SECURITY CONCEPTS AND POLICY

1.     Mekanisme Kebijakan keamanan

Proteksi role-based merupakan mekanisme pengelolaan sejumlah besar hak akses pada basis data berukuran besar yang fleksibel. Hak akses merupakan unit kecil untuk mengakses informasi pada system. Role merupakan kumpulan hak akses. Otorisasi pengguna menentukan aturan role berdasarkan hak akses yang ditetapkan. Kelebihan dari proteksi role-based adalah kemudahan untuk mengelola hak akses karena mudah untuk mengkonfigurasi dan merekonfigurasi role. Keamanan sistem dibentuk ketika proses konfigurasi role yang mengacu pada prinsip hak akses terkecil (least privilege) dapat memfasilitasi kebutuhan tugas pengguna.

Pada organisasi dengan kebutuhan tugas yang tersebar dalam jumlah besar, sejumlah role dapat membentuk role baru yang memenuhi kebutuhan tugas pengguna. Beberapa role dapat mempunyai fungsi yang sama dan hak akses yang sama. Kebutuhan formalitas untuk mengetahui penyebaran dan pengelolaan hak akses merupakan kebutuhan yang mendesak untuk menentukan sistem keamanan yang sesuai. Sehingga dibutuhkan ekspresi relasi antar role secara formal, dan dapat memberikan gambaran mengenai penyebaran hak akses pada system secara jelas dan terintegrasi.

Mandatory access Control (MAC) sering digunakan pada dunia militer. MAC adalah suatu teknik pembatasan akses terhadap suatu obyek dengan mendefinsikan berbagai tingkatan sekuriti. Dengan adanya tingkatan sekuriti tersebut maka dapat dibuat suatu aturan dalam mengakses suatu obyek. Tingkatan dari hak akses ditandai dengan label seperti TOP SECRET, SECRET,  dan CONFIDENTIAL.

2.     Prinsip Hak Istimewa Keamanan

Pada dasarnya Role-based Access Control adalah hak dan ijin diberikan pada role bukan pada user. User memerlukan hak dan ijin secara virtual dengan jalan memasukkan user tersebut memjadi anggota dari role yang bersangkutan. Pada infrastruktur UNIX, root mempunyai hak akses ‘all or nothing’  dengan kata lain setiap root dapat melakukan pada saja pada sistem. Tanpa pengalaman yang cukup pada seorang administrator (root) dapat menyebabkan kegagalan sistem. Dengan RBAC maka profile dari sebuah role ditentukan untuk setiap user. Dengan kata lain maka tugas dari administrator sistem tidak pada melakukan perubahan tanpa adanya role dari RBAC.

Role berorientasi pada group, sekumpulan transaksi dibuat. Transakasi disini dapat merupakan obyek yang berupa program yang berhubungan dengan data. Seorang admintrator sekuriti dapat menambah dan menghapus transaksi ke dalam sebuah role atau bahkan menolak user pada suatu role. Dengan mengelompokkan user kedalam role maka ada memudahkan pada proses otorisasi dan kemampuan audit. Hal ini bertolak belakangan dengan access list model pada umumnya yang dilakukan dengan jalan mencari seluruh otorisasi yang ada kemudian mengalokasi hak dan ijin untuk user tersebut.

Informasi Pribadi dan Privasi mempunyai lima cara untuk menjelaskan Hak untuk privasi yaitu :

Ø  Hak  untuk bebas dari akses yang tidak diinginkan (misalnya akses fisik, akses melalui SMS).

Ø  Hak untuk tidak membolehkan informasi pribadi digunakan dengan cara yang tidak diinginkan (misalnya penjualan informasi, pembocoran informasi, prncocokan).

Ø  Hak untuk tidak membolehkan informasi pribadi dikumpulkan oleh pihak lain tanpa sepengrtahuan atau seizing seseorang (misalnya melalui penggunaan CCTV dan cookies).

Ø  Hak untuk memiliki informasi pribadi yang dinyatakan secara akurat dan benar (integritas) .

Ø  Hak untuk mendapatkan imbalan atas nilai informasi.

3.     Manajemen Hak Istimewa Keamanan

Permission adalah persetujuan untuk melakukan suatu operasi pada satu obyek atau lebih pada RBAC. Obyek dapat berupa sebuah program yang dieksekusi. Tipe operasi dan control pada RBAC tergantung pada sistem dimana operasi itu dimplemtasikan. Sebagai contoh adalah operasi read, write, dan execute sedangkan pada manajemen database pada operasi dapat dikatakan sebagai insert, delete, append dan update.

Role dapat dilihat dari beberapa sudut padang:

1.      Pengelompokkan berdasarkan organisasi. Cara pandangan klasik ini di hasilkan dengan membuat beberapa role agar didapat role secara keseluruhan.

2.      Pengelompokkan berdasarkan hubungan relatif. Role seorang user ditentukan berdasarkan obyek apa saja yang berhubungan dengan user tersebut. Misalnya role seorang manajer dapat diberikan berdasarkan apa saja yang dikerjakan oleh manajer tersebut misalnya, proyek, teknologi, atau staff.

