KEAMANAN KOMPUTER DAN JARINGAN
KEAMANAN
KOMPUTER DAN JARINGAN
A.
Ruang Lingkup Keamanan komputer dan
jaringan
Ruang Lingkup Security (Keamananan)
Sistem Komputer
Lingkup keamanan merupakan
sisi-sisi dari jangkauan keamanan komputer yang dapat dilakukan. Lingkup
keamanan terdiri atas :
1.
Pengamanan Secara Fisik
Contoh
pengamanan secara fisik yang dapat dilakukan yaitu : wujud komputer yang
dapat di lihat dan diraba seperti : monitor, CPU, keyboard .
Menempatkan sistem komputer di lokasi atau tempat yang dapat dengan mudah
diawasi serta di kendalikan, di tempatkan pada ruangan tertentu yang
dapat dikunci dan juga sulit untuk dijangkau oleh orang lain
sehingga tidak akan ada komponen yang hilang. Disamping itu , dengan menjaga
kebersihan dalam ruangan, hindari ruangan yang panas berdebu, kotor danjuga
lembab,Ruangan haruslah tetap dingin jika perlu ber AC akan tetapi tidak
lembab
2.
Pengamanan Akses
Pengamanan
akses yang dapat di lakukan untuk PC yang menggunakan sebuah sistem operasi,
lagging atau penguncian dan sistem operasi jaringan. Tujuannya agar dapat
mengantisipasi kejadian yang sifatnya terjadi secara disengaja ataupun tidak
disengaja, seperti keteledoran pengguna yang kerap kali dapat meninggalkan
komputer dalam keadaan yang masih menyala atau hidup dan
apabila berada dalam jaringan komputer yang masih berada dalam
keadaan logon user . dalam komputer jaringan pengamanan komputer
merupakan tanggungjawab dari administrator yang dapat mengendalikan serta
mendokumentasikan seluruh akses terhadap sistem komputer tersebut dengan baik.
3.
Pengamanan Data
Pengamanan data dapat di lakukan
dengan menerapkan sistem tingkatan atau hierarki akses yangmana seseorang hanya
dapat mengakses data tertentu saja yang merupakan menjadi haknya. Bagi
data yang sifatnya sangat sensitif dapat menggunakan password atau kata
sandi.
4.
Pengamanan Komunikasi Jaringan
Pengamanan komunikasi jaringan dapat
di lakukan dengan cara menggunakan kriptografi yangmana data yang sifat
nya sensitif di enkripsi atau di sandikan terlebih dahulu sebelum di
transmisikan melalui jaringan tersebut.
5.
Aspek Dan Ancaman Terhadap Security
Adapun aspek dan ancaman terhadap security diantaranya
yaitu:
a)
Privacy
Privacy
adalah sesuatu yang sifat nya rahasia atau private. Intinya adalah suatu
pencegahan supaya informasi tersebut tidak dapat di akses oleh orang yang tidak
di kenal atau tidak berhak. Contohnya adalah, e – mail atau file-file lain yang
tidak boleh di baca orang lain meskipun ia adalah administrator.
6.
Confidentiality
Confidentiality
adalah data yang di berikan kepada pihak lain dengan tujuan khusus namun
tetap dijaga penyebarannya. Contohnya adalah, data yang bersifat pribadi
seperti : Nama, Alamat, No KTP, Telpon dan lain sebagainya.
7.
Integrity
9.
Availability
B.
Otentifikasi
Pemakai
Rata
rata proteksi pada system operasi komputer didasarkan pada asumsi dari system
untuk mengetahui identitas pengguna. Masalah identifikasi pengguna biasanya
terjadi Ketika user atau pengguna menggunakan fasilitas login, hal tersebut
disebut dengan istilah otentifikasi pengguna (user authentication). Kebanyakan
metode otentifikasi didasarkan pada tiga cara, yaitu:
•
Sesuatu yang diketahui pemakai.
Misalnya, password, kombinasi kunci, nama kecil ibu kandung dsb.
•
Sesuatu yang dimiliki pemakai.
Misalnya badge, kartu identitas, kunci dsb.
•
Sesuatu tentang pemakai.
Misalnya, sidik jari, sidik suara, foto, tanda tangan.
a) Password
Pemakai
memilih satu kata kode, mengingatnya, dan mengetikkan saat akan mengakses
sistem komputer. Saat diketikkan, komputer tidak menampilkan dilayar. Teknik
ini mempunyai kelemahan yang sangat banyak dan mudah ditembus. Pemakai
cenderung memilih password yang mudah diingat. Seseorang yang kenal dengan
pemakai dapat mencoba login dengan sesuatu yang diketahuinya mengenai pemakai
(Prasojo & Riyanto 2011).
Proteksi
password dapat ditembus dengan mudah, antara lain (Prasojo & Riyanto 2011):
a) Terdapat
file berisi nama depan, nama belakang, nama jalan, nama kota, dari kamus ukuran
sedang disertai dengan pengejaan dibalik, nomor plat mobil yang valid dan
string-string pendek karakter acak.
b) Isian di file dicocokkan dengan file password.
Upaya untuk lebih mengamankan proteksi password,
antara lain (Prasojo & Riyanto 2011):
1. Salting,
menambahkan string pendek ke string sebuah password yang diberikan pemakai
sehingga mencapai panjang password tertentu.
