Dasar-Dasar Manajemen Kerentanan

Manajemen kerentanan adalah kombinasi proses dan produk yang bertujuan untuk memelihara inventori infrastruktur digital organisasi, memindai kerentanan, dan memperbaiki kelemahan yang ditemukan. Ini adalah praktik siklis dan lawan dari adagium IT yang terkenal yang mengatakan, “Jika tidak rusak, jangan perbaiki.” Prinsip ini tidak berlaku dalam keamanan perusahaan saat ini. Jika aset digital tidak dipantau dan diperkuat secara terus-menerus, mereka akan menjadi buah yang mudah dipetik.

Scanner tidak cukup

Tidak seperti scanner kerentanan, tujuan utama manajemen kerentanan adalah untuk memperkuat keamanan infrastruktur dan memberikan respons darurat untuk ancaman yang sangat berbahaya. Menemukan celah keamanan dalam sistem adalah setengah pertempuran, tetapi harus diperbaiki sehingga aktor ancaman tidak dapat mengeksploitasi sebagai titik masuk. Metode penilaian kerentanan dan prioritisasi masalah yang terdeteksi berdasarkan infrastruktur pelanggan juga sangat penting. Scanner tidak melakukan itu.

Manajemen kerentanan, pada dasarnya, adalah tambahan untuk proses pemindaian yang mengevaluasi, memprioritaskan, dan memperbaiki kerentanan yang terdeteksi. Kebutuhan pelanggan berubah, sedangkan tujuan utama sebelumnya adalah menemukan kerentanan, sekarang lebih tentang cara untuk mengatasi masalah.

Seperti yang disebutkan sebelumnya, model lisensi yang digunakan oleh sistem manajemen kerentanan biasanya berdasarkan pada jumlah alamat IP yang dilindungi. Tidak masalah di mana mereka berada atau berapa banyak instalasi yang dibutuhkan oleh pelanggan. Biaya scanner kerentanan, di sisi lain, tergantung pada jumlah instalasi dan parameter pemindaian, seperti jumlah host.

Selain itu, ada beberapa jenis instalasi, dengan beberapa vendor menawarkan penggunaan tak terbatas sistem mereka. Harga juga dapat dipengaruhi oleh fitur-fitur yang tersedia sebagai tambahan berbayar.

Kriteria untuk memilih sistem manajemen kerentanan

Karakteristik yang paling penting termasuk ukuran organisasi, jumlah cabang yang berlokasi di zona waktu yang berbeda, serta lokalasi produk, yang merupakan kemampuan untuk mendeteksi kerentanan yang spesifik untuk wilayah dan industri.

Faktor yang menarik terkait dengan seberapa baik departemen InfoSec dan IT perusahaan dapat bernegosiasi fitur yang diperlukan dari solusi. Spesialis InfoSec biasanya memprioritaskan deteksi kerentanan, sedangkan tim IT lebih fokus pada penerapan patch. Oleh karena itu, tumpang tindih antara kedua area ini akan menentukan parameter sistem.

Juga perlu dilihat kelengkapan dan frekuensi pembaruan serta sistem operasi yang didukung oleh scanner. Sistem manajemen kerentanan yang ideal juga harus sesuai dengan konteks industri yang diwakili oleh organisasi dan aplikasi yang digunakan.

Pada tahap penandatanganan kontrak, vendor mungkin menjamin pelanggan tentang kemampuan mereka untuk menambahkan produk dan fitur baru di masa depan. Sayangnya, beberapa penyedia tidak selalu memenuhi komitmen tersebut. Oleh karena itu, lebih baik fokus pada fungsi yang sudah tersedia dari solusi.

Fitur yang berguna dari setiap sistem manajemen kerentanan adalah kemampuan untuk memperkaya basis data kerentanan dengan informasi dari sumber pihak ketiga. Juga sangat baik jika solusi dapat menyediakan contoh eksploitasi yang memanfaatkan kerentanan tertentu.

Sebagian besar pelanggan dihadapkan pada dilema klasik: menggunakan scanner gratis atau membeli solusi komersial dari awal. Memelihara basis data kerentanan yang mutakhir adalah proses yang melelahkan dan mahal. Oleh karena itu, dalam kasus produk gratis, tim pengembang mungkin harus memprioritaskan area lain dari aktivitas mereka dalam mencari sumber pendapatan alternatif, yang menjelaskan mengapa scanner tersebut memiliki beberapa keterbatasan.

