Pendahuluan Perkembangan internet, jaringan komputer, aplikasi web, layanan cloud, perangkat IoT, dan sistem informasi membawa banyak manfaat bagi masyarakat. Namun, semakin banyak layanan yang terhubung ke jaringan, semakin besar pula ...
Ditulis oleh Guru SKJ pada 29 Jul 2026
Perkembangan internet, jaringan komputer, aplikasi web, layanan cloud, perangkat IoT, dan sistem informasi membawa banyak manfaat bagi masyarakat. Namun, semakin banyak layanan yang terhubung ke jaringan, semakin besar pula kemungkinan munculnya kelemahan keamanan.
Sebuah server dapat menggunakan password yang lemah. Sebuah aplikasi mungkin memiliki kesalahan konfigurasi. Router dapat membuka layanan yang tidak diperlukan. Komputer pengguna bisa menggunakan perangkat lunak yang belum diperbarui. Semua kelemahan tersebut dapat dimanfaatkan oleh pihak yang tidak bertanggung jawab.
Untuk menemukan kelemahan sebelum disalahgunakan, organisasi dapat melakukan pengujian keamanan yang dikenal sebagai ethical hacking atau peretasan etis.
Ethical hacking bukan kegiatan menyerang sistem secara sembarangan. Ethical hacking merupakan pengujian keamanan yang dilakukan:
dengan izin;
dalam ruang lingkup yang jelas;
menggunakan metode terukur;
menghindari kerusakan;
mencatat seluruh kegiatan;
menghasilkan laporan;
bertujuan memperbaiki keamanan.
Dalam pembelajaran, ethical hacking sebaiknya dilakukan hanya pada:
mesin virtual milik sendiri;
jaringan laboratorium;
perangkat sekolah yang secara khusus disediakan untuk praktik;
aplikasi uji;
platform CTF;
sistem yang memiliki izin tertulis dari pemiliknya.
Ethical hacking adalah kegiatan menguji keamanan sistem komputer, jaringan, server, atau aplikasi secara sah untuk menemukan kelemahan sebelum ditemukan dan dimanfaatkan oleh penyerang.
Seorang ethical hacker menggunakan cara berpikir penyerang, tetapi bekerja untuk kepentingan perlindungan.
Tujuan utamanya bukan mencuri data atau merusak sistem, melainkan:
menemukan kelemahan;
memahami dampaknya;
menunjukkan bukti secara terkendali;
memberikan rekomendasi perbaikan;
membantu organisasi mengurangi risiko.
Contoh kegiatan ethical hacking:
Memeriksa port yang terbuka pada server laboratorium.
Mengidentifikasi versi layanan yang sudah lama.
Menguji apakah password mengikuti kebijakan keamanan.
Memeriksa konfigurasi firewall.
Menganalisis keamanan aplikasi web uji.
Mencatat trafik pada jaringan milik sendiri.
Memeriksa apakah informasi sensitif dikirim tanpa enkripsi.Perbedaan utama tidak hanya terletak pada tools yang digunakan, tetapi pada izin, tujuan, ruang lingkup, dan tanggung jawab.
| Aspek | Ethical Hacking | Hacking Tanpa Izin |
|---|---|---|
| Izin | Ada izin yang jelas | Tidak memiliki izin |
| Tujuan | Menemukan dan memperbaiki kelemahan | Mengambil keuntungan atau merusak |
| Ruang lingkup | Ditentukan sebelumnya | Tidak dibatasi pemilik sistem |
| Data | Dilindungi dan diminimalkan | Dapat dicuri atau disalahgunakan |
| Dampak | Dihindari dan dikendalikan | Sering tidak dipedulikan |
| Dokumentasi | Dibuat secara profesional | Biasanya disembunyikan |
| Pelaporan | Disampaikan kepada pemilik | Tidak dilaporkan secara bertanggung jawab |
| Legalitas | Dapat sah jika dilakukan sesuai izin | Berpotensi melanggar hukum |
Kalimat penting yang perlu dipahami peserta didik:
Kemampuan teknis tidak otomatis memberikan hak untuk menguji sistem orang lain.White hat adalah pihak yang menguji keamanan secara sah dan berizin.
Karakteristiknya:
mempunyai izin;
mengikuti ruang lingkup;
menjaga kerahasiaan;
menghindari kerusakan;
membuat laporan;
memberikan rekomendasi.
Contoh profesi:
penetration tester;
security analyst;
vulnerability assessor;
security consultant;
red team operator;
auditor keamanan.
Black hat melakukan akses atau serangan tanpa hak.
Tujuannya dapat berupa:
mencuri data;
mengambil akun;
merusak sistem;
memeras korban;
memasang malware;
menjual akses;
mengganggu layanan.
Gray hat berada di wilayah abu-abu. Seseorang mungkin mengaku ingin membantu, tetapi melakukan pengujian tanpa izin atau melampaui batas yang diberikan.
Niat yang dianggap baik tidak otomatis membuat kegiatan menjadi sah.
