Apa itu penetration testing? Penetration testing atau pentest adalah pengujian keamanan yang meniru serangan nyata terhadap aplikasi, sistem, atau jaringan, dengan izin tertulis dari pemiliknya, untuk menemukan celah sebelum dimanfaatkan penyerang sungguhan. Hasilnya berupa laporan temuan dan rekomendasi perbaikan yang bisa langsung ditindaklanjuti tim IT.
Apa Itu Penetration Testing?
Glosarium NIST mengutip definisi dari panduan SP 800-115: pengujian keamanan di mana penguji meniru serangan dunia nyata untuk mencari cara menembus pengamanan sebuah aplikasi, sistem, atau jaringan, sering kali dengan perangkat yang sama dengan yang dipakai penyerang. Kata kuncinya ada pada kata "meniru" dan "izin". Pentest bukan peretasan, karena seluruh kegiatannya disepakati lebih dulu: apa yang boleh diuji, kapan, dan sejauh mana.
Orang yang melakukannya disebut penetration tester atau pentester. Ia berpikir seperti penyerang, tetapi bekerja sebagai pihak yang membantu pemilik sistem. Bagi pemula yang ingin memahami konteks yang lebih luas, pengertian ethical hacking menjelaskan posisi pentest di antara kegiatan keamanan lainnya.
Mengapa Organisasi Membutuhkan Pentest?
Pemindai otomatis dan tinjauan kode tidak selalu menangkap celah yang muncul dari gabungan beberapa kelemahan kecil. Pentest menguji apakah kelemahan-kelemahan itu benar-benar bisa dirangkai menjadi akses yang berbahaya. Beberapa alasan umum organisasi menjalankannya:
- Menguji pertahanan sebelum peluncuran aplikasi atau setelah perubahan besar pada infrastruktur.
- Memperoleh bukti bagi manajemen mengenai risiko yang nyata, bukan sekadar daftar teoretis.
- Memenuhi tuntutan standar atau mitra. Standar pembayaran kartu PCI DSS, misalnya, mensyaratkan pengujian penetrasi sedikitnya setahun sekali untuk lingkungan yang menyimpan data kartu.
- Melatih tim keamanan internal agar mengenali pola serangan.
Jenis Penetration Testing
Jenis pentest dapat dibedakan dari dua sisi: seberapa banyak informasi yang diberikan kepada penguji, dan apa yang diuji.
Berdasarkan tingkat informasi
- Black box: penguji hanya diberi nama target dan meniru penyerang dari luar yang tidak tahu apa-apa tentang bagian dalam sistem.
- White box: penguji mendapat informasi luas seperti diagram arsitektur, akses ke kode sumber, atau akun uji. Cakupannya lebih dalam dan efisien.
- Grey box: gabungan keduanya, misalnya penguji diberi satu akun pengguna biasa untuk menguji apakah akun itu bisa melampaui haknya.
Berdasarkan sasaran
- Pentest aplikasi web dan API, yang acuannya biasanya OWASP Web Security Testing Guide.
- Pentest jaringan, baik dari sisi eksternal (internet) maupun internal (jaringan kantor).
- Pentest aplikasi mobile.
- Pentest nirkabel dan konfigurasi cloud.
- Pengujian rekayasa sosial, yaitu mengukur kewaspadaan karyawan terhadap penipuan, selalu dengan persetujuan dan batasan yang jelas.
Tahapan Penetration Testing
NIST SP 800-115 membagi pentest menjadi empat fase. Standar lain seperti PTES merinci prosesnya menjadi tujuh bagian, tetapi logikanya sama.
- Perencanaan: aturan main ditetapkan, persetujuan manajemen didokumentasikan, dan tujuan pengujian disepakati. Belum ada pengujian teknis pada tahap ini.
- Penemuan (discovery): pengumpulan informasi, identifikasi layanan yang terbuka, lalu analisis kerentanan dengan membandingkan temuan terhadap basis data kerentanan.
- Serangan: kerentanan yang tampak dibuktikan secara terkendali untuk melihat dampaknya. Hasilnya bisa membuka temuan baru, sehingga tahap ini berulang dengan penemuan.
- Pelaporan: berjalan sepanjang pengujian dan ditutup dengan laporan akhir yang memuat temuan, tingkat risiko, bukti, dan saran perbaikan.
Tahapan ini sejalan dengan siklus ethical hacking secara umum, dari pengumpulan informasi hingga pelaporan.
