Ananda Dimas Prasetya
MerahPutih.com - Praktisi keamanan siber asal Indonesia, Stephanus Sunarto Purnomo, menemukan celah keamanan pada sistem NASA yang dalam proses validasinya menunjukkan potensi paparan terhadap lebih dari 5.000 kredensial internal.
Temuan tersebut awalnya dinilai berada pada tingkat Medium–High. Namun, hasil analisis lebih lanjut menunjukkan bahwa tingkat risiko tidak cukup dilihat dari severity sebuah vulnerability secara terpisah.
Melalui validasi manual, analisis security control, dan attack-path analysis, Stephanus menemukan adanya rangkaian kelemahan yang berpotensi memperbesar dampak dari kerentanan awal.
Bermula dari Satu Kerentanan
Penelitian Stephanus kemudian berkembang dengan melihat bagaimana security boundary pada sistem bekerja serta apakah kontrol keamanan yang diterapkan tetap efektif ketika diuji menggunakan skenario realistis.
Dari pengujian tersebut, analisis bergerak dari kerentanan awal menuju security control bypass, pelanggaran batas akses, hingga ditemukannya potensi paparan terhadap lebih dari 5.000 credential records.
Menurut Stephanus, jumlah kredensial yang terpapar bukan satu-satunya ukuran untuk menentukan tingkat risiko. Jenis akun, tingkat hak akses, validitas kredensial, cakupan sumber daya yang dapat diakses, serta kemungkinan keterkaitannya dengan kerentanan lain juga menjadi faktor yang perlu diperhitungkan.
Ia menilai kondisi tersebut menunjukkan mengapa hasil automated scanner tidak selalu menggambarkan keseluruhan risiko keamanan sebuah sistem.
“Scanner bisa menemukan vulnerability. Tetapi memahami bagaimana vulnerability tersebut berubah menjadi attack path membutuhkan cara berpikir yang berbeda,” ujar Stephanus.
Baca juga:
Analisis Manual Melihat Hubungan Antarcelah
Bagi Stephanus, sebuah kerentanan yang terlihat tidak terlalu kritis secara individual dapat menghasilkan dampak yang jauh lebih besar ketika dikombinasikan dengan kelemahan lain.
Karena itu, proses pengujian tidak berhenti pada pertanyaan apakah sebuah vulnerability dapat ditemukan. Peneliti juga perlu melihat bagaimana kelemahan tersebut dapat berinteraksi dengan kontrol keamanan dan batas akses yang ada di dalam sistem.
Pendekatan inilah yang membuat analisis berkembang dari satu temuan awal menjadi pemetaan sebuah attack path yang menunjukkan potensi dampak lebih luas.
Dilaporkan melalui Responsible Disclosure
Temuan tersebut kemudian dilaporkan melalui mekanisme responsible disclosure. Atas kontribusinya, Stephanus memperoleh Letter of Recognition (LOR) dari NASA.
Dalam proses penelitian, ia juga menekankan pentingnya menjaga batas etika ketika melakukan pengujian keamanan.
Validasi dilakukan untuk memperoleh bukti yang cukup mengenai keberadaan kerentanan dan dampaknya tanpa menyebabkan kerusakan terhadap sistem. Stephanus tidak melakukan perubahan atau penghapusan data, mengganggu layanan, menyalahgunakan akun, maupun menyebarluaskan informasi sensitif yang ditemukan.
Detail teknis seperti endpoint, token, kredensial, konfigurasi internal, dan metode bypass juga tidak dipublikasikan karena berpotensi disalahgunakan untuk mengulangi eksploitasi.
Prinsip yang dipegang dalam penelitian tersebut adalah membuktikan kerentanan, mengukur dampaknya, dan menghentikan pengujian sebelum menimbulkan kerugian.
Baca juga:
Pengalaman di Industri dan Pendidikan
Stephanus saat ini berkarier di sektor perbankan Indonesia dan memiliki pengalaman di bidang Cyber Security, IT Infrastructure, Security Monitoring, SIEM, Vulnerability Management, Incident Response, serta Information Security.
Di luar pekerjaannya di industri, ia juga aktif sebagai mentor Cyber Security di salah satu perguruan tinggi di Indonesia.
Dalam kegiatan tersebut, Stephanus membagikan pengalaman praktis mengenai vulnerability assessment, analisis risiko, attack surface, dan penerapan security mindset.
Menurutnya, kemampuan di bidang keamanan siber tidak cukup hanya dengan menguasai tools. Pemahaman mengenai cara kerja sistem, pola pikir penyerang, penerapan kontrol keamanan, serta batas etika dalam pengujian juga menjadi bagian penting dari pekerjaan seorang security researcher.
Peluang Peneliti Indonesia di Ekosistem Global
Pengakuan dari NASA menjadi salah satu pencapaian dalam aktivitas Stephanus sebagai security researcher.
Ia menilai pengalaman tersebut menunjukkan bahwa praktisi keamanan siber dari Indonesia memiliki peluang untuk berkontribusi dalam ekosistem keamanan digital global.
Bagi Stephanus, pencapaian tersebut sekaligus menjadi pengingat bahwa keamanan siber merupakan bidang yang terus berkembang dan membutuhkan pembelajaran berkelanjutan.
Cybersecurity bukan tentang seberapa jauh kita dapat menembus sebuah sistem. Cybersecurity adalah tentang menemukan kelemahan sebelum dimanfaatkan pihak yang berniat buruk, membuktikan risikonya, dan membantu membuat sistem menjadi lebih aman,
Praktisi keamanan siber asal Indonesia, Stephanus Sunarto Purnom.
(*)
