Network Security

 

Tujuan Keamanan Jaringan

 

Penanganan Insiden Keamanan Jaringan adalah bagian dalam menangani keamanan informasi. Sebab dari keadaan jaringan yang ada dan diaplikasikan dalam suatu organisasi akan mempengaruhi keamanan informasi yang ada padanya.

 

Tujuan :

Tujuan dari prosedur ini adalah untuk memastikan manajemen yang efektif dan konsisten dari penanganan insiden keamanan pada jaringan komputer. Tujuan Informasi ini adalah untuk mengenalkan kepada personel keamanan TI terhadap serangan pada jaringan (misal Distributed denial-of-service), modus operandi, dan langkah-langkah yang direkomendasikan untuk membantu upaya perbaikan, persiapan, identifikasi, penahanan, pemulihan dan keberlangsungan yang diperlukan untuk membatasi risiko yang diakibatkan oleh terjadinya insiden. Dokumen ini dapat digunakan oleh administrator sistem, tim insiden respon insiden keamanan komputer, pusat operasi keamanan TI dan kelompok teknologi terkait lainnya.

Persiapan Teknologi/tool :

 

Persiapan teknologi adalah kegiatan untuk menyiapkan semua alat/teknologi yang diperlukan dalam proses penanganan insiden keamanan pada jaringan, alat-alat tersebut antara lain,

 

a. Virus Removal Tools:

Komponen lain yang harus disediakan dalam penanganan insiden pada jaringan adalah tool dari berbagai vendor antivirus untuk menghapus malware. Tool penghapus virus bisa lebih efektif, efisien, dan mudah untuk bekerja daripada mesin antivirus. Namun, tool tersebut terbatas hanya bekerja sebagian besar satu keluarga malware. McAfee Stringer adalah alat removal untuk suatu kelompok malware.

 

b. Wireshark

Wireshark adalah sebuah tools open source yang berfungsi sebagai network packet analyzer. Sebuah network packet analyzer akan berusaha meng-capture packet data dan menampilkan sedetail mungkin jika memungkinkan. Wireshark merupakan salah satu dari sekian banyak tool Network Analyzer yang banyak digunakan oleh Network administrator untuk menganalisa kinerja jaringannya terrmasuk protokol didalamnya. Wireshark banyak disukai karena interfacenya yang menggunakan Graphical User Interface (GUI) atau tampilan grafis. Wireshark mampu menangkap paket-paket data atau informasi yang berseliweran dalam jaringan. Semua jenis paket informasi dalam berbagai format protokol pun akan dengan mudah ditangkap dan dianalisa. Karenanya tak jarang tool ini juga dapat dipakai untuk sniffing (memperoleh informasi penting spt password email atau account lain) dengan menangkap paket-paket yang berseliweran di dalam jaringan dan menganalisanya.

 

c. Metasploit

Metasploit merupakan sofware security yang sering digunakan untuk menguji coba ketahanan suatu sistem dengan cara mengeksploitasi kelemahan software suatu sistem. Metasploit biasanya digunakan untuk menyerang application layer dengan 0 day attack yang merupakan metode penyerangan pada software yang belum di patch. Metasploit biasa dikaitkan dengan istilah remote exploitation, maksudnya penyerang berada pada jarak jangkauan yang jauh dapat mengendalikan komputer korban. Metasploit menyerang dengan cara mengirimkan exploit pada

komputer korban. Exploit ini berisi payload yang sudah ditentukan oleh penyerang. Exploit adalah software yang berfungsi untuk memanfaatkan kelemahan pada software korban(misal web browser), setelah berhasil mengeksploitasinya exploit tersebut memasukkan payload ke dalam memori korban. Payload merupakan sebuah executable milik penyerang yang akan di run pada komputer korban dengan tujuan dapat mengendalikan komputer tersebut secara remote atau memasang backdoor, trojan, virus, worm, dan lain-lain. Terlepas dari penggunaan metasploit yang disalah gunakan untuk kejahatan, software ini juga membantu System Security untuk memperkuat pertahanan jaringannya dari ulah penyerang dari luar.

 

Persiapan Dokumen yang dibutuhkan

 

a. Membuat daftar dari alamat IP yang diprioritaskan untuk diperbolehkan melewati jaringan selama penanganan insiden.

 

b. Menyiapkan dokumen topologi jaringan, termasuk semua alamat IP yang paling up to date.

