Jaringan internal perusahaan sering dianggap aman karena berada di balik firewall dan sistem keamanan perimeter. Padahal, ketika penyerang berhasil mendapatkan akses awal melalui akun karyawan, perangkat yang terinfeksi malware, atau koneksi jarak jauh yang tidak terlindungi, jaringan internal dapat menjadi jalur untuk menyerang server, mencuri data, dan mengakses sistem bisnis yang kritis.
Risiko tersebut membuat perusahaan perlu mengevaluasi keamanan infrastruktur dari sudut pandang penyerang yang sudah berada di dalam jaringan. Salah satu pendekatan yang dapat digunakan adalah Internal Infrastructure Pentest, yaitu pengujian keamanan untuk mengidentifikasi dan memvalidasi kelemahan pada jaringan internal, server, sistem identitas, serta komponen infrastruktur lainnya.
Pengujian ini membantu organisasi memahami apakah segmentasi jaringan, kontrol akses, konfigurasi server, dan mekanisme autentikasi sudah cukup kuat untuk membatasi pergerakan penyerang. Hasilnya dapat menjadi dasar untuk memperbaiki kelemahan teknis dan meningkatkan ketahanan keamanan siber perusahaan.
Apa Itu Internal Infrastructure Pentest?
Internal Infrastructure Pentest adalah proses penetration testing yang berfokus pada infrastruktur TI internal untuk mengetahui bagaimana kelemahan keamanan dapat dimanfaatkan setelah akses ke jaringan internal tersedia.
Cakupannya dapat meliputi server Windows dan Linux, Active Directory, layanan autentikasi, perangkat jaringan, database, serta sistem internal yang mendukung operasional perusahaan. Pengujian juga dapat mencakup segmentasi jaringan dan kontrol akses antarsegmen.
Berbeda dengan external penetration testing yang menguji aset dari perspektif internet, internal pentest menggunakan skenario akses dari dalam jaringan atau lingkungan pengujian yang merepresentasikan posisi tersebut.
Tujuannya bukan sekadar menemukan port terbuka atau perangkat lunak usang. Pengujian juga menilai bagaimana beberapa kelemahan dapat saling berkaitan dan meningkatkan risiko terhadap data maupun layanan bisnis.
Seluruh aktivitas harus dilakukan dengan izin tertulis, ruang lingkup yang jelas, dan batasan pengujian yang disepakati bersama pemilik sistem.
Mengapa Internal Infrastructure Pentest Penting?
Serangan siber tidak selalu berhenti pada perangkat pertama yang berhasil disusupi. Dalam banyak skenario, penyerang berusaha meningkatkan hak akses, memperoleh kredensial tambahan, dan menjangkau aset lain yang memiliki nilai lebih tinggi.
Internal Infrastructure Pentest membantu perusahaan memahami risiko tersebut melalui beberapa aspek utama.
1. Mengidentifikasi Celah Keamanan Jaringan Internal
Jaringan internal dapat memiliki kelemahan berupa layanan yang tidak diperlukan, konfigurasi firewall yang terlalu permisif, perangkat yang tidak diperbarui, atau protokol lama yang masih aktif.
Pemeriksaan membantu mengidentifikasi kondisi tersebut dan menentukan apakah kelemahannya dapat membuka jalur serangan yang signifikan.
2. Mengevaluasi Keamanan Active Directory
Pada organisasi yang menggunakan lingkungan Windows, Active Directory sering menjadi komponen penting untuk pengelolaan identitas, autentikasi, dan hak akses.
Konfigurasi yang kurang tepat, akun dengan hak istimewa berlebihan, atau kebijakan kata sandi yang lemah dapat meningkatkan risiko pengambilalihan akun. Pengujian dapat membantu menemukan jalur eskalasi hak akses dan kelemahan konfigurasi identitas yang perlu diperbaiki.
3. Menguji Segmentasi Jaringan
Segmentasi jaringan bertujuan membatasi komunikasi antara kelompok perangkat atau sistem yang berbeda. Misalnya, jaringan pengguna seharusnya tidak selalu memiliki akses langsung ke server database atau sistem administrasi.
