PenTest secara umum merupakan singkatan dari Penetration Test… Artinya (menurut Wikipedia dengan sedikit perubahan) adalah suatu metode untuk mengevaluasi keamanan sistem komputer atau jaringan dengan mensimulasikan serangan yang mungkin terjadi dari pihak yang tidak bertanggung jawab (misalnya Black Hat Hacker ataupun kracker)…
Jadi, secara garis besar, kegiatan PenTest merupakan kegiatan yang memiliki etika yang baik, dengan keadaan yang terbuka dan dilakukan oleh para White Hat Hacker untuk mencoba masuk ke dalam sistem dengan menggunakan berbagai teknik yang mungkin dapat dilakukan / dicoba oleh para Black Hat Hacker maupun kracker… sifatnya lebih ke defensive purpose (mencoba menyerang, kemudian memberitahukan letak celah untuk diperbaiki oleh pemilik sistem yang bersangkutan)…
Di dalam PenTest, pasti akan terdengar lagi istilah PenTester… Dari namanya, pasti sudah dapat ketebak yach ini apa… yach, PenTester ini merupakan pemainnya, pemain dari kegiatan PenTest…PenTester ini biasanya White Hat Hacker… Orang-Orang yang bekerja pada suatu instansi tertentu yang berada di bawah surat perjanjian untuk tidak membocorkan informasi apapun yang ada pada kegiatan PenTest… namun, tidak menutup kemungkinan bahwa pelaku kegiatan PenTest ini bisa juga dari kalangan Black Hat ataupun Grey Hat… terkadang, ada alasan tersendiri dari suatu instansi untuk memakai tenang yang seperti ini (semua kembali kepada kebijakan masing-masing)…
Nah, menurut salah satu penyelenggara sertifikasi yang berhubungan dengan Hacking (EC – Cou***l), pada umumnya, kegiatan Hacking dilakukan melalui life cycle seperti ini:
1. Reconnaissance
–> lebih ke arah Information Gathering… Terbagi menjadi 2, ada aktif, ada pula pasif…
–> Untuk Pasif : pencarian dilakukan dengan tidak berhubungan langsung dengan target, seperti melalui InterNet…
–> Untuk Aktif : pencarian dilakukan langsung dengan berhubungan dengan target… Biasanya dikenal dengan sebutan Social Engineering… Ingat Kevin Mitnick…
2. Scanning
–> lebih ke arah vulnerability scanning… pencarian kelemahan dari sistem yang sedang dites…
3. Gaining Access
–> lebih ke arah mencoba untuk mengambil alih sistem yang sedang dites…
4. Maintaining Access
–> lebih ke arah meninggalkan jejak tersembunyi, sebagai contoh, meletakan backdoor… pastinya, seorang Attacker tidak ingin bersusah payah lagi mengambil alih sistem yang telah berhasil diterobos… Bisa saja keesokan harinya, sang administrator telah menge-patch sistemnya, sehingga Attacker tidak dapat lagi masuk lewat celah yang sama…
5. Clearing Tracks
–> Seorang Attacker pastinya tidak ingin aktivitas Hacking mereka berujung di penjara, jadi, mereka pasti menghapus jejak mereka setelah meletakan pintu masuk lewat belakang dan setelah mereka utak-atik sistem yang berhasil diterobos…
Nah, ini merupakan gambaran Hacking yang biasa dilakukan seorang Attacker… namun, untuk kegiatan PenTest resmi, biasanya hanya sampai Gaining Access… setelah berhasil mencapai tahap 3, maka pekerjaan mereka telah dinyatakan selesai untuk setiap celah yang ditemukan…
ibolobolo blog 