IKI-83408T Proteksi dan Teknik Keamanan Sistem Informasi. Operations Security dan Penerapannya di Usaha Kecil Menengah (UKM)

IKI-83408T Proteksi dan Teknik Keamanan Sistem Informasi

Operations Security dan Penerapannya di Usaha Kecil Menengah (UKM)

Kelompok 6: Pranarendra Wibowo (7204000322) Timor Setiyaningsih (7204000381)

Magister Teknologi Informasi Fakultas Ilmu Komputer Universitas Indonesia Jakarta 2005

Daftar Isi 1. Pendahuluan...............................................................................................................1 1.1 Tujuan ..................................................................................................................1 1.2 Definisi Domain...................................................................................................1 1.2.1 Tiga Hal Utama.............................................................................................1 1.2.2 C.I.A..............................................................................................................1 2. Kontrol dan Proteksi (Controls and Protections) .......................................................2 2.1 Kontrol berdasarkan Kategori (Categories of Controls)......................................2 2.2 Kontrol berdasarkan Orange Book (Orange Book Controls) ..............................6 2.2.1 Covert Channel Analysis ..............................................................................7 2.2.2 Trusted Facility Management .......................................................................8 2.2.3 Trusted Recovery ........................................................................................10 2.2.4 Configuration/Change Management Control..............................................12 2.3 Kontrol di tingkat Administratif (Administrative Controls) ..............................13 2.4 Kontrol di tingkat Operasi (Operations Controls) .............................................16 2.4.1 Pengamanan Sumberdaya (Resource Protection) .......................................16 2.4.2 Kontrol Perangkat Keras (Hardware Controls)...........................................18 2.4.3 Kontrol Perangkat Lunak (Software Controls) ...........................................19 2.4.4 Kontrol Entitas-Kewenangan (Privileged-Entity Controls)........................21 2.4.5 Kontrol Media (Media Controls) ................................................................21 2.4.6 Kontrol Terhadap Akses Fisik (Physical Access Controls)........................23 3. Pengawasan dan Pengauditan (Monitoring and Auditing) ......................................24 3.1 Pengawasan (Monitoring)..................................................................................24 3.2 Pengauditan (Auditing)......................................................................................26 3.2.1 Audit Keamanan (Security Auditing) .........................................................26 3.2.2 Jejak Audit (Audit Trails) ...........................................................................26 3.2.3 Konsep Manajemen Masalah (Problem Management Concept) ................27 4. Ancaman dan Kerawanan (Threats and Vulnerabilities) .........................................28 4.1 Ancaman (Threats).............................................................................................28 4.2 Kerawanan (Vulnerabilities)..............................................................................31 5. Prosedur-prosedur Keamanan ..................................................................................33 5.1 Prosedur Penanganan Serangan Virus ...............................................................33 5.2 Prosedur Penanganan E-mail Spam ...................................................................35 5.3 Prosedur Penanganan Update/Patch ..................................................................35 5.4 Prosedur Penanganan Serangan dari Dalam ......................................................36 5.5 Prosedur Penanganan Serangan Campuran .......................................................37 6. Penutup ....................................................................................................................38


Operations Security dan Penerapannya di Usaha Kecil Menengah (UKM) 1. Pendahuluan Pada domain Keamanan Operasi (Operations Security) akan dibahas mengenai kontrol-kontrol apa saja yang diperlukan pada lingkungan operasi yang berhubungan dengan komputasi. Hal-hal tersebut harus mencakup tiga pilar dari keamanan informasi yaitu Kerahasiaan (Confidentiality), Integritas (Integrity), dan Ketersediaan (Availability). Pada tiap-tiap pembahasan akan disertai pula dengan ilustrasi tentang bagaimana penerapan pada umumnya dan khususnya di UKM. 1.1 Tujuan Pendekatan yang akan dilakukan meliputi: 1. Kontrol dan Proteksi (Controls and Protections) 2. Pengawasan dan Pengauditan (Monitoring and Auditing) 3. Ancaman dan Kerawanan (Threats and Vulnerabilities) 1.2 Definisi Domain Keamanan Operasi bermakna suatu tindakan untuk mengerti hal-hal yang menjadi ancaman dan hal-hal yang menjadi kerawanan dari operasi-operasi komputer yang bertujuan untuk secara rutin mendukung aktivitas operasional dari suatu sistem komputer agar dapat berfungsi dengan benar. 1.2.1 Tiga Hal Utama Seperti domain keamanan lain, Keamanan Operasi juga memperhatikan tiga hal utama yaitu: 1. Ancaman (Threat) Ancaman dalam domain Keamanan Operasi dapat didefinisikan sebagai adanya kejadian potensial yang dapat menyebabkan kerusakan dengan cara melanggar keamanan. 2. Kerawanan (Vulnerability) Kerawanan dalam domain ini dapat didefinisikan sebagai titik lemah dalam sebuah sistem yang dapat mengakibatkan terjadinya pelanggaran keamanan. 3. Aset (Asset) Aset adalah apa saja yang diyakini sebagai sumberdaya komputasi atau kemampuan, seperti perangkat keras, perangkat lunak, data, dan juga sumberdaya manusia (personel). 1.2.2 C.I.A. Beberapa hal ini adalah beberapa dampak dari kontrol operasi pada C.I.A.: 1. Konfidensialitas (Confidentiality) Kontrol Operasi memberi dampak pada sensitivitas dan kerahasiaan dari informasi. © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

1


2. Integritas (Integrity) Bagaimana kontrol operasi diterapkan akan secara langsung berdampak pada akurasi data dan keotentikan. 3. Ketersediaan (Availability) Kontrol ini memberi dampak pada tingkat penanggulangan kesalahan (fault tolerance) organisasi dan kemampuannya untuk kembali dari kegagalan tersebut. 2. Kontrol dan Proteksi (Controls and Protections) Domain Keamanan Operasi memperhatikan kontrol-kontrol yang akan digunakan untuk melindungi perangkat keras, perangkat lunak, dan sumberdaya media lainnya dari hal-hal sebagai berikut: - Ancaman di sebuah lingkungan operasi - Pihak pelanggar internal ataupun eksternal - Operator yang tidak secara benar mengakses sumberdaya Selain itu juga akan dibahas mengenai aspek kritikal dari kontrol operasi yaitu: 1. Pengamanan sumberdaya, meliputi kontrol perangkat keras 2. Kontrol entitas-kewenangan (privileged-entity) 2.1 Kontrol berdasarkan Kategori (Categories of Controls) Berikut ini beberapa kategori kontrol yang utama: 1. Kontrol Pencegahan (Preventative Controls) Kontrol Pencegahan adalah kontrol yang dirancang untuk mencapai dua hal yakni untuk merendahkan jumlah dan akibat dari kesalahan yang tidak disengaja yang memasuki sistem dan untuk mencegah penerobos yang tidak berhak dari mengakses sistem melalui internal atau ekternal. Contoh dari tipe kontrol seperti ini antara lain adalah pemberian nomor urutan pada form-form atau validasi data dan prosedur pemeriksaan untuk mencegah duplikasi. Penerapannya: Seperti dijelaskan di atas bahwa untuk melakukan kontrol ini, pada form-form, baik form tersebut bersifat hardcopy ataupun softcopy, yang digunakan untuk menyimpan data penting bagi organisasi sebaiknya diberikan urutan nomor agar memudahkan dalam mengelolanya, dan juga nantinya apabila dilakukan audit atau pemeriksaan dapat terdata dengan baik dan mudah. Untuk UKM penerapannya juga dapat dilakukan demikian, dimana lebih ke arah penyusunan prosedur pelaksanaan kegiatan yang berhubungan dengan form-form. Contohnya prosedur untuk bagian teller dalam hal memasukkan data ke dalam form, harus mengikuti urutan nomor form dan divalidasi oleh minimal dua orang petugas teller sebelum data valid tersimpan. 2. Kontrol Penyidikan (Detective Controls) Kontrol Penyidikan digunakan untuk mendeteksi sebuah kesalahan tepat pada saat terjadi. Tidak seperti kontrol pencegahan, kontrol ini berjalan setelah kejadian dan dapat digunakan untuk melacak transaksi yang tidak berhak dan selanjutnya dituntut, atau dapat juga dijadikan sumber informasi untuk mengurangi akibat dari kesalahan pada sistem dengan mengidentifikasikannya secara cepat sebelum

© 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

2


terjadinya kesalahan serupa. Contoh dari tipe kontrol seperti ini antara lain adalah jejak audit (audit trails). Penerapannya: Seperti dijelaskan di atas antara lain dengan melakukan jejak audit terhadap penggunaan sistem oleh user melalui pemeriksaan terhadap log/catatan sistem atau aplikasi. Dalam hal ini log sistem terpasang langsung di dalam sistem yang diakses oleh user sehari-hari. Sedangkan log aplikasi terpasang pada masingmasing aplikasi yang ada pada sistem, pada umumnya belum tentu seluruh aplikasi memiliki kemampuan untuk mendata kegiatan apa saja yang dilakukan oleh user melalui aplikasi tersebut, oleh karena itu ada baiknya memilih aplikasi secara selektif atau apabila sudah terlambat memiliki aplikasi yang tidak memiliki fasilitas untuk log maka sebaiknya dibangun perangkat lunak tambahan yang dapat melakukan log berbarengan dengan penggunaan aplikasi tersebut. Namun apabila hal tersebut tidak memungkinkan maka sebaiknya diterapkan prosedur/mekanisme di tingkat organisasi untuk melakukan kontrol secara manual atas penggunaan aplikasi tersebut. Untuk UKM penerapannya minimal dilakukan dengan pemeriksaan terhadap log/catatan aplikasi atau log pada sistem operasi (softcopy) yang disesuaikan dengan catatan tertulis (hardcopy). Pemeriksaan dapat dilakukan pada akhir bulan atau minggu atau bahkan akhir hari, khusus untuk transaksi pada aplikasi yang sensitif. Sebaiknya dilakukan oleh pihak lain dari yang melaksanakan kegiatan tersebut, untuk menghindari penyelewengan. Sebelum dapat dilakukan, pihak TI UKM menyusun prosedur dan mengarahkan bagaimana praktek pelaksanaannya. 3. Kontrol Koreksi/Pengembalian Ulang (Corrective/Recovery Controls) Kontrol Koreksi diterapkan untuk membantu mitigasi dampak dari kejadian kehilangan melalui prosedur recovery. Kontrol ini dapat digunakan untuk mengatur langkah-langkah yang harus diambil agar suatu sistem dapat kembali ke kondisi seperti semula (recover) setelah kerusakan, contohnya antara lain yakni langkah-langkah untuk mengembalikan kembali data yang secara tidak disengaja terhapus dari floppy disk. Penerapannya: Secara umum dan UKM penerapannya juga dapat dilakukan demikian, dan lebih ke arah penyusunan prosedur pelaksanaan kegiatan yang berhubungan dengan recovery. Contohnya prosedur recovery floppy disk dapat dilakukan dengan mengembalikan data pada salinan (copy) floppy disk yang sebelumnya telah di back-up. Namun apabila tidak melakukan back-up maka floppy disk berisi data tersebut harus disimpan jangan sampai digunakan (ditulisi data) sebelum dapat dilakukan recovery data menggunakan beberapa perangkat lunak recovery data yang cukup banyak ada di pasaran. Sedangkan contoh prosedur recovery untuk tingkat sistem, dengan catatan, minimal sebelumnya dilakukan mirror data dan pencatatan konfigurasi perangkat keras sistem utama beserta kontak vendornya. Sehingga saat terjadi kesalahan/bencana, menyelamatkan mirror data tersebut ke tempat aman dan selanjutnya mengontak vendor untuk menyediakan kembali perangkat keras yang terkena bencana agar dapat dibangun kembali sistem sesuai konfigurasi sistem semula yang tercatat. Setelah sistem berjalan kembali seperti semula sebaiknya


3


langsung dilakukan back-up/mirror data kembali dari sistem yang berjalan, untuk berjaga-jaga apabila terjadi lagi kesalahan/bencana serupa. Sedangkan beberapa hal berikut ini adalah kategori kontrol tambahan: 1. Kontrol Pembatas/Pengarah (Deterrent/Directive Controls) Kontrol Pembatas digunakan untuk mendorong suatu kepatuhan (compliance) dengan kontrol ekternal, seperti regulatory compliance. Kontrol ini ditujukan untuk melengkapi kontrol lain, seperti kontrol pencegahan dan penyidikan. Kontrol ini dikenal juga sebagai kontrol pengarah. Penerapannya: Pada umumnya untuk menerapkan kontrol ini UKM belum memiliki suatu langkah-langkah tertentu, karena biasanya hanya mengikuti apa yang ditetapkan oleh pemerintah antara lain undang-undang yang berlaku. Sebagai contoh seperti setiap usaha warnet yang ingin mendirikan usahanya diharuskan mengikuti aturan pemerintah tertentu tentang Telekomunikasi dan Teknologi Informasi. Apabila tidak mengikuti peraturan tersebut maka dikemudian hari dikhawatirkan akan terjadi pelanggaran oleh UKM-UKM lain yang tentu saja tidak diingini oleh banyak pihak. Contoh lainnya antara lain apakah suatu UKM ingin mengadakan usaha yang berhubungan dengan luar negeri, maka harus dapat mengikuti peraturan yang berlaku di negeri tersebut. Dimaksudkan agar tidak merugikan kedua belah pihak. 2. Kontrol Aplikasi (Application Controls) Kontrol Aplikasi adalah kontrol yang dirancang ke dalam aplikasi perangkat lunak untuk mengurangi dan mendeteksi ketidakbiasaan/keanehan operasi perangkat lunak. Sebagai tambahan, kontrol-kontrol selanjutnya adalah juga merupakan bagian dari beragam tipe kontrol aplikasi. Penerapannya: Untuk organisasi atau UKM yang menggunakan perangkat lunak/aplikasi dengan membeli atau tidak mengembangkan sendiri. Maka kontrol yang dapat dilakukan adalah pada saat menyeleksi aplikasi, dengan memperhatikan adanya fitur yang dapat memberikan pelaporan dan pencatatan akan anomali atau keanehan berjalannya suatu aplikasi. Contohnya adalah memilih sistem operasi yang memiliki fitur pelaporan dan pencatatan, misalnya pelaporan apabila sistem crash dan pencatatan sebab akibat kejadian tersebut ke dalam log sistem. Sehingga selanjutnya dapat dilakukan langkah perbaikan ataupun pencegahan agar tidak terulang kembali. Atau apabila tidak memungkinkan maka kontrol aplikasi dilakukan secara manual melalui prosedur organisasi yang mengharuskan pencatatan penggunaan aplikasi dan keanehan yang timbul. 3. Kontrol Transaksi (Transaction Controls) Kontrol Transaksi digunakan untuk menyediakan kontrol pada berbagai tahapan peristiwa transaksi – dimulai dari inisiasi sampai output melalui kontrol pengujian dan perubahan. Ada beberapa tipe Kontrol Transaksi: a. Kontrol Input (Input Controls)


4


Kontrol Input digunakan untuk memastikan bahwa transaksi-transaksi yang dilakukan, secara benar masuk ke dalam sistem satu kali saja. Unsur dari kontrol ini meliputi penghitungan data dan pemberian tanda waktu/tanggal data tersebut dimasukkan atau diubah. Penerapannya: Sebagaimana telah dijelaskan pada kontrol aplikasi, bahwa untuk organisasi atau UKM yang membeli perangkat lunak yang digunakannya, maka kontrol dilakukan pada saat seleksi perangkat lunak yang akan digunakan. Sebagai contoh pada saat memilih perangkat lunak akuntasi, diperhatikan apakah perangkat lunak tersebut memiliki fitur yang dapat mengakomodasi kontrol input, seperti di atas. Sedangkan di sisi manusianya sebaiknya juga dilakukan kontrol seperti pengecekan oleh minimal dua orang untuk setiap input yang kiranya sensitif bagi organisasi. Selanjutnya, di sisi manusianya juga, yang tidak kalah penting adalah pelaksanaan pelatihan dan pengenalan akan setiap perangkat lunak yang akan digunakan oleh anggota organisasi. Seluruh hal tersebut dapat juga diartikan dengan kata lain organisasi memiliki prosedur kontrol yang tersusun dan tersampaikan dengan baik ke anggota organisasi. b.