Contoh:
Menemukan website yang terlihat lemah, lalu memindainya tanpa izin.Walaupun orang tersebut berniat melaporkan hasilnya, aktivitas awalnya tetap berisiko karena pemilik sistem tidak pernah memberikan persetujuan.
Ethical hacking dapat membantu organisasi untuk:
mengetahui aset yang terhubung ke jaringan;
menemukan port dan layanan yang tidak diperlukan;
menemukan perangkat lunak yang belum diperbarui;
menguji aturan firewall;
menguji keamanan autentikasi;
menemukan kesalahan konfigurasi;
menguji pemisahan jaringan;
memahami risiko kebocoran data;
menguji respons tim ketika terjadi insiden;
menyusun prioritas perbaikan.
Ethical hacking bukan sekadar mendapatkan akses. Hasil paling pentingnya adalah perbaikan keamanan yang dapat dilakukan.
Vulnerability assessment berfokus pada pencarian dan pengelompokan kelemahan.
Hasilnya dapat berupa:
Port 22 terbuka.
Versi web server sudah lama.
TLS menggunakan konfigurasi lemah.
Directory listing aktif.
Password policy belum diterapkan.Pengujian ini umumnya memiliki cakupan lebih luas, tetapi pembuktian dampaknya lebih terbatas.
Penetration testing berusaha membuktikan apakah suatu kelemahan benar-benar dapat memberikan dampak.
Namun, pembuktian tetap dilakukan sesuai izin dan batas pengujian.
Perbandingan:
| Aspek | Vulnerability Assessment | Penetration Testing |
|---|---|---|
| Fokus | Menemukan kelemahan | Membuktikan risiko |
| Cakupan | Lebih luas | Lebih terarah |
| Eksploitasi | Tidak selalu dilakukan | Dapat dilakukan secara terbatas |
| Hasil | Daftar temuan | Temuan, bukti, dan dampak |
| Risiko pengujian | Relatif lebih rendah | Lebih tinggi |
| Kebutuhan izin | Tetap wajib | Wajib dan lebih terperinci |
Authorization berarti memiliki izin dari pihak yang berwenang.
Izin sebaiknya dibuat secara tertulis dan menyebutkan:
pemilik sistem;
pihak penguji;
target;
waktu;
metode yang diperbolehkan;
metode yang dilarang;
kontak darurat;
cara menangani temuan.
Scope adalah batas pengujian.
Contoh scope:
Diizinkan:
192.168.10.20
192.168.10.30
lab.sija.local
Tidak diizinkan:
Router utama sekolah
Database produksi
Jaringan tata usaha
Sistem milik pihak ketigaPenguji harus mengurangi kemungkinan:
layanan mati;
data berubah;
data terhapus;
akun terkunci;
penyimpanan penuh;
jaringan menjadi lambat;
informasi bocor.
Informasi yang ditemukan selama pengujian harus dijaga.
Contoh informasi sensitif:
password;
token;
konfigurasi;
alamat internal;
data pengguna;
isi database;
private key;
backup.
Seluruh tindakan harus dapat ditelusuri.
Penguji perlu menyimpan:
waktu pengujian;
alamat sumber;
perintah yang digunakan;
screenshot;
log;
hasil tools;
perubahan yang dilakukan.
Temuan disampaikan kepada pemilik sistem melalui jalur yang benar dan tidak dipublikasikan sembarangan.
Rules of Engagement atau RoE adalah dokumen aturan pelaksanaan pengujian.
RoE sebaiknya memuat:
Nama organisasi
Nama penanggung jawab
Nama penguji
Kontak daruratAlamat IP
Domain
Aplikasi
Server
Jaringan
APITanggal mulai
Tanggal selesai
Jam pengujian
Jam yang harus dihindariContoh:
discovery;
port scanning terbatas;
pemeriksaan konfigurasi;
pengujian autentikasi dengan akun uji;
analisis trafik laboratorium;
pengujian aplikasi uji.
Contoh:
denial of service;
penghapusan data;
pengubahan nilai;
pengiriman phishing ke pengguna nyata;
instalasi persistence;
pengujian terhadap pihak ketiga;
penyebaran malware;
social engineering tanpa persetujuan.
RoE menentukan:
data yang boleh disimpan;
tempat penyimpanan;
metode enkripsi;
siapa yang boleh melihat;
kapan data harus dihapus.
Metodologi dapat berbeda, tetapi secara umum terdiri atas tahapan berikut.
Izin dan Penentuan Scope
↓
Pengumpulan Informasi
↓
Discovery dan Scanning
↓
Enumeration
↓
Analisis Kerentanan
↓
Validasi Terbatas
↓
Analisis Dampak
↓
Pelaporan
↓
Perbaikan
↓
RetestTahap ini dilakukan sebelum menjalankan tools.
Pertanyaan yang harus dijawab:
Siapa pemilik sistem?
Siapa yang memberi izin?
Target mana yang boleh diuji?
Target mana yang dilarang?
Kapan pengujian dilakukan?
Berapa besar trafik yang diizinkan?
Apakah pengujian password diizinkan?
