Penetration Testing (Pentest): Pengertian, Tahapan, dan Jenisnya

Setiap sistem punya celah. Pertanyaannya bukan apakah celah itu ada, melainkan siapa yang menemukannya lebih dulu: tim Anda, atau penyerang.

Celah yang tidak ditemukan kini semakin sering menjadi pintu masuk. Laporan Verizon 2025 Data Breach Investigations Report mencatat eksploitasi kerentanan menjadi jalur masuk awal di 20% kebocoran data, naik 34% dari periode sebelumnya. Penyerang tidak perlu teknik canggih jika ada server yang belum di-patch atau aplikasi yang salah konfigurasi.

Di sinilah penetration testing berperan. Panduan ini menjelaskan pentest adalah apa, bagaimana tahapannya berjalan, jenis-jenisnya, aspek hukum yang wajib dipahami, sampai cara memilih penyedia yang tepat.

Apa Itu Penetration Testing?

Penetration testing, atau pentest, adalah simulasi serangan siber yang dilakukan secara resmi dan terkendali untuk menemukan celah keamanan sebelum dimanfaatkan penyerang sungguhan.

Penguji (pentester) mencoba membobol sistem dengan cara yang sama seperti peretas, tetapi dengan izin pemilik sistem dan ruang lingkup yang disepakati.

Bayangkan perusahaan menyewa ahli keamanan untuk mencoba masuk ke kantornya sendiri. Ahli tersebut memeriksa pintu, jendela, kamera, dan petugas jaga, lalu melaporkan jalur mana yang berhasil ditembus. Pentest melakukan hal yang sama terhadap server, aplikasi, dan jaringan.

Dalam pengertian penetration testing yang dipakai industri, ada tiga unsur yang membedakannya dari peretasan biasa: izin tertulis dari pemilik sistem, ruang lingkup yang jelas, dan laporan yang membuktikan dampak setiap temuan. NIST SP 800-115, panduan pengujian keamanan dari NIST, memasukkan penetration testing sebagai salah satu teknik utama untuk menilai risiko kerentanan secara menyeluruh.

Tujuan Penetration Testing

Banyak organisasi sudah rutin menjalankan scanner kerentanan. Lalu, mengapa masih perlu pentest? Berikut tujuan penetration testing yang tidak bisa digantikan oleh scan otomatis.

1. Membuktikan celah yang benar-benar bisa dieksploitasi

Scanner bisa menghasilkan ratusan temuan, tetapi tidak semuanya berbahaya dalam konfigurasi Anda. Pentest memisahkan celah yang hanya teoretis dari celah yang benar-benar bisa dipakai penyerang.

2. Menguji kontrol keamanan dalam kondisi nyata

Firewall, segmentasi jaringan, dan pemantauan mungkin terlihat benar di atas kertas. Pentest menguji apakah kontrol tersebut tetap bertahan saat ada orang yang aktif mencoba menembusnya.

3. Menentukan prioritas perbaikan

Anggaran dan waktu tim selalu terbatas. Dengan mengetahui celah mana yang paling mudah dieksploitasi dan paling besar dampaknya, tim bisa memperbaiki yang paling penting lebih dulu.

4. Memenuhi kewajiban kepatuhan

Regulator dan standar seperti OJK, ISO 27001, dan PCI DSS mengharapkan bukti pengujian keamanan teknis secara berkala. Laporan pentest menjadi salah satu bukti tersebut.

Tahapan Penetration Testing

NIST SP 800-115 membagi metodologi pentest ke dalam empat tahap besar: perencanaan, penemuan, serangan, dan pelaporan. Dalam praktiknya, tahapan penetration testing biasanya dijabarkan lebih rinci seperti berikut.

1. Perencanaan dan penentuan ruang lingkup

Pentest dimulai dengan dokumen Rules of Engagement: sistem apa yang diuji, apa yang dilarang, kapan pengujian berjalan, dan siapa yang dihubungi jika terjadi gangguan. Dokumen ini juga memuat izin tertulis yang menjadi dasar hukum pengujian.

