Patching : Penjelasan dan Cara Kerjanya dalam Penetration Testing

artikel tentang patching dalam pentest

Patching pada dasarnya dilakukan untuk memperbaiki kelemahan atau bug dengan tujuan meningkatkan keamanan dan menjaga agar suatu sistem berfungsi seoptimal mungkin. Bug atau kelemahan ini umumnya dapat terdeteksi oleh sistem, tetapi penemuan dan perbaikan tergantung pada keefektifan sistem pemantauan dan penilaian keamanan yang diimplementasikan. Patching akan selalu dibutuhkan oleh individu maupun perusahaan karena banyaknya potensi kerentanan yang sering ditemukan dalam suatu sistem.

Sebelum melakukan patching terhadap sistem, biasanya dilakukan uji kerentanan terlebih dahulu untuk menemukan kelemahan atau bug. Uji kerentanan ini umumnya dikenal sebagai penetration testing atau uji penetrasi. Dalam penetration testing, seorang penyerang akan mencoba mengeksploitasi potensi kelemahan dalam sistem, jaringan, atau aplikasi untuk menilai tingkat keamanannya. Untuk menjalankan penetration test, perusahaan biasanya dapat menyewa tim ahli yang telah terverifikasi kemampuannya. Salah satu layanan yang telah teruji dalam penetration testing adalah Vulnerability Assessment and Penetration Testing (VAPT) yang bisa ditemukan di Widya Security.

Lalu, setelah melakukan Penetration Testing dan menemukan bug atau kelemahan dari hasil penetration tersebut, kemudian para tim ahli akan mengidentifikasinya untuk ditentukan langkah apa yang diperlukan. Salah satu langkah yang biasanya sering dilakukan yaitu dengan patching. Untuk mengetahui lebih lanjut tentang patching, mari simak pembahasannya di artikel ini.

Apa itu Patching?

Patching adalah suatu proses yang dilakukan untuk memperbaiki atau memperbarui suatu sistem atau perangkat lunak dengan alat yang disebut sebagai “patch”. Patch ini adalah kumpulan pembaruan atau penambahan kode yang bertujuan untuk memperbaiki bug, meningkatkan tingkat keamanan, atau memperkenalkan perubahan dalam fungsi suatu aplikasi atau sistem operasi.

Patch ini umumnya terbagi menjadi tiga jenis yaitu bug fix patch, yang digunakan untuk memperbaiki atau menambal bug, kemudian ada security patch yang digunakan untuk digunakan untuk mengatasi kerentanan keamanan yang telah diketahui dan feature patch yang digunakan untuk menambah fitur baru dalam sistem. Dalam konteks penetration testing, ketiganya sering digunakan beriringan tergantung kebutuhan dari suatu perusahaan.

Cara Kerja Patching 

Sebagai gambaran, patching dapat diibaratkan seperti melakukan perbaikan pada ban bocor kendaraan. Ban yang bocor mewakili kelemahan atau bug dalam sistem, sementara patch, dalam konteks ini, adalah alat atau solusi yang digunakan untuk memperbaikinya. Proses menambal ban bocor ini mencerminkan kegiatan patching atau proses untuk menangani kelemahan tersebut.

Sebagaimana telah diuraikan sebelumnya, sistem yang menjalani proses patching seharusnya mengikuti langkah-langkah penerapan Vulnerability Assessment and Penetration Testing (VAPT) terlebih dahulu. Dengan asumsi bahwa suatu perusahaan telah menyelesaikan tahapan tersebut, tim ahli umumnya akan melaksanakan serangkaian langkah dalam implementasi patching, antara lain:

Mengembangkan Patch

Setelah proses VAPT dilakukan dan kelemahan dalam sistem diidentifikasi, langkah pertama dalam patching adalah mengembangkan pembaruan atau perbaikan yang diperlukan. Tim ahli akan merancang solusi untuk menutup celah keamanan dan mengatasi bug yang telah diidentifikasi.

Pengujian Patch

Selanjutnya, pembaruan tersebut akan diuji secara menyeluruh dalam lingkungan yang terisolasi sebelum diterapkan secara luas. Uji coba ini bertujuan untuk memastikan bahwa patch tidak hanya efektif dalam menangani masalah yang ada, tetapi juga tidak menyebabkan masalah baru atau gangguan dalam fungsionalitas sistem.

Implementasi Patch

Setelah lolos uji, patch dapat diimplementasikan pada seluruh sistem atau perangkat yang terpengaruh. Proses ini memerlukan pemutakhiran perangkat lunak atau sistem yang dilakukan secara hati-hati dan terencana. Beberapa perusahaan menggunakan manajemen patch yang terpusat untuk memastikan konsistensi dan efisiensi dalam penerapan patch.

