Vulnerability Management dan Taksonomi CWE CVE CVSS

Back to IF5161 Keamanan Data dan Perangkat Lunak

Vulnerability Management dan Taksonomi CWE CVE CVSS

Questions/Cues

• Apa itu vulnerability management dan lima tahap siklusnya?
• Jenis kerentanan apa saja yang ada (aplikasi, jaringan, sistem, fisik, manusia, data)?
• Apa hubungan CWE, CVE, dan CVSS?
• Mengapa taksonomi penting dalam SDLC?
• Apa saja kategori kerentanan tingkat tinggi di luar OWASP Top 10?

Reference Points

• IF5161 — W06 Bugs, Vulnerability, Program Analysis, and Testing, “Vulnerability Management” s.d. “How Vulnerability – CVE – CWE are related”

Vulnerability Management

Proses berkelanjutan (bukan proyek sekali) untuk menemukan, menilai, memprioritaskan, dan memperbaiki kelemahan sebelum dieksploitasi.

flowchart LR
    A["1. Asset discovery<br/>&amp; inventory"] --> B["2. Identifikasi<br/>(scan, pentest, review)"]
    B --> C["3. Risk assessment<br/>(CVSS, exploitability, bisnis)"]
    C --> D["4. Remediasi<br/>(patch, konfigurasi,<br/>fix kode, compensating)"]
    D --> E["5. Verifikasi &amp; pelaporan<br/>(mean time to remediate)"]
    E --> A

Jenis Kerentanan

Jenis	Contoh
Application-layer	injection, broken auth/access control, XSS, insecure deserialization, misconfiguration
Network	lalu lintas tak terenkripsi, port terbuka, aturan firewall lemah
System/konfigurasi	OS belum ditambal, kredensial default, privilege berlebih
Hardware/fisik	firmware flaw, side-channel
Manusia/proses	rentan phishing, awareness lemah, celah IR
Data	data tak terenkripsi (rest/transit), key management lemah, access control store sensitif lemah

Kategori Tingkat Tinggi

Selain OWASP, kelompok besar mencakup: input validation & injection, memory safety violations (buffer overflow, UAF, type confusion; dominan di C/C++), authentication & authorization (IDOR/BOLA, privilege escalation, session fixation), cryptographic failures, resource & state management (race condition, deadlock, resource exhaustion), serta misconfiguration & supply chain. Tiap kategori berpetakan ke CWE dan CVE nyata.

CWE, CVE, CVSS

Istilah	Makna	Contoh
CWE (MITRE)	Taksonomi jenis kelemahan akar masalah	CWE-79 (XSS), CWE-89 (SQLi), CWE-306 (Missing Authentication)
CVE	Satu instans kerentanan pada produk tertentu, dipetakan ke satu/lebih CWE	CVE-2021-44228
CVSS	Skor keparahan 0–10 (exploitability + impact) untuk CVE	10.0 (Log4Shell)

Alur: CWE (kelas) → CVE (instans) → CVSS (keparahan).

Views CWE: CWE-699 (Software Development; dikelompokkan menurut konsep SDLC) dan CWE-1000 (Research Concepts; menurut perilaku abstrak). Hierarki abstraksi: Pillar → Class → Base → Variant.

Mengapa Taksonomi Penting

• Komunikasi terstandar antara Dev, Sec, dan Ops.
• Root cause analysis: dari menambal bug satu per satu menjadi memperbaiki cacat sistemik (“mengapa kita punya 50 CWE-89?”).
• Otomasi: SAST/DAST memetakan temuan ke CWE untuk pelacakan, deduplikasi, dan mengurangi alert fatigue.
• Metrik dan prioritas: defense density per kategori, CWE Top 25 untuk prioritas berdasar prevalensi eksploit.

Summary

Vulnerability management adalah siklus berkelanjutan: inventaris, identifikasi, penilaian risiko, remediasi, verifikasi. CWE mengklasifikasikan jenis kelemahan, CVE mengidentifikasi instans nyata, dan CVSS menilai keparahannya. Taksonomi memungkinkan komunikasi seragam, analisis akar masalah sistemik, otomasi tooling, dan prioritas berbasis data (CWE Top 25).

Additional Information

Prioritisasi di Luar CVSS

CVSS saja sering menyesatkan: pertimbangkan EPSS (probabilitas dieksploitasi), katalog CISA KEV (known exploited vulnerabilities), keterjangkauan kode (reachability), dan konteks bisnis. Prioritas efektif = severity x exploitability x exposure x aset kritis.

Proyek Eksplorasi Mandiri

1. Ambil 5 CVE terbaru pada library yang Anda pakai; tulis CWE, CVSS, EPSS, dan putuskan prioritas patch.
2. Petakan temuan SAST proyek Anda ke CWE dan buat histogram per kategori.

Bacaan Lanjutan

• MITRE CWE Top 25
• FIRST CVSS v3.1/v4.0 specification dan EPSS
• CISA Known Exploited Vulnerabilities Catalog