں متفقہ قبولیت کے معیار شامل ہوں، نہ کہ ہر چیز ٹھیک کرنے کے کھلے وعدے کے تحت۔ موجودہ صورتِ حال کو سمجھنے کے بعد یہ واضح کیا جاتا ہے کہ حقیقت پسندانہ طور پر کیا حاصل کیا جا سکتا ہے اور کس ترتیب سے۔

AI اور LLM کا انضمام Rust اور Python کی انجینئرنگ پریکٹس کا ایک واضح حصہ ہے، جو متفقہ سیکیورٹی اور قبولیت کے ٹیسٹ کے ساتھ اسی دریافت، فنِ تعمیر، نفاذ اور سخت حفاظتی اقدامات کے بہاؤ کے ذریعے ڈیزائن کے اعتبار سے محفوظ بنایا جاتا ہے۔ LLM خصوصیات سے متعلق مخصوص خطرات، جیسے غیر معتبر ان پٹ کا ماڈل تک پہنچنا، حساس ڈیٹا کا بے نقاب ہونا، ماڈل کو کس چیز تک رسائی کی اجازت ہے، اور غلط استعمال یا بے قابو لاگت کے کنٹرولز، دائرہ کار میں متعین کیے جاتے ہیں اور اسی کام کے حصے کے طور پر حل کیے جاتے ہیں، نہ کہ بعد میں منسلک کیے جاتے ہیں۔ کسی بھی سیکیورٹی کے کام کی طرح، اس عمل میں قابلِ پیمائش کنٹرولز اور قبولیت کے معیار متعین کیے جاتے ہیں، نہ کہ اس بات کی ضمانت دی جاتی ہے کہ کسی نظام کا غلط استعمال نہیں کیا جا سکتا۔

آپ کو صرف ایک خالی کوڈ ڈراپ کے ساتھ نہیں چھوڑا جاتا — حوالگی اس طرح تیار کی جاتی ہے کہ اسے آپ کے ماحول میں تعینات اور چلایا جا سکے، اور اس میں تعیناتی کے اثاثے، API معاہدے، فنِ تعمیر کے فیصلے، رن بکس، خاکے، اور علم کی منتقلی شامل ہو سکتی ہے، اور جہاں معاہدہ ہو وہاں لانچ کے بعد 30 دن کی معاونت بھی۔ چونکہ یہ کام سیکیورٹی کے اعتبار سے انتہائی اہم پروڈکشن استعمال کے لیے ہے، اس لیے حوالگی سے پہلے ایک مخصوص سخت حفاظتی مرحلہ آتا ہے۔ تعیناتی کو کون انجام دیتا اور چلاتا ہے، اس کا تعین ہر انگیجمنٹ کے Statement of Work میں کیا جاتا ہے۔

سیکیورٹی کو اس عمل میں ضم کرنا کہ ایک ٹیم پہلے ہی سافٹ ویئر کیسے تیار کرتی ہے، کنسلٹنگ پریکٹس کے محفوظ ترقیاتی انضمام کے ذریعے فراہم کیا جاتا ہے، جو مشورتی نوعیت کا ہے: آپ کے موجودہ ورک فلو میں سیکیورٹی کے مقام کا جائزہ لینا، اس میں شامل چیکس اور حفاظتی حدود کی تعریف کرنا، اور ڈویلپرز کو کردار کے مطابق رہنمائی فراہم کرنا۔ جہاں اس عمل کے لیے حسبِ ضرورت خودکار نظام یا ٹولنگ تیار کرنے کی ضرورت ہو، مثلاً مخصوص اسکینرز یا چیکس، وہاں انجینئرنگ پریکٹس اسے ایک الگ دائرہ کار کے تحت نافذ کر سکتی ہے۔ کنسلٹنگ ٹیم صرف عمل کے بارے میں مشورہ دیتی اور اسے متعین کرتی ہے اور خود سافٹ ویئر تیار نہیں کرتی، لہٰذا جو کچھ بھی تیار کرنا ہو وہ انجینئرنگ کی فراہمی کے طور پر شمار ہوتا ہے۔

