10/5/2010

1

Pertemuan#1 (Keamanan Komputer)

Asep Ramdhani M

� Resiko dalam berkomputer (computing)

� Tujuan dari Komputasi yang Aman : kerahasiaan

(confidentiality), integritas (integrity),

ketersediaan (availability)

� Ancaman terhadap keamanan dalam komputasi:

penangkapan (interception), gangguan

(interruption), modifikasi (modification), fabrikasi

(fabrication)

� Kontrol yang tersedia untuk mengatasi ancaman

ini: enkripsi, kontrol programming, sistem

operasi, kontrol jaringan, kontrol administratif,

hukum, dan etika

10/5/2010

2

� Keamanan komputer adalah bagaimana mencegah

user lain yang tidak mempunyai hak terhadap

sistem komputer kita dapat mengakses objek-

objek yang ada di dalam sistem tersebut.

� Objek-objek tersebut dapat berupa perangkat

lunak maupun perangkat keras. Objek yang

bersifat perangkat lunak misalnya data, sistem

operasi, aplikasi, dan lain-lain. Sedangkan objek

perangkat keras misalnya komputer itu sendiri dan

bagian-bagiannya.

Karakteristik Bank Melindungi Uang Orang melindungi Informasi

Ukuran dan portabilitas

Bank menyimpan uang yang besar, berat, sama sekali tidak portabel. Bangunan memerlukan penjaga, kubah, banyak tingkat keamanan fisik untuk melindungi uang.

Orang menyimpan aset berharga yang sangat kecil dan portabel. Perangkat fisik komputer bisa begitu kecil sehingga barang dengan ribuan dollar yg dpt melakukan komputasi dapat dng nyaman disimpan dlm sebuah tas

Kemampuan untuk menghindari kontak fisik

Sulit. Ketika bank berurusan dengan mata uang fisik, seorang penjahat harus secara fisik mengambil uang dan membawanya pergi dari tempat bank

Sederhana. Jika informasi ini ditangani secara elektronik, tidak ada kontak fisik yang diperlukan. Memang, ketika bank menangani uang elektronik, hampir semua transaksi dapat dilakukan tanpa kontak fisik. Uang dapat ditransfer melalui komputer, surat, atau telepon.

Nilai dari Asset Sangat tinggi Variabel, dari yang sangat tinggi sampai ke sangat rendah. Beberapa informasi, seperti riwayat kesehatan, pembayaran pajak, investasi, atau latar belakang pendidikan, adalah rahasia. Informasi lain, tentang pergerakan pasukan, strategi penjualan, pola pembelian, bisa sangat sensitif. Namun informasi lain, seperti alamat dan nomor telepon, mungkin tidak ada konsekuensinya dan mudah diakses dengan cara lain.

10/5/2010

3

� Ketika Anda menguji sistem komputer apapun,salah satu pekerjaan anda adalahmembayangkan bagaimana sistem bisaberfungsi. Kemudian, Anda meningkatkan desainsistem sehingga sistem dapat menahan setiapmasalah yang telah Anda identifikasi.

� Dengan cara yang sama, kami menganalisissebuah sistem dari perspektif keamanan,memikirkan cara-cara di mana sistem keamanandan kerusakan dapat mengurangi nilai asetnya.

� Sebuah sistem berbasis komputer memiliki tiga komponen yangterpisah namun berharga: perangkat keras, perangkat lunak, dandata. Masing-masing menawarkan nilai aset ke berbagai penggunayg dipengaruhi oleh sistem.

� Untuk menganalisis keamanan, kita dapat bertukar pikiran tentangcara-cara di mana sistem atau informasi yang dapat mengalamisemacam kehilangan atau kerugian.

� Sebagai contoh, kita dapat mengidentifikasi data dgn format atau isiyang harus dilindungi dalam beberapa cara. Kami ingin sistemkeamanan dapat memastikan bahwa tidak ada data yangdiungkapkan kepada pihak-pihak yang tidak berwenang. Juga tidakingin data yang akan diubah dalam cara-cara tidak sah. Pada saatyang sama, kita harus memastikan bahwa pengguna yang sahmemiliki akses ke data. Dengan cara ini, kita dapat mengidentifikasikelemahan dalam sistem.

10/5/2010

4

�Adalah kelemahan dalam sistem keamanan,misalnya, dalam prosedur, desain, atauimplementasi, yang mungkin bisadieksploitasi untuk menimbulkan kerugianatau kerusakan.

�Misalnya, sebuah sistem tertentu mungkinrentan terhadap manipulasi data yang tidaksah karena sistem tidak memverifikasiidentitas pengguna sebelum mengizinkanakses data

� Ancaman bagi sebuah sistem komputasi adalah seperangkat keadaan yang memiliki potensi untuk menimbulkan kerugian atau kerusakan.

� Untuk melihat perbedaan antara ancaman dan kerentanan, pertimbangkan ilustrasi pada Gambar 1-1.

Terdapat dinding yang menahan air. Air disebelah kiri dinding adalah ancaman bagilaki-laki di sebelah kanan dinding: Air bisanaik, meluap ke laki-laki, atau dapat jugatinggal di bawah dinding tinggi,menyebabkan dinding runtuh. Jadiancaman adalah potensi kerugian bagipria untuk mendapatkan basah, terluka,atau tenggelam. Untuk saat ini, dindingmasih utuh, sehingga ancaman terhadapmanusia adalah belum direalisasi

10/5/2010

5

� Seseorang yang melakukan eksploitasi

serangan kerentanan terhadap sistem.

