{"id":28845,"date":"2025-05-28T11:57:23","date_gmt":"2025-05-28T04:57:23","guid":{"rendered":"https:\/\/dte.telkomuniversity.ac.id\/?p=28845"},"modified":"2025-05-28T11:57:23","modified_gmt":"2025-05-28T04:57:23","slug":"penetration-testing","status":"publish","type":"post","link":"https:\/\/dte.telkomuniversity.ac.id\/en\/penetration-testing\/","title":{"rendered":"PENETRATION TESTING\u00a0"},"content":{"rendered":"

4.3 Dasar Teori <\/strong><\/p>\n\n\n\n

4.3.1 Pengenalan Penetration Testing <\/em><\/strong><\/p>\n\n\n\n

Penetration testing<\/em>, juga dikenal sebagai pen testing <\/em>atau ethical hacking<\/em>,  adalah suatu metode yang digunakan untuk mengidentifikasi kelemahan dalam  sistem komputer, jaringan, atau aplikasi dengan tujuan untuk meningkatkan  keamanan. Teknik ini melibatkan simulasi serangan yang dilakukan oleh  spesialis keamanan (dikenal sebagai penetration tester <\/em>atau ethical hacker<\/em>),  yang mencoba mengeksploitasi kerentanan dalam sistem dengan cara yang  mirip dengan teknik serangan yang dapat dilakukan oleh penyerang jahat.  Melalui pendekatan proaktif ini, perusahaan dapat mengantisipasi dan menutup  celah keamanan sebelum dimanfaatkan oleh pihak yang tidak bertanggung  jawab. Dengan melakukan pen testing <\/em>secara berkala, perusahaan dapat  memastikan bahwa sistem mereka tetap aman dari ancaman baru dan mematuhi  standar keamanan yang berlaku.<\/p>\n\n\n\n

4.3.2 Tujuan Penetration Testing <\/em><\/strong><\/p>\n\n\n\n

Tujuan utama dari penetration testing <\/em>adalah: <\/p>\n\n\n\n

\u2022 Mengidentifikasi Kelemahan  <\/p>\n\n\n\n

Penetration tester <\/em>berusaha untuk mengidentifikasi potensi kerentanan  dalam sistem, seperti konfigurasi yang buruk, kerentanan perangkat  lunak, atau masalah keamanan yang mungkin ada. <\/p>\n\n\n\n

\u2022 Menilai Kerentanan <\/p>\n\n\n\n

Setelah kerentanan diidentifikasi, pen tester <\/em>mengevaluasi tingkat risiko  yang terkait dengan masing-masing kerentanan. Ini membantu  organisasi untuk memprioritaskan tindakan perbaikan. <\/p>\n\n\n\n

\u2022 Menguji Pertahanan  <\/p>\n\n\n\n

Penetration testing <\/em>juga membantu organisasi untuk menguji efektivitas  sistem keamanan mereka. Dengan mencoba mengeksploitasi  kerentanan, mereka dapat melihat sejauh mana sistem mampu  melindungi diri dari serangan. <\/p>\n\n\n\n

\u2022 Rekomendasi Perbaikan <\/p>\n\n\n\n

Setelah pengujian selesai, pen tester <\/em>biasanya memberikan rekomendasi  tentang cara memperbaiki kerentanan yang telah diidentifikasi. Ini  memungkinkan organisasi untuk mengambil langkah-langkah perbaikan  yang diperlukan untuk meningkatkan keamanan mereka. <\/p>\n\n\n\n

4.3.3 Metodologi Penetration Testing <\/em><\/strong><\/p>\n\n\n\n

Metodologi penetration testing <\/em>(pentest<\/em>) adalah serangkaian langkah atau  tahapan sistematis yang digunakan untuk mengidentifikasi, mengeksploitasi,  dan mengevaluasi kerentanan dalam sistem atau jaringan untuk menilai  keamanannya.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

1. White Box Testing <\/em><\/strong><\/p>\n\n\n\n

Metode white box testing <\/em>adalah yang paling \u201ctransparan\u201d. Pasalnya,  tester mendapatkan akses penuh ke dalam sistem. Dengan informasi  tersebut, penetration tester <\/em>akan melakukan analisis untuk mencari  kerentanan, kesalahan konfigurasi, dan lainnya. Pendekatan ini umumnya  memakan waktu lebih sedikit. <\/p>\n\n\n\n

Keuntungan metode white box<\/em>: <\/p>\n\n\n\n

Metode ini memberikan pandangan objektif tentang seberapa efektif  sistem dalam menghadapi serangan cyber <\/em>dan sejauh mana perusahaan  dapat mendeteksi, mencegah, dan merespon terhadap serangan tersebut. <\/p>\n\n\n\n

