এক্সপ্লয়েট প্রেডিকশন স্কোরিং সিস্টেম (EPSS) আধুনিক নিরাপত্তা দলগুলোর হুমকি মোকাবেলার পদ্ধতিকে বদলে দিচ্ছে। ক্রমবর্ধমান আলোচনায়... সিভিএসএস বনাম ইপিএসএসএক্ষেত্রে পার্থক্যটা স্পষ্ট। CVSS যেখানে গুরুতরতার উপর আলোকপাত করে, সেখানে EPSS বাস্তব জগতে এর অপব্যবহারযোগ্যতার দিকে মনোযোগ আকর্ষণ করে। এই পার্থক্যটি গুরুত্বপূর্ণ—কারণ প্রতিটি উচ্চ-গুরুত্বপূর্ণ সমস্যার প্রতিক্রিয়া দেখানোর পরিবর্তে, দলগুলো আক্রমণকারীরা আসলে কী ব্যবহার করছে তার উপর মনোযোগ দিতে পারে। EPSS স্কোরিং ব্যবহার করে, সংস্থাগুলো তাদের দুর্বলতা ব্যবস্থাপনার পদ্ধতি উন্নত করে এবং যেগুলো প্রকৃত ঝুঁকি তৈরি করে, সেগুলো সমাধান করে।
প্রতি বছর, এর চেয়ে বেশি প্রতি বছর ২০,০০০ নতুন CVE. স্বাভাবিকভাবেই, এই সবকিছুর সাথে তাল মিলিয়ে চলা কঠিন। অনেক দলই শেষ পর্যন্ত ক্লান্ত হয়ে পড়ে, এমন সব বিষয় পর্যালোচনা করতে ঘণ্টার পর ঘণ্টা ব্যয় করে যা হয়তো কখনোই কোনো আক্রমণের কারণ হবে না। এর ফলে সময়ের অপচয় হয়, প্রতিক্রিয়া ধীর হয়ে যায় এবং এমন কাজের তালিকা দীর্ঘ হতে থাকে যা কখনোই শেষ হয় বলে মনে হয় না।
এটা কোথায় ইপিএসএস বনাম সিভিএসএস প্রকৃত প্রভাব ফেলে। EPSS মনোযোগ সরিয়ে দেয় যা থেকে হতে পারে কীসের জন্য ঝুঁকিপূর্ণ হবে সম্ভবত শীঘ্রই লক্ষ্যবস্তু করা হবে। এর ফলে, দলগুলো আরও দ্রুত কাজ করতে পারবে, অপ্রয়োজনীয় কাজ কমাতে পারবে এবং যা সত্যিই গুরুত্বপূর্ণ তা সমাধানে সময় ব্যয় করতে পারবে।
EPSS বনাম CVSS: মূল পার্থক্যসমূহ
CVSS এবং EPSS-এর মধ্যে তুলনা করলে, পার্থক্যটি হলো প্রতিটি স্কোর আপনাকে কী বলে:
সিভিএসএস উপর দৃষ্টি নিবদ্ধ করে সম্ভাব্য তীব্রতা একটি দুর্বলতা—এটি কতটা ক্ষতিকর পারা হও।
ইপিএসএস ভবিষ্যদ্বাণী করে শোষণের সম্ভাবনা বাস্তব জগতে—এর সম্ভাবনা কতটা ইচ্ছা লক্ষ্যবস্তু হওয়া।
CVSS এক্সপ্লয়েটের জটিলতা, ব্যবহারকারীর মিথস্ক্রিয়া এবং প্রভাব বিবেচনা করলেও, আক্রমণকারীরা সক্রিয়ভাবে দুর্বলতাটি ব্যবহার করছে কিনা তা এতে অন্তর্ভুক্ত করা হয় না। EPSS থ্রেট টেলিমেট্রি, এক্সপ্লয়েট কোডের সহজলভ্যতা এবং আক্রমণের ধরণকে অন্তর্ভুক্ত করার মাধ্যমে এই শূন্যস্থান পূরণ করে।
অনুসারে ইপিএসএস গবেষণাপরিচিত দুর্বলতাগুলোর মধ্যে ২%-এরও কমের উচ্চ EPSS স্কোর রয়েছে। এর বিপরীতে, অনেক গুরুতর CVSS সমস্যা সাইবার অপরাধীদের নাগালের বাইরেই থেকে যায়। এটি তুলে ধরে যে কীভাবে EPSS স্কোরের দুর্বলতা অপ্রয়োজনীয় বিষয় বাদ দিতে সাহায্য করে, যার ফলে দলগুলো বিশ্বাসযোগ্য ও সাম্প্রতিক হুমকির ওপর মনোযোগ দিতে পারে।
EPSS এবং CVSS কি একসাথে কাজ করতে পারে?
