Sim, feby ratna sari, hapzi ali, keamanan sistem informasi , universitas mercubuana, 2017
- 1. Nama : Feby Ratna Sari Dosen : Prof. Dr. Ir. Hapzi Ali, MM, CMA MENCEGAH ATAU MENANGGULANGI SISTEM INFORMASI DARI HACKER 1. Membuat Komite Pengarah Keamanan. Dengan adanya komite pengarah ini, akan memungkinkan terjadi interaksi antara orang teknik / administrator jaringan, user & manajer. Sehingga dapat dicari kebijakan yang paling optimal yang dapat di implementasikan dengan mudah secara teknis. 2. Mengumpulkan Informasi Sebelum sebuah kebijakan keamanan jaringan di implementasikan, ada baiknya proses audit yang lengkap dilakukan. Tidak hanya mengaudit peralatan & komponen jaringan saja, tapi juga proses bisnis, prosedur operasi, kesadaran akan keamanan, aset. Tentunya proses audit harus dari tempat yang paling beresiko tinggi yaitu Internet; berlanjut pada home user & sambungan VPN. Selain audit dari sisi external, ada baiknya dilakukan audit dari sisi internet seperti HRD dll. 3. Memperhitungkan Resiko Resiko = Nilai Aset * Vurnerability * Kemungkinan di Eksploit Nilai aset termasuk nilai uang, biaya karena sistem down, kehilangan kepercayaan mitra / pelanggan. Vurnerability termasuk kehilangan data total / sebagian, system downtime, kerusakan / korupsi data. 4. Membuat Solusi Kita harus pandai memilih dari berbagai solusi yang ada untuk berbagai kebutuhan keamanan. Beberapa di antaranya, kita mengenal: · Firewall. · Network Intrusion Detection System (IDS). · Host based Intrusion Detection System (H-IDS). · Application-based Intrusion Detection System (App-IDS). · Anti-Virus Software. · Virtual Private Network (VPN). · Two Factor Authentication. · Biometric. · Smart cards. · Server Auditing.
- 2. · Application Auditing. · Dll – masih ada beberapa lagi yang tidak termasuk kategori di atas. 5. Implementasi & Edukasi / Pendidikan. Setelah semua support diperoleh maka proses implementasi dapat di lakukan. Proses instalasi akan sangat tergantung pada tingkat kesulitan yang harus di hadapi. Satu hal yang harus di ingat dalam semua proses implementasi adalah proses pendidikan / edukasi jangan sampai dilupakan. Proses pendidikan ini harus berisi: · Detail dari sistem / prosedur keamanan yang baru. · Effek dari prosedur keamanan yang baru terhadap aset / data perusahaan. · Penjelasan dari prosedur & bagaimana cara memenuhi goal kebijakan keamanan yang baru. MENINGKATKAN KEAMANAN PC 1. Upgrade Sistem Operasi Meng-upgrade sistem operasi ke yang lebih baru, setidaknya tetap mengikuti program terakhir yang disediakan. 2. Gunakan Firewall Firewall membantu melindungi komputer dari hacker jahat, worm, dan beberapa spyware. 3. Install Antivirus Antivirus melindungi kita dari akses virus pada komputer dan serangan-serangan jahat lain seperti trojan dan worm. 4. Selalu Update Sama seperti sistem operasi, piranti lunak yang terus di-update akan terbebas dari masalah kelemahan keamanan. 5. Mencegah Spyware Spyware adalah program kecil yang hinggap di komputer kita untuk merekam dan mengirimkan semua data-data dan kegiatan yang terjadi di komputer, tentunya hanya kegiatan yang diinginkan si pembuatlah yang direkam, seperti aktivitas keyboard oleh keylogger. 6. Amankan Koneksi Nirkabel (Wireless) Apabila anda memiliki jaringan nirkabel, selalu ikuti dokumentasi instalasi 7. Membatasi Resiko Email Spam, Pisahkan antara email pribadi / kantor dengan email yang digunakan khusus untuk melakukan registrasi online.
