Pemindai kerentanan dapat menghasilkan ratusan temuan, tetapi mengidentifikasi kelemahan hanyalah permulaan. Tim masih perlu menentukan aset yang terpengaruh, potensi eksploitasi, risiko bisnis, kepemilikan, dan apakah perbaikan berhasil.
Penilaian kerentanan menyatukan konteks tersebut. Proses ini menggabungkan penemuan, validasi, prioritas risiko, kepemilikan, dan verifikasi sehingga tim dapat fokus pada kelemahan yang memerlukan tindakan. Panduan ini menjelaskan prosesnya di berbagai titik akhir, jaringan, aplikasi, API, lingkungan cloud, dan basis data.
Apa Itu Penilaian Kerentanan?
Penilaian kerentanan adalah tinjauan sistematis terhadap sistem, aplikasi, konfigurasi, dan proses untuk mengidentifikasi kelemahan keamanan dan menentukan risikonya bagi organisasi. Biasanya, penilaian ini menggabungkan pemindaian otomatis dengan validasi, konteks aset, dan perencanaan perbaikan.
Kerentanan dapat terjadi pada perangkat lunak, layanan jaringan, izin cloud, aplikasi web, API, kontainer, basis data, dan konfigurasi perangkat. Kerentanan tersebut mungkin terkait dengan CVE yang dikenal atau antarmuka admin yang terekspos.
Penilaian kerentanan lebih luas daripada manajemen endpointPemindai khusus dan alat keamanan dapat mengidentifikasi kelemahan di seluruh aplikasi, jaringan, beban kerja cloud, API, dan infrastruktur lainnya. Untuk endpoint yang dikelola, Scalefusion dapat berpartisipasi di tahap selanjutnya dalam alur kerja ketika temuan memerlukan patch yang didukung atau tindakan kepatuhan endpoint, membantu tim TI beralih dari risiko yang teridentifikasi menuju perbaikan dan verifikasi.
Apa yang ditemukan dalam penilaian kerentanan
Tergantung pada cakupannya, penilaian kerentanan dapat mengidentifikasi:
- Patch sistem operasi, firmware, dan aplikasi yang hilang
- Perangkat lunak yang tidak didukung, pengaturan default yang tidak aman, dan enkripsi yang lemah.
- Port yang terbuka, layanan, alat akses jarak jauh, dan kesalahan konfigurasi nirkabel
- Kelemahan aplikasi web dan API yang diketahui, termasuk masalah otentikasi dan validasi input.
- Izin cloud yang berlebihan, penyimpanan publik, rahasia yang terekspos, dan risiko citra kontainer.
- Perangkat yang tidak lagi memenuhi standar keamanan yang dipersyaratkan oleh organisasi.
Penilaian tidak membuktikan bahwa setiap temuan dapat dimanfaatkan. Penilaian tersebut menetapkan di mana potensi risiko mungkin ada dan isu mana yang perlu diselidiki atau ditindaklanjuti terlebih dahulu.
Apa yang seharusnya dihasilkan dari penilaian akhir?
Untuk setiap temuan yang bermakna, laporan harus mencatat aset yang terpengaruh, deskripsi teknis, bukti, skor CVE dan CVSS jika berlaku, kemungkinan eksploitasi, dampak bisnis, perbaikan yang direkomendasikan, pemilik, tenggat waktu perbaikan, dan status verifikasi.
Laporan tersebut juga harus menunjukkan cakupan yang dicapai, temuan penting, risiko yang diterima, perbaikan yang tertunda, akar penyebab yang berulang, dan keputusan yang dibutuhkan dari pimpinan.
Mengapa Penilaian Kerentanan Itu Penting
Setiap titik akhir baru, beban kerja cloud, rilis aplikasi, dan perubahan konfigurasi dapat meningkatkan potensi serangan. Penilaian rutin membantu tim melihat celah sebelum penyerang atau insiden mengeksposnya.
Mengurangi risiko sebelum penyerang mengeksploitasi kelemahan.
Penyerang sering memanfaatkan kelemahan yang diketahui dan dapat dicegah: server yang belum diperbarui, perangkat VPN yang rentan, lingkungan pengembangan yang terekspos, atau kredensial yang digunakan kembali. Penilaian kerentanan berkala membantu mengidentifikasi masalah ini sejak dini dan mengurangi waktu kerentanan tersebut tersedia untuk dieksploitasi.
