Keamanan Siber
Cara Membaca Laporan Penetration Testing: Isi, Prioritas, dan Tindak Lanjut
Laporan penetration testing baru bernilai bila ditindaklanjuti. Panduan ini menjelaskan bagian-bagian laporan, siapa yang membaca bagian mana, dan cara mengubahnya menjadi rencana perbaikan.
SEO and Content Specialist
5 menit baca Ditinjau oleh Tim Keamanan Siber Legia
Jawaban singkat: baca laporan penetration testing dalam tiga lapis. Manajemen membaca ringkasan: apa yang berhasil ditembus dan apa akibatnya bagi operasional. Pemilik sistem membaca daftar temuan menurut tingkat keparahan untuk menetapkan prioritas dan tenggat. Tim teknis memakai alur serangan dan langkah reproduksi untuk memperbaiki, lalu meminta uji ulang sampai setiap temuan dinyatakan tertutup.
Laporan penetration testing sering berakhir di folder bersama, dibaca sekali, lalu terlupakan sampai pengujian berikutnya menemukan celah yang sama. Masalahnya jarang di isi laporannya, melainkan di cara membacanya: semua orang membaca semuanya, atau tidak ada yang merasa bertanggung jawab atas bagian mana pun. Artikel ini menjelaskan bagian-bagian laporan dan siapa yang sebaiknya membaca apa.
Bagian-bagian laporan penetration testing
| Bagian | Isinya | Pembaca utama |
|---|---|---|
| Ringkasan untuk manajemen | Apa yang berhasil ditembus dan akibatnya bagi operasional, tanpa istilah teknis | Direksi, manajemen |
| Ruang lingkup dan metode | Aset yang diuji, periode, pendekatan (black box, grey box, white box), batasan | Pemilik sistem, auditor |
| Alur serangan | Urutan langkah dari titik masuk sampai data atau akses yang berhasil diraih | Tim teknis, pemilik sistem |
| Daftar temuan | Setiap celah dengan tingkat keparahan, bukti, dan dampaknya | Pemilik sistem, tim teknis |
| Langkah reproduksi | Cara mengulang temuan, agar bisa dipastikan sendiri dan diuji setelah diperbaiki | Tim teknis |
| Rekomendasi perbaikan | Langkah perbaikan per temuan dan urutan pengerjaannya | Tim teknis, vendor |
| Hasil uji ulang | Status setiap temuan setelah diperbaiki | Semua pihak |
Membaca ringkasan untuk manajemen
Ringkasan menjawab pertanyaan yang paling penting bagi pengambil keputusan: apakah penyerang bisa masuk, apa yang bisa ia raih, dan apa dampaknya bagi operasional dan pelanggan. Dari bagian ini, manajemen memutuskan dua hal: siapa penanggung jawab perbaikan, dan apakah perlu sumber daya tambahan, misalnya vendor pengembang yang harus dilibatkan.
Ringkasan yang baik juga menyebut apa yang tidak diuji. Bagian di luar ruang lingkup bukan berarti aman, hanya belum diperiksa.
Membaca daftar temuan dan tingkat keparahan
Setiap temuan diberi skor CVSS dan dikelompokkan ke tingkat kritis, tinggi, sedang, atau rendah. Penjelasan rentang skornya ada di artikel Apa Itu Skor CVSS dan Bagaimana Membacanya?. Yang perlu diingat saat membaca daftar ini: skor adalah titik awal, bukan keputusan akhir. Temuan bernilai sedang pada sistem yang menyimpan data pelanggan bisa lebih mendesak daripada temuan bernilai tinggi pada sistem uji yang terisolasi.
Perhatikan juga temuan yang saling terkait. Alur serangan sering menunjukkan bahwa beberapa celah kecil, bila dirangkai, menghasilkan dampak besar. Memperbaiki satu mata rantai bisa memutus seluruh alur.
Mengubah laporan menjadi rencana perbaikan
- Tetapkan pemilik untuk setiap temuan. Satu nama per temuan, bukan “tim IT”.
