ڈیفنس ان ڈیپتھ، تہہ در تہہ۔
ایک اعلیٰ سطح کا جائزہ کہ BroadNet کا میسجنگ پلیٹ فارم کیسے ڈھانچہ بند ہے — API ایج سے لے کر کیریئر انٹر کنکٹس تک — تاکہ سیکیورٹی ہر لیئر پر لاگو ہو، نہ کہ صرف بیرونی حد پر جوڑی گئی ہو۔ یہ جائزہ جان بوجھ کر غیر خفیہ رکھا گیا ہے: یہ اسٹیک کی شکل دکھاتا ہے، اس کی اندرونی ٹوپولوجی نہیں۔
آسان الفاظ میں، مختلف تہیں۔
کسٹمر ایپس اور چینلز
آپ کی ایپلی کیشنز اور کیمپینز دستاویزی اور ورژن شدہ انٹرفیس کے ذریعے منسلک ہوتے ہیں۔ ڈاؤن اسٹریم ٹیننٹ کے بارے میں کچھ بھی دوسرے کے سامنے ظاہر نہیں کیا جاتا۔
API اور SDK گیٹ وے
پبلک ایج۔ فی اکاؤنٹ بیئرر ایکسیس ٹوکنز ہر API درخواست کی تصدیق کرتے ہیں؛ پلیٹ فارم کے سامنے فی ٹیننٹ ریٹ لمٹنگ، IP الاؤ لسٹنگ، اور ایک خودکار ویب ایپلی کیشن فائر وال (WAF) موجود ہے۔
میسجنگ پلیٹ فارم
فی ٹیننٹ علیحدگی کے ساتھ ملٹی ٹیننٹ پروسیسنگ، پائیدار کیو ئینگ (queueing)، اور ڈیلیوری آرکیسٹریشن۔ اسٹیٹ تبدیل کرنے والے اقدامات کو آڈٹ لاگز میں ریکارڈ کیا جاتا ہے۔
روٹنگ انٹیلی جنس
کم سے کم لاگت اور معیار پر مبنی روٹنگ ہر منزل کے لیے ایک قانونی اور کمپلائنس کے مطابق روٹ منتخب کرتی ہے، جس میں گرے روٹ کی نشاندہی اور اگر کوئی روٹ اپنے سروس آبجیکٹو سے نیچے گر جائے تو اسے دوبارہ پن (re-pinning) کرنے کی سہولت موجود ہے۔
سیکیورٹی اور فائر وال
ٹیلی کام گریڈ دفاع — SMS فائر وال، SS7 فائر وال، سینڈر ID پروٹیکشن، فلیش کال اور OTP-ایبیوز اینالیسس — جو ڈیفالٹ کے طور پر BroadNet کے اپنے روٹس پر لاگو کیے جاتے ہیں۔
آپریٹر انٹر کنیکٹس
1,000+ براہ راست آپریٹر کنکشنز 86 ممالک میں براہ راست روابط فراہم کرتے ہیں، جبکہ باقی 200+ ممالک میں لیبل شدہ پارٹنر روٹس موجود ہیں، تاکہ ٹریفک قانونی اور معاہدہ شدہ روٹس پر ہی ختم ہو۔
پانچ دفاعی تہیں، گہرائی میں۔
اوپر دیے گئے نمبر والے لیئرز اس راستے کی وضاحت کرتے ہیں جس سے ایک میسج گزرتا ہے۔ یہ پانچ پلین (planes) ان کنٹرولز کی وضاحت کرتے ہیں جو اس راستے کے ہر مقام پر موجود ہوتے ہیں — ہر ایک کو اس طرح ڈیزائن کیا گیا ہے کہ اگر ایک پلین میں کوئی خرابی ہو تو اسے اگلے پلین کے ذریعے قابو کیا جا سکے۔
ایج اور نیٹ ورک
پبلک ایج TLS 1.3 کو ٹرمینیٹ کرتا ہے، والیومیٹرک غلط استعمال کو جذب کرتا ہے، اور اس بات کی تصدیق کرتا ہے کہ درخواست ایپلی کیشن لاجک تک پہنچنے سے پہلے درست طریقے سے بنائی گئی ہے۔ ڈاؤن اسٹریم میں کوئی بھی اس نیٹ ورک پر بھروسہ نہیں کرتا جس پر یہ پہنچا۔
