Transcript CIS1355 PPT Chap 01 [indonesia]

Security+ Guide to Network
Security Fundamentals, Third
Edition
BAB1
Pendahuluan Keamanan
Tantangan mengamankan informasi
• Tidak ada solusi sederhana untuk mengamankan
informasi
• Hal ini dapat dilihat melalui berbagai jenis serangan
yang pengguna hadapi saat ini
• Serta kesulitan dalam mempertahankan terhadap
serangan ini
Security+ Guide to Network Security Fundamentals, Third Edition
2
Serangan-serangan Kemanan saat ini
– Sebuah program jahat diperkenalkan di beberapa titik
dalam proses pembuatan merek populer bingkai foto
digital
– Penipuan Nigerian e-mail yang mengaku di kirim dari
PBB
– Apple telah mengeluarkan update untuk mengatasi 25
kelemahan keamanan dalam sistem operasi OS X
Security+ Guide to Network Security Fundamentals, Third Edition
3
Kesulitan dalam mempertahankan
serangan
• Kesulitan-kesulitan didalam berikut:
–
–
–
–
Kecepatan serangan
Lebih besar kecanggihan serangan
Kesederhanaan alat serangan
Penyerang dapat mendeteksi kerentanan lebih cepat
dan lebih mudah mengeksploitasi kerentanan
– Penundaan dalam hardware patch dan produk
perangkat lunak
– Kebanyakan serangan sekarang serangan
didistribusikan, bukan hanya berasal dari satu sumber
– Pengguna kebingungan
Security+ Guide to Network Security Fundamentals, Third Edition
4
Security+ Guide to Network Security Fundamentals, Third Edition
5
Definisi keamanan informasi
• Keamanan dapat dianggap sebagai keadaan bebas
dari bahaya atau risiko
– Keadaan atau kondisi kebebasan ada karena upaya
perlindungan ditetapkan dan dipelihara
• Keamanan Informasi
– Tugas menjaga informasi yang berada dalam format
digital
– Memastikan bahwa upaya perlindungan sudah
dilaksanakan sebagaimana mestinya
– Tidak bisa sepenuhnya mencegah serangan atau
menjamin bahwa sistem benar-benar aman
Security+ Guide to Network Security Fundamentals, Third Edition
6
Definisi keamanan informasi
(continued)
• Keamanan informasi dimaksudkan untuk melindungi
informasi yang memiliki nilai kepada orang-orang
dan organisasi
– Nilai ini berasal dari karakteristik informasi:
• Confidentiality (kerahasiaan)
• Integrity
• Availability (ketersediaan)
• keamanan Informasi dicapai melalui kombinasi dari
tiga entitas tsb
Security+ Guide to Network Security Fundamentals, Third Edition
7
Security+ Guide to Network Security Fundamentals, Third Edition
8
Definisi keamanan informasi
(continued)
Security+ Guide to Network Security Fundamentals, Third Edition
9
Definisi keamanan informasi
(continued)
• Definisi yang lebih komprehensif keamanan
informasi adalah:
– yang melindungi integritas, kerahasiaan, dan
ketersediaan informasi mengenai perangkat yang
menyimpan, memanipulasi, dan mengirimkan
informasi melalui produk, orang, dan prosedur
Security+ Guide to Network Security Fundamentals, Third Edition
10
Terminologi Keamanan Informasi
• Asset
– Sesuatu yang mempunyai nilai
• Threat (ancaman)
– Suatu peristiwa atau obyek yang dapat mengalahkan
langkah-langkah keamanan di tempat dan
mengakibatkan kerugian
• Threat agent (ancaman agen)
– Seseorang atau hal yang memiliki kekuatan untuk
melaksanakan ancaman
Security+ Guide to Network Security Fundamentals, Third Edition
11
Terminologi Keamanan Informasi
(continued)
• Vulnerability (kerentanan)
– Kelemahan yang memungkinkan agen untuk
memotong ancaman keamanan
