Materi
Setelah layanan dan versi diketahui, fase analisis kerentanan mencocokkannya ke basis data kerentanan. Glosarium NIST mendefinisikan CVE (Common Vulnerabilities and Exposures) sebagai daftar nama baku untuk kerentanan yang diketahui publik: tiap entri bernomor, berdeskripsi, dan berujuk. CPE (Common Platform Enumeration) adalah konvensi penamaan baku untuk sistem operasi, perangkat keras, dan aplikasi — penghubung yang memungkinkan sebuah versi perangkat lunak dicocokkan ke CVE yang mengenainya. NVD (National Vulnerability Database) milik NIST menautkan CVE dengan skor keparahannya.
Pemindai kerentanan mengotomatiskan pencocokan ini, tetapi SP 800-115 memperingatkan tingkat positif palsu yang tinggi: alat melaporkan kerentanan yang sebenarnya tidak ada (false positive), atau sebaliknya gagal mendeteksi yang ada (false negative). Karena itu penguji memvalidasi tiap temuan — memeriksa manual atau membandingkan dua alat — sebelum memasukkannya ke laporan. Daftar temuan hasil pindai sering berupa berkas CSV; penguji menyaringnya untuk memisahkan temuan yang sudah divalidasi sahih dari yang ternyata positif palsu. Di latihan ini, nomor kerentanan diberi label KG-… sebagai pengganti nomor CVE asli.
| Istilah | Artinya |
|---|---|
| CVE | Nama/nomor baku satu kerentanan yang diketahui publik |
| CPE | Nama baku satu platform (OS/aplikasi), penghubung versi ke CVE |
| Positif palsu | Alat melaporkan kerentanan yang sebenarnya tidak ada |
| Negatif palsu | Alat gagal mendeteksi kerentanan yang sebenarnya ada |
