All Products
Search

This Product

    Security Center:AgenticBAS

    Document Center

    Security Center:AgenticBAS

    Last Updated:Aug 26, 2026

    Perusahaan menerapkan perlindungan keamanan yang komprehensif, tetapi jarang memiliki cara berkelanjutan untuk membuktikan efektivitas perlindungan tersebut. AgenticBAS menggunakan kolaborasi multi-agent untuk secara otomatis mensimulasikan serangan nyata, memvalidasi efektivitas sistem keamanan Anda secara terus-menerus 24/7, serta mendorong pembangunan sistem keamanan dan efisiensi operasional dengan biaya operasional rendah. Topik ini menjelaskan cara membuat tugas penetration testing, mengonfigurasi kredensial akses dan penggunaan Credits maksimum, melihat serta memverifikasi kerentanan, dan penagihan.

    Apa itu AgenticBAS

    AgenticBAS adalah layanan simulasi serangan intrusi cerdas yang disediakan oleh Security Center. Berbasis kolaborasi multi-agent, layanan ini berfokus pada validasi efektivitas sistem keamanan Anda, menilai kemampuan mitigasi sistem tersebut secara berkelanjutan dengan pendekatan cerdas, serta mendorong pembangunan sistem keamanan dan efisiensi operasional. Fitur ini menyediakan kemampuan inti berikut:

    • Multi-Agent Human-Like Role Collaboration: Beberapa AI agent membagi pekerjaan dan mensimulasikan jalur penetrasi serta teknik serangan yang digunakan oleh penyerang nyata.

    • Autonomous reasoning and decision-making: Agent menyesuaikan strategi serangan secara dinamis berdasarkan lingkungan target, tanpa bergantung pada pustaka aturan tetap.

    • 24/7 continuous validation: Mendukung eksekusi langsung atau penjadwalan berkala untuk terus-menerus menutupi titik buta keamanan.

    • Cost-Effective, Secure, and Stable Operations: Metode penagihan pay-as-you-go untuk Credits secara signifikan mengurangi biaya validasi dibandingkan dengan penetration testing manual tradisional.

    Lingkup

    • Asset authorization: Aset target yang akan diuji harus berupa alamat IP atau nama domain yang telah Anda otorisasi secara sah untuk pengujian.

    • Aset target yang didukung:

      • Security Center Assets: Aset yang dikelola oleh Security Center (Instance ECS yang memiliki Alamat IP publik). Anda dapat melihat aset ECS yang terhubung di panel navigasi kiri di bawah Asset Center > Host.

      • Attack Surface Assets: Aset yang ditemukan oleh pemindaian Attack Management dan dikategorikan sebagai aset Attributed. Attack Management harus diaktifkan. Jika layanan tidak diaktifkan, kumpulan aset ini tidak akan terlihat dan tidak ada alamat IP atau nama domain yang muncul dalam daftar. Proses penemuan dan atribusi dijelaskan dalam Attack surface management.

      • Custom Assets: Hanya nama domain, tanpa http://, https://, nomor port, atau path. Nama domain harus lolos verifikasi domain sebelum Anda dapat menetapkan tugas padanya.

    • Jenis deteksi kerentanan yang didukung:

      Jenis kerentanan

      Deskripsi

      Unauthorized Access

      Mendeteksi kerentanan eskalasi hak atau akses tidak sah dalam sistem.

      Cross-Site Scripting (XSS)

      Menyuntikkan skrip berbahaya untuk mencuri data pengguna.

      SQL Injection

      Mendeteksi kerentanan injeksi SQL.

      Cross-Site Request Forgery (CSRF)

      Memalsukan permintaan pengguna untuk melakukan operasi yang tidak sah.

      Common Vulnerabilities

      Mendeteksi kerentanan keamanan web umum lainnya.

    Pembelian dan aktivasi AgenticBAS

    1. Akses Konsol Security Center - Risk Governance - Agenti. Di pojok kiri atas halaman, pilih wilayah aset Anda: Chinese Mainland atau Outside Chinese Mainland.

    2. Klik Buy Now untuk menuju halaman pembelian.

      Anda juga dapat langsung menuju halaman pembelian untuk melakukan pembelian.

    3. Di halaman pembelian, pilih Subscription duration, klik Buy Now, dan selesaikan pembayaran.

    4. Kembali ke halaman utama AgenticBAS. Di bagian Credits Used / Remaining, Anda dapat melihat Plan Credits.

      Setelah pembelian, Anda menerima 1.000.000 Credits secara default, yang berlaku selama satu bulan. Ketika kuota Credits habis, penagihan pay-as-you-go untuk Credits akan diaktifkan secara otomatis, seperti yang dijelaskan dalam aturan penagihan topik ini.

