KEAMANAN KOMPUTER (K1E/3 SKS) Oleh : Jim Michael Widi, S.Kom. Jim Michael Widi, S.Kom

Uraian dan Sasaran Uraian: Sasaran: Mata Kuliah ini memberikan pengetahuan kepada mahasiswa tentang penjelasan  pengertian sekuriti dan privacy serta hubungan  yang terjadi, masalah-masalah yang dapat menghambat pengoperasian sekuriti, pertimbangan-pertimbangan dalam sistem sekuriti dan rencana pengimplementasiannya. Sasaran: Membekali pengetahuan kepada mahasiswa tentang konsep keamanan pada komputer serta dampak-dampak yang dapat terjadi Jim Michael Widi, S.Kom

Daftar Pustaka P.Pleeger, Charles, Lawrence Pleeger Sari, “Security in Computing”, 3rd Edition, Prentice Hall, New Jersey, 2003 Staling, William, “Cryptography and Network Security: Principles & Practices”, Third Edition, Prentice Hall, New Jersey, 2003 Russell, Deborah and Gangemi Sr., G.T., “Computer Security Basics”, 3rd Edition, O’Reilly & Associates, USA, July 1992. Jim Michael Widi, S.Kom

Materi Konsep Dasar Keamanan Komputer Manajemen Keamanan Sistem Informasi Keamanan Komputer secara fisik Keamanan Komputer secara Operating System Keamanan Komputer di dalam jaringan Administrasi Keamanan Komputer Cryptography; Etika di dalam keamanan komputer. Jim Michael Widi, S.Kom

Konsep Dasar Keamanan Komputer Pengertian Keamanan Komputer Attacks Computer Criminal Methods Of Defense Encryption, Hardware, Software and Human Control in Security Jim Michael Widi, S.Kom

Pengertian Keamanan Komputer Sekuriti Segala sesuatu yang mengenai keamanan Komputer Suatu sistem yang meliputi CPU (Prosesor), Memori, I/O Device, dll Sekuriti Komputer Segala sesuatu yang mengenai keamanan bagi Sistem Komputer Filosofi (dasar pemikiran) Keamanan Komputer Agar dapat mengamankan sistem komputer dengan benar, maka kita harus tahu karakteristik pengganggu yang akan mendatangi sistem komputer kita. Jim Michael Widi, S.Kom

Komponen Sistem Komputer Perangkat Keras (Hardware) Misalnya : dari pencurian, dll Perangkat Lunak (Software) Misalnya : dari serangan virus, harckres, dll Perangkat Manusia (Brainware) Misalnya : Pembajakan tenaga kerja BACK Jim Michael Widi, S.Kom

Pihak yang mengganggu : Pihak yang terkait Pihak yang diganggu (Sistem Komputer): Pihak yang mengganggu : Perangkat lunak Perangkat keras Perangkat manusia Manajemen Basis Data Operasional Fisik Lingkungan Fisika Kimia Organisasi Perangkat Lunak Perangkat Keras Sistem Operasi Telekomunikasi Jim Michael Widi, S.Kom

SISI LINGKUNGAN Manusia Binatang Tumbuhan Cuaca Iklim Bencana Alam Hal yang perlu diwaspadai adalah : Manusia Binatang Tumbuhan Cuaca Iklim Bencana Alam Jim Michael Widi, S.Kom

MANUSIA Mencuri Mengambil barang (fisik) Mencuri perangkat keras komputer Mencuri data (logic) Menyadap Mendengar Melihat Media transmisi Menduplikasi data Memotret Jim Michael Widi, S.Kom

Manusia MERUSAK MENGGANGGU PENANGGULANGAN Mengakibatkan sebagian atau keseluruhan sistem tidak berfungsi MENGGANGGU Sebagian atau seluruh sistem terganggu PENANGGULANGAN Dengan membuat area yang terbatas, terutama ruang server Melindungi sebagian peralatan komputer dengan kerangka besi Jim Michael Widi, S.Kom Back

Binatang Tikus : mengerat, sarang, urine, kotoran, bangkai Cicak : telur, urine, kotoran, bangkai Kecoa : mengerat, telur, urine, kotoran, bangkai Laba-laba : sarang, telur, urine, kotoran, bangkai Rayap : mengerat, sarang, urine, kotoran, bangkai Ngengat : telur, urine, kotoran, bangkai Semut : sarang, urine, kotoran, bangkai Lalat : urine, kotoran, bangkai Tawon : sarang, telur, urine, kotoran, bangkai Nyamuk : urine, kotoran, bangkai Jim Michael Widi, S.Kom

Binatang Yang berbahaya dari binatang adalah : Keratan, urine, kotoran, bangkai, sarang Yang paling berbahaya yaitu urine Karena mengandung zat-zat yang bersifat asam Urine dapat melarutkan materi yang bersifat logam yang tidak tahan asam,misalnya Tembaga (Cu), Besi (Fe), Emas (Au) Bahan yang digunakan pada motherboard adalah tembaga dan emas, sehingga dapat ikut larut bila terkena zat yang bersifat asam. Jim Michael Widi, S.Kom

Binatang PENANGGULANGAN Menjaga kebersihan komputer Menghalangi jalan masuk ke dalam dengan kasa Membunuh atau menangkap serangga dengan alat Jangan menggunakan kapur barus, karena kapur barus akan menyublim pada udara bebas. Gas yang dihasilkan dapat menempel pada benda lain dan mengkristal, misalnya pada permukaan head baca tulis, sehingga akan menganggu proses baca tulis. Jim Michael Widi, S.Kom Back

Ketiganya akan mudah tumbuh pada lingkungan yang kelembabannya tinggi. Tumbuhan Ada 3 jenis tumbuhan yang perlu diwaspadai, yaitu : Jamur Lumut Ganggang Biru Ketiganya akan mudah tumbuh pada lingkungan yang kelembabannya tinggi. PENANGGULANGAN Gunakan Air Conditioning (AC) untuk ruang kerja Gunakan Silica Gel untuk tempat penyimpanan Baik AC maupun Silica Gel berfungsi untuk membuat ruangan atau tempat penyimpanan. Jim Michael Widi, S.Kom Back

Cuaca Yang termasuk cuaca antara lain : Kelembaban Angin Debu Mendung Hujan Petir Jim Michael Widi, S.Kom

Kelembaban (Cuaca) Kelembaban Udara Kadar air di udara Satuannya : % Diukur dengan Hygrometer Udara yang lembab dapat menyebabkan tumbuhnya jamur, lumut dan ganggang biru PENANGGULANGAN Gunakan AC untuk ruang kerja komputer Gunakan Silica Gel untuk tempat penyimpanan Jim Michael Widi, S.Kom

Angin (Cuaca) Udara yang bergerak Dapat membawa debu, materi-materi kecil Dapat membuat kabel komunikasi bergetar, sehingga mengganggu pengiriman data. PENANGGULANGAN Bersihkan komputer secara berkala Jim Michael Widi, S.Kom

Debu (Cuaca) Debu yang lembab cenderung bersifat konduktor. Dapat mengakibatkan hubungan singkat Bila menempel pada head baca tulis, permukaan disket, pita magnetic ataupun CDROM dapat mengganggu proses baca tulis. PENANGGULANGAN Ruangan harus selalu dijaga kebersihannya Gunakan penghisap debu Bersihkan komputer secara berkala Simpan media penyimpanan pada tepat yang tertutup Setelah selesai bekerja dengan komputer, tutuplah komputer dengan penutup khusus. Jim Michael Widi, S.Kom

Mendung (Cuaca) Mengakibatkan temperatur meningkat PENANGGULANGAN Gunakan AC untuk mengatur suhu udara Jim Michael Widi, S.Kom

Hujan (Cuaca) Mengakibatkan kelembaban udara meningkat PENANGGULANGAN Gunakan AC untuk mengurangi kelembaban udara Jim Michael Widi, S.Kom

Petir (Cuaca) Cenderung menyambar sesuatu yang relatif paling tinggi PENANGGULANGAN Gunakan penangkal petir yang baik Arde (ground) yang benar, ditanam sampai ke air tanah Hindari pemasangan kabel dari logam di udara, misalnya , dll Jim Michael Widi, S.Kom Back

Iklim Yang perlu diwaspadai adalah daerah yang mempunyai 4 musim, karena perbedaan antara siang dan malam sangat tinggi. Pada suhu panas, material akan memuai dan suhu dingin akan menyusut. Pemuaian dan penyusutan dapat merusak komponen komputer PENANGGULANGAN Gunakan AC untuk mengatur suhu ruangan Jim Michael Widi, S.Kom

Bencana Alam Yang termasuk bencana alam antara lain Gempa Bumi Banjir Kebakaran PENANGGULANGAN Buat supaya ruangan lebih tahan gempa Jangan letakkan komputer pada lantai dasar, untuk menghindari banjir Siapkan alat pemadam kebakaran Jim Michael Widi, S.Kom

Sisi Fisika dan Kimia PANAS Dapat terjadi dari dalam komputer, ruangan dan luar ruangan Dari dalam komputer disebabkan karena komponen elektronik dialiri arus listrik Dari ruangan disebabkan karena alat pemanas, seperti pemanas air, kompor Dari luar ruangan lebih disebabkan dari panas matahari. PENANGGULANGAN Gunakan kipas angin (fan) atau heat sink pada komponen yang mudah panas. Gunakan kaca film atau Gordeyn, untuk menghindari masuknya sinar matahari. Gunakan AC untuk mengatur suhu udara ruangan Jim Michael Widi, S.Kom

Sisi Fisika dan Kimia Listrik Kelebihan voltase Dapat merusak komponen elektronik Kekurangan voltase Mati Listrik Sering membuat sistem operasi rusak PENANGGULANGAN Gunakan stabilizer untuk menstabilkan voltase Gunakan UPS Jim Michael Widi, S.Kom

Sisi Fisika dan Kimia MAGNET Dapat merusak media penyimpangan yang dibuat dari bahan mylar, misalnya disket, tape, kaset lagu/video. Dapat mempengaruhi head pada disk drive PENANGGULANGAN Jauhkan dari magnet Jim Michael Widi, S.Kom

Sisi Fisika dan Kimia SUARA Getaran suara dapat mempengaruhi head dari disk PENANGGULANGAN Jauhkan dari sumber bunyi-bunyian yang kuat KIMIA Salah satunya adalah kebocoran baterai Bahan kimia yang keluar dari baterai yang bocor dapat merusak motherboard Lakukan pemeriksaan komputer secara berkala Jim Michael Widi, S.Kom

Keamanan Komputer Secara Fisik What Does Physical Security Include? Physical Access Controls Guards Fences Barriers Lighting Keys and Locks Badges Escorts Property Controls Monitoring/Detection Systems Jim Michael Widi, S.Kom

Keamanan Komputer Secara Fisik What Else Does Physical Security Cover? Environmental Protection Power Protection Water Protection Fire Detection Fire Suppression Evacuation Environmental Monitoring/Detection Jim Michael Widi, S.Kom

Physical Security Threats External Threats Wind/Tornado Flooding Lightning Earthquake Cold and Ice Fire Chemical Jim Michael Widi, S.Kom

Threat Identification Internal Physical Threats Fire Environmental Failure Liquid Leakage Electrical Interruption Human Threats Theft Vandalism Sabotage Espionage Errors Jim Michael Widi, S.Kom

Selecting Facility Site Location and Access to highway, trains or airport Local Crime Visibility Emergency Access Natural Hazards Air and Surface Traffic Stable Power Supply Existing Boundary Protection: Barriers/Fencing/Gates Surrounding Terrain Joint Tenants Hospital, Fire Dept, Police Station Jim Michael Widi, S.Kom

Keamanan Komputer Secara Fisik Natural Disaster Hardware Human Vandals Interception Of Sensitive Information Locks and Key Biometrics Jim Michael Widi, S.Kom

Natural Disaster Fire and Smoke (api dan Asap) Climate (iklim) Earthquakes and Vibration (gempa bumi dan getaran) Water (air) Electricity (listrik) Ligthning (lampu) Jim Michael Widi, S.Kom

Fire and Smoke Pakailah smoke detectors (detektor Asap) di sekelilingmu dan cek secara periodik Dukung kebijakan tidak merokok; ini juga penting untuk mengontrol rokok. Pertimbangkan untuk menggunakan formula gas khusus seperti Halogen, dimana sekecil apapun apinya bisa menyebabkan bahaya kerusakan air. Karena Halogen dan gas yang lain (khususnya Karbon Dioksida) adalah potensial lethal, jadi yakinkan adanya sistem warning di dekatmu. Jim Michael Widi, S.Kom

Fire Fire prevention: Fire detection Pelatihan pegawai Ketersediaan peralatan / sarana yg memadai Akses ke sumber air dg mudah Fire detection Pull box alarm Smoke detectors Jim Michael Widi, S.Kom

Fire Prevention and Protection Fire Elements: Fuel Oxygen Temperature Causes Of Computer Center Fires Electrical Distribution Systems (korslet) Equipment  cegah overheating dengan sekring / fuse Puntung rokok Fire Classes A: Common Compustibles (use Water/Soda Acid) B: Liquid (CO2/Soda Acid/Halon) C: Electrical (CO2/Halon) Jim Michael Widi, S.Kom

Fire Prevention and Protection Temperatures When Damage Occurs Paper Products: 350o Computer Equipment: 175o Disks: 150o Magnetic Media: 100o Fire Detection Manual Optical (Photoelectric-Smoke Blocking Light) Temperature Ionization (Reaction to Charged Particles in Smoke) Jim Michael Widi, S.Kom

Fire Detectors Smoke activated, dgn photoelectric device, akan aktif kalau sinar terhalang asap Heat activated Fixed temprature sensor Rate-of-rise temprature sensor Flame activated, menggunakan pulsa-pulsa inframerah Automatic dial-up to fire departments Jim Michael Widi, S.Kom

Detectors On Ceilings Above Suspended Ceilings Beneath Raised Floors Return Air Ducts Jim Michael Widi, S.Kom

