নেটওয়ার্ক সিকিউরিটিতে রিস্ক অ্যানালাইসিস ক্যালকুলেশন: ফর্মুলা, মেথডোলজি ও টুলস

নেটওয়ার্ক সিকিউরিটি রিস্ক অ্যানালাইসিস: ক্যালকুলেশন, ফ্রেমওয়ার্ক ও বাস্তব প্রয়োগ

রিস্ক অ্যানালাইসিস নেটওয়ার্ক সিকিউরিটির মূল স্তম্ভ। এটি সাংগঠনিক সম্পদ, হুমকি, ভালনারেবিলিটি ও প্রভাবের মধ্যে সম্পর্ক বোঝায় এবং রিস্ক প্রায়োরিটাইজেশন, বাজেট alokেশন, কন্ট্রোল সিলেকশনে নির্দেশনা দেয়।

রিস্ক ক্যালকুলেশনের মৌলিক ফর্মুলা (Fundamental Risk Formulas)

১. کلاسিক্যাল রিস্ক ইকুয়েশন (Classic Risk Equation)

Risk = Threat × Vulnerability × Asset Value
// বা
Risk = Likelihood × Impact

• Threat (হুমকি): হুমকির উৎস (হ্যাকার, ম্যালওয়্যার, ইনসাইডার, প্রাকৃতিক দুর্যোগ) ও ক্ষমতা।
• Vulnerability (ভালনারেবিলিটি): সিস্টেমের দুর্বলতা যা হুমকি এক্সপ্লয়েট করতে পারে (CVE, Misconfiguration, Weak Crypto)।
• Asset Value (সম্পদ মূল্য): তথ্য/সিস্টেমের ব্যবসায়িক মূল্য (CIA Impact: Confidentiality, Integrity, Availability)।
• Likelihood (সম্ভাবনা): হুমকি সফল হবে তা কতটুকু সম্ভব (Quantitative: 0-1, Qualitative: Low/Medium/High/Critical)।
• Impact (প্রভাব): ঘটনা ঘটলে ক্ষতির মাত্রা (Financial, Operational, Reputational, Legal/Regulatory, Safety)।

২. অবশিষ্ট রিস্ক (Residual Risk) — কন্ট্রোল কার্যকরতার পর

Residual Risk = Inherent Risk × (1 - Control Effectiveness)
// বা
Residual Risk = (Threat × Vulnerability × Asset Value) - Control Effectiveness

• Inherent Risk: কোনো কন্ট্রোল না থাকার অবস্থায় রিস্ক।
• Control Effectiveness (0.0 - 1.0): কন্ট্রোলটি রিস্ক কতটুকু কমিয়েছে (০=কাজ করে না, ১=পূর্ণ প্রতিরোধ)।
• উদাহরণ: Inherent Risk = High (০.৮), Control Effectiveness = ০.৭৫ (৭৫% কার্যকর) → Residual Risk = ০.৮ × (১-০.৭৫) = ০.২ (Low)।

৩. FAIR মডেল (Factor Analysis of Information Risk) — কোয়ানটিটেটিভ

Risk = Loss Event Frequency (LEF) × Probable Loss Magnitude (PLM)

LEF = Threat Event Frequency (TEF) × Vulnerability (Vuln)
TEF = Contact Frequency × Probability of Action
Vuln = Threat Capability (TCap) vs Resistance Strength (RS) — Difficulty

PLM = Primary Loss (Direct) + Secondary Loss (Reputation, Legal, Competitive)

FAIR মডেল ফাইনান্সিয়াল টার্মসে রিস্ক এক্সপ্রেস করে (যেমন: $১.২M Annualized Loss Expectancy - ALE)।

