Perbedaan Penetration Testing dan Vulnerability Assessment

Pentest vs vulnerability assessment sering dianggap dua nama untuk hal yang sama, padahal tujuan, kedalaman, dan hasilnya berbeda. Vulnerability assessment mendata kelemahan yang ada, sedangkan penetration testing membuktikan apakah kelemahan itu bisa dimanfaatkan dan sejauh mana dampaknya.

Definisi Singkat Keduanya

Glosarium NIST menggambarkan vulnerability assessment sebagai pemeriksaan sistematis terhadap sebuah sistem untuk mengidentifikasi kelemahan dan menilai apakah langkah pengamanan sudah memadai. Sementara itu, penetration testing menurut panduan NIST SP 800-115 adalah pengujian keamanan di mana penguji meniru serangan dunia nyata untuk mencari cara menembus pengamanan aplikasi, sistem, atau jaringan.

Singkatnya: yang pertama menjawab "kelemahan apa saja yang kita punya?", yang kedua menjawab "apa yang bisa dicapai penyerang dengan kelemahan itu?". Bahasan masing-masing tersedia di pengertian vulnerability assessment dan tools yang digunakan dan apa itu penetration testing.

Perbedaan Penetration Testing dan Vulnerability Assessment

Tujuan

Vulnerability assessment bertujuan memberi cakupan seluas mungkin: sebanyak mungkin aset dan kelemahan terdata. Pentest bertujuan memberi kedalaman: satu atau beberapa skenario serangan diuji sampai terlihat dampak nyatanya, misalnya apakah akun pengguna biasa bisa melampaui haknya.

Metode

Assessment sangat bertumpu pada pemindai otomatis yang mencocokkan versi dan konfigurasi dengan basis data kerentanan, lalu disaring oleh analis. Pentest memadukan pemindaian dengan pengujian manual, kreativitas, dan penalaran penguji, termasuk menggabungkan beberapa kelemahan kecil menjadi satu jalur serangan.

Hasil

Keluaran assessment adalah daftar kerentanan dengan tingkat keparahan, biasanya memakai skor CVSS. Keluaran pentest adalah cerita serangan yang terbukti: apa yang berhasil diakses, bagaimana caranya, dan apa dampak bisnisnya, lengkap dengan bukti dan saran perbaikan.

Frekuensi dan biaya

Karena sebagian besar otomatis, assessment relatif cepat dan bisa dijalankan sering, misalnya bulanan atau triwulanan. Pentest membutuhkan tenaga ahli dan waktu yang lebih panjang, sehingga biasanya dijalankan lebih jarang, misalnya tahunan atau setelah perubahan besar. Besaran biaya sangat bergantung pada ruang lingkup, jadi mintalah penawaran tertulis dari penyedia jasa.

Risiko terhadap sistem

Pentest, terutama tahap yang membuktikan kerentanan, membawa risiko gangguan yang lebih tinggi dan memerlukan aturan main yang ketat. Pemindaian pun bisa membebani sistem yang rapuh, tetapi risikonya umumnya lebih rendah dan lebih mudah dikendalikan lewat penjadwalan.

Kapan Memilih Vulnerability Assessment?

• Anda baru memulai program keamanan dan ingin mengetahui kondisi awal.
• Anda mengelola banyak server atau perangkat dan perlu pemantauan berkala.
• Anda perlu bukti pemindaian rutin untuk standar kepatuhan. Standar PCI DSS, misalnya, meminta pemindaian kerentanan sedikitnya setiap tiga bulan.
• Anggaran terbatas dan Anda ingin membersihkan kelemahan yang sudah dikenal lebih dulu.

Kapan Memilih Penetration Testing?

• Aplikasi atau layanan baru akan diluncurkan, atau baru mengalami perubahan besar.
• Organisasi menyimpan data sensitif dan ingin tahu apakah pertahanan benar-benar tahan terhadap penyerang yang gigih.
• Standar atau mitra mensyaratkan pengujian penetrasi. PCI DSS, misalnya, meminta pengujian internal dan eksternal sedikitnya setiap 12 bulan.
• Manajemen membutuhkan bukti dampak bisnis untuk memutuskan prioritas anggaran keamanan.