• Risk (Risiko)
– Kemungkinan bahwa agen ancaman akan
mengeksploitasi kerentanan
– Realistis, risiko tidak pernah bisa sepenuhnya
dihilangkan
Security+ Guide to Network Security Fundamentals, Third Edition
12
Terminologi Keamanan Informasi
(continued)
Security+ Guide to Network Security Fundamentals, Third Edition
13
Terminologi Keamanan Informasi
(continued)
Security+ Guide to Network Security Fundamentals, Third Edition
14
Memahami Pentingnya Keamanan
Informasi
• Mencegah pencurian data
– Keamanan sering dikaitkan dengan pencegahan pencurian
– Pencurian data merupakan salah satu penyebab terbesar dari
kerugian finansial akibat serangan
– Individu sering menjadi korban pencurian data
• Menggagalkan pencurian identitas
– Pencurian identitas melibatkan penggunaan informasi pribadi
seseorang untuk menetapkan rekening bank atau kartu kredit
• Kartu tersebut kemudian dibiarkan dibayar, meninggalkan
korban dengan utang dan merusak rating kredit mereka
Security+ Guide to Network Security Fundamentals, Third Edition
15
Memahami Pentingnya Keamanan
Informasi (continued)
• Menghindari konsekuensi hukum
– Sejumlah undang-undang federal dan negara telah
diberlakukan untuk melindungi privasi data elektronik
• The Health Insurance Portability and Accountability Act
of 1996 (HIPAA)
• The Sarbanes-Oxley Act of 2002 (Sarbox)
• The Gramm-Leach-Bliley Act (GLBA)
• USA Patriot Act (2001)
• The California Database Security Breach Act (2003)
• Children’s Online Privacy Protection Act of 1998
(COPPA)
Security+ Guide to Network Security Fundamentals, Third Edition
16
Memahami Pentingnya Keamanan
Informasi (continued)
• Maintaining Productivity (mempertahankan
Produktivitas)
– Membersihkan setelah serangan mengalihkan
sumber daya seperti waktu dan uang dari aktivitas
normal
Security+ Guide to Network Security Fundamentals, Third Edition
17
Memahami Pentingnya Keamanan
Informasi (continued)
• Menggagalkan cyber terorisme
– Cyberterrorism
• Serangan oleh kelompok teroris menggunakan
teknologi komputer dan internet
– Utilitas, telekomunikasi, dan perusahaan jasa
keuangan dianggap target utama cyberterrorists
Security+ Guide to Network Security Fundamentals, Third Edition
18
Who Are the Attackers?
• Jenis-jenis orang di belakang serangan komputer
umumnya dibagi menjadi beberapa kategori
– termasuk hacker, script kiddies, mata-mata,
karyawan, kriminal di dunia maya, dan cyberterrorists
Security+ Guide to Network Security Fundamentals, Third Edition
19
Hackers
• Hacker
– Siapa saja yang ilegal menerobos masuk ke dalam
atau mencoba untuk masuk ke sistem komputer
– Seseorang yang menggunakan keterampilan
komputer canggih untuk menyerang komputer hanya
untuk mengekspos kelemahan keamanan
• Meskipun membobol sistem komputer orang lain
adalah ilegal
– Beberapa hacker percaya etis selama mereka tidak
melakukan pencurian, vandalisme, atau melanggar
kerahasiaan setiap
Security+ Guide to Network Security Fundamentals, Third Edition
20
Script Kiddies
• Script kiddies
– Ingin masuk ke komputer untuk membuat kerusakan
– Men-download software hacking otomatis (script) dari
situs web dan menggunakannya untuk masuk ke
komputer
• Mereka kadang-kadang dianggap lebih berbahaya
daripada hacker
– Script kiddies cenderung pengguna komputer yang
memiliki jumlah yang hampir tak terbatas waktu