৪. CVSS (Common Vulnerability Scoring System) — ভালনারেবিলিটি সকোরিং

• Base Score (0.0-10.0): Attack Vector (AV), Attack Complexity (AC), Privileges Required (PR), User Interaction (UI), Scope (S), CIA Impact।
• Temporal Score: Exploit Code Maturity, Remediation Level, Report Confidence।
• Environmental Score: Modified Base Score + Security Requirements (CR/IR/AR)।
• v4.0 (২০২৩ রিলিজ) — আরও granulár, OT/IoT কনটেক্সট, Subsequent System Impact।

রিস্ক অ্যানালাইসিস মেথডোলজি (Methodologies/Frameworks)

নেটওয়ার্ক সিকিউরিটির প্রেক্ষাপটে রিস্ক অ্যানালাইসিসের ধাপসমূহ (Steps)

1. Scope & Context Definition: কোন নেটওয়ার্ক সেগমেন্ট, অ্যাপ্লিকেশন, ডেটা ফ্লো, রেগুলেটরি রিকোয়ারমেন্ট।
2. Asset Identification & Valuation: CMDB/IPAM থেকে অ্যাসেট লিস্ট, ডেটা ক্লাসিফিকেশন (Public/Internal/Confidential/Restricted), Business Impact Analysis (BIA)।
3. Threat Identification: Threat Library (MITRE ATT&CK, ENISA Threat Landscape, VERIS), Threat Intel Feeds, Industry-Specific Threats (APT, Ransomware, Insider)।
4. Vulnerability Identification: Vulnerability Scanning (Authenticated/Unauthenticated), Penetration Testing, Configuration Audit (CIS Benchmarks), Code Review, Supply Chain (SBOM/SCA)।
5. Risk Analysis (Likelihood × Impact): Risk Matrix (5x5), Quantitative (FAIR/Monte Carlo), Scenario-Based (Kill Chain Mapping)।
6. Risk Evaluation / Prioritization: Risk Appetite/Tolerance টRESHOLD, Cost-Benefit Analysis of Controls, Risk Heat Map।
7. Risk Treatment (Mitigation): Avoid, Mitigate (Controls), Transfer (Cyber Insurance), Accept (Risk Acceptance Form with Approval)।
8. Control Selection & Implementation: NIST 800-53 / ISO 27001 Annex A / CIS Controls v8 / Zero Trust Architecture Mapping।
9. Monitoring & Review (Continuous): KRI (Key Risk Indicators), KPI, Continuous Control Monitoring (CCM), Periodic Re-Assessment (Annual/Trigger-Based)।
10. Reporting & Communication: Risk Register, Executive Dashboard, Board Report, Regulatory Filings।

নেটওয়ার্ক-নির্দিষ্ট রিস্ক ফ্যাক্টরস (Network-Specific Risk Factors)

• Attack Surface Exposure: ইন্টারনেট-ফেসিং পোর্ট/সার্ভিস (Shodan/Censys Exposure), VPN/RDP/SSH এক্সপোজার।
• Segmentation Gaps: Flat Network, Missing Micro-segmentation, OT/IT Convergence Risk।
• Encryption Gaps: TLS 1.0/1.1, Expired/Weak Certs, Cleartext Protocols (Telnet, FTP, HTTP, SNMPv1/v2c)।
• Misconfiguration: Default Credentials, Open S3 Buckets, Overly Permissive Security Groups/Firewall Rules, Excessive Privileges।
• Supply Chain / Third-Party: Vendor Remote Access, Managed Service Provider (MSP) Risk, Software Supply Chain (SolarWinds, Log4j)।
• DDoS Resilience: Bandwidth Capacity, Scrubbing Center, Anycast DNS, Rate Limiting।
• DNS Security: DNSSEC, DoH/DoT, RPZ, DGA Detection, Fast Flux Detection।
• BGP/Routing Security: RPKI/ROA, BGPsec, Prefix Hijack Prevention।

রিস্ক ক্যালকুলেশনের জন্য টুলস ও প্ল্যাটফর্ম (২০২৪)

