Research Article Forbis: Journal Forensic Business Information Systems Published online on: https://journal.
id/index.
php/forbis 1 .
Januari 2024
ANALISIS PERBANDINGAN METODE PTES DAN ISSAF
SEBAGAI UJI KEAMANAN ROUTER DI ZURICH HOTEL
BALIKPAPAN
Putra Prasetyo1*.
Djumhadi2.
Wahyu Nur Alimyaningtias3
1,2,3
Teknologi Informasi.
Fakultas Ilmu Komputer.
Universitas Mulia email: 1 putraprasetyo@students.
id, 2 djumhadi@universitasmulia.
nur@universitasmulia.
Correspondence ARTICLE INFO Article History Received : 27 November 2023 Revised : 21 Januari 2024 Accepted : 22 Januari 2024 Available online : 22 Januari 2024 Keywords:
PTES
ISSAF
Router
Please cite this article in Ie style
ABSTRACK
This research aims to determine the differences between the PTES and ISSAF methods as a router security test.
This research is located at Zurich Hotel Balikpapan, where the router used for internet facilities is a core router that connects all devices, both internet users and servers belonging to Zurich Hotel.
The conclusion in this study is that there are several differences, namely the PTES method focuses more on the target of attacks while ISSAF still requires other users as victims.
The PTES method is also more flexible in its use while ISSAF has been determined for the assessment.
Because the PTES method is more flexible the attack used also depends on the vulnerabilities found, while ISSAF has a more complete guide.
ABSTRAK
Penelitian ini bertujuan untuk mengetahui perbedaan metode PTES dan ISSAF sebagai uji keamanan router.
Pada penelitian ini berlokasi di Zurich Hotel Balikpapan yang dimana router yang digunakan pada fasilitas internet merupakan core router yang menghubungkan semua perangkat baik pengguna internet dan server milik Zurich Hotel.
Kesimpulan pada penelitian ini yaitu terdapat beberapa perbedaan yaitu metode PTES lebih fokus terhadap target serangan sedangkan ISSAF masih diperlukannya pengguna lain sebagai korban.
Metode PTES juga lebih fleksibel dalam penggunaannya sedangkan ISSAF sudah ditentukan untuk Dikarenakan metode PTES lebih fleksibel digunakan oleh karena itu serangan yang digunakan juga tergantung dengan kerentanan yang ditemukan sedangkan ISSAF terdapat panduan yang lebih lengkap.
Pendahuluan Menurut informasi .
setiap tahun pengguna internet semakin bertambah.
Pada tahun 2020 terdapat 176 pengguna, 2021 terdapat 203 pengguna dan 2022 terdapat 205 juta yang menggunakan internet.
Melihat kebutuhan internet yang semakin diperlukan, beberapa tempat umum juga menyediakan fasilitas untuk terhubung ke jaringan internet.
Research Article Forbis: Journal Forensic Business Information Systems Published online on: https://journal.
id/index.
php/forbis 1 .
Januari 2024 dilakukan menyebutkan bahwa metode ini sangat berpengaruh terhadap langkah dan hasil dari pengujian sistem.
Pada penelitian ini menggunakan metode PTES (Penetration Testing Execution Standar.
karena metode ini telah banyak digunakan untuk uji keamanan pada suatu sistem dan menggunakan metode ISSAF (Information Systems Security Assessment Framewor.
karena metode ini memiliki langkah-langkah yang spesifik terhadap target, yaitu router security assessment.
Oleh karena itu kedua metode ini yang digunakan, sehingga peneliti tertarik untuk meneliti dengan judul AuAnalisis Perbandingan Metode PTES (Penetration Testing Execution Standar.
dan Metode ISSAF (Information Systems Security Assessment Framewor.
Sebagai Uji Keamanan Router di Zurich Hotel BalikpapanAy.
Metode Penelitian PTES Terdapat 7 langkah dalam menggunakan metode PTES .
Ae.
Salah satunya di Zurich Hotel Balikpapan yang menyediakan fasilitas untuk pengunjung agar dapat terhubung ke jaringan internet.
