Vulnerability Management
Pelajari siklus pengelolaan kerentanan: menemukan aset, memindai, memprioritaskan berdasarkan risiko, memperbaiki, dan memverifikasi.
Tujuan Pembelajaran
- Menjelaskan siklus manajemen kerentanan
- Memahami CVE, CVSS, dan keterbatasan skor
- Memprioritaskan perbaikan berdasarkan risiko nyata
- Mengenali peran patch management dan kontrol kompensasi
01Siklus manajemen kerentanan
Manajemen kerentanan adalah proses berkelanjutan untuk menemukan, menilai, memperbaiki, dan memverifikasi kelemahan pada aset. Ia bukan pemindaian sekali setahun menjelang audit.
- Inventaris aset: Anda tidak bisa menambal yang tidak Anda ketahui
- Pemindaian terjadwal pada sistem yang diizinkan, idealnya dengan kredensial agar akurat
- Penilaian dan prioritas berdasarkan risiko
- Perbaikan, lalu verifikasi ulang bahwa kerentanan benar-benar tertutup
02CVE dan CVSS
CVE memberi pengenal unik untuk kerentanan yang diketahui publik, misalnya format CVE-tahun-nomor. CVSS memberi skor keparahan 0 sampai 10 berdasarkan faktor teknis seperti vektor akses dan dampak.
Skor CVSS menggambarkan keparahan teknis, bukan risiko bagi organisasi Anda. Kerentanan skor tinggi pada sistem terisolasi tanpa data penting bisa lebih rendah prioritasnya daripada skor menengah pada server publik.
03Memprioritaskan berdasarkan risiko
Pertimbangkan beberapa faktor sekaligus: keparahan, apakah kerentanan sedang dieksploitasi secara aktif (misalnya daftar KEV dari CISA), keterpaparan aset ke internet, nilai bisnis aset, dan ketersediaan perbaikan.
Pendekatan ini mencegah tim tenggelam dalam ribuan temuan dan memastikan sumber daya terbatas dipakai pada risiko terbesar lebih dulu.
04Patch dan kontrol kompensasi
Patch diuji lebih dulu di lingkungan non-produksi lalu dirilis bertahap dengan rencana pembatalan. Tetapkan target waktu berdasarkan tingkat risiko, misalnya lebih cepat untuk yang aktif dieksploitasi.
Bila patch belum mungkin, terapkan kontrol kompensasi seperti segmentasi jaringan, pembatasan akses, atau aturan WAF, dan catat sebagai pengecualian risiko dengan tanggal tinjau ulang.
Contoh Praktis (Aman)
Contoh tabel prioritasDua temuan dengan skor berbeda dapat berprioritas sebaliknya setelah konteks risiko dipertimbangkan.
Temuan A: CVSS 9.1 | server uji internal, tanpa data | belum dieksploitasi
-> Prioritas: Sedang, jadwalkan dalam siklus patch bulanan
Temuan B: CVSS 7.5 | server web publik | terdaftar aktif dieksploitasi
-> Prioritas: Kritis, patch segera dalam hitungan hariRangkuman
- Manajemen kerentanan adalah siklus berkelanjutan, bukan kegiatan sekali
- CVE mengidentifikasi, CVSS menilai keparahan teknis
- Prioritas ditentukan oleh risiko: eksploitasi aktif, keterpaparan, dan nilai aset
- Gunakan kontrol kompensasi dan verifikasi ulang bila patch tertunda
Mini Quiz
Pilih satu jawaban untuk setiap soal, lalu tekan "Periksa Jawaban".
Apa yang diberikan oleh CVE?
Mengapa skor CVSS saja tidak cukup untuk menentukan prioritas?
Apa yang dilakukan bila patch belum bisa dipasang?