Anda di halaman 1dari 102

Network Security

1
Network Security

Introduction

2
Apa yang dapat terjadi?

 …ketika komputer anda (y) sedang menerima


atau menunggu pesan (m) dari pengirim (x)

?
m

Internet

x y

3
Message Loss

 A dapat menggagalkan pengiriman m dari x


ke y

x y

4
Message Interception

 A dapat mengkopi m ketika melewatinya

m
A

m m

x y

5
Message Modification

 A dapat memodifikasi atau mengubah pesan yang


asli m menjadi m’

m m’

x y

6
Message Insertion

 A dapat mengirimkan m seolah-olah m


tersebut dikirimkan oleh x

src: x
A dst: y

x y

7
Message Replay

 A dapat membalas pesan m yang


sebelumnya dikirimkan oleh x dan
diterima oleh y m

x y

8
Denial-of-Service Attack

 A dapat mengirimkan jumlah data yang


banyak ke y untuk mencegah m sampai ke y

m … … … … … …
?????

x y

9
Type of Attacks

 Passive attacks  Active attacks


– Traffic analysis – Message loss
– Message interception – Message modification
– Message insertion
– Message replay
– Denial-of-Service attack

10
Security Threats: Methods of Execution (1)

 Serangan terhadap keamanan dapat dilakukan dengan


menggunakan software atau hardware, atau dengan alat lain.

 Beberapa program umum:


– Tools and toolkits: program yang secara otomatis menyelidiki
kelemahan keamanan dan menyerang sistem.

– Back doors and trap doors: membuka (kode, firewall, dll)


dengan sengaja untuk mendapatkan hak akses individual
tanpa melalui proses autentikasi dan autorisasi yang normal.

– Logic bombs: kode yang disisipkan pada software yang tidak


aktif sampai sesuatu mengaktifkannya untuk melakukan
serangan.

11
Security Threats: Methods of Execution (2)

 Beberapa contoh program tambahan:


– Virus: executable code yang disisipkan pada kode atau data
lain, dieksekusi ketika kode atau data yang disisipi digunakan,
dan melancarkan serangan.

– Worm: program yang relatif independent yang melakukan


perjalanan dari satu mesin melalui koneksi jaringan untuk
melancarkan serangan.

– Trojan horse: program yang melakukan fungsi tersembunyi


yang menyerang sistem.

– Bacteria or rabbit program: program yang merusak dan


mereplikasi diri secara eksponensial untuk menggunakan
network resource.

 Program-program di atas dapat bekerja bersamaan.

12
The Needs for Security

 Confidentialy : hanya pengirim dan penerima saja yang


mengetahui isi data
- Sender  enskripsi data
- Receiver  dekripsi data

 Authentication : Pengirim dan penerima ingin


mengkonfirmasikan masing-masing identitas

 Message Intregity and non Repudiation : pengirim dan


penerima ingin memastikan bahwa data tidak berubah (pada
saat pengiriman atau sesudahnya), dan dapat membuktikan
bahwa si pengirim memang mengirimkan data tersebut

 Access and Availability : layanan harus dapat diakses dan


tersedia oleh pengguna yang berhak

13
Security Planning, Policies, and Mechanisms (1)

 Jaringan yang aman tidak datang begitu saja


– Membuat perencanaan keamanan
– Berdasarkan perencanaan tersebut, aturan keamanan harus
dibuat
– Untuk mendukung aturan tersebut, mekanisme keamanan
harus jalankan sesuai pada tempatnya

 Tidak bisa hanya dilakukan sekali saja


– Perencanaan keamanan harus dikaji ulang dan direvisi
– Aturan keamanan dievaluasi dan diperbaharui
– Mekanisme keamanan harus di perbaharui, diganti dengan
teknologi baru yang tersedia

14
Security Planning, Policies, and Mechanisms (2)

Perencanaan keamanan didasarkan atas:


 Penentuan kebutuhan keamanan yang diperlukan
 Penentuan jenis ancaman keamanan
 Mengidentifikasi siapa saja yang dapat dipercaya
 Aturan keamanan dikembangkan melalui informasi
di atas, maka diperlukan spesifikasi yang se detail
mungkin

15
Security Planning, Policies, and Mechanisms (3)

Aturan keamanan harus dapat menjamin tingkat keamanan yang


sesuai dengan aktivitas jaringan, dengan cara:
 Memperjelas apa yang harus dilindungi dan mengapa
 Secara jelas menyatakan pertanggungjawaban atas penyediaan
perlindungan tersebut
 Memperjelas apa saja yang diperbolehkan dan tidak diperbolehkan
oleh para pengguna
 Menyediakan landasan bagaimana menterjemahkan dan
mendefinisikan suatu konflik pada aturan berikutnya

16
Security Planning, Policies, and Mechanisms (4)

Mekanisme keamanan diimplementasikan untuk menjamin bahwa


aturan keamanan dilaksanakan dengan benar

 Mekanisme dapat didasarkan atas individu, software dan


hardware perangkat keras

 Pemilihan mekanisme yang tepat tidak mudah


– Dapatkah mekanisme tersebut dipercaya?

 Penentuan jika mekanisme telah sepenuhnya diimplementasikan,


aturan keamanan yang diinginkan akan lebih sulit
– Dapat dibuktikan, tetapi sangat kompleks dan memakan
banyak waktu

17
Network Security

Cryptography
Principles

18
Cryptography Definitions (1)

 Encryption (enkripsi) merupakan suatu proses dimana


pesan (disebut plaintext) ditransformasikan menjadi
pesan lain (disebut ciphertext) menggunakan fungsi
matematik dan password enkripsi khusus disebut kunci
(key).

