Sebuah perusahaan menerima laporan Vulnerability Assessment dengan hasil yang terlihat cukup meyakinkan. Tidak ditemukan kerentanan kritis, sementara sebagian besar temuan hanya berada pada tingkat risiko rendah. Hasil tersebut kemudian menjadi dasar bagi manajemen untuk menilai bahwa kondisi keamanan server sudah cukup baik.

Namun, ada satu informasi yang belum mendapat perhatian. Beberapa server ternyata tidak berhasil diperiksa karena koneksi pemindaian terputus, akses jaringan dibatasi, atau proses autentikasi mengalami kegagalan.

Persoalannya bukan sekadar ada server yang gagal dipindai. Ketika sebagian infrastruktur tidak berhasil diperiksa, jumlah kerentanan yang tercatat belum tentu menggambarkan kondisi keamanan sebenarnya. Sistem yang terlihat memiliki sedikit celah mungkin hanya belum diperiksa secara menyeluruh.

Kondisi inilah yang membuat keberhasilan proses Vulnerability Assessment perlu dinilai lebih jauh daripada sekadar melihat jumlah temuan dalam laporan.

Ketika Server Tidak Bisa Diakses, Hasil Pemindaian Kehilangan Sebagian Konteks

Vulnerability Assessment merupakan proses untuk mengidentifikasi dan mengevaluasi kelemahan keamanan pada sistem, aplikasi, maupun infrastruktur teknologi informasi. Dalam pelaksanaannya, vulnerability scanner membantu pemeriksa mengumpulkan informasi mengenai layanan, versi perangkat lunak, konfigurasi, dan indikasi kerentanan yang terdapat pada target.

Namun, kemampuan scanner selalu bergantung pada informasi yang berhasil diperoleh selama pemeriksaan.

Ketika sebuah server tidak memberikan respons, sebagian proses identifikasi tidak dapat dilanjutkan. Scanner mungkin gagal mengenali layanan yang berjalan, tidak memperoleh informasi versi perangkat lunak, atau tidak berhasil menjalankan pemeriksaan kerentanan tertentu.

Akibatnya, informasi yang diperlukan untuk mengevaluasi keamanan server menjadi terbatas.

National Institute of Standards and Technology (NIST) melalui publikasi SP 800-115, Technical Guide to Information Security Testing and Assessment, menjelaskan bahwa vulnerability scanning memiliki keterbatasan teknis. Pemindaian berbasis jaringan, misalnya, bergantung pada sistem aktif yang dapat dijangkau dari lokasi pengujian.

Hal ini memperlihatkan bahwa hasil pemindaian tidak dapat dilepaskan dari kondisi akses, konfigurasi, dan metode pemeriksaan yang digunakan.

Server yang tidak terjangkau juga tidak otomatis berarti memiliki kerentanan. Namun, kondisinya belum dapat dinyatakan aman hanya berdasarkan tidak adanya temuan dari proses pemindaian tersebut.

Perbedaan antara tidak ditemukan kerentanan dan tidak berhasil melakukan pemeriksaan menjadi hal penting yang harus dipahami sebelum hasil Vulnerability Assessment digunakan untuk mengambil keputusan.

Firewall, Kredensial, dan Segmentasi Jaringan Bisa Membatasi Hasil Vulnerability Assessment

Kegagalan pemindaian tidak selalu disebabkan oleh kerusakan server atau kesalahan vulnerability scanner. Dalam banyak lingkungan perusahaan, mekanisme perlindungan yang sudah diterapkan justru dapat membatasi akses pemeriksaan.

Firewall, segmentasi jaringan, kontrol autentikasi, dan kebijakan keamanan server memiliki peran penting dalam melindungi infrastruktur. Namun, mekanisme yang sama juga dapat memengaruhi kedalaman informasi yang diperoleh selama pengujian.

Firewall dan Segmentasi Jaringan Menghalangi Jalur Pemindaian

Perusahaan umumnya menerapkan firewall untuk mengendalikan lalu lintas jaringan yang diperbolehkan mengakses server. Sementara itu, segmentasi jaringan digunakan untuk memisahkan sistem berdasarkan kebutuhan operasional dan tingkat sensitivitasnya.

