RECONNAISSANCE

Capaian tersebut dijabarkan menjadi empat bukti ketercapaian yang seluruhnya diuji dalam topik ini:

Setelah mengikuti pembelajaran ini, murid mampu:

1. Menjelaskan konsep reconnaissance

   Posisinya dalam kill-chain, perbedaan pasif vs aktif, dan mengapa fase ini menentukan 70% keberhasilan pengujian.

2. Menjalankan recon pasif pada domain lab

   whois, dig, dan crt.sh — tanpa satu paket pun menyentuh target.

3. Melakukan host discovery & port scan aktif

   nmap -sn dan -sV pada unit yang ditugaskan, lalu membaca status open/closed/filtered.

4. Membaca jejak pengintaian dari sisi SOC

   Menghubungkan aksi penyerang dengan pola log (access.log, auth.log, NetFlow) dan mengusulkan deteksi.

5. Bekerja dalam scope yang sah

   Mempraktikkan disiplin otorisasi, dokumentasi bukti (tee/-oA), dan etika pengujian.

Setiap dimensi disentuh nyata oleh aktivitas reconnaissance hari ini:

Terminal berikut merekam kejadian nyata di log lab tadi pagi. Baca sampai selesai, lalu jawab tiga pertanyaannya:

Kata kuncinya: sebelum. Praktisi menyepakati angka yang mengagetkan: ±70% keberhasilan pengujian ditentukan di fase ini. Eksploitasi hebat di atas pengintaian buruk hanyalah tebakan berisiko.

Cyber Kill Chain (Lockheed Martin) dan MITRE ATT&CK sepakat: pengintaian mendahului segalanya. Dalam ATT&CK, recon menjadi taktik resmi bernomor TA0043 dengan teknik T1590–T1598.

Perbedaan satu-satunya yang penting bagi defender: apakah paket sampai ke target. Sampai = ada log; tidak sampai = pertahanannya di sisi publikasi data.

Analogi: membaca KTP gedung dan papan petunjuk lorong dari luar pagar — kamu belum masuk, tapi sudah tahu siapa pemiliknya dan ke mana semua pintu mengarah. Target tidak menerima satu paket pun.

whois abdurrozak.my.id
# registrar, nameserver, umur domain, status lock

dig +short dvwa1.abdurrozak.my.id
172.16.20.201              # domain target web → IP unit

dig +noall +answer abdurrozak.my.id NS MX TXT
# NS = siapa otoritatif · MX = mail · TXT = SPF/vendor cloud

dig axfr abdurrozak.my.id @ns1.abdurrozak.my.id
; Transfer failed.
# GAGAL = server dikunci benar (bagus). BERHASIL = temuan berat!

Analogi: setiap gedung yang pernah memasang papan nama wajib didaftarkan ke arsip kota — dan arsip itu publik. Kita membaca arsipnya, bukan mengintip gedungnya: setiap sertifikat TLS yang terbit membocorkan keberadaan subdomain.

# butuh jq — setiap sertifikat TLS terbit tercatat publik:
curl -s "https://crt.sh/?q=%25.abdurrozak.my.id&output=json" \
  | jq -r '.[].name_value' | sort -u

%25 = wildcard "%": SEMUA subdomain yang pernah bersertifikat.
Target tidak menerima satu paket pun — ini cara paling senyap.

theHarvester -d abdurrozak.my.id -b bing,duckduckgo -l 100
# panen email, host, IP dari indeks mesin pencari

# dork — operator inti: site: inurl: intitle: filetype:
site:abdurrozak.my.id intitle:"index of"   # directory listing

Analogi: mengetuk pintu satu kompleks perumahan sambil menghitung yang dijawab. Kamu belum masuk ke mana-mun — tetapi pemilik kompleks yang teliti mencatat: "ada yang mengetuk 9 pintu dalam 3 detik." Pertanyaan pertama fase aktif: siapa yang hidup?

nmap -sn 172.16.20.201-209
Nmap scan report for 172.16.20.201
Host is up (0.0012s latency).
MAC Address: 08:00:27:AB:CD:EF (Oracle VirtualBox)
↑ baris MAC membocorkan virtualisasi — fingerprint gratis!

arp-scan --localnet      # paling andal di segmen LAN sama
fping -asgq 172.16.20.201 172.16.20.209

Semua logika deteksi berdiri di atas three-way handshake. Perhatikan animasi: koneksi normal menyelesaikan tiga langkah; SYN scan berhenti di tengah jalan — dan itulah mengapa ia senyap di log aplikasi namun teriak di layer jaringan.

Analogi: membaca etalase toko dari luar — nama toko (banner), merek barang (fingerprint), lalu mencoba membuka setiap pintu samping dengan deretan kunci (brute direktori). Pintu yang "berdecak tapi terkunci" (403) adalah pengakuan bahwa ruangannya ADA.

# 1. BANNER — header membocorkan versi:
curl -sI http://dvwa1.abdurrozak.my.id
Server: Apache/2.4.57 (Debian)     X-Powered-By: PHP/8.2.7

# 2. FINGERPRINT — seluruh stack satu baris:
whatweb http://dvwa1.abdurrozak.my.id

# 3. DIREKTORI — kamus vs server (berisik!):
gobuster dir -u http://dvwa1… \
  -w /usr/share/wordlists/dirb/common.txt -x php,txt -t 30

/setup.php            (Status: 200)   ← DVWA setup TERBUKA!
/admin                (Status: 403)   ← ADA tapi dipagari

Setiap aksi merah meninggalkan bukti di sisi biru. Hafalkan pasangan aksi → jejak:

Deteksi adalah jaring pengaman; hardening menghilangkan sasaran sebelum ditembak:

Jawab ketujuh soal — feedback dan penjelasan muncul seketika. Skor akhir tampil setelah soal terakhir.

1. Konsep mana yang paling mengubah cara pandangmu?

   Pasif vs aktif? "Filtered bukan aman"? Atau fakta bahwa crt.sh mengetahui subdomain yang bahkan adminnya lupa?

2. Jika kamu menjadi admin jaringan sekolah, apa TIGA hal pertama yang kamu lakukan?

   Petunjuk: pikirkan inventaris aset, banner, dan siapa yang boleh meminta zona transfer.

3. Di mana garis antara "peneliti yang penasaran" dan "penyerang yang melanggar hukum"?

   Tepatnya di izin dan scope — bukan di kemampuan. Bagaimana kamu memastikan dirimu selalu di sisi yang benar?

Anak-anak, hari ini kalian belajar melihat dunia seperti penyerang — demi menjadi orang yang menjaganya. Itu bukan ironi; itu justru inti profesi ini. Orang yang paling paham cara membobol rumah adalah orang terbaik untuk merancang gemboknya.

Tapi ingat: kecurangan pada izin adalah dosa besar profesi ini. Satu kali menembus sistem yang bukan milikmu "cuma iseng", dan seluruh kepercayaan — kepadamu, ke lab ini, ke profesi — runtuh. Kemampuan tanpa etika hanyalah ancaman yang punya sertifikat.

Kalian baru melihat fase pertama dari sepuluh fase. Depan masih panjang: eksploitasi, forensik, monitoring. Tapi fondasi kalian hari ini lebih kokoh dari kebanyakan orang yang mengaku ahli — karena kalian belajar membaca, bukan sekadar menyalin perintah.

THANK YOU