বাস্তব উদাহরণ: র‍্যানসমওয়্যার রিস্ক ক্যালকুলেশন (সিম্পলিফাইড)

Asset: Customer Database Server (Revenue Impact: $5M/yr, Regulatory: GDPR)
Threat: Ransomware Group (TEF: 0.5/year - industry avg)
Vulnerability: Unpatched CVE-2023-XXXX on Internet-facing VPN (CVSS 9.8, Vuln=0.9)
Inherent Risk = TEF × Vuln × Asset Impact
            = 0.5 × 0.9 × ($5M + $20M GDPR Fine + $10M Reputation) 
            = 0.45 × $35M = $15.75M ALE (Annualized Loss Expectancy)

Controls:
1. Patch Management (Effectiveness: 0.95 - if patched timely)
2. MFA on VPN (Effectiveness: 0.90)
3. Network Segmentation (Effectiveness: 0.80 - limits lateral movement)
4. Immutable Offline Backups (Effectiveness: 0.95 - recovery)
5. EDR + 24/7 SOC (Effectiveness: 0.85 - detection/response)

Combined Control Effectiveness ≈ 1 - (1-0.95)(1-0.90)(1-0.80)(1-0.95)(1-0.85) = 0.99997 (99.997%)

Residual Risk = $15.75M × (1 - 0.99997) = $472/year (Acceptable)

Decision: Implement Controls, Monitor KRI (Patch Compliance, MFA Adoption, Backup Test Success Rate)

সেরা অনুশীলন (Best Practices for Network Risk Analysis)

1. থ্রেট-ইনফর্মড হোন (Threat-Informed): MITRE ATT&CK ম্যাপিং দিয়ে রিস্ক সিনারিও বানান।
2. ক্রাউন জুয়েল অ্যানালাইসিস: সবচেয়েкриটিক্যাল অ্যাসেট/ডেটা ফ্লো ফোকাস করুন।
3. কোয়ানটিটেটিভ ও কোয়ালিটেটিভ কম্বাইন করুন: বোর্ডের জন্য মonnéটারি, অপারেশনালের জন্য হিট ম্যাপ।
4. কন্ট্রোল ইফেক্টিভেনেস মেজার করুন: BAS (Breach & Attack Simulation), পেন-টেস্ট, রেড টিমিং দিয়ে ভেরিফাই।
5. কন্টিনিউয়াস রিস্ক অ্যানালাইসিস: বার্ষিক নয়, ইভেন্ট-ড্রিভেন + কোয়ার্টারলি রিভিউ + রিয়েল-টাইম ASM/VM ফিড।
6. স্টেকহোল্ডার ইনভলভমেন্ট: IT, Security, Business, Legal, Finance, Audit — সবার ইনপুট।
7. ডকুমেন্টেশন ও অডিট ট্রেইল: রিস্ক অ্যাকসেপটেন্স ফর্ম, সিনায়ার অথরিটি, রিভিউ ডেট।

নোট: রিস্ক অ্যানালাইসিস একবারের কাজ নয় — এটি একটি Continuous Lifecycle (Identify → Assess → Treat → Monitor → Report → Repeat)। NIST CSF 2.0-এর Govern Function এখন রিস্ক গভর্নেন্সকে কোয়ার্টারলি বোর্ড রিপোর্টিং-এ বাধ্যতামূলক করেছে।

নেটওয়ার্ক সিকিউরিটিতে দক্ষ হওয়ার জন্য কী শিখতে হবে: স্কিলস, সার্টিফিকেশন ও ক্যারিয়ার পথ

অ্যাভাস্ট (Avast) নেটওয়ার্ক সিকিউরিটি সমস্যা দেখাচ্ছে কিন্তু সমাধান দেয় না: কারণ ও সমাধান

• 5G
• নেটওয়ার্কিং
• ক্লাউড পরিষেবা
• ইন্টারনেট
• নেটওয়ার্ক নিরাপত্তা
• VPN
• WiFi