Keamanan Sistem Informasi
Oleh: Puji HartonoVersi: 2014
Modul 1Pengantar Keamanan Sistem Informasi
Overview
1. Mengapa banyak insiden?
2. Statistik insiden keamanan di Indonesia
3. Contoh kasus insiden keamanan
4. Motif serangan
5. Strategi pengamanan
6. Tujuan pengamanan
7. Jenis-jenis serangan
8. Istilah-istilah penting
Mengapa banyak insiden? (1)
1. Pengembangan teknologi lebih berorientasi pada "Easy to use"● Makin mudah penggunaan makin tidak aman→
● Makin banyak fungsinya makin tidak aman→
Mengapa banyak insiden? (2)
2. Berkembangnya aplikasi berbasis jaringan komputer/internet (Web based, web service dll)
Mengapa banyak insiden? (3)
3. Berkembangnya environment infrastruktur jaringan komputer
Mengapa banyak insiden? (4)
4. Makin canggihnya teknik-teknik serangan
5. Semakin lama, untuk melakukan serangan tidak musti ahli
Mengapa banyak insiden? (5)
6. Bertambahnya pengguna dengan motivasi yang berbeda-beda
Mengapa banyak insiden? (6)
7. Meningkatnya kompleksitas pada software, hardware, manajemen
http://en.wikipedia.org/wiki/Source_lines_of_code
Mengapa banyak insiden? (7)
8. Trend jumlah vulnerability dan insiden bertambah sangat pesat
Statistik Insiden di ID (1)
Rata-rata jumlah serangan=116 ribu perhari
Statistik Insiden di ID (2)
Serangan dengan severity high sebanyak 82%
Statistik Insiden di ID (3)
Jenis serangan SQL mencapai 83%
Contoh kasus insiden (1)
Contoh kasus insiden (2)
Contoh kasus insiden (3)
Contoh kasus insiden (4)
Contoh kasus insiden (5)
Contoh kasus insiden (6)
Motif serangan
1. Politis
2. Finansial
3. Dendam (sakit hati)
4. Iseng
5. Sebagai pekerjaan (cracker bayaran)
6. Dll
Strategi Pengamanan (1)
Preventive Detective Corrective Deterrent Recovery Compensative
Lapisan strategi pengamanan sistem
Avoid undeserable events from occuring
Identify undesirable events that have occured
Correct undesirable events that have occured
Discourage security violations
Restore resource and capabilities
Provide alternatives to other controls
Strategi Pengamanan (2)
Strategi Pengamanan (3)
Tujuan pengamanan sistem (1)
Tujuan utama, terjaminnya ...
1. Confidentiality (privacy)
Informasi (data) hanya bisa diakses oleh pihak yang memiliki wewenang.
2. Integrity
Informasi hanya dapat diubah/dihapus oleh pihak yang memiliki wewenang
3. Availability
Informasi tersedia untuk pihak yang memiliki wewenang ketika dibutuhkan
Tujuan pengamanan sistem (2)
Tujuan pelengkap ….
4. Authenticity
Pihak yang terlibat dengan pertukaran informasi dapat diidentifikasi dengan benar dan ada jaminan bahwa identitas yang didapat tidak palsu.
5. Non-repudiation
Pengirim maupun penerima informasi tidak dapat menyangkal pengiriman dan penerimaan pesan.
Jenis-jenis serangan (1)
1. Trasminsi normal● Informasi terkirim secara aman● Terpenuhi seluruh layanan
keamanan
2. Interupsi● Asset dirusak/tidak tersedia/tidak
dapat dipakai● Serangan terhadap availability● Contoh: sabotase, DOS attack
Jenis-jenis serangan (2)
3. Intersepsi● Pihak yang tidak berhak, mendapatkan
akses ke asset● Serangan thd confidentiality● Contoh: Sniffing/penyadapan dnegan
mengcapture data di jaringan
4. Modifikasi● Tidak hanya mendapatkan asset,
bahkan memodifikasi● Serangan terhadap integrity● Contoh: Mengubah data atau pesan
Jenis-jenis serangan (3)
5. Fabrikasi● Memasukkan objek ke sistem● Serangan pada autentifikasi● Contoh:
➔ Menambahkan catatan pada sebuah file
➔ Memasukkan pesan
Istilah-istilah (1)
● Hacker vs Cracker● White Hat vs Black Hat
● White Hat bermotifasi +● Black Har bermotifasi -
“Hacker yang membuat dan mengembangkan sistem. Cracker tidak tahu kecuali cara merusaknya” (Eric Raymon)
Istilah-istilah (2)
● Bug
Kesalahan koding pada sistem
● Vulnerable
Kelemahan/cacat pada sistem● Security hole
Lubang keamanan yang disebabkan oleh vulnerability● Exploit
Tools atau mekanisme untuk melakukan serangan dengan memanfaatkan vulnerability dan security hole
Istilah-istilah (3)
● Penetration Testing
Teknik/mekanisme untuk menguji kemanan sistem dengan cara melakukan serangan ke sistem tersebut