Tahapan Pengujian Penetrasi: Dari Pengintaian hingga Pelaporan

Pengujian Penetration yang terstruktur mengikuti siklus yang telah ditentukan untuk memastikan cakupan yang menyeluruh, meminimalkan risiko terhadap sistem produksi, dan menghasilkan hasil yang dapat ditindaklanjuti. Kerangka kerja yang paling banyak digunakan berasal dari PTES (Penetration Testing Execution Standard) dan selaras dengan pendekatan NIST. Fase-fasenya adalah: Planning/Scoping, Reconnaissance, Scanning, Exploitation, Post-Exploitation, dan Reporting. Setiap fase dibangun berdasarkan fase sebelumnya — Anda tidak dapat mengeksploitasi sesuatu yang belum ditemukan, dan tidak dapat melaporkan sesuatu yang belum didokumentasikan. Melewati atau mempercepat fase akan menyebabkan penilaian yang tidak lengkap dan Finding yang tidak dapat diandalkan.

Fase Planning menetapkan dasar hukum dan operasional untuk Engagement. Hasil utama yang harus disiapkan meliputi: Statement of Work (SOW) yang telah ditandatangani dan mendefinisikan tujuan serta harga; dokumen Rules of Engagement (RoE) yang menetapkan Target yang diizinkan, jendela waktu, teknik yang dilarang, kontak darurat, dan persyaratan penanganan data; serta definisi yang jelas tentang kriteria keberhasilan (hal yang dianggap sebagai pencapaian tujuan). Cakupan harus didefinisikan secara tepat untuk mencegah perluasan cakupan (menguji sistem yang tidak sengaja diizinkan) dan memastikan penilaian mencakup aset paling kritis. Semua saluran komunikasi dan prosedur eskalasi ditetapkan sebelum pekerjaan teknis dimulai.

Reconnaissance pasif mengumpulkan informasi tentang Target tanpa berinteraksi langsung dengan sistemnya — menggunakan sumber publik yang tidak menghasilkan logs pada Target. Sumbernya meliputi: catatan WHOIS (pendaftaran domain, kontak pendaftar), catatan DNS, logs transparansi Certificate (yang mengungkap subdomain), LinkedIn (nama karyawan, jabatan, teknologi yang digunakan), lowongan pekerjaan (yang mengungkap tumpukan teknologi dan alat), Shodan/Censys (layanan yang menghadap Internet dan Port terbuka), repositori GitHub (kode sumber, kredensial yang tidak sengaja dikomit), dan Google dorking (pencarian khusus situs untuk berkas sensitif serta antarmuka yang terekspos).

Reconnaissance aktif melibatkan interaksi langsung dengan sistem Target untuk mengumpulkan informasi. Aktivitas ini menghasilkan logs pada Target dan secara inheren lebih berisik daripada recon pasif. Tekniknya meliputi pemindaian Port (Nmap), enumerasi layanan, percobaan transfer zona DNS, dan pengambilan Banner. Batas antara Reconnaissance dan Scanning tidak selalu jelas — tujuan Reconnaissance adalah mengumpulkan informasi, sedangkan Scanning biasanya menyiratkan identifikasi Vulnerability. Namun, recon aktif dapat memicu peringatan IDS/IPS dan mungkin terdeteksi oleh Target yang sadar Security, sehingga penguji menyeimbangkan ketelitian dengan penyamaran berdasarkan tujuan Engagement (menguji deteksi atau melakukan penyusupan secara tersembunyi).

Fase Scanning secara sistematis menemukan Port terbuka, layanan, versi perangkat lunak, dan Vulnerability yang diketahui pada Target dalam cakupan. Fase ini menggunakan alat seperti Nmap untuk enumerasi layanan serta Nessus/OpenVAS untuk pemindaian Vulnerability. Penguji Penetration meninjau output pemindai secara manual dan menghubungkan Finding: versi Apache yang diidentifikasi oleh Nmap mungkin cocok dengan eksploit yang diketahui dalam basis data CVE. Fase ini juga mencakup pemeriksaan aplikasi Web secara manual (dengan Burp Suite) dan pengujian mekanisme autentikasi. Output-nya adalah daftar jalur serangan potensial yang diprioritaskan untuk ditindaklanjuti dalam fase Exploitation.

Fase Exploitation berupaya memanfaatkan Vulnerability yang telah diidentifikasi untuk memperoleh akses tanpa izin, eskalasi hak istimewa, atau tujuan lain yang telah ditetapkan. Exploitation harus tetap sepenuhnya berada dalam cakupan dan Rules of Engagement. Tekniknya meliputi mengeksploitasi Vulnerability yang belum ditambal (menggunakan Metasploit atau eksploit manual), serangan kredensial (penyebaran kata sandi, kredensial bawaan, brute-force), serangan aplikasi Web (injeksi SQL, eksploitasi XSS), serta rekayasa sosial jika diizinkan. Setiap tindakan harus didokumentasikan dengan cap waktu: apa yang dilakukan, kapan dilakukan, apa hasilnya, dan alat apa yang digunakan. Dokumentasi ini menjadi dasar bukti untuk laporan akhir.