Pengujian internal dapat menilai apakah aturan segmentasi benar-benar membatasi akses sesuai kebijakan. Hal ini penting untuk mengurangi kemungkinan pergerakan lateral ketika sebuah endpoint berhasil disusupi.
4. Menilai Risiko pada Server dan Layanan Internal
Server aplikasi, file server, database, dan sistem manajemen infrastruktur sering menyimpan informasi penting atau menyediakan layanan utama perusahaan.
Internal pentest membantu mengidentifikasi kelemahan pada sistem operasi, konfigurasi layanan, autentikasi, serta hak akses yang dapat meningkatkan risiko gangguan operasional atau kebocoran data.
5. Memvalidasi Efektivitas Kontrol Keamanan
Firewall, endpoint detection and response (EDR), sistem pemantauan, dan kebijakan akses tidak cukup dinilai hanya dari status pemasangannya.
Pengujian terkontrol dapat membantu mengetahui apakah kontrol tersebut bekerja sesuai tujuan, apakah aktivitas yang mencurigakan terdeteksi, dan apakah tim keamanan menerima informasi yang diperlukan untuk merespons insiden.
Apa Saja yang Diuji dalam Internal Infrastructure Pentest?
Ruang lingkup pengujian sebaiknya disesuaikan dengan arsitektur, tingkat risiko, dan kebutuhan bisnis perusahaan. Area yang umum diperiksa meliputi hal-hal berikut.
1. Network Discovery dan Service Enumeration
Tahap ini memetakan perangkat yang termasuk dalam ruang lingkup, layanan yang berjalan, serta jalur komunikasi antarsegmen.
Tujuannya adalah memahami permukaan serangan internal dan menemukan layanan yang berpotensi menimbulkan risiko. Inventarisasi ini juga membantu memastikan aset penting tidak terlewat selama pengujian.
2. Vulnerability Assessment pada Server
Penguji memeriksa versi sistem operasi, pembaruan keamanan, konfigurasi layanan, dan kerentanan yang relevan pada server Windows maupun Linux.
Temuan dari pemindaian otomatis perlu divalidasi agar laporan tidak dipenuhi false positive. Tingkat risiko ditentukan berdasarkan kondisi aktual, kemungkinan eksploitasi, dan dampaknya terhadap organisasi.
3. Active Directory dan Identity Security
Pemeriksaan dapat mencakup kebijakan akun, keanggotaan grup istimewa, konfigurasi autentikasi, delegasi hak akses, dan hubungan kepercayaan yang relevan.
Tujuannya adalah mengidentifikasi kondisi yang dapat memungkinkan penyalahgunaan identitas atau perluasan hak akses secara tidak semestinya.
4. Privilege Escalation
Privilege escalation terjadi ketika pengguna atau proses memperoleh hak akses yang lebih tinggi daripada yang semestinya dimiliki.
Pengujian dapat mengevaluasi apakah konfigurasi sistem, izin layanan, atau pengelolaan akun memungkinkan peningkatan hak akses. Validasi dilakukan secara terkontrol dan dibatasi pada aset yang telah disetujui.
5. Lateral Movement dan Network Segmentation
Penguji menilai apakah akses pada satu sistem dapat digunakan untuk menjangkau sistem lain tanpa otorisasi yang memadai.
Fokusnya adalah memvalidasi efektivitas pembatasan akses, segmentasi jaringan, dan pengelolaan kredensial. Hasilnya membantu perusahaan memahami potensi penyebaran serangan di dalam lingkungan internal.
6. Firewall dan Network Device Configuration
Aturan firewall, switch, router, VPN, dan perangkat jaringan lainnya dapat memengaruhi tingkat perlindungan infrastruktur.
Pemeriksaan bertujuan menemukan aturan yang terlalu luas, akses administrasi yang kurang dibatasi, atau konfigurasi yang tidak sesuai dengan kebutuhan operasional.
7. Logging, Monitoring, dan Detection
Pengujian juga dapat menilai apakah aktivitas penting tercatat dan apakah sistem pemantauan menghasilkan peringatan yang relevan.
Area ini membantu mengukur kemampuan organisasi mendeteksi aktivitas mencurigakan, melakukan investigasi, dan menanggapi indikasi kompromi.
Tahapan Pelaksanaan Internal Infrastructure Pentest
Agar hasilnya akurat dan aman bagi operasional, pengujian umumnya dilakukan melalui beberapa tahapan terstruktur.
