Tim keamanan jarang gagal karena kekurangan data. Lebih sering, mereka gagal karena mereka memperbaiki masalah yang salah terlebih dahulu. Itulah mengapa Known-Exploit Intelligence, manajemen kerentanan berbasis risiko, Cyber Resilience Act, dan CISKatalog Kerentanan yang Diketahui dan Dieksploitasi kini menyatu dalam alur kerja Keamanan Aplikasi modern.
Setiap minggu, pemindai melaporkan ratusan kerentanan. Namun, penyerang hanya mengeksploitasi sebagian kecil dari kerentanan tersebut. Akibatnya, tim yang memprioritaskan tanpa konteks eksploitasi membuang waktu sementara ancaman nyata lolos begitu saja. Known-Exploit Intelligence menutup celah tersebut dengan menampilkan kerentanan yang sebenarnya digunakan penyerang, bukan hanya yang terlihat serius di atas kertas.
Apa yang Diketahui - Eksploitasi Intelijen
Intelijen eksploitasi yang diketahui mengidentifikasi kerentanan yang secara aktif dieksploitasi oleh penyerang di lingkungan nyata. Dengan kata lain, intelijen ini memisahkan risiko teoretis dari perilaku serangan yang telah terkonfirmasi.
Alih-alih bertanya apakah ada kerentanan bisa Jika hal ini dieksploitasi, tim akhirnya dapat bertanya:
Apakah celah keamanan ini sudah dieksploitasi, dan apakah hal ini memengaruhi produk saya?
Perbedaan itu penting secara operasional dan, semakin penting, secara hukum.
Mengapa Prioritas Tradisional Gagal
Sebagian besar tim masih mengandalkan sinyal statis untuk memprioritaskan risiko.
Biasanya, mereka mengelompokkan kerentanan berdasarkan:
- Tingkat keparahan CVSS
- Kepercayaan pemindai
- Popularitas paket
Meskipun sinyal-sinyal ini membantu mengurangi gangguan, sinyal-sinyal tersebut melewatkan satu faktor penting: perilaku penyerang. Akibatnya, tim sering terburu-buru untuk menambal masalah dengan tingkat keparahan tinggi yang tidak pernah dieksploitasi, sementara mengabaikan celah keamanan dengan tingkat keparahan rendah yang secara aktif menjadi target penyerang.
Kesenjangan ini menjelaskan mengapa prioritas statis tidak lagi efektif dalam skala besar.
Mengapa Undang-Undang Ketahanan Siber Mengubah Aturan Main?
Di bawah UU Ketahanan CyberDengan demikian, pengiriman perangkat lunak yang memiliki kerentanan yang dapat dieksploitasi menjadi masalah kepatuhan, bukan hanya masalah keamanan.
Peraturan tersebut mensyaratkan bahwa:
- Produk yang mengandung elemen digital tidak boleh memasuki pasar Uni Eropa jika memiliki kerentanan yang dapat dieksploitasi.
- Para produsen menerapkan penanganan kerentanan dan gerbang persetujuan.
- Eksploitasi di lingkungan nyata memiliki bobot yang lebih besar daripada tingkat keparahan teoretis.
Akibatnya, prioritas bergeser dari praktik terbaik ke kewajiban hukum.
Di sinilah intelijen eksploitasi menjadi sangat penting.
UU Ketahanan Cyber
The UU Ketahanan Cyber adalah peraturan Uni Eropa yang menetapkan persyaratan keamanan siber wajib untuk produk dengan elemen digital yang dijual di Uni Eropa.
Secara sederhana, hal ini mengharuskan produsen untuk merancang, mengembangkan, dan memelihara perangkat lunak yang tidak mengandung kerentanan yang dapat dieksploitasi pada saat dirilis. Selain itu, hal ini mewajibkan perusahaan untuk memantau kerentanan setelah dirilis dan melaporkan masalah yang dieksploitasi secara aktif dalam jangka waktu yang ketat.
Regulasi tersebut mulai berlaku pada Desember 2024. Namun, penegakan penuh dimulai pada Desember 2027. Mulai tahun 2026, perusahaan harus melaporkan kerentanan yang dieksploitasi secara aktif kepada otoritas Uni Eropa dalam waktu 24 jam setelah ditemukan.
Dengan kata lain, Undang-Undang Ketahanan Siber mengubah manajemen kerentanan dari praktik terbaik menjadi persyaratan akses pasar.
Mengapa KEV (Knowledge Exchange Value) Menjadi Pusat Kepatuhan CRA (Canadian Revenue Agency)?
The CISKatalog Kerentanan yang Diketahui dan Telah Dieksploitasi Daftar ini berisi kerentanan CVE yang sudah dieksploitasi oleh penyerang di lapangan. Katalog ini menghilangkan ambiguitas.
Alih-alih memperdebatkan risiko, tim dapat mengandalkan data eksploitasi yang terverifikasi. Akibatnya, KEV menjadi pemicu terkuat untuk SLA perbaikan dan pemblokiran rilis.
