Pendahuluan

Berbeda dengan masalah yang dihadapi Superb Wren (sampul depan), sebagian besar
masalah keamanan informasi yang kita hadapi manusia bukanlah masalah hidup dan mati
(untuk lebih lanjut tentang masalah Wren, silakan lihat pertanyaan pemikiran kritis pada bab
9). Namun, mereka menjengkelkan, mahal dan cukup sering untuk membuat keamanan
informasi menjadi profesi kontemporer dan topik keamanan informasi menjadi subjek yang
berharga untuk dipelajari.

Buku ini dirancang untuk berfungsi sebagai buku teks untuk kursus satu semester yang
ditujukan untuk keamanan informasi. Ini difokuskan untuk membantu siswa memperoleh
keterampilan yang dicari dalam tenaga kerja profesional.

Kami mulai dengan memperkenalkan lingkungan profesional keamanan informasi. Setelah

siswa yakin akan manfaat subjek, buku ini memperkenalkan model dasar keamanan informasi
yang terdiri dari aset, kerentanan, ancaman, dan kontrol. Sisa dari kursus ini dikhususkan
untuk mengkarakterisasi aset, kerentanan dan ancaman dan merespons mereka menggunakan
kontrol keamanan. Buku ini diakhiri dengan mengintegrasikan semua topik ini ke dalam
payung umum manajemen risiko organisasi. Pada akhir kursus, siswa harus memiliki
kesadaran tentang bagaimana masalah keamanan informasi telah berkembang di masyarakat
kita dan bagaimana mereka dapat menggunakan kerangka kerja kontemporer untuk
menanggapi masalah ini dalam lingkungan profesional.

Buku ini dilengkapi dengan serangkaian latihan akhir bab. Ada lima jenis latihan di akhir
setiap bab:

1) Pertanyaan akhir bab tradisional dirancang untuk meningkatkan pemahaman dan

mengingat kembali topik umum dalam keamanan informasi.

2) Contoh kasus di akhir setiap bab memungkinkan siswa untuk menerapkan pengetahuan
dalam bab tersebut ke konteks bisnis.

3) Ada case desain berulir yang menelusuri semua bab dalam buku ini. Dalam hal ini, siswa
memainkan peran sebagai Kepala Pejabat Keamanan Informasi dari universitas negeri
tipikal dan dihadapkan dengan situasi yang berkaitan dengan topik yang dibahas dalam
bab ini. Mereka dituntut untuk menganalisis dan mengevaluasi situasi sehubungan dengan
pengetahuan dalam bab ini untuk menciptakan solusi yang mengatasi masalah saat ini.

4) Latihan berpikir kritis memperkenalkan siswa pada situasi analog dan menghubungkan
ide-ide dari bab ke situasi ini. Masalah yang dihadapi Wren Peri Luar Biasa termasuk
dalam kategori ini.

5) Terakhir, setiap bab memiliki aktivitas tangan terperinci yang menggunakan distribusi
khusus OS CentOS Linux yang akan diinstal sebagai mesin virtual menggunakan
Virtualbox. Kami sangat bangga dengan aspek buku ini. Kami telah dengan cermat
 memilih latihan yang akan membantu siswa menjadi terbiasa tidak hanya dengan tugas-
tugas keamanan informasi yang belum sempurna, tetapi juga dengan administrasi sistem
Linux. Eric khususnya, telah menghabiskan berjam-jam pengujian, kurasi dan menjaga
distribusi. Anda dapat mengunduh distribusi dari situs web pendamping buku teks
tersebut.

Walaupun buku ini swasembada tanpa aktivitas langsung, konten ini merupakan respons
langsung terhadap tuntutan pemberi kerja dan kami berharap Anda akan memberi siswa Anda
keuntungan dari aspek teks ini. Bab 2 dan 3 memperkenalkan pengaturan dasar dan
penggunaan mesin virtual. Instruksi cukup rinci bagi siswa untuk dapat menyelesaikan
latihan sendiri.

Saat menggunakan buku, waktu kelas dapat digunakan dengan berbagai cara. Format kuliah
tradisional akan bekerja dengan sangat baik. Instruktur yang tertarik menggunakan waktu
kelas untuk kegiatan yang lebih interaktif akan menemukan bahwa kegiatan akhir bab adalah
cara yang sangat berguna untuk menggunakan waktu kelas.

Tim penulis mengintegrasikan berbagai perspektif yang diperlukan untuk mengajarkan

keamanan informasi kepada calon profesional. Manish Agrawal adalah anggota fakultas SIM
yang merancang kursus ini dan telah mengajarkannya kepada siswa SIM dan Akuntansi di
University of South Florida selama lebih dari 5 tahun sekarang. Alex Campoe adalah
Direktur Keamanan Informasi di Universitas South Florida di mana ia berada di garis depan
kegiatan keamanan informasi universitas termasuk respons terhadap insiden, pengembangan
kebijakan, dan kepatuhan. Eric Pierce bertanggung jawab atas manajemen identitas di
universitas. Banyak topik yang dicakup dalam buku ini diinformasikan oleh pengetahuan
mereka tentang kegiatan sehari-hari yang paling penting yang termasuk dalam payung
keamanan informasi.

The Superb Fairy-Wren, meskipun tidak secara ketat menghadapi masalah keamanan
informasi, kebetulan menggunakan solusi yang mengadopsi banyak kontrol keamanan
informasi yang dibahas dalam

 teks. Konteksnya juga mencakup semua komponen aset model keamanan informasi dasar
kami dalam bentuk kehidupan keturunan, kerentanan dalam bentuk penetasan tertunda,
ancaman dalam bentuk burung parasit dan kontrol termasuk kata sandi. Kami pikir ini
menjelaskan teks secara ringkas.

Kami ingin sekali mendengar komentar Anda tentang saran buku untuk perbaikan, kesalahan
dan kelalaian, bug di mesin virtual, dan masalah lain yang mungkin Anda temui. Kami akan
melakukan yang terbaik untuk merespons langsung kepada Anda dengan koreksi, dan juga
mengatasinya sebagai kesalahan untuk dipublikasikan di situs pendamping buku teks. Kami
jelas juga ingin mendengar hal-hal yang saling melengkapi jika buku membantu
meningkatkan pemahaman Anda tentang subjek, meningkatkan pengajaran Anda, membantu
Anda mendapatkan pekerjaan, atau membantu Anda dalam pekerjaan. Komentar itu dapat
memberi kita indikasi tentang bagaimana memperkuat edisi buku yang akan datang.
Komentar dapat dikirim ke penulis pertama di magrawal@usf.edu.
Introduction
CHAPTER 1
Tinjauan Umum

Bab ini memotivasi topik keamanan informasi dan menjabarkan struktur untuk sisa teks. Pada
awalnya, kami menjelaskan mengapa keamanan informasi adalah bidang studi yang berguna
dengan harapan membuat Anda bersemangat dalam topik tersebut. Kami kemudian
memberikan sejarah singkat tentang subjek, menyoroti perkembangan penting yang
mengarah pada kondisi industri saat ini. Akhirnya, kami menjabarkan prosedur yang diadopsi
oleh industri untuk menjaga keamanan informasi. Prosedur-prosedur ini akan diperiksa secara
terperinci di bagian lain buku ini. Pada akhir bab ini, Anda harus tahu:

 Mengapa keamanan informasi merupakan topik penting bagi semua orang saat ini
 Perkembangan penting yang mengarah pada kondisi industri keamanan informasi
saat ini
 Istilah-istilah kunci yang digunakan dalam keamanan informasi
 Garis besar prosedur yang luas digunakan dalam industri untuk menjaga
keamanan informasi

Utilitas profesional pengetahuan keamanan informasi

Jika Anda membaca buku ini sebagai bagian dari kursus perguruan tinggi, buku ini mungkin
ditawarkan oleh sekolah profesional - bisnis, informasi, atau teknik misalnya. Sekolah-
sekolah ini diharapkan dapat meluluskan siswa yang dapat berlari ketika mereka bergabung
dengan angkatan kerja. Secara alami, kami berharap bahwa pertanyaan terpenting di benak
para siswa di perguruan tinggi ini adalah di mana pekerjaannya? Apa relevansi profesional
dari subjek ini? Apa permintaan untuk profesional dalam hal ini? Apa yang mendorong
organisasi untuk merekrut lulusan dengan keterampilan dalam bidang ini? Ketika
dipekerjakan, apa yang biasanya dilakukan lulusan dalam hal ini? Kompetensi apa yang akan
membantu lulusan memenuhi atau melampaui harapan pengusaha? Sebelum Anda
memutuskan untuk menghabiskan waktu lagi dengan buku ini atau subjek keamanan
informasi, kami ingin membahas topik ini secara langsung dan mengatasi masalah ini.

Perkiraan permintaan

Sumber standar untuk perkiraan ketenagakerjaan adalah Biro Statistik Tenaga Kerja (BLS),
1

lembaga pemerintah yang mengumpulkan statistik ketenagakerjaan dari survei ekstensif

pengusaha. BLS telah menciptakan taksonomi yang disebut "klasifikasi pekerjaan standar
(SOC)" untuk semua kategori pekerjaan utama. Analis keamanan informasi diberikan
pengidentifikasi SOC 15-1122 (Gambar 1.1). Mereka berada di bawah kelompok utama
"Pekerjaan komputer dan matematika (15-0000)." Statistik untuk analis keamanan informasi
dikumpulkan bersama dengan mereka untuk pengembang web dan arsitek jaringan komputer
dan dapat diperoleh dari situs web BLS. 2 Total pekerjaan untuk kelompok ini pada Mei 2010
diperkirakan 243.330, dengan upah tahunan rata-rata $ 79.370.

Sumber lain untuk mendapatkan perkiraan permintaan akan profesional keamanan informasi
adalah organisasi aksi sertifikat profesional yang terlibat dalam industri ini. Salah satu
organisasi terkemuka adalah (ISC). 2
Berdasarkan survei terhadap lebih dari 10.000
profesional keamanan informasi di seluruh dunia, organisasi ini memperkirakan ada sekitar
2,28 juta profesional keamanan informasi di seluruh dunia pada 2010, di antaranya lebih dari
900.000 berada di Amerika. Jumlah ini juga diperkirakan akan tumbuh lebih dari 13%. 3

Kompensasi tahunan rata-rata diperkirakan lebih dari $ 78.000. Perbedaan luas dalam
perkiraan pekerjaan antara kedua survei dapat dikaitkan dengan perbedaan dalam
karakteristik organisasi yang disampel oleh kedua survei. Namun perlu dicatat bahwa kedua
survei tersebut cukup konsisten dalam perkiraan kompensasi tahunan rata-rata mereka.

Permintaan driver

Sejumlah faktor mendorong permintaan untuk profesional keamanan informasi. Yang utama
di antaranya adalah meningkatnya kekritisan informasi kepada individu dan organisasi dan
akibatnya peningkatan jumlah informasi yang dikumpulkan oleh organisasi dan disimpan
dalam sistem komputer untuk pengambilan yang mudah. Memiliki kombinasi nama
pengguna dan kata sandi bisa lebih bermanfaat bagi pencuri hari ini daripada memiliki
tagihan $ 100. Serangan yang berhasil di bank atau perusahaan komersial lainnya dapat
menghasilkan ratusan ribu kombinasi nama pengguna dan kata sandi yang diperiksa.
Penyerang yang paling termotivasi karenanya semakin menargetkan toko informasi daripada
toko fisik.

Bahkan ketika informasi menjadi lebih berharga, tanpa disadari, pengguna juga memudahkan
penyerang untuk mendapatkan informasi yang berharga ini. Misalnya, sebagian besar
pengguna menggunakan set kecil nama pengguna dan kata sandi di mana pun nama pengguna
dan kata sandi diperlukan. Mereka juga sering lebih suka perangkat mereka mengingat nama
pengguna dan kata sandi ini untuk menghemat upaya pengetikan di situs web. Sekarang
pertimbangkan apa yang terjadi jika penyerang dapat meletakkan tangannya di atas laptop,
tablet, atau perangkat seluler milik pengguna yang memiliki informasi sensitif. Penyerang
bisa dengan mudah mendapatkan akses ke ratusan ribu catatan dengan upaya minimal.
Dengan jutaan pekerja berpengetahuan yang meninggalkan tempat kerja mereka dengan
miliaran perangkat seluler setiap hari, organisasi terpaksa bertindak secara proaktif untuk
memastikan bahwa mereka tidak muncul di halaman depan surat kabar dan saluran TV
karena kehilangan informasi pelanggan atau data sensitif lainnya.

Nilai informasi yang dijelaskan di atas hanyalah salah satu pendorong permintaan untuk
profesional keamanan informasi. Faktor-faktor lain termasuk berurusan dengan kerentanan
aplikasi, aliran konstan virus dan worm yang menjangkau organisasi, peraturan, harapan
privasi pelanggan, dan karyawan yang tidak puas.

Driver permintaan untuk profesional keamanan informasi juga telah berubah sangat cepat.
Misalnya, hingga tahun 2008, perangkat seluler seperti ponsel pintar dan tablet tidak umum
di perusahaan. Memiliki telepon yang dikeluarkan perusahaan adalah masalah kebanggaan
bagi para eksekutif. Kemudian pada tahun 2010, sebagian besar karyawan lebih suka
menggunakan ponsel pintar dan tablet pribadi mereka untuk melakukan pekerjaan perusahaan
daripada ponsel yang dikeluarkan perusahaan yang tidak memiliki browser web dan fitur
yang diinginkan lainnya. Para profesional keamanan informasi harus berjuang untuk
menghadapi implikasi yang luas dari perubahan ini. Padahal sebelumnya mereka bisa
mengeluarkan ponsel seperti Blackberry dan memaksakan kebijakan keamanan yang
diinginkan pada perangkat ini, kebijakan keamanan pada perangkat pribadi dikendalikan oleh
pengguna, bukan oleh perusahaan tempat mereka bekerja. Akibatnya, profesional keamanan
informasi melaporkan pada 2010 bahwa berurusan dengan keamanan perangkat seluler
adalah salah satu keprihatinan utama mereka. Kekhawatiran ini, dan karenanya permintaan
untuk profesional keamanan informasi, hanya cenderung meningkat dalam waktu dekat,
mengamankan prospek profesional untuk profesional keamanan informasi.

Kegiatan profesional

Apa yang dilakukan oleh profesional keamanan informasi? Situs web BLS menggambarkan
peran analis keamanan informasi sebagai:

Merencanakan, mengimplementasikan, memutakhirkan, atau memantau langkah-langkah

keamanan untuk perlindungan jaringan komputer dan informasi. Dapat memastikan kontrol
keamanan yang tepat tersedia yang akan melindungi file digital dan infrastruktur elektronik
vital. Dapat merespons pelanggaran keamanan komputer dan virus.

Contoh ilustratif: Spesialis Keamanan Komputer, Analis Keamanan Jaringan, Spesialis

Keamanan Internet

Ini adalah serangkaian kegiatan yang cukup teknis. Namun, banyak pekerjaan yang dilakukan
oleh para profesional keamanan informasi bersifat non-teknis. Gambar 1.2 menunjukkan
distribusi dari empat aktivitas paling memakan waktu yang dilaporkan oleh responden untuk
survei (ISC) 2. Terlihat bahwa masalah regulasi, pengembangan kebijakan, dan masalah
4

manajerial merupakan bagian terbesar dari pekerjaan keamanan informasi.

Kompetensi yang diinginkan

Tanggung jawab utama para profesional keamanan informasi adalah untuk mengantisipasi
masalah terkait informasi dan untuk meminimalkan dampaknya. Tanggapan terhadap survei
ISC 2 menyoroti delapan area dengan kebutuhan terbesar untuk pelatihan, seperti yang
ditunjukkan pada Gambar 1.3. Ini adalah indikator yang sangat baik dari kompetensi yang
diharapkan dari para profesional keamanan informasi. Dapat dilihat bahwa profesional
keamanan informasi yang sukses diharapkan memiliki keahlian dalam analisis dan desain
sistem untuk mengidentifikasi kemungkinan kerentanan memasuki aplikasi buatan sendiri,
keterampilan administrasi sistem untuk memeriksa sistem dan mengidentifikasi jejak yang
ditinggalkan oleh peretas (forensik), dan manajemen risiko. Selain itu, kelangsungan bisnis
dan harapan pemulihan bencana mengharuskan para profesional keamanan informasi juga
memiliki pemahaman yang sangat baik tentang bisnis serta infrastruktur TI untuk dapat
mengidentifikasi aplikasi yang paling penting dalam organisasi sehingga ini dapat dengan
cepat dibesarkan secara online jika terjadi bencana alam atau buatan manusia.

Maksud bagian ini adalah untuk memuaskan Anda bahwa keamanan informasi adalah profesi
yang layak. Semoga, juga disampaikan bahwa keamanan informasi adalah profesi yang
sangat mengasyikkan. Lebih lanjut, karena penyimpangan keamanan informasi menarik
banyak perhatian publik, kegiatan para profesional keamanan informasi sangat menarik bagi
manajemen puncak organisasi, mungkin lebih dari pada banyak bagian lain dari infrastruktur
TI organisasi. Bahkan, menurut survei ISC 2, kelompok keamanan informasi melapor kepada
manajemen eksekutif, yaitu CEO, CIO, atau yang setara, di hampir 25% dari organisasi.
Sejarah singkat

Dari titik ini, kami menganggap bahwa Anda tertarik untuk belajar tentang keamanan
informasi dari perspektif profesional. Artinya, Anda tertarik mempelajari subjek untuk
digunakan dalam karier Anda. Hampir semua yang kita lakukan hari ini mengenai keamanan
informasi adalah hasil dari penyimpangan terkenal yang telah terjadi selama bertahun-tahun
dan tanggapan industri terhadap pengalaman ini. Banyak dari insiden ini sekarang menjadi
bagian dari cerita rakyat profesional. Penting bagi Anda untuk mengetahui tentang insiden-
insiden ini agar dapat lebih menghargai persyaratan peraturan, kepedulian para manajer, serta
untuk membangun kosa kata Anda dalam profesi. Daftar di bawah ini tidak dimaksudkan
untuk menjadi komprehensif; itu hanya menangkap insiden besar yang menyebabkan
5

tindakan peraturan atau industri atau berfungsi sebagai barometer untuk masalah keamanan
informasi pada saat itu.

1981 - Pengembangan teknologi inti internet (TCP dan IP): Teknologi inti Internet
diselesaikan pada tahun 1981. Tidak ada menyebutkan keamanan dalam teknologi ini,
menunjukkan bahwa pada saat itu dunia teknologi tidak peduli dengan keamanan informasi.
Karena TCP dan IP tersedia secara gratis, mereka menjadi teknologi jaringan yang disukai
untuk sistem UNIX, banyak digunakan di universitas dan berbagai organisasi intensif seperti
rumah sakit dan bank.

1982–1983 - Geng 414's: intrusi komputer dimulai segera setelah TCP dan IP diintegrasikan
ke dalam peralatan industri. Insiden yang paling dipublikasikan saat ini adalah geng 414,
sekelompok enam remaja dari Milwaukee, yang mendapatkan nama mereka dari kode area
telepon untuk Milwaukee. Remaja ini merasa senang bisa masuk ke sistem yang seharusnya
berada di luar jangkauan mereka. Dengan menggunakan komputer rumahan, saluran telepon,
dan kata sandi default, grup ini dapat membobol sekitar 60 sistem komputer profil tinggi,
termasuk yang ada di Laboratorium Los Alamos dan Pusat Kanker Memorial Sloan-Kettering
Cancer Center di New York. Insiden ini mendapat liputan luas, termasuk berita sampul
Newsweek berjudul "Waspadalah: Peretas bermain." Ini diyakini sebagai penggunaan
pertama dari istilah "hacker" di media arus utama dalam konteks keamanan komputer.
Sementara remaja itu sendiri tidak membahayakan, mudah bagi industri untuk melihat bahwa
teknik sederhana yang digunakan oleh anak-anak dapat dengan mudah ditiru oleh orang lain.
Akibatnya, Kongres AS mengadakan dengar pendapat tentang keamanan komputer. Setelah
lebih banyak insiden seperti itu, Kongres meloloskan Undang-Undang Penipuan dan
Penyalahgunaan Komputer tahun 1986, yang membuatnya menjadi kejahatan untuk masuk ke
sistem komputer federal atau komersial.

