Apa yang dimaksud dengan manajemen kerentanan?

Kerentanan keamanan adalah setiap cacat atau kelemahan dalam struktur, fungsi, atau implementasi jaringan atau aset jaringan yang dapat dieksploitasi oleh peretas untuk meluncurkan serangan siber, mendapatkan akses tidak sah ke sistem atau data, atau membahayakan organisasi.

Contoh kerentanan yang umum terjadi adalah kesalahan konfigurasi firewall yang memungkinkan jenis malware tertentu masuk ke dalam jaringan atau bug yang belum di-patch dalam protokol desktop jarak jauh dari sistem operasi yang memungkinkan peretas mengambil alih perangkat.

Jaringan perusahaan saat ini terdistribusi secara luas, dan berbagai kerentanan baru ditemukan setiap hari, sehingga manajemen kerentanan manual atau ad-hoc yang efektif hampir mustahil dilakukan. Tim keamanan siber biasanya mengandalkan solusi manajemen kerentanan untuk mengotomatiskan proses.

Center for Internet Security (CIS) mencantumkan manajemen kerentanan berkelanjutan sebagai salah satu Kontrol Keamanan penting untuk mempertahankan diri dari serangan siber yang paling umum. Manajemen kerentanan memungkinkan tim keamanan TI untuk mengadopsi postur keamanan yang lebih proaktif dengan mengidentifikasi dan menyelesaikan kerentanan sebelum dieksploitasi.

Karena kerentanan baru dapat muncul kapan saja, tim keamanan menganggap manajemen kerentanan sebagai siklus yang berkesinambungan, bukan peristiwa terpisah. Siklus ini terdiri dari lima alur kerja yang berkelanjutan dan tumpang tindih: Penemuan, penentuan kategori dan prioritas, resolusi, penilaian ulang, dan pelaporan.

Alur kerja penemuan berpusat pada penilaian kerentanan, sebuah proses untuk memeriksa semua aset TI organisasi guna mengetahui kerentanan yang diketahui dan yang mungkin ada. Biasanya tim keamanan mengotomatiskan proses ini dengan menggunakan perangkat lunak pemindai kerentanan. Beberapa pemindai kerentanan melakukan pemindaian jaringan secara berkala dan menyeluruh dengan jadwal yang teratur, sementara yang lain menggunakan agen yang diinstal pada laptop, router, dan titik akhir lainnya untuk mengumpulkan data pada setiap perangkat. Tim keamanan juga dapat menggunakan penilaian kerentanan episodik, seperti pengujian penetrasi, untuk menemukan kerentanan yang dilewatkan oleh pemindai.

Setelah kerentanan diidentifikasi, kerentanan tersebut dikategorikan berdasarkan jenisnya (misalnya, kesalahan konfigurasi perangkat, masalah enkripsi, eksposur data sensitif) dan ditentukan prioritasnya berdasarkan tingkat keparahan. Proses ini memberikan estimasi tingkat keparahan setiap kerentanan, celah eksploitasi, dan kemungkinan serangan.

Solusi manajemen kerentanan biasanya memanfaatkan sumber intelijen ancaman seperti Sistem Penilaian Kerentanan Umum (CVSS), sebuah standar industri keamanan siber terbuka, untuk menilai tingkat keparahan kerentanan yang diketahui dalam skala 0 hingga 10. Dua sumber intelijen populer lainnya adalah daftar Kerentanan dan Paparan Umum (CVE) dan Basis Data Kerentanan Nasional (NVD) dari NIST.

Setelah kerentanan diprioritaskan, tim keamanan dapat menyelesaikannya dengan salah satu dari tiga cara:

• Remediasi—sepenuhnya mengatasi kerentanan sehingga tidak dapat dieksploitasi lagi, misalnya dengan memasang tambalan yang memperbaiki bug perangkat lunak atau menghentikan penggunaan aset yang rentan. Banyak platform manajemen kerentanan yang menyediakan alat bantu remediasi seperti manajemen tambalan untuk pengunduhan dan pengujian tambalan otomatis, dan manajemen konfigurasi untuk mengatasi kesalahan konfigurasi jaringan dan perangkat dari dasbor atau portal terpusat.
• Mitigasi—membuat kerentanan menjadi lebih sulit untuk dieksploitasi dan mengurangi dampak eksploitasi tanpa menghilangkan kerentanan sepenuhnya. Membiarkan perangkat yang rentan tetap online, tetapi memisahkannya dari jaringan lainnya adalah contoh mitigasi. Mitigasi sering dilakukan ketika penambalan atau cara remediasi lainnya belum tersedia. 
• Penerimaan—memilih untuk membiarkan kerentanan tidak ditangani. Kerentanan dengan nilai keparahan rendah, yang tidak mungkin dieksploitasi atau tidak mungkin menyebabkan kerusakan yang signifikan, sering kali diterima.

Ketika kerentanan teratasi, tim keamanan melakukan penilaian kerentanan baru untuk memastikan bahwa upaya mitigasi atau remediasi mereka berhasil dan tidak menimbulkan kerentanan baru.

Platform manajemen kerentanan biasanya menyediakan dasbor untuk melaporkan metrik seperti waktu rata-rata untuk mendeteksi (MTTD) dan waktu rata-rata untuk merespons (MTTR). Banyak solusi juga memelihara database kerentanan yang teridentifikasi, yang memungkinkan tim keamanan melacak resolusi kerentanan yang teridentifikasi dan mengaudit upaya manajemen kerentanan di masa lalu.