2. One
time password. Pemakai harus mengganti password secara teratur. Upaya ini membatasi
peluang password telah diketahui atau dicoba-coba pemakai lain. Bentuk ekstrim
pendekatan ini adalah one time password, yaitu pemakai mendapat satu buku
berisi daftar password. Setiap kali pemakai login, pemakai menggunakan password
berikutnya yang terdapat didaftar password. Dengan one time password, pemakai
direpotkan keharusan menjaga agar buku password- nya jangan sampai dicuri.
3. Satu
daftar panjang pertanyaan dan jawaban. Variasi terhadap password adalah
mengharuskan pemakai memberi satu daftar pertanyaan panjang dan jawabannya.
Pertanyaan-pertanyaan dan jawaban dipilih pemakai sehingga pemakai mudah
mengingatnya dan tak perlu menuliskan dikertas. Pada saat login, komputer
memilih salah satu dari pertanyaan pertanyaan secara acak, menanyakan ke pemakai
dan memeriksa jawaban yang diberikan.
4. Tantangan
tanggapan (chalenge response). Pemakai diberi kebebasan memilih suatu
algoritma, misalnya X3, ketika pemakai login, komputer menuliskan dilayar angka
3. Dalam kasus ini, pemakai mengetik angka 27. Algoritma dapat berbeda di pagi,
sore, dan hari berbeda, dari terminal berbeda, dan seterusnya.
b) Pembatasan
Pembatasan-pembatasan
dapat dilakukan sehingga memperkecil peluang penembusan oleh pemakai yang tak
diotoritasi, misalnya (Prasojo & Riyanto 2011) :
1) Pembatasan
login. Misalnya, login hanya diperbolehkan:
a) Pada
terminal tertentu.
b) Hanya
ada waktu dan hari tertentu.
2) Pembatasan
dengan call-back. Login dapat dilakukan siapapun. Bila telah sukses login,
sistem segera memutuskan koneksi dan memanggil nomor telepon yang telah
disepakati. Penyusup tidak dapat menghubungi lewat sembarang saluran telepon,
tetapi hanya pada saluran telepon tertentu.
3) Pembatasan
jumlah usaha login. Login dibatasi sampai tiga kali dan segera dikunci dan
diberitahu ke administrator. Semua login direkam dan sistem operasi melaporkan
informasi-informasi berikut:
a) Waktu
pemakai login
b) Terminal
di mana pemakai login.
Cara Otentifikasi
Sesuatu yang diketahui pemakai, misalnya password,
kombinasi kunci, nama kecil ibu mertua, dll. Untuk password, pemakai memilih
suatu kode, mengingatnya dan mengetikannya saat akan mengakses system komputer,
saat diketikkan tidak akan terlihat dilaya kecuali misalnya tanda “*”. Tetapi
banyak kelemahan dan mudah ditembus karena pemakai cenderung memilih password
yang mudah diingat, misalnya nama kecil, nama panggilan, tanggal lahir, dll.
C.
Mekanisme Proteksi Sistem Komputer
Generasi Keempat (Pasca 1980an) Dewasa
ini, sistem operasi dipergunakan untuk jaringan komputer dimana pemakai
menyadari keberadaan komputer-komputer yang saling terhubung satu sama lainnya.
Pada masa ini para pengguna juga telah dinyamankan dengan Graphical User
Interface yaitu antar-muka komputer yang berbasis grafis yang sangat nyaman,
pada masa ini juga dimulai era komputasi tersebar dimana komputasi-komputasi
tidak lagi berpusat di satu titik, tetapi dipecah dibanyak komputer sehingga
tercapai kinerja yang lebih baik.Generasi Keempat (Pasca 1980an) Dewasa ini,
sistem operasi dipergunakan untuk jaringan komputer dimana pemakai menyadari
keberadaan komputer-komputer yang saling terhubung satu sama lainnya. Pada masa
ini para pengguna juga telah dinyamankan dengan Graphical User Interface yaitu
antar-muka komputer yang berbasis grafis yang sangat nyaman, pada masa ini juga
dimulai era komputasi tersebar dimana komputasi-komputasi tidak lagi berpusat
di satu titik, tetapi dipecah dibanyak komputer sehingga tercapai kinerja yang
lebih baik.
a)
Mekanisme Proteksi Sistem Komputer
Pada sistem komputer banyak objek yang perlu diproteksi
yaitu:
perangkat keras Objek yang perlu diproteksi, antara lain
: Pemroses, Segment memori, Terminal, Disk drive, Printer, dan sebagainya.
perangkat lunak.
Objek yang perlu diproteksi, antara lain : Proses, File, Basis data,Semaphore,
dan sebagainya.
·
Matriks Pengaksesan Objek
Masalah proteksi adalah mengenai cara
mencegah proses-proses mengakses objek-objek yang tidak diotorisasi. Mekanisme
ini juga harus memungkinkan membatasi proses-proses ke suatu subset
operasi-operasi legal yang diperlukan. Misalnya proses A dapat membaca file F,
tapi tidak menulisinya. Agar dapat menyediakan mekanisme proteksi berbeda
dikembangkan berdasar konsep domain. Domain adalah himpunan pasangan (hak,
objek). Tiap pasangan menspesifikasikan objek dan suatu subset operasi yang
dapat dilakukan terhadapnya. Hak dalam konteks ini berarti ijin melakukan suatu
operasi.
Proses berjalan pada suatu domain
proteksi, yaitu proses merupakan anggota suatudomain atau beberapa domain.
Terdapat kumpulan objek yang dapat diakses proses. Untuk tiap objek, proses
mempunyai suatu kumpulan hak terhadap objek itu. Proses-proses dapatjuga
beralih dari satu domain ke domain lain selama eksekusi. Aturan peralihan
domain ini bergantung pada sistem. Domain ditetapkan dengan mendaftarkan
pemakai-pemakai yang termasuk domain itu.