1988 - Cacing Morris: Robert Morris, yang saat itu seorang mahasiswa pascasarjana di
Cornell, dan sekarang menjadi Profesor Ilmu Komputer dan Kecerdasan Buatan di MIT,
merilis program mereplikasi diri 99-baris pada tanggal 2 November 1988, untuk mengukur
ukuran saat itu. Internet baru lahir. Sebagai hasil dari fitur desain program, itu menurunkan
banyak sistem yang terinfeksi, dan mencapai beberapa landmark dalam proses. Ini dianggap
sebagai cacing internet pertama. Secara persentase, diperkirakan telah menurunkan sebagian
besar Internet (10%). Ini juga menghasilkan hukuman pertama berdasarkan Computer Fraud
and Abuse Act. Robert Morris dijatuhi hukuman percobaan, pengabdian kepada masyarakat,
dan banyak lagi. Cacing Morris mendorong Pemerintah AS untuk mendirikan CERT / CC
(pusat koordinasi CERT) di Universitas Carnegie Mellon sebagai satu titik untuk
6

mengoordinasikan respons industri-pemerintah terhadap keadaan darurat Internet. Prof.

Morris juga merupakan salah satu pendiri Via-web, sebuah perusahaan e-commerce yang
dibeli oleh Yahoo!, dan menamainya menjadi Yahoo! Toko.

Sebagai anekdot yang menarik, ayah Robert Morris, Bob Morris, merancang sistem enkripsi
kata sandi untuk sistem operasi UNIX yang digunakan bahkan hingga hari ini. Yang lebih
menarik, pada saat kejadian ini, senior Bob Morris adalah ilmuwan kepala untuk Pusat
Keamanan Komputer Nasional (NCSC) dari Badan Keamanan Nasional (NSA), , agen 7 8

federal yang bertanggung jawab untuk merancang komputer yang aman.

1995-1998 - Windows 95/98: Microsoft merilis Windows 95 pada 24 Agustus 1995. Sistem
operasi memiliki antarmuka grafis dan dirancang untuk berjalan pada komputer yang relatif
murah). Rilis ini didukung dengan dorongan pemasaran yang besar, dan dalam waktu yang
sangat singkat, itu menjadi sistem operasi paling sukses yang pernah diproduksi, dan
mengusir sebagian besar sistem operasi lain keluar dari pasar. Windows 95 dirancang
terutama sebagai sistem operasi desktop pengguna tunggal yang berdiri sendiri dan karenanya
hampir tidak memiliki tindakan pencegahan keamanan. Sebagian besar pengguna
menjalankan Windows 95 tanpa kata sandi dan sebagian besar aplikasi berjalan pada
Windows 95 dengan hak administratif untuk kemudahan. Namun, Windows 95 mendukung
TCP / IP, sehingga membawa TCP / IP ke bisnis utama. Kombinasi teknologi jaringan
keamanan-agnostik (TCP / IP) ini dikombinasikan dengan desktop bisnis agnostik-keamanan
yang sama menciptakan lingkungan yang subur untuk berkembangnya kompromi keamanan
informasi. Dalam pembicaraan, pakar keamanan terkadang menyebut lingkungan ini sebagai
sumber profesi keamanan informasi. Bahkan pengenalan Windows 98 pada 25 Juni 1998,
9

tidak membuat perubahan pada desain keamanan dasar desktop Windows.

1996 - Asuransi Kesehatan Portabilitas dan Akuntabilitas Act (HIPAA): Undang-undang ini
yang terutama berfokus pada perlindungan asuransi kesehatan bagi pekerja AS ketika mereka
mengubah atau kehilangan pekerjaan juga memiliki implikasi keamanan informasi yang
penting. Banyak pemimpin pemerintahan percaya pada saat itu bahwa catatan kesehatan
elektronik (EHR) adalah instrumen penting untuk menurunkan biaya perawatan kesehatan di
Amerika. Karena itu, UU tersebut juga mendorong catatan kesehatan elektronik. Karena
keamanan informasi diakui sebagai masalah penting, undang-undang memiliki ketentuan
untuk membuat organisasi bertanggung jawab untuk menjaga kerahasiaan catatan pasien di
industri perawatan kesehatan. Pada saat ini, industri kesehatan memiliki waktu hingga 2014
untuk sepenuhnya beralih ke EHR. Ini adalah pendorong utama permintaan untuk keamanan
informasi pada saat penulisan edisi ini (2012-2013).
2000 - Virus ILOVEYOU: Pada 5 Mei 2000, virus ini dirilis oleh seorang siswa di Filipina
(Gambar 1.4). Virus menghapus gambar pada komputer yang terinfeksi dan secara otomatis
mengirim dirinya sendiri sebagai lampiran email ke daftar kontak Outlook dari komputer
yang terinfeksi. Virus itu menginfeksi jutaan komputer di seluruh dunia, dan menyebabkan
kerusakan miliaran dolar. Pencipta virus, Reomel Ramores dan Onel de Guzman, dilacak
dalam beberapa jam setelah rilis virus. Namun, para penyelidik menyadari dengan sangat
cepat bahwa Filipina tidak memiliki undang-undang yang melarang penulisan virus
komputer, dan harus membatalkan semua tuduhan terhadap para siswa. Insiden ini
10

menyebabkan kesadaran bahwa keamanan informasi adalah fenomena global dan mendorong
negara-negara maju agar negara-negara berkembang mengubah undang-undang keamanan
informasi mereka. Namun, bahkan hari ini ada perbedaan yang signifikan antara negara
mengenai undang-undang keamanan informasi. Misalnya, ketika menulis virus dapat
menyebabkan denda hingga $ 250.000 dan 10 tahun penjara di Amerika Serikat, hukuman di
Filipina dapat berkisar dari 100.000 Peso (sekitar $ 2.500) dan hingga jumlah yang sepadan
dengan kerusakan dan kenaikannya. hingga 3 tahun penjara. 11

2002 - Sarbanes – Oxley Act: Selama tahun 2000–2002, Amerika menyaksikan banyak
insiden tidak menyenangkan dari penipuan perusahaan yang melibatkan perusahaan-
perusahaan legendaris seperti Enron, Tyco, dan WorldCom. Sebagai contoh, Enron
mengklaim pendapatan lebih dari $ 100 miliar pada tahun 2000 dan menyatakan
kebangkrutan pada tahun berikutnya. MCI-WorldCom mengungkapkan pada tahun 2002
bahwa mereka telah melebih-lebihkan pendapatannya lebih dari $ 72 miliar dalam lima
kuartal terakhir. Penipuan ini dimungkinkan oleh manipulasi curang sistem akuntansi,
diyakini atas perintah kepemimpinan perusahaan. Namun selama persidangan, para CEO
secara konsisten berusaha menghindari kesalahan dengan memohon ketidaktahuan prosedur
akuntansi, dan kepercayaan buta pada letnan mereka yang dibayar tinggi dan berpendidikan
tinggi. Karena pensiunnya sebagian besar orang Amerika diinvestasikan dalam perusahaan
besar yang diperdagangkan secara publik, kejatuhan mereka mempengaruhi kebanyakan
keluarga Amerika. Terdorong untuk bertindak dan memastikan kebenaran dalam pelaporan
keuangan, Kongres memberlakukan Sarbanes-Oxley Act pada tahun 2002. Undang-undang
ini berfokus pada membuat eksekutif kunci secara pribadi bertanggung jawab atas kebenaran
laporan keuangan yang dipimpin oleh perusahaan publik. UU tersebut memiliki tiga
ketentuan utama. Bagian 302 dari Undang-Undang ini mewajibkan CEO dan CFO
perusahaan untuk menandatangani deklarasi pengetahuan pribadi semua informasi dalam
pertemuan tahunan. Bagian 906 dari Undang-Undang mengenakan hukuman pidana termasuk
penjara hingga 20 tahun karena sertifikasi yang salah. Bagian 404 dari Undang-Undang telah
berdampak besar pada profesi keamanan informasi karena mensyaratkan bahwa sertifikasi
dalam Bagian 302 didasarkan pada kontrol internal formal. Ini telah menyebabkan investasi
yang signifikan dalam pengendalian internal atas pelaporan keuangan di perusahaan publik.

2005–2007 - Serangan pengecer: Pada bulan Desember 2006, TJ Maxx melaporkan bahwa
sistem komputernya, yang memproses pembayaran kartu kredit, telah dilanggar (Gambar
1.5). Dalam penyelidikan, ditemukan bahwa pelanggaran telah dimulai satu setengah tahun
yang lalu pada Juli 2005 dan lebih dari 45 juta nomor kartu kredit dan kartu debit telah dicuri.
Ternyata pemimpin kelompok yang terlibat dalam pelanggaran itu adalah Albert Gonzalez,
seorang informan untuk Dinas Rahasia AS dan pada kenyataannya Albert bekerja sama
dengan Dinas Rahasia sehubungan dengan kasus lain pada saat serangan-serangan ini.
Investigasi juga mengungkapkan bahwa grup tersebut juga meretas sistem di pengecer lain
seperti BJ's Wholesale Club, DSW, Office Max, Pasar Boston, Barnes & Noble, dan Otoritas
Olah Raga. Modus operandi grup adalah berkendara di sepanjang US Route 1 di Miami dan
mencari toko yang tidak aman dengan jaringan nirkabel untuk memasuki jaringan
perusahaan. Kemudian kelompok meningkatkan metodologi dan menggunakan serangan
injeksi SQL untuk memasuki jaringan di Hannaford Brothers dan Heartland Payment
Systems, sebuah perusahaan pemrosesan pembayaran kartu kredit. Lebih dari 125 juta nomor
kartu kredit diperkirakan telah dicuri dari Heartland, dan perusahaan memperkirakan
kerusakan lebih dari $ 12 juta. Pada Maret 2010, Albert Gonzalez dijatuhi hukuman 20 tahun
penjara. Dia juga kehilangan lebih dari $ 1,65 juta yang diperolehnya dari menjual kartu
kredit palsu berdasarkan informasi yang dicuri. Insiden ini menggarisbawahi bahwa bahkan
perusahaan besar memiliki kelemahan keamanan informasi yang mencolok, yang dapat
menyebabkan rasa malu dan kerugian yang serius. Serangan injeksi SQL khususnya
menciptakan kesadaran akan perlunya memperhatikan keamanan informasi selama
pengembangan perangkat lunak, dan memperkenalkan istilah "SDLC aman" ke leksikon TI.

2008 - Penolakan serangan layanan di Georgia: Bertepatan dengan perang militer antara
Georgia dan Rusia pada 2008, Georgia adalah korban serangan penolakan layanan yang
didistribusikan secara besar-besaran. Serangan-serangan tersebut merusak situs web banyak
media dan organisasi pemerintah, membatasi kemampuan mereka untuk mengomunikasikan
sudut pandang mereka tentang perang kepada warga mereka (Gambar 1.6). Keadaan kejadian
itu membuat banyak orang percaya bahwa serangan cyber disebabkan oleh Rusia sebagai
12

bagian dari strategi perang. Jika demikian, ini adalah insiden perang cyber pertama yang
diketahui digunakan sebagai instrumen perang.
Juni 2009 - Pembentukan Komando Cyber AS: Pada bulan April 2009, Wall Street Journal
melaporkan bahwa penyusup telah membobol jaringan komputer kontraktor pertahanan yang
mengembangkan Joint Strike Fighter, yang juga disebut F-35 Lightning II. Proyek senilai $
13

300 miliar ini adalah program senjata paling mahal dari Departemen Pertahanan, dan
menggunakan 7,5 juta baris kode komputer. Penyusup telah mencuri terabyte data yang
terkait dengan desain dan elektronik pesawat. Diyakini bahwa pencurian akan membantu
musuh merencanakan pertahanan mereka melawan pejuang. Kontraktor yang terlibat dalam
proyek ini termasuk Lockheed Martin, Northrop Grumman, dan BAE Systems. Juga pada
bulan April, Wall Street Journal melaporkan bahwa jaringan listrik AS telah ditembus oleh
mata-mata dari Cina, Rusia, dan negara-negara lain. Mata-mata itu juga memasukkan
perangkat lunak komputer ke dalam kisi, yang dapat digunakan untuk menyebabkan
kerusakan dengan remote control. Segera sesudahnya, pada tanggal 23 Juni 2009, Komando
14

Cyber AS diciptakan untuk mempertahankan jaringan komputer militer AS terhadap serangan

dari musuh dan juga untuk menanggapi di dunia maya seperlunya). Pada saat penciptaan
komando baru, ada kekhawatiran bahwa inisiatif tersebut mungkin memberlakukan
pembatasan yang tidak semestinya pada Internet sipil dengan dalih pertahanan.

2010 - Operasi Aurora dan Google-Cina: Pada 12 Januari 2010, sebuah posting blog oleh
Kepala Pejabat Hukum Google melaporkan bahwa perusahaan telah mendeteksi upaya untuk
mencuri kekayaan intelektualnya yang berasal dari China (Gambar 1.7). Serangan-serangan
itu juga ditujukan untuk mengakses E-mail aktivis hak asasi manusia Tiongkok. Pemerintah
AS segera meningkatkan insiden itu dengan Kongres mengumumkan niatnya untuk
menyelidiki tuduhan tersebut dan Sekretaris Negara memberi label sensor China terhadap
Internet ke Tembok Berlin era informasi. Investigasi lebih lanjut melacak serangan ke dua
institusi pendidikan di China - Universitas Shanghai Jiao tong dan Sekolah Kejuruan
Lanxiang. Jiao tong adalah rumah bagi salah satu program ilmu komputer elit China, dan
Lanxiang terlibat dalam pelatihan ilmuwan komputer untuk militer Tiongkok . Namun Cina
15  

membantah keterlibatan resmi pemerintah dan menyebut serangan itu hanya upaya oleh para
siswa untuk memperbaiki keterampilan komputer mereka.
17 April 2011 - Sony PlayStation Network (PSN): Sony mengumumkan bahwa intrusi
eksternal telah mengkompromikan PlayStation Network dan layanan Qriocity miliknya, dan
bahwa peretas telah memperoleh informasi pribadi tentang 70 juta pelanggan jaringan.
Perusahaan tidak dapat mengesampingkan kemungkinan bahwa nomor kartu kredit mungkin
juga telah dicuri. Sebagai tanggapan, perusahaan mengambil jaringan offline ketika mencoba
untuk memastikan bahwa semua jejak perangkat lunak yang menyinggung telah dihapus dari
jaringan. Selama ini, jutaan anak di seluruh dunia yang telah merencanakan liburan musim
panas untuk mengejar ketinggalan dengan bermain game online di PSN harus menemukan
cara alternatif untuk menghabiskan waktu mereka. Karena alasan ini, sementara intrusi
mempengaruhi jaringan yang relatif tidak berbahaya, dampaknya terhadap keluarga di
seluruh dunia sangat besar dan hampir setiap keluarga dengan anak-anak mengikuti
perkembangan sehari-hari di sekitar serangan.

Kronologi singkat ini menyoroti bagaimana serangan keamanan informasi telah berkembang
dari pembuktian konsep-konsep teknis menjadi serangan komersial untuk mencuri informasi
kartu kredit. Akhir-akhir ini bahkan pemerintah dicurigai mengejar agenda mereka melalui
kejahatan dunia maya. Di Eropa, kota Rumania yang terpencil, Râmnicu Vâlcea, telah
muncul sebagai titik fokus dalam pencucian uang dunia maya global. Di antah berantah, kota
ini memiliki dealer mobil yang menjual Mercedes-Benz dan mobil mahal lainnya. 16
Respons sosial telah berkembang juga, dari hakim hanya memperingatkan penyusup dan
undang-undang yang membuat pengecualian khusus untuk remaja terlepas dari keterlibatan
mereka yang dikenal dalam serangan cyber (414-an) hingga pemerintah membentuk seluruh
komando militer untuk menangani keamanan cyber.

Definisi keamanan informasi

Itulah latar belakang yang telah menetapkan keprihatinan organisasi tentang keamanan
informasi. Jika Anda jeli, Anda mungkin telah mencatat bahwa insiden tersebut memiliki
dampak berbeda pada keamanan informasi. Dalam kasus 414-an, perhatian utama adalah
hilangnya privasi. Dalam kasus Enron, itu adalah akurasi informasi, dan dalam kasus
Georgia, itu adalah kemampuan warga negara untuk mengakses informasi yang relevan.

Keamanan informasi dapat memiliki arti yang berbeda bagi orang yang berbeda. Keamanan
informasi sekarang didefinisikan sebagai melindungi informasi dan sistem informasi dari
akses, penggunaan, pengungkapan, gangguan, modifikasi, atau perusakan tanpa izin untuk
memberikan integritas, kerahasiaan, dan ketersediaan.

Sementara definisi di atas didasarkan pada kode hukum Amerika Serikat (bagian 3542, Bab
35, judul 44), definisi tersebut sangat konsisten di seluruh industri. Misalnya, RFC 2196
17 18, 19

tentang keamanan informasi menyatakan bahwa tujuan dasar keamanan adalah ketersediaan,
kerahasiaan, dan integritas.

Triad CIA

Hukum menulis dimensi keamanan informasi secara berurutan - integritas, kerahasiaan, dan
ketersediaan. Namun, ketiga dimensi ini lebih baik diingat dalam urutan yang sedikit berbeda
sebagai triad CIA, di mana C berarti kerahasiaan, I untuk integritas, dan A untuk
ketersediaan.

Untuk menjaga simetri dengan frasa populer ini, selanjutnya kami akan membahas dimensi
keamanan informasi dalam urutan triad ini - kerahasiaan, integritas, dan ketersediaan.

Kerahasiaan

Menurut bagian 3542 dari kode AS, Kerahasiaan berarti menjaga pembatasan yang sah atas
akses dan pengungkapan, termasuk cara untuk melindungi privasi pribadi dan informasi hak
milik.

Hukum mengakui hak individu untuk privasi, dan hak tersebut meluas ke informasi yang, jika
dipublikasikan, dapat membahayakan atau mempermalukan orang tersebut. Kerahasiaan
adalah tanggung jawab penjaga informasi untuk memberikan privasi itu kepada individu yang
informasinya mereka miliki. Semua contoh pencurian kartu kredit yang dibahas dalam bab ini
berkaitan dengan kegagalan organisasi untuk menjaga kerahasiaan informasi yang mereka
miliki.

Jika Anda meminta kebanyakan orang untuk mendefinisikan keamanan informasi, mereka
biasanya akan merespons dengan beberapa varian "keamanan informasi berarti tidak
kehilangan informasi kartu kredit." Kebanyakan orang mengaitkan keamanan informasi
dengan kerahasiaan.

Integritas
Integritas berarti menjaga terhadap modifikasi atau perusakan informasi yang tidak benar,
dan termasuk memastikan informasi tidak dapat disangkal dan dibuktikan keasliannya.

Ketika Anda menarik informasi dari sistem informasi, misalnya, nilai Anda dari universitas,
atau pernyataan bulanan dari rekening bank Anda, Anda percaya bahwa informasi yang
diberikan dapat diandalkan dan dapat ditindaklanjuti. Misalnya, ketika bank melaporkan
saldo dalam rekening giro Anda, Anda tidak menganggap perlu untuk menghitung total
kredit, debit, dan pendapatan bunga sendiri untuk memverifikasi jumlahnya. Sebaliknya,
Anda percaya bahwa bank telah membuat perhitungan yang benar. Bayangkan betapa
rumitnya kehidupan jika informasi yang Anda terima dari sistem TI tidak dapat dipercaya
akurat. Integritas adalah aspek keamanan informasi yang mencegah hal itu terjadi.

Dalam contoh di atas, ketidakmampuan sistem TI untuk mencegah eksekutif senior di Enron
dan WorldCom memanipulasi catatan perusahaan untuk melayani kepentingan pribadi
mereka adalah contoh kegagalan integritas.

Ketersediaan

Ketersediaan berarti memastikan akses tepat waktu dan dapat diandalkan ke dan
penggunaan informasi.