Monitoring Patch

Setelah mengimplementasikan patch, monitoring terus-menerus diperlukan untuk memastikan bahwa perubahan yang diterapkan tidak memberikan dampak negatif pada kinerja sistem atau menyebabkan masalah baru. Selain itu, keamanan tetap menjadi perhatian utama, dan pemantauan terus-menerus diperlukan untuk mendeteksi potensi ancaman atau kelemahan baru yang mungkin muncul.

Secara keseluruhan, proses patching merupakan langkah proaktif dalam memitigasi risiko keamanan dan menjaga kestabilan serta kinerja sistem atau perangkat yang terkait. Sehingga sangat penting sekali untuk suatu perusahaan melakukan penetration testing secara berkala untuk memastikan sistem tetap aman dan terkendali. Namun tetap pastikan selalu memilih layanan penetration testing yang telah teruji dan tersertifikasi. Salah satu layanan penetration testing yang telah tersertifikasi dan teruji yaitu milik Widya Security melalui layanan Vulnerability Assessment and Penetration Testing (VAPT). Kunjungi widyasecurity.com untuk mengetahui informasi lebih lanjut atau diskusi langsung melalui WhatsApp di sini.

Ditulis Oleh : Rian Jakawardana

Langkah Keamanan Digital dengan White Box Penetration Testing

artikel tentang white box pentest

Dalam dunia yang terus berkembang secara digital, keamanan informasi menjadi kunci untuk menjaga integritas data sistem perusahaan. Salah satu langkah proaktif untuk memastikan keamanan yang optimal adalah melalui White Box Penetration Testing. Dengan melakukan penetration testing ini akan membantu dalam mengetahui potensi-potensi serangan dan bagaimana dalam meningkatkan kemampuan sistem untuk bersiap dari serangan tersebut. Penetration testing sangat lazim dilakukan di bidang cyber security mengingat kebutuhan keamanan sistem termasuk tinggi dan banyak dibutuhkan oleh perusahaan apapun.

Apa itu White Box Penetration Testing?

White Box Penetration Testing adalah metode uji penetrasi yang memberikan pandangan mendalam ke dalam struktur dan implementasi keamanan suatu sistem. Dalam pendekatan ini, penguji keamanan diberi akses penuh ke kode sumber, dokumentasi, dan segala informasi teknis terkait. Tujuannya adalah untuk mensimulasikan serangan yang mungkin terjadi dari pihak yang memiliki pengetahuan lengkap tentang sistem.

Langkah-Langkah dalam White Box Penetration Testing

  1. Pengumpulan Informasi

Penguji mengumpulkan semua informasi yang relevan tentang sistem, termasuk dokumen desain, konfigurasi jaringan, dan kode sumber.

  1. Analisis Kode Sumber

Penguji melakukan analisis kode sumber untuk mengidentifikasi potensi kerentanan keamanan dan masalah implementasi.

  1. Eksplorasi Infrastruktur

Pengujian dilakukan untuk mengeksplorasi arsitektur dan infrastruktur sistem, mencari potensi celah keamanan.

  1. Pengujian Integrasi

Penguji mengevaluasi cara berbagai komponen sistem berinteraksi untuk memastikan integrasi yang aman.

  1. Simulasi Serangan

Penguji mensimulasikan serangan yang mungkin dilakukan oleh pihak internal atau eksternal yang memiliki pengetahuan mendalam tentang sistem.

Manfaat White Box Penetration Testing

Keamanan yang Ditingkatkan

Dengan mengidentifikasi dan memperbaiki potensi kerentanan, uji penetrasi ini meningkatkan tingkat keamanan sistem secara keseluruhan.

Perlindungan terhadap Insider Threats

Melalui simulasi serangan insider, white box testing membantu organisasi melindungi diri dari ancaman internal.

Kepatuhan dan Kepercayaan Pelanggan

Uji penetrasi ini membantu memenuhi persyaratan kepatuhan dan membangun kepercayaan pelanggan melalui pemeliharaan integritas data.

Lakukan Pentest Hanya di Widya Security

Dalam menjaga keamanan informasi, kami di Widya Security siap membantu. Sebagai ahli di bidang keamanan siber, kami menyediakan layanan White Box Penetration Testing yang komprehensif untuk memastikan bahwa sistem dilindungi secara optimal. Jangan biarkan kerentanan merugikan bisnis Anda. Hubungi Widya Security untuk konsultasi lebih lanjut tentang bagaimana White Box Penetration Testing dapat meningkatkan keamanan dan integritas data. Keamanan informasi bukan lagi pilihan, melainkan kebutuhan untuk bisnis yang ingin bertahan dan berkembang di era digital. Diskusi secara langsung dengan tim kami di sini.

