COMPUTER SECURITY

1. kenapa sih perlu security ?

Security perlu untuk melindungi data, file, properti yang kita miliki. sama
seperti properti kepemilikan kita, misalnya rumah, kendaraan, badan…dll
semuanya perlu security. jangan sampai properti yang kita miliki bisa di
ambil oleh orang lain yang tidak berhak. Misalnya saya punya sesuatu barang.
tergantung kita apakah orang lain boleh melihat, memakai, mengambil, atau
tidak boleh sama sekali tahu. itu kita yang punya barang yang mengatur.
begitu juga di bidang komputer, orang lain bisa saja melihat file-file kita
tanpa setahu kita. bisa saja mencuri informasi, email, data pribadi…no
kartu kridit, no rekening, no atm, no hp..dll. dan kalau orang tersebut
menyalah gunakan informasi tersebut bisa saja dia mengambil uang kita di
bank, bisa berbelanja atas nama kita, bisa mengirim sms enggak benar atas
nama kita. bisa saja mengirim email atas nama kita ke semua orang yang ada di
addressbook kita (sosial engineering)

2. apa saja yang perlu di secure ?

Tergantung anda, apa saja yang harus lebih secure apa yang tidak perlu. Kalau
mobil anda cukup dipasang kunci stir, apakah anda masih perlu alarm, masih
perlu kunci rahasia, apakah jendela cukup di kunci saja apakah masih perlu
kunci gambok, tralis besi. apakah pagar cukup 1 m, atau perlu setinggi 3 m.

server anda apakah cukup instalasi linux standar, tanpa perlu firewall, apakah
masih perlu selinux (security enhance linux), apakah masih bisa di konsol
lewat telnet, atau perlu ssh, apakah masih bisa di ping, atau ping nya di
blok. itu semua tergantung kebutuhan…jangan sampai security ini menyusahkan
diri sendiri.

apakah notebook anda ada sangat data penting sehingga anda tidak bisa
meminjamkan ke orang lain ?, apakah kalau orang anda pinjamkan harus login
dengan guest, apakah password anda tidak boleh diketahui orang lain ?
walaupun itu orang terdekat anda ? apakah boleh orang lain mengetahui
password root notebook anda ?

itu semua anda yang mengatur, bisa secure atau tidak…nya ya tergantung
kebutuhan.

kalau rekan kerja anda bisa di percaya 100% bisa saja dia diberikan source
code anda yang terpenting dalam hidup anda. kalau dia orang yang tidak bisa
dipercaya jangan coba-coba memberikan informasi penting itu.

kalau anda percaya windows masih secure, tidak akan anda kehilangan file,
data, atau informasi rahasia, silahkan saja pakai windows.
Tapi kalau tidak, kapok kena virus, kena spyware, capek tiap minggu bahkan
tiap hari harus update antivirus, download patch…dll pakai OS yang lebih
secure misalnya linux, MacOS X. kalau masih kurang secure pakai saja openbsd
yang di claim OS paling secure di muka bumi.

kalau website anda berisi informasi penting, misalnya gerakan dakwah politik
partai yang hanya bisa diakses oleh anggota partai, mungkin perlu security
tinggat tinggi, perlu login/password yang di berikan oleh ketua partai, untuk
mendapatkan akses ke website anda.

Kalau anda jualan di internet, informasi no kartu kredit, no atm, no rekening,
perlu di buat secure.

jadi perangkat apa saja yang perlu secure dan yang tidak perlu, anda yang
menentukan aturan (policy) nya, misalnya app server ERP sangat penting
sehingga orang luar tidak bisa mengakses ke server, perlu firewall 2 sampai 3
layer, yang masuk ke ruangan server perlu otoritas tertentu, hanya anda yang
tau root server itu…dsb.

sebaliknya webserver anda yang berisi server percobaan, tidak perlu security
tercanggih…cukup install standar dengan firewall standar.

3. bagaimana cara hacker (sebenarnya cracker) meng-hack ?

