SOAL KEAMANAN DIGITAL BAHAN DIGITAL .ppt

pahami keamanan digital

1. •Menurut John D. Howard dalam bukunya “An
Analysis of security incidents on the internet”
menyatakan bahwa :
Keamanan Data adalah tindakan pencegahan dari serangan
pengguna sistem informasi atau pengakses jaringan yang
tidak bertanggung jawab.
 
•Menurut Gollmann pada tahun 1999 dalam
bukunya “Computer Security” menyatakan bahwa :
Keamanan sistem informasi adalah berhubungan dengan
pencegahan diri dan deteksi terhadap tindakan pengganggu yang
tidak dikenali dalam system komputer.
Pengertian Keamanan Sistem Informasi
Ahyar Muawwal, S. Kom., M.T
[email protected]

2. •Berdasarkan hasil riset dan survey serta berbagai
laporan tentang kejahatan komputer yang terjadi
dewasa ini, diketahui bahwa saat ini tidak ada satupun
jaringan komputer yang dapat diasumsikan 100% aman.

3. SECURITY BREACH ACCIDENT
1996
FBI National Computer Crimes Squad, Washington
D.C., memperkirakan kejahatan komputer yang
terdeteksi kurang dari 15%, dan hanya 10% dari
angka itu yang dilaporkan
1997
Penelitian Deloitte Touch Tohmatsu menunjukkan
bahwa dari 300 perusahaan di Australia, 37% (dua
diantara lima) pernah mengalami masalah
keamanan sistem komputernya
1998
FBI melaporkan bahwa kasus persidangan yang
Berhubungan dengan kejahatan komputer meroket
950% dari tahun 1996 ke tahun 1997, dengan
penangkapan dari 4 ke 42, dan terbukti (convicted)
di pengadilan naik 88% dari 16 ke 30 kasus

4. Keamanan Komputer Mengapa
dibutuhkan ?

5. •“information-based society”,
menyebabkan nilai informasi
menjadi sangat penting dan
menuntut kemampuan untuk
mengakses dan menyediakan
informasi secara cepat dan akurat
menjadi sangat esensial bagi
sebuah organisasi,
•Infrastruktur Jaringan komputer,
seperti LAN dan Internet,
memungkinkan untuk menyediakan
informasi secara cepat, sekaligus
membuka potensi adanya lubang
keamanan (security hole)

6. •APA PENYEBAB
MENINGKATNYA
KEJAHATAN SISTEM
INFORMASI?

7. Munculnya kejahatan
komputer
•Penyebab meningkatnya kejahatan komputer
1.Aplikasi bisnis yang menggunakan IT dan jaringan
komputer semakin meningkat.
2.Server terdesentralisasi dan terdistribusi
menyebabkan lebih banyak sistem yang harus
ditangani
3.Meningkatnya kemampuan pemakai dibidang
komputer.

8. Definisi Resiko
8

9. Ahyar Muawwal, S. Kom., M.T
[email protected]
9

10. Modal dasar
•Mengetahui Bahasa Pemrograman
•Menguasai pengetahuan perangkat keras dan
perangkat lunak pengontrolnya (logika
interfacing).
•Menguasai pengelolaan instalasi komputer.
•Menguasai dengan baik teori jaringan komputer
; protokol, infrastruktur, media komunikasi.
•Memahami cara kerja system operasi.
•Memiliki ‘pikiran jahat’ ;-p
10
Ahyar Muawwal, S. Kom., M.T
[email protected]

11. Keamanan Sistem Informasi Mengapa dibutuhkan ?
•“information-based society”, menyebabkan nilai
informasi menjadi sangat penting dan menuntut
kemampuan untuk mengakses dan menyediakan
informasi secara cepat dan akurat menjadi sangat
esensial bagi sebuah organisasi,
•Infrastruktur Jaringan komputer, seperti LAN dan
Internet, memungkinkan untuk menyediakan
informasi secara cepat, sekaligus membuka
potensi adanya lubang keamanan (security hole)
11
Ahyar Muawwal, S. Kom., M.T
[email protected]

12. Kejahatan Sistem Informasi semakin meningkat karena :
•Aplikasi bisnis berbasis TI dan jaringan komputer
meningkat : online banking, e-commerce, Electronic
data Interchange (EDI).
•Desentralisasi server.
•Transisi dari single vendor ke multi vendor.
•Meningkatnya kemampuan pemakai (user).
•Kesulitan penegak hokum dan belum adanya ketentuan
yang pasti.
•Semakin kompleksnya system yang digunakan, semakin
besarnya source code program yang digunakan.
•Berhubungan dengan internet.
12
Ahyar Muawwal, S. Kom., M.T
[email protected]

