Platform — Velosight

01 — Cyber Asset Discovery & CAASM

Velosight Discover

Delapan connector, masing-masing melihat lingkungan dari sudut pandang berbeda — persis seperti kondisi nyata. Pada dataset live, setiap connector adalah klien API sungguhan yang dikonfigurasi dari konsol: endpoint, kredensial, interval sinkronisasi, dan uji koneksi.

Connector	Melihat	Tidak melihat	Variasi identitas
Active Directory	objek komputer, user, privilege	IP, port, vulnerability	`PC-REZA` + FQDN
CrowdStrike Falcon	MAC, IP lokal, serial, credential ter-cache	aset tanpa agent	`pc-reza`, device_id
Tenable.io	port, service, vulnerability	aset yang tidak di-scan	kadang hanya IP
VMware vCenter	VM UUID, guest hostname	aset fisik	nama VM
AWS Inventory	instance-id, tag, IP publik	aset on-premises	instance-id
Kubernetes	node & workload	di luar cluster	`deploy/ns/name`
ServiceNow CMDB	pemilik, unit bisnis, kritikalitas	data teknis	`PCREZA`
FortiGate	perangkat jaringan, kebijakan firewall	endpoint	nama perangkat

Menambah integrasi baru = mengimplementasikan antarmuka connector.Connector dan mendaftarkannya pada registry. Pipeline di belakangnya tidak berubah.

01b — Asset Onboarding

Mengisi yang tidak dilihat connector.

Dua hal tidak akan pernah datang dari integrasi vendor: aset yang tidak terlihat sistem mana pun, dan konteks bisnis yang hanya ada di kepala manusia. Tiga jalur masuk menutup keduanya — dan semuanya tetap melewati pipeline yang sama.

manual-input

Input manual

Satu aset beserta kritikalitas, unit bisnis, dan pemiliknya. Nilai dari operator menimpa klasifikasi mesin; yang dikosongkan tetap ditentukan mesin.

asset-import

Import spreadsheet

File .xlsx dan .csv dengan pratinjau validasi sebelum commit.

Baris ditolak beserta alasannya
Kolom tak dikenali ditandai
Header ekspor CMDB umum dikenali otomatis

network-scan

Network scan berkredensial

Sweep ICMP/TCP, reverse DNS, inspeksi sertifikat TLS, lalu enumerasi berkredensial.

SNMP v2c/v3 (USM penuh, AES-128/DES)
SSH — perintah baca-saja eksplisit
WinRM — WQL read-only

02 — Normalization & Correlation Engine

Satu perangkat fisik = N identitas. Kami menyatukannya.

Masalah inti CAASM diselesaikan dalam tiga tahap, dan setiap keputusan dapat ditelusuri.

Blocking — serial, MAC, IP, dan hostname terkompaksi untuk menghindari perbandingan O(n²).
Pairwise scoring — sinyal berbobot dengan proteksi terhadap over-merge.
Survivorship per-field — konteks bisnis dari CMDB, OS dari AD, MAC dari EDR, port & vulnerability dari scanner.
Jejak keputusan — tersimpan di correlation_decisions dan terlihat di tab Korelasi Sumber setiap aset.

# ± 7.000 source record → ± 2.050 golden asset record
AD      : PC-REZA          uppercase, FQDN, tanpa IP
EDR     : pc-reza          MAC + IP + serial
Tenable : 10.10.20.25      hanya IP
CMDB    : PCREZA / SN12345 tanpa tanda hubung
                     │
                     ▼
              ASSET-000412   satu Golden Asset Record
              dedup ± 70%

03 — Cyber Asset Relationship Graph

Hubungan adalah tempat risiko bersembunyi.

Neo4j menyimpan aset, identitas, kredensial, kerentanan, dan aplikasi sebagai property graph. Bila Neo4j tidak tersedia, platform berjalan dalam degraded mode dan membangun graph dari PostgreSQL — seluruh fitur tetap berfungsi.