    Tambahkan daftar izin

    Jika Web Application Firewall (WAF), Cloud Firewall, atau kebijakan kontrol akses keamanan lainnya diterapkan di lingkungan jaringan Anda, tambahkan alamat IP pemindai ke daftar izin akses server target agar permintaan pemindaian tidak diblokir.

    • Outside Chinese Mainland: 8.219.211.171

    • Chinese Mainland: 8.133.212.119, 121.40.209.82

    Buat tugas penetration testing

    1. Akses Konsol Security Center - Risk Governance - Agenti. Di pojok kiri atas halaman, pilih wilayah aset Anda: Chinese Mainland atau Outside Chinese Mainland.

    2. Di pojok kanan atas halaman, klik Create Penetration Test Task.

    3. Di panel Create Penetration Test Task, konfigurasikan parameter berikut.

      Parameter

      Deskripsi

      Task Name

      Nama tugas kustom hingga 128 karakter.

      Task Description

      Catatan tambahan tentang penetration test ini, hingga 1.000 karakter.

      Select Vulnerabilities

      Pilih jenis kerentanan yang akan dideteksi. Anda dapat memilih beberapa jenis. Jenis yang tersedia meliputi: Unauthorized Access, Cross-Site Scripting (XSS), SQL Injection, Cross-Site Request Forgery (CSRF), Common Vulnerabilities.

      Penetration Requirements

      Jelaskan persyaratan atau area fokus tambahan untuk penetration testing dalam bahasa alami.

      Target Selection

      Pilih sumber target deteksi. Tiga sumber berikut didukung:

      • Security Center Assets: Aset yang dikelola Security Center (Instance ECS dengan Alamat IP publik). Anda dapat melihat aset ECS yang terhubung di bawah Asset Center > Host di sebelah kiri.

      • Attack Surface Assets: Aset Attack Management yang telah ditemukan melalui pemindaian permukaan serangan dan dikatalogkan (Attributed). Untuk informasi lebih lanjut, lihat Border Asset Discovery.

      • Custom Assets: Hanya nama domain yang didukung, tanpa http://, https://, port, atau path. Klik ikon image di sisi kanan kotak input aset kustom, masukkan nama domain, dan selesaikan verifikasi. Untuk informasi lebih lanjut, lihat Konfigurasi lanjutan - Konfigurasi aset kustom.

      Access Credentials (opsional)

      Digunakan untuk otentikasi login dan pengujian eskalasi hak. Anda dapat mengonfigurasi kredensial untuk identitas dengan izin berbeda agar penetration test tetap menyeluruh, seperti yang dijelaskan dalam Konfigurasi lanjutan - Konfigurasi kredensial akses.

      Catatan

      Jika Anda tidak menambahkan informasi kredensial, tugas penetrasi berjalan tanpa otentikasi identitas.

      Max Credits Usage (opsional)

      Setelah Anda mengaktifkan parameter ini, tugas akan berhenti secara otomatis ketika penggunaan Credits melebihi batas maksimum yang dikonfigurasi, dan laporan akan dihasilkan berdasarkan temuan yang telah terdeteksi. Geser slider (rentang 0 hingga 5.000.000, default 500) atau masukkan nilai secara langsung.

      Catatan

      Penggunaan Credits berbeda-beda berdasarkan tahap eksekusi, sehingga konsumsi aktual mungkin sedikit melebihi batas maksimum Credits yang dikonfigurasi.

      Execution Mode

      Pilih cara tugas dijalankan:

      • Run Now: memulai penetration test segera setelah tugas dibuat.

      • Run Once on Schedule: memulai penetration test sekali secara otomatis pada waktu yang ditentukan.

      Execution Time

      Diperlukan saat Anda memilih Run Once on Schedule. Waktu eksekusi tidak boleh lebih awal dari waktu saat ini.

    4. Setelah memastikan konfigurasi sudah benar, klik OK. Tugas penetration testing membutuhkan waktu lama untuk dijalankan dan bisa melebihi 1 jam. Harap bersabar.

      Penting

      Jika tugas berjalan lebih dari 12 jam, sistem akan menghentikan tugas secara otomatis dan mengubah status tugas menjadi Timeout. Data yang telah dipindai tetap disimpan, dan Credits yang telah dikonsumsi tidak dikembalikan.