13. Klasifikasi Kejahatan Sistem Informasi
•Keamanan yang bersifat fisik (physical security):
termasuk akses orang ke gedung, peralatan, dan media
yang digunakan
•Keamanan yang berhubungan dengan orang
(personel): termasuk identifikasi, dan profil resiko dari
orang yang mempunyai akses (pekerja).
•Keamanan dari data dan media serta teknik
komunikasi (communications). Yang termasuk di dalam
kelas ini adalah kelemahan dalamsoftware yang
digunakan untuk mengelola data
•Keamanan dalam operasi: termasuk prosedur yang
digunakan untuk mengatur dan mengelola sistem
keamanan, dan juga termasuk prosedur setelah
serangan (post attack recovery).
Ahyar Muawwal, S. Kom., M.T
[email protected]

14. Budi Rahardjo - Ilmu & Seni Security 14

15. Aspek Dari Security
•Confidentiality
•Integrity
•Availability
•Ketiga di atas sering disingkat menjadi CIA
•Ada tambahkan lain
–Non-repudiation
–Authentication
–Access Control
–Accountability
Ahyar Muawwal, S. Kom., M.T
[email protected]

16. Confidentiality / Privacy
•Kerahasiaan data. Data hanya boleh diakses
oleh orang yang berwenang
–Data-data pribadi
–Data-data bisnis; daftar gaji, data nasabah
–Sangat sensitif dalam e-commerce dan healthcare
•Serangan: penyadapan
(teknis dengan sniffer / logger, man in the middle
attack; non-teknis dengan social engineering)
•Proteksi: enkripsi
Ahyar Muawwal, S. Kom., M.T
[email protected]

17. Integrity
•Informasi tidak boleh berubah (tampered,
altered, modified) oleh pihak yang tidak
berhak
•Serangan
–Pengubahan data oleh orang yang tidak berhak,
spoofing
–Virus yang mengubah berkas
•Proteksi:
–Message Authentication Code (MAC), digital
signature / certificate, hash functions, logging
Ahyar Muawwal, S. Kom., M.T
[email protected]

18. Availability
•Informasi harus tersedia ketika dibutuhkan
•Serangan
–Meniadakan layanan (Denial of Service / DoS attack)
atau menghambat layanan (server dibuat lambat)
•Proteksi
–Backup, redundancy, DRC, BCP, firewall
Ahyar Muawwal, S. Kom., M.T
[email protected]

19. Non-repudiation
•Tidak dapat menyangkal (telah melakukan
transaksi)
–Menggunakan digital signature
–Logging
Ahyar Muawwal, S. Kom., M.T
[email protected]

20. Authentication
•Meyakinkan keaslian data, sumber data, orang
yang mengakses data, server yang digunakan
–what you have (identity card)
–what you know (password, PIN)
–what you are (biometric identity)
•Serangan: identitas palsu, terminal palsu, situs
gadungan
Ahyar Muawwal, S. Kom., M.T
[email protected]

21. Access Control
•Mekanisme untuk mengatur siapa boleh
melakukan apa
–Membutuhkan adanya klasifikasi data:
public, private, confidential, (top)secret
–Role-based access
Ahyar Muawwal, S. Kom., M.T
[email protected]

22. Accountability
•Dapat dipertanggung-jawabkan
•Melalui mekanisme logging dan audit
•Adanya kebijakan dan prosedur (policy &
procedures)
Ahyar Muawwal, S. Kom., M.T
[email protected]

23. 23
•Interruption
DoS attack, network
flooding
•Interception
Password sniffing
•Modification
Virus, trojan horse
•Fabrication
spoffed packets
A B
E
A
A
A
B
B
B
E
E
Serangan Terhadap Keamanan
Sistem
Ahyar Muawwal, S. Kom., M.T
[email protected]

24. Serangan Terhadap Keamanan
Sistem
•Interruption: Perangkat sistemmenjadi rusak atau tidak tersedia.
Serangan ditujukan kepada ketersediaan ( availability) dari sistem.
Contoh serangan adalah “denial of service attack”.
•Interception: Pihak yang tidak berwenang berhasil mengakses aset atau
informasi. Contoh dari serangan ini adalah penyadapan (wiretapping).
•Modification: Pihak yang tidak berwenang tidak saja berhasil
mengakses, akan tetapi dapat juga mengubah (tamper) aset. Contoh
dari serangan ini antara lain adalah mengubah isi dari web site dengan
pesanpesan yang merugikan pemilik web site.
•Fabrication: Pihak yang tidak berwenang menyisipkan objek palsu ke
dalamsistem. Contoh dari serangan jenis ini adalah memasukkan pesan
pesan palsu seperti email palsu ke dalamjaringan komputer.
Ahyar Muawwal, S. Kom., M.T
[email protected]