Aspek Hukum: Pentest Wajib Ada Izin Tertulis
Pasal 332 KUHP, yang berlaku sejak 2 Januari 2026, melarang siapa pun tanpa hak atau melawan hukum mengakses komputer dan/atau sistem elektronik milik orang lain dengan cara apa pun, dengan ancaman pidana penjara paling lama 6 tahun atau denda paling banyak kategori V (UU Nomor 1 Tahun 2023). Ketentuan ini sebelumnya ada di Pasal 30 UU ITE. Karena itu, pentest yang sah selalu bertumpu pada surat perintah kerja atau perjanjian tertulis yang menyebut ruang lingkup, jadwal, alamat target, dan kontak darurat. Menguji sistem yang bukan milik Anda tanpa izin bukan latihan, melainkan pelanggaran. Uraian lebih lengkap ada di artikel apakah hacking melanggar hukum.
Apa yang Harus Ada di Laporan Pentest?
Laporan yang baik menjadi dasar kerja perbaikan, jadi periksa apakah memuat:
- ringkasan eksekutif yang dapat dipahami manajemen non-teknis;
- ruang lingkup, metodologi, dan batasan pengujian;
- setiap temuan dengan tingkat keparahan, bukti, dampak bisnis, dan langkah perbaikan;
- rekomendasi prioritas, serta opsi pengujian ulang setelah perbaikan.
Untuk memilih penyedia jasa, perhatikan metodologi, kualifikasi tim, dan cara mereka menjaga kerahasiaan data. Panduannya ada di jasa penetration testing: kapan dibutuhkan dan cara memilih vendor.
Persiapan Sebelum Pentest Dimulai
Pentest yang berhasil dimulai jauh sebelum penguji menyentuh sistem. Ada beberapa hal yang sebaiknya disiapkan organisasi Anda:
- Tujuan yang jelas: apakah untuk memenuhi standar, menguji aplikasi baru, atau mengukur kesiapan tim keamanan.
- Daftar aset: alamat domain, rentang IP, dan aplikasi yang masuk ruang lingkup, beserta yang sengaja dikecualikan.
- Jendela waktu: jam pengujian yang disepakati agar tidak mengganggu layanan di jam sibuk.
- Kontak darurat: orang yang bisa dihubungi penguji dan sebaliknya jika layanan terganggu atau temuan kritis ditemukan.
- Rencana tindak lanjut: siapa yang memperbaiki temuan, dengan tenggat berapa lama, dan kapan pengujian ulang dilakukan.
Tanpa persiapan ini, pentest mudah berubah menjadi latihan teknis yang menghasilkan laporan tebal tetapi tidak pernah ditindaklanjuti. Nilai sebenarnya baru muncul ketika temuan diperbaiki dan dibuktikan tertutup.
Baca juga: Metasploit Framework: Pengertian, Komponen, dan Penggunaannya.
Pertanyaan yang Sering Diajukan
Apakah penetration testing sama dengan vulnerability assessment?
Tidak. Vulnerability assessment mendata kelemahan yang ada, umumnya dengan pemindai otomatis, sedangkan pentest membuktikan apakah kelemahan itu bisa dimanfaatkan dan seberapa jauh dampaknya. Perbandingannya dibahas di perbedaan penetration testing dan vulnerability assessment.
Seberapa sering pentest perlu dilakukan?
Tidak ada satu angka untuk semua organisasi. Praktik umumnya setidaknya setahun sekali dan setiap kali ada perubahan besar pada aplikasi atau infrastruktur. Standar yang Anda ikuti dapat menetapkan frekuensi minimum.
Apakah pentest bisa merusak sistem produksi?
Risikonya ada, terutama pada sistem yang rapuh. Karena itu aturan main memuat jadwal pengujian, tindakan yang dilarang, dan kontak darurat, dan pengujian yang berisiko tinggi biasanya dilakukan di lingkungan staging.
Apakah pemula boleh mencoba pentest sendiri?
Boleh, selama hanya pada lab milik sendiri atau platform latihan yang memang mengizinkan. Jangan pernah mengarahkannya ke sistem pihak lain tanpa persetujuan tertulis.
Kesimpulan
Penetration testing adalah cara terstruktur dan sah untuk mengetahui seberapa kuat pertahanan Anda terhadap serangan nyata, mulai dari perencanaan hingga laporan yang bisa ditindaklanjuti. Jika organisasi Anda membutuhkan pengujian keamanan yang terukur, lihat layanan keamanan dari Linuxhackingid atau diskusikan kebutuhan Anda dengan tim kami.
Referensi: definisi penetration testing di glosarium NIST dan NIST SP 800-115.
Every article is reviewed by the practice lead who ran the work before it is published.