    Atasi dan verifikasi kerentanan

    Lihat dan tangani kerentanan

    1. Di daftar tugas, klik nama tugas target, atau klik Details di kolom Actions.

    2. Di tab Vulnerabilities, lihat daftar kerentanan yang terdeteksi oleh tugas saat ini.

    3. Di kolom Actions suatu kerentanan, klik Download Report untuk mengunduh detail kerentanan, seperti titik akhir, waktu penemuan, proses penemuan kerentanan, dan rencana remediasi.

    4. Perbaiki kerentanan secara manual berdasarkan rencana remediasi dalam laporan.

    Catatan

    AgenticBAS tidak mendukung perbaikan kerentanan langsung di konsol.

    Verifikasi perbaikan kerentanan

    Setelah menyelesaikan perbaikan manual, kembali ke daftar kerentanan untuk memverifikasi apakah kerentanan telah sepenuhnya diperbaiki.

    Penting

    Setiap verifikasi mengonsumsi Credits, dan konsumsi ini dihitung terpisah dari Credits yang dikonsumsi oleh eksekusi tugas. Jika hasil Not Exploitable disebabkan oleh error jaringan, gangguan sementara, atau faktor lain yang mencegah verifikasi lengkap, Credits yang telah dikonsumsi tidak dikembalikan.

    Trigger verification

    1. Di daftar tugas, klik nama tugas target, atau klik Details di kolom Actions.

    2. Di tab Vulnerabilities, klik Verify di kolom Actions kerentanan target.

    3. Di halaman detail verifikasi, klik Verify di pojok kanan atas.

      Status efektivitas kerentanan berubah menjadi Verifying, agent mulai verifikasi reproduksi, dan log verifikasi ditulis secara real time.

    Hasil verifikasi

    Setelah verifikasi selesai, catatan ditambahkan ke Verification History, dan Credits yang dikonsumsi ditambahkan ke total konsumsi verifikasi kerentanan tersebut. Status verifikasi sebagai berikut:

    • Exploitable: proses verifikasi berjalan tanpa error, kerentanan dapat direproduksi dan dieksploitasi, serta hasil verifikasi ditulis ke log.

    • Not Exploitable: kerentanan telah diperbaiki atau diisolasi setelah verifikasi dan tidak dapat direproduksi. Gunakan log verifikasi untuk memastikan hasil perbaikan lebih lanjut.

    Konfirmasi hasil perbaikan dan simpan log

    1. Di kotak output CONSOLE pada bagian Verification Logs, lihat log proses verifikasi. Hasil perbaikan biasanya dicetak di baris terakhir, misalnya Retest conclusion ### Vulnerability status: Vulnerable, yang menunjukkan bahwa kerentanan masih dapat direproduksi.

    2. Untuk menyimpan salinan lokal log, klik Download Logs di pojok kanan atas kotak output CONSOLE pada bagian Verification Logs.

    Lihat atau unduh AgenticBAS Report

    1. Di daftar tugas, klik nama tugas target, atau klik Details di kolom Actions.

    2. Di tab AgenticBAS Report, lihat laporan secara online. Untuk menyimpan laporan secara lokal, klik Download Report di pojok kanan atas.

    Kelola tugas penetration testing

    • Kelola tugas tunggal: Di daftar tugas, klik ikon image di kolom Actions tugas target untuk melakukan operasi berikut:

      Operasi

      Status tugas yang berlaku

      Deskripsi

      Start

      To Be Started

      Menjalankan tugas saat ini segera.

      Stop

      Running

      Menghentikan tugas penetration testing yang sedang berjalan. Tugas yang dihentikan tidak dapat dilanjutkan. Anda harus membuat tugas baru.

      Delete

      Not running

      Menghapus tugas penetration testing dan data hasilnya. Penghapusan tidak dapat dibatalkan.

    • Operasi batch: Pilih beberapa tugas yang memiliki status sama dan lakukan operasi batch.

      1. Di halaman daftar tugas AgenticBAS, pilih beberapa tugas yang memiliki status sama.

      2. Di pojok kanan bawah daftar, klik Start, Stop, atau Delete.

        Operasi batch hanya berlaku untuk tugas-tugas yang memiliki status sama.

    Lihat konsumsi Credits

    Lihat konsumsi tugas

    • Lihat konsumsi tugas tunggal:

      1. Di daftar tugas, klik nama tugas target, atau klik Details di kolom Actions.

      2. Di bagian Task Overview tab Task Details, lihat Credits Consumed.

    • Lihat konsumsi keseluruhan: Di bagian Credits Used / Remaining halaman utama AgenticBAS, lihat persentase konsumsi dan jumlah sisa Plan Credits.

    Lihat konsumsi verifikasi kerentanan

    Credits yang dikonsumsi oleh verifikasi kerentanan dihitung terpisah dari Credits yang dikonsumsi oleh eksekusi tugas.