1001 (infinity) cara maling bisa masuk ke rumah, begitu juga craker…

cantoh yang disini mungkin sudah kuno, tapi ini cara-cara paling klasik dan
paling jitu.
1. sosial engineering, misanya menyamar jadi karyawan (di perusahaan besar
mudah sekali), memakai email orang lain (banyak dipakai virus/worm),
berpura-pura sebagai teman dekat…dll (di novel blue nowhere banyak contoh
nya)
2. mencuri informasi, melalui sniffing network mencari user/password, mencari
tagihan kartu kredit yang dibuang di tempat sampah. membuat spyware yang akan
mengirimkan addressbook, pim, no-no penting di komputer ke internet.
3. mencari security hole aplikasi, aplikasi yang ada “bolong” nya bisa
menyebabkan dihack orang, misalnya sendmail terkenal banyak hole nya, lebih
baik pakai qmail, postfix. Telnet tidak secure karena mengirim plain text
melalui network.
4. DOS (denail of service) Dulu pernah kejadian IIS kena virus code red yang
menyebabkan internet sempat macet. juga virus blaster, mellisa. Juga dalnet
pernah di DDOS (distribute denail of service) sehingga macet. mail server,
atau proxy server yang tidak benar konfigurasi nya juga bisa.
DOS ini cara kerja nya adalah memberikan request ke server sehingga server
tersebut tidak bisa bekerja lagi dan macet. misalnya mengirim ping terus
menerus. DDOS lebih parah kejam lagi, penyerang misalnya mengirimkan
virus/worm yang akan menyebabkan komputer yang terkena akan menjadi bot
(robot), yang akan menyerang site-site tertentu. bayangkan saja kalau jutaan
komputer terkena virus dan menyerang satu server, server itu bisa down dalam
hitungan jam. kasus virus … lupa yang menyerang site SCO.
Tapi bisa saja sabotasi ini onsite di lingkungan dalam, misalnya membuat
service yang looping dan beranak… dengan child process yang berkembang
sangat cepat server pasti akan down dengan cepat. pernah juga router cisco
yang down ada hole nya di port tertentu yang dimanfaatkan virus.
5. membuat malicius code, membuat trojan, virus, worm, spyware yang akan
memberikan akses ke server tertentu. misalnya dengan mencuri password. trojan
yang membuka tcp port yang bisa membuat backdoor.
6. mengakses melalui LAN, biasanya LAN sangat tidak secure, dibanding jaringan
internet, orang yang membawa notebook dan menacapkan LAN akan dengan bebas
mengakses lan lokal, melihat file sharing, dll. begitu juga dengan wireless
lan, kalau tidak secure, gedung sebelah bisa dengan mudah masuk ke LAN, dan
bisa mengakses file sharing, server-server yang berada di LAN.

Tujuan nya…macam-macam
1. uji coba ilmu, yang ini biasanya pelajar, mahasiswa. yang ingin test ilmu
nya di internet, ngehack server sekolanya (biasanya security nya payah).
kalau merasa sudah hebat ngehack server-server pemerintah, bank, dll biasanya
tidak merusak. tapi biasanya cukup ceroboh gampang di ketahui admin. misalnya
tidak membersihkan log, meninggalkan history.
2. Mencari tantangan, yang ini hanya coba-coba untuk ngehack server dan
meninggalkan pesan ke admin nya…bahwa security nya masih bolong sana dan
sini…hacker berpengalaman yang kurang kerjaan biasanya ngehack server
server yang dengan security yang cukup tinggi…
3. Pemerasan. Banyak server yang di DOS yang dengan tujuan sabotase, pemerasan
atau sakit hati…dll, bisa juga protes karena misalnya site SCO.
4. politik. bisa saja suatu negara di ban blok karena perang, di sabotase site
site nya, atau di kirim virus…wah ini sudah perang negara…perang
elektronik, misalnya waktu irak di perangi amerika, saya yakin internet, TV,
Radio, juga di ban/blok, TV/Radio nya di jamming…yang pasti orang militer
yang punya kerjaan…kalau indonesia coba-coba ngelawan amrik, israel, dkk,
pastinya akan diserang dari segala macam penjuru, termasuk internet…
coba-coba aja ngusir mobiloil, freeport, newmont, caltex…kalo enggak di
perangi terang terangan… sekarang aja pemerintah masih nurut di dikte amrik
dkk…ya masih aman-aman aja, walaupun pengaruh nya sudah terasa…ya anda
bisa lah merasakan nya
…dll

Security : 5 Kesalahan Utama Dalam Security
Kita banyak mendengar kriminalitas di dunia komputer, banyak situs di deface/hack, kartu kredit disalah gunakan oleh orang lain. Tapi yang menjadi pertanyaan, apakah ini kesalahan sistem semata ?? Berikut penulis mengungkapkan 5 kesalahan utama dalam hal security berdasarkan pengetahuan yang didapat dan pengalaman.

Banyak negara sudah mulai ‘aware’ / menaruh perhatian pada keamanan komputer (computer security) atau Internet security dengan adanya hukum cyber atau hukum mengenai kejahatan komputer salah satu contohnya adalah di Vietnam mulai bulan Mei. Dengan adanya hukum yang mengatur keamanan di bidang komputer ini bukan berarti dapat menghilangkan pelanggaran atau kejahatan dalam bidang ini tetapi setidaknya ada langkah yang akan diambil seandainya terjadi pelanggaran. Tapi sebenarnya masalah utama yaitu terletak pada pengguna/user yang menggunakan komputer.

Tampak bahwa perhatian pada bidang keamanan/security belakangan ini cukup meningkat dengan adanya pemberitaan di berbagai majalah ibukota terutama setelah terjadinya berbagai kasus penyalahgunaan di dunia cyber seperti contoh kasus situs BCA yang di-duplikat dengan nama yang mirip beberapa waktu lalu. Terlihat juga antusias dari pengunjung situs Techmedia pada artikel yang dibuat rekan kami ‘cyworm’ yaitu mengcrack Windows 2000 yang mencapai hit sekitar 500 lebih.

Oleh sebab itu penulis akan mencoba menulis beberapa artikel mengenai bidang keamanan jaringan komputer ini, tetapi sebelumnya penulis akan menyoroti 5 kesalahan utama yang dilakukan orang sehingga mengakibatkan data mereka dapat dicuri orang lain, situs dapat di hack/deface dsbnya.