 Decryption (dekripsi) merupakan kebalikan dari enkripsi:


mentransformasikan pesan ciphertext kembali ke pesan
originalnya (plaintext) dengan menggunakan fungsi
matematik dan suatu key.

 Fungsi matematik dan key yang digunakan untuk enkripsi


dan dekripsi bisa jadi sama, atau berbeda.

19
Cryptography Definitions (2)

Alice’s Bob’s
K encryption K decryption
A
key B key

plaintext encryption ciphertext decryption plaintext


algorithm algorithm

 Symmetric key cryptography:


key enkripsi dan dekripsi identik, jadi key tersebut harus
dirahasiakan. (Pendekatan ini disebut juga secret key
cryptography)

 Public key cryptography:


key yang berbeda untuk enkripsi dan dekripsi (yang satu public,
yang lain private). 20
Symmetric Key Cryptography

 Kunci yang sama dalam enkripsi dan dekripsi


informasi.
 Fungsi enkripsi tidak perlu dirahasiakan, tetapi key
yang digunakan harus dirahasiakan.
 Fungsi enkripsi dan dekripsi yang digunakan dapat
sama atau berbeda.
 Contoh:
– ROT13: Algoritma rotasi yang sangat sederhana
– Caesar cipher: Algoritma rotasi lain yang lebih baik
– crypt: Original Unix encryption program
– DES: Data Encryption Standard
– AES: Advanced Encryption Standard
– Skipjack: dikembangkan oleh U.S. National
Security Agency

21
Symmetric Key Cryptography: Key Issues

KA-B KA-B

plaintext encryption ciphertext decryption plaintext


message, m algorithm algorithm
K (m) m = K ( KA-B(m) )
A-B A-B
A-B

Symmetric key cryptography: Bob dan Alice membagi key yang sama
(symmetric) : K
• Misalnya, key mengetahui pola pertukaran dalam monoalphabetic
substitution cipher.
• Question: Bagaimana Bob dan Alice menyepakati key value?
• Even Better Question: Bagaimana key yang disetujui didistribusikan
kepada Bob dan Alice dengan aman?

22
Symmetric Key Cryptography: DES

DES: Data Encryption Standard


• US encryption standard [NIST 1993]
• 56-bit symmetric key, 64-bit plaintext input
• Seberapa amankah DES?
– DES Challenge: 56-bit-key-encrypted phrase (“Strong
cryptography makes the world a safer place”) decrypted (brute
force) in 4 months.
– The most recent Challenge III (1999) took only a little over 22
hours.
– No known “backdoor” decryption approach.
• Menjadikan DES lebih aman:
– Use three keys sequentially (3DES) on each datum.
– Use cipher-block chaining.

23
Symmetric Key Cryptography: AES

• New-ish (November 2001) standard symmetric key NIST


(National Institute of Standards and Technology),
menggantikan DES.

• Memproses data dengan 128 bit blocks.

• 128, 192, atau 256 bit key.

• Dekripsi Brute force (mencoba setiap key) memakan waktu 1


detik dengan DES, akan memakan waktu 149 trilliun tahun
dengan AES.

24
Public Key Cryptography (1)

Symmetric key cryptography


• Mengharuskan pengirim dan penerima mengetahui secret
key.
• Question: bagaimana mereka dapat menyepakati key
untuk pertama kalinya?

Public key cryptography


• Pendekatan yang berbeda [Diffie-Hellman76, RSA78].
• Pengirim dan penerima tidak saling berbagi secret key.
• Public encryption key diketahui semua.
• Private decryption key hanya diketahui pemiliknya.

25
Public Key Cryptography (2)

• Keys dibuat berpasangan.


– Public key diregistrasikan secara publik sehingga semua
mengetahuinya, dan private key hanya diketahui pemiliknya.
– Setiap key dapat mendekripsi apa yang dienkripsi oleh yang
lain, tapi tidak bisa mendekripsi apa yang dienkripsi oleh
dirinya sendiri. (Oleh karena itu, metode ini disebut assymetric
cryptography).

• Parameter pembuatan key:


– Korespondensi satu-ke-satu, jika satu key dapat mendekripsi
pesan, pasti pesan tersebut telah dienkripsi oleh yang lain.
– Sangat sulit, untuk mengetahui private key melalui public key.

26
Public Key Cryptography (3)

+ Bob’s public
K
B key

- Bob’s private
K
B key

plaintext encryption ciphertext decryption plaintext


message, m algorithm + algorithm message
K (m) - +
B m = K B(K (m))
B

27
Public Key Cryptography (4)

- Alice’s private
K
A key

+ Alice’s public
K
A key

plaintext encryption ciphertext decryption plaintext


message, m algorithm - algorithm message
K (m) + -
A m = K A(K (m))
A

28
Public Key Cryptography (5)

Ilustrasi perhitungan:

- + + -
K (K (m)) = m = K (K (m))
B B A A

Menggunakan public menggunakan


key dulu,diikuti private key
dengan private key dulu,diikuti dengan
public key

Hasilnya SAMA !!

29
Public Key Encryption Algorithms

• Diffie-Hellman: pendekatan public key yang


pertama.

• RSA: sistem public key yang paling dikenal,


dikembangkan oleh Rivest, Shamir, dan Adleman.

• DSA: Digital Signature Algorithm, dikembangkan


oleh U.S. National Security Agency (NSA).

