Dasar Keamanan Komputer Yang Perlu Kamu Tahu

Dalam sistem keamanan komputer, perlu adanya sebuah fondasi untuk tercapainya sistem keamanan yang ideal. Berikut ini yang perlu anda ketahui mengenai Dasar Keamanan Komputer, diantaranya: strategi keamanan, tujuan keamanan, kesulitan fundamental dari keamanan komputer, prinsip dari keamanan komputer dan layer (lapisan) di bawah.

Baca Juga: Manajemen Keamanan dan Analisis Risiko

Strategi Keamanan Komputer

• Pencegahan (Prevention): mengambil langkah-langkah yang dapat mencegah aset Anda dari kerusakan.
• Deteksi (Detection): mengambil langkah-langkah sehingga Anda dapat mendeteksi kapan, bagaimana, dan oleh siapa aset tersebut rusak.
• Reaksi (Reaction): mengambil langkah-langkah sehingga Anda dapat memulihkan aset atau untuk memulihkan dari kerusakan aset Anda.

Semakin Anda berinvestasi ke pencegahan, Maka Anda harus berinvestasi ke dalam deteksi untuk memastikan agar pencegahan dapat bekerja.

Contoh 1: Properti Pribadi (Private Property)

• Pencegahan: Mengunci pintu, membuat teralis pada jendela dan membuat dinding mengelilingi properti.
• Deteksi: barang yang dicuri hilang, alarm pencuri, TV sirkuit tertutup.
• Reaksi: Menelepon polisi, mengganti item yang dicuri dan membuat klaim asuransi
• Sebagai catatan: Membandingkan dengan kehidupan sehari-hari secara fisik dapat menggambarkan aspek keamanan komputer, tetapi itu juga dapat menyesatkan.

Contoh 2: E-­Commerce

• Pencegahan: Mengenkripsi pesanan Anda, bergantung pada pedagang untuk melakukan pemeriksaan pada penelepon, gunakan aplikasi atau situs web terpercaya.
• Deteksi: Transaksi yang tidak sah muncul di laporan kartu kredit Anda.
• Reaksi: Komplain, meminta nomor kartu baru, dll
• Sebagai catatan: Nomor kartu kredit Anda tidak dicuri. Kartu Anda bisa dicuri, tapi nomor kartu tersebut tidak bisa.

Tujuan Keamanan Komputer

• kerahasiaan / Confidentiality: Mencegah pengungkapan informasi yang tidak sah
• Integritas / Integrity: Mencegah modifikasi yang tidak sah dari informasi
• Ketersediaan / Availability: Mencegah pemotongan yang tidak sah dari informasi atau sumber
• Keaslian / Authenticity: “Mengetahui Anda berbicara dengan siapa”
• Akuntabilitas / Accountability (nonrepudiation): Membuktikan bahwa entitas terlibat dalam beberapa peristiwa.

Kerahasiaan / Confidentiality

• Mencegah pengungkapan yang tidak sah dari informasi (mencegah pembacaan tidak sah).
• Kerahasiaan: melindungi tanggal milik sebuah organisasi.
• Secara historis, keamanan dan kerahasiaan yang terkait erat; keamanan dan kerahasiaan kadang-kadang digunakan sebagai sinonim.
• Apakah kita ingin menyembunyikan isi dari dokumen atau keberadaannya?
  • analisis lalu lintas dalam keamanan jaringan.
  • Anonimitas, unlinkability

Privacy

• Privacy: Perlindungan data pribadi (OECD Privacy Guidelines, EU Data Privacy Directive 95/46/EC).
• “Menempatkan pengguna mengendalikan data pribadi mereka dan informasi tentang kegiatan mereka.”
• Dianggap lebih serius oleh perusahaan yang ingin ‘dipercaya’ oleh pelanggannya.
• Juga: Hak untuk dibiarkan sendiri (misalnya untuk tidak terganggu oleh spam).