- برسٹ کنٹرولز کے ساتھ فی ٹیننٹ اور فی اینڈ پوائنٹ ریٹ لمٹنگ
- SMPP اور API بائنڈز کے لیے IP allowlisting اور mutual-TLS کے اختیارات
- خودکار ویب ایپلیکیشن فائر وال (WAF) جو عام انجیکشن اور غلط استعمال کے پیٹرنز کو فلٹر کرتا ہے۔
- ایج (edge) پر DDoS جذب کرنا اور کنکشن لیول پر غیر معمولی سرگرمیوں کو روکنا
ایپلی کیشن اور شناخت
ہر درخواست کی اس کی اپنی بنیاد پر تصدیق اور اجازت دی جاتی ہے۔ فی اکاؤنٹ Bearer ایکسیس ٹوکنز شناخت قائم کرتے ہیں؛ اسکوپڈ رولز یہ فیصلہ کرتے ہیں کہ وہ شناخت کیا کر سکتی ہے؛ ملٹی ٹیننسی (multi-tenancy) کوڈ کے ذریعے نافذ کی جاتی ہے، نہ کہ محض روایت کے ذریعے۔
- API کے لیے فی اکاؤنٹ Bearer ایکسیس ٹوکنز؛ انٹرایکٹو سیشنز کے لیے مختصر مدت کے ٹوکنز۔
- کم از کم مراعات (least-privilege) کے ڈیفالٹ اسکوپس کے ساتھ رول بیسڈ ایکسیس کنٹرول
- فی ٹیننٹ علیحدگی تاکہ کوئی بھی ٹیننٹ دوسرے ٹیننٹ کے ڈیٹا تک رسائی حاصل نہ کر سکے
- ان باؤنڈ DLR اور MO کے لیے TLS انکرپٹڈ webhooks
ڈیٹا اور اسٹوریج
میسج کا مواد، ڈیلیوری میٹا ڈیٹا اور آڈٹ ریکارڈز کو انکرپشن کے ساتھ محفوظ رکھا جاتا ہے اور ان کے رکھنے کا دورانیہ معاہدے اور ریگولیٹری تقاضوں کے مطابق ہوتا ہے۔ اسٹیٹ تبدیل کرنے والے اقدامات کو ایک append-only آڈٹ ٹریل میں درج کیا جاتا ہے۔
- پرائمری اسٹورز اور بیک اپس میں AES-256 انکرپشن دستیاب ہے
- حالت تبدیل کرنے والے اقدامات کی صرف اضافہ کرنے والی آڈٹ لاگنگ
- ڈیٹا ریٹینشن کے دورانیہ معاہدے اور علاقائی ریگولیشن کے مطابق ہیں
- بیک اپز انکرپٹڈ ہیں اور طے شدہ ریکوری مقاصد کے مطابق ٹیسٹ کیے گئے ہیں
کی مینجمنٹ
Keys مخصوص کی-مینجمنٹ انفراسٹرکچر کے اندر تیار، محفوظ، روٹیٹ اور ریٹائر کی جاتی ہیں۔ ایپلی کیشن کوڈ میں صرف ریفرنسز ہوتے ہیں، خام کی مٹیریل (raw key material) نہیں، اور روٹیشن کے لیے سروس کی بندش کی ضرورت نہیں ہوتی۔
- ایپلی کیشن سیکریٹس سے علیحدگی کے ساتھ مرکزی کی مینجمنٹ
- شیڈول شدہ کی روٹیشن اور مشکوک سمجھوتہ ہونے کی صورت میں فوری منسوخی
- کلیدی نگہداشت اور انتظامی رسائی کے لیے فرائض کی علیحدگی
- انویلپ انکرپشن تاکہ ڈیٹا کیز خود ماسٹر کیز کے ذریعے محفوظ رہیں
مانیٹرنگ اور رسپانس
آبزرویبلٹی (Observability) کسی ایک چوک پوائنٹ کے بجائے پورے اسٹیک پر محیط ہے، تاکہ غیر معمولی صورتحال کا پتہ اس کے وقوع پذیر ہونے والی جگہ کے قریب ہی لگایا جا سکے۔ 24/7 NOC، ڈیٹیکشن کو ایک دستاویزی انسیڈنٹ رسپانس عمل کے ساتھ جوڑتا ہے۔
