Apa itu Penilaian Kerentanan?

Penilaian kerentanan mengacu pada alat, teknik, atau proses yang memeriksa komponen tertentu dari bisnis untuk memperlihatkan kelemahan keamanan tertentu. Aplikasi, layanan, jaringan, infrastruktur, dan orang-orang, semuanya dapat menimbulkan masalah keamanan yang tidak disengaja. Dengan melakukan penilaian kerentanan, seperti pemeriksaan patch otomatis, analisis kode, dan latihan rekayasa sosial, organisasi dapat memitigasi ancaman serta meningkatkan postur keamanan mereka secara keseluruhan.

Ada beberapa keuntungan melakukan penilaian kerentanan untuk bisnis yang ingin meningkatkan postur keamanan mereka.

Mengurangi risiko keamanan

Penilaian kerentanan secara langsung mengidentifikasi celah di lingkungan Anda yang dapat dieksploitasi musuh. Dengan memahami letak postur keamanan yang perlu ditingkatkan, Anda dapat langsung mulai mengembangkan langkah-langkah pencegahan untuk meningkatkan keamanan. Penilaian kerentanan yang rutin dilakukan akan mengungkap kelemahan keamanan yang tidak diketahui, sehingga memungkinkan Anda untuk memperbaikinya sejak awal.

Meningkatkan jalur respons insiden dan manajemen eksposur

Penilaian kerentanan memungkinkan Anda merencanakan proses respons insiden dan teknik manajemen eksposur. Dengan menggunakan analisis kerentanan, Anda dapat menemukan bahwa beberapa kerentanan mungkin sulit untuk diatasi atau membutuhkan waktu remediasi yang lama.

Dalam hal ini, Anda dapat mengembangkan atau mengasah rencana respons insiden, termasuk teknik manajemen eksposur, rencana komunikasi pemangku kepentingan, dan jalur pascainsiden lainnya.

Mendukung upaya kepatuhan dan audit

Bagian penting dari kepatuhan keamanan adalah memantau sistem Anda secara rutin untuk memastikan kepatuhan terhadap ketentuan pengauditan dan pelaporan kerangka kerja peraturan. Melakukan analisis kerentanan yang selaras dengan kerangka kerja tertentu dapat membantu mengidentifikasi area di mana Anda mungkin perlu menyempurnakan arsitektur dan kontrol guna mencapai kepatuhan. Dengan menjalankan penilaian kerentanan rutin, Anda membuat log pemeriksaan manajemen postur keamanan yang dapat digunakan untuk tujuan audit.

Meningkatkan manajemen postur keamanan dengan menghilangkan kerentanan yang teridentifikasi

Penilaian kerentanan membantu mengidentifikasi area di mana bisnis Anda dapat meningkatkan postur keamanannya atau meningkatkan protokol dan kontrol keamanan siber saat ini. Dengan memahami di mana Anda dapat meningkatkan keamanan, Anda dapat memprioritaskan kerentanan dengan lebih mudah berdasarkan potensi dampaknya. Program manajemen kerentanan ini menyediakan panduan untuk membantu tim keamanan siber Anda meningkatkan kecepatan dalam mengatasi masalah keamanan penting.

Berikut adalah beberapa kerentanan keamanan paling umum yang mungkin dihadapi bisnis Anda saat menjalankan analisis kerentanan.

Jaringan yang belum diperkuat

Penguatan jaringan adalah proses penambahan solusi dan kontrol pelindung, sehingga infrastruktur jaringan Anda seaman mungkin. Jika bagian dari permukaan serangan Anda tidak memiliki kontrol keamanan khusus atau memiliki, misalnya, firewall dengan kesalahan konfigurasi, hal ini akan dianggap sebagai kerentanan jaringan yang tidak diperkuat. Port terbuka atau jaringan publik dapat menyebabkan ancaman akses pihak ketiga ke data sensitif Anda tanpa izin. Memantau jaringan Anda terhadap ancaman potensial ini adalah bagian inti dari manajemen kerentanan.

Perangkat lunak yang tidak digunakan lagi

Banyak sistem dan perangkat lunak warisan memuat kerentanan keamanan yang diketahui oleh industri yang lebih luas. Jika bisnis terus menggunakan sistem warisan dan perangkat lunak yang tidak digunakan lagi, bisnis akan terpapar risiko. Sistem dan perangkat lunak yang tidak didukung, tanpa patch keamanan baru dan pembaruan, dapat menimbulkan risiko. Modernisasi atau ganti sistem ini sesegera mungkin..

Manajemen data yang tidak aman

Manajemen data adalah bagian pusat dari manajemen postur keamanan yang efektif. Jika bisnis Anda memiliki kebijakan penanganan data di bawah standar, seperti teknik enkripsi yang tidak efektif, akun login default, atau kontrol akses yang tidak dikelola, data akan lebih mudah diakses oleh pihak yang tidak berwenang.

