Pelaksanaan pentest melibatkan koordinasi antara tim perusahaan dan penguji, mulai dari penyediaan akses hingga verifikasi perbaikan. Keduanya perlu menyepakati apa yang akan diuji, bagaimana pengujian dilakukan, dan hasil yang perlu diserahkan.
Pentest checklist membantu merangkum kesepakatan tersebut menjadi daftar yang mudah diperiksa. Tim IT dapat menggunakannya untuk menyiapkan kebutuhan penguji, memantau pelaksanaan, dan mengatur tindak lanjut temuan.
Lalu, apa saja yang perlu masuk dalam checklist perusahaan? Berikut poin yang perlu diperhatikan sebelum, selama, dan setelah penetration testing.
Checklist Sebelum Pentest Dimulai
Berikut beberapa hal yang perlu dibahas dan disetujui oleh kedua belah pihak sebelum proses pengujian berjalan. Tujuannya agar penguji bisa mendapatkan informasi tentang sistem, akses, dan prioritas bisnis untuk menyusun pemeriksaan yang relevan.
1. Tujuan dan Prioritas Pengujian
Tujuan pentest memberikan konteks tentang risiko yang ingin dievaluasi perusahaan. Apakah tujuannya untuk mengetes keamanan sebelum peluncuran aplikasi, atau ingin menghadapi audit. Keduanya tentu memiliki risiko masing-masing yang perlu disesuaikan.
Dengan memahami tujuan, penguji bisa menyusun skenario yang sesuai dengan kebutuhan perusahaan. Tim internal juga memiliki dasar untuk menilai apakah hasil pengujian sudah menjawab tujuan awal. Pembahasan ini membantu kedua pihak untuk menyepakati hasil yang diharapkan sejak awal.
2. Scope dan Pengecualian Pengujian
Satu aplikasi bisa terhubung dengan API, layanan pihak ketiga, dan beberapa subdomain. Hubungan tersebut perlu dipetakan karena tidak semua komponennya otomatis termasuk dalam izin pengujian. Dari pemetaan ini, perusahaan dan penguji dapat menyepakati cakupan berikut:
- aplikasi, domain, IP address, dan API yang diuji
- environment yang digunakan
- aset yang dikecualikan
- komponen yang membutuhkan persetujuan pihak ketiga
Daftar tersebut menjadi pegangan penguji ketika menemukan komponen lain yang terhubung dengan target. Jika komponen itu berada di luar scope, pemeriksaannya perlu dibahas sebelum dilanjutkan.
Baca Juga : 7 Cara Menentukan Scope Pentest Sesuai Risiko Perusahaan
3. Otorisasi dan Aturan Pengujian
Setelah scope pengujian telah keluar, butuh otorisasi tertulis menjadi dasar izin untuk menjalankan pengujian pada aset tersebut. Kebutuhan persetujuan tambahan juga perlu dibahas jika infrastrukturnya melibatkan pihak ketiga.
Pelaksanaannya kemudian diatur melalui rules of engagement, termasuk aktivitas yang diperbolehkan, penanganan data, dan kondisi penghentian.
Batas ini membantu penguji untuk menentukan sejauh mana validasi terhadap sebuah temuan. Kesepakatan ini menjadi panduan penguji untuk membuktikan celah keamanan dengan tetap memperhatikan aktivitas yang diizinkan dan operasional perusahaan.
4. Environment, Akun Uji, dan Dokumentasi
Jika pengujian mencakup fitur setelah login, maka perusahaan menyediakan akun uji sesuai peran pengguna. Pentester bisa menguji apakah akun staf bisa mengakses fungsi yang seharusnya hanya tersedia bagi administrator.
Untuk memahami aplikasi, penguji juga dapat membutuhkan:
- petunjuk login dengan MFA
- dokumentasi API
- penjelasan alur dan fitur penting aplikasi
Perusahaan dan penguji kemudian menyepakati penggunaan production, yaitu sistem yang digunakan sehari-hari, atau staging sebagai lingkungan pengujian.