Apakah validasi kerentanan diizinkan?
Bagaimana jika layanan terganggu?
Kepada siapa temuan dilaporkan?
Tanpa jawaban yang jelas, pengujian tidak boleh dimulai.
Pengumpulan informasi bertujuan memahami lingkungan target.
Dalam laboratorium, informasi dapat meliputi:
alamat IP;
subnet;
sistem operasi;
nama host;
domain internal;
layanan aktif;
teknologi aplikasi;
hubungan antarsistem.
Pengumpulan informasi dibagi menjadi:
Mengumpulkan informasi tanpa berinteraksi langsung secara intensif dengan target.
Mengirimkan permintaan langsung ke target.
Active reconnaissance hanya dilakukan terhadap target yang berada dalam scope.
Discovery digunakan untuk mengetahui perangkat yang aktif.
Scanning digunakan untuk mengetahui:
port terbuka;
protokol;
layanan;
kemungkinan versi aplikasi;
respons firewall.
Scanning bukan bukti bahwa sistem telah berhasil dimasuki. Port yang terbuka hanya menunjukkan adanya layanan yang dapat dihubungi.
Contoh hasil:
22/tcp open ssh
80/tcp open http
443/tcp open httpsSetiap port perlu dianalisis:
apakah memang diperlukan;
apakah dibatasi;
apakah versinya masih didukung;
apakah menggunakan enkripsi;
apakah dapat diakses dari jaringan yang salah.
Enumeration adalah proses memperoleh informasi lebih rinci dari layanan.
Contohnya:
banner layanan;
versi aplikasi;
nama host;
informasi sertifikat;
struktur aplikasi;
metode autentikasi;
endpoint yang tersedia.
Enumeration dilakukan secara hati-hati karena interaksinya lebih aktif dibanding discovery.
Pada tahap ini, penguji membandingkan hasil discovery dan enumeration dengan:
dokumentasi vendor;
konfigurasi yang disarankan;
kebijakan organisasi;
daftar kerentanan;
baseline keamanan;
praktik terbaik.
Kerentanan dapat berasal dari:
perangkat lunak lama;
password lemah;
layanan yang tidak diperlukan;
hak akses berlebihan;
konfigurasi default;
protokol tanpa enkripsi;
segmentasi yang buruk;
firewall yang salah;
data sensitif terbuka.
Validasi bertujuan memastikan bahwa temuan bukan false positive.
Validasi harus mengikuti RoE.
Prinsip validasi:
Gunakan bukti minimum yang cukup.
Jangan mengambil data lebih dari yang diperlukan.
Jangan mempertahankan akses.
Jangan mengubah sistem tanpa izin.
Hentikan pengujian jika muncul risiko gangguan.Dalam lingkungan sekolah, validasi dapat diganti dengan simulasi pada mesin uji agar tidak menyentuh sistem nyata.
Laporan adalah hasil utama ethical hacking.
Laporan yang baik menjelaskan:
apa yang ditemukan;
di mana ditemukan;
bagaimana ditemukan;
risiko yang ditimbulkan;
bukti yang cukup;
rekomendasi perbaikan;
prioritas penanganan.
Contoh format temuan:
Judul:
Layanan Administrasi Dapat Diakses dari Semua Jaringan
Target:
192.168.10.20:8291
Tingkat Risiko:
Tinggi
Deskripsi:
Layanan administrasi router dapat diakses dari jaringan pengguna.
Dampak:
Memperluas permukaan serangan terhadap router.
Rekomendasi:
Batasi akses hanya dari VLAN administrator atau melalui VPN.Temuan dapat dikelompokkan menjadi:
Dapat menyebabkan pengambilalihan sistem, kebocoran besar, atau gangguan kritis.
Dapat menyebabkan akses tidak sah atau kebocoran informasi penting.
Memerlukan kondisi tertentu atau menghasilkan dampak terbatas.
Risikonya kecil, tetapi tetap perlu diperbaiki.
Bukan kerentanan langsung, tetapi memberikan informasi untuk peningkatan keamanan.
Penentuan risiko sebaiknya mempertimbangkan:
Risiko = kemungkinan × dampakKali Linux adalah distribusi Linux berbasis Debian yang dikembangkan untuk penetration testing dan audit keamanan. Kali bersifat open source, tersedia secara bebas, dan dapat dijalankan pada komputer fisik, mesin virtual, container, cloud, ARM, maupun beberapa lingkungan lainnya. (Kali Linux)
Kali Linux menyediakan banyak tools untuk:
information gathering;
vulnerability analysis;
web assessment;
network analysis;
wireless assessment;
digital forensics;
reverse engineering;
reporting.
Kali ditujukan terutama untuk praktisi penetration testing dan keamanan. Dokumentasi resminya menyebutkan bahwa Kali bukan pilihan utama sebagai sistem operasi desktop umum bagi pengguna yang belum memahami Linux. Untuk pembelajaran awal, Kali lebih aman dijalankan dalam mesin virtual. (Kali Linux)
Kali Linux bukan sistem operasi ilegal.
