Keamanan Siber
Apa Itu Skor CVSS dan Bagaimana Membacanya?
CVSS (Common Vulnerability Scoring System) adalah standar terbuka untuk memberi nilai 0 sampai 10 pada tingkat keparahan celah keamanan. Begini membaca rentang skornya.
SEO and Content Specialist
2 menit baca Ditinjau oleh Tim Keamanan Siber Legia
Jawaban singkat: CVSS (Common Vulnerability Scoring System) adalah standar terbuka dari FIRST untuk menilai tingkat keparahan celah keamanan dengan skor 0,0 sampai 10,0. Skor 9,0 ke atas berarti kritis, 7,0 sampai 8,9 tinggi, 4,0 sampai 6,9 sedang, dan 0,1 sampai 3,9 rendah. Dalam laporan pengujian, skor ini menentukan urutan perbaikan.
Skor CVSS hampir selalu muncul di laporan vulnerability assessment dan penetration testing. Bagi manajemen, angka ini cara tercepat untuk tahu temuan mana yang harus dibereskan minggu ini dan mana yang bisa dijadwalkan.
Arti tiap rentang skor
| Tingkat | Skor | Cara menyikapinya |
|---|---|---|
| Kritis | 9,0 sampai 10,0 | Biasanya bisa dimanfaatkan dari luar tanpa akun dan berakibat pengambilalihan sistem atau data. Tangani segera. |
| Tinggi | 7,0 sampai 8,9 | Membuka data atau fungsi penting, sering dengan syarat tertentu seperti akun pengguna biasa. Tangani segera setelah yang kritis. |
| Sedang | 4,0 sampai 6,9 | Dampak terbatas atau butuh beberapa syarat sekaligus. Jadwalkan perbaikannya. |
| Rendah | 0,1 sampai 3,9 | Sulit dimanfaatkan sendiri, tetapi bisa membantu serangan lain. Masukkan ke perbaikan lanjutan. |
Skor 0,0 berarti tidak ada dampak. Rentang ini sama di CVSS versi 3.1 dan 4.0.
Apa yang membentuk skornya?
Skor dasar dihitung dari karakteristik celah itu sendiri, antara lain:
- jalur serangan: dari internet, dari jaringan yang sama, atau harus menyentuh perangkatnya;
- kerumitan serangan dan hak akses yang dibutuhkan penyerang;
- perlu tidaknya tindakan pengguna, misalnya mengeklik tautan;
- dampak pada kerahasiaan, keutuhan, dan ketersediaan data atau sistem.
CVSS 4.0 menambahkan kelompok metrik ancaman (apakah sudah ada cara eksploitasi yang beredar) dan lingkungan (seberapa penting sistem itu bagi organisasi Anda). Penamaan seperti CVSS-B atau CVSS-BTE menunjukkan kelompok metrik mana yang dipakai.
Jangan berhenti di angka
Skor dasar menilai celah secara umum, bukan di perusahaan Anda. Celah bernilai sedang pada server yang menyimpan data pelanggan bisa lebih mendesak daripada celah bernilai tinggi pada server uji yang terisolasi. Karena itu laporan yang baik menyertakan konteks: aset mana yang terdampak, bukti temuannya, dan langkah perbaikan.
Cara praktis memakainya dalam rapat perbaikan: urutkan temuan menurut tingkat, lalu di dalam tingkat yang sama dahulukan aset yang menyimpan data pribadi atau terbuka ke internet. Tetapkan penanggung jawab dan tenggat untuk setiap temuan kritis dan tinggi, dan minta uji ulang sebelum menyatakannya selesai.
Di Legia, setiap temuan diberi skor CVSS dan dikelompokkan ke empat tingkat di atas. Temuan kritis dan tinggi dilaporkan segera, tanpa menunggu laporan akhir, dan semua temuan diuji ulang setelah diperbaiki.
Perbedaan cara kerja pengujiannya dibahas di artikel Vulnerability Assessment atau Penetration Testing, dan rincian layanannya di halaman Penetration Testing.
Sumber
Diminta menyerahkan hasil pengujian keamanan untuk audit atau rilis? Lihat layanan Keamanan Siber Legia, atau jadwalkan konsultasi lewat halaman kontak.
