Pemindaian dan Inventaris Aset

Setiap program manajemen kerentanan bertumpu pada satu dasar: mengetahui apa yang Anda miliki. Inventaris aset yang akurat menentukan cakupan pemindaian; apa pun yang tidak tercantum di dalamnya menjadi titik buta yang tidak dipantau.

IT bayangan, instans komputasi awan yang terlupakan, dan kontainer yang tidak dikelola adalah tempat pembobolan keamanan bersembunyi. Buat inventaris terlebih dahulu, lalu lakukan pemindaian.

Inventaris modern mencakup lebih dari sekadar server:

• Mesin fisik dan virtual, laptop, serta perangkat jaringan.
• Instans komputasi awan, fungsi tanpa server, dan wadah penyimpanan.
• Kontainer dan citra.
• Perangkat lunak yang terpasang dan versi OS.
• Domain yang menghadap publik, IP, dan sertifikat.

Catat penanggung jawab, lingkungan, dan tingkat kekritisan untuk setiap aset, bukan hanya IP.

Penemuan aktif menyelidiki jaringan (sapuan ping, pemindaian porta) untuk menemukan mesin yang aktif. Cara ini menyeluruh, tetapi menghasilkan banyak lalu lintas dan dapat melewatkan aset yang sedang tidak aktif saat pemindaian berlangsung.

Penemuan pasif mengamati lalu lintas, DHCP, dan catatan untuk menemukan aset tanpa melakukan penyelidikan. Gabungkan keduanya: gunakan penemuan pasif untuk visibilitas yang selalu aktif, dan penemuan aktif untuk kedalaman serta verifikasi.

Pembedaan ini sangat memengaruhi akurasi:

• Pemindaian tanpa autentikasi melihat apa yang dilihat pihak luar: porta terbuka, informasi identitas layanan, dan layanan yang terekspos. Kedalamannya terbatas dan positif palsunya lebih banyak.
• Pemindaian terautentikasi (dengan kredensial) masuk dan membaca paket yang terpasang, tingkat penambalan, serta konfigurasi. Hasilnya jauh lebih akurat.

Utamakan pemindaian terautentikasi untuk aset internal; gunakan pemindaian tanpa autentikasi untuk melihat permukaan serangan eksternal.

Pemindai jaringan menghubungi aset sesuai jadwal; cara ini baik untuk cakupan luas, tetapi tidak dapat melihat mesin yang terputus atau hanya aktif sementara.

Agen yang terpasang pada titik akhir melaporkan secara terus-menerus, termasuk pada laptop yang berpindah-pindah dan beban kerja komputasi awan yang sementara. Banyak program menggabungkan keduanya: agen untuk titik akhir yang dikelola, dan pemindaian jaringan untuk perangkat Internet of Things/OT serta perangkat yang tidak dikelola.

Pemindai mencocokkan versi perangkat lunak dan konfigurasi yang diamati dengan basis data kerentanan yang menggunakan pengenal CVE dan CPE sebagai kunci.

• CVE — ID unik untuk kerentanan tertentu.
• CPE — nama baku untuk produk/versi.

Jika sebuah mesin menjalankan perangkat lunak yang dipetakan ke CPE yang diketahui memiliki CVE, pemindai akan menandainya. Akurasi bergantung pada deteksi versi yang benar.

Pemindai tidak sempurna:

• Positif palsu — ditandai, tetapi sebenarnya tidak dapat dieksploitasi (misalnya, perbaikan yang diterapkan ke versi lama menyembunyikan versi sebenarnya).
• Negatif palsu — terlewat karena autentikasi gagal, porta diblokir, atau perangkat lunak tidak dikenal.

Pemindaian terautentikasi dan validasi mengurangi keduanya. Selalu sesuaikan dan verifikasi hasil sebelum meneruskan temuan kepada tim remediasi.

Pemindaian berdampak pada operasional. Rencanakan hal-hal berikut:

• Batasi lajunya agar tidak membebani sistem rapuh atau sistem OT/lama.
• Jadwalkan pemindaian berat pada jendela pemeliharaan.
• Gunakan mode pemeriksaan aman; hindari pengaya yang mengganggu pada lingkungan produksi.
• Koordinasikan dengan NOC agar pemindaian tidak disalahartikan sebagai serangan.

Pemindaian yang membuat pengendali produksi mogok akan membuat Anda kehilangan mandat program.

Aset komputasi awan bersifat sementara, sehingga inventaris statis cepat usang. Gunakan penemuan berbasis antarmuka pemrograman aplikasi:

• Telusuri antarmuka pemrograman aplikasi penyedia komputasi awan untuk menemukan instans, fungsi, wadah penyimpanan, dan grup keamanan.
• Pindai citra kontainer di registri, bukan hanya kontainer yang sedang berjalan.
• Beri label pada sumber daya saat dibuat agar kepemilikan tercatat otomatis.

Integrasikan pemindaian ke dalam integrasi dan pengiriman berkelanjutan agar citra diperiksa sebelum diterapkan.

Inventaris hanya berguna jika selalu mutakhir. Bangun inventaris dari sumber yang tepercaya:

• Selaraskan pemindaian jaringan, agen, dan antarmuka pemrograman aplikasi komputasi awan ke dalam satu sumber kebenaran (CMDB).
• Tandai aset yang tidak terdeteksi selama N hari untuk ditinjau.
• Beri peringatan tentang aset baru atau tidak terduga (kemungkinan IT bayangan).

Persentase cakupan (aset yang dipindai dibandingkan dengan aset yang diketahui) adalah metrik inti program.

Inventaris dan hasil pemindaian menghasilkan temuan, tetapi konteks mengubahnya menjadi risiko. Memberi label pada aset dengan tingkat kekritisan, paparan, dan sensitivitas data memungkinkan Anda menentukan prioritas: server aset paling vital yang menghadap internet memiliki peringkat lebih tinggi daripada VM pengujian terisolasi dengan CVE yang sama.

Konteks aset ini langsung digunakan dalam teknik penentuan prioritas yang akan dibahas berikutnya.

Pastikan alasan pemindaian dengan kredensial penting.

Inventaris yang akurat adalah dasar VM: lacak mesin, komputasi awan, kontainer, perangkat lunak, dan permukaan eksternal beserta penanggung jawab dan tingkat kekritisannya. Gabungkan penemuan aktif dan pasif, utamakan pemindaian terautentikasi/berbasis agen untuk akurasi, serta perhitungkan positif/negatif palsu dan keamanan pemindaian.

Jaga inventaris tetap mutakhir melalui rekonsiliasi berbasis antarmuka pemrograman aplikasi, dan berikan konteks pada aset agar temuan dapat ditentukan prioritasnya. Selanjutnya: cara menentukan hal yang harus diperbaiki terlebih dahulu menggunakan CVSS, EPSS, dan KEV.