Aplikasi web yang terlihat berjalan normal belum tentu bebas dari celah keamanan. Kesalahan konfigurasi, lemahnya kontrol akses, masalah autentikasi, hingga celah pada API dapat membuka peluang bagi pihak tidak berwenang untuk mengakses sistem atau data penting.
Karena itu, tahapan penetration testing perlu dilakukan secara sistematis. Pengujian tidak berhenti pada pemindaian vulnerability, tetapi mencakup penentuan scope, pengumpulan informasi, validasi kelemahan, pengujian terkontrol, retesting, hingga reporting.
Secara umum, enam tahapan web penetration testing dapat dirangkum sebagai berikut:
Scope dan planning
Reconnaissance
Vulnerability assessment
Exploitation
Validation, remediation, dan retesting
Reporting
Jumlah fase dapat berbeda menurut metodologi yang digunakan. PTES, misalnya, menggunakan tujuh fase. Namun, prinsip utamanya tetap mencakup perencanaan, pengujian, validasi, dan pelaporan.
Apa Itu Web Penetration Testing?
Web penetration testing atau pentest aplikasi web adalah pengujian keamanan dengan menganalisis aplikasi secara aktif untuk menemukan kelemahan teknis maupun vulnerability yang berpotensi dieksploitasi.
OWASP melalui Web Security Testing Guide (WSTG) menyediakan kerangka pengujian keamanan aplikasi web yang mencakup information gathering, configuration testing, authentication, authorization, session management, input validation, hingga business logic testing.
Pentest juga berbeda dengan vulnerability scanning. Scanner membantu menemukan indikasi kelemahan secara otomatis, sedangkan penetration testing melibatkan validasi lebih lanjut untuk mengetahui apakah vulnerability benar-benar dapat dimanfaatkan dan apa dampaknya.
Baca juga: Perbedaan Penetration Testing dan Vulnerability Assessment
Mengapa Penetration Testing Perlu Dilakukan Secara Bertahap?
Metodologi yang jelas membantu organisasi memastikan pengujian tetap berada dalam ruang lingkup yang disepakati, mengurangi risiko gangguan terhadap sistem, serta menghasilkan temuan yang dapat dipertanggungjawabkan.
Bagi pemerintahan, BUMN/BUMD, perbankan, fintech, dan organisasi dengan sistem digital kritikal, hasil pentest juga dapat menjadi dasar untuk menentukan prioritas perbaikan keamanan.
6 Tahapan Penetration Testing pada Aplikasi Web
1. Menentukan Scope dan Planning
Tahapan pertama adalah menentukan apa yang boleh dan tidak boleh diuji.
Scope dapat mencakup:
domain dan subdomain;
aplikasi atau modul tertentu;
API;
environment pengujian;
akun dan role pengguna;
jadwal pengujian;
batas aktivitas tester.
Pada tahap ini biasanya ditetapkan pula Rules of Engagement (RoE) agar penetration testing berjalan terkontrol.
Output utamanya adalah scope, test plan, dan aturan pelaksanaan pengujian.
2. Reconnaissance dan Information Gathering
Tester selanjutnya memetakan attack surface aplikasi.
Informasi yang dianalisis dapat berupa teknologi yang digunakan, endpoint, web server, authentication flow, parameter, subdomain, serta komponen lain yang berinteraksi dengan aplikasi.
Reconnaissance dapat dilakukan secara pasif maupun aktif. Tujuannya bukan langsung melakukan eksploitasi, tetapi memahami target sebelum pengujian lebih dalam dilakukan.
3. Vulnerability Assessment dan Analysis
Setelah attack surface diketahui, tester mengidentifikasi potential vulnerability.
Area pengujian dapat mencakup:
authentication;
authorization;
session management;
input validation;
security misconfiguration;
API security;
business logic.
OWASP Top 10 dapat digunakan sebagai salah satu referensi untuk memahami kategori risiko penting pada aplikasi web. Versi yang dirilis saat ini adalah OWASP Top 10 2025.
Pengujian yang baik tidak hanya mengandalkan automated scanner. Manual testing tetap penting, terutama untuk menemukan masalah business logic dan memvalidasi kemungkinan false positive.
4. Exploitation Secara Terkontrol
Potential vulnerability kemudian divalidasi melalui pengujian terkontrol.
Tujuannya adalah mengetahui apakah kelemahan benar-benar dapat dieksploitasi serta memahami dampaknya terhadap kerahasiaan, integritas, atau ketersediaan sistem.
Sebagai contoh, kelemahan authorization dapat menyebabkan pengguna memperoleh akses ke data atau fungsi yang sebenarnya bukan menjadi kewenangannya.
Aktivitas exploitation harus tetap mengikuti scope dan Rules of Engagement yang telah disepakati.
5. Validation, Remediation, dan Retesting
Menemukan vulnerability bukan akhir penetration testing.
Temuan perlu divalidasi, dinilai tingkat risikonya, lalu diteruskan kepada tim terkait untuk remediation.
Setelah perbaikan dilakukan, retesting diperlukan untuk memastikan celah benar-benar telah ditutup. Status temuan selanjutnya dapat dikategorikan, misalnya:
fixed;
partially fixed;
open;
accepted risk.
Dengan proses ini, organisasi tidak hanya memperoleh daftar masalah, tetapi juga dapat memastikan efektivitas perbaikannya.
6. Reporting dan Rekomendasi
Tahap terakhir adalah menyusun penetration testing report.
Untuk manajemen, laporan idealnya menyediakan executive summary mengenai kondisi keamanan, risiko utama, dan prioritas perbaikan.
Untuk tim teknis, laporan dapat memuat:
vulnerability yang ditemukan;
komponen terdampak;
severity;
evidence;
dampak;
rekomendasi remediation;
hasil retesting.
NIST SP 800-115 juga menempatkan analisis temuan, reporting, dan mitigation sebagai bagian penting dari proses technical security assessment.
Kapan Perusahaan Perlu Melakukan Penetration Testing?
Pentest dapat dipertimbangkan ketika:
aplikasi akan go-live;
terjadi perubahan besar pada aplikasi;
terdapat API atau integrasi baru;
terjadi insiden keamanan;
organisasi ingin mengevaluasi kontrol keamanan secara berkala;
diperlukan assessment untuk mendukung manajemen risiko atau audit.
Untuk cakupan yang lebih luas, penetration testing juga dapat dikombinasikan dengan evaluasi kontrol, governance, risk management, maupun Audit KKS (Keamanan Sistem Informasi dan Ketahanan Siber).
Baca juga: Audit Security Services: Panduan Audit Keamanan Siber Perusahaan
Tingkatkan Keamanan Sistem dengan Cyber Security Services
Enam tahapan penetration testing membantu organisasi bergerak dari sekadar menemukan vulnerability menuju proses yang lebih terstruktur: menentukan scope, memahami attack surface, memvalidasi risiko, melakukan remediation, dan memastikan perbaikan melalui retesting.
Bagi pemerintahan, BUMN/BUMD, perbankan, maupun perusahaan dengan sistem digital kritikal, pengujian yang independen juga dapat memberikan perspektif tambahan terhadap kondisi keamanan yang ada.
Cyber Security Services PT Integra Teknologi Solusi dapat membantu organisasi melakukan penetration testing, audit security services, identifikasi gap dan risiko, hingga Audit KKS sesuai kebutuhan organisasi.
Konsultasikan kebutuhan Cyber Security Services Anda untuk menentukan ruang lingkup assessment dan langkah peningkatan keamanan yang tepat.