2. Pengumpulan informasi

Pentester memetakan target, mulai dari alamat IP, domain, layanan yang terbuka, sampai informasi publik tentang organisasi. Semakin lengkap pemetaannya, semakin realistis simulasi serangannya.

3. Pemindaian dan analisis kerentanan

Tools otomatis dipakai untuk menemukan kerentanan yang sudah dikenal. Setiap temuan kemudian diverifikasi secara manual, karena scanner kerap menghasilkan false positive.

4. Eksploitasi

Pada tahap ini pentester mencoba memanfaatkan celah yang ditemukan: masuk ke sistem, menaikkan hak akses, dan berpindah ke sistem lain. Nilai pentest ada di sini, karena celah kecil yang digabungkan sering kali menghasilkan dampak besar.

5. Pelaporan

Hasil pengujian disusun dalam laporan yang memuat setiap temuan, tingkat keparahannya, bukti eksploitasi, dan langkah perbaikan. Laporan yang baik punya dua lapis: ringkasan risiko untuk manajemen dan detail teknis untuk tim IT.

6. Perbaikan dan retest

Setelah tim memperbaiki temuan, pentester menguji ulang untuk memastikan celah benar-benar tertutup dan perbaikan tidak memunculkan masalah baru. Tahap ini sering dilewati demi menghemat biaya, padahal tanpa retest tidak ada bukti bahwa perbaikan berhasil.

Baca Juga: What is VAPT (Vulnerability Assessment and Penetration Testing)?

Jenis Penetration Testing Berdasarkan Akses

Jenis penetration testing pertama kali dibedakan dari seberapa banyak informasi yang diberikan kepada pentester sebelum pengujian dimulai. Pilihan ini memengaruhi apa yang bisa ditemukan dan berapa lama pengujian berlangsung.

Dalam praktiknya, grey box paling sering dipakai karena menyeimbangkan realisme dengan efisiensi waktu.

Jenis Penetration Testing Berdasarkan Target

Selain dari sisi akses, pentest juga dibedakan berdasarkan apa yang diuji. Setiap target membutuhkan teknik dan keahlian yang berbeda.

1. Network penetration testing

Pengujian infrastruktur jaringan, dibagi menjadi eksternal dan internal. Pengujian eksternal menyasar firewall, VPN, dan layanan yang terbuka ke internet. Pengujian internal mensimulasikan penyerang yang sudah berada di dalam jaringan, misalnya lewat laptop karyawan yang terinfeksi.

2. Web application penetration testing

Pengujian aplikasi web dan API, biasanya mengacu pada OWASP Top 10, daftar risiko keamanan aplikasi web yang paling umum. Di sinilah celah logika bisnis sering ditemukan, misalnya fitur yang menampilkan data pelanggan lain ketika ID di URL diubah.

3. Mobile application penetration testing

Pengujian aplikasi Android dan iOS, termasuk cara aplikasi menyimpan data di perangkat dan berkomunikasi dengan server. Risiko khasnya adalah kunci API atau token yang tertanam di dalam aplikasi dan bisa diambil oleh siapa pun yang membongkarnya.

4. Cloud penetration testing

Pengujian konfigurasi layanan cloud seperti AWS, Azure, atau GCP. Fokusnya pada hak akses yang terlalu longgar, storage yang terbuka untuk publik, dan pengaturan jaringan yang lemah.

5. Social engineering testing

Pengujian terhadap manusia, bukan sistem. Bentuknya bisa berupa simulasi phishing, telepon yang menyamar sebagai tim IT, atau upaya masuk ke gedung tanpa izin. Penjelasan lengkap tentang tekniknya ada di artikel What Is Social Engineering?

Perbedaan Penetration Testing, Vulnerability Assessment, dan Red Teaming

Ketiga istilah ini sering dipakai bergantian, padahal masing-masing menjawab pertanyaan yang berbeda. Memilih yang salah bisa membuat anggaran terpakai tanpa menjawab kebutuhan sebenarnya.

