2013

Ethical Hacking STMIK AMIKOM YOGYAKARTA 2012 / 2013

Latar belakang •  Mengerti pentingnya keamanan •  Pengenalan ethical hacking dan pentingnya mengenal terminologi yang dapat terjadi. •  Mengetahui macam alur fase yang terkandung dalam exploit hacking. •  Ethical hacking vs penetration testing. •  Menggambarkan tentang macam attack (serangan) dan exploit (eksplotasi).

Mengapa keamanan? •  Evolution of technology focused on ease of use. –  Kenyamanan berbanding terbalik dengan keamanan.

•  Increasing complexity of computer infrastructure administration and management. –  perlunya pengamanan yang lebih profesional.

•  Decreasing skill level needed for exploits. –  Semakin rendahnya kebutuhan skill dalam exploit. Menunjukan makin banyaknya tool exploit dan makin mudahnya orang untuk melakukan exploit.

Mengapa keamanan? •  Direct impact of security breach on corporate asset base and goodwill. –  Akibat penerobosan keamanan akan berakibat pada aset dan barang berharga perusahaan.

•  Increased networked environment and network based applications. –  Meningkatnya lingkungan network dan aplikasi network, maka meningkatkan resiko keamanan dan banyaknya celah keamanan.

Segitiga: keamanan, fungsionalitas dan kenyamanan pengguna •  Jumlah exploit akan menurun sebanding dengan merendahnya tingkat kelemahan. •  Fungsionalitas sistem makin minim. •  Semakin mendekati tingkat keamanan maka makin jauh dari fungsionalitas dan kenyamanan pengguna.

Keamanan

fungsionalitas

Kenyamanan pengguna

Hacking menjadi Ethical •  Hacker : orang yang belajar detil tentang sistem komputer dan terus mengasah kemampuannya. •  Hacking : proses pengembangan cepat dari program baru atau reverse engineering dari software yang sudah ada untuk membuat kode lebih baik dan efisien, atau upaya untuk menerobos sistem jaringan tanpa bermaksud untuk melakukan perusakan.

Hacking menjadi Ethical •  Cracker : orang yang menggunakan kemapuan hackingnya untuk tujuan menyerang dan melakukan pengrusakan. •  Ethical hacker : profesional pengaman yang menerapkan kemampuan hacking untuk tujuan bertahan. –  An Auditor need to thinking out of the box. –  Security Planner/Consultant must know the needs of the institution

Hacking menjadi Ethical •  Ethical hacking didefinisikan sebagai metodologi yang diadopsi oleh ethical hacker untuk menemukan vulnerability (celah keamanan) dalam lingkungan sistem operasi dan sumber (tempat) informasi. •  Ethical hacking biasanya menggunakan tools dan teknik seperti penyerang kriminal (cracker), tetapi tidak merusak target sistem atau mencuri informasi melainkan merawat integritas dan kerahasiaan sistem.

Hacking menjadi Ethical •  Keamanan tanggung jawab semua pengguna sistem. •  Sebagai ethical hacker harus dapat berpikir selangkah kedepan dari cracker.

Essential terminology •  Threat : aksi atau peristiwa yang bersentuhan kuat dengan keamanan. Sebuah pelanggaran berpotensi terhadap keamanan sebagai indikasi kejadian yang tidak diharapkan. –  Indikasi sebuah peristiwa potensial yang tidak diinginkan. –  Rangkaian keadaan atau peristiwa yang memperbolehkan orang atau lainnya untuk menyebabkan kerusakan informasi dari produk IT dengan konsep exploiting vulnerability. –  Intention (inteligent, individual cracker, criminal organization) atau accidental (computer malfuctioning, natural disaster)

Essential terminology •  Vulnerability : adanya kelemahan, error desain atau implementasi yang dapat menghantarkan pada peristiwa tidak diinginkan yang berhubungan dengan keamanan sistem. –  Kelemahan keamanan pada target yang dievaluasi (gagal analisis, desain, implementasi dan operasi) –  Kelemahan informasi pada sistem atau komponen yang dapat diexploit untuk menghasilkan informasi merusak. –  peristiwa yang tidak diinginkan dan tidak diharapkan pada sistem, network, aplikasi atau yang berhubungan dengan protokol.