25. Mendeteksi serangan
•Anomaly Detection (Penyimpangan)
mengidentifikasi perilaku tak lazim yang terjadi dalm Host atau
Network.
•Misuse Detection
Detektor melakukan analisis terhadap aktivitas sistem,
mencari event atau set event yang cocok dengan pola
Perilaku yang dikenali sebagai serangan.
•Network Monitoring
(sistem pemantau jaringan) untuk mengatahui adanya
lubang keamanan, Biasanya dipakai (SNMP)
•Intrusion Detection System (IDS)
Penghambat atas semua serangan yg akan menggangu
sebuah jarigan.
Ahyar Muawwal, S. Kom., M.T
[email protected]

26. Mencegah serangan
•Desain Sistem
–Desain sistem yg baik tidak meninggalkan
lobang2 yg memungkinkan terjadinya
penyusupan
•Aplikasi yang dipakai
–Aplikasi yg dipakai sudah diperikasa dan
apakah sudah dapat dipercaya.
•Manajemen
–Pengolahan suatu sistem yg baik menurut
standard operating procedure (SOP)

Ahyar Muawwal, S. Kom., M.T
[email protected]

27. Prinsip merancang suatu sistem keamanan
•Dalam merancang suatu sistem keamanan, ada prinsip yang harus
diperhatikan:
–LEAST PRIVILEGE. SEMUA PROGRAM DAN USER DARI SISTEM
HARUS BEROPERASI PADA LEVEL TERENDAH YG DIPERLUKAN
UNTUK MENYELESAIKAN TUGASNYA.
–ECONOMY OF MECHANISMS. MEKANISME KEAMANAN HARUS
SEDERHANA, DAN MERUPAKAN BAGIAN YG TAK TERPISAHKAN
DENGAN RANCANGAN SISTEM SECARA KESELURUHAN.
–ACCEPTABILITY. SISTEM KEAMANAN MUDAH DIPERGUNAKAN
OLEH USER.
–COMPLETE MEDIATION. SETIAP AKSES HARUS DICEK KE DALAM
INFORMASI KONTROL AKSES, TERMASUK PADA SAAT KONDISI
TIDAK NORMAL SEPERTI PADA PEMELIHARAAN.
–OPEN DESIGN. MEKANISME KEAMANAN DARI SISTEM HARUS
DAPAT DISEBARLUASKAN SEHINGGA ADA UMPAN-BALIK YANG
DAPAT DIMANFAATKAN UNTUK PERBAIKAN SISTEM KEAMANAN.
Ahyar Muawwal, S. Kom., M.T
[email protected]

28. Informasi = Uang?
•Informasi memiliki nilai (value) yang dapat
dijual belikan
–Data-data nasabah, mahasiswa
–Informasi mengenai perbankan, nilai tukar, saham
–Soal ujian
–Password, PIN
•Nilai dari informasi dapat berubah dengan
waktu
–Soal ujian yang sudah diujikan menjadi turun
nilainya

29. Teknologi Informasi
•Teknologi yang terkait dengan pembuatan,
pengolahan, distribusi, penyimpanan dari informasi
•Menghasilkan produk dan layanan yang sudah kita
gunakan sehari-hari sebagai “manusia moderen”
–Mesin ATM di bank
–Telepon, handphone, SMS
–Games, PlayStation, on-line games

30. Perhatian terhadap keamanan
informasi
•Mulai banyaknya masalah keamanan
informasi
–Virus, worm, trojan horse, spam
–Hacking & cracking
–Spyware, keylogger
–Fraud (orang dalam), penipuan, pencurian kartu
kredit
•Masalah security dianggap sebagai
penghambat penerimaan penggunaan
infrastruktur teknologi informasi

31. Cuplikan statistik kejahatan
•7 Februari 2000 s/d 9 Februari 2000. Distributed Denial
of Service (Ddos) attack terhadap Yahoo, eBay, CNN,
Amazon, ZDNet, E-Trade.
•2001. Virus SirCam mengirimkan file dari harddisk
korban. File rahasia bisa tersebar. Worm Code Red
menyerang sistem IIS kemudian melakukan port
scanning dan menyusup ke sistem IIS yang
ditemukannya.
•2004. Kejahatan “phising” (menipu orang melalui email
yang seolah-olah datang dari perusahaan resmi [bank
misalnya] untuk mendapatkan data-data pribadi seperti
nomor PIN internet banking) mulai marak

32. Contoh kejahatan kartu kredit
•Berdasarkan laporan terakhir (2004),
Indonesia:
–Nomor #1 dalam persentase (yaitu perbandingan
antara transaksi yang baik dan palsu)
–Nomor #3 dalam volume
•Akibatnya kartu kredit dan transaksi yang
(nomor IP-nya) berasal dari Indonesia secara
resmi diblokir di beberapa tempat di Amerika