Fire Suppression Portable Extinguishers Water Sprinkler Systems At Exits Mark Locations and Type Types A, B & C Need to Inspect Water Sprinkler Systems Works to Lower Temperature Most Damaging to Equipment Conventional Systems Wet Pipe “Dry Pipe” Systems: Less Risk of Leakage Preaction: suhu x1 akan mengalirkan air ke pipa, suhu x2 akan menyemprotkan air Employ in Throughout Building and in all Spaces Jim Michael Widi, S.Kom

Carbon Dioxide (CO2) Colorless/Odorless Potentially Lethal Removes Oxygen Best for Unattended Facilities Delayed-Activation in Manned Facilities Jim Michael Widi, S.Kom

Halon Best Protection for Equipment Becomes Toxic at 900o Inside Equipment Cabinets/Vaults Special Areas Above Suspended Ceilings Under Raised Floors Concentrations <10% are Safe Becomes Toxic at 900o Depletes Ozone (CFCs) Montreal Protocol (1987) Halon 1301: Requires Pressurization Halon 1211: Self-Pressurization (Portable Extinguishers) Penggantinya: FM-200 Argon, Argonite Inergen CEA-410 Jim Michael Widi, S.Kom

Other Considerations Training Testing National Fire Prevention Association (NFPA) Standards Local Fire Codes Drainage Jim Michael Widi, S.Kom

Climate Beberapa komputer mempunyai toleransi tinggi dan rendahnya temperatur lebih baik dari yang lain. Yakinkan kamu tahu keterbatasan komputermu dan jangan paksa melampaui batas itu. Menjaga semua ruang berisi komputer berada pada temperatur yang pas (kira-kira 50 – 800 Fahrenheit atau 10 – 260 Celcius) Pertahankan level kelembaban pada 20 – 800 Pakailah gas dan alarm yang mengingatkanmu jika kamu keluar dari batas area yang ditentukan Jaga kebersihan dan dinginnya sistem dengan filter udara untuk melindungi komputer dan khususnya disket dengan baik. Jim Michael Widi, S.Kom

Earthquakes and Vibration Jaga komputer jauh dari jendela kaca khususnya jika kamu ada di area yang beresiko tinggi. Pastikan bahwa jika getaran terjadi (karena gempa, konstruksi), tidak ada sesuatu objek yang dapat jatuh ke komputermu. Jim Michael Widi, S.Kom

Water Ada beberapa tipe kerusakan air. Banjir yang disebabkan oleh hujan atau air yang mencuat keatas, toilet yang isinya melampaui batas atau air semprotan yang digunakan untuk memadamkan api. Pastikan kamu melindungi semua itu. Jika komputermu basah, cepat bersihkan sebelum kamu memutuskan untuk menyalakannya kembali. Pakailah sensor air pada lantai dekat komputermu. Jika kamu mempunyai lantai bertingkat, pakai satu pada lantai dan satu pada langit-langit / eternet. Jim Michael Widi, S.Kom

Environmental Issues Humidity Controls Air Quality (Dust), bisa membuat kipas kotor lalu macet… Water Protection Falling Water Rising Water Drains Protective Coverings Positive drains  flow out Shutoff valves Ventilation: positive pressurization Jim Michael Widi, S.Kom

Dry Pipe Jim Michael Widi, S.Kom

Preaction Water System Jim Michael Widi, S.Kom

Electricity Komputermu akan menderita bila listrik terlalu banyak atau terlalu kecil Untuk hasil terbaik, pastikan menggunakan UPS. Jim Michael Widi, S.Kom

Electrical Power Definitions: Blackout - Loss of Power Brownout - Prolonged Period of Below Normal Voltage Noise - Random Disturbance that Interferes with a Device Sag - Short Period of Low Voltage Spike - Momentary High Voltage Surge - Prolonged High Voltage Jim Michael Widi, S.Kom

Electrical Power Dedicated Circuits Controlled Access to: Power Distribution Panels Master Circuit Breakers Transformers Feeder Cables Emergency Power Off Controls Voltage Monitoring/Recording Surge Protection Voltage regulator  clean power Jim Michael Widi, S.Kom

Sumber power bila gagal Alternate Feeders Uninterruptible Power Supply Online UPS Standby UPS: memiliki sensor power failure Emergency Power Generator / Backup Power Fuel Consideration Costs Semua harus selalu dicoba! AC Jim Michael Widi, S.Kom

Backup Power Function Lighting Physical Access Control Systems Fire Protection Systems Computing equipment Mainframes Servers Workstations Communications Equipment Telephone Systems Hati-hati, penggunaan backup power supply juga bisa menyebabkan spike…! Jim Michael Widi, S.Kom

Gangguan aliran listrik Faraday cage, apakah perlu? Jim Michael Widi, S.Kom

Ligthning Jika lampu tiba-tiba menyetrum, matikan komputermu dan cabut kabelnya. Lampu menghasilkan energi yang berlebihan dan berbahaya –khususnya untuk harddisk – Lindungi backup tape dari magnetik yang timbul akibat lampu mati. Simpan backup tape jauh dari gedungmu Jim Michael Widi, S.Kom

Detection Systems Photoelectric systems, dalam ruang gelap, kalau ada yang pakai senter, akan alarm Wave pattern: seperti dalam film-film action. Ada transmiter, mirror dan reciever. Bisa pakai inframerah, ultrasonic, atau microwave Passive infrared: membaca perubahan panas dalam ruangan Acoustic-seismic detection Metal di jendela, kalau jendela dibuka akan bunyi alarm. Jim Michael Widi, S.Kom

HARDWARE PERANGKAT KERAS Komputer dibagi menjadi 3 kategori : Mililiter (-400 s/d 1200 C) Digunakan oleh pemerintahan Industri (Normal s/d 900 C s/d 1000 C) Komputer yang bermerek Jangkrik (normal s/d 600 C s/d 700C) Komputer rakitan Dapat digunakan sebagai proteksi Contohnya : suatu alat yang diletakkan pada port paralel Jim Michael Widi, S.Kom

Physical Security in Distributed Processing Threats To Confidentiality Sharing Computers Sharing Diskettes To Availability User Errors To Data Integrity Malicious Code Version Control Jim Michael Widi, S.Kom

Distributed Processing Physical Security Controls (continued) Office Area Controls Entry Controls Office Lay-Out Personnel Controls Hard-Copy Document Controls Electronic Media Controls Clean-Desk Policy Jim Michael Widi, S.Kom

Office Area Physical Security Controls (continued) Printer/Output Controls Property Controls Space Protection Devices Equipment Lock-Down Jim Michael Widi, S.Kom

Distributed Processing Physical Security Controls (continued) Cable Locks Disk Locks Port Controls Power Switch Locks Keyboard Locks Cover Locks Jim Michael Widi, S.Kom

Distributed Processing Physical Security Controls (continued) Isolated Power Source Noise Voltage Fluctuations Power Outages Heat/Humidity Considerations Fire/Water Magnetic Media Controls Jim Michael Widi, S.Kom

Extended Processing Physical Security Controls User Responsibilities Paramount Protection against Disclosure Shoulder Surfing Access to Sensitive Media and Written Material Integrity Protection Protection against Loss or Theft Locks Practices Management Responsibilities Approval Monitoring Jim Michael Widi, S.Kom

Boundary Protection Area Designation: Facilitates Enforcement Vehicular Access Personnel Access Occupants Visitors (Escort & Logging) Dogs Fences Deter Casual Trespassing Compliments Other Access Controls Aesthetics Won’t Stop Determined Intruder Jim Michael Widi, S.Kom

Boundry Protection (continued) Lighting Entrances Parking Areas Critical Areas Perimeter Detection Systems Does Not Prevent Penetration Alerts Response Force Requires Response Nuisance Alarms Costly Jim Michael Widi, S.Kom

Boundry Protection (continued) CCTV Efficiency Requires Human Response Limitations Staffing Access Control Points Patrols Employees Jim Michael Widi, S.Kom

Computing Facility Requirements / Design Considerations Load: berapa berat beban yang dapat ditanggung oleh lantai? Langit-langit? Walls Combustibility of material Fire Rating True Floor to Ceiling Penetrations Adjacent Areas (apakah rembes air?) Doors Resistance to forcible entry Hinges Alarms Monitoring Fail-safe-stance at emergency Jim Michael Widi, S.Kom

Computing Facility Requirements (continued) Windows/Openings Opaque Shatterproof Bulletproof Placement Computer and Equipment Room Lay Out Equipment Access Storage Occupied Areas Cable Routing Jim Michael Widi, S.Kom

Computing Facility Requirements (continued) Air Conditioning Positive Pressure Protected Air Intakes Independent Power Emergency Shut Off Controls Monitoring Jim Michael Widi, S.Kom

Flooring Flooring Electrical design Fire considerations Load bearing rating Raised floor? Fire rating Non-electric-conducting material Electrical design Fire considerations Jim Michael Widi, S.Kom

Internal Partition Problems Jim Michael Widi, S.Kom

Data Centre Placement Jangan diletakkan di puncak gedung (preventif kebakaran) Jangan diletakkan di basement gedung (preventif banjir) Sebaiknya di tengah (core) bangunan Jim Michael Widi, S.Kom

Computer Room Dulu mainframe dikendalikan operator dari dekat, sekarang remote Ruangan bisa lebih kecil dan efisien, kurang penting memperhatikan faktor manusia (karena tidak ada manusia!) Rack mounted system Close to wiring distribution centre Single point of entry Jim Michael Widi, S.Kom

Single Point of Entry to Computer Room Jim Michael Widi, S.Kom

Backup Data O/S, Application Manuals Forms Hardware Electrical supplies Personnel Jim Michael Widi, S.Kom

MTBF & MTTF Mean Time Before Failure Mean Time Before Repair Semakin lama, makin bagus MTBF 654 days MTTF 160 days MTBF 500 days MTTF 120 days Jim Michael Widi, S.Kom

Other Considerations Training Testing National Fire Prevention Association (NFPA) Standards Local Fire Codes Drainage Jim Michael Widi, S.Kom

Securing Storage Areas Forms Storage Rooms Increased Threat of Fire Combustibles Access Controls Media Storage Rooms Media Sensitivity Segregation Access Controls Environmental Controls Jim Michael Widi, S.Kom

Media Protection Storage Location Transportation Media Libraries/Special Rooms Cabinets Vaults Location Operational Off-Site Transportation Jim Michael Widi, S.Kom

Protecting Wiring Optical Fiber Copper Wire Certifying the Wiring and Cabling Controlling Access to Closets and Riser Rooms Kendali lain: Digantung di atas Diberi penutup yang keras Jim Michael Widi, S.Kom

Other Considerations Dealing with Existing Facilities Planning Upgrade/Renovation Incremental New Construction Protecting the Protection Implement Physical and Environmental Controls for Security Systems Protect against both Intentional and Inadvertent Threats Jim Michael Widi, S.Kom

Human Vandals Mencuri Mengambil barang (fisik) Mencuri data (logic) Mencuri perangkat keras komputer Mencuri data (logic) Menyadap Mendengar Melihat Media transmisi Mengcopy data Memotret Jim Michael Widi, S.Kom

Human Vandals (Continued) MERUSAK Mengakibatkan sebagian atau keseluruhan sistem tidak berfungsi MENGGANGGU Sebagian atau seluruh sistem terganggu PENANGGULANGAN Dengan membuat area yang terbatas, terutama ruang server Melindungi sebagian peralatan komputer dengan kerangka besi Jim Michael Widi, S.Kom

Detection Systems Photoelectric systems, dalam ruang gelap, kalau ada yang pakai senter, akan alarm Wave pattern: seperti dalam film-film action. Ada transmiter, mirror dan reciever. Bisa pakai inframerah, ultrasonic, atau microwave Passive infrared: membaca perubahan panas dalam ruangan Acoustic-seismic detection Metal di jendela, kalau jendela dibuka akan bunyi alarm. Jim Michael Widi, S.Kom

Interception Of Sensitive Information Pemberian otoritas (hak pakai) kepada user Setiap user akan mempunyai otoritas sesuai dengan pekerjaannya. Pemberian kata sandi / password Setiap user / account harus diberikan kata sandi atau password Sering kali password dilakukan dengan cara mengetik pada keyboard Sekuriti paling lemah Mudah disadap oleh orang lain Mudah dilihat apa yang ketik oleh orang pada keyboard Solusinya : Password tidak harus diketik melalui keyboard Ada cara lain untuk menggantikan pengetikan di keyboard Jim Michael Widi, S.Kom

Password dapat dengan menggunakan Sinyal suara Pada awalnya semua suara kita direkam terlebih dahulu Diproses lalu hasilnya disimpan Sidik jari / telapak tangan Pada awalnya sidik jari atau telapak tangan di scan Retina mata Pada awalnya mata kita direkam pola retinanya Jim Michael Widi, S.Kom

Password dapat dengan menggunakan Tanda tangan Dilihat dari penekanan pada waktu tanda tangan Wajah Pada awalnya wajah direkam terlebih dahulu Diproses lalu hasilnya disimpan Kartu magnetik Dapat menyimpan data pada magnetic stripe Jim Michael Widi, S.Kom

Password dapat dengan menggunakan Bar code Berupa garis-garis Sering kali dipergunakan pada barang-barang yang dijual Kartu Chip Biasanya dipergunakan sebagai ATM Bank, Kartu Telpon, dll Micro chip Dapat menyimpan identitas manusia (Rencananya) akan ditanam dalam tubuh manusia Jim Michael Widi, S.Kom

LOCKS AND KEY: OLD AND NEW Types of Locks Tokens Challenge-response Systems Interception Of Sensitive Information Cards: Smart and Dumb Jim Michael Widi, S.Kom

Personnel Access Controls Position Sensitivity Designation Management Review of Access Lists Background Screening/Re-Screening Termination/Transfer Controls Disgruntled Employees Jim Michael Widi, S.Kom

Access Controls – Locks Preset Locks and Keys Programmable Locks Mechanical (Cipher Locks) Electronic (Keypad Systems): Digital Keyboard Number of Combinations Number of Digits in Code Frequency of Code Change Jim Michael Widi, S.Kom

Access Controls - Tokens Security Card Systems Dumb Cards Photo Identification Badges Manual Visual Verification Can be Combined with Smart Technology Digital Coded (Smart) Cards Often Require Use of PIN Number with Card Readers: Card Insertion, Card Swipe & Proximity Jim Michael Widi, S.Kom

