Vulnerability assessment adalah proses sistematis untuk menemukan, mendata, dan menilai kelemahan keamanan pada sistem, jaringan, atau aplikasi sebelum penyerang memanfaatkannya. Artikel ini menjelaskan cara kerjanya, jenis-jenisnya, dan tools yang umum dipakai, termasuk batasan yang perlu Anda pahami agar hasilnya tidak disalahartikan.
Apa Itu Vulnerability Assessment?
Glosarium NIST mendefinisikan vulnerability assessment sebagai pemeriksaan sistematis terhadap sistem informasi atau produk untuk menentukan kecukupan langkah pengamanan, mengidentifikasi kelemahan, dan memastikan langkah perbaikan efektif setelah diterapkan. Dengan kata lain, hasilnya adalah daftar kelemahan yang dinilai tingkat risikonya, bukan bukti bahwa kelemahan itu berhasil dimanfaatkan.
Perbedaan terakhir inilah yang membedakannya dari pentest. Jika Anda ingin membandingkan keduanya secara lengkap, baca perbedaan penetration testing dan vulnerability assessment.
Bagaimana Tahapan Vulnerability Assessment?
Meski setiap organisasi punya prosedur sendiri, alurnya umumnya seperti berikut.
- Penentuan ruang lingkup: aset apa saja yang diperiksa, jam pemindaian, dan siapa yang menyetujui. Pendataan aset yang lengkap adalah fondasinya, karena aset yang tidak tercatat tidak akan pernah dipindai.
- Pemindaian: tools mencocokkan layanan, versi perangkat lunak, dan konfigurasi dengan basis data kerentanan yang sudah dikenal.
- Analisis dan verifikasi: analis menyaring hasil, karena pemindai dapat melaporkan temuan palsu (false positive) atau melewatkan celah (false negative).
- Penilaian dan prioritas: setiap temuan diberi tingkat keparahan, biasanya dengan skor CVSS, lalu disesuaikan dengan konteks bisnis.
- Pelaporan dan perbaikan: laporan berisi temuan dan saran tindakan, diikuti penambalan atau perubahan konfigurasi.
- Pemindaian ulang: memastikan perbaikan benar-benar menutup celah.
Jenis Vulnerability Assessment
- Jaringan: mencari perangkat, port, dan layanan yang rentan atau salah konfigurasi.
- Host atau server: memeriksa sistem operasi, patch yang belum terpasang, dan pengaturan keamanan, sering dengan akun yang diberi izin (pemindaian terautentikasi).
- Aplikasi web: menilai kelemahan seperti yang dikelompokkan OWASP Top 10.
- Basis data: memeriksa konfigurasi, hak akses, dan versi.
- Nirkabel dan cloud: meninjau pengaturan jaringan Wi-Fi dan konfigurasi layanan cloud.
Tools Vulnerability Assessment yang Umum Digunakan
Tools berikut sering disebut di dunia profesional. Pilihannya bergantung pada anggaran, skala jaringan, dan kebutuhan pelaporan.
- Nessus dari Tenable: pemindai kerentanan yang banyak dipakai. Cara kerja dan jenis pemindaiannya dibahas di apa itu Nessus.
- OpenVAS: pemindai sumber terbuka yang dikembangkan Greenbone. Situs Greenbone menyebut seluruh produknya kini berada di bawah merek OPENVAS, dengan versi gratis dan versi komersial. Sejarah dan fiturnya ada di apa itu OpenVAS.
- Qualys dan Rapid7 InsightVM: platform manajemen kerentanan komersial untuk organisasi besar, dengan dasbor, pelacakan perbaikan, dan integrasi tiket.
- ZAP (Zed Attack Proxy): pemindai aplikasi web gratis dan sumber terbuka yang juga ramah untuk pemula.
- Nmap: bukan pemindai kerentanan penuh, tetapi berguna untuk menemukan host dan layanan yang aktif sebagai bahan pendataan aset.
Satu catatan penting: tidak ada tool yang menemukan semuanya. Pemindai hanya mengenali pola yang sudah ada di basis datanya, sehingga kelemahan pada logika bisnis aplikasi sering lolos dan baru terungkap melalui pengujian manual.
