04-PDK-Finding Vulnerability 04-PDK-Finding Vulnerability.pdf

04-PDK-Finding Vulnerability.pdf

1. Pertemuan4–Vulnerability Assesment
I Wayan Ardiyasa-ITB STIKOM Bali 2024
KeamananSiber

2. Introduction
•Perubahanyang sangat cepat, kadangkala meluputkan
developer dalammelakukanpengujianterhadapaplikasi
yang dibangun.
•Pengujianmerupakanproses yang sangat pentingdidalam
pengembanganperangkatlunakyang berkualitastinggi,
karenadaribeberapakesalahanyang dianggaptidak
pentingberesikosangat berbahayahalinimenjadicelah
(vulnerability) bagiattacker untukmemanfaatkan
informasiyang di curimelaluiserangankepadaaplikasi,
I Wayan Ardiyasa-ITB STIKOM Bali 2024

3. Introduction
•Kebutuhanakanvulnerability assessmentselamaini
biasanyadipandangsebelahmata, karenahanyadianggap
sebagaikegiatanformalitasdan sedikitorang yang
melakukankegiatanini.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

4. DefinisiVulnerability
•Vulnerabilityadalahsebuahkelemahan, kekuranganatau
celahpada sistem, yang dapatdimanfaatkanoleh satuatau
lebihdaripenyeranguntukmelakukanseranganyang dapat
membahayakankerahasiaan, integritas, atauketersediaan
suatusistem.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

5. DefinisiVulnerability Assesment
•Vulnerability Assesmentadalahanalisakeamanansecara
menyeluruhdan mendalamsepertipada keamanan
informasi, hasilscanning jaringan, carapengelolaan,
konfigurasipada sistem, kesadarankeamananaktoryang
terlibatdan keamananfisik, untukmengetahuiseluruh
potensikelemahankritisyang ada.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

6. DefinisiVulnerability Assesment
•Vulnerability Assessment akandilakukandenganmelakukan
pemeriksaansecaraterperincidan sistematispada
infrastrukturkomputasisuatubisnisatauperusahaanuntuk
menentukankelemahanataucelahyang mungkinbisa
ditembusoleh pihaktidakbertanggungjawabdalamdesai,
implantasiatauprakteknya.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

7. TujuanVulnerability Assesment
•Untukmelakukanproses identifikasi, evaluasi, dan klasifikasitingkatkerentanan
pada sistemkeamananyang adapada ekosisteminformasiteknologi.
•Hasil dariidentifikasi, evaluasi, dan klasifikasimelaluiVulnerability Assessment
akanmemberikanpandangankepadapemiliksistemyang mengadakanproses
tersebutagar penggunatahubahwaadacelahyang bisadisalahgunakanoleh
pihakyang tidakbertanggungjawabterkaitdata pentingpenggunatersebut.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

8. Jenis-JenisVulnerability Assesment
1.Host Assesment
Assessment akandilakukanpada server, workstation, jaringanhost lainnyadan keseluruhan
infrastrukturdigital
2.Network Assesement
Pemeriksaanpada jaringan(Kabel maupunnirkabel) dan untukmemastikanjaringanpublik
ataujaringanpribaditidakdiaksesoleh orang yang tidakberwenang
3.AplicationAssesment
Melakukanpemeriksaankerentanandalamaplikasi
4.Database Assesment
Melakukanpemeriksaanuntukmendapatkancelahkeamananpada database.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

9. MetodeVulnerability Assesment
I Wayan Ardiyasa-ITB STIKOM Bali 2024
Identification
Scope
Information
Gathering
Vulnerability
Scanning
Vulnerability
Analisis
Report

10. MetodeVulnerability Assesment
•Identification Scope Tahapuntukmelakukanidentifikasiruanglingkup
penelitianyaitudenganmemilihsistemtarget.
•Information Gathering Tahapuntukmengumpulaninformasipublik, sepertiIP
Address, Port, host name.
•Vulnerability Scanning Tahapuntukmencarikerentananpada sistem
informasi
•VulnerabiltyAnalisisTahapuntukmenganalisisinformasi-informasi
vulnerability yang ditemukan.
•Report Terkaitdengandokumentasikegiatan
I Wayan Ardiyasa-ITB STIKOM Bali 2024