Hal ini juga mendukung manajemen patch berbasis risiko. Alih-alih meminta tim untuk memperbaiki setiap temuan sekaligus, penilaian tersebut mengidentifikasi sistem yang terekspos, aset yang terhubung ke internet, celah keamanan yang dapat dieksploitasi, dan layanan bisnis bernilai tinggi yang memerlukan perhatian segera. Katalog Kerentanan yang Diketahui CISA merupakan salah satu sinyal yang berguna untuk menentukan apakah kelemahan yang diketahui sedang dieksploitasi secara aktif di lapangan.
Mendukung kepatuhan, audit, dan kepercayaan pemangku kepentingan.
Kerangka kerja keamanan dan ulasan pelanggan seringkali mengharapkan bukti manajemen kerentanan. Tergantung pada ruang lingkupnya, bukti penilaian dapat berkontribusi pada aktivitas pengendalian keamanan, audit, atau manajemen risiko. PCI DSS, ISO 27001, NIST panduan, atau panduan CIS. Persyaratan bervariasi tergantung kerangka kerja.
Bagi auditor dan pelanggan, bukti terkuat adalah jejak yang dapat diulang mengenai ruang lingkup, temuan, kepemilikan, status perbaikan, pengecualian, dan hasil pengujian ulang.
Jenis-Jenis Penilaian Kerentanan
Jenis penilaian bergantung pada lingkungan.
1. Penilaian jaringan, host, dan nirkabel
Penilaian jaringan memeriksa host yang dapat dijangkau, port terbuka, layanan yang terekspos, dan protokol yang tidak aman. Penilaian berbasis host memeriksa titik akhir untuk patch yang hilang, perangkat lunak yang usang, masalah konfigurasi, dan masalah hak akses. Pemindaian terautentikasi memberikan visibilitas patch dan perangkat lunak yang lebih mendalam.
Penilaian jaringan nirkabel bertujuan untuk mendeteksi titik akses ilegal, enkripsi Wi-Fi yang lemah, jaringan tamu yang tidak aman, dan perangkat yang tidak sah.
2. Penilaian aplikasi, API, dan basis data
Penilaian aplikasi berfokus pada situs web, backend seluler, dan aplikasi bisnis. Penilaian ini dapat mengidentifikasi kerentanan komponen, header yang tidak aman, kesalahan konfigurasi, dan kelemahan otentikasi. Penilaian API menambahkan pemeriksaan untuk otorisasi yang rusak, titik akhir yang terekspos, dan penanganan token yang lemah.
Penilaian basis data meninjau tingkat patch, kontrol akses, paparan jaringan, enkripsi, dan konfigurasi. Koordinasikan pemindaian untuk menghindari dampak pada beban kerja produksi.
3. Penilaian terhadap cloud, kontainer, dan permukaan serangan eksternal
Penilaian cloud meninjau manajemen identitas dan akses, penyimpanan publik, layanan yang terekspos, grup keamanan, dan penyimpangan konfigurasi. Penilaian kontainer dan Kubernetes menambahkan kerentanan citra, rahasia yang terekspos, izin beban kerja, dan konfigurasi klaster.
Penilaian permukaan serangan eksternal berfokus pada apa yang terlihat dari internet: domain, subdomain, sertifikat, layanan jarak jauh, IT bayangan, dan aset yang terekspos.
Proses Penilaian Kerentanan: Dari Lingkup hingga Perbaikan
Tetapkan ruang lingkup, aset, dan aturan penilaian.
Mulailah dengan inventaris aset saat ini. Tentukan apa yang akan dinilai, siapa pemilik setiap aset, lingkungan yang termasuk, jendela pemindaian, kredensial, dan aturan penanganan data. Sertakan akun cloud, titik akhir jarak jauh, integrasi SaaS, dan pihak ketiga jika relevan.
Klasifikasikan aset berdasarkan tingkat kepentingan bisnis dan sensitivitas data sebelum melakukan pemindaian. Temuan kritis pada sistem pengujian terisolasi tidak sama dengan temuan yang sama pada layanan pembayaran yang terhubung ke internet.
Pindai, validasi, dan prioritaskan temuan.
Lakukan pemindaian terautentikasi dan tidak terautentikasi yang sesuai, lalu perkaya hasilnya dengan data aset, paparan, dan ancaman. Validasi temuan berdampak tinggi dan tentukan apakah kontrol kompensasi mengurangi risiko.