Kontrol Pemroresan (Processing Controls) Kontrol Pemroresan digunakan untuk menjamin bahwa transaksi-transaksi yang dilakukan adalah valid dan akurat serta masukan-masukan yang salah diproses ulang secara benar dan diketahui. Penerapannya: Seperti yang telah dijelaskan pada kontrol input, sebagian besar kontrol yang dilakukan adalah sama. Antara lain garis besarnya yaitu seleksi perangkat lunak yang memenuhi kriteria kontrol proses, pengecekan minimal dua kali atau oleh dua orang, dan pelatihan akan perangkat lunak tersebut. Apabila ada kesalahan maka memiliki prosedur propagasi perbaikan ke tingkat lebih tinggi atau minimal didokumentasikan agar dapat menjadi bahan pertimbangan di waktu akan datang.

c.

Kontrol Output (Output Controls) Kontrol Output digunakan untuk dua hal yakni untuk melindungi konfidensialitas dari output dan untuk memverifikasi integritas dari output dengan cara membandingkan transaksi input dan data output. Unsur dari kontrol output yang benar adalah dengan meliputi penjaminan bahwa output telah mencapai user yang semestinya, membatasi akses ke output cetak pada suatu area penyimpanan, heading dan trailing banners dari suatu cetakan, dan mencetak banner “tidak ada output” ketika laporan yang ingin dicetak memang kosong. Penerapannya: Seperti telah dijelaskan pada kontrol output di atas, untuk penerapannya di UKM atau organisasi umumnya kurang lebih sama, lebih kepada prosedur di organisasi tersebut bagaimana menangani kontrol output. Seperti pengecekan oleh minimal dua kali atau oleh dua orang untuk menghindari kesalahan analisa.


5


d.

Kontrol Perubahan (Change Controls) Kontrol Perubahan diimplementasikan untuk melindungi integritas data dalam sebuah sistem pada saat perubahan dilakukan terhadap konfigurasi. Prosedur dan standar akan diterapkan untuk mengelola perubahan tersebut dan modifikasi pada sistem dan konfigurasinya. Penerapannya: Untuk kontrol ini maka dapat dilakukan dengan membuat suatu skenario baik di sisi sistem ataupun prosedur yang mengakomodasi kondisi sebelum, saat perubahan, dan sesudah perubahan. Di sisi sistem dapat dilakukan minimal dengan adanya pemberian kode-kode versi dari sesuatu yang diubah tersebut. Selanjutnya dinformasikan kepada seluruh anggota organisasi yang berkepentingan.

e.

Kontrol Uji (Test Controls) Kontrol Uji dilaksanakan pada saat pengujuan sebuah sistem untuk menghindari pelanggaran konfidensialitas dan untuk menjamin integritas transaksi. Sebagai contoh dari tipe kontrol yang seperti ini adalah penggunaan secara tepat dari data uji yang telah disaring. Kontrol uji seringkali merupakan bagian dari proses kontrol perubahan. Penerapannya: Sebagaimana pada kontrol perubahan, namun pada kontrol ini dibedakan dengan penciptaan suatu lingkungan (environment) khusus yang diperuntukkan untuk dilaksanakannya pengujian, tidak terhubung atau mengganggu ke sistem yang sedang berjalan. Pada UKM karena perangkat lunak/aplikasi yang digunakan tidak begitu banyak maka kontrol pengujian ini biasanya berlangsung sederhana dan singkat.

2.2 Kontrol berdasarkan Orange Book (Orange Book Controls) Trusted Computer Security Evaluation Criteria (TCSEC, Orange Book) mendefinisikan beberapa tingkat dari jaminan kebutuhan akan operasi komputer yang aman. Orange Book mendefinisikan dua tipe jaminan, yakni: 1. Operational Assurance: Menitikberatkan pada fitur-fitur dan arsitektur dasar dari sebuah sistem, meliputi: a. System Architecture b. System Integrity c. Covert Channel Analysis d. Trusted Facility Management e. Trusted Recovery 2. Life Cycle Assurance Menitikberatkan pada kontrol-kontrol dan standar-standar yang dibutuhkan pada saat membangun dan mengelola sistem, meliputi: a. Security Testing b. Design Specification and Testing c. Configuration Management d. Trusted Distribution


6


Pada domain Kontrol Operasi, Operational Assurance meliputi Covert Channel Analysis, Trusted Facility Management, dan Trusted Recovery. Sedangkan Life Cycle Assurance meliputi Configuration Management. 2.2.1 Covert Channel Analysis Covert channel adalah jalur informasi yang tidak normal digunakan untuk berkomunikasi dengan sistem; sehingga, jalur tersebut tidak dilindungi oleh mekanisme keamanan normal sistem. Covert channel adalah cara rahasia untuk mengalihkan informasi ke orang atau program lain. Ada dua tipe Covert channel: 1. Covert storage channels Covert storage channels mengalihkan informasi dengan cara mengubah data tersimpan sistem. Contohnya, sebuah program dapat mengalihkan informasi ke program yang kurang-aman dengan cara mengubah jumlah atau pola free space dari sebuah hard disk. Penerapannya: Untuk mengatasi covert storage channels maka diperlukan suatu sistem operasi yang dapat mengamankan atau tidak memungkinkan pengubahan pola free space dari sebuah hard disk secara tidak sah. Atau minimal memiliki mekanisme untuk melakukan pencatatan dan pelaporan apabila terjadi covert storage channels. Untuk itu kontrol yang dapat dilakukan pada UKM adalah menseleksi fitur-fitur dari sistem operasi yang dapat melakukan hal tersebut. 2. Covert timing channels Covert timing channels mengalihkan informasi dengan cara menghilangkan performa dari atau memodifikasi pewaktuan (timing) dari sumberdaya sistem dengan cara tertentu. Timing channels seringkali berhasil dengan mengambil keuntungan dari suatu clock sistem atau alat timing pada sistem. Informasi dialihkan dengan menggunakan unsur seperti waktu terpakai (elapsed time) yang diperlukan untuk menjalankan suatu operasi, jumlah CPU time yang dihabiskan, atau waktu berjalannya antara dua kejadian. Penerapannya: Dalam hal ini serupa dengan apa yang dapat dilakukan untuk mengatasi covert storage channels. Diiringi, nantinya pada saat sistem beroperasi, dengan memperhatikan catatan log sistem yang dihasilkan secara otomatis oleh sistem operasi untuk melihat terjadinya pelanggaran. Dan juga bagaimana prosedur di sisi organisasi untuk menanganinya. Penghasilan noise dan traffic adalah cara yang efektif untuk menangani penyerangan dengan tipe covert channel. Penerapannya: Pada umumnya sistem-sistem operasi saat ini telah memiliki fasilitas pengawasan sumberdaya sistemnya. Seperti pada sistem operasi Windows memiliki Task Manager, yang menampilkan status dan statistik pemakaian sumberdaya pada saat sistem berjalan. Pada sistem operasi berbasis UNIX bahkan dapat dengan mudah © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

7


dipasang perangkat lunak yang dapat melakukan penampilan statistik pemakaian sumberdaya (utilisasi CPU, utilisasi RAM, utilisasi hard disk, utilisasi jaringan, dan sebagainya) secara grafik contohnya MRTG (Multi Router Traffic Grapher) yang dapat dimonitor secara jarak jauh melalui jaringan komputer. Selain dihasilkan penampilan pemakaian sumberdaya, selanjutnya dapat pula dibangun suatu program yang dapat menganalisa covert channel dan melakukan pengambilan langkah pencegahan secara otomatis agar penyerangan tidak terus-menerus berlangsung. Namun dalam hal ini untuk UKM minimal kontrol yang dapat dilakukan adalah dengan memperhatikan pemakaian sumberdaya secara seksama, untuk kemudian dianalisa dan disusun prosedur-prosedur pencegahan dari masalah-masalah yang mungkin timbul. 2.2.2 Trusted Facility Management Trusted Facility Management didefinisikan sebagai penugasan individu spesifik untuk melakukan administrasi fungsi-fungsi yang berhubungan dengan keamanan pada sebuah sistem. Walaupun trusted facility management adalah hanya merupakan kebutuhan jaminan untuk sistem yang sangat aman (B2, B3, dan A1), banyak sistem yang melakukan evaluasi di tingkat keamanan yang lebih rendah sesuai struktur yang diperlukan oelh kebutuhan ini. Trusted Facility Management erat hubungannya dengan konsep kewenangan terbatas (least privilege), dan juga dengan konsep administrasi pemisahan tugas (separation of duties) dan apa yang perlu diketahui (need to know). Adapun penjelasannya sebagai berikut: 1. Pemisahan Tugas (Separation of Duties) Pemisahan Tugas dilaksanakan dengan cara menugaskan bagian-bagian dari suatu pekerjaan ke beberapa personel. Sehingga jika tidak ada satu orang yang memiliki kontrol total akan mekanisme keamanan suatu sistem, maka secara teori tidak akan ada satu orang yang juga dapat menggagalkan sistem. Konsep ini berhubungan dengan prinsip dari sedikit kewenangan (least privilege). Pada konteks ini, sedikit kewenangan bermakna bahwa pengguna sistem sebaiknya memiliki tingkat hak dan kewenangan yang terendah dibutuhan untuk melakukan pekerjaan mereka dan juga hanya membolehkannya untuk jangka waktu yang singkat. Pada sistem yang umum ditemui, seorang administrator sistem biasanya memiliki kuasa total dari administrasi sistem dan fungsi-fungsi keamanan. Konsolidasi dari kekuatan seperti ini tidak diperbolehkan pada sistem yang aman karena tugas dan fungsi keamanan sebaiknya tidak secara otomatis diberikan ke peran administrator sistem. Pada sistem yang sangat aman, diperlukan tiga peran administratif yang berbeda, antara lain seorang administrator sistem, seorang administrator keamanan yang biasanya adalah seorang Information System Security Office (ISSO), dan seorang operator dengan fungsi lebih. Administrator keamanan, administrator sistem, dan operator dapat juga bukan merupakan orang yang berbeda, pada umumnya sering seperti itu. Namun, ketika administrator sistem memegang peran sebagai administrator keamanan, peran tersebut harus dikontrol dan diaudit. Karena tugas administrator keamanan adalah untuk melakukan fungsi-fungsi keamanan, performa dari kegiatan-kegiatan yang tidak berhubungan dengan keamanan harus dibatas dengan ketat. Pemisahan tugas seperti ini dapat mengurangi kemungkinan kehilangan yang dihasilkan dari penyalahgunaan otoritas pengguna-pengguna dengan cara mengambil tindakan di © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

8


luar dari yang diberikan menurut tanggungjawab fungsional mereka. Walaupun hal ini sepertinya menyulitkan bagi seseorang untuk berpindah-pindah dari satu peran ke peran lain, peran-peran tersebut adalah berbeda secara fungsional dan harus dilakukan seperti itu. Pada konsep kontrol dua orang, dua operator memeriksa dan mensahkan pekerjaan satu sama lain. Fungsi dari kontrol dua orang adalah untuk menghasilkan akuntabilitas dan untuk meminimalisasi fraud pada transaksi yang sangat sensitif dan beresiko tinggi. Konsep dari kontrol dua orang bermakna bahwa kedua orang diperlukan untuk menyelesaikan suatu kegiatan sensitif. Berikut ini fungsi umum dari administrator dan operator dengan fungsi lebih, meliputi: - Melakukan instalasi perangkat lunak - Menyalakan (start/boot) dan mematikan (shutdown) sistem - Menambahkan dan mengurangi user - Melakukan back-up dan recovery - Menangani printer dan mengelola antrian pencetakan Berikut ini fungsi umum dari administrator keamanan, meliputi: - Menetapkan user clearances, password awal, dan karakteristik keamanan lain untuk user baru - Mengubah profil keamanan untuk user yang sudah ada - Menetapkan atau mengubah label dari file yang sensitif - Menetapkan karakteristik keamanan dari peralatan dan jalur komunikasi - Melakukan pemeriksaan audit data Sedangkan operator dapat melakukan beberapa peran dari administrator sistem, seperti back-up. Hal ini dapat terjadi pada fasilitas organisasi dimana sumberdaya manusia/personel terbatas. Adalah bukan hanya di organisasi kecil saja yang membutuhkan administrator sistem untuk berperan sebagai administrator keamanan. Peran administrator Jaringan Lokal (LAN)/Jaringan Internet menimbulkan resiko keamanan dikarenakan kurangnya pemisahan dari tugas-tugas personel. Dengan alasan untuk mengurangi ekonomi internet, seorang administrator jaringan harus menggunakan banyak topi – dan melaksanakan pekerjaan yang berhubungan dengan keamanan adalah pasti salah satunya (disertai dengan berbagai fungsi operator lainnya). Hal yang kadangkala menyusahkan namun merupakan konsep yang sangat penting yakni pemisahan tugas adalah vital untuk kontrol operasi. Penerapannya: Pada UKM atau organisasi umumnya penerapan pemisahan tugas antara lain adalah seperti yang dijelaskan sebelumnya yakni dilakukan pemisahan peranperan administrator dan operator yang ada di dalam sistem. Pengecualiannya pada UKM adalah adanya perangkapan peran pada orang yang sama karena sumberdaya manusia yang terbatas di UKM. Hal yang dijelaskan tersebut adalah pengelolaan secara organisasi, sedangkan untuk mengakomodasinya ke dalam sistem maka diperlukan suatu sistem yang dapat melakukan hal-hal seperti pengelompokkan user, penetapan hak dan wewenangnya, pencatatan pemakaian akun tersebut dan sebagainya. © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

