aliyhafiz.com – mengetahui celah keamanan yang dapat dieskploitasi sangat penting. Usaha untuk mengetahui celah keamanan ini disebut dengan Penetration Testing. artikel ini akan membahas secara lengkap mengenai Pengertian, Tujuan, dan Strategi Penetration Testing. selain itu akan dibahas pula mengenai strategi, metode, sistem operasi khusus untuk melakukan dan tool untuk Penetration Testing. disimak ya..
Pengertian Penetration Testing
Penetration testing atau disebut juga Pen Testing adalah suatu usaha atau praktik penerobosan ke dalam sistem komputer untuk menguji celah keamanan yang bisa diexploitasi sebelum celah tersebut digunakan oleh hacker. Uji coba penerobosan ini mencakup aplikasi web, jaringan komputer, Internet of Things (IoT), dan lain lain.
Tujuan Penetration Testing
Tujuan utama dari Penetration testing adalah untuk mengidentifikasi titik titik lemah dalam sistem keamanan organisasi khususnya sistem komputer. Selain itu juga untuk mengukur kepatuhan akan pelaksanaan kebijakan keamanannya, menguji kesadaran staf tentang masalah keamanan dan menentukan apakah organisasi akan menjadi objek dalam bencana serangan keamanan komputer.
Pen juga dapat memperingatkan kelemahan dalam kebijakan keamanan teknologi informasi milik perusahaan. Misalnya, meskipun kebijakan keamanan teknologi informasi mampu mencegah dan mendeteksi serangan pada sistem komputer perusahaan, tapi kebijakan tersebut tidak termasuk di dalamnya proses untuk mengusir atau mengeluarkan hacker dari dalam sistem ketika hacker sudah masuk ke dalam sistem.
Laporan yang dihasilkan oleh Penetration tester akan memberikan umpan balik yang diperlukan bagi suatu organisasi untuk memprioritaskan apa apa yang perlu diperhatikan untuk membuat sistemnya menjadi lebih aman dari serangan hacker. Laporan ini juga dapat membantu pengembang aplikasi membuat aplikasi yang yang digunakan oleh perusahaan menjadi lebih aman.
Jika pengembang memahami bagaimana peretas membobol aplikasi yang mereka kembangkan, tujuannya adalah untuk memotivasi pengembang untuk meningkatkan skill mereka tentang keamanan sehingga mereka tidak akan membuat kesalahan yang sama atau serupa di masa depan nanti.
Strategi Dalam Penetration Testing
Salah satu aspek penting dalam melakukan Penetration testing adalah menentukan ruang lingkup di mana Penetration tester harus melakukan pengujian keamanannya. Biasanya, ruang lingkup ini mendefinisikan sistem, lokasi, teknik, dan tool apa yang dapat digunakan dalam melakukan Penetration testing. Membatasi ruang lingkup Penetration testing dapat membantu memfokuskan anggota tim dalam melakukakan tugas Pen testing.
Berikut ini adalah beberapa strategi yang digunakan oleh profesional Pen testing, yaitu;
Targeted Testing
Yaitu menggunakan skenario penguji keamanan beserta staf nya melakukan uji celah keamanan secara bersama sama. Dalam strategi ini antara penguji dengan staf fokus untuk menemukan celah keamanan dan saling membantu.
External Testing
Yaitu mentargetkan server atau perangkat teknologi yang digunakan yang terlihat secara eksternal. Target dari penguji adalah server, nama domain, server email, server web, atau firewall. Tujuannya adalah untuk mengetahui apakah hacker bisa mengeksploitasi sistem dari luar kemudian mendapatkan akses perangkat dan mengambil data.
Internal Testing
Yaitu melakukan percobaan serangan menggunakan pola pikir orang dalam. Atau pihak yang memang mempunyai akses ke perangkat seperti server dan sistem yang lain. Pengujian semacam ini berguna untuk memperkirakan seberapa besar kerusakan yang dapat disebabkan oleh staf yang ada di dalam sistem ketika mempunya niat jahat.
Blind Testing
Yaitu mensimulasikan tindakan dan prosedur penyerangan secara nyata dengan informasi yang sangat terbatas. Misal penguji hanya diberikan nama perusahaan,kemudian penguji melakukan berbagai cara untuk mengumpulkan informasi. Kemudian melakukan pengujian keamanan ketika informasi yang dikumpulkan sudah cukup. Biasanya strategi ini membutuhkan waktu yang lama, oleh karena itu jasa untuk pengujian ini sangat mahal.
