Apa itu Pengujian Penetrasi?

Pengujian penetrasi, pengujian pena atau peretasan etis, adalah praktik menguji keamanan siber sistem komputer, jaringan, atau aplikasi web dengan mencari kerentanan keamanan yang dapat dieksploitasi. Pengujian penetrasi dapat diotomatisasi dengan alat pengujian penetrasi atau secara manual oleh penguji penetrasi.

Intinya, pengujian penetrasi berusaha menjawab:

Bagaimana serangan mengatasi program keamanan saya
Bagaimana mereka mendapatkan akses ke data sensitif saya dan pelanggan saya

Ini melihat jaringan, aplikasi, perangkat, dan keamanan fisik Anda melalui mata aktor jahat dan tim keamanan yang berpengalaman untuk mengungkap kelemahan dan mengidentifikasi bagaimana postur keamanan Anda dapat ditingkatkan. Ini adalah aspek penting dari keamanan siber yang harus digunakan oleh semua organisasi.

Penguji pena meluncurkan serangan siber resmi yang dirancang untuk mendapatkan akses ke informasi sensitif, mensimulasikan apa yang akan ditargetkan oleh serangan dunia nyata, bagaimana kontrol keamanan Anda akan berhasil, dan besarnya potensi pelanggaran data.

Apa yang Terlibat dalam Tes Penetrasi?

Biasanya sistem target diidentifikasi dan tujuan tertentu ditentukan, misalnya untuk mendapatkan akses ke PII dan PHI yang akan mengakibatkan pelanggaran data yang dapat diberitahukan.

Penguji pena kemudian meninjau informasi yang tersedia dan menggunakan berbagai metode untuk mencoba dan memenuhi tujuan mereka. Misalnya, mereka dapat menggunakan injeksi SQL, phishing dan serangan rekayasa sosial lainnya, skrip lintas situs, atau mengeksploitasi kerentanan.

Setelah uji penetrasi selesai, pakar keamanan memberikan penilaian keamanan kepada pemilik target. Penilaian umumnya menguraikan dampak potensial dan tindakan pencegahan yang dirancang untuk mengurangi risiko keamanan siber.

Pelajari perbedaan antara keamanan siber dan peretasan etis.

Apa Area Umum untuk Pengujian Penetrasi?

Area umum untuk pengujian penetrasi meliputi:

Pengujian penetrasi aplikasi: Mengidentifikasi masalah masalah seperti pemalsuan permintaan lintas situs, skrip lintas situs, cacat injeksi, manajemen sesi yang lemah, dan banyak lagi
Pengujian penetrasi jaringan: Menyoroti kelemahan tingkat jaringan termasuk kesalahan konfigurasi, kerentanan khusus produk, kerentanan jaringan nirkabel, layanan nakal, kata sandi yang lemah, protokol yang rentan, dan kata sandi default
Pengujian penetrasi fisik: Mengungkapkan bagaimana kontrol fisik, seperti kunci, pemindaian biometrik, sensor, dan kamera dapat diatasi
Pengujian penetrasi IoT: Mengungkap kerentanan perangkat keras dan perangkat lunak di perangkat Internet of Things (IoT), termasuk kata sandi default, protokol yang tidak aman, API terbuka, kesalahan konfigurasi, dan lainnya

Apa Tujuan dari Tes Penetrasi?

Tujuan uji penetrasi akan bergantung pada jenis aktivitas yang disetujui dan persyaratan kepatuhan Anda. Pengujian penetrasi dapat membantu organisasi:

Menentukan kelayakan vektor serangan tertentu
Mengidentifikasi kerentanan berisiko tinggi yang dihasilkan dari kerentanan berisiko rendah yang dieksploitasi dengan cara tertentu
Sorot kerentanan yang tidak terdeteksi dalam perangkat lunak pemindaian kerentanan jaringan atau aplikasi otomatis
Menilai potensi dampak bisnis, operasional, dan peraturan dari serangan siber yang berhasil
Uji pertahanan jaringan dan kemampuan organisasi Anda untuk berhasil mendeteksi, merespons, dan menghentikan serangan
Memberikan konteks untuk mendukung peningkatan investasi dalam kebijakan, prosedur, personel, atau teknologi keamanan informasi
Memenuhi persyaratan kepatuhan, misalnya semua entitas yang diatur oleh FISMA diwajibkan untuk mematuhi NIST SP 800-115, Panduan Teknis untuk Pengujian dan Penilaian Keamanan Informasi. Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) juga memerlukan pengujian penetrasi secara teratur.
Memvalidasi penerapan kontrol keamanan baru yang diberlakukan untuk menggagalkan serangan serupa

Pada akhirnya, tujuan standar adalah untuk menemukan masalah keamanan yang dapat dieksploitasi oleh penyerang dan kemudian membagikan informasi ini, di samping strategi mitigasi yang relevan dengan target.

