Level Kerentanan dan Cara Membaca Skor CVSS

CVSS (Common Vulnerability Scoring System) adalah standar terbuka untuk menilai tingkat keparahan sebuah kerentanan dengan skor 0 sampai 10. Skor inilah yang Anda lihat di samping hampir setiap CVE dan laporan pemindaian, dan membacanya dengan benar menentukan kerentanan mana yang harus diperbaiki lebih dulu.

Apa Itu CVSS dan Siapa yang Mengelolanya?

CVSS dikelola oleh CVSS Special Interest Group di bawah FIRST (Forum of Incident Response and Security Teams). Versi terbarunya adalah CVSS v4.0, yang diumumkan pada November 2023 dan dokumentasinya terus diperbarui. Versi sebelumnya, CVSS v3.1, masih banyak dijumpai pada data lama dan banyak alat.

Tujuan CVSS adalah memberi bahasa yang sama. Dengan skor dan vektor yang baku, tim keamanan, vendor, dan auditor dapat membandingkan keparahan kerentanan secara konsisten. Setiap kerentanan yang mendapat nomor CVE biasanya disertai skor CVSS.

Level Kerentanan: Rentang Skor CVSS

Skor numerik diterjemahkan ke dalam lima level kualitatif. Skala ini sama pada CVSS v3.1 maupun v4.0:

• None: 0,0
• Low (rendah): 0,1 sampai 3,9
• Medium (sedang): 4,0 sampai 6,9
• High (tinggi): 7,0 sampai 8,9
• Critical (kritis): 9,0 sampai 10,0

Level ini membantu menyederhanakan prioritas, misalnya kebijakan "kerentanan kritis diperbaiki dalam waktu singkat". Namun, seperti dijelaskan di bawah, level hanyalah titik awal.

Cara Membaca Vektor CVSS

Skor selalu lahir dari sebuah vektor, yaitu rangkaian singkat yang mencatat karakteristik kerentanan. Contoh vektor CVSS v4.0 dari panduan resmi FIRST:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vektor ini menghasilkan skor dasar 8,7 (level High). Bagian awalnya menyebut versi, lalu setiap singkatan memuat satu metrik:

• AV (Attack Vector): dari mana serangan bisa dilakukan: jaringan (N), adjacent, lokal, atau fisik.
• AC (Attack Complexity): seberapa sulit melewati teknologi pertahanan yang ada.
• AT (Attack Requirements): prasyarat kondisi pada komponen yang rentan. Metrik ini baru ada di v4.0.
• PR (Privileges Required): hak akses yang dibutuhkan sebelum kerentanan dapat dimanfaatkan.
• UI (User Interaction): apakah perlu tindakan pengguna, dengan nilai None, Passive, atau Active di v4.0.
• VC, VI, VA: dampak pada kerahasiaan, integritas, dan ketersediaan sistem yang rentan.
• SC, SI, SA: dampak yang sama pada sistem lanjutan (subsequent systems) di luar komponen yang rentan.

Pada CVSS v3.1, metrik dasarnya adalah Attack Vector, Attack Complexity, Privileges Required, User Interaction, Scope, serta dampak Confidentiality, Integrity, dan Availability. Delapan metrik itu tidak punya Attack Requirements dan memakai Scope menggantikan pemisahan sistem rentan dan sistem lanjutan.

Empat Kelompok Metrik di CVSS v4.0

Spesifikasi CVSS v4.0 membagi metrik menjadi empat kelompok:

1. Base: sifat bawaan kerentanan yang tidak berubah menurut waktu dan lingkungan, biasanya dinilai oleh vendor atau analis.
2. Threat: faktor yang berubah seiring waktu, terutama kematangan eksploit (Exploit Maturity).
3. Environmental: faktor yang khusus bagi lingkungan Anda, seperti kontrol keamanan yang ada dan pentingnya sistem yang terdampak.
4. Supplemental: konteks tambahan, misalnya apakah serangan dapat diotomatisasi. Kelompok ini tidak mengubah skor akhir.

