 |
| Pentesting |
Dengan menggunakan AWS, kamu bisa membuat lingkungan uji coba yang fleksibel, hemat biaya, dan bisa diakses dari mana saja. Artikel ini akan membahas langkah-langkah praktis membangun pentest lab di AWS, termasuk tools yang dibutuhkan dan hal-hal yang perlu diperhatikan.
1. Siapkan Akun AWS dan Izin Akses
Sebelum memulai, pastikan kamu memiliki:
-
Akun AWS aktif (kamu bisa manfaatkan AWS Free Tier untuk awal)
-
IAM Role atau user dengan hak akses terbatas ke EC2
-
Instalasi AWS CLI jika kamu ingin mengelola via command line
2. Buat EC2 Instance untuk Lab
Kamu membutuhkan dua instance utama:
A. Target (Vulnerable) Instance
-
Gunakan Ubuntu Server
-
Install aplikasi seperti:
-
DVWA (Damn Vulnerable Web Application)
-
OWASP Juice Shop
-
-
Tambahkan stack: Apache, PHP, MySQL, phpMyAdmin
B. Attacker Instance
- Gunakan image Kali Linux dari AWS Marketplace
- Install tools seperti: Metasploit, Nmap, Nikto, Burp Suite
Konfigurasi Security Groups:
- Buka port yang dibutuhkan antar kedua instance (misalnya: 80, 443, 3306)
- Tutup akses dari luar jika tidak diperlukan (gunakan akses IP terbatas)
3. Konfigurasi Lingkungan Uji
Pada instance target:
- Deploy aplikasi vulnerable
- Konfigurasi database (MySQL) dan user
- Pastikan aplikasi berjalan di browser (akses via IP EC2)
Pada instance attacker:
- Uji koneksi ke target dengan Nmap, curl, atau browser
- Siapkan environment testing kamu dengan workspace tersendiri
4. Lakukan Penetration Testing
Mulailah uji coba dengan teknik dasar seperti:
- Port scanning dengan Nmap
- SQL Injection dan XSS pada DVWA
- Brute force login
- Payload testing dengan Metasploit
5. Evaluasi dan Iterasi
Setelah uji coba:
- Analisis hasil penemuan
- Lakukan patching dan perbaikan (jika lab bersifat simulasi untuk sistem internal)
- Ulangi dengan tools dan teknik baru
Hal yang Perlu Diperhatikan
Kebijakan Penetration Testing AWS
AWS memiliki batasan dan kebijakan khusus terkait uji penetrasi. Kamu wajib membaca dokumentasi resmi di halaman AWS Penetration Testing Policy sebelum melakukan pentest.
Optimasi Biaya
- Gunakan AWS Free Tier sebanyak mungkin
- Matikan atau hapus instance saat tidak digunakan
- Gunakan tag untuk memantau penggunaan dan biaya
Keamanan Lab
- Buat VPC (Virtual Private Cloud) khusus
- Gunakan firewall dan rule yang ketat
- Selalu ubah default credential di aplikasi yang kamu deploy
Alternatif: Gunakan CloudGoat
CloudGoat adalah tool open-source dari Rhino Security Labs untuk membuat simulasi environment AWS yang rentan. Cocok untuk latihan skenario real-world AWS security.
