Berbagai industri di Indonesia kini sedang memiliki banyak tantangan terkait serangan siber dari dalam negeri maupun luar negeri.
Untuk itu, perusahaan membutuhkan penetration testing atau pentest untuk mengetahui apakah sistemnya memiliki celah kebocoran atau tidak.
Apa Itu Pentest
Pentest atau penetration testing adalah cara untuk mengevaluasi sistem keamanan pada suatu jaringan, sistem, aplikasi dan server apakah memiliki celah atau sistemnya sudah aman. Cara yang digunakan yaitu dengan melakukan serangan siber seperti yang dilakukan oleh peretas sungguhan.
Sebuah tim tanpa otoritas akan ditugaskan menyerang sistem yang bertujuan untuk mengevaluasi kerentanan pada keamanan suatu perusahaan, aplikasi, maupun jaringan.
Kenapa Menggunakan Konsultan Pentest?
Jasa pentest adalah orang atau organisasi yang bertugas menguji keamanan sistem dengan melakukan serangkaian pengujian penetrasi.
Pengujian dilakukan untuk menemukan kelemahan atau celah keamanan (vulnerability) dalam jaringan, aplikasi, dan infrastruktur IT.
Celah ini harus diketahui pemilik sistem terlebih dahulu sebelum dimanfaatkan oleh pihak yang tidak bertanggung jawab.
Dengan memakai teknik yang sama persis dengan hacker, jasa pentest dapat mengetahui celah sistem yang dapat membahayakan data perusahaan.
Mengapa Perusahaan Melakukan Pentest?
Banyak perusahaan di Indonesia tidak menyadari pentingnya pengujian keamanan, sampai akhirnya mereka mengalami serangan siber yang merugikan.
Padahal, ancaman hacker terus berkembang dan semakin banyak. Inilah alasan mengapa jasa pentest sangat dibutuhkan oleh perusahaan di berbagai sektor industri.
Fungsi dari jasa konsultan penetration testing antara lain
1. Mendeteksi celah keamanan.
Umumnya, aplikasi yang kita gunakan saat ini memiliki celah keamanan yang apabila dimanfaatkan oleh hacker, dapat menimbulkan kerugian untuk kita. Fungsi dari jasa pentest pada situasi ini adalah melakukan pengujian pada aplikasi, jaringan, dan infrastruktur IT Anda untuk menemukan titik lemah sebelum disalahgunakan oleh hacker.
Dengan cara pengujian seperti black box, white box, dan gray box testing, kami dapat mensimulasikan serangan guna mengetahui celah yang sebelumnya tidak terdeteksi.
2. Mencegah Serangan Siber
Ada banyak kerugian yang dapat diakibatkan oleh serangan siber, seperti kerugian keuangan dan reputasi.
Dengan menyewa jasa pentest, perusahaan Anda akan segera dapat mengetahui celah yang dapat digunakan oleh hacker lebih awal, yang kemudian bisa Anda ambil tindakan pencegahannya. Hasil tes penetrasi dapat menjelaskan di mana saja peluang sistem Anda bisa diretas oleh hacker.
3. Mematuhi Regulasi Pemerintah
Banyak perusahaan membutuhkan jasa penetretion testing, karena terkait dengan aturan regulasi pemerintah Indonesia, terutama yang berhubungan dengan data penting seperti perbankan, e-commerce, dan layanan cloud computing.
Fungsi Uji Coba Pentest
Tujuan dari dilakukannya Pentest ini adalah untuk menemukan kerentanan dalam sistem perusahaan. Kerentanan yang telah ditemukan nantinya akan dievaluasi dan dicari tahu solusinya
Manfaat dari dilakukannya pentest untuk sebuah bisnis adalah sebagai berikut:
- Menemukan Vulnerability
Vulnerability atau celah keamanan adalah jalan masuk bagi seorang hacker untuk melakukan serangan siber
Jika celah ini dibiarkan akan memberikan kerugian besar bagi perusahaan Anda. Oleh karena itu, pentingnya melakukan pentest adalah sesegera mungkin menemukan vulnerability agar tim IT bisa segera menutup celah tersebut.