30
Symmetric vs. Public Key Cryptography

 Metode yang teraman?


– Dengan key dan algoritma yang sesuai, kedua metode cukup
aman.
 Metode yang paling nyaman digunakan?
– Untuk menggunakan symmetric cryptography, kedua pihak
harus mengetahui secret key, hal ini dapat mengakibatkan
ketidaknyamanan.
– Untuk menggunakan public key cryptography, hanya
membutuhkan public key untuk berkomunikasi dengan yang
lain, sehingga menjadi lebih nyaman.
 Performansi yang lebih baik?
– Enkripsi dan dekripsi banyak informasi dengan public key
cryptography jauh lebih lambat dibandingkan dengan
symmetric cryptography

31
Hybrid Secret-Public Key Cryptography (1)

 Idealnya, akan lebih baik jika dapat menggabungkan


kelebihan dari symmetric dan public key cryptography dan
menghindari kelemahannya.
– Kita menginginkan efisiensi dari symmetric
cryptography digabungkan dengan kemudahan dalam
penggunaan dan keyamanan dari public key
cryptography.
 Ketika terdapat dua pihak yang ingin berkomunikasi
secara aman, public key cryptography digunakan untuk
pertukaran random session key pada symmetric
cryptography.
– Karena session key telah terenkripsi, kita dapat yakin
akan keamanan dan autentikasinya.
– Mudah dalam distribusi dan peggunaan key.

32
Hybrid Secret-Public Key Cryptography (2)

 Dalam berkomunikasi, symmetric cryptography digunakan


berikut dengan session key-nya.
– Karena hanya kedua pihak saja yang mengetahui session
key, maka informasi akan aman.
– Karena secret key cryptography digunakan, maka lebih
efisien.
 Ketika komunikasi selesai, kedua pihak menghapus session
key. Jika akan melangsungkan komunikasi lagi, proses di atas
diulang dari awal untuk mendapatkan session key yang baru.
 Pendekatan ini digunakan padaPretty Good Privacy (PGP) dan
lainnya.

33
Network Security

Authentication

34
Authentication

 Autentikasi merupakan suatu proses bagaimana membuktikan identitas


satu individu ke individu yang lainnya
 Terdapat tiga cara utama dalam autentikasi suatu individu:
– Something you own: Kunci, security card, dll
– Something you know: password, cryptographic key, dll
– Something you are: sesuatu yang mengidentifikasikan diri anda
(bentuk wajah, sidik jari, suara, dll
 Dalam jaringan komputer, kita membutuhkan protokol autentikasi pada
saat komunikasi ketika bukti langsung tidak dapat diberikan.

35
Authentication Approach

Public Key Cryptography


Symmetric Key Cryptography
Hybrid Key Cryptography

36
Network Security

Message Integrity

37
Message Checksums

 Checksum merupakan suatu fungsi yang mengkalkulasi data


untuk menentukan apakah data tersebut telah dimodifikasi
atau rusak
 Checksums terlalu sederhana, mudah untuk memodifikasi data
dengan cara yang sama seperti checksum mengubah data asli
 Karena checksums sendiri tidak terproteksi, maka checksums
dapat diubah setelah data terlebih dulu dimodifikasi
 Checksums, mudah untuk dikalkulasi dan menawarkan
pengecekan integritas data yang sederhana

38
Message Sequence Numbers

 Bentuk dasar lain dari pengecekan integritas yaitu sequence number,


yang memberikan posisi suatu data relatif terhadap aliran data yang
besar
 Sequence numbers dapat digunakan untuk mendeteksi apakah data
telah sisipkan data lain atau dihapus
 Karena sequence numbers dapat diubah seperti checksums, sequence
numbers hanya menyediakan proteksi minal dari integritas data

39
Message Digests

 Pada dasarnya, message digest merupakan checkums yang


dihasilkan oleh cryptography
 Biasanya dihasilkan dalam bentuk hashcode dari funsi satu
arah yang sukar untuk diprediksi
- Suatu message digest x dan hash function H, dengan
sukar untuk diprediksi dalam mencari pesan m dimana
H(m) = x
 Fungsi ini menggunakan keseluruhan inputan dan
menguranginya ke dalam nilai yang kecil dari panjang data
yang, biasanya panjangnya 128 sampai 512 bits

40
Message Digests

 Karena modifikasi data inputan juga mengubah message digest, sukar


untuk memprediksi data dan menemukan digest yang sama
 Meskipun demikian, tidak ada yang mencegah modifikasi dari digest
yang juga akan mengubah data inputan
 Solusinya menggunakan digest yang terenkripsi, dikenal juga dengan
message authentication code yang menyediakan suatu kunci atau
password terhadap fungsi digest
 Contoh : Digital Signature

41
Message Digests: Hash Function Algorithms

• MD5 hash function widely used (RFC 1321)


– Computes 128-bit message digest in 4-step process.
– Given an arbitrary 128-bit string x, it appears to be quite difficult
to construct message m whose MD5 hash is equal to x.
• SHA-1 is also used.
– US standard [NIST, FIPS PUB 180-1]
– 160-bit message digest.