- Tetapkan tenggat menurut tingkat. Misalnya, temuan kritis dan tinggi dalam hitungan hari, sedang dalam beberapa minggu, rendah di siklus perbaikan berikutnya. Sesuaikan dengan kemampuan tim Anda, tetapi tulis.
- Pakai langkah reproduksi untuk memastikan perbaikan benar-benar menutup celah, bukan sekadar menyembunyikan gejalanya.
- Minta uji ulang setelah perbaikan selesai. Temuan baru dianggap selesai setelah diuji ulang dan dinyatakan tertutup.
- Catat pelajarannya. Celah yang muncul karena kebiasaan pengembangan, misalnya validasi masukan yang tidak konsisten, kemungkinan ada juga di bagian lain sistem.
Contoh membaca satu temuan
Bayangkan satu temuan bertingkat tinggi berbunyi: pengguna biasa bisa membuka data pengguna lain dengan mengganti nomor di alamat halaman. Cara membacanya:
- Dampak: siapa saja yang punya akun bisa melihat data orang lain. Bila datanya pribadi, ini menyangkut kewajiban pelindungan data.
- Bukti: tangkapan layar atau permintaan dan respons yang menunjukkan data milik akun lain berhasil dibuka.
- Langkah reproduksi: urutan yang bisa diikuti tim Anda untuk mengulang temuan itu di lingkungan uji.
- Perbaikan: pemeriksaan hak akses di sisi server untuk setiap permintaan data, bukan hanya menyembunyikan tautannya di tampilan.
- Cakupan: bila satu halaman bercelah karena pola yang sama, periksa halaman lain yang memakai pola itu.
Contoh ini gambaran umum, bukan temuan klien. Polanya berlaku untuk temuan apa pun: pahami dampaknya, pastikan buktinya, perbaiki akarnya, lalu periksa apakah pola yang sama ada di tempat lain.
Menjaga kerahasiaan laporan
Laporan penetration testing adalah peta celah sistem Anda. Batasi penerimanya, kirim lewat kanal yang terenkripsi, dan jangan meneruskannya lewat surel biasa ke banyak orang. Untuk pihak luar yang meminta bukti pengujian, misalnya klien atau mitra, berikan ringkasan atau keterangan penutupan, bukan laporan teknis lengkap.
Bagaimana Legia mengerjakannya
Laporan Penetration Testing Legia memuat lima bagian: ringkasan untuk manajemen, alur serangan lengkap, langkah reproduksi per temuan, tingkat keparahan berdasarkan CVSS, dan pengujian ulang. Temuan berisiko tinggi dilaporkan segera tanpa menunggu laporan akhir. Laporan diserahkan lewat kanal terenkripsi hanya kepada penerima yang Anda tunjuk, disertai dua sesi penjelasan. Pengujian ulang setelah perbaikan termasuk dalam paket dan diakhiri keterangan penutupan celah. Pendekatan yang dipakai saat pengujian dijelaskan di artikel Black Box, Grey Box, atau White Box.
Pertanyaan yang sering diajukan
Bagaimana bila tim kami tidak setuju dengan tingkat keparahan suatu temuan?
Diskusikan dengan penguji, sertakan konteks yang mungkin belum diketahui, misalnya kontrol tambahan yang melindungi sistem itu. Tingkat bisa disesuaikan bila konteksnya memang mengubah dampak, dan alasannya dicatat di laporan.
Apakah semua temuan harus diperbaiki?
Idealnya ya, terutama yang kritis dan tinggi. Bila ada temuan yang sengaja diterima risikonya, misalnya karena sistemnya akan segera diganti, keputusan itu sebaiknya diambil manajemen dan dicatat tertulis.
Kapan sebaiknya pengujian berikutnya?
Setelah perubahan besar pada sistem, seperti fitur baru atau perpindahan server, atau secara berkala sesuai kebutuhan dan ketentuan yang berlaku bagi perusahaan Anda.
Sumber
Diminta menyerahkan hasil pengujian keamanan untuk audit atau rilis? Lihat layanan Keamanan Siber Legia, atau jadwalkan konsultasi lewat halaman kontak.