Kerentanan konfigurasi

Kerentanan konfigurasi mengacu pada kesalahan konfigurasi dalam sistem digital Anda yang membuatnya rentan terhadap eksploitasi. Misalnya, kesalahan konfigurasi yang membagikan bucket Amazon S3 secara publik dapat menyebabkan eksposur informasi yang tidak diinginkan. Hal ini menjadikan pemeriksaan konfigurasi aktif secara rutin sangat penting bagi bisnis Anda untuk mengidentifikasi dan menangani kerentanan yang sudah diketahui.

Manajemen pengguna yang lemah

Karyawan dan akun pengguna yang tidak terlindungi dengan baik, seperti yang memiliki kata sandi lemah atau tanpa MFA, dapat menimbulkan potensi risiko bagi postur keamanan Anda. Bisnis harus secara rutin meninjau akun pengguna, mempromosikan praktik kata sandi yang baik, mewajibkan MFA untuk semua akun, dan menghapus akun dari pengguna yang tidak lagi bekerja dengan perusahaan.

Kerentanan yang belum di-patch

Ketika tim keamanan siber mengidentifikasi kerentanan dalam sistem yang banyak digunakan, memublikasikan informasi ini dan berbagi berita dengan tim lain menjadi sebuah standar industri. Dengan melakukan hal tersebut melalui saluran pribadi memungkinkan alat apa pun untuk merilis patch guna menyelesaikan masalah sebelum tim pihak ketiga mulai mengeksploitasinya.

Oleh karena itu, tim keamanan siber harus berusaha untuk selalu melakukan pembaruan ke versi terbaru dari semua perangkat lunak yang mereka gunakan, karena pembaruan ini akan berisi patch keamanan terbaru.

Ancaman orang dalam

Ancaman orang dalam terjadi ketika karyawan aktif secara sengaja atau tidak sengaja memicu peristiwa keamanan yang tidak terduga. Ancaman ini sering dikaitkan dengan kurangnya pengetahuan keamanan, seperti terjebak dalam penipuan phishing dan kehilangan akses ke akun mereka. Ancaman internal cukup sering terjadi, sehingga menjadikan edukasi pengguna sebagai bagian penting dari langkah-langkah keamanan berkelanjutan yang komprehensif.

Ada beberapa tipe penilaian kerentanan yang masing-masing mengatasi tipe kerentanan yang berbeda.

Alat pemindaian penilaian kerentanan

Pemindaian kerentanan otomatis memantau permukaan serangan perusahaan dan terlibat dengan sistem operasi, perangkat jaringan, serta aplikasi untuk memeriksa basis data kerentanan yang diidentifikasi oleh kelompok pemantauan ancaman terkemuka. Jika pemindai mengidentifikasi salah satu kerentanan umum dari basis data di sistem Anda, pemindai akan mengingatkan tim keamanan untuk mengambil tindakan.

Teknik analisis statis dan analisis dinamis

Pengujian keamanan aplikasi statis (SAST) adalah alat pemindaian kerentanan yang menginspeksi kode sumber aplikasi untuk memeriksa potensi kerentanan. SAST merupakan inti dari pengodean yang aman dan sering diintegrasikan ke dalam pipeline pengembangan perangkat lunak untuk membantu developer menemukan kerentanan sebelum perangkat lunak masuk ke kode live.

Pengujian keamanan aplikasi dinamis (DAST) mengamati aplikasi di lingkungan runtime untuk mendeteksi anomali apa pun yang dapat menunjukkan adanya interaksi pihak ketiga. Pengujian kerentanan DAST mengidentifikasi eksploitasi umum, seperti skrip lintas situs, injeksi SQL, dan skenario penanganan sesi yang tidak tepat.

Peninjauan sejawat internal

Peninjauan kode internal oleh sejawat telah menjadi praktik standar di era shift-left pengembangan perangkat lunak. Dalam peninjauan sejawat internal, tim keamanan siber internal saling memeriksa kode dan sistem yang sudah ada untuk mengidentifikasi kesalahan konfigurasi, potensi kerentanan, dan kelemahan logika yang dapat dieksploitasi oleh pihak ketiga dalam peristiwa keamanan yang tidak terduga.

Peninjauan eksternal dan pengujian penetrasi

Peninjauan eksternal mengikuti proses yang mirip dengan peninjauan sejawat internal, tetapi dilakukan oleh perusahaan keamanan eksternal. Perusahaan-perusahaan ini mengkhususkan diri dalam inspeksi terperinci terhadap postur keamanan, dengan menginspeksi alat, sistem, aplikasi, dan kode untuk menemukan potensi kerentanan. Peninjauan eksternal juga dapat melibatkan latihan simulasi red-teaming dan pengujian penetrasi.

Proses penilaian terintegrasi

Banyak alat penilaian kerentanan keamanan cloud, seperti AWS Security Hub, secara aktif mengumpulkan data dari berbagai sumber internal, seperti log data, sistem kontrol akses, dan pengaturan konfigurasi, untuk menawarkan gambaran umum menyeluruh tentang lingkungan cloud. Analisis kerentanan terintegrasi memberi tim keamanan visibilitas yang luas atas postur keamanan mereka.