Post-Exploitation dimulai setelah akses awal diperoleh dan mengeksplorasi sejauh mana penyerang dapat memperluas jangkauannya. Aktivitasnya meliputi: eskalasi hak istimewa (memperoleh akses admin/root dari akses pengguna terbatas), pengambilan kredensial (mengekstrak hash, tiket, atau kata sandi teks biasa), lateral movement (mengakses sistem lain menggunakan kredensial yang diperoleh), penemuan data (mengidentifikasi data sensitif yang dapat diakses dari posisi yang telah disusupi), dan membuat persistence (untuk menyimulasikan akses jangka panjang APT). Tujuannya adalah menunjukkan dampak realistis dari penyusupan awal — bukan hanya bahwa satu sistem telah diretas, tetapi juga apa saja yang pada akhirnya dapat dijangkau penyerang.

Pivoting menggunakan Host yang telah disusupi sebagai relay untuk menjangkau segmen jaringan yang tidak dapat diakses oleh penguji Penetration (misalnya, VLAN basis data internal yang hanya dapat dijangkau dari server aplikasi). Perintah route add milik Metasploit dan tunneling SSH (ssh -L untuk penerusan lokal atau ssh -D untuk proksi SOCKS) merupakan mekanisme pivot yang umum. Pivoting menunjukkan apakah segmentasi jaringan benar-benar efektif — jaringan yang tersegmentasi dengan baik seharusnya mencegah server DMZ yang disusupi menjangkau basis data internal, sedangkan jaringan datar memungkinkan lateral movement secara bebas. Jalur pivot yang didokumentasikan dalam laporan menunjukkan dengan tepat lokasi celah segmentasi.

Setelah pengujian selesai, penguji Penetration harus melakukan pembersihan — menghapus pintu belakang, akun, dan alat yang mereka pasang. Berbeda dari penyerang sungguhan, penguji Penetration berkewajiban berdasarkan Rules of Engagement untuk memulihkan sistem ke keadaan sebelum pengujian. Hal yang harus dibersihkan meliputi: menghapus akun pengguna yang dibuat, menghapus berkas yang ditinggalkan (muatan, alat), menghapus mekanisme persistence (langganan WMI, tugas terjadwal, kunci run pada registri), dan mengonfirmasi kepada klien bahwa semua artefak pengujian telah hilang. Pelestarian bukti dilakukan secara bersamaan: simpan semua Screenshot, output alat, logs, dan catatan dalam format yang aman untuk penulisan laporan serta kemungkinan rujukan hukum.

Laporan adalah hasil akhir yang membenarkan Engagement dan mendorong perbaikan. Laporan yang tersusun baik mencakup: ringkasan eksekutif (peringkat risiko, dampak bisnis, 3 Finding teratas untuk pimpinan); bagian Finding teknis (setiap Finding memuat tingkat keparahan, deskripsi, bukti, langkah reproduksi, dampak bisnis, dan panduan perbaikan yang spesifik); serta lampiran dengan output alat mentah dan linimasa terperinci. Laporan diklasifikasikan sebagai rahasia — isinya cukup rinci untuk mengulangi serangan. Penyampaian biasanya melibatkan rapat pembahasan, tempat tim pengujian Penetration menjelaskan Finding dan menjawab pertanyaan klien. Reporting yang baik membedakan Engagement profesional dari hasil pemindaian mentah yang tidak profesional.

Security+ sering menguji perbedaan antara Reconnaissance pasif dan aktif. Recon pasif melibatkan pengumpulan informasi dari sumber publik tanpa menghubungi sistem Target secara langsung — tidak ada logs yang dibuat pada Target. Contohnya: membaca catatan WHOIS, meninjau LinkedIn, meminta data dari logs transparansi Certificate, dan menjalankan pencarian Shodan. Recon aktif melibatkan interaksi langsung dengan sistem Target — pemindaian Port, pengambilan Banner, dan percobaan transfer zona DNS. Recon aktif menghasilkan logs dan dapat memicu peringatan IDS. Dalam Engagement nyata, recon pasif dilakukan sebelum recon aktif untuk membangun peta sebelum melakukan kontak yang dapat terdeteksi dengan jaringan Target.

Dalam pelajaran ini Anda mempelajari bahwa pengujian Penetration mengikuti siklus terstruktur yang terdiri dari Planning, Reconnaissance, Scanning, Exploitation, Post-Exploitation, dan Reporting; Reconnaissance pasif menggunakan sumber OSINT publik tanpa membuat logs di sisi Target, sedangkan recon aktif berinteraksi langsung dengan sistem; dan laporan akhir beserta ringkasan eksekutif, Finding teknis, serta panduan perbaikan yang spesifik merupakan hasil utama yang mendorong peningkatan Security. Selanjutnya, kita akan membahas penilaian CVSS dan cara memprioritaskan perbaikan Vulnerability.