Apa itu Penilaian Kerentanan? Dan Cara Melakukannya

Penilaian kerentanan adalah proses mengidentifikasi, mengklasifikasikan, dan memprioritaskan kerentanan keamanan dalam infrastruktur TI. Penilaian kerentanan yang komprehensif mengevaluasi apakah sistem TI terpapar kerentanan yang diketahui, menetapkan tingkat keparahan untuk kerentanan yang teridentifikasi, dan merekomendasikan langkah-langkah remediasi atau mitigasi jika diperlukan.

Penilaian kerentanan adalah prosedur keamanan umum karena memberikan pandangan terperinci tentang risiko keamanan yang mungkin dihadapi organisasi, memungkinkan mereka untuk melindungi teknologi informasi dan data sensitif mereka dengan lebih baik dari ancaman dunia maya.

Kerentanan dapat ditemukan dalam aplikasi yang dikelola oleh vendor pihak ketiga atau perangkat lunak yang dibuat secara internal, dan banyak kelemahan yang mudah diperbaiki setelah diidentifikasi.

Mengapa Penilaian Kerentanan Penting?

Penilaian kerentanan penting karena memberi Anda informasi tentang kelemahan keamanan di lingkungan Anda dan memberikan arahan tentang cara memperbaiki atau mengurangi masalah sebelum dapat dieksploitasi.

Proses ini memberi Anda pemahaman yang lebih baik tentang infrastruktur TI, kelemahan keamanan, dan risiko keseluruhan, yang sangat meningkatkan keamanan informasi dan standar keamanan aplikasi sekaligus mengurangi kemungkinan penjahat dunia maya akan mendapatkan akses tidak sah ke organisasi Anda.

Apa Saja Berbagai Jenis Penilaian Kerentanan?

Ada beberapa jenis penilaian kerentanan:

Penilaian berbasis jaringan: Digunakan untuk mengidentifikasi kemungkinan masalah keamanan jaringan dan dapat mendeteksi sistem yang rentan pada jaringan kabel dan nirkabel.
Penilaian berbasis host: Digunakan untuk menemukan dan mengidentifikasi kerentanan di server, workstation, dan host jaringan lainnya. Pemindaian ini biasanya memeriksa port dan layanan yang terbuka dan dapat menawarkan visibilitas ke dalam pengaturan konfigurasi dan manajemen patch dari sistem yang dipindai.
Penilaian jaringan nirkabel: Digunakan untuk memindai jaringan Wi-Fi dan vektor serangan di infrastruktur jaringan nirkabel. Ini dapat memvalidasi jaringan perusahaan Anda dikonfigurasi dengan aman untuk mencegah akses tidak sah dan juga dapat mengidentifikasi titik akses nakal.
Penilaian aplikasi: Identifikasi kerentanan keamanan dalam aplikasi web dan kode sumbernya dengan menggunakan alat pemindaian kerentanan otomatis di front-end atau analisis statis/dinamis kode sumber.
Penilaian basis data: Penilaian basis data atau sistem data besar untuk kerentanan dan kesalahan konfigurasi, mengidentifikasi basis data nakal atau lingkungan pengembangan/pengujian yang tidak aman, dan mengklasifikasikan data sensitif untuk meningkatkan keamanan data.

Apa itu Proses Penilaian Kerentanan Keamanan?

Proses kerentanan keamanan terdiri dari lima langkah:

Identifikasi kerentanan: Menganalisis pemindaian jaringan, hasil uji pen, log firewall, dan hasil pemindaian kerentanan untuk menemukan anomali yang menunjukkan serangan siber dapat memanfaatkan kerentanan.
Analisis kerentanan: Putuskan apakah kerentanan yang teridentifikasi dapat dieksploitasi dan mengklasifikasikan tingkat keparahan eksploitasi untuk memahami tingkat risiko keamanan.
Penilaian risiko: Menilai kerentanan mana yang akan dimitigasi atau diperbaiki terlebih dahulu berdasarkan wormability dan risiko lainnya.
Perbaikan: Perbarui perangkat lunak atau perangkat keras yang terpengaruh jika memungkinkan.
Mitigasi: Tentukan tindakan pencegahan dan cara mengukur efektivitasnya jika patch tidak tersedia.

