Ethical Hacking STMIK AMIKOM YOGYAKARTA 2012 / 2013

Latar belakang •  Mengerti pentingnya keamanan •  Pengenalan ethical hacking dan pentingnya

mengenal terminologi yang dapat terjadi. •  Mengetahui macam alur fase yang

terkandung dalam exploit hacking. •  Ethical hacking vs penetration testing. •  Menggambarkan tentang macam attack

(serangan) dan exploit (eksplotasi).

Mengapa keamanan? •  Evolution of technology focused on ease of use.

–  Kenyamanan berbanding terbalik dengan keamanan. •  Increasing complexity of computer infrastructure

administration and management. –  perlunya pengamanan yang lebih profesional.

•  Decreasing skill level needed for exploits. –  Semakin rendahnya kebutuhan skill dalam exploit.

Menunjukan makin banyaknya tool exploit dan makin mudahnya orang untuk melakukan exploit.

Mengapa keamanan? •  Direct impact of security breach on corporate asset

base and goodwill. –  Akibat penerobosan keamanan akan berakibat pada

aset dan barang berharga perusahaan. •  Increased networked environment and network

based applications. –  Meningkatnya lingkungan network dan aplikasi

network, maka meningkatkan resiko keamanan dan banyaknya celah keamanan.

Segitiga: keamanan, fungsionalitas dan kenyamanan pengguna •  Jumlah exploit akan menurun sebanding

dengan merendahnya tingkat kelemahan. •  Fungsionalitas sistem makin minim. •  Semakin mendekati tingkat keamanan maka

makin jauh dari fungsionalitas dan kenyamanan pengguna.

Keamanan

fungsionalitas Kenyamanan

pengguna

Hacking menjadi Ethical •  Hacker : orang yang belajar detil tentang

sistem komputer dan terus mengasah kemampuannya.

•  Hacking : proses pengembangan cepat dari program baru atau reverse engineering dari software yang sudah ada untuk membuat kode lebih baik dan efisien, atau upaya untuk menerobos sistem jaringan tanpa bermaksud untuk melakukan perusakan.

Hacking menjadi Ethical •  Cracker : orang yang menggunakan

kemapuan hackingnya untuk tujuan menyerang dan melakukan pengrusakan.

•  Ethical hacker : profesional pengaman yang menerapkan kemampuan hacking untuk tujuan bertahan. – An Auditor need to thinking out of the box. – Security Planner/Consultant must know the

needs of the institution

Hacking menjadi Ethical •  Ethical hacking didefinisikan sebagai metodologi

yang diadopsi oleh ethical hacker untuk menemukan vulnerability (celah keamanan) dalam lingkungan sistem operasi dan sumber (tempat) informasi.

•  Ethical hacking biasanya menggunakan tools dan teknik seperti penyerang kriminal (cracker), tetapi tidak merusak target sistem atau mencuri informasi melainkan merawat integritas dan kerahasiaan sistem.

Hacking menjadi Ethical •  Keamanan tanggung jawab semua pengguna

sistem. •  Sebagai ethical hacker harus dapat berpikir

selangkah kedepan dari cracker.

Essential terminology •  Threat : aksi atau peristiwa yang bersentuhan

kuat dengan keamanan. Sebuah pelanggaran berpotensi terhadap keamanan sebagai indikasi kejadian yang tidak diharapkan. –  Indikasi sebuah peristiwa potensial yang tidak

diinginkan. –  Rangkaian keadaan atau peristiwa yang

memperbolehkan orang atau lainnya untuk menyebabkan kerusakan informasi dari produk IT dengan konsep exploiting vulnerability.

–  Intention (inteligent, individual cracker, criminal organization) atau accidental (computer malfuctioning, natural disaster)

Essential terminology •  Vulnerability : adanya kelemahan, error desain

atau implementasi yang dapat menghantarkan pada peristiwa tidak diinginkan yang berhubungan dengan keamanan sistem. –  Kelemahan keamanan pada target yang dievaluasi

(gagal analisis, desain, implementasi dan operasi) –  Kelemahan informasi pada sistem atau komponen yang

dapat diexploit untuk menghasilkan informasi merusak. –  peristiwa yang tidak diinginkan dan tidak diharapkan

pada sistem, network, aplikasi atau yang berhubungan dengan protokol.

