Apa Itu VAPT (Vulnerability Assessment dan Penetration Testing)?

Scanner memberi tahu Anda ada pintu yang tidak terkunci. Scanner tidak memberi tahu apa yang ada di balik pintu itu, atau apakah kuncinya memang penting. Scanner juga tidak menjawab apakah seseorang bisa masuk lewat pintu itu sampai ke sistem pembayaran Anda. Kesenjangan antara daftar kelemahan dan bukti dampak nyatanya itulah alasan VAPT diperlukan.

Sebagian besar kebocoran data tidak berasal dari exploit zero-day yang canggih. Penyebabnya justru celah biasa yang luput dari perhatian: server salah konfigurasi, layanan belum di-patch, atau API yang terlalu percaya pada input. VAPT menemukan celah-celah itu, lalu membuktikan mana yang benar-benar bisa dipakai penyerang.

Apa itu VAPT?

VAPT adalah singkatan dari Vulnerability Assessment dan Penetration Testing. VAPT menggabungkan dua jenis pengujian keamanan. Masing-masing menjawab pertanyaan berbeda: kelemahan apa saja yang ada dan mana yang benar-benar bisa dieksploitasi.

Bagian vulnerability assessment menjalankan scan otomatis yang luas di seluruh sistem Anda dan menghasilkan daftar kelemahan yang sudah dikenal. Bagian pentest memakai daftar itu: seorang pentester mencoba mengeksploitasi temuannya secara langsung, lalu merangkainya seperti cara penyerang bekerja.

Kalau dijalankan terpisah, tiap bagian membuat Anda tetap rentan. Vulnerability assessment tanpa pentest memberi Anda daftar panjang tanpa gambaran mana yang berbahaya. Pentest tanpa vulnerability assessment memberi Anda pengujian mendalam di area yang sempit, sementara sisa infrastruktur Anda luput dicek.

Memahami dua bagian VAPT

Dua disiplin ini sering tertukar. Membeli satu jenis padahal Anda butuh jenis lainnya adalah kesalahan umum yang mahal. Berikut bedanya.

VAPT vs audit keamanan siber vs red teaming

Ketiganya sering dianggap sama dalam pembicaraan pengadaan. Padahal yang diuji berbeda.

Proses audit keamanan siber mengecek kontrol Anda terhadap standar seperti ISO 27001 atau PCI DSS. Fokusnya kepatuhan: apakah kontrolnya ada, terdokumentasi, dan berjalan sesuai rancangan. Auditor memeriksa bukti, bukan menyerang sistem.

VAPT menguji seberapa terbuka sistem Anda secara teknis. VAPT tidak menanyakan apakah Anda punya kebijakan, melainkan apakah sistem itu bisa dibobol. Ruang lingkupnya ditentukan dan diketahui tim Anda sejak awal.

Red teaming melangkah lebih jauh lagi. Red team menyimulasikan kampanye serangan penuh terhadap organisasi Anda, sering kali tanpa diketahui tim pertahanan. Tujuannya menguji apakah deteksi dan respons Anda benar-benar bekerja saat situasi genting. VAPT bertanya, “Bisakah ini dieksploitasi?” Red teaming bertanya, “Apakah serangan ini akan ketahuan, dan seberapa cepat?”

Sebagian besar organisasi butuh audit untuk kepatuhan dan VAPT untuk jaminan teknis. Red teaming baru masuk akal kalau kemampuan deteksi Anda sudah cukup matang untuk diuji.

Cara kerja VAPT

Proyek VAPT yang baik berjalan dalam lima tahap. Setiap tahap bergantung pada tahap sebelumnya, jadi melewatkan satu tahap saja akan melemahkan semua tahap sesudahnya.

1. Ruang lingkup dan perencanaan

Proyek dimulai dengan dokumen formal bernama Rules of Engagement. Isinya: sistem dalam ruang lingkup, batasan yang tidak boleh dilanggar, kontak darurat kalau ada sistem rusak, dan izin hukum tertulis untuk menguji. Ini bukan sekadar urusan administrasi. Menguji sistem tanpa izin adalah tindak pidana di sebagian besar yurisdiksi, termasuk Indonesia.