 

c. Meninjau Disaster Recovery Plan (DRP) dan memastikan manajemen senior dan tim hukum memahami pentingnya penanganan dari serangan pada jaringan, termasuk peran mereka.

 

Persiapan Komponen Keamanan Network

 

Komponen keamanan jaringan adalah komponen-komponen yang selama ini digunakan oleh organisasi untuk menjaga keamanan pada jaringan komputer dari organisasi tersebut, komponen-komponen itu antara lain,

 

Anti Malware

Anti malware merupakan sistem perangkat lunak yang berfungsi untuk menangkal program-program jahat yang akan memasuki/menyusup ke dalam jaringan komputer.

 

Firewall

Firewall adalah sebuah sistem atau perangkat yang mengizinkan lalu lintas jaringan yang dianggap aman untuk melaluinya dan mencegah lalu lintas jaringan yang tidak aman. Firewall umumnya juga digunakan untuk mengontrol akses terhadap siapa saja yang memiliki akses terhadap jaringan pribadi dari pihak luar.

 

 

 

 

 

 

Tahap Identifikiasi (Identification)

 

Indikator awal bahwa terjadi serangan pada jaringan adalah mencakup kinerja jaringan yang buruk, layanan tidak dapat diakses atau sistem crash.Kemampuan untuk mengidentifikasi dan memahami sifat dari serangan dan target akan membantu dalam proses penahanan dan pemulihan. Untuk tujuan ini, organisasi memerlukan alat yang memberikan visibilitas terhadapinfrastruktur teknologi informasi yang mereka kelola. Sebelum serangan terjadi pada jaringan, pengintaian dari target dilakukan oleh penyerang, termasuk pemindaian kerentanan yang terdapat pada jaringan target, kerentanan dapat diketahui dengan cara mengirimkan paket cacat ke host target untuk menganalisis perubahan dalam tenggang waktu respon tertentu. Kegiatan pengintaian ini mungkin sulit untuk dideteksi, terutama karena dapat terjadi sebelum serangan terjadi. Seorang penyerang juga memiliki pengetahuan untuk memastikan pemindaian lalu lintas tidak melewati ambang batas yang diperlukan untuk memicu alarm dari alat monitor jaringan. Namun, ada kemungkinan tersedia teknik intelijen yang menunjukkan kemungkinan peningkatan serangan terhadap jaringan komputer suatu organisasi.

 

Tahap Penahanan (Containment)

 

Memiliki rencana penahanan yang telah ditentukan sebelum serangan untuk sejumlah skenario secara signifikan akan meningkatkan kecepatan respon dan kerusakan akibat serangan pada jaringan. Sebagai contoh, strategi penahanan untuk sebuah mail server mungkin berbeda dari satu untuk server web. Meremehkan pentingnya fase ini dapat menyebabkan

kesalahan dan kerusakan yang signifikan. Oleh karena itu, memahami sifat serangan pada jaringan dan mendokumentasikan terkait proses pengambilan keputusan sangat penting. Suatu organisasi harus secara jelas mengidentifikasi perimeter dari jaringan dan aset yang terkena serangan. Load balancers, teknologi modern firewall (Deep Packet Inspection, proxy, penyaringan lapisan aplikasi), konten dari caching, layanan dinamis DNS adalah beberapa alat organisasi yang dapat memanfaatkan untuk menampung serangan pada jaringan yang sedang berlangsung menyerang.

 

Tahap Eradication

 

Tahap eradication merupakan tahap untuk melakukan analisa lebih dalam terhadap barang bukti yang telah ditahan, pada tahap ini dilakukan proses analisa terhadap beberapa log file yang terdapat pada server, peralatan aktif jaringan, IDS, Firewall, sistem file, dan aplikasi. Pada

tahap ini dilakukan analisa forensik dari barang bukti. Keberhasilan proses forensik sangat ditentukan oleh kualitas dan kuantitas informasi yang terkumpul. Log file dapat merupakan sumber informasi yang penting bagi proses forensik. Log file mengandung informasi tentang

berbagai sumber daya sistem, proses-proses dan aktivitas pengguna. Protocol analyzer, sniffer, server SMTP, DHCP, FTP dan WWW, router, firewall dan hampir semua aktivitas sistem atau user dapat dikumpulkan dalam log file. Tetapi jika administrator sistem tidak dapat mencatat,

