KJ - Sistem Keamanan Siber (Bab 3)(Kelas XI)

Sistem Keamanan Siber

Bab 3

Tujuan Pembelajaran

Setelah mempelajari bab ini, peserta didik diharapkan mampu:

1. menguasai konsep dan manfaat sistem keamanan dalam jaringan,

2. menganalisis kebutuhan dan prinsip keamanan jaringan,

3. mengidentifikasi dan menganalisis jenis teknologi Firewall dalam jaringan, dan

4. menguasai karakteristik CAPTCHA bypass vulnerability, CSRF, dan command execution.

Prolog

Mengamankan sebuah sistem jaringan tidak sekadar tentang Mengamankan tidak sekadar menyimpan server dalam ruang khusus agar tidak terjangkau oleh orang lain. Dalam pembangunan sistem jaringan, terdapat serangkaian aspek penting baik secara fisik maupun logis yang harus dipertimbangkan secara cermat. Memahami tingkatan dan mekanisme keamanan yang diperlukan, bersama dengan mematuhi standar dan prinsip keamanan yang relevan, menjadi langkah krusial untuk meminimalkan risiko serangan. Bab ini menjadi panduan mendalam tentang esensi keamanan jaringan, merangkum prinsip-prinsip utama yang perlu dipahami dan diterapkan dalam setiap langkah pembangunan dan pengelolaan sistem. Dari konsep hingga praktík, setiap detail materi diuraikan dengan cermat untuk memastikan pemahaman yang mendalam dan penerapan yang tepat dalam konteks nyata. Namun, penting untuk diingat: keamanan bukanlah semata tentang menguasai teknologi. Pada akhirnya, integritas dan etika penggunaan teknologi ini turut menentukan keberhasilan sistem jaringan. Oleh karena itu, sembari menjelajahi bab ini, satu pesan penting diingat ialah "Gunakanlah teknologi dengan bijak dan tidak diperkenankan melakukan percobaan serangan pada sistem orang lain tanpa seizin pemiliknya, karena tindakan tersebut dapat dianggap sebagai pelanggaran hukum." Dengan menjaga integritas dan etika dalam setiap langkah, Anda tidak hanya membangun sistem yang aman, tetapi juga menjaga integritas diri dan profesi Anda dalam dunia teknologi yang terus berkembang.

A. Konsep Keamanan Jaringan

Komputer server dalam sebuah jaringan memiliki peran penting sebagai pusat pengatur layanan setiap transaksi data yang terjadi. Namun sebanding dengan tugas dan perannya, server adalah mesin yang paling rentan terjadi serangan atau intrusion. Jika serangan dilakukan terhadap infrastruktur jaringan atau pada mesin server secara langsung dan bertubi-tubi bisa mengakibatkan jaringan menjadi down atau server menjadi sibuk atau hang (crash). Kondisi demikian menyebabkan sistem lalu lintas data dan layanan jaringan menjadi berhenti bahkan mati. Bayangkan jika hal itu terjadi pada perusahaan, kantor pajak, atau organisasi yang menggunakan jaringan sebagai backbone data transmission bisa mengakibatkan kerugian. Potensi ancaman dan serangan yang mungkin terjadi, harus diantisipasi dan dipersiapkan sistem penangkalnya. Caranya dengan membangun sistem kebijakan keamanan (security policy). Keamanan selalu identik dengan mekanisme mempertahankan diri dari segala kemungkinan terjadinya serangan dan menutup celah-celah yang dapat menyebabkan intruder masuk ke sistem. Kebutuhan security sangat tergantung dari aplikasi dan layanan yang dijalankan oleh komputer itu sendiri. Oleh karena itu, ada dua istilah komputer dalam kondisi secure server atau vulnerable server. Serangkaian peraturan yang menetapkan kegiatan apa saja yang boleh dilakukan terhadap layanan server serta siapa saja yang dapat mengakses layanan server disebut sebagai kebijakan keamanan komputer atau lebih dikenal sebagai security policy. Kebijakan ini tentunya ditetapkan oleh manajemen teratas sebuah organisasi berdasarkan analisis kebutuhan yang telah dilakukan terlebih dahulu.

Seperti dijelaskan dalam Gambar 3.1, bahwa dalam menetapkan jenis kebijakan keamanan jaringan, diperlukan tiga tahap berikut.

Gambar 3.1 Tahapan penentuan kebijakan keamanan jaringan.

1. Analisis Ancaman (Threat Analysis)

Threat analysis merupakan langkah analisis terhadap kinerja layanan data, penggunaan sumber daya perangkat keras, serta lalu lintas data dengan tujuan mendukung dan menjamin keberlangsungan proses dalam organisasi. Sebagai contoh, saat menerapkan layanan FTP Server dan Web Server, perlu untuk menganalisis jumlah terminal yang terhubung, alamat IP yang digunakan, perangkat keras jaringan yang dipakai, aturan akses, dan jumlah user yang diizinkan mengakses server. Dengan mengidentifikasi faktor- faktor tersebut, selanjutnya adalah memprediksi jenis-jenis celah. keamanan dan langkah serangan yang dapat terjadi ketika layanan diaktifkan dalam jaringan.

2. Kebijakan Keamanan (Security Policy)

Kebijakan keamanan secara definisi menjelaskan kumpulan aturan yang dibuat dan ditetapkan sebagai panduan dan rujukan bagi semua pihak yang terlibat (dalam organisasi) untuk menjalankan sistem keamanan data dan informasi. Dengan ibarat pintu, security policy haruslah detail, kuat, dan berlapis-lapis. Makin kuat pintu tersebut, makin sulit bagi intruder untuk membuka kuncinya. Aturan-aturan dalam kebijakan keamanan mewakili tindakan nyata dalam tahap implementasi analisis ancaman (threat analysis).

3. Mekanisme Keamanan (Security Mechanism)

Dengan memahami konsep keamanan, teknik analisis keamanan dan kebijakan keamanan data, diharapkan mampu menghasilkan sebuah aturan yang menjadi prosedur atau mekanisme dalam penerapan keamanan data. Security mechanism mencakup serangkaian langkah dan teknologi yang dirancang untuk melindungi sistem dan data dari ancaman siber. Ini termasuk penggunaan enkripsi data, pengaturan akses yang tepat, Firewall, deteksi intrusi, serta pemantauan dan pembaruan sistem yang teratur. Dengan menerapkan mekanisme keamanan yang tepat, organisasi dapat mengurangi risiko serangan dan menjaga integritas serta kerahasiaan data mereka. Selain itu, penggunaan teknologi keamanan yang canggih juga dapat membantu mendeteksi, mencegah, dan merespons serangan dengan lebih efektif, menjaga kestabilan dan keandalan sistem secara keseluruhan.

Kata "metode" diadopsi dari istilah Yunani yaitu "methodos" yang mengandung pengertian sebagai "cara" atau "menuju jalan". Oleh karena itu, metode keamanan jaringan dapat didefinisikan sebagai metode atau mekanisme dalam mengonfigurasi sebuah jaringan menjadi lebih aman dari kemungkinan gangguan, ancaman, dan kerusakan. Ada lima tingkatan level keamanan yang dapat diterapkan dalam sebuah jaringan, yaitu sebagai berikut.

1. Security Level O adalah tingkat keamanan komputer dari segi fisik. Pada tahap ini, akses terhadap perangkat jaringan seperti switch, router, server, dan pengkabelan harus dibatasi dari pihak yang tidak memiliki kewenangan. Tujuan utama dari level ini adalah menghindari terjadinya kontak langsung dari orang- orang yang berpotensi merusak keamanan jaringan. Oleh karena itu, level keamanan ini menjadi dasar bagi level keamanan selanjutnya.

2. Security Level 1 merupakan metode pengamanan jaringan pada beberapa jenis layanan data seperti keamanan data (file sharing, FTP), keamanan interface jaringan, dan keamanan database. Proteksi terhadap keamanan data merupakan prioritas utama yang harus diperhatikan oleh administrator. Dengan menerapkan teknik autentikasi dan pemfilteran akses, pengguna dapat mengurangi kemungkinan terjadinya pembobolan data. Selanjutnya adalah konfigurasi layanan database dan perangkat jaringan menentukan siapa saja yang berhak mengakses sistem database secara langsung, baik secara remote maupun melalui konsol terminal.

3. Security Level 2 melibatkan deskripsi kebijakan yang berkaitan dengan keamanan dari segi jaringan. Keamanan jaringan ini mencakup penutupan port yang tidak digunakan dalam sebuah layanan data guna menghindari pemindaian port, pengalihan atau penggantian port layanan default, serta penerapan proteksi autentikasi dan filterisasi akses sistem.

4. Security Level 3 mendeskripsikan sebuah mekanisme pengamanan informasi. Informasi tersebut dapat berupa fail log, data dalam database, ataupun fail yang ditransmisikan. Mekanisme pengamanan tersebut biasanya menggunakan teknik enkripsi data, yang mengubah nilai sebuah plain text menjadi chipper text atau kata bersandi.

5. Security Level 4 merupakan puncak tingkatan tahap keamanan yang dapat terpenuhi apabila level 0, 1, 2, dan 3 telah terpenuhi. Pada level ini, selain melanjutkan penerapan teknik-teknik keamanan dari level sebelumnya, organisasi dapat memperdalam perlindungan data dengan mengimplementasikan sistem deteksi serangan yang lebih canggih, seperti Intrusion Detection System (IDS) atau Intrusion Prevention System (IPS). Dengan demikian, Security Level 4 tidak hanya memastikan keamanan data yang optimal, tetapi juga meningkatkan kemampuan organisasi dalam mendeteksi dan merespons ancaman siber dengan lebih efektif.

Gambar 3.2 Piramida keamanan komputer.