Scoping juga menentukan pendekatan dan kedalaman pengujian. Ruang lingkup yang kabur menghasilkan proyek yang kabur. Karena itu, tahap ini menetapkan sistem target, timeline, dan jalur eskalasi sebelum satu scan pun dijalankan.

2. Vulnerability assessment

Pentester lebih dulu memetakan attack surface: reconnaissance, pemetaan jaringan, dan enumerasi layanan. Setelah itu, scanner otomatis menyisir sistem dalam ruang lingkup untuk mencari kelemahan yang sudah dikenal.

Scanner menghasilkan false positive, kadang dalam jumlah besar. Karena itu, setiap temuan divalidasi manual sebelum masuk ke tahap berikutnya. Inilah yang membedakan vulnerability assessment sungguhan dari sekadar hasil mentah dari tool.

3. Penetration testing

Di tahap inilah manusia mengambil alih. Pentester mencoba mengeksploitasi temuan yang sudah divalidasi: memperoleh akses, menaikkan hak akses, bergerak lateral antarsistem, dan menyimulasikan eksfiltrasi data untuk menunjukkan seberapa jauh jangkauannya.

Nilai pentest ada pada cara temuan dirangkai. Security header yang hilang tampak sepele kalau berdiri sendiri. Namun, kalau dirangkai dengan celah pada session dan insecure direct object reference, penyerang bisa mengambil alih akun sepenuhnya. Tool menemukan mata rantainya satu per satu. Pentester menemukan rantainya.

4. Pelaporan dan remediasi

Laporan yang baik punya dua lapis karena pembacanya ada dua kelompok. Eksekutif butuh dampak bisnis dan peringkat risiko. Engineer butuh langkah reproduksi, komponen yang terdampak, dan perbaikan yang spesifik.

Setiap temuan sebaiknya diberi skor tingkat keparahan, biasanya CVSS, agar remediasi bisa diprioritaskan secara objektif, bukan berdasarkan siapa yang paling keras bersuara. Setiap temuan juga butuh penanggung jawab dan tenggat, lalu dipantau seperti pekerjaan engineering lainnya.

5. Scan ulang dan verifikasi

Proyek belum selesai saat laporan diterima. Setelah tim Anda menerapkan perbaikan, pentester menguji ulang temuannya untuk memastikan kerentanannya benar-benar tertutup. Pentester juga mengecek apakah perbaikan itu memunculkan kerentanan baru.

Tahap ini lebih sering dilewatkan daripada yang Anda kira, biasanya demi menghemat anggaran. Tanpa tahap ini, laporan Anda menyebut masalah sudah diperbaiki, tetapi buktinya tidak ada. Karena itulah Zentara memasukkan retest setelah remediasi ke dalam ruang lingkup proyek VAPT-nya.

Mengapa VAPT penting?

Ada empat alasan. Masing-masing mengubah keputusan yang tanpa VAPT akan Anda ambil berdasarkan insting.

1. Memastikan apa yang benar-benar bisa dieksploitasi

Scanner bisa memunculkan 400 temuan di seluruh infrastruktur Anda. Dari jumlah itu, bisa saja hanya 12 yang benar-benar dapat dieksploitasi dalam konfigurasi spesifik Anda. Sisanya hanya teoretis, sudah dimitigasi kontrol lain, atau tidak terjangkau dari posisi mana pun yang bisa ditempati penyerang.

Tanpa pengujian, Anda harus memilih: memperbaiki semua 400 temuan dan membuang waktu berbulan-bulan, atau menebak mana yang penting. Pengujian mengganti tebakan dengan bukti.

2. Menguji pertahanan Anda dalam kondisi serangan nyata

Aturan firewall, segmentasi, dan pemantauan Anda semuanya tampak benar di file konfigurasi. VAPT mengecek apakah semua itu tetap bertahan saat ada orang yang aktif berusaha mengakalinya.

Di sinilah tim menemukan bahwa segmentasi ternyata punya celah, atau ada kontrol yang dimatikan saat migrasi dan tidak pernah dinyalakan lagi. Konfigurasi menggambarkan apa yang direncanakan. Pengujian menunjukkan apa yang benar-benar terjadi.

3. Memprioritaskan perbaikan berdasarkan risiko nyata, bukan tebakan

Anggaran keamanan itu terbatas. Temuan CVSS 9.8 di sistem internal terisolasi yang tak terjangkau penyerang tidak sepenting temuan CVSS 6.5 di halaman login Anda yang terhubung ke internet.