Essential terminology •  Perbedaan mendasar threat dan vulnerabilty

yaitu bahwa tidak semua threat hasil penyerangan dan tidak semua penyerangan berhasil.

•  Keberhasilan penyerangan bergantung pada derajat vulnerability, kekuatan si penyerangan dan keefektifan tools yang digunakan si penyerang.

Klasifikasi penyerangan •  Active attack : modifikasi sistem target. Active

attack berpengaruh terhadap keberadaan, kesempurnaan dan keaslian dari sistem.

•  Passive attack : merusak kerahasiaan tanpa berpengaruh terhadap keadaan sistem.

•  Perbedaannya yaitu active attack mencoba mengubah sumberdaya sistem atau berakibat pada operasi yang diserang, sedangkan passive attack mempelajari atau memakai informasi dari sistem tanpa berakibat pada sumberdaya sistem yang diserang.

Kategori penyerangan •  Inside attack : penyerangan yang dikenali

sebagai entitas dari dalam perimeter keamanan. Entitas yang diperbolehkan untuk mengakses sumberdaya sistem tetapi menggunakannya diluar hak yang diperbolehkan. (asal serangan dari dalam jaringan)

•  Outside attack : penyerangan yang dikenali dari luar perimeter keamanan. Entitas yang tidak diperbolehkan atau dilarang akses oleh sistem. (asal serangan dari luar jaringan)

Essential terminology •  Target of evaluation : sistem IT, produk atau

komponen yang merupakan identifikasi dalam evaluasi keamanan.

•  Attack : adalah sebuah aksi/usaha untuk menerobos keamanan (dengan pengetahuan/teknik-teknik cerdas).

•  Exploit : didefinisikan sebagai cara untuk melanggar/menembus keamanan sistem IT melalui keadaan vulnerability.

Elemen keamanan •  Keamanan adalah keadaan yang baik bagi

informasi dan infrastuktur. •  Kemungkinan kecil suksesnya pencurian yang

tidak terdeteksi, perusakan dan gangguan pada informasi dan pelayanan.

•  Bila masih terjadi, keadaan tersebut masih dapat di toleransi.

•  Setiap peristiwa keamanan akan berdampak pada elemen keamanan.

Elemen keamanan •  Confidentiality : menyembunyikan informasi dan

sumberdaya. •  Authenticity : identifikasi dan penjaminan dari

keaslian informasi. •  Integrity : tingkat kepercayaan data atau

sumberdaya dari sebuah perubahan yang tidak tepat dan tidak layak.

•  Availability : kemampuan untuk menggunakan informasi dan sumberdaya.

Proses hacker •  Reconnaissance (pengintaian) •  Scanning (mengamati dengan teliti). •  Gaining access (mendapatkan akses). •  Maintaining access (mempertahankan akses). •  Covering tracks (menutupi jejak)

Proses hacker •  Reconnaissance

– Dalam fase ini penyerang mencari informasi tentang target dengan secara active atau passive.

•  Scanning – Dalam fase ini penyerang memulai memeriksa

target dengan sangat teliti untuk mencari vulnerability yang dapat di exploit.

Proses hacker •  Gaining access

– Jika vulnerability di temukan, maka penyerang berusaha exploit ke dalam sistem untuk mendapatkan hak akses.

•  Maintaining access – Sekali penyerang mendapatkan akses maka

akan mengembangkan hak aksesnya untuk memenuhi tujuannya masuk ke dalam sistem.

•  Covering access – Menghapus jejak sehingga tidak terdeteksi

atau terkena penalti dalam kriminal

Reconnaissance •  Fase persiapan dimana penyerang berusaha

mencari sebanyak mungkin informasi tentang target yang akan di evaluasi sebelum memulai penyerangan. Termasuk external atau internal scanning.

•  Pencarian dapat menggunakan internet untuk mencari informasi seperti informasi pegawai, partner bisnis, teknologi yang dipakai dan berbagai pengetahuan bisnis yang penting.

Reconnaissance •  Sosial engineering, yaitu: orang yang memiliki

kebiasaan berbicara dengan orang lain dengan baik sehingga dapat membuka informasi dari orang lain tersebut, seperti: daftar nomer telp, password hingga informasi yang sensitif.