Proses penilaian kerentanan merupakan komponen penting dari manajemen kerentanan dan siklus hidup manajemen risiko TI dan harus dilakukan secara teratur agar efektif.

Untuk informasi selengkapnya, lihat panduan kami tentang manajemen kerentanan.

1. Identifikasi Kerentanan

Identifikasi kerentanan adalah proses menemukan dan membuat daftar lengkap kerentanan dalam infrastruktur TI Anda.

Ini umumnya dicapai melalui kombinasi pemindaian kerentanan otomatis dan pengujian penetrasi manual.

Pemindai kerentanan dapat menilai komputer, jaringan, atau aplikasi web untuk kerentanan yang diketahui seperti yang tercantum pada Common Vulnerabilities and Exposures (CVE).

Pengujian kerentanan dapat dijalankan melalui pemindaian yang diautentikasi atau tidak diautentikasi:

Pemindaian yang diautentikasi: Izinkan pemindai kerentanan mengakses sumber daya jaringan menggunakan protokol administratif jarak jauh dan mengautentikasi menggunakan kredensial sistem yang disediakan. Manfaat pemindaian yang diautentikasi adalah menyediakan akses ke data tingkat rendah seperti layanan tertentu, detail konfigurasi, dan informasi akurat tentang sistem operasi, perangkat lunak yang diinstal, masalah konfigurasi, kontrol akses, kontrol keamanan, dan manajemen tambalan.
Pemindaian yang tidak diautentikasi: Jangan berikan akses ke sumber daya jaringan, yang dapat mengakibatkan positif palsu dan informasi yang tidak dapat diandalkan tentang sistem operasi dan perangkat lunak yang diinstal. Jenis pemindaian ini umumnya digunakan oleh penyerang dunia maya dan analis keamanan TI untuk mencoba dan menentukan postur keamanan aset yang dihadapi secara eksternal, vendor pihak ketiga, dan untuk menemukan kemungkinan kebocoran data.

Pelajari cara mengidentifikasi perangkat lunak pihak ketiga yang rentan >

Seperti pengujian keamanan lainnya, pemindaian kerentanan tidak sempurna, itulah sebabnya teknik lain seperti pengujian penetrasi digunakan. Pengujian penetrasi adalah praktik pengujian aset teknologi informasi untuk menemukan kerentanan yang dapat dieksploitasi dan dapat diotomatisasi dengan perangkat lunak atau dilakukan secara manual.

Baik dijalankan secara otomatis atau dilakukan secara manual oleh tim keamanan, pengujian pena dapat menemukan kelemahan keamanan dan kemungkinan vektor serangan yang terlewatkan oleh alat pemindaian kerentanan. Ini juga dapat digunakan untuk menguji kontrol keamanan lokal, kepatuhan terhadap kebijakan keamanan informasi, kerentanan karyawan terhadap serangan rekayasa sosial seperti phishing atau spear phishing, serta untuk menguji rencana respons insiden.

2. Analisis Kerentanan

Setelah kerentanan diidentifikasi, Anda perlu mengidentifikasi komponen mana yang bertanggung jawab atas setiap kerentanan, dan akar penyebab kelemahan keamanan. Misalnya, akar penyebab kerentanan bisa jadi versi usan dari pustaka sumber terbuka.

Dalam situasi ini, ada jalur yang jelas untuk perbaikan, meningkatkan perpustakaan. Namun, tidak selalu ada solusi sederhana, itulah sebabnya organisasi sering kali perlu menjalankan setiap kerentanan melalui proses penilaian keamanan yang mengklasifikasikan tingkat keparahan kerentanan, mengidentifikasi kemungkinan solusi, dan memutuskan apakah akan menerima, memperbaiki, atau mengurangi risiko yang teridentifikasi berdasarkan strategi manajemen risiko organisasi.

3. Penilaian Risiko

Tujuan dari langkah ini adalah untuk memprioritaskan kerentanan. Ini sering melibatkan penggunaan alat penilaian kerentanan yang menetapkan peringkat atau tingkat keparahan untuk setiap kerentanan.

Misalnya, UpGuard BreachSight, alat manajemen permukaan serangan, menggunakan skor Common Vulnerability Scoring System (CVSS) untuk menetapkan skor numerik dari 0 hingga 10 berdasarkan karakteristik utama dan tingkat keparahan kerentanan.