Pengaturan tersebut merupakan praktik keamanan yang wajar. Persoalan muncul ketika jalur akses untuk kegiatan Vulnerability Assessment tidak dipersiapkan sesuai dengan ruang lingkup pengujian.

Sebagai contoh, sebuah perusahaan memiliki beberapa server aplikasi yang berada di jaringan internal. Pengujian dilakukan menggunakan scanner dari segmen jaringan berbeda, tetapi aturan firewall tidak mengizinkan lalu lintas pemeriksaan menuju sebagian server.

Dalam kondisi tersebut, scanner mungkin hanya berhasil mengidentifikasi beberapa target, sementara server lainnya tercatat tidak dapat dijangkau.

Bukan berarti perusahaan perlu menonaktifkan seluruh perlindungan jaringan. Yang diperlukan adalah perencanaan jalur pemindaian agar pemeriksaan dapat dilakukan sesuai tujuan, ruang lingkup, dan otorisasi yang telah disepakati.

Kegagalan Authenticated Scanning Membatasi Pemeriksaan Internal

Tidak semua kelemahan keamanan dapat diketahui hanya melalui pemeriksaan jaringan dari luar.

Beberapa jenis kerentanan membutuhkan informasi internal server, seperti daftar perangkat lunak terpasang, tingkat pembaruan keamanan, konfigurasi sistem operasi, dan pengaturan layanan tertentu.

Informasi tersebut dapat diperoleh melalui authenticated scanning, yaitu pemeriksaan yang menggunakan kredensial dengan hak akses sesuai kebutuhan.

Namun, kredensial yang diberikan belum tentu dapat digunakan dengan baik. Akun mungkin tidak memiliki izin yang cukup, autentikasi SSH atau SMB gagal, atau kebijakan keamanan server membatasi proses pengumpulan informasi.

Dokumentasi teknis Rapid7 InsightVM menjelaskan bahwa keberhasilan autentikasi tidak selalu menjamin seluruh pengumpulan data internal berjalan dengan baik. Terdapat kondisi ketika kredensial berhasil digunakan untuk masuk, tetapi sebagian informasi yang diperlukan tetap gagal diperoleh.

Artinya, keberhasilan login tidak dapat dijadikan satu-satunya indikator bahwa pemeriksaan internal telah selesai.

Timeout dan Gangguan Koneksi Menghentikan Pemeriksaan

Masalah lain yang dapat memengaruhi vulnerability scanning adalah koneksi yang tidak stabil.

Server yang mengalami beban tinggi, gangguan jaringan, atau pembatasan koneksi dapat berhenti merespons permintaan scanner. Dalam situasi tertentu, proses pemeriksaan terhenti sebelum seluruh pengujian selesai.

Gangguan tersebut dapat mengakibatkan sebagian informasi berhasil dikumpulkan, sedangkan pemeriksaan lainnya tidak terlaksana.

Apabila kondisi ini tidak diperhatikan, laporan berisiko memberikan gambaran yang kurang lengkap mengenai keamanan aset yang diuji.

Celah yang Tidak Terdeteksi Bisa Menciptakan Rasa Aman yang Keliru

Salah satu risiko dalam Vulnerability Assessment adalah munculnya false negative, yaitu kondisi ketika kerentanan sebenarnya ada, tetapi tidak terdeteksi oleh metode pemeriksaan yang digunakan.

False negative dapat terjadi karena beberapa faktor, termasuk keterbatasan kemampuan deteksi, informasi yang tidak mencukupi, atau kondisi teknis yang membuat pemeriksaan tidak berjalan sebagaimana mestinya.

Kegagalan mengakses server dapat meningkatkan risiko terlewatnya kerentanan. Namun, perlu dibedakan antara kerentanan yang tidak terdeteksi pada sistem yang telah diperiksa dan aset yang sama sekali belum berhasil diuji.

Keduanya menimbulkan keterbatasan hasil, tetapi membutuhkan penjelasan yang berbeda dalam laporan.

Sebagai gambaran, sebuah server menjalankan perangkat lunak dengan versi lama yang memiliki kerentanan keamanan. Apabila scanner berhasil memperoleh informasi versi dan konfigurasi yang diperlukan, kerentanan tersebut berpotensi teridentifikasi.

Sebaliknya, ketika akses pemeriksaan gagal, scanner mungkin tidak memiliki informasi yang cukup untuk menilai kondisi perangkat lunak tersebut.