Proses-proses yang dijalankan pemakai
adalah proses-proses pada domain itu dan mempunyai hak akses terhadap objek
seperti ditentukan domainnya.
Cara penyimpanan informasi anggota
domain, secara konseptual adalah berupa satu matriks besar, dimana :
a)
Baris menunjukkan domain.
b)
Kolom menunjukkan objek.
Tiap elemen matriks mendaftar hak-hak
yang dimiliki domain terhadap objek. Dengan matriks ini, sistem dapat
mengetahui hak pengaksesan terhadap objek. Gambar berikut menunjukkan matriks pengaksesan
objek. Gambar berikut menunjukkan matriks pengaksesan objek.
Gambar diatas menunjukkan matriks
pengaksesan objek dengan operasi pengalihan domain. Proses-proses pada domain 1
dapat berpindah ke domain 2 dan proses pada domain 2 dapat berpindah ke domain
1.
·
ACL(Acces Control List)
Matriks pengaksesan objek akan
berbentuk matrik jarang (sparse matrix). Matrik jarang memboroskan ruang
penyimpanan dan lambat karena memerlukan ruang besar. Dua alternatif untuk
memperbaikinya adalah :
a)
Menyimpan matriks sebagai perbaris
b)
Menyimpan matriks sebagai perkolom
c)
Penyimpanan dilakukan hanya untuk isian yang tak kosong.
d)
Teknik Penyimpanan Per Kolom
e)
Teknik yang digunakan adalah mengasosiasikan tiap objek
dengan senarai terurut berisi semua domain yang boleh mengakses dan
operasi-operasi yang dibolehkan (bagaimana).
f)
Teknik ini menghasilkan senarai disebut ACL. Contoh:
Tiap ACL yang disebutkan di kurung
menyatakan komponen uid (user ID), gid (group ID) dan hak akses. Dengan ACL,
dimungkinkan mencegah uid, gid spesifik mengakses objek sementara mengijinkan
yang lain. Pemilik objek dapat mengubah ACL kapanpun.Cara ini untuk mempermudah
pencegahan/pelarangan pengaksesan yang sebelumnya diperbolehkan. Penyimpanan
dilakukan hanya untuk isian yang tak kosong.
·
Kapabilitas
Cara lain adalah memecah matrik
perbaris. Diasosiasikan tiap proses satu daftar objek yang boleh diakses, bila
terdapat tanda operasi yang diijinkan padanya atau domainnya. Senarai ini
disebut senarai kapabilitas (capabilities list). Contoh:
D.
Program
Program Jahat
Ancaman
canggih terhadap sistem komputer adalah program yang mengeksploitasi kelemahan
sistem komputasi.
Klasifikasi
program jahat :
1)
Bacteria
2)
Logic bomb
3)
Trapdoor
4)
Trojan horse
5)
Virus
6)
Worm
7)
Spam
8)
Spyware
1. Bacteria
Program yang mengkonsumsi sumber daya
sistem dengan mereplikasi dirinya sendiri. Secara eksplisit tidak merusak file.
Tujuan program ini hanya mereplikasi dirinya. Bacteria bereproduksi secara
eksponensial, dengan cepat mengambil alih seluruh kapasitas pemroses, memori /
ruang disk, mengakibatkan penolakan pengaksesan pemakai ke sumber daya.
2. Logic
bomb logik yang ditempelkan pada program komputer agar memeriksa suatu kumpulan
kondisi di sistem. Ketika kondisi yang dimaksud ditemui (misal:tgl tertentu,
pemakai menjalankan aplikasi tertentu, dll) logik mengeksekusi suatu fungsi
yang menghasilkan aksi-aksi tak diotorisasi, misal : mengubah/menghapus data,
mesin berhenti, dll.
3. Trapdoor
Titik masuk tak terdokumentasi rahasia di satu program untuk memberikan akses
tanpa metode-metode otentifikasi normal. Trapdoor telah dipakai secara benar
selama bertahun tahun oleh pemrogram untuk mencari kesalahan program debugging
dan testing : dilakukan pemogram saat mengembangkan aplikasi. Menjadi ancaman
ketika digunakan pemrogram jahat untuk memperoleh pengaksesan tak diotorisasi. contoh
: untuk dapat mengakses file-file pemakai lain pada sistem yang dipakai
bersama, ketika program dieksekusi akan mengubah ijin-ijin file sehingga
file-file dapat dibaca oleh sembarang pemakai. Motivasi lain dari trojan horse
adalah pengancuran data, misal ditempelkan pada program kalkulator. Ketika
pemakai menggunakan kalkulator, secara diam-diam subprogram tersebut menghapus
file-file pemakai. Trojan horse biasanya ditempelkan pada programprogram/
subropgram yang diambil dari internet.
4. Virus
Virus adalah kode yang ditempelkan dalam satu program yang menyebabkan
pengkopian dirinya disisipkan ke satu program lain atau lebih. Program
‘menginfeksi’ program-program lain dengan memodifikasi program-program itu.