Orang umumnya sebelum meninggalkan rumah akan mengunci pintu terlebih dahulu, tetapi dalam penggunaan komputer, orang lebih cenderung lebih ceroboh. Hal ini tidak hanya mencakup end-user atau pengguna tetapi termasuk semua orang di departemen IT. Berikut ini adalah 5 kesalahan utama dalam security.

Menuliskan Password di Kertas. Ini benar-benar terjadi. Selama penulis masih menjadi system administrator, beberapa kali penulis menemukan usernya menuliskan password mereka di secarik kertas atau kertas post-it kemudian menempelkannya di PC atau samping monitor. Terlalu malas untuk mengingat password mereka, sehingga dicatat di kertas dan meletakkannya begitu saja sehingga semua orang bisa membacanya. Berdasarkan survei yang pernah dilakukan oleh lembaga security di US menemukan bahwa sekitar 15 – 20 % user di suatu perusahaan melakukan hal ini. Andaikan user di perusahaan A mencapai 100 orang maka ada sekitar 15 sampai 20 orang yang melakukan keteledoran ini. Suatu jumlah yang besar yang dapat mengakibatkan kebocoran data perusahaan.

Pemilihan password yang jelek. Ada kecenderungan orang dalam memilih password mereka adalah dengan menggunakan nama orang dekat mereka seperti nama suami atau istri, nama pacar, nama orang-tua, nama binatang kesayangan atau tulisan di sekitar mereka yang gampang ditebak oleh orang lain. Atau bahkan menggunakan tanggal lahir mereka sendiri. Rekan saya cyworm dalam artikelnya telah menunjukkan bahwa penggunaan password yang jelek akan dengan gampang di-“crack” apalagi kalau password yang digunakan sama dengan user-name maka kurang dari semenit password tersebut akan dapat di-crack. Jika anda menggunakan password dengan kombinasi abjad, nomor dan huruf besar-kecil, maka dibutuhkan waktu yang cukup lama untuk meng-crack dan juga tergantung seberapa panjang password yang digunakan juga. Saat ini beberapa situs tertentu menggunakan kalimat (phrase) sebagai password seperti di situs hushmail.

Meninggalkan komputer yang sedang digunakan begitu saja. Ada banyak orang yang meninggalkan komputer mereka tanpa proteksi apa apa. Buat apa password ??? orang lain tinggal datang dan duduk untuk mengakses data anda. Berbagai sistem operasi sudah memberikan fasilitas seperti screen saver yang bisa diaktifkan passwordnya setelah misalnya 5 menit atau berapa sesuai dengan yang diset atau bisa di-lock begitu kita mau meninggalkan komputer kita.

Membuka lampiran (attachment) email tanpa melakukan pengecekan terlebih dahulu. Seiring dengan maraknya penggunaan email, virus banyak menyebar melalui email. Salah satu kesalahan utama yang banyak dilakukan oleh orang adalah membuka attachment email tanpa melakukan konfirmasi atau pengecekan terlebih dahulu terutama kalau mendapat kiriman dari orang yang tidak dikenal. Efek yang ditimbulkan selanjutnya jika attachmen itu berupa virus maka akan berakibat pada kehilangan data. Penulis sering kali menerima email dari orang tidak dikenal yang setelah dideteksi oleh program anti virus ternyata memang berisi virus terutama virus worm seperti Magistr.

Tidak adanya kebijakan security komputer di perusahaan. Bukan hal yang aneh jika perusahaan di Indonesia tidak memiliki hal ini karena perusahaan di Indonesia masih tidak ‘aware’ dengan security kecuali perusahaan multinasional, itupun karena keharusan dari headquarter yang mengharuskan menerapkan ‘policy’ di perusahaan mereka di Indonesia. Security policy ini yang mengatur segala hal yang berkaitan dengan keamanan komputer seperti penerapan password setiap orang (mis : 6 karakter panjangnya dan kombinasi numerik dan karakter), juga berisi sanksi yang akan diterima jika terjadi pelanggaran.

Masih terdapat beberapa penyebab kebocoran data komputer yang disebabkan oleh kelalaian dari si pengguna seperti laptop yang ditinggalkan di mobil sehingga bisa dicuri orang lain dan memberitahukan passwordnya ke orang lain. Jadi secanggih apapun teknologi yang diimplementasikan misalnya BCA meng-klaim mereka telah menggunakan enkrips SSL 128 bit, kemudian firewall dan berbagai proteksi lainnya (lihat artikel mengenai BCA di Techmedia). Tapi kesalahan mengetik dari para customer BCA bisa membawa kebocoran dana ataupun data.

Penulis sangat setuju dengan apa yang dikatakan oleh Bruce Schneier dalam bukunya ‘Secret and Lies’ bahwa security itu bukanlan produk atau teknologi, baik teknologi dan produk itu hanya sebagian kecil dari security itu sendiri. Security merupakan suatu Proses. Jadi proses dari perencanaan kebijakan security, review produk dan teknologi sampai dengan implementasi kemudian auditing.


Advertisements

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s