    1. Di daftar tugas, klik nama tugas target, atau klik Details di kolom Actions.

    2. Di tab Vulnerabilities, klik Verify di kolom Actions kerentanan target untuk menuju halaman detail verifikasi.

    3. Di bagian Verification Records, lihat Total Credits Consumed.

      Anda juga dapat melihat total konsumsi verifikasi di kolom Credits Used for Verification di halaman daftar kerentanan.

    4. Di bagian Verification History, lihat Credits Consumed dari setiap verifikasi tunggal di bawah catatan yang sesuai.

    Konfigurasi lanjutan (opsional)

    Konfigurasi aset kustom

    Untuk menjalankan penetration test pada aset kustom, masukkan nama domain secara manual dan selesaikan verifikasi domain. Setelah verifikasi berhasil, aset tersebut masuk ke pustaka aset kustom, dan Anda dapat menetapkan tugas padanya berulang kali.

    1. Di bagian Target Selection panel Create Penetration Test Task, di tab Custom Assets, klik ikon image di sisi kanan bidang aset kustom.

    2. Di panel Create Custom Asset and Verify, masukkan nama domain aset yang akan diverifikasi dan klik Generate Verification Info.

      Catatan

      Masukkan hanya nama domain, tanpa http://, https://, nomor port, atau path.

    3. Konfigurasi verifikasi domain. Kedua metode DNS TXT Verification dan File Verification didukung. Ikuti prosedur metode yang Anda pilih di tab berikut. Informasi verifikasi yang dihasilkan memiliki masa berlaku. Selesaikan verifikasi sebelum masa berlaku habis.

      Catatan

      Jika informasi verifikasi telah kedaluwarsa, klik Regenerate dan gunakan informasi verifikasi baru untuk menyelesaikan verifikasi domain.

    DNS TXT Verification

    Prosedur

    1. Login ke situs web resolusi nama domain: cari entri untuk resolusi nama domain, resolusi DNS, atau catatan resolusi, lalu pilih nama domain yang ingin diverifikasi. Jika resolusi nama domain dihosting di Alibaba Cloud DNS, login ke Konsol Alibaba Cloud DNS. Jika Anda tidak menemukan entri tersebut, hubungi administrator nama domain Anda.

    2. Buat dan lengkapi rekaman TXT: di halaman Add Record atau Add Resolution, lengkapi setiap bidang berdasarkan Record Type (TXT), Hostname / Name, dan Record Value yang disediakan konsol. Untuk contoh pengisian bidang per bidang, lihat contoh konfigurasi DNS di tab ini.

    3. Simpan rekaman dan tunggu hingga berlaku: klik OK atau Save, dan pertahankan rekaman ini.

      Catatan

      Resolusi DNS tidak langsung berlaku. Waktu tunggu tergantung pada penyedia layanan DNS dan konfigurasi TTL.

    4. Setelah rekaman berlaku, kembali ke panel Create Custom Asset and Verify dan klik Verify and Save Asset.

    Contoh konfigurasi DNS

    Contoh ini menggunakan nama domain yang resolasinya dihosting di Alibaba Cloud DNS. Jika resolusi nama domain Anda dihosting oleh penyedia layanan DNS lain, tambahkan rekaman dengan parameter yang sama di halaman pengaturan resolusi penyedia tersebut.

    1. Gunakan Akun Alibaba Cloud pemilik nama domain untuk login ke Konsol Alibaba Cloud DNS.

      Di daftar nama domain, temukan nama domain target dan klik Settings di kolom Actions untuk menuju halaman pengaturan resolusi.

    2. Di halaman pengaturan resolusi, klik Add Record dan lengkapi bidang-bidang berikut.

      Parameter

      Deskripsi

      Type

      Pilih TXT.

      Host Record

      Tempel Hostname / Name yang disediakan panel Create Custom Asset and Verify.

      Record Value

      Tempel Record Value yang disediakan panel Create Custom Asset and Verify.

      Pertahankan parameter lain seperti sumber permintaan resolusi dan TTL pada nilai defaultnya.

    3. Setelah melengkapi semua bidang, klik OK.

    File Verification

    Prosedur

    Penting

    Nilai Upload Path / File Name, File Content, dan Verification URL yang disediakan panel Create Custom Asset and Verify adalah sumber kebenaran tunggal. Setiap path di tab ini hanya contoh. Jika contoh berbeda dari nilai di panel, ikuti nilai di panel.

    1. Unduh atau buat file verifikasi: Klik Download Verification File untuk menyimpan file secara lokal. Anda juga dapat membuat file secara manual berdasarkan Upload Path / File Name dan File Content yang disediakan konsol.