Prioritaskan penggunaan lebih dari sekadar tingkat keparahan pemindaian. Keputusan risiko praktis mempertimbangkan CVSS, ketersediaan eksploitasi, bukti eksploitasi aktif, probabilitas EPSS, paparan internet, kekritisan aset, data sensitif, kemudahan pergerakan lateral, dan kontrol yang tersedia. Gunakan CVE pengidentifikasi untuk melacak kelemahan yang diketahui, tetapi ingat bahwa CVSS mengukur tingkat keparahan teknis, bukan risiko bisnis secara keseluruhan.
Laporkan, perbaiki, dan verifikasi perbaikannya.
Buat tiket perbaikan dengan pemilik yang jelas, tanggal jatuh tempo, panduan perbaikan, dan bukti. Tim dapat menambal perangkat lunak, mengubah konfigurasi, menghilangkan kerentanan, merotasi rahasia, atau menerapkan kontrol sementara. Dokumentasikan pengecualian dengan tanggal kedaluwarsa dan pemilik risiko yang bertanggung jawab.
Setelah perbaikan, uji ulang aset yang terpengaruh. Jangan menutup temuan hanya karena patch telah diterapkan; verifikasi bahwa masalah tersebut tidak lagi terdeteksi. Tinjau pola yang berulang untuk mengatasi akar penyebabnya.
Ketika penilaian mengidentifikasi kelemahan yang dapat ditambal atau terkait kebijakan pada endpoint yang dikelola, tim TI memerlukan perbaikan yang terkontrol dan visibilitas status endpoint sehingga temuan prioritas dapat segera ditangani.
Ketika temuan pada endpoint yang dikelola dapat diperbaiki dengan patch yang tersedia, Scalefusion Manajemen Tambalan Otomatis Dapat membantu tim TI mengontrol penyebaran pembaruan dan memantau status patch yang dihasilkan. Administrator dapat meninjau pembaruan yang terinstal, tertunda, atau gagal, dan menggunakan laporan patch untuk melacak riwayat pembaruan di seluruh perangkat yang dikelola.
Daftar Periksa Penilaian Kerentanan
Gunakan daftar periksa ini untuk memastikan hasil penilaian menghasilkan pekerjaan yang dapat dipertanggungjawabkan dan dapat ditindaklanjuti.
Sebelum penilaian
- Konfirmasikan tujuan, cakupan, pengecualian, dan aturan keterlibatan.
- Lakukan rekonsiliasi inventaris aset dengan akun cloud, titik akhir, aplikasi, dan API.
- Identifikasi pemilik aset, tingkat kepentingan bisnis, data sensitif, dan jadwal pemeliharaan.
- Pilih metode pemindaian, kredensial, batasan laju, dan kontak eskalasi.
- Tetapkan kriteria tingkat keparahan, SLA perbaikan, dan proses pengecualian.
Selama penilaian
- Jalankan penemuan dan pemindaian yang disetujui terhadap lingkungan yang tercakup.
- Gunakan pemindaian terautentikasi jika sesuai dan aman untuk dilakukan.
- Korelasikan temuan dengan data CVE, peringatan dari vendor, dan konteks aset.
- Validasi hasil yang kritis dan berisiko tinggi sebelum menindaklanjutinya.
- Catat bukti, versi yang terpengaruh, detail paparan, dan dampak bisnis.
Setelah penilaian
- Tetapkan penanggung jawab dan tenggat waktu untuk remediasi berdasarkan risiko.
- Publikasikan laporan yang mencakup risiko terbuka, risiko yang diterima, dan kesenjangan cakupan.
- Lacak perbaikan, perubahan konfigurasi, dan kontrol kompensasi hingga selesai.
- Lakukan pengujian ulang terhadap temuan yang telah diperbaiki dan akhiri hanya dengan bukti.
- Tinjau tren dan jadwalkan penilaian berikutnya atau pemindaian ulang berdasarkan peristiwa tertentu.
Alat, Teknik, dan Sumber Data
Penilaian kerentanan yang efektif menggabungkan otomatisasi dengan penilaian manusia. Tidak ada satu alat pun yang memberikan cakupan lengkap.
Pemindai otomatis dan validasi manual
Pemindai kerentanan mengidentifikasi kelemahan yang diketahui di lingkungan yang luas. Kategori umum meliputi pemindai jaringan dan host, pemindai aplikasi web, analisis komposisi perangkat lunak, manajemen postur keamanan cloud, pemindaian citra kontainer, dan manajemen permukaan serangan.