Tools keamanan juga tidak otomatis ilegal. Legalitas penggunaannya bergantung pada:
target;
izin;
tujuan;
metode;
dampak;
aturan yang berlaku.
Analogi sederhananya:
Obeng dapat digunakan untuk memperbaiki perangkat.
Obeng juga dapat disalahgunakan untuk membongkar milik orang lain.Masalahnya bukan sekadar kepemilikan alat, melainkan bagaimana dan terhadap siapa alat tersebut digunakan.
Kali Linux sebaiknya digunakan pada jaringan virtual yang terisolasi.
Topologi:
Komputer Host
|
VirtualBox atau Proxmox
|
├── Kali Linux
├── Linux Server Uji
├── Windows Client Uji
└── MikroTik CHRContoh pengalamatan:
Network Lab : 192.168.10.0/24
Gateway MikroTik : 192.168.10.1
Kali Linux : 192.168.10.10
Server Uji : 192.168.10.20
Windows Uji : 192.168.10.30Gunakan mode jaringan:
Internal Network;
Host-only Network;
VLAN laboratorium terpisah.
Jangan menghubungkan mesin uji yang sengaja dibuat rentan secara langsung ke internet atau jaringan produksi.
Tahapan umum:
Unduh image dari sumber resmi.
Verifikasi checksum image.
Buat mesin virtual.
Atur CPU dan RAM.
Pasang disk virtual.
Gunakan jaringan internal.
Instal Kali.
Lakukan update.
Buat snapshot awal.
Dokumentasi Kali menyediakan panduan instalasi, virtualisasi, container, WSL, cloud, dan berbagai platform lain. Image resmi sebaiknya diverifikasi agar tools yang digunakan dapat dipercaya. (Kali Linux)
Konfigurasi sederhana:
CPU : 2 core
RAM : 4 GB
Disk : 40 GB
Network : Internal NetworkSesuaikan dengan kemampuan komputer laboratorium.
whoamipwdls
ls -lacd /home/kalimkdir laporan-labcp hasil.txt hasil-cadangan.txtmv hasil.txt laporan-lab/cat hasil.txt
less hasil.txtps auxdf -hfree -hsudo apt updatesudo apt full-upgradeip addressVersi singkat:
ip aip routecat /etc/resolv.confping -c 4 192.168.10.1ping -c 4 192.168.10.20ss -tulpncurl http://192.168.10.20curl -I http://192.168.10.20Perintah tersebut digunakan hanya terhadap server laboratorium yang telah disiapkan.
Nmap digunakan untuk network discovery dan pemeriksaan port.
Contoh discovery pada subnet laboratorium:
nmap -sn 192.168.10.0/24Perintah tersebut membantu menemukan host yang merespons pada jaringan uji.
Pemeriksaan port pada server milik sendiri:
nmap 192.168.10.20Pemeriksaan layanan:
nmap -sV 192.168.10.20Simpan hasil:
nmap -sV 192.168.10.20 -oN hasil-nmap.txtJangan menjalankan scanning terhadap:
website publik;
IP internet yang tidak dimiliki;
jaringan tetangga;
router ISP;
hotspot umum;
sistem sekolah di luar scope.
Scanning dapat menghasilkan log, alert, penggunaan resource, dan konsekuensi hukum apabila dilakukan tanpa hak.
Wireshark digunakan untuk menangkap dan menganalisis paket jaringan.
Penggunaan yang diperbolehkan dalam laboratorium:
mengamati ARP;
mengamati ICMP;
membandingkan HTTP dan HTTPS;
melihat proses DNS;
menganalisis DHCP;
mengamati TCP handshake;
memeriksa troubleshooting jaringan.
Contoh filter:
arp
icmp
dns
dhcp
tcp
httpPeserta didik hanya boleh menangkap trafik:
perangkat milik sendiri;
interface laboratorium;
jaringan yang telah diberi izin.
Intersepsi atau penyadapan terhadap informasi elektronik atau transmisi nonpublik milik pihak lain tanpa hak dilarang dalam ketentuan UU ITE. (JDIH Kemkomdigi)
Burp Suite adalah platform pengujian keamanan aplikasi web. Tools di dalamnya dapat digunakan untuk memetakan aplikasi, mengamati request dan response, serta membantu menganalisis permukaan serangan aplikasi. (Kali Linux)
Untuk pembelajaran dasar, Burp Suite dapat digunakan pada aplikasi uji untuk:
memahami HTTP request;
melihat HTTP response;
memahami header;
melihat cookie;
memahami parameter formulir;
membandingkan HTTP dan HTTPS.
Penggunaan dilakukan hanya pada:
localhost
aplikasi buatan sendiri
DVWA laboratorium
OWASP Juice Shop lokal
server uji yang diizinkanJangan memasang proxy Burp untuk mencegat akun atau komunikasi milik pengguna lain.
Nikto digunakan untuk memeriksa konfigurasi web server dan beberapa masalah umum.
