Penilaian Risiko

Daftar kerentanan saja tidak cukup. Klien perlu mengetahui kerentanan mana yang harus diperbaiki terlebih dahulu.

Penilaian risiko mengubah pendapat subjektif menjadi peringkat yang konsisten dan dapat dipertanggungjawabkan, sehingga semua pihak dapat menyepakatinya.

Common Vulnerability Scoring System (CVSS) adalah standar industri untuk menilai tingkat keparahan kerentanan pada skala 0 hingga 10.

CVSS dikelola oleh FIRST dan digunakan dalam National Vulnerability Database. CVSS v3.1 dan v4.0 adalah versi saat ini.

Skor CVSS dipetakan ke kelompok tingkat keparahan yang memiliki nama. Nama-nama ini menentukan cara laporan dibaca.

Gunakan kelompok yang sama di seluruh bagian laporan Anda.

Skor dasar CVSS menjelaskan karakteristik intrinsik suatu kerentanan yang tidak berubah seiring waktu.

Skor ini terbagi menjadi metrik kemudahan eksploitasi dan dampak.

• Vektor Serangan, Kompleksitas Serangan, Hak Istimewa yang Diperlukan, Interaksi Pengguna.
• Dampak terhadap Kerahasiaan, Integritas, dan Ketersediaan.

Skor CVSS dikirim dalam bentuk rangkaian vektor yang ringkas. Dengan mempelajari cara membacanya, Anda dapat menjelaskan dasar setiap skor.

Setiap pasangan terdiri atas metrik dan nilainya.

Selain skor dasar, CVSS menyediakan metrik temporal (apakah tersedia eksploitasi publik?) dan metrik lingkungan (seberapa penting aset ini bagi klien tersebut?).

Penilaian lingkungan memungkinkan Anda menaikkan atau menurunkan skor dasar sesuai konteks klien.

Skor dasar CVSS yang tinggi tidak selalu berarti risiko bisnis yang tinggi. Kesalahan kritis pada mesin pengujian yang terisolasi tidak sepenting kesalahan tingkat sedang pada server pembayaran.

Selalu gabungkan CVSS dengan konteks bisnis saat menentukan prioritas.

Model penentuan prioritas yang sederhana dan tangguh adalah risiko = kemungkinan x dampak.

Kemungkinan mempertimbangkan kemudahan eksploitasi dan paparan; dampak mempertimbangkan apa yang diperoleh penyerang. Matriks 5x5 membuatnya mudah dilihat.

Urutkan temuan agar klien memperbaiki masalah yang paling berbahaya dan paling mudah dijangkau terlebih dahulu.

Aturan praktisnya: masalah dengan tingkat Kritis atau Tinggi yang dapat diakses dari internet dan mudah dieksploitasi ditempatkan di urutan teratas.

Selalu tampilkan rangkaian vektor dan alasan di balik setiap skor. Klien mungkin mengajukan keberatan, dan skor yang transparan mudah dipertanggungjawabkan.

Jangan hanya menulis angka. Tuliskan angka, vektor, dan satu kalimat yang menjelaskan alasannya.

Anda tidak perlu menghitung CVSS secara manual. Gunakan kalkulator CVSS resmi FIRST atau kalkulator bawaan pada platform pelaporan Anda.

Tempelkan vektornya untuk memastikan siapa pun dapat mengulangi dan memverifikasi skor tersebut.

Anda telah mempelajari cara menilai dan menentukan prioritas risiko.

• CVSS menilai tingkat keparahan dari 0 hingga 10 berdasarkan metrik dasar, temporal, dan lingkungan.
• Kelompok tingkat keparahan: Tidak Ada, Rendah, Sedang, Tinggi, Kritis.
• Rangkaian vektor membuat skor dapat diulangi dan dipertanggungjawabkan.
• Risiko bisnis = kemungkinan x dampak, bukan hanya CVSS.
• Prioritaskan masalah kritis yang dapat diakses dari internet terlebih dahulu.

Selanjutnya, Anda akan mempelajari cara menulis temuan yang jelas dan dapat ditindaklanjuti.