Dalam hampir setiap assessment infrastruktur, ada satu kategori perangkat yang konsisten mendapat perhatian paling kecil dari tim IT: network attached storage, atau NAS. Perangkat ini biasa dianggap sebagai kotak penyimpanan pasif, bukan sistem yang aktif memproses dan bisa dieksploitasi. Anggapan itu yang membuatnya sering luput dari hardening rutin, padahal di banyak kasus NAS menyimpan lebih dari sekadar file.

Serangan deauthentication sering dianggap gangguan kecil. Sinyal putus sebentar, perangkat menyambung lagi, selesai. Anggapan itu yang membuat banyak organisasi tidak pernah menganggapnya cukup serius untuk diuji, padahal dampaknya bisa jauh lebih besar dari yang diperkirakan.

Banyak orang menganggap bug bounty dan penetration testing sebagai dua hal yang sama, hanya dibedakan oleh bentuk kontraknya. Setelah menjalani keduanya secara bersamaan selama beberapa tahun, saya melihat bahwa perbedaannya jauh lebih dalam daripada sekadar soal bayaran atau ruang lingkup pengujian.