Dalam laboratorium:
nikto -h http://192.168.10.20Hasil Nikto perlu diverifikasi secara manual karena sebuah scanner dapat menghasilkan false positive.
Temuan dapat berupa:
header keamanan belum tersedia;
file default;
directory listing;
metode HTTP;
informasi versi;
konfigurasi server.
Nikto tidak boleh dijalankan terhadap website publik tanpa izin.
Metasploit Framework adalah platform pengujian keamanan yang dapat digunakan untuk validasi kerentanan dalam lingkungan yang sah.
Dalam pembelajaran dasar, fokuskan pada:
memahami modul;
membaca dokumentasi;
mengenal konsep exploit dan payload;
menjalankan pada mesin CTF lokal;
mendokumentasikan hasil.
Jangan melakukan praktik eksploitasi pada:
server produksi;
perangkat orang lain;
website publik;
komputer pengguna;
router ISP;
jaringan sekolah yang tidak masuk scope.
Praktik validasi sebaiknya menggunakan mesin khusus seperti:
Metasploitable dalam jaringan terisolasi;
aplikasi CTF;
mesin latihan yang sengaja dibuat rentan.
John the Ripper digunakan untuk audit kekuatan password.
Penggunaan yang diperbolehkan:
hash password buatan sendiri;
file latihan;
akun laboratorium;
audit yang memiliki izin.
Tujuan pembelajaran:
memahami bahaya password pendek;
membandingkan password sederhana dan passphrase;
memahami hash;
memahami salt;
menyusun kebijakan password.
Jangan menggunakan tools audit password untuk:
akun media sosial;
Wi-Fi orang lain;
file hasil pencurian;
akun pegawai;
sistem di luar scope.
Aircrack-ng digunakan dalam pengujian keamanan jaringan nirkabel.
Karena melibatkan gelombang radio dan perangkat lain di sekitar laboratorium, praktik Wi-Fi memerlukan pengawasan lebih ketat.
Praktik hanya dilakukan dengan:
access point laboratorium;
SSID khusus;
klien uji;
ruangan yang dikendalikan;
izin tertulis;
waktu yang ditentukan.
Jangan menguji:
Wi-Fi tetangga;
hotspot sekolah yang sedang digunakan;
jaringan publik;
router pribadi pihak lain.
Social engineering mengeksploitasi kelemahan manusia.
Contohnya:
phishing;
impersonation;
pretexting;
baiting;
permintaan OTP;
dukungan teknis palsu.
Simulasi social engineering hanya boleh dilakukan apabila:
disetujui pimpinan;
mempunyai skenario;
mempunyai daftar target;
melindungi peserta;
mempunyai mekanisme penghentian;
tidak mempermalukan korban;
tidak mengambil data asli.
Untuk pembelajaran siswa, gunakan contoh pesan fiktif dan akun simulasi.
Topologi yang disarankan:
INTERNET
|
NAT untuk Update
|
Kali Linux
192.168.10.10
|
Internal Network
|
MikroTik CHR
192.168.10.1
┌───────────┼───────────┐
| | |
Linux Server Windows Uji Web Uji
192.168.10.20 192.168.10.30 192.168.10.40Untuk keamanan, koneksi internet dapat dimatikan setelah update selesai.
Gunakan snapshot:
00-Kali-Bersih
01-Server-Uji-Bersih
02-Sebelum-Pengujian
03-Setelah-PerbaikanTujuan:
membaca IP;
membaca gateway;
membaca DNS;
memahami subnet.
Perintah:
ip a
ip route
cat /etc/resolv.confTujuan:
menemukan perangkat aktif;
membandingkan daftar aset.
nmap -sn 192.168.10.0/24nmap -sV 192.168.10.20Peserta didik mencatat:
port;
protokol;
layanan;
fungsi;
apakah diperlukan.
curl -I http://192.168.10.20Peserta didik memeriksa:
status code;
server header;
content type;
security header.
Gunakan Wireshark untuk mengamati:
ping;
DNS;
HTTP pada aplikasi uji.
Contoh perbaikan:
menutup port;
menonaktifkan layanan;
memperbarui server;
mengaktifkan HTTPS;
membatasi firewall;
mengganti password.
Jalankan kembali pemeriksaan dan bandingkan hasil sebelum serta setelah perbaikan.
Guru Menetapkan Scope
↓
Peserta Mencatat Topologi
↓
Membuat Snapshot
↓
Memeriksa IP dan Routing
↓
Melakukan Discovery
↓
Memeriksa Port Server Uji
↓
Mengidentifikasi Risiko
↓
Membuat Rekomendasi
↓
Melakukan Perbaikan
↓
Melakukan Retest
↓
Menyusun LaporanBuat direktori khusus:
mkdir -p ~/ethical-hacking-lab/{scan,screenshot,notes,report}Catatan pengujian dapat memuat:
Tanggal:
Penguji:
Target:
Izin:
Scope:
Waktu mulai:
Waktu selesai:
Perintah:
Hasil:
Temuan:
Dampak:
Rekomendasi:Simpan output Nmap:
nmap -sV 192.168.10.20 -oN ~/ethical-hacking-lab/scan/server-uji.txtData laporan harus dijaga dan tidak dibagikan melalui grup umum.
