Transcript Computer & Network Security : Information security

+
Computer & Network Security : Information security
Indra Priyandono ST
+
+
Outline
 Information
security
 Attacks, services
 Security
and mechanisms
attacks
 Security services
 Methods of Defense
 Model for Internetwork Security
 Internet standards and RFCs
+
Protection of data
1. Keamanan Komputer:
 Timesharing
sistem: beberapa pengguna
berbagi H / W dan S / W sumber daya pada
komputer.
 Remote
login diperbolehkan melalui jaringan.
"Langkah-langkah dan alat-alat untuk melindungi
data dan menggagalkan hacker disebut Keamanan
Komputer".
+
2. Network Security:
Jaringan komputer banyak digunakan untuk
menghubungkan komputer di lokasi yang jauh.
Meningkatkan masalah keamanan tambahan:
 Data
dalam transmisi harus dilindungi.
 Konektivitas
jaringan menjadikan setiap
komputer lebih rentan.
+
Attacks, Services and Mechanisms
Tiga aspek Keamanan Informasi:
 Security
Attack: Setiap tindakan yang menbahayakan
keamanan informasi.
 Security
Mechanism: Sebuah mekanisme yang
dirancang untuk mendeteksi, mencegah, atau
memulihkan dari serangan keamanan.
 Security
Service: Sebuah layanan yang meningkatkan
keamanan sistem pengolahan data dan transfer
informasi. Sebuah layanan keamanan yang
menggunakan satu atau lebih mekanisme keamanan.
+
Security Attacks
+
Security Attacks
Interruption: Aset sistem ini hancur atau menjadi
tidak tersedia atau tidak dapat digunakan. Ini adalah
serangan terhadap ketersediaan.
contoh:
 Menghancurkan
 Menonaktifkan
 Membanjiri
beberapa H / W (disk atau line).
sistem file.
komputer dengan proses atau link
komunikasi dengan paket.
+
Security Attacks
Interception: Sebuah akses yang tidak sah
untuk mendapatkan aset aset informasi.
Ini merupakan serangan terhadap kerahasiaan.
contoh:
 Penyadapan
untuk menangkap data dalam
jaringan.
 Menyalin
data atau program yang sah
+
Security Attacks
Modification:Sebuah akses yang tidak sah
untuk mencari keuntungan atau atau informasi
aset.
Ini merupakan serangan terhadap integritas.
contoh:
 Mengubah
file data.
 Mengubah
program.
 Mengubah
isi pesan.
+
Security Attacks
Fabrication: Sebuah pihak yang tidak berwenang
menyisipkan objek palsu ke dalam sistem.
Ini merupakan serangan terhadap keaslian
/authenticity
contoh:
 Penyisipan
catatan dalam file data.
 Penyisipan
pesan palsu dalam jaringan. (pesan
ulangan).
 Spoofing
+
Passive vs. Active Attacks
Secara garis besar, ancaman terhadap
teknologi sistem informasi terbagi dua
Passive Attacks :
 Usaha
untuk bisa mendapatkan informasi
dari sistem yang ada dengan menunggu
informasi-informasi itu dikirimkan di dalam
jaringan
 Sangat
sulit unuk dideteksi
+
Passive vs. Active Attacks
Active Attacks :
 Metode
penyerangan yang dilakukan
dengan terlibat dalam modifikasi aliran
data
+
+
Passive Threats
 Release
of message :
serangan yang bertujuan untuk mendapatkan
informasi yang dikirim baik melalui percakapan
telepon, email, ataupun transfer file dalam jaringan
 Traffic
analysis :
Serangan yang dilakukan dengan mengambil
informasi yang telah diberi proteksi (misal enkripsi)
dan dikirimkan dalam jaringan.
 menganalisa sistem proteksi informasi tersebut
untuk kemudian dapat memecahkan sistem proteksi
informasi tersebut
+
Active Threats
Masquerade:
 Masquerading
atau Impersonation yaitu penetrasi ke
sistem komputer dengan memakai identitas dan
password dari orang lain yang sah. Identitas dan
password ini biasanya diperoleh dari orang dalam.
Replay:
 Dilakukan
dengan cara mengambil data secara pasif dan
kemudian mengirimkannya kembali ke dalam jaringan
sehingga memunculkan efek yang tidak dapat diketahui.
+
Active Threats
Modification of messages:
 Sebagian
dari pesan yang sah telah diubah untuk
menghasilkan informasi lain.
Denial of service:
 Menghambat
penggunaan normal dari komputer
dan komunikasi sumber daya.
 Membanjiri jaringan komputer dengan paket.
 Membanjiri CPU atau server dengan proses.
