Prioritas: CVSS, EPSS, dan KEV

Pemindaian perusahaan pada umumnya menghasilkan ribuan temuan. Anda tidak dapat memperbaiki semuanya sekaligus, sehingga penentuan prioritas memutuskan mana yang harus diremediasi terlebih dahulu. Jika dilakukan dengan benar, risiko nyata berkurang dengan cepat; jika keliru, upaya Anda terbuang untuk masalah teoretis sementara celah yang dieksploitasi tetap terbuka.

Tiga sumber data menjadi landasan penentuan prioritas modern: CVSS, EPSS, dan KEV.

Sistem Penilaian Kerentanan Umum (CVSS) menilai tingkat keparahan bawaan suatu kerentanan pada skala 0.0 hingga 10.0. Sistem ini mempertimbangkan vektor serangan, kompleksitas, hak istimewa yang diperlukan, serta dampaknya terhadap kerahasiaan, integritas, dan ketersediaan.

CVSS menjawab: seberapa parah dampaknya jika kerentanan ini dieksploitasi? CVSS tidak memberi tahu seberapa mungkin kerentanan tersebut dieksploitasi.

CVSS memiliki tiga kelompok metrik:

• Dasar — karakteristik bawaan yang tidak berubah (skor yang paling sering disebut orang).
• Sementara — perubahan seiring waktu (kematangan eksploitasi, tingkat remediasi).
• Lingkungan — konteks spesifik Anda (kepentingan aset, mitigasi).

Sebagian besar tim hanya menggunakan skor Dasar dan mengabaikan skor Lingkungan, padahal konteks inilah yang seharusnya menyesuaikan prioritas.

Melakukan penambalan hanya berdasarkan CVSS membebani tim: sebagian besar CVE mendapat skor Tinggi atau Kritis, tetapi hanya sebagian kecil yang pernah dieksploitasi di dunia nyata.

Memberikan prioritas yang sama pada setiap skor 9.8 berarti Anda mungkin menambal kerentanan yang sulit dijangkau sebelum kerentanan yang sedang digunakan dalam kampanye serangan pemerasan. Tingkat keparahan diperlukan, tetapi tidak cukup.

Sistem Penilaian Prediksi Eksploitasi (EPSS) memperkirakan probabilitas (0 hingga 1) bahwa suatu kerentanan akan dieksploitasi di dunia nyata dalam 30 hari berikutnya, berdasarkan data ancaman dunia nyata dan pembelajaran mesin.

EPSS menjawab: seberapa mungkin kerentanan ini benar-benar diserang dalam waktu dekat? CVE dengan EPSS 0.92 jauh lebih mendesak untuk ditangani daripada CVE dengan EPSS 0.001, meskipun nilai CVSS keduanya sama.

EPSS memberikan dua angka: probabilitas dan persentil (peringkat dibandingkan dengan semua CVE). Persentil 0.99 berarti kerentanan tersebut termasuk yang paling mungkin dieksploitasi.

Gunakan EPSS sebagai filter ambang batas: misalnya, eskalasikan apa pun yang melampaui probabilitas yang dipilih, terlepas dari CVSS. Evaluasi ulang secara berkala karena EPSS diperbarui setiap hari seiring perubahan lanskap ancaman.

CISA mengelola katalog Kerentanan yang Diketahui Telah Dieksploitasi (KEV): daftar CVE dengan eksploitasi yang telah dikonfirmasi dan diamati di dunia nyata.

Jika suatu CVE tercantum dalam KEV, kerentanan tersebut bukan sekadar teori; penyerang sedang menggunakannya. KEV adalah sinyal tunggal terkuat bahwa remediasi bersifat mendesak, dan lembaga federal US diwajibkan memperbaiki kerentanan KEV dalam tenggat waktu yang ditetapkan.

Sinyal-sinyal tersebut saling melengkapi:

• KEV — eksploitasi aktif yang telah dikonfirmasi (segera lakukan perbaikan).
• EPSS — kemungkinan eksploitasi dalam waktu dekat yang diprediksi.
• CVSS — dampak jika berhasil dieksploitasi.

Aturan praktisnya: semua yang tercantum dalam KEV menjadi prioritas tertinggi; setelah itu, urutkan berdasarkan EPSS tinggi dan CVSS tinggi dengan mempertimbangkan konteks aset Anda.

CVE yang sama dapat memiliki risiko nyata yang berbeda, bergantung pada asetnya. Kalikan skor teknis dengan konteks berikut:

• Apakah aset tersebut menghadap internet atau hanya digunakan secara internal?
• Apakah aset tersebut menyimpan data sensitif atau menjalankan layanan penting?
• Apakah kontrol kompensasi (WAF, segmentasi) telah diterapkan?

Ini adalah gagasan Lingkungan CVSS yang diterapkan secara terprogram: prioritaskan aset paling penting yang terekspos daripada sistem pengujian yang terisolasi.

Berikut model penilaian yang dapat diterapkan:

• Ada di KEV? → segera tangani, mengesampingkan semua hal lain.
• EPSS di atas ambang AND menghadap internet? → mendesak.
• CVSS tinggi, tetapi EPSS rendah dan bersifat internal? → antrean standar.
• Semua skor rendah? → kelompokkan bersama penerapan perbaikan rutin.

Dokumentasikan model tersebut agar prioritisasi selalu konsisten dan dapat dipertanggungjawabkan, bukan dilakukan secara serampangan.

Hindari kesalahan berikut:

• Menganggap CVSS Dasar sebagai keseluruhan gambaran risiko.
• Mengabaikan KEV karena CVSS terlihat sedang (sebagian entri KEV tidak memiliki skor 9+).
• Tidak pernah mengevaluasi ulang: EPSS dan KEV dapat berubah, jadi lakukan pemeringkatan ulang secara berkala.
• Melupakan konteks aset, yang dapat mengubah suatu temuan dari berisiko rendah menjadi kritis.

Pastikan Anda memahami hal yang sebenarnya diukur oleh setiap sinyal.

Prioritisasi memadukan tiga sinyal: CVSS untuk dampak, EPSS untuk kemungkinan eksploitasi yang diprediksi, dan KEV untuk eksploitasi aktif yang telah dikonfirmasi. Item dalam KEV memerlukan tindakan segera; selain itu, urutkan berdasarkan EPSS dan CVSS dengan mempertimbangkan keterpaparan serta nilai aset.

Hindari penerapan perbaikan hanya berdasarkan CVSS, lakukan pemeringkatan ulang saat data berubah, dan dokumentasikan modelnya. Berikutnya, kita akan mengubah temuan yang telah diprioritaskan menjadi perbaikan yang selesai melalui manajemen perbaikan dan SLA.