Security Assessment
Definisi dan Perbedaan dengan Vulnerability Scanning
Security assessment adalah evaluasi komprehensif terhadap postur keamanan suatu sistem, aplikasi, atau infrastruktur untuk mengidentifikasi kelemahan, mengukur efektivitas kontrol keamanan, dan memberikan rekomendasi perbaikan. Berbeda dengan vulnerability scanning yang bersifat otomatis dan terbatas pada identifikasi CVE (Common Vulnerabilities and Exposures), security assessment mencakup analisis yang lebih mendalam termasuk validasi kerentanan, eksploitasi terkontrol, dan penilaian menyeluruh terhadap desain keamanan.
| Aspek | Vulnerability Scanning | Security Assessment |
|---|---|---|
| Scope | Terbatas pada known vulnerabilities | Luas - mencakup logic flaws, konfigurasi, arsitektur |
| Metode | Otomatis - tool-driven | Manual + otomatis - expert-driven |
| Output | Daftar CVE dengan CVSS Score | Laporan komprehensif dengan analisis dan rekomendasi |
| False Positive | Tinggi | Rendah (diverifikasi manual) |
Metodologi Utama
OSSTMM (Open Source Security Testing Methodology Manual)
Dikembangkan oleh ISECOM, OSSTMM menyediakan kerangka kerja scientific untuk security testing. Berfokus pada operational security metrics (chanel: human, physical, wireless, telecommunications, data networks). Output berupa Risk Assessment Values (RAV) yang terukur.
OWASP Testing Guide
Standar de facto untuk web application security testing. Mencakup testing checklist berdasarkan OWASP Top 10. Terbagi dalam fase: Information Gathering, Configuration and Deployment Management Testing, Identity Management Testing, Authentication Testing, Authorization Testing, Session Management Testing, Input Validation Testing, dan lainnya. Sangat praktis dengan test cases yang detail.
PTES (Penetration Testing Execution Standard)
Kerangka kerja end-to-end untuk penetration testing yang mencakup tujuh fase: Pre-engagement Interactions, Intelligence Gathering, Threat Modeling, Vulnerability Analysis, Exploitation, Post-Exploitation, dan Reporting. PTES memberikan panduan teknis yang mendalam untuk setiap fase.
Scope Definition
Menentukan scope adalah langkah krusial sebelum assessment dimulai. Scope mencakup:
- In-scope: Sistem, jaringan, aplikasi, API, dan infrastruktur yang akan diuji.
- Out-of-scope: Sistem yang tidak termasuk - biasanya sistem produksi kritikal atau lingkungan third-party.
- Rules of Engagement (RoE): Batasan waktu, metode pengujian yang diizinkan, escalation procedures, dan kontak darurat.
- Goal-based scope: Target spesifik seperti memperoleh akses ke database, domain admin, atau data sensitif tertentu.
Testing Methods
Black Box
Penguji tidak memiliki informasi tentang target. Mensimulasikan perspektif external attacker. Paling realistis untuk menguji external perimeter dan public-facing applications. Kelemahan: bisa melewatkan kerentanan yang membutuhkan konteks internal.
Gray Box
Penguji diberikan akses terbatas - misalnya kredensial user-level, dokumentasi API, atau diagram arsitektur. Mensimulasikan perspektif authenticated user atau insider dengan akses terbatas. Keseimbangan terbaik antara realisme dan efisiensi.
White Box
Penguji memiliki akses penuh ke source code, konfigurasi, dokumentasi, dan kredensial. Paling komprehensif karena memungkinkan code review, static analysis, dan identifikasi logic flaws yang sulit ditemukan secara blind. Waktu pengujian lebih efisien.
Fase-Fase Security Assessment
- Reconnaissance (Recon): Pengumpulan informasi pasif (OSINT: dns enumeration, subdomain discovery, social media) dan aktif (port scanning, service fingerprinting).
- Scanning: Identifikasi live hosts, open ports, running services, dan vulnerability scanning menggunakan tools seperti Nmap, Nessus, OpenVAS.
- Exploitation: Validasi kerentanan dengan melakukan eksploitasi terkontrol. Tujuannya bukan untuk merusak, melainkan membuktikan bahwa kerentanan dapat dieksploitasi dan menentukan impact aktual.
- Post-Exploitation: Setelah akses diperoleh - privilege escalation, lateral movement, data exfiltration (simulasi), persistence. Mengukur business impact sebenarnya.
- Reporting: Dokumentasi lengkap mencakup executive summary, technical findings, risk ratings, proof of concept, dan remediation recommendations. Penulisan laporan adalah fase paling penting - temuan terbaik tidak berguna jika tidak dikomunikasikan dengan baik.
Assessment vs Audit
| Aspek | Security Assessment | Security Audit |
|---|---|---|
| Tujuan | Menemukan kelemahan untuk perbaikan | Memverifikasi kepatuhan terhadap standar |
| Pendekatan | Adversarial, eksploratif | Checklist-driven, verifikatif |
| Hasil | Rekomendasi teknis & strategis | Lulus / Tidak Lulus, temuan kepatuhan |
| Frekuensi | Periodik atau event-driven | Terjadwal (tahunan, kuartalan) |
| Independensi | Penguji bisa tim internal | Auditor harus independen |
Deliverable
Deliverable utama dari security assessment adalah Laporan Security Assessment yang mencakup:
- Executive Summary (non-teknis, untuk manajemen)
- Methodology dan Scope
- Daftar temuan dengan Risk Rating (Critical, High, Medium, Low, Informational)
- Technical Details untuk setiap temuan termasuk Proof of Concept
- Remediation Roadmap dengan prioritas
- Lampiran: raw scan results, tool output, screenshots
Security assessment yang baik tidak hanya memberi tahu "apa yang salah", tetapi juga "bagaimana memperbaikinya" dan "seberapa mendesak perbaikannya".