Di episode #30 ini saya menutup Season 1 “Belajar Cyber Security” dengan apa yang paling saya butuhkan setelah 29 episode: arah jalan setelah fondasi terbentuk, tempat berlatih yang legal, dan rutinitas mingguan supaya tidak lupa. Kalau di episode #1 saya mulai dari CIA triad sebagai cara berpikir, sekarang saya merapikan semua yang sudah dipelajari jadi satu peta.
Yang sudah saya lewati (dan benang merahnya)
Saat menulis ulang daftar episode, saya sadar materi Season 1 sebenarnya punya tiga lapis. Lapis pertama = pemikiran: CIA triad (#1), lanskap serangan (#2), dan OWASP Top 10 (#7) yang mengajarkan saya melihat sebuah aplikasi sebagai kumpulan attack surface, bukan sekadar fitur.
Lapis kedua = teknik spesifik: SQL Injection (#8), XSS (#9), CSRF (#10), password cracking (#24), sampai Burp Suite (#23). Bagian ini yang paling sering membuat saya berhenti dan membuka editor — teori baru terasa nyata ketika saya menempelkan payload ke lab sendiri lalu melihat hasilnya.
Lapis ketiga = operasi: Linux hardening (#14), secrets management (#18), incident response (#19), forensics (#20), sampai cyber law (#28). Ini yang membedakan “tahu serangan” dengan “bisa bekerja di tim keamanan”.
Roadmap karir: peta yang saya gambar untuk diri sendiri
| Jalur | Fokus | Pondasi Season 1 yang relevan |
|---|---|---|
| Security Engineer / AppSec | Review kode, secure SDLC, OWASP | #7, #8, #9, #10, #17, #26 |
| SOC / Incident Analyst | Deteksi, triage, respons insiden | #1, #2, #19, #20, #29 |
| Red Team / Pentester | Recon, exploit, laporan | #22, #23, #24, #25, #5 |
| Infrastructure / Cloud Security | Hardening, IAM, container | #14, #15, #16, #6 |
Bagi saya pribadi, pilihan saya jatuh ke jalur AppSec — karena latar belakang saya programmer, dan #7 sampai #10 adalah episode yang paling saya pahami nyambung dengan pekerjaan sehari-hari. Teman yang lebih suka main di terminal mungkin memilih jalur SOC. Tidak ada yang lebih “keren”; yang penting satu jalur dulu, jangan setengah-setengah.
Tempat berlatih yang legal
Ini bagian yang paling saya tunda-tunda karena takut “merusak” sesuatu. Padahal semuanya dirancang untuk dihancurkan:
- TryHackMe — jalur berurutan, ramah pemula; saya mulai dari room “Pre-Security” sebelum menyentuh yang lebih gelap.
- HackTheBox — lebih bebas, ada lab machine yang harus di-hosting sendiri; cocok setelah nyaman dengan TryHackMe.
- DVWA / OWASP Juice Shop — dua web app yang sengaja berisi lubang (SQLi, XSS, CSRF) untuk dimainkan secara lokal di mesin sendiri. Di sinilah saya mempraktikkan ulang #8–#10 tanpa rasa khawatir.
- PortSwigger Web Security Academy — gratis, materinya paling sejalan dengan #7–#11, dan tiap lab punya solusi resmi.
Satu aturan yang saya tulis di catatan sendiri: latihan hanya di lab atau sistem yang memang izinnya sudah jelas. Batas antara belajar dan pelanggaran UU ITE bukan soal niat, tapi soal bukti izin tertulis — topik yang sudah saya bahas di #28.
Rutinitas latihan mingguan yang realistis
Resolusi “belajar keamanan penuh waktu” selalu gagal dalam dua minggu untuk saya. Yang akhirnya jalan justru jadwal kecil yang tidak memberi ruang untuk batal:
- Senin (30 menit): satu lab pendek — biasanya satu challenge dari Web Security Academy.
- Rabu (20 menit): baca satu disclosure/CVE dari feed, lalu tanya: apakah aplikasi saya rentan terhadap pola serupa?
- Sabtu (45 menit): hardening sesuatu di rumah — misalnya memperketat SSH (#14) atau memeriksa apakah ada rahasia yang bocor di riwayat git (#18).
Kuncinya bukan durasi, tapi konsistensi. Saya memakai trik yang sama seperti belajar framework: satu topik per minggu, dicatat, lalu ditulis ulang dengan kata-kata sendiri — persis yang saya lakukan selama Season 1 ini.
Penutup
Season 1 selesai, tapi keamanan tidak pernah “selesai” — di #2 saya catat bahwa lanskap serangan berubah tiap tahun, dan #29 membuktikan itu dengan AI. Yang bisa saya bawa pulang dari 29 episode bukan hafalan tool, tapi kebiasaan bertanya: “kalau saya jadi penyerang, dari mana saya mulai?” — lalu langsung menutup jalur itu di sisi pertahanan. Sampai jumpa di season berikutnya.
Sumber
- TryHackMe — https://tryhackme.com/
- Hack The Box — https://www.hackthebox.com/
- OWASP Juice Shop — https://owasp.org/www-project-juice-shop/
- Damn Vulnerable Web Application — https://dvwa.co.uk/
- PortSwigger Web Security Academy — https://portswigger.net/web-security
- Undang-Undang ITE (UU No. 11/2008 jo. UU No. 19/2016 & UU No. 1/2024) — https://www.bssn.go.id/
Komentar Terbaru