- 3. 8. Backup Selalu backup file-file penting dan simpan di tempat lain yang aman, pastikan file-file terbackup dengan baik dan tidak mengandung malware. 9. Keamanan Fisik Buat tanda “keamanan” pada komputer anda dan benda lain yang anda anggap penting, agar selalu ingat bahwa barang tersebut butuh keamanan. CARA MENCEGAH SERANGAN VIRUS DARI LUAR 1. E-mail adalah satu cara penyebaran virus yang paling mudah dan paling berbahaya. Pastikan anda membuka e-mail dari sumber yang anda pastikan kebenaranya. Jika e-mail yang anda dapatkan berasal dari sumber yang anda tidak ketahui atau tidak berasal dari daftar kontak yang anda miliki, segera hapus e-mail tersebut. Pastikan daftar SPAM yang masuk segera dikosongkan. Jangan sekali kali untuk membukanya. 2. USB Flash disk adalah metode penyebaran virus paling banyak kedua setelah e-mail. Jadi pastikan anti virus anda terupdate dengan baik sebelum USB Flash Disk masuk terhubung di komputer anda. Scan terlebih dahulu sebelum dibuka. Cara membukanya juga jangan di double klik, tapi dengan klik kanan kemudian pilih Open. Cara ini lebih aman untuk menghindari virus yang masuk melalui autoruns yang disertakan dalam USB Flash Disk. 3. Hati-hati menggunakan program e-mail client misalnya Microsoft Outlook. Pastikan program tersebut terupdate dengan baik. 4. Semua orang pasti mengetahui internet adalah sumber penyebaran virus terbesar di dunia. Hampir 80% virus disebarkan melalui jalur itu. Berikut tip aman saat anda melakukan selancar di ranah dunia internet: – Jangan melakukan klik pada jendela pop-up yang ditampilkan. Misalnya pemberitahuan bahwa anda adalah pemenang sebuah undian atau klik beberapa kali makan anda akan menang sebuah undian. Sebenarnya itu adalah program jahat yang otomatis akan mengirim trojan atau spyware ke komputer anda. – Anda dapat menggunakan fitur atau program atomatis blok pada pop- up yang akan ditampilkan. Fitur ini biasanya sudah disertakan dalam web browser yang anda gunakan.
- 4. Keamanan sistem informasi bisa diartikan sebagai kebijakan, prosedur, dan pengukuran teknis yang digunakan untuk mencegah akses yang tidak sah, perubahan program, pencurian, atau kerusakan fisik terhadap sistem informasi. Sistem pengamanan terhadap teknologi informasi dapat ditingkatkan dengan menggunakan teknik-teknik dan peralatan-peralatan untuk mengamankan perangkat keras dan lunak komputer, jaringan komunikasi, dan data. Keamanan informasi menggambarkan usaha untuk melindungi komputer dan non peralatan komputer, fasilitas, data, dan informasi dari penyalahgunaan oleh orang yang tidak bertanggung jawab. Keamanan informasi dimaksudkan untuk mencapai kerahasiaan, ketersediaan, dan integritas di dalam sumber daya informasi dalam suatu perusahaan.Masalah keamanan informasi merupakan salah satu aspek penting dari sebuah sistem informasi.Akan tetapi, masalah keamanan ini kurang mendapat perhatian dari para pemilik dan pengelola sistem informasi.Informasi saat ini sudah menjadi sebuah komoditi yang sangat penting.Bahkan ada yang mengatakan bahwa kita sudah berada di sebuah “information-based society”.Kemampuan untuk mengakses dan menyediakan informasi secara cepat dan akurat menjadi sangat essensial bagi suatu organisasi, baik yang berupa organisasi komersial (perusahaan), perguruan tinggi, lembaga pemerintahan, maupun individual (pribadi).Hal ini dimungkinkan dengan perkembangan pesat di bidang teknologi komputer dan telekomunikasi. Sangat pentingnya nilai sebuah informasi menyebabkan seringkali informasi diinginkan hanya boleh diakses oleh orang-orang tertentu. Jatuhnya informasi ke