InfraTrust Scoring: Kenapa 61 Kerentanan Infrastruktur Bisa Buat Tim Keamanan Bingung Prioritasnya

Kamu punya 61 kerentanan di firmware, networking, dan edge devices. Tim vendor kasih laporan panjang lebar. Tapi pertanyaan besar: yang mana harus diperbaiki dulu? Eclypsium lewat InfraTrust scoring methodology jawab pertanyaan ini. Bukan cuma skor CVSS, tapi konteks nyata infrastruktur kamu.

Key Takeaways

• InfraTrust bukan sekadar CVSS — scoring mempertimbangkan exploitability, blast radius, dan compensating controls.
• 61 kerentanan infrastruktur diprioritaskan berdasarkan risiko bisnis, bukan severity label.
• Replikasi internal — framework ini bisa kamu adaptasi tanpa bergantung vendor report.

Masalahnya: CVSS Alone Sudah Tidak Cukup

Banyak tim keamanan masih mengandalkan skor CVSS sebagai kompas utama. Masalahnya, CVSS 9.0 tidak otomatis bahaya. Misal: CVSS 9.0 di firmware switch jaringan mungkin tidak sebahaya CVSS 7.5 di management controller server yang punya akses ke seluruh rack.

InfraTrust muncul karena realita: organisasi tenggelam dalam volume kerentanan. Vendor report cuma nambah noise. Yang dibutuhkan bukan “daftar yang harus di-patch”, tapi “prioritas yang masuk akal untuk bisnis kita”. Tim yang handle patch volume besar juga butuh framework yang jelas. Kamu bisa baca patch volume triage framework yang aplikatif.

Apa Itu InfraTrust Scoring?

InfraTrust adalah metodologi scoring Eclypsium yang dirancang khusus untuk infrastruktur: firmware, BMC/management controllers, network devices, dan edge infrastructure. Berbeda dengan scoring generik, InfraTrust evaluate tiga dimensi utama:

• Exploitability Context — apakah eksploitasi butuh akses fisik, network adjacency, atau remote unauthenticated?
• Blast Radius — satu device compromised, berapa device lain yang ikut terbawa? Apakah bisa lateral movement ke hypervisor? Ke cloud?
• Compensating Controls — apakah sudah ada network segmentation? Firmware signing? Hardware root of trust?

Hasilnya: skor 0-100 yang reflect risiko nyata, bukan theoretical severity. Sama seperti pendekatan strategi risiko berbasis data yang pernah kita bahas, InfraTrust menggeser fokus dari “seberapa tinggi score-nya” ke “seberapa besar dampaknya buat bisnis kita”.

61 Kerentanan: Breakdown Kategorinya

Eclypsium kategorikan 61 flaws ini ke dalam tiga domain infrastruktur kritis:

Firmware & BMC (Baseboard Management Controller)

Ini “otak” di balik server. Kerentanan di sini berarti attacker bisa persist di bawah OS, survive reinstall, dan kontrol hardware level. Contoh nyata: IPMI vulnerabilities, Redfish API flaws, UEFI bootkit vectors.

Networking Infrastructure

Switch, router, load balancer — backbone yang kalau compromised, attacker bisa intercept, redirect, atau drop traffic seluruh organisasi. Kerentanan di control plane (SSH, SNMP, NETCONF) atau data plane (ASIC firmware) masuk kategori ini.

Edge & IoT Infrastructure

Device di “ujung” jaringan: edge gateways, industrial controllers, 5G baseband, smart building systems. Sering di luar visibility SOC, patch cycle lama, dan punya physical access risk tinggi.

Framework Replikasi Internal: 4 Langkah

Kamu tidak perlu beli tool Eclypsium untuk mulai. Adaptasi framework ini:

1. Asset Inventory Real — bukan CMDB stale. Scan firmware version, BMC version, network OS version di semua device. Tag: criticality tier (Tier 0 = hypervisor/management, Tier 1 = network backbone, Tier 2 = edge).
2. Map Attack Surface per Tier — Tier 0: remote unauthenticated management interface = highest priority. Tier 1: control plane protocols. Tier 2: physical access vectors.
3. Score dengan Weighted Formula — (Exploitability × 0.4) + (Blast Radius × 0.4) + (Compensating Controls Gap × 0.2). Exploitability: 10=remote unauth, 7=network adjacent, 4=local/auth, 1=physical. Blast Radius: 10=full infra compromise, 5=segment compromise, 2=device only. Controls Gap: 10=zero mitigation, 5=partial, 1=defense-in-depth solid.
4. Threshold-based Action — Skor ≥70: patch/mitigate dalam 72 jam. 40-69: scheduled patch cycle berikutnya. <40: monitor, accept risk, dokumentasikan.