Dengan melakukan pentest dan menemukan vulnerability lebih awal, perusahaan dapat menerima 2 keuntungan
- Perusahaan bisa dengan cepat mengetahui celah keamanan dan segera mengambil keputusan untuk menghindari serangan sesungguhnya.
- Mendapatkan pengetahuan tentang bagaimana kerentanan tersebut bisa dieksploitasi oleh penyerang dan apa dampaknya terhadap sistem nantinya.
Sehingga, perusahan Anda bisa melakukan tindakan preventif lebih awal dan bisa meminimalisir kerugian yang ditimbulkan oleh para orang yang tidak bertanggung jawab.
- Mencegah Kehilangan Data
Mencegah lebih baik daripada mengobati, dalam hal kehilangan data tentu setiap perusahan tidak ingin mendapatkan masalah ini. Oleh sebab itu pentingnya melakukan pentest secara teratur jika Anda ingin meluncurkan sistem baru.
Penetration testing (pentest) adalah cara terbaik untuk meminimalisir risiko kehilangan data. Dengan uji coba ini, perusahaan bisa membuat sistem yang lebih baik. Tak cuma itu saja setelah dilakukan uji coba penetration testing, perusahan Anda akan mengetahui jika terjadi kehilangan data, bagaimana selanjutnya akan bertindak.
Baca juga: Mengenal Apa itu Cyber Security Awareness
- Patuh Terhadap Aturan Negara
Manfaat pentest selanjutnya adalah agar perusahaan anda selalu patuh pada aturan regulasi pemerintah Indonesia yang berlaku saat ini.
Patuh terhadap aturan regulasi pemerintah adalah hal yang penting jika Anda berbisnis di Indonesia, karena sangat terkait dengan integritas data, keamanan sistem, dan agar perusahaan Anda tidak terkena sanksi dari pemerintah.
Melalui tes penetrasi ini, perusahaan Anda bisa mendapatkan sertifikasi untuk memenuhi aturan persyaratan regulasi di Indonesia seperti
PCI-DSS untuk perusahaan yang memiliki sistem pembayaran kartu kredit di website.
RBI-ISMS untuk keamanan data bank dan lembaga keuangan.
SOC 2 untuk organisasi yang menjual layanan.
ISO 27001 untuk organisasi yang membutuhkan sertifikasi keamanan data.
HIPAA untuk organisasi yang terkait dengan kesehatan.
- Melatih Tim Keamanan
Melakukan pentest adalah salah satu bentuk latihan bagi tim IT perusahaan Anda. Dengan test ini, tim Anda bisa bagaimana selanjutnya membuat sistem yang baik agar tidak terjadi vulnerability dan menambah pengetahuan tim IT saat menghadapi serangan siber secara langsung.
- Mendapatkan Pengetahuan Serangan Siber
Saat pengujian pentest, para profesional yang memiliki sertifikasi pentest contohnya dari Wowrack akan mencoba semua cara yang biasa digunakan oleh para hacker. Maka dari itu, jika Tim IT Anda mau belajar dan memahami dengan baik tentang ancaman-ancaman yang sudah dilakukan, maka sistem keamanan perusahaan Anda akan lebih baik karena tim IT Anda sudah mengetahui bagaimana celah keamanan bisa terjadi pada sebuah sistem.
Tahap-Tahap Pentest Pada Sistem Bisnis
Terdapat beberapa tahap melakukan pentest. Berikut ini adalah langkah-langkah yang harus dilakukan saat melakukan penetration testing.
Planning
Tahap pertama yang harus dilakukannya saat melakukan pentest adalah fokus pada area apa saja yang akan diuji, serta goal apa yang diharapkan.