Validasi manual membantu menentukan apakah temuan penting relevan dan dapat dimanfaatkan, mengurangi kesalahan positif, dan menghindari pekerjaan perbaikan yang kurang bernilai. Pengujian harus tetap diotorisasi dan mengikuti aturan keterlibatan yang telah disepakati.
Basis data kerentanan, intelijen ancaman, dan data aset.
Hasil pemindaian menjadi lebih bermanfaat bila dipadukan dengan sumber yang dapat diandalkan. Database Kerentanan Nasional menyediakan informasi kerentanan yang terstandarisasi, sementara pemberitahuan dari vendor menjelaskan produk yang terpengaruh dan perbaikannya. Intelijen ancaman, CISA KEV, dan kepemilikan aset menunjukkan di mana temuan tersebut paling penting.
Pemindaian terautentikasi vs pemindaian tidak terautentikasi
Pemindaian tanpa autentikasi menunjukkan apa yang mungkin dilihat oleh penyerang eksternal atau penyerang dengan hak akses rendah. Pemindaian ini menguji paparan publik dan konfigurasi perimeter. Pemindaian dengan autentikasi menggunakan kredensial atau agen yang disetujui untuk memeriksa tingkat patch, paket yang terinstal, konfigurasi, dan pengaturan keamanan.
Gunakan keduanya jika memungkinkan. Pemindaian tanpa autentikasi dapat mengungkap kerentanan yang terlewatkan oleh pemindaian internal, sementara pemindaian dengan autentikasi mengurangi titik buta di dalam sistem yang dikelola.
Praktik Terbaik dan Jebakan Umum dalam Penilaian Kerentanan
Kualitas alur kerja sama pentingnya dengan kualitas pemindai.
Prioritaskan berdasarkan risiko sebenarnya, bukan hanya tingkat keparahan hasil pemindaian.
Perlakukan CVSS sebagai titik awal, bukan antrian. Kerentanan yang dieksploitasi secara aktif pada aset yang terhubung ke internet dapat mengungguli masalah CVSS yang lebih tinggi pada sistem yang terisolasi. Tetapkan kriteria prioritas yang disepakati.
Mengurangi positif palsu dan titik buta
Validasi temuan berisiko tinggi dan pertahankan kepemilikan aset yang akurat. Cakupan akan lemah jika titik akhir, kontainer, aset SaaS, atau akun cloud hilang dari inventaris. Dokumentasikan pengecualian dan sistem yang tidak dapat dipindai sebagai risiko residual.
Ciptakan kepemilikan, SLA, dan ritme yang berkelanjutan.
Tim keamanan mengidentifikasi dan memberikan panduan; pemilik infrastruktur, DevOps, aplikasi, dan bisnis biasanya mengimplementasikan perbaikan. Tetapkan SLA perbaikan berdasarkan tingkat risiko, lacak pengecualian, dan sertakan hasilnya dalam alur kerja perubahan dan rilis. Tetapkan ritme penilaian berdasarkan tingkat kekritisan aset, paparan, frekuensi perubahan, dan persyaratan yang berlaku. Beberapa organisasi menilai lingkungan berisiko tinggi setiap bulan dan lingkungan berisiko rendah setiap triwulan, dengan pemindaian tambahan setelah perubahan besar, insiden, atau pengungkapan kerentanan yang signifikan.
Untuk temuan titik akhir yang terkait dengan aturan kepatuhan yang didukung, Veltar Kepatuhan Otomatis Dapat membantu tim memantau status kepatuhan, mengidentifikasi perangkat yang tidak patuh, mendukung perbaikan, dan menghasilkan laporan kepatuhan. Ini melengkapi alur kerja perbaikan; ini tidak menggantikan alat penilaian kerentanan yang menemukan kelemahan di seluruh jaringan, aplikasi, lingkungan cloud, atau infrastruktur lainnya.
Manajemen Kerentanan vs Penilaian Kerentanan vs Pengujian Penetrasi
Aktivitas-aktivitas ini saling tumpang tindih, tetapi menjawab pertanyaan yang berbeda.
