Pengujian Keamanan: Dasar-dasar Pengujian Penetrasi

Di dunia yang saling terhubung saat ini, keamanan siber adalah hal terpenting bagi organisasi dari semua skala, terlepas dari lokasi geografis mereka. Pelanggaran data dapat menyebabkan kerugian finansial yang signifikan, kerusakan reputasi, dan tanggung jawab hukum. Pengujian penetrasi (sering disebut sebagai pentesting atau peretasan etis) adalah praktik keamanan penting yang membantu organisasi secara proaktif mengidentifikasi dan mengatasi kerentanan sebelum pelaku jahat dapat mengeksploitasinya. Panduan ini memberikan pemahaman mendasar tentang pengujian penetrasi, yang mencakup konsep inti, metodologi, alat, dan praktik terbaik untuk audiens global.

Apa itu Pengujian Penetrasi?

Pengujian penetrasi adalah serangan siber yang disimulasikan terhadap sistem komputer, jaringan, atau aplikasi web, yang dilakukan untuk mengidentifikasi kelemahan keamanan yang dapat dieksploitasi oleh penyerang. Berbeda dengan penilaian kerentanan, yang terutama berfokus pada identifikasi potensi kerentanan, pengujian penetrasi melangkah lebih jauh dengan secara aktif mencoba mengeksploitasi kerentanan tersebut untuk menilai dampak di dunia nyata. Ini adalah pendekatan praktis dan langsung terhadap penilaian keamanan.

Anggap saja seperti menyewa tim peretas etis untuk mencoba membobol sistem Anda, tetapi dengan izin Anda dan dalam kondisi yang terkendali. Tujuannya adalah untuk mengungkap kelemahan keamanan dan memberikan rekomendasi yang dapat ditindaklanjuti untuk perbaikan.

Mengapa Pengujian Penetrasi Penting?

Mengidentifikasi Kerentanan: Pentesting membantu mengungkap kelemahan keamanan yang mungkin terlewat oleh alat pemindai otomatis atau praktik keamanan standar.
Menilai Risiko Dunia Nyata: Ini menunjukkan dampak aktual dari kerentanan dengan mensimulasikan skenario serangan dunia nyata.
Meningkatkan Postur Keamanan: Ini memberikan rekomendasi yang dapat ditindaklanjuti untuk memperbaiki kerentanan dan memperkuat pertahanan keamanan.
Memenuhi Persyaratan Kepatuhan: Banyak kerangka kerja peraturan dan standar industri, seperti PCI DSS, GDPR, HIPAA, dan ISO 27001, memerlukan pengujian penetrasi secara berkala.
Meningkatkan Kesadaran Keamanan: Ini membantu meningkatkan kesadaran di kalangan karyawan tentang risiko keamanan dan praktik terbaik.
Melindungi Reputasi: Dengan secara proaktif mengidentifikasi dan mengatasi kerentanan, organisasi dapat mencegah pelanggaran data dan melindungi reputasi mereka.

Jenis-jenis Pengujian Penetrasi

Pengujian penetrasi dapat dikategorikan berdasarkan ruang lingkup, target, dan tingkat informasi yang diberikan kepada penguji.

1. Pengujian Kotak Hitam (Black Box)

Dalam pengujian kotak hitam, penguji tidak memiliki pengetahuan sebelumnya tentang sistem atau jaringan target. Mereka harus mengandalkan informasi yang tersedia untuk umum dan teknik pengintaian untuk mengumpulkan informasi tentang target dan mengidentifikasi potensi kerentanan. Pendekatan ini mensimulasikan skenario serangan dunia nyata di mana penyerang tidak memiliki pengetahuan orang dalam.

Contoh: Seorang penguji penetrasi disewa untuk menilai keamanan aplikasi web tanpa diberikan kode sumber, kredensial, atau diagram jaringan. Penguji harus memulai dari awal dan menggunakan berbagai teknik untuk mengidentifikasi kerentanan.

2. Pengujian Kotak Putih (White Box)

Dalam pengujian kotak putih, penguji memiliki pengetahuan penuh tentang sistem target, termasuk kode sumber, diagram jaringan, dan kredensial. Pendekatan ini memungkinkan penilaian keamanan sistem yang lebih komprehensif dan mendalam. Pengujian kotak putih sering digunakan untuk mengidentifikasi kerentanan yang mungkin sulit dideteksi menggunakan teknik kotak hitam.

