Ternyata “Nemu Celah” Itu Baru Level 1?
Ngl, selama ini tiap ada berita soal celah keamanan baru, aku cuman bereaksi “ohh gitu” terus lanjut scroll lagi. Literally nggak pernah mikir apa yang terjadi setelah celahnya ketemu.
Plot twist: ada orang yang kerjanya khusus di fase itu. Namanya exploit developer.
Jadi gini. Vulnerability itu kelemahan di sebuah sistem yang berpotensi dimanfaatkan buat melanggar kebijakan kemanan, entah itu soal kerahasiaan data, integritas atau ketersediaan layanan. Nah, kata “berpotensi” ini kuncinya. Punya celah belum tentu celah itu beneran bisa dipakai. Bisa aja kelihatan serem di atas kertas, tapi pas dicoba ternyata nggak segampang itu. Terus siapa yang mastiin? Ya exploit developer.
Kerjaannya mengubah temuan celah jadi Proof-of Concept (PoC), alias exploit yang bisa didemonstrasikan. Jadi bukan lagi “kayaknya sih bisa”, tapi “nih, liat sendiri, beneran bisa”. Receipts-nya ada.
Bukan orang yang sama sama pencari celah
Aku awalnya ngira yang nemu celah otomatis yang bikin exploitnya. Turns out, nggak sama sekali. Ada peran lain namanya vulnerability researcher, yang fokusnya mencari dan menganalisis celah tanpa harus sampai bikin exploit yang jalan. Dua peran ini tetanggaan, tapi beda kerjaan. Gampang ketuker sih, wajar.
Keduanya masuk sisi offensive security, yaitu menyerang buat menguji. Satu geng sama penetration testing, red teaming, dan bug bounty hunting. Di seberangnya ada sisi bertahan kayak SOC, incident response, sama threat intelligence.
Prosesnya panjang, nggak instan
Gambaran yang ada dikepalaku: celah ketemu, klik, jebol, tamat. ehehe ga gitu ternyata :v
Get Adinda mirza devani’s stories in your inbox
Join Medium for free to get updates from this writer.
Gambaran besarnya mulai dari pilih target dan reconnaissance, terus cari celah, lalu milah crash atau bug itu bisa terjadi sampai ke akarnya. Baru lanjut bikin PoC, ngembangin exploit primitive, terus masuk ke tahap weaponization atau reliability engineering (intinya mastiin hasilnya stabil dan bisa diandalkan), dan cek mitigasi yang ada. Tahap terakhirnya reporting dan disclosure.
Disclaimer ini aku juga baru belajar ya guys ^_^
Celah juga punya umur?
Vulnerability tuh ternyata punya siklus hidup. Muncul, ditemukan, dilaporkan, dikasih nomor CVE, dibikinin patch, diumumin ke publik, lalu patch-nya beneran terpasang.
Dari situ ada 2 istilah yang seru buat dibedain. Zero-day itu celah yang belum dikeahui vendor atau publik, jadi belum ada patch sama sekali. N-day itu celah yang udah ketahuan dan udah ada patch resminya, tapi sistem targetnya belum di-update. Sama-sama bahaya, cuma konteks waktunya beda.
Terus ada CVSS, sistem skor 0.0 sampe 10.0 buat bantu organisasi menentukan mana yang harus di-patch duluan. Yang dinilai antara lain vector serangan, kompleksitas eskploitasi, hak akses yang dibutuhkan, dan dampaknya. Ini cuman tebakanku sih…. tapi faktor kompleksitas eskploitasi kayaknya yang paling nyambung sama kerjaan eksploit developer. cmiiw ya..^_^
Skill eksploitasi sistem itu bisa dipakai buat hal yang bener atau salah, tergantung izinnya. Ada white hat yang kerja dengan izin tertulis buat memperbaiki keamanan, grey hat yang cari celah tanpa izin tapi biasanya lapor, dan black hat yang make celah buat untung sendiri atau ngerusak. skill nya bisa mirip banget, bedanya di izin sama tujuan.
Makanya ada responsible disclosure: lapor secara privat ke vendor, kasih waktu buat benerin (umumnya 30 sampai 90 hari), dan baru publikasi detail teknik setelah patch tersedia. Pantes aja langkah terkahit di alur kerja tadi itu reporting dan disclosure, bukan “berhasil, udah , selesai”.
Di Indonesia, UU ITE (Pasal 30, 32, 22) dan UU PDP №27/2022 ikut ngatur. Intinya, izin tertulis itu syarat mutlak sebelum uji sistem yang bukan milik sendiri. Ngl, ini bikin aku jadi lebih hati-hati sih…
SooOoOo, sekarang kata “exploit” menurutku ga cuma berarti serangan lagi. Ada proses, ada pembagian peran, ada aturan main yang harus dipahami dulu. Dan nemu celah sama ngebuktin celah itu berbahaya ternyata dua pekerjaan yang berbeda.
Pemahamanku mungkin masih bakal geser-geser. Kalau ada yang udah lebih dulu belajar ini dan nemu yang kurang pas, koreksi aja yachh, aku terbuka banget. (●'◡'●)