luang, yang dapat mereka gunakan untuk menyerang
sistem
Security+ Guide to Network Security Fundamentals, Third Edition
21
Spies
• Mata-mata komputer
– Seseorang yang telah disewa untuk masuk ke
komputer dan mencuri informasi
• Mata-mata yang disewa untuk menyerang komputer
tertentu atau sistem yang berisi informasi sensitif
– Tujuan mereka adalah untuk masuk ke komputer atau
sistem dan mengambil informasi tanpa menarik
perhatian ke tindakan mereka
• Spies, seperti hacker, memiliki keterampilan
komputer yang sangat baik
Security+ Guide to Network Security Fundamentals, Third Edition
22
Karyawan
• Salah satu ancaman keamanan terbesar untuk
bisnis berasal dari karyawan
• Alasannya:
– Seorang karyawan mungkin ingin menunjukkan
kelemahan perusahaannya
– Karryawan yang tidak puas mungkin ingin balasa
dendam thd perusahaannya
– Pengintaian industri
– memeras
Security+ Guide to Network Security Fundamentals, Third Edition
23
Cybercriminals
• Cybercriminals
– Sebuah jaringan penyerang, pencuri identitas, dan
penipu keuangan
– Lebih sangat termotivasi, kurang mau mengambil
resiko, lebih baik didanai, dan lebih ulet dari hacker
• Banyak pakar keamanan percaya bahwa penjahat
cyber milik geng terorganisir
• Para penjahat dunia maya memiliki tujuan yang
lebih terfokus yang dapat diringkas dalam satu kata:
uang
Security+ Guide to Network Security Fundamentals, Third Edition
24
Cybercriminals (continued)
Security+ Guide to Network Security Fundamentals, Third Edition
25
Cybercriminals (continued)
• Cybercrime
– Target serangan terhadap jaringan keuangan, akses
tidak sah ke informasi, dan pencurian informasi
pribadi
• Financial cybercrime dibagi menjadi 2 ketegori
– Perdagangan nomor kartu kredit yang dicuri dan
informasi keuangan
– Menggunakan spam untuk melakukan penipuan
Security+ Guide to Network Security Fundamentals, Third Edition
26
Cyberterrorists
• Cyberterrorists
– Motivasi mereka dapat didefinisikan sebagai ideologi,
atau menyerang demi prinsip-prinsip atau keyakinan
• Tujuan dari penyerangan:
– menyebar informasi yang salah dan propaganda
– Untuk menolak layanan kepada pengguna komputer
yang sah
– Untuk melakukan intruksi yang tidak sah ke dalam
sistem dan jaringan yang menghasilkan onfrastruktur
yang kritis dan hilangnya sebagian data penting
Security+ Guide to Network Security Fundamentals, Third Edition
27
Serangan dan Pertahanan
• Meskipun ada berbagai macam serangan yang bisa
diluncurkan terhadap sebuah komputer atau jaringan
– Langkah dasar yang sama digunakan paling banyak
dalam penyerangan
• Melindungi komputer terhadap langkah-langkah
dalam serangan panggilan dengan lima prinsip dasar
keamanan
Security+ Guide to Network Security Fundamentals, Third Edition
28
Langkah-langkah menyerang
• Lima langkah yang membentuk serangan:
–
–
–
–
–
Penyelidikan untuk informasi
Menembus setiap pertahanan
Memodifikasi pengaturan keamanan
Beredar ke sistem lain
Melumpuhkan jaringan dan perangkat
Security+ Guide to Network Security Fundamentals, Third Edition
29
Security+ Guide to Network Security Fundamentals, Third Edition
30
Pertahanan terhadap serangan
• Meskipun dengan banyak pertahanan diperlukan
untuk menahan serangan
– Pertahanan ini harus didasarkan pada lima prinsip
dasar keamanan :
•
•
•
•
•
Protecting systems by layering
Limiting
Diversity (keragaman)
