নেটওয়ার্ক সিকিউরিটি রিস্ক অ্যাসেসমেন্টে Likelihood Determination (সম্ভাবনা নির্ধারণ) পদ্ধতি
Likelihood Determination হলো রিস্ক অ্যাসেসমেন্টের একটি কৃতীয় ধাপ যেখানে একটি নির্দিষ্ট **থ্রেট সোর্স** একটি নির্দিষ্ট **ভালনারেবিলিটি** এক্সপ্লয়েট করে **অবांछিত ঘটনা** ঘটাতে পারবে কিনা এবং কতটুকু সম্ভাবনা—that определя করা হয়। এটি NIST SP 800-30 Rev. 1, ISO 27005, FAIR Model এ সংজ্ঞায়িত।
Likelihood Determination-এর কী कंपোনেন্ট?
NIST SP 800-30 অনুযায়ী, Likelihood = ফাংশন অফ:
- Threat Source Characteristics: Capability (ক্ষমতা), Intent (উদ্দেশ্য), Targeting (টার্গেটিং লেভেল)。——
- Vulnerability Characteristics: Exploitability (CVSS Exploitability Sub-score), Exposure (Internet-facing/Internal), Existence of Exploit Code (PoC, Metasploit Module, Weaponized)。——
- Existing Controls Effectiveness: বর্তমান কন্ট্রোল (Firewall, WAF, EDR, Patch, MFA, Segmentation) কতটুকু মিটিগেট করছে।
Likelihood Level সкеেল (NIST SP 800-30)
| Likelihood Level | বর্ণনা | সমানুভবিক মান |
|---|---|---|
| Very High (বহু উচ্চ) | থ্রেট সোর্স অত্যন্ত সক্ষম, উদ্দেশ্যমূলক, ভালনারেবিলিটি সহজে এক্সপ্লয়েটযোগ্য, কন্ট্রোল কমজোর/নাই | > 90% вероятность |
| High (উচ্চ) | সক্ষম থ্রেট, এক্সপ্লয়েট উপলব্ধ, কন্ট্রোল আংশিকভাবে কার্যকর | 50-90% |
| Moderate (মাঝারি) | থ্রেট সোর্স মাঝারি সক্ষম, এক্সপ্লয়েটের জন্য কিছু দক্ষতা লাগে, কন্ট্রোল মাঝারি | 10-50% |
| Low (নিম্ন) | থ্রেট সোর্স কম সক্ষম, জটিল এক্সপ্লয়েট দরকার, স্ট্রং কন্ট্রোল মजूद | 1-10% |
| Very Low (বহু নিম্ন) | থ্রেট সোর্স নগণ্য সক্ষম, এক্সপ্লয়েট প্রায় অসম্ভাব্য, রবাস্ট কন্ট্রোল | < 1% |
Likelihood ক্যালকুলেশন পদ্ধতিগুলো
১. ক্যালিটেটিভ (Qualitative) — সবচেয়ে প্রচলিত
- এক্সপার্ট জাজমেন্ট, থ্রেট ইন্টেলিজেন্স, ইতিহাসগত ডেটা ব্যবহার করে High/Medium/Low এসাইন করা।
- টুল: Risk Matrix (Heat Map), Risk Register।
- উপযোগী: দ্রুত ডিসিশন মেকিং, এক্সিকিউটিভ রিপোর্টিং।
২. সেমি-কোয়ান্টিটেটিভ (Semi-Quantitative)
- স্কোরিং মডেল: Likelihood = Threat Likelihood × Vulnerability Exploitability × Control Gap।
- প্রতিটি ফ্যাক্টর ১-৫ বা ১-১০ স্কেলে স্কোর।
- উদাহরণ: Threat Capability (4) × Vulnerability Exploitability (5) ÷ Control Effectiveness (3) = 6.67 → High।
৩. কোয়ান্টিটেটিভ (Quantitative) — FAIR Model (Factor Analysis of Information Risk)
- Likelihood = **Threat Event Frequency (TEF)** × **Vulnerability (Vuln%)**।
- TEF = Contact Frequency × Probability of Action।
- Vuln% = 1 - Control Strength (0-1 Scale)。——
- Monte Carlo Simulation দিয়ে লস এক্সসিডেন্স কার্ভ (LEC) জেনারেট।
- আউটপুট: Annualized Loss Expectancy (ALE) = SLE × ARO।
নেটওয়ার্ক স্পেসিফিক ফ্যাক্টরগুলো যা Likelihood বেড়ায়
| ফ্যাক্টর | Likelihood বেড়ায় কেন |
|---|---|