tangan pihak lain dapat menimbulkan kerugian bagi pemilik informasi. Jaringan komputer seperti LAN (Local Area Network) dan internet, memungkinkan untuk menyediakan informasi secara cepat.Hal ini menjadi salah satu alasan perusahaan mulai berbondong-bondong membuat LAN untuk sistem informasinya dan menghubungkan LAN tersebut ke Internet.Terhubungnya komputer ke internet membuka potensi adanya lubang keamanan(security hole) yang tadinya bisa ditutupi dengan mekanisme keamanan secara fisik. Suatu perusahaan memiliki sederetan tujuan dengan diadakannya sistem informasi yang berbasis komputer di dalam perusahaan. Keamanan informasi dimaksudkan untuk mencapai tiga sasaran utama yaitu: 1. Kerahasiaan Privacy lebih kearah data-data yang sifatnya privat. Serangan terhadap aspek privacy misalnya usaha untuk melakukan penyadapan.Usaha-usaha yang dapat dilakukan untuk meningkatkan privacy adalah dengan menggunakan teknologi kriptografi. Kriptografi adalah ilmu yang mempelajari teknik-teknik
- 5. matematika yang berhubungan dengan aspek keamanan informasi seperti keabsahan, integritas data, serta autentikasi data. 2. Ketersediaan Aspek ini berhubungan dengan metode untuk menyatakan bahwa informasi benar-benar asli, atau orang yang mengakses atau memberikan informasi adalah betul-betul orang yang dimaksud. Masalah pertama untuk membuktikan keaslian dokumen dapat dilakukan dengan teknologi watermarking dan digital signature. Watermarking juga dapat digunakan untuk menjaga intelektual property, yaitu dengan menandatangani dokumen atau hasil karya pembuat. Masalah kedua biasanya berhubungan dengan akses control, yaitu berkaitan dengan pembatasan orang-orang yang dapat mengakses informasi. Dalam hal ini pengguna harus menunjukkan bahwa memang dia adalah pengguna yang sah atau yang berhak menggunakannya. 3. Integritas Aspek ini menekankan bahwa informasi tidak boleh diubah tanpa seijin pemilik informasi. Adanya virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa izin. Sistem informasi perlu menyediakan representasi yang akurat dari sistem fisik yang direpresentasikan. Ancaman Virus Ancaman yang paling terkenal dalam keamanan sistem informasi adalah virus. Virus adalah sebuah program komputer yang dapat mereplikasi dirinya sendiri tanpa pengetahuan pengguna. Ancaman dalam sistem informasi merupakan serangan yang dapat muncul pada sistem yang digunakan. Serangan dapat diartikan sebagai “tindakan yang dilakukan dengan menggunakan metode dan teknik tertentu dengan berbagai tools yang diperlukansesuai dengan kebutuhan yang disesuaikan dengan objek serangan tertentu baik menggunakan serangan terarah maupun acak“. Serangan yang terjadi terhadap sebuah sistem jaringan dikalangan praktisi lazim sering disebut dengan penetration. Dalam materi keamanan sistem dikenal sangat banyak dan beragam teknik serangan terhadap sebuah sistem sesuai dengan sifat dan karakteristiknya. Teknik serangan semakin lama semakin canggih dan sangat sulit di prediksi dan dideteksi. Ancaman Keamanan Sistem Informasi Ancaman keamanan sistem informasi adalah sebuah aksi yang terjadi baik dari dalam sistem maupun dari luar sistem yang dapat mengganggu keseimbangan sistem informasi. Ancaman terhadap keamanan informasi berasal dari individu, organisasi, mekanisme, atau kejadian yang memiliki potensi untuk menyebabkan kerusakan pada sumber-sumber informasi. Pada kenyataannya ancaman dapat
