Portofolio ini menunjukkan bagaimana kami mengubah sinyal menjadi kesimpulan yang dapat dipertanggungjawabkan: kasus nyata teredaksi, keputusan server yang diverifikasi, batas klaim yang jelas, serta hasil kerja untuk perbaikan.
Tiga entri merupakan kasus nyata teredaksi dari pengujian terotorisasi. Satu entri adalah checkpoint assessment dengan dampak terbukti tetapi cleanup belum selesai. Contoh PDF memakai data sintetis untuk menunjukkan format deliverable, bukan hasil audit klien.
EVIDENCE REGISTER
Yang dibuktikan, bukan yang diasumsikan.
Setiap entri menyatakan klasifikasi, rantai bukti, dampak yang benar-benar dijalankan, dan batas yang sengaja tidak kami lampaui.
Registrasi publik menerima satu mutasi role yang dikendalikan klien. Akun kemudian dapat masuk sebagai administrator, profil server mengonfirmasi role tersebut, dan sesi memperoleh kapabilitas administratif untuk melihat daftar akun.
Public registration→Role mutation→Admin session→Server role readback→Account-list capability
Batas klaim: nama target disembunyikan dan dampak dibatasi pada kapabilitas yang benar-benar dibuktikan. penghapusan akun uji serta penolakan token dan login lama belum diverifikasi secara otoritatif. Publikasi penuh ditahan sampai cleanup selesai.
ANATOMI SATU FINDING
Dari aturan akses ke state yang terverifikasi.
Contoh berikut memakai kasus access control yang telah dipublikasikan secara teredaksi. Yang dinilai bukan respons tunggal, melainkan keputusan kewenangan dan efek akhirnya.
01 · INVARIANT
Siapa boleh mengubah apa?
Role standar tidak boleh mengubah konfigurasi pada tingkat proyek.
02 · BASELINE
Alur sah bekerja
Pemilik proyek dapat membaca dan mengelola konfigurasi melalui jalur normal.
03 · ONE-VARIABLE MUTATION
Hanya aktor yang berubah
Operasi dan objek tetap sama; request dijalankan dari role standar.
04 · NEGATIVE CONTROL
Kontrol pembanding
Nilai yang tidak valid atau konteks tanpa kewenangan tidak menghasilkan state yang sama.
05 · REPRODUCTION
Perilaku berulang
Transisi yang sama berhasil direproduksi dalam scope dan state yang setara.
06 · AUTHORITATIVE READBACK
Server mengonfirmasi
Konfigurasi dibaca kembali melalui jalur terpisah, bukan disimpulkan dari status HTTP.
07 · DEMONSTRATED IMPACT
Boundary crossing terbukti
Role standar menghasilkan perubahan konfigurasi proyek yang semestinya dilarang.
08 · CLEANUP
State dipulihkan
Nilai dikembalikan ke baseline dan pemulihan dibaca kembali secara otoritatif.
HTTP 200, hasil scanner, source artifact, model output, atau reflection adalah sinyal. Tanpa reproduksi, keputusan kewenangan yang gagal, pembacaan state otoritatif, dan dampak konkret, sinyal tersebut bukan finding.
Aktor, role, objek, operasi, state, transport, dan lifecycle ditetapkan sebelum pengujian.
02
Prediksi & falsifier
Kami menuliskan hasil yang diharapkan dan bukti yang akan menutup hipotesis.
03
Eksperimen satu variabel
Baseline, mutasi tunggal, dan kontrol yang sepadan dijaga agar perbedaan dapat dijelaskan.
04
Authoritative verification
Efek dibaca melalui state, inventory, audit trail, atau sumber owner-controlled.
05
Cleanup atau exact closure
State dipulihkan; jalur negatif ditutup hanya sesuai aktor, objek, state, dan transport yang diuji.
KAPABILITAS
Menilai boundary, bukan menjalankan daftar tool.
Tool dipilih sesuai sistem dan keputusan keamanan yang diuji. Kapabilitas berikut menunjukkan area kerja, bukan klaim bahwa setiap kelas selalu menghasilkan finding.
01
Website & konfigurasi
TLS, DNS, header, dependency, exposure, deployment boundary, dan kontrol publik.
02
Aplikasi & session
Login, recovery, session lifecycle, input handling, role, dan protected workflow.
03
API & identity
REST, GraphQL, token, OAuth, tenant, object, parent-child, dan operation authorization.
04
Business logic & lifecycle
State transition, revoke, delete, recovery, duplicate workflow, race, ledger, dan benefit.
CyberSecAudit dipimpin oleh founder dengan pendekatan developer, security reviewer, dan attacker. Seluruh tindakan tetap mengikuti izin, scope, dan stop condition.
SCOPE
RoE tertulis
Aset, role, teknik, rate, waktu, dan kontak darurat disepakati sebelum eksekusi.
PRIVACY
NDA & minimum data
Bukti disensor, akses dibatasi, dan data yang tidak dibutuhkan tidak dikumpulkan.
SAFETY
Stop conditions
Pengujian berhenti pada data pihak ketiga, risiko availability, biaya, atau scope ambiguity.
LIFECYCLE
Cleanup & revocation
Objek uji dipulihkan, capability dicabut, dan hasil cleanup diverifikasi sebelum closure.
CLAIMS
Tanpa klaim absolut
Severity dan kesimpulan tidak melampaui executed impact serta evidence yang tersedia.
AUDIT BERBASIS BUKTI
Butuh lebih dari hasil scanner?
Diskusikan sistem, role, data, dan keputusan bisnis yang paling penting. Kami akan menyusun scope yang dapat diuji, diverifikasi, dan ditindaklanjuti.