2. Black Box Testing <\/em><\/strong><\/p>\n\n\n\n

Black Box Testing <\/em>adalah pendekatan di mana penguji penetrasi tidak  memiliki pengetahuan sebelumnya tentang sistem atau infrastruktur yang  akan diuji. Penguji akan bertindak seolah-olah berada di luar kotak (black  box<\/em>) dan mencoba untuk memahami dan mengeksplorasi sistem tanpa  pengetahuan internal. Black box testing <\/em>dapat menciptakan situasi yang  mendekati kondisi sebenarnya ketika perusahaan menghadapi serangan  dari pihak eksternal yang tidak memiliki akses sebelumnya. <\/p>\n\n\n\n

Keuntungan metode black box<\/em>: <\/p>\n\n\n\n

Metode ini memberikan pandangan objektif tentang seberapa efektif  sistem dalam menghadapi serangan cyber <\/em>dan sejauh mana perusahaan  dapat mendeteksi, mencegah, dan merespon terhadap serangan tersebut.<\/p>\n\n\n\n

3. Grey Box Testing <\/em><\/strong><\/p>\n\n\n\n

Grey Box Testing <\/em>merupakan teknik penetration testing gabungan  antara White Box <\/em>dan Black Box Testing<\/em>. Dalam skenario Grey Box<\/em>,  penguji penetrasi memiliki sejumlah informasi terbatas tentang  infrastruktur IT perusahaan. Meskipun tidak sepenuhnya terbatas seperti  pada Black Box Testing<\/em>, namun informasi yang diberikan tetap disajikan  secara parsial. <\/p>\n\n\n\n

Keuntungan metode grey box<\/em>: <\/p>\n\n\n\n

Metode ini dapat mengevaluasi sistem dengan cara yang lebih realistis,  mirip dengan cara penyerang cyber <\/em>yang memiliki sejumlah informasi  terbatas sebelum melancarkan serangan. Grey Box Testing <\/em>dapat  memberikan gambaran yang lebih baik tentang seberapa efektif kebijakan  keamanan perusahaan dalam mengatasi ancaman dari pihak yang  memiliki akses terbatas. <\/p>\n\n\n\n

4.3.4 5 Tahapan dalam Melakukan Penetration Testing <\/em><\/strong><\/p>\n\n\n\n

1. Reconnaissance  <\/em><\/strong><\/p>\n\n\n\n

Fase pertama adalah pengumpulan informasi target, baik secara  pasif maupun aktif, untuk merencanakan strategi serangan yang efektif.  Pasif artinya tidak melakukan kontak langsung, sementara cara aktif  memang lebih efektif, di satu sisi juga berisiko karena harus berkontak  langsung. <\/p>\n\n\n\n

2. Scanning <\/em><\/strong><\/p>\n\n\n\n

Selanjutnya, vulnerability scan penetration test<\/em>, yaitu memindai  port atau lalu lintas jaringan target untuk mencari titik masuk potensial. 3. Vulnerability Assessment <\/em><\/strong><\/p>\n\n\n\n

Setelah menemukan pintu masuk, tester <\/em>akan mulai  mengidentifikasi seberapa parah kerentanannya. Mereka mencari tahu  apakah target dapat dieksploitasi.<\/p>\n\n\n\n

4. Exploitation <\/em><\/strong><\/p>\n\n\n\n

Fase inilah yang menjadi inti dari tahapan penetration testing<\/em>.  Dengan alat eksploitasi, tester <\/em>melancarkan simulasi serangan cyber <\/em>pada  target. <\/p>\n\n\n\n

5. Reporting  <\/em><\/strong><\/p>\n\n\n\n

Terakhir, segala temuan selama proses penetration testing <\/em>didokumentasikan dalam sebuah laporan untuk memperbaiki  kerentanannya. Laporan mencakup garis besar kerentanan, tingkat  kesulitan eksploitasi, risiko teknis, saran perbaikan, dan lain sebagainya. <\/p>\n\n\n\n

4.3.5 Fungsi Penetration Testing <\/em><\/strong><\/p>\n\n\n\n

Penetration Testing <\/em>keamanan.siber sangat penting dalam berbagai  industri seperti perbankan, teknologi, ritel, layanan kesehatan, hingga  pemerintahan. Hal ini berlaku bagi siapa saja yang mengelola data digital yang  bersifat pribadi dan sensitif. Pemeriksaan ini berfungsi bagi perusahaan yang  beroperasi di lingkungan digital untuk berbagai tujuan, antara lain: <\/p>\n\n\n\n

