Pengujian Penetrasi - Remediasi

Upaya pengujian penetrasi - betapapun menyeluruhnya - tidak selalu dapat memastikan penemuan menyeluruh dari setiap contoh di mana keefektifan kontrol keamanan tidak mencukupi. Mengidentifikasi kerentanan atau risiko skrip lintas situs di satu area aplikasi mungkin tidak secara pasti mengekspos semua contoh kerentanan yang ada dalam aplikasi ini. Bab ini menggambarkan konsep dan kegunaan remediasi.

Apa itu Remediasi?

Remediasi adalah tindakan menawarkan perbaikan untuk menggantikan kesalahan dan memperbaikinya. Seringkali keberadaan kerentanan di satu area dapat menunjukkan kelemahan dalam proses atau praktik pengembangan yang dapat mereplikasi atau memungkinkan kerentanan serupa di lokasi lain. Oleh karena itu, saat melakukan remediasi, penting bagi penguji untuk menyelidiki dengan cermat entitas atau aplikasi yang diuji dengan mempertimbangkan kontrol keamanan yang tidak efektif.

Karena alasan ini, masing-masing perusahaan harus mengambil langkah-langkah untuk memulihkan kerentanan yang dapat dieksploitasi dalam jangka waktu yang wajar setelah uji penetrasi asli. Faktanya, segera setelah perusahaan menyelesaikan langkah-langkah ini, penguji pena harus melakukan tes ulang untuk memvalidasi kontrol yang baru diterapkan yang mampu mengurangi risiko asli.

Upaya perbaikan yang diperpanjang untuk jangka waktu yang lebih lama setelah uji pena awal mungkin memerlukan pelaksanaan pengikatan pengujian baru untuk memastikan hasil yang akurat dari lingkungan terkini. Penentuan ini harus dibuat setelah analisis risiko tentang seberapa banyak perubahan yang terjadi sejak pengujian awal diselesaikan.

Selain itu, dalam kondisi tertentu, masalah keamanan yang ditandai dapat menggambarkan kelemahan dasar di lingkungan atau aplikasi masing-masing. Oleh karena itu, ruang lingkup pengujian ulang harus mempertimbangkan apakah setiap perubahan yang disebabkan oleh perbaikan yang diidentifikasi dari pengujian diklasifikasikan sebagai signifikan. Semua perubahan harus diuji ulang; namun, apakah pengujian ulang sistem secara keseluruhan diperlukan atau tidak akan ditentukan oleh penilaian risiko perubahan.