1. Scoping dan Perencanaan
Tim menyepakati tujuan, aset, rentang jaringan, metode pengujian, jadwal, dan batasan aktivitas. Sistem kritis perlu diidentifikasi sejak awal untuk menentukan langkah pengamanan tambahan.
2. Pengumpulan Informasi
Penguji memetakan perangkat, layanan, sistem operasi, dan hubungan komunikasi yang relevan. Informasi ini digunakan untuk menentukan area pemeriksaan berdasarkan risiko.
3. Identifikasi dan Validasi Kerentanan
Kelemahan diperiksa melalui pemindaian, analisis konfigurasi, dan pengujian manual. Validasi dilakukan untuk memastikan temuan memiliki bukti yang memadai dan bukan sekadar indikasi dari alat pemindai.
4. Exploitation Terkontrol
Jika termasuk dalam ruang lingkup, penguji mencoba memvalidasi apakah kelemahan dapat dieksploitasi dan sejauh mana dampaknya. Pengujian tidak boleh melampaui otorisasi atau mengganggu layanan bisnis tanpa persetujuan khusus.
5. Analisis Risiko dan Pelaporan
Temuan dikategorikan berdasarkan tingkat risiko, kemungkinan eksploitasi, dan dampak terhadap bisnis. Laporan yang baik menyertakan bukti, konteks teknis, serta rekomendasi remediasi yang dapat diterapkan.
6. Remediasi dan Retesting
Setelah perusahaan memperbaiki kelemahan, pengujian ulang dilakukan jika termasuk dalam layanan. Tahap ini membantu memastikan perbaikan efektif dan risiko yang ditemukan telah berkurang.
Manfaat Internal Infrastructure Pentest bagi Perusahaan
Internal Infrastructure Pentest memberikan manfaat teknis dan strategis bagi organisasi, antara lain:
- Mengurangi risiko pergerakan lateral: membantu menemukan jalur yang dapat digunakan untuk menjangkau sistem lain.
- Memperkuat keamanan server: mengidentifikasi kelemahan konfigurasi dan pembaruan yang tertinggal.
- Meningkatkan perlindungan identitas: membantu mengurangi risiko penyalahgunaan akun dan hak akses istimewa.
- Mengevaluasi segmentasi jaringan: memvalidasi apakah batas akses bekerja sesuai rancangan.
- Meningkatkan kemampuan deteksi: mengungkap kekurangan pada logging, monitoring, dan respons insiden.
- Mendukung prioritas anggaran keamanan: membantu tim TI memusatkan sumber daya pada risiko yang paling signifikan.
- Memperkuat tata kelola TI: menyediakan bukti teknis untuk mendukung pengelolaan risiko dan program peningkatan keamanan.
Manfaat tersebut akan lebih optimal apabila hasil pengujian diintegrasikan dengan vulnerability management, patch management, hardening server, dan evaluasi keamanan berkala.
Perbedaan Internal dan External Infrastructure Pentest
Internal dan external penetration testing memiliki tujuan yang saling melengkapi, tetapi menggunakan perspektif pengujian yang berbeda.
External Infrastructure Pentest berfokus pada aset yang dapat dijangkau dari luar organisasi, seperti layanan internet-facing, gateway, VPN, dan server publik. Tujuannya adalah menilai risiko dari sudut pandang pihak yang belum memiliki akses internal.
Sebaliknya, Internal Infrastructure Pentest mengevaluasi apa yang mungkin terjadi ketika penguji memiliki posisi atau akses yang merepresentasikan jaringan internal. Fokusnya mencakup hak akses, segmentasi, server internal, dan potensi pergerakan lateral.
Perusahaan dengan kebutuhan keamanan yang menyeluruh sebaiknya mempertimbangkan kedua jenis pengujian tersebut berdasarkan profil risiko dan arsitektur infrastrukturnya.
Tips Memilih Jasa Internal Infrastructure Pentest
Pemilihan penyedia layanan perlu mempertimbangkan kompetensi teknis, kualitas metodologi, serta kemampuan menerjemahkan temuan menjadi langkah perbaikan.