maka fakta yang diperlukan untuk menghubungkan pelaku dengan insiden tidak ada. Sayangnya penyerang dan penjahat yang pintar mengetahui hal ini dan tujuan pertamanya adalah merusak atau mengubah log file untuk menyembunyikan aktivitas mereka. Hal kedua yang penting tetapi sering dilupakan adalah sistem clock. Pencatatan suatu file berhubungan dengan time stamp dan date stamp yang memungkinkan analis forensik untuk menentukan urutan kejadian. Tetapi jika sistem clock tidak dikoreksi/dikalibrasi secara berkala dapat dimatikan dari mana saja dari beberapa detik sampai beberapa jam. Hal ini menyebabkan masalah karena korelasi antara log file dari komputer yang berbeda.Sistem clock yang berbeda akan menyulitkan bahkan tidak

mungkin mengkorelasikan kejadian. Solusi yang sederhana untuk mensinkronisasi clock adalah seluruh server dan sistem berjalan pada suatu daemon seperti UNIX ntpd daemon, waktu dan tanggal sistem secara berkala harus disinkronisasikan dengan suatu atomic clock yang

disediakan pemerintah.

 

Serangan pada jaringan

Serangan adalah sesuatu yang telah mengganggu/merusak kinerja dari sebuah sistem. Idealnya , sebuah pertukaran informasi di dalam sistem jaringan computer dapat digambarkan seperti pada gambar diatas. Informasi dari user A diterima secara utuh oleh user B tanpa ada

perubahan, penyadapan atau modifikasi terhadap pesan. Namun, dengan adanya serangan terhadap keamanan jaringan komputer, pesan yang dikirimkan dapat diambil alih oleh pihak ketigauntuk kemudian dimodifikasi atau dibuat pesan palsu, atau pesan tidak sampai sama sekali. Serangan ini mempunyai 2 sifat yaitu pasif dan aktif. Serangan yang bersifat pasif adalah serangan yang tidak merusak ataupun merubah pesan yang dikirimkan, sedangkan serangan yang

bersifat aktif adalah serangan yang merusak atau adanya usaha modifikasi terhadap pesan maupun resource sistem. Tujuan dariserangan yang bersifat pasif adalah memperoleh informasi yang sedang ditransmisikan. Sebagai contoh: penyadapan terhadap saluran telepon, analisa lalu lintas data di dalam jaringan, penangkapan pesan, dan lainlain.

 

Intersepsi

 

Intersepsi adalah bentuk serangan dimana pihak ketiga menangkap pesan yang dikirimkan oleh user A tetapi pesan tersebut tetap dapat diterima oleh user B secara utuh. Contoh dari serangan ini adalah Password Sniffing. Pada serangan ini seolah- olah ada seorang attacker yang berada diantara korban dan server. Attacker akan melancarkan sniffing terhadap paket-paket data, sehingga bisa mendapatkan password dari korban. Packet Sniffing adalah sebuah metode serangan dengan cara mendengarkan seluruh paket yang lewat pada sebuah media komunikasi, baik itu media kabel maupun radio. Setelah paket-paket yang lewat itu didapatkan, paket-paket tersebut kemudian disusun ulang sehingga data yang dikirimkan oleh sebuah pihak dapat dicuri oleh pihak yang tidak berwenang. Hal ini dapat dilakukan karena pada dasarnya semua koneksi ethernet adalah koneksi yang bersifat broadcast, di mana semua host dalam sebuah kelompok jaringan akan menerima paket yang dikirimkan oleh sebuah host. Pada keadaan normal, hanya host yang menjadi tujuan paket yang akan memproses paket tersebut sedangkan host yang lainnya akan mengacuhkan paket-paket tersebut. Namun pada keadaan tertentu, sebuah host bisa merubah konfigurasi sehingga host tersebut akan memproses semua paket yang dikirimkan oleh host lainnya.