- ایج، پلیٹ فارم، روٹنگ اور انٹر کنیکٹس پر الرٹس کے ساتھ 24/7 NOC
- لائیو ٹریفک پر گرے-روٹ، سینڈر ID کا غلط استعمال اور OTP کے غلط استعمال کا تجزیہ
- شدت کی کلاسز اور نامزد ایسکلیشن کے ساتھ دستاویزی انسیڈنٹ رسپانس
- اہم واقعات کے بعد روٹ کاز اینالیسس (RCA) اور ریزن فار آؤٹیج (RFO)
کنٹرولز، جو معیارات کے مطابق ہیں۔
ISO/IEC 27001، SOC 2 اور ISO 22301 کے کنٹرول فیملیز کے ساتھ ہر لیئر کا ایک نمائندہ میپنگ۔ یہ صرف ایک مثال ہے، مکمل اسٹیٹمنٹ آف ایپلیکیبلٹی نہیں ہے — آڈٹ شدہ کنٹرول سیٹ NDA کے تحت شیئر کیا جاتا ہے۔
| Layer | نمائندہ کنٹرولز | میپڈ اسٹینڈرڈ |
|---|---|---|
| ایج اور نیٹ ورک | TLS 1.3، WAF، فی ٹیننٹ ریٹ لمٹنگ، IP ایلو لسٹنگ، DDoS ایبزورپشن | ISO 27001 A.8 · SOC 2 CC6.6 |
| ایپلی کیشن اور شناخت | Bearer-token API تصدیق، RBAC لیسٹ-پریویلیج، فی ٹیننٹ آئسولیشن | ISO 27001 A.8 / A.9 · SOC 2 CC6.1–CC6.3 |
| ڈیٹا اور اسٹوریج | AES-256 at rest، اپینڈ-اونلی (append-only) آڈٹ لاگز، ریٹینشن ونڈوز، انکرپٹڈ بیک اپس | ISO 27001 A.8 · SOC 2 CC6.1 / C1.1 |
| کی مینجمنٹ | مرکز پر مبنی KMS، شیڈول شدہ روٹیشن، منسوخی، فرائض کی علیحدگی | ISO 27001 A.8.24 · SOC 2 CC6.1 |
| مانیٹرنگ اور رسپانس | 24/7 NOC، کراس لیئر ٹیلی میٹری، دستاویزی IR، RCA/RFO | ISO 27001 A.5.24–A.5.28 · SOC 2 CC7.2–CC7.4 |
| تسلسل | بیک اپ، آزمودہ ریکوری اہداف، بزنس کنٹینیوٹی مینجمنٹ | ISO 22301 · SOC 2 A1.2 |
میپ شدہ معیارات ISO/IEC 27001:2022 Annex A، SOC 2 Trust Services Criteria، اور ISO 22301 پر مبنی ہیں۔ مزید دیکھنے کے لیے کمپلائنس سرٹیفیکیشن لسٹ دیکھیں اور ٹرسٹ سینٹر ثبوت کی درخواست کریں۔
انکرپشن اور کی مینجمنٹ۔
انکرپشن اتنی ہی مضبوط ہوتی ہے جتنے طریقے سے اس کی کیز (keys) کو ہینڈل کیا جاتا ہے۔ ڈیٹا کو ٹرانزٹ اور اسٹوریج کے دوران محفوظ رکھا جاتا ہے، اور وہ کیز جو اسے محفوظ رکھتی ہیں وہ مخصوص انفراسٹرکچر میں ہوتی ہیں — جو ایپلیکیشن کوڈ اور ڈیٹا سے الگ ہوتی ہیں۔
راستے میں
ہر بیرونی انٹرفیس — API، SMPP اور webhooks — پر TLS 1.3 — جدید سائفر سوٹس اور انٹرپرائز بائنڈز کے لیے سرٹیفکیٹ پننگ آپشنز کے ساتھ۔
اسٹورڈ ڈیٹا (At rest)