33. Ilmu dan Seni Keamanan
Informasi
•Dimulai dari coba-coba. Merupakan sebuah
seni.
•Mulai diformalkan dalam bentuk ilmu.
•Tidak bisa selamanya mengandalkan kepada
coba-coba saja. Harus menggabungkan
keduanya.
•Catatan: Ilmu komputer (computer science) pun
muncul melalui jalur ini

34. Contoh Ilmu Security
•Kriptografi (cryptography)
–Enkripsi & dekripsi: DES, AES, RSA, ECC
–Berbasis matematika
•Protokol dan jaringan (network & protocols)
–SSL, SET
•Sistem dan aplikasi (system & applications)
•Management, policy & procedures

35. Security Lifecylce

36. Klasifikasi Keamanan Sistem
Menurut David Icove:
•Keamanan yang bersifat fisik (physical security).
•Keamanan yang berhubungan dengan orang
(personel).
•Keamanan dari data dan media serta teknik
komunikasi.
•Keamanan dalam operasi (policy & procedures)

37. Aspek Dari Security
•Confidentiality
•Integrity
•Availability
•Ketiga di atas sering disingkat menjadi CIA
•Ada tambahkan lain
–Non-repudiation
–Authentication
–Access Control
–Accountability

38. Confidentiality / Privacy
•Kerahasiaan data. Data hanya boleh diakses
oleh orang yang berwenang
–Data-data pribadi
–Data-data bisnis; daftar gaji, data nasabah
–Sangat sensitif dalam e-commerce dan healthcare
•Serangan: penyadapan
(teknis dengan sniffer / logger, man in the middle
attack; non-teknis dengan social engineering)
•Proteksi: enkripsi

39. Integrity
•Informasi tidak boleh berubah (tampered,
altered, modified) oleh pihak yang tidak
berhak
•Serangan
–Pengubahan data oleh orang yang tidak berhak,
spoofing
–Virus yang mengubah berkas
•Proteksi:
–Message Authentication Code (MAC), digital
signature / certificate, hash functions, logging

40. Availability
•Informasi harus tersedia ketika dibutuhkan
•Serangan
–Meniadakan layanan (Denial of Service / DoS attack)
atau menghambat layanan (server dibuat lambat)
•Proteksi
–Backup, redundancy, DRC, BCP, firewall

41. Non-repudiation
•Tidak dapat menyangkal (telah melakukan
transaksi)
–Menggunakan digital signature
–Logging

42. Authentication
•Meyakinkan keaslian data, sumber data, orang
yang mengakses data, server yang digunakan
–what you have (identity card)
–what you know (password, PIN)
–what you are (biometric identity)
•Serangan: identitas palsu, terminal palsu, situs
gadungan

43. Access Control
•Mekanisme untuk mengatur siapa boleh
melakukan apa
–Membutuhkan adanya klasifikasi data:
public, private, confidential, (top)secret
–Role-based access

44. Accountability
•Dapat dipertanggung-jawabkan
•Melalui mekanisme logging dan audit
•Adanya kebijakan dan prosedur (policy &
procedures)

45. Tujuan
Integrity
Confidentiality
Avalaibility
•Dibaca dan diakses oleh yang diberi
otoritas
•Jenis akses meliputi:
•Mencetak
•Membaca
•Bentuk-bentuk lain (membuka
suatu objek)
•Dimodifikasi oleh yang
berhak, meliputi:
•Menulis
•Mengubah
•Mengubah status
•Menghapus
•Membuat yang baru
•Tersedia untuk pihak
yang berwenang

46. Katergori serangan
•Serangan pasif >> sulit dideteksi
–Membuka isi file (release of message contents)
•Informasi rahasia dan sensitif >> mencegah penyerang mempelajari
pentransmisian
–Menganalisis lalu lintas (traffic analysis)
•Teknik pengiriman dengan enskripsi
•Serangan aktif >> memodifikasi data / menciptakan aliran yang
menyesatkan
–Penyamaran (masquerade)
•Suatu entitas berpura-pura sebagai entitas yang berbeda
•Menangkap yang asli >> dibalas setelah rangkaian asi yang valid diganti
–Jawaban (replay)
•Penangkapan secara pasif
•Mendapatkan efek yang tidak terotorisasi
–Modifikasi pesan (modification of message contents)
•Mengubah beberapa bagian yang asli
•Untuk menghasilkan efek tidak terotorisasi
–Penolakan layanan (denial of service)
•Mencegah dari yang normal atau manajemen fasilitas tertentu
•Memiliki tujuan tertentu
•Bentuk >> gangguan jaringan dengan cara melumpuhkan jaringan atau memenuhi
jaringan sehingga mengurangi kinerjanya

