Apakah kamu pernah mendengar istilah Penetration Test (Pentest)? Pentest adalah sebuah metode untuk melakukan evaluasi terhadap keamanan dari sebuah sistem dan jaringan komputer. Evaluasi tersebut dilakukan dengan cara melakukan sebuah simulasi serangan. Maka, hasil dari penetration test ini sangat penting sebagai feedback bagi pengelola sistem untuk memperbaiki tingkat keamanan dari sistem komputernya.

Laporan hasil tersebut akan memberikan masukan terhadap kondisi vulnerability sistem, sehingga memudahkan kita dalam melakukan evaluasi dari sistem keamanan komputer yang sedang berjalan. Di samping itu, aktivitas pentest kadang disebut juga dengan istilah ethical hacking. Sebenarnya, ada beberapa teknik dan metode untuk melakukan penetration test, diantaranya adalah apa yang disebut dengan black box (blind disclosure), white box (full disclosure), dan gray box (partial disclosure).

Black box testing adalah metode pentest dimana diasumsikan tester yang tidak mengetahui sama sekali infrastruktur dari targetnya. Dengan demikian, tester harus mencoba untuk menggali dari awal semua informasi yang diperlukan kemudian melakukan analisis serta menentukan jenis attack yang akan dilakukan. Pada white box testing justru terjadi sebaliknya, dimana tester telah mengetahui semua informasi yang diperlukan untuk melakukan pentration test. Sementara, gray box adalah kombinasi dari kondisi black box dan white box.

Kenapa Penetration Testing Diperlukan?

Perusahaan-perusahaan besar yang menyimpan data-data sensitif tentu tidak ingin jaringannya dibobol oleh orang tidak bertanggung jawab yang kemudian bisa mengambil alih kontrol jaringan dan menimbulkan kerugian yang sangat besar. Oleh karena alasan itu perusahaan menginvestasikan dana untuk memperkuat sistem jaringannya.

Salah satu metode paling efektif adalah melakukan pentest. Dengan demikian, celah-celah keamanan yang ada dapat diketahui, serta dapat diperbaiki secepatnya. Seorang yang melakukan penetration test mensimulasikan serangan yang dapat dilakukan, menjelaskan risiko yang bisa terjadi, dan melakukan perbaikan sistem tanpa merusak infrastruktur jaringan perusahaan tersebut.

Tahapan Penetration Testing

Pentest memiliki standar yang digunakan sebagai acuan dalam pelaksanaannya yang dibagi ke dalam beberapa tahap:

1). Pre-engagement Interactions

Tahap di mana seorang tester menjelaskan kegiatan pentest yang akan dilakukan kepada client (perusahaan). Di sini seorang tester harus bisa menjelaskan kegiatan-kegiatan yang akan dilakukan dan tujuan akhir yang akan dicapai.

2). Intelligence Gathering

Tahap di mana seorang tester berusaha mengumpulkan sebanyak mungkin informasi mengenai perusahaan target yang bisa didapatkan dengan berbagai metode dan berbagai media. Hal yang perlu dijadikan dasar dalam pengumpulan informasi adalah: karakteristik sistem jaringan, cara kerja sistem jaringan, dan metode serangan yang bisa digunakan.

3). Threat Modeling

Tahap di mana seorang tester mencari celah keamanan berdasarkan informasi yang berhasil dikumpulkan pada tahap sebelumnya. Pada tahap ini seorang tester tidak hanya mencari celah keamanan, tetapi juga menentukan celah yang paling efektif untuk digunakan.

4). Vulnerability Analysis

Tahap di mana seorang tester mengkombinasikan informasi mengenai celah keamanan yang ada dengan metode serangan yang bisa dilakukan untuk melakukan serangan yang paling efektif.

6). Exploitation

Tahap di mana seorang tester melakukan serangan pada target. Walaupun demikian, tahap ini kebanyakan dilakukan dengan metode brute force tanpa memiliki unsur presisi. Seorang tester profesional hanya akan melakukan exploitation ketika sudah mengetahui secara pasti apakah serangan yang dilakukan akan berhasil atau tidak. Namun tentu saja ada kemungkinan tidak terduga dalam sistem keamanan target.