Essential terminology •  Perbedaan mendasar threat dan vulnerabilty yaitu bahwa tidak semua threat hasil penyerangan dan tidak semua penyerangan berhasil. •  Keberhasilan penyerangan bergantung pada derajat vulnerability, kekuatan si penyerangan dan keefektifan tools yang digunakan si penyerang.

Klasifikasi penyerangan •  Active attack : modifikasi sistem target. Active attack berpengaruh terhadap keberadaan, kesempurnaan dan keaslian dari sistem. •  Passive attack : merusak kerahasiaan tanpa berpengaruh terhadap keadaan sistem. •  Perbedaannya yaitu active attack mencoba mengubah sumberdaya sistem atau berakibat pada operasi yang diserang, sedangkan passive attack mempelajari atau memakai informasi dari sistem tanpa berakibat pada sumberdaya sistem yang diserang.

Kategori penyerangan •  Inside attack : penyerangan yang dikenali sebagai entitas dari dalam perimeter keamanan. Entitas yang diperbolehkan untuk mengakses sumberdaya sistem tetapi menggunakannya diluar hak yang diperbolehkan. (asal serangan dari dalam jaringan) •  Outside attack : penyerangan yang dikenali dari luar perimeter keamanan. Entitas yang tidak diperbolehkan atau dilarang akses oleh sistem. (asal serangan dari luar jaringan)

Essential terminology •  Target of evaluation : sistem IT, produk atau komponen yang merupakan identifikasi dalam evaluasi keamanan. •  Attack : adalah sebuah aksi/usaha untuk menerobos keamanan (dengan pengetahuan/ teknik-teknik cerdas). •  Exploit : didefinisikan sebagai cara untuk melanggar/menembus keamanan sistem IT melalui keadaan vulnerability.

Elemen keamanan •  Keamanan adalah keadaan yang baik bagi informasi dan infrastuktur. •  Kemungkinan kecil suksesnya pencurian yang tidak terdeteksi, perusakan dan gangguan pada informasi dan pelayanan. •  Bila masih terjadi, keadaan tersebut masih dapat di toleransi. •  Setiap peristiwa keamanan akan berdampak pada elemen keamanan.

Elemen keamanan •  Confidentiality : menyembunyikan informasi dan sumberdaya. •  Authenticity : identifikasi dan penjaminan dari keaslian informasi. •  Integrity : tingkat kepercayaan data atau sumberdaya dari sebuah perubahan yang tidak tepat dan tidak layak. •  Availability : kemampuan untuk menggunakan informasi dan sumberdaya.

Proses hacker •  •  •  •  • 

Reconnaissance (pengintaian) Scanning (mengamati dengan teliti). Gaining access (mendapatkan akses). Maintaining access (mempertahankan akses). Covering tracks (menutupi jejak)

Proses hacker •  Reconnaissance –  Dalam fase ini penyerang mencari informasi tentang target dengan secara active atau passive.

•  Scanning –  Dalam fase ini penyerang memulai memeriksa target dengan sangat teliti untuk mencari vulnerability yang dapat di exploit.

Proses hacker •  Gaining access –  Jika vulnerability di temukan, maka penyerang berusaha exploit ke dalam sistem untuk mendapatkan hak akses.

•  Maintaining access –  Sekali penyerang mendapatkan akses maka akan mengembangkan hak aksesnya untuk memenuhi tujuannya masuk ke dalam sistem.

•  Covering access –  Menghapus jejak sehingga tidak terdeteksi atau terkena penalti dalam kriminal

Reconnaissance •  Fase persiapan dimana penyerang berusaha mencari sebanyak mungkin informasi tentang target yang akan di evaluasi sebelum memulai penyerangan. Termasuk external atau internal scanning. •  Pencarian dapat menggunakan internet untuk mencari informasi seperti informasi pegawai, partner bisnis, teknologi yang dipakai dan berbagai pengetahuan bisnis yang penting.

Reconnaissance •  Sosial engineering, yaitu: orang yang memiliki kebiasaan berbicara dengan orang lain dengan baik sehingga dapat membuka informasi dari orang lain tersebut, seperti: daftar nomer telp, password hingga informasi yang sensitif. •  Dumpstar diving, yaitu: proses untuk melihat ke dalam sampah sebuah organisasi atau perusahaan untuk mencari informasi sensitif yang terbuang.

