Lakukan Pengujian Penetrasi Eksternal Berkala
Deskripsi
Lakukan pengujian penetrasi eksternal berkala berdasarkan persyaratan program, tidak kurang dari setiap tahun. Pengujian penetrasi eksternal harus mencakup pengintaian perusahaan dan lingkungan untuk mendeteksi informasi yang dapat dieksploitasi. Pengujian penetrasi memerlukan keterampilan dan pengalaman khusus dan harus dilakukan melalui pihak yang memenuhi syarat. Pengujian dapat berupa clear box atau opaque box.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform pengujian keamanan berkelanjutan dengan program bug bounty, pentesting terkelola, dan pengungkapan kerentanan
HackerOne · Langganan berbasis program
Platform pengujian keamanan crowdsourced dengan peneliti terverifikasi, pentesting berbasis AI, dan penilaian berkelanjutan
Synack · Langganan berbasis aset
Platform Pentest as a Service dengan pentester terverifikasi, pengujian terprogram, dan manajemen temuan
Cobalt · Langganan berbasis kredit
Platform manajemen permukaan serangan berkelanjutan dan keamanan ofensif yang menggabungkan pemindaian otomatis dengan pentesting yang dipimpin ahli
Bishop Fox · Langganan perusahaan
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Kerentanan yang Menghadap Internet Dieksploitasi oleh Penyerang Eksternal
ConfidentialityPenyerang mengeksploitasi layanan yang menghadap eksternal yang salah konfigurasi yang akan teridentifikasi melalui pengujian penetrasi eksternal, mendapatkan akses awal ke jaringan perusahaan.
Informasi Sensitif Terekspos melalui Pengintaian OSINT
ConfidentialityInformasi yang tersedia secara publik seperti kredensial yang terekspos, dokumen internal, atau detail infrastruktur dimanfaatkan oleh penyerang karena tidak ada pengujian penetrasi eksternal dengan fase pengintaian yang mengidentifikasi paparan.
Pertahanan Perimeter Dilewati Melalui Jalur Serangan yang Tidak Ditemukan
IntegrityPenyerang menemukan titik masuk eksternal yang terlewat seperti endpoint VPN lama atau subdomain yang terlupakan yang tidak dicakup kontrol keamanan perimeter, karena tidak ada pengujian penetrasi eksternal yang memetakan permukaan serangan penuh.
Kerentanan (Saat Pengamanan Tidak Ada)
Permukaan Serangan Eksternal Tidak Diuji
Tanpa pengujian penetrasi eksternal berkala, sistem, layanan, dan konfigurasi yang menghadap internet tidak dievaluasi dari perspektif penyerang, meninggalkan kelemahan yang dapat dieksploitasi di perimeter tidak ditemukan.
Tidak Ada Pengintaian Eksternal untuk Mengidentifikasi Paparan Informasi
Ketiadaan pengujian eksternal dengan pengintaian berarti informasi perusahaan yang terekspos secara publik seperti kredensial yang bocor, layanan yang salah konfigurasi, dan data OSINT tidak teridentifikasi atau diremediasi.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |