CVSS, EPSS ও KEV ভিন্ন ভিন্ন প্রশ্নের উত্তর দেয়

বেশিরভাগ প্রতিষ্ঠানের হাতে যত সময় আছে, ঠিক করার মতো দুর্বলতা তার চেয়ে বেশি। কোনটি আগে ঠিক করবেন তা ঠিক করতে তিনটি পাবলিক সংকেত সাহায্য করতে পারে, তবে প্রতিটি আলাদা প্রশ্নের উত্তর দেয়।

CVSS: সমস্যাটি কতটা খারাপ হতে পারে?

FIRST-এর রক্ষণাবেক্ষণ করা Common Vulnerability Scoring System ০ থেকে ১০ স্কেলে একটি দুর্বলতার কারিগরি তীব্রতা বর্ণনা করে। বেস স্কোর সবচেয়ে খারাপ যুক্তিসংগত অবস্থা ধরে নেয়। আপনার নেটওয়ার্ক বা কেউ এই ত্রুটিতে আক্রমণ করছে কি না, সে সম্পর্কে এটি কিছুই জানে না।

CVSS-এর ভিন্ন সংস্করণে একই ত্রুটির ভিন্ন স্কোর হতে পারে, তাই সংখ্যা তুলনা করার সময় সবসময় সংস্করণটি খেয়াল করুন।

EPSS: শিগগিরই শোষিত হওয়ার সম্ভাবনা কতটা?

FIRST-এর Exploit Prediction Scoring System অনুমান করে আগামী ৩০ দিনে একটি দুর্বলতা শোষিত হওয়ার সম্ভাবনা কত। নতুন প্রমাণ এলে এটি বদলায়। BDVDB স্কোরের সঙ্গে একটি সহজ লেবেল দেখায়:

এই লেবেলগুলো BDVDB-এর নিজস্ব সুবিধার জন্য। এগুলো EPSS মানদণ্ডের অংশ নয়।

KEV: এটি কি ইতিমধ্যে শোষিত হচ্ছে?

CISA-এর প্রকাশিত Known Exploited Vulnerabilities তালিকায় সেসব দুর্বলতা থাকে, যেগুলো সক্রিয়ভাবে শোষিত হওয়ার নির্ভরযোগ্য প্রমাণ আছে। তালিকায় থাকা একটি শক্তিশালী সংকেত। তালিকায় না থাকা খুব কমই কিছু বলে, কারণ তালিকাটি বাছাই করা।

তিনটি একসঙ্গে ব্যবহার

শুরু করার জন্য একটি যুক্তিসংগত ক্রম হলো:

1. KEV-তে থাকা যা কিছু আপনি ব্যবহার করেন, ইন্টারনেটে উন্মুক্ত সিস্টেম দিয়ে শুরু করে।
2. যেসব দুর্বলতার EPSS স্কোর বেশি এবং CVSS তীব্রতা উচ্চ বা সংকটপূর্ণ।
3. বাকি সংকটপূর্ণ ও উচ্চ দুর্বলতা, সিস্টেমটি কতটা উন্মুক্ত তার ভিত্তিতে।
4. বাকি সব, নিয়মিত রক্ষণাবেক্ষণের সময়।

আপনার নিজের প্রেক্ষাপট সবসময় গুরুত্বপূর্ণ। আপনার পাবলিক লগইন পৃষ্ঠার একটি মাঝারি সমস্যা, বিচ্ছিন্ন পরীক্ষার মেশিনের একটি সংকটপূর্ণ সমস্যার চেয়ে বেশি গুরুত্বপূর্ণ হতে পারে।