42
Signed Message Digests as Digital Signatures

Bob mengirimkan digitally Alice memverifikasi signature dan


signed message: integritas dari digitally signed
message yang dikirimkan:
large
message H: Hash encrypted
m function H(m)
msg digest
-
KB(H(m))
Bob’s digital large
private signature message
- Bob’s
key KB (encrypt) m digital
public
+ signature
key KB
encrypted H: Hash (decrypt)
msg digest function
-
+ KB(H(m))
H(m) H(m)

equal
? 43
Network Security

Key Distribution and


Certification

44
Key Distribution Problems

Symmetric key problem: Public key problem:


• How do two entities • When Alice obtains
establish shared secret key Bob’s public key (from
over network? web site, e-mail,
Solution: diskette), how does she
• trusted key distribution know it is Bob’s public
center (KDC) acting as key, not Trudy’s?
intermediary between Solution:
entities • trusted certification
authority (CA)

45
Key Distribution Centers (KDCs)

• Alice, Bob membutuhkan symmetric key.


• KDC: server menyimpan secret key yang berbeda-beda setiap user
yang terdaftar (banyak users).
• Alice, Bob mengetahui symmetric keys mereka, KA-KDC and KB-KDC ,
untuk berkomunikasi dengan KDC.

KDC
KA-KDC KP-KDC
KX-KDC
KP-KDC KB-KDC
KY-KDC

KZ-KDC
KA-KDC KB-KDC

46
Certification Authorities

Bob’s digital
+
public signature KB
+
key KB (encrypt)
CA
certificate for
K-
Bob’s private
identifying key CA Bob’s public key,
information signed by CA
• Certification Authority (CA): memiliki public key mengacu pada pihak khusus,
E.
• E (orang, router) mendaftarkan public key mereka dengan CA
– E menyediakan “proof of identity” ke CA.
– CA membuat sertifikat yang mengacu pada E dengan public key-nya
– Certificate yang berisi public key E’s secara digital di tanda tangani oleh
CA – yang menyatakan “ini adalah public key E”

47
Certification Authorities

Bagaimana alice mendapatkan authority’s public key?


– Assume they are published in a trusted, public, and well-
known place. But, how can you really trust this?
– Pre-configure trusted Certificate Authorities into the software
requiring them. (For example, web browsers come pre-
configured to recognize many authorities, and have the
facilities to add or accept new ones as necessary.)
How can you really trust a Certificate Authority?
– In many domains, these authorities are run, licensed, or
regulated by governments or government-appointed bodies.
– Ultimately it is up to the individual receiving a certificate to
judge whether they accept it or not. Keep in mind, though,
that refusing to accept an authority means that you cannot
communicate securely with other individuals that use it!

48
Standards for Certificate Authorities

• The International Telecommunication Union (ITU) specifies an


authentication service and specific syntax for certificates in X.509.
• In RFC 1422, the IETF describes CA-based key management for
secure Internet e-mail and other applications.
– This is compatible with X.509.
– But, it also goes further, by establishing procedures and
conventions for a key management architecture.
• Because of the industry push for a solid Public Key Infrastructure (PKI),
expect more standardization in the future!

49
Network Security

Access Control: Firewalls

50
Firewalls

firewall
Mengisolasi jaringan internal dari jaringan eksternal yang
lebih besar, mengijinkan beberapa paket melewatinya dan
memblok yang lainnya

administered external
network network

firewall

51
Firewalls: Why?

 Mencegah serangan denial of service:


– SYN flooding: penyerang attacker mengirimkan koneksi TCP
dalam jumlah besar, sehingga koneksi yang lain gagal
 Mencegah modifikasi/akses pada data internal
– Penyerang mengganti isi suatu homepage dengan yang lain
 Mengijinkan akses tertentu ke dalam jaringan (user/host yang
terautentikasi)
 Mencegah serangan dari internal jaringan pada sistem yang
penting:
– Sistem (data penting, data perusahaan, dll) dapat
disembunyikan oleh firewall untuk mencegah serangan dari
dalam

52
Firewalls: Policies

• Terdapat dua pendekatan dalam konfigurasi aturan firewall


• Default Permit:
– Menentukan kondisi data yang akan diblok; host atau protokol mana
saja yang tidak tercakup dalam kondisi tersebut maka secara
default akan masuk
– Simpler to use, easy to configure, and more dangerous.
• Default Deny:
– Protokol khusus diijinkan masuk dan host dapat melakukan
pengiriman data atau menerima data; selain itu ditolak
– Cenderung lebih aman

53
Firewall Components: Gates/Gateways

 Menentukan secara khusus suatu program, perangkat, atau


komputer pada daerah kerja firewall yang dapat menerima dan
mengatur koneksi dari atau menuju jaringan eksternal
 Untuk keamanan, pengguna seharusnya tidak memiliki akses
(account) pada komputer gateway
 Beberapa jenis program dapat berjalan di gateway:
– Network client software seperti telnet, ftp dan netscape.
Pengguna mendapatkan akses ke gateway dengan
menggunakan software tersebut. (Tidak direkomendasikan!)
– Proxy servers meneruskan data melewati firewall dari jaringan
internal menuju jaringan eksternal
– Network servers untuk menerima e-mail, pelayanan halaman
situs (web server) dan lain-lain

54
Limitations of Firewalls

 IP spoofing: suatu firewall tidak  Filter biasanya menggunakan aturan


dapat mengetahui apakah data semua atau tidak sama sekali untuk
benar-benar datang dari sumber
yang bersangkutan, jadi serangan paket UDP
masih dapat masuk  Tradeoff: degree of communication
 Jika beberapa aplikasi with outside world, level of security
membutuhkan pelayanan yang
khusus, maka masing-masing  Semakin banyak pengecualian atau
memiliki gateway tersendiri pengkhususan yang diperlukan oleh
 Software klien harus mengetahui firewall, maka semakin sukar untuk
bagaimana berkomunikasi dengan dikonfigurasi dan berjalan dengan
gateway sesuai
– Contoh, para pengguna
mengkonfigurasi alamat IP dari  Banyak situs yang dilindungi oleh
proxy pada web browser mereka firewall masih dapat diserang, jadi
apakah firewall merupakan solusinya?

