Materi
Keparahan tiap temuan dinyatakan dengan Common Vulnerability Scoring System (CVSS) yang dipelihara FIRST. Spesifikasi CVSS v4.0 memuat pita keparahan kualitatif yang berlaku untuk semua skor: None 0.0, Low 0.1–3.9, Medium 4.0–6.9, High 7.0–8.9, dan Critical 9.0–10.0. Pita ini dipakai untuk mengurutkan temuan di laporan. Perhatikan batas bawahnya: 7.0 sudah High dan 9.0 sudah Critical.
User Guide CVSS v4.0 menegaskan satu hal penting: skor dasar (Base) mengukur KEPARAHAN, bukan risiko. Skor dasar hanya mencerminkan ciri intrinsik kerentanan dan perlu dilengkapi metrik Ancaman (mis. Exploit Maturity — apakah sudah ada kode eksploit atau eksploitasi nyata) dan Lingkungan (seberapa penting dan terpapar sistemnya). Karena itu prioritas perbaikan tidak cukup dari skor dasar saja. CISA memelihara katalog Known Exploited Vulnerabilities (KEV), daftar otoritatif kerentanan yang sudah dieksploitasi di dunia nyata, dan menganjurkan perbaikannya didahulukan. Dalam ATT&CK, memanfaatkan aplikasi yang menghadap internet adalah teknik Exploit Public-Facing Application (T1190) — konteks yang menaikkan urgensi sebuah temuan.
| Pita keparahan | Skor CVSS |
|---|---|
| None | 0.0 |
| Low | 0.1 – 3.9 |
| Medium | 4.0 – 6.9 |
| High | 7.0 – 8.9 |
| Critical | 9.0 – 10.0 |
