Pemindaian Kerentanan vs Pengujian Penetrasi

Security reaktif merespons serangan setelah terjadi; Security proaktif menemukan dan memperbaiki kelemahan sebelum penyerang dapat mengeksploitasinya. Dua praktik proaktif yang saling melengkapi adalah Scanning kerentanan dan pengujian penetrasi. Keduanya mengidentifikasi kelemahan Security, tetapi berbeda secara signifikan dalam cakupan, metodologi, persyaratan otorisasi, tingkat risiko, dan hasil yang diberikan kepada organisasi. Memahami perbedaan ini sangat penting bagi peserta Security+ dan saat berkomunikasi dengan pemangku kepentingan tentang hal-hal yang dapat — dan tidak dapat — disampaikan oleh setiap aktivitas mengenai postur Security Anda.

Scanning kerentanan adalah proses otomatis yang memeriksa System berdasarkan basis data kerentanan yang telah diketahui. Scanner membandingkan nomor versi, pengaturan konfigurasi, dan signature perangkat lunak dengan basis data CVE serta advisori vendor untuk mengidentifikasi potensi kelemahan. Scanning biasanya bersifat non-intrusif — mengidentifikasi bahwa suatu kerentanan kemungkinan ada berdasarkan versi atau konfigurasi, tetapi umumnya tidak mencoba mengeksploitasinya. Scanning dapat dijalankan secara berkala (harian, mingguan, atau terus-menerus) dan dalam skala besar di ribuan System. Scanning merupakan persyaratan kepatuhan berdasarkan PCI-DSS (Scanning External setiap kuartal oleh ASV) dan banyak framework lainnya.

Pengujian penetrasi (pen testing) adalah upaya terstruktur dan berorientasi pada tujuan untuk menyusupi sistem menggunakan teknik yang sama seperti yang akan digunakan Attacker. Berbeda dengan pemindaian, pen testing secara aktif mengeksploitasi kerentanan untuk memastikan bahwa kerentanan tersebut benar-benar ada dan dapat dieksploitasi—bukan sekadar ada secara teoritis. Penguji penetrasi menunjukkan dampak nyata: apakah mereka dapat memperoleh akses berhak istimewa? Apakah mereka dapat mengekstraksi data? Apakah mereka dapat berpindah secara lateral dari satu sistem ke sistem lain? Pen testing memberikan bukti bahwa kerentanan dapat dieksploitasi, sehingga mendorong urgensi Remediation dan sering mengungkap jalur serangan kompleks bertahap yang tidak dapat diidentifikasi oleh pemindai otomatis.

Pengujian penetrasi tanpa otorisasi adalah tindakan ilegal—hal ini merupakan akses tidak sah berdasarkan undang-undang seperti CFAA (Computer Fraud and Abuse Act) di US. Sebelum pen testing dimulai, dokumen Rules of Engagement (RoE) harus ditandatangani. Dokumen ini menetapkan: cakupan (sistem, rentang IP, dan domain yang diuji), jendela waktu (jam kerja atau di luar jam kerja), tindakan yang dilarang (tidak ada serangan fisik dan tidak ada DoS terhadap sistem produksi), kontak darurat, serta tanda tangan otorisasi. Surat pembebasan dari tuntutan yang dibawa oleh tim pen testing membuktikan otorisasi jika mereka ditemukan oleh personel Security. Jangan pernah memulai pengujian tanpa otorisasi tertulis yang lengkap.

Pen testing dikategorikan berdasarkan seberapa banyak informasi yang dimiliki Tester tentang Target. Pengujian Black kotak tidak memberikan informasi sebelumnya—Tester memulai seperti Attacker eksternal, menggunakan OSINT dan pemindaian untuk menemukan Target. Metode ini paling realistis, tetapi mungkin melewatkan kerentanan internal. Pengujian White kotak memberikan informasi lengkap: diagram jaringan, kode sumber, dan Credentials—sehingga memungkinkan pengujian menyeluruh, tetapi kurang realistis. Pengujian Gray kotak memberikan informasi sebagian (misalnya akun pengguna biasa) dan merepresentasikan skenario orang dalam yang akunnya telah disusupi atau Credentials yang dicuri. Sebagian besar Engagement di dunia nyata menggunakan Gray atau Black kotak.

Pen testing menargetkan sudut pandang yang berbeda. Pengujian eksternal menyimulasikan Attacker di internet tanpa akses internal—menguji pertahanan perimeter, aplikasi yang menghadap internet, dan Security email. Pengujian internal menyimulasikan pelaku ancaman yang sudah berada di dalam jaringan (karyawan yang akunnya disusupi atau malware yang melakukan pivot)—menguji kontrol perpindahan lateral, Security aplikasi internal, dan penguatan Direktori Aktif. Sebagian besar organisasi memperoleh manfaat dari kedua sudut pandang tersebut. Banyak pelanggaran nyata melibatkan Attacker eksternal yang memperoleh akses awal lalu berpindah ke dalam jaringan, sehingga kedua jenis pengujian bersama-sama lebih bernilai daripada salah satunya saja.

