Attack Surface

অ্যাটাক সারফেস

একটা system-এ adversary যত entry point, input, বা exposed component দিয়ে touch করতে পারে তার সমষ্টি — যত বড় surface, তত বেশি জায়গায় ভুল হওয়ার সুযোগ।

also: attack-surface-area

attack surface = { public API endpoint, form, file parser, open port,
                    third-party dependency, admin panel, ... }
score(endpoint) ∝ exposure × auth-gap × permission-level × input-risk

Attack surface কমানো সাধারণত সবচেয়ে সস্তা security-বিনিয়োগ — নতুন কোড না লিখে শুধু unnecessary exposure বন্ধ করা
অব্যবহৃত endpoint সরানো, default-deny config, internal-only করা — এগুলো feature হারানো না, শুধু exposure কমানো
প্রতিটা নতুন feature-ই attack surface বাড়ায় — তাই threat modeling continuous, একবারের কাজ না
Adversary model-নির্ভর: authenticated-user-এর কাছে যা exposed তা anonymous attacker-এর চেয়ে ভিন্ন হিসাব