Obscurity (ketidakjelasan)
Simplicity (kesederhanaan)
Security+ Guide to Network Security Fundamentals, Third Edition
31
Layering
• Kemanan informasi harus dibuat dalam lapisanlapisan
• Salah satu mekanisme pertahanan mungkin relatif
mudah bagi penyerang untuk menghindari
– Sebaliknya, sistem keamanan harus memiliki lapisan,
sehingga tidak mungkin bahwa penyerang memiliki
alat dan kemampuan untuk menerobos semua
lapisan pertahanan
• Pendekatan berlapis juga dapat berguna dalam
melawan berbagai serangan
• Kemamanan berlapis menyediakan paling
komprehensif
Security+ Guide to Network Security Fundamentals, Third Edition
32
Limiting
• Membatasi akses informasi untuk mengurangi
ancaman
• Hanya yang mempunyai akses yang menggunakan
data
– Selain itu, jumlah akses yang diberikan kepada
seseorang harus terbatas pada apa yang orang perlu
tahu
• Beberapa cara untuk membatasi akses yang
berbasis teknologi, sementara yang lain prosedural
Security+ Guide to Network Security Fundamentals, Third Edition
33
Diversity (keragaman)
• Layers harus berbeda (diverse)
– Jika penyerang bisa melumpuhkan satu layer maka,
maka layer yang lain masih ada
Security+ Guide to Network Security Fundamentals, Third Edition
34
Obscurity (ketidakjelasan)
• Contoh ketidakjelasan: tidak mengungkapkan jenis
koneksi komputer, sistem operasi, perangkat lunak,
dan jaringan komputer menggunakan
– Seorang penyerang yang tahu informasi dapat lebih
mudah menentukan kelemahan sistem untuk
menyerang
• Mengaburkan informasi dapat menjadi cara yang
penting untuk melindungi informasi
Security+ Guide to Network Security Fundamentals, Third Edition
35
Simplicity (kesederhanaan)
• Kemanan informasi mempunyai sifat yang komplek
• Sistem keamanan yang kompleks akan sulit untuk
memahami, memecahkan masalah, dan merasa
aman
• Sebisa mungkin, suatu sistem yang aman harus
sederhana bagi mereka di dalam memahami dan
menggunakan
• Skema keamanan yang komplek sering di
kompromikan untuk membuat meraka mudah bagi
pengguna
– Menjaga sistem sederhana dari dalam tapi kompleks
Security+ Guide to Network Security Fundamentals, Third Edition
36
di luar kadang-kadang bisa sulit tetapi menuai
Summary
• Serangan terhadap keamanan informasi telah
berkembang pesat dalam beberapa tahun terakhir
• Ada beberapa alasan mengapa sulit untuk
mempertahankan terhadap serangan
• Keamanan informasi dapat didefinisikan sebagai
sesuatu yang melindungi integritas, kerahasiaan, dan
ketersediaan informasi mengenai perangkat yang
menyimpan, memanipulasi, dan mengirimkan
informasi melalui produk, orang, dan prosedur
Security+ Guide to Network Security Fundamentals, Third Edition
37
Summary (continued)
• Tujuan utama dari keamanan informasi adalah untuk
mencegah pencurian data, menggagalkan pencurian
identitas, menghindari konsekuensi hukum dari tidak
mengamankan informasi, mempertahankan
produktivitas, dan cyberterrorism foil
• Jenis-jenis orang di belakang serangan komputer
umumnya dibagi menjadi beberapa kategori
• Ada lima langkah umum yang membentuk serangan:
probe untuk informasi, menembus setiap pertahanan,
memodifikasi pengaturan keamanan, beredar ke
sistem lain, dan melumpuhkan jaringan dan
perangkat
Security+ Guide to Network Security Fundamentals, Third Edition
38
Trimakasih
Security+ Guide to Network Security Fundamentals, Third Edition
39