Contoh: Seorang penguji penetrasi diberikan kode sumber aplikasi web dan diminta untuk mengidentifikasi potensi kerentanan, seperti kelemahan injeksi SQL atau kerentanan cross-site scripting (XSS).

3. Pengujian Kotak Abu-abu (Gray Box)

Pengujian kotak abu-abu adalah pendekatan hibrida yang menggabungkan elemen pengujian kotak hitam dan kotak putih. Penguji memiliki beberapa pengetahuan tentang sistem target, seperti diagram jaringan atau kredensial pengguna, tetapi tidak memiliki akses penuh ke kode sumber. Pendekatan ini memungkinkan penilaian keamanan sistem yang lebih terfokus dan efisien.

Contoh: Seorang penguji penetrasi diberikan kredensial pengguna untuk aplikasi web dan diminta untuk mengidentifikasi kerentanan yang dapat dieksploitasi oleh pengguna yang terotentikasi.

4. Jenis Pengujian Penetrasi Lainnya

Selain kategori di atas, pengujian penetrasi juga dapat diklasifikasikan berdasarkan sistem target:

Pengujian Penetrasi Jaringan: Berfokus pada penilaian keamanan infrastruktur jaringan, termasuk firewall, router, switch, dan server.
Pengujian Penetrasi Aplikasi Web: Berfokus pada penilaian keamanan aplikasi web, termasuk mengidentifikasi kerentanan seperti injeksi SQL, XSS, dan CSRF.
Pengujian Penetrasi Aplikasi Seluler: Berfokus pada penilaian keamanan aplikasi seluler, termasuk mengidentifikasi kerentanan seperti penyimpanan data yang tidak aman, otentikasi yang tidak memadai, dan komunikasi yang tidak aman.
Pengujian Penetrasi Nirkabel: Berfokus pada penilaian keamanan jaringan nirkabel, termasuk mengidentifikasi kerentanan seperti enkripsi yang lemah, titik akses liar, dan serangan man-in-the-middle.
Pengujian Penetrasi Cloud: Berfokus pada penilaian keamanan lingkungan cloud, termasuk mengidentifikasi kerentanan yang terkait dengan kesalahan konfigurasi, API yang tidak aman, dan pelanggaran data.
Pengujian Rekayasa Sosial: Berfokus pada penilaian kerentanan karyawan terhadap serangan rekayasa sosial, seperti phishing dan pretexting.
Pengujian Penetrasi IoT (Internet of Things): Berfokus pada penilaian keamanan perangkat IoT dan infrastruktur terkaitnya.

Metodologi Pengujian Penetrasi

Beberapa metodologi yang sudah mapan menyediakan pendekatan terstruktur untuk pengujian penetrasi. Berikut adalah beberapa yang paling umum digunakan:

1. Standar Eksekusi Pengujian Penetrasi (PTES)

PTES adalah kerangka kerja komprehensif yang menyediakan panduan terperinci untuk melakukan penugasan pengujian penetrasi. Ini mencakup semua tahap proses pengujian penetrasi, mulai dari interaksi pra-penugasan hingga pelaporan dan kegiatan pasca-pengujian. Metodologi PTES terdiri dari tujuh fase utama:

Interaksi Pra-penugasan: Mendefinisikan ruang lingkup, tujuan, dan aturan keterlibatan untuk pengujian penetrasi.
Pengumpulan Intelijen: Mengumpulkan informasi tentang sistem target, termasuk infrastruktur jaringan, aplikasi web, dan karyawan.
Pemodelan Ancaman: Mengidentifikasi potensi ancaman dan kerentanan berdasarkan intelijen yang dikumpulkan.
Analisis Kerentanan: Mengidentifikasi dan memverifikasi kerentanan menggunakan alat pemindai otomatis dan teknik manual.
Eksploitasi: Mencoba mengeksploitasi kerentanan yang teridentifikasi untuk mendapatkan akses ke sistem target.
Pasca Eksploitasi: Mempertahankan akses ke sistem target dan mengumpulkan informasi lebih lanjut.
Pelaporan: Mendokumentasikan temuan pengujian penetrasi dan memberikan rekomendasi untuk perbaikan.

