DOI: https://doi.org/10.37365/jti.v7i1.105

## PENGUJIAN KERENTANAN SISTEM DENGAN MENGGUNAKAN METODE PENETRATION TESTING DI UNIVERSITAS XYZ
Jusia Amanda Ginting 1 , I Gusti Ngurah Suryantara 2
1,2 Teknik Informatika
1,2 Universitas Bunda Mulia, Jakarta, Indonesia Correspondence email : jginting@bundamulia.ac.id
Article history: Submission date: Juni 14, 2021        Revised date: Juni 27, 2021        Accepted date: Juni 30, 2021

## ABSTRACT
Awareness  of  information  security  will  be  a  priority  in  the event  of  data  loss  or  damage.  This  certainly  harms the performance of a company or organization due to unpreparedness to resolve or minimize risks that can occur. The impact that occurs on the security system used is that the system cannot provide a sense of security because the system used and has security holes that can be used to exploit systems and networks at XYZ University. This study aims to examine the internal and external security controls of the system by identifying threats that can pose serious problems to  assets  at  XYZ  University  by  using  the  penetration  testing  method,  the  results  can  be  used  as  a  benchmark  in measuring  the  weaknesses  of  the  network  and  system  from  external  attacks.  The  goal  is  to  implement  preventive controls against risks that can occur to improve system security at XYZ University.
Keywords: Vulnerability Testing, Penetration Testing, Preventive Control, Network Security

## ABSTRAK
Kesadaran akan keamanan informasi akan menjadi prioritas jika terjadi kehilangan atau kerusakan data. Hal ini tentu berdampak  negatif  terhadap  kinerja  sebuah  perusahaan  atau  organisasi  dikarenakan  ketidaksiapan  untuk menyelesaikan  atau  meminimalkan  resiko  yang  bisa  terjadi.  Dampak  yang  terjadi  pada  sistem  keamanan  yang digunakan adalah sistem tidak bisa memberikan rasa aman dikarenakan sistem yang digunakan  dan mempunyai celah keamanan  yang dapat digunakan untuk mengeksploitasi sistem  dan jaringan pada Universitas XYZ. Penelitian ini bertujuan  untuk  mengkaji  kontrol  keamanan  internal  dan  eksternal  sistem  dengan  mengidentifikasi  ancaman  yang dapat menimbulkan  masalah  serius  terhadap  aset  pada  Universitas  XYZ  dengan menggunakan  metode penetration testing yang hasilnya dapat digunakan sebagai tolak ukur dalam  mengukur kelemahan dari jaringan dan sistem dari serangan-serangan pihak luar dengan tujuan untuk mengimplementasikan pengendalian preventif terhadap resiko yang bisa terjadi untuk meningkatkan keamanan sistem pada Universitas XYZ.
Kata Kunci: Vulnerability Testing, Penetration Testing , Pengendalian Preventif, Network Security

