Ketika tim keamanan membicarakan kerentanan dan manajemen patch, dua istilah muncul hampir di mana-mana: CVE dan CVSS. Sering digunakan bersama, keduanya memainkan peran unik dalam menilai dan mengelola kerentanan.
CVE mengidentifikasi kerentanan keamanan siber yang diketahui publik, sedangkan CVSS menjelaskan seberapa parah kerentanan tersebut. Yang satu memberikan nama umum pada kerentanan tersebut, sementara yang lain memberikan cara terstruktur bagi tim untuk memahami potensi dampaknya.
Pada artikel ini, kita akan membahas perbedaan antara CVE dan CVSS, fungsi keduanya, dan mengapa penting untuk mengevaluasi keduanya dalam upaya menutup kerentanan.
Apa itu CVE?
Common Vulnerabilities and Exposures (CVE) adalah sistem standar untuk mengidentifikasi dan mengkatalogkan kerentanan keamanan siber yang diungkapkan secara publik. Setiap Catatan CVE yang diterbitkan memiliki ID CVE yang unik, memberikan cara yang konsisten bagi vendor, peneliti, alat keamanan, dan tim SecOps untuk merujuk pada kerentanan yang sama.
Otoritas Penomoran CVE (CNA) secara berkala menetapkan ID CVE dan menerbitkan Catatan CVE yang sesuai. ID CVE mengikuti format CVE-YYYY-NNNN. Tahun umumnya mencerminkan kapan ID CVE ditetapkan atau kapan kerentanan pertama kali diungkapkan kepada publik, sedangkan bagian terakhir adalah urutan unik yang berisi setidaknya empat digit.
Mengapa CVE penting?
Peran utama CVE adalah identifikasi standar. ID CVE memberikan referensi umum kepada vendor, peneliti, alat keamanan, dan pihak yang bertanggung jawab atas keamanan untuk membahas kerentanan yang sama di berbagai sistem, platform, atau teknologi tertentu.
Contoh CVE:
CVE-2021-44228 (Log4Shell): Kerentanan kritis pada versi Apache Log4j2 yang terpengaruh. Kerentanan ini memungkinkan penyerang yang mengendalikan input yang dicatat untuk memicu eksekusi kode jarak jauh dalam konfigurasi yang rentan.
Apa itu CVSS?
Common Vulnerability Scoring System (CVSS) adalah kerangka kerja untuk mengklasifikasikan, memberi peringkat, dan mengkomunikasikan tingkat keparahan teknis kerentanan perangkat lunak. Sementara CVE mengidentifikasi kerentanan, CVSS mengevaluasi karakteristik seperti kondisi yang diperlukan untuk eksploitasi dan potensi dampaknya terhadap kerahasiaan, integritas, dan ketersediaan.
CVSS menghasilkan skor numerik dari 0.0 hingga 10.0 yang dapat dipetakan ke peringkat kualitatif mulai dari Tidak Ada hingga Kritis. Skor tersebut memberikan sinyal tingkat keparahan yang konsisten, tetapi tidak boleh dianggap sebagai ukuran lengkap risiko bisnis atau prioritas perbaikan.
| Skor CVSS | Tingkat keparahan terkait |
|---|---|
| 0.0 | None |
| 0.1 - 3.9 | Rendah |
| 4.0 - 6.9 | Medium |
| 7.0 - 8.9 | High |
| 9.0 - 10.0 | Kritis |
Skor yang lebih tinggi menunjukkan tingkat keparahan teknis yang lebih besar, tetapi prioritas perbaikan juga harus mempertimbangkan faktor-faktor seperti paparan, eksploitasi aktif, pentingnya aset, dan mitigasi yang tersedia.
Mengapa CVSS penting?
CVSS memberikan tim keamanan cara standar untuk membandingkan tingkat keparahan teknis dan karakteristik kerentanan perangkat lunak. Hal ini membuatnya berguna untuk triase awal, terutama ketika tim meninjau sejumlah besar temuan.
Namun, CVSS seharusnya menjadi salah satu masukan dalam penentuan prioritas, bukan satu-satunya. Paparan aset, kepentingan bisnis, eksploitasi aktif, dan ketersediaan perbaikan dapat mengubah kerentanan mana yang perlu mendapat perhatian terlebih dahulu.