1. Periksa Pengalaman dan Metodologi
Pastikan penyedia memahami keamanan jaringan, Windows dan Linux server, Active Directory, serta analisis konfigurasi. Tanyakan bagaimana mereka memvalidasi temuan dan mengukur dampak risiko.
2. Pastikan Scope dan Otorisasi Tertulis
Ruang lingkup harus menjelaskan aset yang diuji, metode yang diizinkan, jadwal, kontak darurat, dan prosedur penghentian pengujian jika terjadi gangguan.
3. Evaluasi Kualitas Laporan
Pilih layanan yang memberikan bukti teknis, penjelasan dampak bisnis, tingkat risiko, dan rekomendasi yang jelas. Daftar kerentanan tanpa konteks biasanya kurang membantu dalam menentukan prioritas.
4. Pertimbangkan Retesting dan Dukungan Remediasi
Dukungan setelah pengujian membantu tim TI memperbaiki kelemahan secara terarah dan memvalidasi efektivitas perbaikan.
5. Sesuaikan Cakupan dengan Kebutuhan Bisnis
Biaya dipengaruhi jumlah aset, kompleksitas jaringan, cakupan Active Directory, kedalaman pengujian, dan kebutuhan retesting. Mintalah proposal berdasarkan kondisi infrastruktur yang sebenarnya.
Kesimpulan
Internal Infrastructure Pentest merupakan langkah penting untuk menguji ketahanan jaringan internal, server, sistem identitas, dan kontrol akses perusahaan terhadap skenario serangan yang realistis.
Pengujian yang dilakukan secara terstruktur dapat mengungkap kelemahan yang mungkin tidak terlihat melalui pemantauan rutin. Dengan memahami jalur serangan, risiko eskalasi hak akses, serta potensi pergerakan lateral, perusahaan dapat menentukan perbaikan berdasarkan prioritas yang lebih akurat.
Bagi organisasi yang ingin memperkuat keamanan infrastruktur TI, layanan Internal Infrastructure Pentest profesional dapat menjadi bagian dari strategi keamanan berlapis. Pastikan penyedia memiliki metodologi yang jelas, otorisasi yang ketat, pelaporan berkualitas, dan dukungan tindak lanjut agar hasil pengujian memberikan nilai nyata bagi bisnis.
FAQ tentang Internal Infrastructure Pentest
1. Apa tujuan utama Internal Infrastructure Pentest?
Tujuannya adalah mengidentifikasi dan memvalidasi kelemahan keamanan pada jaringan internal, server, sistem identitas, dan kontrol akses untuk memahami risiko serangan dari dalam lingkungan perusahaan.
2. Apa perbedaan internal pentest dan vulnerability assessment?
Vulnerability assessment berfokus pada identifikasi serta penilaian kerentanan. Internal pentest melangkah lebih jauh dengan memvalidasi kemungkinan eksploitasi dan dampak kelemahan melalui pengujian terkontrol.
3. Apakah Active Directory termasuk dalam pengujian?
Ya, Active Directory dapat menjadi bagian dari ruang lingkup apabila digunakan oleh perusahaan dan disetujui dalam perencanaan. Pemeriksaan dapat mencakup konfigurasi identitas, hak akses, dan potensi penyalahgunaan akun istimewa.
4. Kapan perusahaan perlu melakukan Internal Infrastructure Pentest?
Pengujian dapat dilakukan secara berkala, setelah perubahan besar pada jaringan, setelah migrasi infrastruktur, atau ketika organisasi perlu memvalidasi kontrol keamanan internal. Frekuensi ideal bergantung pada tingkat risiko dan perubahan lingkungan TI.
5. Apakah Internal Infrastructure Pentest aman untuk sistem produksi?
Pengujian dapat dilakukan dengan risiko yang terkendali apabila direncanakan secara tepat. Scope, jadwal, metode, batasan, dan prosedur darurat harus disepakati sebelum pengujian dimulai, terutama untuk sistem kritis.
6. Berapa biaya Internal Infrastructure Pentest?
Biaya bergantung pada jumlah perangkat, kompleksitas jaringan, cakupan server dan Active Directory, kedalaman pengujian, serta kebutuhan laporan dan retesting. Penawaran sebaiknya disusun berdasarkan ruang lingkup yang jelas.