## PENDAHULUAN
Perkembangan teknologi informasi di era global saat ini turut mendorong perkembangan dari keamanan jaringan.  Keamanan  jaringan  menjadi  sangat  penting untuk diperhatikan dikarenakan jaringan yang terhubung dengan  perangkat  lain  atau  dengan  internet  pada dasarnya  tidak  aman  dan  dapat  dieksploitasi  oleh  para penyerang baik melalui jaringan LAN maupun Wireless (Hendrawan Manuaba et al, 2012) .
Pada  sebuah  pengiriman  data,  data  akan dikirimkan melewati beberapa terminal untuk sampai ke tujuan. Hal ini akan memberikan kesempatan pada user lain  untuk  menyadap  atau  mengubah  data,  bahkan mencuri  data  tersebut.  Mengatasi  hal  ini,  didalam perancangan  dan  pembangunan  dari  sebuah  sistem keamanan  jaringan  harus  direncanakan  dan  dipahami agar  dapat  melindungi  sumber  daya  yang  berada  di dalam  jaringan  tersebut  dan  dapat  meminimalisir terjadinya  serangan.  Selain  melakukan  pengamanan seperti  melakukan update patch ,  penggunaan firewall , screening router ,  VPN,  antivirus  dan  lain  sebagainya,
VOL. 7 No. 1 Juni 2021
P-ISSN : 2460-2108 E-ISSN :2620-5181
DOI: https://doi.org/10.37365/jti.v7i1.105
keamanan  acapkali  hanyalah  sebagai  ilusi  yang difasilitasi  dan  dipercaya  oleh  orang-orang  yang  ada didalam sebuah organisasi (Ramadhani et al., 2010).
Menurut The  European  Union  Agency  For Network and Information Security (ENISA) permasalahan  keamanan  jaringan  yang  terjadi  pada beberapa  tahun  terakhir  adalah  munculnya crypto- ransomware yang  bekerja  dengan  cara  memanfaatkan vulnerability dari sebuah sistem operasi. Jenis kejahatan yang  memanfaatkan vulnerability adalah  pencurian identitas  pribadi (Identity  Thief) yang  bertujuan  untuk mencuri akun beserta password dan informasi-informasi penting  lainnya.  Kejahatan  ini  bisa  dilakukan  dengan menggunakan  beberapa  metode  seperti phising,  email scan atau dengan cara mendokumentasikan gerak-gerik user ketika mengakses situs di internet (Enisa, 2017). GOV-CSIRT  atau Government  Computer Security  Incident  Response  Team menjelaskan  bahwa vulnerability  assessment adalah  tindakan  identifikasi vulnerability dari  suatu  aplikasi,  sistem  operasi  dan infrastruktur  jaringan. Vulnerability  assessment tidak melakukan  eksploitasi  celah  atau  kelemahan dari  suatu sistem, Vulnerability  assessment lebih  fokus  untuk menemukan  beragam public vulnerability pada  seluruh sistem  komputer  dalam  jaringan  target  (Juardi,  2017). Penetration  testing merupakan  sebuah  proses  atau prosedur untuk mengevaluasi keamanan terhadap sistem komputer atau jaringan untuk menjalankan uji penetrasi yang  terdiri  dari  5  tahapan  yaitu planning  and reconnaissance,  scanning,  gaining  access,  maintaining access dan analysis (Lammle, 2005) . Pada  penelitian  sebelumnya  yang  dilakukan oleh  Retna  Mulya  &  Tarigan  pada  tahun  2018 menghasilkan bahwa sistem jaringan komputer politeknik  malang  terdapat  beberapa  celah  keamanan yang  berstatus High  Priority dengan  menggunakan metode  CVSS  versi  3  dan  FMEA (severity) untuk menentukan  peringkat  atau  prioritas  penanganan serangan berdasarkan dampak potensial yang ditimbulkan.  Hasil  penelitian  menunjukkan  tingkat kerentanan  sistem  jaringan  komputer  sebesar  40-60% (Retna Mulya & Tarigan, 2018).
Penelitian yang dilakukan oleh Deris Stiawan, dkk  pada  tahun  2017  menyatakan  bahwa penetration testing dapat digunakan sebagai alat untuk menemukan dan  mengatasi  kerentanan  dalam  infrastruktur  jaringan yang  menunjukkan  seberapa  rentan  serangan  pada sebuah  jaringan.  Mengatasi  hal  tersebut  organisasi diharapkan dapat mengurangi kerentanan dari sistem dan jaringan  sebanyak  mungkin  untuk  meningkatkan keamanan   jaringan (Stiawan et al., 2017).
Berdasarkan  latar  belakang  yang  sudah dijelaskan sebelumnya terdapat beberapa masalah yaitu: Sistem keamanan yang digunakan tidak bisa memberikan  rasa  aman  dikarenakan  sistem  yang
digunakan    mempunyai  celah  keamanan    yang  dapat digunakan untuk mengeksploitasi sistem   dan jaringan pada Universitas XYZ.
Adapun  tujuan  penelitian  ini  yaitu    yang pertama  melakukan vulnerability  assessment dengan menggunakan  tahapan penetration  testing dan menggunakan  metode sniffing ,  DoS,  DDOS  pada jaringan Universitas XYZ.

