Penetration Testing Methodology
Pahami metodologi penetration testing yang sah dan etis: scoping, otorisasi tertulis, fase pengujian, pelaporan, dan tindak lanjut perbaikan.
Tujuan Pembelajaran
- Menjelaskan perbedaan penetration test dengan vulnerability scan
- Memahami scoping, rules of engagement, dan otorisasi tertulis
- Mengenali fase pengujian dari recon hingga pelaporan
- Memahami etika dan aspek hukum seorang penguji
01Apa itu penetration test
Penetration test adalah penilaian keamanan terotorisasi yang dilakukan dengan sudut pandang penyerang untuk menilai seberapa efektif pertahanan sebuah organisasi. Berbeda dengan vulnerability scan yang bersifat otomatis dan luas, pentest melibatkan analisis manusia dan menilai dampak nyata dari kelemahan.
Tujuannya adalah membantu organisasi memperbaiki pertahanan, bukan membuktikan bahwa penguji pandai.
02Scoping, ROE, dan otorisasi tertulis
Sebelum satu pun pengujian dimulai, kedua pihak menyepakati hal berikut secara tertulis. Tanpa dokumen ini, aktivitas yang sama dapat menjadi pelanggaran hukum.
- Scope: sistem, jaringan, aplikasi, dan jangka waktu yang diizinkan, serta yang dikecualikan
- Rules of engagement: jam pengujian, teknik yang dilarang, batas dampak, dan kontak darurat
- Otorisasi tertulis dari pemilik sistem yang berwenang, sering disebut surat izin
- Penanganan data: bagaimana temuan dan data sensitif disimpan, dilindungi, lalu dimusnahkan
03Fase pengujian
Metodologi seperti PTES, OWASP Testing Guide, dan NIST SP 800-115 menggambarkan alur yang mirip: pengumpulan informasi (reconnaissance) pada sumber yang diizinkan, pemodelan ancaman, penilaian kerentanan, validasi terkontrol terhadap temuan secara minimal, lalu analisis dampak.
Setiap aktivitas dicatat dengan waktu dan sistem terkait. Bila ditemukan hal di luar scope atau risiko mendesak, penguji berhenti dan segera menghubungi kontak yang disepakati.
04Pelaporan, etika, dan hukum
Laporan yang baik memuat ringkasan eksekutif, metodologi, temuan dengan tingkat risiko, bukti, dampak bisnis, dan rekomendasi perbaikan yang konkret. Pengujian ulang setelah remediasi memverifikasi bahwa perbaikan efektif.
Secara etika, penguji menjaga kerahasiaan, bertindak dalam batas otorisasi, dan tidak menyalahgunakan data. Di Indonesia, akses ilegal diatur antara lain dalam UU ITE, sehingga izin tertulis adalah syarat mutlak. Program bug bounty juga memiliki aturan scope yang wajib dipatuhi.
Contoh Praktis (Aman)
Kerangka dokumen pra-pengujianContoh struktur ringkas dokumen kesepakatan yang disiapkan sebelum pengujian dimulai.
Klien / Pemilik sistem : (nama, penanggung jawab berwenang) Tujuan pengujian : Menilai keamanan aplikasi web internal Dalam scope : app.contoh.id (lingkungan staging) Di luar scope : sistem pembayaran, data produksi pelanggan Jadwal : 14-18 Nov, 20:00-05:00 Dilarang : uji beban/DoS, rekayasa sosial ke staf Kontak darurat : tim TI klien (24 jam) Otorisasi : tanda tangan pemilik sistem + penguji
Rangkuman
- Pentest adalah penilaian terotorisasi yang berfokus pada dampak nyata dan perbaikan
- Scope, rules of engagement, dan izin tertulis wajib ada sebelum pengujian
- Fase mengikuti metodologi seperti PTES atau NIST SP 800-115 dengan pencatatan lengkap
- Laporan, pengujian ulang, dan etika menjaga hasil tetap bermanfaat dan sah
Mini Quiz
Pilih satu jawaban untuk setiap soal, lalu tekan "Periksa Jawaban".
Dokumen apa yang wajib ada sebelum penetration test dimulai?
Apa yang sebaiknya dilakukan penguji bila menemukan sistem di luar scope?
Apa perbedaan utama pentest dengan vulnerability scan?