नेटवर्क सुरक्षा भेद्यता में संभावना निर्धारण (Likelihood Determination) क्या है?

नेटवर्क सुरक्षा जोखिम मूल्यांकन में संभावना निर्धारण: विधियां, कारक और ढांचे

संभावना निर्धारण जोखिम मूल्यांकन का एक महत्वपूर्ण घटक है जो यह अनुमान लगाता है कि एक खतरा स्रोत किसी भेद्यता का सफलतापूर्वक शोषण करने की कितनी संभावना है।

संभावना क्या है?

सूचना सुरक्षा में, संभावना (Likelihood) एक खतरे की घटना की संभावना का व्यक्तिपरक मूल्यांकन है जो एक विशिष्ट भेद्यता का शोषण करती है, भारित कारकों पर आधारित होती है। यह "यह कितनी बार होगा?" का उत्तर देता है।

जोखिम = संभावना × प्रभाव

• संभावना (Likelihood): खतरे की घटना की संभावना (कम/मध्यम/उच्च या मात्रात्मक)
• प्रभाव (Impact): परिणाम की गंभीरता (गोपनीयता, अखंडता, उपलब्धता हानि)
• जोखिम: दोनों का संयोजन जो प्राथमिकता निर्धारित करता है

संभावना निर्धारण के प्रमुख कारक (NIST SP 800-30)

संभावना निर्धारण विधियां

1. गुणात्मक (सबसे आम)

2. अर्ध-मात्रात्मक (स्कोरिंग)

कारकों को स्कोर दें (1-5 या 1-10), भारित औसत की गणना करें:

संभावना स्कोर = Σ (कारक_भार × कारक_स्कोर)
उदाहरण भार: खतरा क्षमता 30%, शोषण क्षमता 25%, नियंत्रण 20%, लक्ष्य मूल्य 15%, एक्सपोज़र 10%

3. मात्रात्मक (FAIR मॉडल, मोंटे कार्लो)

• FAIR (फैक्टर एनालिसिस ऑफ इन्फॉर्मेशन रिस्क): संपर्क आवृत्ति, संभाव्य कार्रवाई, भेद्यता, नुकसान परिमाण का मॉडल
• मोंटे कार्लो सिमुलेशन: इनपुट वितरण से हजारों परिदृश्य चलाएं
• ऐतिहासिक डेटा: समान घटनाओं की आवृत्ति (उदाहरण: "पिछले 3 वर्षों में 5 फ़िशिंग घटनाएं")

4. खतरा खुफिया-संचालित

• EPSS (एक्सप्लॉइटेशन प्रेडिक्शन स्कोरिंग सिस्टम): CVE के 30 दिनों में शोषित होने की संभावना (0-1)
• CISA KEV (ज्ञात शोषित भेद्यता कैटलॉग): सक्रिय रूप से शोषित = उच्च संभावना
• खतरा अभिनेता प्रोफाइलिंग: MITRE ATT&CK तकनीक उपयोग आवृत्ति
• डार्क वेब मॉनिटरिंग: चोरी किए गए क्रेडेंशियल, पहुंच बिक्री

नेटवर्क सुरक्षा भेद्यता के लिए संभावना मूल्यांकन कार्यप्रवाह

1. संपत्ति सूची और वर्गीकरण: CMDB, नेटवर्क खोज, महत्वपूर्णता रेटिंग
2. भेद्यता पहचान: प्रमाणित स्कैन (नेसस, क्वालिस), एजेंट-आधारित, कंटेनर/कोड स्कैन
3. खतरा मैपिंग: प्रत्येक भेद्यता को MITRE ATT&CK, CWE, CAPEC से मैप करें
4. संदर्भ संवर्धन: खतरा खुफिया (EPSS, KEV, अभिनेता गतिविधि), एक्सपोज़र (शोडन, सेनसिस)
5. नियंत्रण प्रभावशीलता मूल्यांकन: मौजूदा नियंत्रण (WAF, IPS, EDR, पैच स्थिति, कॉन्फ़िगरेशन) भेद्यता को कितना कम करते हैं?
6. संभावना स्कोरिंग: ऊपर दी गई विधि लागू करें
7. प्रभाव मूल्यांकन: CIA प्रभाव + व्यावसायिक प्रभाव (राजस्व, प्रतिष्ठा, नियामक)
8. जोखिम गणना और प्राथमिकता: मैट्रिक्स/स्कोर → सुधार कतार

सामान्य नेटवर्क भेद्यताएं और संभावना संकेतक

संभावना निर्धारण में आम गलतियां

• केवल CVSS आधार स्कोर का उपयोग करना: CVSS गंभीरता ≠ संभावना (पर्यावरण/अस्थायी मेट्रिक्स अनदेखी)
• खतरा खुफिया को अनदेखा करना: सक्रिय शोषण अभियान संभावना नाटकीय रूप से बढ़ाते हैं
• नियंत्रण प्रभावशीलता को अधिक आंकना: "हमारे पास फ़ायरवॉल है" ≠ "फ़ायरवॉल इस शोषण को ब्लॉक करता है"
• संदर्भ की अनदेखी: आंतरिक भेद्यता ≠ इंटरनेट-फेसिंग भेद्यता संभावना
• स्थिर मूल्यांकन: संभावना बदलती है (नया शोषण, खतरा अभिनेता गतिविधि, नियंत्रण परिवर्तन)

उपकरण और स्वचालन

निष्कर्ष

संभावना निर्धारण कला और विज्ञान दोनों है। सबसे प्रभावी दृष्टिकोण संरचित गुणात्मक ढांचे (NIST 800-30) को खतरा खुफिया (EPSS, KEV), पर्यावरणीय संदर्भ (एक्सपोज़र, नियंत्रण), और जहां संभव हो मात्रात्मक डेटा के साथ जोड़ता है। लक्ष्य सटीक भविष्यवाणी नहीं, बल्कि संसाधन आवंटन के लिए रक्षात्मक प्राथमिकता है।