9 Metode Pengujian Penetrasi Terbukti untuk 2021: Lindungi Bisnis Anda

Di dunia korporat saat ini, keamanan telah menjadi masalah yang paling sering dihadapi. Setiap hari, kita mendengar tentang pelaku yang berhasil membobol sistem komputer dan mencuri informasi krusial.

Pada tahun 2019, tercatat 1.473 pelanggaran data di Amerika Serikat, dengan lebih dari 164 juta catatan sensitif yang terpapar. Setengah pertama tahun 2020, jumlah pelanggaran data mencapai 540 kasus. — Laporan Statista

Untuk mendeteksi kelemahan dan kerentanan keamanan, banyak perusahaan besar melakukan simulasi serang siber yang diizinkan pada sistem miliknya sendiri. Hal ini dikenal sebagai pengujian penetrasi (Pen Test). Pada dasarnya, tujuannya adalah mengidentifikasi kerentanan dan kelemahan keamanan sebelum peretas siber melakukannya, serta memperbaikinya secepat mungkin.

Secara lebih spesifik, pengujian penetrasi melibatkan simulasi skenario serangan dunia nyata untuk menemukan dan mengeksploitasi celah keamanan (secara aman) yang pada akhirnya dapat mengakibatkan pencurian informasi, kredensial yang terkompromi, atau dampak bisnis berbahaya lainnya.

Pengujian dapat dilakukan secara internal melalui alat pengujian penetrasi atau dioutsourcing kepada penyedia layanan pengujian penetrasi. Proses biasanya dimulai dengan profesional keamanan yang melakukan enumerasi jaringan target untuk mendeteksi perangkat atau akunan yang rentan. Artinya, memindai setiap perangkat di jaringan untuk mencari port terbuka yang menjalankan layanan.

Tingkat intrusi tergantung pada jenis operasi yang ingin dieksplorasi oleh penguji keamanan pada sistem target. Oleh karena itu, penguji harus memiliki pengetahuan yang baik tentang jenis pengujian penetrasi yang paling relevan.

Pengujian penetrasi dapat diklasifikasikan berdasarkan cara pelaksanaan serta aset dan komponen yang ditargetkan. Dalam artikel ringkasan ini, kami telah menjelaskan berbagai jenis pengujian penetrasi yang dirancang untuk intensif dan invasif.

Pengujian Penetrasi Berdasarkan Metode yang Digunakan

1. Pengujian Black Box

• Kasus uji dapat dirancang segera
• Dapat mendeteksi jenis cacat tertentu

Dalam pengujian penetrasi black-box, penguji tidak memiliki akses ke aplikasi klien, konfigurasi jaringan, atau informasi internal apa pun. Dia melakukan semua rekognisi untuk mengekstrak informasi yang diperlukan.

Jenis pengujian ini menentukan kelemahan sistem yang dapat dieksploitasi dari luar jaringan. Menemukan kelemahan tersebut bergantung pada inspeksi dinamis terhadap program dan sistem yang saat ini berjalan dalam jaringan target.

Penguji harus terbiasa dengan perangkat lunak pemindaian otomatis dan berbagai teknik pengujian penetrasi manual. Karena tidak ada pengetahuan sebelumnya tentang konfigurasi sistem atau kode sumber aplikasi, penguji penetrasi black-box harus mampu membuat peta jaringan target sendiri berdasarkan observasi pribadi.

Pengetahuan yang terbatas mencegah penguji menemukan semua kerentanan dalam sistem. Ini adalah kelemahan utama dari jenis pengujian ini. Jika penguji tidak dapat menembus semua perimeter, kerentanan internal tetap tidak terdeteksi.

Namun, pengujian ini dapat mengungkap jenis cacat tertentu, seperti kesalahan konfigurasi server dan kesalahan validasi masukan/keluaran. Untuk berhasil (mendeteksi dan memperbaiki lebih banyak kerentanan secara efisien), metodologi pengujian black-box harus digabungkan dengan alat pengujian lainnya.

Tersedia banyak alat di pasar untuk melakukan pengujian penetrasi black-box. Wapiti, misalnya, menganalisis aplikasi web untuk potensi kewajiban dengan menyuntikkan data sementara.