3.      Pengelompokkan berdasarkan kemudahan. Hal ini merupakan cara pandang klasik dimana otorisasi dapat diubah secara fleksibel.

4.      Pengelompokkan berdasarkan dari seleksi. Pengelompokkan ini dilakukan dengan sesuai dengan kapabilitas atau sesuai dengan proses alur kerja.

5.     Accountability

Accountability merupakan pertanggung jawaban atas hak akses yang telah dilakukan oleh user yang masuk saat menggunakan sistem berupa proses pengaitan seseorang dengan layanan keamanan.

6.     Arsitektur Keamanan

Masalah keamanan yang terkait dengan teknologi informasi mulai mendapat perhatian yang serius dibandingkan sebelumnya . selah satu penyebab hal ini adalah adanya banyak kasus yang terkait dengan keamanan yang dihadapai oleh perusahaan. Namun ternyata, penanganan masalah keamanan ini masih bersifat reaktif dan tidak terstruktur. Ada keinginan untuk membuat penanganan yang lebih tertata dengan rapi. Istilah yang popular untuk hal ini adalah membuat sebuah arsitektur keamanan(security architecture).

Arsitektur keamanan merupakan rangkaian dari bagian keamanan yang dapat membentuk suatu bangunan yang dapat berdiri dan di gunakan untuk keperntingan keamanan. Ini merupakan suatu cara untuk mendapatkan nilai hasil tingkat keamanan yang baik dengan system yang tersusun secara terstuktur dengan komponen-komponen arsitektur keamanan.

7.     Komponen Arsitektur Keamanan

Arsitektur keamanan teknologi informasi memiliki beberapa komponen, yaitu :

1.       kumpulan sumber daya yang tersentralisasi (centralized resource),

2.       pengelolaan identitas (identity management),

3.       sistem otorisasi (authorization system),

4.       access control,

5.       pengelolaan kebijakan (policy management),

6.       system pemantau (monitoring system),

7.       security operation,

8.       intranet yang aman (secure intranet / LAN), dan

9.       Internet yang aman (secure Internet). 

8.     Gangguan Keamanan

Serangan (gangguan) terhadap keamanan dapat dikategorikan dalam empat kategori utama :

A.     Interruption

Suatu aset dari suatu sistem diserang sehingga menjadi tidak tersedia atau tidak dapat dipakai oleh yang berwenang. Contohnya adalah perusakan/modifikasi terhadap piranti keras atau saluran jaringan.

B.     Interception

Suatu pihak yang tidak berwenang mendapatkan akses pada suatu aset. Pihak yang dimaksud bisa berupa  orang, program, atau sistem yang lain. Contohnya adalah penyadapan terhadap data dalam suatu jaringan.

C.     Modification

Suatu pihak yang tidak berwenang dapat melakukan perubahan terhadap suatu aset. Contohnya adalah perubahan nilai pada file data, modifikasi program sehingga berjalan dengan tidak semestinya, dan  modifikasi pesan yang sedang ditransmisikan dalam jaringan.

D.     Fabrication

Suatu pihak yang tidak berwenang menyisipkan objek palsu ke dalam sistem.

Contohnya adalah pengiriman pesan palsu kepada orang lain.

Serangan Dari Luar Jaringan:

·         DOS (Denial of Service)

DoS merupakan serangan yang dilancarkan melalui paket-paket jaringan tertentu, biasanya paket-paket sederhana dengan jumlah yang sangat besar dengan maksud mengacaukan keadaan jaringan target.

·         IP Spoofing

IP Spoofing juga dikenal sebagai Source Address Spoofing, yaitu pemalsuan alamat IP attacker, sehingga sasaran menganggap alamat IP attacker adalah alamat IP dari host di dalam jaringan bukan dari luar jaringan

·         Malware

Malware merupakan serangan yang dilakukan ketika attacker menaruh program-program penghancur, seperti virus, worm dan trojan pada system sasaran. Program-program penghancur ini sering juga disebut malware. Program-program ini mempunyai kemampuan untuk merusak sistem, pemusnahan File, pencurian pasword sampai dengan membuka backdoor.

·         FTP Attack

Salah satu serangan yang dilakukan terhadap File Transfer Protocol adalah serangan buffer overflow yang diakibatkan oleh perintah malformed. Tujuan menyerang FTP server ini rata-rata adalah untuk mendapatkan command shell ataupun untuk melakukan Denial Of Service. Serangan Denial Of Service akhirnya dapat menyebabkan seorang user atau attacker untuk mengambil resource di dalam jaringan tanpa adanya autorisasi, sedangkan command shell dapat membuat seorang attacker mendapatkan akses ke sistem server dan 18 Modul Teknik Komputer dan Jaringan SMK Muhammadiyah 5 Babat :: Membuat Desain Sistem Keamanan Jaringan File data yang akhirnya seorang attacker bisa membuat anonymous root-acces yang mempunyai hak penuh terhadap sistem bahkan jaringan yang diserang

·         Sniffer

Adalah suatu usaha untuk menangkap setiap data yang lewat dari suatu jaringan, dapat berupa password dan user dari pengguna jaringan.