Types of Access Cards Photo ID Cards Optical Coded Cards Electric Circuit Cards (Embedded Wire) Magnetic Cards (Magnetic Particles) Metallic Stripe Card (Copper Strips) Jim Michael Widi, S.Kom

BIOMETRICS Fingerprints Handprints Retina Patterns Voice Patterns Signature and Writing Patterns Keystrokes Jim Michael Widi, S.Kom

Access Controls Biometrics Fingerprint/Thumbprint Scan Blood Vein Pattern Scan Retina Wrist Hand Hand Geometry Facial Recognition Voice Verification Keystroke Recorders Problems Cost Speed Accuracy Jim Michael Widi, S.Kom

Access Control Systems & Methodology Jim Michael Widi, S.Kom

Tujuan Mempelajari mekanisme dan metode yang dipergunakan para administrator/ manager untuk mengontrol apa yang boleh diakses user, termasuk apa yang boleh dilakukan setelah otentikasi dan otorisasi, termasuk pemantauannya. Jim Michael Widi, S.Kom

Topik bahasan CIA Identification, Authentication, Authorization, Access control models, Access control techniques, Access control methods, Access control administration, Threats to access controls Jim Michael Widi, S.Kom

What is access control? Access control adalah jantungnya security Definisi: Kemampuan untuk memberikan ijin hanya kepada orang yang berhak atau mempunyai auhthorized (otoritas) terhadap program atau sistem proses atau mengakses sumber data Memberikan hak (grant) atau menghapus hak (deny), sesuai dengan security model khusus, yang mempunyai ijin (permission) pasti untuk mengakses sumber data Sekumpulan prosedur yang dibentuk oleh h/w, s/w dan administrator, untuk memonitor akses, mengidentifikasi user yang meminta akses, mencatat record yang diakses dan memberikan akses grant atau deny berdasarkan aturan yang sudah ditetapkan. Jim Michael Widi, S.Kom

Controls Kendali: mengurangi resiko/kerugian Implementasi: Preventive: mencegah terjadinya insiden Detective: mendeteksi terjadinya insiden Correctice: memperbaiki (restoration) jika terjadi insiden Implementasi: Administrative Control: policies, prosedur, security awareness/training, supervisi, dll. Logical/Technical Control: pembatasan akses ke sistem dan teknik proteksi yang digunakan, mis. Smart cards, enkripsi dll. Physical Control: penjagaan fisik, mis. Biometric door lock, secured area utk server, deadman door dll. Jim Michael Widi, S.Kom

Control: Models Akses kontrol “subject” (aktif:mis. Proses, user) terhadap “objet” (pasif mis. File) berdasarkan setting “rule” (aturan) Rule dapat dikategorikan tiga model: Mandatory Access Control Discretionary Access Control Non-Discretionary Access Control Jim Michael Widi, S.Kom

Mandatory Access Control Setiap data/resource yang akan di-share dengan membandingkan sensitivitas object tersebut terhadap “dearance” yang diberikan untuk “subject” Pemberian label dari level sensitivitas untuk semua data berdasarkan klasifikasi Hanya user dengan clearance utk level tsb yg dpt mengakses: need to know basis Hanya administrator, owner tidak boleh, yg dpt merubah object level Digunakan dalam sistem dimana security adalah hal yang kritis, cth., militer Jim Michael Widi, S.Kom

Discretionary Access Control Access Control merupakan otorisasi yang diberikan oleh owner dari data / resources Harus mematuhi security policies, tapi lebih flexible; - misalkan mandatory => apa yang tidak tercantum adalah dilarang sedangkan discretionary => owner dapat memberikan penilaian otorisasi Contoh: Access Control List => daftar apa saja permission yang diberikan oleh owner dari data/resources Jim Michael Widi, S.Kom

Non-Discretionary Access Control Penjabaran kebijakan, jabatan, tugas dalam organisasi: “role based” Access control tidak tergantung pada individu tapi fungsi dan perorangan individu tersebut Jim Michael Widi, S.Kom

Logical Access Controls Akses kontrol infrastruktur TI dapat dilakukan pada berbagai tingkat Front end (user) & Back end (server) Bagaimana jaringan terbagi dan perlindungan akses ke sumber informasi Paths of Logical Access Point umum dari entry Network connectivity Remote access Operator console Online workstations or terminals Jim Michael Widi, S.Kom

Logical Access Controls: Protection Logical Access Control Software Cegah akses dan modifikasi data sensitif organisasi dari orang yang tidak mempunyai otorisasi dan penggunaan fungsi sistem kritis Semua layer: network, operating systems, databases & application systems Fungsi software: Identifikasi dan otentikasi Otorisasi akses Monitor: Logging aktifitas user, reporting Implementasi paling efektif: tingkat networks dan operating system (membatasi privileges pada low level) Jim Michael Widi, S.Kom

Logical Access Controls: Software Logical Access Control Software Functionality Secara umum fungsi akses kontrol sistem operasi meliputi: Mekanisasi identifikasi dan otentikasi user Restricted logon IDs Aturan akses untuk sumber informasi yang spesifik Create individual accountability and auditability Create or change user profile Log events Log user activities Report capabilities Jim Michael Widi, S.Kom

Logical Access Controls: Software Logical Access Control Software Fungsi akses kontrol basis data dan/atau level aplikasi meliputi: Create or change data files and database profiles Verify user authorization at the application and transaction levels Verify user authorization within the application Verify user authorization at the field level for changes within a database Verify subsystem authorization for the user at the file level Log database/data communications access activities for monitoring access violations Jim Michael Widi, S.Kom

Who? Jim Michael Widi, S.Kom

Understanding… CIA model of information security Confidentiality: data is confidential, classified, exposed to the relevant users which have the right permissions to view or change the data Integrity: data is accurate, unchanged and represents what is really happening inside the business processes and by extension for the customers and suppliers of those processes. Integrity also implies that data has not been altered or modified outside normal processing Availability: data is available to those with a need to know, when they need it, to perform their job functions Corollaries: identification, authentication, privacy, authorization and accountability Jim Michael Widi, S.Kom

How? Jim Michael Widi, S.Kom

Identification, Authentication and Authorization System, applications, networks have interfacing point with users. Majority of risk lie with people using the Information System Need to know Basic security control: users are given access only to ‘need to know’ things Least privilege, default deny access model Technically, access permission rights == absolute security controls Non-technical, people-based problem Security control economics 80-20 rule applies (80% of security problem solution, 20% of cost) Defense in depth (adding security layer, 96% security problem with 40% cost) Look at single point of failure in security solution & countermeasures Role-based Access Type of security compromise for categorizing the access permissions and functionality that are allowed in certain roles or groups Set of privileges given to perform a job function, eg. Finance and accounting Jim Michael Widi, S.Kom

Account Administration and Logical Access Controls User account management Single sign-on solutions Application design security Application data access Information ownership & custodian Good Passwords Strong Authentication PKI and Digital Signatures Network User Access Biometric Access Controls (Physical Access) Jim Michael Widi, S.Kom

Man Trap Memasukkan kartu identifikasi (what you have) Mengetikkan 12 digit angka rahasia (what you know) Komputer secara acak akan memilihkan kata-kata yang harus diucapkan ulang (who you are) Jim Michael Widi, S.Kom

Identifikasi Fisik Manusia Fingerprint scan Hand Signature Hand Geometry Jim Michael Widi, S.Kom

Physical Security Card access with PIN Biometrics Finger-scan Hand-scan Iris scan Motion detectors Video Surveillance Jim Michael Widi, S.Kom

Typical Access Rights Read, inquiry or copy only Write, create, update or delete only Execute only A combination of the above Jim Michael Widi, S.Kom

Kerugian Password Eavesdropper mencuri password saat sedang diucapkan Maling bisa mencuri daftar password di server Password mungkin mudah ditebak Guna meningkatkan keamanan penggunaan password, mungkin komputer justru malah meningkatkan ketidaknyamanan penggunaan komputer. Mis: komputer yang memilihkan password, harus ganti password setelah sekian lama Jim Michael Widi, S.Kom

On-Line password guessing & prevensinya Dictionary attack Ada komputer yang memaksa pemasukkan password hanya oleh manusia (bukan program). Manusia relatif tidak cepat. Ada maximum retries. Mis: kartu ATM bisa ditelan. Tapi bisa menyebabkan vandalisme: jika dia punya seluruh username, dia bisa coba bikin program yang mencoba login ke seluruh username. Setelah 3 kali, system akan lock! Ada cara lain: setiap memasukkan password yang salah akan diproses secara l a m b a t s e k a l I .. .. .. ! Bisa mendeteksi: last successful & unsucessfull login dari mana dan kapan Ada yang memaksa user menggunakan password yang dibuat oleh komputer: user tak senang mengingatnya… sehingga user menulisnya di kertas! Mis: geocities Suka pakai kombinasi @$*%$ angka huruf BESAR Ada juga yang memaksa ganti password setelah sekian lama Jim Michael Widi, S.Kom

Off-line Password Guessing Menebak password melalui hashnya, karena hash dari password yang umum pasti sama Backup dari disk yang ada di server juga harus dienkripsi Jim Michael Widi, S.Kom

Password distribution User datang ke administrator. Kalo ada orang menyamar? Pakai KTP/SIM/KTM yang ada fotonya User di depan terminal khusus memilih passwordnya. Atau user diberi password yang dipakai untuk login pertama kali, habis itu dipaksa mengganti password. Disebut pre-expired password Cara yang tidak tepat: passwordnya adalah NPM, dan memberitahu dengan cara broadcast (misalnya posting di papan pengumuman). Kalau di bank, kita akan dikirimi surat yang isinya PIN kita. User datang ke administrator. Kalo ada orang menyamar? Jim Michael Widi, S.Kom

Authentication Token What you have! kunci rumah, kartu kredit bisa dicuri! Mungkin keuntungannya psikologis: orang kurang rela meminjamkan kartu ketimbang password! Biasanya butuh hardware tambahan: misalnya smart card/magnetic card reader Jim Michael Widi, S.Kom

Smart Card Ukuran kartu kredit, tapi di dalamnya ada processor. Ada macam-macam: PIN protected memory card: isi hanya bisa dibuka kalau PIN-nya benar Cryptographic challenge & response cards Contactless smart card Kegunaannya: Bank Cards: debit & credit ID-card, termasuk untuk login. One card for all access Wallet for e-cash Payphone Loyality program Ticket parkir Health-card: bisa jaga rahasia Bank Card 4532 1234 8321 3912 exp 04/03 Dr. John Tralala Jim Michael Widi, S.Kom

Single sign-on (SSO) SSO is the process for the consolidating all organization platform-based administration, authentication and authorization functions into a single centralized administrative function. A single sign-on product that interfaces with: client-server and distributed systems mainframe systems network security including remote access mechanismn Jim Michael Widi, S.Kom

Single Sign On Jim Michael Widi, S.Kom

Single sign-on (SSO) advantages Multiple passwords are no longer required, therefore, whereby a user may be more inclined and motivated to select a stronger password It improves an administrator’s ability to manage users’ accounts and authorizations to all associates systems It reduces administrative overhead in resetting forgotten passwords over multiple platforms and applications It reduces the time taken by users to log into multiple applications and platforms Jim Michael Widi, S.Kom

Single sign-on (SSO) disadvantages Support for all major operating system environments is difficult The costs associated with SSO development can be significant when considering the nature and extent of interface development and maintenance that may be necessary The centralized nature of SSO presents the possibility of a single point of failure and total compromise of an organization’s information assets Jim Michael Widi, S.Kom

Key Distribution Centre (gambaran umum) Jim Michael Widi, S.Kom

Untung rugi KDC Keuntungan: Kerugiannya: kalau ada user baru, tinggal menambahkan di KDC kalau seorang user ter-compromised, tidak semua node akan tercompromised Kerugiannya: KDC bisa memalsukan jati diri orang lain KDC ada titik lemah dari sistem Performa KDC bisa berkurang kalau banyak sekali orang berhubungan ke KDC pada waktu yang bersamaan. Jim Michael Widi, S.Kom

Contoh KDC: Kerberos 5 Dimuat dalam RFC 1510 oleh Kohl dan Neuman pada tahun 1993, dan source code-nya bisa diambil dari http://web.mit.edu. Produk yang menggunakan antara lain OSF Distributed Computing Environment (DCE) dan Windows 2000. Jim Michael Widi, S.Kom

Objek Kerberos Authentication: Token yang dibuat oleh client dan dikirim ke server untuk membuktikan jati diri user Ticket: diterbitkan oleh TGS (ticket granting service), yang dapat “ditunjukkan” oleh klien kepada suatu server layanan tertentu (misalnya database server). Session key: kunci random yang dibuat oleh Kerberos dan diberikan kepada klien saat ingin berkomunikasi dengan server tertentu. Catatan: Klien membutuhkan ‘ticket’ dan session key untuk berhubungan dg server tertentu, dimana ticket tersebut memiliki periode pemakaian beberapa jam. Jim Michael Widi, S.Kom

Access Control Matrix Jim Michael Widi, S.Kom

Persepsi menghadapi pertanyaan: Bagaimana caranya supaya website saya tidak di- hack orang? Bagaimana caranya agar data kartu kredit saya tidak dibaca orang lain? Bagaimana caranya agar kita yakin bahwa e-mail purchase order yang kita terima benar-benar otentik? Bagaimana caranya agar yakin bahwa nilai 100 juta dalam fund transfer tidak diubah-ubah? Jim Michael Widi, S.Kom

Tujuan Mempelajari berbagai konsep, prinsip dan standar untuk merancang dan mengimplementasikan aplikasi, sistem operasi, dan sistem yang aman. Jim Michael Widi, S.Kom

Topik Aspek arsitektur sistem/komputer dan sistem operasi Beberapa Istilah Model pengamanan: Orange Book, Bell LaPadula, Biba, Clark-Wilson, dst. Closed vs. Open systems Certification vs. Accreditation Threats to security models & architecture Jim Michael Widi, S.Kom