Namun, sebelum melakukan serangan seharusnya tester mengetahui jika target mempunyai celah keamanan yang bisa digunakan. Melakukan serangan secara membabi-buta dan berharap sukses bukanlah metode yang produktif. Seorang tester profesional selalu menyempurnakan analisisnya terlebih dahulu sebelum melakukan serangan yang efektif.

7). Post Exploitation

Tahap di mana seorang tester berhasil masuk ke dalam sistem jaringan target dan kemudian melakukan analisis infrastruktur yang ada. Pada tahap ini seorang pentester mempelajari bagian-bagian di dalam sistem dan menentukan bagian yang paling critical bagi target (perusahaan). Di sini seorang tester harus bisa menghubungkan semua bagian-bagian sistem yang ada untuk menjelaskan dampak serangan/kerugian yang paling besar yang bisa terjadi pada targetnya.

8). Reporting

Reporting adalah bagian paling penting dalam kegiatan penetration test. Seorang pentester menggunakan laporan untuk menjelaskan pada perusahaan mengenai pentesting yang dilakukan seperti apa yang dilakukan, bagaimana cara melakukannya, resiko yang bisa terjadi, dan yang paling utama adalah cara untuk memperbaiki sistemnya.

Tipe Penetration Testing

Sebenarnya ada dua jenis tipe penetration test, yaitu overt dan covert. Overt pentest dilakukan dengan sepengetahuan perusahaan. Covert pentest dilakukan tanpa sepengetahuan perusahaan. Kedua tipe pentest ini memiliki kelebihan dan kelemahan satu sama lain.

1). Overt Penetration Testing

Pada overt pentest, seorang tester bekerja bersama dengan tim IT perusahaan untuk mencari sebanyak mungkin celah keamanan yang ada. Salah satu kelebihannya adalah pentester mengetahui informasi sistem jaringan yang ada secara detail dan dapat melakukan serangan tanpa khawatir akan di-blok. Salah satu kelemahannya adalah tidak bisa menguji respon dari tim IT perusahaan jika terjadi serangan sebenarnya. Saat jumlah waktu dalam kegiatan penetration test dibatasi, akan lebih efektif menggunakan tipe overt.

2). Covert Penetration Testing

Pada covert pentest, seorang tester melakukannya tanpa sepengetahuan perusahaan. Artinya tes ini digunakan untuk menguji respon dari tim IT perusahaan jika terjadi serangan sebenarnya. Covert test membutuhkan waktu yang lebih lama dan skill yang lebih besar daripada overt test.

Kebanyakan tester profesional lebih merekomendasikan covert test daripada overt test karena benar-benar mensimulasikan serangan yang bisa terjadi. Pada covert test, seorang tester tidak akan berusaha mencari sebanyak mungkin celah keamanan, tetapi hanya akan mencari jalan termudah untuk masuk ke dalam sistem, tanpa terdeteksi.

Nah! kira-kira seperti itulah kegiatan pentest. Dengan semakin berkembangnya teknologi, unsur keamanan menjadi poin penting yang harus diperhatikan. Semakin sensitif data yang dimiliki perusahaan, maka akan semakin kuat juga sistem keamanan yang harus digunakan.

Jika ada yang berminat untuk menjadi seorang pentester, maka kemampuan teknis networking dan programming, sangatlah diperlukan. Selain itu kita harus mempunyai analisis yang kuat untuk bisa mencari kelemahan sistem. Mungkin terlihat sangat sulit untuk menjadi seorang pentester, tetapi seperti quote terkenal ‘no pain no gain’ maka tanpa adanya pengorbanan, tak ada hasil yang akan diperoleh. Bagaimana tanggapan kamu?

Sumber: Metasploit – The Penetration Tester’s Guide | pentest-standard.org