2. Manual Metodologi Pengujian Keamanan Sumber Terbuka (OSSTMM)

OSSTMM adalah metodologi lain yang banyak digunakan yang menyediakan kerangka kerja komprehensif untuk pengujian keamanan. Ini berfokus pada berbagai aspek keamanan, termasuk keamanan informasi, keamanan proses, keamanan Internet, keamanan komunikasi, keamanan nirkabel, dan keamanan fisik. OSSTMM dikenal karena pendekatannya yang ketat dan terperinci terhadap pengujian keamanan.

3. Kerangka Kerja Keamanan Siber NIST

Kerangka Kerja Keamanan Siber NIST adalah kerangka kerja yang diakui secara luas yang dikembangkan oleh National Institute of Standards and Technology (NIST) di Amerika Serikat. Meskipun bukan metodologi pengujian penetrasi yang ketat, ini menyediakan kerangka kerja yang berharga untuk mengelola risiko keamanan siber dan dapat digunakan untuk memandu upaya pengujian penetrasi. Kerangka Kerja Keamanan Siber NIST terdiri dari lima fungsi inti:

Identifikasi: Mengembangkan pemahaman tentang risiko keamanan siber organisasi.
Lindungi: Menerapkan pengamanan untuk melindungi aset dan data penting.
Deteksi: Menerapkan mekanisme untuk mendeteksi insiden keamanan siber.
Respons: Mengembangkan dan menerapkan rencana untuk menanggapi insiden keamanan siber.
Pulih: Mengembangkan dan menerapkan rencana untuk pulih dari insiden keamanan siber.

4. Panduan Pengujian OWASP (Open Web Application Security Project)

Panduan Pengujian OWASP adalah sumber daya komprehensif untuk menguji keamanan aplikasi web. Ini memberikan panduan terperinci tentang berbagai teknik dan alat pengujian, yang mencakup topik-topik seperti otentikasi, otorisasi, manajemen sesi, validasi input, dan penanganan kesalahan. Panduan Pengujian OWASP sangat berguna untuk pengujian penetrasi aplikasi web.

5. CREST (Council of Registered Ethical Security Testers)

CREST adalah badan akreditasi internasional untuk organisasi yang menyediakan layanan pengujian penetrasi. CREST menyediakan kerangka kerja untuk perilaku etis dan profesional bagi penguji penetrasi dan memastikan bahwa anggotanya memenuhi standar kompetensi dan kualitas yang ketat. Menggunakan penyedia yang terakreditasi CREST dapat memberikan jaminan bahwa pengujian penetrasi akan dilakukan dengan standar yang tinggi.

Alat Pengujian Penetrasi

Banyak alat tersedia untuk membantu penguji penetrasi dalam mengidentifikasi dan mengeksploitasi kerentanan. Alat-alat ini secara luas dapat dikategorikan menjadi:

Pemindai Kerentanan: Alat otomatis yang memindai sistem dan jaringan untuk kerentanan yang diketahui (misalnya, Nessus, OpenVAS, Qualys).
Pemindai Aplikasi Web: Alat otomatis yang memindai aplikasi web untuk kerentanan (misalnya, Burp Suite, OWASP ZAP, Acunetix).
Pengendus Jaringan: Alat yang menangkap dan menganalisis lalu lintas jaringan (misalnya, Wireshark, tcpdump).
Kerangka Kerja Eksploitasi: Alat yang menyediakan kerangka kerja untuk mengembangkan dan mengeksekusi eksploit (misalnya, Metasploit, Core Impact).
Alat Peretas Kata Sandi: Alat yang mencoba meretas kata sandi (misalnya, John the Ripper, Hashcat).
Toolkit Rekayasa Sosial: Alat yang membantu dalam melakukan serangan rekayasa sosial (misalnya, SET).

Penting untuk dicatat bahwa penggunaan alat-alat ini memerlukan keahlian dan pertimbangan etis. Penggunaan yang tidak benar dapat menyebabkan konsekuensi yang tidak diinginkan atau tanggung jawab hukum.

