Panduan singkat: menggunakan Maltego untuk ethical hacking (Peretasan Etis)

Keterangan penting di awal — jangan melakukan scanning atau pengumpulan data terhadap target tanpa izin tertulis. Gunakan Maltego untuk intelijen sumber terbuka (OSINT), visualisasi hubungan, footprinting infrastruktur, dan pelaporan temuan. Jika tujuanmu adalah pentest, pastikan ada kontrak/POA yang menjelaskan ruang lingkup, waktu, dan metode. Hukum & perlindungan data perlu dipatuhi (contoh: Indonesia punya aturan PDP dan peraturan siber yang relevan). DLA Piper Data Protection+1

1) Persiapan sebelum membuka Maltego

• Dapatkan izin tertulis dari pemilik target (surat otorisasi pentest / scope).

• Install Maltego Community/Pro sesuai kebutuhan; cek perbedaan edisi (CE gratis, Pro/Enterprise berbayar). Maltego Support+1

• Siapkan akun Transform API/data (beberapa Transform butuh kunci API: Shodan, VirusTotal, Twitter, dll).

• Siapkan lingkungan kerja: laptop/VM terpisah, catatan waktu (log), dan alat tambahan (browser, terminal, penyimpanan hasil).

2) Alur kerja aman & etis (high-level)

1. Definisikan scope: domain, rentang IP, aset yang boleh/disallowed. Catat tujuan (mis. inventory aset publik, pemetaan koneksi, isntruksi keamanan).

2. Kumpulkan OSINT (non-intrusive): domain → DNS/WHOIS → subdomain → IP → layanan publik → akun publik terkait. Fokus ke data publik. Maltego+1

3. Visualisasikan: buat graph, kelompokkan entitas (orang, domain, IP, email, organisasi).

4. Enrichment: gunakan Transforms dan Machines untuk menambah data (email → akun socmed → foto publik → dokumen).

5. Analisis & temuan: cari pola/indikasi kebocoran data, konfigurasi publik yang lemah (mis. server yang bocor info), tetapi jangan eksploitasi.

6. Laporan & tindak lanjut: buat laporan temuan, rekomendasi mitigasi, dan jalankan proses Responsible Disclosure / koordinasi perbaikan.

3) Langkah praktis awal di Maltego (contoh aman, non-intrusive)

Catatan: ini contoh OSINT — bukan instruksi untuk meretas.

1. Buat proyek baru / graph baru.

2. Masukkan Entity awal — mis. Domain (example.com) atau Person (nama publik).

3. Jalankan Transforms standar:

   • To DNS Name(s) → menemukan subdomain;

   • To MX Records → lihat email provider;

   • To IP Address → mapping infrastruktur publik;

   • To WHOIS → registrant & registrar info.
     (Maltego punya >150 Standard Transforms; pilih sesuai scope). Maltego Support+1

4. Gunakan Machines untuk workflow otomatis (mis. network footprinting machine) agar proses konsisten. Maltego

5. Tambahkan sumber data berbayar bila perlu (Shodan, VirusTotal, dll) untuk enrichment — pastikan lisensi/API key.

6. Filter & cluster: gunakan visual clustering, warna, dan catatan untuk menandai temuan penting.

7. Export hasil: PNG/CSV/GEXF/PDF untuk laporan.

4) Contoh temuan yang boleh dan tidak boleh dilakukan

• Boleh: mengumpulkan informasi publik (whois, subdomain, data sosial media publik), memetakan hubungan, mendeteksi kebocoran info publik (file publik di bucket S3 yang tidak dilindungi bila terlihat publik).

• Tidak boleh: mencoba login, brute-force, exploit, memindai port yang agresif tanpa izin, mengunduh data yang memerlukan otorisasi, atau mengubah konfigurasi layanan target. Jika menemukan akses tidak sengaja (mis. server tanpa password), laporkan ke pemilik, jangan eksploitasi. (praktik Responsible Disclosure). WebAsha

5) Rekomendasi teknis & best practices

• Batasi kueri/ratelimit: hormati robots.txt dan batas API. Jangan overload sistem. WebAsha

• Audit jejak: catat semua langkah, waktu, hasil transform — untuk audit dan laporan.

• Anonimitas/etika: hindari teknik yang menyembunyikan identitas jika itu melanggar kebijakan klien atau hukum; gunakan identitas profesional.

• Validasi temuan: konfirmasi temuan dengan pemilik sebelum publikasi.

• Pembaruan alat: Maltego dan Transform hub berkembang — periksa dokumentasi resmi dan changelog secara berkala. Maltego Support+1

6) Contoh format singkat Responsible Disclosure — Mock Form (template)

Responsible Disclosure / Vulnerability Report

1. Pelapor:
   - Nama: ___________________
   - Email: ___________________

2. Target (dalam scope):
   - Nama Organisasi: ___________________
   - Domain/IP dalam scope: ___________________

3. Waktu dan deskripsi temuan:
   - Tanggal/Waktu (UTC+7): __/__/____ __:__
   - Deskripsi singkat temuan (apa yang terlihat secara publik, tidak termasuk eksploitasi): 
     ______________________________________________________

4. Dampak potensial:
   - Ringkasan risiko: _______________________________________

5. Bukti (screenshot/log/URL publik):
   - Lampirkan file atau URL yang sifatnya publik.

6. Permintaan:
   - Mohon konfirmasi penerimaan laporan dalam 5 hari kerja.
   - Kami menyediakan bantuan koordinasi perbaikan jika diminta.

7. Pernyataan:
   - Saya telah melakukan pengumpulan data hanya pada aset yang berada dalam scope dan hanya dengan metode OSINT / non-intrusive.

Gunakan template ini sebagai lampiran pada email/portal laporan ke pemilik aset atau tim CSIRT.

7) Sumber belajar & referensi cepat

• Dokumentasi Maltego – Standard Transforms & Products. Maltego Support+1

• Panduan pemula Maltego (blog & tutorial resmi). Maltego+1

• Tutorial pihak ketiga (StationX) untuk konsep OSINT dengan Maltego. StationX

• Panduan hukum & regulasi di Indonesia (PDP Law, aturan siber) — pastikan patuh hukum lokal. DLA Piper Data Protection+1