Belajar Security Tester - Security Testing Strategy & Framework
Memahami berbagai jenis security testing (SAST/DAST/SCA/manual), framework OWASP, dan cara merancang security test plan yang terintegrasi dalam SDLC
#Pendahuluan
Setelah di episode 1 kita memahami peran security tester, pada episode ini kita membangun strategi — kerangka kerja yang menentukan kapan, bagaimana, dan tools apa yang dipakai untuk menguji keamanan. Tanpa strategi yang jelas, security testing menjadi reaktif dan tidak efisien.
Mengapa strategi penting? Karena tidak ada satu tools yang bisa menemukan semua kerentanan. Kombinasi SAST, DAST, SCA, dan manual testing masing-masing memiliki kekuatan dan kelemahan. Tugas security tester adalah mengkombinasikan pendekatan ini secara efektif.
#Jenis-Jenis Security Testing
#SAST (Static Application Security Testing)
SAST menganalisis source code tanpa menjalankan aplikasi. Tools seperti Semgrep, CodeQL, dan SonarQube memindai kode untuk pola-pola yang berpotensi vulnerable.
# Contoh: Semgrep scan
semgrep --config p/owasp-top-ten --json .| Kelebihan | Kekurangan |
|---|---|
| Dapat dijalankan di awal development | Banyak false positives |
| Tidak membutuhkan running app | Tidak menemukan runtime issues |
| Terintegrasi CI/CD dengan mudah | Terbatas pada bahasa yang didukung |
#DAST (Dynamic Application Security Testing)
DAST menguji aplikasi yang sudah berjalan dari luar — perspektif attacker. Tools seperti OWASP ZAP dan Burp Suite scanner melakukan ini.
# Contoh: ZAP baseline scan
docker run -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py \
-t http://localhost:3000 -r report.html| Kelebihan | Kekurangan |
|---|---|
| Testing dari perspektif attacker | Membutuhkan aplikasi berjalan |
| Menemukan runtime vulnerabilities | Lambat untuk aplikasi besar |
| Bahasa-agnostik | Tidak bisa melihat source code |
#SCA (Software Composition Analysis)
SCA memindai dependencies untuk vulnerability yang sudah diketahui. Tools seperti Snyk, Trivy, dan npm audit.
# Contoh: npm audit
npm audit --json#Manual Testing
Manual testing dilakukan oleh security tester untuk menemukan vulnerability yang tidak terdeteksi oleh tools otomatis — terutama business logic flaws dan chained attacks.
Tip
Kombinasikan keempat pendekatan ini: SAST di awal development, SCA di setiap dependency update, DAST di staging environment, dan manual testing sebelum release.
#Framework OWASP
#OWASP Testing Guide
OWASP Testing Guide menyediakan methodology testing terstruktur — checklist untuk testing authentication, authorization, input validation, dan banyak lagi. Gunakan ini sebagai dasar security test plan.
#OWASP ASVS (Application Security Verification Standard)
ASVS menyediakan requirements keamanan yang terverifikasi — dari level 1 (dasar) hingga level 3 (advanced). Cocok untuk compliance testing dan benchmarking.
#OWASP Top 10
Daftar 10 vulnerability paling kritis. Security tester harus memahami dan bisa menguji setiap kategori — kita bahas mendalam di episode 4.
#Merancang Security Test Plan
Security Test Plan
├── Scope: Aplikasi/API yang diuji
├── Timeline: Kapan testing dilakukan
├── Methods: SAST + DAST + SCA + Manual
├── Tools: Burp Suite, ZAP, Semgrep, Snyk
├── Entry Criteria: Aplikasi deployed di staging
├── Exit Criteria: Zero critical/high findings
├── Report Format: Severity + CVSS + Remediation
└── Responsible: Security tester + Developer#Integrasi ke SDLC
| Fase SDLC | Aktivitas Security Testing |
|---|---|
| Planning | Tentukan security requirements |
| Development | SAST scan di IDE, pre-commit hooks |
| Build | SCA scan, SAST di CI |
| Testing | DAST scan di staging, manual testing |
| Deployment | Container scan, config review |
| Monitoring | Runtime protection, logging |
#Penutup
Inti yang harus dibawa pulang:
- Empat pendekatan: SAST (source code), DAST (running app), SCA (dependencies), Manual (logic & chained attacks).
- Framework OWASP: Testing Guide untuk methodology, ASVS untuk requirements, Top 10 untuk fokus utama.
- Security test plan: scope, timeline, methods, tools, entry/exit criteria, dan responsible persons.
- Integrasi SDLC: security testing bukan aktivitas terisolasi, tetapi terintegrasi di setiap fase development.
Di episode 3 selanjutnya kita akan membahas web security testing basics — HTTP, cookies, CORS, security headers, dan cara review header aplikasi kalian. Sampai jumpa di episode 3!