Jika memilih staging, perusahaan menjelaskan perbedaannya dengan production agar penguji dapat menilai apakah hasilnya mencerminkan kondisi sistem sehari-hari.
5. Jadwal, PIC, dan Penanganan Gangguan
Selama pentest, penguji mungkin membutuhkan penjelasan fitur atau bantuan saat akun uji terkunci. Maka butuh PIC yang paham sistem dan dapat membantu mengatasi kendala tersebut. Perusahaan dan penguji juga menyepakati jadwal dengan mempertimbangkan jam operasional serta periode transaksi yang padat.
Untuk menangani kendala atau gangguan, persiapannya mencakup:
- kontak yang dapat dihubungi
- backup dan langkah pemulihan sistem
- kesepakatan perubahan WAF atau allowlist jika diperlukan
Jika konfigurasi keamanan diubah sementara, perusahaan dan penguji bisa menyepakati kapan konfigurasi tersebut dikembalikan.
6. Laporan dan Ketentuan Retest
Format laporan disepakati agar tim teknis dan manajemen dapat memahami temuan, dampak bisnis, serta rekomendasi perbaikan. Temuan kritis bisa disampaikan lebih awal agar perusahaan bisa segera menangani tanpa harus mendapatkan laporan terlebih dahulu.
Ketentuan retest juga dibahas sejak awal, termasuk cakupan dan batas waktunya. Tujuannya agar perusahaan bisa merencanakan perbaikan dan pengujian ulang ketika dibutuhkan.
Checklist Cakupan Pentest Web, Network, dan API
Setiap jenis sistem memiliki kebutuhan pengujian yang berbeda. Penetration testing checklist akan membantu perusahaan dan penguji membahas aspek keamanan yang perlu diperiksa pada web, jaringan, dan API.
1. Web Pentest Checklist
Untuk aplikasi web, konfirmasikan apakah pengujian mencakup:
- autentikasi, termasuk login dan pemulihan akun
- pengelolaan sesi pengguna
- hak akses antar-role dan antar-pengguna
- validasi input serta penanganan data
- konfigurasi dan paparan informasi sensitif
- business logic pada fungsi penting
Contohnya, aplikasi perlu diperiksa untuk mengetahui apakah pengguna dapat mengakses dokumen milik pengguna lain.
Penguji dapat menggunakan OWASP Web Security Testing Guide sebagai panduan untuk memeriksa keamanan aplikasi web. Namun pemeriksaannya bisa disesuaikan dengan fitur dan cara kerja aplikasi perusahaan.
2. Network Pentes Checklist
Untuk pentest jaringan, konfirmasikan apakah cakupannya meliputi:
- pengujian external, internal, atau keduanya
- host, layanan, dan port yang relevan
- konfigurasi serta kerentanan layanan
- mekanisme akses administratif
- efektivitas segmentasi jaringan
- kemungkinan pergerakan antar-sistem sesuai izin
Pengujian external tidak otomatis mencakup risiko dari dalam jaringan. Perusahaan perlu menentukan perspektif serangan yang ingin dievaluasi.
Baca Juga : Network Penetration Testing: Seberapa Aman Jaringan Anda?
3. API Pentest Checklist
Untuk API, pastikan penguji memperoleh informasi endpoint dan akses yang sesuai. Konfirmasikan pengujian terhadap:
- autentikasi dan pengelolaan token
- otorisasi akses objek serta fungsi
- data sensitif dalam respons
- validasi input
- pembatasan konsumsi sumber daya
- penyalahgunaan alur bisnis
Salah satu pertanyaan pentingnya adalah apakah pengguna dapat mengambil data pengguna lain dengan mengubah identifier pada request.
Cakupan aset Anda belum terpetakan? Lihat layanan penetration testing DSG untuk membahas kebutuhan pengujian web, jaringan, dan API.