Pentest yang dilakukan dengan bantuan pihak ke 3 atau vendor seperti Wowrack, pasti akan ada proses penandatangan NDA (Non-Disclosure Agreement) untuk menjamin data perusahaan tidak akan dibocorkan oleh vendor. Setelah itu, perusahaan Anda harus mengatur jadwal untuk melangsungkan pentest saat semua tim IT perusahaan Anda siap.
Information Gathering
Information gathering adalah langkah para tester yang berpengalaman akan mengumpulkan informasi-informasi yang diperlukan untuk melangsungkan serangkaian test. Informasi ini mencakup, teknologi, platform, dan juga infrastruktur dari target.
Pada proses ini akan dilakukan dengan 2 metode yaitu pasif seperti OSINT – Open-Source Intelligence, dan juga aktif dengan melakukan scanning jaringan.
Scanning
Scanning atau pemindaian dilakukan untuk mengidentifikasi port yang terbuka, layanan yang berjalan, dan versi perangkat lunak. Langkah ini dilakukan untuk menemukan kerentanan yang telah diketahui sistem maupun aplikasi.
Gaining Access
Tahap "Gaining Access" dalam pentest adalah inti dari proses eksploitasi di mana pen tester berusaha masuk ke dalam sistem perusahaan Anda. Tim akan menjamin sistem keamanan akan diuji secara menyeluruh dan kerentanan yang ditemukan dapat langsung segera diperbaiki. Tools yang digunakan dalam tahap ini seperti Metasploit Framework, Burp suite, dan Hydra.
Eksploitasi (Exploitation)
Tahap ini merupakan proses inti penetration testing. Saat ini tim tester akan mencoba memanfaatkan celah yang sudah diidentifikasi sebelumnya. Tapi, selama tahap eksploitasi ini, tim wajib berhati-hati agar sistem tidak terjadi kerusakan, atau malah menyebarkan worm atau virus trojan yang bisa merusak sistem perusahaan.
Pengujian Website
Tahap pengujian ini digunakan khusus untuk menguji sistem website perusahaan. Sebab, website adalah sarana empuk bagi penyerang untuk mendapatkan database yang digunakan untuk login ke sistem, oleh karena itu menguji sistem website merupakan hal yang sangat penting, dan memang dilakukan secara khusus untuk mengetahui apakah ada kerentanan pada website maupun database, hal yang sering dilakukan pentester adalah melakukan SQL injection, cross-site scripting (XSS), dan bruteforces.
Pengujian Jaringan
Tahap pengujian jaringan akan berfokus pada setiap layer jaringan dan perangkat keras maupun perangkat lunak seperti firewall, router dan hub. Test ini bertujuan untuk mengetahui apa saja kemungkinan jalur masuk (port) yang sering dipakai penyerang untuk masuk ke dalam jaringan.
Maintaining Access
Proses "Maintaining Access" (mempertahankan akses) adalah tahap dalam penetration testing (pentest) di mana tester berusaha menjaga akses yang sudah diperoleh agar dapat terus menguji dan mengumpulkan data lebih lanjut.
Tahap ini dilakukan untuk pengujian yang lebih mendalam. Pada tahap ini juga tester memastikan semua kerentanan yang sudah ditemukan akan diperbaiki secara lengkap dengan dokumentasinya.
Reporting
Tahap berikutnya adalah reporting. Pada tahap ini akan dilakukan analisa hasil test yang sudah dilakukan pada tahap-tahap sebelumnya.
Penetration tester akan menyusun laporan antara lain celah kerentanan yang sudah ditemukan, test apa saja yang telah dilakukan serta hasilnya apa saja, potensi dampak serangan, dan solusi memperbaiki sistem keamanan.
Remediation
Pada tahap ini akan dilakukan langkah-langkah penerapan solusi untuk memperbaiki celah keamanan yang telah ditemukan. Proses ini dilakukan dengan cara re-testing untuk mengetahui tes yang sudah dilakukan sudah bekerja dengan baik dan tidak merusak sistem, tak hanya itu saja, proses remediation juga akan langsung memperbaiki celah keamanan yang ada di sistem perusahaan.