Kemampuan pelaporan ini memungkinkan tim keamanan untuk menetapkan dasar untuk aktivitas manajemen kerentanan yang sedang berlangsung dan memantau kinerja program dari waktu ke waktu. Laporan juga dapat digunakan untuk berbagi informasi antara tim keamanan dan tim TI lainnya yang mungkin bertanggung jawab mengelola aset, tetapi tidak terlibat langsung dalam proses manajemen kerentanan.

Manajemen kerentanan berbasis risiko (RBVM) adalah pendekatan yang relatif baru untuk manajemen kerentanan. RVBM menggabungkan data kerentanan khusus pemangku kepentingan dengan kecerdasan buatan dan kemampuan machine learning untuk meningkatkan manajemen kerentanan dalam tiga cara penting.

Lebih banyak konteks untuk penentuan prioritas yang lebih efektif. Solusi manajemen kerentanan tradisional menentukan tingkat keparahan dengan menggunakan sumber daya standar industri seperti CVSS atau NIST NVD. Sumber daya ini bergantung pada properti generik yang dapat menentukan tingkat keparahan rata-rata dari sebuah kerentanan di semua organisasi. Namun, mereka tidak memiliki data kerentanan khusus pemangku kepentingan yang dapat mengakibatkan penentuan prioritas tingkat keparahan suatu kerentanan yang terlalu tinggi atau terlalu rendah bagi perusahaan tertentu.

Misalnya, karena tidak ada tim keamanan yang memiliki waktu atau sumber daya untuk mengatasi setiap kerentanan dalam jaringannya, banyak yang menentukan tingkat keparahan kerentanan sebagai "tinggi" (7.0-8.9) atau "kritis" (9.0-10.0) dalam skor CVSS. Namun, jika kerentanan "kritis" ada dalam aset yang tidak menyimpan atau memproses informasi sensitif apa pun, atau tidak menawarkan jalur ke segmen jaringan yang bernilai tinggi, remediasi mungkin tidak sepadan.

Kerentanan dengan skor CVSS rendah dapat menjadi ancaman yang lebih besar bagi beberapa organisasi daripada yang lain. Bug Heartbleed, ditemukan pada tahun 2014, dinilai sebagai "sedang" (5.0) pada skala CVSS. Meski begitu, peretas menggunakannya untuk melakukan serangan skala besar, seperti mencuri data 4,5 juta pasien dari salah satu rantai rumah sakit terbesar di AS.

RBVM melengkapi penilaian dengan data kerentanan khusus pemangku kepentingan, jumlah dan tingkat keparahan aset yang terpengaruh, bagaimana aset tersebut terhubung dengan aset lainnya, dan potensi kerusakan yang dapat ditimbulkan oleh eksploitasi, serta data tentang bagaimana penjahat siber berinteraksi dengan kerentanan di dunia nyata. Sistem ini menggunakan machine learning untuk merumuskan skor risiko yang mencerminkan lebih akurat risiko setiap kerentanan terhadap organisasi secara spesifik. Hal ini memungkinkan tim keamanan TI untuk menentukan prioritas sejumlah kecil kerentanan penting tanpa mengorbankan keamanan jaringan.

Penemuan waktu nyata. Di RBVM, pemindaian kerentanan sering kali dilakukan secara real-time, bukan secara berkala. Selain itu, solusi RBVM dapat memantau rangkaian aset yang lebih luas: Meskipun pemindai kerentanan tradisional biasanya terbatas pada aset yang diketahui yang terhubung langsung ke jaringan, alat RBVM biasanya dapat memindai perangkat seluler on premises dan jarak jauh, aset cloud, aplikasi pihak ketiga, dan sumber daya lainnya.

Penilaian ulang otomatis. Dalam proses RBVM, penilaian ulang dapat diotomatiskan dengan pemindaian kerentanan berkelanjutan. Dalam manajemen kerentanan tradisional, penilaian ulang mungkin memerlukan pemindaian jaringan atau uji penetrasi yang disengaja.

Manajemen kerentanan terkait erat dengan manajemen permukaan serangan (ASM). ASM adalah penemuan, analisis, remediasi, dan pemantauan berkelanjutan terhadap kerentanan dan vektor serangan potensial yang membentuk permukaan serangan organisasi. Perbedaan inti antara ASM dan manajemen kerentanan adalah ruang lingkupnya. Meski kedua proses sama-sama memantau dan menyelesaikan kerentanan dalam aset organisasi, ASM mengambil pendekatan yang lebih holistik terhadap keamanan jaringan.

Solusi ASM mencakup kemampuan penemuan aset yang mengidentifikasi dan memantau semua aset yang dikenal, tidak dikenal, milik pihak ketiga, milik anak perusahaan, dan aset berbahaya yang terhubung ke jaringan. ASM tidak hanya mengidentifikasi kerentanan pada aset TI, tetapi juga permukaan serangan fisik dan rekayasa sosial organisasi. Ini kemudian menganalisis aset dan kerentanan ini dari sudut pandang peretas untuk memahami bagaimana penjahat siber dapat menggunakannya untuk menyusup ke dalam jaringan.

Dengan banyaknya manajemen kerentanan berbasis risiko (RBVM), batasan antara manajemen kerentanan dan ASM menjadi semakin kabur. Organisasi sering kali menggunakan platform ASM sebagai bagian dari solusi RBVM mereka, karena ASM memberikan pandangan yang lebih komprehensif mengenai permukaan serangan dibandingkan manajemen kerentanan saja.