Memprioritaskan Kerentanan dengan CVE, CWE, dan CISA KEV
CVE, CWE, dan CISA KEV menjawab pertanyaan berbeda. Menggabungkannya menjadi satu label severity menghilangkan informasi berguna. CVE mengidentifikasi kerentanan spesifik yang diketahui publik. CWE menjelaskan kelas kelemahan software atau hardware yang dapat berkontribusi pada kerentanan. Catalog Known Exploited Vulnerabilities CISA mengidentifikasi CVE yang menurut CISA telah dieksploitasi di alam liar dan perlu menjadi masukan prioritisasi. Tidak satu pun menggantikan bukti bahwa komponen terdampak ada, dapat dijangkau, atau penting bagi organisasi.
Tegaskan setiap sinyal
Record CVE memulai investigasi: ambil identifier, advisory vendor, rentang versi terdampak, versi perbaikan, dan data CVSS relevan. Konfirmasikan komponen aktual terpasang, versi, konfigurasi, serta paparan. Output scanner tanpa konfirmasi aset belum cukup untuk menetapkan due date.
CWE membantu mengelompokkan akar masalah. Beberapa temuan yang dipetakan ke satu kelas kelemahan dapat membenarkan perubahan secure development, bukan hanya patch terpisah. Jangan menyatakan CWE sebagai eksploit aktif dan jangan memetakannya secara spekulatif. Catat tingkat keyakinan pemetaan serta bukti kode, konfigurasi, atau vendor.
KEV adalah intelijen eksploitasi, bukan ukuran dampak bisnis universal. Periksa entry catalog terkini, date added, required action, mitigasi vendor, serta apakah aset terbuka ke internet atau dapat dijangkau dengan cara lain. Item KEV pada aset terbukti exposed biasanya perlu penanganan mendesak; item non-KEV tetap dapat lebih prioritas jika dampak lokal dan reachability lebih buruk.
Gunakan workflow scoring berulang
Tetapkan coordinator untuk record kerentanan, asset owner untuk fakta paparan, remediation owner untuk perubahan, dan approver untuk risiko pengecualian. Nilai dengan urutan: konfirmasi aset; tetapkan paparan dan precondition eksploit; klasifikasikan dampak bisnis; identifikasi status KEV serta perbaikan vendor; lalu tentukan prioritas dan due date. Simpan source URL dan tanggal pengumpulan karena catalog serta advisory dapat berubah.
| Sinyal | Pertanyaan | Bukti |
|---|---|---|
| CVE | Isu spesifik dan versi perbaikannya apa? | advisory dan versi terpasang |
| CWE | Kelemahan berulang apa yang memungkinkan? | pemetaan direview dan kode/konfigurasi |
| KEV | Apakah eksploitasi diketahui dicatat? | entry CISA terkini |
| Konteks lokal | Dapatkah aset dicapai dan apa yang gagal? | route, auth, owner, dampak bisnis |
Kartu selesai dapat berbunyi: identifier CVE dikonfirmasi pada EDGE-01; update vendor tersedia; status KEV diperiksa pada tanggal review; paparan eksternal dikonfirmasi; infrastructure owner ditetapkan; mitigasi jatuh tempo hari ini; patch pada maintenance window disetujui; retest diperlukan. Jangan mengarang identifier atau mengatakan produk rentan tanpa kondisi vendor yang cocok.
Kelola pengecualian dan closure
Record prioritas memuat owner, due date, mitigasi, remediasi, hasil retest, dan exception expiry. Mitigasi dapat mengurangi paparan sebelum patch: batasi route, nonaktifkan feature terdampak, terapkan workaround vendor, rotasi kredensial, atau hapus layanan. Ini bukan closure kecuali didokumentasikan sebagai resolusi permanen yang disetujui. Pengecualian memiliki scope, alasan, risk owner, kontrol kompensasi, persetujuan, serta expiry; item terbuka kembali saat expiry lewat.
Lulus berarti komponen, paparan, prioritas, owner, due date, dan hasil memiliki bukti. Gagal berarti owner tidak diketahui, tidak ada tanggal, pengecualian basi, produk tak didukung tanpa keputusan, atau perbaikan diklaim tanpa retest. Workflow ini membuat antrean dapat diaudit tanpa presisi palsu dari satu skor.
Jaga record tetap mutakhir
Periksa ulang advisory vendor, status KEV, inventaris aset, dan paparan setelah perubahan material. Tautkan satu record ke instance terkait agar remediation owner melihat seluruh aset terdampak tanpa kehilangan due date per aset. Jika bukti versi berkonflik, tandai status investigasi, bukan menutup diam-diam. Jika pola CWE berulang, tetapkan engineering owner dan tindakan preventif dengan due date, terpisah dari perbaikan CVE individual. Eskalasikan item exposed overdue kepada risk owner dengan bukti terkini dan keputusan berikutnya. Record ini mendukung prioritisasi yang dapat dipertanggungjawabkan karena setiap ranking dapat direkonstruksi dari fakta pada waktu review.
Hindari distorsi antrean
Jangan menutup record karena scanner berhenti melaporkannya sampai versi, konfigurasi, dan identitas aset diperiksa. Jangan membuat record duplikat untuk komponen sama tanpa menautkannya. Prioritisasi juga perlu mengidentifikasi produk tak didukung, karena tanpa patch vendor remediasi berubah menjadi keputusan penggantian, isolasi, atau penghapusan. Dokumentasikan ketidakpastian dengan jelas. Isu terkonfirmasi dan terjangkau dengan detail dampak bisnis belum lengkap tetap dapat menerima mitigasi mendesak sambil owner melengkapi klasifikasi. Ini mempertahankan tindakan tanpa mengarang kepastian.
Record selesai tanpa mengarang temuan
Gunakan record nyata hanya setelah identifier otoritatif dan fakta aset dikonfirmasi. Struktur contoh: VULN-2026-014; CVE: CVE-YYYY-NNNN disalin dari advisory vendor; CWE: dipetakan hanya dengan bukti direview; KEV diperiksa terhadap catalog pada tanggal pengumpulan; aset: ID inventaris bernama; owner: role bernama; mitigasi due: timestamp; remediasi due: change window disetujui; exception: identifier, approver, kontrol kompensasi, expiry; retest: metode, URI bukti, reviewer, hasil. Sampai CVE aktual dan versi terdampak cocok, pertahankan record sebagai investigasi dan jangan memberi label KEV, terdampak, atau tertutup.
Penutupan prioritas menghubungkan identifier terverifikasi, versi aset, exploitability, owner, dan tanggal retest pada satu record. Output diharapkan: urgency mengikuti bukti saat ini, bukan label severity saja. Kasus tepi: advisory dibatalkan atau versi aset berubah; perbarui status dan alasan. Tutup hanya setelah mitigasi atau exception memiliki bukti dan expiry.