Proses Pengujian Penetration Testing
Jasa pentest Wowrack dilakukan dalam beberapa tahap
Perencanaan dan Pengumpulan Informasi
Jasa pentest akan mencari tahu ruang lingkup pengujian dan mengumpulkan informasi yang diperlukan untuk memetakan sistem.
Pemindaian Kerentanan
Menggunakan alat khusus untuk mendeteksi celah keamanan yang bisa dimanfaatkan oleh peretas.
Eksploitasi dan Simulasi Serangan
Melakukan serangkaian simulasi serangan untuk menguji keamanan sistem saat ini dan seberapa jauh sistem dapat ditembus.
Pelaporan dan Rekomendasi
Tim konsultan akan menyusun laporan mendetail yang mencakup temuan, analisis risiko, serta saran untuk memperbaiki kerentanan yang ditemukan.
Pengujian Ulang
Setelah perusahaan memperbaiki vulnerability yang ditemukan, jasa pentest dapat melakukan pengujian ulang untuk mengetahui apakah sistem sudah benar-benar aman.
Apa saja Pentest Tools?
Untuk melaksanakan pentest harus menggunakan alat, atau disebut juga pentest tools yaitu software yang membantu mendeteksi, mengeksploitasi, hingga menganalisis kerentanan pada sistem yang akan diuji.
Apa saja jenis-jenis Pentest Tools?
Berikut adalah rekomendasi tools penetration testing yang paling berguna.
1. Kali Linux
Kali Linux adalah sistem open-source berbasis Debian yang dibuat untuk uji coba penetration testing dan uji coba SQLi. berberapa fiturnya adalah
- Aksesibilitas tinggi
- Enkripsi disk penuh
- Dukungan untuk perangkat Android
- Kemampuan enkripsi pada Raspberry Pi
- Meskipun tool ini dapat berjalan di hardware, namun para ethical hacker lebih sering menggunakan
- mesin virtual pada OS X atau Windows.
2. Nmap (Network Mapper)
Nmap (Network Mapper) adalah alat keamanan yang sangat terkenal di kalangan para hacker. Nmap juga mampu memantau jaringan skala besar yang terdiri dari ratusan ribu perangkat.
Para ethical hacker menggunakan Nmap untuk :
- Mengidentifikasi perangkat yang terhubung
- Menemukan host aktif
- Mendeteksi port terbuka
- Mendeteksi potensi risiko keamanan
3. Metasploit
Metasploit adalah tools pentest yang banyak digunakan para hacker. Tools ini bisa menulis, testing, dan mengeksekusi exploit code.
Metasploit memiliki fitur untuk menguji kerentanan keamanan, menghitung jaringan, mengeksekusi serangan, dan menghindari deteksi dari cyber security.
4. Wireshark
Wireshark adalah alat network analyzer untuk membantu memantau traffic data. Dengan tools ini, pengguna dapat memperoleh informasi detail tentang data packets, dan network traffic activity. Tools ini kompatibel dengan banyak OS seperti Windows, Linux, macOS dan masih banyak lagi.
Jenis-jenis Pengujian Pentest Pada Bisnis
Penetration testing memiliki banyak jenis. Jenis-jenis ini dikelompokan berdasarkan tujuan, metode, dan target pengujian. Namun, secara garis besar ada 3 jenis yang perlu Anda ketahui. 3 jenis tersebut adalah sebagai berikut:
Pentest Black Box
Black box testing adalah jenis penetration testing di mana penguji tidak mengetahui informasi terkait sistem target.
Mereka memulai dari nol, seperti seorang penyerang eksternal yang tidak memiliki akses atau informasi internal. Tujuannya adalah untuk mengetahui bagaimana penyerang tanpa akses dapat mencoba masuk kedalam sistem.
