+

Computer & Network Security : Information security

Indra Priyandono ST

+

+Outline

Information securityAttacks, services and mechanismsSecurity attacksSecurity servicesMethods of DefenseModel for Internetwork Security Internet standards and RFCs

+Protection of data

1. Keamanan Komputer: Timesharing sistem: beberapa pengguna

berbagi H / W dan S / W sumber daya pada komputer.

Remote login diperbolehkan melalui jaringan.

"Langkah-langkah dan alat-alat untuk melindungi data dan menggagalkan hacker disebut Keamanan Komputer".

+

2. Network Security: Jaringan komputer banyak digunakan untuk menghubungkan komputer di lokasi yang jauh. Meningkatkan masalah keamanan

tambahan: Data dalam transmisi harus dilindungi. Konektivitas jaringan menjadikan setiap

komputer lebih rentan.

+Attacks, Services and MechanismsTiga aspek Keamanan Informasi: Security Attack: Setiap tindakan yang

menbahayakan keamanan informasi. Security Mechanism: Sebuah mekanisme yang

dirancang untuk mendeteksi, mencegah, atau memulihkan dari serangan keamanan.

Security Service: Sebuah layanan yang meningkatkan keamanan sistem pengolahan data dan transfer informasi. Sebuah layanan keamanan yang menggunakan satu atau lebih mekanisme keamanan.

+Security Attacks

+Security Attacks

Interruption: Aset sistem ini hancur atau menjadi tidak tersedia atau tidak dapat digunakan. Ini adalah serangan terhadap ketersediaan. contoh: Menghancurkan beberapa H / W (disk atau

line). Menonaktifkan sistem file. Membanjiri komputer dengan proses atau link

komunikasi dengan paket.

+Security Attacks

Interception: Sebuah akses yang tidak sah untuk mendapatkan aset aset informasi. Ini merupakan serangan terhadap

kerahasiaan. contoh: Penyadapan untuk menangkap data dalam

jaringan. Menyalin data atau program yang sah

+Security Attacks

Modification:Sebuah akses yang tidak sah untuk mencari keuntungan atau atau informasi aset. Ini merupakan serangan terhadap

integritas. contoh: Mengubah file data. Mengubah program. Mengubah isi pesan.

+Security Attacks

Fabrication: Sebuah pihak yang tidak berwenang menyisipkan objek palsu ke dalam sistem. Ini merupakan serangan terhadap keaslian /authenticitycontoh: Penyisipan catatan dalam file data. Penyisipan pesan palsu dalam jaringan. (pesan

ulangan).Spoofing

+Passive vs. Active Attacks

Secara garis besar, ancaman terhadap teknologi sistem informasi terbagi dua Passive Attacks : Usaha untuk bisa mendapatkan

informasi dari sistem yang ada dengan menunggu informasi-informasi itu dikirimkan di dalam jaringan

Sangat sulit unuk dideteksi

+Passive vs. Active Attacks

Active Attacks : Metode penyerangan yang dilakukan

dengan terlibat dalam modifikasi aliran data

+

+Passive Threats

Release of message : serangan yang bertujuan untuk mendapatkan informasi yang dikirim baik melalui percakapan telepon, email, ataupun transfer file dalam jaringan

Traffic analysis : Serangan yang dilakukan dengan mengambil informasi yang telah diberi proteksi (misal enkripsi) dan dikirimkan dalam jaringan. menganalisa sistem proteksi informasi tersebut

untuk kemudian dapat memecahkan sistem proteksi informasi tersebut

+Active Threats

Masquerade: Masquerading atau Impersonation yaitu penetrasi

ke sistem komputer dengan memakai identitas dan password dari orang lain yang sah. Identitas dan password ini biasanya diperoleh dari orang dalam.

Replay: Dilakukan dengan cara mengambil data secara

pasif dan kemudian mengirimkannya kembali ke dalam jaringan sehingga memunculkan efek yang tidak dapat diketahui.

+Active Threats

Modification of messages: Sebagian dari pesan yang sah telah diubah

untuk menghasilkan informasi lain. Denial of service: Menghambat penggunaan normal dari

komputer dan komunikasi sumber daya. Membanjiri jaringan komputer dengan paket. Membanjiri CPU atau server dengan proses.