1. Menemukan Risiko Keamanan  <\/strong><\/p>\n\n\n\n

Pemeriksaan keamanan harus menjadi prioritas karena dapat  mengidentifikasi risiko dan cara penanggulangannya sebelum ditemukan  oleh penjahat siber. Melalui pemeriksaan ini, perusahaan dapat terhindar  dari kejahatan siber yang berpotensi merugikan secara finansial,  operasional, dan reputasi. <\/p>\n\n\n\n

2. Persiapan Menghadapi Jenis Serangan Baru <\/strong><\/p>\n\n\n\n

Teknologi dan metode kejahatan siber terus berkembang.  Perusahaan harus mengikuti perkembangan tersebut agar tetap aman.  Oleh karena itu, diperlukan keahlian dari penetration tester untuk  mengidentifikasi dan memperbaiki kerentanan sistem terhadap serangan <\/p>\n\n\n\n

siber terbaru. <\/p>\n\n\n\n

3. Mematuhi Aturan yang Berlaku <\/strong><\/p>\n\n\n\n

Perusahaan yang menyimpan data sensitif menjadi target utama bagi  penjahat siber. Inilah yang membuat penetration testing <\/em>sangat penting. <\/p>\n\n\n\n

Bahkan, regulator di berbagai negara telah mewajibkan perusahaan untuk  melakukan penetration testing <\/em>sebagai bagian dari standar keamanan.<\/p>\n\n\n\n

4.3.6 Jenis-Jenis Penetration Testing Berdasarkan Lingkungan Uji<\/strong><\/p>\n\n\n\n

    \n
  1. Network Penetration Testing<\/strong>
    Fokus pada pengujian jaringan internal dan eksternal untuk mengidentifikasi kerentanan yang dapat dieksploitasi dari luar atau dalam organisasi.
    Contoh:\n
      \n
    • Pemeriksaan firewall<\/li>\n\n\n\n
    • Deteksi port terbuka<\/li>\n\n\n\n
    • Uji konfigurasi router dan switch<\/li>\n<\/ul>\n<\/li>\n\n\n\n
    • Web Application Penetration Testing<\/strong>
      Menguji keamanan aplikasi berbasis web, terutama terhadap serangan seperti SQL Injection, Cross-Site Scripting (XSS), dan lainnya.
      Tools umum: Burp Suite, OWASP ZAP<\/li>\n\n\n\n
    • Wireless Penetration Testing<\/strong>
      Fokus pada pengujian terhadap jaringan nirkabel (Wi-Fi).
      Contoh uji:\n
        \n
      • Pengujian enkripsi WPA\/WPA2<\/li>\n\n\n\n
      • Evil twin attacks<\/li>\n\n\n\n
      • Rogue access point detection<\/li>\n<\/ul>\n<\/li>\n\n\n\n
      • Social Engineering Testing<\/strong>
        Menguji ketahanan manusia (user) terhadap manipulasi sosial.
        Contohnya:\n
          \n
        • Mengirim email phishing<\/li>\n\n\n\n
        • Vishing (voice phishing)<\/li>\n\n\n\n
        • Shoulder surfing<\/li>\n<\/ul>\n<\/li>\n\n\n\n
        • Physical Penetration Testing<\/strong>
          Uji terhadap aspek fisik keamanan, seperti:\n
            \n
          • Apakah penyerang bisa masuk ke ruangan server<\/li>\n\n\n\n
          • Pengujian sistem kontrol akses fisik<\/li>\n\n\n\n
          • Pengamanan perangkat keras<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n\n\n\n
            \n\n\n\n

            4.3.7 Tools Populer untuk Penetration Testing<\/strong><\/p>\n\n\n\n

            Berikut adalah beberapa tools umum yang digunakan oleh penetration tester:<\/p>\n\n\n\n

            Tool<\/strong><\/td>Kegunaan Utama<\/strong><\/td><\/tr><\/thead>
            Nmap<\/strong><\/td>Memindai jaringan dan mendeteksi port terbuka<\/td><\/tr>
            Metasploit<\/strong><\/td>Framework eksploitasi untuk menyerang sistem<\/td><\/tr>
            Burp Suite<\/strong><\/td>Pengujian keamanan aplikasi web<\/td><\/tr>
            Wireshark<\/strong><\/td>Analisis lalu lintas jaringan (packet sniffer)<\/td><\/tr>
            John the Ripper<\/strong><\/td>Cracking password (hash cracking)<\/td><\/tr>
            Hydra<\/strong><\/td>Brute force login (SSH, FTP, dll.)<\/td><\/tr>
            Nikto<\/strong><\/td>Scanner untuk mendeteksi kelemahan server web<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
            \n\n\n\n

