Apa Itu Penetration Testing, Sebenarnya?

Penetration testing adalah praktik mensimulasikan serangan nyata terhadap sistem, jaringan, atau aplikasi berdasarkan perjanjian tertulis, dengan tujuan menemukan kelemahan yang dapat dieksploitasi sebelum seseorang tanpa izin melakukannya. Ini adalah latihan terkontrol dengan batas waktu yang berakhir dengan laporan, bukan spree hacking tanpa batas.

Perbedaan antara pentesting dan vulnerability scanning

Vulnerability scanner seperti Nessus atau OpenVAS memeriksa target terhadap database signature yang dikenal dan memberi Anda daftar kemungkinan masalah, sebagian besar memerlukan verifikasi manual. Pentest berjalan lebih jauh: tester benar-benar mencoba mengeksploitasi temuan, menghubungkannya, dan mendemonstrasikan dampak nyata. Scanning memberi tahu Anda bahwa port terbuka dan versi service terlihat ketinggalan zaman. Pentesting memberi tahu Anda bahwa service ketinggalan zaman itu dapat digunakan untuk mendapatkan shell, dan dari shell itu Anda dapat pivot ke domain controller.

Distinsi itu penting juga untuk pelaporan. Laporan scan adalah daftar. Laporan pentest adalah cerita dengan bukti: screenshot, output command, dan penjelasan jalur serangan dari foothold awal hingga tujuan yang disepakati (akses data, domain admin, dll.).

Bagaimana engagement discopedkan

Sebelum pengujian dimulai, klien dan tester menyetujui rules of engagement: apa yang termasuk scope (IP range spesifik, domain, aplikasi), apa yang dilarang (production database, sistem pihak ketiga yang tidak dimiliki klien), testing window, dan contact darurat jika ada yang rusak. Ini didokumentasikan dalam surat otorisasi atau kontrak tertulis. Tanpa otorisasi itu, pekerjaan teknis yang sama persis adalah kejahatan berdasarkan undang-undang seperti US Computer Fraud and Abuse Act atau UK Computer Misuse Act.

Engagement biasanya dikategorikan berdasarkan berapa banyak informasi yang dimulai tester dengan:

• Black box — tester mendapatkan target dan tidak ada lagi, mensimulasikan attacker eksternal dengan pengetahuan awal nol.
• Gray box — tester mendapatkan beberapa informasi, seperti akun user atau network diagram, serupa dengan insider jahat atau skenario credential yang dikompromikan.
• White box — tester memiliki akses penuh ke source code, architecture docs, dan credentials, berguna untuk pengujian level aplikasi yang mendalam.

Bagaimana metodologi tipikal terlihat

Sebagian besar pentest secara longgar mengikuti struktur mirip PTES (Penetration Testing Execution Standard) atau fase dalam NIST SP 800-115:

1. Reconnaissance — pengumpulan informasi pasif dan aktif. Tools seperti theHarvester, amass, atau plain Google dorking untuk subdomain dan email karyawan yang terekspos.
2. Scanning and enumeration — nmap -sC -sV terhadap target range, directory brute-forcing dengan gobuster atau ffuf pada web apps, SMB enumeration dengan enum4linux pada jaringan internal.
3. Exploitation — menggunakan CVE yang dikenal, misconfiguration, credential lemah, atau custom payload untuk mendapatkan initial access. Ini mungkin berarti modul Metasploit, custom SQL injection payload, atau email phishing dengan malicious macro.
4. Post-exploitation — setelah Anda memiliki foothold, pekerjaan nyata dimulai: privilege escalation, lateral movement, credential harvesting dengan tools seperti Mimikatz atau secretsdump.py, dan menentukan seberapa jauh akses benar-benar meluas.
5. Reporting — menulis temuan dengan CVSS scores, reproduction steps, bukti, dan remediation guidance yang dapat ditindaklanjuti oleh tim engineering klien.

Jenis pentest yang akan Anda temui

Network pentest menargetkan infrastruktur internal atau eksternal — server, firewall, router. Web application pentest berfokus pada hal-hal dalam OWASP Top 10: injection flaw, broken authentication, insecure deserialization. Mobile app pentest menggali file APK/IPA, API endpoint, dan local storage. Wireless pentest menguji Wi-Fi security (WPA2/3 handshake capture, rogue access point). Physical dan social engineering pentest menguji apakah seseorang dapat berjalan masuk ke gedung atau meyakinkan karyawan untuk menyerahkan credential, tanpa code yang diperlukan.

Mengapa perusahaan benar-benar membayar untuk ini

Beyond menemukan bug, pentest memenuhi compliance requirement. PCI DSS memerlukan penetration test tahunan untuk siapa pun yang menangani card data. SOC 2 dan ISO 27001 audit sering mengharapkan bukti pengujian regular. Tapi alasan jujur bahwa tim security yang baik menugaskan pentest bukan hanya checkbox — itu karena automated scanner melewatkan business logic flaw, chained low-severity issue, dan jenis eksploitasi kreatif yang ditemukan manusia terampil. Scanner tidak akan memperhatikan bahwa mengubah order ID dalam URL membiarkan Anda melihat invoice orang lain. Tester akan.

Memulai di bidang ini

Jika Anda menargetkan pentesting sebagai karir, praktik hands-on lebih penting daripada sertifikasi saja. Platform seperti HackTheBox dan TryHackMe membangun muscle memory; sertifikasi seperti OSCP memvalidasinya. Belajar membaca source code, pahami bagaimana HTTP benar-benar bekerja di level byte, dan jadilah nyaman dengan Linux terminal sebelum khawatir tentang tool yang flashy.

Jika ringkasan ini berguna, Korra Studio memiliki lebih banyak segmen dalam Offensive track yang mencakup teknik eksploitasi spesifik, walthrough tool, dan practice berbasis lab yang dapat Anda ikuti.