Ketika Anda masuk ke situs kursus Anda daring, Anda mengharapkannya online. Yang pada
intinya adalah ketersediaan. Relevansi ketersediaan dengan keamanan informasi cukup jelas.
Sistem informasi yang tidak tersedia adalah sistem informasi yang tidak berguna. Pada
contoh di atas, respons Sony PSN adalah contoh kegagalan ketersediaan. Sebagian besar
virus juga memiliki dampak yang sama - mereka biasanya menghapus file-file penting,
menyebabkan hilangnya ketersediaan. Bahkan jika file pada akhirnya dapat dipulihkan dari
sistem cadangan atau sumber lain, waktu yang hilang dalam memulihkan file-file tersebut
merupakan waktu yang tidak dihabiskan untuk melakukan pekerjaan yang bermanfaat, yaitu,
kurangnya ketersediaan.

Hak untuk privasi

Dari tiga dimensi keamanan informasi, kerahasiaan mungkin yang paling sulit untuk
didefinisikan secara tepat. Ini karena harapan sosial akan privasi sangat dinamis. Apa yang
satu orang anggap pribadi, foto-foto misalnya, orang lain dapat dianggap publik. Apa yang
sebelumnya dianggap pribadi sekarang dapat dianggap publik. Sementara organisasi dapat
dengan keras melindungi privasi karyawan mereka, karyawan yang sama dapat dengan
sukarela membagikan banyak informasi yang sama secara sukarela di jejaring sosial dan situs
web lain.

Faktanya, hak privasi cukup baru dalam hukum AS. Referensi modern pertama datang dalam
sebuah artikel tahun 1890 di Harvard Law Review, di mana Louis Brandeis (yang kemudian
menjadi Hakim Agung) dan rekan hukumnya Samuel Warren menulis: 20
Penemuan baru-baru ini dan metode bisnis meminta perhatian pada langkah selanjutnya
yang harus dilakukan. diambil untuk melindungi orang tersebut, dan untuk mengamankan
kepada individu apa yang Hakim Cooley sebut sebagai hak "untuk dibiarkan sendiri." Foto-
foto seketika dan perusahaan surat kabar telah menyerbu kawasan suci kehidupan pribadi
dan rumah tangga; dan banyak alat mekanis mengancam untuk membuat prediksi yang baik
bahwa "apa yang dibisikkan di lemari akan diproklamirkan dari atap rumah." Selama
bertahun-tahun ada perasaan bahwa undang-undang harus membayar beberapa perbaikan
atas peredaran potret orang pribadi yang tidak sah; . . . Pers melangkahi segala arah batas
kesopanan dan kesopanan yang jelas. Gosip tidak lagi menjadi sumber daya bagi yang
menganggur dan jahat, tetapi telah menjadi perdagangan, yang dikejar dengan industri dan
juga tidak ramah. . . Usaha dan penemuan modern, melalui invasi pada privasinya,
membuatnya menderita sakit mental dan kesusahan, jauh lebih besar daripada yang bisa
ditimbulkan oleh cedera tubuh semata.

Artikel itu adalah ledakan oleh Samuel Warren dalam menanggapi liputan media tentang
peristiwa masyarakat kelas atas pada waktu itu, termasuk peristiwa dalam keluarga Warren
yang mengikuti konvensi sosial pada waktu itu, sangat mempermalukan keluarga Warren. 21

Pembaca mungkin menemukan kesamaan yang menakutkan antara pemikiran-pemikiran ini

dari abad ke-19 dan perdebatan privasi abad ke-21 seputar Facebook dan situs-situs media
sosial lainnya.
22

Dalam beberapa tahun terakhir, ketika kekhawatiran organisasi tentang keamanan informasi
telah meningkat, banyak ahli telah mengusulkan perluasan definisi untuk memasukkan aspek
keamanan informasi seperti tidak dapat disangkal (jika perusahaan mengenakan biaya
layanan yang dipesan melalui telepon ke kartu kredit Anda dan Anda menolak memesan
untuk layanan, bagaimana Anda membuktikan bahwa Anda memang melakukan
pemesanan?). Namun, untuk keperluan teks ini, kami akan fokus pada definisi tradisional
tentang keamanan informasi integritas, kerahasiaan, dan ketersediaan.

Panduan pribadi untuk menjaga keamanan informasi

Jika Anda mempelajari keamanan informasi, mungkin ide yang baik untuk mengembangkan
pidato lift 2 menit tentang keamanan informasi yang menjawab pertanyaan, "bagaimana cara
terbaik menjaga keamanan informasi saya." Anda dapat memperoleh pertanyaan ini dari
teman dan anggota keluarga yang peduli dengan keamanan informasi mereka sendiri. Setiap
profesional akan memberi Anda jawaban yang berbeda, berdasarkan pengalaman mereka
sendiri. Ini milik kita.

Jika Anda ingin menjaga keamanan informasi Anda, Anda akan mendapatkan pengembalian
terbaik untuk upaya Anda dari yang berikut:
Antivirus: Pastikan bahwa Anda menggunakan perangkat lunak antivirus dan langganannya
saat ini. Banyak orang dapat memperoleh perangkat lunak dan berlangganan secara gratis
sebagai bagian dari berlangganan ISP mereka atau dari perusahaan atau sekolah mereka.

Mengotomatiskan pembaruan perangkat lunak: Jika memungkinkan, konfigurasikan sistem

operasi dan perangkat lunak aplikasi Anda untuk menerapkan pembaruan secara otomatis.

Kata Sandi: Jika memungkinkan, gunakan kata sandi yang berbeda di setiap situs yang
memerlukan kata sandi. Jika ini sulit, paling tidak, gunakan dua kata sandi - satu untuk situs
"menyenangkan" seperti buletin, email, dll. Dan lainnya untuk organisasi keuangan seperti
bank dan broker. Jangan pernah membagikan kata sandi keuangan di mana pun atau dengan
siapa pun. Untuk cara mudah menambahkan keamanan, gabungkan kata sandi yang Anda
23

pilih dengan karakter, mis. Kata sandi tidak terlalu sulit untuk diingat, tetapi jauh lebih aman
daripada kata sandi.

RINGKASAN

Bab ini memberikan tinjauan umum tentang keamanan informasi. Kami mulai dengan
melihat mengapa perusahaan merasa perlu berinvestasi dalam keamanan informasi dan
kegiatan apa yang digunakan oleh para profesional keamanan informasi. Ada ulasan cepat
tentang insiden keamanan informasi penting dalam seperempat abad terakhir. Kami melihat
bagaimana berdasarkan pengalaman ini, industri telah mendefinisikan keamanan informasi
sebagai trias CIA - kerahasiaan, integritas, dan ketersediaan.

Di sisa buku ini, kami akan fokus pada pengembangan keterampilan untuk menerapkan
keamanan informasi. Kami mulai dengan administrasi sistem penting dan skrip sehingga
siswa dapat bereksperimen dengan teknologi sepanjang semester. Kami melakukan ini karena
menurut pendapat kami, administrasi sistem dan keterampilan menulis adalah pembeda yang
sangat penting di tempat kerja, terutama untuk posisi entry-level. Kami kemudian beralih ke
masalah yang lebih konseptual di Bagian 2. Untuk menerapkan keamanan informasi, kami
menyajikan kerangka kerja yang terdiri dari aset, kerentanan, ancaman, dan kontrol dan
menunjukkan bagaimana aset ditentukan, ancaman diidentifikasi, dan insiden ditangani.
Akhirnya, di Bagian 3, kami memeriksa konteks manajerial dan peraturan.

CONTOH KASUS - WIKILEAKS, KABEL GATE, DAN REIGN GRATIS LEBIH

DARI JARINGAN KLASIFIKASI

Pada bulan Februari 2010, WikiLeaks yang relatif tidak dikenal mulai merilis memo rahasia
dari arsip Departemen Luar Negeri AS. Pada musim panas 2010, WikiLeaks mencapai
kesepakatan dengan surat kabar terkemuka di seluruh dunia, termasuk New York Times di
Amerika Serikat dan Der Spiegel di Jerman, untuk menerbitkan kabel yang dipilih dari arsip
dalam bentuk redacted, yaitu, setelah menghapus informasi pengidentifikasian. Yang pertama
diterbitkan pada November 2010. Pada September 2011, keamanan pada file di WikiLeaks
telah dikompromikan dan semua memo terlihat online dalam bentuk teks lengkap kepada
siapa pun. Sekitar setengah dari memo yang bocor diklasifikasikan sebagai "tidak rahasia,"
45% adalah "rahasia," dan sisanya ditandai "rahasia." Tidak ada memo yang bocor yang
diklasifikasikan sebagai "sangat rahasia." Insiden itu telah mengakuisisi moniker
"Cablegate."

WikiLeaks adalah organisasi nirlaba yang diluncurkan pada 2007. Kekuatan utama di balik
Wikileaks adalah Julian Assange, seorang programmer komputer yang sangat kompeten dari
Australia, yang memiliki semangat kuat untuk melakukan reformasi menggunakan kebebasan
pers. Dengan demikian, misi Wikileaks adalah untuk membantu pelapor mencapai wartawan
secara anonim dengan menyediakan kotak drop elektronik yang aman dan anonim. Ini
dimotivasi oleh prinsip-prinsip kebebasan berbicara dan penerbitan media. Ia bangga dengan
catatannya membela jurnalis dan sumber anonimnya terhadap serangan hukum dan politik
yang bertujuan mendapatkan identitas sumber-sumber ini.

Memo yang dibocorkan oleh Wikileaks adalah hasil dari upaya pengumpulan informasi
selama beberapa dekade oleh kantor diplomatik AS dari seluruh dunia. Memo paling awal
tanggal kembali ke tahun 1966 dan kebocoran itu merupakan sumber yang memalukan bagi
Departemen Luar Negeri AS. Memo yang bocor itu merangkum analisis para pemimpin
dunia dan diplomat AS. Mencerminkan realitas geopolitik, seringkali analisis ini
bertentangan dengan posisi publik para pemimpin. Para pemimpin membagikan analisis
mereka terutama berdasarkan kepercayaan penuh pada kemampuan Departemen Luar Negeri
AS untuk menjaga kerahasiaan informasi dan identitas mereka. Dengan tidak adanya
informasi yang bocor di masa lalu, para diplomat AS di seluruh dunia memiliki tingkat
kredibilitas yang tinggi dalam komunitas diplomatik. Ini memberi mereka akses tak
tertandingi ke informasi sensitif dan istimewa.

Bahkan, begitu memo itu bocor, surat kabar terkemuka di banyak negara menerbitkan kutipan
dari memo yang berkaitan dengan negara mereka untuk memuaskan rasa penasaran para
pembaca tentang apa yang diketahui Amerika Serikat tentang negara mereka.

Sumber - Pfc Bradley Manning

Kelas Satu Pribadi (Pfc) Bradley Manning adalah seorang prajurit tentara AS, berusia 23
tahun pada saat Cablegate. Dia mendaftar di Angkatan Darat pada tahun 2007 dan dilatih
sebagai analis Intelijen. Sekitar waktu ini, melalui teman-teman, ia juga berhubungan dengan
komunitas programmer-antusias di Universitas Brandeis dekat Boston. Pada 2008, ketika ia
dikerahkan ke Irak, pekerjaannya memberinya akses ke dua jaringan informasi - SIPRNet dan
Sistem Komunikasi Intelijen Sedunia Bersama (JWICS). Lebih dari 3 juta personel dan
tentara Pemerintah AS memiliki akses ke jaringan ini. Akses luas ke jaringan ini adalah hasil
dari serangan 9/11 di mana diyakini bahwa kesenjangan dalam berbagi informasi di dalam
pemerintah bertanggung jawab setidaknya sebagian atas kegagalan Pemerintah AS untuk
mencegah serangan.

Melalui jaringan ini, Pfc Manning memperoleh akses ke memo yang bocor. Suatu waktu di
tahun 2009-2010, dia memutuskan untuk mengirimkan memo rahasia ini ke Wikileaks. Pada
Mei 2010 Adrian Lamo, mantan peretas dan sumber informasi tentang komunitas peretas
diprofilkan di majalah Wired. Mungkin karena artikel itu, Pfc Manning menghubungi Lamo
dan mengobrol dengannya di AOL Instant Messenger (IM). Selama obrolan, Manning
mengungkapkan bahwa ia telah membocorkan memo dan menyarankan motivasinya untuk
melakukannya. Lamo memutuskan untuk melaporkan hal ini kepada pihak berwenang, yang
menyebabkan penangkapan Pfc Manning dan pengungkapan identitas sumber Wikileaks.
Majalah Wired menerbitkan transkrip obrolan antara Pfc Manning dan Adrian Lamo. 24
Salah satu kalimat yang paling berkesan dalam transkrip ini adalah (12:15:11 PM):
pertanyaan hipotetis: jika Anda bebas berkuasa atas jaringan rahasia untuk jangka waktu yang
lama. . . katakanlah, 8–9 bulan. . . dan Anda melihat hal-hal luar biasa, hal-hal buruk. . . hal-
hal yang termasuk dalam domain publik, dan bukan pada beberapa server yang disimpan di
ruangan gelap di Washington DC. . . apa yang akan kamu lakukan?

Pfc Manning didakwa di hadapan pengadilan militer pada 23 Februari 2012, dengan
pelanggaran termasuk membantu musuh. Meskipun membantu musuh adalah pelanggaran
berat (yaitu, dapat menyebabkan hukuman mati), jaksa tidak mencari hukuman mati dalam
kasus ini.

DAFTAR PUSTAKA

http://en.wikipedia.org/wiki/United_States_diplomatic_cables_leak

http://en.wikipedia.org/wiki/Bradley_Manning

http://www.bbc.co.uk/news/world-11047811

http: // www. wired.com/threatlevel/2011/07/manning-lamo-logs/

http://www.cablegatesearch.net/

BAB TINJAUAN PERTANYAAN

1) Apa saja kekuatan keamanan informasi sebagai pilihan karier?

2) Apa saja cara di mana informasi yang dicuri dapat digunakan untuk keuntungan?
3) Apa sajakah cara yang paling umum di mana kecerobohan pengguna akhir dapat
menyebabkan hilangnya informasi sensitif?
4) Apa saja tanggung jawab profesional umum dari para profesional keamanan informasi?
5) Berikan deskripsi singkat tentang aktivitas yang menghabiskan waktu sebagian besar
profesional keamanan informasi mereka.
6) Jelaskan secara singkat keterampilan yang paling penting yang diharapkan dimiliki oleh
para profesional keamanan informasi untuk berhasil dalam pekerjaan mereka.
7) Bagaimana perkembangan teknologi jaringan komputer (TCP / IP) yang murah
mempengaruhi keamanan informasi?
8) Jelaskan secara singkat aktivitas geng 414-an.
9) Jelaskan secara singkat dampak geng 414 terhadap keamanan informasi.
10) Jelaskan secara singkat worm Morris. Apa sajakah faktor yang membuatnya menjadi
tengara dalam evolusi keamanan informasi?
11) Apa dampak Windows 95/98 terhadap keamanan informasi?
12) Bagaimana HIPAA (UU Portabilitas dan Akuntabilitas Asuransi Kesehatan)
memengaruhi profesi keamanan informasi?
13) Apa ketentuan dalam tindakan Sarbanes-Oxley yang terkait dengan keamanan informasi?
14) Apa sajakah faktor langsung yang menyebabkan penciptaan Komando Dunia Maya AS?
15) Berikan deskripsi singkat tentang Komando Cyber AS dan aktivitasnya.
16) Apa operasi Aurora?
17) Jelaskan secara singkat pemadaman yang memengaruhi Sony PlayStation Network pada
2011.
18) Apa itu keamanan informasi?
19) Apa kerahasiaan itu?
20) Apa itu integritas?
21) Apa ketersediaan?
22) Berikan contoh pelanggaran kerahasiaan.
23) Berikan contoh pelanggaran integritas.
24) Berikan contoh pelanggaran ketersediaan.
25) Menurut Anda, manakah yang paling penting dari ketiga komponen keamanan informasi?
Mengapa?

CONTOH PERTANYAAN KASUS

1) Dari tiga dimensi keamanan informasi, manakah yang dipengaruhi oleh Cablegate?
2) Menurut Anda apa yang memotivasi Pfc Bradley Manning untuk melepaskan memo ke
Wikileaks, dan kemudian mendiskusikan tindakannya dengan Adrian Lamo, yang sangat
menyadari risiko dari tindakan ini?
3) Berdasarkan informasi yang tersedia untuk umum, apa saja tindakan yang diambil oleh
Pemerintah AS untuk mengamankan memo?
4) Sejauh mana tindakan ini efektif?
5) Jika Anda bertanggung jawab atas keamanan informasi memo ini, apa yang akan Anda
lakukan untuk mencegah insiden seperti Cablegate terjadi?
6) Menurut Anda mengapa tindakan yang direkomendasikan di atas tidak diambil oleh para
ahli yang bertanggung jawab atas keamanan informasi memo ini?

KONTEKTIVITAS TANGAN - INSPEKTOR GUDANG LEMBUT,

STEGANOGRAFI

Kegiatan langsung dalam setiap bab dirancang untuk membantu Anda menjadi terbiasa
dengan alat-alat umum yang digunakan oleh para profesional keamanan informasi. Kegiatan-
kegiatan ini juga membantu Anda menerapkan materi yang dibahas dalam bab ini dalam
konteks sistem nyata.

Inspektur Perangkat Lunak Secunia Online

Sebagai aktivitas langsung pertama, Anda akan menggunakan sumber daya sederhana dan
gratis untuk mengidentifikasi masalah keamanan paling penting di komputer yang Anda
gunakan untuk pekerjaan sehari-hari. Proses ini disebut audit, dan alat audit PC tersedia dari
banyak perusahaan perangkat lunak dan ISP. Meskipun latihan ini menggunakan alat yang
disediakan oleh salah satu perusahaan tersebut - Secunia, Anda bebas menggunakan alat
serupa dari penyedia pilihan Anda.

Inspektur Perangkat Lunak Online Secunia tersedia dari situs web perusahaan. Halaman web
25

produk muncul seperti pada Gambar 1.8.

Menggunakan perangkat lunak ini sangat mudah. Mengklik tombol "Mulai Pemindai" pada
halaman memulai pemindaian dengan opsi default dan pemindaian membutuhkan beberapa
menit untuk menyelesaikannya. Setelah selesai, laporan muncul di bagian bawah halaman.
Laporan sampel ditunjukkan pada Gambar 1.9.

Laporan menunjukkan bahwa komputer yang dipindai memiliki banyak aplikasi perangkat
lunak yang perlu diperbarui ke versi terbaru mereka. Kita telah melihat dalam bab ini
bagaimana versi perangkat lunak yang lebih lama biasanya mengetahui kerentanan yang
dapat dieksploitasi oleh virus dan peretas. Merupakan ide bagus untuk menjalankan alat audit
secara berkala seperti ini dan memperbarui atau menghapus perangkat lunak yang sudah
ketinggalan zaman.

Pertanyaan audit PC
1) Jalankan alat audit PC seperti Software Online Secunia Inspektur di salah satu komputer
di rumah Anda. Kirimkan a tangkapan layar seperti yang ditunjukkan pada Gambar 1.9.
2) Apa saja tindakan yang Anda pertimbangkan setelah melihat hasil audit PC Anda?

 Steganografi 26

Latihan ini memberi Anda kesempatan untuk melihat "sisi gelap" keamanan informasi. Anda
akan bertindak sebagai seorang revolusioner yang mencoba diam-diam mengirim pesan ke
teman. Anda mencoba memperbaiki waktu dan tempat rapat dengan sekelompok teman.
Anda percaya bahwa semua email Anda sedang dipindai.

Meskipun ada banyak cara untuk melakukan ini, dalam latihan ini Anda akan menggunakan
metode yang sangat mudah dan menarik - Anda akan menyembunyikan teks dengan
informasi yang relevan di dalam gambar (misalkan logo universitas Anda) dan
mengirimkannya ke teman-teman Anda. Jika teman Anda tahu ke mana harus mencari,
mereka dapat dengan mudah mendapatkan informasi.

