Kursus Pelatihan Pengujian Keamanan Aplikasi: OWASP Top 10, SAST, DAST, dan SCA

A01:2025 – Broken Access Control

Kontrol akses menegakkan kebijakan sehingga pengguna tidak dapat bertindak di luar izin yang ditentukan. Kegagalan biasanya menyebabkan pengungkapan, modifikasi, atau penghancuran data tanpa izin, atau menjalankan fungsi bisnis di luar batas pengguna.

Aspek Praktis

• Contoh praktis dari kontrol akses yang rusak

• Kontrol akses yang aman dan praktik terbaik

A02:2025 – Security Misconfiguration

Security misconfiguration terjadi ketika sistem, aplikasi, atau layanan cloud disetel secara tidak benar dari perspektif keamanan, sehingga menciptakan kerentanan.

Aspek Praktis

• Contoh dunia nyata dari konfigurasi yang salah

• Langkah-langkah untuk mencegah konfigurasi yang salah, termasuk manajemen konfigurasi dan alat otomasi

A03:2025 – Software Supply Chain Failures

Kegagalan rantai pasokan perangkat lunak adalah kerusakan atau kompromi lain dalam proses membangun, mendistribusikan, atau memperbarui perangkat lunak. Hal ini sering disebabkan oleh kerentanan atau perubahan berbahaya pada kode pihak ketiga, alat, atau dependensi lain yang diandalkan oleh sistem.

A04:2025 – Cryptographic Failures

Secara umum, semua data dalam transit harus dienkripsi pada lapisan transport (lapisan OSI 4). Hambatan sebelumnya seperti kinerja CPU dan manajemen kunci privat/sertifikat sekarang ditangani oleh CPU yang memiliki instruksi yang dirancang untuk mempercepat enkripsi (misalnya dukungan AES) dan manajemen kunci privat serta sertifikat yang disederhanakan oleh layanan seperti LetsEncrypt.org, dengan vendor cloud utama menyediakan layanan manajemen sertifikat yang lebih terintegrasi untuk platform spesifik mereka.

Di luar pengamanan lapisan transport, penting untuk menentukan data apa yang memerlukan enkripsi saat diam (at rest) serta data apa yang memerlukan enkripsi tambahan dalam transit (pada lapisan aplikasi, lapisan OSI 7).

Sebagai contoh, kata sandi, nomor kartu kredit, rekam medis, informasi pribadi, dan rahasia bisnis memerlukan perlindungan tambahan, terutama jika data tersebut tunduk pada hukum privasi, misalnya Peraturan Umum Perlindungan Data Uni Eropa (GDPR), atau regulasi seperti PCI Data Security Standard (PCI DSS).

Aspek Praktis

• Analisis rinci tentang kegagalan kriptografi seperti algoritma enkripsi yang lemah atau manajemen kunci yang tidak tepat

• Pentingnya mekanisme kriptografi yang kuat, protokol aman (SSL/TLS), dan contoh kriptografi modern dalam keamanan web

A05:2025 – Injection

Kerentanan injeksi adalah cacat sistem yang memungkinkan penyerang menyisipkan kode atau perintah berbahaya (seperti kode SQL atau shell) ke bidang input program, menipu sistem untuk mengeksekusi kode atau perintah tersebut seolah-olah merupakan bagian dari sistem. Hal ini dapat dẫn ke konsekuensi yang sangat buruk.

Aspek Praktis

• Uraian rinci tentang injeksi SQL, NoSQL, OS, dan LDAP

• Teknik mitigasi menggunakan prepared statements, kueri parameterized, dan escaping inputs

A06:2025 – Insecure Design

Insecure design adalah kategori luas yang mewakili berbagai kelemahan, yang dinyatakan sebagai "desain kontrol yang hilang atau tidak efektif."

Insecure design bukan sumber dari semua kategori risiko Top Ten lainnya. Perhatikan bahwa terdapat perbedaan antara insecure design dan implementasi yang tidak aman. Kami membedakan antara cacat desain dan defisit implementasi karena alasan tertentu, yaitu mereka memiliki akar penyebab yang berbeda, terjadi pada waktu yang berbeda dalam proses pengembangan, dan memiliki remediasi yang berbeda.

Desain yang aman masih dapat memiliki defisit implementasi yang menyebabkan kerentanan yang dapat dieksploitasi. Desain yang tidak aman tidak dapat diperbaiki oleh implementasi yang sempurna karena kontrol keamanan yang dibutuhkan tidak pernah dibuat untuk melindungi diri dari serangan tertentu.

Salah satu faktor yang berkontribusi terhadap insecure design adalah kurangnya profil risiko bisnis yang melekat pada perangkat lunak atau sistem yang dikembangkan, dan kegagalan untuk menentukan tingkat desain keamanan yang diperlukan.