Alat di bawah payung manajemen kerentanan

Set solusi yang diperlukan untuk mengatur proses manajemen kerentanan dalam perusahaan dapat mencakup:

•       Berbagai instrumen untuk mengumpulkan informasi tentang kerentanan, seperti scanner, alat untuk memproses data dari sumber pihak ketiga, dan repositori informasi yang diperoleh secara independen oleh spesialis InfoSec.
•       Alat prioritisasi kerentanan yang menentukan skor CVSS dan mengukur nilai aset yang berpotensi terkena dampak oleh kerentanan.
•       Alat untuk berinteraksi dengan basis data eksternal.
•       Sistem yang menangani kerentanan dalam konteks organisasi, infrastruktur, dan permukaan serangan global.

Manajemen aset dan patch otomatis

Proses manajemen aset harus memiliki derajat otomatisasi yang maksimal, mencakup seluruh infrastruktur organisasi, dan dilakukan secara teratur. Tidak mungkin untuk memprioritaskan kerentanan kecuali kondisi-kondisi ini dipenuhi. Juga tidak mungkin untuk mengontrol infrastruktur TI organisasi tanpa mengetahui secara pasti apa yang terkandung di dalamnya. Oleh karena itu, manajemen aset adalah bagian yang sangat penting dari manajemen kerentanan.

Prasyarat utama untuk mengotomatisasi proses manajemen patch adalah untuk mengassign identifier spesifik untuk setiap tanda tangan kerentanan dan memastikan bahwa pembaruan berikutnya mengatasi kerentanan tersebut. Ini adalah alur kerja yang kompleks dengan banyak jebakan. Konsekuensi dari melewatkan satu pembaruan dapat berakibat fatal, sehingga penerapan patch harus dilakukan dengan sebaik mungkin.

Juga penting untuk menyesuaikan patch otomatis dengan area aplikasi spesifik. Untuk workstation, diperbolehkan untuk membatasi pembaruan pada sistem operasi dan perangkat lunak dasar seperti browser dan aplikasi kantor. Dalam kasus server, hal-hal menjadi lebih rumit karena banyak yang dipertaruhkan, dan pembaruan yang bermasalah dapat mempengaruhi ketersediaan sumber daya TI yang kritikal.

Ketika datang ke pemantauan infrastruktur perusahaan, sebagian besar perusahaan lebih memilih pemindaian daripada menginstal agen pada titik akhir karena mereka sering menjadi titik masuk malware. Namun, jika host tidak dapat dijangkau dengan cara lain, Anda harus menggunakan aplikasi pengumpulan data.

Seperti yang disebutkan sebelumnya, interaksi yang lancar antara departemen InfoSec dan IT membuat perbedaan. Kedua tim harus sepakat pada kebijakan yang menentukan siapa yang bertanggung jawab untuk menginstal pembaruan untuk sumber daya tertentu dan seberapa sering hal ini akan terjadi. Pada dasarnya, proses manajemen kerentanan harus turun ke pemantauan kepatuhan dengan kesepakatan tersebut dan menginstal patch darurat.

Apa yang akan terjadi pada sistem manajemen kerentanan di masa depan?

Pada titik ini, ada tren yang jelas menuju peningkatan otomatisasi pemantauan aset dan penerapan patch. Ketika infrastruktur perusahaan terus bermigrasi ke awan, ada kemungkinan bahwa proses pemindaian kerentanan akan dikurangi menjadi memeriksa pengaturan keamanan awan. Vektor evolusi lainnya berkaitan dengan perbaikan sistem penilaian kerentanan. Alat prioritisasi kerentanan akan mencakup lebih banyak data, terutama mengenai kerentanan yang paling “rentan dieksploitasi”.

Ada juga kemungkinan bahwa sistem ini akan beralih ke logika all-in-one dalam beberapa tahun ke depan, di mana satu solusi akan menyediakan spektrum penuh instrumen manajemen InfoSec. Munculnya platform yang mencakup manajemen kerentanan, manajemen aset, dan kemampuan manajemen risiko serta fitur perlindungan lainnya adalah kemungkinan yang cukup. Mungkin akan ada konsol manajemen kerentanan serba guna untuk semua elemen infrastruktur digital – dari server atau printer hingga wadah di host khusus.