Tujuan dari latihan ini adalah untuk menunjukkan betapa mudahnya menciptakan tantangan
keamanan informasi dan karenanya betapa sulitnya untuk menghilangkan masalah keamanan
informasi.
Untuk melakukan latihan, Anda perlu yang berikut:

1) File gambar. Meskipun hampir semua gambar dapat digunakan, akan lebih mudah untuk
mengambil file .jpg atau .gif kecil. Biasanya logo sekolah Anda akan berfungsi dengan
baik. Simpan file di komputer Anda. Dalam latihan ini, kami akan menganggap bahwa
semua file disimpan di folder Unduhan. Ini adalah lokasi yang sangat nyaman di
komputer Windows dan Mac. Untuk contoh ini, file tersebut disebut logo.gif (jika gambar
gif) atau logo. jpg (jika gambar jpg).
2) File teks yang berisi tanggal, tempat, dan waktu rapat. Simpan file di folder yang sama
dengan gambar di atas (cara mudah untuk membuat file ini adalah dengan membuka
Notepad, ketik konten dan simpan file di folder Unduhan). Untuk contoh ini, file tersebut
disebut msg.txt.

Ketika Anda menyelesaikan hal di atas, folder Unduhan Anda akan terlihat seperti pada
Gambar 1.10.
Kami sekarang siap untuk menyembunyikan file teks di dalam file gambar. Anda perlu
membuka Command prompt untuk ini. Di Windows, ini diakses dari Semua program →
Aksesori → Prompt Perintah. Di Mac, ini diakses dari Aplikasi → Utilitas → Terminal.
Untuk mencapai folder Unduhan, ketikkan perintah:

Cd Documents\Downloads

Pada Windows, perintah berikut ini akan menambahkan file2 di akhir file1 dan menyimpan
hasilnya sebagai file3:
Copy /B file1+file2 file3
Untuk menggunakan perintah ini untuk menyembunyikan file teks kita di file gambar, kita
dapat menggunakan perintah berikut:
Copy /B logo.jpg+msg.txt ico.jpg (for the jpg image)
Copy /B logo.gif+msg.txt ico.gif (for the gif image)
Urutan perintah ditunjukkan pada Gambar 1.11.
Setelah Anda menjalankan perintah ini, konten Anda
Folder unduhan muncul seperti yang ditunjukkan pada Gambar 1.15 (untuk melihat pratinjau
gambar, Anda dapat memilih Tampilan → Ikon besar).
Anda mungkin memperhatikan bahwa gambar yang dimanipulasi (ico.gif dan ico.jpg) tidak
dapat dibedakan dari gambar aslinya (masing-masing logo.gif dan logo.jpg). Seseorang yang
tidak mengetahui aktivitas Anda tidak akan menemukan kesalahan dalam gambar yang
dimanipulasi. Anda dapat memverifikasi bahwa gambar-gambar ini dapat dibuka di browser
dan aplikasi lain dan dapat digunakan di mana saja gambar dapat digunakan.

Tetapi bagaimana teman Anda dapat memulihkan informasi yang disembunyikan di dalam
gambar?
Ternyata, itu cukup mudah; mereka hanya perlu menggunakan aplikasi yang tepat - Notepad
dalam hal ini. Mulai Notepad, pilih File → Buka dan navigasikan ke folder Unduhan. Ubah
tipe file menjadi Semua file (*. *) Seperti pada Gambar 1.13 dan pilih file ico.gif atau ico.jpg.
Abaikan teks yang tidak dapat dibaca dan gulir ke bagian akhir file. Anda akan melihat
sesuatu seperti apa yang Anda lihat pada Gambar 1.14. Anda melihat bahwa adalah mungkin
untuk menciptakan tantangan keamanan informasi yang menarik dengan menggunakan alat
TI sederhana setiap hari yang tersedia untuk semua orang. Anda juga dapat menghargai
mengapa kemungkinan ini menciptakan mimpi buruk bagi para profesional keamanan
informasi.
Apa yang Anda lakukan dalam latihan ini disebut Steganografi - menyembunyikan informasi
sedemikian rupa sehingga tidak ada yang mencurigai keberadaan pesan tersebut.

Pertanyaan steganografi

1) Buat satu gambar steganografi mengikuti petunjuk di bagian ini.

2) Kirimkan hasil cetakan dari gambar asli, gambar yang dimodifikasi, dan tangkapan layar
dari teks yang tertanam dalam gambar seperti pada Gambar 1.14.

LATIHAN BERPIKIR KRITIS: IDENTIFIKASI DAERAH CIA YANG

MEMPENGARUHI SAMPEL INSIDEN HACKING LIFE-LIFE
Bab ini memperkenalkan beberapa insiden keamanan informasi yang paling merusak (dan
karenanya terkenal). Ini tercantum dalam Tabel 1.1 untuk kenyamanan Anda. Untuk setiap
insiden, identifikasi area keamanan informasi (kerahasiaan, integritas, atau ketersediaan)
yang paling terpengaruh. Meskipun kami belum membahas langkah-langkah yang diambil
organisasi untuk membela diri terhadap insiden semacam ini, buat upaya awal untuk
mengidentifikasi beberapa tindakan yang dapat dilakukan organisasi untuk memastikan
bahwa insiden ini tidak terjadi pada mereka.

DESAIN KASUS

Untuk memberikan siswa kesempatan untuk berjalan melalui proses pengembangan arsitektur
keamanan informasi untuk suatu organisasi, kami akan menggunakan case desain berulir
yang berjalan di sepanjang buku ini. Di setiap bab, Anda akan menggunakan konsep-konsep
yang dicakup dalam bab ini untuk membangun arsitektur keamanan informasi untuk
organisasi. Untuk membantu dalam latihan ini, bab-bab dalam buku ini diatur dalam kira-kira
urutan di mana masalah yang relevan dengan keamanan informasi dibahas dalam praktik.
Karena itu, aktivitas Anda di bab-bab sebelumnya akan membantu Anda membangun solusi
Anda di bab-bab selanjutnya.

Organisasi yang kami pertimbangkan dalam kasus ini adalah universitas negeri tipikal. Kami
menyebutnya Universitas Negeri Sunshine. Universitas modern seperti Sunshine State
University memiliki karakteristik bisnis menengah hingga besar. Mereka melayani hingga
20.000 pengguna yang menuntut, memiliki ribuan karyawan, memiliki anggaran lebih dari
satu miliar dolar, dan mematuhi berbagai peraturan. Untuk memenuhi kebutuhan semua
konstituensi ini, universitas memiliki semua proses bisnis dan sistem TI yang ditemukan di
perusahaan tipikal seperti SDM, penggajian, keuangan, dan perjalanan di samping layanan
khas seperti email dan kalender. Juga, banyak pusat penelitian di universitas bertindak
sebagai pemelihara data pribadi sensitif yang terkait dengan proyek penelitian, menciptakan
kebutuhan keamanan informasi yang sebanding dengan kebutuhan sebagian besar bisnis
besar. Bahkan, tidak mengherankan untuk menemukan universitas negeri menjadi beberapa
penyebaran terbesar teknologi informasi terkemuka.

Dari perspektif mahasiswa dan fakultas, salah satu keuntungan terbesar dari menggunakan
universitas sebagai konteks untuk kasus desain berulir adalah bahwa hal itu sangat akrab bagi
semua orang. Jika perlu, fakultas dapat menyesuaikan konteksnya agar sesuai dengan
kebutuhan khusus lembaga mereka. Dalam kebanyakan kasus, siswa akan mengalami
beberapa masalah yang dibahas dalam kasus ini, yang sangat memudahkan pembelajaran.

Organisasi

Sunshine State University adalah Universitas Negeri. Seperti banyak universitas negeri,
sekitar 30% dari pendanaannya berasal dari pajak negara; 30% lainnya berasal dari uang
sekolah siswa, dan 30% dari bantuan keuangan siswa (Gambar 1.15). Sisanya 10% berasal
dari berbagai sumber termasuk hibah penelitian, kontribusi alumni, dan program akademik
yang menghasilkan pendapatan seperti pendidikan eksekutif. Universitas ini berusaha untuk
bergerak ke arah profil yang lebih elit dengan mengurangi ketergantungannya pada pajak
negara dan biaya kuliah masing-masing sekitar 20%. Perbedaannya akan dibuat dengan
meningkatkan pendapatan dari sumber lain menjadi sekitar 30% dari total anggaran dari 10%
saat ini. Pendaftaran saat ini di Sunshine State University adalah sekitar 20.000 siswa. Untuk
melayani siswa ini, universitas memiliki sekitar 700 anggota fakultas (mengarah ke rasio
mahasiswa-fakultas sekitar 29). Ada juga sekitar 1.500 personel pendukung administrasi yang
melakukan fungsi-fungsi seperti konseling akademik, beasiswa, IT, keuangan, penggajian,
manajer kantor, dan sebagainya.

Untuk meningkatkan pengalaman pendidikan siswa, Sunshine State University telah mulai
meningkatkan fokusnya pada peluang penelitian untuk mahasiswa pascasarjana dan sarjana.
Pada saat ini, penekanan ini dipimpin oleh perguruan tinggi Teknik dan Kedokteran. Baru-
baru ini mempekerjakan anggota fakultas di kedua perguruan tinggi ini memiliki catatan kuat
untuk menarik dana penelitian dari sumber-sumber seperti National Science Foundation dan
National Institutes of Health. Sementara proyek-proyek ini menciptakan peluang besar bagi
siswa untuk mendapatkan beasiswa saat mengerjakan proyek penelitian, administrator
universitas telah disarankan oleh rekan-rekan mereka bahwa universitas harus meningkatkan
sistemnya untuk menangani data yang dibuat oleh proyek-proyek ini. Universitas telah
dibawa ke pengadilan karena melanggar privasi subjek penelitian dan mahasiswa. 27

Struktur organisasi

Ekstrak dari struktur organisasi universitas ditunjukkan pada Gambar 1.16. Diskusi dalam
buku ini akan terbatas pada unit-unit universitas ini. Provost bertanggung jawab atas semua
Urusan Akademik di kampus. Chief Operating Officer bertanggung jawab untuk semua
kegiatan bisnis dan keuangan di kampus. Penasihat Umum mengelola urusan hukum dan
kepatuhan.

Mahasiswa di Fakultas Kedokteran melakukan residensi di Rumah Sakit Downtown

setempat. Rumah sakit itu sendiri adalah bagian dari konglomerat yang lebih besar dan
memiliki personel pendukung TI sendiri. Sebuah proyek penelitian utama yang diprakarsai
oleh fakultas perguruan tinggi telah mendaftarkan 4.000 anak yang baru lahir untuk
mempelajari dampak medis dari interaksi antara faktor lingkungan dan struktur genetik. Studi
ini akan mengikuti anak-anak ini hingga 15 tahun. Perguruan tinggi memelihara layanan IT-
nya sendiri yang terutama terdiri dari menyediakan layanan email dan penyimpanan dokumen
bersama.

College of Fine Arts dikenal dengan School of Art-nya, lulus beberapa seniman grafis
terkenal. Meskipun lokasi universitas bukan rumah bagi studio film besar, beberapa
lulusannya baru-baru ini memanfaatkan kemampuan video kamera DSLR untuk
mendapatkan kesuksesan sebagai sutradara film dalam sirkuit film indie. 28
Sekolah teknik mulai mendapatkan daya tarik dengan agen-agen pendanaan, menarik
beberapa dana awal dari Departemen Pertahanan AS untuk mengembangkan sensor dan
aplikasi terkait untuk penyebaran medan perang.
Selain kegiatan pengajaran dan penelitian regulernya, kampus bisnis mendukung bisnis
minoritas lokal di masyarakat dengan menyediakan inkubator bisnis, di mana bisnis kecil
yang kurang beruntung (SDB) dapat memanfaatkan sumber daya TI dan membimbing dari
fakultas lokal dalam menulis proposal bisnis, pemasaran, distribusi, dll. 29
Perpustakaan itu kecil tapi sangat aktif. Selain layanan perpustakaan tradisional, perpustakaan
menawarkan gelar sarjana dan pascasarjana dalam ilmu perpustakaan. Perpustakaan secara
aktif mencari kemitraan dengan vendor dan penerbit untuk bermigrasi ke model buku teks
elektronik. Mereka juga memimpin upaya untuk menggabungkan koleksi dengan
perpustakaan pemerintah negara bagian dan lokal lainnya dan meningkatkan sistem pinjaman
antar perpustakaan mereka.
Layanan Siswa mendukung siswa dengan memperhatikan kebutuhan mereka yang tidak
terkait dengan kursus seperti pinjaman siswa, perumahan, kode etik, pemerintahan siswa, dan
organisasi siswa lainnya.
Layanan bisnis dan keuangan di kampus sebagian besar terpusat. Komponen layanan
administrasi menangani pembelian, pembangunan fisik, pemeliharaan lahan, dan Kepolisian
Universitas. Mereka juga berurusan dengan penggajian, prosedur perekrutan, dan tunjangan.
Teknologi Informasi berkaitan dengan semua upaya TI di seluruh perusahaan, termasuk
Sistem Bisnis Perusahaan. Sistem Informasi Siswa, sistem SDM, dan sistem penggajian dan
keuangan dioperasikan secara terpusat oleh TI.
Beberapa layanan tambahan TI dioperasikan sebagai campuran dari layanan terpusat dan
dukungan lokal. Layanan ini mencakup dukungan dan manajemen desktop, manajemen
berbagi file, manajemen cetak, penyediaan akun, dan manajemen server. Untuk menghemat
biaya, pengelolaan beberapa layanan ini dipimpin oleh anggota fakultas yang tidak memiliki
masa jabatan yang tanggung jawab utamanya adalah mengajar kelas. Secara umum, staf
teknis terlalu banyak bekerja, dibayar di bawah, tetapi terlatih dan berkualitas. Mereka
melakukan yang terbaik untuk memenuhi harapan siswa dengan anggaran terbatas.
Departemen keamanan informasi adalah bagian dari TI.
Pertanyaan desain kasus keamanan
Jawablah-pertanyaan berikut sehubungan dengan Sunshine State University:
1. Apa saja cara kelemahan keamanan informasi yang berpotensi menyebabkan malu
atau kerugian finansial bagi universitas?
2. Sebutkan tiga item informasi yang disimpan dalam sistem informasi universitas
tempat universitas diharapkan menjaga kerahasiaan. Apa saja cara kerahasiaan masing-
masing item ini dapat dikompromikan?
3. Sebutkan tiga item informasi yang disimpan dalam sistem informasi universitas
tempat universitas diharapkan mempertahankan integritas? Apa saja cara integritas barang-
barang ini dapat dikompromikan?
4. Sebutkan tiga item informasi yang disimpan dalam sistem informasi universitas
tempat universitas diharapkan mempertahankan ketersediaannya? Apa saja cara di mana
ketersediaan barang-barang ini dapat dikompromikan?
CHAPTER 2

System Administration (Part 1)

Gambaran Umum

Seperti yang kami nyatakan dalam Bab 1, tujuan keamanan informasi adalah untuk
melindungi informasi dan sistem informasi dengan memastikan kerahasiaan, integritas, dan
ketersediaan informasi. Anda telah melihat beberapa contoh tentang bagaimana keamanan
dapat dilanggar dan konsekuensi dari pelanggaran tersebut. Jelas, bisnis ingin membela diri
dan pelanggan mereka. Jadi, bagaimana mereka bisa melakukan itu? Sisa buku ini
dikhususkan untuk menjawab hanya pertanyaan ini. Bab ini memperkenalkan Anda pada
administrasi sistem, salah satu komponen inti dari respons organisasi terhadap masalah
keamanan informasi. Pada akhir bab ini, Anda harus tahu:

 Apa itu administrasi sistem

 Mengapa administrasi sistem penting untuk keamanan informasi

 Apa saja fasilitas administrasi sistem umum yang disediakan oleh sistem perangkat
lunak perusahaan

Pendahuluan
Respons keamanan informasi keseluruhan oleh suatu organisasi memiliki banyak komponen
termasuk prosedur standar, pelatihan pengguna, dan akuntabilitas manajerial. Semua ini akan
dibahas dalam urutan yang sesuai dalam teks ini. Namun, garis pertahanan pertama adalah
upaya yang dilakukan oleh administrator sistem untuk mengamankan sistem informasi kritis.
Administrator sistem adalah orang yang bertanggung jawab atas operasi sehari-hari sistem
teknologi. 1 Mengingat pentingnya keamanan informasi untuk operasi teknologi sehari-hari,
administrator sistem sering juga melakukan peran petugas keamanan sistem. Petugas
keamanan sistem adalah orang yang bertanggung jawab untuk menulis, menegakkan, dan
meninjau prosedur operasi keamanan. Administrator sistem adalah beberapa personel TI
paling penting dalam suatu organisasi.

Bab ini memperkenalkan Anda pada administrasi sistem dan menjelaskan mengapa sangat
penting untuk keamanan informasi. Kami kemudian memperkenalkan Anda ke beberapa
fasilitas administrasi sistem standar yang disediakan oleh perangkat lunak perusahaan umum
menggunakan sistem operasi utama yang saat ini digunakan sebagai contoh. Aktivitas
langsung dalam bab ini memberi Anda kesempatan untuk mengunduh, menginstal, dan
mengkonfigurasi salinan Anda sendiri dari versi yang disesuaikan dari sistem operasi Linux.
Sistem operasi ini telah dikustomisasi oleh penulis buku ini dan mencakup versi teruji dari
utilitas keamanan informasi paling umum yang digunakan oleh administrator sistem. Utilitas
ini akan digunakan dalam kegiatan praktik di bab-bab selanjutnya. Sistem operasi juga
menyertakan simulasi mini dari Sunshine State University, yang mungkin berguna dalam
case desain berulir di Sunshine State University yang digunakan dalam buku ini.

Apa itu sistem administrasi?

Sistem administrasi adalah kumpulan fungsi yang memberikan bantuan pelayanan,
menjamin operasi yang dapat diandalkan, mendukung penggunaan sistem yang efisien, dan
memastikan bahwa tujuan kualitas layanan yang telah ditentukan terpenuhi. Aktifitas yang
termasuk dalam sistem administrasi adalah instalasi, konfigurasi, dan pemeliharaan alat-alat
jaringan (switcher, router, DHCP, server DNS, dan lainnya) dan sistem komputer (sistem
basis data, sistem surel, sistem ERP, dan lainnya). Berdasarkan dari ukurannya dan
kompleksitas dari sistem yang terlibat, waktu yang dibutuhkan untuk memberikan layanan ini
dapat memakan waktu yang beragam mulai dari sedikit waktu dari orang IT perminggunya
atau sampai dengan pembentukan tim khusus yang terdiri dari para administrator,
programmer, dan personel bantuan. Jika Anda pernah memasang perangkat lunak baru atau
mengganti perangkat keras yang cacat pada komputer Anda, maka Anda telah mengerjakan
perkerjaan sistem administrator, walaupun baru pada skala kecil. Pada level ekstrim,
perusahaan seperti Google mempekerjakan ribuan sistem administrator dan personel lainnya
untuk membantu mengerjakan ratusan bahkan ribuan komputer. Setiap menitnya ada sistem
2

perusahaan dalam keadan kritis dan offline yang artinya ada ribuan bahkan jutaan dollar
pendapatan yang hilang. Maka dari itu, sistem administrator yang ahli sangat dicari di
perusahaan industri.