Ketika membangun sebuah sistem keamanan komputer server yang berfungsi sebagai pusat layanan jaringan, sering kali membutuhkan dana dan investasi yang besar. Namun, jika dibandingkan dengan kerugian pasca terjadinya penyerangan terhadap jaringan, biayanya cukup sebanding. Titik kritis dari sebuah jaringan adalah fungsi dan layanan yang dijalankan oleh mesin server. Oleh sebab itu perencanaan sistem keamanan komputer yang cermat sangatlah penting. Sistem keamanan ini bertujuan mendeteksi dan mencegah penggunaan komputer secara tidak sah atau ilegal dari para intruder. Untuk melihat contoh proses perumusan sistem keamanan jaringan, pindailah kode QR di samping.

Intruder atau penyusup, yang sering kita kenal dengan istilah- istilah lain seperti hacker, cracker, atau attacker, biasanya ketika mencoba masuk ke dalam sistem komputer orang lain dengan memanfaatkan beberapa kelemahan yang dimiliki oleh setiap server korban. Mereka melakukan langkah-langkah percobaan yang sering disebut penetration testing. Tujuan para intruder ini bervariasi, mulai dari sekadar mencoba ilmu hacking yang diperolehnya tanpa berniat merusak server, balas dendam, mencuri data, merusak server, atau mengungkap kelemahan sistem. Target utama para intruder adalah mesin server yang memiliki data yang bersifat politis atau finansial yang besar, seperti perbankan, situs KPU, atau pasar saham.

Gambar 3.3 Ilustrasi penyusup yang sedang membobol jaringan.

Ruang Kolaborasi 1

A. Uji Pengetahuan

1. Jelaskanlah menurut pemahaman Anda tentang keamanan jaringan terkait keamanan aplikasi perusahaan.

2. Jelaskan tahapan penentuan kebijakan dalam keamanan jaringan.

B. Eksperimen

Guru menyediakan server yang mengaktifkan servis web, telnet, dan SSH dengan Linux yang terhubung LAN. Selanjutnya peserta didik membentuk kelompok beranggotakan maksimal tiga peserta didik. Selanjutnya kelompok tersebut melakukan eksperimen tentang jenis layanan dan port yang aktif dalam server tersebut menggunakan nmap. Buatlah analisis dalam bentuk laporan terhadap hasil scanning tersebut dalam bentuk laporan PDF.

Aktivitas ini akan meningkatkan kemampuan bernglar kritis peserta didik dalam menganalisis hasil scanning nmap.

B. Jenis-Jenis Ancaman dan Serangan Terhadap Keamanan Jaringan

Pada dasarnya, ancaman dan serangan keamanan jaringan dapat muncul dari empat penyebab, yaitu sebagai berikut.

1. Faktor perangkat keras

Teknologi yang digunakan dalam struktur perangkat keras terkadang masih memiliki beberapa kelemahan yang dapat mengakibatkan ketidakmampuan, performa rendah, atau bahkan kerusakan pada perangkat. Perangkat kaeras jaringan sering kali bekerja secara terus-menerus dalam jangka waktu yang lama. Selain itu, fluktuasi tegangan listrik yang tidak stabil atau gangguan fisik dari pengguna juga dapat berdampak signifikan.

2. Faktor perangkat lunak

Gangguan potensial dalam perangkat lunak dapat terjadi karena ketidakcocokan antara versi teknologi perangkat lunak dengan spesifikasi perangkat keras yang digunakan, kesalahan dalam sistem operasi, kegagalan dalam proses pembaruan, dan infeksi malware.

3. Faktor manusia/pengguna

Faktor pengguna memiliki potensi yang lebih besar daripada aspek lainnya dalam menimbulkan ancaman seperti hacking, cracking, carding, intrusion, pencurian data, dan perusakan.

4. Faktor alam

Faktor alam merupakan penyebab terakhir yang tidak dapat dihindari dan dapat berdampak pada kelangsungan sistem jaringan. Contohnya adalah bencana alam seperti gempa bumi, banjir, kebakaran, angin topan, dan gelombang-elektro.

Menurut W. Stallings (2011), jenis-jenis ancaman dan serangan keamanan jaringan dapat diklasifikasikan dalam empat tipe, yaitu sebagai berikut.

Gambar 3.4 Keamanan sebuah perangkat komputer bisa berisiko karena berbagai hal, baik karena infeksi malware, kelalaian pengguna, ataupun kejadian alam.

1. Interruption merupakan jenis serangan yang bertujuan untuk mengganggu aspek ketersediaan data atau informasi sehingga tidak dapat diakses, down, rusak dan hilang, seperti yang terjadi pada serangan DoS.

2. Interception adalah tipikal serangan yang dilakukan dengan cara mengakses secara ilegal data dan informasi, seperti penyadapan, sniffing, capturing, dan wiretapping.

3. Modification merupakan teknik pengubahan data atau informasi yang dikirimkan saat terjadi komunikasi atau transmisi data antar perangkat.

4. Fabrication merupakan teknik penyerangan dengan menyamar sebagai pengguna asli dan legal agar dipercaya ketika melakukan pengiriman data ke perangkat lain, seperti email spoofing, spam, MitM, dan lainnya.

Praktik 1

Menyimulasikan serangan CSRF dengan Burp Suite

Informasi : Pembelajaran ini bersifat edukatif sehingga tidak diperkenankan untuk disalahgunakan sebagai bagian dari tindakan ilegal. Bersikaplah dengan bijak dalam menggunakan teknologi. Lakukan dalam lingkungan simulasi yang disetujui dan dibimbing oleh guru.

Syarat : Tersedia aplikasi Oracle VirtualBox dan RAM komputer minimal 8 GB.

Ikuti petunjuk berikut.

1. Gunakan kembali topologi jaringan dalam Praktik 2 (Bab 2).

2. Bukalah Burp Suite (bisa dari Kali Linux atau dari Windows).

3. Akses kembali alamat OWASP server dengan URL http://192.168.56.102 dan login dengan username "admin" dan password "admin".

4. Klik menu CSRF pada tampilan web OWASP seperti berikut.

Gambar 3.5 Pilih CSRF.

5. Sebelum Anda melakukan eksperimen serangan CSRF (Cross-Site Request Forgery), berikut adalah penjelasan singkat tentang konsep CSRF. CSRF merupakan metode penyerangan yang memungkinkan intruder mengeksploitasi halaman web dengan membuat halaman palsu seolah asli. Tujuannya adalah memancing pengguna untuk berinteraksi dan mengirimkan request pada laman web tersebut. CSRF biasanya diakibatkan kesalahan penulisan kode web yang memungkinkan intruder mengetahui URL parameter yang digunakan ketika mengirimkan permintaan pada server, sebagai contoh:

Dari posting data tersebut, menyebabkan rekening dengan nomor "55562" atas nama "andi" akan mendebet uang sebesar 1 juta rupiah pada rekening dengan nomor "6699". Kerentanan tersebut dapat dimanfaatkan dengan membuat link palsu agar ketika mengeklik link tertentu, akan secara otomatis mengeksekusi perintah tersebut, sebagai contoh:

6. Dalam latihan ini, Anda akan mencoba eksplorasi kelemahan kode post data dalam web untuk merubah password OWASP. Aktifkan opsi intercept pada proxy Burp Suite. Kemudian ketikkan password pembaruan dan ulangi penulisannya, kemudian klik Change.

Gambar 3.6 Mengubah Password Owasp Web.

7. Perhatikan Raw data pada Burp Suite berikut.

Gambar 3.7 Raw Data Intercept Proxy Burp Suite.

8. Ubahlah key admin menjadi "erlangga" kemudian klik tombol forward. Secara otomatis password OWASP web vulnerability berubah menjadi "erlangga".

Gambar 3.8 Mengubah password OWASP.

9. Logout dari sistem web OWASP DVWA, kemudian login dengan user "admin" dan password "erlangga".

10. Buatlah simpulan berdasarkan praktik yang telah dilakukan.

Aktivitas praktik ini akan meningkatkan kemampuan bernalar kritis peserta didik dalam mengenal kerentanan yang memungkinkan serangan CSRF.

Ruang Kolaborasi 2

Mengidentifikasi dan Menganalisis Kasus Penipuan dengan 

Celah Keamanan CSRF dalam Web Perbankan

Tugas:

Bentuklah kelompok beranggotakan maksimal empat peserta didik. Lakukan pencarian informasi atau berita tentang serangan keamanan terhadap sistem informasi berbasis web akibat CSRF. Jelaskan kaitan CSRF sebagai one-click attack yang paling efisien untuk melakukan penipuan. Tugas bersama kelompok Anda adalah sebagai

berikut.

1. Buatlah analisis penyebab kejadian, kronologi penyerangan, dan proses penipuan yang mungkin bisa terjadi.

2. Buat laporan dengan format PDF dan presentasikan hasilnya di depan kelas.

Aktivitas ini akan meningkatkan kemampuan bernalar kritis peserta didik secara bergotong royong dalam menganalisis celah keamanan CSRF.

C. Aspek-Aspek dalam Sistem Keamanan Jaringan

Untuk membangun sistem keamanan yang sesuai dengan kebutuhan dan perkembangan teknologi serta potensi agresivitas ancaman, maka kita harus memahami dan mempertimbangkan empat aspek penting dalam sistem keamanan, antara lain:

1. Keamanan Secara Fisik (Physical Security)

Kemungkinan perusakan data dan informasi paling mudah dilakukan jika dilakukan langsung pada layanan server secara fisik, seperti mengakses konsol secara langsung, menambahkan harddisk eksternal, mematikan listrik, menginfeksi dengan malware secara langsung, me-restart server, men-shut down, hingga mengganti pengguna. Sebagai contoh mesin server perbankan yang menyimpan daftar nasabah dan transaksi keuangan diletakkan di ruangan yang dapat dicapai setiap orang, akibatnya data dan informasi menjadi rentan diretas, dicuri, hingga dirusak. Oleh karena itu, diperlukan pengaturan dan manajemen ruangan secara khusus yang menjamin keamanan akses server secara fisik dengan beberapa ketentuan seperti berikut.

a. Dimensi ruangan NOC (Network Operating Center) dengan standar K3LH yang dilengkapi sistem ventilasi dan pengaman pintu masuk.

b. Dilengkapi rak server sebagai wadah dudukan server dan perangkat jaringan lainnya.

c. Dilengkapi alat pengukur suhu dan tabung pemadam kebakaran.

d. Tersedianya sistem CCTV yang memonitor ruangan dalam dan kondisi luar ruangan.

e. Tersedianya sumber daya tegangan listrik yang stabil.

f. Mempunyai mesin pendingin ruangan yang mampu menjaga suhu ruangan agar tetap dingin.

g. Terhubung dengan sambungan internet dan jaringan lokal berkapasitas tinggi.

h. Terlindung dari panas matahari, kotoran udara, dan gangguan elektromagnetik.

i. Dilengkapi dengan sistem pengaman pintu masuk ruangan.

j. Menerapkan standar ISO 27001 sebagai manajemen sistem keamanan informasi.

k. Menerapkan sistem raised floor (dengan bahan tahan api) untuk meneruskan aliran udara dingin yang berasal dari bawah lantai,

Dengan melindungi kondisi fisik server dan layanan jaringan dari tangan yang tidak bertanggung jawab, dampak buruk terhadap server dapat diminimalisasi.