VAPT memberi Anda konteks itu. VAPT mengurutkan temuan berdasarkan apa yang benar-benar bisa dilakukan penyerang dari titik awal yang realistis. Urutan inilah yang seharusnya menentukan antrean remediasi Anda.

4. Menemukan yang terlewat oleh tool otomatis

Scanner mencocokkan pola dengan database signature. Scanner andal untuk CVE yang sudah dikenal, tetapi buta terhadap celah logika bisnis. Contohnya: checkout yang membolehkan diskon dipakai dua kali, API yang menampilkan data pelanggan lain saat ID-nya diganti, dan reset password tanpa verifikasi identitas peminta.

Celah seperti ini tidak ada di database signature mana pun karena unik untuk cara kerja aplikasi Anda. Hanya pentester yang menguji logika spesifik aplikasi Anda yang akan menemukannya.

Pendekatan pengujian: black box, white box, dan grey box

Pendekatan menentukan seberapa banyak yang diketahui pentester sebelum mulai. Ini memengaruhi apa yang mereka temukan sekaligus berapa lama pengujiannya.

Jenis-jenis VAPT

Ruang lingkup VAPT bergantung pada apa yang Anda uji. Setiap jenis memakai tool berbeda dan mencari kelas kelemahan yang berbeda pula.

1. VAPT jaringan

VAPT jaringan menguji infrastruktur Anda dan terbagi menjadi pengujian eksternal dan internal. Pengujian eksternal menyasar perimeter Anda dari internet publik: firewall, layanan yang terekspos, port yang terbuka, dan endpoint VPN. Pengujian internal dimulai dari dalam jaringan dan menyimulasikan apa yang bisa dijangkau penyerang setelah mendapat pijakan awal.

Pengujian internal inilah yang membuktikan apakah segmentasi Anda benar-benar berfungsi. Kalau workstation yang sudah dibobol di divisi keuangan bisa menjangkau database produksi, itu temuan yang tidak akan pernah muncul dari scan eksternal mana pun.

2. VAPT aplikasi web

VAPT aplikasi web menguji aplikasi Anda beserta API di baliknya. Cakupannya biasanya dipetakan ke OWASP Top 10: broken access control (kontrol akses yang lemah), injection, kegagalan autentikasi, dan kelas celah sejenis.

Di sinilah celah logika bisnis terungkap. Scanner otomatis menemukan titik injection, tetapi checkout yang memberi diskon dua kali hanya ketahuan oleh pentester yang menelusuri workflow nyata Anda. Begitu juga dengan endpoint yang menampilkan data pelanggan lain saat ID-nya diganti.

3. VAPT cloud

VAPT cloud meninjau konfigurasi AWS, Azure, atau GCP Anda, bukan menyerang infrastruktur milik penyedia cloud. Fokusnya: role IAM dengan izin berlebihan, storage bucket terekspos, kebijakan jaringan lemah, volume tanpa enkripsi, dan layanan yang terbuka secara default.

Kebocoran data di cloud hampir selalu disebabkan kesalahan konfigurasi, bukan kegagalan platform. Penyedia cloud mengamankan platformnya. Semua yang Anda konfigurasi di atasnya menjadi tanggung jawab Anda, dan batas itulah yang dicek VAPT cloud.

4. VAPT aplikasi mobile

VAPT mobile menguji aplikasi iOS dan Android. Sasarannya: penyimpanan data lokal tidak aman, validasi sertifikat lemah, secret hardcoded di dalam binary, dan celah pada API yang dipanggil aplikasi.

Aplikasi mobile punya risiko yang tidak dimiliki web: perangkatnya ada di tangan penyerang. Apa pun yang dikemas di dalam aplikasi, termasuk kunci, token, dan URL endpoint, bisa diekstrak oleh siapa saja yang mau men-decompile aplikasi itu. Pengujian berangkat dari asumsi bahwa penyerang punya akses, bukan dari anggapan bahwa sisi klien bisa dipercaya.

Tool VAPT yang populer

Tool mengerjakan reconnaissance dan pencocokan pola. Berikut empat tool yang paling sering Anda temui di dokumen ruang lingkup dan laporan.

