Penggunaan OWASP 4 Sebagai Standar Pengujian Kerentanan Keamanan Aplikasi Berbasis Web

Pendahuluan

OWASP (Open Web Application Security Project) merupakan organisasi nirlaba di Amerika Serikat yang resmi secara daring pada bulan Desember 2001. OWASP adalah komunitas terbuka yang didedikasikan untuk memungkinkan organisasi memahami, mengembangkan, memperoleh, mengoperasikan, dan memelihara aplikasi yang dapat dipercaya dari aspek keamanan.

Semua dokumen, perkakas, literatur, forum dan informasi lain yang berhubungan dengan keamanan dari OWASP bersifat terbuka dan dapat diakses secara bebas dan digunakan untuk semua pihak yang ingin melihat dunia internet aman dari semua ancaman keamanan informasi.

OWASP tidak berafiliasi dengan produk komersil apapun sebagai bentuk konsistensi mereka supaya dapat oyektif dalam memberikan rancangan/model keamanan sehingga dapat diadopsi secara luas dan musltisektor sehingga OWASP mempunyai prinsip Gratis & terbuka, Mematuhi kode etik (lihat etika), Tidak untuk keuntungan, Tidak didorong oleh kepentingan komersial, Pendekatan berbasis risiko.

Di Indonesia penggunaan standar OWASP sudah luas, berbagai Lembaga pemerintahan dan swasta menggunakannya sebagai dasar pengujian web. Laboratorium pengujian keamanan di Pustekkom Kemdikbud menggunakan metode ini sebagai salah satu rujukannya.

B. Ruang Lingkup OWASP

Sesuai tujuan awal dari OWASP berfokus pada aspek keamanan aplikasi, sampai saat ini OWASP sudah sampai pada versi 4 dengan rincian sebagai berikut :

1. Introduction and Objectives

Berisi ruang lingkup pengujian, skenario pengujian, batas pengujian dan teknik/perkakas yang dipakai

2. Information Gathering

   Mengumpulan informasi target yang akan diuji misal mencari informasi sebanyak mungkin sebuah website                   melalui mesin pencari atau melalui pendekatan secara aktif dengan perangkat yang dirancang untuk memetakan      informasi dari sebuah website

3. Configuration and Deployment Management Testing

Menguji infrastruktur jaringan yang digunakan oleh sistem, konfigurasi sistem yang digunakan, Review informasi sensitif yang sudah dilakukan pada saat melakukan bekup, Menguji File Permission

4. Identity Management Testing

Menguji kerentanan akun yang digunakan, menguji proses perubahan akun yang digunakan, Menguji kelemahan akun yang digunakan

5. Authentication Testing

Pengujian enkripsi akun, akun default, skema bypass akun, fungsi pengingat akun, kebijakan akun yang lemah, fungsi reset akun, alternatif kanal otentifikasi lain

6. Authorization Testing

Pengujian direktori traversal, skema otoritas bypass

7. Session Management Testing

Pengujian skema manajemen session, cookies, CSRF (Cross Site Request Forgery), fungsi logout, time out session

8. Input Validation Testing

Pengujian CSS, Tampering HTTP, SQL injection, Database testing, SSL Injection

9. Error Handling

Analisa eror kode

10. Cryptography

Pengujian penggunaan SSL dan enkripsi

11. Business Logic Testing

Pengujian logika validasi data, Pengujian upload file yang tidak direkomendasikan, Pengujian file yang merusak sistem

12. Client Side Testing

Pengujian URL redirect, CSS injection, Clickjacking

C. Perkakas Pendukung Pengujian

  Dalam melakukan pengujian selain metode yang digunakan maka diperlukan perkakas pendukung yang beredar di pasaran, mulai dari aplikasi dalam bentuk satuan atau dalam bentuk sistem yang utuh. Perkakas yang disediakan juga ada yang bersifat berbayar atau lisensi, Berikut ini beberapa distro yang bersifat bebas untuk digunakan dalam membantu pengujian keamanan :

1. Cyborg Hawk
2. Weakerth4n
3. Blackbuntu
4. GnackTrack
5. Pentoo
6. NodeZero
7. Network Security Toolkit (NST)
8. Samurai Web Security Framework
9. Live Hacking OS
10. DEFT