2. Keamanan Jaringan (Network Security)

Makin kompleks infrastruktur jaringan dan sistem yang dibangun, makin rentan pula terjadinya serangan. Untuk mengurangi dampak buruk tersebut, perlu ada kebijakan dan manajemen yang sesuai untuk aspek keamanan jaringan antara lain sebagai berikut.

a. Meregistrasi dan memanajemen perangkat jaringan serta daftar pengguna yang berhak untuk mengakses layanan.

b. Menerapkan sistem keamanan terhadap akses perangkat dan layanan sesuai prinsip keamanan yang baik.

c. Melakukan penilaian (assessment), uji keamanan (penetration testing) terhadap kemungkinan celah keamanan yang mungkin dieksploitasi oleh peretas seperti http, FTP, file sharing, dan lainnya.

d. Memperbarui aplikasi yang terpasang pada layanan server dan jaringan untuk menghindari eror atau munculnya celah eksploitasi baru.

3. Keamanan Pengguna (Account Security)

Setiap aktivitas dalam akses dan pengoperasian layanan jaringan membutuhkan proses autentikasi sebagai langkah standar keamanan. Oleh karena itu diperlukan akun yang menyimpan informasi kredensial meliputi username dan password yang dapat digunakan untuk login. Pengaturan dan manajemen akun dalam jaringan harus ditata dan dikelola sesuai standar dan prinsip keamanan agar tidak mudah diretas dan disalahgunakan.

4. Keamanan Sistem Fail (File System Security)

Keamanan sistem operasi sebuah server juga dipengaruhi dari jenis sistem fail yang digunakan dan dikonfigurasi seperti pengaturan kuota disk yang dibagikan dalam web hosting, dan pengaturan batas kuota direktori yang disediakan untuk tiap pengguna.

Uji Kemampuan Diri 1

1. Mengapa keamanan informasi harus selalu dipantau dan diperbarui (update) fiturnya secara berkala? Jelaskan.

2. Jelaskan aspek penting yang harus dipertimbangkan ketika membangun sistem keamanan informasi.

3. Mengapa akun dalam sebuah sistem layanan web harus terjamin keamanannya? Jelaskan dampaknya bagi keberlangsungan sistem.

4. Jelaskan konsep celah keamanan CSRF dan bagaimana cara mencegahnya?

5. Jelaskan jenis-jenis klasifikasi ancaman atau gangguan yang mungkin terjadi dalam sistem jaringan.

D. Prinsip Keamanan Komputer

1. Pengenalan Prinsip Keamanan

Saat ini banyak sekali standar dan prinsip keamanan yang diterbitkan oleh beberapa organisasi maupun instansi resmi pemerintah di berbagai negara. Salah satunya adalah National Institute of Standards and Technology (NIST) sebagai bagian dari US Department of Commerce di Amerika Serikat. Dalam perkembangannya, NIST telah melakukan riset dan uji coba sehingga mampu membuat dan menetapkan serangkaian prinsip teknik mengenai sistem keamanan informasi yang dapat dijadikan sebagai acuan dalam proses desain, pengembangan, dan implementasi terhadap pengembangan sistem keamanan TI. Prinsip yang diterbitkan ini meliputi efektivitas penyelenggaraan, pertimbangan permasalahan non-teknis seperti penerapan kebijakan, prosedur operasional, serta pendidikan dan pelatihan pengguna.

Pada dasarnya, prinsip keamanan tidak mutlak harus diimplementasikan dan diterapkan secara ketat untuk semua sistem setiap saat, tetapi tetap memperhatikan kesesuaian siklus hidup (life cycle) setiap sistem informasi sehingga dapat digunakan secara dinamis. Standar prinsip keamanan dalam NIST dibuat dan disajikan secara logis dan bersifat operasional sesuai dengan kebutuhan dan tingkat kemajuan teknologi informasi yang berkembang. Ke depannya standar ini dapat ditambah, dihapus, dan disempurnakan menyesuaikan perkembangan isu keamanan yang terjadi. Pada dasarnya, prinsip keamanan dalam NIST memuat dua elemen penting, yaitu:

a. Tabel tentang identifikasi dan penjelasan level serta kedudukan masing-masing prinsip dalam life cycle sebuah sistem.

b. Informasi yang berisi deskripsi atau penjelasan tiap item dalam prinsip.

Berikut adalah lima fase perencanaan siklus hidup sistem informasi yang didefinisikan dalam "Generally Accepted Principles and Practices for Securing Information Technology Systems, SP 800-14".

a. Fase Inisiasi (Initiation Phase)

Dalam fase ini, semua requirement atau spesifikasi yang harus dipenuhi selama proses implementasi dikumpulkan, termasuk tujuan, kebutuhan, dan evaluasi.

b. Fase Pengembangan/Akuisisi (Development/Acquisition Phase)

Dalam fase ini, sistem dirancang, didesain, dibeli, diprogram, dan dikembangkan sesuai dengan siklus pengembangan sistem. Aktivitas dalam fase ini mencakup proses penentuan persyaratan keamanan dan integrasi ke dalam sistem.

c. Fase Implementasi (Implementation Phase)

Dalam fase ini, sistem yang telah dikembangkan akan diinstal, dikonfigurasi, kemudian diterapkan untuk diuji validasinya.

d. Fase Operasi/Pemeliharaan (Operation/Maintenance Phase)

Fase ini dilakukan ketika menemukan ketidaksesuaian dan masalah baru dalam sistem sehingga diperlukan adanya tindakan pembaruan (upgrade), modifikasi, dan penambahan perangkat keras ataupun library, dengan tujuan mendukung operasi peningkatan keamanan dan sistem manajemen administrasi secara operasional, sistem audit, dan sistem pemantauan.

e. Fase Pembuangan (Disposal Phase)

Terakhir adalah tahapan penghapusan atau pembuangan beberapa elemen tidak penting dan bermasalah, seperti informasi yang bersifat gagal, perangkat keras yang rusak, dan perangkat lunak yang usang (out of date). Aktivitas pemindahan, backup, pengarsipan, penghapusan, dan penghancuran elemen yang dianggap gagal dapat dikerjakan dalam fase ini.

Berikut adalah contoh tabel yang memuat informasi penjelasan dalam penerapan prinsip berdasarkan lima fase perencanaan.

Tabel 3.1 Contoh penerapan tabel Life Cycle,

Dalam upaya untuk mengaitkan setiap prinsip dengan fase- fase perencanaan siklus hidup yang relevan, tabel serupa dengan contoh Tabel 3.1 telah disusun untuk setiap prinsip. Tabel tersebut mengidentifikasi setiap fase siklus hidup, dan menggunakan tanda centang untuk menunjukkan apakah prinsip tersebut harus dipertimbangkan atau diterapkan selama fase tertentu. Satu tanda centang "" menandakan bahwa prinsip tersebut dapat digunakan untuk mendukung fase siklus hidup yang terkait, sementara dua tanda centang "/" menandakan bahwa krusial untuk prinsip tersebut menyelesaikan fase siklus hidup yang terkait dengan sukses.

2. Prinsip Keamanan Teknologi Informasi

NIST menerbitkan 33 jenis prinsip keamanan teknologi informasi yang dikelompokkan dalam enam kategori, antara lain sebagai berikut.

a. Security Foundation

Kategori security foundation mencakup empat prinsip sebagai berikut.

1) Prinsip ke-1 "Menetapkan kebijakan keamanan yang baik sebagai pondasi penting dalam proses perancangan (Establish a sound security policy as the 'foundation' for design)".

Menentukan kebijakan keamanan adalah langkah paling awal yang harus ditempuh sebagai komitmen dasar bagi organisasi dalam membentuk fase awal kebijakan keamanan yang mencakup tujuan keamanan, desain sistem, solusi keamanan meliputi kerahasiaan, ketersediaan data, integritas, akuntabilitas, jaminan keamanan serta perkiraan ancaman dan gangguan. Prinsip ini jika digambarkan dalam life cycle memiliki informasi sebagai berikut.

Tabel 3.2 Penerapan tabel Life Cycle prinsip pertama.

Praktik 2

Menyimulasikan Serangan Keamanan pada Celah CAPTCHA dengan Burp Suite dengan Tingkat Keamanan "Low"

Informasi : Pembelajaran ini bersifat edukatif, jangan disalahgunakan untuk tindakan ilegal dan kejahatan. Lakukan dalam lingkungan simulasi yang disetujui dan dibimbing oleh guru.

Syarat : Tersedia aplikasi Oracle VirtualBox dan RAM komputer minimal 8 GB.

Ikuti petunjuk berikut.

1. Gunakan kembali topologi jaringan dalam praktik sebelumnya.

2. Buka Burp Suite (bisa dari Kali Linux atau dari Windows PC).

3. Akses kembali alamat owasp server dengan URL http://192.168.56.102 dan login dengan username "admin" dan password "admin".