Prinsip-prinsip keamanan Least privilege: artinya setiap orang hanya diberi hak akses tidak lebih dari yang dibutuhkan untuk menjalankan tugasnya. Seorang staf umum dan gudang hanya mendapat hak akses untuk menjalankan aplikasi administrasi gudang. Seorang staf penanganan anggota hanya mendapat hak akses untuk menjalankan aplikasi administrasi Seorang staf pemasaran hanya mendapat hak akses untuk menjalankan aplikasi administrasi pemasaran dan penjualan. Seorang staf kepegawaian hanya mendapat hak akses untuk menjalankan aplikasi administrasi kepegawaian. Seorang manajer mendapat hak akses untuk membaca dan menjalankan aplikasi departemen yang dibawahinya dan dapat membaca file yang dimiliki oleh stafnya. Seorang direktur dapat memonitor seluruh pekerjaan yang dilakukan oleh manajer yang ada dibawahnya. Defence in Depth: gunakan berbagai perangkat keamanan untuk saling membackup. Misalnya dapat dipergunakan multiple screening router, mirroring harddisk pada server, dua CDRW untuk satu kali backup data, sehingga kalau satu dijebol, maka yang satu lagi masih berfungsi. Jim Michael Widi, S.Kom

Prinsip-prinsip keamanan Choke point: semua keluar masuk lewat satu (atau sedikit) gerbang. Syaratnya tidak ada cara lain keluar masuk selain lewat gerbang. Weakest link: ''a chain is only as strong as its weakest link''. Oleh karena itu kita harus tahu persis dimana weakest link dalam sistem sekuriti organisasi kita. Kelemahan jaringan di dalam sistem sekuriti organisasi yang perlu diawasi adalah bila ada virus baru yang tidak terdeteksi. Oleh karena itu update anti virus pada server dan client harus selalu dilakukan dan tidak boleh diabaikan. Jim Michael Widi, S.Kom

Prinsip-prinsip keamanan Fail-Safe Stance: maksudnya kalau suatu perangkat keamanan rusak, maka secara default perangkat tersebut settingnya akan ke setting yang paling aman. Misalnya: kapal selam di Karibia kalau rusak mengapung, kunci elektronik kalau tidak ada power akan unlock, packet filtering kalau rusak maka semua paket keluar-masuk akan dicegah/diblokir. Universal participation: semua orang dalam organisasi harus terlibat dalam proses sekuriti. Setiap tiga bulan sekali dilakukan pelatihan untuk menyegarkan kembali ingatan akan pentingnya mengamankan perangkat keamanan komputer. Di dalamnya dilakukan evaluasi untuk peningkatan efisiensi kinerja proses keamanan komputer. Jim Michael Widi, S.Kom

Prinsip-prinsip keamanan Diversity of Defence: mempergunakan beberapa jenis sistem yang berbeda untuk pertahanan. Maksudnya, kalau penyerang sudah menyerang suatu jenis sistem pertahanan, maka dia tetap akan perlu belajar sistem jenis lainnya. Simplicity: jangan terlalu kompleks, karena sulit sekali mengetahui salahnya ada di mana kalau sistem terlalu kompleks untuk dipahami. Untuk mempermudah mengetahui bila terjadi kesalahan maka setiap data yang disimpan dalam server akan teridentifikasi siapa yang menyimpan berdasarkan user name dan passwordnya, kapan tanggal dan waktunya, dari workstation yang mana, dan apa aksi yang dilakukan. Bila user tidak mempunyai hak untuk menambah dan mengubah data pada sistem aplikasi tertentu tersebut maka akan ada trigger yang memberitahu bahwa sistem menolak adanya perubahan data. Jim Michael Widi, S.Kom

Attack Covert Channels (Trojan Horse) Back Doors (Pengembangan) tergantung tingkat keamanan yang diinginkan Back Doors (Pengembangan) tutup pintu saat produksi Timing (Asynchronous Attack) disable interrupt Buffer Overflow bahasa tingkat tinggi/aman Jim Michael Widi, S.Kom

Weakest Link ''a chain is only as strong as its weakest link'' ''an attacker will attack the weakest security chain'' Lousy coding Dictionary attack Weak key Facility personnell Password Network implemementation Application implementation Security protocol Cryptographic algorithm Port attack bribe Bad design Jim Michael Widi, S.Kom

System Architecture: Di mana pengamanannya?  Network acc. control File system level Operation & physical control DB table access control Application logon OS logon screen Jim Michael Widi, S.Kom

Proteksi Lapis Bawah (Low Level) Pengamanan yang lebih ke arah hardware Lebih Sederhana Melebar Tidak fleksibel Misalnya: write-protect pada USB drive, IP restriction Jim Michael Widi, S.Kom

Proteksi Lapis Atas (High Level) Lebih rumit/kompleks Bisa pada aplikasi atau sistem prosedur Lebih fleksibel dan lebih detail kendalinya Mengakibatkan menurunnya jaminan mekanisme keamanan Karena butuh ekstra untuk install, testing/pengujian dan pemeliharaan Misalnya: akses kontrol tabel database & aplikasi Jim Michael Widi, S.Kom

Tingkatan jaminan keamanan  Fungsionalitas bertambah Kompleksitas sekuriti meningkat Jaminan keamanan menurun Fungsionalitas menurun Kompleksitas sekuriti menurun Jaminan keamanan meningkat Aplikasi Services O/S Hardware Jim Michael Widi, S.Kom

System Architecture Security Contoh pada operating systems Ring 2: Applications: web browser, word processor Ring 1: OS utilities, device drivers, file systems, Ring 0: Kernel, time sharing, memory management, etc. Jim Michael Widi, S.Kom

Trusted Computing Base (TCB) Kombinasi keseluruhan dari mekanisme pengamanan dalam sebuah sistem komputer Mencakup: hardware, software, dan firmware Komponen yang masuk TCB harus teridentifikasi dan kemampuannya terdefinisi dgn jelas. TCB mengikuti standar security rating tertentu seperti Orange Book (akan dijelaskan) Perihal tingkat kepercayaan (bukan keamanan) Jim Michael Widi, S.Kom

Security Perimeter Semua komponen yang tidak masuk dalam TCB. Harus ada standar komunikasi, yakni melalui interface yang sudah defined. Contoh: Anda membuat program dengan bahasa Java, belum tentu anda berhak mendapatkan hak akses untuk manipulasi data pada memori secara langsung. Pembuatan dan manipulasi data dilakukan melalui objek-objek dan interface Java Virtual Machine. Jim Michael Widi, S.Kom

Security Models Untuk memformalkan kebijakan keamanan organisasi Representasi simbolik dari kebijakan, yang harus dilaksankan oleh sistem komputer Security policy sifatnya lebih abstrak dan lebar, security model adalah apa yang boleh dan tidak secara teknis Analogi: kalau dokter bilang kita harus hidup sehat, ini adalah ''policy''. Tapi kalau dokter memberikan wejangan: makan secukupnya, rajin olah raga, jangan suka marah, ini ''teknisnya'' Jim Michael Widi, S.Kom

Security Models Access Control Matrix Models Bell-LaPadula Model Biba Clark-Wilson Model Information Flow Model Jim Michael Widi, S.Kom

Access Matrix Model W X R/W Tax Prog. - R Checking prog. Jane Joe Print Server Process: Deductions File: Salaries File: Income Object Subject Jim Michael Widi, S.Kom

Take-Grant Model Menggunakan directed graph untuk mentransfer hak ke subjek lain Misalnya A punya hak S, termasuk untuk hak mentransfer, pada objek B S Subjek A Objek B Jim Michael Widi, S.Kom

Subjek A bisa memberikan haknya kepada Subjek C, sehingga memiliki hak atas objek B Grant rights to B Jim Michael Widi, S.Kom

Bell-LaPadua Model Dibuat tahun 1970-an, untuk militer Amerika Serikat, untuk pengamanan kerahasiaan informasi Menggunakan lattice, tingkatan keamanan militer yakni: Top Secret Secret Sensitive but unclassified Unclassified Fokus pada confidentiality Jim Michael Widi, S.Kom

Bell-LaPadua Top Secret Secret Confidential Unclassified NO Read Biar tidak bisa membaca rahasia Biar bisa baca info umum Confidential Read OK NO Write Biar tidak ada yang membocorkan rahasia Unclassified Jim Michael Widi, S.Kom

Biba Model Menjamin integritas data Dibuat tahun 1977 Misalnya, akuntan lebih ingin agar data keuangan akurat, dan tidak ingin data menjadi corrupt gara-gara aplikasi/operator tidak bekerja seperti semestinya (misalnya: pembulatan, salah ketik, penambahan digit, dsb.) Jim Michael Widi, S.Kom

Biba Model Confidential Sensitive Private Public Read OK NO Write Biar tidak bisa mengacaukan data yg lebih akurat NO Write Bisa dapat data yang sah Private NO Read Biar mencampur adukkan dengan data yang ‘tdk jelas’ asalnya Public Jim Michael Widi, S.Kom

Clark-Wilson Model User tidak bisa akses objek langsung, tapi harus lewat suatu program File tidak bisa dibuka sembarangan program (notepad.exe, misalnya), tapi harus lewat aplikasi khusus Bisa menerapkan separation of duties, misalnya orang yang melakukan entri data (Write) dan yang membuat laporan (Read), orangnya berbeda Jim Michael Widi, S.Kom

Information Flow Model Tiap objek diberikan security class dan mungkin nilai. Informasi hanya bisa mengalir sesuai kebijakan yang ditetapkan Contoh: Unclassified Confidential Confidential (project X) Confidential (project X, Task 1) Confidential (project X, Task 2) Jim Michael Widi, S.Kom

Orange Book DoD Trusted Computer System Evaluation Criteria, DoD 5200.28-STD, 1983 Provides the information needed to classify systems (A,B,C,D), defining the degree of trust that may be placed in them For stand-alone systems only Windows NT has a C2 utility, it does many things, including disabling networking Jim Michael Widi, S.Kom

Orange book levels A - Verified protection A1 Boeing SNS, Honeywell SCOMP B - MAC B1/B2/B3 MVS w/ s, ACF2 or TopSecret, Trusted IRIX C - DAC C1/C2 DEC VMS, NT, NetWare, Trusted Solaris D - Minimal security. Systems that have been evaluated, but failed PalmOS, MS-DOS Jim Michael Widi, S.Kom

Problems with the Orange Book Based on an old model, Bell-LaPadula Stand alone, no way to network systems Systems take a long time (1-2 years) to certify Any changes (hot fixes, service packs, patches) break the certification Has not adapted to changes in client-server and corporate computing Certification is expensive For the most part, not used outside of the government sector Jim Michael Widi, S.Kom

Red Book Used to extend the Orange Book to networks Actually two works: Trusted Network Interpretation of the TCSEC (NCSC-TG-005) Trusted Network Interpretation Environments Guideline: Guidance for Applying the Trusted Network Interpretation (NCSC-TG-011) Jim Michael Widi, S.Kom

Sertifikasi vs. Akreditasi evaluasi teknis untuk keperluan akreditasi evaluasi menggunakan prosedur baku Akreditasi persetujuan resmi bahwa sistem yang disertifikasi dapat dipercaya. Jim Michael Widi, S.Kom

Sistem Terbuka vs. Tertutup spesifikasi terbuka sesuai bakuan/standar industri tertentu pihak ketiga dapat berpartisipasi Sistem Tertutup spesifikasi khusus dan tertutup tanpa pihak ketiga Jim Michael Widi, S.Kom

Cryptography Jim Michael Widi, S.Kom

Tujuan Mempelajari berbagai metode dan teknik penyembunyian data menggunakan kriptografi. Jim Michael Widi, S.Kom

Topik Symmetric & asymmetric cryptography Key strength Cryptosystems Public key infrastructure (PKI) One-way function Hash function Key management Cryptographic attacks Jim Michael Widi, S.Kom

Cryptography Issues (Schneier ’96) Kerahasiaan (confidentiality) dijamin dengan melakukan enkripsi (penyandian). Keutuhan (integrity) atas data-data pembayaran dilakukan dengan fungsi hash satu arah. Jaminan atas identitas dan keabsahan (authenticity) pihak-pihak yang melakukan transaksi dilakukan dengan menggunakan password atau sertifikat digital. Sedangkan keotentikan data transaksi dapat dilakukan dengan tanda tangan digital. Transaksi dapat dijadikan barang bukti yang tidak bisa disangkal (non-repudiation) dengan memanfaatkan tanda tangan digital dan sertifikat digital. Jim Michael Widi, S.Kom

Makna Kriptografi Kriptografi berasal dari bahasa Yunani yaitu kata crypto dan graphia yang berarti penulisan rahasia. Jadi kriptografi adalah suatu ilmu yang mempelajari penulisan secara rahasia. Kriptografi merupakan bagian dari suatu cabang ilmu matematika yang disebut cryptology. Jim Michael Widi, S.Kom

Encrpytion Di bidang kriptografi, enkripsi ialah proses mengamankan suatu informasi dengan membuat informasi tersebut tidak dapat dibaca tanpa bantuan pengetahuan khusus. Dikarenakan enkripsi telah digunakan untuk mengamankan komunikasi di berbagai negara, hanya organisasi-organisasi tertentu dan individu yang memiliki kepentingan yang sangat mendesak akan kerahasiaan yang menggunakan enkripsi. Di pertengahan tahun 1970-an, enkripsi kuat dimanfaatkan untuk pengamanan oleh sekretariat agen pemerintah Amerika Serikat pada domain publik, dan saat ini enkripsi telah digunakan pada sistem secara luas, seperti Internet e-commerce, jaringan Telepon bergerak dan ATM pada bank. Enkripsi dapat digunakan untuk tujuan keamanan, tetapi teknik lain masih diperlukan untuk membuat komunikasi yang aman, terutama untuk memastikan integritas dan autentikasi dari sebuah pesan. Contohnya, Message Authentication Code (MAC) atau digital signature. Penggunaan yang lain yaitu untuk melindungi dari analisis jaringan komputer. Jim Michael Widi, S.Kom