Ditulis Oleh : Safiera Anindya S

Fintech App Regulasi dan Keamanan

artikel tentang regulasi untuk aplikasi fintech

Fintech, atau teknologi keuangan merujuk pada teknologi atau aplikasi yang menyediakan layanan di bidang keuangan, seperti transaksi, peminjaman uang, perbankan elektronik, dan lain sebagainya. Fintech merupakan jenis startup yang mengalami perkembangan dan popularitas yang pesat di masyarakat Indonesia. Pertumbuhan fintech di Indonesia mengalami peningkatan yang signifikan.

Menurut laporan AFTECH AMS 2022/2023 menyatakan bahwa sampai dengan Q3 tahun 2022, industri fintech di Indonesia mendominasi sekitar 33% dari total pendanaan perusahaan fintech di Asia Tenggara, menempatkannya sebagai yang kedua terbesar setelah Singapura yang mencapai 43% dari total pendanaan. 

Selain itu, pertumbuhan industri fintech di Indonesia masih memiliki potensi tinggi dalam meningkatkan inklusi keuangan. Menurut laporan Bank Dunia saat ini terdapat 97,74 juta penduduk dewasa di Indonesia yang masih termasuk dalam kategori yang belum memiliki akses ke layanan keuangan perbankan.

Dengan adanya Internet of Things (IoT) dan perangkat genggam yang semakin terjangkau dan canggih, fintech menjadi seperti gelombang yang tak dapat dihindari. Pada tahun 2017, total transaksi fintech mencapai Rp.202,7 triliun, dan data  terkini dari Asosiasi Fintech Indonesia (AFTEC) sebuah perusahaan fintech mencatatkan transaksi sekitar Rp 5 miliar hingga Rp 500 miliar per tahun pada periode 2022/2023.

Regulasi Fintech  

Perkembangan teknologi baru dalam sejarahnya selalu menimbulkan  ketakutan dan kekhawatiran di dalam masyarakat. Maka dari itu pentingnya untuk memastikan perlindungan masyarakat sebagai konsumen dari teknologi fintech dan penerapan regulasi-regulasi yang digunakan untuk mencegah terjadinya kecurangan, atau pencurian serangan cyber yang tidak diinginkan.

Di Indonesia fintech mempunyai regulasi yang diatur oleh Otoritas Jasa Keuangan (OJK). Beberapa regulasi utama termasuk:

Peraturan OJK No. 13/POJK.02/2018

Tentang Inovasi Keuangan Digital (IKD) di sektor jasa keuangan sebagai ketentuan yang memayungi pengawasan dan pengaturan industri financial technology (fintech). Menyediakan panduan untuk mekanisme pendaftaran, pengawasan, manajemen risiko, perlindungan konsumen, dsb.

Peraturan OJK No. 77/POJK.01/2016

Mengatur platform pinjaman peer-to-peer lending dengan persyaratan lisensi dan manajemen risiko.

Surat Edaran OJK No. 14/SEOJK.02/2018

Panduan Rencana Bisnis Bank Umum Syariah dan Unit Usaha Syariah.

Peraturan OJK 6/POJK.07/2022

Ketentuan terkait tentang Perlindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan.

Peraturan OJK No. 56/POJK.03/2016

Tentang Kewajiban Penyediaan Modal Minimum Bank Umum.

Perusahaan fintech di Indonesia wajib mengikuti berbagai regulasi, termasuk persyaratan lisensi, manajemen risiko, perlindungan konsumen, prosedur operasional, dsb. Pastikan untuk selalu memeriksa regulasi terkini yang dikeluarkan oleh OJK atau sumber resmi lainnya agar mendapatkan informasi yang paling mutakhir.

Perusahaan fintech yang telah dinyatakan legal atau memenuhi syarat akan terdaftar di dalam daftar fintech legal OJK. Saat ini terdapat 101 perusahaan fintech lending yang terdaftar di OJK per tanggal 9 Oktober 2023.

Fintech sendiri tentunya memiliki resiko keamanan yang sangat tinggi, pasalnya berhubungan langsung dengan transaksi keuangan masyarakat secara digital. Maka dari itu perlu kita ketahui cara meminimalisir keamanan cyber yang biasanya muncul pada kasus fintech terutama fintech berbasis mobile apps baik android maupun iOS.

