Materi
Uji penetrasi adalah metodologi uji yang penguji, di bawah batasan yang disepakati, mencoba membobol fitur keamanan sebuah aplikasi, sistem, atau jaringan untuk membuktikan kerentanan bisa dimanfaatkan. NIST SP 800-115 menempatkannya sebagai salah satu teknik dalam asesmen keamanan yang lebih luas, bersama pemeriksaan (examination, meninjau dokumen dan konfigurasi) dan wawancara. Uji penetrasi tergolong pengujian AKTIF: ia berinteraksi langsung dengan sasaran, berbeda dari teknik pasif yang hanya mengamati.
Ada dua sumbu sudut uji. Pertama, keterbukaan: uji overt (white hat) dilakukan dengan sepengetahuan staf TI, sedangkan uji covert (black hat) tanpa sepengetahuan mereka tetapi tetap dengan izin manajemen — gunanya menguji respons tim, bukan semata mencari kerentanan. Kedua, pengetahuan awal penguji atas sasaran: kotak hitam (tanpa pengetahuan struktur internal), kotak putih (pengetahuan penuh, termasuk kode sumber), dan kotak kelabu (sebagian pengetahuan). WSTG menyebut uji penetrasi aplikasi sebagai bentuk pengujian kotak hitam, dan menambahkan bahwa menggabungkannya dengan tinjauan kode sumber (kotak putih) menemukan lebih banyak masalah.
| Sudut | Artinya |
|---|---|
| Kotak hitam | Penguji tidak diberi pengetahuan struktur internal; melihat sistem seperti orang luar |
| Kotak putih | Penguji diberi pengetahuan penuh, termasuk kode sumber dan konfigurasi |
| Kotak kelabu | Penguji diberi sebagian pengetahuan, mis. satu akun pengguna biasa |