4. Pilih menu Insecure CAPTCHA untuk menyimulasikan celah keamanan CAPTCHA.

5. Untuk menjalankan fitur ini, pastikan Anda telah membuat CAPTCHA dengan. meregistrasikan terlebih dahulu pada https://www.google.com/recaptchal kemudian salinkan pada fail /var/www/dvwa/config/config.inc.php.

Gambar 3.9 CAPTCHA Key Site.

6. Baris kode yang perlu diubah pada fail /var/www/dvwa/config/config.inc.php adalah sebagai berikut.

7. Aktifkan opsi Intercept pada Burp Suite, kemudian ubah password DVWA dan aktifkan opsi CAPTCHA dengan mencentangnya.

Gambar 3.11 Mengubah password.

8. Perhatikan baris kode dalam Raw data Burp Suite.

Gambar 3.12 Value yang dikirimkan dalam CAPTCHA.

9. Setelah diteruskan, sistem akan memvalidasi bahwa CAPTCHA yang dikirimkan telah benar,

Gambar 3.13 Pemberitahuan "Password Changed" berarti password sudah berhasil diubah.

10. Nilai step yang dikirim dengan metode POST ketika memiliki nilai 2 akan secara otomatis CAPTCHA dianggap benar. Kelemahan inilah yang menyebabkan URL parameter dalam web dapat dilewati (bypass) sehingga fungsi CAPTCHA sebagai proteksi tidak lagi berfungsi dengan baik.

Aktivitas praktik ini akan meningkatkan kemampuan bernalar kritis peserta didik dalam mengenal kerentanan pada CAPTCHA.

Ruang Kolaborasi 3

A. Uji Pengetahuan

1. Jelaskanlah pentingnya membuat dan menetapkan prinsip-prinsip dalam keamanan jaringan dan informasi.

2. Jelaskan lima tahapan penting dalam perencanaan siklus hidup berdasarkan Securing Information Technology Systems.

3. Jelaskan enam kategori dalam prinsip keamanan NIST.

B. Eksperimen

Lakukan riset dengan kelompok kerja Anda sebelumnya untuk melakukan uji coba bypass CAPTCHA dengan kategori middle security pada OWASP yang telah dipraktikkan sebelumnya (Praktik 2) dalam bab ini. Buatlah analisis perbedaan keamanan dan teknik penyerangannya dalam bentuk laporan terhadap hasil pekerjaan tersebut dalam format PDF.

Aktivitas ini akan meningkatkan kemampuan bernalar kritis peserta didik secara bergotong-royong dalam menguasai konsep bypass CAPTCHA dengan level keamanan menengah.

2) Prinsip ke-2 "Menerapkan sistem keamanan sebagai bagian integral dari keseluruhan desain sistem (Treat security as an integral part of the overall system design)".

Berdasarkan pengalaman dan riset sebelumnya menunjukkan bahwa dalam proses menerapkan langkah- langkah keamanan dengan benar dapat diuji setelah sistem tersebut diterapkan kemudian dievaluasi. Untuk mencapai nilai maksimal maka sistem keamanan tersebut harus diintegrasikan sepenuhnya ke dalam proses lifecycle system. Aktivitas dalam tahapan ini meliputi proses penetapan kebijakan keamanan, menentukan persyaratan keamanan, mengintegrasikan sistem serta mengevaluasi, proses rekayasa, desain, implementasi, hingga penghapusan sistem.

Tabel 3.3 Penerapan tabel Life Cycle prinsip kedua.

3) Prinsip ke-3 "Mendefinisikan dan menjelaskan secara jelas batasan antara keamanan fisik dan logis yang diatur oleh kebijakan keamanan terkait "(Clearly delineate the physical and logical security boundaries governed by associated security policies)".

Dalam prinsip ini, menjelaskan cara menentukan dan menjelaskan definisi, konsep dan kebijakan keamanan informasi yang memuat aturan, jenis-jenis prosedur dan mekanisme perlindungan terkait lokasi server maupun rangkaian proses logika informasi yang digunakan dalam sistem.

Tabel 3.4 Penerapan tabel Life Cycle prinsip ketiga.

4) Prinsip ke-4 "Pastikan pengembang perangkat lunak telah dilatih tentang cara mengembangkan keamanan perangkat lunak (Ensure that developers are trained in how to develop secure software)".

Untuk mewujudkan keamanan teknologi informasi khususnya keamanan jaringan, sebaiknya para pengembang telah dilatih dan memiliki sertifikasi dalam proses

pengembangan perangkat lunak secara aman meliputi standar keilmuan, disiplin teknik perancangan, pengembangan, kontrol konfigurasi, integrasi, dan pengujian.

Tabel 3.5 Penerapan tabel Life Cycle prinsip keempat.

b. Berbasis Risiko (Risk Based)

Kategori berbasis risiko (risk-based) mencakup tujuh prinsip berikut.

1) Prinsip ke-5 "Mengurangi risiko ke tingkat yang dapat diterima (Reduce risk to an acceptable level)"

Dalam prinsip keamanan kelima ini memetakan tentang konsep risiko sebagai berikut.

a) Potensi munculnya ancaman dan gangguan tertentu dari beberapa jenis sumber baik bersifat sengaja maupun tidak sengaja yang memicu eksploitasi celah keamanan.

b) Dampak buruk yang berpengaruh terhadap sistem organisasi, aset organisasi maupun secara individu.

Tujuan prinsip ini untuk meminimalisasi terjadinya kerugian finansial, menjaga kredibilitas, memperbarui teknologi, serta meningkatkan kemampuan bisnis.

Tabel 3.6 Penerapan tabel Life Cycle prinsip kelima.

2) Prinsip ke-6 "Membuat asumsi sementara bahwa sistem eksternal tidak aman untuk digunakan (Assume that external systems are insecure)".

Dalam prinsip ini diharapkan mampu memetakan hipotesis awal yang menganggap bahwa semua sistem yang dibangun memiliki potensi kegagalan dan kerentanan, mencakup kontrol akses, kebutuhan spesifikasi serta tingkat perlindungan harus diperhatikan. Oleh karena itu, diperlukan parameter dan tindakan khusus untuk mendukung prinsip ke-6 ini.

Tabel 3.7 Penerapan tabel Life Cycle prinsip keenam.

3) Prinsip ke-7 "Mengidentifikasi potensi pertukaran yang mungkin terjadi antara pengurangan risiko terhadap peningkatan biaya dan penurunan aspek efektivitas operasional lainnya (Identify potential trade-offs between reducing risk and increased costs and decrease in other aspects of operational effectiveness)".

Untuk memenuhi persyaratan keamanan yang ditetapkan dalam prinsip keamanan NIST, pengembang atau organisasi yang terlibat langsung dalam sistem keamanan harus dapat mengidentifikasi dan mendukung spesifikasi kebutuhan operasional dalam rangka mencapai tujuan keamanan yang telah ditetapkan.

Tabel 3.8 Penerapan tabel Life Cycle prinsip ketujuh.

4) Prinsip ke-8 "Menerapkan tahapan-tahapan keamanan sistem yang disesuaikan kebutuhan keamanan organisasi sasaran (Implement tailored system security measures to meet organizational security goals)".

Secara umum, kebutuhan keamanan informasi setiap organisasi tidak sama sehingga perancang sistem maupun praktisi keamanan harus mempertimbangkan tingkat kebutuhan keamanan, keunikan, dan karakteristik organisasi yang akan menjalankan sistem keamanan ketika merancang strategi keamanan yang akan digunakan.

Tabel 3.9 Penerapan tabel Life Cycle prinsip kedelapan.

5) Prinsip ke-9 "Melindungi informasi dalam proses pembentukan sesi komunikasi, proses pengiriman, dan penyimpanan (Protect information while being processed, in transit, and in storage)".

Dalam prinsip ini mewajibkan bahwa sistem dibangun harus dilengkapi perencanaan perlindungan keamanan data dan informasi yang mampu mencegah terjadinya serangan yang berpotensi kerusakan data.

Tabel 3.10 Penerapan tabel Life Cycle prinsip kesembilan,

6) Prinsip ke-10 "Pertimbangkan produk khusus untuk mencapai keamanan yang memadai (Consider custom products to achieve adequate security)".

Dalam perancangan sistem berbasis keamanan informasi, harus memperhatikan aspek COTS maupun non- COTS. Commercial Off-the-shelf (COTS) atau Commercially Available Off-the-shelf merupakan produk hasil integrasi antara perangkat keras dan lunak yang disediakan secara umum untuk semua jenis organisasi.

Tabel 3.11 Penerapan tabel Life Cycle prinsip kesepuluh.

7) Prinsip ke-11 "Melindungi dari semua jenis serangan (Protect against all likely classes of attacks)".

Sistem yang dibangun harus didesain untuk dapat men- deteksi dan mencegah beragam jenis serangan, mencakup sistem passive monitoring, active network attacks, eksploitasi pengguna internal, akses fisik, malware, dan backdoor.

Tabel 3.12 Penerapan tabel Life Cycle prinsip kesebelas.

Kemudahan dalam Penggunaan (Ease of Use)

Kategori kemudahan dalam penggunaan mencakup empat prinsip sebagai berikut.

1) Prinsip ke-12 "Penerapan standar yang terbuka untuk protabilitas dan interoperabilitas dalam sistem keamanan (Where possible, base security on open standards for portability and interoperability)".

Prinsip pengembangan sistem keamanan hendaknya. memperhatikan efektivitas agar dapat mendukung intero- perabilitas dan portabilitas baik pada perangkat keras dan perangkat lunak maupun saat mengimplementasikannya.

Tabel 3.13 Penerapan tabel Life Cycle prinsip kedua belas.

2) Prinsip ke-13 "Gunakan bahasa umum dalam mengembangkan persyaratan keamanan (Use common language in developing security requirements)".

Dalam prinsip ini menekankan penggunaan standardisasi bahasa, aturan, dan manajemen platform sebagai persyaratan keamanan data yang memungkinkan organisasi untuk mengevaluasi serta membandingkan produk dan fitur-fitur yang dimiliki.