Best Practice Keamanan Fintech Mobile APP

Untuk meminimalisir cela yang biasa ditemukan pada mobile app khususnya peer to peer lending app seperti fintech, bisa melakukan pencegahan sebagai berikut : 

  1. Tetapkan Tujuan dengan Jelas:  Definisikan tujuan pengujian, termasuk bagian mana dari aplikasi dan sistem yang akan diuji.
  2.  Pahami Regulasi Keamanan: Pastikan kepatuhan dengan regulasi keuangan dan standar keamanan industri di Indonesia. 
  3.  Identifikasi Ancaman: Cari ancaman potensial dan kemungkinan serangan dengan memahami cara kerja aplikasi.
  4.  Periksa Akses Pengguna: Pastikan bahwa pengguna memiliki izin dan akses yang tepat ke area yang sensitif.
  5.  Enkripsi Data: Pastikan data diamankan dengan enkripsi saat transmisi dan penyimpanan.
  6.  Secure Data Storage: Periksa cara data sensitif disimpan di perangkat dan pastikan dienkripsi dengan baik.
  7.  Uji Keamanan API: Evaluasi keamanan API yang digunakan aplikasi, karena ini krusial untuk layanan fintech.
  8.  Review Session Management: Periksa bagaimana sesi pengguna dikelola untuk mencegah akses tanpa izin menghindari XSS attack. 
  9.  Code Review: Mengulas kode untuk menemukan dan memperbaiki potensi masalah keamanan.
  10.  Pengecekan Keamanan Secara Rutin: Implementasikan pemeriksaan keamanan berkelanjutan sebagai bagian dari pengembangan untuk mendeteksi masalah secara dini.

Sangat penting untuk terus menguji secara berkala karena ancaman keamanan serangan cyber yang terus berkembang.

Bagi Anda yang ingin melakukan transaksi melalui perusahaan fintech, alangkah baiknya mencari tahu terkait sejarah perusahaan dan legalitas jasa keuangan yang ditawarkan oleh perusahaan fintech agar terhindar dari pinjol-pinjol yang ilegal.

 Berikut tips-tips yang bisa kalian gunakan sebelum melakukan pinjaman melalui fintech lending:

  • Pastikan perusahaan fintech terdaftar dan memiliki izin yang legal. 
  • Hubungi hotmail OJK melalui telepon kontak OJK 157 atau di website OJK untuk memastikan jasa keuangan yang ditawarkan fintech.
  • Pastikan aplikasi fintech terpercaya, memiliki review yang baik di app store atau play store.
  • Memiliki Customer service yang responsif dan baik. 
  • Pahami dengan teliti kontrak perjanjian, ajukan pertanyaan jika belum  jelas. Jangan sampai terjebak dengan bunga pinjaman yang berat.

Widya security menawarkan jasa penetration testing/pentest untuk berbagai mobile app termasuk aplikasi untuk industri fintech. Diskusi secara langsung dengan tim Widya Security disini. 

Ditulis Oleh : Muhamad Nur Firman

Perbedaan Red Teaming dan Penetration Testing

artikel tentang red teaming vs penetration testing

Red teaming dikenal sebagai salah satu teknik simulasi serangan cyber yang digunakan untuk menguji bagaimana infrastruktur TI perusahaan dapat merespon serangan cyber. Red teaming dapat mensimulasikan serangan cyber dengan memposisikan diri sebagai penyerang, sehingga perusahaan dapat mengetahui celah keamanan jaringan secara realistis. 

Pada teknik simulasi ini, red teaming tidak akan memberitahu perusahaan kapan simulasi akan dilakukan. Hal ini lah yang membuat perusahaan dapat mengetahui kapasitas sumber daya infrastruktur TI dalam merespons serangan cuber yang sebenarnya. 

Artikel ini akan membahas bagaimana cara kerja red teaming dan bagaimana simulasi ini dapat membantu perusahaan untuk memahami efektivitas sistem kontrol keamanan perusahaan dalam menggagalkan penyerang (hacker) untuk melakukan aktivitas pencurian data. 

Apa itu Red Teaming?

Red teaming, selanjutnya akan disebut red team merupakan bentuk uji penetration (pentest) yang dilakukan dengan mensimulasikan serangan cyber secara nyata kepada perusahaan. Metode red team sangat berbeda dengan uji pentest biasa, red team bertujuan untuk memanfaatkan kelemahan rancangan infrastruktur TI perusahaan sebanyak-banyaknya. 

Sederhananya, simulasi red teaming dapat memberi gambaran bagi perusahaan mengenai cara pelaku serangan cyber memanfaatkan celah keamanan untuk mencuri data. Pada simulasi red teaming, perusahaan akan diserang dengan aktivitas pencurian data, juga manipulasi sebagaimana yang dilakukan oleh hacker. 

Bagaimana Cara Kerja Red Teaming?