Akhir-akhir ini, sistem administrator telah mulai mengembangkan teknologi bernama mesin
virtual untuk meningkatkan efisiensi dalam penggunaan perangkat keras komputer mereka.
Mesin virtual adalah wadah berupa perangkat lunak yang dapat diisi dengan sistem operasi
dan aplikasi yang dapat dipasang di dalamnya. Mesin virtual berfungsi sama seperti bagian
fisik namun tanpa kemungkinan adanya merusak perangkat lunak. Mesin virtual dapat
dijalankan dan dihentikan sesuai dengan permintaan, berhenti pada waktu jumlah pekerjaan
sedang melunjak, seperti toko online pada musim liburan, mesin virtual dapat bekerja sebagai
web server. Ketika liburan telah selesai maka jumlah pekerjaan kembali normal dan server
virtual yang awalnya ditambah dapat dihapuskan. Itulah contoh penggunaan dari mesin
virtual, pada akhir bagain ini, Anda bisa menciptakan mesin virtual milik Anda sendiri dan
menggunakannya untuk kegiatan langsung yang ada pada buku ini. Ketika perusahaan
merekrut provider IaaS, mereka membeli akses  menggunakan mesin virtual.
Menggabungkan IaaS dan mesin virtual, daripada membeli dan merawat server pada
waktu yang paling sibuk, karena perusahaan belum tentu dapat membayar sejumlah server
yang mereka butuhkan pada waktu-waktu tersebut.
  Sistem administrasi dan keamanan informasi

Pada bagian ini mungkin Anda bertanya “Apa hubungannya sistem administrasi dengan
keamanan informasi?” Padahal sistem administrasi adalah garis depan pertahanan pada
seluruh ketiga dimensi keamanan informasi, yaitu – kerahasiaan, integritas, dan ketersediaan.
Mengenai ketersediaan. Ketika informasi penting, seperti nilai anda, tidak tersedia karena
servernya rusak dan tidak ada cara untuk memperbaikinya, Anda akan terkena dampak
langsung terhadap kerusakan sistem administrasi. Hal itu merupakan tanggung jawab sistem
administratir untuk mengantisipasi masalah tersebut dan menggunakan metode yang tepat
untuk mencegah terjadinya kerusakan perangkat keras yang akan berdampak pada end user.
Hampir seluruh sistem administrator, umumnya menghabiskan waktu untuk merencanakan
perbaikan dan pemulihan dari kerusakan perangkat lunak. Contoh lainnya yaitu, kerahasiaan.
Bagaimana jadinya apabila informasi penting seperti transkrip Anda telah berhasil dicuri dari
sistem yang dimiliki unversitas kemudian dipajang pada suatu web agar semuanya dapat
melihat trnaskrip tersebut? Itu juga merupakan kegagalan sistem administrasi. Itu adalah
tanggung jawab sistem administrator terkait untuk mengantisipasi masalah tersebut dan
menggunakan file permission  yang tepat untuk menjamin orang-orang yang tidak berhak
tidak bisa membaca maupun menyalain transkrip Anda.
Dapat Anda lihat, secara virtual apapun yang dilakukan oleh sistem administrator
lakukan berkaitan dengan keamanan informasi dan aspek teknis keamanan informasi telah
ditujukan untuk sistem administrator. Bagian berikutnya yaitu menjelaskan beberapa tugas
umum yang dikerjakan oleh sistem administrator dan bagian setelah itu yaitu menjelaskan
beberapa alat-alat yang umum diberikan oleh perusahaan sistem perangkat lunak untuk
membantu sistem administrator mengerjakan tugas-tugas ini.

Tugas umum sistem administrasi

Pada setiap tahapan penggunaan teknologi maka ada tugas administrasi yang terlibat. Tugas-
tugas ini termasuk pemasangan dan konfigurasi dari sistem agar dapat digunakan, kontrol
akses dan manajemen pengguna agar pengguna dapat meneumakan apa yang mereka
butuhkan tanpa merusak sistem secara tidak sengaja, pemantauan sistem secara berkelanjutan
untuk menjamin semua komponen beroperasi secara yang diharapkan. Menerapkan
pembaruan hasil dari pemantauan yang menunjukan konerja atau masalah yang berkaitan
dengan masalah keamanan.

Pemasangan dan konfigurasi

Pemasangan adalah kegiatan menulis data yang diperlukan pada lokasi yang tepat di
hardrive komputer untuk menjalankan program perangkat lunak. Tugas pertama ketika
mengatur komputer baru adalah memasang sistem operasi. Jika Anda pernah memasang
sebuah versi Microsoft Windows atau Linux, maka Anda sudah kenal dengan proses ini,
Anda dapat memulai pemasangan komputer baru melalui installation disk, kemudian
menjawab beberapa pertanyaan mengenai konfigurasi, pilih hard drive untuk penyimpanan
instalasi, pilih program apa yang ingin dipasang, kemudian tunggu hingga file-file berhasil
ditransferkan. Langkah-langkah ini mirip di hampir semua OS yang ingin Anda pasang.
Sementara pemasangan dan konfigurasi perangkat lunak ke komputer cukup mudah,
tantangan bagi sistem administrator yaitu untuk mempersingkat proses ini hingga selesai
melalui ratusan maupun riabuan komputer di sebuah perusahaan. Di bagian selanjutnya, kami
memberikan gabaran mengenai beberapa alat yang umumnya digunakan pada tugas-tugas ini.
Konfigurasi adalah kegiatan memilih satu dari banyak kombinasi fitur pada sebuah
sistem. Pemasangan mempunyai beberapa kendala keamanan informasi. Konfigurasi yang
kompleks dapat menyebabkan kerentanan karena interaksi antar komponen dan
ketidakmampuan sistem administrator untuk mengerti kendala-kendala yang mungkin terjadi
pada interaksi ini. Banyak komponen perangkat lunak yang diinginkan tidak dirawat,
membuat keamanan informasi menjadi dalam keadaan berbahaya. Karena alasan ini, maka
moto bagi kalangan konsumen mengenai konfigurasi adalah “ketika ragu, tetap pasang atau
perbarui” namun bagi sistem admnistrator profesional artinya berubah “jika ragu, jangan
pasang maupun memperbarui.”

Kontrol akses dan manajemen pengguna

Kontrol akses adalah kegiatan membatasi akses terhadap sumber-sumber sistem informasi
kepada pengguna, program, dan proses, dan sistem lain yang benar-benar berhak. Kotrol
akses mengatur apa saja yang pengguna dapat lakukan pada sistem tersebut. Biasanya, hal ini
menyangkut tentang file atau direktori  yang pengguna dapat read, modify, atau delete namun
beberapa sistem operasi pun ada yang membatasi hak akses terhadap port jaringan dan
beberapa struktur lapisan OS. Kontrol akses juga dapat diaplikasikan kepada aplikasi, yaitu
seperti membatasi baris atau/dan kolom yang pengguna dapat lihat pada database atau bagian
apa saja yang dapat tersedia untuk diakses pada aplikasi bisnis.
Komponen utama pada kontrol akses adalah manajemen pengguna. Manajemen
pengguna merujuk kepada pendefinisian hak suatu member organisasi terhadap informasi
organisasi tersebut. Membuat dan menghapus akun pengguna mungkin adalah hal pertama
yang muncul di kepada Anda ketika mendengar kata manajemen pengguna. Namun,
manajemen pengguna juga termasuk dengan memperbarui records secara benar ketika
pengguna berubah perannya. Untuk mengatur jumlah pengguna yang banyak, maka biasanya
pengguna diatur dan dikelompokan sesuai dengan hak keistimewaan yang sama. Contohnya,
seluruh anggota fakultas Ilmu Komputer bisa masuk sebagai anggota dari grup Compsci-
Faculty. Grup ini kemudian dapat diberikan hak akses kepada sumber-sumber informasi
tertentu pada website fakultas atau masuk di mailing list untuk diksusi surel.
Hubungan antara akses kontrol, manajemen pengguna, dan dua komponen pertama
pada  trias CIA yaitu – kerahasiaan dan integritas – Sistem administrator dapat membangun
kontrol akses pada kumpulan informasi untuk menjamin pengguna yang benar-benar berhak
untuk melihat (asas kerahasiaan) atau mengubah (asas integritas). Proses ini bisa saja
sederhana namun sejalan dengan ukuran suatu organisasi, apabila data yang dimiliki semakin
banyak, maka kompleksitas dan tingkat kesalahan pun angkat meningkat drastis. Masalah ini
akan kita bahas lebih dalam di Bab 7.

Pemantauan dan pengujian

Setelah melewati langkah pemasangan, mengkonfigurasi, dan telah dijalankan, maka sistem
masih butuh pemantauan yang berkelanjutan untuk memastikan kinerja dan keamanannya
berjalan sesuai dengan yang diinginkan. Pemantauan adalah kegiatan mendengarkan
dan/atau merekam aktifitas pada sistem untuk mempertahankan kerja dan keamanannya.
Tugas sistem administrasi pada kategori ada dua macam: pemantauan reaktif dan pengujian
proaktif. Pemantauan reaktif adalah kegiatan mendeteksi dan menganalisa kegagalan yang
muncul pada sistem. Contohnya, administrator dapat menggunakan alat pemantauan otomatis
seperti Nagios untuk mendapatkan seluruh hasil mengenai “kesehatan” jaringan dan
7

pemberitahuan intan ketika masalah muncul. Mirip seperti alat manajemen log yang
mengumpulkan dan menganalisis log sistem dari semua server di jaringan dan
menghubungkan kejadian antar server. Alat pemantauan seperti hal tersebut membantu
sistem administrator mendeteksi pola atau kejadian yang tidak biasa, yang mengindikasi
bahwa keamanan dalam keadaan berbahaya dan apabila keadaan tersebut berhasil dideteksi
maka dapat dilihat berapa banyak sistem yang berpotensial ikut terkena imbasnya.
Pengujian proaktif adalah kegiatan menguji sistem untuk masalah tertentu sebelum
hal itu muncul. Salah satu praktek yang biasa dilakukan yaitu menggunakan pemindai
kerentanan untuk mengakses sistem-sistem tersebut dan melihat kerentanan yang berpotensial
akan terjadi. Kerentanan ini kemudian bisa diprioritaskan dan diselesaikan. Biasanya
perusahaan keamanan profesional akan melakukan pengujian penetrasi satu langkah lebih
jauh, dengan cara secara giat mengeksploitas kelemahan-kelemahan yang ditemukan dan
menilai level tingkat akses yang diperoleh.

Pembaruan perangkat lunak

Penggunaan dan pemantauan perangkat lunak yang sedang berlangsung biasanya dapat
menunjukan kerentanan atau fitur yang dibutuhkan. Pembaruan perangkat lunak adalah salah
satu cara memperbaiki masalah ini. Pembaruan perangkat lunak adalah kegiatan
menggantikan dan menghapus komponen perangkat lunak yang cacat dengan komponen
penggantinya. Pembaruan perangkat lunak dapat dibagi menjadi dua kategori: pembaruan
sistem opeasi dan pembaruan aplikasi. Pembaruan sistem operasi adalah pembaruan
perangkat lunak yang memperbaiki masalah komponen tingkat rendah dari sistem perangkat
lunak tersebut kemudian dikembangkan dan dirilis oleh vendor sistem operasi secara
langsung. Semua sistem operasi yang terkini sudah memuat perangkat lunak untuk mengecek
secara otomatis dan memasang pembaruan yang dibutuhkan tanpa perlu bantuan dari sistem
administrator. Pembaruan aplikasi memperbaiki masalah dalam aplikasi individual.  Hal ini
biasanya lebih banyak melibatkan sistem administrator karena aplikasi lebih sering
disesuaikan dengan plugin dari vendor lain bahkan terkadang pihak developernya sendiri.
Banyak dari kustomisasi tidak terdokumentasi dan diuji secara baik. Hal ini menyebabkan
kesulitan untuk memprediksi dampak dari perbaruan aplikasi pada kustomisasi ini, maka dari
itu perbaruan secara manual sering diperlukan untuk menggunakan aplikasi versi terbaru.
Menjaga sistem selalu diperbarui merupakan hal yang cukup sulit bagi organisasi
karena perilaku aplikasi yang dipakai pada sistem terbaru tidak dapat diprediksi. Oleh karena
itu, sistem administrator biasanya menginstal perbaruan pada server pengembangan dan
menguji seluruh aplikasi pada sistem pengembangan sebelum menyebarkan pembaruan untuk
produksi sistem.

Titik tunggal kegagalan 

Aktifitas diatas adalah standarisasi dari sistem administrasi yang berkaitan dengan
implementasi keamanan perangkat lunak. Ada pula satu hal penting pada aktifitas sistem
administrasi yang berkaitan dengan perangkat keras dan keterlibatannya dengan keamanan
informasi. Bagian dari sistem yang gagal kemudian menghentikan kerja seluruh sistem
adalah titik tunggal kegagalan. Titik tunggal kegagalan punya keterlibatan dengan
8

ketersediaan. Contoh dari kejadian umum titik tunggal kegagalan yaitu sumber daya listrik
untuk komputer desktop. Jika sumber daya listrik gagal terhubung maka komputer tidak
dapat berfungsi. Solusi standar untuk mengatasi titik tunggal adalah redudansi. Redudansi
kelebihan kemampuan, yang dipertahankan untuk meningkatkan keandalan suatu sistem.
Misalnya, untuk meminimalkan waktu henti, Anda dapat memiliki catu daya cadangan yang
siap dipasang segera. Bagian tambahan seperti ini dikenal sebagai cold spares dan berguna
untuk meminimalkan waktu henti, tetapi masih ada beberapa waktu bahwa sistem tidak akan
tersedia. Sebagian besar server komputer besar menggunakan hot spares. Hot spares adalah
komponen lebih dan terletak di dalam server, dapat menggantikan komponen yang rusak
agar tidak terjadi waktu henti. Komponen lebih ini bahkan memperbolehkan sistem
administrator untuk menangani kerusakan eksternal. Sebagai contohnya, cadangan baterai
memungkinkan sistem administrator untuk mengatasi gangguan daya

(Gambar 1) 

Sistem administrasi utilitas

Mengingat peran penting dari administrasi sistem dalam organisasi dan nilai yang sangat
tinggi dari waktu sistem administrator, utilitas administrasi sistem khusus telah berevolusi
dari waktu ke waktu untuk perangkat keras dan perangkat lunak tingkat perusahaan. Di
bagian ini, kami memberikan tinjauan umum tentang utilitas umum yang tersedia untuk
administrasi sistem operasi umum - Windows dan Linux / UNIX. Utilitas administrasi sistem
serupa juga tersedia untuk sistem perusahaan lain - mis., Basis data, router, dan perangkat
keras. Pertama-tama kita melihat fitur-fitur umum dari dua sistem operasi dan kemudian
melihat beberapa utilitas administrasi sistem yang populer untuk kedua sistem ini.

Microsoft Windows
Dengan 92% pasar komputer desktop pada April 2013, jika Anda menggunakan komputer,
kemungkinan besar menjalankan Microsoft Windows. Sejak pertengahan 1990-an ketika
Windows 95 dan Windows NT dirilis, Microsoft telah merilis versi Windows dalam dua
baris: desktop dan server. Baris desktop mencakup nomor versi yang sudah dikenal
(Windows 95, 98, ME, XP, Vista, 7, 8) dan mencakup dukungan untuk berbagai perangkat
keras komputer dan periferal yang digunakan pada komputer di rumah. Anda kemungkinan
besar telah menggunakan satu atau lebih dari versi ini. Server line (NT, 2000, 2003, 2008,
2008 R2, 2012) sebaliknya mendukung perangkat keras dan periferal yang jauh lebih kecil
dan berfokus pada desktop bisnis dan pasar server. Namun, pembeda yang paling penting
adalah bahwa garis server menyertakan sejumlah layanan untuk kontrol akses dan
manajemen pengguna yang tidak tersedia untuk garis desktop. Yang paling penting dari
layanan ini adalah. 
 Gambar 2  System Center Operation Manager
Layanan Domain Direktori Aktif. Direktori Aktif adalah kumpulan dari
teknologi yang menyediakan manajemen pengguna terpusat dan kontrol akses di semua
komputer yang merupakan "anggota" dari domain. Setelah keanggotaan domain ditentukan,
Kebijakan Grup dapat diterapkan untuk pengguna domain dan komputer untuk mengontrol
akses pengguna ke fitur pada komputer tertentu di organisasi. Microsoft mendefinisikan
kebijakan grup sebagai infrastruktur yang memungkinkan Anda menerapkan konfigurasi
khusus untuk pengguna dan komputer. Kebijakan Grup sering digunakan untuk membatasi
tindakan tertentu yang dapat menimbulkan risiko keamanan potensial, mis., Untuk
menonaktifkan pengunduhan file yang dapat dieksekusi atau untuk menolak akses ke
program tertentu. Server yang mengimplementasikan aktif aturan direktori dalam suatu
domain disebut Pengontrol Domain untuk domain tersebut. Pengontrol Domain mengelola
informasi tentang akun pengguna, mengautentikasi pengguna di domain berdasarkan
informasi ini, dan memberikan otorisasi kepada pengguna ini untuk mengakses sumber daya
di domain berdasarkan kebijakan grup. Setiap domain membutuhkan setidaknya satu
Pengontrol Domain, tetapi lebih banyak dapat ditambahkan untuk redundansi.

Utilitas administrasi sistem - System Center

Microsoft menyediakan beberapa alat untuk menginstal dan mengkonfigurasi Windows
dengan aman dengan nama System Center. System Center Configuration Manager (SCCM)
memungkinkan sistem administrator untuk mengelola proses instalasi Windows pada ratusan
server dan desktop dari satu konsol, termasuk layanan dan perangkat lunak yang akan
diinstal. Selain instalasi sistem operasi, SCCM juga mengotomatiskan proses pembaruan,
baik untuk Windows dan paket perangkat lunak lain yang telah diinstal. Alat-alat yang
disediakan oleh System Center memberi sistem administrator kemampuan untuk
menyebarkan perangkat lunak baru atau perubahan secara berulang yang dapat dengan
mudah diotomatisasi dan, yang lebih penting untuk keamanan informasi, diaudit.
System Center juga mencakup sistem pemantauan yang disebut System Center Operations
Manager (Gambar 2.3), yang dapat memperingatkan sistem administrator terhadap kegagalan
perangkat keras atau masalah lain yang memengaruhi ketersediaan data. Menyadari
perkembangan IaaS dan mesin virtual, SCCM dapat membuat atau menghapus server virtual
untuk mempertahankan tingkat ketersediaan yang ditetapkan oleh sistem administrator.

Unix/Linux
Sistem operasi Unix pertama kali dikembangkan dengan nama UNICS pada tahun 1969 oleh
sebuah kelompok di Bell Labs AT&T yang dipimpin oleh Ken Thompson dan Dennis
Ritchie.

Pada tahun 1975, AT&T melisensikan Unix ke beberapa lembaga pendidikan dan penelitian.
Karena kode sumber disediakan dengan Unix, banyak dari institusi ini memodifikasi dan
memperluas Unix untuk memenuhi kebutuhan mereka. University of California, Berkley,
merilis Berkley Software Distribution (BSD) Unix pada tahun 1978, yang memperkenalkan
banyak perangkat tambahan yang masih ada dalam sistem Unix modern. Lusinan "rasa" Unix
telah dirilis - masing-masing didasarkan pada basis kode BSD atau AT&T, tetapi
menambahkan peningkatan khusus mereka sendiri. Versi AT&T terakhir dari Unix, System
V, dirilis pada tahun 1988, tetapi versi Unix berdasarkan kode mereka (disebut sebagai Unix
berbasis SysV) masih dalam pengembangan saat ini. Silsilah keluarga yang menunjukkan
rilis paling populer ditunjukkan pada Gambar 2.4.