Rust اور Python بنیادی ہیں: Rust وہاں جہاں میموری سیفٹی، ہم آہنگی، اور متوقع کارکردگی اہمیت رکھتی ہے، اور Python وہاں جہاں ترسیل کی رفتار، ڈیٹا، مشین لرننگ، اور انٹیگریشنز اہمیت رکھتی ہیں۔ آرکیٹیکچر کا کام ہر جزو کے لیے زبان مختص کرتا ہے بجائے اس کے کہ پورے نظام کو ایک ہی اسٹیک میں زبردستی ڈالا جائے، اور موجودہ نظام اور منتقلیاں دائرہ کار میں ہیں، لہٰذا مطابقت کا فیصلہ دائرہ کار طے کرنے کے دوران آپ کی ضروریات کی بنیاد پر کیا جاتا ہے۔

مشاورت میں GDPR کی تیاری اور آڈٹ کی تیاری شامل ہے: ایک خامیوں کا جائزہ، انہیں دور کرنے کے لیے کنٹرولز اور پالیسیاں، اور آڈٹ کے لیے تیار شواہد کا پیکج، جو وینڈر نیوٹرل انداز میں فراہم کیا جاتا ہے۔ یہ تیاری اور پیشگی معاونت ہے، قانونی مشورہ نہیں، اور یہ بذاتِ خود تعمیل یا سرٹیفیکیشن کی ضمانت نہیں دیتا — یہ آپ کے آپریشنز اور جائزہ لینے والے ادارے پر منحصر ہے۔ نتائج میں ترجیحی بنیادوں پر مرتب کردہ دریافتیں، ذمہ داروں کے ساتھ ایک رسک رجسٹر، اور ایک سخت حفاظتی روڈ میپ شامل ہیں جن پر آپ عمل کر سکتے ہیں۔

کردار مخصوص سیکیورٹی تربیت مشاورتی عمل کا حصہ ہے، جو آپ کے اسٹیک، آپ کے خطرات اور ان کرداروں کے مطابق ترتیب دی جاتی ہے جنہیں اس کی ضرورت ہے۔ یہ عموماً ارد گرد کے مشاورتی کام — محفوظ ترقیاتی انضمام، پالیسیاں اور واقعے کے ردعمل کے عمل — کے ساتھ ملا کر دی جاتی ہے تاکہ تربیت اس بات کی عکاسی کرے کہ آپ کی ٹیمیں حقیقت میں کیسے تعمیر اور آپریٹ کرتی ہیں۔ تمام کنسلٹنگ کی طرح، دائرہ کار اور نتائج پہلے سے طے کیے جاتے ہیں۔

سیکیورٹی آرکیٹیکچر کا جائزہ لینا، یا کسی مجوزہ سسٹم ڈیزائن کا اس کے اجرا سے قبل معائنہ کرنا، مشاورتی عمل کا بنیادی حصہ ہے۔ ہم آپ کے کاروباری خطرات اور آپریشنل پابندیوں کے تناظر میں ڈیزائن کا جائزہ لیتے ہیں، پھر ترجیحی نتائج، ایک سخت حفاظتی روڈ میپ، اور جہاں مفید ہو، رن بکس اور نامزد ذمہ داروں کے ساتھ ایک رسک رجسٹر فراہم کرتے ہیں۔ چونکہ یہ پریکٹس وینڈر نیوٹرل ہے، سفارشات آپ کے خطرے کی پیروی کرتی ہیں نہ کہ کسی ایسے پروڈکٹ کی جو ہم بصورتِ دیگر فروخت کر سکتے ہوں۔