Tabel 3.14 Penerapan tabel Life Cycle prinsip ketiga belas.

3) Prinsip ke-14 "Dalam perancangan sistem keamanan harus mendukung proses adopsi dan integrasi teknologi baru secara aman dan logis (Design security to allow for regular adoption of new technology, including a secure and logical technology upgrade process)".

Sistem keamanan data dan informasi hendaknya men- dukung proses integrasi dan penambahan fitur baru dalam teknologi informasi.

Tabel 3.15 Penerapan tabel Life Cycle prinsip keempat belas.

4) Prinsip ke-15 "Mendesain sistem yang mudah dioperasikan (Strive for operational ease of use)".

Makin sulitnya sebuah sistem dioperasikan oleh pengguna, makin kurang efektif proses pengontrolannya. Oleh karena itu, sistem yang dibangun harus menyesuaikan dengan kebutuhan dan kemampuan penggunanya.

Tabel 3.16 Penerapan tabel Life Cycle prinsip kelima belas.

d. Meningkatkan Ketahanan Terhadap Serangan (Increase Resilience)

Kategori meningkatkan ketahanan terhadap serangan (increase resilience) mencakup delapan prinsip sebagai berikut. 1) Prinsip ke-16 "Menerapkan keamanan berlapis dan memastikan tidak ada celah kerentanan [Implement layered security (Ensure no single point of vulerability)]".

Perancangan sistem informasi dan jaringan harus mengedepankan teknik keamanan yang berlapis guna melindungi dan mengatasi ancaman serangan tertentu, sebagai contoh filtrasi data, IDS, IPS, dan lainnya.

Tabel 3.17 Penerapan tabel Life Cycle prinsip keenam belas.

2) Prinsip ke-17 "Mendesain dan mengoperasikan sistem yang handal untuk mencegah serangan serta mampu cepat merespons ketika muncul serangan (Design and operate an IT system to limit damage and to be resilient in response)". Sistem informasi yang dibangun harus memiliki ketahanan dalam menghadapi serangan, meminimalisasi kerusakan, serta mampu mengatasi dan memulihkan ketika mengalami serangan. Tujuannya adalah mendesain sistem yang tetap dapat bekerja dan melayani permintaan klien meski mengalami ancaman dan serangan.

Tabel 3.18 Penerapan tabel Life Cycle prinsip ketujuh belas.

3) Prinsip ke-18 "Memberikan jaminan bahwa sistem dapat bertahan ketika menerima serangan yang telah diperkirakan sebelumnya atau (Provide assurance that the system is, and continues to be, resilient in the face of expected threats)".

Untuk memberikan jaminan keamanan terhadap sistem yang dibangun, diperlukan pengetahuan mendasar tentang desain sistem yang mampu bertahan dalam lingkungan. ancaman, evaluasi of requirement sets, pemahaman pembaruan perangkat keras dan lunak, metode evaluasi produk, serta kemampuan memprediksi serangan yang mungkin terjadi.

Tabel 3.19 Penerapan tabel Life Cycle prinsip kedelapan belas.

4) Prinsip ke-19 "Membatasi atau menampung kerentanan (Limit or contain vulnerabilities)".

Tersedia beragam kebijakan, solusi, dan pencegahan baik dalam bentuk perangkat keras maupun lunak untuk mengurangi potensi celah kerentanan yang mungkin muncul.

Tabel 3.20 Penerapan tabel Life Cycle prinsip kesembilan belas.

5) Prinsip ke-20 "Memisahkan atau mengisolasi akses publik terhadap sumber daya jaringan penting (Isolate public access systems from mission critical resources)".

Membuat desain keamanan yang berlapis dengan me- misahkan atau membatasi potensi akses pengguna publik untuk menjangkau sumber daya internal, sebagai contoh penerapan demilitarized zone, screened subnet, maupun penerapan kebijakan dan prosedur keamanan sistem.

Tabel 3.21 Penerapan tabel Life Cycle prinsip kedua puluh.

6) Prinsip ke-21 "Menerapkan teknik filtrasi atau pembatas

antara sistem terkomputasi dengan infrastruktur jaringan (Use boundary mechanisms to separate computing systems and network infrastructures)".

Untuk mewujudkan prinsip ke-21 ini, ada empat hal yang bisa dilakukan, antara lain:

a) mengonfigurasi interface jaringan eksternal yang akan digunakan,

b) menentukan jenis informasi yang ditransmisikan dalam jaringan.

c) menentukan port, protokol, dan layanan jaringan yang diperlukan, dan

d) menentukan persyaratan-persyaratan yang diperlukan untuk melakukan komunikasi atau pertukaran informasi. Contohnya relationship, layanan replikasi database, dan domain resolution.

Tabel 3.22 Penerapan tabel Life Cycle prinsip kedua puluh satu.

7) Prinsip ke-22 "Mendesain serta menerapkan mekanisme audit untuk mendeteksi akses ilegal dan mendukung investigasi ketika terjadi insiden (Design and implement audit mechanisms to detect unauthorized use and to support incident investigations)".

Sistem harus menyediakan sistem pencatatan fail log yang merekam dan memuat informasi akses, baik yang bersifat legal maupun ilegal, serta dapat mendeteksi dan menganalisisnya. Selain itu, sistem tersebut diharapkan mampu digunakan untuk tujuan audit dan investigasi jika terjadi insiden serangan secara mendadak.

Tabel 3.23 Penerapan tabel Life Cycle prinsip kedua puluh dua.

8) Prinsip ke-23 "Mengembangkan dan melaksanakan prosedur kontingensi atau pemulihan data ketika terjadi serangan untuk memastikan layanan tetap tersedia dengan baik (Develop and exercise contingency or disaster recovery procedures to ensure appropriate availability)".

Sistem harus mampu bertahan dan memulihkan kondisi semula ketika menerima serangan agar layanan yang dijalankan tidak terhenti.

Tabel 3.24 Penerapan tabel Life Cycle prinsip kedua puluh tiga.

e. Mengurangi Potensi Celah Keamanan (Reduce Vulnerabilities) Kategori mengurangi potensi celah keamanan (reduce vulnerabilities) mencakup enam prinsip sebagai berikut.

1) Prinsip ke-24 "Mengembangkan sistem informasi yang sederhana (Strive for simplicity)".

Makin kompleks suatu mekanisme, makin besar potensi kerentanan yang dapat dieksploitasi. Oleh karena itu, sistem hendaknya dibuat sesederhana mungkin.

Tabel 3.25 Penerapan tabel Life Cycle prinsip kedua puluh empat.

2) Prinsip ke-25 "Mengurangi keterlibatan elemen sistem yang diizinkan mengakses resource penting jaringan (Minimize the system elements to be trusted)".

Keterlibatan komponen jaringan meliputi perangkat keras, perangkat lunak, maupun firmware harus didesain, dipilah, dan disusun sesuai kebutuhan berdasarkan prioritas akses dan tingkat keamanan yang diinginkan.

Tabel 3.26 Penerapan tabel Life Cycle prinsip kedua puluh lima.

Praktik 3

Menyimulasikan Serangan pada Perencanaan Web Command Execution

Informasi : Pembelajaran ini bersifat edukatif sehingga tidak diperkenankan untuk disalahgunakan sebagai bagian dari tindakan ilegal. Bersikaplah dengan

bijak dalam menggunakan teknologi. Lakukan dalam lingkungan simulasi yang disetujui dan dibimbing oleh guru.

Syarat : Tersedia aplikasi Oracle VirtualBox dan RAM komputer minimal 8 GB.

Ikuti petunjuk berikut.

1. Gunakan kembali topologi jaringan dalam praktik sebelumnya.

2. Buka menu Command Execution kemudian ketikkan alamat IP penyusup, yaitu 192.168.56.21. Klik submit.

Gambar 3.14 Melakukan ping pada 192.168.56.21.

3. Jika diperhatikan secara saksama, dalam mengetikkan IP komputer lain maka PHP akan mengeksekusi layaknya sebuah shell Linux yang akan menampilkan informasi respons ICMP dari komputer tujuan.

4. Command Execution atau shell injection merupakan tipikal kerentanan yang dapat memberikan celah bagi penyusup untuk menjalankan perintah-perintah shell melalui web. Dengan fitur ini, sistem menjadi rentan untuk diambil alih oleh penyusup.

5. Untuk menyimulasikannya, pada kotak isian alamat IP ketikkan perintah

Gambar 3.15 Menyisipkan perintah shell.

6. Selanjutnya pada console Linux Kali (sebagai penyusup) ketikkan perintah

kemudian tunggu hasilnya, dan Anda akan mendapatkan shell Linux korban.

Gambar 3.16 Reverse shell komputer korban.

7. Dalam contoh, di depan console penyusup telah memperoleh akses root pada terminal komputer korban. Anda dapat mengoperasikan konsol tersebut layaknya server yang dikendalikan secara penuh.

Gambar 3.17 Shell server berhasil diambil alih penyusup.

Aktivitas ini akan meningkatkan kemampuan bernalar kritis peserta didik secara mandiri dalam menguasai konsep kerentanan command execution.

3) Prinsip ke-26 "Menerapkan manajemen hak akses dengan peran paling sederhana (Implement least privilege)".

Penerapan konsep least privilege atau hak istimewa dengan level terendah, harus diperhatikan berdasarkan kebutuhan dan proses bisnis yang dijalankan. Tujuannya adalah memperkecil kemungkinan terjadinya akses yang dapat membahayakan keberlangsungan sistem.

Tabel 3.27 Penerapan tabel Life Cycle prinsip kedua puluh enam.

4) Prinsip ke-27 "Tidak menerapkan standar keamanan yang tidak diperlukan (Do not implement unnecessary security mechanisms)".

Prosedur keamanan yang dibangun dan dikembangkan selayaknya harus mendukung layanan yang dijalankan dalam sistem jaringan. Penambahan fitur atau metode keamanan baru dan tidak diperlukan dapat mengakibatkan lambatnya perfoma sistem layanan yang dijalankan.