Aspek Praktis

• Kita akan menjelajahi cacat desain yang dapat menyebabkan kerentanan, seperti validasi input yang tidak tepat

• Kita akan mempelajari strategi arsitektur aman dan prinsip desain aman

A07:2025 – Authentication Failures

Ketika penyerang dapat menipu sistem untuk mengenali pengguna yang tidak valid atau salah sebagai sah, kerentanan ini hadir.

Aspek Praktis

• Isu autentikasi umum

• Strategi autentikasi aman, seperti multi-factor authentication dan penanganan sesi yang tepat

A08:2025 – Software or Data Integrity Failures

Kegagalan integritas perangkat lunak dan data berkaitan dengan kode dan infrastruktur yang tidak melindungi terhadap kode atau data yang tidak valid atau tidak tepercaya yang diperlakukan sebagai tepercaya dan valid.

Salah satu contohnya adalah ketika aplikasi bergantung pada plugin, perpustakaan, atau modul dari sumber, repositori, dan jaringan pengiriman konten (CDN) yang tidak tepercaya.

Pipa CI/CD yang tidak aman tanpa menggunakan dan menyediakan pemeriksaan integritas perangkat lunak dapat memperkenalkan potensi akses tanpa izin, kode yang tidak aman atau berbahaya, atau kompromi sistem.

Contoh lain untuk ini adalah CI/CD yang menarik kode atau artefak dari tempat yang tidak tepercaya dan/atau tidak memverifikasinya sebelum digunakan (dengan memeriksa tanda tangan atau mekanisme serupa).

Aspek Praktis

• Fokus pada masalah seperti pembaruan perangkat lunak yang tidak tepercaya dan manipulasi data

• Mekanisme pembaruan aman dan pemeriksaan integritas data

A09:2025 – Security Logging and Alerting Failures

Tanpa log dan pemantauan, serangan dan pelanggaran tidak dapat dideteksi, dan tanpa peringatan, sangat sulit untuk merespons dengan cepat dan efektif selama insiden keamanan.

Perekaman log yang tidak memadai, pemantauan berkelanjutan, deteksi, dan peringatan untuk memulai respons aktif terjadi kapan saja.

Aspek Praktis

• Pentingnya merekam informasi yang relevan dengan keamanan dan memonitor aktivitas mencurigakan

• Alat dan praktik untuk perekaman log yang tepat dan pemantauan real-time untuk mendeteksi pelanggaran lebih awal

A10:2025 – Mishandling of Exceptional Conditions

Penanganan kondisi luar biasa dalam perangkat lunak terjadi ketika program gagal mencegah, mendeteksi, dan merespons situasi yang tidak biasa dan tidak terduga, yang dẫn ke crash, perilaku yang tidak terduga, dan terkadang kerentanan.

Ini dapat melibatkan satu atau lebih dari 3 kegagalan berikut:

• Aplikasi tidak mencegah terjadinya situasi yang tidak biasa

• Ia tidak mengidentifikasi situasi tersebut saat sedang terjadi

• Ia merespons dengan buruk atau tidak sama sekali terhadap situasi tersebut setelahnya

SAST – Static Application Security Testing

1. Apa itu analisis statis dan kapan menjalankannya dalam SDLC (shift left)

2. Jenis kerentanan yang dapat dideteksi melalui SAST, kode rentan vs kode aman

3. Ikhtisar alat SAST (misalnya Semgrep, SonarQube, Checkmarx, tergantung pada stack klien)

4. Latihan praktis: jalankan pemindaian SAST pada repositori dengan kerentanan yang sengaja dimasukkan, interpretasi hasil, triase false positives vs kerentanan nyata

DAST – Dynamic Application Security Testing

1. Perbedaan antara SAST dan DAST, pengujian kotak hitam pada aplikasi yang sedang berjalan

2. Alur pemindaian DAST, crawling, fuzzing, analisis respons

3. Ikhtisar alat DAST (misalnya OWASP ZAP, Burp Suite)

4. Latihan praktis: jalankan pemindaian DAST pada aplikasi uji yang rentan (misalnya OWASP Juice Shop), identifikasi dan validasi temuan

SCA – Software Composition Analysis

1. Risiko dependensi dan perpustakaan pihak ketiga, kerentanan yang diwariskan

2. SBOM, Software Bill of Materials, apa itu dan mengapa penting

3. Ikhtisar alat SCA (misalnya Dependency Check, Snyk, GitHub Dependabot)

4. Latihan praktis: jalankan pemindaian SCA pada proyek nyata, identifikasi dependensi rentan dan buat rencana remediasi (perbarui, tambal, mitigasi)