فرق دائرہ کار کا ہے: کنسلٹنگ ایک وینڈر نیوٹرل مشاورتی کام ہے جو خطرات کا اندازہ لگاتا ہے، آرکیٹیکچر کا جائزہ لیتا ہے، اور آپ کو آڈٹس کے لیے تیار کرتا ہے، لیکن یہ سافٹ ویئر تیار نہیں کرتا اور ہنگامی واقعے کے ردعمل کو چلاتا نہیں ہے۔ اگر آپ کو کوڈ لکھوانا ہو یا سسٹم تیار کروانا ہو تو یہ محفوظ سافٹ ویئر انجینئرنگ پریکٹس ہے؛ اگر حملہ جاری ہو تو یہ 24/7 واقعے کے ردعمل کا عمل ہے؛ اور اگر آپ کو کمزوریاں تلاش کروا کر اجازت کے تحت محفوظ طریقے سے استعمال کرنی ہوں تو یہ پینیٹریشن ٹیسٹنگ ہے۔ ہم آپ کو آپ کے مطلوبہ نتیجے کی بنیاد پر درست پریکٹس کی طرف رہنمائی کریں گے یا انہیں ملا کر کام کریں گے۔

آپ ہمیں ای میل (PGP دستیاب)، Signal، Telegram پر t.me/pwn_all، WhatsApp، یا فون +971 58 594 6337 پر رابطہ کر سکتے ہیں، اور فعال واقعات کے لیے 24/7 لائن دستیاب ہے۔ کسی بھی حساس معاملے کے لیے ہم Signal یا PGP سے خفیہ کردہ ای میل کی سفارش کرتے ہیں، اور ہم آپ سے درخواست کرتے ہیں کہ این ڈی اے اور محفوظ چینل قائم ہونے سے پہلے کوئی راز یا اسناد نہ بھیجیں۔ اگر آپ کے پاس کوئی فعال واقعہ ہے تو چیٹ کا انتظار کرنے کے بجائے فوری طور پر کال کریں یا Signal استعمال کریں۔

آپ کی معلومات تک رسائی صرف ضرورت کے مطابق ہوتی ہے، اس انگیجمنٹ کے لیے طے شدہ کنٹرولز کے تحت، اور کسی بھی حساس تفصیل کے اشتراک سے پہلے ایک این ڈی اے اور محفوظ چینل موجود ہوتا ہے۔ اس معاہدے کے تحت مخصوص ہینڈلنگ، ذخیرہ اور برقرار رکھنے کی شرائط ایک یکساں ڈیفالٹ کے بجائے متعین کی جاتی ہیں، اور ہم آپ سے درخواست کرتے ہیں کہ جب تک یہ شرائط طے نہ ہوں، آپ کوئی راز نہ بھیجیں۔ کسی بھی حساس معلومات کے لیے Signal یا PGP سے خفیہ کردہ ای میل تجویز کردہ چینلز ہیں۔

ہماری شائع شدہ تصدیق وہ دستخط شدہ حوالہ جاتی خطوط ہیں جو سائٹ کے حوالہ جات کے سیکشن میں دکھائے گئے ہیں، جنہیں آپ براہِ راست دیکھ سکتے ہیں۔ چونکہ رازداری اولین ترجیح ہے، ہم اس کے علاوہ کسی مخصوص کلائنٹ یا واقعے کی تفصیل نہیں دیتے، اور مزید کوئی بھی تفصیل صرف متعلقہ کلائنٹ کی اجازت اور این ڈی اے کے تحت شیئر کی جا سکتی ہے۔ ہم ایک کال پر مثالی، غیر منسوب مثالوں کے ذریعے یہ بھی سمجھا سکتے ہیں کہ ایک عام انگیجمنٹ کیسے چلتا ہے۔

نہیں، ویب سائٹ اور یہ چیٹ معلوماتی ہیں اور یہ کوئی معاہدہ نہیں ہیں۔ ہر انگیجمنٹ ایک دستخط شدہ Statement of Work کے تحت منظم ہوتی ہے جو دائرہ کار، استثناءات، اجازت نامہ، مصروفیت کے قواعد، قابلِ فراہمی اشیاء، قبولیت کے معیار، رابطے اور شیڈول کو متعین کرتا ہے، اور قیمتوں کی تصدیق دائرہ کار کے تعین کے بعد ایک تحریری تجویز میں کی جاتی ہے۔ جب تک این ڈی اے اور محفوظ چینل موجود نہ ہوں، کوئی حساس چیز منتقل کرنے کی ضرورت نہیں۔