1. Nessus

Nessus adalah vulnerability scanner yang mencocokkan sistem dengan database signature berisi banyak celah yang sudah dikenal. Hasilnya berupa daftar berperingkat berisi celah yang ada dan belum di-patch. Versi gratis Essentials adalah lisensi jangka pendek untuk penggunaan nonkomersial, cukup untuk home lab atau proof of concept. Untuk penggunaan bisnis, Anda butuh Nessus Professional.

Nessus adalah tool deteksi, bukan tool eksploitasi. Nessus memberi tahu Anda bahwa ada kerentanan. Memastikan kerentanan itu bisa dijangkau dan dipakai dalam konfigurasi Anda adalah langkah tersendiri.

2. Metasploit

Metasploit adalah framework eksploitasi standar. Isinya modul exploit yang sudah teruji, payload, dan tool pascaeksploitasi. Metasploit menangani mekanisme pengiriman exploit, jadi pentester bisa fokus memilih target dan bergerak lateral.

Inilah tool yang mengubah temuan scanner menjadi bukti. Scanner melaporkan potensi celah, sedangkan Metasploit memastikan apakah celah itu benar-benar bisa dieksploitasi pada sistem Anda dengan konfigurasinya saat ini.

3. Burp Suite

Burp Suite adalah platform pengujian aplikasi web yang paling banyak dipakai. Burp bekerja sebagai intercepting proxy yang menangkap dan memanipulasi traffic antara browser dan server. Edisi Professional butuh langganan berbayar untuk setiap pengguna. Edisi Community gratis, tetapi tidak punya scanner otomatis.

Scanner otomatisnya menghasilkan false positive dan sama sekali melewatkan celah logika bisnis. Burp menemukan titik injection. Pentester yang menentukan apakah titik itu bisa dieksploitasi.

4. ZAP

ZAP by Checkmarx (dulu OWASP ZAP) adalah web scanner open source dan alternatif gratis yang umum untuk Burp. ZAP paling kuat sebagai pengecekan otomatis di dalam pipeline CI/CD, untuk menemukan regresi sebelum kode dirilis.

Sebagai tool utama untuk pengujian manual, ZAP kalah dari Burp. Sebagian besar tim memakai ZAP untuk cakupan otomatis yang terus berjalan dan Burp untuk pengujian langsung dalam proyek.

Kapan Anda perlu menjalankan VAPT?

1. Setelah perubahan besar pada sistem atau infrastruktur

Sistem baru, migrasi cloud, desain ulang jaringan, dan rilis besar aplikasi semuanya mengubah attack surface Anda. Hasil pengujian sebelum perubahan tidak memberi tahu apa pun tentang lingkungan Anda saat ini.

Uji setelah perubahan selesai, tetapi sebelum sistem menerima traffic produksi. Menemukan celah di staging berarti kehilangan satu sprint. Menemukannya di produksi berarti menghadapi insiden.

2. Sesuai jadwal rutin

Pengujian tahunan adalah patokan yang umum, dan beberapa standar seperti PCI DSS mewajibkannya. Pengujian per kuartal cocok untuk organisasi dengan siklus rilis cepat atau data bernilai tinggi.

Jadwal ini perlu karena lingkungan Anda terus bergeser. Patch tertunda, konfigurasi berubah, dependency terkena CVE baru. Hasil tes akurat pada hari tes dijalankan, lalu langsung mulai usang.

3. Setelah insiden keamanan

Setelah Anda mengisolasi insiden, jalankan pengujian untuk memastikan titik masuknya benar-benar tertutup dan penyerang tidak meninggalkan jalan untuk kembali. Penyerang sering menanam persistence (cara untuk bisa masuk lagi) selain pijakan awal mereka.

Pengujian pascainsiden juga menjawab pertanyaan yang akan diajukan Direksi: apakah masalahnya sudah beres, atau baru permukaannya saja yang dibersihkan?

