Komparasi Efektivitas Web Application Firewall terhadap Serangan Otomatis dan Intervensi Manual pada Simulasi Portal Akademik

Abstract

Lonjakan ancaman siber terhadap aplikasi berbasis website memaksa instansi untuk menerapkan arsitektur pelindung jaringan menggunakan Web Application Firewall (WAF). Namun, implementasi WAF memunculkan anomali dalam evaluasi keamanan (penetration testing), di mana pemindai otomatis sering kali mengalami kebuntuan akibat pemblokiran, sementara intervensi manual terbukti mampu mengeksploitasi logika aplikasi secara senyap. Penelitian ini bertujuan untuk menguji dan membandingkan secara langsung tingkat efektivitas ekstraksi data dan tingkat penghindaran (evasion) WAF antara serangan alat otomatis dengan intervensi manual. Mengadopsi prosedur Information System Security Assessment Framework (ISSAF) dan Open Web Application Security Project (OWASP), penelitian kuantitatif eksperimental komparatif ini diaplikasikan pada dummy server portal akademik SSDD-CCA (Secure Software Design & Development) bersistem PHP native dan MySQL yang dilindungi oleh WAF Cloudflare. Eksperimen dilakukan melalui 60 iterasi komparatif: 30 tembakan otomatis menggunakan SQLmap, dan 30 percobaan intervensi URL manual untuk mengeksploitasi Broken Object Level Authorization (BOLA). Hasil penelitian menunjukkan disparitas absolut; serangan otomatis memiliki tingkat pemblokiran 100% (skor evasion 0%), sedangkan serangan manual berhasil mencapai tingkat evasion 100% tanpa memicu sensor WAF. Temuan ini menyimpulkan bahwa WAF modern sangat tangguh menghadapi serangan berbasis pola, tetapi lemah terhadap manipulasi logika bisnis. Implikasi praktis mendesak pengembang untuk memperkuat secure coding pada validasi otorisasi alih-alih hanya bergantung pada pelindung eksternal.