11. Finding Vulnerability
I Wayan Ardiyasa-ITB STIKOM Bali 2024

12. DefinisiFinding Vulnerability
•Suatuproses identifikasicelahkeamananpada suatusistem,
aplikasi, ataujaringan.
•Tujuannyayaituuntukmenemukanvulnerability yang bisa
dieksploitasi.
•Teknik Finding Vulnerability yaitu:
•Scanning Network
•Scanning Vulnerability (Nessus, Nmap)
I Wayan Ardiyasa-ITB STIKOM Bali 2024

13. DefinisiScanning
•Teknik untukmengidentifikasihost, portnumberdan service
didalamsebuahjaringan.
•Scanning Network sebagaikomponenintelligencegatheringbagi
seorangattacker untukmengetahuiarsitektursystem dan jaringan
suatutarget.
•Output scanning network :
•IP Address dan port number pada host;
•SistemOperasisertaarsitektursystem;
•Service yang berjalanpada host.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

14. Gambaran umumScanning
I Wayan Ardiyasa-ITB STIKOM Bali 2024

15. Teknik Scanning
•Port Scanning
•MencariinformasitentangPort number sertaservice yang berjalanpada
mesintarget;
•Network Scanning
•MencariinformasiIP address pada mesintarget/host yang terkoneksipada
jaringankomputersertamelakukanmapping jaringan;
•Vulnerability Scanning
•Mencariinformasivulnerability pada meisntarget/ host didalamjaringan
komputer.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

16. KonsepScanning
•Mengirimkanrequest ICMP ECHO kehost. Jika host dalam
keadaanup/live, makahost akanmereplayICMP ECHO.
•Teknik scanning ini, bergunauntukmencariperangkataktif
ataumenentukanapakahICMPmelewatifirewall
•Perintahnmaptool
•Nmap –v –sP192.168.1.1/24
I Wayan Ardiyasa-ITB STIKOM Bali 2024

17. ContohPerintahScanning
Berikutperintahscan denganmenggunakanaplikasiNmap, yaitu
:
•nmap–v –A 127.0.0.1 MendapatkanInformasilebihdetail
darimesintarget (ALL)
•nmap–O 127.0.0.1InformasiOS yang digunakantarget
•nmap–sA127.0.0.1Mendeteksifirewall pada mesintarget
•nmap–sP127.0.0.1menemukanhost yang aktifdidalam
jaringan
•nmap–p0-200 127.0.0.1scanning untukspesifikport
I Wayan Ardiyasa-ITB STIKOM Bali 2024

18. Scanning Vulnerability
I Wayan Ardiyasa-ITB STIKOM Bali 2024

19. PengertianVulnerability
Suatukelemahanprogram/infrastrukturyang memungkinkan
terjadinyaexploitasisistem. kerentanan(vulnerability) ini
terjadiakibatkesalahandalammerancang,membuatatau
mengimplementasikansebuahsistem
I Wayan Ardiyasa-ITB STIKOM Bali 2024

20. BagaimanaterjadinyaBug
Vulnerability/bug terjadiketikadeveloper melakukan
kesalahanlogikakodingataumenerapkanvalidasiyang tidak
sempurnasehinggaaplikasiyang dibuatnyamempunyai
celahyang memungkinkanuser ataumetodedariluarsistem
bisadimasukankedalamprogramnya.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

21. JenisBug
•Firmware (Hardcoded software)
•Software
•Brainware
•Web Sistem
I Wayan Ardiyasa-ITB STIKOM Bali 2024

22. JenisBug/Vulnerability pada Windows
Windows xpvulnerability ms08-067 (Remote Vulnerability
|Service vulnerability)
Celahkeamananinimemungkinkanattacker untuk
menjalankanmalware secararemote dengancaramembuat
paketrequest khusus.
https://technet.microsoft.com/en-us/library/security/ms08-
067.aspx
I Wayan Ardiyasa-ITB STIKOM Bali 2024

