Aspek Keamanan Komputer

Aspek Keamanan Data

            Keamanan system dibutuhkan karena “information – based society”, yang menyebabkan nilai informasi menjadi sangat penting dan menuntut kemampuan untuk mengakses dan menyediakan informasi secara cepat dan akurat menjadi sangat esensial bagi sebuah organisasi. Serta infrastruktur jaringan komputernya, seperti LAN dan Internet, memungkinkan untuk menyediakan informasi secara cepat, sekaligus membuka potensi adanya lubang keamanan (security hole).

            Keamanan komputer adalah suatu cabang teknologi yang dikenal dengan nama keamanan informasi yang diterapkan pada komputer. Sasaran keamanan komputer antara lain adalah sebagai perlindungan informasi terhadap pencurian atau korupsi, atau pemeliharaan ketersediaan, seperti dijabarkan dalam kebijakan keamanan.

            Ada beberapa aspek yang berhubungan dengan permasalahan keamanan data, yaitu aspek yang berhubungan dengan persyaratan keamanan data dan aspek yang berhubungan dengan ancaman terhadap keamanan.

®   Aspek yang berhubungan dengan persyaratan keamanan data

Menurut Garfinkel [Simon Garfinkel, “PGP: Pretty Good Privacy”, O’Reilly & Associ – ates, Inc., 1995.]

1.      Confidentiality dan Privacy

            Confidentiality berarti sistem mengijinkan user hanya untuk melihat data yang diperbolehkan. Berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu dan hanya diperbolehkan untuk keperluan tertentu tersebut. Jadi confidentiality merupakan data yang diberikan ke pihak lain untuk tujuan khusus tetapi tetap dijaga penyebarannya. . Contohnya data yang bersifat pribadi seperti : nama, alamat, no ktp, telpon dan sebagainya. Confidentiality akan terlihat apabila diminta untuk membuktikan kejahatan seseorang, apakah pemegang informasi akan memberikan infomasinya kepada orang yang memintanya atau menjaga klientnya.

            Sedangkan privacy lebih kearah data – data yang bersifat privat. Jadi intinya adalah pencegahan agar informasi tersebut tidak diakses oleh orang yang tidak berhak. Contohnya adalah email atau file-file lain yang tidak boleh dibaca orang lain meskipun oleh administrator. Bentuk serangannya adalah usaha penyadapan (dengan program sniffer). Beberapa aspek yang tercakup didalamnya ialah

• Privacy komunikasi.
• Mengamankan data yang sensitif. 
• Autentikasi user. Metode autentikasi menjamin identitas user didalam sistem.
• Kontrol akses sampai ke tingkat terkecil (granule). Granularity berarti kontrol akses dapat dibedakan untuk tabel, view, baris, dan kolom tertentu dari database.
• Usaha – usaha yang dapat dilakukan untuk meningkatkan privacy dan confidentiality adalah dengan menggunakan teknologi kriptografi.

2.      Integritas

            Sistem yang aman menjamin data yang terkandung valid. Integritas data berarti data diproteksi dari penghapusan dan kerusakan ketika berada dalam database dan ketika ditransmisikan pada jaringan. Jadi informasi tidak boleh diubah tanpa seijin pemilik informasi. Contoh : email di intercept di tengah jalan, diubah isinya, kemudian diteruskan ke alamat yang dituju. Serangan yang terjadi dapat dalam bentuk “man in the middle attack” dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain. Beberapa aspek yang tercakup didalamnya ialah :

• Pengaturan hak kontrol akses sehingga hanya user tertentu yang diijinkan mengubah data.
• Menjaga hubungan yang valid diantara nilai dalam database sesuai dengan aturan yang telah didefinisikan.
• Perlindungan terhadap virus.
• Traffic jaringan harus dijaga dari penghapusan, perusakan, dan pembajakan data.

 3.      Authentication

            Sistem untuk menyatakan bahwa data betul – betul asli, atau orang yang mengakses atau memberi data adalah betul – betul orang yang dimaksud. Akses ini akan dilakukan sewaktu user login dengan menggunakan nama user dan passwordnya, apakah cocok atau tidak, jika cocok diterima dan tidak akan ditolak. Ini biasanya berhubungan dengan hak akses seseorang, apakah dia pengakses yang sah atau tidak. Beberapa aspek yang terkandung didalamnya adalah

• Adanya tools membuktikan keaslian data, dapat dilakukan dengan teknologi watermarking (untuk menjaga “intellectual property”,  yaitu dengan menandai data) dan digital signature.
• Access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses data. Menggunakan password, biometric, dan sejenisnya.

