ভালনারেবিলিটি স্ক্যানিং ও CVE/CVSS স্কোরিং

১ · CVE — একটি সর্বজনীন দুর্বলতার "নাম"

যখন একটি নতুন নিরাপত্তা দুর্বলতা আবিষ্কৃত ও নিশ্চিত হয়, তাকে একটি CVECommon Vulnerabilities and Exposuresএকটি পরিচিত, নিশ্চিত দুর্বলতার জন্য বরাদ্দকৃত ইউনিক পাবলিক আইডি — ফরম্যাট CVE-YYYY-NNNNN। ইন্ডাস্ট্রি-ওয়াইড রেফারেন্স হিসেবে ব্যবহৃত হয়। আইডি বরাদ্দ করা হয় — ফরম্যাট CVE-YYYY-NNNNN (যেমন CVE-2024-1001), যেখানে YYYY প্রকাশের বছর। এই একক, সর্বজনীন নামকরণ ব্যবস্থাই নিশ্চিত করে যে একজন গবেষক, একজন vendor, একজন pentester ও একটি স্ক্যানিং টুল — সবাই ঠিক একই দুর্বলতা নিয়ে কথা বলছে, ভিন্ন ভিন্ন নাম নয়।

২ · CVSS স্কোরিং — কীভাবে Severity পরিমাপ হয়

একটি CVE শুধু identify করে দুর্বলতাকে — এর severity কতটা গুরুতর তা বলে CVSSCommon Vulnerability Scoring Systemএকটি প্রমিত সিস্টেম যা একটি দুর্বলতার severity-কে ০.০ থেকে ১০.০ স্কেলে সংখ্যায়িত করে, একাধিক মেট্রিকের সমন্বয়ে। — একটি $0.0$ থেকে $10.0$ স্কেলে। কিছু মূল মেট্রিক —

৩ · Severity Bands ও CIA Triad-এর সংযোগ

চূড়ান্ত সংখ্যাসূচক স্কোরকে একটি গুণগত ব্যান্ডে ভাগ করা হয় (CVSS v3.1 স্ট্যান্ডার্ড রেফারেন্স ব্যান্ড) —

• Low: $0.1 \le \text{CVSS} \le 3.9$
• Medium: $4.0 \le \text{CVSS} \le 6.9$
• High: $7.0 \le \text{CVSS} \le 8.9$
• Critical: $9.0 \le \text{CVSS} \le 10.0$

৪ · হ্যান্ডস-অন: CVSS অনুযায়ী দুর্বলতা প্রায়োরিটাইজ করা

নিচের কোড সেলটি সম্পূর্ণ শিক্ষামূলক উদাহরণ — এখানে ব্যবহৃত CVE আইডি ও স্কোর কাল্পনিক, কোনো নির্দিষ্ট বাস্তব সফটওয়্যারকে নির্দেশ করছে না। L04-এ শেখা risk-based prioritization-এর ধারণাটিই এখানে CVSS স্কোরের সাথে প্রয়োগ করা হচ্ছে।

# কাল্পনিক, শিক্ষামূলক (cve_id, cvss_score) জোড়া — কোনো নির্দিষ্ট বাস্তব সফটওয়্যার নয়
vulnerabilities = [
    ("CVE-2024-1001", 9.8),   # Critical
    ("CVE-2023-2045", 7.2),   # High
    ("CVE-2022-3390", 5.4),   # Medium
    ("CVE-2021-4477", 3.1),   # Low
    ("CVE-2023-0099", 9.1),   # Critical
]

def classify_severity(score):
    """CVSS v3.1 স্ট্যান্ডার্ড রেফারেন্স ব্যান্ড অনুযায়ী শ্রেণীবদ্ধ করে।"""
    if score >= 9.0:
        return "Critical"
    elif score >= 7.0:
        return "High"
    elif score >= 4.0:
        return "Medium"
    else:
        return "Low"

report = [(cve, score, classify_severity(score)) for cve, score in vulnerabilities]
report.sort(key=lambda row: row[1], reverse=True)

print("দুর্বলতা রিপোর্ট — CVSS স্কোর অনুযায়ী প্রায়োরিটাইজড")
print("-" * 50)
for cve, score, severity in report:
    print(f"{cve:<16} CVSS {score:>4}  ->  {severity}")

৫ · কেন শুধু স্কোর যথেষ্ট নয়