Penilaian CVSS dan Prioritas Kerentanan

Setelah menjalankan pemindaian Vulnerability, organisasi dapat menemukan ratusan atau ribuan Vulnerabilities di seluruh Systems mereka. Mencoba menambal semuanya IMMEDIATELY bukanlah hal yang mungkin maupun strategis—sumber daya terbatas dan tidak semua Vulnerabilities memiliki tingkat risiko yang sama. Prioritisasi Vulnerability adalah proses mengurutkan Vulnerabilities berdasarkan risiko sebenarnya bagi organisasi, sehingga masalah yang paling berbahaya dapat ditangani terlebih dahulu. Prioritisasi yang efektif mencegah kesalahan umum berupa menambal masalah kecil yang hanya bersifat kosmetik, sementara Vulnerability eksekusi kode jarak jauh yang CRITICAL masih menunggu dalam antrean.

Common Vulnerability Scoring System (CVSS) adalah Framework terbuka yang menyediakan Score numerik terstandar (0.0-10.0) yang merepresentasikan tingkat keparahan Vulnerability keamanan. CVSS dikelola oleh FIRST (Forum of Incident Response and Security Teams) dan merupakan sistem Scoring utama yang digunakan dalam NVD (National Vulnerability Database). Versi saat ini, CVSS v3.1, menghitung Score berdasarkan tiga kelompok metrik: Base (karakteristik intrinsik Vulnerability), Temporal (faktor yang berubah seiring waktu), dan Environmental (pengubah khusus organisasi). Hanya Base Score yang wajib diisi; metrik lainnya merupakan penyempurnaan opsional.

Base Score dihitung dari dua kelompok metrik. Metrik Exploitability menjelaskan bagaimana Vulnerability dapat diserang: Attack Vector (AV)—Network (jarak jauh), Adjacent, Local, atau Physical; Attack Complexity (AC)—Low atau High; Privileges Required (PR)—None, Low, atau High; User Interaction (UI)—None atau Required. Vulnerability yang dapat dieksploitasi melalui Network tanpa autentikasi dan tanpa interaksi User memperoleh Score Exploitability tertinggi (AV:N/AC:L/PR:N/UI:N). Faktor-faktor ini digabungkan dengan metrik Impact untuk menghasilkan Base Score.

Metrik Impact mengukur konsekuensi pada tiga dimensi triad CIA jika Vulnerability dieksploitasi. Confidentiality Impact (C)—None, Low, atau High (seberapa banyak data yang dapat dibocorkan). Integrity Impact (I)—None, Low, atau High (seberapa banyak data yang dapat diubah). Availability Impact (A)—None, Low, atau High (seberapa besar gangguan layanan yang terjadi). Scope (S)—Unchanged atau Changed (apakah Impact Vulnerability meluas melampaui komponen yang rentan ke komponen atau Systems lain). Scope Changed berarti Vulnerability yang berhasil dieksploitasi dapat memengaruhi Systems di luar Scope awalnya, sehingga Score meningkat secara signifikan.

Metrik Temporal menyesuaikan Base Score berdasarkan faktor-faktor yang berubah seiring waktu. Exploit Code Maturity (E)—apakah Exploit yang berfungsi tersedia (Unproven, Proof-of-Concept, Functional, High). Vulnerability dengan Exploit bersenjata yang tersedia untuk publik lebih mendesak daripada Vulnerability yang belum memiliki Exploit yang diketahui. Remediation Level (RL)—Official Fix, Temporary Fix, Workaround, atau Unavailable. Vulnerability yang memiliki Patch resmi dari vendor memiliki tingkat urgensi lebih rendah dibandingkan Vulnerability tanpa perbaikan. Report Confidence (RC)—Unknown, Reasonable, atau Confirmed. Vulnerability yang Confirmed dan telah direproduksi secara luas dinilai lebih andal daripada laporan yang belum Confirmed.

Metrik Environmental memungkinkan organisasi menyesuaikan Score CVSS berdasarkan konteks spesifik mereka. Modified Base Metrics memungkinkan organisasi mengubah metrik Base apa pun agar mencerminkan lingkungan mereka (misalnya, Vulnerability yang dapat diakses melalui Network dapat memiliki AV:L jika layanan tersebut hanya dapat diakses secara lokal dalam konfigurasi spesifik mereka). Nilai CIA Requirement (Low, Medium, High) mencerminkan pentingnya setiap dimensi CIA bagi organisasi—rumah sakit dapat menilai Availability sebagai High untuk Systems pemantauan pasien, sedangkan lembaga penelitian dapat menilai Confidentiality sebagai yang tertinggi. Scoring Environmental membuat CVSS peka terhadap konteks dan lebih berguna untuk keputusan prioritisasi yang sebenarnya.