بنیادی اسٹورز اور بیک اپس میں AES-256 کا استعمال۔ میسج کے مواد اور ڈیلیوری میٹا ڈیٹا کے لیے ریٹینشن ونڈوز (retention windows) معاہدے اور علاقائی ریگولیشن کے مطابق رکھی جاتی ہیں۔
کی لائف سائیکل
شیڈولڈ روٹیشن، فوری منسوخی، فرائض کی تقسیم، اور انویلپ انکرپشن کے ساتھ سینٹرلائزڈ کی مینجمنٹ، تاکہ ڈیٹا کیز خود ماسٹر کیز کے ذریعے محفوظ رہیں۔
تھریٹ ماڈل اور ڈیفنس ان ڈیپ۔
ڈیفنس ان ڈیپ کا مطلب ہے کہ کوئی بھی ایک کنٹرول اکیلا کافی نہیں ہے۔ ہر حقیقت پسندانہ حملہ آور کے ہدف کے لیے، اثر پڑنے سے پہلے ایک سے زیادہ تہوں (planes) کا ناکام ہونا ضروری ہے۔
کریڈنشل چوری یا API کی (key) کا لیک ہونا
کم سے کم پرائیلیج اسکوپس نقصانات کے دائرہ کار کو محدود کرتے ہیں؛ مختصر مدت کے ٹوکنز اور فوری منسوخی کے ذریعے وقت کا وقفہ کم کیا جاتا ہے؛ فی ٹیننٹ آئسولیشن دوسرے ٹیننٹ تک غیر مجاز رسائی کو روکتی ہے۔
گرے-روٹ انجیکشن اور سینڈر ID سپوفنگ
SMS فائر وال اور سینڈر-ID پروٹیکشن غیر قانونی ٹریفک کو ختم ہونے سے پہلے ہی درجہ بندی کر کے روک دیتی ہے؛ براہ راست آپریٹر انٹر کنکشنز کا مطلب ہے کہ جائز ٹریفک معاہدہ شدہ روٹس پر پہنچتی ہے۔
OTP-abuse / ٹریفک کا مصنوعی اضافہ
بیہیویئرل اینالیٹکس اور فلیش کال / OTP کے غلط استعمال کی نشاندہی، جو ڈاؤن اسٹریم میں منافع کمانے سے پہلے ہی لائن ریٹ پر بڑھے ہوئے پیٹرنز کو روک دیتی ہے۔
سگنلنگ لیئر حملے (SS7)
SS7 فائر وال نیٹ ورک لیئر پر لوکیشن ٹریکنگ، انٹرسیپشن اور فراڈ کی کوششوں سے بچنے کے لیے سگنلنگ کا معائنہ اور فلٹرنگ کرتا ہے۔
ڈیٹا کا ٹرانزٹ یا اسٹوریج کے دوران ایکسپوزر
TLS 1.3 ٹرانسٹ ڈیٹا کی حفاظت کرتا ہے اور AES-256 اسٹور شدہ ڈیٹا کی حفاظت کرتا ہے؛ کیز (keys) ڈیٹا سے الگ، مخصوص کی-مینجمنٹ انفراسٹرکچر میں محفوظ ہوتی ہیں۔
اندرونی (insider) یا انتظامی غلط استعمال
رول بیسڈ ایکسیس کنٹرول، کی کسٹڈی کے لیے فرائض کی علیحدگی، اور اپینڈ-اونلی آڈٹ لاگنگ، پرائیلیجڈ ایکشنز کو جوابدہ اور قابلِ جائزہ بناتے ہیں۔
ہر لیئر پر مانیٹرنگ
آبزرویبلٹی اور 24/7 مانیٹرنگ پورے اسٹیک پر محیط ہے بجائے اس کے کہ کسی ایک نکتے پر مرکوز ہو، تاکہ غیر معمولی صورتحال کو اس جگہ کے قریب پکڑا جا سکے جہاں وہ پیش آتی ہے۔ مخصوص ٹولنگ اور الرٹنگ تھریش ہولڈز NDA کے تحت جائزہ لینے والوں کے ساتھ شیئر کیے جاتے ہیں۔
مکمل طور پر انکرپشن
TLS 1.3 ٹرانسٹ میں ڈیٹا کی حفاظت کرتا ہے اور AES-256 تمام تہوں میں ڈیٹا کے محفوظ ہونے کو یقینی بناتا ہے۔ تفصیلی کی-مینجمنٹ اور کنٹرول کی تفصیلات NDA کے تحت دستیاب ہیں — آڈٹ شدہ اسکوپ کے لیے سرٹیفیکیشنز دیکھیں۔