Sebagian besar organisasi membutuhkan vulnerability assessment untuk pemeriksaan rutin dan pentest untuk pembuktian risiko. Gabungan keduanya dikenal sebagai VAPT. Red teaming baru masuk akal ketika kemampuan deteksi, misalnya lewat SOC, sudah cukup matang untuk diuji.

Tools yang Umum Dipakai dalam Pentest

Tools membantu pentester bekerja lebih cepat, tetapi tidak menggantikan penilaian manusia. Beberapa yang paling sering ditemui dalam laporan pentest:

• Nmap: memetakan jaringan, menemukan perangkat aktif, port yang terbuka, dan layanan yang berjalan.
• Burp Suite: menyadap dan memodifikasi lalu lintas antara browser dan server untuk menguji aplikasi web.
• Metasploit: kerangka kerja eksploitasi untuk membuktikan apakah sebuah celah benar-benar bisa dimanfaatkan.
• Nessus: memindai sistem untuk menemukan kerentanan yang sudah dikenal.

Scanner bisa menemukan celah yang sudah tercatat di basis data kerentanan. Namun celah logika bisnis, seperti fitur diskon yang bisa dipakai dua kali, hanya bisa ditemukan oleh manusia yang memahami cara kerja aplikasi Anda.

Aspek Hukum: Pentest Wajib Berizin

Ini bagian yang jarang dibahas, padahal sangat penting. Secara teknis, pentest adalah upaya masuk ke sistem milik orang lain. Tanpa izin, aktivitas yang sama bisa dikategorikan sebagai tindak pidana.

Pasal 30 UU ITE melarang siapapun mengakses sistem elektronik milik orang lain tanpa hak, termasuk dengan cara menjebol pengamanannya. Seperti dijelaskan Hukumonline, pelanggaran pasal ini diancam pidana penjara hingga 8 tahun dan denda hingga Rp800 juta, tergantung ayat yang dilanggar. Pengecualian berlaku untuk kegiatan pengujian sistem yang sah, dan izin dari pemilik sistem menjadi pembedanya.

Karena itu, pentest yang benar selalu diawali dokumen tertulis: izin resmi dari pemilik sistem, ruang lingkup yang jelas, dan perjanjian kerahasiaan. Jika penyedia jasa bersedia mulai bekerja tanpa dokumen ini, anggap itu sebagai tanda bahaya.

Pentest dan Regulasi di Indonesia

Bagi sebagian industri, pentest bukan lagi pilihan. Sektor perbankan adalah contoh yang paling jelas.

Menurut Kontan, SEOJK Nomor 29/SEOJK.03/2022 mewajibkan bank umum melakukan pengujian keamanan siber berbasis kerentanan secara berkala, yang diawali identifikasi kerentanan dan dilanjutkan dengan penetration testing. Hasilnya wajib dilaporkan ke OJK paling lama 10 hari kerja setelah pengujian selesai.

Di luar perbankan, UU Perlindungan Data Pribadi mewajibkan setiap pengendali data menjaga keamanan data pribadi yang dikelolanya. Laporan pentest yang disertai bukti perbaikan menjadi salah satu cara menunjukkan bahwa kewajiban tersebut benar-benar dijalankan. Persiapannya kami bahas lebih lanjut di artikel Cybersecurity Audit.

Kapan Perusahaan Perlu Melakukan Pentest?

Pentest paling bermanfaat jika dilakukan pada momen yang tepat. Berikut waktu yang paling umum:

• Sebelum sistem baru diluncurkan. Menemukan celah di tahap uji jauh lebih murah dibanding menemukannya setelah ada insiden.
• Setelah perubahan besar. Migrasi ke cloud, desain ulang jaringan, atau rilis fitur besar mengubah permukaan serangan Anda.
• Secara berkala. Setidaknya setahun sekali untuk sebagian besar organisasi, dan lebih sering bagi organisasi dengan siklus rilis cepat atau data bernilai tinggi.
• Sebelum audit atau pemeriksaan regulator. Berikan waktu yang cukup untuk memperbaiki temuan sebelum auditor datang.
• Setelah insiden keamanan. Untuk memastikan jalur masuk penyerang sudah tertutup dan tidak ada akses tersembunyi yang tertinggal.