9


Sebagai contohnya pada sistem operasi Windows khususnya versi server terdapat fasilitas Active Directory (http://www.microsoft.com/WindowsServer2003/techinfo/overview/adsmallbiz.m spx) yang secara garis besar memungkinkan pengaturan group policy, mengurangi down time, enkripsi, dan kerjasama dengan aplikasi lain. Sedangkan untuk sistem operasi berbasis UNIX telah cukup dikenal Lightweight Directory Access Protocol (LDAP) dipelopori oleh OpenLDAP (http://www.openldap.org/doc/admin23/) yang bila digabungkan dengan Samba (http://us2.samba.org/samba/docs/using_samba/toc.html), OpenAFS (http://www.openafs.org/doc/index.htm), dan Kerberos (http://web.mit.edu/kerberos/www/krb5-1.4/#documentation) akan menghasilkan sistem yang serupa dengan Active Directory pada Windows dengan keuntungan handal dan terjangkau. Alternatif layak diterapkan pada UKM yang biasanya sangat memperhatikan pengeluaran biaya. 2. Perotasian Tugas (Rotation of Duties) Variasi lain dari pemisahan tugas adalah disebut dengan perotasian tugas. Didefinisikan sebagai proses pembatasan jumlah waktu yang diberikan pada seorang operator dalam melaksanakan suatu tugas berhubungan dengan kemananan sebelum selanjutnya dipindahkan ke tugas lain dengan klasifikasi keamanan yang berbeda pula. Kontrol ini mengurangi kesempatan berbuat kolusi diantara operator-operator pada fungsi-fungsi yang memungkinkan. Penerapannya: Pada UKM dan organisasi umumnya dapat dilakukan seperti di atas. Namun pada UKM yang biasanya anggotanya sedikit maka perotasian tugas biasanya dilakukan pada jabatan di tingkat bawah. Sebagai contohnya perotasian tugas dapat dilakukan dengan merotasi fungsi operator dari suatu divisi ke divisi lain. Dimana wewenang pada masing-masing divisi tersebut berbeda. Dalam hal ini diperlukan penyusunan prosedur di sisi organisasi. Sedangkan di sisi sistem diperlukan pengelolaan hak dan wewenang anggota organisasi tersebut di dalam sistem melalui LDAP. Sehingga kegiatan operator tetap terkontrol oleh sistem. 2.2.3 Trusted Recovery Trusted Recovery menjamin bahwa keamanan tidak diterobos ketika sistem mengalami kerusakan (crash) atau kegagalan sistem lain (seringkali disebut dengan “discontinuity”). Menjamin bahwa sistem di start/boot ulang tanpa meninggalkan prosedur pengamanan yang diperlukan dan dapat recover dan roll back tanpa terpengaruh adanya kegagalan. Contohnya, jika sistem crash saat data sensitif sedang dituliskan ke disk (di mana normalnya terlindungi oleh suatu kontrol), data mungkin tertinggal tidak terlindungi di memori dan mungkin dapat diakses oleh personel yang tidak berhak. Trusted Recovery memiliki dua kegiatan utama: 1. Persiapan Kegagalan (Failure Preparation) Persiapan Kegagalan yang dilakukan menghadapi suatu kegagalan sistem meliputi melakukan back-up semua file yang kritikal secara teratur. Persiapan ini harus mencakup data recovery dalam cara yang terlindungi disamping juga menjamin keberlangsungan keamanan pada sistem. Prosedur-prosedur ini juga diperlukan © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

10


apabila terjadi masalah dalam sistem seperti hilangnya sumberdaya, basisdata yang tidak konsisten, atau pelanggaran apa pun, yang terdeteksi, atau jika sistem memerlukan untuk dimatikan atau start/boot ulang. Penerapannya: Untuk UKM atau organisasi umumnya dapat diterapkan dengan melakukan backup file yang kritis menggunakan jadwal otomatis. Pada sistem berbasis Windows dapat digunakan Scheduled Tasks, sedangkan pada sistem berbasis UNIX dapat digunakan cron. Pada basisdata biasanya sudah disediakan fasilitas back-up di dalam sistem basisdata tersebut. Selanjutnya perlu diperhatikan pada aplikasi perangkat lunak yang mengakses ke basisdata, diperlukan suatu kontrol transaksi meliputi pembukaan dan penutupan transaksi, agar data selalu konsisten. Untuk menghindari kepanikan pada saat terjadinya kegagalan maka harus disusun prosedur saat menghadapi kegagalan, contohnya prosedur penyimpanan data penting ke dalam back-up, prosedur penutupan transaksi yang berjalan, prosedur meninggalkan terminal yang digunakan, dan sebagainya. Selain itu, untuk menjamin keberlangsungan sistem maka dapat dilakukan mirroring pada hard disk yang sensitif dan berharga bagi organisasi. Back-up tersebut selanjutnya disimpan ke tempat yang kiranya aman dari kegagalan. Untuk itu diperlukan suatu prosedur pemindahan data back-up dari tempat kegagalan/bencana ke tempat aman, meliputi siapa personel yang bertanggungjawab dan perlengkapan apa saja yang dibutuhkan. 2. Pengembalian Sistem (System Recovery) Jika prosedur-prosedur yang spesifik dari Trust Recovery bergantung secara langsung pada kebutuhan sistem, maka secara umum, prosedur Pengembalian Sistem meliputi hal-hal berikut: a. Boot ulang sistem ke mode single user (satu user) – sistem operasi dijalankan tanpa aktivasi sisi pengamanan muka – sehingga tidak ada user lain yang dapat mengakses sistem pada saat itu. b. Recover semua sistem file yang aktif pada saat terjadinya kegagalan sistem. c. Restore semua file dan basisdata yang hilang atau rusak dari simpanan backup yang terbaru. d. Recover semua karakteristik keamanan yang diperlukan, seperti label-label keamanan file. e. Memeriksa semua file yang kritikal akan keamanan, seperti file password. Setelah semua langkah tersebut dilakukan dan data sistem tidak dapat disalahgunakan, operator dapat kembali mengakses sistem. Penerapannya: Untuk langkah-langkah pengembalian sistem, pada UKM dan organisasi umumnya, sama dengan apa yang dijelaskan di atas. Dilengkapi dengan menyusun prosedur-prosedur tambahan yang dapat mendukung prosedur tersebut, seperti prosedur pengelolaan anggota organisasi yang dapat membantu administrator sistem dalam melakukan recovery. Kemudian prosedur tersebut diinformasikan ke anggota-anggota organisasi yang berkepentingan. Sehingga memperoleh dukungan dari semua pihak.


11


Sebagai tambahan, Common Criteria juga mendeskripsikan tiga tipe recovery hirarkis yaitu: 1. Manual Recovery Campur tangan administrator sistem diperlukan untuk mengembalikan sistem ke kondisi keamanan setelah sistem crash. 2. Automated Recovery Recovery ke kondisi keamanan secara otomatis (tanpa campur tangan administrator sistem) ketika menangani satu kegagalan; namun, penanganan secara manual diperlukan untuk menangani beberapa kegagalan lainnya. 3. Automated Recovery without Undue Loss Memiliki kemiripan dengan Automated Recovery, tipe recovery ini dikenal sebagai recovery tingkat tinggi karena mendefinisikan pencegahan terhadap undue loss dari obyek-obyek yang dilindungi. Penerapannya: Pada UKM umumnya minimal dilakukan tipe pertama Manual Recovery dimana terbatas oleh sumberdaya manusia organisasi. Sehingga administrator sistem bertanggungjawab penuh terhadap proses recovery dibantu dengan personelnya. Namun juga memungkinkan untuk dilakukan tipe selanjutnya, sebagai contoh, pada sistem berbasis Windows dapat dibuat suatu batch (.bat) file, pada sistem berbasis UNIX dapat digunakan shell script (.sh), yang dapat secara otomatis melakukan recovery semua data back-up setelah terjadi suatu kegagalan. Selain itu juga harus ditentukan pihak-pihak yang bertanggungjawab pada saat recovery. 2.2.4 Configuration/Change Management Control Manajemen konfigurasi adalah proses pelacakan dan penyetujuan perubahan pada sebuah sistem. Meliputi pengidentifikasian, pengontrolan, dan pengauditan semua perubahan yang dilakukan terhadap sistem tersebut. Hal-hal yang terjadi dapat mencakup perubahan perangkat keras dan perangkat lunak, perubahan jaringan, atau perubahan lain yang memberi dampak pada keamanan. Manajemen konfigurasi juga dapat digunakan untuk melindungin sistem terpercaya pada saat dalam perancangan dan pengembangan. Berikut ini adalah fungsi-fungsi utama kontrol konfigurasi atau perubahan: - Untuk menjamin bahwa perubahan diterapkan dengan urutan cara yang benar dan telah melalui tahap pengujian formal - Untuk menjamin bahwa pengguna dasar diinformasikan akan perubahan yang tertunda - Untuk menganalisa akan dampak dari perubahan pada sistem setelah dilakukan implementasi - Untuk mengurangi dampak negatif yang mungkin ditemukan pada suatu perubahan terutama pada layanan dan sumberdaya komputasi. Lima prosedur umum yang ada dan dapat diterima untuk menerapkan dan mendukung proses kontrol perubahan: 1. Melakukan pengenalan perubahan 2. Mengkatalogkan perubahan yang ingin dilakukan 3. Menjadwalkan perubahan 4. Menerapkan perubahan © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

12


5. Melaporkan perubahan tersebut ke pihak yang berkepentingan Penerapannya: Kelima prosedur tersebut dapat langsung diterapkan pada suatu UKM sebagai langkah-langkah mengontrol perubahan. Hanya saja mungkin dalam implementasinya tidak dilakukan secara menyeluruh. 2.3 Kontrol di tingkat Administratif (Administrative Controls) Kontrol di tingkat Administratif ini dapat didefinisikan sebagai kontrol yang dicanangkan dan dipelihara oleh pihak manajemen administratif untuk mengurangi ancaman atau dampak dari pelanggaran keamanan komputer. Kontrol ini terpisahkan dari kontrol operasi karena memiliki hubungan lebih banyak dengan administrasi personel sumberdaya manusia dan kebijakan (policy) dibandingkan dengan kontrol perangkat keras atau perangkat lunak. Beberapa hal berikut adalah contoh dari kontrol administratif: 1. Keamanan Personel (Personnel Security) Kontrol ini adalah kontrol sumberdaya manusia administratif yang digunakan untuk mendukung jaminan dari tingkat kualitas dari personel yang melakukan operasi-operasi komputer. Unsur-unsur dari kontrol ini meliputi: a. Penyeleksian penerimaan pegawai atau pemeriksaan latar belakang Penyeleksian pra-penerimaan untuk posisi-posisi yang sensitif layaknya dilakukan. Sedangkan untuk posisi yang kurang sensitif, pemeriksaan latar belakang pasca-penerimaan kiranya lebih layak dilakukan. b. Libur yang wajib diambil dalam periode waktu satu minggu Praktek ini adalah umum digunakan di institusi keuangan atau organisasi lain dimana operator memiliki akses ke transaksi finansial yang sensitif. Selama operator tersebut mengambil libur, dilakukan audit pada akun, proses, dan prosedur operator untuk mengungkapkan apabila ada bukti pelanggaran. c. Peringatan kerja atau pemberhentian Langkah ini diambil apabila pegawai melanggar standar kebiasaan komputer yang telah ditetapkan. Penerapannya: Hal-hal tersebut dapat langsung diterapkan untuk suatu UKM, namun pada umumnya yang pasti dilakukan adalah unsur pertama dan ketiga. Mengingat keterbatasan sumberdaya manusia yang UKM miliki. 2. Pemisahan Tugas dan Tanggungjawab (Separation of Duties and Responsibilities) Pemisahan Tugas dan Tanggungjawab adalah konsep dengan cara menugaskan bagian-bagian dari pekerjaan yang sensitif akan keamanan ke beberapa individu. Sebagaimana telah dibahas pada poin 2.2.2. 3. Kewenangan Terbatas (Least Privilege) Kewenangan Terbatas memerlukan bahwa setiap subjek diberi set kewenangan terbatas yang diperlukan untuk melakukan tugas mereka. Apabila memungkinkan diperlukan adanya pemisahan tingkat akses berdasarkan fungsi pekerjaan operator. Pendekatan yang efektif adalah pemberian kewenangan yang terbatas. Sebuah contoh penerapan kewenangan terbatas antara lain yakni konsep dari operator © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

13


komputer yang tidak diperbolehkan mengakses sumberdaya komputer lain di tingkat yang melampaui apa yang dibutuhkan oleh tugas spesifik mereka. Pada contoh ini operator diorganisasikan ke dalam kelompok-kelompok tingkatkewenangan (privilege-level). Setiap kelompok kemudian diberikan tingkat kewenangan paling terbatas yang mungkin diaplikasikan. Tiga tingkat dasar dari kewenangan didefinisikan sebagai berikut: a. Read Only Adalah tingkat paling bawah dari kewenangan dan juga merupakan satu kewenangan yang akan diberikan ke hampir semua operator. Operator diperbolehkan untuk melihat data tapi tidak diperbolehkan untuk menambahkan, menghapus, atau melakukan perubahan pada salinan asli dari data tersebut. b. Read/Write Adalah tingkat yang memungkinkan operator untuk membaca, menambahkan, atau menulis pada data apa saja yang memiliki otoritas bagi mereka. Operator biasanya hanya memiliki akses read/write akan data yang disalin dari tempat asalnya, mereka tidak dapat mengakses data asal/original. c. Access Change Adalah tingkat tertinggi yang memberikan operator hak untuk dapat memodifikasi data secara langsung ke tempat asal data tersebut, sebagai tambahan dari data yang disalin dari lokasi asalnya. Operator sebaiknya memiliki kewenangan untuk mengubah file dan hak akses operator di sistem (hak supervisor). Penerapannya: Tingkatan dasar kewenangan tersebut di atas umumnya adalah merupakan fiturfitur yang terdapat pada atribut-atribut file system sistem operasi. Pada praktek di UKM atau organisasi umumnya, biasanya dilakukan pengelompokanpengelompokan pengguna sistem kemudian dari kelompok-kelompok tersebut ditetapkan kewenangannya. Sistem juga harus mendukung administrasi kewenangan tersebut untuk environment jaringan komputer, contohnya sebagaimana telah dijelaskan pada poin 2.2.2, pada sistem berbasis Windows dapat digunakan Active Directory, dan pada sistem berbasis UNIX dapat digunakan OpenLDAP bersama Samba, OpenAFS, dan Kerberos. 4. Yang Perlu Diketahui (Need to Know) Yang Perlu Diketahui memiliki makna sebagai suatu akses ke, pengetahuan akan, atau kepemilikan dari informasi spesifik yang diperlukan untuk melakuan fungsi tugas tertentu. Akan memerlukan bahwa subjek tertentu diberikan informasi yang diperlukan saja untuk dapat melakukan suatu pekerjaan. Penerapannya: Prakteknya pada UKM adalah dengan memberikan petunjuk teknis dan prosedur kepada masing-masing anggota organisasi sesuai dengan apa saja yang ia perlukan untuk melakukan pekerjaannya. Dokumen tersebut harus disimpan secara baik agar tidak terjadi kebocoran informasi yang dapat berakibat fatal seperti penyalahgunaan informasi oleh pegawai yang mengetahui petunjuk pengelolaan suatu aplikasi yang bukan wewenangnya.