4.      Availability

            Sistem yang aman mampu menyediakan data ke user yang diijinkan tanpa delay. Aspek ini berkaitan dengan apakah sebuah data tersedia saat dibutuhkan / diperlukan. Apabila sebuah data atau informasi terlalu ketat pengamanannya akan menyulitkan dalam akses data tersebut. Disamping itu akses yang lambat juga menghambat terpenuhnya aspek availability. Serangan yang biasanya terjadi adalah denial of service yang berusaha untuk menahan user untuk mengakses dan menggunakan sistem ketika dibutuhkan atau dimana server dikirimi permintaan (biasanya palsu) yang bertubi-tubi / permintaan yang diluar perkiraan sehingga tidak dapat melayani permintaan lain bahkan sampai down, hang, crash. Dan juga serangan dalam bentuk mailbomb, dimana seorang pemakai dikirimi e-mail bertubi-tubi (katakan ribuan e-mail) dengan ukuran yang besar sehingga sang pemakai tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya.

. Beberapa aspek yang terkandung didalam ketersediaan sistem ialah :

• Ketahanan. Sistem didesain untuk dapat bertahan dari serangan yang dapat mengubah kuasa. Misalnya profil user harus dibatasi dalam menggunakan resource. Dengan cara ini sistem dapat dilindungi dari user yang mengkonsumsi memori terlalu banyak.
• Scalability. Kinerja sistem harus selalu memadai tanpa menghiraukan jumlah user atau proses yang harus dijalankan.
• Fleksibilitas. Administrator harus memilik cara yang memadai untuk mengatur populasi user.
• Mudah digunakan. Implementasi keamanan tidak boleh mengurangi kemampuan user yang valid untuk melaksanakan tugasnya.

5.      Access Control

            Merupakan cara pengaturan akses kepada informasi, berhubungan dengan masalah authentication dan juga privacy. Metode yang digunakan adalah kombinasi user id / password atau dengan menggunakan mekanisme lainnya.

6.      Non – repudiation

            Merupakan hal yang bersangkutan dengan si pengirim, pengirim tidak dapat mengelak bahwa dia lah yang mengirim informasi tersebut. Aspek ini menjaga agar seseorang tidak dapat menyangkal telah melakukan sebuah transaksi. Dukungan bagi electronic commerce.

 7.      Secrecy

            Berhubungan dengan akses membaca data dan informasi yang mana hanya bisa diakses dan dibaca oleh orang yang berhak.

®   Aspek yang berhubungan dengan ancaman keamanan data

Menurut W. Stallings [William Stallings, “Network and Internetwork Security”, Prentice Hall, 1995.]

1.      Interruption

               Merupakan ancaman terhadap ketersediaan availability dimana data dan informasi yang berada dalam sistem komputer dirusak atau dibuang sehingga menjadi tidak ada dan tidak berguna. (Contoh : “Denial of service attack”, Harddisk dirusak, kabel telekomunikasi dipotong, dll.)

2.      Interception

               Merupakan ancaman terhadap secrecy dimana orang yang tidak berhak namun berhasil mendapatkan akses informasi dari dalam sistem komputer. (Contoh : Wiretapping (penyadapan)  atau mencopy data secara tidak sah, dll)

  

3.      Modification

            Merupakan ancaman terhadap integrity dimana orang yang tidak berhak dapat mengakses maupun merubah suatu informasi. Contoh : merubah suatu program, dll.

4.      Fabrication

            Merupakan ancaman terhadap integrity juga namun disini orang yang tidak berhak meniru atau memalsukan suatu object ke dalam system. Contoh : menambahkan record ke dalam file, memasukkan pesan – pesan palsu seperti email palsu ke dalam jaringan komputer, dll.

Serangan – serangan yang mengganggu keamanan data :     

ü  Sniffer adalah suatu aplikasi penyerang untuk melakukan pencurian ataupun penyadapan data. Data yang dimaksud tidak akan hilang secara fisik, namun akan disadap. Penyadapan ini sangat berbahaya, karena biasanya yang menjadi sasaran penyadapan ini adalah data-data penting seperti data pribadi (username, password, nomor authorisasi, dst). Hal ini dapat dicegah dengan cara terlebih dahulu melakukan enkripsi data sebelum data dikirimkan ke jaringan atau Internet, misalkan dengan menggunakan ssh atau secure shell yang berfungsi mengenkripsikan data dengan cara enkripsi 128 bit.