Proses Pengujian Penetrasi: Panduan Langkah-demi-Langkah

Meskipun langkah-langkah spesifik dapat bervariasi tergantung pada metodologi yang dipilih dan ruang lingkup penugasan, proses pengujian penetrasi yang khas umumnya melibatkan tahap-tahap berikut:

1. Perencanaan dan Penentuan Ruang Lingkup

Fase awal melibatkan pendefinisian ruang lingkup, tujuan, dan aturan keterlibatan untuk pengujian penetrasi. Ini termasuk mengidentifikasi sistem target, jenis pengujian yang akan dilakukan, dan batasan atau kendala yang harus dipertimbangkan. Yang terpenting, otorisasi *tertulis* dari klien sangat penting sebelum memulai pengujian apa pun. Ini secara hukum melindungi para penguji dan memastikan klien memahami dan menyetujui aktivitas yang dilakukan.

Contoh: Sebuah perusahaan ingin menilai keamanan situs web e-commerce-nya. Ruang lingkup pengujian penetrasi terbatas pada situs web dan server basis data terkaitnya. Aturan keterlibatan menetapkan bahwa penguji tidak diizinkan untuk melakukan serangan denial-of-service atau mencoba mengakses data pelanggan yang sensitif.

2. Pengumpulan Informasi (Pengintaian)

Fase ini melibatkan pengumpulan informasi sebanyak mungkin tentang sistem target. Ini dapat mencakup identifikasi infrastruktur jaringan, aplikasi web, sistem operasi, versi perangkat lunak, dan akun pengguna. Pengumpulan informasi dapat dilakukan dengan menggunakan berbagai teknik, seperti:

Intelijen Sumber Terbuka (OSINT): Mengumpulkan informasi dari sumber yang tersedia untuk umum, seperti mesin pencari, media sosial, dan situs web perusahaan.
Pemindaian Jaringan: Menggunakan alat seperti Nmap untuk mengidentifikasi port terbuka, layanan yang berjalan, dan sistem operasi.
Penjelajahan Aplikasi Web: Menggunakan alat seperti Burp Suite atau OWASP ZAP untuk merayapi aplikasi web dan mengidentifikasi halaman, formulir, dan parameter.

Contoh: Menggunakan Shodan untuk mengidentifikasi webcam yang dapat diakses publik yang terkait dengan perusahaan target atau menggunakan LinkedIn untuk mengidentifikasi karyawan dan peran mereka.

3. Pemindaian dan Analisis Kerentanan

Fase ini melibatkan penggunaan alat pemindai otomatis dan teknik manual untuk mengidentifikasi potensi kerentanan dalam sistem target. Pemindai kerentanan dapat mengidentifikasi kerentanan yang diketahui berdasarkan basis data tanda tangan. Teknik manual melibatkan analisis konfigurasi, kode, dan perilaku sistem untuk mengidentifikasi potensi kelemahan.

Contoh: Menjalankan Nessus terhadap segmen jaringan untuk mengidentifikasi server dengan perangkat lunak usang atau firewall yang salah konfigurasi. Meninjau secara manual kode sumber aplikasi web untuk mengidentifikasi potensi kerentanan injeksi SQL.

4. Eksploitasi

Fase ini melibatkan upaya untuk mengeksploitasi kerentanan yang teridentifikasi untuk mendapatkan akses ke sistem target. Eksploitasi dapat dilakukan dengan menggunakan berbagai teknik, seperti:

Pengembangan Eksploit: Mengembangkan eksploit kustom untuk kerentanan tertentu.
Menggunakan Eksploit yang Ada: Menggunakan eksploit yang sudah jadi dari basis data eksploit atau kerangka kerja seperti Metasploit.
Rekayasa Sosial: Menipu karyawan agar memberikan informasi sensitif atau memberikan akses ke sistem.

Contoh: Menggunakan Metasploit untuk mengeksploitasi kerentanan yang diketahui dalam perangkat lunak server web untuk mendapatkan eksekusi kode jarak jauh. Mengirim email phishing ke seorang karyawan untuk menipu mereka agar mengungkapkan kata sandi mereka.

5. Pasca-Eksploitasi

Setelah akses diperoleh ke sistem target, fase ini melibatkan pengumpulan informasi lebih lanjut, mempertahankan akses, dan berpotensi meningkatkan hak istimewa. Ini dapat mencakup:

Peningkatan Hak Istimewa: Mencoba untuk mendapatkan hak istimewa tingkat yang lebih tinggi pada sistem, seperti akses root atau administrator.
Eksfiltrasi Data: Menyalin data sensitif dari sistem.
Memasang Backdoor: Memasang mekanisme akses persisten untuk mempertahankan akses ke sistem di masa depan.
Pivoting: Menggunakan sistem yang disusupi sebagai landasan untuk menyerang sistem lain di jaringan.

