SISTEM KEAMANAN & TEKNOLOGI INFORMASI

WEB SYSTEM

Muhamad Daniel Rivai

CARA KERJA WEB SERVER

Secara sederhana tugas web server ialah menerima permintaan yang berasal

dari klien kemudian mengirimkannya kembali dalam bentuk berkas kepada si

klien tersebut. Perangkat lunak pada web server terdapat di komputer server

dimana merupakan tempat menyimpan data-data website. Disamping itu,

komputer server membutuhkan akses internet agar tetap terhubung sehingga

dapat diakses oleh klien.

FUNGSI WEB SERVER

Menerima permintaan dari klien dan mengirimkan kembali file yang

diminta oleh klien tersebut melalui protocol tertentu.

Biasanya merupakan komponen-komponen dari halaman web,

seperti :

• Teks

•Gambar

• Audio

• Video

• Dokumen, dsb

KLIEN DAN SERVER

Komputer yang terhubung ke web dinamakan Klien dan server. Diagram sederhana

dari cara mereka berinteraksi seperti berikut:

• Klien merupakan pengguna web yang terhubung dengan internet di perangkatmereka (contohnya, komputer anda terhubung dengan Wi-Fi, atau handphone

terhubung dengan jaringan mobile) dan software untuk mengakses web tersedia di

perangkat tersebut (biasanya web browser seperti Firefox atau Chrome).

• Server adalah komputer yang menyimpan halaman web, situs, atau aplikasi web. Ketika perangkat klien ingin mengakses halaman web, salinan dari halaman web

diunduh dari server ke mesin klien untuk ditempilkan di browser pengguna.

KOMPONEN LAIN DARI WEB SYSTEM

• Koneksi internet : Memungkinkan anda mengirim dan menerimadata dari web.

• TCP/IP : (Transmission Control Protocol dan Internet Protocol) merupakan protokol komunikasi yang menjelaskan bagaimana data

harus berjalan di web.

• DNS : (Domain Name System) seperti halnya buku alamat untukwebsite. Ketika anda menuliskan alamat web di browser, browser

melihat DNS sebelum mengambil halaman web di website. Browser

perlu mencari tahu di server mana website berada, sehingga bisa

mengirimkan pesan HTTP ke tempat yang benar.

KOMPONEN LAIN DARI WEB SYSTEM (LANJ)

•HTTP : (Hypertext Transfer Protocol) merupakan protoKolaplikasi yang menjelaskan bahasa untuk klien dan server

untuk saling berkomunikasi.

•Komponen file: Sebuah website dibuat dari banyak file. File ini di bagi menjadi dua jenis:

• Berkas kode: Website dibuat dari HTML, CSS, dan JavaScript,

• Aset: Merupakan sekumpulan nama untuk bahan pembuatwebsite, seperti gambar, musik, video, dokumen, dan PDF.

WHAT HAPPEN IN THERE….

Ketika anda menuliskan alamat web di browser :

1. Browser menuju ke DNS server dan mencari alamat server yang sebenarnyadimana website berada.

2. Browser mengirim pesan HTTP request ke server meminta salinan dariwebsite untuk di kirim ke klien. Pesan ini, dan semua data dikirim diantara

klien dan server, di kirim melalui koneksi internet menggunakan TCP/IP.

3. Server menyetujui permintaan klien, server mengirip pesan "200 OK", yang maksudnya "Tentu anda bisa melihat website tersebut! ini dia", dan

kemudian mulai mengirim file website ke browser sebagai bagian-bagian

kecil yang disebut data paket.

4. Browser menggabungkan bagian-bagian halaman web menjadi sebuahhalaman web sempurna dan menampilkannya untuk anda.

PENJELASAN DNS

Alamat web sebenarnya tidak seperti yang kita tuliskan di browser, untaian yang

kamu tuliskan di address bar merupakan untaian dari angka seperti ini:

63.245.217.105.

Ini disebut alamat IP, dan ini mewakili lokasi dari web. Akan tetapi, akan sulit untuk

mengingat, itulah mengapa Domain Name System server dibuat. Ini adalah server

spesial yang mencocokkan alamat yang kamu tulis di web browser (seperti

"mozilla.org") ke alamat (IP) address website yang sebenarnya.

Website dapat di jangkau secara langsung melalui IP addresses. Coba buka website

Mozilla website dengan menuliskan 63.245.217.105 ke address bar.