Double Blind Testing
Hampir sama blind testing, hanya saja ditambah dengan staf yang ada di organisasi atau perusahaan sudah mengetahui jika ada serangan di dalam sistemnya. Sehingga melakukan beberapa perbaikan di celah keamanan. Sehingga hacker atau pen testing memerlukan usaha yang lebih keras untuk menerobos ke dalam sistem. Ini lah mengapa disebut double blind testing. selain itu staf perusahaan juga sekaligus melakukan prosedur dari insiden keamanan teknologi informasi.
Black Box Testing
Yaitu sama dengan blind testing. penguji hanya diberikan sedikit informasi misal nama perusahaan, kemudian penguji melakukan berbagai cara untuk mengumpulkan informasi. lalu melakukan pengujian keamanan ketika informasi yang dikumpulkan sudah cukup. Biasanya strategi ini membutuhkan waktu yang lama.
White Box Testing
provides the penetration testers information about the target network before they start their work. This information can include such details as IP addresses, network infrastructure schematics and the protocols used plus the source code.
Tidak seperti black box testing, pengujian strategi ini Penetration tester mendapat informasi deteail tentang jaringan target sebelum memulai pekerjaan mereka. Informasi ini dapat mencakup rincian seperti alamat IP, skema infrastruktur jaringan, dan protokol yang digunakan ditambah source code dari aplikasi yang digunakan.
Berapa Sering Dilakukan Pen Testing
Organisasi harus melakukan Pen Testing secara teratur. idealnya, setahun sekali untuk memastikan keamanan jaringan dan manajemen Teknologi Informasi yang lebih konsisten dan terarah. Selain melakukan Pen Testing yang terjadwal 1 (satu) tahun sekali atau 2 (dua) tahun sekali, Penetration Testing juga dapat dijalankan setiap kali suatu organisasi melakukan beberapa hal berikut;
- Menambah infrastruktur atau aplikasi jaringan baru.
- Melakukan peningkatan atau modifikasi signifikan pada aplikasi atau infrastrukturnya.
- Mendirikan kantor di lokasi baru.
- Menerapkan patch keamanan.
- Memodifikasi kebijakan end user.
- Dan lain lain.
Tapi, bagaimanapun karena Pen Testing tidak cocok untuk semua organisasi atau perusahaan, Penetration Testing bergantung dengan situasi dan kondisi seperti di bawah ini, yaitu;
Ukuran Perusahaan.
Perusahaan dengan kapasitas untuk go online yang besar memiliki lebih banyak celah keamanan untuk di serang, oleh karena itu, organisasi ini menjadi target yang lebih menarik bagi hacker.
Biaya Penetration Testing Yang Mahal.
sehingga perusahaan dengan anggaran yang lebih kecil mungkin tidak dapat melakukannya setiap tahun. Organisasi dengan anggaran yang lebih kecil mungkin hanya dapat melakukan Pen Testing setiap dua tahun sekali sementara perusahaan dengan anggaran yang lebih besar dapat melakukan pengujian penetrasi setahun sekali.
Peraturan Dan Standar Operassional Prosedur (SOP) Perusahaan.
Organisasi dalam industri tertentu misal organisasi keuangan sudah diharuskan oleh hukum untuk melakukan tugas keamanan tertentu, termasuk Pengujian Penetrasi.
Perusahaan yang memiliki infrastruktur cloud sendiri mungkin tidak menggunakan jasa Pene Testing , namun bisa menguji infrastruktur penyedia cloud. Namun, penyedia jasa cloud dapat melakukan Penetration Testing itu sendiri.
Upaya Pen Testing harus disesuaikan dengan masing masing organisasi serta industri tempat ia beroperasi dan harus mencakup tugas tindak lanjut dan evaluasi sehingga kerentanan yang ditemukan dalam Penetration Testing terbaru dicatat dalam dokumentasi sebagai bukti telah dilakukan Penetration Testing. selain itu juga sebagai pertimbangan untuk perbaikan kedepannya.
Langkah Langkah Dalam Pen Testing

Dalam melakukan Penetration Testing terdapat 5 (lima) langkah, yaitu;
#1. Planning Dan Reconnaissance
Langkah ini adalah langkah pertama dalam melakukan Penetration Testing, yaitu Menentukan ruang lingkup dan tujuan pengujian, termasuk sistem yang akan ditangani dan metode pengujian yang akan digunakan. Kemudian mengumpulkan informasi untuk pengujian seperti informasi jaringan dan domain, server yang ada, cara kerja dan alur sistem komputer yang digunakan.
#2. Scanning
Langkah kedua atau selanjutnya adalah scanning atau memindah target menggunakan berbagai tool yang ada untuk mencari celah keamanan yang bisa digunakan untuk masuk ke dalam sistem.