Bagian ini merupakan materi pengantar, bukan pengganti konsultasi hukum profesional.
Dasar hukum utama aktivitas sistem elektronik di Indonesia mencakup Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik, yang telah diubah melalui Undang-Undang Nomor 19 Tahun 2016 dan perubahan kedua melalui Undang-Undang Nomor 1 Tahun 2024. Pada 2026 juga terdapat Undang-Undang Nomor 1 Tahun 2026 mengenai penyesuaian ketentuan pidana terhadap berlakunya KUHP nasional. Karena aturan pidana dapat saling berkaitan, pembacaan ancaman pidana harus menggunakan naskah hukum terbaru dan, untuk kasus nyata, pendapat ahli hukum. (Database Peraturan | JDIH BPK)
Pasal 30 UU ITE pada pokoknya mengatur larangan mengakses komputer atau sistem elektronik milik pihak lain tanpa hak atau melawan hukum. Cakupannya termasuk akses untuk memperoleh informasi serta akses dengan menerobos atau menjebol sistem pengamanan. (JDIH Kemkomdigi)
Contoh aktivitas berisiko:
Login ke server orang lain tanpa izin.
Mencoba password pada router pihak lain.
Mengakses panel admin yang ditemukan di internet.
Memanfaatkan celah untuk masuk ke sebuah website.
Mengakses folder atau database yang bukan haknya.Walaupun data tidak diubah, akses tanpa hak tetap dapat menjadi masalah hukum.
Pasal 31 UU ITE mengatur larangan intersepsi atau penyadapan tanpa hak terhadap informasi elektronik atau transmisi elektronik yang tidak bersifat publik. (JDIH Kemkomdigi)
Contoh aktivitas berisiko:
menangkap trafik pengguna lain;
membaca komunikasi yang bukan miliknya;
memasang perangkat penyadap;
mencegat kredensial;
mengakses paket pada jaringan tanpa izin.
Karena itu, penggunaan Wireshark harus dibatasi pada:
trafik perangkat sendiri;
jaringan laboratorium;
skenario yang telah disetujui;
data simulasi.Pasal 32 UU ITE pada pokoknya mengatur perbuatan tanpa hak yang mengubah, menambah, mengurangi, mentransmisikan, merusak, menghilangkan, memindahkan, atau menyembunyikan informasi atau dokumen elektronik milik pihak lain atau publik. (JDIH Kemkomdigi)
Contoh:
mengubah halaman website;
menghapus database;
mengganti nilai;
memindahkan file rahasia;
mengubah konfigurasi;
mengunggah data ke lokasi lain.
Dalam ethical hacking, penguji tidak boleh mengubah data produksi kecuali secara jelas diizinkan dan telah disiapkan mekanisme pemulihannya.
Pasal 33 UU ITE berkaitan dengan tindakan tanpa hak yang mengakibatkan terganggunya sistem elektronik atau membuat sistem tidak bekerja sebagaimana mestinya.
Contoh:
membanjiri server dengan trafik;
membuat resource habis;
menghentikan service;
merusak konfigurasi;
menyebabkan aplikasi tidak tersedia.
Karena itu, pengujian DoS atau DDoS tidak boleh dilakukan dalam praktikum biasa.
Pengujian beban hanya dilakukan:
di lingkungan terisolasi;
dengan sistem khusus;
mempunyai batas resource;
mempunyai izin;
diawasi;
tidak terhubung ke produksi.
Peraturan juga perlu diperhatikan ketika seseorang membuat, menjual, memperoleh, mengimpor, mendistribusikan, menyediakan, atau memiliki perangkat, program, password, atau kode akses untuk memfasilitasi perbuatan terlarang.
Hal ini tidak berarti seluruh security tools dilarang. Dalam pendidikan dan keamanan, tools dapat memiliki fungsi yang sah.
Yang perlu diperhatikan adalah:
tujuan;
konteks;
izin;
cara penggunaan;
distribusi;
dampak.
Simpan tools laboratorium secara bertanggung jawab dan jangan membagikan malware atau kredensial.
Ethical hacking dapat mempertemukan penguji dengan data pribadi.
Contohnya:
nama;
alamat;
nomor telepon;
identitas;
akun;
informasi siswa;
log aktivitas;
data kesehatan;
informasi keuangan.
Penguji harus menerapkan prinsip minimisasi data:
Jangan mengambil data jika tidak diperlukan.
Jangan menyalin seluruh database hanya untuk bukti.
Samarkan identitas pada laporan.
Enkripsi file temuan.
Hapus salinan setelah tugas selesai.Selain UU ITE, pengelolaan data pribadi juga perlu memperhatikan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi serta kebijakan internal organisasi.
Izin tertulis melindungi:
pemilik sistem;
penguji;
pengguna;
data;
operasional organisasi.
Izin lisan sering menimbulkan perbedaan pemahaman.
