Likelihood Determination (Xác định xác suất) trong Risk Assessment
Là bước ước tính xác suất một nguồn đe dọa khai thác thành công một lỗ hổng gây ra tác động tiêu cực. Kết hợp với Impact (Tác động) → tính Risk Level.
Công thức rủi ro cơ bản
Risk = Likelihood × Impact
- Likelihood (Xác suất): Bao nhiêu % đe dọa thành công khai thác lỗ hổng
- Impact (Tác động): Mức độ thiệt hại nếu sự kiện xảy ra (CIA: Confidentiality, Integrity, Availability)
Thang đo Likelihood (NIST SP 800-30 / ISO 27005)
| Mức độ | Định nghĩa | Xác suất định lượng | Ví dụ |
|---|---|---|---|
| Very High (Rất cao) | Gần như chắc chắn xảy ra trong năm | > 90% / năm | Internet-facing server chưa patch CVE-2021-44228 (Log4Shell), không WAF |
| High (Cao) | Có khả năng lớn xảy ra trong năm | 50-90% / năm | VPN không MFA, credential stuffing, phishing thành công |
| Medium (Trung bình) | Có thể xảy ra trong năm | 10-50% / năm | Internal server lỗi cấu hình, insider threat tiềm ẩn |
| Low (Thấp) | Khó xảy ra trong năm | 1-10% / năm | Air-gapped system, physical breach required |
| Very Low (Rất thấp) | Hiếm khi xảy ra | < 1% / năm | HSM bị tấn công side-channel, quantum break RSA-2048 |
Yếu tố ảnh hưởng Likelihood (Threat Likelihood Factors)
| Yếu tố | Tăng Likelihood | Giảm Likelihood |
|---|---|---|
| Threat Capability | Nation-state, APT, Ransomware gang | Script kiddie, opportunistic |
| Threat Motivation | Tài chính, gián điệp, hacktivism, cá nhân | Không có động cơ rõ ràng |
| Vulnerability Exposure | Internet-facing, public exploit (PoC), CVSS ≥ 7.0 | Internal only, no public exploit, CVSS < 4.0 |
| Existing Controls | Không có control, control yếu, misconfig | Defense in depth, WAF, MFA, Patch, Segmentation |
| Detectability | Khó phát hiện (encrypted, living off the land) | Dễ phát hiện (signature, anomaly, log) |
| Asset Value | High value (PII, IP, Crypto, Admin creds) | Low value (public web, test env) |
| Yếu tố | Đánh giá | Điểm |
|---|---|---|
| Threat Capability | Ransomware gang (high capability) | High |
| Vulnerability Exposure | Internet-facing, public exploit, CVSS 9.8 | Very High |
| Existing Controls | WAF (bypass được), No MFA, No patch 30 ngày | Low effectiveness |
| Asset Value | Domain Admin creds, access toàn bộ network | Critical |
| Likelihood Overall | Very High |
→ Action: Emergency patch ngay, bật MFA, block IP đáng nghi, isolate nếu cần
Công cụ hỗ trợ
- Vulnerability Scanner: Nessus, OpenVAS, Qualys, Tenable.io → CVSS, Exploit Available, Exploited in Wild
- Threat Intel: CISA KEV, AlienVault OTX, MITRE ATT&CK, Vendor Advisory
- GRC Platform: RSA Archer, ServiceNow GRC, RiskLens (FAIR), StandardFusion
- MITRE ATT&CK Navigator: Map technique → likelihood based on prevalence
Best Practices
- Cập nhật Threat Intelligence hàng ngày/tuần
- Định lượng hóa bằng data nội bộ (incident history, phishing click rate, patch latency)
- Review Likelihood khi: Threat landscape thay đổi, Control mới triển khai, Incident xảy ra
- Document rõ rationale (tại sao High? Tại sao không Medium?)
- Calibration: So sánh dự báo vs thực tế hàng năm để cải thiện độ chính xác
Kết luận
Likelihood determination không phải đoán mò - là quy trình có cấu trúc, dựa trên bằng chứng (evidence-based), kết hợp threat intel, vulnerability data, control effectiveness, asset context. Đầu ra trực tiếp quyết định ưu tiên sửa chữa (remediation priority) và đầu tư bảo mật.