Hasilnya, tidak ada temuan yang tercatat meskipun status keamanan server belum berhasil dipastikan.

Ketiadaan temuan tidak dapat dianggap sebagai bukti bahwa sistem bebas dari kerentanan, terutama ketika cakupan pemeriksaannya belum memadai.

Persoalan menjadi lebih besar apabila laporan tersebut digunakan sebagai dasar untuk menentukan prioritas perbaikan, menyusun anggaran keamanan, atau menyampaikan kondisi sistem kepada manajemen.

Keputusan yang dibuat berdasarkan informasi tidak lengkap berpotensi mengabaikan risiko yang sebenarnya masih perlu dievaluasi.

Masalah Terbesar Bukan Selalu pada Scanner, Melainkan pada Cara Hasilnya Dipahami

Dalam praktik keamanan siber, perhatian terhadap laporan Vulnerability Assessment sering terpusat pada jumlah temuan berdasarkan tingkat keparahannya.

Kerentanan kritis dan tinggi biasanya menjadi prioritas, sementara hasil dengan sedikit temuan dianggap menunjukkan kondisi keamanan yang lebih baik.

Pendekatan tersebut tidak sepenuhnya keliru. Tingkat keparahan memang penting untuk membantu menentukan prioritas penanganan. Namun, jumlah temuan hanya dapat memberikan gambaran yang bermakna apabila proses pemeriksaan memiliki cakupan yang jelas.

Sebuah laporan yang menemukan dua kerentanan kritis pada seluruh server yang berhasil diperiksa tidak dapat dibandingkan begitu saja dengan laporan yang tidak menemukan kerentanan kritis tetapi hanya berhasil menguji sebagian target.

Perbedaan cakupan tersebut memengaruhi tingkat keyakinan terhadap kesimpulan yang dihasilkan.

Analisis ini sering kami temukan saat melakukan penetration testing pada perusahaan di Indonesia.

Persoalan yang perlu diperhatikan bukan hanya kemampuan alat mendeteksi kelemahan keamanan, melainkan juga bagaimana hasil pemeriksaan diterjemahkan menjadi informasi risiko bagi perusahaan.

NIST SP 800-115 menekankan pentingnya interpretasi hasil pengujian oleh tenaga yang memahami jaringan dan keamanan sistem operasi. Dokumen tersebut juga mengingatkan bahwa penilaian risiko tidak seharusnya hanya mengandalkan hasil otomatis yang diberikan vulnerability scanner.

Dengan demikian, proses Vulnerability Assessment memerlukan evaluasi terhadap temuan sekaligus keterbatasan pemeriksaannya.

Laporan yang baik semestinya dapat menjawab pertanyaan mengenai aset yang berhasil diperiksa, akses yang digunakan, kendala yang ditemukan, dan bagian sistem yang masih membutuhkan pengujian tambahan.

Tanpa informasi tersebut, pembaca laporan dapat menafsirkan rendahnya jumlah temuan sebagai rendahnya risiko, padahal keduanya belum tentu berkaitan secara langsung.

Validasi Cakupan Pemindaian Sama Pentingnya dengan Menindaklanjuti Temuan

Perusahaan perlu memastikan bahwa Vulnerability Assessment tidak hanya menghasilkan daftar kerentanan, tetapi juga memberikan gambaran yang dapat dipertanggungjawabkan mengenai pelaksanaan pemeriksaan.

Salah satu langkah penting adalah memvalidasi scan coverage, yaitu cakupan aset dan bagian sistem yang benar-benar berhasil diperiksa.

Validasi dapat dimulai dengan mencocokkan daftar server dalam ruang lingkup pengujian dengan hasil pemindaian. Setiap target perlu memiliki status yang jelas, termasuk ketika pemeriksaan tidak berhasil dilakukan.

Langkah berikutnya adalah meninjau catatan pemindaian untuk mengetahui apakah terdapat kegagalan koneksi, masalah autentikasi, atau pemeriksaan yang terhenti sebelum selesai.