5. Worm
Worm adalah sejenis program yang bisa mengcopy dan mengirim dirinya via jalur komunikasi
jaringan Internet. Umumnya menyerang melalu celah/lubang keamanan OS komputer. Worm
mampu mengirim paket data secara terus menerus ke situs tertentu via jalur
koneksi LAN/Internet. Efeknya membuat trafik jaringan penuh, memperlambat
koneksi dan membuat lambat/hang komputer pengguna. Worm bisa menyebar melalui
email atau file dokumen tertentu
6. Spam
Spam adalah sejenis komersial email yang menjadi sampah mail (junkmail). Para
spammer dapat mengirim jutaan email via internet untuk kepentingan promosi
produk/info tertentu. Efeknya sangat mengganggu kenyamanan email pengguna dan
berpotensi juga membawa virus/worm/Trojan
7. Spyware
Spyware adalah suatu program dengan tujuan menyusupi iklan tertentu (adware)
atau mengambil informasi penting di komputer pengguna. Spyware berpotensi
menggangu kenyamanan pengguna dan mencuri data-data tertentu di komputer
pengguna untuk dikirim ke hacker. Efek spyware akan menkonsumsi memory komputer
sehingga komputer menjadi lambat atau hang
Virus Dan Anti Virus
Virus
adalah sama dengan program komputer lainnya. Perbedaan dengan program lain
adalah virus dapat mencantolkan dirinya k e program lain dan mengeksekusi
kodenya secara rahasia setiap kali program inang berjalan. Masalah yang
ditimbulkan virus adalah virus sering merusak sistem komputer seperti menghapus
file, partisi disk, atau mengacaukan program.
Siklus
hidup virus, yaitu:
1. Fase
tidur (dormant phase) Virus dalam keadaan menganggur, tiba-tiba aktif pada saat
tertentu. Misal tanggal tertentu, kehadiran program / file tertentu, kapasitas
disk yang melewati batas/batas tertentu. Tidak semua virus mempunyai tahap ini.
2. Fase
propagasi (propagation phase) Virus menempatkan kopian dirinya ke program lain
atau daerah sistem tertentu di disk. Program yang terinfeksi virus akan
mempunyai kloning virus. Kloning virus itu dapat kembali memasuki fase
propagasi.
3. Fase
pemicuan (triggering phase) Virus diaktifkan untuk melakukan fungsi yang
dimaksud. Seperti pada fase tidur, fase pemicuan disebabkan beragam kejadian
termasuk penghitungan jumlah kopian dirinya. 4. Fase eksekusi (execution phase)
Virus menjalankan fungsinya, misal menjalankan pesan, merusak program, dll
Tipe virus
1.
Paristic virus Tipe ini mencantolkan
dirinya ke berkas yang berekstension exe. Virus mereplikasikan ketika program
yang terinfeksi dieksekusi dengan mencari berkas-berkas exe lain untuk
diinfeksi.
2.
Memory resident virus „ Virus memuatkan
diri ke memori utama sebagai bagian program yang menetap. Dengan cara ini,
virus menginfeksi setiap program yang dieksekusi.
3.
Boot sector virus Virus menginfeksi
master boot record / boot sector dan menyebar saar sistem di-boot dari disk
yang berisi virus tersebut.
4.
Stealth virus Virus yang bentuknya telah
dirancang agar dapat menyembunyikan diri dari deteksi perangkat lunak anti
virus.
5.
Polymorphic virus Virus bermutasi setiap
kali melakukan infeksi. Deteksi dengan “penandaan” virus tersebut tidak
dimungkinkan
Antivirus
Solusi
ideal terhadap ancaman virus adalah pencegahan. Setelah pencegahan terhadap masuknya
virus untuk pertama kali, maka pendekatan berikutnya yang dapat dilakukan
adalah
1. Deteksi
: begitu infeksi telah terjadi, tentukan bahwa infeksi memang telah terjadi dan
cari lokasi virus
2. Identifikasi
: begitu virus terdeteksi maka identifikasi virus yang menginfeksi program.
3. Penghilangan
: setelah virus teridentifikasi maka hilangkan semua jejak virus dari program
yang terinfeksi dan program dikembalikan seperti semula. Jika deteksi sukses
dilakukan, tapi identifikasi atau penghilangan tidak dapat dilakukan, maka
alternatif yang dilakukan adalah hapus program yang terinfeksi dan kopi kembali
backup program yang masih bersih.
E.
Perangkat
Lunak Keamanan Sistem
Ada tiga faktor utama yang disebut sebagai tujuan atau
aspek dari keamanan, yaitu Confidentiality, Integrity, dan Availability. Mereka
sering disebut CIA berdasarkan singkatan dari huruf depan mereka. Selain ketiga
hal di atas, yang juga dapat disebut sebagai core security concepts, ada general
security concepts lainnya seperti non-repudiation, authentication, authorization,
access control, dan auditing.
1. Confidentiality
Confidentiality
atau kerahasian menyatakan bahwa data tidak dapat diakses oleh orang yang tidak
berhak. Ketika orang berbicara mengenai keamanan data, faktor ini yang hadir di
dalam pikiran kita. Serangan terhadap aspek ini dilakukan dengan berbagai cara
seperti misalnya menyadap jaringan, menerobos akses dari system komputer,
sampai ke menanamkan trojan horse dan keylogger. Keylogger adalah sebuah
aplikasi atau alat yang menangkap apa-apa yang kita ketikkan di keyboard. Cara
non-teknis dapat dilakukan dengan social engineering, yaitu berpura-pura
sebagai orang yang berhak mengakses data dan meminta orang lain untuk
memberikan data tersebut.
Cara-cara
pengamanan terhadap serangan kerahasiaan antara lain adalah dengan menggunakan
kriptografi (yaitu mengubah data sehingga terlihat seperti sampah), membatasi
akses ke sistem dengan menggunakan userid dan password sehingga ini dikaitkan
juga dengan access control.
2. Integrity
Integrity
mengatakan bahwa data tidak boleh berubah tanpa ijin dari pihak yang berhak.
