Belajar Penetration Tester - Metodologi Pentest (PTES/OWASP)
Mempelajari framework metodologi penetration testing — PTES, OWASP, dan Cyber Kill Chain — yang memberikan struktur terstandarisasi pada serangan, dari reconnaissance hingga reporting, sehingga pendekatan kalian terukur dan reproduktible
#Pendahuluan
Setelah di episode 2 kita memahami kerangka hukum, scope, dan Rules of Engagement — fondasi legal sebelum memulai testing — pada episode ini kita masuk ke bagaimana melakukan penetration testing secara metodologis. Serangan tanpa metodologi hanya keberuntungan; serangan dengan metodologi adalah ilmu yang reproduktible.
Framework seperti PTES, OWASP Testing Guide, dan Cyber Kill Chain memberikan peta jalan terstruktur. Masing-masing punya kekuatan berbeda, tetapi prinsipnya sama: setiap tahap punya tujuan, tool, dan output yang jelas. Memahami framework ini akan membuat pendekatan kalian terukur, dokumentable, dan mudah dikomunikasikan ke klien.
#PTES (Penetration Testing Execution Standard)
PTES adalah framework komprehensif yang mendefinisikan 7 fase penetration testing:
| Fase | Tujuan | Output |
|---|---|---|
| 1. Pre-engagement | Scope, RoE, authorization | Dokumen legal |
| 2. Intelligence Gathering | OSINT & passive recon | Daftar target & attack surface |
| 3. Threat Modeling | Identifikasi ancaman spesifik | Model ancaman target |
| 4. Vulnerability Analysis | Scanning & enumerasi | Daftar kerentanan |
| 5. Exploitation | Membuktikan kerentanan | Proof of Concept |
| 6. Post-Exploitation | Privilege escalation & pivoting | Akses persisten |
| 7. Reporting | Dokumentasi temuan | Laporan teknis & eksekutif |
PTES menekankan bahwa penetration testing bukan sekadar "exploit lalu kabur" — ia adalah proses terstruktur dengan pre-engagement yang ketat dan reporting yang komprehensif.
#Peta Metodologi PTES
#OWASP Testing Guide v4
OWASP (Open Web Application Security Project) mengkhususkan diri pada keamanan aplikasi web. OWASP Testing Guide v4 mendefinisikan 11 fases testing:
- Information Gathering: teknologi yang digunakan, search engine, assessment controls
- Configuration Management Testing: infrastructure, application, HTTP methods
- Authentication Testing: default credentials, brute force, bypass
- Authorization Testing: directory traversal, privilege escalation
- Session Management Testing: session handling, session fixation
- Input Validation Testing: XSS, SQLi, LDAP injection, command injection
- Error Handling: information leakage, stack traces
- Cryptography Testing: weak ciphers, TLS configuration
- Business Logic Testing: logic flaws, abuse of functionality
- Client-Side Testing: DOM XSS, Clickjacking
- API Testing: REST/GraphQL authentication, authorization, injection
OWASP Top 10 (2021) adalah daftar 10 kerentanan web paling kritis — kita bahas masing-masing secara mendalam di episode 7.
#Cyber Kill Chain
Cyber Kill Chain (Lockheed Martin) memetakan tahapan serangan cyber dari perspektif adversary:
| Tahap | Aktivitas | Contoh |
|---|---|---|
| Reconnaissance | Pengumpulan informasi | OSINT, scanning |
| Weaponization | Membuat exploit/payload | Compile backdoor |
| Delivery | Mengirim payload ke target | Phishing email |
| Exploitation | Mengeksploitasi kerentanan | CVE exploitation |
| Installation | Install persistence | Backdoor, webshell |
| C2 | Establish command channel | Reverse shell, C2 server |
| Actions | Mencapai tujuan akhir | Data exfiltration |
Kill Chain membantu memahami urutan logis serangan — setiap tahap bisa dideteksi dan dicegah jika defensi memahami polanya.
#Perbandingan Framework
| Aspek | PTES | OWASP | Cyber Kill Chain |
|---|---|---|---|
| Fokus | Pentest umum | Aplikasi web | Serangan adversary |
| Approach | End-to-end | Checklist-based | Chain analysis |
| Cocok untuk | Network + web | Web app | Threat intelligence |
| Output | Laporan komprehensif | Web assessment | Kill chain mapping |
Dalam praktik, ketiga framework ini saling melengkapi. Seorang pentester yang baik menggunakan PTES sebagai struktur, OWASP untuk web testing, dan Kill Chain untuk menganalisis pola serangan.
#Praktik: Peta Metodologi
Untuk engagement fiktif (website e-commerce), buatlah peta sederhana:
- Pre-engagement: Apa yang sudah ada di RoE? (Episode 2)
- Intelligence Gathering: Apa saja informasi publik tentang target?
- Vulnerability Analysis: Tool apa yang akan digunakan?
- Exploitation: Metode apa yang paling relevan?
- Reporting: Siapa yang menerima laporan?
Dokumentasikan ini sebagai referensi — kita akan mengisi detail di episode-episode berikutnya.
#Penutup
Inti yang harus dibawa pulang:
- PTES: framework end-to-end 7 fase, dari pre-engagement hingga reporting.
- OWASP: checklist-based testing untuk aplikasi web, dengan Top 10 sebagai prioritas.
- Cyber Kill Chain: memetakan urutan serangan adversary untuk analisis threat.
- Ketiga framework saling melengkapi — gunakan kombinasi sesuai engagement.
Di episode 4 selanjutnya, kita akan mempelajari reconnaissance (OSINT) — tahap pertama setelah pre-engagement, di mana kalian mengumpulkan informasi tentang target tanpa menyentuh sistem secara langsung. Passive dan active recon, footprinting, dan asset discovery. Mulai mengumpulkan data!