•  Dumpstar diving, yaitu: proses untuk melihat ke dalam sampah sebuah organisasi atau perusahaan untuk mencari informasi sensitif yang terbuang.

Reconnaissance •  Passive reconnaissance, yaitu mencakup

monitoring terhadap jaringan data untuk mencari pola ataupun petunjuk. – Sniffing, information gathering, network

monitoring. •  Active reconnaissance, yaitu mencakup

pemeriksaan jaringan untuk pendeteksian. – Akses host jaringan. – Port yang terbuka. –  Lokasi router. – Detil OS dan servisnya.

Scanning •  Scanning menunjuk pada fase pre-attack

dengan pengamatan jaringan sesuai informasi spesifik yang didapat dari reconnaissance.

•  Resiko “high” •  Scanning termasuk diantaranya port scanner,

network mapping, sweeping, vulnerability scanner dan sebagainya.

Gaining access •  Merupakan fase attack yang sesungguhnya

yaitu fase hacker mengexploit sistem target. •  Exploit dapat terjadi pada jaringan LAN,

internet, offline sebagai bagian penipuan dan pencurian.

•  Diantaranya yaitu dengan buffer over flow, denial of service, session hijacking, password filtering dan sebagainya.

Gaining access •  Faktor yang mempengaruhi keberhasilan:

arsitektur jaringan (topologi), konfigurasi sistem dari target, level skill hacker dan level akses yang didapat.

•  Resiko “highest”

Maintaining access •  Menunjuk pada fase dimana hacker berusaha

mempertahankan “kepemilikan” sistem yang didapat.

•  Hacker berhasil meng-exploit vulnerability dan dapat masuk ke dalam sistem.

•  Hacker mempertahankan sistem dari hacker yang lain dengan mengamankan aksesnya, yaitu dengan backdoor, rootkits, trojans dan trojan horse backdoors.

•  Hacker dapat meng upload, download hingga manipulasi data / aplikasi / konfigurasi dari sistem yang “dimiliki”.

Covering tracks •  Menunjuk pada aktifitas yang dilakukan oleh

hacker untuk memperluas penyalahgunaan sistem tanpa terdeteksi.

•  Alasan diantaranya untuk memperpanjang keberadaan hacker, melanjutkan penggunaan sumberdaya, menghilangkan bukti hacking, menjadi aksi legal dan sebagainya.

Covering tracks •  Diantaranya steganography

(menyembunyikan data dalam file gambar atau suara), tunneling (menggunakan tranmisi sebuah protokol ke protokol lain), altering log files dan sebagainya.

•  Hacker dapat mengingat jalur panjang yang dilalui tanpa terdeteksi dan menggunakan fase tersebut terhadap target lain yang berkorelasi.

•  steganography

Clasifikasi hacker •  Black hats

–  Individu dengan kemampuan komputer luar biasa, mengambil jalur untuk aktifitas yang melanggar dan merusak dengan tujuan ilegal dan jahat.

– Biasa disebut juga “cracker”. – Kategori ini banyak berhubungan dengan

aktifitas kriminal dan dicari penegak hukum.

Clasifikasi hacker •  White hats

–  Individu berprofesi untuk memiliki kemampuan hacker dan menggunakannya untuk tujuan pertahanan.

– Biasa disebut juga “security analyst”. – Kategori ini biasanya sebagai analis

keamanan yang memiliki pengetahuan tindakan balasan terhadap proses hacking.

Clasifikasi hacker •  Gray hats

–  Individu yang bekerja di dua posisi yaitu menyerang dan bertahan dalam berbagai waktu tertentu.

– Memiliki keyakinan “siapa yang dapat masuk membuka informasi, maka ia memiliki hak / kebijaksanaan atas informasi tersebut”.

Clasifikasi ethical hacker •  Former black hat (ex. cracker)

– Reformasi dari cracker menjadi defender. – Kemampuan mengamankan sesuai dengan

pengalaman. – Terkadang masih kurang kredibilitas, (setelah

memasuki informasi yang sensitif, sering membuka akses bagi yang lain, sehingga berakibat resiko pada perusahaan).

– Masih kurang kehati-hatian.

Clasifikasi ethical hacker •  White hats

–  Independent security consultant baik perseorangan atau grup.