            4.3.8 Standar dan Framework dalam Penetration Testing<\/strong><\/p>\n\n\n\n

            Beberapa standar internasional digunakan untuk memandu proses penetration testing:<\/p>\n\n\n\n

              \n
            1. OWASP (Open Web Application Security Project)<\/strong>\n
                \n
              • Fokus pada aplikasi web<\/li>\n\n\n\n
              • Menyediakan daftar Top 10 ancaman aplikasi web<\/li>\n<\/ul>\n<\/li>\n\n\n\n
              • PTES (Penetration Testing Execution Standard)<\/strong>\n
                  \n
                • Memberikan tahapan standar pentest dari perencanaan hingga pelaporan<\/li>\n\n\n\n
                • Komprehensif dan diakui secara luas<\/li>\n<\/ul>\n<\/li>\n\n\n\n
                • OSSTMM (Open Source Security Testing Methodology Manual)<\/strong>\n
                    \n
                  • Framework terbuka yang digunakan untuk semua jenis pengujian keamanan<\/li>\n\n\n\n
                  • Menyediakan pendekatan objektif dan terstruktur<\/li>\n<\/ul>\n<\/li>\n\n\n\n
                  • NIST SP 800-115<\/strong>\n
                      \n
                    • Pedoman dari National Institute of Standards and Technology (AS)<\/li>\n\n\n\n
                    • Fokus pada teknik pengujian, verifikasi, dan pelaporan keamanan<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n\n\n\n
                      \n\n\n\n

                      4.3.9 Risiko dan Etika dalam Penetration Testing<\/strong><\/p>\n\n\n\n

                      Melakukan penetration testing memiliki risiko dan tanggung jawab etis, antara lain:<\/p>\n\n\n\n

                        \n
                      • Potensi Downtime<\/strong>: Jika tidak hati-hati, pengujian bisa membuat sistem down.<\/li>\n\n\n\n
                      • Pencurian Data (oleh pihak tidak berizin)<\/strong>: Jika data hasil pengujian bocor, bisa disalahgunakan.<\/li>\n\n\n\n
                      • Izin dan Legalitas<\/strong>: Penetration testing harus dilakukan dengan persetujuan tertulis dari pemilik sistem. Pengujian tanpa izin adalah ilegal dan tergolong sebagai aktivitas hacking jahat.<\/li>\n\n\n\n
                      • Dokumentasi yang Aman<\/strong>: Laporan hasil pentest harus disimpan secara aman agar tidak dimanfaatkan pihak jahat.<\/li>\n<\/ul>\n\n\n\n

                        4.3.10 Perbedaan Penetration Testing dengan Vulnerability Assessment<\/strong><\/p>\n\n\n\n

                        Aspek<\/strong><\/td>Penetration Testing<\/strong><\/td>Vulnerability Assessment<\/strong><\/td><\/tr><\/thead>
                        Fokus<\/td>Eksploitasi kerentanan<\/td>Identifikasi kerentanan<\/td><\/tr>
                        Pendekatan<\/td>Simulasi serangan nyata<\/td>Analisis pasif terhadap potensi risiko<\/td><\/tr>
                        Hasil<\/td>Menunjukkan dampak nyata dari serangan<\/td>Daftar kerentanan yang ditemukan<\/td><\/tr>
                        Waktu dan Biaya<\/td>Lebih lama dan mahal<\/td>Lebih cepat dan murah<\/td><\/tr>
                        Kebutuhan Skill<\/td>Tinggi (harus bisa eksploitasi)<\/td>Sedang (penggunaan tools scanning saja)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                        4.3.11 Legalitas dan Kepatuhan dalam Penetration Testing<\/strong><\/p>\n\n\n\n

                        Melakukan penetration testing tidak hanya soal teknis, tetapi juga harus mematuhi aturan hukum dan kebijakan organisasi. Hal ini penting untuk menghindari konsekuensi hukum dan menjaga kepercayaan pemilik sistem.<\/p>\n\n\n\n

                        a. Pentingnya Legalitas<\/strong><\/p>\n\n\n\n

                        Sebelum pengujian dilakukan, tester harus memiliki izin tertulis<\/strong> dari pemilik sistem. Melakukan pengujian tanpa izin bisa dianggap sebagai tindakan ilegal dan masuk dalam kategori cybercrime<\/strong>.<\/p>\n\n\n\n