      Penting

      Nama file dan konten file harus persis sama dengan konten yang disediakan konsol. Jangan mengganti nama file, menambah atau menghapus konten, atau menambahkan spasi.

    2. Buat path direktori: Login ke server web, penyimpanan objek, atau backend manajemen website Anda. Lalu buat path direktori .well-known/pki-validation/ di bawah direktori root web, seperti yang ditentukan di bidang File Content. Jika path sudah ada, lewati langkah ini.

    3. Letakkan file: Unggah file verifikasi ke path yang sesuai dengan nilai Upload Path / File Name di panel. Untuk contoh end-to-end yang menggunakan Nginx (Linux) yang dideploy di Instance Elastic Compute Service (ECS) Alibaba Cloud, lihat contoh konfigurasi unggah file di tab ini.

    4. Periksa URL verifikasi di browser: Salin Verification URL yang disediakan konsol dan buka di jendela browser mode penyamaran.

      Penting

      Anda harus dapat melihat konten file verifikasi tanpa login. Jika muncul error 404, error 403, halaman login, atau halaman redirect, sesuaikan lokasi file atau izin akses terlebih dahulu.

    5. Setelah memastikan konten yang ditampilkan di browser persis sama dengan File Content yang disediakan konsol, klik Verify and Save Asset.

      Penting

      Jangan menghapus atau mengubah file sebelum verifikasi berhasil. Jika tidak, verifikasi mungkin gagal.

    Contoh konfigurasi unggah file

    Contoh ini menggunakan Nginx (Linux) yang dideploy di Instance Elastic Compute Service (ECS) Alibaba Cloud. Jika website Anda dideploy di server lain atau di penyimpanan objek, letakkan file di lokasi yang sesuai dengan nilai Upload Path / File Name dengan cara yang sama.

    1. Sambungkan ke Instance ECS. Untuk informasi lebih lanjut, lihat Sambungkan ke Instance ECS.

    2. Buat direktori: jalankan perintah berikut secara berurutan untuk membuat direktori level demi level di bawah direktori root web server (/var/www/html/ secara default untuk Nginx), berdasarkan nilai Upload Path / File Name yang disediakan panel Create Custom Asset and Verify. Jika direktori sudah ada, lewati langkah ini. Perintah berikut menggunakan .well-known/pki-validation/ sebagai contoh path. Ganti dengan path yang disediakan panel.

      cd /var/www/html mkdir -p.well-known/pki-validation

    3. Unggah file verifikasi: Anda dapat menggunakan fitur unggah file dari alat login jarak jauh seperti WinSCP atau Xshell untuk mengunggah file verifikasi ke direktori yang dibuat pada langkah sebelumnya, seperti yang dijelaskan dalam Unggah file.

    4. Buka Verification URL yang disediakan panel di jendela browser mode penyamaran dan pastikan Anda dapat mengakses konten file verifikasi secara langsung. URL menggabungkan path verifikasi dengan nama file, misalnya https://domain-name/.well-known/aibas-site-verification/file-name.txt. Selalu buka URL persis seperti yang disediakan panel.

    Konfigurasi kredensial akses

    Untuk menggunakan otentikasi login dan pengujian eskalasi hak, konfigurasikan kredensial akses untuk identitas dengan izin berbeda agar penetration test tetap menyeluruh. Setiap identitas hanya memerlukan satu jenis kredensial akses. Jika Anda mengganti jenis kredensial, hanya kredensial yang saat ini dipilih yang akan dikirimkan. Selesaikan bagian berikut secara berurutan: pilih jenis kredensial, dapatkan konten kredensial untuk jenis yang Anda pilih, lalu masukkan informasi identitas dan konten kredensial di panel Create Penetration Test Task.

    Pemilihan jenis kredensial

    Pilih jenis kredensial berdasarkan cara pengguna login ke situs target.

    Jenis kredensial

    Skenario

    Lokasi umum

    Username/Password

    Situs mendukung otentikasi melalui formulir login standar.

    Disediakan oleh pemilik akun uji coba.

    Cookie

    Anda sudah login di browser atau alat proxy dan ingin menggunakan ulang status login secara langsung.

    Browser DevTools, Burp, curl.

    Local Storage

    Token atau informasi identitas disimpan di local storage browser.

    DevTools > Application > Local Storage.

    Session Storage

    Token hanya disimpan di sesi browser saat ini.

    DevTools > Application > Session Storage.

    Additional Headers (Advanced)

    Situs mengirimkan token, tenant, atau informasi identitas dalam header permintaan tetap.

