Dunia internet adalah dunia dimana pengetahuan adalah kekuatan, dan para penjahat ‘tidak terlihat’. Filsuf besar Plato, pernah mengungkapkan pelajarannya dalam sebuah cerita mengenai seorang pengembala muda yang menemukan cincin yang membuatnya tidak terlihat. Banyak keindahan yang ditimbulkan oleh arena komunikasi global bernama internet. Ilmuwan dan mahasiswa bisa bertukar informasi dari segenap penjuru dunia, dan mencari data penelitian, yang pada masa lalu mungkin hanya ada di perpustakaan dunia. Tetapi berbarengan dengan itu, istilah seperti hacker, cracker, packet-monkeys, cyber-vandal, script-kiddies, dan cyber crir-crime yang sebelumnya tidak punya makna, pada masa ini mereka bermunculan begitu cepat.
Kebanyakan sensasi media mengenai hal tersebut lebih banyak memandangnya sebagai aktifitas penuh prestise, ketegangan, dan tantangan untuk mengalahkan system. Ada sejumlah perbedaan persepi mengenai apa yang mereka lakukan dengan konsekuensi yang ditimbulkannya. Dan kebanyakan dampaknya, mau tidak mau, akan diterima oleh konsumen. Orang yang masuk ke komputer orang lain tanpa permisi meskipun tidak mengubah atau merusak informasi, baik dengan atau tanpa alas an tertentu dianggap merupakan suatu kejahatan. Saat seseorang masuk kedalam rumah orang lain tanpa permisi, meskipun ia tidak mencuri apapun atau melakukan kerusakan fisik ia masih dianggap pencuri. Alasannya orang memerlukan perasaan aman. Maka orang masuk kesuatu komputer tanpa izin tidak bedanya dengan penjahat tersebut, karena: “itu milik orang lain diman mereka menyimpan perbendaharannya disitu, serta orang memerlukan kepercayaan dan rasa aman pada tempat tersebut”.
Kita tidak boleh membaca E-mail seseorang, seperti halnya kita tidak akan membuka kota pos milik tetangga sebelah rumah untuk membaca surat-surat mereka, meski kita mengembalikan lagi surat tersebut ketempatnya. Pada kenyataannya kebanyakan usaha penyusupan lebih dari sekedar keingintahuan yang non-destructive. Sikap toleransi dari cracker makin menurun.
Tulisan ini lebih menyoroti pentingnya koordinasi antara bagian yang menangani keamanan fisik dan keamanan sistem informasi, yang relevan sekarang ini.
Saat ini, masing terlihat rendahnya koordinasi antara bagian yang menangani keamanan fisik dan keamanan sistem informasi. Salah satu contohnya, seperti terjadi pada suatu perusahaan penyedia jasa telekomunikasi. Perusahaan tersebut mempunyai ruang server dengan dua pintu. Pintu pertama terhubung ke ruang kerja staf TI, sedang pintu lainnya terhubung ke koridor dan digunakan untuk keluar masuk barang. Kedua pintu ini akan mengunci secara otomatis jika tertutup. Akses ke ruang server hanya dapat dilakukan dari pintu pertama dengan menggunakan kartu akses, sedang pintu kedua hanya dapat dibuka dari dalam.
Kenyataan yang terjadi adalah, pintu kedua ini sering terbuka (dengan cara diganjal) tanpa pengawasan, terutama jika ada vendor yang bekerja. Alasannya, ‘memudahkan' vendor/kontraktor keluar masuk tanpa harus meminta staf TI untuk membukakan pintu. Kalaupun ada satpam yang lewat, hal ini dianggap sesuatu yanglazim.
Contoh lainnya, terjadi pada suatu perusahaan yang menerapkan pengamanan fisik yang cukup ‘OK'. Akses pintu utama dilakukan dengan menggunakan sidik jari ( fingerprint) ditambah kamera pengawas yang terhubung ke komputer sebagai pengatur kamera dan perekam digital. Komputer ini juga dihubungkan melalui jaringan data ke komputer koordinator satpam untuk tugas monitoring . Sayangny,a baik komputer yang berisi database sidik jari maupun komputer untuk tugas pengatur kamera dan perekam gambar diletakkan di pojok ruangan pantry, yang dipisahkan dengan bagian pantry lainnya hanya oleh penyekat tanpa pintu. Yang lebih memprihatinkan lagi, tidak adanya password sebagai kontrol aksesnya.