Cipher Sebuah cipher adalah sebuah algoritma untuk menampilkan enkripsi dan kebalikannya dekripsi, serangkaian langkah yang terdefinisi yang diikuti sebagai prosedur. Alternatif lain ialah encipherment. Informasi yang asli disebuh sebagai plaintext, dan bentuk yang sudah dienkripsi disebut sebagai chiphertext. Pesan chipertext berisi seluruh informasi dari pesan plaintext, tetapi tidak dalam format yang didapat dibaca manusia ataupun komputer tanpa menggunakan mekasnisme yang tepat untuk melakukan dekripsi. Cipher pada biasanya memiliki parameter dari sebagian dari informasi utama, disebut sebagai kunci. Prosedur enkripsi sangat bervariasi tergantung pada kunci yang akan mengubah rincian dari operasi algoritma. Tanpa menggunakan kunci, chiper tidak dapat digunakan untuk dienkirpsi ataupun didekripsi. Jim Michael Widi, S.Kom

Cipher versus code Pada penggunaan non teknis, sebuah secret code merupakan hal yang sama dengan cipher. Berdasar pada diskusi secara teknis, bagaimanapun juga, code dan cipher dijelaskan dengan dua konsep. Code bekerja pada tingkat pemahaman, yaitu, kata atau frasa diubah menjadi sesuatu yang lain. Cipher, dilain pihak, bekerja pada tingkat yang lebih rendah, yaitu, pada tingkat masing-masing huruf, sekelompok huruf, pada skema yang modern, pada tiap-tiap bit. Beberapa sistem menggunakan baik code dan cipher dalam sistem yang sama, menggunakan superencipherment untuk meningkatkan keamanan. Menurut sejarahnya, kriptografi dipisah menjadi dikotomi code dan cipher, dan penggunaan code memiliki terminologi sendiri, hal yang sama pun juga terjadi pada cipher: "encoding, codetext, decoding" dan lain sebagainya. Bagaimanapun juga, code memiliki berbagai macam cara untuk dikembalikan, termasuk kerapuhan terhadap kriptoanalisis dan kesulitan untuk mengatur daftar kode yang susah. Oleh karena itu, code tidak lagi digunakan pada kriptografi modern, dan cipher menjadi teknik yang lebih dominan. Jim Michael Widi, S.Kom

Cryptographic Algorithm & key Enkripsi adalah sebuah proses melakukan perubahan sebuah kode dari yang bisa dimengerti menjadi sebuah kode yang tidak bisa dimengerti (tidak terbaca). Enkripsi dapat diartikan sebagai kode atau cipher. Enkripsi dibentuk berdasarkan suatu algoritma yang akan digunakan untuk mengacak suatu informasi menjadi bentuk yang tidak bisa dibaca atau tidak dimengerti. Algoritma yang digunakan terdiri dari prosedur yang direncanakan secara hati-hati yang harus secara efektif menghasilkan sebuah bentuk terenkripsi yang tidak bisa dikembalikan oleh seseorang apabila tidak mengetahui kuncinya. Key (kunci): Kenapa tidak pakai algoritma rahasia saja? Karena susah untuk membuat yang baru setiap kali akan mengirim pesan! Jadi  pakai kunci saja Analogi : Pernah lihat gembok yang menggunakan kode-kode angka untuk membuka gemboknya? Cipher / algoritma, hampir semua orang tahu cara membuka/mengunci gembok. Putar saja kode-kode angkanya ke posisi yang tepat Kuncinya hanya bisa diputar oleh orang yang tahu urutan kode yang benar! Jim Michael Widi, S.Kom

Proses Kriptografis Jim Michael Widi, S.Kom

Monoalphabetic cipher Jumlah kombinasi: 26! ( = 26x25x24x…x1  4 x 1026) kemungkinan kunci ABCDEFGHIJKLMNOPQRSTUVWXYZ PBUYMEVHXIJCLDNOGQRTKWZAFS Jadi kalau plaintext-nya “FASILKOM” maka ciphertextnya adalah “EPRXCJNL” Jim Michael Widi, S.Kom

Symetric Cryptography Pada algoritma symmetric key pengirim dan penerima harus memiliki kunci yang digunakan bersama dan dijaga kerahasiaanya. Pengirim menggunakan kunci ini untuk enkripsi dan penerima menggunakan kunci yang sama untuk dekripsi. Contoh : DES, TripleDES, AES, Blowfish Ada problem “pendistribusian kunci rahasia” Jim Michael Widi, S.Kom

Asymetric Cryptography Pada algoritma asymmetric key, terdapat dua kunci terpisah, sebuah public key diterbitkan dan membolehkan siapapun pengirimnya untuk melakukan enkripsi, sedangkan sebuah private key dijaga kerahasiannya oleh penerima dan digunakan untuk melakukan dekripsi. Contoh : RSA, PGP Jim Michael Widi, S.Kom

Public Key Cryptography Ada 2 kegunaan yang mendasar: Menandatangani pesan Mengirim surat rahasia dalam amplop yang tidak bisa dibuka orang lain Ada sepasang kunci untuk setiap orang (entitas): kunci publik (didistribusikan kepada khalayak ramai /umum) kunci privat (disimpan secara rahasia, hanya diketahui diri sendiri) Jim Michael Widi, S.Kom

Public Key Cryptography Contoh: Rivest-Shamir-Adleman Diffie-Hellman Ecliptical Curve Cryptography Digital Signature Algorithm (DSA) Jim Michael Widi, S.Kom

Membungkus pesan Semua orang bisa (Anto, Chandra, Deni) mengirim surat ke “Penerima” (Badu) Hanya “penerima” yang bisa membuka surat (pada prakteknya tidak persis spt ini) Pengirim (Anto) Penerima (Badu) Pesan Enkripsi Kunci publik Sandi Dekripsi Kunci privat Jim Michael Widi, S.Kom

Menandatangani pesan dgn public-key cryptography Hanya pemilik kunci privat (penandatangan, Anto) saja yang bisa membuat tanda tangan digital Semua orang (Badu, Chandra, Deni) bisa memeriksa tanda tangan itu jika memiliki kunci publik Anto (disederhanakan) Penandatangan (Anto) Pemeriksa t.t. (Badu) Pesan Dekripsi Kunci publik Enkripsi Kunci privat Pesan & t.t. t.t. Verifi-kasi t.t. Jim Michael Widi, S.Kom

Comparisons Symetric-key cryptography Public-key cryptography Privacy / confidentiality (unauthorized person can not read the message) Integrity (no one can tamper the content) Authentication (knowing the identity of the sender) Non-repudiation (signature on the message can be used as future evidence)    Jim Michael Widi, S.Kom

Sifat tanda tangan digital: Otentik, dapat dijadikan alat bukti di peradilan (kuat) hanya sah untuk dokumen (pesan) itu saja, atau kopinya. Dokumen berubah satu titik, tanda tangan jadi invalid! dapat diperiksa dengan mudah oleh siapapun, bahkan oleh orang yang belum pernah bertemu (dgn sertifikat digital tentunya) Sifat dimiliki oleh tanda tangan digital adalah: otentik, tak bisa/sulit ditulis/ditiru oleh orang lain. Pesan dan tanda tangan pesan tersebut juga dapat menjadi barang bukti, sehingga penandatangan tak bisa menyangkal bahwa dulu ia tidak pernah menandatanganinya. hanya sah untuk dokumen (pesan) itu saja atau kopinya yang sama persis. Tanda tangan itu tidak bisa dipindahkan ke dokumen lainnya, meskipun dokumen lain itu hanya berbeda sedikit. Ini juga berarti bahwa jika dokumen itu diubah, maka tanda tangan digital dari pesan tersebut tidak lagi sah. dapat diperiksa dengan mudah, termasuk oleh pihak-pihak yang belum pernah bertatap muka langsung dengan penandatangan. Jim Michael Widi, S.Kom

Keuntungan sertifikat digital bisa membuat “pipa komunikasi” tertutup antara 2 pihak bisa dipergunakan untuk mengotentikasi pihak lain di jaringan (mengenali jati dirinya) bisa dipakai untuk membuat dan memeriksa tanda tangan bisa dipakai untuk membuat surat izin “digital” untuk melakukan aktifitas tertentu, atau identitas digital bisa untuk off-line verification Jim Michael Widi, S.Kom

Fungsi Hash Disebut juga sidik jari (fingerprint), message integrity check, atau manipulation detection code Untuk integrity-check Dokumen/pesan yang diubah 1 titik saja, sidik jarinya akan sangat berbada Jim Michael Widi, S.Kom

Contoh Algoritma Hash Message Digest (MD) series: MD-2, MD-4, MD-5. 128-bit Secure Hash Algorithm (SHA), termasuk SHA-1. 160-bit Jim Michael Widi, S.Kom

Algoritma Dipublish atau Tidak? Tidak dipublish: Untuk mengenhance security. Hal ini dilakukan oleh militer agar musuh tidak dapat mengetahui algoritma yang dipakai. Ada juga yang dipakai dalam produk komersial, tapi ini adalah untuk alasan agar bisa lebih mudah diexport Dipublish: Alasannya: toh nanti ketahuan juga oleh penjahat. Jadi biarkan saja orang-orang baik mempelajari kelemahan algoritma agar algoritma itu bisa diperbaiki. Jim Michael Widi, S.Kom

Breaking an Encryption Scheme 1. Ciphertext Only 2. Known Plaintext 3. Chosen Plaintext Jim Michael Widi, S.Kom

Ciphertext Only Jelas… ini yang paling minim. Kalau tidak ada ciphertext, apa yang mau dipecahkan? Dengan mencoba semua kunci, Ciphertext didekripsi  Recognizable plaintext Tapi kalau ciphertext terlalu sedikit – nggak bisa juga! Misal: ciphertext XYZ dgn kunci 1 bisa menjadi THE ciphertext XYZ dgn kunci 4 bisa menjadi CAT ciphertext XYZ dgn kunci 13 bisa menjadi HAT Jadi harus cukup banyak ciphertextnya. Jumlah kunci yang dicoba mungkin tak harus seluruh kombinasi. Pada pembobolan password, mungkin pembobol hanya mencoba kata-kata umum dari kamus. Penjahat itu mungkin tidak akan mencoba password ‘gjsl?xf3d%w’. Jim Michael Widi, S.Kom

Known Plaintext Misalnya seorang jendral A menyadap pesan rahasia dari musuh yang ia sudah ketahui formatnya, tapi dia belum mengetahui plaintext: Date Time City Province Type of attack Number of troops As/eg/fa5e 9a:de:oe okejxwasd mdkepaj 8je$lasnvflasksn x Nah, setelah penyerangan oleh musuh tersebut, tentu Jendral A tahu ‘plaintextnya’ bukan? Date Time City Province Type of attack Number of troops 10/12/1943 01:30:00 Nüremberg Bayern Air-bombing none Sang jendral mungkin akan relatif lebih mudah menerka algoritma dan kunci yang dipergunakan. Bahkan pada kriptografi monoalfabetik, sedikit saja ‘knowledge’ dari pasangan <ciphertext,plaintext> sudah sangat membantu! Jadi dalam desain protokol, kadang-kadang diperlukan syarat agar penjahat tidak bisa mendapatkan pasangan <ciphertext,plaintext> Jim Michael Widi, S.Kom

Chosen Plaintext Misalnya ada cryptosystem yang ‘challenge & response’. Penjahat memberikan sebuah string ‘aaaaaaaaaa’ dan menerima hasil enkripsi dari cryptosystem tadi (misalnya ‘ghijklmnop’). Hal ini dilakukannya berulang-ulang, sampai dia bisa mengira-ngira algoritma apa yang dipergunakan. Jim Michael Widi, S.Kom

Konsep Public Key Infrastructure Jim Michael Widi, S.Kom

Entitas PKI Certificate Authority Subscriber Registration Authority Repository Relying Party (selain subscriber) Jim Michael Widi, S.Kom

Certificate Authority Yakni entitas yang namanya tertera sebagai “issuer” pada sebuah sertifikat digital Tidak harus pihak ketiga di luar organisasi sang subscriber. Misal: CA di sebuah perusahaan yang mengeluarkan digital ID buat pegawainya Jim Michael Widi, S.Kom

Subscriber Entitas yang menggunakan sertifikat digital (diluar RA dan CA) sebagai “jati dirinya” Bisa juga berupa software, downloadable application atau mobile agent Memegang private key: harus dijaga baik-baik! PSE: personal security environment. Smartcard hard disk / disket (PKCS #5) Jim Michael Widi, S.Kom

Registration Authority Menjalankan beberapa tugas RA, misalnya: registrasi / physical authentication key generation key recovery revocation reporting Sifatnya optional, dan skenario CA-RA bisa berbeda-beda tergantung situasi kondisi Jim Michael Widi, S.Kom

Repository & Relying Party Repository: tempat untuk menyimpan dan “mengumumkan” sertifikat digital yang siap diakses oleh publik. Repository juga tempat mengumumkan CRL (akan dijelaskan nanti) Relying Party: ada pihak-pihak yang memanfaatkan sertifikat digital untuk keamanan transaksi, namun dia tidak harus memiliki sertifikat digital. Contoh: secure website dengan SSL. Jim Michael Widi, S.Kom

Relying Party Anto (relying party, R) (subscriber, S) IndoSign R S P.T. Jaya Makmur Anto (relying party, R) (subscriber, S) IndoSign R S Jim Michael Widi, S.Kom

Diagram Entitas PKI Subscriber Cert & CRL Repo- sitory Cert Publish Subscriber Cert & CRL Repo- sitory “Pemakai” PKI Entitas “manajemen PKI” Registration Authority Cert & CRL Publish Certificate Authority Cert & CRL Publish (diluar jaringan) Cross certification Certificate Authority lain Jim Michael Widi, S.Kom

Network Security Jim Michael Widi, S.Kom MTI: Sistim Komputer

Recap: Access Control (1/2) User management: profile, user-id, account-no etc. User management: passwords, digital cetificates etc. Access management: access rights, access control list etc. Umumnya access control bertumpu pada: Identifikasi dan Otentifikasi Jim Michael Widi, S.Kom

Recap: Access Control (2/2) Authentication What you know What you have Who (physically) you are Strong Authentication: two or three factors Jim Michael Widi, S.Kom