    DevTools > Network > Request Headers.

    Rekomendasi konfigurasi

    • Gunakan kredensial sementara yang memiliki hak istimewa minimal dan dapat dicabut kapan saja. Jangan gunakan akun pribadi harian Anda atau akun produksi dengan hak tinggi.

    • Segera setelah pengujian selesai, nonaktifkan akun sementara, ganti kata sandi, atau cabut token, dan hapus status login yang tidak lagi diperlukan.

    • Pengujian multi-identitas dan eskalasi hak: untuk menjalankan pengujian eskalasi hak horizontal atau vertikal, siapkan minimal dua identitas sementara dengan izin berbeda. Misalnya:

      • Pengguna biasa A: izin bisnis standar.

      • Pengguna biasa B: cakupan data berbeda dari pengguna A, digunakan untuk pemeriksaan eskalasi hak horizontal.

      • Administrator: digunakan untuk membandingkan perilaku identitas dengan hak tinggi dan hak rendah.

    Catatan

    Jika status login bergantung pada beberapa jenis data sisi klien, pilih jenis kredensial utama yang dapat mengembalikan status login secara mandiri. Saat ini, setiap identitas hanya mengirimkan satu jenis kredensial.

    Dapatkan konten kredensial

    Lokasi konten kredensial berbeda-beda berdasarkan jenis kredensial. Login ke situs target dengan akun uji coba yang sah terlebih dahulu, lalu dapatkan konten yang sesuai berdasarkan jenis kredensial yang dipilih.

    Akun dan kata sandi

    Untuk Username/Password, pemilik akun uji coba menyediakan akun uji coba yang sah. Anda harus memasukkan akun dan kata sandi. Gunakan akun uji coba sementara berisiko rendah yang memiliki hak istimewa minimal dan dapat dinonaktifkan kapan saja. Jangan masukkan akun produksi dengan hak tinggi.

    Jika proses login bergantung pada CAPTCHA manual, otentikasi multi-faktor, atau operasi interaktif lainnya, login di browser terlebih dahulu, lalu gunakan Cookie, Local Storage, atau Session Storage untuk menggunakan ulang status login yang ada.

    Cookie

    1. Login ke situs target dengan akun uji coba.

    2. Buka Developer Tools browser.

    3. Di Network, pilih permintaan yang sudah diautentikasi dan temukan Cookie di Request Headers. Anda juga dapat melihat cookie yang ada di situs di Application > Cookies.

    4. Salin teks cookie. Format berikut umum digunakan:

      • Cookie satu baris:

        Cookie: SESSION=abc123; tenant_id=tenant-a

      • Teks Set-Cookie dengan atribut:

        Set-Cookie: SESSION=abc123; Domain=.example.com; Path=/; Secure; HttpOnly; SameSite=Lax

      • Beberapa grup, satu grup per baris:

        Cookie: SESSION=abc123; tenant_id=tenant-a Cookie: locale=zh-CN

    5. Pastikan teks cookie yang disalin memenuhi persyaratan format berikut:

      • Gunakan= antara nama cookie dan nilai cookie, dan pisahkan beberapa cookie dengan titik koma (;).

      • Anda dapat mempertahankan awalanCookie: atau Set-Cookie:.

      • AtributDomain, Path, SameSite, Secure, dan HttpOnly dikenali.

      • Tempel hanya teks cookie atau Set-Cookie. Jangan tempel permintaan HTTP lengkap.

    Catatan

    Cookie memiliki periode validitas. Jika status login tidak dapat dipertahankan selama tugas berjalan, login lagi dan dapatkan cookie terbaru.

    Local Storage

    1. Login ke situs target dengan akun uji coba.

    2. Buka developer tools browser dan buka Application > Local Storage.

    3. Pilih origin yang sesuai dengan situs target.

    4. Salin setiap kunci dan nilai terkait otentikasi dan masukkan di bidang Kunci/Nilai kredensial. Contoh:

      Kunci

      Nilai (contoh)

      auth_token

      <temporary-token>

      user_profile

      {"role":"viewer"}

    Session Storage

    Session storage biasanya terikat pada sesi saat ini. Setelah Anda login lagi, menutup sesi, atau kredensial kedaluwarsa, nilai asli mungkin tidak valid dan Anda harus mendapatkannya lagi.