23. Informasibug dan vulnerability up-to-date
•Exploit DB : https://www.exploit-db.com/
I Wayan Ardiyasa-ITB STIKOM Bali 2024

24. KategoriTemuanBug
•ZeroDay Vulnerabilityvulnerability yang ditemukan
oleh hacker sedangkanpihakdeveloper tidak
mengetahuinya, dan hacker mengambilkeuntungandari
vulnerability tersebutuntukmenyebarkanmalware atau
masukkesistemsecarailegal.
•Zero day Exploit exploit yang dibuathacker berdasar
zero day vulnerability yang ditemukannyauntuk
mengexploitasisistemyang tentanterhadapvulnerability
yang telahditemukannya.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

25. Scanning Vulnerability
Scanning vulnerability mencari/memindaikerentanandi
seluruhsisteminformasi(termasukkomputer, sistem
jaringan, sistemoperasi, dan aplikasiperangkatlunak) yang
mungkinberasaldarivendor, kegiatanadministrasisistem,
atauaktivitaspengguna
I Wayan Ardiyasa-ITB STIKOM Bali 2024

26. Tools Scanning Vulnerability
•Tools yang dgunakanantaralain :
1.Nessus
2.Nikto
3.OpenVAS
4.Acunetix
5.W3AF
I Wayan Ardiyasa-ITB STIKOM Bali 2024

27. Teknik Scanning Vuln : Nessus
•UntukmengaksesNessus, bisamelakukanvia browser denganurl:
https://localhost:8834/#/
•Untukmenjalankannessusperludilakukanstart nessusdengan
command:
•#/etc/init.d/nessusdstart
•Untukmenghentikanproses nessuslakukandenganperintahberikut
:
•#/etc/init.d/nessusdstop
I Wayan Ardiyasa-ITB STIKOM Bali 2024

28. Teknik Scanning Vuln : Nessus
I Wayan Ardiyasa-ITB STIKOM Bali 2024
•Halaman Login
•Untuklogin akun
menggunakanusername &
password yang sudah
didaftarkanmelaluiweb
nesusyaitutenable

29. Teknik Scanning Vuln : Nessus
•Untukmelakukanscan, KlikButton New Scan pada gambar
berikut:
I Wayan Ardiyasa-ITB STIKOM Bali 2024

30. Teknik Scanning Vuln : Nessus
Selanjutnyaitupilihadvanced scanatauBasic Network Scan pada
Scan Templates
I Wayan Ardiyasa-ITB STIKOM Bali 2024

31. Teknik Scanning Vuln : Nessus
Pada mode scan yang dipilih, isipada isianyang diminta. Seperti
gambardibawahini:
I Wayan Ardiyasa-ITB STIKOM Bali 2024

32. Teknik Scanning Vuln : Nessus
•Selanjutnyaklikbutton ►pada halamankerja, sepertiDigambar
dibawahini:
I Wayan Ardiyasa-ITB STIKOM Bali 2024

33. Hasil Scanning dariNessus
Output yang dihasilkandariscanning terhadapmesintarget yaituapabila
CRITICALberartimesintarget tersebutmemilikivulnerability. Pada hasilscanning
tersebutjuga diberikaninformasidariexploit yang bisadigunakanuntuk
melakukantahapgaining acces
I Wayan Ardiyasa-ITB STIKOM Bali 2024

34. Scanning Vulnerability denganNmap
•Didalamjaringankomputerterkaitdenganmencari
informasivulnerability pada suatuhost bisamenggunakan
nmapdenganmenggunakanoption --script vuln,
sepertidibawahini:
•nmap--script vuln 192.168.10.1
•Ket :
•--script vuln: Menjalankanscript vuln pada target.
I Wayan Ardiyasa-ITB STIKOM Bali 2024

35. I Wayan Ardiyasa-ITB STIKOM Bali 2023