Contoh pertama di atas menunjukkan rendahnya kesadaran staf TI dan juga Pak Satpam akan pentingnya keamanan fisik terhadap keamanan sistem informasi ketidaktahuan ?) akan dampak ganguan atas sistem informasi terhadap keamanan fisik. Banyak pihak yang tidak atau belum melihat hubungan pengaruh keamanan sistem informasi terhadap keamanan fisik. Mereka mempertanyakan, apa mungkin seorang hacker melalui Internet membuka pintu ruangan yang terkunci tanpa membongkar pintu? Hal ini pula yang ditangkap oleh Dan Verton, mantan staf intelejen angkatan laut Amerika dalam bukunya yang berjudul “Black Ice – The invisible Threat of Cyber-Terrorism”. Beberapa orang tidak menyadari bahwa pengamanan fisik dewasa ini banyak dipengaruhi oleh teknologi sistem informasi. Sekarang ini sudah umum peralatan kamera dan perekamnya dihubungkan ke jaringan data. Di beberapa tempat orang dapat menggunakan fasilitas bluetooth pada handphone untuk membeli minuman dari vending machine , atau membuka/menutup pintu rumah serta mematikan/menghidupkan mesin mobil lewat fasilitas GPRS ( Global Packet Radio service ).
Di suatu perusahaan multinasioal jasa perminyakan, keterkaitan antara pengaman fisik dan teknologi sistem informasi begitu tinggi. Perusahaan tersebut sudah menerapkan sistem yang disebut “one (ID) for all” alias satu kartu akses (berupa Smart Card ) dapat digunakan untuk autentikasi akses fisik, akses jaringan, bahkan untuk auto debet gaji atas pembayaran makanan di kantin perusahaan. Dengan sistem tersebut pula, memungkinkan seorang karyawan di suatu lokasi untuk meminta akses fisik pada fasilitas di lokasi lainnya secara on-line .
CRACKING
Salah satummodus cracking adalah masuk kedalam site, melihat cara kerjanya dan pergi tanpa meningggalkan bekas. Seseorang melakukan deface situs web dengan ucapan salam untuk teman-teman mereka, atau menyebarkan berita sensasional pada headline dikoran dengan membuat down suatu site,
Serangan DDOS dilakukan oleh user yang mengkoordiner sampai ratusan sisitem yang mengalami compromised. System tersebut bias dikendalikan untuk melakukan serangan DDOS pada suatu target. Serangan ke yahoo, misalnya dilancarkan lebih dari 50 lokasi. Software (sering disebut Trojan atau zombie) ditanam pada komputer slave tersebut dan pada suatu saat menjalankan program untuk melakukan flood messege penghancur ke server target.
Apa sebenarnya bahanya yang dilakukan cracker? Mereka bias mengubah file, memakai sumber daya komputer untuk kebutuhan mereka, dan mengirim pesan palsu dari komputer tersebut. Meski motivasi awalnya sekedar having fun dan menginginkan pengakuan akan keahliannya dampaknya bias sangat berbahaya. Misalnya saja seorang cracker menyusup keperusahaan farmasi dan mengubah file:· Jika formula kimia dirubah, maka hasil produknya bias mematikan.· Jika perusahaanmengetahui ada penyusupan, maka mereka perlu banyak waktu untuk menentukan kapan hal itu terjadi, apa masalah yang terkena dan bagaimana memulihkannya.
Misalnya cracker masuk dan tidak merubah file apapun:· Perusahaan, saat mengetahui penyusupan tersebut, akan menghabiskan waktu untuk memeriksa dan memvalidasi system mereka, dan meningkatkan keamanannya.· Hal diatas akan membuat produk lebih mahal, dan konsumen yang harus membayarnya.
MENGAPA KITA PERLU PENGAMANAN ??
Banyak pertanyaan yang mungkin timbul di pikiran kita. Mengapa kita membutuhkan kemanan, atau seberapa aman, atau apa yang hendak kita lindungi, seberapa pentingkah data kita sehingga perlu memusingkan diri dengan masalah keamanan. Pertama akan dijelaskan mengapa kita membutuhkan keamanan. Dalam dunia global dengan komunikasi data yang selalu berkembang dengan pesat dari waktu ke waktu, koneksi internet yang semakin murah, masalah keamanan seringkali luput dari perhatian pemakai komputer dan mulai menjadi isu yang sangat serius. Keamanan data saat ini telah menjadi kebutuhan dasar karena perkomputeran secara global telah menjadi tidak aman. Sementara data anda berpindah dari satu titik ke titik lainnya di Internet, mungkin data tersebut melewati titik - titik lain dalam perjalanannya, yang memberikan kesempatan kepada orang lain untuk mengganggunya. Bahkan mungkin beberapa pengguna dari sistem anda, mengubah data yang dimiliki menjadi sesuatu yang tidak anda inginkan.