Serangan terhadap aspek ini dilakukan melalui serangan man in the middle
(MITM). Data transaksi ditangkap (intercepted) di tengah jalan, dimodifikasi,
dan kemudian diteruskan ke tujuan. Penerima tidak sadar bahwa data sudah
berubah dan memproses yang sudah berubah ini.
Perlindungan
terhadap serangan dapat dilakukan dengan menambahkan message digest (signature,
checksum) dalam pesan yang dikirimkan secara terpisah sehingga ketika terjadi
perubahan akan terdeteksi di sisi penerima. Banyak aplikasi atau sistem yang
belum menerapkan ini sehingga perubahan data yang tidak sah tidak diketahui.
Pencatatan
(logging) terhadap perubahan data juga harus dilakukan sebagai upaya untuk
mengetahui terjadinya serangan terhadap integritas ini. Perlu diingat bahwa
pencatatan tidak mencegah terjadinya serangan.
3. Availability
Aspek
availability menyatakan bahwa data harus tersedia ketika dibutuhkan. Pada
mulanya aspek ini tidak dimasukkan ke dalam aspek keamanan, tetapi ternyata
kegagalan berfungsinya sistem dapat mengakibatkan kerugian finansial atau
bahkan hilangnya nyawa. Serangan terhadap aspek ini adalah dengan cara membuat
sistem gagal berfungsi, misalnya dengan melakukan permintaan (request) yang
bertubi-tubi. Serangan ini disebut sebagai Denial of Service (DoS). DoS attack
ini dapat dilakukan pada jaringan dan aplikasi.
Serangan
yang dilakukan melalui jaringan dapat dilakukan secara terdistribusi, yaitu
menggunakan penyerang dalam jumlah yang banyak. Maka muncullah istilah
Distributed DoS atau DDoS attack.
Perlindungan
terhadap serangan ini dapat dilakukan dengan menggunakan sistem redundant dan
backup. Keberadaan sistem yang redundant membuat sistem menjadi lebih tahan
terhadap serangan.
4. Non-repudiation
Aspek
non-repudiation menyatakan bahwa seseorang tidak dapat menyangkal (telah
melakukan sebuah aktifitas tertentu, misalnya telah melakukan transaksi). Aspek
ini biasanya dibutuhkan untuk aplikasi yang terkait dengan transaksi. Serangan
atau masalah terhadap aspek ini dapat terjadi jika seseorang menyangkal telah
melakukan transaksi. Maka terjadilah dispute antar kedua belah pihak akan
keabsahan sebuah transaksi.
Perlindungan
terhadap serangan pada aspek ini dapat dikaitkan dengan perlindungan terhadap
serangan pada aspek integritas dan ditambahkan dengan pencatatan.
5. Manajemen
Risiko
Masalah
keamanan yang terkait dengan sistem teknologi informasi pada awalnya dianggap
sebagai masalah teknis. Hal ini menyulitkan komunikasi dengan pihak atasan (manajemen)
sehingga penanganan masalah keamanan teknologi informasi tidak mendapat
perhatian.
Pendekatan
yang lazim dilakukan adalah melihat masalah keamanan ini sebagai masalah
risiko, sehingga masalah ini dapat dilihat sebagai masalah manajemen risiko
(risk management).
Ada
beberapa metodologi untuk melakukan manajemen risiko. Salah satu panduan yang
cukup banyak digunakan adalah metodologi yang didokumentasikan di NIST SP800-30.
Manajemen risiko terdiri atas tiga hal risk assessment, risk mitigation, dan
evaluation and assessment. Manajemen risiko ini menjadi bagian dari setiap
langkah pengembangan sistem. Hal ini konsisten dengan usulan-usulan integrasi
keamanan dalam pengembangan perangkat lunak.
F. Keamanan
Dan Pengawasan
Komputer adalah barang teknologi terpenting yang
diperlukan. Hampir semua kalangan masyarakat tampaknya melihat komputer dari
wujud yang nyata, yaitu persegi dan mempunyai monitor tetapi pada dasarnya
komputer memiliki dua buah perangkat utama yakni perangkat keras dan perangkat
lunak. Dan komputer ini berisikan data-data yang tentunya harus dilengkapi
dengan suatu program keamanan agar data tersebut tidak disalahgunakan oleh
pihak lain.
Keamanan komputer merupakan perlindungan yang diberikan
pada sistem informasi otomatis untuk mencapai tujuan yang berlaku untuk menjaga
integritas, ketersediaan dan kerahasiaan sumber daya sistem informasi (termasuk
perangkat keras, perangkat lunak, firmware, informasi/data dan
telekomunikasi).
Definisi ini memperkenalkan tiga tujuan utama yang
menjadi inti dari keamanan komputer (Stllings and Bauer, 2012) :
1. Kerahasiaan
Kerahasiaan
Data: Menjamin bahwa informasi pribadi atau rahasia tidak tersedia atau diungkapkan
kepada individu yang tidak berwenang.
Privasi:
Menjamin bahwa individu mengontrol atau memengaruhi informasi yang terkait
dengan mereka yang dapat dikumpulkan dan disimpan oleh siapa dan kepada siapa
informasi tersebut dapat diungkapkan.
2. Integritas
Integritas
Data: Menjamin bahwa informasi dan program diubah hanya dengan cara yang
ditentukan dan diotorisasi.
Integritas
Sistem: Menjamin bahwa sistem melakukan fungsi yang dimaksudkan dengan cara
yang tidak terganggu, bebas dari manipulasi sistem yang disengaja ataupun
tidak.