Rekayasa sosial dan penilaian fisik

Salah satu penyebab utama pelanggaran keamanan adalah kesalahan manusia, dengan karyawan yang secara tidak sengaja terjebak penipuan phishing atau mengklik tautan berbahaya yang menimbulkan potensi kerentanan. Tim keamanan dapat menawarkan seminar dan kesempatan mengajar dalam upaya untuk mengurangi kemungkinan terjadinya peristiwa ini Selain itu, bisnis dapat meluncurkan tes rekayasa sosial otomatis untuk mengevaluasi seberapa efektif karyawan dalam mengidentifikasi dan merespons ancaman ini.

Proses penilaian kerentanan berkelanjutan adalah sistem pemindaian kerentanan terjadwal atau waktu nyata yang memantau anomali. Pendekatan analisis kerentanan ini membantu dengan respons berkelanjutan, karena setiap anomali dapat diidentifikasi dan diprioritaskan untuk remediasi secepat mungkin.

Laporan penilaian kerentanan dapat menawarkan wawasan yang ditingkatkan tentang kondisi terkini sistem Anda kapan saja. Laporan dapat diintegrasikan dengan solusi keamanan terpadu untuk memberikan wawasan keamanan yang lebih dalam.

Penilaian risiko adalah penilaian tambahan yang dapat digunakan bisnis jika mereka ingin memahami dampak potensial dari kerentanan yang telah mereka temukan. Misalnya, setelah melakukan penilaian kerentanan, bisnis kemudian dapat melakukan penilaian risiko dengan analisis kerentanan untuk menentukan kerentanan mana yang menimbulkan ancaman terbesar terhadap tujuan dan keamanan mereka.

Menggabungkan penilaian kerentanan komprehensif dengan penilaian risiko pada kerentanan yang teridentifikasi dapat memberikan konteks lebih lanjut kepada perusahaan, sehingga memungkinkan perusahaan untuk lebih memprioritaskan perbaikan tertentu terlebih dahulu. 

Simulasi pelanggaran dan serangan (BAS) adalah bentuk latihan red teaming di mana tim internal atau eksternal menyimulasikan serangan terhadap pertahanan siber Anda. Latihan-latihan ini bertujuan untuk menyimulasikan serangan dengan cermat, menggunakan strategi dunia nyata yang kemungkinan akan digunakan oleh grup pihak ketiga yang tidak sah. Biasanya, BAS mengikuti kerangka kerja vektor serangan yang diketahui, seperti yang didokumentasikan dalam MITRE ATT&CK.

Sementara penilaian kerentanan bertujuan untuk mengidentifikasi kerentanan, simulasi pelanggaran bertujuan untuk mengeksploitasinya dalam lingkungan yang aman dan terkontrol untuk menguji respons insiden. Bisnis dapat menggunakan simulasi pelanggaran setelah mereka melakukan patching kerentanan yang diketahui untuk menguji validitas perbaikan mereka.

Sebagian besar kerangka kerja kepatuhan keamanan siber, seperti ISO 27001, SOC 2, dan PCI DSS, mengharuskan bisnis untuk melakukan penilaian kerentanan secara teratur. Dengan terus melakukan penilaian ini, bisnis melakukan uji tuntas yang diamanatkan kepada mereka, dengan laporan untuk menunjukkan kepatuhan.

Dengan melakukan penilaian kerentanan secara rutin membantu perusahaan mempersiapkan audit dan mengurangi risiko potensi hukuman jika terjadi pelanggaran. 

Solusi keamanan cloud AWS dapat membantu melindungi aset, jaringan, dan manajemen sumber daya manusia Anda.

Amazon Inspector secara otomatis menemukan beban kerja, seperti instans Amazon Elastic Compute Cloud (Amazon EC2), citra kontainer, dan fungsi AWS Lambda, serta repositori kode, dan memindainya untuk mencari kerentanan perangkat lunak serta serangan keamanan jaringan. Layanan penilaian kerentanan berkelanjutan ini menggunakan informasi kerentanan dan eksposur umum (CVE) terkini dan aksesibilitas jaringan untuk membuat skor risiko kontekstual guna membantu memprioritaskan serta menyelesaikan sumber daya yang rentan.

AWS Security Hub menyatukan operasi keamanan cloud Anda, termasuk penilaian kerentanan yang terintegrasi dan berkelanjutan serta deteksi ancaman yang selalu aktif.

Manajemen Postur Keamanan Cloud (CPSM) AWS Security Hub melakukan pemeriksaan praktik terbaik keamanan dan menyerap temuan keamanan dari layanan keamanan serta partner AWS. Layanan ini menggabungkan hasil tersebut dengan temuan dari layanan lain dan alat keamanan partner, yang menawarkan pemeriksaan otomatis terhadap sumber daya AWS Anda untuk membantu mengidentifikasi kesalahan konfigurasi serta mengevaluasi postur keamanan Anda.

Mulailah penilaian kerentanan di AWS dengan membuat akun gratis sekarang juga.