55
Network Security

Attacks and Countermeasures

56
Internet Security Threats (1)

Mapping:
– Sebelum menyerang: misalnya “anda” – mencari tahu
layanan apa saja yang diimplementasikan pada jaringan
– Gunakan ping untuk menentukan host yang terdapat pada
jaringan
– Port-scanning: mencoba untuk melakukan koneksi TCP
pada setiap port secara berurutan (lihat apa yang terjadi!)
– nmap (http://www.insecure.org/nmap/) mapper: “network
exploration and security auditing”.

Countermeasures?

57
Internet Security Threats (2)

Mapping: countermeasures
– Menyimpan dan membuat log trafik yang masuk ke jaringan
– Mencari aktivitas yang mencurigakan (ex: alamat IP, dan,
port di scan secara terus-menerus). Sekarang banyak
peralatan di jaringan yang dapat melakukan hal tersebut
secara otomatis (Intrusion detection/prevention)
– Konfigurasi firewall untuk memblok paket ICMP, maka ping
tidak akan dapat bekerja
– Membuat aturan ‘default’ deny pada firewall, jika nomor port
telah diblok makan jaringan tidak dapat dipetakan dari luar

58
Internet Security Threats (3)

Packet sniffing:
– Permasalahan bagi media yang melakukan broadcast paket
– NIC membaca semua paket yang melewatinya
– Dapat membaca semua data yang tidak terenkripsi (ex: passwords)
– Contoh: C sniffs paket B

A C

src:B dest:A payload


B
Countermeasures?
59
Internet Security Threats (4)

Packet sniffing: countermeasures


– Semua host pada suatu jaringan menjalankan suatu perangkat lunak yang
memeriksa secara periodik jika interface host dalam kondisi berbahaya
– Menjamin bahwa semua host pada jaringan membutuhkan super-user
privileges untuk membuat interface dalam mode berbahaya
– Tempatkan satu host setiap segmen dari media broadcast (switched
Ethernet pada hub).
– Enkripsi semua data penting (ex: gunakan ssh untuk remote login)

A C

src:B dest:A payload


B
60
Internet Security Threats (5)

Traffic analysis:
– Penyerang mendapatkan informasi penting tanpa mempelajari isi dari
paket atau sniffing keseluruhan paket
– Contoh: C dapat mempelajari pola kerja dari B, ketika B melakukan
transaksi dengan A

A C

src:B dest:A payload


B
Countermeasures?
61
Internet Security Threats (6)

Traffic analysis: countermeasures


– Gunakan suatu bentuk traffic padding. Trafik palsu dimasukkan ke dalam
jaringan untuk menyamarkan trafik yang sesungguhnya
– Jika kapasitas jaringan anda besar, kenapa tidak menggunakannya?
– Traffic padding dapat membuat penyerang sukar untuk melakukan
serangan, bagaimana anda akan melakukan serangan jika paket tersebut
palsu?

A C

src:B dest:A payload


B

62
Internet Security Threats (7)

IP Spoofing:
– Dapat menghasilkan paket “raw” IP langsung dari suatu aplikasi ,
menempatkan suatu nilai pada paket alamat IP sumber
– Penerima tidak mengetahui bahwa sumber paket telah di spoofed
– Contoh: C berpura-pura menjadi B

A C

src:B dest:A payload

B
Countermeasures?

63
Internet Security Threats (8)

IP Spoofing: ingress filtering


– Routers seharusnya tidak meneruskan paket dengan alamat
sumber yang tidak valid (ex: alamat sumber datagram bukan
bagian dari jaringan router)
– Akan tetapi, ingress filtering tidak dapat dilakukan pada
semua jaringan

A C

src:B dest:A payload

64
Internet Security Threats (9)

Denial of service (DOS):


– Membanjiri paket ke penerima
– Distributed DOS (DDOS): membanjiri paket dengan
mengkoordinasikan banyak pengirim
– Contoh: C dan remote host SYN-attack A.

A C
SYN
SYN
SYN SYN SYN

B
SYN
Countermeasures?
SYN

65
Internet Security Threats (10)

Denial of service (DOS): countermeasures


– Memfilter paket (ex: SYN) sebelum sampai ke host
– traceback sumber flood (kemungkinan ditemukan host yang
tidak berbahanya, perangkat yang dipergunakan)
– Gunakan dedicated hardware untuk memfilter jumlah paket
yang banyak atau percobaan koneksi

A C
SYN
SYN
SYN SYN SYN

B
SYN
SYN
66
Network Security

Security in Many Layers

67
Pretty Good Privacy (PGP) for Secure E-mail

A PGP signed message:


 Standar de-facto enkripsi e-
mail ---BEGIN PGP SIGNED MESSAGE--
 Menggunakan symmetric key -
cryptography, public key Hash: SHA1
cryptography, hash function,
dan digital signature, sudah Bob:My husband is out of town
dibahas sebelumnya tonight. Passionately
 Menyediakan kerahasiaan, yours, Alice
autentikasi, dan integritas
---BEGIN PGP SIGNATURE---
Version: PGP 5.0
Charset: noconv
yhHJRHhGJGhgg/12EpJ+lo8gE4vB3
mqJhFEvZP9t6n7G6m5Gw2
---END PGP SIGNATURE---