3. Ketersediaan
Menjamin
bahwa sistem bekerja dengan segera dan layanan tidak ditolak untuk pengguna
yang berwenang.
Aspek-Aspek
Keamanan Komputer Keamanan komputer memiliki delapan aspek yang terdiri dari
(Hasibuan, 2016):
a) Authentication
yaitu
penerima informasi menentukan aslinya pesan.
Yang
masuk dari seseorang yang dimintai informasi. Istilahnya, informasi tersebut
masuk dari orang yang dikehendaki.
b) Integrity
merupakan
keotentikan sebuah pesan yang dikirim melalui jaringan dan dipastikan bahwa
informasi yang dikirim tidak diubah orang yang tidak memiliki hak akses.
c) Non-repudiation
yaitu
sesuatu yang berhubungan dengan si pengirim. Pengirim tidak dapat menghindar
bahwa dialah yang mengirim informasi itu
d) Authority
adalah
informasi yang ada pada sistem jaringan tidak dapat diubah oleh bagian yang
memiliki hak aksesnya.
e) Confidentiality
adalah
cara dalam melindungi informasi dari seseorang yang tidak memiliki hak akses.
Kerahasiaan ini berkaitan dengan informasi yang diperoleh ke pihak lain.
f) Privacy,
merupakan
sesuatu yang berkaitan dengan hal yang bersifat pribadi
g) Availability
adanya
bagian yang berkaitan dengan kecepatan informasi saat diinginkan. Sistem
informasi yang diserang atau dibobol dapat menghalangi atau menolak akses ke
informasi.
h) Access
Control
aspek
ini berkaitan dengan aturan hak akses ke informasi. Sehingga seringkali
berkaitan dengan suatu permasalahan kerahasiaan dan privasi. Maka dilakukannya
pengontrolan dalam pengaksesan dengan digunakannya penggabungan user id dan password
Id atau cara lain.
Model Penyerangan Keamanan
Penyerangan di dalam keamanan memiliki beberapa
model. Menurut Stalling (1995), model penyerangan keamanan meliputi:
a) Interruption,
yaitu perangkat sistem yang membuat rusak atau tidak ada. Serangan ini
disampaikan kepada ketersediaan (Availability) dari sistem.
b) Interception
merupakan seseorang yang tidak berhak sukses dalam masuk ke dalam aset atau
informasi.
c) Modification,
adalah seseorang yang tidak berhak tidak saja berhasil mengakses, namun dapat
melakukan perubahan aset.
d) Fabrication
yaitu seseorang yang tidak berhak melakukan penyisipan suatu objek palsu ke
dalam sistem
Macam-Macam
Pengendalian
a) Pengendalian
(control)
Adalah mekanisme yang diterapkan baik untuk
melindungi perusahaan dari resiko atau untuk meminimalkan dampak resiko
tersebut pada perusahaan jika resiko tersebut terjadi.
b) Pengendalian
Teknis
Adalah pengendalian yang menjadi satu di dalam
system dan dibuat oleh para penyususn system selama masa siklus penyusunan
system. Dilakukan melalui tiga tahap: Identifikasi Pengguna, Otentikasi
Pengguna, dan Otorisasi Pengguna.
c) Pengendalian
Kriptografis
Merupakan penggunaan kode yang menggunakan
proses-proses matematika. Meningkatkan keamanan data dengan cara menyamarkan
data dalam bentuk yang tidak dapat dibaca. Berfungsi untuk melindungi data dan
informasi yang tersimpan dan ditransmisikan, dari pengungkapan yang tidak
terotorisasi.
d) Pengendalian
Fisik
Peringatan yang pertama terhadap gangguan yang tidak
terotorisasi adalah mengunci pintu ruangan computer.Perkembangan seterusnya
menghasilkan kunci-kunci yang lebih canggih, yang dibuka dengan cetakan telapak
tangan dan cetakan suara, serta kamera pengintal dan alat penjaga keamanan.
e) Pengendalian
Formal
Pengendalian formal mencakup penentuan cara
berperilaku,dokumentasi prosedur dan praktik yang diharapkan, dan pengawasan
serta pencegahan perilaku yang berbeda dari panduan yang berlaku. Pengendalian
ini bersifat formal karena manajemen menghabiskan banyak waktu untuk
menyusunnya, mendokumentasikannya dalam bentuk tulisan, dan diharapkan untuk
berlaku dalam jangka panjang.
f) Pengendalian
Informal
Pengendalian informal mencakup program-program
pelatihan dan edukasi serta program pembangunan manajemen Pengendalian ini
ditunjukan untuk menjaga agar para karyawan perusahaan memahami serta mendukung
program keamanan tersebut.
MANAJEMEN
OPERASI KEAMANAN
Dalam pembahasan ini akan dijelasakan setidaknya
terdapat 3 hal besar yang harus dapat dipahami :
a) Control
and Protection.
Berisi pemahaman tentang pengaturan dan proteksi
dalam kegiatan operasional untuk dapat mencapai tingkat keamanan operasional
yang optimal ada bererapa hal yang harus diperhatikan diantaranya adalah
preventive control, corrective control detective control, deterrent control,
application control, transaction control dan separation and rotation of duties
lebih menekankan kepada confidenciality (kerahasiaan) dan integrity atau keutuhan
data. Semua hal di atas lebih memfokuskan juga pada prosedur pengawasan yang
optimal dalam melakukan berbagai hal mulai dari pencegahan hingga rotasi tugas
yang baik dan bila tidak dilakukan dengan benar akan menjadi ancaman dan
membuka lebar pintu keamanan.
b) Monitoring
and Auditing.
