Penilaian kerentanan memindai sistem untuk mencari kelemahan yang diketahui. Ini bukan pengujian penetrasi. Pengujian penetrasi mencoba mengeksploitasi kelemahan. Penilaian kerentanan mengidentifikasi dan mencantumkannya. Hasilnya adalah laporan dengan temuan yang diurutkan berdasarkan tingkat keparahan. Organisasi memutuskan apa yang perlu diperbaiki dan kapan. Penilaian lebih cepat dan lebih murah daripada pengujian penetrasi, itulah sebabnya penilaian dilakukan lebih sering. Pemindaian triwulanan adalah hal yang umum. Pemindaian berkelanjutan menjadi standar.

Alat-alat yang digunakan bervariasi. Pemindai jaringan seperti Nessus dan OpenVAS memeriksa host untuk port terbuka, perangkat lunak usang, dan patch yang hilang. Pemindai aplikasi web seperti Burp Suite dan OWASP ZAP menjelajahi situs untuk mencari celah injeksi, otentikasi yang rusak, dan kesalahan konfigurasi. Alat postur keamanan cloud memeriksa konfigurasi terhadap tolok ukur. Setiap alat memiliki titik buta. Pemindai menghasilkan positif palsu dan melewatkan celah logika yang memerlukan analisis manusia. Penilaian kerentanan adalah titik awal. Ini memberi tahu Anda ke mana harus mencari. Ini tidak memberi tahu Anda apa yang sebenarnya akan dilakukan penyerang. Menggabungkan penilaian dengan pengujian penetrasi memberikan gambaran yang lebih lengkap. Pemindaian menemukan celah. Pengujian penetrasi membuktikan celah mana yang penting.

Langkah-langkah penilaian kerentanan

• Tentukan ruang lingkup dan inventaris aset.
• Jalankan pemindaian otomatis
• Validasi temuan dan singkirkan hasil positif palsu.
• Prioritaskan berdasarkan tingkat keparahan dan konteks.
• Lakukan perbaikan dan pemindaian ulang untuk konfirmasi.

Pemindaian yang berjalan tetapi tidak pernah menghasilkan perbaikan hanyalah latihan kepatuhan. Nilai sebenarnya terletak pada perbaikan yang dilakukan.