14


5. Kontrol Manajemen Perubahan/Konfigurasi (Change/Configuration Management Controls) Fungsi dari kontrol ini adalah untuk melindungi sistem dari masalah dan kesalahan yang dapat menyebabkan dijalankan secara tidak baik, atau untuk mengujicoba suatu perubahan di dalam sebuah sistem. Penerapannya: Untuk menerapkan kontrol tersebut maka dapat disusun suatu petunjuk dan prosedur untuk melakukan perubahan sebagaimana dijelaskan pada poin 2.2.4. Selanjutnya di sisi sistem sebaiknya disediakan suatu mekanisme pencatatan perubahan dan konfigurasi agar di lain waktu dapat diperiksa dan diaudit apakah sudah sesuai dengan yang direncanakan atau belum. 6. Pemeliharaan Rekaman dan Dokumentasi (Record Retention and Documentation) Administrasi dari kontrol keamanan pada dokumentasi dan prosedur-prosedur yanf diterapkan untuk record retention memiliki dampak pada keamanan operasional. a. Data Remanence Memiliki makna suatu data yang tertinggal di media setelah media tersebut dihapus. Setelah penghapusan, dapat saja ada beberapa jejak fisik tertinggal, yang dapat menyebabkan data dapat disusun ulang bersama informasi yang sensitif. Penerapannya: Pada UKM dan organisasi umumnya, terdapat dua hal yang harus diperhatikan yakni data remanence yang bersifat hardcopy dan softcopy. Untuk data yang hardcopy seperti kertas-kertas berisi informasi berharga maka apabila sudah tidak dirasakan penting lagi harus dihancurkan dengan menggunakan penghancur kertas atau dibakar, untuk menutup kemungkinan data tersebut disusun ulang dan jatuh ke pihak yang dapat menyalahgunakannya. Sedangkan pada data yang softcopy maka dapat dilakukan proses penghapusan berulang kali sebagaimana yang dilakukan oleh perangkat lunak yang memenuhi standar keamanan dari pemerintah, misalnya program McAfee Shredder dapat menghapus sesuai dengan standar keamanan U.S. Government yakni tujuh kali proses penghapusan. b.

Due Care and Due Diligence Konsep dari due care dan due diligence membutuhkan sebuah organisasi untuk menjalankan praktek bisnis yang baik relatif ke industri organisasi. Contoh dari Due Care adalah pelaksanaan pelatihan pegawai dalam hal kesadaran akan keamanan, bukan melainkan menyusun kebijakan tanpa adanya implementasi rencana dan follow-up. Contoh dari Due Diligence adalah kebutuhan akan banyak hukum di industri organisasi atau melalui compliance dengan standar regulasi pemerintah. Penerapannya: Untuk due care penerapannya lebih ke sisi internal organisasi yaitu bagaimana meningkatkan kualitas anggota organisasinya terhadap keadaan yang ada di lingkungan industri organisasi tersebut. Sedangkan untuk due diligence penerapannya lebih ke kepatuhan terhadap hukum yang berlaku di


15


industri organisasi tersebut. Dimana suatu UKM dalam melakukan kegiatannya apakah sudah sesuai dengan ketetapan dan peraturan yang ditetapkan pemerintah. Apabila telah memenuhi akan kegiatan akan berjalan, jika sebaliknya maka dapat dikenakan sanksi dan kegiatan terhenti. c.

Documentation Sistem keamanan memerlukan kontrol dokumen. Dokumen dapat mencakup beberapa hal seperti rencana keamanan, rencana kontijensi, analisa resiko, dan kebijakan dan prosedur. Sebagian besar dari dokumentasi ini harus dilindungi dari pengaksesan tidak berhak, dan juga harus tersedia pada saat kejadian suatu bencana. Penerapannya: Pada UKM dan organisasi umumnya, kontrol dokumen dapat dilakukan untuk dokumen yang sifatnya hardcopy maupun softcopy. Untuk data yang sifatnya hardcopy maka sebaiknya disimpan ke tempat penyimpanan yang tahan segala macam cuaca (panas, dingin, lembab) dan bencana (banjir, kebakaran, badai), misalnya brankas besi baja yang dilengkapi kunci. Sedangkan untuk dokumen yang sifatnya softcopy maka sebaiknya dibuat dokumen salinan dan disimpan di tempat berbeda dari dokumen utamanya, misalnya dokumen pada tape back-up yang ditempatkan di lokasi berbeda, namun dokumen tersebut tetap terjaga kerahasiaannya dengan dienkripsi. Agar dapat tersedia dengan cepat pada saat terjadinya bencana maka harus diperhatikan juga akses transportasi untuk memindahkan tape back-up tersebut dengan cepat.

2.4 Kontrol di tingkat Operasi (Operations Controls) Kontrol di tingkat Operasi mencakup prosedur yang digunakan dari hari ke hari untuk melindungi operasi-operasi yang berhubungan dengan komputer. Konsep yang dibahas meliputi pengamanan sumberdaya, kontrol perangkat keras dan perangkat lunak, dan entitas kewenangan (privileged entity). Beberapa hal berikut merupakan aspek-aspek penting dalam kontrol operasi: 1. Pengamanan sumberdaya (Resource protection) 2. Kontrol perangkat keras (Hardware controls) 3. Kontrol perangkat lunak (Software controls) 4. Kontrol entitas-kewenangan (Privileged-entity controls) 5. Kontrol media (Media controls) 6. Kontrol terhadap akses fisik (Physical access controls) 2.4.1 Pengamanan Sumberdaya (Resource Protection) Pengamanan sumberdaya adalah merupakan arti sesungguhnya – konsep melindungi sumberdaya dan aset komputasi organisasi dari kehilangan dan penyalahgunaan. Sumberdaya komputasi didefinisikan sebagai seluruh perangkat keras, perangkat lunak, atau data yang dimiliki dan digunakan oleh organisasi. Pengamanan sumberdaya dirancang untuk membantu mengurangi kemungkinan kerusakan yang dihasilkan dari penggunaan tidak sah dan/atau penghapusan data dengan cara membatasi kesempatan untuk penyalahgunaan ini. © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

16


Beberapa contoh sumberdaya yang memerlukan pengamanan: 1. Sumberdaya perangkat keras, meliputi: - Komunikasi: router, firewall, gateway, switch, modem, access server - Media penyimpanan: floppy, removable drive, hard drive eksternal, tape, cartridge - Sistem pemrosesan: file server, mail server, internet server, back-up server, tape drive - Perangkat standalone: workstation, modem, disk, tape - Printer dan mesin faks Penerapannya: Pada umumnya UKM tidak memiliki semua sumberdaya tersebut, sebagian besar menyewa ke suatu Internet Service Provider (ISP). Dan juga apabila ada, biasanya sumberdaya tersebut merupakan gabungan dari beberapa fungsi sumberdaya, misalnya satu server untuk beragam fungsi seperti web, mail, database. Sehingga untuk mengamankannya tidak dibutuhkan biaya dan tenaga yang besar. Sebagai saran tambahan untuk melindungi jaringan, melihat perkembangan teknologi jaringan nirkabel saat ini yang begitu maju disertai pula dengan biaya yang cukup masuk akal, ada baiknya mempertimbangkan untuk menggunakan seluruh jaringan lokal menjadi jaringan nirkabel. Dikarenakan kemudahan dalam membangunnya dan apabila terjadi bencana juga dimungkinkan untuk lebih cepat memindahkannya ke tempat lain daripada jaringan dengan kabel biasa, untuk merendahkan down time akibat bencana. 2. Sumberdaya perangkat lunak, meliputi: - Program library dan source code - Vendor perangkat lunak atau paket-paket propietary - Perangkat lunak sistem operasi dan utiliti sistem Penerapannya: Sebagaimana menangani kontrol dokumen softcopy maka untuk mengamankan sumberdaya perangkat lunak juga seperti tersebut, dilakukan back-up periodik terhadap data-data perangkat lunak yang sensitif bagi organisasi. Khusus untuk progam library dan source code diberikan pengamanan yang lebih dari yang lain karena merupakan aset yang sangat berharga bagi organisasi. Seperti proses otorisasinya dengan menggunakan kontrol dua orang untuk dapat mengaksesnya. Dan juga pengamanan media penyimpanan fisiknya juga lebih diperhatikan. 3. Sumberdaya data, meliputi: - Data back-up - File-file data pengguna - File-file password - Direktori-direktori data operasi - Log sistem dan jejak audit Penerapannya: Seperti pada pengamanan sumberdaya perangkat lunak disertai dengan memperhatikan tingkat keberhargaan data tersebut. Dalam hal ini file-file data pengguna dan file-file password masuk prioritas utama.


17


2.4.2 Kontrol Perangkat Keras (Hardware Controls) Kontrol perangkat keras yang dilakukan meliputi: 1. Pemeliharaan perangkat keras Pemeliharaan sistem memerlukan akses secara fisik atau logik ke dalam sistem melalui staf pendukung dan operasi, vendor-vendor, atau penyedia layanan. Pemeliharaan mungkin dapat dilakukan di tempat itu langsung, atau dapat juga ditransportasi ke tempat khusus perbaikan. Bahkan dapat juga dilakukan melalui jarak jauh. Lebih jauh lagi, penyidikan terhadap personel layanan juga layak dilakukan. Penyuluhan dan penyaluran terhadap personel pemelihara saat mereka berada di tempat perbaikan juga layak dilakukan. Penerapannya: Untuk kontrol terhadap pemeliharaan perangkat keras dalam UKM secara umum tidak begitu banyak dan rumit dikarenakan umumnya UKM memiliki kantor yang ada di suatu rumah toko (ruko) sehingga apabila ada pihak yang ingin mengadakan pemeliharaan, misalnya setting server, akan langsung terlihat oleh orang-orang disekitarnya. Dalam hal ini kontrol yang dilakukan hanya bersifat penyampaian/pengumuman informasi ke seluruh anggota organisasi akan adanya pihak yang ingin melakukan pemeliharaan, agar tidak terjadi kesalahpahaman. Atau dengan menugaskan salah seorang untuk menemani pihak pemelihara tersebut hingga urusannya selesai. 2. Akun pemeliharaan Banyak sistem komputer menyediakan akun pemeriharaan. Akun di tingkat teratas ini diset dari pabrik dan menggunakan password yang diketahui oleh umum. Sangat penting untuk mengganti password tersebut atau sekurangnya mematikan akun tersebut sampai saatnya diperlukan. Apabila akun ini digunakan melalui jarak jauh, otentikasi dari penyedia pemelihara dapat dilakukan dengan cara callback atau enkripsi. Penerapannya: Pada UKM atau organisasi umumnya, untuk kontrol ini dilakukan di sisi administrasi sistem, dimana administrator keamanan bertugas untuk membuat akun user, menetapkan passwordnya, dan waktu expire akun tersebut. Untuk perangkat yang memiliki password dari pabrik, misalnya router, sebaiknya diubah langsung saat mulai digunakan. 3. Kontrol port diagnosa Banyak sistem memiliki port untuk melakukan diagnosa terhadap sistem yang dapat dilalui oleh pengkoreksi masalah untuk mengakses secara langsung ke perangkat keras. Port ini seharusnya hanya dapat digunakan oleh personel yang sah dan juga tidak membolehkan akses tidak sah baik secara internal maupun eksternal. Penyerangan port diagnosa adalah istilah yang menjelaskan tipe penyalahgunaan tersebut. Penerapannya: Pada UKM atau organisasi umumnya, untuk kontrol ini dilakukan di sisi administrasi sistem, dimana administrator sistem bertugas untuk menetapkan port diagnosa mana yang dibuka, dan administrator keamanan bertugas untuk © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

18


menetapkan akun user dan passwordnya yang berhak mengakses port diagnosa tersebut. 4. Kontrol perangkat keras fisik Banyak area pemrosesan daya yang memiliki perangkat keras membutuhkan kunci dan alarm. Beberapa contohnya sebagai berikut: - Terminal dan keyboard operator yang sensitif - Kabinet atau ruangan media penyimpanan - Data center server atau perlengkapan komunikasi - Ruangan kumpulan modem atau sirkuit telekomunikasi Penerapannya: Untuk kontrol terhadap pemeliharaan perangkat keras pada UKM secara umum tidak begitu banyak dan rumit. Dikarenakan umumnya UKM memiliki kantor yang ada di suatu rumah toko (ruko) yang hanya memiliki beberapa ruangan, untuk itu kontrol lebih mudah dilakukan. Minimal dengan memberi kunci dan penjagaan oleh petugas keamanan pada ruangan yang memiliki perangkat keras penting. Kunci ruangan tersebut kemudian diberikan ke pihak kepala penanggungjawab ruangan tersebut dan ke kepala petugas keamanan. Ada baiknya petugas juga harus mengetahui anggota organisasi mana saja yang memiliki hak akses ke ruang tersebut. Jangan sampai orang yang tidak berhak diperbolehkan masuk, walaupun sudah minta izin ke petugas. 2.4.3 Kontrol Perangkat Lunak (Software Controls) Unsur penting dari kontrol operasi adalah dukungan perangkat lunak – mengontrol perangkat lunak apa saja yang digunakan di dalam sistem. Unsur dari kontrol perangkat lunak, antara lain: 1. Manajemen anti-virus Jika personel dapat menjalankan perangkat lunak apa saja yang ada di dalam sistem, maka sistem akan rawan terhadap virus, interaksi perangkat lunak yang tidak semestinya, dan juga pengubahan paksa kontrol keamanan. Penerapannya: Manajemen anti-virus pada UKM dapat dilakukan terutama pada saat seleksi perangkat lunak anti-virus itu sendiri. Pada seleksi ada baiknya memperhatikan fitur-fitur yang diberikan oleh anti-virus tersebut dan juga banyak mencari informasi tentang bagaimana kualitas anti-virus tersebut diasosiasikan dengan sistem operasi yang digunakan UKM. Beberapa informasi penting dapat diperoleh di ICSA Labs (https://www.icsalabs.com/icsa/icsahome.php) tentang perangkat lunak yang memenuhi sertifikasi sebagai anti-virus, firewall, dan sebagainya untuk berbagai sistem operasi. Selain itu dapat pula mengunjungi situs vendor pembuat sistem operasi untuk mengetahui kerawanan terhadap virus apa saja yang sedang dihadapi, misalnya pada sistem operasi berbasis Windows dapat ke http://www.microsoft.com/athome/security/viruses/default.mspx, dan sistem berbasis UNIX pada umumnya sudah anti terhadap virus namun dapat juga melihat beberapa referensi di http://cvs.sourceforge.net/viewcvs.py/openantivirus/mini-faq/avunix_e.txt?rev=HEAD. Selanjutnya apabila anti-virus sudah terpasang pada komputer-komputer maka jangan lupa untuk melakukan update secara periodik. © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