Setelah dilakukan pengaturan dan proteksi yang baik
maka tidak bisa hanya berhenti untuk bisa melakukan proteksi tetapi tetap
diperlukan monitoring and auditing untuk bisa mengetahui dan menjamin sejauh
mana keamanan yang sudah dicapai, faktor yang harus diperhatikan adalah Change
management, Escalation management, Record retention, Due dilligince, dan
Logging monitoring. Dengan melakukan hal-hal diatas yang lebih bersifat
prosedur maka pengawasan keamanan dapat lebih ditingkatkan.
c) Threat
and Vulnerabilities.
Berisi pemahaman tentang jenis ancaman dan kelemahan
yang dapat mengancam operasional keamanan yang sudah dilakukan. Untuk threat
dan vulnerability beberapa hal yang akan dibahas adalah Accidental Loss,
Inappropriate Activities, Illegal computer operations, Account maintenance,
Data Scavenging Attacks, IPL/rebooting, dan Network highjacking.
TEKNOLOGI
KEAMANAN KOMPUTER
a) Enkripsi
Simetris
Enkripsi simetris, juga disebut sebagai enkripsi
konvensional atau enkripsi kunci tunggal, adalah satu-satunya jenis enkripsi
yang digunakan sebelum diperkenalkannya enkripsi kunci publik pada akhir
1970-an. Individu dan kelompok yang tak terhitung jumlahnya, dari Julius Caesar
hingga pasukan U-boat Jerman hingga pengguna diplomatik, militer, dan komersial
saat ini, telah menggunakan enkripsi simetris untuk komunikasi rahasia. Itu
tetap yang lebih banyak digunakan dari dua jenis enkripsi. Skema enkripsi simetris
memiliki lima bahan Keamanan Data dan Informasi:
1) Plaintext:
Ini adalah pesan atau data asli yang dimasukkan ke dalam algoritma sebagai
input.
2) Algoritma
enkripsi Algoritma enkripsi melakukan berbagai substitusi dan transformasi pada
teks biasa.
3) Kunci
rahasia: Kunci rahasia juga dimasukkan ke dalam algoritma enkripsi. Substitusi
dan transformasi tepat yang dilakukan oleh algoritma bergantung pada kuncinya.
4) Ciphertext:
Ini adalah pesan acak yang dihasilkan sebagai keluaran. Itu tergantung pada
teks biasa dan kunci rahasia. Untuk pesan tertentu, dua kunci berbeda akan
menghasilkan dua teks sandi yang berbeda.
5) Algoritma
dekripsi: Ini pada dasarnya adalah algoritma enkripsi yang dijalankan secara
terbalik. Ini mengambil teks sandi dan kunci rahasia dan menghasilkan teks
biasa asli.
b) Otentikasi
Menggunakan Enkripsi Symmetric
Tampaknya mungkin untuk melakukan otentikasi hanya
dengan menggunakan enkripsi simetris. Jika kami berasumsi bahwa hanya pengirim
dan penerima yang berbagi kinci (sebagaimana mestinya), maka hanya pengirim
asli yang dapat berhasil mengenkripsi pesan untuk peserta lain, asalkan
penerima dapat mengenali pesan yang valid. Lebih lanjut, jika pesan tersebut
menyertakan kode deteksi kesalahan dan nomor urut, penerima yakin bahwa tidak
ada perubahan yang dilakukan dan urutannya benar. Jika pesan juga menyertakan
stempel waktu, penerima yakin bahwa pesan tidak ditunda melebihi yang biasanya
diharapkan untuk transit jaringan. Nyatanya, enkripsi simetris saja bukanlah
alat yang cocok untuk otentikasi data. Sebagai contoh sederhana, dalam mode
enkripsi ECB, jika penyerang menyusun ulang blok ciphertext, maka setiap blok
akan tetap berhasil didekripsi. Namun, pengubahan urutan dapat mengubah arti
dari keselunihan unutan data. Meskipun nomor urut dapat digunakan di beberapa
tingkat (misalnya, setiap paket IP), biasanya nomor urut terpisah tidak akan
dikaitkan dengan setiap blok b-bit teks biasa. Jadi. penyusunan ulang blok
merupakan ancaman.
c) Otentikasi
Pesan dan Fungsi Hash
Enkripsi melindungi dari serangan
pasif (menguping). Persyaratan yang berbeda adalah untuk melindungi dari
serangan aktif (pemalsuan data dan transaksi). Perlindungan terhadap serangan
semacam itu dikenal sebagai otentikasi pesan atau data. Sebuah pesan, file,
dokumen, atau kumpulan data lainnya dikatakan otentik jika itu asli dan berasal
dari sumber yang diduga. Otentikasi pesan atau data adalah prosedur yang
memungkinkan pihak yang berkomunikasi untuk memverifikasi bahwa pesan yang
diterima atau disimpan adalah asli. Dua aspek penting tersebut adalah untuk
memverifikasi bahwa isi pesan belum diubah dan bahwa sumbernya asli. Kami juga
mungkin ingin memverifikasi ketepatan waktu pesan (belum ditunda dan diputar
ulang secara artifisial) dan urutan yang terkait dengan pesan lain yang mengalir
di antara dua pihak.