Spesifikasi juga memperkenalkan penamaan agar jelas skor mana yang dilihat: CVSS-B (Base saja), CVSS-BT, CVSS-BE, dan CVSS-BTE. Banyak skor yang beredar hanyalah CVSS-B.

CVSS Mengukur Keparahan, Bukan Risiko

Ini poin yang paling sering terlewat. Panduan pengguna CVSS v4.0 menegaskan bahwa skor dasar mengukur keparahan dan "tidak boleh dipakai sendirian untuk menilai risiko". Skor dasar hanya mencerminkan karakteristik bawaan kerentanan. Untuk mendekati risiko, panduan itu menyarankan menambahkan metrik Threat dan Environmental.

Dalam praktik, prioritas yang baik menggabungkan beberapa sinyal:

• Skor CVSS untuk keparahan teknis.
• EPSS (Exploit Prediction Scoring System), model FIRST yang memperkirakan peluang sebuah CVE dieksploitasi dalam 30 hari ke depan, dengan nilai 0 sampai 1.
• Katalog KEV dari CISA, daftar kerentanan yang terbukti dieksploitasi di dunia nyata.
• Konteks aset Anda: apakah sistemnya terhubung ke internet dan seberapa penting datanya.

Kerentanan berskor 9,8 pada sistem uji yang terisolasi bisa kurang mendesak daripada kerentanan berskor 7,5 pada server yang menghadap internet dan sudah dieksploitasi. Hubungan ini juga relevan dengan vulnerability assessment, yang menghasilkan daftar temuan untuk diprioritaskan.

Dari Mana Skor Berasal? Catatan tentang NVD

Skor CVSS bisa diberikan oleh CNA (CVE Numbering Authority) yang menerbitkan CVE atau oleh National Vulnerability Database (NVD). Pada April 2026, NIST mengumumkan bahwa NVD beralih ke triase berbasis risiko, mengutamakan CVE yang ada di katalog KEV, yang memengaruhi perangkat lunak pemerintah AS, atau yang termasuk perangkat lunak kritis menurut Executive Order 14028. CVE lain tetap masuk NVD dengan label "Not Scheduled", dan NIST tidak lagi rutin menerbitkan skornya sendiri bila CNA telah memberi skor, menurut laporan Help Net Security. Konsekuensinya, Anda perlu terbiasa membaca skor dari CNA dan vendor, bukan hanya NVD.

Pertanyaan yang Sering Diajukan

Berapa skor CVSS yang dianggap kritis?

Skor 9,0 sampai 10,0 termasuk level Critical. Skor 7,0 sampai 8,9 adalah High, 4,0 sampai 6,9 adalah Medium, dan 0,1 sampai 3,9 adalah Low.

Apa perbedaan CVSS v3.1 dan v4.0?

CVSS v4.0 menambahkan metrik Attack Requirements, memisahkan dampak pada sistem rentan dan sistem lanjutan, menggantikan metrik Scope, menambahkan nilai Passive dan Active pada User Interaction, serta memperkenalkan kelompok Supplemental dan penamaan CVSS-B, BT, BE, dan BTE.

Apakah skor CVSS tinggi selalu berarti harus diperbaiki lebih dulu?

Tidak selalu. Skor dasar hanya menunjukkan keparahan. Pertimbangkan juga apakah kerentanan sudah dieksploitasi, apakah aset terpapar internet, dan seberapa penting aset tersebut.

Siapa yang berhak menghitung skor CVSS?

Skor dasar pada rekaman CVE biasanya diberikan oleh CNA atau analis seperti NVD, sedangkan organisasi Anda dapat menyesuaikannya dengan konteks sendiri lewat metrik Environmental.

Kesimpulan

CVSS adalah alat bantu yang sangat berguna selama Anda membacanya sebagai ukuran keparahan, bukan vonis risiko. Pahami vektornya, periksa apakah skor yang Anda lihat hanya CVSS-B, lalu gabungkan dengan EPSS, KEV, dan konteks aset sebelum menentukan urutan perbaikan. Untuk mempelajari cara menilai dan melaporkan kerentanan secara profesional, lihat program di halaman kursus Linuxhackingid.