অবশ্যই—এবং তাদের তা করা উচিত।
একটি ভারসাম্যপূর্ণ দুর্বলতা ব্যবস্থাপনা কৌশলে EPSS এবং CVSS একে অপরের পরিপূরক হিসেবে কাজ করে।
ব্যবহার সিভিএসএস মূল্যায়ন কতটা খারাপ একটি দুর্বলতা হতে পারে।
ব্যবহার ইপিএসএস মূল্যায়ন কতটা সম্ভব এর অপব্যবহার করা হবে।
এই দ্বি-স্তরীয় পদ্ধতি আরও উন্নত বাছাই প্রক্রিয়াকে সমর্থন করে। উদাহরণস্বরূপ:
একটি দুর্বলতা সহ উচ্চ CVSS + উচ্চ EPSS অবিলম্বে এটি ঠিক করুন।
উচ্চ CVSS + নিম্ন EPSS নিবিড়ভাবে পর্যবেক্ষণ করুন, কিন্তু অগ্রাধিকার কমিয়ে দিন।
নিম্ন CVSS + উচ্চ EPSS তদন্ত করুন; আক্রমণকারীরা হয়তো এটিকে অন্যান্য ত্রুটির সাথে জুড়ে দিচ্ছে।
সেই অনুযায়ী, যে দলগুলো ইপিএসএস এবং সিভিএসএস পাশাপাশি তুলনা করে, তারা কীসের এবং কখন প্রতিকার করতে হবে সে সম্পর্কে আরও স্পষ্ট ধারণা লাভ করে।
EPSS-এর মাধ্যমে বাস্তব-জগতভিত্তিক অগ্রাধিকার নির্ধারণ
উদাহরণস্বরূপ, কল্পনা করুন আপনার সিস্টেম দুটি CVE চিহ্নিত করেছে:
জন্য CVE-2024-99999
CVSS: ৯.৮ (গুরুতর)
EPSS: ০.০৩ (কম শোষণযোগ্যতা)জন্য CVE-2024-12345
CVSS: ৬.১ (মাঝারি)
ইপিএসএস: ০.৮৬ (শোষণের উচ্চ সম্ভাবনা)
আপনার প্রথমে কোনটি ঠিক করা উচিত? অনেক প্রচলিত কর্মপ্রক্রিয়া গুরুতর CVSS দুর্বলতাকে অগ্রাধিকার দেয়। তবে, EPSS এই ধারাটি উল্টে দেয়—প্রকৃতপক্ষে যা শোষিত হচ্ছে, আপনি সে অনুযায়ী পদক্ষেপ নেন।শুধু যা নয় পারা বিপজ্জনক হতে পারে।
এই পরিবর্তন দলগুলোকে সুযোগ দেয় মিথ্যা ইতিবাচকতা হ্রাস করুনসময় বাঁচান এবং প্রতিকারের গতি বাড়ান।
কেন EPSS স্কোর দুর্বলতা ব্যবস্থাপনা একটি যুগান্তকারী পরিবর্তন
EPSS শুধু উন্নততর প্যাচিং-ই প্রদান করে না—এটি বৃহৎ পরিসরে নিরাপত্তা নিশ্চিত করে:
ডায়নামিক স্কোরিংEPSS প্রতিদিন আপডেট হয়, যা সর্বশেষ এক্সপ্লয়েট ইন্টেলিজেন্স প্রতিফলিত করে।
স্কেলেবিলিটিএটি হাজার হাজার দুর্বলতার ক্ষেত্রে কাজ করে, দলগুলোকে দ্রুত সমস্যা চিহ্নিত করতে সাহায্য করে।
নৈর্ব্যক্তিকতাসর্বজনীন তথ্য এবং উন্মুক্ত মডেলের ওপর ভিত্তি করে নির্মিত হওয়ায় ইপিএসএস যাচাইযোগ্য ও স্বচ্ছ।
নীতির প্রভাব: দ্বারা উল্লিখিত হিসাবে ফার্স্ট.অর্গইপিএসএস ইতিমধ্যেই জাতীয় পর্যায়ের প্রতিকারমূলক নীতিসমূহকে প্রভাবিত করছে (যেমন ডিএইচএস বিওডি ১৯-০২)।
তাছাড়া, EPSS স্কোর ভিত্তিক দুর্বলতা ব্যবস্থাপনা রক্ষাকারীদেরকে তাদের প্রচেষ্টা সবচেয়ে গুরুত্বপূর্ণ ক্ষেত্রে—অর্থাৎ প্রকৃত বিপদ সৃষ্টিকারী হুমকিগুলোর দিকে—কেন্দ্রীভূত করতে সাহায্য করে।
শুধু স্কোরিংয়ের বাইরে গিয়ে সঠিক সমস্যাগুলো সমাধান করা শুরু করতে চান?