Recap: Threat & Vulnerabilities (1/2) Stealing keyboard password files Eksploitasi kelemahan s/w atau OS => back door sehingga hacker akase sbg. system administrator. Dokumentasi kelemahan OS: www.cert.org (mis. terdapat 2300 kerawanan pada Windows NT) Deciphering encrypted passwords: dictionary attacks Metode enkripsi diketahui (algoritma, utilitas OS) Hackers membandingkan hasil encryption dgn “commonly used passwords” (nama populer, kombinasi angka dll => dictionary). Hasil encription sama dgn passwords files => guess benar. Jim Michael Widi, S.Kom

OSI Layer Model Provides data representation between systems Establishes, maintains, manages sessions example - synchronization of data flow Provides end-to-end data transmission integrity Switches and routes information units Provides transfer of units of information to other end of physical link Transmits bit stream on physical medium 6 5 4 3 2 1 Provides specific services for applications such as file transfer 7 Application Presentation Session Transport Network Data Link Physical OSI (Open System Interconnection) Reference Model: 7 layer stack Jim Michael Widi, S.Kom MTI: Sistim Komputer 6

Discussion Topologi manakah yang secara fisik memberikan keuntungan security? Fitur apakah yang dapat digunakan pada peralatan jaringan utk meningkatkan network security? Secara spesifik manakah yang lebih aman dari ketiga internetworking devices (hubs, bridges, switches)? Berikan fitur tambahan yang dapat diterapkan pada peralatan internetworking tsb utk meningkatkan security. Jim Michael Widi, S.Kom

LAN Security Local area networks facilitate the storage and retrieval of programs and data used by a group of people. LAN software and practices also need to provide for the security of these programs and data. The connection of the network to public switched telephone networks may be weak Dial-up access controls: call back LAN Security Local area networks facilitate the storage and retrieval of programs and data used by a group of people. LAN software and practices also need to provide for the security of these programs and data. Unfortunately, most LAN software provides a low level of security. The emphasis has been on providing capability and functionality rather than security. As a result, risks associated with use of LANs include: Loss of data and program integrity through unauthorized changes Lack of current data protection through inability to maintain version control Exposure to external activity through limited user verification and potential public network access from dial-in connections Virus infection Improper disclosure of data because of general access rather than need-to-know access provisions Violating software licenses by using unlicensed or excessive numbers of software copies Illegal access by impersonating or masquerading as a legitimate LAN user Internal user’s sniffing (obtaining seemingly unimportant information from the network that can be used to launch an attack, such as network address information) Internal user’s spoofing (reconfiguring a network address to pretend to be a different address) Destruction of the logging and auditing data. The CISA candidate must be familiar with the commonly available network security administrative capabilities. For further details, refer to page 245 –246 of the 2005 CISA Review Manual. LAN Risks and Issues The administrative and control functions available with network software might be limited. Software vendors and network users have recognized the need to provide diagnostic capabilities to identify the cause of problems when the network goes down or functions in an unusual manner. The use of logon IDs and passwords with associated administration facilities is only becoming standard now. Read, write and execute permission capabilities for files and programs are options available with some network operating system versions, but detailed automated logs of activity (audit trails) are seldom found on LANs. Fortunately, newer versions of network software have significantly more control and administration capabilities. For more information on LANs, refer to page 246 of the 2005 CISA Review Manual. Dial-up Access Controls It is possible to break LAN security through the dial-in route. Without dial-up access controls, a caller can dial in and try passwords until they gain access. Once in, they can hide pieces of software anywhere, pass through WAN links to other systems and generally create as much or as little havoc as they like. To minimize the risk of unauthorized dial-in access, remote users should never store their passwords in plain text login scripts on notebooks and desktops. Furthermore, portable PCs should be protected by physical keys and/or basic input/output system (BIOS) based passwords to limit access to data if stolen. For further details on Dial-up access controls, refer to pages 246-247 of the 2005 CISA Review Manual. Jim Michael Widi, S.Kom MTI: Sistim Komputer

Internet Threats and Security Network Security Threats Passive attacks Network analysis Eavesdropping Traffic analysis Active attacks Brute-force attack Masquerading Packet replay Message modification Unauthorized access through the Internet or web-based services Denial of service Dial-in penetration attacks E-mail bombing and spamming E-mail spoofing Internet Threats and Security The very nature of the Internet makes it vulnerable to attack. Originally designed to allow for the freest possible exchange of information, it is widely used today for commercial purposes. This poses significant security problems for organizations when protecting their information assets. For example, hackers and virus writers try to attack the Internet and computers connected to the Internet. Some want to invade others’ privacy and attempt to crack into databases of sensitive information or sniff information as it travels across Internet routes. Consequently, it becomes more important for IS auditors to understand the risks and security factors that are needed to ensure proper controls are in place when a company connects to the Internet. Network Security Threats One class of network attacks involves probing for network information. These passive attacks can lead to actual active attacks or intrusions/penetrations into an organization’s network. By probing for network information, the intruder obtains network information that can be used to target a particular system or set of systems during an actual attack. Passive Attacks Examples of passive attacks that gather network information include the following: Network analysis—The intruder applies a systematic and methodical approach known as footprinting to create a complete profile of an organization’s network security infrastructure. Eavesdropping—The intruder gathers the information flowing through the network with the intent of acquiring and releasing the message contents for either personal analysis or for third parties who might have commissioned such eavesdropping. Traffic analysis—The intruder determines the nature of traffic flow between defined hosts, and through an analysis of session length, frequency and message length, he/she is able to guess the type of communication taking place. For further information on passive attacks, refer to pages 248-249 of the 2005 CISA Review Manual. Active Attacks Once enough network information has been gathered, the intruder will launch an actual attack against a targeted system to either gain complete control over that system or enough control to cause certain threats to be realized. This may include obtaining unauthorized access to modify data or programs, causing a denial of service, escalating privileges, accessing other systems, and obtaining sensitive information for personal gain. These types of penetrations or intrusions are known as active attacks. They affect the integrity, availability and authentication attributes of network security. Common forms of active attacks may include any of the following: Brute-force attack. Masquerading Packet replay Message modification. Unauthorized access through the Internet or web-based services. Denial of service Dial-in penetration attacks. E-mail bombing and spamming. E-mail spoofing. For further details on active attacks, refer to pages 249-250 of the 2005 CISA Review Manual. Jim Michael Widi, S.Kom MTI: Sistim Komputer

Common Security Attacks Finding a way into the network Firewalls Exploiting software bugs, buffer overflows Intrusion Detection Systems Denial of Service Instrusion Detection Systems Packet sniffing Encryption (SSH, SSL, HTTPS, pada tingkat aplikasi) Social problems Training, Awareness Program Jim Michael Widi, S.Kom

Network security threats Packet sniffing: broadcast media promiscuous NIC reads all packets passing by can read all unencrypted data (e.g. passwords) e.g.: C sniffs B’s packets A C src:B dest:A payload B Countermeasures? Jim Michael Widi, S.Kom

Network security threats Packet sniffing: countermeasures all hosts in orgnization run software that checks periodically if host interface in promiscuous mode. one host per segment of broadcast media (switched Ethernet at hub) A C src:B dest:A payload B Jim Michael Widi, S.Kom

IP and Security End hosts membuat paket IP dan router memproses berdasarkan address IP tujuan pd paket tsb. Problem – End host may lie about other fields and not affect delivery Source address – host may trick destination into believing that packet is from trusted source (IP Spoofing) Banyak aplikasi menggunakan address IP sbg cara sederhana utk validasi/otentikasi. Limit akses dan services yang diberikan Jim Michael Widi, S.Kom

Internet security threats IP Spoofing: can generate “raw” IP packets directly from application, putting any value into IP source address field receiver can’t tell if source is spoofed e.g.: C pretends to be B A C src:B dest:A payload B Countermeasures? Jim Michael Widi, S.Kom

Internet security threats IP Spoofing: router filtering routers should not forward outgoing packets with invalid source addresses (e.g., datagram source address not in router’s network) A C src:B dest:A payload B Jim Michael Widi, S.Kom

Firewalls Basic problem – many network applications and protocols have security problems that are fixed over time Sulit untuk implementasi pd tingkat users dan sejumlah host yg banyak (control & managed) Solution Administrators limit access to end hosts by using a firewall Firewall is kept up-to-date by administrators Firewall Router diprogram khusus yg membatasi “site” dan eksternal network Router => connect & forward paket Filter => membatasi paket yang dapat di forward (drop) Jim Michael Widi, S.Kom

Firewalls public administered Internet network firewall isolates organization’s internal net from larger Internet, allowing some packets to pass, blocking others. administered network public Internet firewall Jim Michael Widi, S.Kom

Firewalls Contoh: A firewall is like a castle with a drawbridge Firewall membuang paket IP dgn address tertentu (source, destination) atau TCP port number (services yg dibatasi) A firewall is like a castle with a drawbridge Hanya satu titik akses ke jaringan internal This can be good or bad (Why?) Can be hardware or software Ex. Some routers come with firewall functionality Why good? Because it lets you filter what comes in and what goes out. Why bad? If that point goes down, you are cut off from everyone else. Also, may have lots of congestion at that one point. Jim Michael Widi, S.Kom MTI: Sistim Komputer

Firewall Types Packet Filtering Application Level Firewalls Tingkat aplikasi, sering disebut sbg proxy server. Tidak ada hubungan langsung antara client & server. Hanya firewall/proxy yg ter-expose ke pihak eksternal. Stateful Inspection Firewalls Melakukan tracking status dan konteks dari data paket. Pemeriksaan paket yg diterima apakah sesuai dgn konteks koneksi yg ada (list address yg valid) Dynamic Packet Filtering Firewalls Jim Michael Widi, S.Kom

Packet Filtering Should arriving packet be allowed in? Departing packet let out? Internal network connected to Internet via router firewall Router filters packet-by-packet, decision to forward/drop packet based on: source IP address, destination IP address TCP/UDP source and destination port numbers ICMP message type TCP SYN and ACK bits Jim Michael Widi, S.Kom

Application Gateway Proxy: Istilah umum pd teknik jaringan => proses yang berada antara client dan server proses. Dari sisi client => proxy mewakili server Dari sisi server => proxy mewakili client Umumnya proxy => terkait dengan konteks aplikasi: Mampu melakukan intrepetasi pada tingkat aplikasi (mis. Cache proxy => request file di lokal cache, walaupun URL ke external networks). Security: proxy dpt menerapkan (enforce) kebijakan keamanan dalam memberikan services dari suatu aplikasi. Jim Michael Widi, S.Kom

Example Misalkan: kebijakan utk membatasi akses ke direktori tertentu (file) di Web-server untuk user tertentu/remote site. Menggunakan filter port 80, tidak efektif karena melakukan blok pd keseruhan akses. Deny utk URL tertentu tidak dapat diterapkan pada “packet filtering”. HTTP proxy: Remote user establish HTTP/TCP connection to the proxy. Proxy check the URL: allowed/deny for the source host. If allowed, proxy established a second HTTP/TCP connection to the server. If deny, proxy returns error to the remote user. Jim Michael Widi, S.Kom

Proxy: extend connections Jim Michael Widi, S.Kom

Firewall Security Systems Examples of firewall implementations Screened-host firewall Dual-homed firewall Demilitarized zone (DMZ) Examples of Firewall Implementations Firewall implementations can take advantage of the functionality available in a variety of firewall designs to provide a robust layered approach in protecting an organization’s information assets. Commonly used implementations available today include: Screened-host firewall—Utilizing a packet filtering router and a bastion host, this approach implements basic network layer security (packet filtering) and application server security (proxy services). An intruder in this configuration has to penetrate two separate systems before the security of the private network can be compromised. This firewall system is configured with the bastion host connected to the private network with a packet-filtering router between the Internet and the bastion host. Router filtering rules allow inbound traffic to access only the bastion host, which blocks access to internal systems. Since the inside hosts reside on the same network as the bastion host, the security policy of the organization determines whether inside systems are permitted direct access to the Internet, or whether they are required to use the proxy services on the bastion host. Dual-homed firewall—A firewall system that has two or more network interfaces, each of which is connected to a different network. In a firewall configuration, a dual-homed firewall usually acts to block or filter some or all of the traffic trying to pass between the networks. A dual-homed firewall system is a more restrictive form of a screened-host firewall system, when a dual-homed bastion host is configured with one interface established for information servers and another for private network host computers. Demilitarized zone (DMZ) or screened-subnet firewall—Utilizing two packet filtering routers and a bastion host, this approach creates the most secure firewall system, since it supports both network and application-level security while defining a separate demilitarized zone network. The DMZ functions as a small isolated network for an organization’s public servers, bastion host information servers and modem pools. Typically, DMZs are configured to limit access from the Internet and the organization’s private network. Incoming traffic access is restricted into the DMZ network by the outside router and protects the organization against certain attacks by limiting the services available for use. Consequently, external systems can access only the bastion host (and its proxying service capabilities to internal systems) and possibly information servers in the DMZ. The inside router provides a second line of defense, managing DMZ access to the private network, while accepting only traffic originating from the bastion host. For outbound traffic, the inside router manages private network access to the DMZ network. It permits internal systems to access only the bastion host and information servers in the DMZ. The filtering rules on the outside router require the use of proxy services by accepting only outbound traffic on the bastion host. The key benefits of this system are that an intruder must penetrate three separate devices, private network addresses are not disclosed to the Internet, and internal systems do not have direct access to the Internet. Jim Michael Widi, S.Kom MTI: Sistim Komputer

Firewall Implementations Network address translation (NAT) Internal addresses unreachable from external network DMZ - De-Militarized Zone Hosts that are directly reachable from untrusted networks Choke, Choke router A router with packet filtering rules (ACLs) enabled Gate, Bastion host, Dual Homed Host A server that provides packet filtering and/or proxy services proxy server A server that provides application proxies Jim Michael Widi, S.Kom

Screened-Host Firewall Router: filtering rule: IP untuk server aplikasi (Info Server) diberikan ke proxy (application gateway) Jim Michael Widi, S.Kom

Dual-Homed Firewall Intranet & Internet dipisahkan oleh proxy (application gateway) Jim Michael Widi, S.Kom

DMZ subnet Firewall DMZ Internet Intranet Web server, email server, web proxy, etc DMZ, screened subnet firewall Jim Michael Widi, S.Kom