19


Untuk UKM sebagai saran carilah anti-virus yang ringan sumberdaya komputasi namun ampuh membasmi virus, disertai dengan fasilitas update otomatis yang tidak membebani jaringan, lebih bagus lagi bila ada fasilitas administrasi update secara lokal (file update didownload oleh server untuk disalin ke client-client). 2. Uji perangkat lunak Proses pengujian perangkat lunak yang kaku dan formal diperlukan untuk menentukan kompabilitas dengan aplikasi khusus atau untuk mengidentifikasikan interaksi lain yang tidak dikira sebelumnya. Prosedur ini sebaiknya diterapkan pada saat upgrade perangkat lunak. Penerapannya: Pada UKM atau organisasi umumnya, dapat dilakukan dengan penyusunan prosedur pelaksanaan uji perangkat lunak, dengan catatan pihak yang menguji tidak boleh sama dengan pihak pembuat (developer). Hal ini dilakukan untuk menghindari pihak developer menutup-nutupi kerawanan yang ada pada perangkat lunak diuji. 3. Utiliti perangkat lunak Utiliti sistem yang sangat berkuasa dapat menyalahgunakan integritas dari sistem pengoperasian dan kontrol akses logik. Sebaiknya dikontrol oleh kebijakan keamanan. Penerapannya: Pada UKM dan organisasi umumnya, kontrol ini sudah termasuk di dalam sistem pengaturan kewenangan di tingkat sistem operasi, yang kuasanya dipegang oleh administrator sistem dan administrator keamanan. Pembatasannya kewenangan tersebut dapat dilakukan pada saat pembuatan user yang disertai dengan pendelegasian kewenangannya di dalam sistem. 4. Penyimpanan perangkat lunak secara aman Kombinasi dari kontrol logik dan fisik sebaiknya diterapkan untuk menjamin bahwa perangkat lunak dan salinan dari back-up tidak dimodifikasi secara tidak sah. Penerapannya: Pada UKM dan organisasi umumnya, serupa dengan penanganan sumberdaya data. Yaitu secara logis, perangkat lunak back-up dipisahkan dan dienkripsi serta menggunakan password yang hanya diketahui administrator sistem dan administrator keamanan. Sedangkan secara fisik, media penyimpanan yang berisi perangkat lunak tersebut ditempatkan pada ruangan yang dikunci dan dijaga petugas. 5. Kontrol back-up Tidak hanya personel pendukung dan operasi melakukan back-up perangkat lunak dan data, di lingkungan yang terdistribusi pengguna dapat juga melakukan backup terhadap data mereka sendiri. Adalah penting untuk secara rutin melakukan pengujian akurasi pengembalian (restore) dari suatu sistem back-up. Suatu backup harus dapat disimpan secara aman untuk melindungi dari pencurian, pengrusakan, ataupun masalah lingkungan. © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

20


Penerapannya: Mengingat keterbatasan sumberdaya pada UKM, maka untuk dapat melakukan pengujian pengembalian back-up sebaiknya dilakukan pada saat libur kerja. Dengan menguji semua data back-up, namun apabila tidak memungkinkan minimal dilakukan sebagian data saja yang dianggap sangat berharga saja, bukan data seluruhnya. Atau dapat juga simulasi dengan menggunakan data palsu. 2.4.4 Kontrol Entitas-Kewenangan (Privileged-Entity Controls) Kontrol entitas kewenangan didefinisikan sebagai akses lebih atau khusus ke suatu sumberdaya komputasi yang diberikan kepada operator dan administrator sistem. Banyak tugas kerja dan fungsi memerlukan akses tertentu. Akses entitas kewenangan umumnya dipisahkan ke dalam kelas-kelas. Operator sebaiknya ditugaskan ke dalam kelas dengan berdasarkan job title mereka. Berikut ini adalah contoh dari fungsi operator dengan entitas kewenangannya: - Akses khusus ke system command - Akses ke parameter khusus - Akses ke program kontrol sistem Penerapannya: Pada UKM atau organisasi umumnya, sebagaimana kontrol Pemisahan Tugas maka kontrol yang diperlukan dapat dilakukan pada tingkat sistem operasi. Seperti memberikan hak execute pada operator untuk pada suatu atribut program. 2.4.5 Kontrol Media (Media Controls) Pengamanan sumberdaya media dapat diklasifikasikan ke dalam dua area yaitu kontrol pengamanan media dan kontrol penanganan media. Kontrol pengamanan media diterapkan untuk mencegah ancaman pada C.I.A. dari pengungkapan data sensitif secara sengaja atau tidak disengaja. Kontrol ketersediaan media diterapkan untuk melindungi keadaan kerja yang benar dari media, khususnya untuk memfasilitasi pengembalian data (restore) secara akurat dan tepat waktu pada saat terjadi kegagalan sistem. Berikut penjelasan klasifikasi kontrol media: 1. Kontrol Pengamanan Media (Media Security Controls) Kontrol Pengamanan Media sebaiknya dirancang untuk mencegah hilangnya informasi sensitif ketika media dikirim keluar sistem. Beberapa elemen kontrol pengamanan media: a. Pencatatan (Logging) Pencatatan dengan menggunakan media data menghasilkan akuntabilitas. Pencatatan juga membantu di kontrol penyimpanan fisik dengan cara mencegah tape berpindah tempat dan juga memfasilitasi proses recovery yang diperlukan. Penerapannya: Pada UKM atau organisasi umumnya, pencatatan dilakukan disisi organisasi mengenai siapa yang bertanggungjawab terhadap media tersebut. © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

21


b.

Kontrol akses (Access Control) Akses kontrol fisik ke media digunakan untuk mencegah akses ke media oleh personel yang tidak sah. Prosedur ini juga merupakan kontrol penyimpanan fisik. Penerapannya: Pada UKM atau organisasi umumnya, serupa dengan kontrol terhadap perangkat keras. Dimana media ditempatkan pada ruangan berkunci dan berpenjaga.

c.

Pembuangan yang Benar (Proper Disposal) Pembuangan media yang tepat dan benar diperlukan untuk menghindari adanya data yang tertinggal. Proses untuk menghilangkan informasi dari data media yang sudah terpakai disebut dengan sanitasi. Tiga teknik yang umum digunakan untuk sanitasi yaitu penulisan ulang, pen-degauss-an, dan penghancuran. Penerapannya: Sebagaimana telah dijelaskan pada poin 2.3 bagian 6 mengenai Pemeliharaan Rekaman dan Dokumentasi (Record Retention and Documentation) khususnya mengenai Data Remanence. Untuk UKM, minimal dapat melakukan teknik penghapusan ulang terhadap isi media sebelum dibuang. Sedangkan secara fisik dapat dilakukan penghancuran dengan cara dibakar.

2. Kontrol Ketersediaan Media (Media Viability Controls) Banyak kontrol fisik yang seharusnya digunakan untuk melindungi ketersediaan dari media penyimpanan data. Tujuannya adalah untuk mengamankan media dari kerusakan pada saat penanganan dan pemindahtempatan atau dalam jangka waktu pendek ataupun panjang. Penandaan yang benar dan pelabelan media diperlukan pada saat proses recovery sistem. Beberapa elemen kontrol ketersediaan media: a. Penandaan (Marking) Semua media penyimpanan data sebaiknya diberi tanda dan label dengan akurat. Label dapat digunakan untuk mengidentifikasikan media dengan instruksi penanganan media tersebut atau untuk mencatat serial number atau bar code untuk penanganan pada saat recovery sistem. Penerapannya: Pada UKM atau organisasi umumnya, setiap media diberi tanda berisi nomor/kode. Namun jangan menyatakan makna isi sesungguhnya dari media pada label tersebut, untuk menghindari keingintahuan pihak yang bermaksud tidak baik. b.

Penanganan (Handling) Penanganan media dengan benar adalah penting. Beberapa hal yang berhubungan dengan penanganan media antara lain termasuk kebersihan media dan pengamanan dari pengrusakan secara fisik ke media pada saat pemindahan ke tempat pengumpulan media.


22


Penerapannya: Pada UKM atau organisasi umumnya, setiap media disimpan ke dalam suatu perangkat penyimpanan yang cukup kuat serta tahan goncangan. Selain itu juga disusun prosedur bagaimana menangani media tersebut dan diinformasikan kepada pihak yang bertanggungjawab. c.

Penyimpanan (Storage): Penyimpanan dari media adalah sangat penting untuk alasan keamanan dan lingkungan. Lingkungan yang memiliki panas tepat dan bebas kelembaban harus disediakan untuk media. Media data sensitif terhadap temperatur, cairan, medan magnet, asap, dan debu. Penerapannya: Pada UKM atau organisasi umumnya, setiap media disimpan ke dalam suatu perangkat penyimpanan yang dapat menjaga kondisi media dari lingkungan sekitarnya serta anti listrik statis. Selain itu juga disusun informasi tertulis mengenai spesifikasi ketahanan terhadap lingkungan dari media tersebut dan diinformasikan kepada pihak yang bertanggungjawab.

2.4.6 Kontrol Terhadap Akses Fisik (Physical Access Controls) Kontrol pada akses fisik suatu sumberdaya adalah merupakan salah satu pembahasan utama di domain Keamanan Fisik (Physical Security). Secara tidak langsung domain Keamanan Operasi (Operations Security) juga memerlukan kontrol akses fisik. Berikut ini mengandung beberapa contoh unsur dari sumberdaya operasi yang memerlukan kontrol akses fisik: 1. Perangkat keras, meliputi: - Kontrol komunikasi dan perlengkapan komputasi - Kontrol media penyimpanan - Kontrol log dan report yang tercetak 2. Perangkat lunak, meliputi: - Kontrol file back-up - Kontrol log sistem - Kontrol aplikasi produksi - Kontrol data sensitif/kritikal Secara tidak langsung, semua personel memerlukan suatu kontrol dan akuntabilitas ketika mengakses sumberdaya fisik, dan juga semua personel memerlukan akses fisik khusus untuk dapat melakukan fungsi pekerjaan mereka. Berikut ini contoh tipe dari personel-personel tersebut: - Personel departemen Teknologi Informasi - Staf kebersihan - Personel pemelihara Heating Ventilation and Air Conditioning (HVAC) - Personel pihak ketiga - Konsultan, kontraktor, dan staf temporer Perjanjian khusus untuk mengawasi sistem harus dibuat ketika ada personel pendukung luar yang memasuki data center.


23


3. Pengawasan dan Pengauditan (Monitoring and Auditing) Pengawasan dalam hal ini diimplementasikan pada fasilitas operasional untuk mengidentifikasikan penggunaan komputer yang tidak semestinya. Mendeteksi kerusakan dan responnya, termasuk mekanisme pelaporan adalah bagian penting dari pengawasan. 3.1 Pengawasan (Monitoring) Pengawasan terdiri dari mekanisme, peralatan dan teknik yang melakukan identifikasi dari kejadian keamanan yang dapat mempengaruhi operasi dari komputer. Konsep pengawasan termasuk pengawasan untuk instalasi perangkat lunak ilegal, memonitor perangkat keras untuk kesalahan, dan memonitor kegiatan operasional untuk anomali/keanehan. Teknik-teknik dalam Pengawasan, antara lain sebagai berikut: 1. Intrusion Detection Intrusion Detection adalah sarana sangat bermanfaat untuk dapat membimbing proses analisa dari gangguan yang terjadi, tidak hanya dapat digunakan untuk mengidentifikasikan gangguan tapi juga untuk membuat contoh pola lalu lintas. Dengan menganalisa aktivitas yang terjadi di atas tingkat normal. Penerapannya: Mengingat keterbatasan sumberdaya pada UKM untuk dapat menerapkan Intrusion Detection, pada UKM maka dapat menggunakan komputer yang difungsikan sebagai router, firewall, dan Intrusion Detection System (IDS). Alternatif yang cukup handal dan murah biaya adalah menggunakan sistem operasi berbasis UNIX yang menjalankan perangkat lunak firewall iptables (builtin) dan IDS Snort (http://www.snort.org/docs/) untuk melindungi komputerkomputer di dalam jaringan lokal. Snort akan melakukan analisa terhadap paketpaket jaringan dan melakukan pelaporan apabila ditemukan pola lalu lintas yang serupa dengan pola tindak pelanggaran baik itu disebabkan manusia atau perangkat lunak lain seperti virus dan worm. Selain itu administrator keamanan juga berperan penting dalam menganalisa kinerja IDS tersebut. 2. Penetration Testing Penetration Testing adalah proses uji ketahanan jaringan dengan mencoba menerobos sistem dari luar dengan menggunakan teknik sama seperti yang digunakan oleh penerobos eksternal (contoh: cracker). Pengujian ini memberikan para profesional akan gambaran keadaan keamanan organisasi. Dari berbagai macam teknik yang digunakan pada Penetration Testing terdapat beberapa teknik yang umum, antara lain: - Scanning dan Probing Berbagai macam scanner seperti port scanner, dapat memberikan informasi tentang infrastruktur jaringan komputer dan memungkinkan penerobos untuk mengakses port jaringan yang tidak diamankan. - Demon Dialing Demon (atau perang) dialer akan secara otomatis mengakses setiap sambungan telepon yang ada untuk mencoba menempatkan modem yang terhubung © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

24


-

dengan jaringan. Informasi tentang modem ini kemudian dapat digunakan untuk akses dari luar secara tidak sah. Sniffing Sebuah penganalisa protokol (protocol analyzer) dapat digunakan untuk menangkap (capture) paket data yang kemudian dapat dikodekan untuk mengumpulkan informasi seperti password atau konfigurasi infrastruktur.