Berbeda dengan pentest biasa, red teaming akan dilakukan tanpa sepengetahuan perusahaan terkait. Red teaming juga menguji keamanan infrastruktur perusahaan seperti akses kantor, pusat data, dan gudang yang sudah terintegrasi secara digital. Penyedia layanan cyber security seperti Widya Security menggunakan simulasi red teaming yang melibatkan blue team dan non technical team. 

Nantinya simulasi red team akan melibatkan professional yang memahami taktik serangan cyber yang dapat membahayakan perusahaan. Simulasi ini akan memberikan perusahaan untuk memahami bagaimana infrastruktur TI bekerja melawan serangan cyber. 

Tidak hanya menguji keamanan infrastruktur TI seperti jaringan, aplikasi, maupun router, read teaming dapat menguji kerentanan sumber daya manusia. Ini karena serangan cyber dapat terjadi melalui bantuan karyawan saat ini atau mantan karyawan. 

Mempelajari Taktik Red Team

Umumnya simulasi red teaming diperlukan ketika infrastruktur perusahaan masih baru untuk mengetahui sejauh mana analisa risiko serangan cyber yang akan terjadi. Namun simulasi red teaming juga direkomendasikan bagi perusahaan dengan sistem keamanan yang sudah matang. 

Red teaming dapat mengungkap risiko serangan cyber yang terlewatkan pada pentest biasa. Penting bagi sumber daya perusahaan untuk memiliki kemampuan analisa risiko serangan cyber dengan cermat, sehingga dapat mengidentifikasi potensi kerentanan dan menilai risiko kedepannya. 

Simulasi red teaming memang sangat relevan dengan serangan cyber masa kini yang semakin kompleks. Ini karena proses serangan berbasis realistis, sehingga sangat membantu perusahaan untuk mengetahui kerentanan infrastruktur TI yang dimiliki.  Tertarik mencoba simulasi red teaming ini? Jangan lupa konsultasikan dengan Tim Widya Security!

Ditulis Oleh : Anggita Hajar A

Peluang Karir Penetration Tester di Tahun 2024

artikel tentang karir cyber security pentester

Penetration tester (pentester) juga dikenal sebagai ethical hackers adalah profesional di bidang cyber security yang memiliki kemampuan untuk menemukan kerentanan dan kelemahan infrastruktur jaringan TI. Tugas penetration tester mencakup mengevaluasi, mengidentifikasi, sekaligus memberikan solusi untuk mencegah serangan cyber. 

Saat ini penetration tester dibutuhkan perusahaan untuk mencegah serangan cyber yang semakin kompleks. Penetration tester membantu perusahaan untuk mengungkap dan mengidentifikasi kelemahan yang ada dalam sistem atau aplikasi jaringan TI, sekaligus memungkinkan perusahaan untuk memperbaiki bug sebelum dimanfaatkan pelaku serangan cyber. 

Cara Kerja Penetration Tester

Cara kerja penetration tester sebenarnya cukup rumit, sehingga diperlukan profesional di bidangnya untuk melakukan uji penetration. Hal ini membuat permintaan jasa profesional untuk uji penetration semakin meningkat. 

Penetration tester dapat bertindak sebagai penyerang mulai dari mencuri data rahasia, hingga mengganggu produktivitas bisnis dalam jaringan. Oleh karena itu, seorang penetration tester paling tidak harus menguasai pengetahuan dasar penetration testing seperti linux machines. 

Penetration tester juga bertugas untuk mempresentasikan temuan uji penetration kepada perusahaan klien. Nantinya laporan dapat dijadikan untuk mengurangi kerentanan keamanan pada sistem jaringan TI.

Berapa Gaji Penetration Tester?

Mengutip Indeed.com salah lowongan pekerjaan di Indonesia, rata-rata gaji seorang penetration tester mencapai 4 hingga 15 juta perbulan. Ini dapat tergantung dari bagaimana dan dimana seorang penetration tester bekerja. 

Selain karena dipengaruhi oleh faktor penawaran dan permintaan, gaji seorang penetration tester dapat ditentukan sejauh mana pengalaman, kemampuan, juga sertifikasi yang telah ditempuh. 

Bagaimana Peluang dan Pertumbuhan Karir Penetration Tester?

Sejalan dengan menjamurnya digitalisasi industri, penetration tester menjadi salah satu jasa yang mulai dibicarakan untuk menguji keamanan infrastruktur jaringan atau website perusahaan. Ini karena penetration testing tidak hanya digunakan untuk menguji keamanan, tetapi juga menjadi syarat bagi perusahaan untuk memenuhi regulasi yang ada. 