Dengan demikian, setiap laporan penilaian kerentanan yang baik akan mempertimbangkan faktor-faktor tambahan seperti:

Sistem apa yang terpengaruh
Data sensitif apa yang disimpan di sistem, misalnya informasi pengenal pribadi (PII) atau informasi kesehatan yang dilindungi (PHI)
Fungsi bisnis apa yang bergantung pada sistem
Kemudahan serangan atau kompromi
Dampak bisnis dari eksploitasi yang sukses
Apakah kerentanan dapat diakses dari Internet atau memerlukan akses fisik
Berapa umur kerentanannya
Persyaratan peraturan apa pun yang dimiliki organisasi Anda, misalnya CCPA, FISMA, GLBA, PIPEDA, LGPD, 23 NYCRR 500, FIPA, PCI DSS, HIPAA, atau Undang-Undang SHIELD
Biaya pelanggaran data di industri Anda

Baca panduan kami tentang cara melakukan penilaian risiko keamanan siber TI >

4. Remediasi

Remediasi kerentanan melibatkan perbaikan masalah keamanan yang dianggap tidak dapat diterima dalam proses penilaian risiko. Ini biasanya merupakan upaya bersama antara tim pengembangan, operasi, kepatuhan, manajemen risiko, dan keamanan, yang memutuskan jalur hemat biaya untuk memperbaiki setiap kerentanan.

Banyak sistem manajemen kerentanan akan memberikan teknik remediasi yang direkomendasikan untuk kerentanan umum, yang bisa sesederhana menginstal patch keamanan yang tersedia atau serumit mengganti perangkat keras.

Langkah-langkah remediasi spesifik akan bervariasi pada kerentanan tetapi sering kali mencakup:

Memperbarui prosedur operasional
Mengembangkan proses manajemen konfigurasi yang kuat
Perangkat lunak penambalan

5. Mitigasi

Tidak semua kerentanan dapat diperbaiki, di situlah mitigasi berperan. Mitigasi difokuskan untuk mengurangi kemungkinan kerentanan dapat dieksploitasi atau mengurangi dampak eksploitasi.

Langkah-langkah mitigasi spesifik akan sangat bervariasi, tergantung pada toleransi risiko dan anggaran Anda, tetapi sering kali mencakup:

Memperkenalkan kontrol keamanan baru
Mengganti perangkat keras atau perangkat lunak
Enkripsi
Manajemen risiko vendor
Manajemen permukaan serangan
Pemantauan keamanan berkelanjutan

Potensi ancaman apa yang dapat dicegah dengan penilaian kerentanan?

Contoh serangan siber yang dapat dicegah dengan penilaian kerentanan meliputi:

Serangan eskalasi hak istimewa: Eskalasi hak istimewa adalah eksploitasi kesalahan pemrograman, kerentanan, cacat desain, pengawasan konfigurasi, atau kontrol akses dalam sistem operasi atau aplikasi untuk mendapatkan akses tidak sah ke sumber daya yang biasanya dibatasi dari aplikasi atau pengguna. Baca selengkapnya tentang eskalasi hak istimewa di sini.
Injeksi SQL: Serangan injeksi SQL terjadi ketika data yang tidak valid atau tidak tepercaya dikirim ke interpreter kode melalui input formulir atau bidang pengiriman data lain di aplikasi web. Serangan injeksi yang berhasil dapat mengakibatkan kebocoran data, kerusakan data, pelanggaran data, hilangnya akuntabilitas, dan penolakan akses.
Serangan XSS: Cross-site scripting (XSS) adalah jenis kerentanan keamanan yang biasanya ditemukan di aplikasi web. XSS memungkinkan penyerang untuk menyuntikkan skrip sisi klien ke halaman web yang dilihat oleh pengguna lain dan dapat digunakan untuk melewati kontrol akses, seperti kebijakan asal yang sama. Dampak XSS dapat berkisar dari gangguan kecil hingga risiko keamanan siber yang signifikan, tergantung pada sensitivitas data yang ditangani oleh situs web yang rentan, dan sifat mitigasi yang diterapkan. Baca lebih lanjut tentang skrip lintas situs di sini.
Default yang tidak aman: Perangkat lunak dan perangkat keras biasanya dikirimkan dengan pengaturan yang tidak aman, seperti kata sandi yang mudah ditebak, untuk mempermudah orientasi. Meskipun ini bagus dari perspektif kegunaan, banyak orang membiarkan konfigurasi default ini utuh yang dapat membuatnya terekspos.

