Pertahanan

Penetration Testing

Serangan simulasi yang diizinkan terhadap sistem untuk menemukan kelemahan yang dapat dieksploitasi sebelum pelaku sungguhan menemukannya.

Definisi

Penetration testing, sering disingkat pentest, adalah serangan simulasi yang diizinkan dan dibatasi ruang lingkupnya terhadap sistem, aplikasi, atau manusia, dijalankan untuk mengenali kelemahan yang dapat dieksploitasi pelaku sungguhan.

Ciri yang menentukan adalah izin dan ruang lingkup. Pentest disetujui lebih dulu, dibatasi pada sasaran dan rentang waktu yang disebutkan, serta terdokumentasi. Tanpa izin tertulis, kegiatan yang sama hanyalah penyusupan, dan itulah sebabnya surat penugasan sama pentingnya dengan pekerjaan teknisnya.

Pengujian biasanya dibedakan dari seberapa banyak informasi yang diberikan kepada penguji. Black box berarti informasi minimal, paling mendekati pelaku dari luar. White box berarti akses penuh ke kode sumber dan arsitektur, yang menemukan lebih banyak persoalan per jam. Grey box berada di antaranya dan paling lazim dalam praktik.

Hal terpenting yang perlu dipahami adalah apa yang tidak diberitahukan sebuah pentest. Ia adalah penilaian pada satu titik waktu atas ruang lingkup tertentu, sehingga tidak berkata apa pun tentang sistem di luar lingkup itu, perubahan yang dilakukan sesudahnya, atau kerentanan manusia kecuali rekayasa sosial memang disertakan. Lulus pentest bukan bukti bahwa sebuah organisasi aman.

Sekilas info

Jenis
Kegiatan penilaian
Juga dikenal sebagai
Pentest, uji penetrasi, ethical hacking

Cara kerjanya

  1. 1

    Penetapan lingkup dan izin: sasaran, metode, waktu, dan batasan disepakati serta didokumentasikan tertulis

  2. 2

    Pengintaian: informasi tentang sasaran dihimpun dari sumber publik dan sumber yang diizinkan

  3. 3

    Penemuan: layanan, versi, dan potensi kelemahan didaftar

  4. 4

    Eksploitasi: penguji mencoba memanfaatkan kelemahan itu, lalu meningkatkan hak akses untuk melihat seberapa jauh aksesnya menjangkau

  5. 5

    Pelaporan dan uji ulang: temuan didokumentasikan dengan tingkat keparahan dan saran perbaikan, lalu diverifikasi setelah diperbaiki

Poin utama

  • Izin dan ruang lingkup adalah yang memisahkan pentest dari penyusupan
  • Hasilnya berlaku pada satu titik waktu, untuk lingkup yang diuji pada tanggal pengujian
  • Pentest dan vulnerability assessment menjawab pertanyaan yang berbeda
  • Rekayasa sosial biasanya di luar lingkup, sehingga risiko manusia tetap tidak terukur
  • Nilainya ada pada perbaikan dan uji ulang, bukan pada sertifikat penyelesaiannya

Praktik terbaik

  • Tuangkan izin, ruang lingkup, dan kontak darurat secara tertulis sebelum pengujian dimulai
  • Uji ulang setelah perbaikan, sebab perbaikan yang belum diverifikasi bukan perbaikan
  • Uji setelah perubahan signifikan, bukan hanya pada siklus tahunan
  • Sertakan rekayasa sosial secara eksplisit, atau tutup dengan program berkelanjutan sebagai gantinya
  • Baca pernyataan ruang lingkupnya sebelum menyimpulkan apa yang sebenarnya dibuktikan hasilnya

Contoh nyata

Sebuah fintech Indonesia memesan pentest tahunan yang mencakup aplikasi nasabahnya dan lulus dengan dua temuan sedang. Call center, email karyawan, dan portal admin pihak ketiga berada di luar lingkup. Tiga bulan kemudian pelaku menjangkau data nasabah dengan menelepon agen call center, jalur yang tidak pernah diminta untuk diperiksa dalam pengujian itu.

Bagaimana Claro membantu

Sebagian besar penetration testing tidak menyertakan rekayasa sosial, atau hanya mencuplik dengan segelintir email phishing pada satu hari. Claro menutup celah itu secara berkelanjutan alih-alih tahunan, mengukur kerentanan karyawan lintas email, WhatsApp, SMS, dan suara, dengan tren per pengguna, bukan satu potret sesaat.

Pertanyaan yang sering diajukan

Penetration testing adalah apa?

Penetration testing adalah serangan simulasi yang diizinkan dan dibatasi lingkupnya terhadap sistem, aplikasi, atau manusia, dijalankan untuk menemukan kelemahan yang dapat dieksploitasi pelaku sungguhan. Izin dan lingkup yang jelas adalah yang membedakannya dari penyusupan sebenarnya.

Apa bedanya vulnerability assessment dengan penetration testing?

Vulnerability assessment mengenali dan memprioritaskan kelemahan yang sudah diketahui secara luas, umumnya dengan pemindaian otomatis, dan menjawab apa yang mungkin bermasalah. Penetration testing berusaha mengeksploitasi kelemahan untuk membuktikan dampak nyata dan merangkainya, menjawab apa yang sebenarnya bisa dicapai pelaku. Assessment bersifat luas dan sering; pengujian bersifat dalam dan berkala.

Seberapa sering pentest perlu dijalankan?

Setidaknya setahun sekali bagi sebagian besar organisasi terregulasi, ditambah setiap kali ada perubahan signifikan pada arsitektur, autentikasi, atau paparan. Pengujian yang hanya tahunan menyisakan rentang panjang di mana perubahan tidak terperiksa.

Apakah pentest mencakup phishing dan rekayasa sosial?

Umumnya tidak, kecuali disertakan secara eksplisit dalam lingkup. Bila disertakan pun biasanya berupa cuplikan satu hari, bukan pengukuran berkelanjutan, sehingga kerentanan manusia umumnya lebih baik ditangani melalui program kesadaran yang berjalan terus.

Istilah terkait

Vulnerability Assessment

Tinjauan sistematis yang mengenali, mengklasifikasikan, dan memprioritaskan kelemahan yang sudah diketahui pada sistem.

Attack Surface

Keseluruhan titik, teknis maupun manusia, di mana penyerang dapat mencoba mendapatkan akses ke sebuah sistem atau mengekstrak data, mencakup setiap akun, endpoint, aplikasi, layanan yang terekspos, dan karyawan.

Zero-Day

Celah perangkat lunak yang tidak diketahui vendor dan belum memiliki tambalan, sehingga tidak ada waktu (nol hari) untuk menyiapkan pertahanan sebelum dieksploitasi.

Rekayasa Sosial

Manipulasi terhadap manusia agar membocorkan informasi sensitif atau melakukan tindakan berisiko dengan memanfaatkan kepercayaan, emosi, dan psikologi, bukan kelemahan teknis.

Kurangi risiko manusia Anda

Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.

Minta demo