Contoh izin yang tidak cukup:
“Coba cek web saya.”Kalimat tersebut belum menjelaskan:
halaman mana;
domain mana;
waktu;
metode;
apakah scanning diizinkan;
apakah password testing diizinkan;
apakah subdomain termasuk;
apakah server pihak ketiga termasuk.
Izin harus spesifik.
PEMBERIAN IZIN PENGUJIAN KEAMANAN
Pemilik sistem memberikan izin kepada tim penguji untuk melakukan
pengujian keamanan pada lingkungan laboratorium berikut:
Target:
192.168.10.20
lab-sija.local
Waktu:
10–12 Agustus 2026, pukul 08.00–15.00 WIB
Diizinkan:
Discovery, port scanning terbatas, pemeriksaan konfigurasi,
analisis aplikasi uji, dan validasi non-destruktif.
Dilarang:
DoS/DDoS, penghapusan data, pengubahan data produksi,
social engineering, pengujian pihak ketiga, dan persistence.
Seluruh hasil wajib dirahasiakan dan disampaikan kepada pemilik sistem.Dokumen nyata perlu disesuaikan dengan kebijakan organisasi dan nasihat hukum.
Peserta didik tidak boleh:
memindai website publik;
mencoba akun guru;
menangkap trafik teman;
menguji Wi-Fi sekitar;
menggunakan password dump;
memasang backdoor;
mengirim phishing;
mengunggah malware;
mematikan layanan sekolah;
mengubah data;
membagikan kerentanan secara publik.
Peserta didik boleh berlatih pada:
VM Kali;
VM server uji;
MikroTik CHR;
aplikasi lokal;
file latihan;
CTF;
jaringan yang dibuat guru.
1. Saya hanya menguji sistem yang diizinkan.
2. Saya mematuhi scope.
3. Saya tidak mengambil data orang lain.
4. Saya tidak merusak atau mengganggu layanan.
5. Saya tidak membagikan password atau kerentanan.
6. Saya mencatat seluruh tindakan.
7. Saya melaporkan temuan kepada guru.
8. Saya menghentikan pengujian jika muncul risiko.
9. Saya menggunakan pengetahuan untuk perlindungan.
10. Saya siap mempertanggungjawabkan tindakan.Sebuah sekolah memiliki server uji:
IP Server : 192.168.10.20
Layanan : HTTP dan SSHGuru memberikan izin untuk:
discovery;
port scanning;
pemeriksaan versi;
pemeriksaan konfigurasi web;
analisis trafik sendiri.
Guru melarang:
brute force;
DoS;
perubahan file;
pengambilan database;
persistence.
Peserta didik menjalankan:
ping -c 4 192.168.10.20
nmap -sV 192.168.10.20
curl -I http://192.168.10.20Hasil:
22/tcp open ssh
80/tcp open http
Server header menampilkan informasi versi.
HTTPS belum digunakan.Temuan:
1. Informasi versi server terlalu terbuka.
2. Website masih menggunakan HTTP.
3. Akses SSH belum dibatasi berdasarkan jaringan.Rekomendasi:
1. Kurangi informasi banner.
2. Aktifkan HTTPS.
3. Batasi SSH hanya dari jaringan admin atau VPN.
4. Gunakan autentikasi key.
5. Pantau log login.Peserta didik tidak perlu masuk ke server untuk menghasilkan laporan yang bermanfaat.
Laporan Pengujian Keamanan Laboratorium
Nama Penguji
Tanggal
TargetBerisi:
tujuan;
ruang lingkup;
jumlah temuan;
risiko utama;
rekomendasi utama.
Discovery
Port scanning
Service identification
Configuration review
Traffic analysis
Retest| ID | Temuan | Risiko | Status |
|---|---|---|---|
| EH-01 | HTTP tanpa TLS | Tinggi | Terbuka |
| EH-02 | SSH dapat diakses semua LAN | Sedang | Terbuka |
| EH-03 | Banner versi terlihat | Rendah | Terbuka |
Setiap temuan memuat:
judul;
target;
tingkat risiko;
deskripsi;
bukti;
dampak;
rekomendasi.
Menjelaskan kondisi keamanan dan prioritas perbaikan.
Scanner tidak selalu benar. Hasil harus dianalisis.
Port terbuka dapat merupakan kebutuhan layanan.
Target publik tetap milik pihak lain.
Tanpa scope, penguji mudah melampaui izin.
Bukti harus disensor.
Mesin rentan dapat diserang pihak lain.
Tujuan ethical hacking adalah perbaikan keamanan.
Perbaikan harus diuji kembali.
hardware;
sistem operasi;
file system;
terminal;
proses;
user dan permission.
IP Address;
subnetting;
routing;
DNS;
DHCP;
TCP dan UDP;
port;
HTTP dan HTTPS.
command line;
permission;
service;
log;
package management;
shell scripting dasar.
CIA Triad;
autentikasi;
kriptografi;
firewall;
VPN;
vulnerability;
risk.
reconnaissance;
discovery;
scanning;
enumeration;
analisis;
pelaporan.
hardening;
logging;
monitoring;
incident response;
backup;
patch management.