47. Teori Jenis Serangan
•Interruption
DoS attack, network
flooding
•Interception
Password sniffing
•Modification
Virus, trojan horse
•Fabrication
spoffed packets
A B
E
A
A
A
B
B
B
E
E

48. Klasifikasi: Dasar elemen sistem
•Network security
–fokus kepada saluran (media) pembawa informasi
•Application security
–fokus kepada aplikasinya sendiri, termasuk di
dalamnya adalah database
•Computer security
–fokus kepada keamanan dari komputer (end
system), termasuk operating system (OS)

49. Topologi Lubang Keamanan
www.bank.co.id
Internet
Web Site
Users
ISP
Network
sniffed, attacked
Network
sniffed,
attacked
Network
sniffed,
attacked,
flooded
Trojan horse - Applications
(database,
Web server)
hacked
-OS hacked
1.System (OS)
2.Network
3.Applications + db
Holes
Userid, Password,
PIN, credit card #

50. Pelaku di bidang Security
•Information bandit
–Sekarang masih dipotretkan sebagai jagoan
–Akan tetapi akan berkurang
–the disappearance act of information bandits
•Information security professionals
–Masih kurang
–Lebih menyenangkan
•Keduanya menggunakan tools yang sama
•Perbedaannya sangat tipis: itikad & pandangan
•Jangan bercita-cita menjadi bandit!

51. The Objective
Open source search
whois
Web interce to whois
ARIN whois
DNS zone transfer
Footprinting
ANATOMY OF A HACK
The Methodology The Techniques The Tools
USENet, search engines, Edgar
Any UNIX client
http://www.networksolutions.com/whois
http://www.arin.net/whois
dig, nslookup ls -d, Sam Spade
Target address range, name
space acquisition, and
information gathering are
essential to a surgical attack.
The key here is not to miss any
details.
Bulk target assessment and
identification of listening services
focuses the attacker's attention
on the most promising avenues
of entry
Scanning
Denial of Service
Creating back
doors
Covering
tracksCreating
back doors
Pilfering
Escalating
privilege
Gaining access
Enumeration
List user accounts
List file shares
Identify applications
null sessions, DumpACL, sid2user,
OnSite Admin
showmount, NAT, Legion
banner grabbing with telnet or netcat,
rpcinfo
Ping sweep
TCP/UDP port
OS Detection
fping, icmpenum WS_Ping ProPack
nmap, SuperScan, fscan
Nmap, queso, siphon
Password eavesdropping
File share brute forcing
Password file grab
Buffer overflows
tcpdump, L0phtcrack readsmb
NAT, legion
tftp, pwdump2 (NT)
ttdb, bind, IIS .HTR/ISM.DLL
Password cracking
Known exploits
john, L0phtcrack
lc_messages, getadmin, sechole
Evaluate trusts
Search for cleartext passwords
rhosts, LSA Secrets
user data, configuration files, Registry
Clear logs
Hide tools
zap Event Log GUI,
rootkits, file streaming
SYN flood
ICMP techniques
Identical src/dst SYN requests
Overlapping fragment/offset
bugs
Out of bounds TCP options
(OOB)
DDoS
synk4
ping of death, smurf
land, latierra
teardrop, bonk, newtear
supernuke.exe
trinoo/TFN/stcheldraht
Create rouge user accounts
Schedule batch jobs
Infect startup files
Plant remotecontrol services
Install monitoring mechanisms
Replace apps with Trojans
members of wheel, Administrators
cron, AT
rc, Startup folder, Registry keys
netcat, remote.exe, VNC, BO2K
keystroke loggers, add acct. to secadmin
mail aliases
login, fpnwclnt.dll
More intrusive probing now
begins as attackers begin
identifying valid user accounts or
poorly protected resource
shares.
Enough data has been gathered
at this point to make an informed
attempt to access the target
If only user-level access was
obtained in the last step, the
attacker will now seek to gain
complete control of the system
The information-gathering
proccess begins again to identify
mechanisms to gain access to
trusted systems.
Once total ownership of the
target is sesured, hiding this fact
from system administrators
becomes paramount, lest they
quickly end the romp.
Trap doors will be laid in various
parts of the system to ensure
that priveleged access is easily
regained at the whim of the
intruder
If an attacker is unsuccessful in
gaining access, they may use
readily available exploit code to
disable a target as a last resort.
source: hacking exposed

