Vulnerability Assessment vs Penetration Testing

Back to IF4033 Keamanan Siber

Vulnerability Assessment vs Penetration Testing

Questions/Cues

• Apa definisi vulnerability assessment (VA) dan penetration testing (pentest)?
• Apa perbedaan utama VA dan pentest?
• Apa saja fase vulnerability management?
• Apa saja fase penetration testing?

Reference Points

• IF4033 Vulnerability Assessment (Slides 2-5)
• IF4033 Vulnerability Assessment (Slides 15-16)

Penyegaran Definisi

Vulnerability adalah kelemahan sistem keamanan; threat adalah keadaan yang berpotensi menimbulkan kerugian; attack adalah eksploitasi vulnerability oleh manusia; control adalah pelindung. Lihat Security Holistik, Vulnerability, Threat, Attack, dan Control.

Vulnerability Assessment

VA (kadang disebut vulnerability testing) adalah proses sistematis untuk mengidentifikasi, mengevaluasi, dan melaporkan kelemahan keamanan di seluruh lingkungan digital organisasi. Hasilnya berupa daftar kerentanan beserta tingkat keparahannya.

Penetration Testing

Pentest adalah pengujian yang mengevaluasi kekuatan seluruh security control: bukan hanya kontrol teknologi, tetapi juga kontrol prosedural dan operasional. Penguji benar-benar mencoba mengeksploitasi kelemahan untuk membuktikan dampaknya.

Aspek	Vulnerability Assessment	Penetration Testing
Tujuan	Menemukan sebanyak mungkin kelemahan	Membuktikan dapat tidaknya dieksploitasi dan dampaknya
Sifat	Luas, banyak otomatis	Dalam, lebih manual dan terarah
Eksploitasi	Umumnya tidak	Ya, sampai post-exploitation
Output	Daftar kerentanan terprioritas	Bukti kompromi dan rekomendasi

Fase Vulnerability Management

flowchart TD
    A["Asset inventory &<br/>vulnerability assessment"] --> B["Vulnerability<br/>prioritization"]
    B --> C["Vulnerability<br/>resolution"]
    C --> D["Verification &<br/>monitoring"]
    D --> E["Reporting &<br/>improvement"]
    E -.-> A

Fase Penetration Testing

1. Pre-engagement interaction: ruang lingkup dan aturan main.
2. Intelligence gathering: pengumpulan informasi target.
3. Threat modeling.
4. Vulnerability analysis.
5. Exploitation.
6. Post-exploitation.
7. Reporting.

Summary

Vulnerability assessment adalah proses sistematis mengidentifikasi, mengevaluasi, dan melaporkan kelemahan; penetration testing mengevaluasi kekuatan seluruh control (teknologi, prosedural, operasional) dengan benar-benar mengeksploitasinya. Vulnerability management berjalan siklik: inventaris aset dan assessment, prioritisasi, resolusi, verifikasi dan monitoring, pelaporan dan perbaikan. Pentest memiliki tujuh fase dari pre-engagement hingga reporting.

Additional Information

Red, Blue, dan Purple Team

Pentest adalah bagian kerja red team; blue team mempertahankan dan mendeteksi; purple team menggabungkan keduanya agar temuan langsung diterjemahkan menjadi perbaikan deteksi (lihat BAS pada Penilaian Severity - CVE, CWE, NVD, CVSS, dan Tools).

Proyek Eksplorasi Mandiri

1. Lakukan VA pada mesin lab (mis. Metasploitable atau DVWA) lalu bandingkan hasilnya dengan percobaan eksploitasi manual.

Bacaan Lanjutan

• PTES (Penetration Testing Execution Standard).
• NIST SP 800-115 Technical Guide to Information Security Testing and Assessment.