+Security Services Confidentiality (privacy) Authentication (yang dibuat atau mengirim data) Integrity (belum diubah) Non-repudiation (order adalah final) Access control (mencegah penyalahgunaan

sumber daya) Availability /Ketersediaan (permanen, non-

penghapusan) Serangan Denial of Service Virus yang menghapus file

+Confidentiality (Kerahasiaan) Defenisi : menjaga informasi dari orang yang tidak

berhak mengakses. Privacy : lebih kearah data-data yang sifatnya

privat ,  informasi yang tepat terakses oleh mereka yang berhak ( dan bukan orang lain). Contoh : e-mail seorang pemakai (user) tidak boleh dibaca oleh administrator.

Confidentiality atau kerahasiaan adalah pencegahan bagi mereka yang tidak berkepentingan dapat mencapai informasi,  berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu dan hanya diperbolehkan untuk keperluan tertentu tersebut.

+Confidentiality (Kerahasiaan) Cont Contoh : data-data yang sifatnya pribadi

(seperti nama, tempat tanggal lahir, social security number, agama, status perkawinan, penyakit yang pernah diderita, nomor kartu kredit, dan sebagainya) harus dapat diproteksi dalam penggunaan dan penyebarannya.

Bentuk Serangan : usaha penyadapan (dengan program sniffer).

Usaha-usaha yang dapat dilakukan untuk meningkatkan privacy dan confidentiality adalah dengan menggunakan teknologi kriptografi.

+Authentication

Adalah suatu langkah untuk menentukan atau mengonfirmasi bahwa seseorang (atau sesuatu) adalah autentik atau asli. Melakukan autentikasi terhadap sebuah objek adalah melakukan konfirmasi terhadap kebenarannya. Sedangkan melakukan autentikasi terhadap seseorang biasanya adalah untuk memverifikasi identitasnya.

Informasi tersebut benar-benar dari orang yang dikehendaki.

+Authentication Cont…

Dukungan : Adanya Tools membuktikan keaslian dokumen,

dapat dilakukan dengan teknologi watermarking(untuk menjaga “intellectual property” dan digital signature.

Access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses informasi. User harus menggunakan password, biometric (ciri-ciri khas orang), dan sejenisnya.

Pada suatu sistem komputer, autentikasi biasanya terjadi pada saat login atau permintaan akses.

+Integrity informasi tidak boleh diubah tanpa seijin pemilik

informasi,  keaslian pesan yang dikirim melalui sebuah jaringan dan dapat dipastikan bahwa informasi yang dikirim tidak dimodifikasi oleh orang yang tidak berhak dalam perjalanan informasi tersebut.

Contoh : e-mail di intercept di tengah jalan, diubah isinya, kemudian diteruskan ke alamat yang dituju.

Bentuk serangan : Adanya virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa ijin, “man in the middle attack” dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain.

+Non-repudiation

Merupakan hal yang yang bersangkutan dengan sipengirim (seseorang yang telah melakukan transaksi), Aspek ini menjaga agar seseorang tidak dapat menyangkal telah melakukan sebuah transaksi. Dukungan bagi electronic commerce.

+Access Control

Cara pengaturan akses kepada informasi. berhubungan dengan masalah authentication dan juga privacy

Metode : Access control seringkali dilakukan menggunakan kombinasi userid/password atau dengan menggunakan mekanisme lain.

+ Availability Upaya pencegahan ditahannya informasi atau

sumber daya terkait oleh mereka yang tidak berhak, berhubungan dengan ketersediaan informasi ketika dibutuhkan.

Contoh hambatan : “denial of service attack” (DoS attack), dimana

server dikirimi permintaan (biasanya palsu) yang bertubi-tubi atau permintaan yang diluar perkiraan sehingga tidak dapat melayani permintaan lain atau bahkan sampai down, hang, crash.

mailbomb, dimana seorang pemakai dikirimi e-mail bertubi-tubi (katakan ribuan e-mail) dengan ukuran yang besar sehingga sang pemakai tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya.

+Availability Cont…

Dampak hambatan : sistem informasi yang diserang atau dijebol dapat  menghambat atau meniadakan akses ke informasi.

+Methods of Defence

Encryption Software Controls (pembatasan akses dalam

database, dalam sistem operasi melindungi setiap pengguna dari pengguna lain)

Hardware Controls (smartcard) Policies (sering mengubah password) Physical Controls

+