52. INDOCISC Audit Checklist
1.evaluating (network) topology
2.penetration testing from outside and inside
network
3.evaluating network devices, such as routers,
switches, firewalls, IDS, etc.
4.evaluating server(s)
5.evaluating application(s)
6.evaluating policy and procedures

53. Prinsip-prinsip yang harus diperhatikan didalam
merancang sistem keamanan
Menurut Saltzer, J & Schroder, M “The Protection of Information in
Computer System” Proceeding of the IEEE September 1975
•Least privilege program dan user dari sistem harus beroperasi
pada level terendah (tidak ada hak istimewa)
•Economy of mechanisms mekanisme harus sederhana yang
holistic tak terpisahkan
•Acceptability mudah digunakan user
•Complete mediation yang akses diperiksa kedalam kontrol
informasi
•Open design mekanisme keamanan sistem dapat
disebarluaskan, umpan baliknya untuk perbaikan keamanan

54. Yang Paling Kuat yang
Bertahan
•Sekuriti network yang lengkap dan total
adalah sebuah mitos.

55. Pengamanan Menyeluruh
•Harus menyeluruh - holistic approach
PEOPLE
PROCESS
TECHNOLOGY
• awareness, skill
• ...
• security as part of
business process
• ...
• implementation
• ...

56. Prinsip dalam sekuriti
•Repetition with recursion (pengulangan
dengan mengulang kejadian yang pernah
terjadi)
–Sistem memerlukan sifat dinamis  menjalan
proses sekuriti secara kontinu (berkesinambungan)
•Lakukanlah selalu analisa sistem

57. Siklus hidup pengembangan sistem
SDLC (System Development Life Cycle)
•Siklus pengembangan perangkat lunak
–Diantaranya yang digunakan oleh developer dan programer
–Model yang sering digunakana
•Water fall
•Linear / sequential
•Spiral
–Langkah diantaranya:
•System planning
•System analysis
•System design
•System selection
•System implementation
•System maintenance

58. Fase untuk sistem keamanan
•Inisiasi
–Pendefenisian konseptual
–Penentuan kebutuhan
–Pengembangan spesifikasi
–Review disain
•Pengembangan dan akuisisi
–Review komponen dan kode
–Review pengujian sistem
–Sertifikasi
•Implementasi
•Maintenance
•Pembuangan

59. Inisiasi
•Awal sebuah proses keamanan
•Diintegrasikan dan diimplementasikan dengan
sistem TI secara penuh.
•Merupakan fase yang paling penting, namun
biasanya paling sering dilakukan dengan
tergesa-gesa.

60. Defenisi konseptual
•Memahami ruang lingkup proses keamanan 
tanggung jawab sistem keamanan
•Tujuan:
–Tanggung jawab dan ruang lingkup individu yang
terlibat didalam sistem keamanan
–Contoh
•sistem akedemik di STMIK MDP membedakan
tanggung jawab dan ruang lingkup admin , dosen,
manejer dll

61. Penentuan kebutuhan
•Menspesifikasikan secara detail sebuah objek
•Aktivitas:
–Interview
•Mengklarifikasikan dan mengidentifikasi secara spesifik yang
perlu diproteksi  data maupun pemrosesan data
–Review ekstrenal
•Mengacu kearah enviroment (lingkungan sekuritas)
•Ancaman dan dukungan enviroment  kemampuan
teknologi
–Analisis Gap
•Gabungan review internal dan eksternal dan mencocokkan
dengan objek
•Apa yang harus dilakukan  wilayah teknologi, proses
bisnis, budaya organisasi, pengetahuan end user, dll

62. Pengembangan spesifikasi proteksi
•Sistem dimodelkan dan dibandingkan dengan
objektif dan resiko yang didefenisikan;
•Tahapan ini digunakan untuk menciptakan
sebuah desain yang terinci dari sekuriti sistem
yang baru.
•Dimulai dengan sebuah model sistem yang
sesuai dengan tujuan dan kemudian mencari
teknologi tertentu, konfigurasi, prosedur dan
perubahan yang diizinkan

63. Review disain
•Pemeriksaan realita secara final.
•Kesempatan untuk mempresentasikan disain
dan implikasinya terhadap pengambil
keputusan

64. Pengembangan dan akuisi
•Menyusun dan menciptakan tool, prototipe,
sistem pengujian dan verifikasi bahwa
konfigurasi telah benar dan tepat serta dalam
cara yang diharapkan.
–melakukan review terhadap kode atau aplikasi
yang akan diinstalkan, dan
–menguji sistem sekuriti didalam konteks jaringan
secara holistik