Contoh Penerapan Nyata

Misal: CVE-2024-XXXX di BMC vendor A, CVSS 8.2. InfraTrust scoring:

• Exploitability: 7 (network adjacent, butuh VLAN management access)
• Blast Radius: 10 (BMC compromised = full server control, bisa flash malicious firmware)
• Compensating Controls: 8 (management VLAN tidak segmented, no firmware signing enforcement)
• Skor: (7×0.4) + (10×0.4) + (8×0.2) = 2.8 + 4 + 1.6 = 8.4 → 84

Hasil: Priority 1, patch dalam 72 jam. Bandingkan dengan CVSS 8.2 yang mungkin cuma masuk “high” queue biasa.

Kesalahan Umum Tim Keamanan

• Equals CVSS dengan Risk — CVSS measure severity, bukan risk. Risk = Likelihood × Impact × Asset Value.
• Ignore Compensating Controls — kalau management network sudah air-gapped dan hardware root of trust aktif, risk turun drastis.
• Tidak Tagging Asset Criticality — patch firmware switch akses kantor prioritas sama dengan switch core data center? Salah alokasi resource.
• Vendor Report sebagai Single Source of Truth — vendor optimize untuk liability reduction, bukan operational efficiency kamu.

Tools & Data Sources untuk Support Scoring

• EPSS (Exploit Prediction Scoring System) — probability eksploitasi di wild dalam 30 hari. Data FIRST.org.
• CISA KEV (Known Exploited Vulnerabilities) — ground truth: sudah dieksploitasi nyata.
• Vendor Security Advisories — tapi filter: ambil hanya affected versions & fixed versions, abaikan marketing fluff.
• Firmware Analysis Tools — binwalk, FACT, atau commercial (Eclypsium, Phosphorus, IoT Inspector) untuk verify mitigations.

Komunikasi ke Executive: Dari Skor ke Business Risk

CISO butuh bahasa bisnis, bukan technical score. Kamu bisa pakai template komunikasi executive yang udah pernah kita bahas sebelumnya.

• “61 kerentanan infrastruktur teridentifikasi. 12 skor ≥70 (critical business risk), 28 skor 40-69 (managed risk), 21 skor <40 (accepted risk).”
• “12 critical: 8 BMC/management controllers, 3 network control plane, 1 edge gateway. Estimasi patch effort: 120 jam engineering time.”
• “Risk reduction: patch 12 critical → turunkan infrastructure compromise probability dari 34% ke 8% (berbasis FAIR model).”

Angka-angka ini bikin board dengar, bukan “kita punya 61 CVE”.

FAQ

Apakah InfraTrust scoring replace CVSS?

Tidak. CVSS tetap baseline untuk vulnerability characterization. InfraTrust layer di atas untuk contextualisasi ke infrastruktur spesifik. Gunakan keduanya: CVSS untuk triage awal, InfraTrust untuk prioritisasi final.

Berapa lama setup framework ini internal?

Asset inventory paling time-consuming: 2-4 minggu untuk organisasi enterprise pertama kali. Scoring process: 2-3 hari sekali inventory selesai. Maintenance: update mingguan saat advisory baru keluar.

Apakah butuh tool komersial?

Tidak wajib. Spreadsheet + asset data + EPSS/KEV feed cukup untuk mulai. Tool komersial (Eclypsium, Phosphorus, runZero) automate inventory dan continuous monitoring — value add saat skala besar.

Kesimpulan

InfraTrust scoring methodology Eclypsium bagi kita yang manage infrastruktur kritis: jangan cuma lihat skor CVSS. Konteks infrastruktur — blast radius, compensating controls, exploitability nyata — yang menentukan prioritas patch yang masuk akal.

61 kerentanan firmware, networking, edge. Bukan angka untuk ditakuti, tapi data untuk keputusan. Replikasi framework 4 langkah di atas, adaptasi ke reality organisasi kamu, dan komunikasi ke executive dalam bahasa bisnis.

Mau coba scoring infrastructure vulnerabilities kamu sendiri? Mulai dari asset inventory hari ini. Atau butuh bantuan setup framework? Chat di sini, kita bahas.