Jasa Penetration Testing Website dan Aplikasi Web

Jasa penetration testing, atau pentest, adalah pengujian keamanan yang dilakukan penguji secara manual dengan benar-benar mencoba menembus sistem, dalam ruang lingkup dan izin tertulis yang disepakati lebih dulu. Tujuannya membuktikan apa yang bisa terjadi bila sebuah celah dimanfaatkan. Legia menjalankannya untuk website dan aplikasi web, lengkap dengan laporan dan pengujian ulang setelah perbaikan.

Dasar perhitungannya jumlah dan besar website yang diuji, metode pengujian yang dipilih, dan jumlah peran pengguna yang ikut diuji. Pengujian ulang setelah perbaikan sudah termasuk dalam paket. Legia menyampaikan rinciannya setelah ruang lingkup dan metode disepakati pada sesi konsultasi.

Seluruh proses umumnya memakan 3 sampai 6 minggu: penetapan ruang lingkup dan izin, pengumpulan informasi, pengujian, penyusunan laporan, lalu pengujian ulang. Pengujiannya sendiri 5 sampai 10 hari kerja, dan jadwal pengujian ulang mengikuti selesainya perbaikan di sisi Anda.

Vulnerability assessment memetakan celah seluas mungkin tanpa mengeksploitasinya. Penetration testing menguji secara manual dengan benar-benar mencoba menembus, untuk membuktikan dampak nyata dari celah tertentu. Sebagian ketentuan audit meminta keduanya.

Untuk sebagian besar kebutuhan, grey box adalah titik awal yang paling masuk akal karena penguji diberi akun pengguna biasa, sehingga celah pada hak akses bisa ditemukan. Black box dipilih bila Anda ingin menyerupai keadaan penyerang sungguhan, dan white box bila sistem menangani data sensitif.

Laporan Legia memuat alur serangan, langkah reproduksi, tingkat keparahan berdasarkan CVSS, dan hasil pengujian ulang, sehingga bisa dilampirkan sebagai bukti bahwa pengujian dilakukan dan celahnya ditutup. Syarat tiap auditor berbeda, jadi sampaikan ketentuan yang Anda terima pada sesi konsultasi agar kecocokannya dipastikan sebelum pengujian dimulai.

Tim Anda bisa memperbaikinya sendiri dengan langkah reproduksi dan saran perbaikan di laporan. Bila Anda memilih menyerahkannya, Legia mengerjakan perbaikannya lewat layanan Instalasi & Pengelolaan Server atau perawatan website Sitespirit, dihitung terpisah dari pengujian. Pengujian ulang tetap termasuk, siapa pun yang memperbaiki.

Pengujian hanya dimulai setelah ada surat izin tertulis dari pemilik sistem yang memuat ruang lingkup, jadwal, dan batasannya, termasuk larangan pengujian yang bertujuan membuat sistem tidak bisa diakses. Pengujian dijadwalkan di luar jam sibuk, dan Anda menerima kontak darurat yang dapat menghentikannya kapan saja. Untuk sistem yang sangat kritis, pengujian dapat dilakukan pada lingkungan salinan.

Sebagian penyedia cloud dan hosting mensyaratkan pemberitahuan atau izin sebelum pengujian keamanan dilakukan. Legia memeriksa ketentuan penyedia Anda dan mengurus izinnya bersama Anda pada tahap penetapan ruang lingkup.

Legia menandatangani perjanjian kerahasiaan sebelum pengujian dimulai. Laporan diserahkan lewat kanal terenkripsi hanya kepada penerima yang Anda tunjuk, dan Legia tidak menyimpan salinannya melebihi masa yang disepakati dalam kontrak.

Ketentuan audit umumnya meminta pengujian setahun sekali. Di luar itu, pengujian sebaiknya dilakukan sebelum rilis besar dan setelah perubahan mendasar pada sistem. Legia menyediakan kontrak pengujian berkala dengan jadwal yang disepakati di awal, misalnya setahun sekali ditambah pengujian sebelum rilis besar.

Saat ini penetration testing Legia difokuskan pada website dan aplikasi web, termasuk API yang dipakainya. Bila kebutuhan Anda di luar itu, Legia menyampaikannya sejak awal agar Anda tidak kehilangan waktu.

Ya. Simulasi seperti phishing terhadap karyawan bisa ditambahkan ke pengujian. Simulasi ini hanya dijalankan dengan persetujuan tertulis terpisah dari pimpinan perusahaan, dan dihitung terpisah dari pengujian website.

Belum. Legia menyediakan penetration testing dengan ruang lingkup yang disepakati, bukan simulasi serangan menyeluruh yang berjalan berkelanjutan. Bila kebutuhan Anda adalah red team, Legia menyampaikannya sejak awal agar Anda tidak kehilangan waktu.