 

Modifikasi

 

Modifikasi adalah suatu bentuk penangkapan pesan dan disertai dengan modifikasi atau usaha untuk merubah pesan tersebut kemudian dikirimkan ke user yang sebenarnya. Contoh serangan ini adalah serangan oleh virus Trojan horse, TCP Hijacking. Trojan horse merupakan program yang terselubung dan bisa menempel dalam e-mail seseorang. Trojan horse bisanya program yang berbentuk sesuatu yang sangat menarik, sehingga seseorang menginginkan program tersebut untuk memilikinya. Apabila Trojan horse telah masuk ke dalam sistem seseorang maka program tersebut akan memberikan akses secara keseluruhan terhadap sistem yang telah terinfeksi tersebut. Trojan horse biasanya dibuat untuk mendapatkan akses ke file sistem orang

lain. Dengan demikian penyerang mampu melakukan pencurian file dan password, merusak file, atau memonitor apa yang dilakukan korbannya, mendownload file, menonaktifkan perangkat keras tertentu, merubah nama file, melakukan force shut down atau reboot. Antisipasi serangan

virus dengan anti virus yang selalu terupdate. TCP Hijacking bekerja berdasarkan pada IP Spoofing dan prediksi teradap nomor sequence dari paket TCP. Tujuannya adalah untuk mengambil seluruh paket TCP. Aplikasi-aplikasi yang menggunakan TCP antara lain adalah Telnet, rLogin, FTP. Dari aksi TCP Hijacking ini seorang penyerang bisa mendapatkan ID dan password dari korban. Antisipasi TCP Hijacking dengan Static ARP Tables dan Enkripsi data.

 

Otentikasi

Otentikasi berarti seseorang yang akan menggunakan sistem harus

menunjukkan jatidirinya. Identifikasi pemakai saat login merupakan dasar

asumsi sistem proteksi sehingga metode otentifikasi didasarkan pada

tiga cara, yaitu sesuatu yang diketahui pemakai, yang dimiliki pemakai,

dan mengenai pemakai. Password merupakan salah satu otentifikasi

yang diketahui pemakai, dimana pemakai memilih suatu kata kode,

mengingatnya dan mengetikkannya saat akan mengakses sistem

komputer. Teknik pengamanan dengan password mempunyai beberapa

kelemahan, terutama karena pemakai sering memilih password yang

mudah diingatnya. Supaya password relatif aman, maka diperlukan suatu

aturan tentang password seperti sebagai berikut

 

Account Locking

Jika ada user yang melakukan kesalahan login beberapa kali melebihi

dengan yang sudah ditentukan, maka server secara otomatis akan

melakukan locking terhadap account tersebut. Administrator akan

menentukan jumlah batas percobaan kesalahan melakukan login, dan

lamanya account akan di-locking. Namun administrator juga dapat

melakukan locking terhadap account tertentu secara langsung. Locking

dengan cara ini, tidak dapat dilakukan unlocking secara otomatis.

 

Password Aging & Expiration

Administrator dapat menentukan masa berlakunya penggunaan

password. Bila masa berlakunya sudah lewat, maka user tersebut atau

administratornya harus mengubah password tersebut. Administrator juga

dapat menentukan grace period, yaitu tenggang waktu yang diberikan

kepada user untuk mengganti passwordnya. Bila passwordnya belum

diganti hingga grace period berakhir, maka accountnya akan hangus dan

user tersebut tidak dapat lagi melakukan login. Administrator juga dapat

menentukan interval waktu di mana password yang sudah expired tidak dapat digunakan lagi secara langsung

 

 

1. Fungsi filtering

Firewall bekerja pada level jaringan (network -level firewall) biasa disebut

packet filter. Firewall tipe ini biasanya berupa router yang melakukan

fungsi packet filtering berdasarkan parameter-parameter tertentu : alamat

sumber, protokol, nomor port dan isi. Dari membandingkan informasi

yang diperoleh pada paket – paket trafik dengan kebijaksanaan yang ada

pada tabel akses, maka tindakan yang diberlakukan adalah :

- Melewatkan paket data ke tujuannya (client atau server)

- Memblok paket data

 

2. Fungsi Proxy

Firewall pada level aplikasi (application level gateway) ini berfungsi

sebagai penghubung antara komputer client dengan jaringan luar. Pada

koneksinya, paket-paket IP tidak pernah diteruskan secara langsung,

namun ditranslasi dan diwakilkan oleh gateway aplikasi tersebut yang

berfungsi sebagai saluran dan penterjemah dan menggantikan fun gsi

client. Proxy akan merelai semua request dari client kepada server yang

sesungguhnya, kemudian merelay balik semua hasil response real server

kepada client kembali. Ditengah proses di atas, maka proxy server

berkesempatan untuk melakukan pembatasan “relay” berdasarkan tabel

akses yang sudah dibuat. Fungsi proxy dapat dilakukan oleh berbagai

software tergantung kepada jenis proxy yang dibutuhkan, misalnya web

proxy, rlogin proxy, ftp proxy dan seterusnya.