Membaca Skor dan Prioritas Temuan
Hampir semua tools melaporkan keparahan memakai CVSS (Common Vulnerability Scoring System), standar yang dikelola FIRST untuk menerjemahkan karakteristik sebuah kerentanan menjadi skor numerik yang kemudian dipetakan ke tingkat seperti rendah, sedang, tinggi, dan kritis. Skor adalah titik awal, bukan keputusan akhir. Celah berskor sedang pada server yang terbuka ke internet dan menyimpan data pelanggan bisa lebih mendesak daripada skor tinggi pada mesin uji yang terisolasi. Cara membacanya dijelaskan di level kerentanan dan cara membaca skor CVSS.
Izin, Risiko, dan Praktik yang Aman
- Pindai hanya aset milik Anda atau yang telah diberi izin tertulis. Memindai sistem pihak lain tanpa hak dapat berurusan dengan Pasal 332 KUHP tentang akses ilegal.
- Jadwalkan pemindaian di luar jam sibuk dan uji dulu pada sistem yang rapuh, karena pemindaian agresif dapat memperlambat atau menjatuhkan layanan lawas.
- Jaga hasil pemindaian tetap rahasia. Daftar kerentanan yang belum ditambal sama berharganya bagi penyerang.
- Jalankan secara berkala. Standar PCI DSS, misalnya, meminta pemindaian kerentanan internal dan eksternal sedikitnya setiap tiga bulan.
Kelebihan dan Keterbatasan
Memahami batas kemampuan vulnerability assessment membantu Anda menaruh harapan yang tepat pada hasilnya.
Kelebihan
- Cakupan luas: ratusan atau ribuan aset dapat diperiksa dalam waktu singkat.
- Dapat diulang: pemindaian terjadwal menunjukkan apakah jumlah kelemahan menurun dari waktu ke waktu.
- Biaya per aset relatif rendah dibanding pengujian manual.
- Membantu pendataan aset, termasuk perangkat yang dilupakan atau tidak dikelola.
Keterbatasan
- Hanya mengenali kelemahan yang sudah dikenal dan ada di basis data pemindai.
- Tidak membuktikan bahwa sebuah kelemahan dapat dimanfaatkan.
- Menghasilkan temuan palsu yang menyita waktu bila tidak diverifikasi.
- Tidak menilai kesalahan logika bisnis, misalnya alur pembayaran yang bisa dilewati.
Peran dalam manajemen kerentanan
Pemindaian satu kali memberi potret sesaat, padahal kerentanan baru ditemukan setiap hari. Karena itu assessment sebaiknya menjadi bagian dari siklus manajemen kerentanan yang berkelanjutan: pendataan aset, pemindaian rutin, prioritas, perbaikan, dan verifikasi. Siklus yang berjalan konsisten lebih berharga daripada pemindaian besar yang hanya dilakukan menjelang audit.
Baca juga: Nuclei Vulnerability Scanner: Panduan Lengkap.
Pertanyaan yang Sering Diajukan
Apakah vulnerability assessment cukup untuk mengamankan sistem?
Tidak sendirian. Ia memberi gambaran luas dan murah tentang kelemahan yang dikenal, tetapi tidak membuktikan kelemahan mana yang benar-benar bisa dimanfaatkan. Untuk itu diperlukan penetration testing.
Apa bedanya vulnerability assessment dengan vulnerability scanning?
Scanning adalah satu langkah otomatis di dalam assessment. Assessment mencakup juga pendataan aset, verifikasi temuan, penilaian risiko, dan rencana perbaikan.
Apakah ada tools vulnerability assessment yang gratis?
Ada, misalnya edisi gratis OpenVAS dan ZAP. Cek selalu batasan fitur dan ketentuan lisensi di situs resmi sebelum memakainya untuk keperluan organisasi.
Seberapa sering assessment perlu dijalankan?
Secara berkala, misalnya bulanan atau triwulanan, serta setelah perubahan besar pada sistem. Frekuensi minimum bisa ditentukan oleh standar yang Anda ikuti.
Kesimpulan
Vulnerability assessment memberi organisasi peta kelemahan yang bisa diperbaiki secara bertahap, asalkan hasil pemindai diverifikasi, diprioritaskan sesuai konteks bisnis, dan diikuti pemindaian ulang. Jika Anda ingin belajar memakai tools ini secara terarah dan legal, jelajahi kursus keamanan di Linuxhackingid.
Referensi: definisi vulnerability assessment di glosarium NIST, FIRST CVSS, dan Greenbone.
Every article is reviewed by the practice lead who ran the work before it is published.