Limitations Keterbatasan Firewalls Fokus pd ancaman eksternal => membatasi akses dari luar. Bagaimana dengan user internal? Program dpt masuk melalui “mobile” computer dan berada di internal networks. Email messages => expode pada jaringan internal. Wireless LANs => interkoneksi berbagai devices (eksternal komputer), termasuk area jangkauan, dapat menggunakan akses dari remote host melalui firewall. Jim Michael Widi, S.Kom

Intrusion Detection Systems (IDS) An IDS works in conjunction with routers and firewalls by monitoring network usage anomalies. Network-based IDSs Host-based IDS Components: Sensors that are responsible for collecting data Analyzers that receive input from sensors and determine intrusive activity An administration console: warning & alarm A user interface Intrusion Detection Systems (IDS) Another element to securing networks complementing firewall implementations is an intrusion detection system (IDS). An IDS works in conjunction with routers and firewalls by monitoring network usage anomalies. It protects a company’s information systems resources from external as well as internal misuse. An IDS operates continuously on the system, running in the background and notifying administrators when it detects a perceived threat. For example, an IDS detects attack patterns and issues an alert. Broad categories of intrusion detection systems include: Network-based IDSs—They identify attacks within the monitored network and issue a warning to the operator. If a network-based IDS is placed between the Internet and the firewall, it will detect all the attack attempts, whether or not they enter the firewall. If the IDS is placed between a firewall and the corporate network, it will detect those attacks that enter the firewall (it will detect intruders). The IDS is not a substitute for a firewall, but it complements the function of a firewall. Host-based IDSs—They are configured for a specific environment and will monitor various internal resources of the operating system to warn of a possible attack. They can detect the modification of executable programs, detect the deletion of files and issue a warning when an attempt is made to use a privileged command. Jim Michael Widi, S.Kom MTI: Sistim Komputer

Intrusion Detection Systems (IDS) Types include: Signature-based: Proteksi dengan melakukan deteksi thp pola (signature) serangan tertentu. Statistical-based Prediksi serangan dengan membandingkan gejala yg lengkap dan “expected behaviour” sistem. Neural networks Self learning? Types of IDSs include: Signature-based—These IDS systems protect against detected intrusion patterns. The intrusive patterns they can identify are stored in the form of signatures. Statistical-based—These systems need a comprehensive definition of the known and expected behavior of systems. Neural networks—An IDS with this feature monitors the general patterns of activity and traffic on the network and creates a database. This is similar to the statistical model but with added self-learning functionality. Signature-based IDSs will not be able to detect all types of intrusions due to the limitations of the detection rules. On the other hand, statistical-based systems may report many events outside of defined normal activity but which are normal activities on the network. A combination of signature- and statistical-based models provides better protection. Jim Michael Widi, S.Kom MTI: Sistim Komputer

IDS: Limitations Can only detect “pattern” of attack we know about Sering ancaman yg berbahaya belum ada signaturenya Weaknesses in the policy definition Bagaimana cara respond, mekanisme review (update) False-positive attacks Sering sulit membedakan pola attack yg sebenarnya atau kejadian kebelulan => generate false alarm yg banyak dan akhirnya diabaikan oleh operator. Application-level vulnerabilities Sulit untuk dideteksi, pola seperti keadaan normal Limitations An IDS cannot help with the following weaknesses: Weaknesses in the policy definition Application-level vulnerabilities Backdoors into applications Weaknesses in identification and authentication schemes Jim Michael Widi, S.Kom MTI: Sistim Komputer

Denial of Service Jim Michael Widi, S.Kom

Security Management Jim Michael Widi, S.Kom

Latar Belakang What is Security Management? Q: Apa yang anda lakukan jika enemukan disk dengan label “confidential” berada di meja makan? Q: Apakah anda pernah mendapatkan user ID dan password superisor? Q: Apakah orang luar dapat menggunakan PC dan mencoba log-on ke sistem komputer? Q: Apa yang harus dilakukan jika laptop perusahaan hilang? Q: Apa yang harus dilakukan jika saya ingin mengirimka data “confidential” ke kantor cabang melalui e-mail? Security Management Proses manajemen dalam melindungi informasi dan IT Services pada tingkatan keamanan tertentu. Identifikasi aset dan pengembangan keamanan dalam implementasi kebijakan, standard, guidelines dan prosedur Praktik manajemen: analisa resiko dan klasifikasi data/aset TI Jim Michael Widi, S.Kom

Security Management: Issues Security Management IT => part of manager’s job Bertanggung-jawab dalam melindungi insiden keamanan Berhubungan dengan kebijakan/strategi dan operasional => bagian dari quality (assurance) management Issues : Insiden: event yang dapat terjadi baik disengaja atau tidak yang merugikan nilai dari informasi Meniadakan insiden? Sulit dilakukan! Mencapai “acceptable level” dari resiko. Faktor penting perlindungan nilai dari informasi: Kerahasiaan, Integritas dan Ketersediaan informasi Jim Michael Widi, S.Kom

Information Security Information security merupakan metode & teknologi untuk melindungi informasi: Confidentially (privacy), Integrity, and Availability Kategori utama: Big Three (C.I.A) Tolak ukur terhadap: perlindungan (safeguard), ancaman (threat), kerawanan (vulnerability) dan proses manajemen keamanan. Jim Michael Widi, S.Kom

Confidetiality (Kerahasiaan) What information needs to be kept secret? Kerahasiaan: Pencegahan terhadap usaha yang disengaja atau tidak yang melanggar otorisasi untuk mengakses/ menyebarkan informasi How much protection is needed? For how long must the information be kept secret? Jim Michael Widi, S.Kom

Integrity (Keutuhan) Information that cannot be trusted is worse than useless – it costs money and time to create and store, but provides no benefit. Integrity: Pencegahan terhadap modifikasi data oleh orang yang tidak berhak atau perubahan yang tidak di-otorisasi. Konsistensi data/informasi: eksternal dan internal. Who create/send the information? Can we prove who create the data? We know the information is not changed or altered by “unauthorized personnel” Jim Michael Widi, S.Kom

Availability (Ketersediaan) Information which is not available when required is of no use, even if its confidentiality is secure and its integrity intact Availability: Menjamin informasi/services tetap ada saat diperlukan What information must we have readily available? How readily must be able to access the information? Days?, Hours?; Minutes or seconds? Jim Michael Widi, S.Kom

Important Concepts Identification Authentication Accountability Authorization Privacy Non Repudiation Jim Michael Widi, S.Kom

Objectives Security Controls: Sulit untuk ancaman dan dampak kerugian Feasible: mengurangi atau menurunkan dampak kerugian maupun kemungkinan terjadi insiden Sebagai contoh: objektif dari security control dapat menurunkan matrix diatas dari titik 3, ke titik 2 atau ke titik 1. Matrix ini dapat digunakan untuk melakukan evaluasi penerapan securitu control. Jim Michael Widi, S.Kom

Security Measures (1) Tindakan Keamanan Tidak semua informasi sama penting/bernilai => perlu klasifikasi jenis aset (informasi + services) yang perlu dilindungi. Manajemen: pertimbangan faktor cost (waktu, SDM dan biaya) dalam melindungi informasi Required resources vs tingkat proteksi yang diperlukan Insiden => Tindakan Keamanan yang diperlukan Mencegah dan menangani insiden yang dapat terjadi pada setiap tahapan Jim Michael Widi, S.Kom

Security Measures (2) Jim Michael Widi, S.Kom

Discussion Berikan contoh tindakan keamanan dalam kategori? Ancaman Kerawanan Resiko Deteksi Represi (pengurangan) Pencegahan/Perbaikan Jim Michael Widi, S.Kom

Example: Threat Threat Agents Can Exploit This Vulnerability Table 3-1 Relationship of Threat Agents, Vulnerabilities and Risks Threat Agents Can Exploit This Vulnerability Resulting in This Risk Virus Lack of antivirus software Virus Infection Hacker Powerful services running on a server Unauthorized access to confidential information Users Misconfigured parameter in the operating system System malfunction Fire Lack of fire extinguishers Facility and computer damage, and possibly loss of life Employee Lax access control mechanisms Damaging mission-critical information Contractor Stealing trade secrets Attacker Poorly written application Conducting a buffer overflow Intruder Lack of security guard Breaking windows and stealing computers and devices Lack of auditing Altering data inputs and outputs from data processing applications Lack of stringer firewall settings Conducting a denial of service attack Jim Michael Widi, S.Kom

Classification Klasifikasi informasi/data Sesuai dengan sifat organisasi: sensitivitas, dampak kerugian yang dapat ditimbulkan. Penentuan klasifikasi data penting untuk menentukan kontrol akses dan menjamin data yang penting aman. Contoh DoD – pemerintah mempunyai klasifikasi sbb: Top Secret Secret Confidential Unclassified Jim Michael Widi, S.Kom

Classification: General Klasifikasi yang umum: Confidential: rahasia, internal use only; kerahasiaan merupakan hak dan kritis untuk operasi dan strategi bisnis perusahaan. Sering mempunyai dampak langsung pada bisnis atau masalah hukum, jika tidak dilindungi. Private: informasi yang hanya untuk akses internal saja. Distribusi keluar dapat menimbulkan kerugian besar dan kredibilitas perusahaan. Sensitive: perlu proteksi terhadap akses dan perubahan yang tidak ter-otorisasi. Public: informasi umum, semua data yang tidak masuk dalam kategori di atas. Jim Michael Widi, S.Kom

Classification: Roles Peranan (roles) dalam prosedur klasifikasi Owner: pemilik data/informasi (mis. Manajer dari bisnis unit) Tanggung-jawab akhir terhadap proteksi data/informasi Paling mengetahui dalam menentukan klasifikasi data/informasi Custodian Penjaga/proteksi data secara operasional Umumnya didelegasikan oleh owner, mis. Staf TI. Contoh operasionil: penyandian data, backup data dsb. User: pemakai data/informasi Jim Michael Widi, S.Kom

Business Perspectives Organisasi dan implementasi: tanggung-jawab tugas dsb Traceable to business needs: value of information Umumnya disusun dalam bentuk abstraksi: Kebijakan (policy): “which objective we aiming for?” Proses: “What has to happen to achieve those objectives?” Prosedur/standard/guidelines: who does, what and when Pendekatan “top-down” Pengembangan mulai dari security policy: “blue print” untuk perencanaan dan implementasi Jim Michael Widi, S.Kom

Policy Hierarchy Jim Michael Widi, S.Kom

Information security policies Components of an effective policy: Title Purpose Authorizing individual Author/sponsor Reference to other policies Scope Measurement expectations Exception process Accountability Effective/expiration dates Definitions No procedures, techniques or methods Policy is the approach The spesific details & implementations should be in another document Jim Michael Widi, S.Kom

Information security policies How to ensure that policies are understood: Jargon free/non-technical language Rather then, “when creating software authentication codes, users must endeavor to use codes that do not facilitate nor submit the company to vulnerabilities in the event that external operatives break such codes”, use “password that are guessable should not be used”. Focused Job position independent No procedures, techniques or methods Policy is the approach. The spesific details & implementations should be in another document Responsibility for adherence Users must understand the magnitude & significance of the policy. “I thought this policy didn’t apply to me” should never be heard. Jim Michael Widi, S.Kom

Standard & Guidelines Implementasi policy Standard: Guidelines: Terdapat unsur keharusan Petunjuk penerapan dalam lingkup/sistem tertentu Uniform untuk seluruh organisasi dan mencakup spesifik teknologi. Contoh: standard manajemen password, standard firewall dll. Guidelines: Rekomendasi dan relatif lebih flexible (evolusi menjadi standard) Contoh: guidelines keamanan password untuk seluruh client dan server. Procedures: Rincian tahapan/aksi untuk melakukan task tertentu dikaitkan dengan standard yang akan diterapkan Contoh: prosedur perubahan/pembuatan password, prosedur setup firewall Jim Michael Widi, S.Kom

Policy: Implementations Jim Michael Widi, S.Kom

Risk Management (1) General Approach Threat – possible (event) attacks on the system Vulnerability – weakness that may be exploited to cause loss or harm Risk – probability of loss actually occuring, due to realization of threat. Protection – measure to reduce risk, by reducing the probability of a threat being realized, reducing the loss if a threat is realized or both Risk only exist if there is a threat than can exploit the actual vulnerability and the go adversely impact the asset value Jim Michael Widi, S.Kom

Risk Risk Category Risk Factor Damage – Result in physical loss of an asset or the inability to access the asset, such as as cutting a network cable Disclosure – Disclosing critical information regardless of where or how it was disclosed Losses – these might be permanent or temporary, including the altering of data or the inability to access data Risk Factor Physical damage: i.e. natural disasters, power loss or vandalism. Malfunction: the failure of systems, networks, or peripherals. Attacks: inside or outside, virus, i.e. unauthorized disclosure, Human or Application errors: accidental incidents Jim Michael Widi, S.Kom

Risk Analysis (1/3) Proses: Definisi & Terminologi: Melakukan analisa resiko, dan justifikasi cost/benefit jika dilakukan proteksi. Kuantifikasi (besaran, benchmark) – dampak ancaman jika terjadi. Implementasi dan review proteksi Definisi & Terminologi: Asset – resource, proses, produk, infrastruktur TI yang perlu dilindungi. Ancaman terhadap asset dapat memberikan dampak terhadap C.I.A dari sistem informasi. Exposure Factore (EF) – presentase kerugian jika insiden ancaman terjadi pada asset tertentu. Misalkan presentase kecil jika hanya satu modul software yang rusak, tapi besar jika mencakup semua software di server. Jim Michael Widi, S.Kom

Risk Analysis (2/3) Quantitative Qualitative Analisa kuantitatif: Pendekatan secara finansial: nilai ($) dlm melakukan analisa resiko dan cost Qualitative Pendekatan menggunakan “scoring system”: rank ancaman dan efektivitas “counter measures” relatif terhadap sistem & lingkungannya. Analisa kuantitatif: Lebih sulit dilakukan Dapat mendukung perencanaan budgets dan mampu memberikan informasi kepada manajemen Jim Michael Widi, S.Kom