Contoh: Menggunakan eksploit peningkatan hak istimewa untuk mendapatkan akses root pada server yang disusupi. Menyalin data pelanggan dari server basis data. Memasang backdoor di server web untuk mempertahankan akses bahkan setelah kerentanan ditambal.

6. Pelaporan

Fase terakhir melibatkan pendokumentasian temuan pengujian penetrasi dan memberikan rekomendasi untuk perbaikan. Laporan harus mencakup deskripsi terperinci tentang kerentanan yang diidentifikasi, langkah-langkah yang diambil untuk mengeksploitasinya, dan dampak dari kerentanan tersebut. Laporan juga harus memberikan rekomendasi yang dapat ditindaklanjuti untuk memperbaiki kerentanan dan meningkatkan postur keamanan organisasi secara keseluruhan. Laporan harus disesuaikan dengan audiens, dengan detail teknis untuk pengembang dan ringkasan manajemen untuk eksekutif. Pertimbangkan untuk menyertakan skor risiko (misalnya, menggunakan CVSS) untuk memprioritaskan upaya perbaikan.

Contoh: Sebuah laporan pengujian penetrasi mengidentifikasi kerentanan injeksi SQL di aplikasi web yang memungkinkan penyerang mengakses data pelanggan yang sensitif. Laporan tersebut merekomendasikan untuk menambal aplikasi web untuk mencegah serangan injeksi SQL dan menerapkan validasi input untuk mencegah data berbahaya dimasukkan ke dalam basis data.

7. Remediasi dan Pengujian Ulang

Langkah terakhir yang penting (dan sering diabaikan) ini melibatkan organisasi dalam mengatasi kerentanan yang teridentifikasi. Setelah kerentanan ditambal atau dimitigasi, pengujian ulang harus dilakukan oleh tim pengujian penetrasi untuk memverifikasi efektivitas upaya perbaikan. Hal ini memastikan bahwa kerentanan telah ditangani dengan benar dan sistem tidak lagi rentan terhadap serangan.

Pertimbangan Etis dan Isu Hukum

Pengujian penetrasi melibatkan akses dan potensi merusak sistem komputer. Oleh karena itu, sangat penting untuk mematuhi pedoman etis dan persyaratan hukum. Pertimbangan utama meliputi:

Mendapatkan Otorisasi Eksplisit: Selalu dapatkan otorisasi tertulis dari organisasi sebelum melakukan aktivitas pengujian penetrasi. Otorisasi ini harus secara jelas mendefinisikan ruang lingkup, tujuan, dan batasan pengujian.
Kerahasiaan: Perlakukan semua informasi yang diperoleh selama pengujian penetrasi sebagai rahasia dan jangan mengungkapkannya kepada pihak yang tidak berwenang.
Perlindungan Data: Patuhi semua undang-undang perlindungan data yang berlaku, seperti GDPR, saat menangani data sensitif selama pengujian penetrasi.
Menghindari Kerusakan: Ambil tindakan pencegahan untuk menghindari kerusakan pada sistem target selama pengujian penetrasi. Ini termasuk menghindari serangan denial-of-service dan berhati-hati agar tidak merusak data.
Transparansi: Bersikap transparan dengan organisasi tentang temuan pengujian penetrasi dan berikan mereka rekomendasi yang dapat ditindaklanjuti untuk perbaikan.
Hukum Lokal: Sadari dan patuhi hukum yurisdiksi di mana pengujian dilakukan, karena undang-undang siber sangat bervariasi secara global. Beberapa negara memiliki peraturan yang lebih ketat daripada yang lain mengenai pengujian keamanan.