Sekarang kita akan mempelajari lebih jauh mengenai seberapa tinggi tingkat kemanan yang kita miliki, atau pun kita perlukan. Satu hal yang perlu diingat adalah tidak ada satu sistem komputer pun yang memiliki sistem keamanan yang sempurna. Hal yang dapat anda lakukan hanya mencoba meminimalisir celah keamanan yang ada. Untuk pengguna Linux rumahan yang hanya menggunakannya untuk keperluan pribadi saja di rumah, mungkin tidak perlu memikirkan terlalu banyak tindakan pencegahan. Tetapi untuk pengguna Linux yang termasuk dalam skala besar, seperti bank dan perusahaan telekomunikasi, banyak usaha ekstra keras yang harus dilakukan.
Hal lain yang perlu diingat adalah semakin aman sistem yang anda miliki, maka sistem komputer akan menjadi semakin merepotkan. Anda harus menyeimbangkan antara kenyamanan pemakaian sistem dan proteksi demi alasan keamanan. Sebagai contoh, anda bisa saja memaksa orang lain yang ingin masuk ke dalam sistem anda untuk menggunakan call-back modem untuk melakukan panggilan balik melalui nomor telepon rumah mereka. Cara ini kelihatannya memang lebih aman, tapi jika tidak ada seorang pun di rumah, akan menyulitkan mereka untuk login. Anda juga dapat mengatur konfigurasi sistem Linux anda tanpa jaringan atau koneksi ke Internet, tapi pembatasan ini akan membatasi kegunaanjaringannya.
Sebelum anda berusaha melakukan pengamanan terhadap sistem yang anda miliki, anda harus menentukan terlebih dahulu beberapa hal. Hal - hal yang perlu dipikirkan, yaitu tingkat ancaman yang harus anda antisipasi, resiko yang harus diambil, dan seberapa kebal sistem anda sebagai hasil usaha yang telah anda lakukan. Anda harus menganalisa sistem anda untuk mengetahui apa yang anda lindungi, kenapa anda melindunginya, seberapa besar nilai data yang anda lindungi, dan siapa yang bertanggung jawab terhadap data dan aset lain dalam sistemanda.
Resiko adalah kemungkinan dimana seorang penyusup mungkin bisa berhasil dalam usahanya untuk mengakses komputer anda. Dapatkah seorang penyusup membaca atau menulis berkas, atau pun mengeksekusi program yang dapat menyebabkan kerusakan? Dapatkah mereka menghapus data yang penting? Sebagai tambahan, memiliki account yang tidak aman dalam sistem anda dapat berakibat kecurian pada jaringan anda. Anda harus memutuskan siapa yang anda percaya untuk mengakses sistem dan siapa yang dapat menimbulkan ancaman.
Ada beberapa tipe penyusup yang karakteristiknya berbeda satu dengan lainnya, diantaranya:
1. The Malicious Penyusup tipe ini, mengganggu sistem sehingga tidak dapat bekerja dengan optimal, merusak halaman situs web anda, atau pun memaksa anda untuk menghabiskan banyak uang dan waktu untuk memperbaiki kerusakan yangdibuat.
2. The High-Profile Intruder Penyusup tipe ini mencoba menyusup ke dalam sistem anda untuk mendapatkan ketenaran dan pengakuan. Kemungkinan dia akan menggunakan sistem anda yang canggih sebagai sarana untuk membuatnya terkenal karena telah berhasil menyusup sistem kemanan komputer anda.3. The Competition Penyusup tipe ini tertarik pada data yang dimiliki oleh sistem anda. Penyusup ini mungkin adalah seseorang yang berpikir ada sesuatu yang berharga yang dapat memberikan keuntungan baginya.
4. The Borrowers Penyusup tipe ini akan menggunakan sumber daya yang kita miliki untuk kepentingan mereka sendiri. Biasanya penyusup ini akan menjalankannya sebagai server chatting (irc), situs porno, atau bahkan server DNS.
5. The Leapfrogger Penyusup tipe ini hanya tertarik menggunakan sistem yang anda miliki untuk masuk ke dalam sistem lain. Jika sistem anda terhubung atau merupakan sebuah gateway ke sejumlah host internal, anda akan menyaksikan penyusup tipe ini sedang berusaha untuk berkompromi dengan sistem yang anda miliki.
Enam Langkah Mengamankan Jaringan & Sistem Komputer Dari Serangan Hacker
Secara umum ada enam langkah besar yang mungkin bisa digunakan untuk mengamankan jaringan & sistem komputer dari serangan hacker. Adapun langkah tersebut adalah:
- Membuat Komite Pengarah Keamanan.
- Mengumpulkan Informasi
- Memperhitungkan Resiko
- Membuat Solusi
- Implementasi & Edukasi / Pendidikan.