## METODE PENELITIAN
Penelitian  ini  menggunakan  arsitektur  jaringan dan  sistem  pada  Universitas  XYZ  di  Jakarta  sebagai objek  penilaian vulnerability dengan  menggunakan tahapan penetration testing:
Sumber: (https://www.imperva.com) Gambar 1. Tahapan Penetration Testing
Berdasarkan  Gambar  1,  tahapan penetration testing terdiri dari 5 tahapan yaitu pertama Planning and Reconnaissance yaitu  menentukan  ruang  lingkup pengujian  dan  metode  pengujian  yang  akan  digunakan pada  objek  penelitian.  Kedua Scanning atau  memindai target  menggunakan tools yang  ada  untuk  mencari keamanan  yang  bisa  digunakan  untuk  masuk  kedalam sistem  objek.  Ketiga Gaining  Access merupakan percobaan  menerobos  masuk  dengan  menggunakan teknik-teknik seperti sniffing , sql injection , Xss dengan tujuan mengeksploitasi sistem, mencuri data, memantau traffic jaringan, dan monitoring kegiatan user pada objek yang  diteliti.  Kelima Maintaining  access ,  yaitu apakah akses  yang  sudah  didapatkan  pada  proses  sebelumnya dapat ditutup sehingga keamanan dari sistem tetap aman. Dan Kelima Analisis pembuatan laporan dari rangkaian kegiatan yang sudah dilakukan  seperti celah keamanan, data yang diambil, dan waktu (Nugroho, 2001).
DOI: https://doi.org/10.37365/jti.v7i1.105

## HASIL DAN PEMBAHASAN
Proses  dan  tahapan  yang    digunakan    dalam menguji vulnerability di Universitas XYZ menggunakan  tahapan Penetration  Testing .  Berikut  ini adalah tahapan  yang dilakukan:
Tahap  pertama Planning dan Reconnaissance dilakukan  dengan  metode  wawancara  dengan  pihak administrator jaringan di Universitas XYZ dan observasi arsitektur jaringan yang dapat dilihat tanpa menggunakan  bantuan  tools  yang  terkait  seperti  pada Gambar 2.
Sumber : (Jusia Amanda Ginting, 2021) Gambar 2. Skema Jaringan Normal
Gambar 2 mengilustrasikan skema dari sebuah jaringan normal dimana seorang user dapat terhubung ke sebuah server melalui perangkat switch atau router tanpa adanya intervensi dari penyerang.
Sumber : (Jusia Amanda Ginting, 2021)
Gambar 3. Skema serangan Sniffing Gambar 3 mengilustrasikan skema
penyerangan terhadap jaringan normal dengan menggunakan konsep penyerangan Sniffing (Man in the middle  Attack) .  Penyerang  dapat  mendapatkan  semua informasi  ketika  terdapat  user  yang melakukan request ke server (M.-y. Su, K.-c. Chang, 2009).
Tahap  kedua  yaitu  melakukan scanning pada jaringan yang digunakan untuk melihat service apa saja yang  diberikan server ke client . Tools yang  digunakan untuk melihat service pada server target adalah dengan menggunakan software port scanner NMAP.
Sumber : (Jusia Amanda Ginting, 2021)
Gambar 4. Port Scanning Gambar 4. Merupakan hasil  dari port scanning yang dilakukan pada Universitas XYZ yang menghasilkan  informasi  mengenai port yang  sedang terbuka  pada  sistem.  Seperti  pada  Gambar  4,  target menggunakan port 8022 dengan menggunakan protokol TCP  dan status dari port tersebut open , Hal ini tentu saja dapat dimanfaatkan oleh attacker untuk masuk kedalam sistem dengan menggunakan kombinasi password .

