Belajar Security Tester - Pre-Requisites Skill & Setup Environment

#Pendahuluan

Selamat datang di series Belajar Security Tester! Series ini akan membawa kalian menguasai security testing — disiplin yang menguji keamanan aplikasi dan sistem secara sistematis untuk menemukan kerentanan sebelum penjahat memanfaatkannya. Total ada 28 episode yang tersusun dalam enam fase, dari fondasi prasyarat hingga topik advanced seperti AI-assisted security testing.

Sebelum menjalankan tools seperti Burp Suite atau ZAP, ada skill dasar dan perangkat yang wajib kalian siapkan. Mengapa prasyarat ini penting? Karena security testing bukan sekadar menjalankan scanner — ia membutuhkan pemahaman tentang bagaimana aplikasi web bekerja, bagaimana API memproses request, dan bagaimana attacker berpikir. Tanpa fondasi ini, kalian hanya akan melihat alert tanpa memahami dampaknya.

Episode 0 ini adalah peta jalan kalian: kita akan memastikan skill dasar terpenuhi, menyiapkan lab dan tools, serta memverifikasi semuanya sebelum masuk ke materi inti.

#Skill Dasar yang Wajib Dimiliki

#QA/Testing Mindset

Security testing berakar pada testing fundamentals. Kalian harus memahami test case design,边界值分析, equivalence partitioning, dan bagaimana menulis test yang reproducible. Tanpa ini, kalian tidak akan bisa merancang security test yang efektif.

Coba verifikasi pemahaman testing kalian:

bash

# Cek apakah kalian bisa menjalankan test sederhana
curl -s -o /dev/null -w "%{http_code}" https://example.com

#Web & API Fundamentals

Kebanyakan security testing berfokus pada aplikasi web dan API. Kalian harus memahami HTTP methods, status codes, cookies, session management, CORS, dan cara kerja REST/GraphQL API. Ini fondasi untuk testing injection, authentication flaws, dan authorization bypass.

#Dasar Security

Pahami konsep dasar seperti CIA triad (Confidentiality, Integrity, Availability), OWASP Top 10, dan cara kerja serangan umum seperti SQL injection, XSS, dan CSRF. Tanpa ini, kalian tidak akan mengerti mengapa sebuah vulnerability berbahaya.

bash

# Cek pemahaman HTTP
curl -I https://example.com 2>/dev/null | head -20

#Perangkat Software dan Hardware

#Burp Suite

Burp Suite adalah platform testing keamanan web paling populer. Untuk belajar, pakai versi Community (gratis):

bash

# Download Burp Suite Community
# https://portswigger.net/burp/communitydownload
# Atau install via snap (Linux)
sudo snap install burp-suite-community

#OWASP ZAP

ZAP (Zed Attack Proxy) adalah alternatif open-source dari Burp Suite:

bash

# Install ZAP via snap (Linux)
sudo snap install zaproxy
# Atau download dari https://www.zaproxy.org/download/

#Lab Aplikasi

Untuk praktik legal, kalian butuh aplikasi yang sengaja dibuat vulnerable:

Lab	Deskripsi	URL
OWASP Juice Shop	Aplikasi Node.js modern yang vulnerable	juice-shop
DVWA	Damn Vulnerable Web App (PHP)	dvwa
WebGoat	Aplikasi belajar OWASP	webgoat
HackTheBox	Platform CTF & machine-based	hackthebox.com

#Hardware Minimum

text

RAM        : 8 GB minimum (16 GB ideal)
CPU        : 4 core
Storage    : 50 GB free space
Network    : Internet untuk download tools & aksi lab online

#Setup Environment

#Install Tools

bash

# Burp Suite (Linux - snap)
sudo snap install burp-suite-community
 
# ZAP (Linux - snap)
sudo snap install zaproxy
 
# Node.js untuk Juice Shop
curl -fsSL https://deb.nodesource.com/setup_22.x | sudo -E bash -
sudo apt install -y nodejs
 
# Git
sudo apt install -y git

#Jalankan Juice Shop

bash

# Clone dan jalankan
git clone https://github.com/juice-shop/juice-shop.git
cd juice-shop
npm install
npm start

Aplikasi akan berjalan di http://localhost:3000. Ini akan menjadi target praktik kita sepanjang series.

#Verifikasi Tools

bash

# Cek versi
node --version
npm --version
java -version  # untuk Burp Suite

Note

Kalian tidak perlu menginstal semua tools sekaligus. Mulai dengan Juice Shop dan Burp Suite — tools lain akan dibahas dan diinstal saat topiknya muncul di episode berikutnya.

#Verifikasi Environment

Sebelum lanjut ke episode 1, jalankan verifikasi menyeluruh:

bash

# Cek tools utama
node --version
java -version
 
# Cek Juice Shop berjalan
curl -s -o /dev/null -w "%{http_code}" http://localhost:3000

Pastikan semua perintah di atas menghasilkan output tanpa error. Jika Juice Shop mengembalikan 200, berarti lab kalian sudah siap.

#Penutup

Inti yang harus dibawa pulang:

Skill dasar: QA/testing mindset, web & API fundamentals, dan dasar security.
Environment: Burp Suite/ZAP, Juice Shop/DVWA sebagai lab target, dan hardware memadai.
Tools utama: Burp Suite, ZAP, Node.js — sisanya menyusul per episode.
Verifikasi: pastikan Juice Shop berjalan di port 3000 dan semua tools terinstall.

Di episode 1 selanjutnya kita akan membahas peran & posisi security tester — memahami perbedaan QA vs security testing, konteks industri 2026, dan mengapa peran ini menjadi jembatan penting di tim yang belum punya AppSec. Pastikan environment kalian sudah siap!