Vulnerability Assessment
Tinjauan sistematis yang mengenali, mengklasifikasikan, dan memprioritaskan kelemahan yang sudah diketahui pada sistem.
Definisi
Vulnerability assessment adalah proses sistematis mengenali, mengklasifikasikan, dan memprioritaskan kelemahan yang sudah diketahui pada sistem, aplikasi, dan infrastruktur jaringan, umumnya didukung pemindaian otomatis.
Tujuannya adalah keluasan. Bila penetration testing menggali dalam pada lingkup yang sempit, vulnerability assessment mencakup sebanyak mungkin aset dan menanyakan kelemahan yang sudah diketahui apa saja yang ada di sini. Umumnya dijalankan berkelanjutan atau bulanan, bukan tahunan, sebab kerentanan baru terus diterbitkan.
Keluarannya adalah daftar berprioritas, dan penentuan prioritas itulah pekerjaan sebenarnya. Satu pemindaian pada aset berukuran menengah dapat mengembalikan ribuan temuan, yang sebagian besar berkeparahan rendah atau tidak terjangkau pelaku. Memperlakukan jumlah mentahnya sebagai metrik menghasilkan antrean yang tak terselesaikan siapa pun; memeringkat berdasarkan kemudahan eksploitasi dan paparan bisnis menghasilkan sesuatu yang bisa ditindaklanjuti tim.
Batasnya mengikuti sifatnya yang otomatis dan berbasis tanda. Ia menemukan persoalan yang sudah diketahui, sehingga tidak akan memunculkan cacat baru pada logika bisnis Anda sendiri, dan ia melaporkan apa yang mungkin bermasalah alih-alih membuktikan apa yang dapat dicapai pelaku. Pembuktian itulah yang ditambahkan penetration testing, dan itu sebabnya keduanya saling melengkapi, bukan saling menggantikan.
Sekilas info
- Jenis
- Kegiatan penilaian
- Juga dikenal sebagai
- VA, pemindaian kerentanan, penilaian kerentanan
Cara kerjanya
- 1
Penemuan aset: pastikan apa yang sebenarnya ada, sebab aset yang tidak diketahui tidak dapat dinilai
- 2
Pemindaian: perkakas otomatis memeriksa sistem terhadap basis data kerentanan yang diketahui
- 3
Validasi: temuan palsu disingkirkan, karena temuan yang belum terverifikasi memboroskan upaya perbaikan
- 4
Penentuan prioritas: temuan diperingkat menurut keparahan, kemudahan eksploitasi, dan paparan bisnis
- 5
Perbaikan dan pemindaian ulang: perbaikan diterapkan dan diverifikasi, lalu siklusnya berulang
Poin utama
- Keluasan adalah intinya; vulnerability assessment mencakup keseluruhan aset alih-alih menggali dalam pada satu sasaran
- Penentuan prioritas lebih menentukan daripada jumlah total temuan
- Ia hanya mengenali kelemahan yang sudah diketahui, sehingga cacat baru dan cacat logika berada di luar jangkauannya
- Ia melaporkan apa yang mungkin bermasalah; penetration testing membuktikan apa yang dapat dilakukan pelaku
- Penemuan aset adalah fondasinya, karena sistem yang tidak diketahui tidak pernah dipindai
Praktik terbaik
- Jalankan berkelanjutan atau bulanan alih-alih tahunan, sebab kerentanan baru terus muncul
- Pelihara inventaris aset yang akurat, karena celah cakupan biasanya celah inventaris
- Validasi temuan sebelum menugaskan pekerjaan perbaikan
- Peringkatkan menurut kemudahan eksploitasi dan paparan, bukan skor keparahan semata
- Pantau waktu perbaikan sebagai metrik operasionalnya, bukan jumlah temuan yang terbuka
Contoh nyata
Pemindaian bulanan sebuah perusahaan asuransi di Indonesia mengembalikan 4.000 temuan, dan tim keamanan melaporkan angka itu kepada manajemen, yang lalu meminta angkanya menjadi nol. Pemeringkatan ulang berdasarkan paparan internet dan kemudahan eksploitasi menyusutkan kelompok yang benar-benar mendesak menjadi 23 butir, yang selesai dalam dua pekan. Jumlahnya tidak pernah mencapai nol, dan risikonya tetap turun tajam.
Bagaimana Claro membantu
Vulnerability assessment mencakup kelemahan teknis; ia tidak punya pandangan atas karyawan. Disiplin yang setara untuk manusia adalah mengukur kerentanan terhadap rekayasa sosial dari waktu ke waktu. Claro menyediakannya, dengan skor risiko per pengguna dan tren tingkat departemen yang dapat dilaporkan bersama temuan teknis.
Pertanyaan yang sering diajukan
Vulnerability assessment adalah apa?
Proses sistematis mengenali, mengklasifikasikan, dan memprioritaskan kelemahan yang sudah diketahui pada sistem, aplikasi, dan infrastruktur, umumnya didukung pemindaian otomatis. Nilainya ada pada keluasan cakupan dan daftar berperingkat tentang apa yang harus diperbaiki lebih dulu.
Apa bedanya vulnerability assessment dengan penetration testing?
Assessment bersifat luas, otomatis, dan sering, serta melaporkan kelemahan diketahui apa saja yang mungkin dapat dieksploitasi. Penetration testing bersifat sempit, manual, dan berkala, serta membuktikan apa yang sebenarnya dapat dicapai pelaku dengan merangkai kelemahan. Keduanya menjawab pertanyaan berbeda dan saling melengkapi.
Seberapa sering vulnerability assessment perlu dijalankan?
Berkelanjutan atau bulanan bagi sebagian besar organisasi. Kerentanan baru terus diterbitkan, sehingga penilaian tahunan menyisakan periode panjang di mana persoalan yang baru diungkap tidak terdeteksi.
Apakah jumlah temuan yang tinggi menandakan keamanan yang buruk?
Belum tentu. Aset berukuran besar menghasilkan jumlah besar, dan sebagian besar temuan berkeparahan rendah atau tidak terjangkau. Ukuran yang lebih berguna adalah waktu perbaikan untuk temuan yang benar-benar dapat dieksploitasi dan terpapar.
Istilah terkait
Penetration Testing
Serangan simulasi yang diizinkan terhadap sistem untuk menemukan kelemahan yang dapat dieksploitasi sebelum pelaku sungguhan menemukannya.
Attack Surface
Keseluruhan titik, teknis maupun manusia, di mana penyerang dapat mencoba mendapatkan akses ke sebuah sistem atau mengekstrak data, mencakup setiap akun, endpoint, aplikasi, layanan yang terekspos, dan karyawan.
Zero-Day
Celah perangkat lunak yang tidak diketahui vendor dan belum memiliki tambalan, sehingga tidak ada waktu (nol hari) untuk menyiapkan pertahanan sebelum dieksploitasi.
Incident Response
Proses terstruktur yang diikuti organisasi untuk mendeteksi, membatasi, menyelidiki, dan pulih dari insiden keamanan.
Kurangi risiko manusia Anda
Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.
Minta demo