Linux
Pada tahun 1991, Linus Torvalds, seorang mahasiswa pascasarjana Ilmu Komputer di
University of Helsinki, merilis versi pertama dari sistem operasi mirip Unix baru: Linux.
Linux disebut sebagai Unix-like karena tidak mengandung kode sumber apa pun dari sistem
operasi Unix sebelumnya,
 Gambar 2.4  Unix family tree
tetapi ia menyediakan lingkungan yang mencakup hampir semua alat dan fitur yang
disediakan oleh Unix berbasis BSD atau SysV. Linux dirilis sebagai Perangkat Lunak
Sumber Terbuka. Perangkat lunak open-source adalah perangkat lunak di mana setiap orang
dapat memodifikasi kode sumber dan mendistribusikan perubahannya kepada dunia. Motivasi
di balik pengembangan basis kode independen dan mengadopsi model lisensi unik adalah
untuk memungkinkan pengembang kesempatan untuk mendistribusikan inovasi mereka
sendiri ke dunia, tanpa terhalang oleh pembatasan yang diberlakukan oleh sistem operasi
komersial. Pertukaran ide bebas dalam perangkat lunak ini sangat ditingkatkan dengan
peningkatan konektivitas internet yang dimulai pada pertengahan 1990-an. Alih-alih hanya
satu atau dua siswa di universitas atau beberapa lusin pengembang di vendor perangkat lunak
komersial, Linux segera memiliki ribuan pengembang dari seluruh dunia yang bekerja untuk
memperbaikinya. Dalam dua dekade sejak pertama kali dirilis, Linux telah dimodifikasi
untuk berjalan di segala sesuatu dari superkomputer ke ponsel. Dengan banyak perangkat
GPS, router nirkabel rumahan, perangkat Android, dan Amazon Kindle menggunakan Linux
untuk sistem operasi mereka, kemungkinan Anda telah menggunakan perangkat yang
menjalankan sistem operasi Linux. Juga, pada November 2012, semua superkomputer
tercepat di dunia menggunakan Linux sebagai sistem operasinya.
Hasil yang menarik dari sifat terbuka dan fleksibilitas Linux adalah banyaknya versi Linux
yang berbeda yang telah dibuat. Setiap orang bebas untuk membuat "distribusi" Linux
mereka sendiri, dan ada ratusan dalam pengembangan aktif. Tidak seperti Microsoft
Windows dan Windows komersial sistem operasi Unix, tidak ada versi "resmi" dari sistem
operasi Linux, tetapi ada beberapa distribusi utama. Sejauh ini, distribusi Linux yang paling
umum dalam pengaturan bisnis adalah Red Hat Enterprise Linux (RHEL). RHEL adalah
distribusi Linux komersial, tetapi Red Hat juga secara bebas menyediakan kode sumber untuk
seluruh sistem operasi. Pengembang proyek CentOS telah menyusun kode sumber ini dan
membangun sistem operasi Linux gratis yang hampir identik dengan RHEL. Semua kegiatan
langsung dalam teks ini, dimulai dengan yang ada di akhir bab ini, akan menggunakan versi
CentOS yang disesuaikan.

Utilitas administrasi sistem

Alat konfigurasi dan instalasi sistem operasi otomatis memiliki banyak nama di dunia Unix
dan Linux (Jumpstart pada Oracle Solaris, Kickstart pada RHEL, dan Network Installation
Manager di IBM AIX untuk menyebutkan beberapa saja), tetapi semuanya bekerja dengan
cara yang sangat mirip. Sistem administrator membuat file yang berisi instruksi tentang cara
mengkonfigurasi perangkat jaringan, hard drive, dan perangkat keras umum lainnya, dan
daftar paket perangkat lunak yang harus diinstal. Akhirnya, itu termasuk semua program
pasca-instal yang perlu dijalankan untuk menyelesaikan proses konfigurasi.
Beberapa aplikasi menyediakan dukungan lintas platform untuk mengkonfigurasi perangkat
lunak setelah instalasi sistem operasi. Paket-paket yang paling populer adalah Puppet, yang
banyak digunakan oleh perusahaan internet besar seperti Google dan Twitter. Seorang sistem
administrator membuat "boneka wayang" yang berisi daftar perangkat lunak yang akan
diinstal dan konfigurasi yang diinginkan, manifes kemudian dapat dikirim ke satu atau lebih
server jauh, dan perangkat lunak tersebut diinstal, terlepas dari sistem operasi yang
mendasarinya.

RINGKASAN
Bab ini menetapkan dasar untuk komponen teknis dari kursus ini. Sistem administrator
melakukan sebagian besar kegiatan teknis terkait keamanan informasi. Bab ini, oleh karena
itu, mendefinisikan administrasi sistem dan memperkenalkan peran yang dimainkan oleh
sistem administrator dalam organisasi. Ini juga memperkenalkan tugas keamanan informasi
umum yang dilakukan oleh sistem administrator. Akhirnya, memberikan gambaran tentang
utilitas umum yang digunakan untuk menyederhanakan tugas-tugas ini di organisasi besar.
Aktivitas langsung dalam bab ini akan meletakkan panggung untuk kegiatan langsung yang
akan Anda lakukan di semua bab yang tersisa dari buku ini.

CONTOH KASUS - T.J. MAXX

Ketertarikan perusahaan pada keamanan informasi meningkat secara dramatis pada tahun
2007 menyusul pengungkapan pelanggaran keamanan informasi yang memalukan di
beberapa perusahaan terkenal. Peretas memiliki akses lengkap ke database kartu kredit di
banyak pengecer terkemuka di negara ini termasuk T.J. Maxx, Barnes dan Noble, dan Office
Max (Gambar 2.5).
Peretas tahu bahwa aman berada di luar negara target untuk menghindari penuntutan. Karena
itu pada awalnya diyakini bahwa serangan itu disebabkan oleh peretas di luar negeri. Namun,
investigasi mengungkapkan bahwa serangan itu sebagian besar berasal dari sumber-sumber
domestik dan menyebabkan penuntutan terhadap 11 pria di 5 negara, termasuk Amerika
Serikat. Yang paling menarik, pemimpin kelompok itu ternyata adalah seorang informan
untuk Dinas Rahasia AS.
Hasil
Pada 5 Agustus 2008, pemerintah AS mendakwa 11 orang dengan penipuan kawat, kerusakan
sistem komputer, konspirasi, perampasan pidana, dan biaya terkait lainnya karena mencuri
informasi kartu kredit dari pengecer terkemuka seperti T.J. Maxx, Klub Grosir BJ, Office
Max, dan Barnes dan Noble.
Pada bulan Agustus 2009, banyak anggota dari geng yang sama dituduh kompromi Sistem
Pembayaran Heartland, sebuah perusahaan pemrosesan kartu kredit, dan mencuri sekitar 130
juta nomor kartu kredit. Dengan sekitar 100 juta keluarga di Amerika Serikat, ini berarti
hampir kartu kredit dicuri dari setiap keluarga Amerika. 5 anggota geng didakwa pada 25 Juli
2013.

Gambar 2.5  Albert Gonzalez, pada saat dakwaannya pada bulan Agustus 2009

Latar Belakang
Geng yang terlibat dalam semua insiden ini telah beroperasi sejak 2003. Antara 2003 dan
2007, geng menggunakan metode sederhana untuk mengeksploitasi kelemahan dalam
keamanan nirkabel di toko-toko ritel. Di T.J. Maxx, mereka telah menemukan bahwa banyak
toko tidak menggunakan langkah keamanan apa pun di jaringan nirkabel toko mereka.
Akibatnya, mendapatkan nama pengguna dan kata sandi karyawan semudah menunggu di
luar toko di pagi hari dengan laptop dan mendengarkan lalu lintas jaringan ketika karyawan
dan manajer masuk ke akun mereka.
Lebih buruk lagi, akun pengguna ini memiliki akses ke sistem TI perusahaan di T.J. Maks,
termasuk yang menyimpan informasi kartu kredit. Dengan menggunakan informasi ini, para
peretas bebas menjalankan informasi kartu kredit perusahaan. Selama hampir satu tahun,
anggota geng mengekstraksi data, menyimpannya di server perusahaan sendiri, dan
mengambilnya sesuai keinginan mereka sendiri. Tujuan mereka adalah menggunakan
informasi ini untuk menjual kartu kredit palsu dengan uang dolar.
Ini adalah metode yang digunakan oleh geng dalam serangan yang membentuk dasar dari
dakwaan 2008. Dimulai pada Agustus 2007, geng menyempurnakan keahliannya dan mulai
menggunakan serangan injeksi SQL untuk menempatkan malware pada aplikasi web dan
mendapatkan akses ke database perusahaan. Geng menggunakan metode ini dalam serangan
yang didakwa pada tahun 2009.

Pemimpin cincin dan aktivitasnya

Albert Gonzalez, pemimpin kelompok itu, adalah penduduk Miami, Florida. Mulai sekitar
tahun 2003, ia diyakini telah berkeliling Miami, menggunakan komputer laptopnya untuk
menemukan titik akses nirkabel yang tidak aman di toko-toko ritel. Toko biasanya
menggunakan jaringan ini untuk mentransfer informasi kartu kredit dari register kas ke server
toko. Ketika jaringan terbuka ditemukan, geng akan menggunakan program "sniffer" yang
ditulis khusus untuk mengumpulkan nomor rekening kartu kredit (salah satu sniffer yang
paling populer adalah Wireshark, program yang mudah digunakan yang tersedia untuk
digunakan secara gratis). Kartu palsu yang menggunakan angka-angka ini kemudian dijual di
pasar kelabu. Korban terbesar adalah T.J. Maxx, yang kehilangan informasi tentang lebih dari
40 juta kartu kredit.
Kemudian, ketika geng lulus serangan injeksi SQL, itu akan mengunjungi toko untuk
mengidentifikasi sistem pemrosesan transaksi yang digunakan perusahaan ini. Geng
menggunakan informasi ini untuk menentukan strategi serangan yang sesuai untuk
menargetkan sistem spesifik yang digunakan oleh perusahaan-perusahaan ini. Geng juga
mempelajari situs web perusahaan untuk mengidentifikasi aplikasi web mereka dan untuk
mengembangkan strategi serangan yang sesuai untuk situs web ini.
Pemimpin biola, Albert Gonzalez, mendapat untung lebih dari $ 1 juta dengan menjual
informasi kartu ini. Rupanya, pada suatu waktu, mesin hitungnya rusak dan ia harus secara
manual menghitung $ 340.000 dalam tagihan $ 20. Pada Agustus 2009, Albert Gonzalez
setuju untuk mengaku bersalah atas tuduhan di T.J. Kasus Maxx, yang telah diajukan pada
2008.
Gonzalez menjadi informan untuk Secret Service pada tahun 2003 setelah ditangkap karena
berbagai kejahatan. Sebagai informan untuk Secret Service, pada Oktober 2004, dia
membantu Secret Service mendakwa 28 anggota situs web Shadowcrew.com. Shadowcrew
mencuri informasi kartu kredit dan menjualnya untuk keuntungan. Saat beroperasi, anggota
Shadowcrew mencuri puluhan ribu nomor kartu kredit. Namun, setelah operasi Shadowcrew
selesai, Albert memulai eksploitasi sendiri.

Dampak
Kerusakan langsung dari serangan dalam hal tuduhan penipuan pada kartu kredit pelanggan
terbatas. Pada Maret 2007, satu geng di Florida ditangkap menggunakan kartu yang dicuri
dari T.J. Maxx (TJX) untuk membeli sekitar $ 8 juta barang di berbagai toko Wal-Marts dan
Sam's Club di Florida. Namun, kerusakan jaminan dari insiden tersebut sangat besar. TJX
Companies, Inc. (TJX) (T.J. Maxx Stores adalah salah satu perusahaan yang dimiliki oleh
grup, Marshalls adalah yang lain) diselesaikan dengan Visa sebesar $ 40 juta pada November
2007 dan dengan MasterCard pada April 2008 sebesar $ 24 juta.
Dampaknya bersifat nasional. Puluhan juta pelanggan harus diterbitkan kembali kartu kredit.
Pelanggan yang telah melakukan pembayaran otomatis pada kartu curian menerima
pemberitahuan pengumpulan dari penyedia layanan ketika biaya tidak melalui karena kartu
telah dibatalkan dan yang baru telah dikeluarkan di tempat mereka.
Anehnya, penjualan di T.J. Maxx tampaknya tidak secara signifikan dipengaruhi oleh intrusi
(Gambar 2.6). Biaya penipuan dikembalikan kepada pelanggan oleh perusahaan kartu kredit
melalui program perlindungan otomatis yang ditawarkan oleh kartu kredit. Pelanggan
tampaknya tidak keberatan informasi kartu mereka dicuri asalkan mereka tidak bertanggung
jawab atas transaksi penipuan.
 Gambar 2.6  T J Maxx sales (2005–2010)
Signifikansi
T.J. Kasus Maxx penting untuk studi keamanan informasi dan hubungannya dengan profesi
lain karena kasus ini telah banyak didokumentasikan di media. Selain itu, perincian juga
tersedia dari dakwaan yang dibuat dalam kasus ini. Bacaan-bacaan ini menyediakan akun
kaya para aktor yang terlibat dalam keamanan informasi, motivasi mereka. dan proses hukum
yang mengikuti insiden keamanan informasi utama.

REFERENSI
Pereira,  J. “How credit-card data went out wireless door ,”Wall Street Journal  , May 4,
2007.  
Pereira ,  J. , Levitz ,  J. and Singer-Vine ,  J. “ U.S. indicts 11 in global credit-card
scheme ,”   Wall Street Journal , August 6, 2008 : A1. United States of America vs. Albert
Gonzalez, Criminal indictment in US District Court, Massachusetts, August 5,  2008 (the
T.J. Maxxcase). United States of America vs. Albert Gonzalez, Criminal indictment in US
District Court, New Jersey, August 17, 2009 (the Heartland case). 
Zetter, K.“TJX Hacker was awash in cash; his penniless coder faces prison ,”Wired , June
18,  2009.  
Gorman, S. “Arrest in Epic Cyber Swindle ,” Wall Street Journal, August 18,  2009.
Gorman, S. “Hacker sentenced to 20 years in massive data theft ,” Wall Street Journal,
2010 :  A1.  
Albert Gonzalez ,” Wikipedia,  http://en.wikipedia.org/wiki/Albert_Gonzalez. T.J. Maxx, 10-
K reports, 2006–2010. T.J.   Maxx , 8-K fi ling, January 18, 2007; April 2, 2008; November
30, 2007.

BAB TINJAUAN PERTANYAAN

1) Apakah administrasi sistem? 
2) Mengapa administrasi sistem penting?
3) Siapa sistem administrator?
4) Apa saja kegiatan penting sehari-hari yang dilakukan oleh sistem administrator?
5) Tetapkan Infrastruktur sebagai Layanan (IaaS).
6) Apa manfaat menggunakan penyedia IaaS?
7) Apa itu server virtual?
8) Apa saja manfaat dari virtualisasi?
9) Apa peran sistem administrator dalam menjaga keamanan informasi dalam suatu
organisasi?
10) Apa konfigurasi perangkat lunak?
11) Bagaimana konfigurasi perangkat lunak memengaruhi informasi keamanan?
12) Tentukan kontrol akses. Bagaimana kontrol akses bisa lemah dampak keamanan
informasi?
13) Tentukan manajemen pengguna. Bagaimana manajemen pengguna memengaruhi
keamanan informasi?
14) Apa itu pemantauan? Bagaimana cara membantu keamanan informasi?
15) Apa itu pemantauan reaktif? Apa saja metode pemantauan reaktif yang umum?
16) Apa itu pengujian proaktif? Apa sajakah metode pengujian proaktif yang umum?
17) Apa itu pembaruan sistem? Apa tantangan dalam memperbarui sistem? Mengapa ini
penting untuk keamanan informasi?
18) Apa satu titik kegagalan? Bagaimana sistem administrator biasanya menangani satu titik
kegagalan?
19) Apa perbedaan antara suku cadang dingin dan suku cadang panas?
20) Apa itu Direktori Aktif? Apa perannya dalam menjaga keamanan informasi di komputer
Windows?
21) Apa itu kebijakan grup? Bagaimana kebijakan grup membantu sistem administrator
dalam menjaga keamanan informasi?
22) Apa itu pengontrol domain?
23) Berikan deskripsi singkat (maksimum dua hingga tiga kalimat) tentang fitur keamanan
informasi versi terbaru dari System Center Microsoft atau produk yang sebanding.
24) Apa itu Linux? Mengapa ini populer? Apa saja distribusi Linux yang paling populer?
25) Berikan tinjauan singkat (maksimal dua hingga tiga kalimat) tentang kemampuan Puppet,
perangkat lunak otomasi TI yang digunakan oleh banyak sistem administrator.

CONTOH PERTANYAAN KASUS

1) Berdasarkan informasi yang diberikan di atas, daftarkan sebanyak mungkin contoh
pelanggaran kerahasiaan, integritas, dan ketersediaan yang diidentifikasi dalam kasus ini.
2) Berdasarkan kasus tersebut, identifikasi kegagalan dalam pelaksanaan tugas administrasi
sistem umum di T.J. Maxx pada saat kasing.
3) Jika Anda bertanggung jawab atas administrasi sistem di T.J. Maxx, apa hal yang akan
Anda lakukan untuk mencegah terjadinya insiden yang dilaporkan dalam kasus ini?

AKTIVITAS LANGSUNG - INSTALASI SISTEM LINUX

Untuk mendapatkan pengalaman praktis praktis tentang keamanan informasi penting dan
keterampilan administrasi sistem, buku ini mencakup serangkaian kegiatan langsung, yang
menggunakan sistem operasi Linux. Anda akan menciptakan lingkungan yang diperlukan
sebagai kegiatan langsung dalam bab ini. Ketika Anda menyelesaikan aktivitas, Anda akan
memiliki copy CentOS Linux Anda sendiri yang berfungsi (http://centos.org) yang telah kami
konfigurasi untuk digunakan dengan kursus ini. Dalam pengalaman kami, pada akhir kursus,
siswa menemukan kegiatan langsung ini sebagai komponen yang paling berguna dari kursus
ini, dan pada kenyataannya, salah satu kegiatan yang paling menarik dalam studi perguruan
tinggi mereka. Konfigurasi khusus yang digunakan di sini telah dipilih karena memungkinkan
Anda untuk membuat infrastruktur yang diperlukan di hampir semua komputer yang Anda
miliki. Kami telah mengambil upaya besar untuk membuat sumber daya ini tersedia untuk
Anda karena ini adalah keterampilan yang sangat dicari oleh pemberi kerja dan yang
membedakan Anda dari pesaing di pasar. Kami harap Anda menemukan kegiatan ini
semenarik kami bersemangat membuatnya (Gambar 2.7).

Gambar 2.7  Virtual machine structure

Aktivitas untuk bab ini selesai dalam dua langkah. Pada langkah pertama, Anda akan
menginstal VirtualBox, lingkungan virtualisasi. Pada langkah kedua, Anda akan
menggunakan VirtualBox untuk membuat mesin virtual yang berisi sistem operasi Linux
yang sudah dikonfigurasikan.

Langkah 1 - Menginstal VirtualBox

Sebelum Anda mulai, perhatikan persyaratan sistem minimum:
• Windows XP, Windows 7, Windows Server 2003, atau Windows Server
2008
• Macintosh OSX 10.5 atau lebih tinggi
• RAM 2 GB
• 10 GB ruang hard drive gratis
VirtualBox adalah aplikasi komputer sumber terbuka yang dapat diinstal di komputer mana
saja yang menjalankan prosesor Intel atau AMD untuk membuat mesin virtual di komputer.
Sistem operasi tamu dapat diinstal pada mesin virtual ini sehingga komputer Windows
dengan penyimpanan dan daya pemrosesan yang memadai dapat menjalankan beberapa
sistem operasi. Ikuti langkah-langkah ini untuk menginstal VirtualBox di komputer pribadi
Anda. Pada saat penulisan ini, produk sedang diperbarui dengan sangat cepat, sehingga
nomor versi Anda mungkin berbeda dari yang ditampilkan di sini. Seharusnya aman untuk
mengikuti aturan manajemen konfigurasi untuk konsumen, "ketika ragu, instal versi terbaru."
Untuk detail lebih lanjut tentang VirtualBox, periksa manual VirtualBox, khususnya Bab 1
manual.
1. Kunjungi halaman unduh VirtualBox (Gambar 2.8) untuk mendapatkan installer. URL
ini sering berubah; yang terbaik adalah mencari "Unduh VirtualBox" untuk
menemukan tautan ini. Halamannya terlihat seperti di bawah ini. Unduh penginstal
yang sesuai untuk sistem Anda. Petunjuk di bawah ini untuk Windows. Prosedur untuk
sistem lain akan serupa.
2. Klik dua kali file yang diunduh untuk memulai instalasi. Klik "Next" pada layar
pembuka (Gambar 2.9) untuk memulai instalasi.
3. Anda sekarang diminta untuk memilih lokasi di mana Anda ingin menginstal
VirtualBox. Lokasi default adalah folder File Program Anda. Klik "selanjutnya" jika
lokasi pemasangan default adalah OK (Gambar 2.10).