4. Sebelum audit kepatuhan

PCI DSS, ISO 27001, dan SOC 2 meminta bukti pengujian teknis. Di Indonesia, OJK mewajibkan bank umum menjalankan pengujian keamanan siber secara berkala, termasuk penetration test, dan melaporkan hasilnya setiap tahun (SEOJK 29/2022). Bank Indonesia mewajibkan penyedia jasa pembayaran dan pihak lain yang diaturnya menjalankan pemindaian kerentanan berkelanjutan, termasuk uji penetrasi. Pemindaian itu wajib dievaluasi paling sedikit setahun sekali (PADG 24/2024). PP 33/2026, aturan pelaksana UU PDP, juga mencantumkan pengujian rutin atas langkah keamanan sebagai salah satu upaya melindungi data pribadi. Aturan ini berlaku mulai 16 Januari 2027. Menjalankan VAPT sebelum audit memberi Anda temuan yang masih bisa diperbaiki, bukan ketidaksesuaian yang harus dijelaskan.

Jadwalkan VAPT jauh-jauh hari agar masih ada waktu untuk remediasi. Pengujian dua minggu sebelum auditor datang menghasilkan daftar masalah yang tidak sempat Anda tutup.

Dari pengujian ke perlindungan berkelanjutan

VAPT adalah potret sesaat. VAPT menunjukkan kondisi keamanan Anda pada hari pengujian, dan gambaran itu langsung mulai usang. Kode baru dirilis. Port dibuka untuk migrasi lalu tidak pernah ditutup lagi.

Jadi, pengujian paling efektif kalau dijalankan berkala, bukan sekali jalan. Uji setelah perubahan besar, uji sesuai jadwal, perbaiki temuan dengan tenggat yang jelas, lalu retest untuk memastikan semuanya benar-benar tertutup.

Di sela jadwal pengujian, pemantauan keamanan mengisi jeda itu. Proyek VAPT menunjukkan apa yang bisa dilakukan penyerang, sedangkan pemantauan menunjukkan kapan ada yang benar-benar mencobanya.

Begitulah cara kerja kami di Zentara. Setiap temuan dicek manual, ditulis untuk eksekutif sekaligus engineer, lalu diuji ulang setelah Anda memperbaikinya.

Belum yakin harus menguji apa dulu? Ceritakan sistem yang Anda jalankan dan kapan tenggatnya, lalu kami tunjukkan letak risiko yang sebenarnya.

Pertanyaan yang sering diajukan

1. Apa bedanya vulnerability assessment dan penetration testing?

Vulnerability assessment adalah pemindaian sistem untuk mendata kelemahan yang sudah dikenal, tanpa menguji apakah kelemahan itu bisa dieksploitasi. Penetration testing atau pentest melangkah lebih jauh: pentester aktif mencoba mengeksploitasi kelemahan itu untuk membuktikan dampak nyatanya.

1. Berapa biaya VAPT?

Biayanya bergantung pada ruang lingkup, jumlah sistem yang diuji, dan jenis pengujiannya: jaringan, aplikasi web, cloud, atau mobile. Tentukan ruang lingkup Anda dulu, lalu minta penawaran berdasarkan ruang lingkup itu.

1. Apakah VAPT wajib menurut hukum atau standar kepatuhan?

Jawabannya bergantung pada industri dan lokasi Anda. Di Indonesia, OJK mewajibkan bank umum menjalankan pengujian keamanan siber secara berkala, termasuk penetration test. Bank Indonesia mewajibkan penyedia jasa pembayaran dan pihak lain yang diaturnya menjalankan pemindaian kerentanan berkelanjutan, lalu mengevaluasi pemindaian itu paling sedikit setahun sekali. Regulasi dan standar lain, termasuk beberapa yang dibahas dalam panduan audit keamanan siber kami, meminta pengujian rutin sebagai syarat kepatuhan, meski tidak selalu disebut wajib.

1. Apa bedanya VAPT dan audit keamanan siber?

Audit mengecek apakah kebijakan dan kontrol Anda ada dan memenuhi standar. VAPT menguji apakah kontrol itu benar-benar bertahan saat diserang sungguhan. Banyak audit memasukkan VAPT sebagai salah satu komponennya, tetapi VAPT juga bisa dijalankan terpisah.

1. Seberapa sering VAPT perlu dilakukan?

Tidak ada satu angka yang pasti. Frekuensinya bergantung pada seberapa sering sistem Anda berubah, tingkat risiko industri Anda, dan apakah baru-baru ini ada insiden. Semua ini sudah dibahas lebih rinci di bagian sebelumnya dalam artikel ini.