68
Secure Sockets Layer (SSL)

 Keamanan pada layer transport


 Digunakan diantara Web browsers, servers untuk e-
commerce (https)
 Layanan keamanan:
– Server Autentikasi
– Enkripsi data
– Klien autentikasi (opsional)

69
IPsec: Network Layer Security

 Network-layer secrecy
 Network-layer authentication
 Two principle protocols:
– Authentication header (AH) protocol
– Encapsulation security payload (ESP) protocol

70
Authentication Header (AH) Protocol

 Menyediakan autentikasi, dan AH header includes:


integritas data tetapi tidak  Connection identifier
menyediakan kerahasian data
 Header AH ditempatkan  Authentication data: source-
antara header IP dan data signed message digest
 IP Protocol field: 51 calculated over original IP
datagram.
 Next header field: specifies type
of data (e.g., TCP, UDP, ICMP).
 Sequence number to prevent
playback attacks.

IP header AH header data (e.g., TCP, UDP segment)

71
Encapsulation Security Payload (ESP) Protocol

 Menyediakan kerahasiaan, host  Sequence number dan


autentikasi, dan integritas data connection identifier terdapat
pada ESP header
 Packet data dan the ESP trailer
terenkripsi  IP protocol field: 50.
 Next header field terdapat pada
ESP trailer.

authenticated
encrypted
ESP ESP ESP
IP header TCP/UDP segment
header trailer authent.

72
IPsec: SA and Key Management

 Untuk mengimplementasikan IPsec, diperlukan SA (Security


Association) dan key management
 Beberapa protokol lainnya:
– Internet Key Exchange (IKE), merupakan protokol key
management untuk IPsec
– Internet Security Association and Key Management Protocol
(ISAKMP) menyatakan prosedur dalam konfigurasi SA dan
pertukaran kunci

73
INTRUSION DETECTION & PREVENTION

Intrusion Detection

74
Intrusions

“Any set of actions that attempts to undermine the integrity,


confidentiality, or availability of a resource” (R. Heady et al)
- Port scans
- Worms
- Application exploits (buffer overflow)
- Denial of Service
 Meningkat secara pesat
 Keterbatasan yang dimiliki oleh Firewall

75
Intrusion Detection

 Suatu IDS melakukan 3 aksi sebagai berikut:


1. Memperoleh data dari sistem monitor
- Network traffic
- System logs
- System properties (load average, file use, login times,
dll)
2. Menganalisa data, mencari bukti dari penyerangan
3. Melaporkan bukti penyerangan pada operator (‘alert’)
 Bekerja secara real time
 Teridentifikasi oleh sistem monitor
- Individual host
- Network
 Teridentifikasi oleh data yang diperoleh dan metode
deteksinya

76
IDS Effectiveness

 Accuracy - seberapa sering IDS akan melaporkan tanda bahaya jika


penyerangan belum terjadi
- False positive (false alarm)
 Completeness – seberapa sering IDS gagal melaporkan adanya
serangan
- False negative (missed detection)
 Performance – waktu yang diperlukan IDS untuk menganalisa dan audit
data
 Timeliness – waktu yang diperlukan IDS untuk memberi peringatan
intrusi (alarm)
 Fault tolerance – kemampuan IDS dalam bertahan terhadap intrusi

77
Network Intrusion Detection

 Suatu network-based IDS


(NIDS) berfungsi untuk
memonitor suatu subnet
 Perangkat IDS memonitor trafik
jaringan di dekat perangkat
routing (mis:hub/switch)
 Kemampuan
- Tidak mempengaruhi
performansi jaringan
- Dapat disembunyikan
 Konsekuensi
- Lemah terhadap serangan
DoS
- Single point failure

78
Host Intrusion Detection

 Suatu host-based IDS (HIDS)


berfungsi untuk memonitor satu
perangkat host (server, terminal,
firewall, dll)
 Dapat memonitor trafik jaringan
yang datang atau suatu operasi
`
pada host
Host IDS
 Berjalan sebagai proses pada host
 Kemampuan Internet `
- Dapat memonitor intrusi pada Hub/Switch
Host IDS
host itu sendiri Firewall

 Konsekuensi `

- Menggunakan sumber daya yang Host IDS


terdapat pada host itu sendiri
- Untuk sistem yang spesifik,
Membutuhkan HIDS yang spesifik
pula

79
Distributed Intrusion Detection

 Suatu distributed-based IDS (DIDS)


menggunakan baik NIDS dan HIDS
sebagai sensor
 Semua hasil analisa data dikirimkan
ke management station
 Disebut juga dengan Hybrid IDS NIDS

 Kemampuan
- Daerah yang lebih luas
- Sensor dapat berbagi dan Internet
`
koordinasi hasil monitor
Hub/Switch
 Konsekuensi HIDS
Firewall
- Hasil dari sensor dikirimkan Management
Station
melalui jaringan yang berpotensi
dapat di intrusi
- Hasil dari sensor mungkin tidak
terkirimkan apabila jaringan
terbanjiri (flood)

80
Mechanism

81
Detection Method

 Beberapa tipe penggunaan dari IDS


- Pakar riset menggunakan klasifikasi yang
abstrak dan umum
- IDS developer menggunakan klasifikasi yang
konkrit
- System administrators menggunakan klasifikasi
yang khusus digunakan pada sistemnya saja
 Beberapa tipe deteksi
- Rule-based (signature) detection
- Protocol analysis
- Anomaly detection
- Specification detection
- Policy-based detection