Perbedaan setiap aktivitas
| Aktivitas | Tujuan utama | Keluaran biasa | Kapan menggunakannya? |
|---|---|---|---|
| Pemindaian kerentanan | Mendeteksi kemungkinan kelemahan yang diketahui. | Temuan teknis mentah | Untuk liputan teknis yang sering dan komprehensif. |
| Penilaian kerentanan | Validasi, prioritaskan, dan rencanakan perbaikan. | Laporan peringkat risiko dan rencana perbaikan | Ketika temuan memerlukan konteks aset, kepemilikan, dan prioritas perbaikan. |
| Manajemen kerentanan | Terus menerus menemukan, memperbaiki, memverifikasi, dan melaporkan. | Siklus hidup dan metrik yang berkelanjutan | Untuk menjalankan penilaian dan perbaikan sebagai program berkelanjutan. |
| Pengujian penetrasi | Manfaatkan kelemahan tertentu dengan aman untuk menunjukkan dampaknya. | Narasi serangan, bukti, dan rekomendasi | Untuk menguji dampak realistis atau efektivitas pengendalian yang penting. |
Kapan menggunakan masing-masing
Aktivitas-aktivitas ini bekerja paling baik sebagai lapisan yang saling melengkapi: pemindaian memberikan penemuan yang luas, penilaian menambahkan konteks dan prioritas, manajemen kerentanan mempertahankan siklus perbaikan, dan pengujian penetrasi menguji jalur serangan yang dipilih secara lebih mendalam.
Pertanyaan Umum Demo Slot
1. Apakah penilaian kerentanan sama dengan pemindaian kerentanan?
Tidak. Pemindaian kerentanan biasanya merupakan salah satu aktivitas dalam penilaian kerentanan lengkap. Penilaian juga mencakup definisi ruang lingkup, validasi, prioritas, pelaporan, kepemilikan, dan perencanaan perbaikan.
2. Seberapa sering penilaian kerentanan harus dilakukan?
Banyak organisasi melakukan penilaian lingkungan kritis setiap bulan atau triwulanan, tetapi ritme yang tepat bergantung pada risiko, volume perubahan, dan persyaratan peraturan. Lakukan penilaian tambahan setelah rilis besar, penerapan baru, perubahan cloud, insiden, merger, atau pengungkapan kerentanan berdampak tinggi.
3. Apa saja yang harus disertakan dalam laporan penilaian kerentanan?
Sertakan aset yang terpengaruh, deskripsi kerentanan, tingkat keparahan dan kemungkinan eksploitasi, dampak bisnis, bukti, panduan perbaikan, pemilik, tenggat waktu, pengecualian, risiko residual, dan hasil verifikasi. Ringkasan eksekutif juga harus menunjukkan cakupan, risiko kritis, tindakan yang tertunda, dan tren.
4. Dapatkah penilaian kerentanan menemukan kerentanan zero-day?
Penilaian paling efektif dalam menemukan kerentanan dan kesalahan konfigurasi yang sudah diketahui. Risiko zero-day mungkin memerlukan intelijen ancaman, pemantauan perilaku, tinjauan kode, tinjauan konfigurasi, rekayasa deteksi, atau pengujian penetrasi di samping penilaian rutin.
5. Apa perbedaan antara penilaian kerentanan dan pengujian penetrasi?
Penilaian kerentanan secara umum mengidentifikasi dan memprioritaskan kelemahan. Uji penetrasi berupaya mengeksploitasi kelemahan yang dipilih, dalam aturan yang disepakati, untuk menunjukkan dampak realistis dan jalur serangan.
6. Siapa yang bertanggung jawab untuk memperbaiki kerentanan setelah penilaian?
Tanggung jawab dibagi. Tim keamanan mengoordinasikan keputusan risiko; operasi TI, DevOps, pemilik aplikasi, dan tim cloud bersama-sama melakukan perubahan; dan pemimpin risiko menyetujui pengecualian. Kepemilikan yang jelas dan SLA perbaikan mencegah temuan menjadi tumpukan pekerjaan yang tertunda secara permanen.
Penilaian kerentanan hanya berharga jika mampu mengubah visibilitas menjadi pengurangan risiko yang terverifikasi. Mulailah dengan ruang lingkup dan konteks aset yang akurat, prioritaskan kelemahan yang dapat dimanfaatkan penyerang, tetapkan pekerjaan kepada pemilik yang bertanggung jawab, dan uji ulang setiap perbaikan penting.
Ubah temuan endpoint yang relevan menjadi pekerjaan perbaikan yang dapat dilacak dengan Scalefusion. Terapkan patch yang didukung, pantau status patch dan kepatuhan, perbaiki penyimpangan kepatuhan yang didukung, dan gunakan laporan endpoint untuk meninjau kemajuan di seluruh perangkat yang dikelola.