Tiga sistem terkait bekerja berdampingan dengan CVSS. CVE (Common Vulnerabilities and Exposures) adalah daftar Vulnerabilities keamanan yang diketahui publik, masing-masing memiliki identifier unik (CVE-2021-44228 adalah Log4Shell). CWE (Common Weakness Enumeration) mengategorikan jenis kelemahan perangkat lunak (CWE-79 adalah XSS, CWE-89 adalah SQL Injection)—sistem ini mengklasifikasikan akar penyebab, bukan satu kasus tertentu. NVD (National Vulnerability Database) memperkaya entri CVE dengan Score CVSS, referensi, rentang produk yang terdampak, dan tautan Remediation. Tim keamanan berlangganan NVD dan advisori vendor untuk menerima pemberitahuan tentang CVEs baru yang relevan dengan inventaris perangkat lunak mereka.

Score CVSS merepresentasikan tingkat keparahan teknis secara terpisah, tetapi tidak memperhitungkan konteks organisasi. Prioritisasi berbasis risiko mengubah urgensi Remediation berdasarkan: kekritisan Asset (ERP CRITICAL memiliki Priority lebih tinggi daripada server pengujian), Exploitability di dunia nyata (KEV milik CISA—katalog Known Exploited Vulnerabilities—mencantumkan CVEs yang sedang aktif dieksploitasi), Exposure (apakah sistem yang rentan menghadap Internet?), dan kontrol kompensasi (apakah ada WAF yang memblokir jalur Attack?). Vulnerability dengan CVSS 7.5 pada sistem bisnis CRITICAL yang menghadap Internet dan memiliki Exploit publik dapat jauh lebih mendesak daripada CVSS 9.0 pada server pengujian Internal yang terisolasi.

Beberapa Framework dan alat meningkatkan prioritisasi berbasis CVSS. EPSS (Exploit Prediction Scoring System) memperkirakan probabilitas CVE akan dieksploitasi di dunia nyata dalam 30 hari berikutnya, menggunakan pembelajaran mesin pada data intelijen ancaman. EPSS High + CVSS High = Priority tertinggi. SSVC (Stakeholder-Specific Vulnerability Categorization) adalah pohon keputusan CISA/Carnegie Mellon yang mempertimbangkan status Exploit, Impact terhadap keselamatan/infrastruktur CRITICAL, dan apakah sistem tersebut CRITICAL bagi misi. Framework ini membantu organisasi melampaui sekadar mengurutkan berdasarkan CVSS Score untuk membuat keputusan Remediation yang benar-benar berbasis risiko.

Profesional keamanan harus menerjemahkan Score CVSS teknis ke dalam bahasa bisnis untuk keputusan manajemen. Alih-alih mengatakan, “Kami memiliki RCE CVSS 9.8 tanpa autentikasi pada server web publik,” katakan, “Penyerang di Internet dapat mengambil alih sepenuhnya situs web yang diakses pelanggan tanpa kredensial apa pun, dan berpotensi mengakses seluruh 500.000 catatan pelanggan serta sistem pemrosesan pembayaran kami—kami perlu menerapkan Patch vendor atau membuat server offline dalam 24 jam.” Penyampaian Impact bisnis (data yang berisiko, kerugian finansial, konsekuensi regulasi) mendorong pengambilan keputusan eksekutif yang lebih cepat daripada Score mentah saja.

Prioritisasi Vulnerability hanya memberikan manfaat jika terhubung dengan proses manajemen Patch yang efektif. Siklus hidup manajemen Vulnerability mencakup: Identify (memindai), Analyze (CVSS + konteks), Prioritize (pengurutan risiko + SLA), Remediate (penerapan Patch melalui SCCM/Intune/Ansible), Verify (pemindaian ulang untuk Confirmed bahwa Patch telah diterapkan), dan Report (pelaporan tren kepada manajemen). Alat manajemen Patch mengotomatiskan penerapan dalam skala besar sekaligus melacak Systems mana yang telah ditambal dan mana yang masih terekspos. Penghitungan waktu SLA Remediation dimulai saat Vulnerability ditemukan, sehingga frekuensi pemindaian berhubungan langsung dengan rata-rata waktu Remediation.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari lesson ini.

Dalam lesson ini Anda mempelajari bahwa CVSS memberi Score pada Vulnerabilities dalam skala 0.0-10.0 menggunakan metrik Base (Exploitability + Impact), Temporal (kematangan Exploit + ketersediaan perbaikan), dan Environmental (konteks organisasi); katalog KEV milik CISA dan Score EPSS meningkatkan prioritisasi berbasis CVSS dengan mengidentifikasi Vulnerabilities yang sedang dieksploitasi di dunia nyata; serta manajemen Vulnerability yang efektif menghubungkan hasil pemindaian dengan alur kerja manajemen Patch melalui SLA yang ditetapkan berdasarkan tingkat keparahan. Modul manajemen Vulnerability ini selesai—selanjutnya kita akan membahas keamanan aplikasi dan OWASP Top 10.