Per tahun 2024 misalnya, sudah banyak perusahaan yang menerapkan sistem Enterprise resource planning (ERP) dan Customer relationship management (CRM) untuk meningkatkan produktivitas bisnis. Dimana sistem ini sangat rentan terkena serangan cyber yang dapat merugikan perusahaan. 

Posisi penetration tester juga memberikan peluang pertumbuhan karir. Penetration tester yang memiliki jam kerja tinggi dan memenuhi syarat dapat ditempatkan untuk posisi lain seperti senior penetration tester, DevSecOps roles, Manajer keamanan TI, hingga Chief Information Security Officer (CISO). 

Apa Saja Skill yang Dibutuhkan Penetration Tester?

Beberapa skill dasar yang dibutuhkan penetration tester diantaranya seperti linux machines, networking, Cybersecurity fundamentals, Basic reading and editing of scripts such as Bash and Python, Active Directory, Web technologies, Firewalls, Antivirus. 

Melihat peluang dan pertumbuhan karir yang menjanjikan, spesifikasi gaji, juga kebutuhan industri terhadap ahli cyber security, berkarir sebagai penetration tester menjadi pilihan menjanjikan bukan? Yuk bergabung bersama Widya Security untuk mempelajari skill penetration tester yang dibutuhkan perusahaan!

Ditulis Oleh : Anggita Hajar A

Apa Itu DVWA Dalam Cyber Security?

artikel tentang pentest

DVWA atau Damn Vulnerable Web Apps adalah sebuah platform yang digunakan oleh cyber security profesional untuk melakukan pentest guna menguji kemampuan dalam mengamankan web app. Secara sederhana DVWA merupakan playground untuk pentesting.

DVWA dapat digunakan untuk mengetest berbagai exploit serangan cyber security seperti, Brute force, SQL injection, XSS dan CSRF, dsb.

Pada DVWA ini kita bisa mengatur tingkat keamanan mulai dari paling rendah low sampai tingkat keamanan yang paling tinggi yaitu impossible. DVWA ini mudah digunakan oleh seorang yang masih awam atau tertarik keamanan web app, dan sangat mudah dalam penginstalannya. Berikut cara menginstall DVWA.

Keuntungan utama dari DVWA dalam cyber security yaitu membantu pembelajaran mengenai cara menguji keamanan web apps di dalam lingkup yang mudah dan legal, untuk  bisa digunakan baik bagi guru maupun pelajar melakukan pembelajaran dalam kelas atau kursus cyber security. Berikut berbagai keuntungan lain dari DVWA

Tujuan Edukasi

Untuk memahami dan berlatih mengidentifikasi serta me mitigasi berbagai kerentanan aplikasi web. Menyediakan lingkungan yang aman untuk belajar tanpa resiko mempengaruhi aplikasi dunia nyata.

Simulasi Dunia Nyata

Dengan mensimulasikan kerentanan umum aplikasi web seperti SQL injection, cross-site scripting (XSS), dan lainnya, DVWA menawarkan lingkungan yang realistis bagi user untuk memahami bagaimana kerentanan tersebut dapat dimanfaatkan dalam skenario dunia nyata. Pengalaman praktis ini berharga untuk pelatihan keamanan cyber.

Pengembangan Keterampilan

Pengguna dapat mengembangkan dan meningkatkan keterampilan dalam pengujian penetrasi, ethical hacking, dan coding aman dengan secara aktif mengeksploitasi kerentanan yang ada di DVWA. Pengalaman langsung ini penting bagi mereka yang bertujuan meningkatkan keahlian mereka dalam keamanan aplikasi web.

Penguji Coba Alat Keamanan

Cyber security profesional dapat menggunakan DVWA untuk menguji dan mengevaluasi berbagai alat keamanan, seperti pemindai aplikasi web dan alat penilaian kerentanan. Ini memungkinkan mereka untuk menilai efektivitas alat-alat ini dalam mengidentifikasi dan mengatasi kerentanan.

Pengaturan dan Konfigurasi yang Dapat Disesuaikan

User memiliki fleksibilitas untuk menyesuaikan dan mengkonfigurasi DVWA berdasarkan tujuan pembelajaran mereka. User dapat mengatur tingkat keamanan, memilih berbagai jenis kerentanan untuk dieksploitasi, termasuk tingkat kesulitan keamanan dari yang paling rendah sampai yang paling tinggi. 

Sumber Terbuka dan Dukungan Komunitas

DVWA bersifat open source, sehingga mempunyai manfaat dari komunitas yang aktif. Pengguna dapat mengakses forum, diskusi, dan sumber daya terkait DVWA, memungkinkan mereka untuk berbagi pengetahuan, bertanya, dan berkolaborasi dengan orang lain yang tertarik pada keamanan aplikasi web.