Tabel 3.28 Penerapan tabel Life Cycle prinsip kedua puluh tujuh.

5) Prinsip ke-28 "Memastikan sistem keamanan dapat bekerja tepat ketika menonaktifkan atau menghapus sistem (Ensure proper security in the shutdown or disposal of a system)".

Terkadang sebuah sistem telah berhenti atau tidak. difungsikan, akan tetapi masih memiliki data atau informasi penting yang memungkinkan untuk diakses dan dicuri orang lain secara ilegal. Oleh karena itu, kita harus merancang mekanisme yang dapat mengamankan sistem secara tepat dan aman seperti perangkat hard drive, memori, atau media penyimpan lainnya agar tidak menyimpan informasi penting. lainnya yang dapat diakses dari luar.

Tabel 3.29 Penerapan tabel Life Cycle prinsip kedua puluh delapan.

6) Prinsip ke-29 "Identifikasi dan lakukan pencegahan timbulnya error dan celah keamanan (Identify and prevent common errors and vulnerabilities)".

Sering kali sistem yang dibangun mengabaikan beberapa faktor keamanan yang biasanya muncul. Contohnya karena kesalahan logika atau unsur coding yang kurang aman, seperti buffer overflows, race conditions, validitas input-an yang kurang aman, overload program, dan lainnya. Oleh karena itu, diperlukan tindakan yang mampu mencatat jenis-jenis masalah yang mungkin muncul dilengkapi sistem pencegahannya.

Tabel 3.30 Penerapan tabel Life Cycle prinsip kedua puluh sembilan.

f. Perancangan Sistem Keamanan Berdasarkan Skema Jaringan (Design with Network in Mind)

Kategori perancangan sistem keamanan berdasarkan skema jaringan (design with network in mind) mencakup empat prinsip sebagai berikut.

1) Prinsip ke-30 "Menerapkan metode keamanan dengan mengombinasikan sistem yang terdistribusi secara fisik dan logis (Implement security through a combination of measures distributed physically and logically)".

Kadangkala sebuah sistem yang dijalankan merupakan kombinasi dan integrasi dari beberapa jenis layanan. Sebagai contoh mekanisme autentikasi melalui antarmuka workstation, kemudian dikirimkan ke layanan SSO Server. Dalam proses autentikasi tersebut, workstation akan memeriksa validitas akun berdasarkan parameter tertentu, misal kode, ID, atau kode lainnya yang telah diacak berdasarkan token tertentu. Setelah dinyatakan valid maka data akan diperiksa dalam SSO (Single Sign On) server untuk diperiksa keabsahannya. Jika dinyatakan valid, pengguna dapat mengakses dan mengoperasikan sistem di dalamnya. Namun, jika gagal akan ditolak oleh sistem.

Tabel 3.31 Penerapan tabel Life Cycle prinsip ketiga puluh.

2) Prinsip ke-31 "Merumuskan dan menetapkan tahapan dalam prosedur keamanan untuk mencegah terjadinya kegagalan penyajian informasi (Formulate security measures to address multiple overlapping information domains)".

Pentingnya menjaga kerahasiaan dan integritas data atau informasi saat ditransmisikan merupakan aspek utama yang harus dipertimbangkan dalam perencanaan sistem keamanan. Dengan mendesain sistem keamanan yang tepat sesuai kebutuhan dan anggaran, efektivitas penyajian data/ informasi dapat tercapai sesuai klasifikasi penggunaan dan tingkat keamanannya.

Tabel 3.32 Penerapan tabel Life Cycle prinsip ketiga puluh satu.

3) Prinsip ke-32 "Prosedur dan keamanan autentikasi user harus dipastikan telah sesuai dengan kebijakan keamanan dan dapat dikendalikan dalam struktur domain jaringan (Authenticate users and processes to ensure appropriate access control decisions both within and across domains)".

Autentikasi merupakan mekanisme pemeriksaan dan validasi pesan, data yang dimasukkan ke dalam sistem telah terdaftar dan tersimpan dalam manajemen pengguna sistem atau belum. Untuk memperkuat level keamanan, proses autentikasi harus dapat memanajemeni sesuai kebutuhan dan hak istimewa (privilege) pengguna.

Tabel 3.33 Penerapan tabel Life Cycle prinsip ketiga puluh dua.

4) Prinsip ke-33 "Gunakan identitas unik untuk memastikan akuntabilitas (Use unique identities to ensure accountability)".

Suatu identitas dalam sistem merupakan representasi seorang user atau proses yang dilakukannya, sebagai contoh remote server dengan SSH. Keunikan identitas perlu dibuat dengan tujuan untuk:

a) menjaga akuntabilitas dan memudahkan penelusuran aktivitas yang dilakukan pengguna,

b) menetapkan privilege khusus kepada setiap pengguna atau proses yang dilakukan,

c) menerapkan sistem monitoring dan pengontrolan setiap akses pengguna,

d) menerapkan metode identifikasi pengguna lain ketika menggunakan sistem sambungan komunikasi yang aman, dan

e) mencegah terjadinya MitM atau phising.

Tabel 3.34 Penerapan tabel Life Cycle prinsip ketiga puluh tiga.

3. Pertimbangan ketika Mendesain Jaringan Komputer

Dengan memahami dan menerapkan enam klasifikasi prinsip keamanan tersebut, terdapat enam poin penting yang harus dipertimbangkan ketika mendesain jaringan, antara lain:

a. Perkiraan Munculnya Risiko (Risk Estimation)

Untuk mendesain sistem jaringan yang aman, Anda harus memahami potensi gangguan dan besarnya risiko yang mungkin muncul saat diimplementasikan. Terdapat dua macam metode. identifikasi risiko yang mungkin muncul, yaitu:

1) Memetakan dan menganalisis sumber daya dalam jaringan

yang diklasifikasikan menjadi dua tipe, antara lain:

a) Objek secara fisik seperti server, switch, hub, mesin Firewall, printer, router, bridge, repeater, access point, data sekunder, perangkat data cadangan, manual, layout sistem jaringan, catu daya listrik, dan daftar personal.

b) Objek tak berwujud, seperti kedisiplinan, etos kerja, kesetiaan, kerahasiaan, perilaku, emosional, kesehatan. dan keamanan personel TI, dan perilaku personel ketika mengoperasikan mesin server.

2) Memetakan dan menganalisis jenis ancaman dalam keamanan jaringan (seperti telah dijelaskan dalam bab sebelumnya).

b. Kerahasiaan (Confidentiality)

Langkah ini bertujuan untuk memproteksi dan mencegah data atau informasi diakses, dicuri, dimodifikasi, dan dirusak oleh orang tidak bertanggung jawab.

c. Validasi Data

Keabsahan, orisinalitas, dan kerahasiaan data merupakan tujuan penting dibangunnya sistem berbasis teknologi informasi. Data privilege harus diatur sesuai dengan kebutuhan dan kebijakan keamanan yang telah ditentukan berdasarkan prinsip- prinsip keamanan sebelumnya.

d. Konsistensi

Konsistensi kinerja layanan yang tidak mudah terpengaruh oleh trafik data maupun ancaman serangan merupakan pertimbangan yang harus diperhatikan ketika mengembangkan sistem.

e. Kontrol

Perlu adanya sistem pengontrolan yang dilengkapi dengan GUI untuk memudahkan administrator memantau dan mengatur sistem secara berkala.

f. Audit

Mekanisme pemeriksaan terhadap konten dan kinerja server terkait performa jaringan maupun aktivitas pengguna harus disediakan dan dapat diakses serta dikelola oleh administrator.

Ruang Kolaborasi 4

Mengidentifikasi dan Menganalisis Kelemahan Web Command Execution dengan Level Keamanan Menengah pada OWASP Server

Tugas:

Bentuklah kelompok beranggotakan maksimal empat peserta didik. Lanjutkan Praktik 3 tentang kerentanan web command execution dengan meningkatkan level keamanan pada opsi middle. Buatlah analisis celah keamanan yang mungkin masih bisa ditembus dan memungkinkan tereksploitasinya shell OWASP. Buat resume hasil kolaborasi tim Anda dan presentasikan di depan kelas.

Aktivitas praktik ini akan meningkatkan kemampuan bernalar kritis peserta didik secara bergotong-royong dalam menganalisis level keamanan menengah pada OWASP server.

E. Teknologi Firewall

Jika dilihat dari tata bahasa, Firewall secara harfiah berarti "dinding api". Jika dihubungkan dengan teknis sebuah jaringan, berarti setiap data yang keluar/masuk akan melalui "dinding api" tersebut. Apakah Firewall benar-benar sebuah dinding api layaknya sebuah atraksi dalam sirkus? Tentu tidak. Firewall yang terpasang dalam struktur jaringan memiliki pengertian sebagai perangkat (keras/lunak) yang berfungsi melindungi, memproteksi, memfilter lalu lintas data yang terkirim dalam jaringan agar terjamin keamanannya.

Dengan menerapkan Firewall dalam sistem jaringan, akan memberikan dampak positif seperti berikut.

1. Menyeleksi paket data yang ditransmiskan dalam jaringan sesuai dengan kebijakan keamanan. Dalam bab ini, Firewall memiliki dua tugas, yaitu melakukan accept data (menerima) atau deny data (menolak).

2. Memfilter request data dari luar menuju jaringan internal atau sebaliknya sesuai dengan kebijakan jaringan.

3. Mencegah keluarnya data rahasia dari jaringan internal menuju jaringan eksternal.

4. Mengatur dan mencegah akses ilegal terhadap sumber daya dan data rahasia dari orang tidak bertanggung jawab.

5. Memproteksi jaringan dari infeksi malware seperti virus, spam, Trojan, ransomware, dan advertising yang berpotensi menghabiskan bandwidth serta data jaringan.

6. Menjalankan fungsi forwarding, redirect atau Demilitarized Zone layanan jaringan, misal port proxy 80 diarahkan ke port 11000.