- 6. bersifat internal, yaitu berasal dari dalam perusahaan, maupun eksternal atau berasal dari luar perusahaan. Ancaman juga dapat terjadi secara sengaja ataupun tidak sengaja Didalam dunia keamanan sistem atau dunia teknologi informasi seseorang dapat dikatakan berpotensi sebagai ancaman apabila memiliki hal sebagai berikut: a) Kewenangan tinggi untuk login kedalam sebuah sistem. b) Memiliki hak akses ( password ) seseorang yang dia ketahui dari berbagai sumber. c) Memiliki banyak sekali koleksi tools untuk meretas sebuah sistem dan keahlian dibidang itu. d) Orang yang membangun sebuah sistem dapat pula menjadi ancaman bagi sistem tersebut. Pengamanan Sistem Informasi 1. Mengatur akses (Access Control) Salah satu cara yang umum digunakan untuk mengamankan informasi adalah dengan mengatur akses ke informasi melaluimekanisme “access control”. Implementasi dari mekanisme ini antaralain dengan menggunakan “password”.Di sistem UNIX, untuk menggunakan sebuah sistem atau komputer,pemakai diharuskan melalui proses authentication denganmenuliskan “userid” dan “password”. Informasi yang diberikan ini dibandingkan dengan userid dan password yang berada di sistem. 2. Memilih password Dengan adanya kemungkinan password ditebak, misalnya dengan menggunakan program password cracker, maka memilih password memerlukan perhatian khusus. Berikut ini adalah daftar hal-hal yang sebaiknya tidak digunakan sebagai password. Nama anda, nama istri / suami anda, nama anak, ataupun nama kawan. Nama komputer yang anda gunakan. Nomor telepon atau plat nomor kendaran anda. Tanggal lahir. Alamat rumah. Nama tempat yang terkenal. Kata-kata yang terdapat dalam kamus (bahasa Indonesia maupun bahasa Inggris) Hal-hal di atas ditambah satu angka Password dengan karakter yang sama diulang-ulang. 3. Memasang Proteksi Untuk lebih meningkatkan keamanan sistem informasi, proteksi dapat ditambahkan. Proteksi ini dapat berupa filter (secara umum) dan yang lebih spesifik adalah firewall. Filter dapat digunakan untuk memfilter e-mail, informasi, akses, atau bahkan dalam level packet.
- 7. 4. Firewall Firewall merupakan sebuah perangkat yang diletakkan antara Internet dengan jaringan internal. Informasi yang keluar atau masuk harus melalui firewall ini. Tujuan utama dari firewall adalah untuk menjaga (prevent) agarakses (ke dalam maupun ke luar) dari orang yang tidak berwenang(unauthorized access) tidak dapat dilakukan. 5. Pemantau adanya serangan Sistem pemantau (monitoring system) digunakan untuk mengetahui adanya tamu tak diundang (intruder) atau adanya serangan (attack). Nama lain dari sistem ini adalah “intruder detection system” (IDS). Sistem ini dapat memberitahu administrator melalui e-mail maupunmelalui mekanisme lain seperti melalui pager. 6. Pemantau integritas sistem Pemantau integritas sistem dijalankan secara berkala untuk mengujiintegratitas sistem. Salah satu contoh program yang umum digunakan di sistem UNIX adalah program Tripwire. Program paket Tripwire dapat digunakan untuk memantau adanya perubahan padaberkas. Pada mulanya, tripwire dijalankan dan membuat databasemengenai berkas-berkas atau direktori yang ingin kita amati beserta“signature” dari berkas tersebut. Signature berisi informasi mengenaibesarnya berkas, kapan dibuatnya, pemiliknya, hasil checksum atauhash (misalnya dengan menggunakan program MD5), dansebagainya. Apabila ada perubahan pada berkas tersebut, makakeluaran dari hash function akan berbeda dengan yang ada didatabase sehingga ketahuan adanya perubahan. 7. Audit: Mengamati Berkas Log Segala (sebagian besar) kegiatan penggunaan sistem dapat dicatat dalam berkas yang biasanya disebut “logfile” atau “log” saja. Berkaslog ini sangat berguna untuk mengamati penyimpangan yangterjadi. Kegagalan untuk masuk ke sistem (login), misalnya,tersimpan di dalam berkas log. Untuk itu para administrator diwajibkan untuk rajin memelihara dan menganalisa berkas log yang dimilikinya. 