Meskipun pengujian penetrasi dapat membantu mengidentifikasi kelemahan dalam keamanan jaringan, keamanan informasi, keamanan aplikasi, dan keamanan data, itu hanya salah satu bagian dari audit keamanan penuh.

Apa Enam Tahap Pengujian Penetrasi?

Pengujian penetrasi dapat dipecah menjadi enam tahap:

Pengintaian: Mengumpulkan informasi tentang target yang akan digunakan untuk menyerang target dengan lebih baik. Misalnya, menggunakan peretasan google untuk menemukan data yang dapat digunakan dalam serangan rekayasa sosial.
Pemindaian: Menggunakan alat teknis untuk mendapatkan pengetahuan lebih lanjut tentang aset target yang menghadap ke eksternal, misalnya menggunakan Nmap untuk memindai port terbuka.
Mendapatkan akses: Dengan menggunakan data yang dikumpulkan dalam fase pengintaian dan pemindaian, pen tester dapat mengirimkan muatan untuk mengeksploitasi target. Misalnya, Metasploit dapat digunakan untuk mengotomatiskan serangan terhadap kerentanan yang diketahui seperti yang tercantum di CVE.
Mempertahankan akses: Setelah mendapatkan akses, pen tester dapat mengambil langkah-langkah untuk mendapatkan akses persisten ke target untuk mengekstrak data sebanyak mungkin.
Menutupi trek: Langkah terakhir adalah menghapus jejak akses mereka dengan menghapus jejak audit, peristiwa log, dll.
Pelaporan: Menguraikan temuan, memberikan penilaian kerentanan dengan langkah-langkah remediasi yang disarankan.

Perhatikan bahwa proses ini dapat diulang saat pena tester menemukan masalah keamanan baru.

Siapa yang Menyediakan Layanan Penetration Testing?

Layanan pengujian penetrasi umumnya disediakan oleh konsultan luar atau tim merah internal dengan sedikit atau tidak ada pengetahuan sebelumnya tentang bagaimana target diamankan.

Hal ini memungkinkan mereka untuk mengekspos kemungkinan postingan buta yang terlewatkan oleh tim keamanan internal.

Apa Saja Jenis Tes Penetrasi?

Tes pena kotak putih: Peretas etis diberikan informasi latar belakang dan sistem, seperti email karyawan, sistem operasi, kebijakan keamanan, atau kode sumber. Jenis pengujian keamanan ini bisa dikatakan meniru ancaman orang dalam.
Tes pena kotak hitam: Profesional keamanan diberikan informasi dasar atau tidak ada di luar nama target. Ini berarti pentester hanya memiliki akses ke informasi yang dapat mereka kumpulkan melalui pemindaian kerentanan, kegagalan OPSEC, rekayasa sosial, dan analisis postur keamanan eksternal. Ini meniru penyerang luar yang mencoba mendapatkan akses ke organisasi Anda.
Tes pena kotak abu-abu: Kombinasi dari tes kotak putih dan kotak hitam, di mana pengetahuan terbatas tentang target dibagikan dengan penguji pena. Jenis pengujian keamanan ini dapat membantu menentukan sistem mana yang rentan terhadap penyerang yang dapat memperoleh akses awal ke jaringan internal Anda.
Tes pena buta ganda: Menggambarkan situasi di mana sangat sedikit orang yang tahu tes pena sedang terjadi, termasuk tim TI dan keamanan yang akan menanggapi serangan tersebut.
Tes pena eksternal: Ini adalah saat peretas etis menargetkan teknologi yang menghadap ke eksternal perusahaan, seperti situs web dan server jaringan eksternal mereka. Jenis pen test ini umumnya dilakukan dari lokasi yang terpencil.
Tes pena internal: Tes ini dilakukan dari dalam jaringan internal perusahaan dan berguna untuk menentukan seberapa besar kerusakan yang dapat dilakukan oleh orang dalam dari dalam firewall perusahaan.
Tes pena yang ditargetkan: Penguji penetrasi dan tim keamanan bekerja sama, saling memberi tahu langkah-langkah yang diambil untuk menyerang target dan untuk mempertahankan serangan. Ini berfungsi sebagai latihan pelatihan yang memberikan umpan balik waktu nyata.

Mengapa Pengujian Penetrasi Penting?

Pengujian penetrasi penting karena membantu menentukan seberapa baik organisasi Anda memenuhi tujuan keamanannya.

Tujuan dari simulasi serangan ini adalah untuk mengidentifikasi kelemahan dalam kontrol keamanan Anda yang dapat dimanfaatkan oleh penyerang.

Pengujian penetrasi, dan keamanan siber secara umum, menjadi lebih penting karena kita menjadi lebih bergantung pada teknologi untuk memproses informasi sensitif.

Sebagai bagian dari program keamanan siber, pengujian penetrasi membantu Anda meningkatkan kualitas kontrol keamanan Anda. Ini juga dapat membantu mengurangi biaya dan frekuensi downtime, meningkatkan rata-rata waktu perbaikan (MTTR), melindungi reputasi merek, menjaga kepercayaan pelanggan, menghindari litigasi, dan memastikan kepatuhan terhadap peraturan.

