Implementasi Reachability Analysis Berbasis SBOM dengan Pendekatan Risk Scoring Pada Aplikasi Web ASP.NET

Abstract

Penelitian ini bertujuan untuk mengimplementasikan analisis reachability berbasis Software Bill of Materials (SBOM) yang dikombinasikan dengan pendekatan risk scoring untuk mendukung prioritisasi kerentanan pada aplikasi web ASP.NET di PT XYZ. Masalah utama yang dibahas adalah bahwa banyak kerentanan yang terdeteksi pada dependensi pihak ketiga tidak selalu relevan dengan eksekusi aplikasi yang sebenarnya karena beberapa library yang rentan tidak digunakan secara langsung dalam source code. Penelitian dilakukan dengan menghasilkan SBOM menggunakan dotnet-CycloneDX, melakukan pemindaian kerentanan menggunakan Grype, dan menerapkan analisis reachability berbasis Roslyn untuk menentukan apakah library yang rentan benar-benar dipanggil dalam aplikasi. Nilai risiko dihitung menggunakan rumus Risk Score = Likelihood × Impact, di mana Likelihood diperoleh dari kombinasi EPSS dan status reachability, sedangkan Impact diperoleh dari nilai CVSS. Hasil penelitian menunjukkan bahwa dari 212 paket yang tercantum dalam SBOM, teridentifikasi 12 paket rentan dengan tingkat keparahan Critical, High, dan Medium. Namun, hanya 3 paket yang terbukti reachable, sedangkan 9 paket lainnya tidak digunakan secara langsung dalam source code. Validasi terhadap 73 metode yang diambil sebagai sampel dari analisis reachability mencapai precision sebesar 100%. Selain itu, analisis sensitivitas menunjukkan bahwa perubahan pada EPSS dan status reachability secara signifikan memengaruhi Risk Score yang dihasilkan. Implementasi ini juga menunjukkan bahwa analisis berbasis Roslyn dapat mengidentifikasi lokasi file, nomor baris, dan metode yang terkait dengan setiap library yang reachable, sehingga membantu pengembang menemukan kode yang rentan secara lebih efisien.