Cara Kami Menguji Keamanan
Setiap audit VULNEZ mengikuti metodologi internasional yang terverifikasi. Halaman ini menjelaskan kerangka kerja, standar pengujian, sistem penilaian risiko, dan alur kerja lengkap.
Kerangka NIST Cybersecurity Framework
Alur audit VULNEZ dibangun di atas 5 fungsi inti NIST CSF v2.0 — kerangka yang diakui global untuk mengelola risiko keamanan siber, diadopsi oleh BSSN sebagai acuan di Indonesia.
Identifikasi
Mengidentifikasi aset, data, dan sistem yang perlu dilindungi. Memahami konteks bisnis, regulasi, dan ancaman.
Implementasi di VULNEZ
- Onboarding & pendataan aset digital (domain, IP, infrastruktur)
- Penentuan ruang lingkup audit (scope) bersama klien
- Otorisasi tertulis sesuai UU ITE Pasal 30 (wajib sebelum pengujian)
- Klasifikasi data pribadi sesuai UU PDP No. 27/2022
Lindungi
Mengembangkan dan menerapkan kontrol keamanan yang tepat untuk melindungi layanan kritis.
Implementasi di VULNEZ
- Audit konfigurasi keamanan (SSL/TLS, headers, CORS, WAF)
- Audit autentikasi & otorisasi (JWT, session, brute-force resistance)
- Audit infrastruktur ISP (BGP/RPKI, CGNAT, PPPoE, GPON)
- Penilaian kontrol akses dan manajemen hak istimewa
Deteksi
Mengembangkan dan menerapkan kegiatan yang tepat untuk mengidentifikasi terjadinya insiden keamanan.
Implementasi di VULNEZ
- Pemindaian kerentanan otomatis dengan 50 modul
- Threat intelligence & OSINT gathering
- Deteksi anomali trafik & konten ilegal (judol)
- Pemantauan reputasi IP/ASN dan blacklist monitoring
Tanggap
Mengembangkan dan menerapkan kegiatan yang tepat untuk mengambil tindakan atas insiden yang terdeteksi.
Implementasi di VULNEZ
- Normalisasi temuan dengan scoring CVSS v3.1
- Filter false-positive otomatis (rekonsiliasi skor vs severity)
- Pemetaan temuan ke regulasi (UU PDP, PP 71, SNI 27001, NIST)
- Laporan bilingual (ID/EN) dengan langkah perbaikan copy-paste
Pulihkan
Mengembangkan dan menerapkan kegiatan untuk memelihara rencana ketahanan dan memulihkan layanan.
Implementasi di VULNEZ
- Retest untuk verifikasi perbaikan (before/after comparison)
- Pemantauan berkelanjutan (continuous monitoring)
- Pelaporan kepatuhan berkala untuk auditor
- Security posture scoring & maturity assessment
Metodologi Pengujian yang Diadopsi
Lima standar internasional yang menjadi acuan setiap pengujian keamanan di platform VULNEZ.
Penetration Testing Execution Standard
Standar 7 fase untuk penetration testing profesional: pre-engagement interactions, intelligence gathering, threat modeling, vulnerability analysis, exploitation, post-exploitation, dan reporting.
Dipakai di Bagian Mana
Seluruh alur pengujian keamanan VULNEZ mengikuti 7 fase PTES. Setiap scan melewati fase discovery, analisis kerentanan, eksploitasi (bila diizinkan), dan pelaporan terstruktur.
Technical Guide to Information Security Testing and Assessment
Panduan teknis NIST untuk pengujian keamanan informasi: perencanaan, penemuan (discovery), serangan (attack simulation), dan pelaporan.
Dipakai di Bagian Mana
Fase planning (scope & authorization), discovery (port scanning, service enumeration), dan attack simulation (vulnerability exploitation) mengikuti alur NIST 800-115.
Web Security Testing Guide
Panduan komprehensif untuk pengujian keamanan aplikasi web. Mencakup 11 kategori pengujian: information gathering, configuration, identity management, authentication, authorization, session, input validation, error handling, cryptography, business logic, dan client-side.
Dipakai di Bagian Mana
Modul web audit (web_audit, sqli, xss_injection, jwt_auth, cors, api_audit) mengikuti kategori OWASP WSTG. Temuan dipetakan ke OWASP Top 10.
Open Source Security Testing Methodology Manual
Metodologi pengujian keamanan berbasis pengukuran (metrics-driven). Menekankan verifikasi kontrol keamanan yang terukur, bukan sekadar menemukan kerentanan.
