Lab independen · Jakarta, Indonesia

Keamanan yang
bisa dibuktikan.

Kami menguji sistem Anda seperti penyerang sungguhan — lalu menyerahkan bukti yang bisa diperiksa engineer Anda sendiri. Tanpa klaim berlebihan, tanpa temuan yang tidak bisa direproduksi.

Mulai Engagement Lihat Layanan

Respon awal < 24 jam · NDA sebelum scoping · Tidak ada uji tanpa izin tertulis

engagement / scope.json
$ cat scope.json
{
  "target":      "aplikasi-anda",
  "mode":        "non-destruktif",
  "izin":        "tertulis, ditandatangani",
  "deliverable": ["laporan", "PoC", "retest"]
}

$ ./run --authorized
[✓] recon selesai       184 endpoint dipetakan
[✓] auth & authz diuji  3 temuan terkonfirmasi
[!] 1 temuan UNPROVEN   dilaporkan negatif
[✓] 0 payload destruktif by design

# setiap temuan punya bukti.
# setiap klaim bisa direproduksi.
Layanan

Enam cara kami menguji pertahanan Anda

Semua layanan dijalankan dengan izin tertulis dan aturan keterlibatan yang disepakati sebelum satu paket pun dikirim.

Uji Penetrasi Aplikasi Web

Pengujian black-box dan grey-box terhadap aplikasi produksi maupun staging, mengikuti OWASP WSTG.

  • injeksi & SSRF
  • auth & authz
  • logika bisnis

Keamanan Aplikasi Mobile

Android dan iOS: penyimpanan data, pinning, antarmuka IPC, dan kebocoran rahasia di dalam paket.

  • static & dynamic
  • bypass pinning
  • API abuse

Red Team & Simulasi Adversary

Simulasi rantai serangan menyeluruh untuk menguji deteksi dan respons, bukan hanya kerentanan.

  • initial access
  • privilege escalation
  • deteksi

Audit Kode Sumber

Penelusuran manual alur data dari input ke sink berbahaya. Kami baca kodenya, bukan hanya menjalankan scanner.

  • taint analysis
  • review kriptografi
  • supply chain

Respons Insiden & DFIR

Ketika sudah terjadi: rekonstruksi linimasa, cakupan dampak, dan langkah penghentian yang terukur.

  • artefak host
  • linimasa serangan
  • erradikasi

Hardening & Arsitektur

Perbaikan yang tidak berhenti di temuan: konfigurasi, header, pemisahan jaringan, dan jalur CI/CD.

  • baseline CIS
  • review arsitektur
  • pipeline
Metode

Empat fase, satu tujuan: bukti

Tidak ada laporan yang keluar tanpa artefak pendukung. Kalau kami tidak bisa membuktikannya, kami menuliskannya sebagai belum terbukti.

01

Scoping & Izin

Batas target, jam uji, larangan eksplisit, dan kontak darurat disepakati tertulis sebelum mulai.

02

Pemetaan

Permukaan serangan dipetakan: endpoint, peran, alur data, dan titik kepercayaan antar layanan.

03

Uji Terkendali

Eksploitasi hanya sejauh yang dibutuhkan untuk membuktikan dampak. Tidak ada DoS, tidak ada pengrusakan data.

04

Laporan & Retest

Temuan dengan langkah reproduksi, dampak nyata, dan perbaikan konkret. Retest setelah patch.

OWASP WSTGMetodologi pengujian aplikasi web
PTESStandar eksekusi uji penetrasi
NIST SP 800-115Panduan penilaian keamanan teknis
CVSS 4.0Penilaian severity yang konsisten
Lingkup & Etika

Batas kerja kami, tertulis

Pengujian tanpa izin bukan layanan — itu pelanggaran. Karena itu batas di bawah ini bukan formalitas, tapi bagian dari cara kami bekerja.

Yang kami lakukan

  • Uji hanya pada aset yang tercantum di surat izin
  • Proof-of-concept non-destruktif — cukup untuk membuktikan dampak
  • Berhenti dan melapor begitu menemukan jalur ke data sensitif
  • Redaksi kredensial dan data pribadi di dalam laporan
  • Koordinasi jalur komunikasi darurat selama pengujian

Yang tidak kami lakukan

  • Serangan yang menjatuhkan layanan (DoS/OOM ke produksi)
  • Mengubah atau menghapus data pelanggan
  • Menembus aset di luar daftar izin
  • Menyimpan salinan data yang tidak diperlukan
  • Menguji tanpa dokumen izin yang ditandatangani
Deliverable

Apa yang Anda terima

Dokumen yang bisa langsung dipakai: oleh engineer untuk memperbaiki, oleh manajemen untuk memutuskan, dan oleh auditor untuk memverifikasi.

01 / LAPORAN

Laporan teknis

Setiap temuan memuat deskripsi, bukti permintaan/respons, dampak bisnis, dan langkah perbaikan.

02 / BUKTI

Proof-of-concept

Skrip atau tangkapan permintaan yang bisa dijalankan ulang di lingkungan Anda sendiri.

03 / MATRIKS

Matriks severity

Satu halaman: ID, aset, severity, status, dan rujukan bukti — untuk rapat dan prioritas.

04 / RETEST

Verifikasi perbaikan

Pengujian ulang setelah patch, dengan status tertutup atau masih terbuka per temuan.

Kontak

Ceritakan sistem yang ingin diuji

Kirim ringkasan singkat: jenis aplikasi, lingkungan (produksi/staging), dan tenggat yang Anda kejar. Kami balas dengan ruang lingkup dan estimasi.

Kirim Brief Engagement
Email langsung
research-team@mail.diproteksi.web.id
BasisIndonesia
Respon awal< 24 jam
KerahasiaanNDA tersedia
BahasaIndonesia · English

Punya sistem yang perlu diuji?

Mulai dari percakapan 20 menit. Kami bantu petakan ruang lingkup sebelum ada biaya.

Jadwalkan Diskusi