#3. Gaining Access
Pada langkah ketiga yang dilakukan adalah percobaan untuk menerobos masuk ke dalam sistem setelah scanning yang dilakukan menemukan celah keamanan. Berbagai celah keamanan seperti cross site scripting, injeksi SQL, dan backdoors. Penetration Tester kemudian mencoba untuk mengeksploitasi celah keamanan ini, biasanya dengan dengan mengambil akun administrator atau root, mencuri data, memotong lalu lintas, dan lain lain.
#4. Maintaining access
Pada langkah ke empat yaitu maintaining akses. Yaitu hak akses yang telah dimiliki oleh Penetration Tester tadi apakah tetap bisa menjadi penyerang atau apakah bisa ditutup. Tujuan dari langkah ini adalah memastikan bahwa hak akses penyerang untuk bisa ditutup sehingga sistem kembali menjadi aman.
#5. Analysis
Langkah ke lima yaitu analisa, hasil Penetration Testing kemudian dikompilasi menjadi laporan dengan rincian sebagai berikut;
- Celah keamanan yang dapat dieksploitasi
- Data yang dapat diambil atau diakses
- Waktu yang digunakan untuk menerobos ke dalam sistem.
Informasi hasil Pen Testing ini akan dianalisa oleh Penetration Tester dan staf kemudian didiskusikan kepada stake holder orgnisasi. Isi diskusi seperti level keamanan sistem, celah keamanan yang paling berbahaya, risiko penyerangan dan solusi dari itu semua. Bagaimana menutup celah keamanan sehingga tidak dimanfaatkan oleh hacker di masa yang akan datang.
Standarisasi Dalam Pen Testing
Untuk melakukan Penetration Testing tentu tidak sembarang. Sekarang ada lembaga yang melakukan standarisasi dalam Penetration Testing . lembaga itu adalah general service administration atau GSA yang telah menstandarisasi layanan Penetration Testing sebagai layanan dukungan yang telah diperiksa sebelumnya. Layanan ini bertujuan untuk menciptakan respon cepat bagaimana mengatasi potensi kerentanan, dan menghentikan musuh sebelum menjangkau pemerintah federal, negara bagian, dan lokal AS. Layanan ini biasanya disebut sebagai Highly Adaptive Cybersecurity Services atau HACS.
Langkah ini sebagai upaya untuk mengidentifikasi penyedia layanan Penetration Testing untuk ditinjau dan diperiksa secara teknis apakah sudah sesuai standar atau tidak. Ini bertujuan untuk menjaga kualitas dari layanan Penetration Testing yang ditawarkan oleh pihak swasta.
132-45A Penetration Testing adalah pengujian keamanan di mana penilai layanan meniru serangan dunia nyata untuk mengidentifikasi metode untuk menghindari fitur keamanan aplikasi, sistem, atau jaringan. Layanan Pengujian Penetrasi HACS biasanya menguji secara strategis efektivitas langkah langkah keamanan preventif dan detektif organisasi yang digunakan untuk melindungi aset dan data. Sebagai bagian dari layanan ini, ethical hacker biasanya melakukan serangan simulasi pada suatu sistem, dan aplikasi atau target untuk mencari celah keamanan yang bisa dieksploitasi.
Setelah Pen Testing, mereka biasanya akan mendokumentasikan celah keamanan dan bagaimana langkah yang efektif dan efisien untuk mencegah hacker menyerang ke dalam sistem menggunakan celah keamanan yang ada. Di Inggris, layanan Penetration Testing distandarisasi melalui badan profesional yang bekerja sama dengan National Cyber Security Centre.
Tool Penetration Testing
Berikut ini adalah tool yang digunakan untuk melakukan Penetration Testing, yaitu;
- Nmap
- Metasploit
- Wireshark
- John The Ripper
- Hashcat
- Hydra
- Burp Suite
- Zed Attack Proxy
- Sqlmap
- Hping
- Aircrack-Ng
Sistem Operasi Penetration Testing
Berikut ini adalah sistem operasi khusus yang digunakan untuk melakukan Penetration Testing, yaitu;
- BlackArch
- BackBox
- Kali Linux pengganti BackTrack
- Parrot Security OS
- Pentoo
- WHAX
Kesimpulan
Demikianlah pembahasan mengenai pengertian, tujuan, dan strategi penetration testing. karena kedepannya pemahaman akan keamanan teknologi informasi saat penting, maka sudah seharusnya kita sadar akan pentingnya penguasaan keamanan digital. Belajar cara hacker agar tidak menjadi korban hacker pun menjadi penting. Semoga bermanfaat…