– Memiliki pengetahuan tentang segala aktifitas black hat.

– Efisien dalam gathering information (sharing info) seperti black hat.

Clasifikasi ethical hacker •  Consulting firm

– Bagian sebuah firma ICT sebagai third party untuk evaluasi keamanan.

– Memiliki kemampuan dan kredibiliatas yang bagus.

– Bertindak selayaknya konsultan yang profesional.

Tiga fase testing keamanan •  Preparation : fase formal dengan membuat

pertanyaan-pertanyaan seperti: “informasi apa yang dilindungi perusahaan, dari siapa, berapa biaya yang dianggarkan, sehingga akan dapat dibuat rencana yang sesuai.

•  Fase ini juga membuat kesepakatan evaluasi oleh ethical hacking untuk proses penyingkapan informasi sehingga tidak ada penuntutan atas proses tersebut serta membuat kontrak tentang aktifitas evaluasi, jadwal dan sumber daya yang ada.

Tiga fase testing keamanan •  Conduct : fase ini melakukan metode-

metode ethical hacking, yaitu: analisis vulnerability dan tes menerobos sistem (penetration) baik dari internet maupun dari intranet (jaringan internal).

•  Mencari sebanyak mungkin vulnerability yang dapat terjadi pada target.

Tiga fase testing keamanan •  Conclusion : fase ini memberikan

rekomendasi-rekomendasi dan meng-komunikasikan perusahaan/client dengan saran-saran dan aksi yang harus dilakukan berdasarkan hasil evaluasi keamanan.

•  Kemungkinan vulnerability informasi dan data.

Mode ethical hacking •  Remote network : mode ini mensimulasikan

serangan penyusup yang melakukan penyerangan melalui internet.

•  Pertahanan utama yang perlu diperhatikan yaitu batasan firewalls, filtering dalam router, Access List, dsb.

Mode ethical hacking •  Remote dial-up network : mode ini

mencoba mensimulasikan serangan penyusup dengan melakukan penyerangan melalui alat-alat komunikasi dalam atau luar perusahaan/client (seperti: modem/hp, dll).

•  Target yaitu segala alat dial-up seperti: HP, PBX units, fax machines dan central sound mail server (sound adapter server).

•  Pertahanan yang perlu di perhatikan pada skema autentifikasi pengguna.

Mode ethical hacking •  Local network : mode ini mensimulasikan

seorang pegawai dengan akses legal mencari akses yang bukan otoritasnya melalui jaringan lokal.

•  Pertahanan yang perlu diperhatikan, yaitu: firewalls intranet, server web internal dan tindakan keamanan server.

Mode ethical hacking •  Stolen equipment : mode ini

mensimulasikan mencurian terhadap data/informasi penting, seperti: pencurian laptop pemilik perusahaan/client yang di evaluasi, kemudian menggunakan data penting di dalamnya untuk akses ke server oleh sang pencuri (memanfaatkan cache memory PC).

•  Pertahanan yang perlu diperhatikan bagaimana menjaga asset penting.

Mode ethical hacking •  Social engineering : mode ini mengecek

integritas dan mawas diri pegawai perusahaan terhadap informasi penting milik perusahaan dan milik dirinya sendiri.

•  Pertahanan yang perlu diperhatikan yaitu kesadaran akan arti pentingnya keamanan dan perlunya peningkatan keamanan.

Mode ethical hacking •  Physical entry : mode ini mencoba tes

penyerangan terhadap fisik infrastuktur ICT perusahaan/client yang di evaluasi.

•  Pertahanan yang perlu diperhatikan, yaitu: pada kekuatan kebijakan keamanan (security policy), petugas keamanan, ruangan kontrol akses dan monitoring serta kesiagaan keamanan (tindakan) bila ada penyusupan/serangan.

TUGAS •  Mencari informasi tentang kelemahan sistem

keamanan: 1. fisik, 2. infrastruktur, 3. sistem, 4. SDM, 5. pelayanan (service) yang ada di lingkungan STMIK AMIKOM YOGYAKARTA. Boleh salah satu atausemuanya

•  Tugas perorangan dikumpulkan dalam bentuk paper A4 (print) Minggu depan, dan Kirim dalam bentuk email (attachment: file .doc) ke melwin@dosen.pro sebelum tgl 10 Desember 2012.