Reconnaissance •  Passive reconnaissance, yaitu mencakup monitoring terhadap jaringan data untuk mencari pola ataupun petunjuk. –  Sniffing, information gathering, network monitoring.

•  Active reconnaissance, yaitu mencakup pemeriksaan jaringan untuk pendeteksian. –  Akses host jaringan. –  Port yang terbuka. –  Lokasi router. –  Detil OS dan servisnya.

Scanning •  Scanning menunjuk pada fase pre-attack dengan pengamatan jaringan sesuai informasi spesifik yang didapat dari reconnaissance. •  Resiko  “high” •  Scanning termasuk diantaranya port scanner, network mapping, sweeping, vulnerability scanner dan sebagainya.

Gaining access •  Merupakan fase attack yang sesungguhnya yaitu fase hacker mengexploit sistem target. •  Exploit dapat terjadi pada jaringan LAN, internet, offline sebagai bagian penipuan dan pencurian. •  Diantaranya yaitu dengan buffer over flow, denial of service, session hijacking, password filtering dan sebagainya.

Gaining access •  Faktor yang mempengaruhi keberhasilan: arsitektur jaringan (topologi), konfigurasi sistem dari target, level skill hacker dan level akses yang didapat. •  Resiko  “highest”

Maintaining access •  Menunjuk pada fase dimana hacker berusaha mempertahankan “kepemilikan” sistem yang didapat. •  Hacker berhasil meng-exploit vulnerability dan dapat masuk ke dalam sistem. •  Hacker mempertahankan sistem dari hacker yang lain dengan mengamankan aksesnya, yaitu dengan backdoor, rootkits, trojans dan trojan horse backdoors. •  Hacker dapat meng upload, download hingga manipulasi data / aplikasi / konfigurasi dari sistem yang “dimiliki”.

Covering tracks •  Menunjuk pada aktifitas yang dilakukan oleh hacker untuk memperluas penyalahgunaan sistem tanpa terdeteksi. •  Alasan diantaranya untuk memperpanjang keberadaan hacker, melanjutkan penggunaan sumberdaya, menghilangkan bukti hacking, menjadi aksi legal dan sebagainya.

Covering tracks •  Diantaranya steganography (menyembunyikan data dalam file gambar atau suara), tunneling (menggunakan tranmisi sebuah protokol ke protokol lain), altering log files dan sebagainya. •  Hacker dapat mengingat jalur panjang yang dilalui tanpa terdeteksi dan menggunakan fase tersebut terhadap target lain yang berkorelasi.

•  steganography

Clasifikasi hacker •  Black hats –  Individu dengan kemampuan komputer luar biasa, mengambil jalur untuk aktifitas yang melanggar dan merusak dengan tujuan ilegal dan jahat. –  Biasa disebut juga “cracker”. –  Kategori ini banyak berhubungan dengan aktifitas kriminal dan dicari penegak hukum.

Clasifikasi hacker •  White hats –  Individu berprofesi untuk memiliki kemampuan hacker dan menggunakannya untuk tujuan pertahanan. –  Biasa disebut juga “security analyst”. –  Kategori ini biasanya sebagai analis keamanan yang memiliki pengetahuan tindakan balasan terhadap proses hacking.

Clasifikasi hacker •  Gray hats –  Individu yang bekerja di dua posisi yaitu menyerang dan bertahan dalam berbagai waktu tertentu. –  Memiliki keyakinan “siapa yang dapat masuk membuka informasi, maka ia memiliki hak / kebijaksanaan atas informasi tersebut”.

Clasifikasi ethical hacker •  Former black hat (ex. cracker) –  Reformasi dari cracker menjadi defender. –  Kemampuan mengamankan sesuai dengan pengalaman. –  Terkadang masih kurang kredibilitas, (setelah memasuki informasi yang sensitif, sering membuka akses bagi yang lain, sehingga berakibat resiko pada perusahaan). –  Masih kurang kehati-hatian.

Clasifikasi ethical hacker •  White hats –  Independent security consultant baik perseorangan atau grup. –  Memiliki pengetahuan tentang segala aktifitas black hat. –  Efisien dalam gathering information (sharing info) seperti black hat.