দুর্বলতাগুলোকে কার্যকরভাবে অগ্রাধিকার দেওয়া এবং প্রতিকার করার উপায় জানতে আমাদের সম্পূর্ণ নির্দেশিকাটি দেখুন। জানুন কীভাবে প্রাপ্ত তথ্যকে আরও দ্রুত কাজে পরিণত করা যায়।
EPSS বনাম CVSS কোনো একটিকে বেছে নেওয়ার বিষয় নয়—বরং একসাথে ব্যবহার করাই শ্রেয়।
At জাইজেনিআমরা বিশ্বাস করি, CVSS বনাম EPSS কোনো লড়াই নয়—এটি একটি অংশীদারিত্ব। ভালনারেবিলিটি ম্যানেজমেন্টে এই দুটি স্কোরিং সিস্টেমই ভিন্ন ভিন্ন, কিন্তু সমান মূল্যবান ভূমিকা পালন করে। একারণেই Xygeni একটি সম্পূর্ণ, প্রেক্ষাপট-সচেতন অগ্রাধিকার মডেল তৈরি করতে EPSS এবং CVSS একসাথে ব্যবহার করে, যা বাস্তবসম্মত, দ্রুত এবং কার্যকর।
প্রতিটি দুর্বলতার ক্ষেত্রে, জাইজেনি দেখায়:
CVSS তীব্রতা সম্ভাব্য প্রভাব বুঝতে।
ইপিএসএস স্কোর শোষণের সম্ভাবনা মূল্যায়ন করা।
নাগালের বিশ্লেষণ ঝুঁকিপূর্ণ কোডটি আসলেই চলে কিনা তা যাচাই করতে।
প্রাসঙ্গিক তথ্য যেমন সম্পদের সংবেদনশীলতা এবং ব্যবসায়িক প্রাসঙ্গিকতা।
চলুন শুরু করা যাক জন্য CVE-2023-29827 উদাহরণস্বরূপ। এটি একটি সার্ভার-সাইড টেমপ্লেট ইনজেকশন সমস্যা যা প্রভাবিত করে ejs v3.1.9কাগজে-কলমে এর একটি সিভিএসএস স্কোর ৮.৬যা মারাত্মক তীব্রতা নির্দেশ করে। কিন্তু একটি ইপিএসএস স্কোর ৬২.৮%, এটি শীঘ্রই শোষিত হওয়ারও প্রবল সম্ভাবনা রয়েছে।
জাইজেনি এই সমস্ত তথ্য এক জায়গায় প্রদর্শন করে—তীব্রতা, শোষণযোগ্যতা, পৌঁছানোর ক্ষমতা, CWE-এর দুর্বলতা এবং ভার্সনের অবস্থা—যাতে টিমগুলো তাৎক্ষণিকভাবে বুঝতে পারে এটি কেন গুরুত্বপূর্ণ এবং এরপর কী করতে হবে।
প্রতিটি CVSS 9.8 দুর্বলতার প্রতি প্রতিক্রিয়া দেখানোর পরিবর্তেজাইজেনির প্ল্যাটফর্মটি দেখায় যে:
এটি আপনার কোডবেসে অ্যাক্সেসযোগ্য।
বন্য পরিবেশে এর ব্যাপক ব্যবহারযোগ্যতা রয়েছে।
এটি ব্যবসায়িক-গুরুত্বপূর্ণ সম্পদকে প্রভাবিত করে
এই স্তরবিন্যস্ত দৃশ্যমানতা সতর্কতাজনিত ক্লান্তি কমাতে, অপচয় হওয়া প্রচেষ্টা হ্রাস করতে এবং প্রকৃত গুরুত্বপূর্ণ ঝুঁকিগুলোর প্রতিকারের দিকে মনোযোগ দিতে সাহায্য করে।
যখন EPSS স্কোরিংকে CVSS তীব্রতা এবং রানটাইম কনটেক্সটের সাথে একত্রিত করা হয়, অগ্রাধিকার নির্ধারণ প্রতিক্রিয়াশীল না হয়ে সক্রিয় হয়ে ওঠে।জাইজেনি কোলাহলকে অন্তর্দৃষ্টিতে রূপান্তরিত করে নিরাপত্তা উন্নয়নে পথ দেখায়।cisDevSecOps টিমগুলোর দ্রুত কাজ করতে এবং সুরক্ষিত থাকতে যে স্বচ্ছতা প্রয়োজন, তা প্রদান করে।