Keuntungan dari tahap ini adalah, perusahaan dapat mengetahui dengan persis kemungkinan penyerangan karena simulasi dilakukan selayaknya serangan yang asli.
Namun, test jenis ini cukup memakan waktu lama karena sama sekali tidak terpapar informasi internal.
Pentest Grey Box Testing
Pada test ini, penetration tester mengetahui Sebagian informasi dari pihak internal target, seperti diagram jaringan dasar dan kredensial.
Tujuan dilakukannya grey box testing ini adalah untuk mendapatkan hasil test yang cukup realistis tanpa perlu memakan waktu selama black box testing.
Kelebihan dari jenis ini adalah efisiensi waktu dan dapat memperoleh hasil yang lebih realistis dibandingkan dengan white box testing.
kekurangan dari grey box tes ini adalah tidak bisa mengetahui semua kerentanan yang ada pada sistem karena kekurangan informasi saat melakukan tes.
Pentest White Box
Jenis tes ini akan memberikan semua informasi terhadap penetration tester, informasi yang akan diberikan antara lain source code, diagram jaringan, dan kredensial. Tujuan tes ini adalah untuk mengetahui kerentanan dari sudut pandang pemilik sistem dan juga sudah memiliki informasi login secara detail.
Kelebihan dari tes ini adalah proses tes yang lebih lengkap karena semua informasi sudah ada. Namun, kemungkinan hasil dari tes ini kurang realistis karena tidak seperti serangan siber asli.
Waktu Yang Tepat Untuk Uji Pentest?
Banyak perusahaan bertanya kapan harus menyewa jasa pentest. Ada juga yang membutuhkan jasa konsultan pentest untuk memenuhi syarat dari regulasi pemerintah Indonesia, padahal untuk pengujian penetrasi tidak hanya untuk kebutuhan formalitas untuk memenuhi syarat dari regulasi Indonesia saja, tetapi konsultasi kami benar benar membantu agar sistem Anda benar benar aman dari ancaman peretasan. Untuk itu pentest seharusnya dilakukan secara berkala, terutama dalam kondisi berikut
1. Peluncuran Aplikasi atau Sistem Baru
Pada saat perusahaan Anda baru saja mengembangkan aplikasi atau situs web baru, ada peluang celah keamanan yang belum ditemukan oleh tim internal perusahaan Anda. Maka dari itu Kami sebagai jasa pentest akan menguji sistem Anda terlebih dahulu sebelum Anda meluncurkan versi aplikasi prototype ke public agar tidak ada vulnerability (celah kebocoran) yang bisa dimanfaatkan oleh peretas.
2. Setelah Melakukan Perubahan Besar pada Infrastruktur IT
Setiap kali memperbarui sistem, melakukan update dan menambahkan fitur baru, tentu akan selalu ada resiko keamanan yang tidak diketahui oleh tim internal. Maka dari itu, sebagai pemilik sistem Anda harus melakukan pentest untuk mengetahui jika ada risiko baru dari sistem yang baru saja di update.
3. Setelah Terjadi Insiden Keamanan
Jika perusahaan Anda sudah mengalami percobaan peretasan namun tidak sampai terjadi kehilangan data, Maka Anda harus segera menggunakan jasa pentest untuk mengetahui bagian sistem mana yang ditembus oleh hacker.
Maka dari itu, konsultan pentest akan membantu Anda mengetahui dimana saja titik masuk serangan, lalu segera menutup celah yang ada, serta memberikan rekomendasi perbaikan agar kejadian serupa tidak terjadi di lain hari.
Kesimpulan
Pentest adalah cara terbaik mengetahui apakah sistem keamanan IT perusahaan sudah baik atau masih buruk. Untuk itu, sangat disarankan perusahaan melakukan tes penetration sesering mungkin saat melakukan launching sebuah aplikasi maupun sistem agar terhindar dari serangan siber.