Standar
Keamanan Komputer
Model
ISO 17799
ISO
17799 adalah standar keamanan sistem informasi yang telah diakui oleh dunia dan
disahkan pada tahun 2000, dimana ia mengalami revisi pada tahun 2005 (ISO/ IEC
17799 2005 yang juga disebut 150/IEC 27002 2005). Keuntungan yang dapat diambil
dari standarisasi ini antara lain metodologi yang terstruktur dan telah diakui
oleh dunia internasional, proses yang terdefinisi dengan baik, kebijakan dan prosedur
dapat disesuaikan dengan kondisi organisasi dan lain-lain.
materi selengkapnya bisa unduh atau melihat video presentasi dibawah ini :
ISO
17799 terdiri dari:
1. Business
Continuity Planning.
Business Continuity
Planning merupakan langkah yang dilakukan pada saat terjadi gangguanatau
bencana (disaster) sehingga tidak mengganggu atau menginterupsi aktivitas dan
proses bisnis
2. System
Control Access. System Control Access, yaitu:
·
Akses kontrol terhadap informasi
·
Mencegah agar individu yang tidak
berwenang dapat mengakses ke sistem informasi
·
Menjamin proteksi jaringan
·
Mencegah pengaksesan oleh yang tidak
berwenang Mendeteksi aktifitas yang tidak memiliki wewenang
·
Menjamin keamanan sistem informasi yang
dapat diakses melalui fasilitas mobile dan telenetworking.
3. System
Development dan maintenance.
System Development dan
maintenance akan membahas cara:
·
Untuk menjamin agar keamanan dan kontrol
diimplementasikan di dalam sistem operasional.
·
Untuk menghindar agar data user tidak
hilang, disalah gunakan, atau dimodifikasi didalam sistem aplikasi.
·
Melindungi informasi atas integritasnya,
kerahasiaannya, dan ketersediaannya.
·
Menjamin agar aktivitas proyek IT
beserta dukungannya dilakukan/dilaksanakan sesuai dengan yang telah di tetapkan.
·
Memelihara keamanan software dan sistem
aplikasi beserta datanya.
4. Physical and Environmental Security
Physical and
Environmental Security akan membahas:
·
Pencegahan pengaksesan, perusakan oleh
orang yang tak berwenang di tempat bisnis dan informasi perusahaan
·
Pencegahan terhadap hilangnya atau aksi
yang akan membahayakan aset perusahaan sehingga menggangu aktivitas bisnis
·
Mencegah agar tidak ada pencurian
informasi atau membahayakan fasilitas pemros esan informasi
5. Compmereka
Tujuan Compliance
adalah agar tidak ada pelanggaran hukum kriminalitas atau sipil, undang-undang,
kontrak, dan lain-lain yang berkaitan dengan hukum. Selain itu, menjaga agar
sistem memenuhi persyaratan dan standar keamanan perusahaan.
6. Personnel
Security
Tujuan Personnel
Security adalah mengurangi risiko kesalahan orang, kecurangan, atau
penyalahgunaan fasilitas. Memastikan agar users menyadari kemungkinan ancaman
yang akan terjadi terhadap keamanan sistem Informasi serta membekali mereka
dengan peraturan keamanan sistem informasi dalam melaksanakan tugas mereka.
7. Security Organization.
Tujuan Security
Organization adalah membahas bagaimana mengelola keamanan sistem keamanan di
dalam organisasi sendiri, menjaga agar sistem tidak dapat diakses oleh pihak
ketiga. Selain itu, pembahasan mengenai bagaimana mengurus keamanan informasi
jikalau pemroses pengolahan data diberikan kepada pihak ketiga.
8. Computer and Network Management. Tujuan
Computer and Network Management adalah:
·
Memastikan agar fasilitas pengoperasian
informasi dapat berjalan • Memperkecil kemungkinan untuk kegagalan sistem
(failure)
·
Melindungi integritas software dan
informasi
·
Memastikan akan ketersediaan fasilitas
komunikasi • Melindungi jaringan dan infrastruktur pendukungnya
·
Menjamin agar tidak ada informasi yang
hilang, disalahgunakan, dan dimodifikasi pada saat pertukaran informasi antar
organisasi.
9. Asset
Classification and Control.
Tujuan Asset
Classification and Control adalah untuk membahas proteksi yang tepat bagi aset
perusahaan dan memastikan agar aset informasi memiliki tingkat keamanan yang
tepat dan baik.
10. Security
Policy.
Tujuan Security Policy
adalah memberikan arahan dan bantuan kepada manajemen mengenal keamanan sistem
informasi.
SUMBER REFERENSI:
Budi Rahardjo, Keamanan
Perangkat Lunak, PT Insan Infonesia, 2014, Hal. 13 – 15
Dikutip dari blog https://atikamulya.weebly.com/blog/lingkup-keamanan-dalam-sistem-komputer
Hartono,dkk, Sistem operasi,2018, Aceh, CV.Sefa Bumi Persada
Ika Yusnita Sari,
Muttaqin, dkk, Keamanan Data dan Informasi, 2020, Medan
Prasojo, D.L.D. & Riyanto, S.K., 2011. Teknologi Informasi Pendidikan, Yogyakarta: Gava Media.
KELOMPOK 2
Anggota :
1.
Amelia Nuryanti (211223062)
2.
Dina Pitria (211223066)
3.
Hilda Amelia (211223063)
4.
Krisna Adi Wijaya
5.
Luluk Anjar Wati (211223022)
6.
Sri Lestari (211223009)
7.
Yeni Rahmawati (211223016)
PTIK 1A
mata kuliah pengantar tik
dosen pengampuh : Nanang Abdurahman,M.Kom
Sekolah Tinggi Keguruan dan Ilmu Pendidikan (STKIP) MUHAMMADIYAH KUNINGAN
Komentar
Posting Komentar