+
Security Services
 Confidentiality
(privacy)
 Authentication
(yang dibuat atau mengirim data)
 Integrity
(belum diubah)
 Non-repudiation
 Access
(order adalah final)
control (mencegah penyalahgunaan sumber
daya)
 Availability
/Ketersediaan (permanen, nonpenghapusan)
Serangan Denial of Service
 Virus yang menghapus file

+
Confidentiality (Kerahasiaan)
 Defenisi
: menjaga informasi dari orang yang tidak
berhak mengakses.
 Privacy
: lebih kearah data-data yang sifatnya privat
, informasi yang tepat terakses oleh mereka yang
berhak ( dan bukan orang lain). Contoh : e-mail
seorang pemakai (user) tidak boleh dibaca oleh
administrator.
 Confidentiality
atau kerahasiaan adalah pencegahan
bagi mereka yang tidak berkepentingan dapat
mencapai informasi, berhubungan dengan data yang
diberikan ke pihak lain untuk keperluan tertentu dan
hanya diperbolehkan untuk keperluan tertentu
+
Confidentiality (Kerahasiaan)
Cont
 Contoh
: data-data yang sifatnya pribadi (seperti
nama, tempat tanggal lahir, social security number,
agama, status perkawinan, penyakit yang pernah
diderita, nomor kartu kredit, dan sebagainya)
harus dapat diproteksi dalam penggunaan dan
penyebarannya.
 Bentuk
Serangan : usaha penyadapan (dengan
program sniffer).
 Usaha-usaha
yang dapat dilakukan untuk
meningkatkan privacy dan confidentiality adalah
dengan menggunakan teknologi kriptografi.
+
Authentication
 Adalah
suatu langkah untuk menentukan atau
mengonfirmasi bahwa seseorang (atau sesuatu) adalah
autentik atau asli. Melakukan autentikasi terhadap
sebuah objek adalah melakukan konfirmasi terhadap
kebenarannya. Sedangkan melakukan autentikasi
terhadap seseorang biasanya adalah untuk
memverifikasi identitasnya.
 Informasi
tersebut benar-benar dari orang yang
dikehendaki.
+
Authentication Cont…
 Dukungan
:
 Adanya Tools membuktikan keaslian dokumen, dapat
dilakukan dengan teknologi watermarking(untuk
menjaga “intellectual property” dan digital signature.
 Access control, yaitu berkaitan dengan pembatasan
orang yang dapat mengakses informasi. User harus
menggunakan password, biometric (ciri-ciri khas
orang), dan sejenisnya.
 Pada
suatu sistem komputer, autentikasi biasanya terjadi
pada saat login atau permintaan akses.
+
Integrity
 informasi
tidak boleh diubah tanpa seijin pemilik
informasi, keaslian pesan yang dikirim melalui sebuah
jaringan dan dapat dipastikan bahwa informasi yang
dikirim tidak dimodifikasi oleh orang yang tidak
berhak dalam perjalanan informasi tersebut.
 Contoh
: e-mail di intercept di tengah jalan, diubah
isinya, kemudian diteruskan ke alamat yang dituju.
 Bentuk
serangan : Adanya virus, trojan horse, atau
pemakai lain yang mengubah informasi tanpa ijin,
“man in the middle attack” dimana seseorang
menempatkan diri di tengah pembicaraan dan
menyamar sebagai orang lain.
+
Non-repudiation
 Merupakan
hal yang yang bersangkutan dengan
sipengirim (seseorang yang telah melakukan
transaksi), Aspek ini menjaga agar seseorang
tidak dapat menyangkal telah melakukan sebuah
transaksi. Dukungan bagi electronic commerce.
+
Access Control
 Cara
pengaturan akses kepada informasi.
berhubungan dengan masalah authentication
dan juga privacy
 Metode
: Access control seringkali dilakukan
menggunakan kombinasi userid/password
atau dengan menggunakan mekanisme lain.
+
Availability
 Upaya
pencegahan ditahannya informasi atau sumber
daya terkait oleh mereka yang tidak berhak,
berhubungan dengan ketersediaan informasi ketika
dibutuhkan.
 Contoh
hambatan :
 “denial of service attack” (DoS attack), dimana server
dikirimi permintaan (biasanya palsu) yang bertubi-tubi
atau permintaan yang diluar perkiraan sehingga tidak
dapat melayani permintaan lain atau bahkan sampai
down, hang, crash.
 mailbomb, dimana seorang pemakai dikirimi e-mail
bertubi-tubi (katakan ribuan e-mail) dengan ukuran
yang besar sehingga sang pemakai tidak dapat
+
Availability Cont…
 Dampak
hambatan : sistem informasi yang
diserang atau dijebol dapat menghambat atau
meniadakan akses ke informasi.
+
Methods of Defence
 Encryption
 Software
Controls (pembatasan akses dalam
database, dalam sistem operasi melindungi setiap
pengguna dari pengguna lain)
 Hardware
 Policies
 Physical
Controls (smartcard)
(sering mengubah password)
Controls
+