Apa Saja Berbagai Jenis Alat Penilaian Kerentanan?

Alat penilaian kerentanan dirancang untuk secara otomatis memindai ancaman baru dan yang sudah ada di infrastruktur TI Anda. Jenis alat meliputi:

Pemindai aplikasi web yang memetakan permukaan serangan dan mensimulasikan vektor serangan yang diketahui
Pemindai protokol yang mencari protokol, port, dan layanan lain yang rentan
Pemindai jaringan yang membantu memvisualisasikan jaringan dan menemukan kerentanan jaringan seperti alamat IP yang menyimpang, paket palsu, dan pembuatan paket yang mencurigakan

Praktik terbaik adalah menjadwalkan pemindaian otomatis secara teratur dari semua infrastruktur dan menggunakan hasilnya sebagai bagian dari proses penilaian kerentanan Anda yang sedang berlangsung.

UpGuard BreachSight akan secara otomatis memindai permukaan serangan Anda setiap hari untuk mencari kerentanan.

Apa perbedaan antara penilaian kerentanan dan pengujian penetrasi?

Seperti disebutkan di atas, penilaian kerentanan sering kali mencakup pengujian penetrasi untuk mengidentifikasi kerentanan yang mungkin tidak terdeteksi oleh pemindaian otomatis. Proses ini biasa disebut sebagai penilaian kerentanan/pengujian penetrasi (VAPT).

Karena itu, pengujian penetrasi saja tidak cukup sebagai penilaian kerentanan yang lengkap. Penilaian kerentanan bertujuan untuk mengungkap kerentanan dan merekomendasikan langkah-langkah mitigasi atau remediasi yang tepat untuk mengurangi atau menghilangkan risiko yang teridentifikasi.

Sebaliknya, pengujian penetrasi melibatkan identifikasi kerentanan dan mencoba mengeksploitasinya untuk menyerang sistem, menyebabkan pelanggaran data, atau mengekspos data sensitif. Meskipun ini dapat dilakukan sebagai bagian dari penilaian kerentanan, tujuan utama pengujian penetrasi adalah untuk memeriksa apakah ada kerentanan yang dapat dieksploitasi.

Baca posting lengkap kami tentang pengujian penetrasi untuk informasi lebih lanjut.

Perusahaan seperti Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar, dan NASA menggunakan peringkat keamanan UpGuard untuk melindungi data mereka, mencegah pelanggaran data, dan menilai operasi keamanan mereka.

Untuk penilaian kontrol keamanan informasi Anda, UpGuard BreachSight dapat memantau organisasi Anda untuk 70+ kontrol keamanan yang memberikan peringkat keamanan siber yang sederhana dan mudah dipahami serta secara otomatis mendeteksi kredensial yang bocor dan eksposur data di bucket S3, server Rsync, repo GitHub, dan banyak lagi.

Modul Kerentanan UpGuard BreachSight mencantumkan kerentanan yang dipublikasikan yang mungkin dapat dieksploitasi dalam perangkat lunak yang berjalan di infrastruktur TI Anda. Kerentanan ini secara otomatis diidentifikasi melalui informasi yang diekspos di header HTTP dan konten situs web.

Setiap kerentanan yang diidentifikasi diberi CVSS, standar yang diterbitkan yang dikembangkan untuk menangkap karakteristik utama kerentanan, yang menghasilkan skor numerik antara 0 dan 10 yang mencerminkan tingkat keparahannya.

Risiko Vendor UpGuard dapat meminimalkan jumlah waktu yang dihabiskan organisasi Anda untuk menilai kontrol keamanan informasi terkait dan pihak ketiga dengan mengotomatiskan kuesioner vendor dan menyediakan templat kuesioner vendor.

Keahlian kami telah ditampilkan di orang-orang seperti The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters, dan TechCrunch.

Anda dapat membaca lebih lanjut tentang apa yang dikatakan pelanggan kami di ulasan Gartner.