Teknik lain yang tidak berbasiskan teknologi namun dapat digunakan untuk melengkapi Penetration Testing, antara lain : - Dumpster Diving Pencarian kertas-kertas berisi informasi berharga yang dibuang untuk mencari laporan-laporan penting yang tidak terpotong. - Social Engineering Teknik yang paling umum dan mudah digunakan untuk mendapatkan informasi seperti password yaitu dengan bertanya langsung kepada mereka yang memiliki password tersebut. Penerapannya: Untuk UKM yang pada umumnya tidak memiliki pengetahuan cukup tentang bagaimana melakukan penerobosan keamanan maka dapat saja melakukan uji penerobosan secara online di internet. Namun sebelumnya dipasang terlebih dahulu semua perangkat pengamanannya, seperti firewall, IDS dan sebagainya. Salah satu situs yang dapat digunakan untuk menguji apakah sistem aman dari penerobosan adalah Hackerwatch.org. Dari situs tersebut dapat diketahui celah keamanan khususnya port-port mana yang terbuka, untuk selanjutnya administrator keamanan mengambil langkah pengamanan. Sedangkan untuk percobaan penerobosan yang lain dapat dilakukan secara mandiri dengan mempelajari pustaka yang ada, online maupun offline. 3. Violation Analysis Salah satu teknik yang paling banyak digunakan untuk melacak perubahan aktivitas pengguna adalah pelacakan pelanggaran, pemrosesan, dan analisa. Agar pengunaan pelacakan pelanggaran efektif, clipping level harus ditetapkan terlebih dahulu. Clipping level adalah suatu dasar untuk aktivitas pengguna yang dipercayai sebagai kesalahan pengguna tingkat rutin. Clipping level digunakan agar sistem dapat mengabaikan kesalahan normal pengguna, namun ketika clipping level terlampaui maka catatan pelanggaran akan terbentuk. Clipping level juga digunakan untuk berbagai macam detektor. Penggunaan clipping level dan deteksi anomali berdasarkan profil di bawah ini adalah tipe dari pelanggaran yang harus dilacak, diproses dan dianalisa: - Kesalahan berulang-ulang yang melewati batas angka clipping level - Individu yang melampaui otorisasinya - Terlalu banyak orang yang memiliki akses tidak terbatas - Pola-pola yang mengindikasikan percobaan penerobosan Penerapannya: Pada UKM atau organisasi umumnya, untuk mengendalikan hal tersebut diatur di sistem operasi. Contohnya penanganan kesalahan pemasukkan password yang diperbolehkan sampai berapa kali, apabila melebihi batas sistem akan mengunci © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

25


terminal/workstation tersebut dan secara otomatis melaporkan ke administrator sistem dari terminal mana, user siapa, dan kapan kesalahan tersebut terjadi. Sedangan untuk clipping level di jaringan maka akan ditangani oleh IDS, misalnya IDS mendeteksi dan otomatis melaporkan terjadinya percobaan penerobosan ke administrator sistem. 3.2 Pengauditan (Auditing) Implementasi dari audit sistem yang teratur adalah merupakan fondasi bagi pengawasan kontrol keamanan operasional. Sebagai tambahan dari dilakukannya pengecekan compliance baik internal maupun eksternal, pelaksanaan audit pada jejak audit (transaksi) dan log dapat membantu fungsi pengawasan dengan cara mengenali pola-pola yang abnormal dari kebiasaan pengguna. 3.2.1 Audit Keamanan (Security Auditing) Auditor Teknologi Informasi (TI) sering dibagi menjadi dua tipe yaitu internal dan eksternal. Auditor internal biasanya bekerja untuk organisasi sedangkan eksternal tidak. Auditor eksternal sering bersertifikat Public Accountants atau Audit Professional yang lain yang diberi imbalan untuk malakukan audit independen pada organisasi finansial. Sedangkan auditor internal biasanya mempunyai cakupan pekerjaan yang lebih luas mengecek apakah standar yang ditetapkan telah terpenuhi, mengaudit efisiensi biaya operasi dan merekomendasikan kontrol yang tepat. Auditor TI biasanya mengaudit hal-hal sebagai berikut: - Kontrol back-up - Kontrol sistem dan transaksi - Prosedur perpustakaan data - Standar pengembangan sistem - Keamanan data center - Rencana keberlangsungan (contingency plan) Auditor TI dapat juga merekomendasikan perbaikan kontrol dan mereka sering berpartisipasi dalam proses pengembangan sistem untuk membantu organisasi mengindari rekayasa ulang berbiaya besar setelah sistem diimplementasi. Penerapannya: Untuk UKM yang masih berkembang audit keamanan umumnya tidak dilakukan karena untuk dapat menyewa auditor keamanan independen pasti akan memakan biaya yang cukup mahal. Sebagai gantinya pihak penanggungjawab keamanan di dalam organisasilah yang melakukan langkah-langkah seperti yang dilakukan auditor keamanan umumnya dengan mengikuti berbagai informasi mengenai audit keamanan. 3.2.2 Jejak Audit (Audit Trails) Jejak audit memungkinkan praktisi keamanan untuk melacak sebuah sejarah transaksi. Jejak audit menyediakan informasi tentang penambahan, penghapusan dan modifikasi data dalam sistem yang seluruhnya disusun ulang menjadi suatu rangkaian kejadian menurut waktu. Jejak audit digunakan untuk membimbing mengidentifikasi problem dimana dapat membantu memecahkan problem tersebut. © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

26


Log audit sebaiknya mencatat hal-hal sebagai berikut: - Tanggal dan waktu transaksi - Siapa yang memproses transaksi tersebut - Terminal mana transaksi tersebut di proses - Berbagai macam kejadian keamanan yang berhubungan dengan transaksi Auditor sebaiknya juga memeriksa log audit untuk hal-hal berikut: - Amandemen ke pekerjaan produksi - Pengerjaan ulang pekerjaan produksi - Praktek operator komputer Hal-hal lain yang juga penting untuk diperhatikan sehubungan dengan penggunaan media dan laporan audit adalah sebagai berikut: - Retensi dan pengamanan dari media dan laporan audit ketika dikeluarkan dari tempat asalnya - Pengamanan terhadap penghilangan audit atau log transaksi - Pengamanan terhadap ketidaksediaan dari media audit pada suatu kejadian Penerapannya: Untuk dapat melakukan jejak audit pada sistem keamanan di UKM maka yang mungkin dilakukan adalah melihat berkas-berkas catatan pelaksanaan prosedurprosedur kegiatan dan juga melihat log aplikasi dan log sistem. Pelaksanaan audit trails dapat dilakukan secara rutin dengan jumlah frekuensi disesuaikan dengan sensitivitas data tersebut pada organisasi. Semakin sensitif data maka semakin sering dilakukan audit. Tujuannya adalah untuk meminimalkan akibat apabila terjadi penyalahgunaan dan untuk melakukan pencegahan sedini mungkin. 3.2.3 Konsep Manajemen Masalah (Problem Management Concept) Audit yang efektif mencakup konsep dari manajemen masalah. Manajemen masalah adalah cara untuk mengontrol proses isolasi maslaah dan penyelesaian masalah. Auditor dapat juga menggunakan manajemen masalah untuk memecahkan isu yang berkembang seputar audit keamanan TI. Ada tiga tujuan dari manajemen masalah: 1. Mengurangi kesalahan sampai ke tingkat yang dapat dikelola 2. Mencegah ulangan atau pengulangan dari masalah 3. Menangani dampak negatif dari masalah pada layanan komputasi dan sumberdaya Langkah pertama dalam penerapan manajemen masalah adalah mendefinisikan area masalah yang potensial dan kejadian abnormal yang harus diselidiki. Beberapa contoh area masalah yang potensial, antara lain: - Kemampuan dan ketersediaan dari sumberdaya komputasi dan layanan - Infrasuktur sistem dan jaringan - Prosedur dan transaksi - Keselamatan dan keamanan personel Beberapa contoh kejadian abnormal yang mungkin dapat ditemui pada saat audit, antara lain: - Degradasi kemampuan perangkat keras atau lunak © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

27


-

Deviasi dari prosedur standar transaksi Kejadian yang tidak dapat dijelaskan pada rantai proses

4. Ancaman dan Kerawanan (Threats and Vulnerabilities) Ancaman adalah semua hal yang apabila terjadi dapat menyebabkan kerusakan pada sistem dan kehilangan kerahasiaan, kemampuan, dan integritas. Ancaman dapat berbahaya seperti mengubah data-data yang sensitif atau dapat terjadi secara tidak sengaja seperti kesalahan pada kalkulasi transaksi atau penghapusan file yang tidak disengaja. Kerawanan adalah kelemahan yang terdapat pada sistem yang dapat dimanfaatkan oleh ancaman. Mengurangi aspek kerawanan pada sistem dapat mengurangi resiko dan efek dari ancaman pada sistem. Contohnya pada progam password generation yang dapat membantu user memilih password robust (tidak mudah ditebak), yang dapat mengurangi kemungkinan user menggunakan password yang buruk (kerawanan) dan membuat password semakin susah untuk ditembus (ancaman). Salah satu contohnya yaitu pada sistem berbasis UNIX memiliki fasilitas untuk memberitahu kalau password yang dimasukkan mudah ditebak atau tidak. 4.1 Ancaman (Threats) Ancaman dapat dikelompokkan menjadi beberapa macam, antara lain: 1. Kehilangan tidak disengaja (Accidental Loss) Kehilangan tidak disengaja adalah kehilangan yang terjadi tidak secara terusmenerus dapat juga karena tidak adanya pelatihan terhadap operator atau kesalahan pada proses prosedur penggunaan perangkat lunak/aplikasi. Beberapa contoh kehilangan tidak disengaja, antara lain: - Kesalahan menginput pada operator atau kelalaian, hal ini dapat berupa kesalahan pada input transaksi, entri data ataupun penghapusan data dan kesalahan pada modifikasi data. - Kesalahan pada proses transaksi, kesalahan dapat terjadi pada data karena kesalahan pada program aplikasi atau prosedur proses. Penanggulangannya: Pada UKM dan organisasi umumnya, dapat dilakukan penyusunan prosedur pada kegiatan yang umumnya memiliki kemungkinan terjadi kesalahan tinggi, seperti disebutkan di atas. Selanjutnya prosedur tersebut ditulis dan dikomunikasikan kepada anggota organisasi terkait. Penting juga diadakan pelatihan terhadap operator akan penggunaan perangkat lunak/aplikasi tersebut. 2. Aktivitas tidak layak (Inappropriate Activities) Kebiasaan menggunakan computer untuk aktivitas yang tidak layak selama itu bukan merupakan tindakan kriminal namun dapat dikenakan sanksi dari perusahaan pada pegawai yang melakukannya. Beberapa contoh aktivitas yang tidak layak: - Konten tidak layak Menggunakan sistem perusahaan untuk menyimpan pornografi, hiburan, politik maupun muatan kekerasan.


28


Penanggulangannya: Pada UKM dan organisasi umumnya, dilakukan pemfilteran terhadap konten yang diakses pengguna. Pemfilteran dapat dilakukan dengan menggunakan server atau perangkat lain yang berfungsi sebagai proxy internet. Pada proxy tersebut dimasukkan ketentuan (rules) untuk membatasi akses ke kontenkonten yang tidak diingini. Sebagai tambahan, di sisi client dapat juga dilakukan pembatasan dengan menggunakan perangkat lunak pemfilter konten seperti parental control yang telah diset oleh administrator sistem dan tidak dapat diubah-ubah seenaknya oleh pengguna. -

Pemborosan sumberdaya perusahaan Seseorang menggunakan perangkat keras maupun perangkat lunak, seperti mengadakan suatu bisnis pribadi dengan mempergunakan sistem komputer perusahaan. Penanggulangannya: Pada UKM dan organisasi umumnya, adanya policy yang ditetapkan oleh administrator sistem. Baik itu pada sistem yang menggunakan Active Directory maupun LDAP, membatasi user untuk tidak dapat instal perangkat lunak sendiri (harus izin administrator) yang dapat digunakan untuk kepentingan pribadi seperti instant messenger. Selain itu juga secara periodik melakukan pengecekan terhadap perangkat keras maupun perangkat lunak yang potensial disalahgunakan.

-

Pelecehan seksual ataupun rasial Menggunakan e-mail atau sumberdaya komputer lainnya untuk mendistribusikan material yang tidak layak atau melanggar norma-norma. Penanggulangannya: Pada UKM dan organisasi umumnya, dengan dilakukan pemasangan perangkat lunak untuk memfilter e-mail yang dianggap tidak layak. Dapat dilakukan di sisi e-mail server dan juga e-mail client yang digunakan user. Selain itu penanganan di luar aspek teknologi dapat dilakukan dengan mengadakan penyuluhan tentang aspek-aspek bahaya dari e-mail atau sumberdaya komputer lainnya yang disalahgunakan oleh pihak tidak bertanggungjawab seperti dapat menyebabkan kerusakan pada jaringan maupun pada komputer. Seperti yang kita ketahui saat ini e-mail spam merajalela di internet, selain memboroskan bandwidth jaringan ada juga yang digunakan untuk menyebarkan virus.

-

Penyalagunaan kewenangan atau hak Menggunakan tingkat akses secara tidak sah untuk melanggar kerahasiaan informasi perusahaan. Penanggulangannya: Pada UKM dan organisasi umumnya, dirancang suatu sistem yang dapat mencatat aktivitas yang dapat dikategorikan rahasia bagi organisasi. Misalnya mencatat darimana, kapan dan siapa yang mengakses data tertentu di server. Selain itu juga disusun peraturan yang disosialisasikan kepada seluruh anggota untuk secara periodik mengganti password login mereka ke terminal.


29


3. Operasi Komputer Ilegal dan Penyerangan yang Disengaja (Illegal Computer Operations and Intentional Attacks) Dibawah ini adalah kelompok area kegiatan yang dipertimbangkan sebagai kegiatan komputer ilegal yang disengaja untuk keuntungan finansial pribadi penerobos dan juga untuk pengrusakan: - Kegiatan memata-matai Mengais-ngais data, lalu lintas data maupun analisa perkembangan, social engineering, ekonomi ataupun mata-mata politik, sniffing maupun pengamatan keystroke ataupun melakukan pemecahan terhadap segala jenis kegiatan matamata untuk mendapatkan informasi atau untuk menciptakan suatu pijakan untuk penyerangan berikutnya. Kegiatan memata-matai merupakan penyebab utama dari kegagalan kerahasiaan. Penanggulangannya: Pada UKM dan organisasi umumnya, dilakukan gabungan dari beragam penangkalan meliputi pembatasan wewenang untuk instalasi perangkat lunak, pembatasan wewenang pada aplikasi, pendeteksian paket-paket mencurigakan di jaringan, pengubahan password secara periodik, dan penyuluhan terhadap anggota organisasi. Selain memonitor sistem dari kegiatan memata-matai, administrator sistem juga berperan dalam memonitor perkembangan teknik kegiatan memata-matai baru. Dengan tujuan agar ia dapat melakukan pencegahannya dan menginformasikannya kepada seluruh anggota organisasi. -

Penipuan Contoh dari jenis penipuan adalah kolusi, transaksi fiktif, manipulasi data dan pengubahan data lainnya secara integritas untuk suatu keuntungan. Penanggulangannya: Pada UKM dan organisasi umumnya, dirancang kontrol transaksi pada aplikasi yang melakukan transaksi sensitif bagi organisasi. Misalnya pencatatan user dan waktu transaksi serta pelaporan akan jumlah transaksi yang di ambang batas kewajaran. Selain itu juga senantiasa dilakukan penyuluhan kepada anggota organisasi tentang bagaimana mengetahui dan menghindari terkena penipuan tersebut.