Vulnerability Scanner tidak sempurna. False positive terjadi ketika pemindai melaporkan kerentanan yang sebenarnya tidak ada—misalnya karena nomor versi terlihat rentan, padahal patch telah di-backport. False positives membuang sumber daya Remediation dan mengurangi kepercayaan terhadap keluaran pemindai. False negative terjadi ketika kerentanan nyata ada, tetapi pemindai melewatkannya—misalnya karena kerentanan tersebut memerlukan autentikasi sementara pemindaian dilakukan tanpa autentikasi, atau karena kerentanan itu masih baru dan belum ada dalam basis data. Credentialed scans secara drastis mengurangi false positives dan false negatives dibandingkan dengan pemindaian tanpa autentikasi.

Program Security modern memperlakukan manajemen kerentanan sebagai proses berkelanjutan, bukan kejadian berkala. Pemindaian berkelanjutan menemukan kerentanan baru saat muncul (dan saat CVE baru diterbitkan), alih-alih menunggu jendela pemindaian yang dijadwalkan berikutnya. Siklus hidup manajemen kerentanan mencakup: menemukan, memprioritaskan (berdasarkan skor CVSS dan konteks bisnis), melakukan Remediation (menambal, mengonfigurasi, atau menerima), memverifikasi (melakukan pemindaian ulang untuk mengonfirmasi Fix), dan melaporkan. Integrasi manajemen patch memastikan kerentanan yang ditemukan memicu alur kerja penerapan patch otomatis. SLA menetapkan seberapa cepat kerentanan dengan tingkat keparahan berbeda harus diperbaiki (misalnya, Critical: 24 jam, High: 7 hari).

Pengujian penetrasi diakhiri dengan laporan komprehensif yang menjadi hasil utama. Laporan biasanya mencakup: ringkasan eksekutif untuk pimpinan nonteknis (peringkat RISK secara keseluruhan, dampak bisnis, dan temuan utama); bagian temuan Technical (Description kerentanan secara terperinci, tangkapan layar Evidence, dan Steps reproduksi); serta peta jalan Remediation dengan rekomendasi yang diprioritaskan. Temuan biasanya diberi peringkat berdasarkan tingkat RISK (Critical/High/Medium/Low) menggunakan skor CVSS ditambah konteks bisnis. Laporan pen testing yang baik memungkinkan klien mereproduksi dan memverifikasi setiap temuan serta memahami dengan tepat Remediation yang diperlukan.

Program bug bounty membayar peneliti Security eksternal untuk menemukan dan mengungkapkan kerentanan secara bertanggung jawab dalam sistem organisasi. Platform seperti HackerOne, Bugcrowd, dan Intigriti menghubungkan organisasi dengan ribuan peneliti Security di seluruh dunia. Bug bounty menyediakan pengujian eksternal berkelanjutan dalam skala besar, dengan pembayaran hanya untuk temuan yang tervalidasi. Program ini melengkapi pen testing internal dengan perspektif peneliti yang beragam dan pengujian berkelanjutan di antara penilaian formal. Temuan Critical biasanya dibayar $500-50.000+ tergantung tingkat keparahan dan programnya. Organisasi menetapkan cakupan dan Rules yang serupa dengan Rules of Engagement dalam pen testing.

Untuk ujian Security+, pahami dengan jelas perbedaan utamanya. Pemindaian kerentanan: otomatis, tidak merusak, cakupan luas, mengidentifikasi potensi kerentanan, tidak mengonfirmasi kemampuan eksploitasi, dilakukan sering/berkelanjutan, dan dikerjakan staf internal. Pengujian penetrasi: manual (atau semiotomatis), mungkin mengganggu, cakupan mendalam dan tertarget, mengonfirmasi kemampuan eksploitasi aktual serta dampak di dunia nyata, dilakukan berkala (triwulanan, tahunan), dan biasanya memerlukan keahlian eksternal khusus serta otorisasi formal. Keduanya saling melengkapi—pemindaian memberikan keluasan, sedangkan pen testing memberikan kedalaman. Program Security yang matang menggunakan keduanya secara rutin.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari lesson ini.

Dalam lesson ini Anda mempelajari bahwa pemindaian kerentanan bersifat otomatis, sering dilakukan, dan tidak intrusif—mengidentifikasi potensi kerentanan tanpa mengeksploitasinya—sedangkan pengujian penetrasi bersifat manual, berorientasi pada tujuan, dan secara aktif mengeksploitasi kerentanan untuk membuktikan dampak nyata serta jalur serangan. Keduanya memerlukan otorisasi yang tepat dengan dokumen Rules of Engagement, dan credentialed scanning secara signifikan mengurangi false positives dan false negatives dibandingkan pemindaian tanpa autentikasi. Berikutnya kita akan membahas alat pemindaian umum, termasuk Nessus, OpenVAS, dan Nmap.