Cara Menginstall DVWA 

  1. Download Damn Vulnerable Web App melalui github pada link ini : Download DVWA
  2. Untuk PHP developmentnya kalian bisa install XAAMP atau alternatif lainnya terserah kalian.
  3. Install dvwa dan setup account XAAMP.
  4. Tampilan DVWA seperti gambar di bawah ini :

  1. Selesai, kalian bisa mencoba berlatih menggunakan berbagai exploit yang tersedia seperti di kolom ditandai merah ada brute force, csrf, sql injection, xss, dll.

Kesimpulan

DVWA atau damn vulnerable web apps merupakan program yang sangat bagus dalam melakukan simulasi pentest, DVWA bisa digunakan oleh cyber security baik profesional maupun pemula yang ingin mencoba dan terjun kedalam dunia cyber security.

DVWA bersifat gratis dan open source, membuat barrier of entry ke dalam industri cyber security semakin mudah dan memiliki komunitas yg memudahkan saling bertukar informasi.

Meskipun DVWA merupakan alat berharga untuk tujuan pendidikan dan pelatihan, sangat penting untuk menggunakannya dengan bertanggung jawab dan dalam batasan etika. Pengguna harus memastikan bahwa mereka memiliki izin yang tepat untuk mendeploy dan menguji aplikasi yang sengaja memiliki kerentanan seperti ini.

Ditulis Oleh : Muhamad Nur Firman

Memahami Ancaman XSS: Si Penyerang Website

artikel tentang cyber attack xss

Dalam dunia keamanan siber yang terus berkembang, istilah yang sering muncul adalah XSS, atau Cross-Site Scripting. Serangan XSS menimbulkan ancaman serius terhadap aplikasi web, dengan potensi mengungkap informasi pengguna yang sensitif dan mengancam integritas situs web. Dalam artikel ini, kita akan menyelami lebih jauh mengenai serangan XSS, implikasinya, dan bagaimana Widya Security dapat membantu memperkuat pertahanan web Anda.

Cross-Site Scripting (XSS) adalah teknik berbahaya di mana penyerang menyuntikkan skrip berbahaya ke dalam halaman web yang dilihat oleh pengguna lain. Kerentanannya muncul ketika aplikasi web gagal memvalidasi atau menyaring input pengguna sebelum menampilkannya kepada orang lain. Memahami nuansa XSS penting bagi pengembang dan pemilik situs web untuk melindungi diri dari potensi ancaman.

Jenis Serangan XSS

Stored XSS (Persistent XSS)

Pada skenario ini, penyerang menyuntikkan skrip berbahaya ke dalam server, di mana skrip tersebut disimpan. Setiap kali pengguna mengakses halaman yang berisi skrip yang disuntikkan, skrip itu dieksekusi, berpotensi menyebabkan pencurian data atau tindakan tidak sah.

Reflected XSS (Non-Persistent XSS)

Skrip yang disuntikkan muncul hanya sekali, seringkali dalam parameter URL atau formulir. Ketika pengguna mengakses URL yang dimanipulasi atau mengirimkan formulir, skrip dieksekusi. Reflected XSS sering terkait dengan serangan phishing dan manipulasi URL.

DOM-based XSS

Serangan ini melibatkan manipulasi Document Object Model (DOM) di sisi klien. Dengan memanfaatkan kelemahan dalam cara halaman web memanipulasi DOM, penyerang dapat menjalankan skrip di sisi klien.

Serangan XSS dapat memiliki konsekuensi serius, mulai dari pencurian informasi sensitif, seperti cookie pengguna, hingga melakukan tindakan atas nama pengguna yang rentan. Potensi kerugian finansial, kerusakan reputasi, dan konsekuensi hukum membuat penting bagi bisnis untuk memberikan prioritas pada keamanan web.

Mengatasi Ancaman XSS Bersama Widya Security

Inilah tempat Widya Security hadir sebagai sekutu tepercaya Anda dalam melawan ancaman siber. Berfokus pada solusi keamanan siber komprehensif terutama keamanan web, Widya Security menawarkan bantuan penilaian kerentanan sistem, penetration testing, memberikan rekomendasi sistem keamanan, dan memantau keamanan sistem milikmu loh! Memahami serangan XSS adalah langkah pertama untuk melindungi aset web perusahaan anda. Widya Security juga dapat membantu perusahaan anda dalam memahami berbagai ilmu mengenai cyber security. Hubungi Widya Security untuk meningkatkan keamanan atau ke website kami untuk mencari kelas yang cocok untukmu ya!