1. Ethical hacking adalah ....
A. menyerang semua sistem di internet
B. menguji keamanan secara sah dan berizin
C. mencuri data untuk pembelajaran
D. membuka akun orang lain
2. Hal pertama sebelum pengujian adalah ....
A. menjalankan scanner
B. memperoleh izin dan menentukan scope
C. mencoba password
D. menghapus log
3. Scope digunakan untuk ....
A. menentukan batas pengujian
B. menambah bandwidth
C. mengganti alamat IP
D. membuat password
4. Kali Linux merupakan ....
A. distribusi Linux untuk audit keamanan
B. jenis router
C. layanan email
D. aplikasi perkantoran
5. Nmap digunakan untuk ....
A. discovery dan pemeriksaan port
B. membuat dokumen
C. mengedit video
D. membuat tabel
6. Wireshark digunakan untuk ....
A. menganalisis paket jaringan
B. membuat virtual machine
C. mengatur printer
D. membuat database
7. Penggunaan Wireshark yang benar adalah ....
A. menangkap trafik siapa pun
B. menganalisis trafik laboratorium yang diizinkan
C. mencuri password Wi-Fi
D. membaca komunikasi teman
8. Laporan ethical hacking harus berisi ....
A. temuan dan rekomendasi
B. password semua pengguna
C. data pribadi korban
D. malware
9. Retest dilakukan untuk ....
A. memastikan perbaikan berhasil
B. menghapus bukti
C. menambah target
D. mengubah scope
10. Akses sistem tanpa hak berpotensi ....
A. melanggar ketentuan hukum
B. selalu diperbolehkan untuk siswa
C. menjadi sah karena menggunakan Kali
D. tidak memiliki risiko
11. Gray hat dianggap berisiko karena ....
A. dapat menguji tanpa izin
B. selalu bekerja untuk pemilik
C. hanya menggunakan Windows
D. tidak mengenal jaringan
12. Ethical hacker harus menghindari ....
A. dokumentasi
B. kerusakan data dan layanan
C. laporan
D. rekomendasi
13. Mesin uji sebaiknya ditempatkan pada ....
A. jaringan virtual terisolasi
B. jaringan publik
C. Wi-Fi tetangga
D. server produksi
14. Output scanner harus ....
A. diverifikasi dan dianalisis
B. dianggap selalu benar
C. langsung dipublikasikan
D. dikirim ke semua orang
15. Tujuan akhir ethical hacking adalah ....
A. memperbaiki keamanan
B. mendapatkan akun administrator
C. mengganggu layanan
D. menyembunyikan aktivitas
1. B
2. B
3. A
4. A
5. A
6. A
7. B
8. A
9. A
10. A
11. A
12. B
13. A
14. A
15. AJelaskan perbedaan white hat, gray hat, dan black hat.
Mengapa izin tertulis diperlukan?
Apa yang dimaksud scope?
Jelaskan perbedaan vulnerability assessment dan penetration testing.
Mengapa hasil scanner harus diverifikasi?
Sebutkan lima informasi yang harus ada dalam laporan.
Mengapa mesin rentan harus ditempatkan pada jaringan terisolasi?
Jelaskan risiko menangkap trafik tanpa izin.
Apa hubungan ethical hacking dengan UU ITE?
Mengapa ethical hacking harus diakhiri dengan retest?
Ethical hacking adalah kegiatan pengujian keamanan yang sah, terukur, dan bertanggung jawab.
Hal yang membedakan ethical hacking dari tindakan ilegal adalah:
Ada izin.
Ada scope.
Ada aturan.
Ada batas.
Ada dokumentasi.
Ada pelaporan.
Ada perbaikan.Kali Linux merupakan platform yang sangat berguna untuk mempelajari keamanan jaringan dan penetration testing. Namun, kemampuan tools Kali harus disertai:
pemahaman jaringan;
kemampuan Linux;
etika;
dokumentasi;
kesadaran hukum;
tanggung jawab terhadap data.
Penggunaan tools tanpa izin terhadap komputer, sistem elektronik, jaringan, komunikasi, atau data pihak lain dapat berhadapan dengan ketentuan mengenai akses tanpa hak, intersepsi, perubahan data, dan gangguan sistem dalam UU ITE. (JDIH Kemkomdigi)
Karena itu, pembelajaran ethical hacking harus selalu dilakukan pada:
mesin milik sendiri;
laboratorium virtual;
CTF;
aplikasi uji;
sistem yang memiliki izin tertulis.
Ethical hacking bukan tentang seberapa banyak sistem yang dapat dimasuki. Ethical hacking adalah tentang seberapa baik seseorang dapat menemukan risiko, menjelaskan dampaknya, dan membantu pemilik sistem memperbaiki keamanannya.
Materi ini dapat dilanjutkan dengan praktikum instalasi Kali Linux, pengenalan terminal, pembangunan jaringan virtual, Nmap dasar, Wireshark, hardening server, dan penyusunan laporan pengujian.