Dipakai di Bagian Mana
Prinsip pengukuran OSSTMM diterapkan dalam scoring CVSS v3.1, security maturity assessment, dan compliance scorecard yang menghasilkan metrik keamanan terukur.
Adversarial Tactics, Techniques, and Common Knowledge
Knowledge base taktik dan teknik adversary berdasarkan observasi dunia nyata. Digunakan untuk threat modeling, red teaming, dan SOC monitoring.
Dipakai di Bagian Mana
Modul threat intelligence, red team, dan SOC/CND memetakan temuan ke taktik MITRE ATT&CK (Initial Access, Execution, Persistence, Privilege Escalation, dll.) untuk konteks ancaman.
Sistem Penilaian Risiko
Setiap temuan di-scoring menggunakan CVSS v3.1 (Common Vulnerability Scoring System). Bila tersedia, diperkaya dengan EPSS (Exploit Prediction Scoring System) dan status KEV (CISA Known Exploited Vulnerabilities).
Kerentanan kritis yang dapat dieksploitasi langsung tanpa autentikasi. Perbaiki segera (<24 jam).
Kerentanan serius yang memerlukan kondisi tertentu untuk dieksploitasi. Perbaiki dalam 1 minggu.
Kerentanan menengah, perlu pijakan atau interaksi pengguna. Perbaiki dalam siklus pemeliharaan.
Risiko terbatas. Perbaiki untuk kebersihan keamanan dan kepatuhan.
Bersifat informatif. Tidak ada eksploitasi langsung.
Rekonsiliasi Skor vs Severity
VULNEZ menerapkan prinsip "skor menang atas label": jika modul scan memberikan skor CVSS numerik, severity selalu diturunkan ulang dari skor tersebut (bukan dari label module). Ini mencegah inflasi severity yang umum terjadi pada scanner komersial. Jika skor CVSS = 0, severity default dipakai (Critical=9.5, High=7.5, Medium=5.0, Low=2.5).
Metode Pengujian
Tiga pendekatan pengujian — dipilih sesuai konteks dan kebutuhan klien.
Black Box
Pengujian tanpa pengetahuan internal — mensimulasikan perspektif penyerang eksternal. Cocok untuk initial assessment dan uji ketahanan perimeter.
Grey Box
Pengujian dengan sebagian akses (kredensial level rendah, dokumentasi API). Cakupan lebih dalam dibanding black box tanpa butuh akses penuh.
White Box
Pengujian dengan akses penuh ke kode sumber, konfigurasi, dan arsitektur. Temuan paling komprehensif karena bisa memeriksa logika internal.
Alur Kerja A-Z
Dari onboarding hingga pemantauan berkelanjutan — 9 langkah transparan.
Onboarding & Registrasi
Organisasi mendaftar, menentukan informasi dasar, dan memilih paket layanan.
Tentukan Target & Ruang Lingkup
Definisikan domain, IP, atau infrastruktur yang akan diaudit. Pilih modul yang sesuai.
Otorisasi Tertulis (UU ITE)
Tandatangani NDA dan surat otorisasi pengujian sesuai UU ITE Pasal 30 — wajib sebelum eksekusi.
Eksekusi Audit
Sistem menjalankan modul audit sesuai metodologi (PTES/OWASP). Progress real-time via dashboard.
Normalisasi & Filter False-Positive
Temuan dinormalisasi dengan CVSS v3.1. Rekonsiliasi skor vs severity. Filter hasil yang tidak valid.
Pemetaan Regulasi
Setiap temuan dipetakan ke regulasi terkait (UU PDP, PP 71, SNI 27001, NIST CSF, OWASP).
Laporan & Rekomendasi
Laporan bilingual (ID/EN) dengan ringkasan eksekutif, evidence, langkah perbaikan detail, dan prioritas risiko.
Perbaikan & Retest
Tim Anda memperbaiki temuan. Jalankan ulang audit untuk verifikasi — perbandingan before/after otomatis.
Pemantauan Berkelanjutan
Jadwalkan audit berkala. Pantau postur keamanan dari waktu ke waktu. Pelaporan kepatuhan untuk auditor.
Yakin dengan Metodologi Kami?
Mulai audit keamanan Anda dengan metodologi yang terstandar dan transparan.
Disclaimer: Halaman ini menjelaskan metodologi yang diadopsi VULNEZ sebagai alat bantu audit keamanan. VULNEZ bukan pengganti audit keamanan komprehensif oleh tim ahli tersertifikasi. Untuk kebutuhan audit formal dan sertifikasi, konsultasikan dengan auditor berlisensi.