AssetIdentityCredentialVulnerabilityApplicationInternet

// relasi
CAN_REACH  ADMIN_OF  LOGS_IN_TO  STORES_CREDENTIAL
GRANTS  HAS_VULNERABILITY  PART_OF

// contoh rantai
User → Laptop → Local Admin Credential
     → Application Server → Database → Critical App

04 — Attack Path Analysis · AI #4

Bukan shortest path. Attacker state search.

Penyerang membawa credential material yang sudah dikuasai, dan setiap hop memerlukan technique dengan prasyarat sendiri — eksploitasi kerentanan, penggunaan ulang kredensial, atau relasi admin. Pencarian memakai k-best Dijkstra pada -log(probabilitas) untuk menghasilkan beberapa jalur alternatif per crown jewel.

PATH-0001  skor 84  likelihood 63%
Internet
  → VPN-GW-01   [CVE-2024-21762]
  → LAP-00094   [CVE-2017-0144]
  → SERVER-AD02 [CVE-2020-1472]

Choke point:
  100% jalur menuju 7 target kritikal melewati VPN-GW-01
  100% jalur menuju 4 target kritikal melewati SERVER-AD02

Choke point analysis

Menjawab pertanyaan paling praktis bagi tim remediasi: “Jika hanya dapat memperbaiki beberapa hal hari ini, mana yang memutus paling banyak jalur?”

Beberapa jalur alternatif per target, bukan satu.
Visualisasi rantai serangan dan tombol validasi langsung dari setiap jalur.
Hanya temuan berbukti confirmed/reported yang boleh menjadi titik masuk.

05 — Risk-Based Exposure Prioritization · AI #3

Setiap skor dapat dijelaskan.

Model multiplikatif dipilih karena satu faktor yang sangat rendah harus mampu menekan skor keseluruhan. Tombol “Mengapa?” pada halaman Exposure membuka kontribusi per faktor beserta penjelasan naratif.

Risk = Vulnerability× Exploitability× Reachability× Asset Criticality× Identity Privilege× Attack Path× Threat Intelligence× Security Control

Exploitability

EPSS dan status CISA KEV, plus bukti eksploitasi publik.

Reachability

Apakah aset dapat dijangkau dari internet atau dari segmen terkompromi.

Identity Privilege

Kredensial istimewa yang tersimpan atau dapat digunakan di aset.

Security Control

Keberadaan dan status EDR, segmentasi, serta kontrol kompensasi.

06 — Automated Exposure Validation

AI mengusulkan. Engine deterministik memutuskan.

AI Planner (#5) menerjemahkan attack path menjadi langkah validasi. Setiap langkah harus lolos policy sebelum dieksekusi, dan setiap transisi tercatat pada audit trail.

AI #5

Attack Plan

Rangkaian langkah validasi dari attack path.

Policy

Scope & risk class

Technique yang diizinkan, safe / intrusive / destructive, CIDR, tipe aset dikecualikan.

Approval

Human-in-the-loop

Langkah intrusif menunggu persetujuan; destruktif diblokir.

Engine

Evidence

Prasyarat technique diperiksa terhadap reachability, vulnerability, kredensial, status EDR.

Policy bawaan

Safe Discovery Only

Hanya teknik non-intrusif. Tidak memerlukan approval.

Policy bawaan

Standard Exposure Validation

Intrusif dengan approval wajib. Jaringan OT dilarang, teknik destruktif diblokir.

Simulation mode. Tidak ada exploit nyata yang dijalankan — setiap langkah dibuktikan terhadap fakta yang tersimpan pada graph dan system of record. Eksekutor nyata dapat dipasang di belakang antarmuka yang sama.

07 — AI Security Analyst · Graph RAG · AI #6

Jawaban dari kondisi aktual, bukan dari tebakan.

Pertanyaan diurai menjadi intent dan entitas, lalu dijawab dari graph query, query aset/exposure, dan retrieval knowledge base hybrid. Setiap jawaban menampilkan query plan dan sitasi.

