Perbedaan antara mengira aman dan tahu aman
Banyak perusahaan yakin sistem mereka aman karena belum pernah dibobol. Ini bukan bukti keamanan, hanya bukti bahwa belum ada yang mencoba dengan serius. Firewall terpasang, antivirus berjalan, dan tim IT rutin memasang pembaruan. Di atas kertas semuanya tampak beres.
Penetration testing menutup jarak antara mengira aman dan benar-benar tahu aman. Alih-alih menunggu penyerang sungguhan membuktikan celahnya, sebuah tim penguji profesional mencoba menembus sistem Anda dengan izin dan aturan yang jelas, lalu melaporkan persis bagaimana mereka masuk dan seberapa jauh mereka bisa bergerak.
Penetration testing bukan pemindaian kerentanan
Dua istilah ini sering dianggap sama, padahal berbeda secara mendasar.
Pemindaian kerentanan (vulnerability scanning) adalah proses otomatis yang memeriksa sistem terhadap basis data celah yang sudah diketahui, lalu menghasilkan daftar. Prosesnya cepat, murah, dan bisa dijalankan rutin. Kelemahannya, alat pemindai tidak tahu mana temuan yang benar-benar bisa dieksploitasi dan mana yang hanya teori.
Penetration testing melibatkan manusia yang mencoba mengeksploitasi celah tersebut secara nyata, merangkai beberapa kelemahan kecil menjadi satu jalur serangan yang berdampak, dan menilai seberapa dalam kerusakan yang mungkin terjadi. Pemindai bisa memberi tahu Anda ada pintu yang tidak terkunci. Seorang penguji akan masuk lewat pintu itu, menunjukkan apa saja yang bisa dia ambil dari dalam, dan berhenti tepat sebelum menimbulkan kerugian.
Keduanya saling melengkapi. Banyak organisasi menjalankan vulnerability assessment secara berkala dan menambahkan penetration testing pada momen penting seperti peluncuran aplikasi baru atau audit tahunan.
Tiga metode: black box, grey box, dan white box
Metode pentest dibedakan berdasarkan seberapa banyak informasi yang Anda berikan kepada tim penguji sebelum pengujian dimulai. Pilihan ini menentukan sudut pandang serangan dan kedalaman temuan.
| Metode | Informasi yang diberikan | Meniru siapa | Paling cocok untuk |
|---|---|---|---|
| Black box | Nyaris tidak ada, hanya nama atau alamat sistem | Penyerang luar tanpa akses awal | Menguji ketahanan perimeter dan visibilitas dari luar |
| Grey box | Sebagian, seperti akun pengguna biasa | Karyawan, mitra, atau akun yang dibobol | Menguji apa yang bisa dilakukan penyerang setelah mendapat pijakan awal |
| White box | Lengkap, termasuk kode sumber dan arsitektur | Pihak internal dengan pengetahuan penuh | Menemukan sebanyak mungkin celah dalam waktu terbatas |
Black box paling menyerupai serangan nyata dari luar, tetapi keterbatasan waktu membuat penguji mungkin tidak sempat menemukan celah yang lebih dalam. White box memberi cakupan paling luas karena penguji tidak membuang waktu untuk hal yang bisa langsung dilihat dari kode. Grey box berada di tengah dan sering menjadi pilihan paling praktis, karena mencerminkan skenario yang paling umum terjadi, yaitu penyerang yang sudah memegang satu kredensial yang valid.
Jenis penetration testing berdasarkan target
Metode menentukan seberapa banyak informasi diberikan. Jenis menentukan apa yang diuji. Sebuah program keamanan yang matang biasanya menggabungkan beberapa jenis sesuai profil risikonya.
Pengujian jaringan memeriksa infrastruktur seperti server, firewall, dan konfigurasi yang terbuka ke internet maupun jaringan internal. Pengujian aplikasi web menyasar celah pada logika aplikasi, autentikasi, dan penanganan data, mengikuti acuan seperti OWASP. Pengujian aplikasi seluler menilai bagaimana aplikasi menyimpan data dan berkomunikasi dengan server. Pengujian rekayasa sosial menguji manusia, bukan mesin, melalui simulasi phishing atau upaya masuk ke kantor secara fisik. Untuk sektor industri dan manufaktur, pengujian sistem OT dan ICS memerlukan pendekatan khusus karena kesalahan kecil bisa menghentikan lini produksi, sesuatu yang kami bahas terpisah dalam tulisan tentang mengapa playbook IT gagal di lingkungan industri.
Bagaimana proses pentest berjalan
Sebuah engagement yang dikelola dengan baik mengikuti alur yang bisa diprediksi, dan Anda berhak meminta setiap tahapan ini dijelaskan sebelum menandatangani kontrak.
Semuanya dimulai dari penentuan ruang lingkup, di mana Anda dan penyedia menyepakati sistem mana yang diuji, kapan, dan batasan apa yang berlaku. Setelah itu penguji mengumpulkan informasi tentang target, memetakan permukaan serangan, lalu mencoba mengeksploitasi celah yang ditemukan. Tahap yang paling menentukan nilai justru ada di akhir, yaitu pelaporan. Laporan yang baik menjelaskan setiap temuan, tingkat keparahannya, langkah reproduksinya, dan rekomendasi perbaikan yang konkret. Setelah tim Anda memperbaiki temuan, penguji melakukan pengujian ulang untuk memastikan celah benar-benar tertutup dan perbaikan tidak menimbulkan masalah baru.
Tanpa pengujian ulang, Anda hanya memegang daftar masalah tanpa jaminan bahwa masalah itu sudah selesai.
Seberapa sering dan kapan sebaiknya dilakukan
Aturan praktisnya, penetration testing dilakukan minimal setahun sekali dan setiap kali ada perubahan besar pada sistem, seperti peluncuran aplikasi baru, migrasi ke cloud, atau perubahan arsitektur jaringan.
Untuk bank dan lembaga jasa keuangan di Indonesia, frekuensi ini bukan lagi sekadar praktik baik. POJK 11/2022 dan surat edaran terkait mewajibkan pengujian keamanan berkala sebagai bagian dari manajemen risiko teknologi informasi. Kami membahas persyaratan spesifiknya dalam panduan tentang kewajiban pentest bagi bank di Indonesia.
Cara memilih penyedia penetration testing
Kualitas hasil pentest sangat bergantung pada kompetensi orang yang melakukannya, dan bahasa pemasaran cenderung terdengar sama di semua penyedia. Beberapa hal berikut layak diperiksa sebelum memutuskan.
Tanyakan sertifikasi penguji seperti OSCP, OSCE, atau CREST, dan minta contoh laporan yang sudah disamarkan untuk menilai kedalaman analisisnya. Pastikan pengujian ulang setelah perbaikan sudah termasuk dalam lingkup, bukan biaya tambahan. Perjelas apa yang terjadi jika penguji menemukan celah kritis di tengah pengujian, apakah mereka langsung memberi tahu Anda atau menunggu laporan akhir. Terakhir, untuk organisasi yang diawasi regulator, pastikan penyedia memahami konteks kepatuhan Indonesia sehingga laporannya bisa langsung Anda gunakan saat pemeriksaan.
Layanan penetration testing kami dijalankan oleh penguji bersertifikat dengan laporan dalam Bahasa Indonesia dan Inggris, lengkap dengan sesi penjelasan temuan dan pengujian ulang setelah perbaikan. Jika Anda belum pernah menjalani pengujian keamanan yang serius, titik awal terbaik adalah percakapan singkat tentang sistem mana yang paling berisiko jika berhenti beroperasi.