Checklist Koordinasi Selama Pentest
Selama pengujian, tim perusahaan perlu mendukung akses dan memastikan pekerjaan berjalan dalam batas yang disepakati.
| Poin Pemeriksaan | Yang Perlu Dipastikan |
| Komunikasi | PIC tersedia untuk menjawab pertanyaan dan membantu kendala akses. |
| Progres | Bagian yang sudah diuji, terhambat, atau belum diuji dicatat. |
| Perubahan scope | Penambahan target atau aktivitas mendapat persetujuan sebelum dilakukan. |
| Temuan kritis | Temuan mendesak disampaikan melalui jalur komunikasi yang disepakati. |
| Gangguan operasional | Terdapat prosedur penghentian, eskalasi, dan pemulihan. |
| Bukti pengujian | Data dan bukti sensitif dibagikan melalui kanal yang disepakati. |
Jika akun tidak berfungsi atau environment berubah, segera informasikan kepada penguji karena kendala tersebut bisa mengurangi cakupan pengujian.
Checklist Setelah Pentest Selesai
Setelah proses pengujian selesai, Anda perlu mengecek beberapa hal seperti:
1. Kelengkapan Laporan
Pastikan laporan menjelaskan cakupan aktual, metode, serta keterbatasan pengujian. Setiap temuan perlu dilengkapi bukti, tingkat risiko, dampak, dan rekomendasi yang dapat dipahami tim terkait.
Jika ada temuan yang belum jelas, jangan rau untuk meminta penjelasan sebelum menetapkan perbaikan. Gunakan panduan pentest report untuk memahami komponen laporan.
2. Tetapkan Prioritas dan Penanggung Jawab
Susun rencana tindak lanjut berdasarkan tingkat risiko, paparan sistem, dan dampaknya terhadap bisnis. Tetapkan PIC serta tenggat setiap perbaikan dan pastikan ada dokumentasinya.
Harapannya, status temuan bisa dipantau setelah laporan dibagikan kepada tim internal.
3. Verifikasi Perbaikan Melalui Retest
Perubahan konfigurasi atau patch belum cukup untuk membuktikan celah sudah tertutup. Butuh retest untuk memeriksa apakah perbaikan tersebut berhasil mengatasi temuan atau belum.
4. Tutup Akses dan Simpan Dokumentasi
Setelah pengujian selesai, akun sementara yang tidak lagi diperlukan bisa segera dinonaktifkan. Perusahaan dan penguji juga mengonfirmasi pemulihan konfigurasi serta penanganan data yang digunakan selama pengujian.
Laporan, bukti perbaikan, dan hasil retest menjadi catatan untuk evaluasi internal maupun audit. Dokumen tersebut memuat informasi sensitif, sehingga aksesnya dibatasi kepada pihak yang berkepentingan.
Baca Juga : Jasa Pentest Indonesia untuk Web, Mobile, & API | DSG
Menyiapkan Pentest Bersama DSG
Saat menyusun pentest checklist, beberapa poin mungkin masih membutuhkan pembahasan seperti apakah API termasuk dalam pengujian, akun apa yang diperlukan, atau bagaimana perbaikan akan diverifikasi. Jawabannya memengaruhi persiapan tim internal dan pekerjaan yang akan dijalankan penguji.
Anda dapat membawa pertanyaan tersebut saat membahas layanan penetration testing bersama DSG. Sebagai penyedia layanan cybersecurity, DSG membantu perusahaan mengevaluasi keamanan aplikasi, jaringan, dan API. Pembahasan dimulai dari sistem yang ingin diperiksa, kemudian dilanjutkan dengan kebutuhan akses, pelaksanaan pengujian, serta laporan dan retest.
Checklist Anda tidak harus sudah lengkap untuk memulai pembahasan. Jadwalkan konsultasi gratis dengan tim kami agar poin yang masih belum jelas dapat dibahas sebelum pengujian dimulai.