Beberapa langkah yang dapat diterapkan meliputi:

1. Memastikan inventaris aset sesuai dengan ruang lingkup pengujian. Daftar server, alamat IP, dan layanan yang akan diperiksa perlu ditetapkan sebelum pemindaian dilakukan.
2. Memeriksa keberhasilan akses scanner. Setiap target perlu dievaluasi untuk memastikan jalur jaringan dan mekanisme autentikasi bekerja sesuai kebutuhan pengujian.
3. Meninjau scan logs dan status pemeriksaan. Kesalahan koneksi, timeout, serta kegagalan autentikasi perlu dianalisis agar tidak dianggap sebagai hasil pemeriksaan yang normal.
4. Melakukan pemindaian ulang jika diperlukan. Server yang sebelumnya tidak berhasil diperiksa perlu diuji kembali setelah kendala akses diselesaikan.
5. Mendokumentasikan keterbatasan pengujian. Setiap pengecualian dan pemeriksaan yang belum selesai perlu disampaikan agar hasil laporan tidak menimbulkan kesimpulan yang keliru.

Langkah tersebut tidak menjamin semua kerentanan akan ditemukan. Namun, validasi membantu perusahaan mengetahui seberapa jauh pemeriksaan telah dilakukan dan bagian mana yang masih membutuhkan perhatian.

Pada kondisi tertentu, pengujian manual atau pendekatan penetration testing dapat digunakan untuk memperdalam evaluasi keamanan sesuai tujuan dan ruang lingkup yang disepakati.

Perlu dipahami bahwa Vulnerability Assessment dan Penetration Testing memiliki tujuan serta pendekatan yang berbeda. Penetration testing juga memiliki keterbatasan dan tidak otomatis menjamin seluruh kerentanan ditemukan.

Karena itu, pemilihan metode pengujian seharusnya didasarkan pada kebutuhan evaluasi keamanan perusahaan, bukan semata-mata anggapan bahwa satu metode selalu lebih baik daripada metode lainnya.

Vulnerability Assessment yang Dapat Dipercaya Harus Menjelaskan Apa yang Berhasil dan Belum Diperiksa

Keamanan sistem tidak dapat dinilai hanya berdasarkan sedikitnya jumlah kerentanan dalam laporan. Hasil pemeriksaan harus dibaca bersama informasi tentang cakupan pengujian, keberhasilan akses, dan keterbatasan metode yang digunakan.

Ketika vulnerability scanner gagal mengakses server, perusahaan tidak seharusnya langsung menyimpulkan bahwa server tersebut aman. Status yang lebih tepat adalah bahwa kondisi keamanannya masih memerlukan pemeriksaan lebih lanjut.

Pemahaman ini penting karena Vulnerability Assessment pada akhirnya bukan hanya kegiatan untuk menghasilkan daftar temuan. Nilai utamanya terletak pada kemampuan memberikan informasi yang relevan agar perusahaan dapat mengenali risiko dan menentukan langkah perbaikan.

Laporan yang menunjukkan keterbatasan secara terbuka justru lebih bermanfaat daripada laporan yang terlihat baik tetapi tidak menjelaskan bagian sistem yang gagal diperiksa.

Dengan memastikan kelengkapan cakupan, mengevaluasi hasil pemindaian, dan menindaklanjuti kendala teknis, perusahaan dapat memperoleh dasar penilaian keamanan yang lebih dapat dipercaya.

Pastikan Pemeriksaan Keamanan Sistem Perusahaan Dilakukan Secara Tepat Bersama Fourtrezz

Fourtrezz, bagian dari PT Tiga Pilar Keamanan, menyediakan layanan keamanan siber untuk membantu perusahaan mengidentifikasi dan mengevaluasi kerentanan pada aset digital.

Melalui layanan Vulnerability Assessment dan Penetration Testing, Fourtrezz mendukung pengujian keamanan aplikasi web, aplikasi mobile, API, jaringan, serta server perusahaan.

Dengan pendekatan pengujian yang disesuaikan dengan ruang lingkup dan kebutuhan sistem, Fourtrezz membantu perusahaan memperoleh pemahaman mengenai potensi kerentanan, risiko keamanan, dan rekomendasi perbaikan yang dapat ditindaklanjuti.

Bagi perusahaan yang ingin mengevaluasi keamanan sistem maupun merencanakan pengujian secara berkala, Fourtrezz terbuka untuk diskusi dan kerja sama sesuai kebutuhan organisasi.

Hubungi Fourtrezz:

Website: www.fourtrezz.co.id
Telepon/WhatsApp: +62 857-7771-7243
Email: [email protected]