Keduanya Saling Melengkapi

Praktik yang sehat memakai keduanya. Assessment rutin membersihkan kelemahan yang sudah dikenal, sehingga waktu mahal seorang pentester tidak habis untuk menemukan celah yang sebenarnya bisa ditemukan pemindai. Pentest kemudian menguji apa yang lolos dari pemindai: kesalahan logika, kontrol akses yang longgar, dan rangkaian kelemahan kecil. Hasil pentest lalu menjadi masukan untuk memperbaiki aturan dan cakupan pemindaian berikutnya.

Perhatikan juga bahwa kedua kegiatan ini hanya sah bila dilakukan dengan izin. Mengakses atau memindai sistem milik orang lain tanpa hak dapat berurusan dengan Pasal 332 KUHP tentang akses ilegal (sebelumnya Pasal 30 UU ITE), jadi pastikan ruang lingkup dan persetujuan tertulis ada sebelum apa pun dijalankan.

Contoh Skenario Sederhana

Bayangkan sebuah perusahaan memiliki aplikasi pemesanan dan server basis data di jaringan internal. Pada vulnerability assessment, pemindai melaporkan bahwa versi perangkat lunak di server itu usang dan memiliki beberapa kerentanan yang dikenal, masing-masing dengan skor keparahan. Hasilnya berupa daftar yang harus ditambal.

Pada pentest, penguji yang diberi izin akan menilai apakah kelemahan itu, bersama konfigurasi lain yang longgar, benar-benar dapat dirangkai menjadi akses ke data pelanggan, lalu mencatat jalurnya secara terkendali dan melaporkan dampaknya. Temuan yang tampak sedang di daftar pemindai bisa menjadi prioritas tertinggi karena terbukti membuka jalan ke aset berharga. Sebaliknya, temuan berskor tinggi bisa turun prioritasnya bila terbukti tidak dapat dijangkau dari luar.

Contoh ini menunjukkan mengapa laporan keduanya perlu dibaca dengan tujuan berbeda: yang satu sebagai inventaris pekerjaan perbaikan, yang lain sebagai penilaian risiko yang sudah diuji.

Pertimbangan Memilih Penyedia dan Laporan

Apa pun yang Anda pilih, minta contoh struktur laporan sebelum menandatangani kontrak. Laporan assessment yang baik memuat daftar temuan terverifikasi dan prioritasnya. Laporan pentest yang baik memuat jalur serangan, bukti, dampak bisnis, dan saran perbaikan, bukan sekadar tangkapan layar keluaran tools. Tanyakan pula apakah pengujian ulang setelah perbaikan sudah termasuk dalam penawaran.

Pertanyaan yang Sering Diajukan

Mana yang lebih baik, pentest atau vulnerability assessment?

Tidak ada yang otomatis lebih baik, karena keduanya menjawab pertanyaan berbeda. Organisasi yang baru mulai sebaiknya memulai dari assessment, lalu menambah pentest seiring bertambahnya aset penting.

Apakah hasil vulnerability scan bisa disebut pentest?

Tidak. Laporan yang hanya berisi keluaran pemindai tanpa verifikasi dan pembuktian dampak adalah assessment. Penyedia jasa yang menjualnya sebagai pentest patut dipertanyakan metodologinya.

Apakah keduanya harus dilakukan oleh pihak eksternal?

Tidak selalu. Tim internal dapat menjalankan assessment rutin, sedangkan pentest sering diserahkan kepada pihak independen agar penilaiannya objektif. Panduan memilih penyedia ada di jasa penetration testing: kapan dibutuhkan dan cara memilih vendor.

Bagaimana cara menentukan prioritas dari hasil keduanya?

Mulai dari tingkat keparahan, lalu sesuaikan dengan konteks: apakah aset terbuka ke internet, menyimpan data sensitif, dan apakah ada bukti bahwa celah itu bisa dimanfaatkan. Dasarnya dibahas di level kerentanan dan cara membaca skor CVSS.

Kesimpulan

Vulnerability assessment memberi cakupan luas dan murah, penetration testing memberi kedalaman dan bukti dampak. Memadukan keduanya adalah cara paling masuk akal untuk menjaga keamanan secara berkelanjutan. Jika organisasi Anda membutuhkan pengujian yang terukur, tim Linuxhackingid dapat membantu melalui layanan keamanan untuk organisasi.

Referensi: glosarium NIST tentang vulnerability assessment dan NIST SP 800-115.