Keterampilan dan Sertifikasi untuk Penguji Penetrasi

Untuk menjadi penguji penetrasi yang sukses, Anda memerlukan kombinasi keterampilan teknis, kemampuan analitis, dan kesadaran etis. Keterampilan esensial meliputi:

Dasar-dasar Jaringan: Pemahaman yang kuat tentang protokol jaringan, TCP/IP, dan konsep keamanan jaringan.
Pengetahuan Sistem Operasi: Pengetahuan mendalam tentang berbagai sistem operasi, seperti Windows, Linux, dan macOS.
Keamanan Aplikasi Web: Pemahaman tentang kerentanan aplikasi web umum, seperti injeksi SQL, XSS, dan CSRF.
Keterampilan Pemrograman: Kemahiran dalam bahasa skrip, seperti Python, dan bahasa pemrograman, seperti Java atau C++.
Alat Keamanan: Keakraban dengan berbagai alat keamanan, seperti pemindai kerentanan, pemindai aplikasi web, dan kerangka kerja eksploitasi.
Keterampilan Memecahkan Masalah: Kemampuan untuk berpikir kritis, menganalisis masalah, dan mengembangkan solusi kreatif.
Keterampilan Komunikasi: Kemampuan untuk mengkomunikasikan informasi teknis secara jelas dan ringkas, baik secara lisan maupun tulisan.

Sertifikasi yang relevan dapat menunjukkan keterampilan dan pengetahuan Anda kepada calon pemberi kerja atau klien. Beberapa sertifikasi populer untuk penguji penetrasi meliputi:

Certified Ethical Hacker (CEH): Sertifikasi yang diakui secara luas yang mencakup berbagai topik peretasan etis.
Offensive Security Certified Professional (OSCP): Sertifikasi yang menantang dan praktis yang berfokus pada keterampilan pengujian penetrasi.
Certified Information Systems Security Professional (CISSP): Sertifikasi yang diakui secara global yang mencakup berbagai topik keamanan informasi. Meskipun bukan sertifikasi pentesting murni, ini menunjukkan pemahaman keamanan yang lebih luas.
Sertifikasi CREST: Berbagai sertifikasi yang ditawarkan oleh CREST, yang mencakup berbagai aspek pengujian penetrasi.

Masa Depan Pengujian Penetrasi

Bidang pengujian penetrasi terus berkembang untuk mengimbangi teknologi yang muncul dan ancaman yang berkembang. Beberapa tren utama yang membentuk masa depan pengujian penetrasi meliputi:

Otomatisasi: Peningkatan penggunaan otomatisasi untuk menyederhanakan proses pengujian penetrasi dan meningkatkan efisiensi. Namun, otomatisasi не akan menggantikan kebutuhan akan penguji manusia yang terampil yang dapat berpikir kreatif dan beradaptasi dengan situasi baru.
Keamanan Cloud: Tumbuhnya permintaan akan layanan pengujian penetrasi yang berfokus pada lingkungan cloud. Lingkungan cloud menghadirkan tantangan keamanan unik yang memerlukan keahlian khusus.
Keamanan IoT: Peningkatan fokus pada keamanan perangkat IoT dan infrastruktur terkaitnya. Perangkat IoT seringkali rentan terhadap serangan dan dapat digunakan untuk membobol jaringan dan mencuri data.
AI dan Pembelajaran Mesin: Menggunakan AI dan pembelajaran mesin untuk meningkatkan kemampuan pengujian penetrasi. AI dapat digunakan untuk mengotomatiskan penemuan kerentanan, memprioritaskan upaya perbaikan, dan meningkatkan akurasi hasil pengujian penetrasi.
DevSecOps: Mengintegrasikan pengujian keamanan ke dalam siklus hidup pengembangan perangkat lunak. DevSecOps mempromosikan kolaborasi antara tim pengembangan, keamanan, dan operasi untuk membangun perangkat lunak yang lebih aman.
Peningkatan Regulasi: Diharapkan akan ada peraturan privasi data dan keamanan siber yang lebih ketat secara global, yang akan mendorong permintaan pengujian penetrasi sebagai persyaratan kepatuhan.

Kesimpulan

Pengujian penetrasi adalah praktik keamanan yang esensial untuk organisasi di seluruh dunia. Dengan secara proaktif mengidentifikasi dan mengatasi kerentanan, organisasi dapat melindungi data, reputasi, dan keuntungan mereka. Panduan ini telah memberikan pemahaman mendasar tentang pengujian penetrasi, mencakup konsep inti, metodologi, alat, dan praktik terbaik. Seiring lanskap ancaman yang terus berkembang, sangat penting bagi organisasi untuk berinvestasi dalam pengujian penetrasi dan tetap menjadi yang terdepan. Ingatlah untuk selalu memprioritaskan pertimbangan etis dan persyaratan hukum saat melakukan aktivitas pengujian penetrasi.