Gambar 3.18 Konsep Firewall.

7. Mengaktifkan fitur autentikasi dan filtrasi paket data yang ditransmisikan.

8. Sebagai alat manajemen bandwidth jaringan.

9. Mencatat dan menyimpan semua aktivitas pengiriman data

10. Mendeteksi, mengidentifikasi, dan memblokir paket data berbahaya seperti DOS, SQL Injection, phising, XSS Injection, DNS Poison, dan lainnya.

Jenis Firewall yang dikembangkan saat ini dibedakan menjadi dua jenis, antara lain sebagai berikut.

1. Berbentuk perangkat lunak (software)

Firewall ini diciptakan dalam bentuk perangkat lunak yang ditulis dalam bahasa pemrograman tertentu. Firewall ini bisa berupa sistem operasi, aplikasi, atau firmware yang dapat diinstal dan dijalankan pada hardware tertentu, misal iptables, pfsense, mikrotik, sophos, dan lainnya.

2. Berbentuk perangkat keras (hardware)

Firewall biasanya dijual dalam bentuk perangkat keras yang dilengkapi beberapa interface untuk koneksi jaringan seperti fastethernet, gigaethernet, dan lainnya. Secara fisik, bentuknya cenderung mirip managable switch yang telah dilengkapi dengan sistem operasi atau aplikasi khusus. Perangkat keras ini dapat ditemukan pada beberapa merek, seperti Cisco Firewall, Cisco router, Mikrotik RouterBoard, NG-CyberRoam, dan lainnya. Firewall jenis ini cenderung lebih mahal dibandingkan tipe perangkat lunak.

Gambar 3.19 Cara kerja Firewall.

Perhatikan skenario pada Gambar 3.19. Pada waktu bersamaan, terdapat dua orang pengguna sedang online terhubung internet akan mengakses Server Web melalui Router_A. Pengguna pertama yang diidentifikasi sebagai penyusup mengakses layanan URL http://ip_Router_A/ sedangkan pengguna kedua yang terdaftar sebagai manajer perusahaan juga sedang mengakses Server Web dengan URL http://ip_Router_A:10000/. Security policy dalam perusahaan memberlakukan sistem DMZ (demilitarized zone) yang akan mengarahkan port 10000 pada IP Router_A menuju ke IP Server Web pada port 80. Karena kebijakan dan sistem Firewall yang telah dipasang tersebut, pengguna manajer yang diizinkan oleh Router_A untuk mengakses halaman Server Web karena permintaan layanan sudah sesuai dengan ketentuan dalam Firewall di Router_A. Adapun permintaan pengguna penyusup akan ditolak oleh Firewall yang dijalankan oleh mesin Router_A, karena tidak sesuai dengan ketentuan dan aturan Firewall. Pada rangkaian gambar jaringan di atas menggunakan sistem Firewall yang bertumpu pada sebuah hardware router dengan dua interface yang menghubungkan jaringan luar (internet) dengan jaringan dalam (LAN). Untuk melihat contoh visual lainnya untuk memahami cara kerja Firewall, pindailah kode QR di samping.

Ruang Kolaborasi 5

A. Uji Pengetahuan

1. Jelaskan perbedaan antara network security dan physical security?

2.Tulis aspek-aspek penting bagi administrator ketika mendesain dan merancang jaringan.

3. Mengapa Firewall dalam sebuah jaringan sangat penting peranannya? Jelaskan.

4. Tuliskan kegunaan Firewall dalam menjaga keamanan server jaringan.

5. Jelaskan empat tipe dasar Firewall.

B. Eksperimen

Guru akan membagi kelas menjadi beberapa kelompok beranggotakan maksimal tiga peserta didik. Buat pengaturan routing sekaligus layanan proxy server dengan ketentuan sebagai berikut.

1. Router dan proxy server

Alamat IP link up : [menyesuaikan dengan ISP]

Alamat IP link down : 172.10.1.1/24

Mode proxy : non transparent

Port : 12000

2. Klien

Alamat IP : dinamis

Setelah server router dan proxy berhasil dikonfigurasi, tambahkan ketentuan Firewall sebagai berikut.

a. Blokir protokol ICMP.

b. Blokir port 80 dan 8080.

c. Buatlah analisis dampak yang ditimbulkan dari konfigurasi Firewall tersebut.

d. Buatlah laporannya kemudian presentasikan hasilnya di depan kelas.

Aktivitas ini akan meningkatkan kemampuan bernalar kritis peserta didik secara bergotong-royong dalam menganalisis mekanisme Firewall.

Untuk mengonfigurasi Firewall dalam server kita menggunakan salah satu dari empat jenis dasar pengaturan Firewall, yaitu sebagai berikut.

1. Packet Firewall

Jenis Firewall ini biasanya diatur pada perangkat router yang menghubungkan jaringan internal dengan jaringan luar yang bertugas sebagai penyaring dan penyeleksi paket data yang ditransmisikan dari dalam ke luar atau sebaliknya.

2. Traditional Proxy-based Firewall

Jenis Firewall ini merupakan tipe Firewall yang diimplementasikan pada transparent proxy yang setiap paket data http atau https-nya diarahkan menuju port server proxy. Sebagai contoh setiap request paket data menuju port 80, 8080, dan 443 akan dipaksa menuju port 12000 pada server proxy.

3. Packet-rewriting Firewall

Karakteristik Firewall ini akan memeriksa dan menulis ulang atau rewriting setiap data yang dikirimkan baik dari jaringan internal maupun dari eksternal. Incoming packet data dari jaringan eksternal ke internal akan diurus oleh server proxy yang sudah diintegrasikan dengan router dan Firewall. Selain itu, biasanya dilengkapi dengan sistem filtrasi data dalam mode transparent.

4. Screens

Pengaturan keamanan dalam sistem Firewall ini memiliki karakteristik khusus yaitu dalam penggunaan interface jaringan yang bersifat single type. Interface ini berperan sebagai jalur keluar/masuk dan sebagai layanan monitoring data, forwarding dan filtrasi data dari jaringan internal ke jaringan eksternal network atau sebaliknya. Antarmuka jaringan tersebut biasanya tidak dikonfigurasi alamat IP-nya. Namun pada infrastruktur jaringan kompleks, metode ini diterapkan dengan menetapkan multi IP address untuk menghubungkan dua jaringan berbeda (IP alias). Meski tergolong sederhana, pengaturan Firewall ini cukup rumit dan terkadang menyebabkan data sering crash.

Uji Kemampuan Diri 2

1. Jelaskan konsep Firewall dalam penerapan prinsip-prinsip keamanan jaringan.

2. Jelaskan dua elemen penting dalam pembuatan prinsip keamanan.

3. Jelaskan dampak positif penerapan Firewall dalam jaringan berskala besar.

4. Jelaskan perbedaan antara Firewall dalam bentuk software dan hardware.

5. Jelaskan empat jenis dasar pengaturan Firewall dalam jaringan.

Rangkuman

1. Keamanan jaringan merupakan mekanisme mempertahankan sistem dari segala potensi serangan dengan cara menutup celah-celah yang dapat menyebabkan penyusup masuk ke sistem.

2. Penyebab gangguan keamanan jaringan antara lain: hardware, software, pengguna, dan alam.

3. Jenis dan model ancaman dapat diklasifikasikan dalam empat macam, yaitu interruption, interception, modification, dan fabrication.

4. Ketika membangun jaringan komputer, Anda harus mempertimbangkan beberapa aspek penting, seperti keamanan secara fisik (physical security), keamanan jaringan (network security), keamanan akun (account security), dan keamanan sistem fail (system file security).

5. Tahapan penentuan kebijakan keamanan jaringan ada tiga macam, antara lain threat analysis, security policy, dan security mechanism.

6. Untuk mewujudkan keamanan informasi yang andal, diperlukan standar prinsip keamanan yang dapat dibentuk dalam lima tahapan penting, yaitu initiation phase, development phase, implementation phase, operation phase, dan disposal phase.

7. NIST mengelompokkan enam jenis kategori prinsip keamanan yang harus dijalankan lembaga atau organisasi berbasis teknologi informasi, yaitu security foundation, risk-based, ease of use, increase resilience, reduce vulnerability, dan design with network in mind.

8. Firewall yang terpasang dalam struktur jaringan memiliki pengertian sebagai perangkat (hardware/software) yang berfungsi melindungi, memproteksi, dan memfilter trafik data yang terkirim dalam jaringan agar terjamin keamanannya.

Soal Latihan Bab 3

A. Pilihlah jawaban yang benar.

1. Hal yang dapat dilakukan pada Security Level 4 untuk meningkatkan keamanan jaringan adalah ...

A. penutupan port yang tidak digunakan

B. konfigurasi layanan database

C. implementasi Intrusion Detection System (IDS)

D. proteksi autentikasi

E. pemblokiran akses ke konsol terminal

2. Dalam konteks keamanan jaringan, perbedaan utama antara Security Level 3 dan Security Level 4 adalah

A. implementasi Intrusion Detection System (IDS)

B. penggunaan teknik enkripsi data

C. konfigurasi layanan database

D. perlindungan terhadap serangan jaringan

E. penerapan sistem deteksi serangan yang lebih canggih

3. Salah satu mekanisme dalam menetapkan kebijakan keamanan jaringan adalah membuat analisis ancaman (threat analysis). Di antara aktivitas berikut, yang tidak termasuk dalam tahapan tersebut adalah ..

A. melakukan pemindaian port untuk mengidentifikasi titik-titik rawan serangan

B. memantau lalu lintas jaringan untuk mendeteksi aktivitas mencurigakan

C. menentukan kebijakan akses yang tepat berdasarkan peran pengguna

D. menilai kerentanan perangkat lunak yang terpasang di jaringan

E. melakukan penerapan kebijakan keamanan yang telah disusun

4. Tingkat keamanan sistem yang dibangun harus dilandasi perencanaan, pengalaman, observasi, dan pemilihan kebijakan keamanan yang sesuai kebutuhan dan kemajuan teknologi. Di antara pernyataan berikut, manakah yang tidak sesuai diterapkan dalam sistem keamanan sebuah perusahaan kecil dengan jumlah pengguna 5 orang dalam jaringan lokal yang terhubung modem internet adalah....