Risk Analysis (3/3) Identifikasi asset-asset perusahaannya Berikan nilai pada asset Identifikasi resiko dan ancaman yang langsung terkait dengan setiap asset Estimasi potensial loss dari resiko atau ancaman Estimasi berapa sering kemungkinan munculnya ancaman Hitung biaya resiko Rekomendasi ukuran atau aktivitas yang muncul Jim Michael Widi, S.Kom

Single Loss Expectancy (SLE) Kerugian financial yang muncul jika terjadi sekali (1) bencana SLE = Asset Value x Exposure Factor Exposure Factor: 0%-100%, yakni besarnya prosentasi kerugian yang diderita dalam satu bencana Misal: Dalam suatu bencana banjir, akan menyebabkan ATM terendam di 30% lokasi di Jakarta. Replacement cost ATM = Rp. 100 juta/ATM. Total ATM yang dimiliki 200 unit SLE = Rp. 100 juta x 30% x 200 = Rp. 6 milyar Jim Michael Widi, S.Kom

Threat Frequency Seberapa sering ancaman itu terjadi? Misalnya: Kebakaran besar: 1 dalam 40 tahun Banjir besar: 1 dalam 6 tahun System crash: 1 dalam 6 bulan Unauthorized access: 2 dalam bulan Dihitung dalam Annualized Rate of Occurance (ARO): Kebakaran: 1/40 Banjir besar: 1/6 System crash: 2 Unauthorized access: 2 x 2 = 24 Jim Michael Widi, S.Kom

Annualized Loss Expectancy (ALE) Annualized rate of occurrence (ARO) On an annualized basis, the frequency with which a threat is expected to occur Annualized loss expectancy (ALE) Single loss expectance x annualized rate of occurance = ALE ALE = Single Loss Expectancy x Annualized Rate of Occurance Contoh: Dalam kasus ATM, SLE = Rp. 6 milyar dan ARO = 1/6, maka ALE = Rp. 6 milyar x 1/6 = Rp. 1 milyar Dibaca: “Setiap tahunnya diperkirakan akan ada biaya ATM yang harus diperbaiki/diganti akibat sebesar Rp. 1 milyar” Jim Michael Widi, S.Kom

Cost/benefit analysis Cost of a loss Sering kali sulit untuk menentukan secara akurat Cost of prevention Jangka panjang/jangka pendek Adding up the numbers Output yang berasal dari listing asset di spreadsheet Excel, resiko-resiko dan kemungkinan kehilangan Untuk setiap kehilangan, perlu diketahui kemungkinan, prediksi kehilangan dan jumlah uang yang dibutuhkan untuk mempertahankan keadaan setelah kehilangan Jim Michael Widi, S.Kom

CHECK DIGIT Jim Michael Widi, S.Kom

Check Digit Suatu teknik pemeriksaan apakah data yang dimasukkan sah atau tidak. Check Digit didapat dari penjumlahan seluruh karakter, lalu dimodulus suatu bilangan. Jim Michael Widi, S.Kom

Check Digit Biasanya bilangan modulusnya adalah bilangan prima. Check digit biasanya digunakan pada akhir data yang dimasukkan. Biasanya digunakan pada NIM, Nomor Account Bank,Nomor kartu kredit, dll. Jim Michael Widi, S.Kom

Check Digit Check Digit pada Bank Contoh 1 : Cek kebenaran digitnya bila Nomor Account Bank X adalah 060-42313 ? Jim Michael Widi, S.Kom

Contoh 1 0 6 0 - 4 2 3 1 3 Check Digit Kode Wilayah 5 Digit = Pembaginya adalah bilangan prima Jim Michael Widi, S.Kom

Contoh 1 0 6 0 - 4 2 3 1 3 23 22 21 20 4 x 23 = 2 x 22 = 3 x 21 = 1 x 20 = 32 32 + 8 + 6 + 1 = 47 8 6 1 Jim Michael Widi, S.Kom

Contoh 1 0 6 0 - 4 2 3 1 3 2 != 3 47 : 5 = 9 sisa 2 Karena sisanya adalah 2 dan 2 != 3 Maka Check digitnya salah. Seharusnya : 060 - 42312 Jim Michael Widi, S.Kom

Check Digit Catatan : Jika check digit nomor account selain kode area bukan bilangan prima, maka nilainya dibulatkan ke bilangan prima terdekat atau keatas. Jim Michael Widi, S.Kom

Check Digit Check Digit pada Buku ISBN Contoh 2 : Seorang penulis mendapatkan no ISBN untuk buku yang ditulisnya, yaitu : 9 7 9 1 2 3 4 5 6 7. Cek kebenaran check digitnya ! Jim Michael Widi, S.Kom

Contoh 2 9 7 9 1 2 3 4 5 6 7 Kode Negara Kode Penerbit Check Digit 9 7 9 1 2 3 4 5 6 7 Check Digit No. Penerbitan Buku Kode Negara Kode Penerbit Jim Michael Widi, S.Kom

Contoh 2 9 7 9 1 2 3 4 5 6 7 10 9 8 7 6 5 4 3 2 1 X 90+63+72+7+12+15+16+15+12+7 = 309 Syaratnya harus habis dibagi 11 Jim Michael Widi, S.Kom

Contoh 2 9 7 9 1 2 3 4 5 6 7 Check Digit 309 : 11 = 28 sisa 1 9 7 9 1 2 3 4 5 6 7 Check Digit 309 : 11 = 28 sisa 1 Karena check digitnya tidak habis dibagi 11, maka check digitnya salah. Seharusnya : 7 - 1 = 6 Check Digit Sisa Jadi, no. ISBNnya adalah 9 7 9 1 2 3 4 5 6 6 Jim Michael Widi, S.Kom

Check Digit Contoh 3 Penerbit buku menerbitkan no. ISBN kepada penulis : 9 7 9 - 2 3 2 5 - 6 7 1 Cek kebenaran digitnya ! Jim Michael Widi, S.Kom

Contoh 3 9 7 9 2 3 2 5 6 7 1 Check Digit 10 9 8 7 6 5 4 3 2 1 X 90+63+72+14+18+10+20+18+14+1 = 320 320 : 11 = 29 Sisa 1 Jim Michael Widi, S.Kom

Contoh 3 Seharusnya : 1 – 1 = 0 Check Digit Sisa Karena check digitnya tidak habis dibagi 11, maka check digitnya salah. Seharusnya : Jika check digit >= sisa, maka check digit dikurangi sisa. 1 – 1 = 0 Check Digit Sisa Jadi, no. ISBNnya adalah 9 7 9 2 3 2 5 6 7 0 Jim Michael Widi, S.Kom

Check Digit Contoh 4 : Sebuah buku yang diterbitkan mempunyai no. ISBN 9 7 9 – 0 2 5 6 – 0 2 1 Cek kebenaran check digitnya ! Jim Michael Widi, S.Kom

Contoh 4 Check Digit 9 7 9 0 2 5 6 0 2 1 10 9 8 7 6 5 4 3 2 1 X 90+63+72+0+12+25+24+0+4+1 = 291 291 : 11 = 26 Sisa 5 hasil bagi Jim Michael Widi, S.Kom

Contoh 4 Karena check digitnya tidak habis dibagi 11, maka check digitnya salah. Seharusnya : Jika sisa > check digit, maka hasil bagi ditambah 1 26 + 1 = 27 27 x 11 = 297 297 - 291 = 6 6 + 1 = 7 Jadi, no. ISBNnya adalah 9 7 9 - 0 2 5 6 - 0 2 7 Jim Michael Widi, S.Kom

PARITY Jim Michael Widi, S.Kom

PARITY (PARITAS) Parity Yaitu Penambahan 1 bit pada akhir huruf Terbagi atas 2 method: Paritas ganjil (Odd Parity) Paritas genap (Even Partity) Jim Michael Widi, S.Kom

Odd parity (Paritas ganjil) Contoh 1: Biner 0 1 0 0 0 0 0 1 = A (65) 27 26 25 24 23 22 21 20 Jim Michael Widi, S.Kom

Odd parity (Paritas ganjil) 0 1 0 0 0 0 0 1 1 Menambahkan bit 1 pada huruf A Jumlah bit 1 nya = 3 3 adalah bilangan ganjil Jadi, ini adalah odd parity (Paritas ganjil) Jim Michael Widi, S.Kom

Odd parity (Paritas ganjil) Contoh 2 : Si A mengirimkan data “ABU” kepada si B. Buatlah menggunakan paritas ganjil(Odd Parity) ? Jim Michael Widi, S.Kom

Contoh 2 A - 0 1 0 0 0 0 0 1 B - 0 1 0 0 0 0 1 0 U - 0 1 0 1 0 1 0 1 1 1 1 0 1 0 1 0 1 1 0 1 Jim Michael Widi, S.Kom

Odd parity (Paritas ganjil) Contoh 3 : Buatlah menggunakan Paritas Ganjil untuk kata “UTAMA”! Jim Michael Widi, S.Kom

Contoh 3 U T A M 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 0 0 1 0 0 0 0 0 1 0 1 0 0 1 1 0 1 1 1 1 1 1 1 1 1 1 1 1 Jim Michael Widi, S.Kom

Even parity (Paritas genap) Contoh 1: Biner 0 1 0 0 0 0 1 0 = B (66) 27 26 25 24 23 22 21 20 Jim Michael Widi, S.Kom

Even parity (Paritas genap) 0 1 0 0 0 0 1 0 Menambahkan bit 0 pada huruf B Jumlah bit 1 nya = 2 2 adalah bilangan genapl Jadi, ini adalah Even parity (Paritas genap) Jim Michael Widi, S.Kom

Even parity (Paritas genap) Contoh 2 Si A mengirim data dengan paritas genap ke B, bantu B untuk mengecek kebenaran datanya. (Setelah dicek, diketahui bahwa terdapat 1 error) !! Jim Michael Widi, S.Kom

Contoh 2 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 0 0 1 0 0 0 0 0 1 V V X 1 1 1 1 1 1 V V V V V V X V V Letak Kesalahan Jim Michael Widi, S.Kom

CHECK SUM Jim Michael Widi, S.Kom

CHECK SUM Dapat digunakan sebagai pemeriksaan dari suatu data yang dikirim atau yang disimpan, apakah telah berubah atau tidak? Dengan menjumlahkan seluruh karakter yang dikirim atau yang disimpan, lalu di modulus suatu bilangan. Jim Michael Widi, S.Kom

CHECK SUM Contoh 1 X Mengirimkan data “ABA” ke Z bersama dengan nilai 198, jika nilai yang dikirimkan sama dengan penjumlahan “ABA” dengan kode ASCII maka X mengirimkan data yang benar, Cek kebenaran datanya!!! Jim Michael Widi, S.Kom

Contoh 1 A 0 1 0 0 0 0 0 1 B 0 1 0 0 0 0 1 0 65 66 65 + 1 1 0 0 0 1 0 0 Jim Michael Widi, S.Kom

Contoh 1 1 1 0 0 0 1 0 0 27 26 25 24 23 22 21 20 27 + 26 + 22 128 + 64 + 4 = 196 Jadi, Nilai data yang dikirimkan salah. Karena 198 != 196 Jim Michael Widi, S.Kom

CHECK SUM Contoh 2 : Menjumlahkan kata “MAJU” menggunakan kode ASCII. Jim Michael Widi, S.Kom

Contoh 2 M - 0 1 0 0 1 1 0 1 A - 0 1 0 0 0 0 0 1 J - 0 1 0 0 1 0 1 0 U - 0 1 0 1 0 1 0 1 + 1 0 0 1 0 1 1 0 1 Jim Michael Widi, S.Kom

Contoh 2 1 0 0 1 0 1 1 0 1 28 27 26 25 24 23 22 21 20 28 + 25 + 23 + 22 + 20 256 + 32 + 8 + 4 + 1 = 301 Jim Michael Widi, S.Kom

KOMPRESI Jim Michael Widi, S.Kom

KOMPRESI Berguna untuk memanfaatkan file. Banyak algoritma yang digunakan untuk mengkompres data, antara lain : ASCII (?), Huffman. Lempel-Ziv dan kombinasinya, dll. Metoda ASCII digunakan pada file teks dengan cara menghilangkan bit ke-8 dari setiap bytenya. Pada file teks, bit ke-8 dari setiap bytenya pasti 0. Jim Michael Widi, S.Kom

KOMPRESI Kompresi dengan metode ASCII Contoh String : A B C D (ada 32 bit) 8 bit x 4 karakter = 32 Jim Michael Widi, S.Kom

Contoh dengan metode ASCII B = 0 1 0 0 0 0 1 0 C = 0 1 0 0 0 0 1 1 D = 0 1 0 0 0 1 0 0 Kode ASCII Bit ke-8 dihilangkan Jim Michael Widi, S.Kom

Contoh dengan metode ASCII Sehingga menjadi : 1 0 0 0 0 0 1 1 0 0 0 0 1 0 1 0 0 0 0 1 1 1 0 0 0 1 0 0 A B 28 Bit C D Jim Michael Widi, S.Kom

KOMPRESI Kompresi dengan metode Huffman Contoh : “ A K U S U K A S A S A “ Jim Michael Widi, S.Kom

Contoh “ A K U S U K A S A S A “ A = 4 K = 2 U = 2 S = 3 Jumlah karakter Urutkan dari kiri, mulai yang terbesar. A4 S3 K2 U2 Gabungkan jumlah karakter yang terkecil A4 KU4 S3 K2 U2 Jim Michael Widi, S.Kom

Contoh KUS7 A4 AKUS11 KU4 S3 KUS7 A4 K2 S3 U2 KU4 K2 U2 Jim Michael Widi, S.Kom

Contoh A = 1 S = 0 1 U = 0 0 1 K = 0 0 0 AKUS11 KUS7 A4 KUS7 A4 1 1 000 001 01 001 000 1 01 1 01 1 KU4 S3 A K U S U K A S A S A 1 K2 U2 Jim Michael Widi, S.Kom

Latihan Buat Kompresi dengan metode Huffman “ AKUSUKAZIZI “ “ KAKIKUKAKU “ “ KENAPAKU “ Jim Michael Widi, S.Kom