cyberagent.id · docs Methodology

Metodologi & Standar

Cara kami bekerja, alat yang dipakai, dan kontrol kualitas yang memastikan laporan bebas dari temuan yang tidak dapat dibuktikan.

ID/EN

Alur Kerja

Pemetaan permukaan

Identifikasi seluruh aset, endpoint, peran pengguna, dan alur data dalam cakupan. Termasuk jalur tidak terdokumentasi yang ditemukan dari aplikasi klien dan konfigurasi.

Tinjauan manual

Pembacaan kode dan konfigurasi secara manual pada jalur kritis: otentikasi, otorisasi, pemrosesan input, penanganan rahasia, dan integrasi antar sistem.

Pengujian dinamis

Pengujian pada sistem yang berjalan dengan pelacakan aliran request, perbandingan respons antar peran, dan pengujian batas input — seluruhnya non-destruktif.

Validasi bukti

Setiap kandidat temuan direproduksi ulang dari kondisi bersih, direkam lengkap (request, respons, timestamp), dan dinilai dampaknya. Yang tidak lolos tahap ini tidak masuk laporan.

Pelaporan & re-test

Temuan disusun dengan severity terukur dan langkah remediasi, lalu diuji ulang setelah perbaikan.

Framework Acuan

Framework	Peran dalam pekerjaan kami
OWASP Top 10	Baseline pengujian aplikasi web
OWASP API Security Top 10	Baseline pengujian API
OWASP LLM Top 10	Baseline pengujian sistem berbasis model bahasa
OWASP ASVS & WSTG	Level verifikasi dan langkah pengujian terperinci
MITRE ATT&CK	Pemetaan teknik penyerang untuk relevansi deteksi
NIST CSF 2.0	Kerangka penempatan risiko di tingkat organisasi
ISO/IEC 27001	Kaitan temuan dengan kontrol keamanan informasi
PTES	Kerangka tahapan pengujian end-to-end
CVSS	Perhitungan severity yang dapat dibandingkan

Kontrol Kualitas

✓ Setiap temuan diverifikasi dua kali: saat ditemukan dan saat laporan disusun.
✓ Klaim dampak harus dapat ditunjukkan, bukan diperkirakan. Bila dampak bergantung pada kondisi khusus, kondisinya ditulis eksplisit.
✓ Severity dihitung, bukan dirasakan. Tanpa bukti eksploitasi menyeluruh, tingkat keparahan diturunkan.
✓ Temuan duplikat dan isu kosmetik tanpa dampak digabung atau dibuang.
✓ Laporan menyebutkan apa yang belum diuji, sehingga tidak ada kesan cakupan yang lebih luas dari kenyataan.

Etika Kerja

Aturan	Penerapan
Otorisasi	Tertulis, dari pemilik sistem, sebelum pekerjaan dimulai
Non-destruktif	Tidak mengubah, menghapus, atau merusak data dan konfigurasi
Data	Tidak dieksfiltrasi, tidak dipakai di luar engagement, dihapus setelah pelaporan
Pihak ketiga	Tidak diuji tanpa otorisasi tersendiri
Transparansi	Aktivitas pengujian dapat dijelaskan dan ditelusuri dari log bila diminta