Keamanan Sistem Informasi

Oleh: Puji HartonoVersi: 2014

Modul 1Pengantar Keamanan Sistem Informasi

Overview

1. Mengapa banyak insiden?

2. Statistik insiden keamanan di Indonesia

3. Contoh kasus insiden keamanan

4. Motif serangan

5. Strategi pengamanan

6. Tujuan pengamanan

7. Jenis-jenis serangan

8. Istilah-istilah penting

Mengapa banyak insiden? (1)

1. Pengembangan teknologi lebih berorientasi pada "Easy to use"● Makin mudah penggunaan makin tidak aman→

● Makin banyak fungsinya makin tidak aman→

Mengapa banyak insiden? (2)

2. Berkembangnya aplikasi berbasis jaringan komputer/internet (Web based, web service dll)

Mengapa banyak insiden? (3)

3. Berkembangnya environment infrastruktur jaringan komputer

Mengapa banyak insiden? (4)

4. Makin canggihnya teknik-teknik serangan

5. Semakin lama, untuk melakukan serangan tidak musti ahli

Mengapa banyak insiden? (5)

6. Bertambahnya pengguna dengan motivasi yang berbeda-beda

Mengapa banyak insiden? (6)

7. Meningkatnya kompleksitas pada software, hardware, manajemen

http://en.wikipedia.org/wiki/Source_lines_of_code

Mengapa banyak insiden? (7)

8. Trend jumlah vulnerability dan insiden bertambah sangat pesat

Statistik Insiden di ID (1)

Rata-rata jumlah serangan=116 ribu perhari

Statistik Insiden di ID (2)

Serangan dengan severity high sebanyak 82%

Statistik Insiden di ID (3)

Jenis serangan SQL mencapai 83%

Contoh kasus insiden (1)

Contoh kasus insiden (2)

Contoh kasus insiden (3)

Contoh kasus insiden (4)

Contoh kasus insiden (5)

Contoh kasus insiden (6)

Motif serangan

1. Politis

2. Finansial

3. Dendam (sakit hati)

4. Iseng

5. Sebagai pekerjaan (cracker bayaran)

6. Dll

Strategi Pengamanan (1)

Preventive Detective Corrective Deterrent Recovery Compensative

Lapisan strategi pengamanan sistem

Avoid undeserable events from occuring

Identify undesirable events that have occured

Correct undesirable events that have occured

Discourage security violations

Restore resource and capabilities

Provide alternatives to other controls

Strategi Pengamanan (2)

Strategi Pengamanan (3)

Tujuan pengamanan sistem (1)

Tujuan utama, terjaminnya ...

1. Confidentiality (privacy)

Informasi (data) hanya bisa diakses oleh pihak yang memiliki wewenang.

2. Integrity

Informasi hanya dapat diubah/dihapus oleh pihak yang memiliki wewenang

3. Availability

Informasi tersedia untuk pihak yang memiliki wewenang ketika dibutuhkan

Tujuan pengamanan sistem (2)

Tujuan pelengkap ….

4. Authenticity

Pihak yang terlibat dengan pertukaran informasi dapat diidentifikasi dengan benar dan ada jaminan bahwa identitas yang didapat tidak palsu.

5. Non-repudiation

Pengirim maupun penerima informasi tidak dapat menyangkal pengiriman dan penerimaan pesan.

Jenis-jenis serangan (1)

1. Trasminsi normal● Informasi terkirim secara aman● Terpenuhi seluruh layanan

keamanan

2. Interupsi● Asset dirusak/tidak tersedia/tidak

dapat dipakai● Serangan terhadap availability● Contoh: sabotase, DOS attack

Jenis-jenis serangan (2)

3. Intersepsi● Pihak yang tidak berhak, mendapatkan

akses ke asset● Serangan thd confidentiality● Contoh: Sniffing/penyadapan dnegan

mengcapture data di jaringan

4. Modifikasi● Tidak hanya mendapatkan asset,

bahkan memodifikasi● Serangan terhadap integrity● Contoh: Mengubah data atau pesan

Jenis-jenis serangan (3)

5. Fabrikasi● Memasukkan objek ke sistem● Serangan pada autentifikasi● Contoh:

➔ Menambahkan catatan pada sebuah file

➔ Memasukkan pesan

Istilah-istilah (1)

● Hacker vs Cracker● White Hat vs Black Hat

● White Hat bermotifasi +● Black Har bermotifasi -

“Hacker yang membuat dan mengembangkan sistem. Cracker tidak tahu kecuali cara merusaknya” (Eric Raymon)

Istilah-istilah (2)

● Bug

Kesalahan koding pada sistem

● Vulnerable

Kelemahan/cacat pada sistem● Security hole

Lubang keamanan yang disebabkan oleh vulnerability● Exploit

Tools atau mekanisme untuk melakukan serangan dengan memanfaatkan vulnerability dan security hole

Istilah-istilah (3)

● Penetration Testing

Teknik/mekanisme untuk menguji kemanan sistem dengan cara melakukan serangan ke sistem tersebut