Gambar 2.8  VirtualBox download page

4. Instalasi sekarang berjalan seperti aplikasi normal lainnya. Anda dapat menerima
peringatan dari UAC (kontrol penerimaan pengguna). Izinkan instalasi dan lanjutkan
melalui layar dengan mengklik "Next."
5. Anda mungkin menerima peringatan bahwa koneksi jaringan Anda akan dihidupkan
ulang. Jika Anda memiliki lalu lintas jaringan (unduhan file, streaming musik, dll),
Anda mungkin ingin menunggu sampai transfer tersebut selesai sebelum melanjutkan.
6. Jika Anda ditanya apakah Anda ingin menginstal dukungan USB, disarankan agar
Anda memilih untuk melakukannya.
 Gambar 2.9  VirtualBox installer welcome screen

Gambar 2.10  Default install Location

7. Klik "Selesai" untuk menyelesaikan instalasi. Ketika instalasi selesai, Anda akan melihat
konfirmasi (Gambar 2.11). Jika Anda mengaktifkan kotak centang untuk memulai
VirtualBox, Anda akan melihat manajer VirtualBox (Gambar 2.12). Saat ini kosong. Anda
akan mengisinya dengan sistem operasi Linux kustom Anda sendiri di langkah berikutnya
dari latihan ini.

Langkah 2 - Instal OS
Seperti yang mungkin telah Anda baca dalam dokumentasi VirtualBox, Anda dapat
menginstal hampir semua sistem operasi desktop modern sebagai OS tamu. Untuk buku ini,
kami telah menyesuaikan distribusi Linux. Menggunakan Linux memungkinkan kita untuk
menghindari batasan lisensi komersial. Untungnya, sebagian besar konsep keamanan dapat
digeneralisasikan di seluruh sistem operasi dan sebagian besar konsep umum yang akan Anda
pelajari di sini juga berlaku untuk Windows. Ikuti instruksi di bawah ini untuk menginstal
distribusi Linux khusus di mesin virtual baru di komputer Anda:
1. Unduh gambar virtual CentOS Linux dari situs web pendamping untuk mendapatkan
teks. Ekstensi file .ova singkatan dari "Open Virtual Appliance," standar industri untuk
sistem operasi yang dikemas untuk instalasi ke dalam mesin virtual. Format ini dibuat oleh
VMWare, sebuah perusahaan terkemuka di industri virtualisasi. Perhatikan bahwa ini adalah
file yang SANGAT besar (lebih dari 2,5 GB) dan dapat memakan waktu beberapa jam untuk
diunduh, bahkan melalui broadband.

Gambar 2.11  VirtualBox install confi rmation

Gambar 2.12  VirtualBox manager

2. Klik dua kali pada file CentOS_6.ova, "Appliance Import Wizard" akan dimulai. Nilai
default harus baik-baik saja, dan Anda dapat memulai proses pembuatan mesin virtual
Anda dengan mengklik "impor," seperti yang ditunjukkan pada Gambar 2.13. Impor
mungkin memakan waktu 10-20 menit tergantung pada kecepatan komputer dan
lokasi pemasangan.
2. Ketika instalasi selesai, manajer VirtualBox menunjukkan VM baru dalam daftar VM
(Gambar 2.14). Anda sekarang dapat memulai VirtualBox kapan saja, pilih VM dan
 klik "mulai" untuk memulai VM. Ketika VM sedang berjalan, Anda dapat mengklik
"berhenti" untuk mengakhiri VM.
2. Pada titik ini, Anda mungkin ingin melihat apa yang menyebabkan semua ini. Setelah
mesin virtual telah diimpor, klik "Mulai." Sistem operasi Linux akan mulai. Masalah
umum dan solusinya tercantum di bawah ini. Setelah masalah seperti itu diselesaikan,
Anda akan melihat layar login CentOS Linux.
Masalah perlu diketahui
1. Anda mungkin mendapat peringatan yang menyarankan agar Anda mengunduh dan
menginstal paket ekspansi karena komputer Anda mengaktifkan USB 2.0. Anda dapat
mengabaikan pesan ini, atau jika Anda merasa nyaman, Anda dapat mengunduh dan
menginstal paket ekstensi yang tersedia di situs web VirtualBox.
2. Anda mungkin mendapatkan pesan peringatan tentang pergerakan mouse, ukuran
jendela, dll. Ini mungkin diabaikan.
3. Jika Anda mendapatkan pesan kesalahan yang mengatakan bahwa ada masalah
dengan CPU, silakan pilih VM, pilih "Pengaturan" di manajer VM, kemudian Sistem →
Prosesor dan pilih kotak centang "aktifkan PAE (Gambar 2.15 dan 2.16). ”
4. Jika Anda tidak dapat terhubung ke jaringan, buka pengaturan → jaringan dan pasang
adapter jaringan 1 ke NAT seperti yang ditunjukkan pada Gambar 2.17. Anda juga mungkin
bisa gulir ke bawah di halaman depan dan pilih "Jaringan."
Mulai mesin virtual
1. Ketika mesin virtual dinyalakan, Anda akan melihat layar login seperti yang
ditunjukkan pada Gambar 2.18.

Gambar 2.13  Default setting for OS import

Gambar 2.14  Virtual machine in Virtual machine manager

Gambar 2.15  CPU error

 Gambar 2.16 Enabling PAE

Gambar 2.17  Attach the VM to NAT

 Gambar 2.18  CentOS VM login screen

Gambar 2.19 CentOS Linux desktop

2. Pada saat Login, masukkan nama pengguna Alice dan gunakan kata sandi aisforapple. Ini
akan memunculkan desktop CentOS seperti yang ditunjukkan pada Gambar 2.19.
 Untuk menghentikan mesin virtual, pilih Mesin → Tutup (Kotak Virtual → Keluar
dari OS X) dari jendela CentOS VM yang sedang berjalan.
 Untuk menghidupkan mesin lagi, gunakan Mulai → Program → Oracle VM
VirtualBox → Oracle VM VirtualBox (Aplikasi → Kotak Virtual di OS X).
 Pada bab berikutnya, Anda akan mempelajari beberapa administrasi sistem UNIX /
Linux dasar, termasuk navigasi folder, menggunakan editor vi, dan membuat akun pengguna.

Pertanyaan mengenai aktivitas secara langsung
1. Berikan deskripsi singkat tentang VirtualBox dan penggunaannya.
2. Berikan deskripsi singkat tentang format file OVA.
3. Untuk menunjukkan bahwa Anda telah berhasil menginstal VM, kirimkan hal berikut
ini:
4. Tangkapan layar desktop CentOS.
5. Mulai browser menggunakan Applications→ Internet → Firefox web browser. Kirim
tangkapan browser yang menunjukkan home page dari browser.
6. Mulai monitor sistem menggunakan Aplikasi → System tools → System monitor.
Kirim tangkapan layar monitor sistem.
7. Mulai jalankan terminal dengan memilih Applications → System Tools → Terminal.
Saat diminta, ketikkan perintah "whoami." Kirim tangkapan layar dari jendela terminal yang
menunjukkan perintah dan hasilnya. (Sebagian besar kegiatan langsung dalam buku ini akan
menggunakan jendela terminal ini secara ekstensif.)
8. Hentikan VM dengan cara memilih Machine → Close → Poweroff the machine.

LATIHAN BERPIKIR KRITIS - EKSEKUTIF GOOGLE DIHUKUM

PENJARA KARENA VIDEO
Pada bulan September 2006, empat teman sekelas menindas seorang anak laki-laki yang
menderita autisme di sekolah mereka di Turin, Italia, dan mengunggah klip itu ke video
Google (pendahulunya ke YouTube). Video menjadi populer dan dilihat lebih dari 5.500 kali
selama 2 bulan ke depan dan bahkan mencapai puncak daftar video "paling menghibur" di
situs Google Italia.
Ketika Google diberitahu tentang hal itu oleh Polisi Italia, Google menghapus video. Namun,
ayah si bocah dan Vivi Down, sebuah organisasi yang mewakili orang-orang dengan sindrom
Down, menuntut empat eksekutif Google karena pencemaran nama baik dan penanganan data
pribadi ilegal. Google mengklaim itu cepat dalam menghapus video setelah diberitahu.
Pada 24 Februari 2010, Pengadilan Milan membebaskan semua eksekutif dari tuduhan
pencemaran nama baik tetapi menahan tiga eksekutif bersalah atas penanganan data pribadi
ilegal dan lambat untuk menghapus video setelah diberitahu tentang hal itu oleh polisi.
Mereka adalah wakil presiden senior dan kepala pejabat hukum David Drummond, mantan
anggota dewan Google Italia George De Los Reyes, dan penasihat privasi global Peter
Fleischer. Tanggung jawab pribadi ditugaskan karena pejabat perusahaan bertanggung jawab
secara hukum atas tindakan perusahaan dalam hukum Italia. Tidak ada eksekutif yang hadir
di Italia untuk persidangan dan karena hukuman tersebut ditangguhkan banding, tidak ada
yang langsung di bawah ancaman hukuman penjara.
Pihak Google, yang diwakilkan oleh manajer komunikasinya,mengatakan bahwa "Mereka
tidak mengunggahnya, mereka tidak merekamnya, mereka tidak memeriksanya, namun
mereka dinyatakan bersalah." Dalam penilaian 111 halamannya, hakim Oscar Magi menulis
“Internet, bukan padang rumput tanpa batas di mana semuanya diizinkan dan tidak ada yang
bisa dilarang… Sebaliknya, ada undang-undang yang mengatur perilaku dan jika undang-
undang itu tidak dihormati. , 'konsekuensi hukuman' dapat terjadi. " Menurut undang-undang
Italia, tidak menghentikan fakta sama dengan menyebabkannya. Undang-undang
perlindungan data memerlukan otorisasi sebelumnya sebelum menangani data pribadi dan
video yang diposting adalah data pribadi. Oleh karena itu, Google bertanggung jawab untuk
memastikan bahwa pengguna yang memposting video memiliki persetujuan semua orang
yang terlibat dalam video.
Pada 21 Desember 2012, pengadilan banding Italia membatalkan putusan bersalah dan
membebaskan para eksekutif.

REFERENSI
Manuela D’Alessandro, “Google executives convicted for Italy autism video ,” 02/24/2010,
http://www.reuters.com/article/2010/02/24/us-italy-google-conviction-idUSTRE61N2G520100224 (accessed
07/16/2013).
Hooper,  J. “Google executives convicted in Italy over abuse video ,”The Guardian, 02/24/2010,
http://www.guardian.co.uk/technology/2010/feb/24/google-video-italy-privacy-convictions (accessed
07/16/2013).
Povoledo, E. “Italian judge cites profi t as justifying a Google conviction,” New York Times, April 12,  2010.
EDRi-gram, “ First decision in the Italian criminal case against Google executives,” 02/24/2010,
http://www.edri.org/edrigram/number8.4/decision-italy-vs-google-executives (accessed 07/16/2013).
Pfanner,  E. “Italian appeals court acquits 3 Google executives in privacy case,” New York Times, December
21, 2012.

PERTANYAAN SETELAH BERPIKIR KRITIS

1. Apa pendapat Anda tentang kejadian tersebut?
2. Haruskah sistem administrator dan perusahaan bertanggung jawab atas konten yang
diposting oleh pengguna situs web?
3. Katakanlah Anda adalah sistem administrator situs web dan Anda menerima
permintaan dari seorang pengguna untuk menghapus gambar yang diunggah oleh teman di
sebuah pesta yang menyertakan pengguna. Apakah Anda menganggap permintaan itu masuk
akal?
4. Bagaimana Anda menanggapi permintaan seperti itu?

KASUS DESAIN
Untuk kasus desain ini, kita akan menggunakan Universitas Negeri Sunshine yang digunakan
pada bab pertama. Seperti banyak layanan terkait TI lainnya di Universitas, dukungan email
dibagi menjadi dua sistem utama:
1. Teknologi informasi, yang melapor kepada Wakil Presiden Bisnis dan Keuangan,
mendukung email untuk semua tenaga administrasi. Untuk alasan historis, Kantor Provost
membayar TI untuk dukungan email fakultas juga.
2. Email siswa didukung oleh staf teknis yang melapor kepada Dekan.
Sistem Email Pelajar saat ini berjalan pada satu server yang dibeli 6 tahun yang lalu. Server
memiliki dua drive internal. Drive internal berisi sistem operasi dan aplikasi dan JBOD
eksternal menampung semua data. Server memiliki catu daya tunggal dan port jaringan
tunggal. Server menjalankan Linux dan program SMTP open-source Sendmail untuk
pengiriman email.
Masalah perangkat keras baru-baru ini menyebabkan Server Email Mahasiswa macet.
Pertama kali ini terjadi, ada pemadaman 13 jam. Sayangnya, akar penyebab pemadaman awal
tidak ditentukan dan masalah terjadi lagi tetapi kali ini segalanya sedikit lebih serius:
kegagalan penyimpanan kritis menyebabkan semua email hilang. Sistem administrator yang
bertanggung jawab atas server tidak dapat menangani tekanan dan mengundurkan diri. Anda
adalah asisten mahasiswa di SysAdmin. Dekan karena terikat dengan masalah ini,
menawarkan Anda pekerjaan dengan gaji besar, manfaat, dan program pembebasan biaya
kuliah untuk membantu Anda menyelesaikan gelar Anda.
Dua minggu kemudian server kembali online dan semua email telah dipulihkan dari tape.
Kegagalan terjadi pada pukul 1:00 malam. pada hari Rabu. Cadangan terakhir berjalan pada
pukul 02:00 pada hari Selasa. Email yang dikirim di antara waktu-waktu itu hilang tanpa
dapat ditarik kembali.
Populasi siswa meningkat dan Provost terlibat. Bersama dengan Dekan, Anda diminta untuk
merekomendasikan pilihan untuk layanan email di antara opsi berikut, bersama dengan alasan
Anda untuk hal yang sama:
• Menjaga layanan email secara lokal
• Ganti seluruh infrastruktur email dengan solusi email SaaS
• GoogleApps untuk Pendidikan (http://www.google.com/apps/intl/id/edu).

PERTANYAAN KEAMANAN KASUS DESAIN

1. Apa itu JBOD?
2. Saat Anda meriset pilihan untuk Universitas Negeri Sunshine, Anda disarankan untuk
memulai dengan prosedur umum - melihat apa yang dilakukan rekan-rekan terdekat Anda.
Bisnis menyebut tolok ukur ini. Dalam konteks Anda, ini berarti apa yang dilakukan rekan
universitas dalam hal sistem email.
a) Sebutkan tiga universitas atau perguruan tinggi di daerah Anda yang akan Anda
pertimbangkan sebagai rekan terdekat dari Negara Bagian Sunshine. (Simpan daftar ini agar
mudah. Anda akan sering mengecek daftar ini untuk meneliti apa yang dilakukan sekolah-
sekolah ini untuk mengatasi tantangan yang Anda hadapi dalam bab ini dan nanti.
b) Manakah dari opsi ini yang memiliki masing-masing lembaga yang dipilih untuk
layanan email? Mengapa mereka memilih pilihan ini? (Anda dapat menemukan informasi
mengenai hal ini di situs web mereka. Anda juga dapat menghubungi saluran bantuan
dukungan teknis mereka).
c) Jika lembaga Anda sendiri tidak ada dalam daftar di (a), apa yang lembaga Anda
lakukan untuk layanan email? Mengapa?
 Gambar 2.20 Infrastruktur email Universitas Negeri Sunshine
3. Masalah apa yang dapat Anda antisipasi dari sistem Universitas Negeri Sunsgine saat
ini seperti yang ditunjukkan pada Gambar 2.20? Apa saja poin kegagalannya? Apa yang
harus terjadi agar sistem lokal dapat menangani layanan email dengan aman jika ada satu titik
kegagalan yang gagal?
4. Fitur apa (jika ada) yang ditawarkan oleh model layanan cloud (IaaS dan SaaS) yang
tidak dapat saat ini disediakan secara lokal?
5. Selama penelitian Anda, Anda menemukan bahwa salah satu pertanyaan umum yang
diajukan oleh dukungan teknis adalah pemulihan email yang terhapus secara tidak sengaja.
Fasilitas apa (jika ada) yang dilakukan setiap penyedia alternatif dalam memulihkan email
yang terhapus secara tidak sengaja?
6. Permintaan fitur penting lainnya dari badan siswa adalah akses email dari berbagai
perangkat, terutama klien non-web seperti smartphone dan klien email tradisional seperti
Thunderbird dan Eudora. Dukungan apa yang disediakan masing-masing pilihan untuk akses
email dari perangkat ini. Apa kelebihan atau kekurangan yang dimiliki masing-masing sistem
untuk akses seperti itu?
BAB 3
Sistem Administrasi (Bagian 2)
Gambaran Umum
Dalam bab sebelumnya, kami memperkenalkan administrasi sistem dan menjelaskan peran
yang dimainkan sistem administrator dalam keamanan informasi. Bab ini melanjutkan
pembahasan administrasi sistem dengan memperkenalkan serangkaian inti operasi teknis
yang digunakan oleh sistem administrator. Operasi ini ditunjukkan menggunakan mesin
virtual Linux yang dibuat pada bab sebelumnya. Di akhir bab ini, Anda harus tahu:
• Komponen inti dari sistem operasi modern
• Cara menggunakan antarmuka baris perintah (Command-line Interface)
• Operasi dasar untuk menavigasi sistem file
• Izin file untuk pengguna dan grup
• Manajemen akun pengguna
• Manajemen perangkat lunak

Struktur sistem operasi

Sistem operasi komputer adalah perangkat lunak yang mengelola perangkat keras komputer
dan menyediakan layanan umum untuk aplikasi pengguna. Sistem operasi modern terdiri dari
banyak program (atau proses) terpisah yang semuanya bekerja bersama untuk menghasilkan
hasil yang diinginkan. Pada intinya, kernel adalah perangkat lunak yang menyediakan kontrol
untuk perangkat perangkat keras, mengelola memori, mengeksekusi kode pada CPU
komputer, dan menyembunyikan detail perangkat keras fisik yang mendasarinya dari aplikasi
pengguna. Ini memungkinkan pengembang aplikasi untuk mengabaikan detail perangkat
keras yang mendasarinya saat mengembangkan aplikasi, sangat menyederhanakan
pengembangan aplikasi.
Shell adalah program berbasis teks yang memungkinkan pengguna untuk berinteraksi
langsung dengan kernel. Operasi umum yang dilakukan dengan menggunakan shell meliputi
memulai dan menghentikan program, mengendalikan eksekusi program, dan memulai atau
menghentikan komputer. Shell menyembunyikan kerumitan kernel dari pengguna sehingga
pengguna dapat memasukkan perintah dalam bahasa Inggris dan bergantung pada shell untuk
menerjemahkan perintah-perintah ini ke dalam kode biner yang diperlukan oleh kernel untuk
menjalankannya.
Sementara sistem operasi grafis seperti Windows menyembunyikan shell, sistem operasi
berbasis Unix seperti Linux atau Mac OSX secara otomatis memulai shell pada saat start-up.
Shell ini berjalan di belakang layar, memulai dan menghentikan program sebagai respons
terhadap operasi GUI. Shell juga dapat diakses langsung sebagai terminal. Terminal ini
adalah lingkungan yang disukai yang digunakan oleh administrator untuk sebagian besar
tugas administrasi sistem. Kecuali ditentukan lain, semua tugas administrasi sistem dalam
buku ini akan dilakukan menggunakan jendela terminal di sistem operasi Linux.
Tabel 3.1  Program umum shell
Nama Pengembang Rilisan Detail
pertama
Bourne Stephen 1977 Standar de facto dari Unix. Setiap OS berbasis Unix
Shell Bourne utama menyertakan setidaknya satu shell yang
(sh) kompatibel dengan Bourne
C Shell Bill Joy 1978 Sintaks didasarkan pada bahasa pemrograman C.
(csh) Populer untuk penggunaan interaktif, tetapi tidak
disarankan untuk digunakan sebagai bahasa scripting
umum.
Korn David Korn 1983 Sesuai dengan POSIX 1003.2, kompatibel dengan
Shell Bourne dan menambahkan banyak fitur yang
(ksh) diperlukan untuk skrip shell.
Boure- Brian Fox 1989 Dikembangkan sebagai pengganti open-source untuk
lagi Bourne Shell. Bash sangat populer untuk
Shell penggunaan interaktif dan scripting karena
(Bash) menggabungkan banyak fitur dari shell C dengan
yang dari Korn shell dan menambahkan banyak
tambahannya sendiri. Bash adalah shell default pada
Mac OSX dan sebagian besar distribusi Linux.