82
Rule-based Detection

 IDS memiliki suatu database berisi pendeskripsian pola-pola


(rules) yang mengindikasikan suatu serangan
- Alarm menyala apabila pola-pola (signature) tersebut
terdeteksi pada data audit
- Contoh: Alarm menyala jika terdapat suatu paket TCP
berisi GET request untuk 'passwd.txt'
 Kemampuan
- Cepat (diberikan suatu set rules sederhana)
- Rules dapat diubah dengan mudah
- Mudah mengidetifikasikan intrusi
 Konsekuensi
- Lemah terhadap tipe serangan baru
- Agar efektif, diperlukan updating yang terus-menerus
 Biasa dikenal dengan misuse detection

83
Protocol Analysis

 IDS berisi aturan-aturan protokol pada sistem


- Alarm akan menyala jika terjadi pelanggaran protokol
dalam data audit
- Contoh: Alarm menyala jika respon terhadap koneksi TCP
hanya paket RST/ACK atau SYN/ACK
 Kemampuan
- Lebih fleksibel dibandingkan rule-based
- Dapat mendeteksi tipe baru intrusi
 Konsekuensi
- Mengasumsikan bahwa semua aplikasi menggunakan
standar protokol
- Rumit dan sulit untuk diubah
- Deteksi akan terlewati jika intrusi tidak melanggar aturan
protokol

84
Anomaly Detection

 IDS ‘mempelajari' karakteristik sistem ketika beroperasi pada


keadaan normal (profiling)
- Alarm akan menyala jika sistem tidak dalam keadaan
normal
- Contoh: Alarm menyala jika volume trafik jaringan lebih
besar dari nilai tertentu pada waktu yang spesifik
 Kemampuan
- Dapat diubah sesuai dengan sistem
- Lebih fleksibel dibandingkan rule-based
- Dapat mendeteksi intrusi tipe baru
- Kemungkinan kecil intrusi terlewatkan
 Konsekuensi
- Membutuhkan profil yang lengkap dari karakteristik kerja
sistem
- Kemungkinan tinggi akan alarm yang salah
- Harus diupdate jika sistem berubah

85
Specification-based Detection

 IDS diberikan deskripsi (specification) keadaan normal sistem


- Alarm akan menyala jika sistem tidak dalam keadaan
normal
- Contoh: Alarm menyala jika beban CPU lebih besar dari
nilai yang terdapat pada deskripsi spesifikasi
 Kemampuan
- Dapat diubah sesui dengan sistem
- Lebih fleksibel dibandingkan rule-based
- Dapat mendeteksi intrusi tipe baru
- Kemungkinan kecil intrusi terlewatkan
 Konsekuensi
- Membutuhkan sintak dalam pendeskripsian sistem
- Membutuhkan pengetahuan yang lengkap dari
karakteristik kerja sistem
- Harus diupdate jika sistem berubah

86
Policy-based Detection

 IDS memiliki daftar dari aksi yang diterima dan ditolak (policy)
- Alarm akan menyala jika policy dilanggar
- Contoh: Alarm menyala jika GET request pada HTTP
server terhadap file yang tidak diijinkan dilihat oleh
pengguna
 Kemampuan
- Dapat diubah sesuai dengan sistem
- Lebih fleksibel dibandingkan rule-based
- Dapat mendeteksi intrusi tipe baru
 Konsekuensi
- Membutuhkan policy yang lengkap dari sistem
- Harus diupdate jika policy berubah

87
Output

 Langsung menghubungi administrator


- Email
- Page
- SMS (IARD PNF)
 Disimpan dalam suatu file
- Text file
- System log
- Binary packet log (tcpdump)
 Disimpan di database
 Ditampilkan pada layar

88
IDS Examples

 NIDS
- Snort - rule-based packet sniffer dengan protocol analysis
terbatas dan anomaly detection
- Bro - rule-based dan policy-based packet sniffer
 HIDS
- PortSentry - portscan detector
- LogSentry - log analyzer
- Tripwire - file integrity monitor
- Rkdet - rootkit detector
 DIDS
- Prelude – rule-based packet sniffer, log analyzer, buffer
overflow detection
- Osiris - file integrity monitor

89
Limitations

 Terus-menerus di up to date (signatures, protocols,


dll)
 Mengasumsikan jaringan yang terganggu akan dapat
mengirimkan alarm
 Akurasi dan kelengkapan tergantung dari konfigurasi
IDS oleh administrator
 Seringkali lemah terhadap serangan Denial of
Service (DoS)
 Biasanya IDS memberikan tanda peringatan, tapi
tidak mencegah atau menghentikan serangan

90
INTRUSION DETECTION & PREVENTION

Intrusion Prevention

91
Intrusion Prevention

 Banyak intrusi jaringan memerlukan waktu sedikit


dalam eksekusi
- Worms
- Backdoor exploits
 IDS tidak memberikan cukup waktu bagi
administrator untuk merespon intrusi yang telah
merusak sistem
 Intrusion Prevention System (IPS) di desain untuk
mengidentifikasi potensi serangan dan secara
keseluruhan melakukan tindakan untuk
menghentikannya (countermeasures)
 IPS merupakan tindak lanjut dari IDS

92
IPS Types

 Network-based IPS (NIPS); menganalisa trafik


jaringan dari serangan
 Beberapa tipe countermeasure
- Session sniping
- Packet filtering
- Packet scrubbing
- IP blocking
- Deception
 Host-based IPS (HIPS); mencegah serangan pada
sistem operasi (dangerous system calls,
unauthorized file changes)