Clasifikasi ethical hacker •  Consulting firm –  Bagian sebuah firma ICT sebagai third party untuk evaluasi keamanan. –  Memiliki kemampuan dan kredibiliatas yang bagus. –  Bertindak selayaknya konsultan yang profesional.

Tiga fase testing keamanan

•  Preparation : fase formal dengan membuat pertanyaan-pertanyaan seperti: “informasi apa yang dilindungi perusahaan, dari siapa, berapa biaya yang dianggarkan, sehingga akan dapat dibuat rencana yang sesuai. •  Fase ini juga membuat kesepakatan evaluasi oleh ethical hacking untuk proses penyingkapan informasi sehingga tidak ada penuntutan atas proses tersebut serta membuat kontrak tentang aktifitas evaluasi, jadwal dan sumber daya yang ada.

Tiga fase testing keamanan •  Conduct : fase ini melakukan metodemetode ethical hacking, yaitu: analisis vulnerability dan tes menerobos sistem (penetration) baik dari internet maupun dari intranet (jaringan internal). •  Mencari sebanyak mungkin vulnerability yang dapat terjadi pada target.

Tiga fase testing keamanan •  Conclusion : fase ini memberikan rekomendasi-rekomendasi dan mengkomunikasikan perusahaan/client dengan saran-saran dan aksi yang harus dilakukan berdasarkan hasil evaluasi keamanan. •  Kemungkinan vulnerability informasi dan data.

Mode ethical hacking •  Remote network : mode ini mensimulasikan serangan penyusup yang melakukan penyerangan melalui internet. •  Pertahanan utama yang perlu diperhatikan yaitu batasan firewalls, filtering dalam router, Access List, dsb.

Mode ethical hacking •  Remote dial-up network : mode ini mencoba mensimulasikan serangan penyusup dengan melakukan penyerangan melalui alat-alat komunikasi dalam atau luar perusahaan/client (seperti: modem/hp, dll). •  Target yaitu segala alat dial-up seperti: HP, PBX units, fax machines dan central sound mail server (sound adapter server). •  Pertahanan yang perlu di perhatikan pada skema autentifikasi pengguna.

Mode ethical hacking •  Local network : mode ini mensimulasikan seorang pegawai dengan akses legal mencari akses yang bukan otoritasnya melalui jaringan lokal. •  Pertahanan yang perlu diperhatikan, yaitu: firewalls intranet, server web internal dan tindakan keamanan server.

Mode ethical hacking •  Stolen equipment : mode ini mensimulasikan mencurian terhadap data/ informasi penting, seperti: pencurian laptop pemilik perusahaan/client yang di evaluasi, kemudian menggunakan data penting di dalamnya untuk akses ke server oleh sang pencuri (memanfaatkan cache memory PC). •  Pertahanan yang perlu diperhatikan bagaimana menjaga asset penting.

Mode ethical hacking •  Social engineering : mode ini mengecek integritas dan mawas diri pegawai perusahaan terhadap informasi penting milik perusahaan dan milik dirinya sendiri. •  Pertahanan yang perlu diperhatikan yaitu kesadaran akan arti pentingnya keamanan dan perlunya peningkatan keamanan.

Mode ethical hacking •  Physical entry : mode ini mencoba tes penyerangan terhadap fisik infrastuktur ICT perusahaan/client yang di evaluasi. •  Pertahanan yang perlu diperhatikan, yaitu: pada kekuatan kebijakan keamanan (security policy), petugas keamanan, ruangan kontrol akses dan monitoring serta kesiagaan keamanan (tindakan) bila ada penyusupan/serangan.

TUGAS •  Mencari informasi tentang kelemahan sistem keamanan: 1. fisik, 2. infrastruktur, 3. sistem, 4. SDM, 5. pelayanan (service) yang ada di lingkungan STMIK AMIKOM YOGYAKARTA. Boleh salah satu atausemuanya •  Tugas perorangan dikumpulkan dalam bentuk paper A4 (print) Minggu depan, dan Kirim dalam bentuk email (attachment: file .doc) ke [email protected] sebelum tgl 10 Desember 2012.