Tutorial Vulnerability Management OpenVAS untuk Developer

Microsoft Patch Tuesday Agustus 2026 menutup 751 CVE dalam satu rilis, 108 di antaranya berperingkat Critical. Salah satunya, CVE-2026-68820 yang merupakan flaw pada WinSock AFD driver, sudah dieksploitasi sebelum patch dirilis. Jika strategi vulnerability tim Anda hanya menunggu Patch Tuesday lalu panik, bulan itu adalah saat Anda menyadari mengapa panik tidak bisa diskalakan.

Tutorial ini membangun program vulnerability management dari nol menggunakan OpenVAS (Greenbone Community Edition), scanner open source yang unlimited dan gratis. Program ini mencakup Windows, Linux, network appliances, dan container images. Anggarakan sekitar 100 menit untuk menyiapkan toolchain inti; menjalankan program sehari-hari jauh lebih cepat setelah terotomatisasi.

Apa Itu Vulnerability Management?

Vulnerability management menggantikan pendekatan reaktif dengan pipeline yang repeatable: Anda selalu tahu apa yang exposed, flaw mana yang benar-benar dieksploitasi attacker, dan seberapa cepat masing-masing harus ditutup. Program ini mengacu pada NIST SP 800-40 Revision 4 yang diadaptasi untuk tim tanpa kantor patch khusus.

Cakupannya meliputi seluruh stack: Windows, Linux, network appliances, SaaS misconfigurations, dan container images. Hasil akhirnya mengubah mindset dari kita patch jika sempat menjadi berikut yang rilis minggu ini, dalam urutan apa, dan mengapa.

Langkah 1: Pilih Scanner

Untuk tim kecil hingga menengah, Greenbone Community Edition (OpenVAS) adalah pilihan paling masuk akal. Gratis, open source, unlimited host, dan self-hosted. Berikut perbandingan singkat:

Greenbone Community Edition: Free, unlimited host, self-hosted. Cocok untuk tim kecil dan lab.
Nessus Essentials: Free untuk 16 IP. Cocok untuk home lab.
Tenable.io: Berbayar per aset, dengan dashboard enterprise.

Kita akan menggunakan Greenbone CE karena tidak ada batasan host dan bisa di-deploy di VPS lokal.

Langkah 2: Deploy OpenVAS

Cara termudah menjalankan OpenVAS adalah dengan Docker Compose:

docker run -d -p 443:443 --name openvas\
  -e PASSWORD=admin\
  -e HTTPS=true\
  -e TZ=Asia/Jakarta\
  greenbone/community-edition

Tunggu sekitar 15 menit untuk feed update pertama. Akses dashboard melalui HTTPS di port 443 dengan kredensial default admin dan password yang Anda set.

Langkah 3: Asset Discovery

Sebelum scanning, identifikasi semua aset yang dimiliki:

Buat target list berdasarkan subnet jaringan Anda
Tambahkan individual host untuk server kritis
Dokumentasikan owner dan criticality masing-masing aset

OpenVAS mendukung import daftar host dari file CSV, memudahkan batch registration untuk environment yang besar.

Langkah 4: Konfigurasi Scan

Pilih scan config yang sesuai:

Full and Fast: Scan lengkap dengan NVT (Network Vulnerability Tests) terbaru. Default untuk kebanyakan situasi.
Discovery: Hanya identifikasi aset tanpa vulnerability test.
Host Discovery: Cepat, hanya mendeteksi host yang aktif.

Atur schedule scan mingguan untuk memastikan coverage tetap current. Jangan lupa exclude maintenance windows dari jadwal scan.

Langkah 5: Jalankan Scan Pertama

Mulai scan pada subnet target:

# Contoh: scan subnet 192.168.1.0/24
# Dilakukan melalui GUI OpenVAS dengan membuat task baru

Scan untuk subnet /24 biasanya memerlukan waktu 30-60 menit tergantung jumlah host dan bandwidth. Monitor progress melalui dashboard.

Langkah 6: Analisis Hasil Scan

Setelah scan selesai, prioritaskan temuan berdasarkan:

CVSS Score: Skor di atas 7.0 harus ditangani dalam 72 jam
Exploit Availability: CVE dengan proof-of-concept publik lebih berbahaya
Asset Criticality: Server production lebih urgent dibanding dev

OpenVAS secara otomatis menghitung severity dan memberikan remediation hint untuk setiap temuan.

Langkah 7: Remediation Workflow

Buat workflow ticket untuk setiap critical finding:

Assign ke tim yang bertanggung jawab
Set deadline berdasarkan severity
Verifikasi fix dengan rescan
Dokumentasikan false positive jika ada

Integrasikan OpenVAS dengan ticketing system seperti Jira atau GitHub Issues melalui API untuk otomatisasi workflow.

Langkah 8: Automasi dengan Script

Gunakan gvm-cli untuk otomasi dari command line:

gvm-cli socket --xml "<get_tasks/>

Buat script Python yang mengambil hasil scan, memfilter critical findings, dan membuat ticket otomatis. Automasi ini mengurangi overhead manual dan memastikan tidak ada temuan yang terlewat.

Langkah 9: Container Scanning

Untuk container images, extend program dengan Trivy:

trivy image myapp:latest

Integrasikan Trivy ke CI/CD pipeline agar setiap build di-scan sebelum deploy. Policy: block deployment jika ditemukan critical vulnerability.

Langkah 10: Report dan Compliance

Hasilkan report bulanan untuk stakeholder:

Total vulnerabilities by severity
Mean Time to Remediate (MTTR)
Trend line vulnerability count over time
Top recurring vulnerability categories

OpenVAS mendukung export ke format PDF, CSV, dan XML. Gunakan data ini untuk mengukur maturity program security Anda.

Kesimpulan

Program vulnerability management yang baik tidak memerlukan budget besar. Dengan OpenVAS dan beberapa jam setup, tim kecil bisa memiliki visibility yang sama dengan enterprise menggunakan tool berbayar. Kunci keberhasilannya adalah konsistensi: scan terjadwal, remediation terukur, dan dokumentasi terstruktur.

Untuk referensi lebih lanjut tentang vulnerability management, baca panduan lengkap 12 langkah di Tech Insider. Repositori h4cker juga menyediakan ratusan resource security gratis mulai dari application security hingga AI security.

Integrasi dengan CI/CD Pipeline

Program vulnerability management mencapai potensi penuhnya ketika terintegrasi dengan pipeline deployment. Tambahkan scanning otomatis sebelum setiap merge ke branch utama. Tools seperti Trivy untuk container scanning dan Garak untuk LLM vulnerability scanning bisa dijalankan sebagai step di GitHub Actions.

Berikut contoh workflow GitHub Actions yang memblokir build jika ditemukan critical vulnerability:

name: Security Scan
on: [push, pull_request]
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          scan-type: fs
          severity: CRITICAL,HIGH
          exit-code: 1

Integrasi ini memastikan vulnerabilitas tidak pernah sampai ke production tanpa review eksplisit.

Metrik Keberhasilan Program

Ukur efektivitas program vulnerability management dengan metrik berikut:

Mean Time to Detect (MTTD): Waktu dari CVE dirilis hingga terdeteksi di environment Anda. Target: kurang dari 24 jam untuk critical.
Mean Time to Remediate (MTTR): Waktu dari deteksi hingga patch diterapkan. Target: 72 jam untuk critical, 7 hari untuk high.
Scan Coverage: Persentase aset yang tercakup scanning. Target: 100 persen untuk production assets.

Review metrik ini secara bulanan dan adjust program sesuai temuan.

Tutorial Vulnerability Management dengan OpenVAS untuk Developer Indonesia