    1. Login ke situs target dengan akun uji coba dan pertahankan sesi tab saat ini tetap valid.

    2. Buka developer tools browser dan buka Application > Session Storage.

    3. Pilih origin yang sesuai dengan situs target.

    4. Salin setiap kunci dan nilai terkait otentikasi. Cara memasukkannya sama seperti untuk Local Storage.

    Header tambahan

    1. Login ke situs target dengan akun uji coba.

    2. Buka developer tools browser dan buka Network.

    3. Pilih permintaan yang sudah diautentikasi dan konfirmasi header permintaan tetap yang digunakan untuk otentikasi atau identifikasi tenant di Request Headers. Contoh entri:

      Kunci

      Nilai (contoh)

      Authorization

      Bearer <temporary-token>

      X-Tenant-Id

      tenant-a

    Penting

    Masukkan hanya header tetap. Bidang tanda tangan dinamis seperti timestamp, nonce, token sekali pakai, dan digest badan permintaan dihasilkan oleh situs itu sendiri. Jangan masukkan sebagai header tetap.

    Langkah konfigurasi

    1. Di panel Create Penetration Test Task, klik Add Identity di bagian Access Credentials untuk mengonfigurasi kredensial akses untuk identitas dengan izin berbeda.

    2. Di dialog Add Credential, konfigurasikan parameter berikut dan klik Save Identity.

      Parameter

      Deskripsi

      Identity Name

      Wajib diisi. Nama identitas kustom, seperti administrator, pengguna biasa, atau pengguna uji coba. Nama mendukung hingga 32 karakter dan harus unik dalam tugas yang sama.

      Identity Description

      Opsional. Deskripsi tambahan tentang karakteristik izin identitas, seperti "identitas uji coba sah yang memiliki izin read-only". Deskripsi mendukung hingga 200 karakter.

      Select Credential Type

      Wajib diisi. Pilih salah satu dari lima jenis kredensial berikut:Username/Password, Cookie, Local Storage, Session Storage, dan Additional Headers (Advanced). Untuk panduan pemilihan, lihat Pemilihan jenis kredensial.

      Credential content

      Masukkan informasi kredensial berdasarkan jenis kredensial yang dipilih. Metode mendapatkan setiap jenis kredensial dan persyaratan entri dijelaskan dalam Dapatkan konten kredensial.

    3. Untuk mengonfigurasi beberapa identitas, klik Add Identity lagi dan terus tambahkan identitas.

    Pesan validasi umum dan cara menanganinya

    Prompt atau Gejala

    Cara menanganinya

    Nama identitas sudah ada

    Ubah nama menjadi yang unik dalam tugas yang sama.

    Tidak ada cookie valid yang diurai

    Periksa formatname=value dan pemisah titik koma. Tambahkan awalan Cookie: dan coba lagi.

    Masukkan minimal satu pasangan kunci-nilai yang valid

    Periksa apakah kunci dan nilai Local Storage, Session Storage, atau Header sudah lengkap.

    Tugas tetap berjalan sebagai pengguna tanpa autentikasi

    Periksa apakah kredensial telah kedaluwarsa, apakah domain dan path cookie cocok, apakah jenis penyimpanan dan origin benar, dan apakah kapitalisasi kunci konsisten.

    Tenant atau izin bisnis masih hilang setelah login

    Periksa apakah header tenant tetap juga diperlukan, atau apakah akun uji coba saat ini memiliki izin target.

    Penagihan

    Item penagihan

    AgenticBAS menggunakan model penagihan hibrida yang menggabungkan langganan layanan dasar dengan konsumsi Credits pay-as-you-go.

    Catatan

    Setiap tugas penetration testing mengonsumsi sejumlah Credits tertentu berdasarkan kompleksitasnya. Untuk perkiraan, lihat bagian referensi penggunaan di bawah.

    Item penagihan

    Metode penagihan

    Deskripsi

    Biaya langganan layanan dasar

    Langganan

    USD 6.000 per bulan

    Penting

    Setelah Anda mengaktifkan layanan, 1.000.000 Credits diberikan di muka dan berlaku selama satu bulan. Setelah kuota yang diberikan habis, Anda akan dikenai biaya berdasarkan jumlah Credits yang dikonsumsi sesuai metode penagihan pay-as-you-go.

    Excess Credits

    Pay-as-you-go

    USD 0,002 per Credit

    Referensi penggunaan

    Dalam skenario penetration testing web, konsumsi Credits bergantung pada faktor seperti skala titik akhir web, kompleksitas bisnis, dan status keamanan. Perkiraan Credits berikut hanya sebagai referensi. Penggunaan Credits aktual berdasarkan statistik yang dikumpulkan setelah tugas penetrasi selesai. Anda dapat memeriksa penggunaan aktual seperti yang dijelaskan dalam Lihat konsumsi Credits. Gunakan tier yang sesuai dengan target Anda untuk mengatur nilai Max Credits Usage suatu tugas.