65. Review komponen dan kode
•Mengembangkan tool sekuriti, program atau komponen
spesifik
–mengevaluasinya didalam sebuah enviroment lab atao prototipe untuk
mencari perilaku atau akibat yang tidak diharapkan
•Yang diperhatikan
–Fungsionalitas komponen
•teknologi sekuriti bekerja sesuai harapan dan sesuai dengan
kebutuhan sekuriti
–Konfigurasi komponen
•menguji konfigurasi yang bervariasi untuk sebuah komponen
 untuk memastikan konfigurasi bekerja sesuai harapan
–Pemeliharaan komponen
•menyiapkan individu / kelompok yang bertanggung jawab
untuk memelihara komponen
•menetapkan prosedur operasional dan metode
pemeliharaan, updating, trouble shooting terhadap
komponen
–Mereview terhadap kode
•mengekplorasi bagian sensitif / kritis dari kode program 
mencari bug dan masalah fundamental disain program

66. Review pengujian sistem
•Fungsional sistem
–diasumsikan setiap komponen berfungsi secara
individu
–verifikasi dilakukan untuk menngungkapkan efek
negatif yang belum diperkirakan sebelumnya
•Konfigurasi sistem
–mengubah konfigurasi konfigurasi komponen
ketika berinteraksi dengan sistem 
menemukanproblem dan kelemahan tersembunyi

67. Review pengujian sistem
•Pemeliharaan sistem
–implikasi dari interaksi komponen  membantu
untuk pemeliharaan, upgrade, trouble shooting
•Training sistem
–meningkatkan kemampuan individu untuk
berinteraksi dengan sistem
•Implementasi sistem
–prototipe sistem sekuriti untuk mempelajati
kendala yang mungkin dapat ditemui saat
implementasi sebenarnya
–membuat dokumentasi problem implementasi

68. Sertifikasi
•Melakukan sertifikasi terhadap prototipe
berarti sudah melakukan verivikasi terhadap
sebuah desain yang bisa dijalankan – sebuah
sistem yang bekerja untuk memenuhi kriteria.
•Setelah prototipe diverifikasi, maka akan
diperoleh izin untuk melanjutkan ke langkah
yang paling berbahaya dari semuanya yaitu
implementasi

69. Implementasi
•Dengan asumsi bahwa desain dan prototipe
tidak ada masalah, tetapi keduanya masih
dalam tantangan yan besar.
•kendala: bagaimana mengurangi resiko
penerima sistem di antara pemakai? Jawaban
yang bisa adalah dengan menyediakan
edukasi sistem secara sederhana.

70. Maintenance
•Fase ini bisa berisi monotonitas dan kebosanan
yang berkepanjangan, diikuti dengan saling
singkat seperti teror dari musuih.
•Pemeliharaan atau maintenance adalah
dimana peperangan sekuriti biasanya
mengalami kekalahan.
•Merupakan fase evaluasi sistem, biasanya
terjadi pada saat perusahaan tumbuh,
melakukan marger, melakukan akuisisi, dan
mengimplementasikan infrastruktur yang
benar-benar baru.

71. Pembuangan
•Memutuskan pemilihan tentang prosedur dan
teknologi bisnis yang mana yang digunakan
adalah hal yang sulit (cara lama atau cara
baru)

72. KOMUNIKASI SISTEM

73. 7
3
Topik pembahasan
•Anatomi frame data
•Fungsi protokol
•OSI Model
•Router
•Layanan jaringan
•Komunikasi upper layer

74. 7
4
Pendahuluan
•Bagaimana memberikan sebuah alamat yang
valid kepada sebuah device
•Apa yang terjadi sebenarnya sepanjang
jaringan/network?

75. 7
5
Frame data
•Data ditransfer sepanjang jaringan
•Data dipaketkan ibarat sebuah amplop
pengiriman  frame
•Frame:
–Ethernet
–Token ring
–ATM (asynchronous transfer mode)

76. 7
6
Frame ethernet
•Sekelompok pulsa digital yang dikirimkan melalui media
transmisi untuk menyampaikan sebuah informasi
•Ukuran 64 s.d 1518 byte (1byte = 8 pulsa digital/bit)
•Thn 1998, panjang frame 1522 byte  mendukung tag-tag
(keterangan) untuk VLAN (Virtual Local Areal Network)
•Bagian frame
–Preamble
–Header
–Data
–Frame-check sequence

77. 7
7
Preamble
•Pembukaan  serangkaian pulsa komunikasi,
yang memberitahukan kepada semua stasion
(komputer atau host) penerima
•Terdiri 7 byte
•Diikuti sebuah byte start-of-frame  data
sesunguhnya akan dimulai

78. 7
8
Header
•Berisi informasi, siapa yang mengirimkan
frame dan kemana frame akan ditujukan
•Informasi  banyak byte dalam frame
•Informasi  field length dan untuk mengecek
error

