Bagaimana memprioritaskan kerentanan keamanan sistem Anda - dummies

Memprioritaskan kerentanan keamanan yang Anda temukan sangat penting karena banyak masalah mungkin tidak dapat diperbaiki, dan yang lainnya mungkin tidak layak diperbaiki. Anda mungkin tidak dapat menghilangkan beberapa kerentanan karena berbagai alasan teknis, dan Anda mungkin tidak mampu untuk mengeliminasi orang lain. Atau, cukup, bisnis Anda mungkin memiliki tingkat toleransi risiko tertentu. Setiap situasi berbeda.

Anda perlu mempertimbangkan apakah keuntungan itu layak untuk usaha dan biaya. Di sisi lain, menghabiskan beberapa minggu waktu pengembangan untuk memperbaiki skrip cross-site dan kerentanan injeksi SQL bisa bernilai banyak uang, terutama jika Anda akhirnya mendapat kekurangan oleh pihak ketiga atau kehilangan calon pelanggan. Hal yang sama berlaku untuk perangkat mobile yang setiap orang bersumpah tidak mengandung informasi sensitif.

Anda perlu mempelajari setiap kerentanan dengan hati-hati, menentukan risiko bisnis, dan mempertimbangkan apakah masalah layak diperbaiki.

Tidak mungkin - atau paling tidak patut dicoba - untuk memperbaiki setiap kerentanan yang Anda temukan. Analisis setiap kerentanan dengan hati-hati dan tentukan skenario terburuk Anda. Jadi Anda memiliki pemindaian permintaan lintas situs (CSRF) pada antarmuka web printer Anda? Apa resiko bisnisnya? Mungkin FTP berjalan di banyak server internal. Apa resiko bisnisnya? Bagi banyak kekurangan keamanan, kemungkinan besar Anda akan menemukan risikonya tidak ada.

Dengan keamanan - seperti kebanyakan area kehidupan - Anda harus fokus pada tugas dengan gaji tertinggi. Jika tidak, Anda akan membuat diri Anda gila dan mungkin tidak akan terlalu jauh dalam memenuhi tujuan Anda sendiri. Berikut adalah metode cepat untuk digunakan saat memprioritaskan kerentanan Anda. Anda bisa men-tweak metode ini untuk mengakomodasi kebutuhan Anda. Anda perlu mempertimbangkan dua faktor utama untuk masing-masing kerentanan yang Anda temukan:

• Kemungkinan eksploitasi: Seberapa besar kemungkinan kerentanan spesifik yang Anda analisis akan dimanfaatkan oleh hacker, pengguna jahat, malware, atau ancaman lainnya?

• Dampak jika dieksploitasi: Seberapa merugikan jika kerentanan yang Anda analisis dieksploitasi?

Banyak orang sering melewatkan pertimbangan ini dan menganggap bahwa setiap kerentanan yang ditemukan harus diselesaikan. Kesalahan besar. Hanya karena kerentanan ditemukan tidak berarti itu berlaku untuk situasi dan lingkungan khusus Anda. Jika Anda masuk dengan pola pikir bahwa setiap kerentanan akan ditangani tanpa mempedulikan keadaan, Anda akan membuang banyak waktu, tenaga, dan uang yang tidak perlu, dan Anda dapat mengatur program penilaian keamanan Anda untuk kegagalan dalam jangka panjang.

Namun, hati-hati jangan sampai terlalu jauh ke arah lain! Banyak kerentanan tidak tampak terlalu serius di permukaan tapi bisa saja membawa organisasi Anda ke air panas jika mereka dieksploitasi. Gali dalam dan gunakan akal sehat.

Tinjau setiap kerentanan, dengan menggunakan kriteria seperti peringkat Tinggi, Sedang, dan Rendah atau 1 sampai melalui 5 (di mana 1 adalah prioritas terendah dan 5 adalah yang tertinggi) untuk masing-masing dari kedua pertimbangan tersebut. Berikut adalah tabel sampel dan kerentanan perwakilan untuk setiap kategori.

Memprioritaskan Kerentanan

Kemungkinan Tinggi	Kemungkinan Sedang	Kemungkinan Rendah
Dampak Tinggi	Informasi sensitif yang tersimpan pada laptop yang tidak terenkripsi	Tape backup diambil di luar tempat yang tidak dienkripsi dan / atau < kata sandi dilindungi Tidak ada kata sandi administrator pada sistem SQL Server internal	Dampak Sedang
e-mail yang tidak dienkripsi yang berisi informasi sensitif	mengirim patch Windows yang hilang pada server internal yang dapat < dieksploitasi menggunakan Metasploit	Tidak ada kata sandi yang diperlukan pada beberapa administrator Windows accounts	accounts Dampak Rendah
Tanda tangan virus usang pada PC mandiri yang didedikasikan untuk	penjelajahan Internet Karyawan atau pengunjung mendapatkan jaringan yang tidak sah akses	Enkripsi enkripsi yang lemah digunakan di situs web pemasaran	Prioritas kerentanan yang ditunjukkan didasarkan pada metode kualitatif untuk menilai risiko keamanan. Dengan kata lain, ini subjektif, berdasarkan pengetahuan Anda tentang sistem dan kerentanan. Anda juga dapat mempertimbangkan peringkat risiko apa pun yang Anda dapatkan dari alat keamanan Anda - hanya tidak bergantung hanya pada mereka, karena vendor tidak dapat memberikan peringkat tertinggi kerentanan.