integrasolusi.com – Proses pentest (penetration testing) merupakan kegiatan yang penting dilakukan untuk memastikan keamanan sebuah sistem. Uji pentest ini penting dilakukan jika perusahaan Anda memiliki website, software, cloud, maupun layanan lain yang terkoneksi melalui internet untuk kebutuhan bisnis.
Bagaimanakah cara kerja penetration testing dalam menguji kerentanan keamanan sebuah sistem? Anda bisa mencari tahu bagaimana cara melakukan proses pentest di artikel berikut.
Isi Artikel
Bagaimana Cara Kerja Penetration Testing?
Untuk memahami cara kerja pentest yang dilakukan tim asesor, Anda perlu mengetahui level akses, objek yang diuji, serta kegiatan apa saja yang akan dilakukan dalam proses pentest. Berikut penjelasannya.
1. Level akses
Dalam pelaksanaan penetration testing, ada tiga level akses yang diberikan kepada tim asesor. Level akses ini menentukan seberapa banyak informasi yang bisa diketahui sebelum pelaksanaan pentest.
Tiga level tersebut adalah:
-
- Opaque box. Pada level ini, tim asesor tidak mengetahui informasi apa pun terkait struktur internal keamanan sistem yang diuji. Jadi, asesor akan menguji sistem layaknya seorang hacker yang belum mengenal sistem sama sekali.
- Semi-opaque box. Pada level ini, tim asesor memiliki beberapa informasi terkait dengan struktur sistem yang diuji, misalnya seperti struktur data, algoritma, dan kode akses.
- Transparent box. Berbeda dari level-level yang disebutkan sebelumnya, pada level ini asesor akan diberikan informasi sepenuhnya mengenai situasi sistem yang diuji.
2. Objek yang diuji
Konsep uji kerentanan web, atau yang lebih populer disebut sebagai pentest, biasanya dilakukan untuk menguji keamanan sistem. Dalam penerapannya, pentesting akan dilakukan pada objek-objek uji berikut:
-
- Jaringan internet yang digunakan
- Web app
- Mobile app
- Embedded devices (IoT), misalnya seperti perangkat medis, mesin produksi, dll. yang terkoneksi ke internet.
- Perangkat mobile
- Cloud, dsb.
3. Kegiatan yang dilakukan
Dalam melakukan penetration testing, ada empat tahapan uji yang akan dilakukan, yaitu:
-
- Reconnaissance. Pada tahap ini, asesor akan menggali infomasi mengenai sistem yang akan diuji. Asesor akan mencari ‘celah’ untuk memasukkan serangan ke sistem keamanan yang diuji.
- Scanning. Pada tahap scanning, asesor akan menggunakan tools untuk menguji keamanan sistem. Penggunaan tools ini diharapkan dapat mendeteksi dimana celah sistem keamanan yang rentan dan membuka celah agar serangan bisa dilaksanakan.
- Gaining access. Setelah mengetahui letak celah keamanan, asesor akan melakukan serangan terhadap sistem yang diuji. Bentuk ancaman yang dibuat bisa bermacam-macam. Misalnya seperti mencuri, mengubah, atau menghapus data.
- Maintaining access. Tahapan selanjutnya dalam penetration testing adalah menjaga akses hingga tujuan simulasi serangan (misalnya mencuri data) selesai dilakukan. Tahapan ini juga memungkinkan asesor untuk mengulik lebih dalam kerentanan keamanan dari sistem yang sedang diuji dan merencanakan serangan tambahan jika diperlukan.
Itulah penjelasan mengenai cara kerja penetration testing. Sebagai simpulan, ada empat tahapan dalam proses pentest, yaitu reconnaissance, scanning, gaining access, dan maintaining access. Keempat tahapan ini akan diujikan di berbagai objek uji dengan level akses yang berbeda-beda.