A. setiap pengguna hanya diizinkan mengakses komputer kantor sesuai ketentuan jam kerja dan hak aksesnya

B. menggunakan filtrasi dan integrasi antivirus dalam router

C. mengatur proxy server untuk meningkatkan perfoma akses internet dan memblokir advertising

D. menonaktifkan ICMP protokol dalam router

E. memasang sebuah aplikasi Firewall sebagai alat filtasi web SQL Injection

5. Untuk memperkuat keamanan dalam mengakses Server web dalam jaringan lokal berjenis DMZ dari perangkat router sehingga dapat diakses melalui IP publik 219.83.63.145, kebijakan keamanan yang tidak sesuai untuk diterapkan adalah ....

A. menambahkan fitur cloud fare memasang NGINX untuk reverse

B. proxy

C. mengonfigurasi NCSA User sebagai pengaman backpanel sistem

D. memblokir port 80 dan 8080

E. menambahkan protokol SSL

6. Tingkatan keamanan informasi dibagi menjadi 5 level. Di antara aktivitas berikut, yang termasuk dalam keamanan level 1 adalah...

A. pelabelan kabel jaringan sesuai urutan perangkat jaringan dalam ruang server

B. mengonfigurasi Samba dengan mode user authentication

C. menutup port yang tidak penting

D. mengunci pintu NOC dan menerapkan finger print scanning

E. mengunci rak server agar tidak sembarangan dibuka oleh orang tidak dikenal

7. Salah satu mekanisme pengamanan server adalah dengan merekam dan menyimpan semua aktivitas proses dalam server dengan fail log yang dapat dianalisis ketika terjadi insiden. Tipikal keamanan ini dapat diklasifikasikan dalam level keamanan tingkat....

A. O

B. 1

C. 2

D. 3

E. 4

8. Metode penyerangan sistem jaringan dapat diklasifikasikan dalam empat model, antara lain interruption, interception, modification dan fabrication. Di antara jenis serangan berikut ini, yang termasuk dalam kategori interception adalah ....

A. serangan brute force

B. MitM

C. SQL Injection

D. sniffing

E. spoofing

9. Metode penyerangan yang memungkinkan penyusup mengakses id data kependudukan atau melanggar hak akses pengguna lain adalah . . . .

A. XSS

B. SQL Injection

C. brute force

D. CSRF

E. Command Execution

10. Dalam standardisasi NIST, prinsip keamanan dapat dikembangkan dalam lima fase penting. Tahapan ketika sistem dirancang, diprogram, dan dikembangkan merupakan aktivitas dalam fase....

A. Initiation Phase

B. Development/Acquisition Phase

C. Implementation Phase

D. Operation/Maintenance Phase

E. Disposal Phase

B. Jawablah pertanyaan-pertanyaan berikut dengan jelas dan tepat.

1. Jelaskan mekanisme kebijakan keamanan komputer yang Anda ketahui ketika membangun server dalam jaringan internet.

2. Mengapa Firewall dalam sebuah jaringan sangat penting peranannya? Jelaskan empat tipe dasar Firewall.

3. Jelaskan lima fase penting dalam pembuatan keamanan jaringan sesuai standar NIST.

4. Jelaskan enam kelompok prinsip keamanan berdasarkan NIST.

5. Jelaskan prinsip-prinsip yang dicakup dalam standar Security Foundation berdasarkan NIST.

C. Soal Praktik.

Tugas ini bertujuan untuk memastikan peserta didik memahami dan mampu memperbaiki tingkat keamanan server, khususnya database server.

1. Tugas praktik bersifat individu.

2. Lakukan instalasi sistem operasi Debian 9.4 dengan Oracle Virtual Box pada komputer

berbasis Windows 8 atau versi di atasnya.

3. Konfigurasi jaringan OS Virtual Anda pada tipe "Only Host Adapter".

4. Pastikan database server memiliki konfigurasi alamat IP 10.10.10.10/24 dan terhubung

dengan komputer fisik yang mempunyai alamat IP 10.10.10.1.

5. Instal dan konfigurasi database MySQL Server.

6. Buatlah database "tugas1" yang hanya bisa diakses oleh pengguna "peserta didik"

pada localhost.

7. Ubah port default MySQL menjadi 15000.

8. Pastikan komputer klien dapat mengakses SSH Server.

9. Blokir protokol ICMP menuju ke server kecuali dari klien dengan alamat IP 10.10.10.2 dengan melengkapi aturan Firewall berikut.

10. Buat laporan dalam format PDF dan kumpulkan pada guru pembimbing mata pelajaran.

Soal Tipe AKM

Perhatikan teks berikut untuk menjawab soal nomor 1-3.

Strategi Keamanan Jaringan: Identifikasi dan Mengelola Ancaman

Membangun keamanan jaringan yang baik merupakan fokus utama bagi sebuah perusahaan. Aspek-aspek penting dalam membangun keamanan sistem jaringan meliputi estimasi risiko (risk estimation), kerahasiaan data (confidentiality), validasi data, konsistensi, kontrol, dan audit. Ketika salah satu aspek keamanan ini tidak terpenuhi, risiko terjadinya kecurangan data akan meningkat. Dalam konteks keamanan jaringan, penyerangan selalu diawali dengan identifikasi karakteristik dan spesifikasi calon jaringan yang dijadikan sasaran. Identifikasi ini penting untuk menemukan celah keamanan ataupun bug yang dapat dieksploitasi oleh para penyusup. Setelah menemukan celah atau kerentanan yang berpotensi, penyusup akan menyelundupkan berbagai program perusak, atau malware, ke dalam sistem. Program-program ini bervariasi, mulai dari yang memiliki risiko rendah hingga risiko tinggi. Salah satu mekanisme umum dalam menerapkan kebijakan keamanan jaringan adalah menggunakan Firewall. Firewall bertujuan mengatur dan memanajemeni lalu lintas data dalam jaringan. Ada beberapa model Firewall yang dapat digunakan, seperti Packet Firewall, Traditional Proxy-based Firewall, Packet-rewriting Firewall, dan Screens. Selain mengatur lalu lintas data, Firewall juga berfungsi untuk memfilter berbagai malware seperti virus, Trojan, spam, dan banner yang dapat mengganggu kinerja jaringan serta memakan bandwidth internet.

1. Lakukan identifikasi dan analisis terhadap beberapa pernyataan terkait kode berbahaya yang dapat merusak sistem dengan mencentang (✔) kolom Benar atau Salah dalam tabel berikut.

2. Jodohkan aspek keamanan di sebelah kiri dengan deskripsi atau pemahaman yang tepat tentang masing-masing aspek di sebelah kanan dengan cara menarik garis.

3. Jodohkan tipe Firewall di sebelah kiri dengan karakterisik Firewall yang tepat di sebelah kanan dengan cara menarik garis.

Perhatikan teks berikut untuk menjawab soal nomor 4 dan 5.

Prinsip Keamanan Teknologi Informasi oleh NIST

Prinsip-prinsip keamanan teknologi informasi ini pertama kali diterbitkan oleh National Institute of Standards and Technology (NIST) dari Amerika Serikat. NIST dikenal sebagai badan federal yang bertanggung jawab untuk mengembangkan standar, pedoman, dan praktik terbaik dalam berbagai bidang teknologi, termasuk keamanan informasi. Prinsip- prinsip keamanan tersebut diterbitkan dalam dokumen yang disebut Special Publication 800-27, yang telah direvisi dan diperbarui dari waktu ke waktu untuk mencerminkan perubahan dalam lingkungan teknologi dan ancaman keamanan. Terdapat sebanyak 33 prinsip yang dirumuskan oleh NIST dan 33 prinsip keamanan TI tersebut dikelompokkan ke dalam enam kategori berikut: Security Foundation, Risk-Based, Ease of Use, Increase Resilience, Reduce Vulnerabilities, dan Design with Network in Mind.

4. Jodohkan kategori prinsip NIST di sebelah kiri dengan deskripsi atau pemahaman yang tepat tentang masing-masing kategori di sebelah kanan dengan cara menarik garis.

5. Cocokkan prinsip NIST di sebelah kiri dengan kategori prinsip NIST yang tepat di sebelah kanan dengan cara menarik garis.

Refleksi

Keamanan jaringan merupakan aspek krusial dalam menjaga integritas, kerahasiaan, dan ketersediaan data yang ditransmisikan dan disimpan dalam suatu jaringan. Hal ini melibatkan penerapan berbagai langkah, mulai dari penggunaan Firewall, enkripsi data, manajemen akses, hingga pemantauan aktivitas jaringan untuk mendeteksi potensi ancaman atau serangan. Melalui keamanan jaringan yang kokoh, organisasi dapat melindungi informasi sensitif, mencegah akses yang tidak sah, serta memastikan kinerja jaringan yang optimal dan terpercaya. Terkait hal tersebut, refleksikanlah pemahaman Anda terkait etika, kebijakan, dan nilai hukum dalam keamanan data atau informasi dengan melengkapi mind map berikut.

Setelah mengisi mind map di atas, pindailah kode QR berikut untuk mengakses Soal-soal Remedial dan Pengayaan. Pilih dan kerjakan Soal- soal Pengayaan jika Anda tidak melihat kembali materi selama mengisi mind map. Sebaliknya, jika Anda masih melihat kembali materi, pilih dan kerjakan Soal-soal Remedial yang tersedia.

Setelah memahami materi sistem keamanan siber, Anda tentu sudah mampu:

1. menguasai konsep dan manfaat sistem keamanan dalam jaringan,

2. menganalisis kebutuhan dan prinsip keamanan jaringan,

3. mengidentifikasi dan menganalisis jenis teknologi firewall dalam jaringan, dan

4. menguasai karakteristik vulnerability bypass CAPTCHA, CSRF, dan command execution.