Kesamaan dan Perbedaan antara Pentesting dan Bug Hunting

Arreza MP September 13, 2024 0 Komentar

Kesamaan dan Perbedaan antara Pentesting dan Bug Hunting

1. Kesamaan

Tujuan Keamanan: Baik pentesting maupun bug hunting bertujuan untuk menemukan celah keamanan (vulnerability) di sebuah sistem.
Teknik yang Digunakan: Teknik yang digunakan dalam pentesting dan bug hunting hampir serupa, seperti scanning, exploit development, dan penggunaan alat otomatisasi untuk mencari kelemahan.
Pemahaman Teknologi: Kedua kegiatan ini membutuhkan pemahaman mendalam tentang teknologi, sistem jaringan, aplikasi, serta protokol keamanan.

2. Perbedaan

Scope:
Pentesting: Biasanya dilakukan berdasarkan kontrak dengan cakupan dan aturan yang jelas dari klien. Pentesting mencakup periode waktu tertentu dengan area spesifik yang harus diuji (in-scope dan out-of-scope).
Bug Hunting: Secara umum lebih fleksibel. Bug hunters mencari bug di berbagai platform berdasarkan program bug bounty yang disediakan oleh perusahaan, seringkali dengan cakupan yang lebih luas.
Pendekatan:
Pentesting: Dilakukan oleh tim atau individu yang direkrut langsung oleh perusahaan. Pendekatannya sistematis dan menyeluruh sesuai dengan standar yang telah ditentukan.
Bug Hunting: Lebih individual dan ad-hoc. Para bug hunters biasanya bekerja secara mandiri melalui platform bug bounty yang ada.
Proses Pelaporan:
Pentesting: Hasilnya dilaporkan secara formal kepada perusahaan dalam bentuk laporan resmi.
Bug Hunting: Laporan diajukan melalui platform bug bounty, dan penilaian validitas bug dilakukan oleh tim keamanan perusahaan atau platform.
NDA (Non-Disclosure Agreement):
Pentesting: Selalu terikat oleh NDA. Informasi mengenai hasil pentest tidak boleh disebarluaskan tanpa persetujuan perusahaan.
Bug Hunting: Biasanya tidak ada NDA kecuali ditentukan oleh program atau platform, namun bug yang ditemukan biasanya tidak boleh dipublikasikan sampai diperbaiki oleh perusahaan.

Kelebihan dan Kekurangan

Kelebihan Pentesting

Struktur dan Pendekatan Sistematis: Pentesting terstruktur dengan metode yang lebih komprehensif dan disesuaikan dengan kebutuhan perusahaan.
Tanggung Jawab Jelas: Ada kontrak kerja yang jelas, dengan tanggung jawab spesifik yang sudah ditetapkan.

Kekurangan Pentesting

Waktu yang Terbatas: Pentesting umumnya dilakukan dalam jangka waktu yang telah ditentukan, sehingga ada risiko tidak menemukan semua celah keamanan.
Biaya: Pentesting biasanya lebih mahal dibandingkan bug hunting karena dilakukan oleh profesional yang ditunjuk perusahaan.

Kelebihan Bug Hunting

Partisipasi yang Luas: Banyak bug hunters yang terlibat, yang berarti celah keamanan bisa ditemukan lebih cepat dari berbagai perspektif.
Lebih Hemat Biaya: Biaya yang dikeluarkan perusahaan hanya untuk bug valid yang ditemukan.

Kekurangan Bug Hunting

Tidak Terstruktur: Bug hunters bisa lebih fokus pada hasil cepat tanpa pendekatan sistematis.
Validasi Bug yang Tidak Konsisten: Karena tidak ada standar yang seragam, bug yang dilaporkan bisa bervariasi dari segi relevansi dan kualitas.

Pendekatan yang Digunakan

Pendekatan Pentesting:
Biasanya menggunakan metode standar seperti OWASP, NIST, dan lain-lain, dengan beberapa tahapan seperti reconnaissance, scanning, exploitation, post-exploitation, dan reporting.
Pendekatan Bug Hunting:
Mengandalkan kecepatan dan kreativitas individu untuk menemukan kelemahan di luar pendekatan sistematis yang biasa.

Platform dan Program

Platform Bug Bounty:
HackerOne, Bugcrowd, Synack: Platform ini memungkinkan bug hunters berpartisipasi dalam program bug bounty dari berbagai perusahaan di seluruh dunia.
Program Pentesting:
Dilakukan secara khusus melalui perusahaan yang menyediakan layanan pentesting atau tim internal perusahaan yang menangani keamanan.

NDA, Sanksi, Out of Scope, dan In Scope

NDA (Non-Disclosure Agreement):
Pentesting: Mutlak diperlukan. Semua informasi yang ditemukan selama pentest harus dirahasiakan.
Bug Hunting: Tidak selalu ada, namun seringkali bug yang dilaporkan tidak boleh disebarkan sebelum diperbaiki.
Sanksi:
Pentesting: Jika melanggar NDA atau aturan kontrak, pentester bisa menghadapi sanksi hukum.
Bug Hunting: Jika bug hunter melanggar aturan program (misalnya, mencoba mencari bug di luar scope atau mempublikasikan bug sebelum diperbaiki), mereka bisa dilarang dari program atau platform.
Out of Scope:
Pentesting dan Bug Hunting: Out of scope mencakup area yang tidak diizinkan untuk diuji. Dalam bug hunting, ini sering kali termasuk data sensitif, dan sistem non-produktif. Melanggar area out of scope dapat mengakibatkan pelanggaran hukum.
In Scope:
Pentesting dan Bug Hunting: Area in-scope adalah target yang diizinkan untuk diuji, baik itu jaringan, aplikasi, atau komponen spesifik yang telah disetujui oleh perusahaan.

Hal yang Bisa dan Tidak Bisa Dibagikan ke Publik

Pentesting:
Tidak Bisa Dibagikan: Hasil uji pentest harus tetap rahasia sesuai dengan NDA dan kontrak.
Bisa Dibagikan: Kadang-kadang, bagian dari temuan dapat dibagikan dalam bentuk publikasi setelah melalui persetujuan dari pihak perusahaan.
Bug Hunting:
Tidak Bisa Dibagikan: Bug yang belum diperbaiki tidak boleh dipublikasikan.
Bisa Dibagikan: Setelah bug diperbaiki, bug hunter biasanya dapat mempublikasikan temuan mereka dengan persetujuan perusahaan.

Kesimpulan

Pentesting dan bug hunting, meskipun memiliki tujuan yang sama, memiliki perbedaan signifikan dari segi pendekatan, cakupan, dan aturan main. Pentesting lebih terstruktur dan terikat dengan kontrak, sementara bug hunting lebih fleksibel dengan partisipasi yang lebih luas namun tidak terstruktur. Pemahaman mengenai NDA, scope, serta aturan pelaporan sangat penting untuk memastikan bahwa kegiatan ini dilakukan secara etis dan sesuai dengan aturan yang ditetapkan.