-

Pencurian Contoh dari jenis pencurian adalah pencurian informasi atau rahasia perdagangan untuk keuntungan atau penyingkapan data secara tidak sah serta pencurian secara fisik perangkat keras maupun perangkat lunak. Penanggulangannya: Pada UKM dan organisasi umumnya, antara lain dilakukan pengamanan terhadap aset-aset organisasi. Pengamanan secara fisik perangkat keras seperti pemberian kunci pada ruangan berharga dan dijaga oleh petugas keamanan. Sedangkan pengamanan perangkat lunak seperti enkripsi pada data berharga.

-

Sabotase Sabotase termasuk di dalamnya Denial of Service (DoS), penundaan produksi dan sabotase data terintegritas.


30


Penanggulangannya: Pada UKM dan organisasi umumnya, dilakukan dengan memasang firewall, Intrusion Detection System (IDS) dan Intrusion Prevention System (IPS) pada router yang membatasi jaringan lokal dengan jaringan luar (internet). Sebagai tambahan, client juga dapat diberikan perangkat lunak firewall untuk berjagajaga apabila harus dibawa keluar jaringan, seperti pada penggunaan laptop. Pemilihan sistem operasi yang handal terhadap serangan DoS juga layak dilakukan karena celah kerawanan dapat saja adanya di sistem operasi tesebut. -

Serangan Eksternal Contoh dari serangan eksternal adalah cracking yang berbahaya, scanning dan probing yang berusaha untuk merusak infrasuktur informasi, demon dialing untuk mencari sambungan modem yang tidak terlindungi, dan menyebarkan kode program atau virus yang berbahaya. Penanggulangannya: Pada UKM dan organisasi umumnya, dilakukan gabungan dari beberapa pengamanan antara lain dengan memasang firewall, Intrusion Detection System (IDS) dan Intrusion Prevention System (IPS) pada router, memasang anti-virus dan anti-spyware di tiap terminal, didukung oleh update (anti-virus dan sistem operasi) secara periodik, dan sistem deteksi hardware baru dinonaktifkan untuk mencegah user menambahkan hardware, seperti modem, secara langsung ke terminal.

4.2 Kerawanan (Vulnerabilities) 1. Analisa Tren/Lalu lintas (Traffic/Trend Analysis) Traffic analysis kadang kala disebut juga sebagai trend analysis, yaitu sebuah teknik yang digunakan oleh penerobos untuk menganalisa karakteristik data (panjang pesan, frekuensi pesan, dan sebagainya) dan pola pengiriman, untuk menjaring informasi yang berguna untuk penerobos. Untuk menangkal analisa lalulintas, digunakan cara yang mirip dengan untuk menangkal serangan terhadap kriptografi, antara lain: - Padding message Membuat semua message menjadi seragam bentuk datanya dengan menempatkan tempat kosong pada data. - Sending noise Memasukkan data yang tidak mengandung informasi apapun digabungkan ke dalam informasi yang sesungguhnya untuk mengacaukan pesan yang sesungguhnya. - Covert channel analysis Telah dijelaskan pada poin 2.2.1. 2. Akun Pemeliharaan (Maintenance Account) Salah satu cara untuk menerobos ke dalam sistem komputer adalah dengan menggunakan akun pemeliharaan yang masih memiliki password awal yang ditetapkan oleh pabrik pembuatnya atau password tersebut mudah ditebak. Akses fisik ke perangkat keras yang diserahkan pengelolaannya pada perorangan juga dapat menyebabkan pelanggaran keamanan. © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

31


Penanggulangannya: Pada UKM dan organisasi umumnya, dilakukan di sisi administrasi sistem, dimana administrator keamanan bertugas untuk membuat akun user, menetapkan passwordnya, dan waktu expire akun tersebut. Untuk perangkat yang memiliki password dari pabrik, misalnya router, sebaiknya diubah langsung saat mulai digunakan. 3. Penyerangan Pengaisan Data (Data-Scavenging Attacks) Pengaisan data adalah salah satu teknik penyerangan dengan cara menyatukan kembali potongan-potongan data informasi yang telah terpisah-pisah menjadi satu kesatuan data yang memiliki informasi berharga bagi organisasi/perusahaan. Terdapat dua tipe penyerangan pengaisan data yang umum digunakan: - Penyerangan melalui Keyboard Data dikais melalui sumberdaya yang tersedia ke user, pada kondisi sistem yang normal, yang duduk di depan keyboard menggunakan peralatan normal untuk mengumpulkan informasi. Penanggulangannya: Pada UKM dan organisasi umumnya, dapat ditangkal melalui pemasangan anti-virus dan anti-spyware yang dapat mendeteksi adanya program key logger pada client terminal. Namun juga harus disertai dengan update secara periodik dari perangkat tersebut agar tingkat deteksinya tinggi. -

Penyerangan melalui Laboratorium Data dikais dengan menggunakan peralatan elektronik yang canggih dan dengan perencanaan yang tepat. Penanggulangannya: Pada UKM dan organisasi umumnya, di sisi sistem dapat ditangani oleh firewall, IDS dan IPS, sedangkan di sisi client dapat dilakukan pemasangan anti-virus dan anti-spyware yang dapat mendeteksi adanya program virus atau trojan yang bertujuan melakukan penyerangan terdistribusi Distributed Denial of Service (DDoS). Namun sama dengan di atas, juga harus disertai dengan update secara periodik dari perangkat tersebut agar tingkat deteksinya tinggi.

4. Kerawanan IPL (IPL Vulnerabilities) Dimulai dari sistem itu sendiri, Initial Program Load (IPL), adalah spesifik sistem kerawanan yang spesifik suatu sistem dimana tipe sistem komputer atau mainframe tersentralisasi atau tipe LAN yang terdistribusi. Selama IPL, operator membawa fasilitas sistem. Operator ini mempunyai kemampuan membawa sistem ke dalam mode single user (satu user), tanpa adanya pengamanan secara penuh, yang dalam keadaan mode single user ini terdapat kewenangan tidak terbatas. Pada keadaan ini operator dapat membawa banyak program atau data tanpa otorisasi, mengganti kunci (password), mengganti nama banyak sumberdaya, atau mengganti waktu dan tanggal sistem. Operator dapat juga menentukan saluran (port) data atau jalur komunikasi yang digunakan untuk mengirimkan informasi pada sekutunya di luar data center sistem komputer. Pada sebuah local area network (LAN), administrator sistem dapat melihat bagian dari tape, CD-ROM atau floppy disk, melewati keamanan sistem operasi pada hard drive.


32


Penanggulangannya: Pada UKM dan organisasi umumnya, dilakukan pembatasan pada sistem operasi untuk tidak dapat berjalan di mode single user. Dapat juga menggunakan sistem operasi yang tidak memiliki mode single user, dengan artian setiap akses ke sistem operasi memerlukan login. 5. Pembajakan Alamat Jaringan (Network Address Hijacking) Penerobos dapat melihat kembali data lalu lintas dari server atau perangkat jaringan ke komputer seseorang, demikian juga dengan memodifikasi alamat perangkat atau pembajakan alamat jaringan. Hal ini memungkinkan penerobos memantau lalu lintas dari dan keluar perangkat tersebut untuk analisa data atau modifikasi atau mencuri file password dari server dan memperoleh akses ke akun pengguna. Dengan menyelusuri output data, penerobos dapat mengabaikan pengawasan dari terminal dan mengelabui log sistem. Penanggulangannya: Pada UKM dan organisasi umumnya, dapat ditangani oleh IDS yang akan mendeteksi IP spoofing atau perubahan MAC address dari suatu IP yang sama secara tiba-tiba. Sebagai tambahan, di sisi client dapat juga diinstal perangkat lunak untuk mendeteksi IP spoofing. Contohnya untuk browser internet dapat diinstal plugin yang dapat mendeteksi IP spoofing dari situs-situs yang dikunjungi. 5. Prosedur-prosedur Keamanan Pada pembahasan ini akan dirangkum beberapa pembahasan sebelumnya dan ditambahkan beberapa hal yang diperlukan berkaitan dengan bagaimana prosedurprosedur yang diperlukan untuk menangani masalah keamanan secara umum dan khususnya pada UKM. 5.1 Prosedur Penanganan Serangan Virus Beberapa hal ini dapat digunakan sebagai prosedur penanganan serangan virus: 1. Isolasi dan memutus koneksi - Hal pertama yang dapat dilakukan apabila Anda merasa atau mengetahui telah terkena virus adalah dengan memutus koneksi fisik komputer Anda dari jaringan. - Dengan asumsi bahwa komputer Anda yang membawa virus dan menyebarkan ke jaringan atau sebaliknya komputer Anda terkena virus dari jaringan. - Tetaplah memutus koneksi dari jaringan sampai dilakukan penghapusan virus tersebut dari komputer Anda atau sebaliknya dari jaringan. 2. Hapus virus tersebut - Setelah komputer diisolasi dan diputuskan dari jaringan, maka dilakukan penghapusan program virus tersebut. Dengan menggunakan program anti-virus yang spesifik dapat menangani virus tersebut. - Menghapus program virus tersebut atau file-file yang terkena olehnya tidaklah cukup. Banyak virus yang mencopy dirinya ke banyak rupa dan bersembunyi di berbagai tempat, bersembunyi dan menginfeksi program dan dokumen lain. Contohnya trojan horse yang membuat suatu pintu masuk belakang bagi hacker atau program jahat lain untuk dapat masuk. Walaupun file trojan tersebut dihapus namun lubang keamanannya masih terbuka. Cara untuk © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

33


memperbaikinya adalah dengan menjalankan program penghapus yang dikhususkan untuk virus/trojan tersebut. 3. Kembalikan data Anda Banyak akibat yang ditimbulkan dari serangan virus mulai dari penamaan ulang sampai penghapusan file-file berharga kita. Setelah virus dihapus maka dapat dilakukan: - Instal ulang program-program Beberapa virus dapat menghancurkan sistem operasi Anda, untuk itu gunakanlah CD instalasi ulang cepat sistem operasi yang berasal dari vendor perangkat keras Anda ataupun yang Anda siapkan sendiri berdasarkan kondisi sistem sebelum terkena virus. Untuk instal kembali aplikasi-aplikasi maka diperlukan dokumen berisi petunjuk instalasi aplikasi tersebut atau lisensi aplikasi untuk registrasi ulang. - Periksa akan virus Setelah sistem berjalan seperti semula, maka lakukanlah pemeriksaan akan virus secara menyeluruh terhadap semua file dan dokumen yang ada pada komputer tersebut. Begitupula dengan yang ada pada semua komputer di jaringan termasuk server. - Kembalikan file-file Kehilangan file-file data tergantung pada jenis serangan dari virus tersebut. Apabila virus tersebut menyerang program aplikasi maka file-file data dapat tidak terserang. Namun seringkali juga virus menyebabkan kehilangan file-file data, dan kehilangan tidak dapat dihindari. Sehingga untuk dapat mengembalikannya tergantung dari rutinitas back-up yang Anda lakukan. - Dokumentasikan proses tersebut Dokumentasikan langkah-langkah yang Anda lakukan dalam memperbaiki sistem, mencakup file dan aplikasi mana yang Anda kembalikan dan metode yang digunakan. Apabila ada hal-hal tidak diinginkan dapat dilacak ulang, atau dapat juga digunakan untuk referensi apabila terjadi serangan serupa. 4. Cegah infeksi akan datang - Setelah segala kesulitan akibat virus pasti Anda ingin sistem yang terbebas virus di masa yang akan datang. Penting untuk memakai perangkat lunak antivirus dan selalu update definisi virusnya. Apabila belum memakai anti-virus, mulailah dari sekarang. Apabila sudah, segeralah update definisi virusnya. Kemudian instal update/patch yang dibutuhkan oleh sistem operasi dan seluruh aplikasi yang ada untuk menutup semua kemungkinan lubang keamanan. - Kemudian, ubahlah semua password Anda, termasuk password akses ke ISP, FTP, e-mail, dan situs web yang berpassword. Beberapa program virus dapat menangkap password Anda atau membongkarnya, sehingga dapat disalahgunakan penciptanya. Walaupun tidak diserang virus mengganti password adalah penting. Semua data berharga yang ada di komputer sebaiknya diberi password, dan sebaiknya dibuat atau diganti saat ini. Password setidaknya 8 karakter, kombinasi dari huruf besar atau kecil, angka, simbol, dan tanda-tanda huruf lain. Hindari menggunakan kata-kata yang mudah dikenali, frase dan juga nama. 5. Belajar dari kesalahan Anda - Walaupun serangan virus dapat sulit disembuhkan, serangan itu dapat digunakan untuk evaluasi penerapan keamanan Anda saat ini. Jika saat ini virus masuk, kemungkinan akan datang juga bisa. Penting untuk evaluasi ukuran-ukuran keamanan Anda, bila ada, dan mengapa tidak efektif. Apakah © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

34


-

Anda membutuhkan firewall? Apakah pegawai mendownload file tanpa memeriksa akan virus? Apakah Anda membuka attachment dari e-mail tidak dikenal? Apakah definisi virus Anda up-to-date? Apakah Anda kehilangan data yang sebenarnya dapat dikembalikan menggunakan back-up? Lakukanlah back-up secara rutin dan simpanlah di tempat lain yang sekiranya aman.

