Black box, white box, dan grey box dalam pentest

Apa yang membedakan ketiganya?

Black box, white box, dan grey box menggambarkan tingkat informasi serta akses penguji. Istilah tersebut belum cukup menjadi lingkup pekerjaan. Selalu tuliskan informasi, akun, kode, dan lingkungan apa yang benar-benar diberikan.

Ketiganya dapat digabung sesuai lingkup yang disepakati.

Black box

Informasi

Terbatas; tidak menerima rincian internal seperti kode atau arsitektur.

Contoh tujuan

Memeriksa permukaan layanan yang terlihat dari luar dalam aset yang diizinkan.

Grey box

Informasi

Sebagian, misalnya akun beberapa peran dan dokumentasi API.

Contoh tujuan

Memeriksa batas akses antar-pelanggan dan alur setelah login.

White box

Informasi

Lebih lengkap, termasuk kode atau arsitektur dalam lingkup.

Contoh tujuan

Meninjau kontrol internal dan menelusuri penyebab kelemahan.

Tulis akses yang benar-benar diberikan. Label pendekatan tidak menjamin cakupan atau kualitas hasil.

Rujukan: WSTG 4.2 — Introduction.

Ejaan gray box juga digunakan untuk grey box. Praktiknya dapat berbeda antar-penyedia, sehingga kesepakatan tertulis lebih berguna daripada label saja. White box pun tidak berarti semua baris kode otomatis diperiksa.

Pilih berdasarkan pertanyaan

Ingin mengetahui apa yang terlihat tanpa akun? Pemeriksaan black box pada permukaan publik dapat menjadi bagian pekerjaan. Namun, waktu dapat banyak terpakai untuk menemukan alur yang sebenarnya sudah diketahui tim. Ia tidak membuktikan keamanan fungsi setelah login.

Ingin membandingkan izin pelanggan dan admin? Berikan akun uji dengan peran yang diperlukan. Pendekatan grey box membantu pemeriksaan langsung terhadap batas akses dan alur bisnis, tanpa harus mendapatkan akun lewat jalur lain terlebih dahulu.

Ingin meninjau kontrol yang sulit terlihat dari luar? Dokumentasi arsitektur dan kode yang relevan dalam pendekatan white box dapat membantu menjelaskan penyebab serta cakupan kelemahan. Tetapkan repositori, versi, bagian kode, dan kedalaman peninjauannya.

Contoh satu proyek

Tim SaaS fiktif hendak merilis ekspor tagihan. Tim memilih pemeriksaan grey box dengan akun dua pelanggan dan satu petugas dukungan. Dokumentasi API serta aturan izin diberikan. Modul otorisasi kemudian ditinjau dengan akses kode terbatas yang disepakati.

Dalam laporan, penguji menuliskan akses tambahan itu. Mereka tidak menyebut seluruh proyek “tanpa informasi” setelah menerima kode. Hasilnya menunjukkan apa yang diperiksa dan apa yang masih berada di luar lingkup.

Hal yang tetap diperlukan pada semua pendekatan

• Izin tertulis dari pihak yang berwenang serta daftar aset yang boleh diuji.
• Jadwal, kontak darurat, larangan tindakan, dan aturan penghentian.
• Data uji dan cara menyimpan atau menghapus bukti.
• Bentuk laporan, penyampaian temuan mendesak, serta lingkup retest.

Black box bukan izin untuk menguji sistem siapa pun. White box bukan jaminan tanpa celah. Biaya dan durasi juga tidak dapat dipastikan dari label saja.

Susun lingkup pentest website dan API, lalu cocokkan penawaran dengan panduan memilih vendor. Setelah pengujian, gunakan cara membaca laporan.