## Sumber : (Jusia Amanda Ginting, 2021)
Gambar 5. TraceRoute
Gambar  5  merupakan hasil  dari traceroute yang  sudah berhasil  dilakukan  dengan  menggunakan tools NMAP. Traceroute dilakukan dengan tujuan untuk menentukan rute yang dilewati paket untuk mencapai tujuan dengan cara mengirimkan paket ICMP.
Tabel 1. Presentasi Sistem Operasi Universitas XYZ No OS Persentase 1 HP P2000 G3 NAS DEVICE 91% 2 LINUX 90% 3 AXIS 201A (Network Camera) 90% 4 Asus RT-AC66u Router 89% 5 Asus RT-N16 89% 6 FreeBSD 90% Sumber : (Jusia Amanda Ginting, 2021)
VOL. 7 No. 1 Juni 2021
P-ISSN : 2460-2108 E-ISSN :2620-5181
Selain  mendapatkan  informasi rute pengiriman paket,  NMAP  dapat  menampilkan  presentasi  sistem operasi yang digunakan pada sistem tersebut. Bagi user pada umumnya informasi yang ditampilkan pada Tabel 1,  bukan  merupakan  sebuah  informasi  yang  berharga, tetapi  berbeda  dengan attacker ,  informasi  ini  akan dimanfaatkan untuk mendapatkan kelemahan dari sistem operasi  yang  digunakan  pada  Universitas  XYZ  (Tejay, 2009).
Tahap ketiga yaitu Gaining Access . Tahapan ini dilakukan  paket sniffing dan  ARP Spoofing Poisoning yang gunakan untuk meng capture seluruh traffic masuk dan keluar dari jaringan tersebut termasuk password dan username yang  digunakan  oleh user dengan  cara memodifikasi traffic dan  menghentikan traffic . Tools yang  digunakan  untuk  melakukan  serangan  ini  adalah Cain and Abel (Fauzi & Suartana, 2018) .
Sumber : (Jusia Amanda Ginting, 2021) Gambar 6. Tool Cain and Abel
Prinsip  dari  serangan  ARP Poisoning ini adalah dengan  cara  memanfaatkan  kelemahan  pada  teknologi jaringan komputer itu sendiri dengan menggunakan ARP Broadcast yang  berada  pada layer 2  (MAC Address ) (Beghdad, 2009) .
Sumber : (Jusia Amanda Ginting, 2021) Gambar 7. Sniffing Universitas XYZ
Gambar  7  menampilkan  hasil sniffing yang  sudah dilakukan  pada  Universitas  XYZ.  Dari  penyerangan yang  dilakukan  dapat  dilihat  bahwa  jaringan  pada Universitas  XYZ  memiliki  kelehaman  seperti  tidak menggunakan enkripsi pada username dan password .
Tabel 2. Username dan Password User Passwo rd URL L17xx A13xx xxxx Lecxxx.ubx.co.i d 1801xxxx solxxxx xxx App.bunxxxx.ac .id/budget 1801xxxx ardxxx xxxx App.bunxxxx.ac .id/budget L12xx Yoxxx xx Lecxxx.ubx.co.i d L16xx jooxxx xx Lecxxx.ubx.co.i d L01xx naxxxx xx Lecxxx.ubx.co.i d L07xx Luxxxx xxxx Lecxxx.ubx.co.i d L16xx 9oxxxx xx Lecxxx.ubx.co.i d L14xx Zaxxxx xx Lecxxx.ubx.co.i d Phandxxxx@bundx xxxxx.ac.id sayxxx xx Mail.bunxxxx.a c.id Sumber : (Jusia Amanda Ginting, 2021) Tahap berikutnya adalah Maintaining Access dari hasil sniffing yang sudah dilakukan seperti pada Gambar 8.
Sumber : (Jusia Amanda Ginting, 2021) Gambar 8. Login situs Lecxxx.xxx.co.id
Username dan Password yang digunakan ketika melakukan Login adalah Username dan Password yang sudah didapatkan pada proses sniffing .
Sumber : (Jusia Amanda Ginting, 2021) Gambar 9. Situs Lecxxx.xxx.co.id
DOI: https://doi.org/10.37365/jti.v7i1.105
Setelah melakukan sniffing maka dilakukan stress testing untuk  menguji  kehandalan  dari server didalam jaringan  Universitas  XYZ,  dengan  menggunakan serangan  DDoS  yang  akan  membanjiri  jaringan  atau server dengan traffic data yang berlebihan dengan tujuan untuk  membuat  kinerja  sistem  menurun  dalam menangani traffic data yang berlebih.
Sumber : (Jusia Amanda Ginting, 2021) Gambar 10. TTL Sebelum Penyerangan
Gambar 10 menunjukkan kondisi dari situs Lecxxx.xxx.co.id sebelum dilakukan penyerangan. Dari hasil  ping  yang  dilakukan  kategori throughput (100), delay (<150ms)  dengan jitter 0.  Setelah  melakukan pengamatan  jaringan  sebelum  penyerangan  DDoS, langkah selanjutnya adalah melakukan pengujian stress testing dengan menggunakan tools HOIC.
Sumber : (Jusia Amanda Ginting, 2021) Gambar 11. Hasil Stress Testing (DDoS)
Hasil stress  testing dengan  menggunakan tools  HOIC pada  situs http://lecxxxxx.ubx.ac.id tidak  mengalami kendala  dan  masih  dapat  melayani  setiap request yang dikirimkan oleh user .