Pendekatan ini selaras secara alami dengan manajemen kerentanan berbasis risiko, karena hal itu memfokuskan upaya di tempat terjadinya kerusakan yang sebenarnya.
CVSS, EPSS, dan KEV memiliki tujuan yang berbeda.
Penentuan prioritas yang efektif memerlukan pemahaman tentang bagaimana sinyal-sinyal tersebut berbeda.
- CVSS menunjukkan potensi dampak
- EPS memperkirakan kemungkinan eksploitasi
- The CISKatalog Kerentanan yang Diketahui Telah Dieksploitasi mengkonfirmasi eksploitasi aktif.
Jika digunakan secara terpisah, setiap sinyal akan menyesatkan. Namun, jika digunakan bersama-sama, sinyal-sinyal tersebut memberikan konteks. Kombinasi tersebut membentuk dasar dari manajemen kerentanan berbasis risiko modern.
Bagaimana Intelijen Eksploitasi yang Diketahui Bekerja dalam Praktiknya
Model prioritas praktis mengikuti urutan yang jelas:
- Mendeteksi kerentanan di seluruh kode dan dependensi.
- Cocokkan temuan dengan CISKatalog Kerentanan yang Diketahui dan Telah Dieksploitasi
- Evaluasi kemungkinan eksploitasi menggunakan EPSS
- Verifikasi ketersediaan di aplikasi atau pipeline
- Terapkan aturan remediasi berdasarkan paparan dan peran produk.
Akibatnya, tim berhenti memperlakukan daftar kerentanan sebagai tumpukan pekerjaan yang tertunda dan mulai memperlakukannya sebagai solusi yang mudah.cision.
Bagaimana Kami Membangun Intelijen Eksploitasi yang Diketahui di Xygeni
Kami membangun fitur ini setelah berulang kali melihat tim memperbaiki masalah dengan CVSS tinggi sementara kerentanan yang diketahui telah dieksploitasi mencapai tahap produksi. Pengalaman itu membentuk cara kami merancang sistem ini.
Dengan v5.36, Xygeni mengintegrasikan informasi intelijen eksploitasi yang terverifikasi langsung ke dalam mesin prioritas.
Apa yang terjadi di balik layar?
- Xygeni terus-menerus menyerap katalog eksploitasi tepercaya seperti KEV dan sumber eksploitasi publik lainnya.
- Setiap kerentanan menerima metadata keberadaan eksploitasi.
- Saluran prioritas menggabungkan:
- Status eksploitasi yang diketahui
- Probabilitas EPSS
- Konteks keterjangkauan
- Paparan kode dan dependensi
Platform ini menghitung skor risiko dunia nyata gabungan.
Alih-alih mengganti sinyal yang sudah ada, model ini justru memperhalus sinyal tersebut.
Deteksi → Eksploitasi Cocok → Keterjangkauan → Perbaikan
Alur ini mendorong setiap halcision:
Pengembang melihat konteks eksploitasi secara langsung di pull requests. PipelinePenggabungan blok s hanya dilakukan ketika kode yang dapat dijangkau mencakup kerentanan yang diketahui telah dieksploitasi. Remediasi otomatis akan segera mengusulkan peningkatan yang aman.
Tidak ada rapat. Tidak ada tebak-tebakan. Tidak ada tindakan panik.
Mengapa Ini Penting Lebih dari Sekadar Kepatuhan
Meskipun Undang-Undang Ketahanan Siber memicu pergeseran ini, manfaatnya meluas lebih jauh.
Tim yang memprioritaskan penggunaan informasi intelijen eksploitasi:
- Mengurangi kelelahan siaga
- Mempersingkat waktu perbaikan
- Hindari siklus penambalan darurat
- Kirimkan perangkat lunak yang lebih aman dengan penuh percaya diri.
Kepatuhan menjadi efek samping dari penerapan keamanan yang benar.
Kesimpulan: CRA Mewajibkan Manajemen Berbasis Risiko
Undang-Undang Ketahanan Siber (Cyber Resilience Act) meresmikan apa yang telah dipelajari oleh tim-tim berpengalaman. Tidak semua kerentanan memiliki bobot yang sama.
The CISKatalog Kerentanan yang Diketahui dan Dieksploitasi menunjukkan apa yang digunakan penyerang saat ini. Konteks dan jangkauan menunjukkan apakah hal itu memengaruhi Anda. Bersama-sama, keduanya mendefinisikan kerentanan modern. manajemen kerentanan berbasis risiko.
Xygeni menerapkan model ini secara terus-menerus, otomatis, dan di tempat para pengembang sudah bekerja.
tentang Penulis
Ditulis oleh Fatima Said, Manajer Pemasaran Konten yang berspesialisasi dalam Keamanan Aplikasi di Xygeni Security. Dia membuat konten berbasis riset yang berfokus pada pengembang tentang Keamanan Aplikasi (AppSec). ASPMdan DevSecOps, menerjemahkan tantangan keamanan dunia nyata menjadi panduan yang jelas dan dapat ditindaklanjuti.