Mengapa Pengujian Penetrasi Tidak Cukup

Profesional keamanan tidak setuju tentang pentingnya pengujian penetrasi. Beberapa percaya itu adalah hal yang paling penting, yang lain percaya itu membuang-buang waktu.

Seperti kebanyakan praktik keamanan, kebenarannya ada di antara dan kemanjurannya tergantung pada aplikasi dan ruang lingkup.

Pengujian pena saja tidak pernah cukup untuk mencegah pelanggaran data, tetapi informasi yang diperoleh darinya dapat memainkan peran penting dalam memperkuat kontrol keamanan organisasi Anda.

Meskipun ada banyak kerangka kerja yang menguraikan proses pengujian pen, itu tetap merupakan istilah luas yang mencakup banyak aktivitas berbeda yang dirancang untuk mengidentifikasi kelemahan dalam keamanan siber Anda.

Ini dapat memerlukan penggunaan alat keamanan khusus seperti Kali Linux atau Backbox dan Metasploit atau Nmap untuk menemukan dan mengeksploitasi kerentanan, melakukan serangan rekayasa sosial untuk menguji kontrol fisik atau mempekerjakan peretas etis untuk mensimulasikan serangan dunia maya.

Pada akhirnya tujuannya sama: untuk meningkatkan postur keamanan Anda dan mengurangi risiko keamanan siber.

Bahkan aplikasi dan infrastruktur yang paling teruji secara menyeluruh pun dapat menjadi korban pelanggaran data atau kebocoran data. Itulah kebenaran yang mengecewakan dari keamanan siber - terkadang penyerang selangkah lebih maju dari tim keamanan Anda.

Selain itu, bahkan penguji pena terbaik pun hanya dapat bekerja dengan pengetahuan dan alat yang mereka miliki.

Dalam kasus eksploitasi zero-day, seperti EternalBlue yang menyebabkan worm ransomware WannaCry, yang terbaik yang dapat Anda lakukan adalah merespons dengan cepat. Pasangkan ini dengan fakta bahwa vendor pihak ketiga menangani lebih banyak informasi sensitif, dan tidak sulit untuk memahami bahwa meskipun pengujian pena itu penting, itu bukan satu-satunya hal yang Anda lakukan.

Untuk memiliki dampak jangka panjang pada organisasi, pengujian pena harus diintegrasikan dengan pemantauan keamanan berkelanjutan secara real-time dari pihak pertama, ketiga, dan keempat.

Alat-alat ini dapat secara otomatis mendeteksi kerentanan yang diketahui, membantu mengurangi kerentanan berisiko tinggi, memberikan penilaian risiko vendor yang berkelanjutan, dan membantu Anda menskalakan upaya manajemen risiko vendor.

Apa itu Kerangka Kerja Pengujian Penetrasi Umum?

Ada beberapa kerangka kerja dan metodologi untuk melakukan uji penetrasi termasuk:

Manual Metodologi Pengujian Keamanan Sumber Terbuka (OSSTMM)
Standar Eksekusi Pengujian Penetrasi (PTES)
NIST SP 800-115
Kerangka Penilaian Keamanan Sistem Informasi (ISSAF)
Panduan Pengujian OWASP

Perusahaan seperti Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar, dan NASA menggunakan UpGuard untuk melindungi data mereka, mencegah pelanggaran data, memantau kerentanan, dan menghindari malware.

Kami ahli dalam pelanggaran data dan kebocoran data, penelitian kami telah ditampilkan di New York Times, Wall Street Journal, Bloomberg, Washington Post, Forbes, Reuters dan Techcrunch.

Risiko Vendor UpGuard dapat meminimalkan jumlah waktu yang dihabiskan organisasi Anda untuk mengelola hubungan pihak ketiga dengan mengotomatiskan kuesioner vendor dan menyediakan templat kuesioner vendor yang memetakan ke Kerangka Kerja Keamanan Siber NIST dan praktik terbaik lainnya. Kami dapat membantu Anda terus memantau postur keamanan vendor Anda dari waktu ke waktu sambil membandingkan mereka dengan industri mereka.

Setiap vendor dinilai berdasarkan 50+ kriteria seperti keberadaan SSL dan DNSSEC, serta risiko pembajakan domain, serangan man-in-the-middle, dan spoofing email untuk phishing.

Setiap hari, platform kami menilai vendor Anda dengan Peringkat Keamanan Siber dari 950. Kami akan memberi tahu Anda jika skor mereka turun.

UpGuard BreachSight dapat membantu memantau DMARC, memerangi kesalahan ketik, mencegah pelanggaran data dan kebocoran data, menghindari denda peraturan, dan melindungi kepercayaan pelanggan Anda melalui peringkat keamanan siber dan deteksi paparan berkelanjutan.