93
Session Sniping

 IPS menutup koneksi jaringan terhadap host yang mengirim


trafik serangan
- TCP RESET for TCP sessions
- ICMP Host/Network/Port Unreachable for UDP traffic
 Kemampuan
- Mudah diimplementasikan dan digunakan
 Konsekuensi
- Dapat dihindari oleh penyerang dengan banyak cara
 Contoh:
- IPtables (Linux Firewall) dapat menolak (REJECT) trafik
dari suatu host
- Snort memiliki pilihan respon yang fleksibel, yang
memungkinkan untuk melakukan reset ketika terjadi
intrusi

94
Packet Filtering

 IPS membuang (DROP) trafik yang berisi serangan


 Kemampuan
- Menghilangkan trafik serangan dari jaringan
 Konsekuensi
- Kemungkinan hilangnya trafik yang tidak berisi serangan
 Contoh:
- Hogwash membuang paket jika terjadi serangan
- Versi terbaru snort memiliki fitur “inline” yang
memungkinkan untuk membuang paket ketika terjadi
serangan

95
Packet Filtering Implementation

 Biasanya diimplementasikan
pada inline NIDS
- NIDS diposisikan sejalur pada
jaringan; bertindak sebagai
bridge antar jaringan
`
- NIDS didesain kembali untuk
dapat membuang trafik Host

NIDS
serangan

Inline N
Internet `
 Gangguan pada inline NIDS Hub/Switch
Host
akan mengganggu jaringan Firewall

 Diimplementasikan juga sebagai `

“smart” switch Host

96
Packet Scrubbing

 IPS mengganti isi dari paket serangan dengan data yang tidak
berbahaya
 Kemampuan
- Tidak mengindikasikan bahwa IPS mendeteksi intrusi
 Konsekuensi
- Hanya bisa bekerja jika intrusi melibatkan isi paket
serangan
 Contoh:
- Snort memiliki pilihan “replace” yang mengubah data dari
paket serangan ke data lain dengan panjang yang sama

97
IP Blocking

 IPS mengubah konfigurasi dari firewall lokal, sehingga


memungkinkan untuk mem-block trafik serangan dari suatu
host
 Kemampuan
- Efektif menghilangkan penyerang dari jaringan
 Konsekuensi
- Kemungkinan terjadi blocking pada host yang bukan
penyerang
 Contoh:
- SnortSAM firewall agent, menerima informasi dari snort
rules dan mengubah konfigurasi pada firewall (ex:
IPtables)

98
Deception

 IPS mengirimkan trafik kepada penyerang yang


mengindikasikan bahwa penyerangan terhadap suatu host telah
berhasil atau koneksi menuju host tidak tersedia
 Kemampuan
- Biasanya host khusus (suatu ‘honeypot’) pada jaringan
yang mendeteksi serangan dan menjauhkannya dari host
lainnya pada jaringan tersebut
- Dapat berupa layanan aplikasi palsu pada host
 Konsekuensi
- Penyerang masih berada di jaringan blocking; dan masih
dapat melakukan serangan terhadap host lain
- Kemungkinan implikasi legal
 Contoh:
- Deception Toolkit (DTK) mensimulasikan aplikasi pada
host
- honeyd membuat host virtual bagi penyerang
untuk diserang

99
IPS Examples

 Packet filtering
- Hogwash drop packets that trigger rules
- Snort_Inline drop packets that trigger rules
- FWSnort convert Snort rules to IPtables rules
 IP blocking
- SnortSAM melakukan block alamat IP berdasarkan
peringatan dari snort
- PortSentry secara otomatis block alamat IP yang
melakukan port scan
 Deception
- Deception Toolkit (DTK) mensimulasikan aplikasi pada
host
- honeyd membuat host virtual bagi penyerang untuk
diserang

100
Risks

 Penyerang dapat memperoleh informasi dari countermeasure


- Keberadaan IPS pada jaringan
- Tipe dari IPS
- Sistem Operasi yang menjalankan IPS
 Penyerang masih dapat berhasil melakukan penyerangan jika terdapat
delay yang cukup antara deteksi intrusi dengan countermeasure
 Jika IPS mem-block alamat IP atau trafik, penyerang masih dapat
memanipulasi trafik untuk mencegah komunikasi antar host atau antar
jaringan
 Should only be used against attacks with certain characteristics
(P. Proctor)
- The attack is rare
- The attack is catastrophic
- The attack cannot be spoofed (to cause another attack)
- The attack is positively identifiable as misuse

101
Conclusion

 Intrusi meningkat dengan cepat dan semakin sulit untuk dideteksi


dengan menggunakan metode deteksi tradisional
 IDS mencari tanda-tanda penyerangan pada data di sistem dan
melaporkannya pada administrator
 IDS didefinisikan oleh sistem yang dimonitor (host atau network) dan
metode deteksinya. Terdapat beberapa metode deteksi, yang dapat
deteksi data intrusi maupun data bukan intrusi
 IPS mencari tanda-tanda penyerangan pada data di sistem dan secara
menyeluruh melakukan countermeasure. Hal ini merupakan tindak
lanjut dari IDS yang hanya melaporkan terjadinya intrusi tetapi tidak
menghentikannya
 Terdapat beberapa macam countermeasure pada network-based, yang
dapat menghentikan trafik serangan atau menghentikan si penyerang
 Implementasi IPS memiliki beberapa resiko dari penggunaan
countermeasure

102