2. Pengujian White Box

• Lebih Komprehensif
• Mengizinkan optimasi kode dan deteksi masalah keamanan tersembunyi

Seperti namanya menunjukkan, pengujian penetrasi white box adalah kebalikan dari pengujian black-box. Penguji memiliki akses penuh ke dokumentasi arsitektur, kode sumber, dan informasi sistem lainnya.

Penguji memfilter volume data yang besar untuk mendeteksi titik kelemahan potensial. Mereka dapat menggunakan analyzer kode statis dan dinamis serta debugger untuk jenis pengujian ini.

Karena penguji memiliki pengetahuan lengkap tentang sistem, membutuhkan lebih banyak waktu untuk memutuskan modul mana yang harus diuji terlebih dahulu dan perangkat lunak spesifik apa yang harus digunakan untuk melakukan pengujian.

JUnit, PyUnit, Selenium adalah beberapa alat pengujian white box open-source yang paling populer. Selenium, misalnya, digunakan untuk memvalidasi aplikasi web di berbagai browser dan platform.

3. Pengujian Gray Box

• Mengidentifikasi kerentanan yang lebih signifikan dengan biaya dan upaya lebih rendah
• Pengujian dilakukan dari sudut pandang pengguna, bukan perancang

Ini adalah kombinasi dari pengujian penetrasi black box dan white box. Penguji penetrasi gray box memiliki beberapa pengetahuan tentang internal sistem, seperti basis data dan dokumen desain. Dengan pengetahuan terbatas ini, dia dapat membuat data uji dan kasus uji yang lebih baik saat menyiapkan rencana uji.

Jenis pengujian ini memberikan penilaian keamanan sistem yang lebih efisien dan terfokus dibandingkan dengan penilaian black-box. Ia dapat mengidentifikasi cacat akibat penggunaan aplikasi yang tidak tepat atau struktur kode yang tidak tepat. Secara lebih spesifik, ia mengungkap kesalahan yang spesifik konteks dengan memfokuskan pada semua lapisan sistem kompleks.

Pengujian gray box lebih cocok untuk pengujian fungsional, aplikasi web, layanan web, penilaian keamanan, dan GUI. Burp Suite adalah salah satu alat pengujian gray box populer yang mengeksploitasi kerentanan aplikasi dengan menyerang titik-titik tidak aman yang diduga.

Perbedaan Antara Ketiga Teknik Pengujian Ini

Pengujian Penetrasi Black Box	Pengujian Penetrasi Gray Box	Pengujian Penetrasi White Box
Tidak diperlukan pengetahuan tentang cara kerja internal sistem	Diperlukan pengetahuan parsial tentang cara kerja internal sistem	Diperlukan pengetahuan lengkap tentang cara kerja internal sistem
Sangat sulit untuk menemukan kesalahan tersembunyi	Sulit untuk menemukan kesalahan tersembunyi	Mudah untuk menemukan kesalahan tersembunyi
Juga dikenal sebagai pengujian closed-box atau pengujian berbasis data	Juga dikenal sebagai pengujian translusen	Juga dikenal sebagai pengujian clear-box, pengujian struktural, atau pengujian berbasis kode
Paling sedikit waktu yang dibutuhkan	Sebagian waktu yang dibutuhkan	Paling komprehensif dan paling banyak waktu yang dibutuhkan
Terbaik untuk menemukan kesalahan validasi masukan/keluaran	Paling cocok untuk pengujian domain data dan desain sistem	Paling cocok untuk pengujian algoritma, struktur kode, dan batas internal
Pengujian dilakukan oleh pengguna akhir, pengembang, dan penguji	Pengujian dilakukan oleh penguji dan pengembang independen	Pengujian dilakukan oleh penguji dan pengembang

Pengujian Penetrasi Berdasarkan Komponen yang Ditargetkan

1. Pengujian Layanan Jaringan

• Mencegah pelanggaran jaringan dan data
• Memastikan keamanan jaringan dan sistem

Proses pengujian penetrasi jaringan melibatkan menemukan kerentanan keamanan dalam aplikasi dan sistem dengan menggunakan berbagai metode berbahaya untuk memeriksa keamanan jaringan.