| Internet-facing Asset (Public IP, Open Port 80/443/22/3389) | অটোমেটেড স্ক্যানার/বট.constant probing করে |
| Unpatched Critical Vulnerability (CVE-2024-xxxx, KEV Catalog) | Weaponized exploit পাবলিকলি উপলব্ধ (Metasploit, Nuclei Template) |
| Weak/ Default Credentials (Admin/admin, Password123) | Credential Stuffing, Brute Force খুব সহজ |
| Missing MFA on VPN/Remote Access | Phishing/Credential Theft → Direct Access |
| Flat Network (No Segmentation) | Lateral Movement বাধা নেই |
| No EDR / AV Disabled / Outdated Signature | Malware Execution Undetected |
| Misconfigured Cloud Security Group (0.0.0.0/0 on 22/3389) | Shodan/Censys দিয়ে খুঁজে পাওয়া যায় |
| Expired/Weak SSL Cert (TLS 1.0/1.1 Enabled) | MITM, Downgrade Attack সম্ভব |
Threat Intelligence দিয়ে Likelihood রিফাইন করা
- KEV Catalog (CISA Known Exploited Vulnerabilities): এখানে থাকলে Likelihood = **Very High** (Immediate Patch Required)。——
- EPSS (Exploit Prediction Scoring System): FIRST.org EPSS Score > 0.5 হলে High Likelihood।
- Threat Actor Targeting: আপনার ইন্ডাস্ট্রি/জিও টার্গেট করা হচ্ছে কিনা (MITRE ATT&CK Group Profile)。——
- Dark Web Monitoring: ক্রেডেনশিয়াল লিক, এক্সপ্লয়েট কিনা বিক্রি হচ্ছে।
Likelihood Determination Documantation Template
Risk ID: RISK-2024-0042
Asset: Web App Server (10.0.5.10, Public IP 203.0.113.50)
Threat: External Attacker exploiting CVE-2024-3400 (PAN-OS RCE)
Vulnerability: Unpatched PAN-OS 11.0.3 (CVSS 10.0, EPSS 0.92, KEV Listed)
Existing Controls: WAF (Blocked known signatures), No MFA on Admin, No Network Segmentation
Threat Capability: High (Automated exploitation in wild)
Vulnerability Exploitability: Very High (Unauth RCE, PoC Public)
Control Effectiveness: Low (WAF bypassable, No Defense in Depth)
Likelihood Determination: **VERY HIGH**
Justification: KEV-listed, unauthenticated RCE, public exploit, internet-facing, weak controls
Recommended Action: Emergency Patch within 24h, Enable MFA, Segment Network, Block at Perimeterসাধারণ ভুল এড়িয়ে যান
- Likelihood = Impact ভুল ধারণা (Likelihood = ঘটার সম্ভাবনা, Impact = ক্ষতির মাত্রা)।
- শুধু CVSS Base Score দিয়ে Likelihood ঠিক করা (CVSS = Severity, Not Likelihood)。——
- থ্রেট ইন্টেলিজেন্স বাদ দেওয়া (Context-less Scoring)。——
- কন্ট্রোল ইফেক্টিভনেস অভিমান করা (Assumed Effective but Not Tested)。——
উপসংহার: Likelihood Determination হলো **সাবজেক্টিভ জাজমেন্টকে অবজেক্টিভ, রিপিটেবল, এবং অডিটযোগ্য প্রক্রিয়ায় রূপান্তর**। ক্যালিটেটিভ পদ্ধতি দ্রুত ডিসিশনের জন্য, FAIR/Quantitative পদ্ধতি বাজেট জাস্টিফিকেশনের জন্য। নেটওয়ার্ক সিকিউরিটিতে **Internet Exposure + KEV/EPSS + Control Gap**—এই তিনটি Likelihood-এর সবচেয়ে বড় ড্রাইভার।