    Tier

    Jumlah sub-link

    Volume kode JavaScript sisi klien

    Referensi penggunaan Credits

    Small

    < 20

    < 150 baris / < 50 KB

    50.000 hingga 350.000

    Medium

    20 hingga 50

    150 hingga 3.000 baris / 50 hingga 300 KB

    150.000 hingga 750.000

    Large

    > 50

    > 3.000 baris / > 300 KB

    500.000 hingga 3.000.000

    Kedaluwarsa atau pembatalan langganan

    Setelah layanan kedaluwarsa atau dibatalkan langgannya, semua fitur penetration testing berhenti segera, dan penagihan pay-as-you-go untuk Excess Credits juga berhenti. Dampak spesifik sebagai berikut:

    • Fitur dinonaktifkan: Anda tidak dapat membuat tugas penetration testing baru, dan tugas yang ada akan berhenti berjalan.

    • Penagihan berhenti: Penagihan pay-as-you-go untuk Excess Credits dihentikan segera, dan tidak ada tagihan post-paid baru yang dihasilkan.

    Kedaluwarsa

    • Pengingat kedaluwarsa: Tujuh hari sebelum layanan kedaluwarsa, sistem mengirimkan pengingat kedaluwarsa melalui SMS dan email. Untuk menghindari gangguan layanan, perbarui layanan segera di konsol Biaya dan Pengeluaran.

    • Penanganan Kredit:

      • Setelah layanan kedaluwarsa, 1.000.000 Credits yang diberikan dengan paket secara otomatis dihapus. Credits tersebut tidak dapat diperpanjang atau ditransfer, dan Credits yang tidak dikonsumsi sebelum kedaluwarsa tidak dikembalikan.

      • Biaya untuk Excess Credits yang dihasilkan pada tanggal kedaluwarsa muncul dalam tagihan pay-as-you-go pada hari berikutnya.

    • Pembersihan data: Setelah layanan kedaluwarsa, data tugas penetrasi disimpan selama 15 hari. Setelah 15 hari, instans dilepas dan data historis dihapus permanen. Jika Anda membeli ulang layanan dalam waktu 15 hari, data tugas penetrasi historis dapat dipulihkan. Jika Anda tidak memperbarui dalam waktu 15 hari, data akan dihapus permanen dan tidak dapat dipulihkan.

    Pembatalan langganan

    AgenticBAS tidak mendukung pembatalan langganan. Jika Anda perlu membatalkan langganan, hubungi manajer akun Anda untuk membatalkan langganan secara manual.

    FAQ

    • Apakah mematikan sakelar perlindungan elastis di Security Center memengaruhi AgenticBAS penagihan pay-as-you-go?

      Tidak. Setelah Credits AgenticBAS habis, penagihan pay-as-you-go diaktifkan secara otomatis. Ini adalah logika penagihan independen dan tidak dikontrol oleh sakelar perlindungan elastis.

    • Apakah AgenticBAS mendukung menonaktifkan mode Credits pay-as-you-go secara terpisah?

      Tidak.

    • Berapa lama waktu yang dibutuhkan untuk menjalankan tugas penetration testing?

      Satu tugas biasanya membutuhkan waktu lama untuk dijalankan dan bisa melebihi 1 jam. Durasi pasti tergantung pada skala, kompleksitas bisnis, dan status keamanan target penetrasi. Setelah tugas selesai, lihat hasilnya di halaman detail tugas.

    • Apakah pemindaian penetration testing memengaruhi bisnis saya?

      AgenticBAS menggunakan metode deteksi non-destruktif dan tidak menyebabkan dampak destruktif pada operasi normal sistem target. Namun, jika WAF, Cloud Firewall, atau kebijakan keamanan lainnya diterapkan di lingkungan jaringan, tambahkan alamat IP pemindai ke daftar izin terlebih dahulu untuk mencegah permintaan pemindaian diblokir, yang dapat memengaruhi hasil penetration testing.

    • Apa yang harus saya lakukan jika Credits yang diberikan tidak cukup?

      Setelah 1.000.000 Credits yang diberikan habis, sistem mengaktifkan mode Credits pay-as-you-go secara otomatis. Tidak diperlukan aktivasi manual, dan layanan tidak terganggu. Anda dapat melihat konsumsi Credits di halaman utama AgenticBAS.

    • Bisakah saya memperbaiki masalah langsung setelah penetration test menemukannya?

      Tidak. AgenticBAS hanya menyediakan deteksi kerentanan dan unduhan laporan. Perbaiki masalah secara manual berdasarkan rencana remediasi dalam laporan.