Zurich Hotel Balikpapan bergerak dibidang industri pariwisata yang menyediakan pelayanan penginapan secara komersial.
Tentunya banyak pengunjung yang menggunakan fasilitas ini untuk terhubung ke internet.
Namun untuk mengelola fasilitas wifi tentu perlu diperhatikan juga keamanan jaringannya.
Dikarenakan pengguna fasilitas ini bukan hanya dari pihak internal hotel Zurich saja maka akan bertambah juga peluang serangan yang terjadi pada jaringan.
Berdasarkan wawancara dengan IT Support, sejauh ini divisi yang bertugas menangani fasilitas internet di Zurich Hotel Balikpapan belum pernah melakukan uji keamanan pada fasilitas wifi dan belum memiliki work instructions terkait dengan keamanan jaringan yang dimana berfungsi sebagai petunjuk untuk melakukan uji keamanan perangkat jaringan, sehingga untuk keamanan jaringan hanya sebatas perkiraan saja.
Kondisi seperti ini yang membuat keamanan pada jaringan kurang Pada jaringan komputer terdapat perangkat yaitu router yang berfungsi sebagai gateway untuk menyediakan layanan pengguna fasilitas wifi agar dapat terhubung ke jarinsgan internet.
Dikarenakan fungsi dan perannya, router menjadi perangkat yang penting di jaringan komputer.
Hal ini menyebabkan router berpotensi menjadi target serangan.
Oleh karena itu penelitian ini akan melakukan uji penetrasi pada router.
, .
Dikarenakan pihak hotel Zurich belum memiliki work instruction, maka dengan menggunakan metode uji penetrasi pihak hotel zurich memiliki acuan dan panduan untuk melakukan uji penetrasi pada router.
Namun untuk mendapatkan hasil yang maksimal maka metode yang digunakan untuk uji penetrasi harus sesuai dengan kebutuhan pihak Sehingga pemilihan metode juga penting dilakukan, karena setiap metode yang digunakan memiliki tahapan dan hasil yang Beberapa penelitian yang telah Gambar 1.
Metode PTES Pre-Engagement Pada tahap ini juga menentukan kesepakatan tentang ruang lingkup, skenario pengujian, jenis pengujian dan waktu penetration testing kepada pihak internal hotel Zurich.
Research Article Forbis: Journal Forensic Business Information Systems Published online on: https://journal.
id/index.
php/forbis Intelligence Gathering Melakukan pengumpulan informasi berupa status port, sistem operasi router yang digunakan, alamat router dan Threat Modelling Langkah ini melakukan penentuan jenis berdasarkan informasi dari tahap Vulnerability Analysis Pada tahap ini melakukan pencarian untuk menemukan kelemahan lebih spesifik menggunakan tools open source.
Exploitation Pada langkah ini dilakukan penyerangan atau eksploitasi pada target yang memanfaatkan kerentanan celah yang Post Exploitation Tujuan tahap ini untuk mempertahakan akses yang telah diperoleh dan infrastruktur sistem.
Reporting Pada langkah ini membuat laporan terkait dengan hasil serangan dan memberikan solusi untuk bagaimana 1 .
Januari 2024 Pada tahap ini terdapat perjanjian atau kesepakatan sehingga ada perlindungan hukum bagi kedua belah pihak dan kesepakatan untuk waktu, tanggal dan ketentuan lainnya.
Assessment Jika merujuk pada dokumen ISSAF 0.
terdapat perbedaan tahapan assessment dengan objek lainnya.
Berikut merupakan penilaian yang ada pada router assessment:
A Router Identification Router identification merupakan proses untuk melakukan pencarian informasi seperti hostname, scanning port dan versi OS.
A Common Issues Assessment Common issues yang digunakan pada penelitian ini adalah HTTP.
NTP.
SNMP.
TFTP.
Password Security dan ARP Attack.
A Denial of Service Assessment Di tahap ini pengujian melakukan denial of service yang dimana traffic terhadap router dibanjiri sehingga menyebabkan router kehabisan resource.
A Global Countermeasures Pada tahap ini melakukan pencarian solusi untuk mencegah kerentanan yang dapat menjadi ancaman.