ایک عام ویب یا API انگیجمنٹ کا آغاز دائرہ کار کے تعین، مصروفیت کے قواعد، اور تحریری اجازت نامے سے ہوتا ہے، پھر یہ جاسوسی اور حملے کی سطح کی نقشہ سازی، متفقہ اہداف کے محفوظ استحصال، دو سطحی رپورٹنگ، اور اصلاح شدہ نتائج کے دوبارہ ٹیسٹ سے گزرتی ہے۔ ماہرین حملے کے راستوں کا نقشہ خود تیار کرتے ہیں اور دستی طور پر قابلِ استحصال ہونے کی تصدیق کرتے ہیں، بجائے اس کے کہ صرف سکینر کا خام ایکسپورٹ فراہم کریں، تاکہ آپ کو قیادت کے لیے ایک ایگزیکٹو سمری، شواہد اور شدت کے ساتھ تکنیکی نتائج، اور ترجیحی اصلاحی رہنمائی موصول ہو۔ سروس پیج ویب اور API کے کام کے لیے تقریباً دو ہفتوں کا ابتدائی اندازہ فراہم کرتا ہے، جبکہ اصل شیڈول اور قابلِ اہل دوبارہ جانچ کا دائرہ کار تجویز میں طے کیا جاتا ہے۔ یہ ایک مثالی خاکہ ہے؛ حقیقی ٹیسٹ کیسز مجاز اثاثوں اور خطرے کے ماڈل کے مطابق ڈھالے جاتے ہیں۔

ایک عام کیس 24/7 برج پر قابو اور شواہد کی حفاظت کے ساتھ شروع ہوتا ہے، پھر فارنزک دائرہ کار طے کیا جاتا ہے تاکہ بنیادی وجہ، ابتدائی رسائی، افقی نقل و حرکت، اور یہ کہ کون سا ڈیٹا نکالا گیا، معلوم کیا جا سکے۔ بحالی کا منصوبہ اسی بنیاد پر بنایا جاتا ہے جو شواہد سے ثابت ہو — صاف بیک اپس، ری کنسٹرکشنز، اور جہاں متعلقہ ہو ڈیسیکرپٹر تحقیق اور کی بازیابی کے اختیارات — جس میں کلائنٹ، قانونی مشیر، اور بیمہ کنندہ ادائیگی یا مذاکرات کے کسی بھی فیصلے میں شامل ہوتے ہیں۔ آپ کو تحویل کی زنجیر کا ریکارڈ، ردعمل کا ٹائم لائن، کمپرومائز کے اشارے، بحالی کی ترجیحات، اور بیمہ کنندہ یا ریگولیٹر کے لیے تیار ایک رپورٹ سخت حفاظتی منصوبے کے ساتھ موصول ہوتی ہے۔ یہ ایک مثالی خاکہ ہے؛ جو کچھ بحال کیا جا سکتا ہے وہ رینسم ویئر کے خاندان، کیز، بیک اپس اور شواہد پر منحصر ہے، اور کسی چیز کی ضمانت نہیں دی جا سکتی۔

ایک عام بلڈ دریافت، فنِ تعمیر، نفاذ، سخت حفاظتی اقدامات اور حوالگی کے مراحل سے گزرتا ہے، جس میں پروجیکٹ کے لیے قبولیت اور کارکردگی کے ٹیسٹ پہلے سے طے کیے جاتے ہیں۔ ہر جزو کے لیے زبان کا انتخاب کیا جاتا ہے — جہاں حفاظت اور کارکردگی اہم ہوں وہاں Rust، جہاں رفتار، ڈیٹا اور انضمام اہم ہوں وہاں Python — اور سیکیورٹی کو آخر میں شامل کرنے کے بجائے ڈیزائن کا حصہ بنایا جاتا ہے۔ حوالگی میں سورس کوڈ، تعیناتی کے اثاثے، API معاہدے، فنِ تعمیر کے فیصلے، رن بکس، خاکے، اور علم کی منتقلی شامل ہو سکتی ہے، اور جہاں معاہدہ ہو وہاں لانچ کے بعد 30 دن کی معاونت بھی۔ یہ ایک مثالی خاکہ ہے؛ اصل دائرہ کار اور قبولیت کے معیار Statement of Work میں طے کیے جاتے ہیں۔