8. Backup secara rutin Seringkali tamu tak diundang (intruder) masuk ke dalam sistem danmerusak sistem dengan menghapus berkas-berkas yang dapatditemui. Jika intruder ini berhasil menjebol sistem dan masuksebagai super user (administrator), maka ada kemungkinan diadapat menghapus seluruh berkas. Untuk itu, adanya backup yangdilakukan secara rutin merupakan sebuah hal yang esensial. 9. Penggunaan Enkripsi untuk meningkatkan keamanan Salah satau mekanisme untuk meningkatkan keamanan adalah dengan menggunakan teknologi enkripsi. Data-data yang andakirimkan diubah sedemikian rupa sehingga tidak mudah disadap. Banyak servis di Internet yang masih menggunakan “plain text”untuk authentication, seperti penggunaan
- 8. pasangan userid danpassword.Informasi ini dapat dilihat dengan mudah oleh programpenyadap (sniffer). 10. Telnet atau shell aman Telnet atau remote login digunakan untuk mengakses sebuah “remotesite” atau komputer melalui sebuah jaringan komputer. Akses inidilakukan dengan menggunakan hubungan TCP/IP dengan menggunakan userid dan password. Informasi tentang userid dan password ini dikirimkan melalui jaringan komputer secara terbuka. Akibatnya ada kemungkinan seorang yang nakal melakukan“sniffing” dan mengumpulkan informasi tentang pasangan user id dan password ini. Kebijakan Keamanan Sistem Informasi 1. Kemanan sistem informasi merupakan urusan dan tanggung jawab semua karyawan 2. Penetapan pemilik sistem informasi 3. Langkah keamanan harus sesuai dengan peraturan dan undang-undang 4. Antisipasi terhadap kesalahan 5. Pengaksesan ke dalam sistem harus berdasarkan kebutuhan fungsi 6. Hanya data bisnis yang ditekuni perusahaan yang diperbolehkan untuk diproses di sistem informasi 7. Pekerjaan yang dilakukan oleh pihak ketiga 8. Pemisahan aktivitas antara pengembang sistem, pengoperasian sistem, dan pemakai akhir sistem informasi 9. Implementasi sistem baru atau permintaan perubahan terhadap sistem yang sudah ada harus melalui pengontrolan yang ketat melalui prosedur sistem akseptasi dan permintaan perubahan (change request) 10. Sistem yang akan dikembangkan harus sesuai dnegan standart metode pengembangan sistem yang diemban oleh organisasi 11. Pemakai bertanggung jawab penuh atas semua aktivitas yang dilakukan dengan memakai kode identiitasnya (user-ID) Cara menanggulangi ancaman atau gangguan Dengan mengunakan metode pengelolaan pengendalian-pengendalian (managing controls) yaitu kegiatan-kegiatan yang dilakukan manajer sistem informasi untuk meyakinkan bahwa pengendalian- pengendalian di dalam sistem teknologi informasi masih tetap dilakukan dan masih efektif dalam mencegah ancaman dan gangguan terhadap sistem informasi. Pengendalian di sistem teknologi informasi terbagi menjadi dua kelompok, yaitu:
- 9. 1. Pengendalian secara umum (General Controls) Pengendalian secara umum merupakan pengendalian-pengendalian sistem teknologi informasi yang paling luar yang harus dihadapi terlebih dahulu oleh pemakai sistem informasinya, meliputi pengendalian: • Organisasi • Dokumentasi • Kontrol pencegahan kerusakan perangkat keras • Design keaamaan fisik • Parameter keamanan data 2. Pengendalian aplikasi (Application Controls) pengendalian aplikasi merupakan pengendalian yang dipasang pada pengelolaan aplikasinya yang meliputi: • Pengendalian-pengendalian masukan (Input Control) • Pengendalian-pengendalian pengolahan (Processing Control) • Pengendalian-pengendalian keluaran (Output Controls)