Reporting Pada tahap ini melakukan laporan terkait apa saja yang telah dilakukan pada saat proses penetration testing dan kerentanan apa yang ISSAF Menurut .
Ae.
terdapat tiga langkah untuk menggunakan metode ISSAF yaitu planning and preparation, assessment dan reporting.
Kebutuhan Sistem Kebutuhan sistem merupakan penunjang terlaksananya penelitian ini, adapun kebutuhan tersebut ditampilkan pada tabel 1.
Tabel 1.
Kebutuhan Sistem Nama Gambar 2.
Metode ISSAF Planning and Preparation Keterangan Kali Linux OS yang digunakan untuk Nmap Software untuk port scanning Hping3 Software untuk serangan DoS Research Article Forbis: Journal Forensic Business Information Systems Published online on: https://journal.
id/index.
php/forbis Hydra Software untuk serangan Snmpwalk Software untuk serangan enumerasi pada protokol SNMP Ntpdate Software untuk sinkronisasi waktu dengan NTP target Dsniff Software untuk serangan ARP Wireshark Software untuk melihat paket saat serangan berlangsung 1 .
Januari 2024 Adapun topologi ditampilkan pada Gambar 4.
Desain Topologi Gambar diatas merupakan posisi attacker yang akan melakukan penetrasi terhadap router.
Attacker diposisikan sama dengan pengguna fasilitas wifi lainnya.
Alur Penelitian Alur penelitian merupakan suatu penuntun agar tahap-tahap untuk mencapai kesimpulan berjalan sesuai dengan track dan hasil yang tidak berubah-ubah, adapun alur penelitian sebagai berikut:
1 PTES
Pre-Engagement Pengujian dilakukan dalam sehari pada pukul 09:00 sampai dengan pukul 17:00.
Semua jines serangan diperbolehkan termasuk stress Gambar 5.
Vektor Serangan Gambar diatas merupakan arah serangan ke perangkat router dari titik serangan yang dimana posisi attacker terhubung melalui jaringan wireless seperti pengguna lainnya.
Dapat dilihat titik serangan dimulai dari attacker yang diposisikan sama dengan pengguna lainnya.
Inteliegence Ghathering Didapatkan informasi target menggunakan sistem operasi RouterOS dengan versi 6.
jaringan di area lobby adalah 255.
atau /24 yang berarti IP gateway adalah 1/24 yang merupakan IP dari Sedangkan di area room informasi yang Gambar 3.
Alur Penelitian Hasil dan Pembahasan Dalam proses pengujian serangan untuk menguji metode PTES dan ISSAF, disini menggunakan rancangan topologi sebagai Research Article Forbis: Journal Forensic Business Information Systems Published online on: https://journal.
id/index.
php/forbis 1 .
Januari 2024 didapatkan terkait dengan jaringan yang digunakan adalah 130.
0/15.
0/15.
Adapun detail hasil exploitation ditunjukkan pada tabel 3.
Tabel 2.
Detail Port Tabel 3.
Exploitation PTES
Port
State
Service Jenis Serangan Status
Open
FTP
Port Scanning Berhasil Open
SSH
Brute Force Gagal
Open
Telnet
DoS
Berhasil Open
Domain
Open
HTTP
Open Cisco Open Unkown Open Domain Open | Filtered DHCPS Open | Filtered DHCPC Open | Filtered NTP Reporting Terdapat kerentanan yang dimana dari titik serangan service untuk autentikasi dapat diakses oleh seluruh pengguna internet di Zurich Hotel, hal ini dapat menyebabkan router dapat diambil alih oleh pengguna yang tidak bertanggung jawab.
Untuk pengujian DoS dapat membuat target down sehingga router tidak dapat beroperasi.
2 ISSAF
Planning and Preparation Kedua belah pihak menyetujui aturanaturan penetration testing.
Berikut merupakan aturan penetration testing:
Pada tabel diatas merupakan hasil scanning protokol TCP dan UDP dari kedua jaringan.
Threat Modelling - Waktu di Zurich hotel Balikpapan pukul 08:00 sampai dengan 17:00 di Zurich Hotel Balikpapan.