79. 7
9
Data
•Frame yang mengandung:
– data aktual yang akan dikirimkan
–alamat IP tujuan
–Ukuran 46 s.d 1500 byte

80. 8
0
Frame-check sequence
•Memastikan data yang diterima adalah data yeng
benar-benar dikirimkan
•Menggunakan sebuah algoritma yang disebut cyclic
redudancy check (CRC)
•Frame Check Sequence FCS. Teknik pengecekan
kesalahan dalam transmisi data dengan cara
mengirimkan sandi berupa field 16 bit sebelum flag
penutup. Sandi ini akan dipakai penerima untuk
memeriksa data dari kesalahan. Apabila antara isi
field dengan hasil perhitungan yang dilakukan
penerima tidak sama, maka dipastikan telah terjadi
kesalahan dalam proses transmisi.

81. 8
1
Bagian Header Frame
•Informasi header:
–siapa yang mengirimkan
–kemana data akan dikirimkan diinginkan pengirim
•Berisi 2 field:
–mengidentifikasi source
–destinasi pengiriman data
•Field diatas adalah node address network dari
sistem source dan destination
•Angka  MAC (media access control)

82. Frame ethernet
8
2
Preamble Header Data Frame-check sequence

83. 8
3
MAC
Tiga byte pertama dari
MAC
Produsen
00000C CISCO
0000A2 BAY NETWORK
0080D3 SHIVA
00AA00 INTEL
02608C 3COM
080009 HEWLETT PACKARD
080020 SUN
08005A IBM

84. 8
4
Mac
•Tiga byte pertama  trouble shooting
•Jika meyelidiki sebuah permasalahan lihat
MAC source-nya (darimana masalah datang)
•Contoh
–0080D3  network berasal dari SHIVA

85. 8
5
MAC
•Bagian kedua  nomor serial dari produsen
pembuat alat
•Contoh suatu alamat :
–FF-FF-FF-FF-FF-FF  disebut alamat broadcast
(broadcast address)

86. 8
6
Tugas protokol
•Menjawab beberapa pertanyaan dibawah ini:
–Apakah sistem pengirim cukup berasumsi bahwa frame sudah
diterima dalam keadaan utuh?
–Apakah sistem detinasi (tujuan) menjawab, “saya sudah
menerima frame anda, terima kasih”.
–Apakah setiap frame memerlukan acknowledge/tanggapan?
–Jika tujuan tidak dialamat jaringan lokal yang sama, harus
kemana?
–Bagaimana cara mengtahui kemana data harus dikirimkan ?

87. 8
7
Model OSI
•1977  ISO mengembangkan Open System
Interconnection Reference Model (OSI Model)
•Membantu komunikasi antar vendor
•Memilih metode komunikasi yang spesifik 
memastikan produk antar vendor dapat
berkomunikasi

88. 8
8
Model OSI
•Lapisan physical
•Lapisan data-link
•Lapisan network
•Lapisan transportasi
•Lapisan session
•Lapisan prensentation
•Lapisan aplikasi

89. 8
9
Router
•Menghubungkan network logikal
•Router kadag-kadang disebut juga gateway
dilingkungan IP
•Router menggunakan sebuah jenis frame
maintenen khusus seperti routing information
protocol (RIP)
•Routing table ibarat sebuah peta perjalanan

90. 9
0
Routing Table
Metode populasi
–Statis
–Distance vector
–Link-state
–Label switching

91. 9
1
Masalah keamanan dengan RIP
•Dibuat berdasarkan tangan kedua  informasi
tidak pernah diverifikasi
•Kurang verifikasi menimbulkan lubang
keamanan
–mudah menyebarluaskan informasi yang tidak
benar

92. 9
2
Frame link state protocol
•LSP  sebuah frame untuk maintenen routing
•Informasi yang ada:
–Nama atau identifikasi dari router
–Network yang berhubungan dengannya
–Jumlah HOP atau cost untuk mencapai setiap network
–Semua router lain pada setiap network yang
merespon frame hello darinya

93. 9
3
Sekuritas Routing Link-state
•Hanya mendukungsuatu level otentikasi terhadap
source atau sumber update route yang dinamis
•Otentikasi  carauntuk memastikan setiap router
menerima update routing tablenya dari sebuah
host yang terpercaya
•OSPF mendukung otentikasi password dan
message
•Kelemahan OSPF 

94. 9
4
Kelemahan OSPF
(Open Shortest Path First)
•Penyerang memantau network
•Paket analizer menangkap,
mengupdate tabel OSPF dan
mengetahui password-nya
•Dari password berpura-pura menjadi
router OSPF yang dapat dipercaya
dan mengirimkan informasi routing
table yang salah

95. PERINTAH TERMINAL MELIHAT MAC ADDRES