Integritas / Integrity

• Keamanan Komputer Mencegah modifikasi informasi yang tidak sah (mencegah penulisan tidak sah).
• Data Integritas Negara yang ada ketika data terkomputerisasi adalah sama seperti yang di dokumen sumber dan belum terkena perubahan disengaja atau berbahaya atau kehancuran. (Integritas identik untuk konsistensi eksternal .)
• Deteksi (dan koreksi) modifikasi disengaja dan disengaja dari data yang dikirimkan.
• Clark & Wilson : Tidak ada pengguna dari sistem, bahkan jika yang berwenang, dapat diizinkan untuk memodifikasi item data sedemikian rupa sehingga aset atau catatan akuntansi perusahaan hilang atau rusak.
• Dalam pengertian yang paling umum, yakni memastikan bahwa semuanya seperti yang seharusnya. (Ini sangat diinginkan untuk terjadi, akan tetapi tidak dapat dijamin oleh mekanisme internal untuk sistem komputer).
• Integritas merupakan prasyarat untuk berbagai layanan keamanan lainnya; keamanan sistem operasi memiliki banyak hubungannya dengan integritas.

Ketersediaan / Availability

• Properti menjadi dapat diakses dan digunakan atas permintaan oleh entitas yang berwenang.
• Denial of Service (DoS) : Pencegahan akses yang berwenang dari sumber daya atau menunda operasi timecritical.
• Mungkin aspek yang paling penting dari keamanan komputer, tetapi beberapa metode sekitar.
• Distributed denial of service (DDoS) menerima banyak perhatian; sistem sekarang dirancang untuk menjadi lebih tahan terhadap serangan ini.

Denial of Service Attack (smurf)

• Penyerang mengirimkan permintaan gema ICMP ke alamat siaran, dengan alamat korban sebagai alamat pengirim palsu.
• The echo request didistribusikan ke semua node di kisaran alamat broadcast.
• Setiap node menjawab dengan gema kepada korban.
• Korban dibanjiri dengan banyaknya pesan masuk.
• Perhatikan amplifikasi: penyerang mengirim satu pesan, korban menerima banyak.

Akuntabilitas / Accountability

Di tingkat sistem operasi, log audit merekam peristiwa keamanan yang relevan dan identitas pengguna yang terkait dengan peristiwa ini. Jika hubungan aktual antara pengguna dan “identitas pengguna” dapat dibuat, pengguna dapat dimintai pertanggungjawaban. Dalam sistem terdistribusi, mekanisme non-repudiation kriptografi dapat digunakan untuk mencapai tujuan yang sama.

Non-­repudiation

Layanan non-repudiation memberikan bukti tak terpisahkan bahwa tindakan tertentu telah terjadi. Non-repudiation of origin: melindungi dari pengirim data yang menyangkal bahwa data telah dikirim. Nonrepudiation of delivery: melindungi dari penerima data yang menyangkal bahwa data telah diterima.

Definisi ‘buruk’ tetapi sering ditemukan: Nonrepudiation memberikan bukti yang tak terbantahkan tentang suatu peristiwa. Layanan nonrepudiation menghasilkan bukti matematis. Menyatakan bahwa bukti semacam itu akan “diterima oleh pengadilan mana pun” adalah naif dan menunjukkan pandangan dunia yang salah.

Aplikasi umum: menandatangani email; tanda tangan dalam S/MIME mengamankan sistem email. Apakah tanda tangan seperti itu serupa dengan menandatangani surat dengan tangan? Dalam sistem hukum, tanda tangan tertulis (pada kontrak) menunjukkan maksud dari penandatangan. Dapatkah tanda tangan digital yang dibuat oleh mesin, dan mungkin secara otomatis dilampirkan ke setiap email, menunjukkan maksud seseorang?

Keandalan & Keselamatan (Reliability & Safety)

Keandalan dan keselamatan terkait dengan keamanan: Metode rekayasa serupa, Upaya serupa dalam standardisasi dan Kemungkinan konflik persyaratan. Reliabilitas mengatasi konsekuensi kesalahan yang tidak disengaja. Apakah keamanan bagian dari keandalan atau sebaliknya? Keselamatan bekerja untuk mengukur tidak adanya pengaruh bencana terhadap lingkungan, khususnya kehidupan manusia.

Di komputer, Anda mengontrol komponen perangkat lunak yang saling mengirim input. Di Internet, pihak yang bermusuhan memberikan masukan. Untuk membuat perangkat lunak lebih andal, perangka lunak itu perlu diuji terhadap pola penggunaan umum: “Tidak peduli berapa banyak bug yang ada, yang penting seberapa sering mereka dipicu.”. Untuk membuat perangkat lunak lebih aman, perangkat lunak tersebut harus diuji terhadap pola penggunaan yang ‘tidak biasa’ (tetapi ada pola serangan yang khas).