Ditulis Oleh : Muhamad Nur Firman

Perang Cyber Palestina-Israel

artikel tentang serangan hacker pro palestina

7 Oktober 2023, perhatian seluruh dunia menuju Gaza, terutama Israel Defense Force disingkat IDF dikejutkan oleh serangan yang diluncurkan oleh garda militer Gaza Strip “Hamas“. Serangan operasi militer yang dinamai “Al Aqsa flood” ini merupakan balasan dari agresi kolonial penjajah Israel yang terus-terusan menyerang dan mengganggu ketenangan dan kesakralan Masjid Al-Aqsa di Palestina, yang merupakan situs terpenting ketiga dalam Agama Islam.

Hamas menerjang tembok-tembok check point yang dibangun di sekitaran Gaza, sekitar 300 tentara IDF meregang nyawa, merupakan serangan regional terbesar sejak perang Yom Kippur 50 tahun lalu.

Tiga bulan semenjak perang ini terjadi 11/01/2024, kurang lebih 25.000 jiwa meregang nyawa akibat bombardir balasan dari Israel, sekitar 17.000 korban mayoritas wanita dan anak-anak Palestina.

Saling serang perang Hamas-Israel tidak hanya terjadi di lapangan antar tentara dan tank-tank militer, tapi juga perang merambah ke arena cyber. Banyak serangan-serangan cyber dari pihak Israel dan pihak pro Palestina Hacker, saling serang menargetkan infrastruktru satu sama lain. 

Dipimpin oleh Killnet, hacker grup asal Rusia dan Anonymous Sudan yang mengklaim berhasil menargetkan website-website pemerintahan, infrastruktur pertahanan udara, dan sistem pertahanan ‘Iron dome’ Israel. 

Muncul juga grup baru yang menarik perhatian para pegiat cyber security, ‘Cyber Toufan’ menjadi terkenal dengan melancarkan serangan siber kompleks terhadap entitas penting Israel. Ada kemungkinan bahwa grup ini dibelakangi oleh negara Iran. 

“Kelompok tersebut telah menunjukkan kemampuan superior dibandingkan dengan kelompok peretas Hamas lainnya yang terkait dengan suporter Palestina. Aktivitas mereka, yang berfokus pada meretas server, basis data, dan pembocoran informasi, sangat menunjukkan dukungan dari suatu negara, dengan indikasi yang menunjuk kepada Iran sebagai pendukung yang mungkin,” demikian dicatat oleh International Institute for Counter-Terrorism (ICT), pada akhir November.

Perang cyber atau cyber warfare mengacu pada penggunaan teknik, alat, dan teknologi digital untuk melakukan tindakan agresif terhadap suatu negara, organisasi, atau individu. Ini melibatkan penggunaan kemampuan cyber untuk mencapai tujuan strategis, politik, atau militer.

Tidak mau kalah, ‘hacker’ (baca netizen) dari tanah air yang dijuluki Brigade ‘Hassan bin Tsabit’ turut meramaikan perang cyber, gerakan solidaritas bela Palestina melalui tagar social media ‘Julid Fisabilillah’. Koordinasi serangan cyber ini dimulai dari akun twitter @Greschinov yang bertanggung jawab mengkoordinasi tidak hanya netizen Indonesia namun juga netizen negeri Jiran Malaysia. Serangan ini termasuk kategori serangan Cyber bullying. 

Cyberbullying adalah bentuk pelecehan online yang ditandai oleh perilaku merugikan yang berulang dan disengaja terhadap individu. Cyber bullying sering melibatkan penggunaan platform digital seperti media sosial, aplikasi pesan, atau forum online untuk mengintimidasi, mengancam, atau merendahkan target. 

Cyberbullying dapat mengambil berbagai bentuk, termasuk menyebarkan informasi palsu, membagikan konten pribadi atau memalukan, atau terlibat dalam serangan online yang tak henti-hentinya. 

Dalam konteks cyber bullying ini, gerakan ‘Julid Fisabilillah’ menargetkan akun-akun media sosial tentara Israel ataupun warga negara barat/aktivis-aktivis pro Israel. Bertujuan untuk mengintimidasi melalui komen-komen yang negatif, trolling, mass reporting, dsb.

Kesimpulan

Dengan semakin maju tingkat teknologi dan dampaknya dalam lingkup bermasyarakat, kenegaraan, perang atau konflik militer secara geografis tidak hanya terjadi di medan perang konvensional, namun juga medan perang digital atau perang cyber.

Maka dari itu penyuluhan mengenai cyber security awareness menjadi semakin penting untuk meningkatkan kemampuan dan kesadaran masyarakat terhadap cyber security. Kami di Widya security menawarkan pelatihan baik bagi perusahaan, organisasi maupun individu. Cek disini terkait cyber security awareness yang kami tawarkan.

Ditulis Oleh : Muhamad Nur Firman