ü  Man-In-The-Middle Attack adalah sebuah aksi sniffing yang memanfaatkan kelemahan switch dan kesalahan penangannan ARP chache dan TCP/IP oleh OS 2003 dan XP. Ide awalnya adalah menempatkan komputer hacker ditengah dua komputer yang sedang berhubungan sehingga paket data harus melalui komputer hacker dulu agar paket data itu bisa dilihat atau diintip oleh hacker (serangan terhadap integrity).

ü  Disingkat dengan DoS. Adalah serangan (attack) yang diluncurkan untuk meniadakan servis (serangan terhadap availability). Serangan DoS dilakukan dengan menghabiskan resources dari target, seperti menghabiskan bandwidth (dengan membanjiri jaringan dengan beberapa paket yang banyak dan tidak karuan), memori (membuat server bingung), dan disk. Contoh lain dari serangan DoS adalah penggagalan service sewaktu adanya permintaan data sehingga komputer tidak bisa melayaninya. Dan juga mengirimkan request yang berlebihan sehingga menyebabkan komputer tidak bisa lagi menampung beban tersebut dan akhirnya komputer down.

Jenis – jenis penyusupan :

1.      Hacker : adalah orang yang mempelajari, menganalisa, dan selanjutnya bila menginginkan, bisa membuat, memodifikasi, atau bahkan mengeksploitasi sistem yang terdapat di sebuah perangkat seperti perangkat lunak komputer dan perangkat keras komputer seperti program komputer, administrasi dan hal-hal lainnya , terutama keamanan.

2.      Cracker : sebutan untuk mereka yang masuk ke sistem orang lain dan cracker lebih bersifat destruktif, biasanya di jaringan komputer, mem-bypass password atau lisensi program komputer, secara sengaja melawan keamanan komputer, men-deface (merubah halaman muka web) milik orang lain bahkan hingga men-delete data orang lain, mencuri data dan umumnya melakukan cracking untuk keuntungan sendiri, maksud jahat, atau karena sebab lainnya karena ada tantangan. Beberapa proses pembobolan dilakukan untuk menunjukan kelemahan keamanan sistem.

3.      White Hat : istilah teknologi informasi dalam bahasa Inggris yang mengacu kepada peretas yang secara etis menunjukkan suatu kelemahan dalam sebuah sistem komputer.

4.      Black Hat : istilah teknologi informasi dalam bahasa inggris yang mengacu kepada para peretas yang menerobos keamanan sistem komputer tanpa izin, umumnya dengan maksud untuk mengakses komputer-komputer yang terkoneksi ke jaringan tersebut.

5.      Script Kiddies : Sebuah pola serangan yang sering dilancarkan oleh hacker pemula dengan menggunakan alat bantu ringan yang bisa mereka dapatkan di banyak situs hacker lainnya. Alat bantu yang biasanya berisi sederetan script sederhana ini mereka gunakan untuk mendeface atau melancarkan DOS (Denial of Service) pada korban yang memiliki exploit. Hacker dengan jam terbang yang lebih tinggi biasanya mencibir hacker pemula yang menggunakan metode ini karena biasanya mereka menggunakan tanpa tahu teknologi dan konsep yang ada di balik pola serangan yang dilancarkan.

6.      Elite : Juga dikenal sebagai 3l33t, 3l337, 31337 atau kombinasi dari itu, ini merupakan ujung tombak industri keamanan jaringan. Mereka mengerti sistem operasi luar dalam, sanggup mengkonfigurasi & menyambungkan jaringan secara global. Sanggup melakukan pemrogramman setiap harinya. Sebuah anugrah yang sangat alami, mereka biasanya effisien & trampil, menggunakan pengetahuannya dengan tepat. Mereka seperti siluman dapat memasuki sistem tanpa di ketahui, walaupun mereka tidak akan menghancurkan data-data. Karena mereka selalu mengikuti peraturan yang ada.

7.      Vulnerable : suatu kelemahan yang mengancam nilai integrity, confidentiality dan availability dari suatu asset. Vulnerability tidak hanya berupa software bugs atau kelemahan security jaringan.