Biasanya, penguji mengidentifikasi jaringan, host, sistem, dan perangkat (seperti switch dan router) yang dapat dieksploitasi untuk mengungkap kelemahan. Karena jaringan memiliki titik akses eksternal dan internal, wajib untuk melakukan pengujian secara jarak jauh dari dunia luar dan secara lokal di situs klien.

Ini membantu penguji memahami tingkat risiko yang dihadapi organisasi dan cara mengatasi serta memperbaiki celah keamanan. Bergantung pada risiko, mereka dapat menargetkan berbagai area jaringan dalam pengujian mereka. Misalnya, mereka dapat melakukan:

• Pengujian analisis stateful
• Pengujian konfigurasi firewall
• Pengujian bypass firewall
• Serangan DNS

Protokol yang paling banyak diteliti dalam pengujian ini meliputi:

• Simple Mail Transfer Protocol (SMTP)
• File Transfer Protocol (FTP)
• Secure Shell (SSH)
• MySQL dan SQL Server

Bergantung pada ukuran dan kompleksitas sistem, pengujian penetrasi jaringan dapat memakan waktu antara satu hingga empat minggu untuk diselesaikan. Penguji hanya dapat memberikan estimasi rinci setelah menentukan cakupan proyek.

2. Pengujian Penetrasi Aplikasi Web

Langkah-langkah melakukan pengujian penetrasi aplikasi web

• Mengidentifikasi kerentanan dalam desain dan konfigurasi
  Menemukan dan memblokir penyerang

Karena banyak aplikasi web menyimpan informasi sensitif, perlu untuk menjaga keamanannya setiap saat. Salah satu caranya adalah menyertakan pengujian penetrasi aplikasi web sebagai bagian dari Siklus Hidup Pengembangan Perangkat Lunak (SDLC).

Pengujian penetrasi memudahkan untuk menentukan kerentanan seluruh aplikasi web dan di seluruh komponennya, termasuk basis datanya, jaringan backend, dan kode sumber. Ini membantu pengembang menentukan prioritas dan mengutamakan kelemahan serta kesalahan dan mencari cara untuk mengurangi risiko mereka.

Jenis pengujian ini melibatkan mengumpulkan data tentang aplikasi web target, memetakan jaringan host, dan memeriksa semua titik injeksi atau serangan manipulasi yang mungkin. Alasan utama untuk melakukan pengujian penetrasi aplikasi web adalah:

• Mendeteksi kerentanan yang tidak diketahui
• Memeriksa komponen yang diekspos secara publik, seperti router dan firewall
• Menemukan rute paling rentan untuk serangan yang mungkin terjadi
• Mencari lubang yang dapat mengakibatkan pencurian informasi
• Memeriksa efektivitas kebijakan keamanan yang ada

Tersedia banyak alat di pasar untuk melakukan pengujian penetrasi aplikasi web (baik manual maupun otomatis). Vega, Veracode, dan Zap adalah beberapa yang paling umum untuk melakukan pengujian cepat.

3. Pengujian Penetrasi Nirkabel

• Menentukan postur keamanan realistis jaringan nirkabel
• Mengatasi kerentanan dan kebijakan/prosedur keamanan

Pengujian penetrasi nirkabel melibatkan mendeteksi dan menganalisis koneksi antara semua perangkat yang terhubung ke WiFi bisnis. Ini mencakup laptop, smartphone, tablet, printer, dan perangkat Internet of Things (IoT) lainnya.

Berbagai protokol nirkabel dan titik akses nirkabel diuji untuk menemukan lubang keamanan. Biasanya, pengujian ini dilakukan di lokasi klien karena penguji perlu berada dalam jangkauan sinyal nirkabel untuk mengakses perangkat.

Dalam sebagian besar kasus, kerentanan ditemukan di titik akses wifi karena kurangnya filter MAC dan Kontrol Akses Jaringan yang tidak cukup. Untuk mengatasi masalah ini sebelum terjadi secara nyata, sangat penting untuk menguji efektivitas postur keamanan yang mengekspos kelemahan yang tidak disengaja.