5.2 Prosedur Penanganan E-mail Spam Beberapa hal ini dapat digunakan sebagai prosedur penanganan e-mail spam: 1. Gunakan perangkat lunak pemfilter atau pemblokir e-mail spam. 2. Jangan membalas e-mail yang tidak dikenal atau yang seperti ciri-ciri spam. Dengan dibalas maka pengirim spam akan yakin akan keberadaan e-mail Anda, dan mengakibatkan semakin banyak lagi e-mail spam ke Inbox Anda. 3. Jangan sekalipun mengirimkan informasi kartu kredit atau informasi pribadi Anda ke suatu situs web yang tidak aman (situs yang aman akan ditandai dengan tanda gembok biasanya berwarna kuning di kanan bawah/atas browser). 4. Jangan sekalipun mengirim alamat e-mail Anda melalui ruang chat, instant message, atau forum internet dan newsgroup. 5. Jangan memberikan alamat e-mail utama Anda untuk pendaftaran online atau situs e-commerce. Gunakan e-mail gratis lain untuk dapat dipakai secara publik. 6. Canangkanlah secara tertulis aturan (policy) organisasi/perusahaan mengenai email dan pastikan semua pegawai membacanya. Beri petunjuk mengenai bagaimana mengatasi e-mail yang tidak wajar. Aturan tersebut harus mencantumkan apakah dibolehkan untuk mendaftar ke newsletter atau situs web yang membutuhkan e-mail. Pastikan semua pegawai menandatangani aturan tersebut. 7. Jangan menampilkan link langsung dari alamat e-mail pada situs web Anda. Melainkan tampilkan dalam bentuk yang program tidak dapat membacanya. Program yang dikenal namanya “spambots” selalu mencari situs-situs web untuk apa saja yang memiliki tanda “@”. Salah satu cara untuk menampilkannya adalah dengan menggunakan tanda “[at]” sebagai pengganti “@”. 8. Pastikan firewall Anda dikonfigurasi untuk memblokir semua lalulintas data yang tidak diinginkan. 9. Doronglah pegawai Anda untuk tidak menggunakan mailing list, terutama yang tidak dikenal kredibilitasnya, karena seringkali digunakan spammers untuk memastikan kebenaran suatu alamat e-mail. 10. Laporlah ke ISP yang Anda gunakan akan alamat-alamat e-mail yang digunakan spammers untuk menyebarkan spam. Dengan melaporkan ke ISP, secara tidak langsung Anda juga ikut membantu meringankan bandwidth jaringan yang habis digunakan spam untuk menyebarkan diri. Beberapa ISP ada juga yang sudah menyediakan fasilitas blocking spam pada mail servernya. 5.3 Prosedur Penanganan Update/Patch Beberapa hal ini dapat digunakan sebagai prosedur penanganan update/patch: 1. Selalu berhubungan dengan pengembang perangkat lunak. Banyak pengembang perangkat lunak menyediakan fasilitas notifikasi ke pelanggan mereka, disamping mereka juga menampilkan informasi mengenai update dan patch di situs web mereka. Lakukanlah pengecekan ini secara rutin. © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

35


2. Tentukan tingkat kedaruratan dari kelemahan tersebut. Aturan (policy) manajemen patch yang baik sebaiknya menjelaskan proses yang diambil untuk dapat mengidentifikasi dan menerapkan patch, dan yang bertanggungjawab pada setiap langkah ini dalam alur kerja. Langkah pertama pada proses ini adalah menetapkan profil dari masing-masing aplikasi yang Anda gunakan, biasanya menggambarkan sensitivitas aplikasi tersebut. Contohnya, bagaimana resiko bisnis yang ditimbulkan apabila ada penerobosan keamanan pada masing-masing aplikasi, apakah rendah, sedang atau tinggi? Selanjutnya, berapa banyak downtime yang dibutuhkan untuk menerapkan patch pada setiap aplikasi? 3. Apabila memungkinkan, sebaiknya dipisahkan antara pemeriksa dan pelaksana. Tujuannya agar saling cek satu sama lain, dan juga meminimalkan bias yang mungkin ditimbulkan dari masing-masing pihak. 4. Dokumentasikan. Masukkan semua prosedur manajemen patch dalam tulisan. Tetapkan secara jelas semua tanggunjawab manajemen patch, misalnya identifikasi kerawanan, evaluasi dan uji patch, serta implementasi patch. Dokumentasikan semua keputusan untuk menginstal atau tidak patch yang ada. 5. Uji, uji, dan uji lagi. Kadangkala patch juga dapat mengakibatkan masalah keamanan baru. Sebelum Anda menerapkan patch ke sistem utama yang berjalan, terapkanlah terlebih dahulu pada lingkungan pengujian untuk memastikan patch tersebut tidak membuka kerawanan yang telah ditutup sebelumnya atau malah membuka kerawanan baru. Banyak kejadian buruk yang menceritakan bahwa sistem tidak berfungsi lagi setelah menerapkan patch. 6. Urutan pertama diinstal pertama. Pada kerawanan yang membutuhkan beberapa patch, penting untuk menginstal patch sesuai urutan instalnya. 7. Pertimbangkan layanan pihak ketiga. Apabila manajemen patch terasa terlalu membebani sumberdaya organisasi/perusahaan Anda maka pertimbangkanlah untuk mencari layanan identifikasi dan manajemen patch yang dapat mengurangi biaya dan overhead yang disebabkan oleh manajemen patch. 5.4 Prosedur Penanganan Serangan dari Dalam Beberapa hal ini dapat digunakan sebagai prosedur penanganan serangan dari dalam: 1. Susunlah aturan keamanan yang efektif. Walaupun hal ini sepertinya terlihat sebagai aktivitas yang dilakukan oleh organisasi besar, organisasi kecil sebaiknya juga mempertimbangkan untuk menyusun aturan keamanan. Gunakanlah untuk mendaftarkan aset informasi organisasi dan semua akses ke informasi tersebut. Pastikan semua anggota mengerti akan aturan tersebut. Beri pembelajaran pada mereka mengenai resiko yang dapat terjadi apabila membolehkan akses ke akun dan password mereka. Peringatkan mereka akan bahayanya “social engineering”, dimana penyusup mencari akses tidak berhak ke informasi dengan meningkatkan kewaspadaan mereka. E-mail yang terlihat seperti berasal dari teman, namun di dalamnya terdapat executable attachment yang berisi virus, adalah merupakan contoh social engineering yang umum. Untuk itu harus dapat ditingkatkan kewaspadaan akan serangan seperti ini. 2. Pastikan pegawai mendapat akses hanya ke data dan sistem yang mereka butuhkan. Hal ini terdengar sederhana, adalah tidak wajar apabila seorang pegawai membutuhkan akses berkali-kali lebih besar dari yang ia butuhkan. Apabila diperlukan, dapat diterapkan pembatasan akses dengan menggunakan perangkat lunak kontrol akses. Perangkat itu dapat digunakan untuk membatasi


36


akses pengguna pada suatu sistem atau file dan mencatat setiap aksi yang dilakukannya. 3. Apabila dibutuhkan kerjasama dengan pihak luar seperti kontraktor yang memerlukan akses ke jaringan Anda, pastikan akses tersebut dibatasi hanya pada kegiatan yang dibutuhkan. Adalah umum bila pengguna memerlukan akses ke informasi yang berada pada tingkat akses berbeda dengannya. Ketika menetapkan tingkat akses, pastikan bahwa tiap tingkat tersebut tidak memberikan kebocoran pada aset yang lebih berharga. Salah satu caranya adalah dengan memberikan kontraktor tersebut akun yang dapat kadaluarsa secara otomatis pada tanggal yang sama dengan saat kontrak selesai, kecuali apabila diperpanjang. 4. Terapkan prosedur menyeluruh tentang pemberhentian pegawai. Pastikan kontrolkontrol pada tempatnya untuk memberhentikan akses pada hari terakhir pegawai tersebut bekerja, seperti pemberhentian akses jaringannya. 5. Tekankan penerapannya. Selalu memperhatikan masalah keamanan, baik berasal dari dalam atau luar, dapat menjadi seperti pekerjaan penuh. Ketika aturan keamanan telah ditetapkan, Anda perlu cara untuk memastikan apakah aturan tersebut dijalankan, dan setiap pelanggaran keamanan harus dievaluasi agar tidak terulang lagi. 5.5 Prosedur Penanganan Serangan Campuran Beberapa hal ini dapat digunakan sebagai prosedur penanganan serangan campuran: 1. Susun dan tekankan aturan keamanan yang komprehensif Canangkan petunjuk untuk pelaksanaan komputasi yang aman dan latih pegawai akan bahayanya program-program berbahaya. Sebarkan aturan tersebut di organisasi, dan beritahu pentingnya praktek-praktek seperti tindaklanjut peringatan anti-virus, penggunaan password yang kuat, dan penanganan attachment e-mail yang aman. 2. Pastikan sistem up-to-date Karena serangan campuran ini ditujukan untuk mencari celah pada programprogram seperti browser internet dan program administrasi server, adalah penting untuk selalu meng-update/patch sistem operasi dan aplikasi-aplikasi Anda. Perbaikan yang dapat di-download biasanya keluar sesaat setelah celah keamanan ditemui pada suatu aplikasi. Apabila tidak diperhatikan maka akan dapat menyebabkan sistem Anda terbuka terhadap serangan campuran ini yang selalu mencari celah pada sistem. 3. Password Serangan terhadap password merupakan metode yang sering dilakukan serangan campuran. Karena memilih password yang kuat adalah sederhana dan tidak mengeluarkan biaya, maka praktek ini harus ditekankan secara teratur. Serangan campuran, virus dan worm sejenisnya, dapat menggunakan program untuk membongkar password dengan cara men-generate kombinasi kata-kata dan huruf yang mungkin sampai ketemu password yang cocok untuk mengakses sistem. Password yang kuat setidaknya berjumlah 8 karakter (semakin banyak semakin lama waktu untuk membongkarnya), terdiri dari huruf, angka, dan simbol. Tidak boleh terdiri dari karakter berulang atau kata-kata umum atau nama-nama, yang mudah dibongkar program. 4. Gunakan pengamanan berlapis Ketika satu metode tidak dapat melindungi Anda dari ancaman keamanan, kombinasi dari anti-virus, firewall, dan IDS dapat mempersulit serangan © 2005 Kelompok 126 IKI-83408T MTI UI. Silahkan menggandakan bahan ajar ini, selama tetap mencantumkan nota hak cipta ini.

37


campuran. Ketika kombinasi pengamanan ini digunakan, mereka akan dapat memperlambat atau mencegah penyebarannya dengan cara men-karantina program serangan tersebut, memberi laporan, memperbaiki kerusakan, atau memblokir seluruhnya. Apabila suatu serangan lolos dari lapisan depan, seperti firewall, ia akan dapat dideteksi dan ditangkap oleh lapisan selanjutnya, seperti anti-virus. 5. Lindungi semua pintu masuk Apabila Anda memiliki server yang diakses publik, maka melindunginya dengan firewall masih kurang cukup. Sebaiknya setiap server bahkan client device dilengkapi dengan anti-virus atau pengamanan lain yang tetap up-to-date dengan definisi virus dan patch yang diperlukan. 6. Penutup Keamanan adalah suatu proses, bukan produk. Jika Anda memasang firewall, IDS, honeypot (sarang madu) yang berfungsi sebagai jebakan, dan sebagainya, mungkin dapat menyediakan lapisan-lapisan untuk bertahan, akan tetapi peralatan paling canggih di dunia tidak akan menolong suatu sistem keamanan organisasi sampai organisasi tersebut mempunyai proses untuk upgrade sistem, instal patch, atau memeriksa keamanan pada sistem sendiri dengan metode lain. Telah banyak organisasi dan perusahaan yang memakai IDS tetapi tidak memonitor file log, mereka instal anti-virus, anti-spyware, anti-spam, dan firewall, tetapi tidak melakukan upgrade dan update. Sehingga aman atau tidaknya suatu sistem komputer di suatu organisasi/perusahaan adalah juga terikat erat dengan peran manusianya.


38

Daftar Pustaka

ICSA Labs. 2005. Standards for commercial security products are set by ICSA Labs. Diakses 27 Oktober 2005, dari https://www.icsalabs.com/icsa/icsahome.php Krutz, Ronald L., Russell Dean Vines. 2003. The CISSP® Prep Guide: Gold Edition. Indiana: Wiley Publishing, Inc. Link, Rainer. 2004. Mini-FAQ: "antivirus software for Linux/Unix". Diakses 11 Desember 2005, dari http://cvs.sourceforge.net/viewcvs.py/openantivirus/mini-faq/avunix_e.txt?rev=HEAD Microsoft Corporation. 2005. e-mail. Diakses 11 Desember 2005, dari http://www.microsoft.com/athome/security/email/default.mspx Microsoft Corporation. 2005. Microsoft Small Business Center. Diakses 27 Oktober 2005, dari http://www.microsoft.com/smallbusiness/hub.mspx Microsoft Corporation. 2005. online activities. Diakses 11 Desember 2005, dari http://www.microsoft.com/athome/security/online/default.mspx Microsoft Corporation. 2005. Security Bulletin Search. Diakses 27 Oktober 2005, dari http://www.microsoft.com/technet/security/current.aspx Microsoft Corporation. 2005. spyware. Diakses 11 Desember 2005, dari http://www.microsoft.com/athome/security/spyware/default.mspx Microsoft Corporation. 2005. viruses & worms. Diakses 11 Desember 2005, dari http://www.microsoft.com/athome/security/viruses/default.mspx Microsoft Corporation. 2005. Windows Server 2003 Active Directory. Diakses 11 Desember 2005, dari http://www.microsoft.com/windowsserver2003/technologies/directory/activedi rectory/default.mspx MIT Kerberos. 2005. Kerberos: The Network Authentication Protocol. Diakses 11 Desember 2005, dari http://web.mit.edu/kerberos/www/ Muhammad, Reza. 2003. 15 Jenis Serangan Cracker. Indonesia: IlmuKomputer.Com. Diakses 27 Oktober 2005, dari http://ilmukomputer.com/populer/rezacracker.php Purbo, Onno W. 2003. Ensiklopedia Serangan Denial of Service. Indonesia: IlmuKomputer.Com. Diakses 27 Oktober 2005, dari http://ilmukomputer.com/populer/onno-dos.php Purbosudibyo, Gani. 2003. Mengenal Social Engineering. Indonesia: IlmuKomputer.Com. Diakses 27 Oktober 2005, dari http://ilmukomputer.com/populer/gani-socialeng.php Sourcefire, Inc. 2005. Snort Documents. Diakses 27 Oktober 2005, dari http://www.snort.org/docs/ Terpstra, John H. 2005. Practical Exercises in Successful Samba Deployment. Samba Team. Diakses 27 Oktober 2005, dari http://us2.samba.org/samba/docs/man/Samba-Guide/ The OpenLDAP Project. 2005. OpenLDAP Software 2.3 Administrator's Guide. Diakses 27 Oktober 2005, dari http://www.openldap.org/doc/admin23/ Ts, Jay, Robert Eckstein, David Collier-Brown. 2003. Using Samba, 2nd Edition. O'Reilly & Associates. Diakses 27 Oktober 2005, dari http://us2.samba.org/samba/docs/using_samba/toc.html

IKI-83408T Proteksi dan Teknik Keamanan Sistem Informasi. Operations Security dan Penerapannya di Usaha Kecil Menengah (UKM)

Recommend Documents