Cara Memilih Penyedia Jasa Pentest

Kualitas pentest sangat bergantung pada siapa yang mengerjakannya. Gunakan lima pertanyaan berikut untuk menilai calon penyedia.

1. Siapa pentesternya dan apa sertifikasinya?

Sertifikasi seperti OSCP, OSCE, GPEN, dan CEH menunjukkan keahlian individu. Sertifikasi ISO 27001 di level perusahaan menunjukkan bahwa data Anda akan ditangani dengan kontrol yang sudah diaudit.

2. Metodologi apa yang dipakai?

Tanyakan tahapan penetration testing yang mereka jalankan dan standar acuannya, misalnya NIST SP 800-115, OWASP, atau PTES. Penyedia yang matang bisa menjelaskan prosesnya dengan jelas sejak awal.

3. Apakah setiap temuan divalidasi manual?

Laporan yang hanya berisi hasil scanner bukan pentest. Pastikan setiap temuan sudah dibuktikan oleh pentester sebelum masuk ke laporan.

4. Seperti apa laporannya?

Minta contoh laporan. Laporan yang baik memuat ringkasan risiko untuk manajemen dan detail teknis yang bisa langsung ditindaklanjuti oleh tim IT.

5. Apakah retest sudah termasuk?

Tanpa retest, Anda tidak punya bukti bahwa perbaikan berhasil. Pastikan pengujian ulang tercantum dalam ruang lingkup kontrak.

Menguji Sistem Sebelum Penyerang Melakukannya

Pentest memberi gambaran paling jujur tentang kondisi keamanan Anda: bukan apa yang tertulis di kebijakan, melainkan apa yang benar-benar bisa ditembus. Namun pentest adalah potret pada satu titik waktu. Sistem terus berubah, sehingga pengujian perlu dilakukan berkala dan didukung pemantauan di antara jadwal pengujian.

Di Zentara, layanan VAPT kami memadukan tools otomatis dengan eksploitasi manual oleh pentester bersertifikasi OSCP, OSCE, dan GPEN. Setiap temuan divalidasi sebelum masuk laporan, laporan disusun untuk manajemen dan tim teknis, dan retest setelah perbaikan sudah termasuk dalam setiap proyek.

Jika Anda sedang menyiapkan audit, meluncurkan sistem baru, atau ingin mengetahui seberapa kuat pertahanan Anda saat ini, hubungi tim kami.

Frequently Asked Questions

1. Apa perbedaan pentest dan vulnerability assessment?
   Vulnerability assessment memindai sistem untuk menemukan kerentanan yang sudah dikenal. Pentest melangkah lebih jauh dengan mencoba mengeksploitasi kerentanan tersebut untuk membuktikan dampak nyatanya.
2. Berapa lama penetration testing berlangsung?
   Durasinya bergantung pada ruang lingkup. Pengujian satu aplikasi web kecil bisa selesai dalam beberapa hari, sementara pengujian jaringan perusahaan yang luas bisa memakan beberapa minggu.
3. Seberapa sering pentest perlu dilakukan?
   Setidaknya setahun sekali untuk sebagian besar organisasi, ditambah setiap kali ada perubahan besar pada sistem. Sektor yang diatur ketat, seperti perbankan, perlu mengikuti ketentuan regulatornya.
4. Apakah pentest bisa mengganggu sistem yang sedang berjalan?
   Ada risikonya, terutama saat tahap eksploitasi. Karena itu, jadwal pengujian, sistem yang dikecualikan, dan kontak darurat disepakati sejak awal dalam Rules of Engagement.
5. Apakah penetration testing legal?
   Legal, selama dilakukan dengan izin tertulis dari pemilik sistem dan sesuai ruang lingkup yang disepakati. Tanpa izin, aktivitas yang sama bisa dijerat Pasal 30 UU ITE.
6. Apa itu pentester?
   Pentester adalah profesional keamanan siber yang menjalankan penetration testing. Mereka umumnya memegang sertifikasi seperti OSCP, GPEN, atau CEH, dan bekerja berdasarkan izin serta ruang lingkup yang disepakati dengan klien.