PENJELASAN PAKET

Sebelumnya kita menggunakan istilah "paket" untuk menjelaskan

format dimana data yang dikirim dari server ke klien. Pada

dasarnya data dikirim melalui web, dikirim sebagai ribuan

bagian kecil, sehingga pengguna web yang berbeda dapat

mengunduh website yang sama dalam waktu yang sama. Jika

situs web mengirim sebuah bagian yang besar, hanya satu

pengguna yang dapat mengunduh dalam waktu tertentu,

dimana akan membuat web sangat tidak efisien dan tidak

menyenangkan untuk digunakan.

ANCAMAN PADA WEB SERVER

Web server seringkali merupakan host yang paling

banyak menjadi sasaran dan diserang di lingkup

jaringan suatu organisasi. Akibatnya, mengamankan

web server dan infrastruktur jaringan yang

mendukungnya merupakan hal yang perlu dilakukan.

ANCAMAN PADA WEB SERVER (LANJ)

1. Entitas malicious dapat mengeksploitasi bug perangkat

lunak dalam web server, sistem operasi web server, atau

active content untuk memperoleh akses ilegal ke dalam web

server.

2. Serangan Denial of Service (DoS) yang diarahkan pada

Web server atau infrastruktur jaringan pendukungnya,

sehingga dapat menolak atau menghalangi para pengguna

sah yang akan memanfaatkan layanannya.

3. Informasi sensitif pada web server yang memungkinkan

untuk dibaca atau dimodifikasi tanpa otorisasi.

ANCAMAN PADA WEB SERVER (LANJ)

4. Informasi sensitif di database penyangga yang digunakan untuk

mendukung elemen interaktif dari suatu aplikasi web memungkinkan

untuk dibobol melalui serangan command injection, misalnya injeksi

Structured Query Language [SQL], injeksi Lightweight Directory Access

Protocol [LDAP], cross-site scripting [XSS].

5. Informasi sensitif yang ditransmisikan tanpa dienkripsi antara web

server dan browser yang dapat disadap dan terbaca dengan jelas.

6. Informasi pada web server yang dapat diubah untuk tujuan jahat.

Defacement (penggantian tampilan) situs web merupakan contoh yang

umumnya dilaporkan untuk ancaman ini.

ANCAMAN PADA WEB SERVER (LANJ)

7. Entitas malicious yang berhasil mendapatkan akses ilegal terhadap

sumber daya di tempat lain dalam jaringan organisasi melalui suatu

serangan terhadap web server.

8. Entitas malicious yang menyerang organisasi internal setelah membobol

suatu host web server. Serangan tersebut dapat dilancarkan secara

langsung, misalnya dari host yang bobol terhadap suatu server internal

atau secara tidak langsung misalnya dengan menempatkan konten malicious

pada web server yang bobol yang berusaha mengeksploitasi kerawanan

dalam browser web dari para pengguna yang mengunjungi situs tersebut.

9. Server yang dapat digunakan sebagai suatu titik distribusi perangkat

serangan, pornografi, atau lunak yang dicopy secara ilegal.

SERANGAN TAK LANGSUNG

1. Phishing, dimana para penyerang menggunakan social engineering

(rekayasa sosial) untuk memperdaya para pengguna agar melakukan

logging ke suatu situs palsu.

2. Pharming, dimana server DNS atau file host para pengguna

dibobol sehingga para pengguna diarahkan ke suatu situs malicious

pengganti situs yang sah.

TAHAPAN PENGELOLAAN KEAMANAN WEB SERVER

1. Kebijakan Kemananan Sistem Informasi Organisasi ― Suatu kebijakankeamanan harus mespesifikasikan prinsip dan aturan-aturan dasar

keamanan sistem informasi dan tujuan internal yang diharapkan. Kebijakan

juga harus menegaskan siapa dalam organisasi yang bertanggung jawab

untuk setiap tahap keamanan informasi (misalnya implementasi,

pemberlakuan, audit, dan review). Supaya efektif, kebijakan harus

diberlakukan secara konsisten diseluruh organisasi.

2. Konfigurasi/Kontrol Perubahan dan Manajemen ― Proses pengendalianmodifikasi terhadap suatu sistem desain, perangkat keras, firmware, dan

perangkat lunak menyediakan jaminan yang cukup bahwa sistem dilindungi

terhadap kemungkinan modifikasi yang tidak sesuai sebelum, selama dan

sesudah implementasi sistem.