- Target serangan merupakan core router penghubung semua jaringan di Zurich Hotel Balikpapan.
- Pengujian stress testing atau jenis serangan DoS diperbolehkan.
- Peneliti mengunggah dan mengunduh file pada - Peneliti dilarang merubah konfigurasi pada target baik itu dengan autentikasi atau tanpa autentikasi.
- Peneliti tidak bertanggung jawab jika disebabkan oleh peneliti pada saat penetration testing.
Assessment - Router Identification Didapat informasi jaringan yang digunakan pada lobby area adalah Dari hasil tahapan sebelumnya yaitu inteliegence gathering yaitu mendapatkan informasi berupa status port dari target serangan perangkat router.
Serangan yang digunakan adalah bruteforce terhadap service ssh dan telnet sampai dengan DoS Attack.
Vulnerability Analysis Pada tahap ini melakukan analisis kerentanan pada target menggunakan Nmap.
Hasil vulnerability scanning dari titik serangan di kedua jaringan yaitu 192.
0/24 dan 0/15 target memliki kerentanan pada protokol HTTP port 80 dengan jenis serangan Denial of Service Attack dengan CVE-20111002.
Exploitation Hasil akhir jenis serangan yang digunakan pada saat penetration testing dari kedua titik serangan yaitu jaringan 192.
0/24 dan Research Article Forbis: Journal Forensic Business Information Systems Published online on: https://journal.
id/index.
php/forbis 1 .
Januari 2024 0/24 dengan IP target 1/24.
Perangkat router yang digunakan adalah mikrotik dengan RouterOS versi 6.
Hostname dari target adalah ITzurich.
Sedangkan pada room area didapatkan informasi jaringan yang digunakan 0/15 dan IP target 1/15.
Tabel 4 Router Identification Port Status Gambar 6.
CPU Load
HTTP
Open
- Global Counter Measures NTP
Open | Filtered SNMP
TFTP
Telnet
Open
SSH
Open Tabel 6.
Global Counter Measures Vulnerablity Mitigation Telnet Telnet tidak didukung dengan enkripsi, sehingga paket yang lewat dapat dilihat secara plain text.
Terdapat service lain untuk akses ke perangkat router yang lebih baik yaitu menggunakan service SSH atau yang mendukung enrkripsi.
ARP Attack Perangkat router target menggunakan MikroTik yang dimana terdapat fitur ARP Watch yang dapat digunakan secara - Common Issues Assessment Tabel 4.
3 Common Issues Assessment Tabel 5.
Common Issues Assessment
Assessment
Hasil
HTTP
Gagal
NTP
Gagal Password Security Telnet (Berhasi.
SSH (Gaga.
ARP Attack Berhasil Reporting Pada pengujian menggunakan metode ISSAF (Information Systems Security Assessmen Framewor.
router security assessment, terdapat beberapa assessment yang berhasil dan gagal.
- DoS Assessment Jenis serangan denial of service attack dapat membuat down target, sehingga IT Support Zurich Hotel tidak dapat mengakses perangkat router.
Hal ini juga dapat mempengaruhi performa perangkat lainnya yang terhubung dengan target router dikarenakan router tidak dapat melayani akibat overload yang disebabkan lalu lintas jaringan yang tinggi mengarah ke Tabel 7.
Reporting Assessment
Hasil Serangan HTTP
Gagal
NTP
Gagal Research Article Forbis: Journal Forensic Business Information Systems Published online on: https://journal.
id/index.
php/forbis Password Security Telnet (Berhasi.
SSH (Gaga.
ARP Attack Berhasil DoS Berhasil .
Kesimpulan Kedua metode sama-sama efektif karena sesuai dengan apa yang direncanakan.
Namun untuk efesiensi, metode PTES (Penetration Testing Execution Standar.
lebih efisien.
Hal ini dikarenakan metode PTES (Penetration Testing Execution Standar.
lebih fleksibel, sehingga jenis serangan yang digunakan dapat lebih banyak sesuai dengan jenis kerentanan yang ditemukan.
Namun untuk menggunakan metode PTES (Penetration Testing Execution .
Referensi