“Apa 10 risiko keamanan terbesar di lingkungan saya?”
“Bagaimana attacker dapat mencapai SAP-DB01?”
“Mengapa SERVER-AD02 memiliki risk score setinggi itu?”
“Apa remediasi yang paling efektif untuk mengurangi attack surface?”

pertanyaan
  → intent + ekstraksi entitas
  → GRAPH QUERY        Neo4j
  + ASSET/EXPOSURE     PostgreSQL
  + RETRIEVAL KB       pgvector · vektor + leksikal
  → sintesis jawaban

# LLM_PROVIDER = deterministic (bawaan) | anthropic | openai
# model dilarang mengarang hostname, CVE, atau angka

08 — Vulnerability Feed

Dari inventaris menjadi exposure — dengan kualitas bukti.

Dua belas sumber dengan peran berbeda dinormalisasi menjadi satu bentuk, lalu dikirim ke setiap instalasi oleh Velosight Hub sebagai bundle bernomor urut, tak berubah, dan ditandatangani Ed25519 — tanpa perlu API key NVD di sisi pelanggan.

CVE List v5NVDCISA VulnrichmentOSVRed HatMSRCCSAF / VEXCisco PSIRTEPSSCISA KEVExploit-DBENISA EUVD

Advisory distro mengalahkan upstream

Perbandingan versi memakai algoritma dpkg dan rpmvercmp yang sesungguhnya, sehingga backport distro tidak menghasilkan ratusan false positive per server Linux.

Setiap temuan membawa buktinya

confirmed dari scan terautentikasi, reported dari scanner, potential dari inferensi banner/CPE. Tebakan tidak pernah menaikkan skor sekuat bukti.

Lubang cakupan terlihat

CVE yang belum ada di knowledge base dicatat, sumber gagal dibedakan dari yang menunggu kredensial, dan kelengkapan NVD dibawa hingga ke tiap instalasi.

09 — Web App Scan (DAST)

Lapisan aplikasi, bukan hanya port.

Temuan aplikasi web menjadi exposure pada aset host-nya — ikut dalam skor risiko, attack path (T1190), keputusan analis, tugas remediasi, dan laporan.

Tidak ada daftar temuan kedua. Dashboard, detail aset, dan laporan PDF memakai himpunan yang sama.
Mesin bawaan sengaja pasif. Hanya GET/HEAD: header keamanan, cookie, TLS, CORS, directory listing, berkas sensitif, pengungkapan versi.
Impor laporan OWASP ZAP, Nuclei, atau Burp untuk kelas temuan aktif seperti SQLi dan XSS.
Mati secara bawaan. Hanya berjalan pada CIDR yang diizinkan; loopback, link-local, CGNAT, dan endpoint metadata cloud selalu ditolak.

temuan aplikasi web
   └─▶ exposure rule=dast  (berkunci exposure_key)
          │
          ├─ skor risiko
          ├─ attack path T1190
          ├─ keputusan analis
          ├─ tugas remediasi
          └─ laporan

# hanya confirmed/reported yang boleh
# menjadi titik masuk attack path

Siklus hidup data aset

Mengubah yang benar, bukan yang terlihat.

Inventory dibangun ulang setiap siklus, sehingga suntingan dilakukan pada data input awalnya — bukan pada baris inventory yang akan hilang pada siklus berikutnya.

Identitas stabil

ASSET-000412

Nomor aset dan exposure bertahan antar siklus — aman dipakai di tiket, ekspor, dan tautan.

Riwayat

Sebelum → sesudah

Setiap perubahan tercatat per field lengkap dengan pelakunya.

Override

Konteks bisnis

Kritikalitas, unit, pemilik, lokasi — diterapkan ulang setiap discovery.

Keputusan analis

Risk acceptance

Terima risiko, sudah diperbaiki, atau bukan exploitable — dikontradiksi terbuka bila validasi membuktikan sebaliknya.

Sembilan kapabilitas, satu sumber kebenaran.