Ketergantungan / Dependability

Proposal untuk istilah yang mencakup keandalan, keselamatan, dan keamanan. Ketergantungan (IFIP WG 10.4): Properti sistem komputer sedemikian rupa sehingga ketergantungan dapat dibenarkan ditempatkan pada layanan yang diberikannya. Layanan yang diberikan oleh sistem adalah perilakunya seperti yang dipersepsi oleh penggunanya; pengguna adalah sistem lain (fisik, manusia) yang berinteraksi dengan yang sebelumnya.

Aspek Keamanan Komputer

• Sistem terdistribusi: komputer yang terhubung dengan jaringan
• Keamanan komunikasi (jaringan): menangani keamanan tautan komunikasi
• Keamanan komputer: membahas keamanan sistem akhir; hari ini, ini adalah bagian yang sulit
• Keamanan aplikasi: mengandalkan keduanya untuk menyediakan layanan secara aman kepada pengguna akhir
• Manajemen keamanan: bagaimana menerapkan teknologi keamanan

Kesulitan fundamental dari keamanan komputer

Keamanan yang tidak menyadari bahwa pengguna memiliki persyaratan keamanan khusus tetapi tidak memiliki keahlian keamanan tersebut.

Jika Anda memberikan solusi standar kepada pelanggan Anda, hal itu mungkin tidak memenuhi persyaratan mereka. Dan jika Anda ingin menyesuaikan solusi Anda dengan kebutuhan pelanggan, mereka mungkin tidak dapat memberi tahu Anda apa yang mereka butuhkan.

Prinsip dari keamanan komputer

Dimana untuk fokus kontrol keamanan?

Fokus mungkin terdapat pada Data – Operasi – Pengguna. Misalnya persyaratan integritas dapat mengacu pada aturan tentang:

• Format dan isi item data (konsistensi internal): format data untuk saldo akun adalah bilangan bulat.
• Operasi yang dapat dilakukan pada item data yakni: kredit, debit, transfer.
• Pengguna yang diizinkan untuk mengakses item data (akses resmi): pemegang rekening dan petugas bank memiliki akses ke akun.

Di mana menempatkan kontrol keamanan?

Skala Manusia-Mesin (The Man-Machine Scale)

• Visualisasikan mekanisme keamanan sebagai cincin perlindungan konsentris, dengan mekanisme perangkat keras di tengah dan mekanisme aplikasi di luar.
• Mekanisme menuju pusat cenderung lebih umum sementara mekanisme di luar lebih cenderung untuk menangani kebutuhan pengguna individu.
• Skala man-machine untuk mekanisme keamanan menggabungkan dua keputusan desain pertama kami

Model Perlindungan Bawang (Onion Model of Protection)

Data dan Informasi

Data adalah fenomena fisik yang dipilih oleh konvensi untuk mempresentasikan aspek tertentu dari konseptual dan dunia nyata kita. Arti yang kami berikan pada data itu disebut informasi. Informasi dan data terletak pada dua ujung skala Man-Machine. Perbedaan antara data dan informasi bisa jadi tidak menonjol tetapi menyebabkan beberapa masalah yang lebih sulit dalam keamanan komputer.

Mengontrol akses ke informasi mungkin sulit dipahami dan perlu diganti dengan mengontrol akses ke data. Jika informasi dan data yang sesuai terkait erat, maka kedua pendekatan tersebut memberikan hasil yang sangat mirip. Akan tetapi tidak selalu demikian. Covert channels: waktu respons atau penggunaan memori dapat menandakan informasi. Inferensi dalam database statistik: gabungkan kueri statistik untuk mendapatkan informasi tentang entri individu.

Kompleksitas atau Jaminan?

Seringkali, lokasi mekanisme keamanan pada skala Man-Machine terkait dengan kompleksitasnya. Mekanisme umum itu sederhana, aplikasi menuntut fungsi keamanan yang kaya fitur. Apakah Anda lebih suka kesederhanaan dan jaminan yang lebih tinggi daripada lingkungan keamanan yang kaya fitur?

Dilema fundamental yang terjadi berupa: Mekanisme umum sederhana mungkin tidak cocok dengan persyaratan keamanan tertentu. Untuk memilih fitur yang tepat dari sekian banyak menu, Anda harus menjadi ahli keamanan. Keamanan yang tidak menyadari pengguna berada dalam situasi yang tidak menguntungkan.