Penting juga untuk diingat bahwa WiFi bukan teknologi nirkabel satu-satunya yang dapat dieksploitasi oleh peretas. Ada beberapa perangkat Bluetooth, perangkat Bluetooth Low Energy, dan teknologi kurang populer lainnya, seperti Z-wave dan DECT (telepon nirkabel), yang ditemukan di tempat umum.

4. Pengujian Penetrasi Sisi Klien

• Mendeteksi konfigurasi salah keamanan dalam perangkat lunak sisi klien
• Mengizinkan kontrol yang tepat atas lalu lintas jaringan masuk dan keluar

Ini adalah Pen Test internal tempat penguji mengeksploitasi kerentanan dalam program aplikasi sisi klien seperti browser web, Adobe Acrobat, klien email, Macromedia Flash, dan sebagainya.

Meskipun tidak ada aturan untuk melakukan pengujian ini pada interval tertentu, bisnis seharusnya melakukan pen test ketika infrastruktur IT baru atau aplikasi sisi klien ditambahkan atau ketika infrastruktur yang ada diubah.

Sebagian besar kerentanan sisi klien terjadi karena perangkat lunak yang tidak di-patch yang terinstal pada laptop atau desktop. Beberapa peretas bahkan menyadap proses pembaruan, mengirimkan kode berbahaya bersama dengan pembaruan asli.

Perangkat USB juga terinfeksi dengan file berbahaya atau kode eksekusi. File-file ini secara otomatis dieksekusi segera setelah korban menyambungkan USB ke komputernya. Cross-site scripting, form hijacking, clickjacking, HTML injection, dan open redirection adalah beberapa serangan keamanan sisi klien yang paling umum.

Ini sebabnya mengapa penting untuk menguji kerentanan karyawan dan kemampuan jaringan untuk mengenali serta merespons serangan sisi klien.

5. Pengujian Penetrasi Eksternal

• Penilaian keamanan sistem perimeter perusahaan
• Termasuk penilaian lapisan aplikasi serta lapisan jaringan

Pengujian penetrasi eksternal secara umum menguji dari sudut pandang penyerang tanpa akses sebelumnya ke sistem atau jaringan target. Ini berbeda dengan pengujian penetrasi internal, di mana penyerang sudah memiliki takhta pada mesin yang terkompromi.

Dalam pengujian penetrasi eksternal, penguji mencoba untuk mendapatkan akses ke jaringan internal dengan memanfaatkan kerentanan yang ditemukan pada aset eksternal. Dia melakukan rekognisi pada aset dalam cakupan, mengumpulkan data tentang semua aset dalam cakupan.

Data ini dapat mencakup port terbuka, kerentanan, atau informasi karyawan untuk serangan kata sandi. Setelah perimeter ditembus, tujuan pengujian penetrasi eksternal telah tercapai, dan penguji melanjutkan ke pengujian penetrasi internal.

Baca: 30 Alat Pelacakan Bug Berguna untuk Pengembang

6. Rekayasa Sosial

• Menipu karyawan yang tidak curiga untuk mengkompromikan keamanan perusahaan
• Mengeksploitasi psikologi manusia untuk mendapatkan data rahasia

Istilah rekayasa sosial digunakan untuk berbagai kegiatan berbahaya yang dilakukan melalui interaksi manusia. Karena ia bergantung pada kesalahan manusia (bukan kelemahan dalam aplikasi atau jaringan), ia kurang dapat diprediksi dan lebih sulit untuk terdeteksi dibandingkan intrusi berbasis malware.

Jenis pengujian ini melibatkan upaya untuk mendapatkan data rahasia dengan menipu karyawan perusahaan untuk mengungkapkan informasi sensitif. Ini dapat dicapai melalui pengujian jarak jauh atau pengujian fisik.

Baca: 15 Alat Pembangkit Data Uji Terbaik

Pengujian jarak jauh melibatkan pengiriman email phishing ke karyawan atau membanjiri perangkat mereka dengan alarm palsu atau ancaman fiktif. Sebaliknya, pengujian fisik mencakup tailgating, personifikasi, mencari di sampah, ancaman fisik, dan sebagainya.