TAHAPAN PENGELOLAAN KEAMANAN WEB SERVER (LANJ)

3. Pengkajian dan Manajemen Resiko ― Pengkajian terhadap resikomerupakan proses analisa dan interprestasi resiko yang berkaitan dengan

penentuan jangkauan proses dan metodologi, pengumpulan dan analisa

data terkait resiko, dan mereprestasikan hasil analisis resiko. Pengumpulan

dan analisis data resiko membutuhkan identifikasi aset, ancaman,

kerawanan, penjagaan, konsekuensi, dan peluang suatu serangan dapat

berhasil.

4. Konfigurasi yang Distandarkan ― Organisasi harus mengembangkankonfigurasi pengamanan yang distandarkan untuk penggunaan OS dan

aplikasi secara luas. Ini akan memberikan rekomendasi untuk para

administrator web server dan jaringan dalam hal bagaimana

mengkonfigurasi sistem secara aman dan memastikan konsistensi dan

kepatuhan terhadap kebijakan keamanan organisasi.

TAHAPAN PENGELOLAAN KEAMANAN WEB SERVER (LANJ)

5. Praktek-praktek Pemrograman yang Aman ― Organisasi harusmengadopsi pedoman pengembangan aplikasi terbaik terutama dari

segi keamanan untuk memastikan bahwa mereka mengembangkan

aplikasi web mereka dengan suatu cara yang aman.

6. Kesadaran dan Pelatihan Keamanan ― Suatu program pelatihankeamanan merupakan hal penting untuk keseluruhan personil

keamanan informasi di suatu organisasi. Membuat para pengguna

dan administrator sadar akan tanggung jawab keamanan mereka

dan mengajarkan praktek yang tepat membantu mereka merubah

tingkah-laku mereka untuk menyesuaikan diri dengan praktek

terbaik.

TAHAPAN PENGELOLAAN KEAMANAN WEB SERVER (LANJ)

7. Contingency, Kontinuitas Operasi, dan Perencanaan Pemulihan dari

Bencana — Rencana contingency, kontinuitas rencana operasi, dan

rencana pemulihan dari bencana dibuat terlebih dahulu supaya jika

terjadi gangguan, organisasi dapat mengatasinya dengan minimum

down time dan cepat kembali beroperasi secara normal.

8. Sertifikasi dan Akreditasi — Sertifikasi dalam konteks keamanan

sistem informasi berarti bahwa suatu sistem telah dianalisis untuk

menentukan seberapa baik sistem tersebut memenuhi semua

persyaratan keamanan organisasi. Akreditasi muncul ketika

manajemen organisasi menyatakan bahwa sistem tersebut memenuhi

persyaratan keamanan organisasi.

MENJAGA KEAMANAN WEB SERVER

1. Nonaktifkan layanan : Matikan semua layanan yang tidak dipakai &

nonaktifkan.

2. Amankan akses secara remote : Menggunakan koneksi VPN atau

protokol terenkripsi (SSH), atau dengan membatasi IP.

3. Server eksperimen vs. server produksi : Gunakan server web berbeda

untuk kepentingan pengembangan dan untuk kepentingan produksi.

4. Tetapkan hak akses : Menetapkan hak akses bagi akun tertentu yg

menjalankan layanan tertentu, dan Membatasi akses anonymous user

yg mengakses web server, aneka file aplikasi web, serta database.

MENJAGA KEAMANAN WEB SERVER (LANJ)

5. Pasang patch secara teratur : Aktivitas hacking bisa terjadi karenapara penjahat memanfaatkan lubang dari software yang belum

diperbarui.

6. Pantau dan periksa server : Memantau semua log aktivitas jaringan, akses ke web server, database server,dan sistem operasi. Waspada

terhadap aktivitas mencurigakan.

7. Hapus akun user yg tidak terpakai : Menonaktifkan akun penggunayang tidak terpakai.

8. Hapus modul server yg tidak dipakai : Menonaktifkan aneka modulyang tidak dipakai, biasanya merupakan modul default saat web

server dipasang.

MENJAGA KEAMANAN WEB SERVER (LANJ)

7. Gunakan perkakas sekuriti : Menggunakan perkakas yang membantuadministrator mengamankan dan meminimalisir risiko sekuriti web

server.

8. Gunakan scanner untuk memeriksa port terbuka : Memasang toolsuntuk melakukan pemeriksaan terhadap keamanan port dalam server.

9. Gunakan layanan content delivery network (CDN) : CDN “menyerap” serangan DDoS via penyebaran serangan ke berbagai mesin yg

berada dalam jaringannya.

10.Ikuti berita terbaru : Mengikuti aneka informasi dan berita untukmengetahui perkembangan terbaru tentang tools pengaman yg

tersedia atau aneka potensi serangan terbaru.