Likelihood Determination (การกำหนดความน่าจะเป็น) คืออะไร?
ใน Risk Assessment (การประเมินความเสี่ยง) Likelihood = ความน่าจะเป็นที่ Threat Source (แหล่งภัยคุกคาม) จะ Exploit (ใช้ประโยชน์จาก) Vulnerability (ช่องโหว่) สำเร็จ และก่อให้เกิด Adverse Impact (ผลกระทบร้ายแรง) ต่อองค์กร
สูตรพื้นฐาน: Risk = Likelihood × Impact
ปัจจัยกำหนด Likelihood (NIST SP 800-30 / ISO 27005)
| ปัจจัย | คำอธิบาย | ตัวอย่างคำถามประเมิน |
|---|---|---|
| Threat Capability | ความสามารถของโจมตี (Skill, Resources, Tools, Motivation) | โจมตีเป็น Script Kiddie, Organized Crime, Nation-state? |
| Vulnerability Severity | ความรุนแรงของช่องโหว่ (CVSS Score, Exploit Availability) | CVSS 9.8 (Critical) มี Exploit Public / PoC / Weaponized? |
| Exposure / Attack Surface | ช่องโหว่เข้าถึงได้จากที่ไหน (Internet-facing, Internal, Air-gapped) | Port เปิดสู่ Internet? ต้อง Auth ก่อน? VPN Only? |
| Existing Controls | Control ที่มีอยู่ลด Likelihood ได้เท่าไร (Effectiveness) | มี WAF? IPS? MFA? Patch? Segmentation? Compensating Controls? |
| Threat Intelligence | มีการโจมตีช่องโหว่นี้จริงในธรรมชาติ (In the Wild)? | CISA KEV List? Exploit ใน Metasploit? Active Campaign? |
| Asset Value / Attractiveness | ทรัพย์สินนี้ "คุ้มค่า" ที่จะโจมตีหรือไม่ | Database ลูกค้า / Domain Controller / Public Web Server? |
| ระดับ | คำอธิบาย | ตัวอย่าง |
|---|---|---|
| Very High (Almost Certain) | โจมตีเกิดขึ้นซ้ำๆ อย่างต่อเนื่อง / ไม่มี Control ป้องกัน | Internet-facing RDP ไม่มี MFA, Unpatched Critical Vuln (Log4Shell) |
| High (Likely) | โจมตีเป็นไปได้ง่าย / Control มีแต่ไม่เพียงพอ | Phishing Targeted, Known Vuln ไม่ได้ Patch > 30 วัน |
| Medium (Possible) | โจมตีเป็นไปได้ / Control มีบางส่วน | Internal Lateral Movement ผ่าน SMBv1 ที่ยังเปิดอยู่ |
| Low (Unlikely) | โจมตียาก / Control แข็งแกร่ง / Asset ไม่น่าสนใจ | Air-gapped System, Fully Patched, MFA + Segmentation |
| Very Low (Rare) | โจมตีเกือบไม่เป็นไปได้ / Control ครบถ้วน | HSM-protected Keys, Formal Verification, Zero Trust + Hardware Root of Trust |
Quantitative Likelihood (ถ้ามีข้อมูลเพียงพอ)
- Annualized Rate of Occurrence (ARO): ความถี่ที่คาดว่าจะเกิดต่อปี (เช่น 0.1 = ครั้งใน 10 ปี, 12 = เดือนละครั้ง)
- คำนวณจาก: Historical Data, Industry Statistics (Verizon DBIR, ENISA Threat Landscape), Threat Intel Feeds, Monte Carlo Simulation
- ใช้คู่กับ Single Loss Expectancy (SLE) → Annualized Loss Expectancy (ALE) = SLE × ARO
เครื่องมือและแหล่งข้อมูลช่วยประเมิน Likelihood
- CVSS v3.1/v4.0: Base Score (Exploitability Sub-score: Attack Vector, Complexity, Privileges, User Interaction)
- CISA Known Exploited Vulnerabilities (KEV) Catalog: ต้อง Patch ด่วนที่สุด
- EPSS (Exploit Prediction Scoring System): ความน่าจะเป็น Exploit ใน 30 วัน (FIRST.org)
- MITRE ATT&CK: Mapping Vuln → Techniques → Likelihood โดยรู้ Tactics
- Threat Intel Feeds: AlienVault OTX, MISP, Commercial (Mandiant, CrowdStrike, IBM X-Force)
- Vulnerability Scanners: Nessus, Qualys, OpenVAS, Nuclei — ให้ CVSS, Exploit Available, Age
กระบวนการ Likelihood Determination แบบปฏิบัติ (Practical Workflow)
- Asset Inventory: รู้ว่ามีอะไร ไหน Critical (CMDB)
- Vulnerability Scan: Scan เน้น Critical/High Asset ก่อน
- Threat Mapping: Map CVE → MITRE ATT&CK → Threat Actors ที่เกี่ยวข้อง
- Control Effectiveness Assessment: Control ที่มีอยู่ บังคับ/ลด Likelihood ได้ระดับไหน (NIST 800-53 Control Baseline)
- Scoring: ใช้ Matrix (Likelihood × Impact) → Risk Rating (Critical/High/Medium/Low)
- Prioritization: Risk-based Prioritization (ไม่ใช่ CVSS Only) → Remediation Plan
- Continuous Monitoring: Likelihood เปลี่ยนได้ตลอดเวลา (New Exploit, New Threat Actor, Config Drift) → Re-assess
ผิดพลาดที่พบบ่อย (Common Pitfalls)
- ใช้ CVSS Score แทน Likelihood โดยตรง (CVSS = Severity ≠ Likelihood)
- มองเฉพาะ Technical Severity ลืม Context: Exposure, Controls, Threat Intel, Asset Value
- Overestimate/Underestimate Control Effectiveness (สมมติ Firewall บล็อกหมดจริงไหม?)
- ไม่ Update Likelihood เมื่อมี Threat Intel ใหม่ (Zero-day, Active Campaign)
- ไม่ Involve Business Owner ในการประเมิน Impact → Likelihood ผิดพลาด
สรุป
Likelihood Determination เป็น หัวใจของ Risk-based Vulnerability Management — ไม่ใช่แค่ดู CVSS ต้องวิเคราะห์ Threat Capability, Vulnerability Exploitability, Exposure, Control Effectiveness, Threat Intelligence, Asset Value ร่วมกัน ใช้ Qualitative (High/Med/Low) สำหรับ Operation และ Quantitative (ARO/ALE) สำหรับ Business Case/Investment Decision ทบทวนอย่างน้อยทุกไตรมาส หรือเมื่อมี Threat Landscape เปลี่ยนแปลง
