Black Box, Grey Box, atau White Box: Memilih Pendekatan Penetration Testing

Jawaban singkat: black box meniru penyerang dari luar yang hanya tahu alamat website. Grey box memberi penguji akun pengguna biasa, sehingga celah hak akses antar pengguna ikut teruji. White box memberi akses kode sumber dan dokumentasi untuk pemeriksaan paling menyeluruh. Untuk sebagian besar website dan aplikasi yang punya akun pengguna, grey box adalah titik awal yang paling seimbang.

Saat memesan penetration testing, salah satu keputusan pertama adalah seberapa banyak informasi yang diberikan kepada penguji. Pilihan ini sering dianggap teknis, padahal langsung memengaruhi jenis celah yang ditemukan, lama pengujian, dan apa yang perlu Anda siapkan.

Perbandingan black box, grey box, dan white box

Aspek	Black box	Grey box	White box
Bekal penguji	Hanya alamat website	Akun pengguna biasa dan gambaran fiturnya	Akses kode sumber dan dokumentasi
Yang ditiru	Penyerang dari luar yang belum tahu apa-apa	Pengguna terdaftar yang mencoba melampaui haknya	Pemeriksaan menyeluruh dengan pengetahuan penuh
Celah yang paling terlihat	Halaman masuk, formulir publik, konfigurasi	Hak akses dan logika bisnis antar pengguna	Celah di dalam kode yang tidak tampak dari luar
Waktu pengujian	Sebagian habis untuk memetakan sasaran	Lebih terarah	Paling panjang, karena kode ikut ditelaah
Yang Anda siapkan	Surat izin dan alamat sasaran	Akun uji untuk tiap peran pengguna	Akses repositori dan pendamping dari tim pengembang

Black box: sudut pandang penyerang dari luar

Black box menjawab pertanyaan “apa yang terlihat oleh orang asing di internet?”. Penguji mulai dari nol, sama seperti penyerang yang belum punya akun. Pendekatan ini baik untuk menemukan konfigurasi yang terbuka, halaman admin yang mudah ditemukan, dan formulir publik yang tidak memvalidasi masukan.

Kelemahannya, sebagian waktu pengujian habis untuk memetakan sasaran, dan fitur di balik halaman masuk hampir tidak tersentuh. Padahal di situlah biasanya data penting berada.

Grey box: pengguna yang mencoba melampaui haknya

Grey box memberi penguji akun pengguna biasa untuk setiap peran, misalnya pelanggan, staf, dan penyetuju. Dengan bekal itu, penguji bisa memeriksa apakah satu pengguna dapat melihat data pengguna lain, mengubah pesanan yang bukan miliknya, atau menjalankan fungsi yang seharusnya hanya untuk admin.

Celah seperti ini sering lolos dari pemindaian otomatis karena bergantung pada logika aplikasi. Karena penguji tidak perlu menebak hal yang bisa diberikan langsung, waktunya terpakai untuk menguji fitur, bukan mencari pintu masuk. Itu sebabnya grey box menjadi titik awal untuk sebagian besar kebutuhan.

White box: pemeriksaan dengan pengetahuan penuh

White box memberi penguji akses kode sumber dan dokumentasi, sehingga celah yang tidak tampak dari perilaku website, misalnya penanganan data yang keliru di balik layar, ikut ditemukan. Pendekatan ini paling cocok untuk sistem yang menangani data sensitif atau transaksi.

Waktunya paling panjang, dan Anda perlu menyiapkan akses repositori serta orang dari tim pengembang yang bisa menjawab pertanyaan penguji.

Cara memilih

1. Mulai dari risiko terbesar. Bila kekhawatiran utama adalah serangan dari luar terhadap sistem yang sebagian besar publik, black box sudah menjawabnya.
2. Ada akun pengguna dan beberapa peran? Pilih grey box. Sebagian besar kebocoran data antar pengguna ada di area ini.
3. Menangani data sensitif atau transaksi, dan kodenya bisa dibuka? Pertimbangkan white box.
4. Sesuaikan dengan anggaran waktu. Dalam waktu yang sama, makin banyak bekal penguji, makin dalam celah yang ditemukan.

Yang terjadi setelah pengujian

Metode apa pun yang dipilih, nilai pengujian ada pada apa yang dilakukan sesudahnya:

1. Temuan berat dilaporkan segera. Celah kritis atau tinggi tidak menunggu laporan akhir, supaya bisa ditutup secepatnya.
2. Laporan akhir memuat setiap temuan dengan skor CVSS, bukti, dampak, dan langkah perbaikan, diurutkan menurut tingkat keparahan.
3. Perbaikan dikerjakan tim pengembang Anda atau vendor yang memegang sistemnya.
4. Uji ulang memastikan setiap celah benar-benar tertutup, bukan hanya dinyatakan selesai. Perbaikan yang terburu-buru kadang menutup satu jalur tetapi membuka jalur lain.
5. Jadwal berikutnya. Sistem berubah setiap kali ada fitur baru, jadi pengujian sebaiknya diulang setelah rilis besar atau secara berkala.

Satu catatan: hasil pengujian bersifat rahasia. Laporan hanya diserahkan kepada pihak yang disepakati di awal, dan rincian temuan tidak pernah dipublikasikan.

Bagaimana Legia mengerjakannya

Saat ini penetration testing Legia berfokus pada website dan aplikasi web, dengan OWASP Top 10 dan OWASP ASVS sebagai acuan dan CVSS untuk menilai tingkat keparahan. Seluruh proses umumnya 3 sampai 6 minggu, metode dan batasan disepakati tertulis di awal, dan uji ulang setelah perbaikan termasuk dalam paket. Rincian layanannya ada di halaman Penetration Testing.

Bila Anda belum yakin butuh penetration testing atau cukup vulnerability assessment, baca dulu Vulnerability Assessment atau Penetration Testing.

Pertanyaan yang sering diajukan

Sumber

• OWASP Web Security Testing Guideowasp.org
• OWASP Top 10owasp.org

Diminta menyerahkan hasil pengujian keamanan untuk audit atau rilis? Lihat layanan Keamanan Siber Legia, atau jadwalkan konsultasi lewat halaman kontak.