تصدیق شدہ کنٹرول کی تفصیلات، ڈیٹا سینٹر کے مقامات، درست ریکوری مقاصد، اور اندرونی ٹوپولوجی BroadNet کے آڈٹ شدہ اسکوپ کے تحت ہیں اور NDA کے تحت شیئر کی جاتی ہیں۔ دیکھیں ISO/IEC 27001 اور ISO 22301۔
یہ کہاں منسلک ہوتا ہے۔
یہ جائزہ آرکیٹیکچرل ویو ہے۔ اس کے پیچھے موجود ثبوت، سرٹیفکیٹس اور آپریشنل وعدے ٹرسٹ سینٹر اور کمپلائنس اینڈ سیکیورٹی صفحات میں موجود ہیں۔
اکثر پوچھے جانے والے سوالات۔
کیا یہ مکمل سیکیورٹی آرکیٹیکچر ہے؟
نہیں۔ یہ صفحہ جان بوجھ کر غیر خفیہ جائزہ ہے: یہ اسٹیک کی ساخت اور ہر لیئر پر کنٹرولز کو ظاہر کرتا ہے، نہ کہ اندرونی ٹوپولوجی، ڈیٹا سینٹر کے مقامات یا درست ریکوری مقاصد کو۔ تصدیق شدہ کنٹرول کی تفصیلات NDA کے تحت ایویلیوایٹرز کے ساتھ شیئر کی جاتی ہیں اور BroadNet کے آڈٹ شدہ اسکوپ میں شامل ہیں۔
پلیٹ فارم کن معیارات کے مطابق سرٹیفائیڈ ہے؟
BroadNet کے پاس ISO/IEC 27001 (انفارمیشن سیکیورٹی)، ISO 9001 (کوالٹی) اور ISO 22301 (بزنس کنٹینیوٹی) کے سرٹیفیکیشنز ہیں۔ اس صفحے پر کنٹرولز میپنگ ٹیبل نمائندہ کنٹرولز کا ISO 27001، SOC 2 اور ISO 22301 کنٹرول فیملیز کے ساتھ موازنہ کرتا ہے تاکہ ایویلیوایٹرز دیکھ سکیں کہ ہر لیئر کس طرح ہم آہنگ ہے۔
ٹرانزٹ اور ریسٹ (at rest) کے دوران انکرپشن کو کیسے ہینڈل کیا جاتا ہے؟
TLS 1.3 ٹرانزٹ میں موجود ڈیٹا کو محفوظ کرتا ہے اور AES-256 پرائمری اسٹورز اور بیک اپس میں موجود ڈیٹا کو محفوظ کرتا ہے۔ کیز (keys) کو مخصوص کی-مینجمنٹ انفراسٹرکچر کے اندر تیار، محفوظ، تبدیل اور ریٹائر کیا جاتا ہے، جہاں انولپ انکرپشن کا استعمال کیا جاتا ہے تاکہ ڈیٹا کیز خود ماسٹر کیز کے ذریعے محفوظ رہیں۔
کیا آپ BroadNet ٹریفک پر اپنے SMS اور SS7 فائر والز لاگو کرتے ہیں؟
جی ہاں۔ کیریئر گریڈ دفاعی نظام — SMS فائر وال، SS7 فائر وال، سینڈر ID پروٹیکشن اور OTP-abuse اینالیسس — ڈیفالٹ کے طور پر BroadNet کے اپنے روٹس پر لاگو ہوتے ہیں، یہ صرف تھرڈ پارٹی اسٹیٹس کے لیے ایڈ-آن کے طور پر پیش نہیں کیے جاتے۔
میں آڈٹ شدہ کنٹرول کی تفصیلات کیسے طلب کر سکتا ہوں؟
نامزد کنٹرول کی تفصیلات، ڈیٹا سینٹر کے مقامات، درست ریکوری کے مقاصد اور اندرونی ٹوپولوجی کو NDA کے تحت اہل ایویلیوایٹرز کے ساتھ شیئر کیا جاتا ہے۔ ٹرسٹ سینٹر یا کمپلائنس پیج سے شروع کریں، یا دستاویزات کا پیک حاصل کرنے کے لیے سیکیورٹی ٹیم سے رابطہ کریں۔