Contoh Evaluasi Keamanan

Evaluasi keamanan memeriksa apakah produk memberikan layanan keamanan komputer yang dijanjikan. Kita harus menyatakan Fungsi dari keamanan sisten dan tingkat jaminan (kepercayaan) yang diperlukan dalam keamanannya. Untuk jaminan yang tinggi, sistem keamanan harus diperiksa dengan cermat. Pertukaran yang jelas antara kompleksitas dan jaminan: Semakin tinggi tingkat jaminan yang Anda tuju, seharusnya semakin sederhana sistem Anda. Keamanan yang kaya fitur dan jaminan tinggi tidak mudah cocok.

Kontrol terpusat atau terdesentralisasi

Dalam domain kebijakan keamanan, kontrol yang sama harus diterapkan. Jika entitas tunggal bertanggung jawab atas keamanan, maka mudah untuk mencapai keseragaman tetapi entitas pusat ini dapat menjadi penghambat kinerja.

Solusi terdistribusi mungkin lebih efisien, tetapi Anda harus lebih memperhatikan jaminan bahwa komponen yang berbeda menerapkan kebijakan yang konsisten.
Haruskah entitas pusat mendefinisikan dan menegakkan keamanan atau haruskah tugas ini diserahkan kepada masing-masing komponen dalam sistem?

Perimeter keamanan

Setiap mekanisme perlindungan mendefinisikan perimeter keamanan (batas keamanan). Bagian-bagian dari sistem yang dapat gagal berfungsi tanpa mengorbankan mekanisme terletak di luar perimeter. Bagian-bagian dari sistem yang dapat menonaktifkan mekanisme ini terletak di dalam perimeter.Ingat, serangan dari orang dalam merupakan perhatian utama dalam pertimbangan keamanan.

Memblokir Akses ke Lapisan Di Bawah

Penyerang mencoba melewati mekanisme perlindungan. Ada konsekuensi langsung dan penting untuk keputusan desain kedua. Bagaimana Anda menghentikan penyerang mendapatkan akses ke lapisan di bawah mekanisme perlindungan Anda?

Contoh Lapisan Di Bawah

Alat pemulihan memulihkan data dengan membaca memori secara langsung dan kemudian memulihkan struktur file. Alat semacam itu dapat digunakan untuk menghindari kontrol akses logis karena tidak peduli dengan memori logis
struktur.

Unix memperlakukan perangkat I / O dan perangkat memori fisik seperti file. Jika izin akses didefinisikan dengan buruk, mis. jika akses baca diberikan ke disk, penyerang dapat membaca konten disk dan merekonstruksi file yang dilindungi baca.

Contoh lain: Penyimpanan / Storage

Penggunaan kembali objek: Dalam sistem prosesor tunggal, ketika proses baru diaktifkan, ia mendapat akses ke posisi memori yang digunakan oleh proses sebelumnya. Hindari residu penyimpanan, yaitu data tertinggal di area memori yang dialokasikan untuk proses baru.

Cadangan: Siapa pun yang memiliki akses ke pita cadangan memiliki akses ke semua data di dalamnya. Kontrol akses logis tidak membantu dan kaset cadangan harus dikunci dengan aman untuk melindungi data.

Core dumps: cerita yang sama lagi

Contoh lainnya: Waktu / Time

Analisis saluran samping: Kartu pintar menerapkan algoritma kriptografi sehingga kunci tidak pernah meninggalkan kartu; kunci masih dapat diperoleh dengan mengamati saluran samping (konsumsi daya, perilaku waktu).

SSL: Pesan kesalahan dienkripsi untuk melindungi dari serangan tebakan tertentu; serangan masih mungkin terjadi jika waktu balasan bergantung pada sifat pesan kesalahan.

Kesimpulan

• Terminologi keamanan sangat ambigu dengan banyak istilah yang overloaded.
• Keamanan sistem terdistribusi dibangun di atas keamanan komputer dan keamanan komunikasi.
• Dua tantangan utama dalam keamanan komputer, adalah desain sistem kontrol akses yang sesuai dengan kebutuhan Internet dan desain perangkat lunak yang aman.
• Dalam keamanan, memahami masalah lebih sulit daripada menemukan solusinya.

Referensi

Foundations of Computer Security. http://www.wiley.com/go/gollmann