- Terus Menerus Menganalisa, dan Meresponds.
Langkah 1: Membuat Komite Pengarah Keamanan.
Komite pengarah sangat penting untuk dibentuk agar kebijakan keamanan jaringan dapat diterima oleh semua pihak. Agar tidak ada orang terpaksa, merasa tersiksa, merasa akses-nya dibatasi dalam beroperasi di jaringan IntraNet mereka. Dengan memasukan perwakilan dari semua bidang / bagian, maka masukan dari bawah dapat diharapkan untuk dapat masuk & di terima oleh semua orang.Dengan adanya komite pengarah ini, akan memungkinkan terjadi interaksi antara orang teknik / administrator jaringan, user & manajer. Sehingga dapat dicari kebijakan yang paling optimal yang dapat di implementasikan dengan mudah secara teknis.
Langkah 2: Mengumpulkan Informasi
Sebelum sebuah kebijakan keamanan jaringan di implementasikan, ada baiknya proses audit yang lengkap dilakukan. Tidak hanya mengaudit peralatan & komponen jaringan saja, tapi juga proses bisnis, prosedur operasi, kesadaran akan keamanan, aset. Tentunya proses audit harus dari tempat yang paling beresiko tinggi yaitu Internet; berlanjut pada home user & sambungan VPN. Selain audit dari sisi external, ada baiknya dilakukan audit dari sisi internet seperti HRD dll.
Langkah 3: Memperhitungkan Resiko
Resiko dalam formula sederhana dapat digambarkan sebagai:
Resiko = Nilai Aset * Vurnerability * Kemungkinan di Eksploit
Nilai aset termasuk nilai uang, biaya karena sistem down, kehilangan kepercayaan mitra / pelanggan. Vurnerability termasuk kehilangan data total / sebagian, system downtime, kerusakan / korupsi data.Dengan mengambil hasil dari langkah audit yang dilakukan sebelumnya, kita perlu menanyakan.
· Apakah kebijakan keamanan yang ada sekarang sudah cukup untuk memberikan proteksi?
· Apakah audit secara eksternal berhasil memvalidasi ke keandalan kebijakan keamanan yang ada?
· Adakah proses audit mendeteksi kelemahan & belum tertuang dalam kebijakan keamanan?
· Apakah tingkat keamanan, setara dengan tingkat resiko?
· Apa aset / informasi yang memiliki resiko tertinggi?
Dengan menjawab pertanyaan di atas merupakan titik awal untuk mengevaluasi kelengkapan kebijakan informasi yang kita miliki. Dengan mengevaluasi jawaban di atas, kita dapat memfokuskan pada solusi yang sifatnya macro & global terlebih dulu tanpa terjerat pada solusi mikro & individu.
Langkah 4: Membuat Solusi
Pada hari ini sudah cukup banyak solusi yang sifatnya plug’n’play yang dapat terdapat di pasar. Sialnya, tidak ada satu program / solusi yang ampuh untuk semua jenis masalah. Oleh karena kita kita harus pandai memilih dari berbagai solusi yang ada untuk berbagai kebutuhan keamanan. Beberapa di antaranya, kita mengenal:
· Firewall.
· Network Intrusion Detection System (IDS).
· Host based Intrusion Detection System (H-IDS).
· Application-based Intrusion Detection System (App-IDS).
· Anti-Virus Software.
· Virtual Private Network (VPN).
· Two Factor Authentication.
· Biometric.
· Smart cards.
· Server Auditing.
· Application Auditing.
· Dll – masih ada beberapa lagi yang tidak termasuk kategori di atas.
Langkah 5: Implementasi & Edukasi / Pendidikan.
Setelah semua support diperoleh maka proses implementasi dapat di lakukan. Proses instalasi akan sangat tergantung pada tingkat kesulitan yang harus di hadapi. Satu hal yang harus di ingat dalam semua proses implementasi adalah proses pendidikan / edukasi jangan sampai dilupakan. Proses pendidikan ini harus berisi:
· Detail dari sistem / prosedur keamanan yang baru.
· Effek dari prosedur keamanan yang baru terhadap aset / data perusahaan.
· Penjelasan dari prosedur & bagaimana cara memenuhi goal kebijakan keamanan yang baru.
Peserta harus di jelaskan tidak hanya bagaimana / apa prosedur keamanan yang dibuat, tapi juga harus dijelaskan mengapa prosedur keamanan tersebut di lakukan.
Langkah 6: Terus Menerus Menganalisa, dan Meresponds
Sistem selalu berkembang, oleh karena itu proses analisa dari prosedur yang dikembangkan harus selalu dilakukan. Selalu berada di depan, jangan sampai ketinggalan kereta api.. :)