## KESIMPULAN
Adapun  kesimpulan  yang  didapatkan  selama melakukan penelitian ini adalah Software Cain and Abel mampu untuk membaca dan meng capture seluruh lalu lintas  jaringan  kabel  maupun  nirkabel  yang  ada  pada Universitas  XYZ.  Hal  ini  tentu  saja  dapat  menjadi perhatian  dari  pihak  Universitas  untuk  mengamankan jaringan  dan port yang  terbuka  pada  jaringan  di Universitas tersebut. Penggunaan enkripsi pada aplikasi- aplikasi  pada  Universitas  XYZ  sangat  diperlukan dikarenakan  jenis password yang  didapatkan  masih berupa plaintext .  Pengujian stress  testing pada Universitas XYZ yang dilakukan dengan menggunakan serangan  DDoS  tidak  menimbulkan  dampak  yang signifikan terhadap situs Universitas XYZ.

## DAFTAR PUSTAKA
Beghdad, R. (2009). ritical study of neural networks in detecting  intrusions. Computers  &  Security , 5 , 168–175.
Enisa. (2017). Cyber Security Culture in Organisations. European  Union  Agency  for  Network  and Information Security . Athens.
Fauzi,  A.,  &  Suartana,  I.  (2018).  Monitoring  Jaringan Wireless  Terhadap  Serangan  Packet  Sniffing Dengan  Menggunakan  Ids. Jurnal  Manajemen Informatika , 8 (2).
Ida  Bagus  Verry  Hendrawan  Manuaba,  Risanuri Hidayat,  S.  S.  K.  (2012).  Evaluasi  Keamanan Akses  Jaringan  Komputer  Nirkabel  (  Kasus : Kantor Pusat Fakultas Teknik Universitas. Jnteti , 1 (1), 5.
Juardi,  D.  (2017).  Kajian  Vulnerability  Keamanan
Jaringan  Internet  Menggunakan  Nessus. Syntax Jurnal Informatika , 6 (1), 11–19. https://journal.unsika.ac.id/index.php/syntax/articl e/view/1148/Kajian Vulnerability Keamanan Jaringan Internet Menggunakan Ness Jusia  Amanda  Ginting,  I.  G.  N.  S.  (2021). Pengujian kerentanan  sistem  dengan  menggunakan  metode Penetration testing di universitas xyz .
Lammle, T.  (2005). Cisco Certified  Network  Associate
Study Guide . Elex Media Komputindo.
M.-y.  Su,  K.-c.  Chang,    and  C.  -y.  L.  (2009). Attack Patterns Discovery by Frequent Episodes Mining from Honeypot Systems . 301–306.
VOL. 7 No. 1 Juni 2021
P-ISSN : 2460-2108 E-ISSN :2620-5181
Nugroho,  M.  A.  (2001). Studi Kasus  Celah  Keamanan Pada  Jaringan  Nirkabel  Yang  Menerapkan  Wep (Wired Equivalent Privacy) .
Ramadhani,  Erika,  A.  A.  (2010).  Analisa  Keamanan
Jaringan  Nirkabel  di  Universitas  Gadjah  Mada Dengan  Menggunakan  Metode  Wardriving.
Magister Teknologi Informasi Universitas Gadjah Mada .
Retna  Mulya,  B.  W.,  &  Tarigan,  A.  (2018). Pemeringkatan Risiko Keamanan Sistem Jaringan Komputer Politeknik Kota Malang Menggunakan
Cvss  Dan  Fmea. ILKOM  Jurnal  Ilmiah , 10 (2), 190–200. https://doi.org/10.33096/ilkom.v10i2.31 1.190-200
Stiawan, D., Idris, M. Y., Abdullah, A. H., Aljaber,  F.,
&  Budiarto,  R.  (2017).  Cyber-attack  penetration test  and  vulnerability  analysis. International Journal  of  Online  Engineering , 13 (1),  125–132. https://doi.org/10.3991/ijoe.v13i01.6407
Tejay,  G.  D. and  G.  (2009). Developing  Insider  Attack Detection  Model :  A  Grounded  Approach .  107– 112.