CVE vs CVSS: Perbedaan utama
Meskipun CVE dan CVSS sangat terkait, keduanya tidak dapat saling menggantikan. CVE memberi tahu tim kerentanan mana yang sedang mereka hadapi. CVSS membantu mereka memahami seberapa parah kerentanan tersebut. Berikut ringkasan singkat perbedaan keduanya:
| Faktor | CVE | CVSS |
|---|---|---|
| Tujuan | Mengidentifikasi dan mengkatalogkan kerentanan yang diketahui publik. | Menggambarkan dan mengkomunikasikan tingkat keparahan kerentanan. |
| fungsi | Memberikan ID unik pada suatu kerentanan | Memberikan skor tingkat keparahan numerik pada suatu kerentanan. |
| Metrik utama yang digunakan | Nama vendor, versi produk yang terpengaruh, deskripsi, dan tanggal publikasi. | Vektor serangan, kompleksitas, hak akses yang dibutuhkan, interaksi pengguna, dan dampaknya |
| Dikelola oleh | MITRE Corporation melalui Pusat Penelitian dan Pengembangan Keamanan Siber Nasional yang Didanai Pemerintah Federal (FFRDC) | Forum Tim Tanggap Insiden dan Keamanan (FIRST) |
| Gunakan kasing | Melacak, merujuk, mencari, dan memetakan kerentanan di berbagai alat dan pemberitahuan. | Mendukung triase kerentanan dan membandingkan tingkat keparahan |
| Fokus | Identifikasi kerentanan | Tingkat keparahan teknis |
| Example | CVE-2021-44228 | CVSS 10.0 atau CVSS 9.8 |
Keterbatasan CVE dan CVSS
CVE dan CVSS memang berguna, tetapi keduanya tidak memberikan gambaran lengkap tentang manajemen kerentanan.
CVE mengidentifikasi suatu kerentanan, tetapi tidak memberi tahu Anda apakah kerentanan tersebut memengaruhi lingkungan Anda, apakah sistem yang terpengaruh terekspos, atau apakah penyerang secara aktif mengeksploitasinya.
Perbedaan penting yang perlu diperhatikan adalah bahwa tingkat keparahan tidak sama dengan risiko. CVSS menjelaskan karakteristik teknis suatu kerentanan. Prioritas perbaikan yang sebenarnya juga bergantung pada apakah organisasi Anda terpengaruh, seberapa rentan aset tersebut, apakah eksploitasi sedang terjadi, dan seberapa penting sistem yang terpengaruh.
Sebagai contoh, kerentanan kritis pada sistem pengujian yang terisolasi mungkin tidak memerlukan perhatian segera dibandingkan dengan kerentanan dengan tingkat keparahan lebih rendah yang memengaruhi aset penting bisnis yang terekspos.
Oleh karena itu, CVE menjawab, “Kerentanan yang mana ini?” CVSS menjawab, “Seberapa parah secara teknis kerentanan ini?” Prioritas yang efektif membutuhkan kombinasi sinyal-sinyal tersebut dengan konteks lingkungan Anda.
Untuk membungkusnya
CVE dan CVSS menjawab pertanyaan yang berbeda. CVE memberikan tim keamanan pengidentifikasi umum untuk suatu kerentanan, sementara CVSS menyediakan cara standar untuk menggambarkan tingkat keparahan teknisnya. Jika digunakan bersama-sama, dan dikombinasikan dengan paparan aset, kepentingan bisnis, dan konteks ancaman, keduanya memberikan dasar yang lebih kuat untuk triase kerentanan daripada masing-masing sinyal secara terpisah.
Veltar perangkat lunak manajemen kerentanan menggunakan informasi CVE dan CVSS beserta parameter tambahan seperti Known Exploited Vulnerabilities (KEV) dan Exploit Prediction Scoring System (EPSS) sebagai input untuk penilaian risiko perangkat. Hal ini membantu tim TI dan keamanan mengidentifikasi titik akhir yang rentan dan memprioritaskan perbaikan berdasarkan tingkat keparahan dan konteks perangkat. Data kerentanan dapat dengan mudah dihubungkan ke titik akhir yang membutuhkan perhatian, alih-alih memperlakukan setiap CVE sebagai prioritas operasional yang sama.
