5 Metode Pengujian tentang Security

 

1.     Security Scanning

         Pemindaian keamanan adalah awal yang baik untuk memeriksa status keamanan Anda. Selama pemindaian, kami memeriksa risiko keamanan apa yang harus ditangani dalam infrastruktur TI tertentu. Ini adalah pemeriksaan cepat untuk potensi kebocoran keamanan, risiko jaringan, dan masalah keamanan. Security scanning dilakukan untuk menyingkirkan ancaman dunia maya untuk selamanya. Dengan melakukan pemindaian keamanan, bisnis dapat melindungi diri mereka sendiri dari ancaman serangan dunia maya yang terus berkembang. Manfaat pemindaian keamanan:

 

2.     Security Auditing

Audit keamanan jaringan adalah penilaian atau evaluasi teknis yang sistematis dan terukur mengenai keamanan komputer dan aplikasinya. Audit keamanan jaringan ini terdiri dari dua bagian, yaitu

·       penilaian otomatis : berkaitan dengan pembuatan laporan audit yang dijalankan oleh suatu perangkat lunak terhadap perubahan status file dalam komputer: create, modify, delete, dll.

·       penilaian non-otomatis : berhubungan dengan kegiatan wawancara kepada staf yang menangani komputer, evaluasi kerawanan dan keamanan komputer, pengamatan terhadap semua akses ke sistem operasi dan software aplikasinya, serta analisis semua akses fisik terhadap sistem komputer secara menyeluruh.

Sistem yang dinilai dan dievaluasi tidak hanya komputernya saja, tetapi meliputi semua PC, server, mainframe, jaringan komputer, router, saklar data, serta segala macam software yang dipakai oleh organisasi atau perusahaan yang bersangkutan.

Langkah dalam melakukan network security audit diantaranya ialah :

a)     The Scope of the Security Perimeter (Ruang Lingkup Keamanan)

Langkah pertama dalam proses audit adalah mendefinisikan ruang lingkup audit mencakup hardware maupun softwate

b)    Langkah 2: Defining the Threats (Menentukan Ancaman)

Ancaman yang umum dimasukkan dalam langkah ini adalah:

·       Malware – worm, Trojan horse, spyware, dan ransomware

·       Employee exposure – mengubah kata sandi secara berkala serta meningkatkan protection terhadap serangan phishing dan penipuan.

·       Malicious Insiders – internal organisasi dengan niat jahat (malicious insiders) yang melancarkan serangannya dengan berbagai motif.

·       DDoS Attacks – jenis serangan terhadap sebuah komputer atau server di dalam jaringan internet hingga komputer tersebut tidak dapat menjalankan fungsinya dengan benar

·       BYOD, IoT

·       Physical breaches, natural disasters

c)     Prioritizing and Risk Scoring (Penentuan Prioritas dan Risiko)

Ada banyak faktor untuk menciptakan prioritas dan penilaian risiko, diantaranya adalah cyber security trends, compliance, organization history, industry trends.

d)    Assessing the Current Security Posture (Menilai Sikap Keamanan)

          Memastikan bahwa semua perangkat yang terhubung memiliki patch keamanan terbaru, perlindungan terhadap firewall dan malware sehingga membutuhkan akurasi lebih dalam penilaian.

e)     Formulating Automated Responses and Remediation Action (Merumuskan Respons Otomatis dan Tindakan Remediasi)

            Menetapkan serangkaian proses yang dirancang untuk menghilangkan atau meminimalisir risiko: network, software updates, data backups and data segmentation employee education and awareness.

 

3.     Vulnerability Scanning

            Tahapan dilakukan scanning network dengan memanfaatkan berbagai tools network scanning dan vulnerability scanner online. tujuan yang ingin dicapai adalah memperoleh informasi vulnerability network tersebut, misal daftar port yang terbuka, bug pada aplikasi server, dan lain-lain yang kadangkala fase ini disebut sebagai passive attack.

 

4.     Risk Assesment

            Penilaian risiko adalah pandangan menyeluruh untuk mengidentifikasi hal-hal, situasi, proses, dll. yang dapat menyebabkan kerugian, terutama bagi orang-orang. Setelah identifikasi dibuat, selanjutnya lakukan analisis dan evaluasi seberapa besar kemungkinan dan seberapa parah risikonya. Ketika keputusan telah dibuat maka selanjutnya dapat memutuskan tindakan apa yang harus dilakukan untuk secara efektif menghilangkan atau mengendalikan kerusakan yang terjadi. Penilaian risiko bisa juga dibilang sebaagai istilah yang digunakan untuk menggambarkan keseluruhan proses atau metode di mana Anda:

·       Identifikasi bahaya dan faktor risiko yang berpotensi menyebabkan bahaya (identifikasi bahaya).

·       Menganalisis dan mengevaluasi risiko yang terkait dengan bahaya itu (analisis risiko, dan evaluasi risiko).

·       Tentukan cara yang tepat untuk menghilangkan bahaya, atau kendalikan risiko bila bahaya tidak dapat dihilangkan (pengendalian risiko).

 

5.     Penetration Testing

         Penetration Testing atau Pen Testing adalah jenis Pengujian Keamanan yang digunakan untuk mengungkap kerentanan, ancaman, dan risiko yang dapat dieksploitasi oleh penyerang dalam aplikasi perangkat lunak, jaringan, atau aplikasi web. Tujuan pengujian penetrasi adalah untuk mengidentifikasi dan menguji semua kemungkinan kerentanan keamanan yang ada dalam aplikasi perangkat lunak. Pengujian penetrasi juga disebut Pen Test. Penetrasi sangat penting dalam suatu perusahaan karena :

·       Sektor keuangan seperti Bank, Perbankan Investasi, Bursa Perdagangan Saham ingin datanya diamankan, dan pengujian penetrasi sangat penting untuk memastikan keamanan.

·       Jika sistem perangkat lunak sudah diretas dan organisasi ingin menentukan apakah masih ada ancaman dalam sistem untuk menghindari peretasan di masa mendatang.

·       Pengujian Penetrasi Proaktif adalah perlindungan terbaik terhadap peretas.

Jenis Pengujian Penetrasi :

o   Black Box Testing : penguji tidak memiliki pengetahuan tentang sistem yang akan diuji. Dia bertanggung jawab untuk mengumpulkan informasi tentang jaringan atau sistem target.

o   White Box Penetration testing : penguji biasanya diberikan informasi lengkap tentang jaringan atau sistem yang akan diuji termasuk skema alamat IP, kode sumber, detail OS, dll. Ini dapat dianggap sebagai simulasi serangan oleh siapapun. Sumber internal (Karyawan Organisasi).

o   Grey Box Penetration Testing : penguji diberikan pengetahuan parsial tentang sistem. Ini dapat dianggap sebagai serangan oleh peretas eksternal yang telah memperoleh akses tidak sah ke dokumen infrastruktur jaringan organisasi.