� Serangan juga dapat dilakukan dengan sistem

lain, seperti ketika satu sistem mengirimkan

serangkaian intruksi secara massal, hampir

mematikan kemampuan sistem kedua untuk

berfungsi. Jenis serangan ini sering dikenal

sebagai Denial of service.

� Bagaimana kita mengatasi masalah-masalah ini? digunakan

kontrol sebagai ukuran perlindungan. sebuah kontrol adalah

tindakan, perangkat, prosedur, atau teknik yang menghapus atau

mengurangi kerentanan.

� Pada Gambar 1-1, pria menempatkan jarinya ke dalam lubang,

mengendalikan ancaman kebocoran air hingga ia menemukan

solusi yang lebih permanen untuk masalah tsb. Secara umum, kita

dapat menggambarkan hubungan antara ancaman, kontrol, dan

kerentanan dengan cara :

Threat diblokir oleh kontrol dari kerentanan (vulnerability)

10/5/2010

6

� Sebuah interception berarti bahwa beberapapihak yang tidak sah telah memperoleh akses kesebuah aset.

� Pihak luar dapat menjadi orang, sebuahprogram, atau sebuah sistem komputasi.

� Contoh dari jenis ini adalah menyalin secarailegal program atau file data, atau penyadapanuntuk memperoleh data dalam jaringan.Meskipun kerugian dapat ditemukan cukupcepat, si pencegat mungkin tidak meninggalkanjejak, di mana cegatan dapat segera terdeteksi.

10/5/2010

7

�Dalam sebuah gangguan, aset dari sistemmenjadi hilang, tidak tersedia, atau tidakdapat digunakan.

�Contohnya adalah penghancuranberbahaya dari sebuah perangkat keras,penghapusan dari sebuah program ataufile data, atau kerusakan sistem operasimanajer file sehingga tidak dapatmenemukan file disk tertentu.

� Jika pihak yang tidak berwenang tidak hanyamengakses tapi bisa mengubah aset, ancaman jenisini adalah sebuah modifikasi.

� Sebagai contoh, seseorang mungkin mengubah nilai-nilai dalam sebuah database, mengubah programagar melakukan perhitungan tambahan, ataumemodifikasi data yang dikirim secara elektronik.Bahkan dimungkinkan untuk memodifikasiperangkat keras. Modifikasi beberapa kasus dapatdideteksi dengan langkah-langkah sederhana, tetapidalam hal lain, lebih halus, perubahan mungkin akanhampir mustahil untuk dideteksi.

10/5/2010

8

�Akhirnya, sebuah kegiatan yang tidak sahbisa membuat fabrikasi benda palsu padasistem komputasi. Penyusup dapatmenyisipkan transaksi palsu ke jaringansistem komunikasi atau menambahkancatatan ke database yang sudah ada.Kadang-kadang penambahan ini dapatdideteksi sebagai sesuatu yang palsu, tetapijika dilakukan dengan terampil, merekahampir tidak bisa dibedakan dari hal yangnyata.

Seorang Penyerang harus mengetahui ketiga hal ini:1. Method

Skill, Pengetahuan, Alat bantu (Tools) dan hal yang lain yang dapat dijadikan serangan.

2. Opportunitywaktu dan kesempatan untuk melakukan serangan

3. MotiveAlasan untuk melakukan serangan terhadap sistem

10/5/2010

9

1. Confidentiality

Proteksi terhadap data yang ditransmisikan dariserangan. Di dalamnya juga termasuk proteksiterhadap analisa lalu lintas transmisi data.

2. Authentication

Meyakinkan bahwa pesan yang dikirim maupunditerima adalah pesan yang asli dan belumdimodifikasi oleh pihak ketiga. Layanan haruslahdiyakinkan akan tidak adanya campur tangan pihakketiga di dalam suatu sistem transmisi data.

3. Integrity

Meyakinkan bahwa pesan yang diterima tidakdirubah, diduplikasi, diubah urutannya oleh pihakketiga. Layanan ini juga melindungi adanyaperusakan terhadap pesan yang dikirimkan..

4. Non Repudiation

Menjaga agar baik pengirim pesan maupunpenerima pesan tidak dapat menolak bahwa iatelah mengirim atau menerima pesan sehinggadapat diyakinkan bahwa pesan tersebut dikirimdan diterima oleh pihak yang benar.

10/5/2010

10

3. Access Control

Kemampuan untuk membatasi dan mengontrolakses ke dalam sistem dan aplikasi melalui jalurkomunikasi.

4. Availability

Menjaga ketersediaan akan sumber informasi yangdibutuhkan oleh client. Berbagai macam serangandapat mengurangi ketersediaan, misalnya Denial ofService dapat menghabiskan resource sistemsehingga sistem tidak dapat melayani permintaanclient

Adalah sebuah mekanisme yang didesain untuk

mendeteksi, mencegah atau menanggulangi

adanya serangan terhadap sistem jaringan

komputer. Yang perlu diperhatikan adalah bahwa

tidak ada mekanisme tunggal yang dapat

mencegah berbagai serangan. Sebuah sistem

membutuhkan berbagai macam mekanisme

yang berbeda-beda sesuai dengan kebutuhan

agar aman dari serangan.

10/5/2010

11