8.      Security hole : Merupakan Celah dari keamanan system/ mesin Hal tersebut disebabkan karena adanya kelemahan-kelemahan di dalam kebijaksanaan jaringan suatu perusahaan (Policy Vulnerabilities),konfigurasi suatu sistem (Configuration Vulnerabilities), teknologi yang digunakan (Technology Vulnerabilities). Kelemahan-kelemahan itu biasanya dimanfaatkan untuk menyusup ke dalam suatu jaringan komputer tanpa diketahui pengelolanya.

9.      Bug : Kesalahan pada pemrograman yang menyebabkan sistem dapat dieksploitasi atau error dengan kondisi tertentu. Dalam web hacking, terdapat beberapa bug seperti RFI, LFI, SQLi, RCE, XSS, dll

10.  Exploit : sebuah perangkat lunak yang menyerang kerapuhan keamanan (security vulnerability) yang spesifik namun tidak selalu bertujuan untuk melancarkan aksi yang tidak diinginkan.

11.  Local exploit adalah program/eksploit yang jika dijalankan pada mesin atau target yang telah dijebol sebelumnya. dengan sasaran server itu sendiri, akan mengakibatkan anda mendapatkan root shell di mesin / server sasaran yang berarti kamu mempunyai akses root dimesin . remote exploit adalah program/eksploit yang jika dijalankan dari mesin kamu dengan sasaran server tertentu, akan mengakibatkan anda mendapatkan root shell di mesin/server sasaran yang berarti kamu mempunyai akses root dimesin tersebut.

12.  Logical Bomb : Merupakan Salah satu program jahat yang ditempelkan pada program komputer agar memeriksa suatu kumpulan kondisi di sistem. Ketika kondisi-kondisi yang dimaksud ditemui, logical mengeksekusi suatu fungsi yang menghasilkan aksi-aksi tak diotorisasi. Logic bomb menempel pada suatu program resmi yang diset meledak ketika kondisi-kondisi tertentu dipenuhi.

13.  Penetration Testing : Uji coba yang melakukan verifikasi dari mekanisme perlindungan yang dibuat oleh sistem, melindungi dari hal-hal yang mungkin terjadi.

14.  Patch : Perbaikan terhadap bug dengan mengupdate sistem yang vurnerable.

15.  Keylogger : mesin atau software yang dipasang atau diinstal di komputer agar mencatat semua aktivitas yang terjadi pada keyboard (bekerja diam diam alias tidak terketahui oleh kita secara kasat mata)

16.  Worm (Cacing) : Kode jahat yg sistem kerjanya seperti cacing, menggandakan diri dan menyebar, tidak menopang pada file. Kebanyakan di Indonesia adalah kode jenis ini.

Mendeteksi suatu serangan atau kebocoran sistem

• Network Monitoring : adalah sistem pemantau jaringan yang dapat digunakan untuk mengetahui adanya lubang keamanan. Biasanya dilakukan dengan menggunakan protocol SNMP (Simple Nework Management Protocol)
• Intrusion Detection System (IDS) : merupakan penghambat atas semua serangan yang akan mengganggu sebuah jaringan. IDS memberikan peringatan kepada administrator server saat terjadi sebuah aktivitas tertentu yang tidak diinginkan administrator sebagai penanggung jawab sebuah sistem.

Cara mencegah terjadinya suatu serangan atau kebocoran system, yaitu :

• Desain sistem : desain sistem yang baik tidak meninggalkan celah-celah yang memungkinkan terjadinya penyusupan setelah sistem tersebut siap dijalankan.
• Aplikasi yang Dipakai : aplikasi yang dipakai sudah diperiksa dengan seksama untuk mengetahui apakah program yang akan dipakai dalam sistem tersebut dapat diakses tanpa harus melalui prosedur yang seharusnya dan apakah aplikasi sudah mendapatkan kepercayaan dari banyak orang
• Manajemen : pada dasarnya untuk membuat suatu sistem yang secure tidak lepas dari bagaimana mengelola suatu sistem dengan baik. Dengan demikian persyaratan good practice standard seperti Standard Operating Procedure (SOP) dan Security Policy haruslah diterapkan di samping memikirkan hal teknologinya. 
• Manusia (Administrator) : manusia adalah salah satu fakor yang sangat penting, tetapi sering kali dilupakan dalam pengembangan  teknologi informasi dan dan sistem keamanan. Sebagai contoh, penggunaan password yang sulit menyebabkan pengguna malah menuliskannya pada kertas yang ditempelkan  di dekat komputer. Oleh karena itu, penyusunan kebijakan keamanan faktor manusia dan budaya setempat haruslah sangat dipertimbangkan.