                        b. Dokumen yang Harus Disiapkan:<\/strong><\/p>\n\n\n\n

                          \n
                        1. Letter of Authorization (LoA)<\/strong> \u2013 Surat persetujuan resmi untuk pengujian.<\/li>\n\n\n\n
                        2. Non-Disclosure Agreement (NDA)<\/strong> \u2013 Untuk menjaga kerahasiaan data dan hasil pengujian.<\/li>\n\n\n\n
                        3. Scope of Work (SoW)<\/strong> \u2013 Menjelaskan ruang lingkup, batasan, dan metode yang digunakan dalam pengujian.<\/li>\n<\/ol>\n\n\n\n

                          c. Kepatuhan terhadap Regulasi:<\/strong><\/p>\n\n\n\n

                          Beberapa regulasi yang biasanya mewajibkan pengujian keamanan:<\/p>\n\n\n\n

                            \n
                          • GDPR<\/strong> (Eropa) \u2013 Perlindungan data pribadi<\/li>\n\n\n\n
                          • HIPAA<\/strong> (AS) \u2013 Keamanan data kesehatan<\/li>\n\n\n\n
                          • PCI-DSS<\/strong> \u2013 Keamanan data kartu pembayaran<\/li>\n\n\n\n
                          • Peraturan OJK<\/strong> \u2013 Untuk sektor keuangan di Indonesia<\/li>\n<\/ul>\n\n\n\n

                            4.3.12 Simulasi Serangan dalam Penetration Testing<\/strong><\/p>\n\n\n\n

                            Beberapa skenario umum yang disimulasikan dalam penetration testing meliputi:<\/p>\n\n\n\n

                              \n
                            1. Simulasi Serangan Ransomware<\/strong>
                              Pengujian bagaimana sistem merespons terhadap malware yang mengenkripsi data.<\/li>\n\n\n\n
                            2. Simulasi Pencurian Data<\/strong>
                              Mensimulasikan upaya penyerang untuk mengambil informasi sensitif dari sistem.<\/li>\n\n\n\n
                            3. Bypassing Authentication<\/strong>
                              Mencoba melewati sistem login atau otentikasi untuk mengakses data.<\/li>\n\n\n\n
                            4. Privilege Escalation<\/strong>
                              Menguji apakah seorang pengguna biasa bisa mendapatkan hak akses admin (root).<\/li>\n<\/ol>\n\n\n\n

                              4.3.13 Dampak Jika Tidak Melakukan Penetration Testing<\/strong><\/p>\n\n\n\n

                              Berikut adalah beberapa risiko yang mungkin terjadi jika perusahaan tidak melakukan penetration testing secara berkala:<\/p>\n\n\n\n

                                \n
                              • Kebocoran Data Pelanggan<\/strong>
                                Informasi pribadi pelanggan dapat dicuri dan dijual di pasar gelap.<\/li>\n\n\n\n
                              • Kehilangan Kepercayaan Publik<\/strong>
                                Pelanggaran data yang tidak ditangani dengan baik akan merusak reputasi perusahaan.<\/li>\n\n\n\n
                              • Kerugian Finansial<\/strong>
                                Biaya akibat serangan siber bisa mencakup denda, kompensasi, dan kerugian operasional.<\/li>\n\n\n\n
                              • Kegagalan Memenuhi Regulasi<\/strong>
                                Perusahaan dapat dikenai sanksi jika tidak memenuhi regulasi keamanan data.<\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"

                                4.3 Dasar Teori  4.3.1 Pengenalan Penetration Testing  Penetration testing, juga dikenal sebagai pen testing atau ethical hacking,  adalah suatu metode yang digunakan untuk mengidentifikasi kelemahan dalam  sistem komputer, jaringan, atau aplikasi dengan tujuan untuk meningkatkan  keamanan. Teknik ini melibatkan simulasi serangan yang dilakukan oleh  spesialis keamanan (dikenal sebagai penetration tester atau ethical hacker),  yang mencoba […]<\/p>\n","protected":false},"author":60,"featured_media":28848,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"wds_primary_category":0,"footnotes":""},"categories":[101],"tags":[],"class_list":["post-28845","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-berita"],"_links":{"self":[{"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/posts\/28845","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/users\/60"}],"replies":[{"embeddable":true,"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/comments?post=28845"}],"version-history":[{"count":1,"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/posts\/28845\/revisions"}],"predecessor-version":[{"id":28850,"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/posts\/28845\/revisions\/28850"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/media\/28848"}],"wp:attachment":[{"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/media?parent=28845"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/categories?post=28845"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dte.telkomuniversity.ac.id\/en\/wp-json\/wp\/v2\/tags?post=28845"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}