Cara Membaca Skor CVSS dan Menentukan Prioritas Patch

Buletin keamanan minggu ini memuat lima celah berskor 9 ke atas, dan timmu hanya sanggup menambal dua malam ini. Skor CVSS tidak akan memberi tahu dua yang mana. CVSS memberi tahu seberapa parah sebuah celah secara teknis, sedangkan urutan patch ditentukan oleh gabungan skor itu, bukti eksploitasi di dunia nyata, dan apakah sistemmu benar-benar terpapar.

Panduan resmi CVSS v3.1 dari FIRST menulisnya dengan lugas: CVSS dirancang untuk mengukur tingkat keparahan kerentanan dan tidak seharusnya dipakai sendirian untuk menilai risiko. Langkah di bawah menunjukkan cara membaca skornya, lalu cara memakainya dengan benar.

Langkah 1: kenali skala skornya

Skor CVSS berkisar 0 sampai 10. Spesifikasi CVSS v4.0 memakai skala kualitatif yang sama dengan v3.1:

• None: 0,0
• Low: 0,1 sampai 3,9
• Medium: 4,0 sampai 6,9
• High: 7,0 sampai 8,9
• Critical: 9,0 sampai 10,0

Label ini berguna untuk komunikasi cepat, tapi informasi pentingnya ada di vektor, yaitu deretan kode di belakang skor.

Langkah 2: baca vektor CVSS v3.1

Contoh vektor yang sering muncul pada celah serius:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vektor ini menghasilkan skor dasar 9,8. Terjemahannya:

• AV (Attack Vector) N: bisa diserang lewat jaringan. Nilai lain: A (jaringan lokal yang sama), L (akses lokal), P (akses fisik).
• AC (Attack Complexity) L: tidak butuh kondisi khusus. H berarti penyerang butuh kondisi tertentu.
• PR (Privileges Required) N: tidak perlu login. L butuh akun biasa, H butuh akun admin.
• UI (User Interaction) N: tidak perlu korban mengklik apa pun. R berarti butuh tindakan pengguna.
• S (Scope) U: dampak tetap di komponen yang sama. C berarti dampak menjalar ke komponen lain.
• C, I, A: dampak terhadap kerahasiaan, integritas, dan ketersediaan data, masing-masing N, L, atau H.

Tiga kode ini biasanya sudah cukup memberi gambaran: AV:N/PR:N/UI:N berarti siapa pun di internet bisa mencoba tanpa akun dan tanpa bantuan korban. Bandingkan dengan AV:L/PR:H, yang butuh akses lokal dan akun admin: skornya bisa tetap tinggi karena dampaknya besar, tapi penyerang harus sudah berada di dalam lebih dulu.

Langkah 3: kenali perubahan di CVSS v4.0

CVSS v4.0 diterbitkan FIRST pada November 2023, dengan versi dokumen terbaru 1.2. Contoh vektornya:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Ada beberapa perbedaan yang perlu kamu kenali. AT (Attack Requirements) adalah metrik baru untuk syarat penyebaran tertentu yang harus ada agar serangan berhasil. Scope dihapus dan diganti pemisahan dampak: VC, VI, VA untuk sistem yang rentan, dan SC, SI, SA untuk sistem lanjutan yang ikut terdampak.

Spesifikasi v4.0 membagi metrik menjadi empat kelompok: Base, Threat, Environmental, dan Supplemental. Penamaan skornya ikut menunjukkan kelompok yang dipakai: CVSS-B hanya metrik dasar, CVSS-BT menambah Threat, CVSS-BE menambah Environmental, dan CVSS-BTE memakai ketiganya. Metrik Supplemental, seperti Automatable dan Recovery, memberi konteks tambahan tanpa mengubah skor.

Perhatikan ini saat membaca laporan: skor yang beredar di database publik umumnya skor dasar, yang belum memasukkan kondisi eksploitasi maupun lingkunganmu.

Langkah 4: tanyakan apakah sudah dieksploitasi

Celah yang sudah dipakai penyerang di dunia nyata layak naik ke urutan teratas, berapa pun skornya. Sumber paling mudah dicek adalah katalog Known Exploited Vulnerabilities (KEV) dari CISA, yang berisi kerentanan yang menurut CISA sudah dieksploitasi. CISA menganjurkan organisasi memakai katalog ini sebagai masukan dalam kerangka prioritas manajemen kerentanan.

Di CVSS v4.0, informasi semacam ini masuk ke metrik Threat lewat Exploit Maturity (E).

Langkah 5: lihat peluang eksploitasi dengan EPSS

Bagaimana dengan celah yang belum tercatat dieksploitasi? Di sini EPSS (Exploit Prediction Scoring System) dari FIRST membantu. EPSS memperkirakan probabilitas sebuah CVE dieksploitasi dalam 30 hari ke depan, dalam angka 0 sampai 1 beserta persentilnya. Menurut FIRST, skornya diterbitkan setiap hari untuk setiap CVE dan bisa diakses gratis lewat CSV, API, dan GitHub.

CVSS dan EPSS menjawab pertanyaan berbeda. CVSS menjawab "seberapa parah bila terjadi", EPSS menjawab "seberapa mungkin terjadi dalam waktu dekat". Celah berskor CVSS 9,8 dengan EPSS sangat rendah bisa kalah mendesak dibanding celah berskor 7,5 yang EPSS-nya tinggi dan sudah ada di KEV.

Langkah 6: periksa paparan di sistemmu sendiri

Pertanyaan terakhir sering paling menentukan: apakah komponen yang rentan benar-benar terpapar? Celah di panel admin yang hanya bisa diakses lewat VPN kantor berbeda urgensinya dengan celah yang sama di layanan yang terbuka ke internet. Celah di fitur yang tidak diaktifkan mungkin tidak bisa dipicu sama sekali, walau tetap perlu ditambal pada jadwal rutin.

Inilah fungsi metrik Environmental di CVSS: menyesuaikan skor dengan kondisi lingkunganmu. Dalam praktik, tim kecil cukup mencatat tiga hal untuk setiap celah: apakah terbuka ke internet, apakah fitur rentannya aktif, dan seberapa penting data atau layanan di sistem itu.

Untuk mengetahui komponen apa saja yang terpapar, jalankan vulnerability scan secara rutin. Bedanya dengan pentest dijelaskan di SOC, vulnerability scan, dan pentest. Langkah dasar menutup paparan yang tidak perlu ada di cara mengamankan VPS baru, dan lapisan penahan sementara sebelum patch bisa diberikan oleh WAF seperti di ModSecurity dan OWASP CRS.

Ringkasan urutan prioritas

Tabel ini titik awal, bukan aturan baku. Kebijakan tiap organisasi bisa berbeda, terutama bila ada kewajiban regulasi atau kontrak.

Checklist saat celah baru diumumkan:

• Catat skor dan vektor CVSS, perhatikan versinya.
• Cek apakah CVE-nya ada di katalog KEV CISA.
• Lihat skor EPSS dan persentilnya.
• Pastikan apakah komponen itu terbuka ke internet dan fiturnya aktif.
• Tentukan jadwal patch atau mitigasi sementara, lalu catat keputusannya.