Andi Dwi Riyanto, M.Kom

Andi Dwi Riyanto, M.Kom

Andi Dwi Riyanto, M.Kom

Andi Dwi Riyanto, M.Kom

Andi Dwi Riyanto, M.Kom

Andi Dwi Riyanto, M.Kom

Andi Dwi Riyanto, M.Kom

KEAMANAN KOMPUTER, MENGAPA DIBUTUHKAN ?

KEJAHATAN KOMPUTER SEMAKIN MENINGKAT

KARENA..???

KLASIFIKASI KEJAHATAN KOMPUTER

ASPEK KEAMANAN KOMPUTER

SECURITY ATTACK MODELS

SECURITY BREACH ACCIDENT

MEMAHAMI HACKER BEKERJA

PRINSIP DASAR PERANCANGAN SISTEM YANG AMAN

LAPISAN KEAMANAN

Andi Dwi Riyanto, M.Kom

“information-based society”, menyebabkan nilai

informasi menjadi sangat penting dan menuntut

kemampuan untuk mengakses dan menyediakan

informasi secara cepat dan akurat menjadi

sangat esensial bagi sebuah organisasi,

Infrastruktur Jaringan komputer, seperti LAN

dan Internet, memungkinkan untuk menyediakan

informasi secara cepat, sekaligus membuka

potensi adanya lubang keamanan (security hole)

Andi Dwi Riyanto, M.Kom

Aplikasi bisnis berbasis TI dan jaringan komputermeningkat : online banking, e-commerce, Electronic data Interchange (EDI).

Desentralisasi server.

Transisi dari single vendor ke multi vendor.

Meningkatnya kemampuan pemakai (user).

Kesulitan penegak hokum dan belum adanyaketentuan yang pasti.

Semakin kompleksnya system yang digunakan, semakin besarnya source code program yang digunakan.

Berhubungan dengan internet.

Andi Dwi Riyanto, M.Kom

Keamanan dan Manajemen Perusahaan

Pengelolaan terhadap keamanan dapat dilihat dari sisi

pengelolaan resiko (risk management).

Lawrie Brown dalam “Lecture Notes for Use with

Cryptography and Network Security by William Stallings”

menyarankan menggunakan “Risk Management Model”

untuk menghadapi ancaman (managing threats).

Ada tiga komponen yang memberikan kontribusi kepada

Risk, yaitu Asset, Vulnerabilities, dan Threats.

No Nama Komponen Keterangan

1 Assets (aset) hardware, software, dokumentasi,

data, komunikasi, lingkungan,

manusia

No Nama Komponen Keterangan

2 Threats (ancaman) pemakai (users), teroris, kecelakaan

(accidents), crackers, penjahat

kriminal, nasib (acts of God), intel

luar negeri (foreign intelligence)

3 Vulnerabilities

(kelemahan)

software bugs, hardware bugs,

radiasi (dari layar, transmisi),

tapping, crosstalk, unauthorized

users cetakan, hardcopy atau print

out, keteledoran (oversight), cracker

via telepon, storage media

Tim

bul M

asa

lah

Security

Management:“nyambung dulu (online dulu),

security belakangan”

“Sekarang kan belum ada masalah!”

Praktisi:

“Pinjam password admin, dong”

Rendahnya kesadaran akan masalah

keamanan!

Menurut David Icove [John D. Howard, “An Analysis Of Security Incidents On The Internet 1989 - 1995,” PhD thesis, Engineering and Public Policy, Carnegie Mellon University, 1997.] berdasarkan lubang keamanan, keamanan dapat diklasifikasikan menjadi empat, yaitu:

1. Keamanan yang bersifat fisik (physical security).

2. Keamanan yang berhubungan dengan orang(personel).

3. Keamanan dari data dan media serta teknikkomunikasi (communications).

4. Keamanan dalam operasi: Adanya prosedur yang digunakan untuk mengatur dan mengelola sistemkeamanan, dan juga ter-masuk prosedur setelahserangan (post attack recovery).

Andi Dwi Riyanto, M.Kom

Menurut Garfinkel [Simson Garfinkel, “PGP:

Pretty Good Privacy,” O’Reilly & Associ-ates,

Inc., 1995. ] :

1. Privacy / Confidentiality

2. Integrity

3. Authentication

4. Availability

5. Access Control

6. Non-repudiation

Andi Dwi Riyanto, M.Kom

Defenisi : menjaga informasi dari orang yang tidak berhakmengakses.

Privacy : lebih kearah data-data yang sifatnya privat , Contoh : e-mail seorang pemakai (user) tidakboleh dibaca oleh administrator.

Confidentiality : berhubungan dengan data yang diberikan kepihak lain untuk keperluan tertentu dan hanyadiperbolehkan untuk keperluan tertentutersebut.

Contoh : data-data yang sifatnya pribadi (seperti nama, tempat tanggal lahir, social security number, agama, status perkawinan, penyakit yang pernah diderita, nomor kartu kredit, dansebagainya) harus dapat diproteksi dalampenggunaan dan penyebarannya.

Bentuk Serangan : usaha penyadapan (dengan program sniffer).

Usaha-usaha yang dapat dilakukan untuk meningkatkan privacy dan confidentiality adalah dengan menggunakan teknologikriptografi.

Andi Dwi Riyanto, M.Kom

Defenisi : informasi tidak boleh diubah

tanpa seijin pemilik informasi.

Contoh : e-mail di intercept di tengah

jalan, diubah isinya, kemudian

diteruskan ke alamat yang dituju.

Bentuk serangan : Adanya virus, trojan

horse, atau pemakai lain yang mengubah

informasi tanpa ijin, “man in the middle

attack” dimana seseorang menempatkan diri

di tengah pembicaraan dan menyamar

sebagai orang lain.

Andi Dwi Riyanto, M.Kom

Defenisi : metoda untuk menyatakan bahwainformasi betul-betul asli, atauorang yang mengakses ataumemberikan informasi adalah betul-betul orang yang dimaksud.

Dukungan : Adanya Tools membuktikan keaslian dokumen, dapat

dilakukan dengan teknologi watermarking(untukmenjaga “intellectual property”, yaitu denganmenandai dokumen atau hasil karya dengan “tandatangan” pembuat ) dan digital signature.

Access control, yaitu berkaitan dengan pembatasanorang yang dapat mengakses informasi. User harusmenggunakan password, biometric (ciri-ciri khasorang), dan sejenisnya.

Andi Dwi Riyanto, M.Kom

Defenisi : berhubungan dengan ketersediaan

informasi ketika dibutuhkan.

Contoh hambatan :

“denial of service attack” (DoS attack), dimana

server dikirimi permintaan (biasanya palsu) yang

bertubi-tubi atau permintaan yang diluar perkiraan

sehingga tidak dapat melayani permintaan lain atau

bahkan sampai down, hang, crash.

mailbomb, dimana seorang pemakai dikirimi e-mail

bertubi-tubi (katakan ribuan e-mail) dengan ukuran

yang besar sehingga sang pemakai tidak dapat

membuka e-mailnya atau kesulitan mengakses e-

mailnya.

Andi Dwi Riyanto, M.Kom

Defenisi : cara pengaturan akses kepada

informasi.

Berhubungan dengan masalah :

authentication dan juga privacy

Metode : menggunakan kombinasi

userid/password atau dengan

menggunakan mekanisme lain.

Andi Dwi Riyanto, M.Kom

Defenisi : Aspek ini menjaga agar seseorang

tidak dapat menyangkal telah

melakukan sebuah transaksi.

Dukungan bagi electronic

commerce.

Andi Dwi Riyanto, M.Kom

Menurut W. Stallings [William Stallings, “Network and Internetwork Security,” Prentice Hall, 1995.] serangan (attack) terdiri dari :

1. Interruption: Perangkat sistem menjadi rusak atau tidak tersedia. Serangan ditujukan kepada ketersediaan (availability) dari sistem. Contoh serangan adalah “denial of service attack”. (DoS Attacks, Network Fooding)

2. Interception: Pihak yang tidak berwenang berhasil mengakses asset atau informasi. Contoh dari serangan ini adalah penyadapan(wiretapping). (Sniffing)

3. Modification: Pihak yang tidak berwenang tidak saja berhasilmengakses, akan tetapi dapat juga mengubah (tamper) aset. Contohdari serangan ini antara lain adalah mengubah isi dari web site denganpesan-pesan yang merugikan pemilik web site. (Virus, Trojan)

4. Fabrication: Pihak yang tidak berwenang menyisipkan objek palsu kedalam sistem. Contoh dari serangan jenis ini adalah memasukkanpesan-pesan palsu seperti e-mail palsu ke dalam jaringan komputer.

Andi Dwi Riyanto, M.Kom

1988 Keamanan sistem mail sendmail dieksploitasi oleh Robert

Tapan Morris sehingga melumpuhkan sistem Internet. Kegiatan

ini dapat diklasifikasikan sebagai “denial of service attack”.

Diperkirakan biaya yang digunakan untuk memperbaiki dan hal-hal lain yang hilang

adalah sekitar $100 juta. Di tahun 1990 Morris

dihukum (convicted) dan hanya didenda $10.000.

10 Maret 1997 Seorang hacker dari berhasil mematikan sistem telekomunikasi di sebuah airport local

( ) sehingga mematikan komunikasi di control tower dan menghalau pesawat yang

hendak mendarat.

Dia juga mengacaukan sistem telepon di Rutland, Massachusetts.

http://www.news.com/News/Item/Textonly/0,25,20278,00.html?pfv

1990 Kevin Poulsen mengambil alih system komputer telekomunikasi di untuk

memenangkan kuis di sebuah radio local.

1995 Kevin Mitnick, mencuri 20.000 nomor kartu kredit, menyalin system operasi DEC

secara illegal dan mengambil alih hubungan telpon di New York dan California.

1995 Vladimir Levin membobol bank-bank di kawasan Wallstreet, mengambil uang sebesar

$10 juta.

2000 Fabian Clone menjebol situs aetna.co.id dan mail dan membuat directory atas namanya

berisi peringatan terhadap administrator situs tersebut.

2000 Beberapa web site sudah dijebol dan daftarnya (beserta

contoh halaman yang sudah dijebol) dapat dilihat di koleksi

<http://www.2600.com>

2000 Wenas, membuat server sebuah ISP di singapura down

Andi Dwi Riyanto, M.Kom

Secara umum melalui tahapan-tahapan

sebagai berikut :

1. Tahap mencari tahu system komputer

sasaran.

2. Tahap penyusupan

3. Tahap penjelajahan

4. Tahap keluar dan menghilangkan

jejak.

Andi Dwi Riyanto, M.Kom

1. Mencegah hilangnya data

2. Mencegah masuknya penyusup

Andi Dwi Riyanto, M.Kom

1. Lapisan Fisik

2. Keamanan lokal

3. Keamanan Root

4. Keamanan File dan system file

5. Keamanan Password dan Enkripsi

6. Keamanan Kernel

7. Keamanan Jaringan

Andi Dwi Riyanto, M.Kom

Andi Dwi Riyanto, M.Kom