Seperti semua perangkat lunak, shell berkembang dari waktu ke waktu. Tabel 3.1
memperlihatkan program shell yang tersedia secara umum. Kebanyakan administrator
memilih Bash shell, shell ini digunakan pada buku ini.
Antarmuka baris perintah
Sebelum melanjutkan ke tugas administrasi sistem, bagian ini memperkenalkan antarmuka
baris perintah dan dasar-dasar penggunaan antarmuka (Gambar 3.2).

Bash prompt
Untuk memulai jendela terminal dalam versi CentOS Linux yang disediakan dengan teks ini,
buka panel "System Tools" di bawah menu "Applications" seperti yang ditunjukkan pada
Gambar 3.2. Ketika Anda membuka jendela terminal, Anda akan diberikan prompt dari Bash
shell. Prompt Bash adalah titik masuk untuk semua perintah yang Anda ketikkan, tetapi ia
juga dapat memberikan informasi tentang akun dan server yang Anda gunakan dan
lingkungan yang dijalankan Bash. Berikut adalah prompt khas Bash:

[alice @ sunshine usr] $

File dan direktori

File dan direktori di semua sistem operasi diatur dalam struktur hierarkis. Dalam UNIX,
setiap "lapisan" hierarki dipisahkan oleh garis miring (/). Bagian atas hierarki disebut sebagai
root filesystem dan direpresentasikan sebagai slash tunggal. Setiap direktori dapat berisi file
atau sub-direktori, atau kombinasi keduanya (Gambar 3.3).
   Lokasi file atau direktori dalam hierarki disebut sebagai path-nya. Ada dua cara untuk
mengekspresikan jalur file, seperti yang diberikan pada Tabel 3.2.
 Gambar 3.2 Layar command prompt

Gambar 3.3 File hirarki Unix

Tipe Contoh Deskripsi

Absolut /home/bob/hello.txt/etc Path absolut adalah lokasi persis file yang sedang
direferensikan. Mereka menyertakan setiap direktori
di atas direktori saat ini hingga ke root filesystem.
Relatif Sample/file2.txt Path relatif memberikan lokasi file yang berkaitan
hello.txt dengan direktori saat ini
Memindahkan filesystem – pwd, cd
Hal pertama yang perlu Anda ketahui adalah di mana Anda berada dan perintah pwd
menyediakan itu untuk Anda. pwd adalah singkatan dari "print working directory" dan
mengembalikan jalur absolut dari direktori tempat Anda berada saat ini. Ketika Anda masuk
ke sistem UNIX atau membuka jendela terminal, Anda biasanya akan ditempatkan di home
direktori Anda. Home directory Anda adalah ruang pribadi Anda pada sistem UNIX, analog
dengan folder Documents di Windows.

[alice@sunshine ~]$ pwd

/home/alice

Sekarang, untuk pindah ke direktori lain, kita bisa menggunakan perintah cd. cd, perintah ini
mengizinkan kita untuk berpindah ke direktori lain. Nama folder target harus disebutkan
secara spesifik dalam perintah.
[alice@sunshine ~]$ cd /usr
[alice@sunshine ~]$ pwd
/usr
Jadi, perintah “cd /usr” membawa kita ke /usr folder. Dalam hal  ini, kita
menggunakan absolut path dari direktori. Kita juga dapat menggunakan relatif path.
[alice@sunshine ~]$ cd bin
[alice@sunshine ~]$ pwd
/usr/bin
Bagaimana berpindah ke folder sebelumnya? Dengan kata lain, bagaimana jika kita
ingin berpindah dari /usr/bin ke /usr ? kita bisa menggunakan absolut path seperti di atas,
tetapi terdapat juga alternatif lain. Direktori Induk (parent directory), direktori yang secara
langsung merepresentasikan direktori saat ini dalam hierarki, direpresentasikan dengan dua
tanda titik (. .)
[alice@sunshine ~]$ pwd
/usr/bin
[alice@sunshine ~]$ cd ..
[alice@sunshine ~]$ pwd
/usr
Dengan cara yang sama, direktori terkini/saat ini direpresentasikan dengan tanda titik
satu (.) ini tidak begitu berguna ketika berganti direktori dengan “cd .” akan
menginstruksikan shell untuk mengganti direktori ke direktori terkini (contoh, jangan
lakukan apapun), tetapi ini akan sangat berguna dengan beberapa perintah yang akan kita
pelajari.

Mendaftar File dan Direktori

Untuk mendaftar isi dari sebuah direktori, gunakan ls.
[alice@sunshine ~]$ cd /home/alice
[alice@sunshine ~]$ ls
Dekstop Documents Downloads hello.txt Music Pictures Public Templates Videos
Tergantung pada versi dan konfigurasi khusus dari sistem operasi yang Anda
gunakan, hasilnya mungkin akan disajikan dalam berbagai macam warna untuk menunjukan
perbedaan tipe file atau direktori. (Dalam hal ini, item dengan warna biru adalah direktori dan
yang berwarna hitam adalam file). Karena warna ini dapat berbeda-beda dalam berbagai versi
sistem operasi, sebaiknya tidak bergantung pada warna tersebut. Terdapat alternatif
pengaturan, atau switch, yang dapat dilakukan dengan ls yang mencetak hasil dalam format
yang lebih standar: -F.
[alice@sunshine ~]$ ls –F
Dekstop/ Documents/ Downloads/ hello.txt Music/ Pictures/ Public/ Templates/ Videos/
Ls –F menambahkan sebuah garis miring (/) ke setiap direktori. Anda sekarang dapat
dengan mudah membedakan antara file dan direktori. Tetapi, perintah ls tidak menampilkan
file tersembunyi di dalam direktori asli. Semua file atau direktori yang namanya dimulai
dengan tanda titik (.) mengandung file tersembunyi. File tersembunyi adalah file yang secara
default disembunyikan dari user. Untuk menampilkan semua file yang mengandung file
tersembunyi, Anda harus menambahkan perintah –a :
[alice@sunshine ~]$ ls –aF
./ .bash_logout Dekstop/ hello.txt Public/
Documents
../ .bash_profile Music/ Templates/
/
. Downloads Pictures
.bashrc Videos/
bash_history / /
Dapat anda lihat, beberapa file tersembunyi (.bash_history,.bash_logout, dsb.), tidak
tampak. Dan juga dua direktoru tersembunyi, /(direktori terkini) dan ./(direktori induk)
sekarang tampak. Karena semua direktori dalam file sistem Unix memiliki direktori terkini 
dan direktori induk, selalu aka nada minimal dua isi direktori tersembunyi dan setiap
direktori.

Shell expansions

Ekspansi adalah karakter spesial atau string yang digunakan shell untuk membangun daftar
direktori file dimana perintah akan dijalankan. Terdapat beberapa tipe-tipe pengenalan
ekspansi dalam Bash shell.
Tilde expansions
Bash shell merepresentasikan karakter tilde (~) sebagai direktori home dari user.
[alice@sunshine Expansion]$ cd ~
[alice@sunshine ~]$ pwd
/home/alice
Jika Anda menambahkan username setelah karakter tilde, Bash memperluasnya ke
lokasi dari direktori home milik user. Anda tidak akan diijinkan untuk cd kedalam home
direktori mereka kecuali user tersebut memberikan ijin kepada Anda untuk mengaksesnya,
tapi ini adalah contoh tipe dari ekspansi dalam penggunaannya:
[alice@sunshine Expansions]$ cd ~bob
[alice@sunshine ~]$ pwd
/home/bob
Ekspansi nama file (wildcards)
Untuk memudahkan memberi perintah, Bash shell menawarkan berbagai wildcards, seperti
yang terdapat dalam Table 3.3. Karakter “?” ,[..], dan * adalah wildcard yang tersedia. Bash
memperluas kata-kata yang mengandung karakter ini dengan mengganti kata dengan daftar
file-file atau direktori yang cocok dengan filter yang dibuat dengan wildcard.
[alice@sunshine ~]$ cd /opt/book/system-admin/shell_expansion
[alice@sunshine shell_expansions]$ ls
Goodbye.doc heap.txt helicopter.txt hello.doc hello.txt help.txt
[alice@sunshine shell_expansion]$ ls *.doc
goodbye.doc hello.doc
[alice@sunshine shell_expansion]$ ls he?p.txt
heap.txt help.txt

Manajemen File
Sekarang Anda sudah tahu bagaimana cara untuk berpindah dalam sistem file, mari belajar
bagaimana cara untuk memodifikasi file dan folder.

Membuat dan menghapus direktori

Mkdir dan rmdir digunakan untuk membuat dan menghapus direktori.
[alice@sunshine ~]$ cd /opt/book/system-admin/work
[alice@sunshine work]$ mkdir new_directory
[alice@sunshine work]$ ls –aF
./ ../ new_directory/
[alice@sunshine work]$ rmdir new_directory/
[alice@sunshine work]$ ls –aF
./ ../

Table 3.3 Bash wildcard

Wildcar Filter Contoh

d
? Mencocokan nol atau satu karakter dengan re?d cocok dengan red, reed, dan
semua karakter read tapi tidak dengan reads
[..] Mendapatkan daftar atau baris dari re[a,e]d cocok dengan reed dan read
 huruf/angka yang seharusnya cocok tapi tidak dengan red
* Mencocokan nol atau lebih karakter dengan re* cocok dengan red, reed, dan
semua karakter reads

Menyalin dan memindahkan file

Gunakan perintah cp untuk menyalin file dan mv untuk memindahkan file dari satu direktori
ke direktori lainnya. Untuk mengubah nama dari file, “pindahkan’ itu dari file lama ke yang
baru. Syntax nya <cmd> <source> <target>.
[alice@sunshine work]$ cp ../shell_expansions/hello.txt hello_world.txt
[alice@sunshine work]$ ls –aF
./ ../ hello_world.txt
[alice@sunshine work]$ mv hello_world.txt HELLOWORLD.TXT
[alice@sunshine work]$ ls –aF
Tambahkan –r (pengulangan)  mengizinkan cp bekerja dengan direktori dan juga file
(akan selalu diulang). Recursion adalah aksi mendefinisikan sebuah fungsi dengan
bagiannya sendiri.
[alice@sunshine work]$ cd ~
[alice@sunshine ~]$ ls –F
Dekstop/ Documents/ Music/ Pictures/ Public/ Videos/
[alice@sunshine ~]$ cp –r Documents/ Documents-copy
[alice@sunshine ~]$ ls -F
Dekstop/ Documents/ Documents-copy/ Music/ Pictures/ Public/ Videos/
[alice@sunshine ~]$ mv Documents-copy Documents-moved
[alice@sunshine ~]$ ls –F
Dekstop/ Documents/ Documents-moved/ Music/ Pictures/ Public/ Videos/
[alice@sunshine ~]$ ls –aF Documents
./ ../ notes.txt readmesample_file.mp3
[alice@sunshine alice]$ ls –aF Documents-moved/
./ ../ notes.txt readmesample_file.mp3
Dapat Anda lihat, direktori  Documents/ dan semua konten didalamnya tersalin ke
Documents-copy/ dan lalu dipindahkan ke dalam direktori baru Documents-moved/;nama
direktori berubah tapi konten didalamnya tidak terpengaruh.
Menghapus file
Untuk menghapus file, gunakan perintah rm.
[alice@sunshine ~]$ cd Documents-moved/
[alice@sunshine Documents-moved]$ ls –aF
./ ../ notes.txt readme sample_file.mp3
[alice@sunshine Documents-moved]$ rm notes.txt
[alice@sunshine Documents-moved]$ ls –aF
./ ../ readme sample_file.mp3

[alice@sunshine Documents-moved]$ rm –i readme

rm: remove regular file ‘readme’? n
[alice@sunshine Documents-moved]$ cp –i sample_file.mp3 readme
cp: overwrite ‘readme’? n
[alice@sunshine Documents-moved]$ ls –aF
./ ../ readme sample_file.mp3
Hapus berulang
Dengan cp, switch pengulangan (-r) dapat digunakan dengan rm untuk menghapus direktori,
tapi, menggunakan switch rekursif dengan rm potensinya lebih berbahaya. rm –r bekerja
dengan lebih dahulu menghapus setiap dan semua file dalam direktori, lalu menghapus
direktori itu sendiri. Potensi serangan disini harusnya terlihat jelas. Selalu periksa dan
periksa kembali path yang kamu masukan ketika menggunakan rm –r.
[alice@sunshine ~]$ ls –F
Dekstop/ Documents/ Documents-moved/ Music/ Pictures/ Public/ Videos/
[alice@sunshine ~]$ rm –r Documents-moved/
[alice@sunshine ~]$ ls –F
Dekstop/ Documents/ Music/ Pictures/ Public/ Videos/

Melihat file
Jadi sekarang Anda dapat membuat jalan Anda sendiri untuk mengakses file system,
memindahkan file, dan mengganti pemiliknya, tapi bagaimana Anda melihat apa yang ada
dalam file? Kebanyakan file dalam server Linux adalah file teks, jadi mereka dapat dilihat
menggunakan beberapa perintah yang simple.
Less
less mengizinkan Anda untuk melihat file teks dalam satu layar.
[alice@sunshine ~]$ less /usr/share/doc/openssl-1.0.0/FAQ
Tabel 3.4 memberikan kunci yang dapat Anda gunakan untuk navigasi dan mencari
file. Hasil pencarian akan di tandai dan file akan digeser kebawah sampai bertemu dengan
kata kunci yang dicari dan akan ditampilkan di bagian paling atas terminal.
Head dan tail
Jika Anda hanya ingin melihat beberapa baris dari awal sampai akhir dari file, gunakanlah
head dan tail.Switch  –n mengontrol jumlah baris dari program yang ditampilkan – secara
bawaan adalah 10 baris.
[alice@sunshine ~]$ head /etc/passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/nin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
Tabel 3.4 Vi keyboard shortcut yang paling sering digunakan (juga yang jarang)

Perintah Deskripsi
Arah bawah Menggeser baris ke bawah
Arah atas Menggeser baris ke atas
Spasi Menggeser ke layar selanjutnya
b Menggeser ke layar sebelumnya
g Menggeser ke bagian awal file
G Menggeser ke bagian akhir file
/pattern Mencari dari lokasi terkini dari akhir file sampai
ketemu
?pattern Mencari dari lokasi terkini dari awal file sampai ketemu
n Menggeser file ke hasil pencarian selanjutnya
N Menggeser file ke hasil pencarian setelahnya
q Keluar
Catatan: Beberapa shortcut ini dapat mengantarkan ke Gmail. Sebagai contoh, mengetik/ketika
membaca email letakan kursor ke kotak pencarian.

sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
[alice@sunshine ~]$ tail –n5 /etc/group
sales_grp:x:504:
engineering_grp:x:505:
marketing_grp:x:506:
eric:x:507:
accounting_grp:x:508:

Mencari file
Ciri dari server Linux mengandung ribuan file dan lihat salah satunya, spesifik file dapat
dilihat seperti mencari jarum dalam sebuah tumpukan jerami. Tetapi, alat pencarian yang
sangat berguna, find, ada untuk membantu. Dalam bagian paling dasar, find memerlukan dua
argument: direktori yang seharusnya mulai dicari dan nama file yang dicari. Ini adalah contoh
dari pencarian untuk file konfigurasi Apache (webserver):
[alice@sunshine ~]$ find /etc –name httpd.conf
/etc/httpd/conf/httpd.conf
Yang perlu Anda ingat, find menggunakan syntax yang sedikit berbeda dari perintah
lain yang sudah kita gunakan sejauh ini. Di semua perintah lain yang dapat Anda lihat,
perintah switch diikuti dengan nama perintah. Tetapi dengan find, nama switchnya terletak
setelah argumen pertama (/). find secara manual mengarah pada bagian perintah –name
httpd.conf sebagai ekspresi. Ada banyak operator yang bisa digunakan dalam sebuah ekspresi
seperti –user (menemukan pemilik file akun yang ada) atau –empty (menemukan file
kosong). Ekspresi ganda juga dapat dikombinasikan untuk membatasi hasil pencarian:
[alice@sunshine ~]$ find /opt –user alice –empty
/opt/book/system-admin/my_file.txt

Kontrol akses dan manajemen user

Permission (Ijin)
Linux dan sistem operasi berbasis Unix lainnya mengontrol akses ke file melalui dua
mekanisme: file permission dan Access Control List (ACL). File permission adalah metode
tradisional dari kontrol akses ke file dan digunakan sejak Unix pertama kali rilis. Mereka
sepenuhnya didukung oleh semua perintah shell dan bekerja secara konsisten antara sistem
operasi yang berbeda. ACL adalah penambahan terbaru dan mendukung control yang lebih
fleksible dari bukan hanya yang dapat mengakses file, tetapi juga apa yang dapat diselesaikan
olehnya. Sialnya, ada sedikit standar sebelumnya antara implementasi ganda ACL pada OS
yang berbeda dan sedikit dukungan alat. ACL biasanya  menyelesaikan dengan baik dari ijin
file. Kita akan melihat kedua mekanisme, fokus pertama pada ijin file, tapi mempraktekan
ekstra kontrol yang didukung oleh ACL juga berguna.

ls (lagi)
Untuk melihat file permission terkini, gunakan switch –l untuk ls. Switch ini menampilkan
daftar direktori dalam format yang panjang, ditampilkan dalam 7 kolom. Table 3.5
menggambarkan informasi dari setiap kolom:
[alice@sunshine ~]$ cd /home/shared
[alice@sunshine shared]$ ls –laF
total 56
drwxr-xr-x.  5 root  root 4096 Jan 29  2012 ./
drwxr-xr-x.  12 root root 36864 Feb 15 19:57  ../
drwxr-xr-x.  6 root  root 4096 Jan 29 2012  academic_affairs/
drwxr-xr-x.  5 root  root 4096 Jan 29 2012  business_finance/
drwxr-xr-x.  2 root  legal_grp 4096 Jan 29 2012  legal/

Table 3.5 Kolom deskripsi di pendaftaran file

Posisi Deskripsi Contoh

Kolom
1 Izin file/direktori drwxr-xr-x
2 Nomor dari hubungan file sistem  2
3 User pemilik file/direktori root
4 Group pemilik file/direktori engineering_grp
5 Ukuran file/direktori (dalam bytes) 4096
6 Waktu modifikasi Jan 28 19:06
7 Nama file/direktori engineering/

Notasi Simbolik
Mari lihat lebih dekat pada izin file/direktori pada kolom 1. ls –l menampilkan izin file dalam
notasi simbolik: sebagai contoh lihat table 3.7.
Karakter pertama mengindikasikan tipe dari file:
d Direktori
- file biasa
b blok/file khusus
c karakter/file khusus
1 hubungan simbolik
P nama pipe
s soket
Sembilan karakter selanjutnya dibagi ke dalam tiga grup dari tiga karakter:
1. Apa yang dapat dilakukan pemilik
2. Apa yang dapat dilakukan oleh anggota dari grup pemilik
3. Apa yang semua user (umum) dapat lakukan
Setiap grup dipisahkan ke dalam tiga kolom:
r – read
w – write
x – execute
Sebagai tambahan untuk di eksekusi, kolom ketiga juga dapat menggambarkan atribut
khusus yang dapat diterapkan pada file:
s – setuid/setgid – daripada menggunakan izin user mengeksekusi file, file akan “dijalankan”
spesifik disini sebagai pemilik (setuid) atau grup (setgid). 
T – sticky bit – ketika sebuah direktori memiliki set atribut, user lain dengan akses write
dapat membuat file dalam direktori, tapi hanya pemilik yang dapat memindahkan atau
menghapus file.
Notasi Oktal
Sebagai tambahan untuk notasi simbolik, beberapa perintah menggunakan notasi octal untuk
mewakili izin file. Notasi oktal terdiri dari 3 nomor oktal (basis 8), satu komponen
merepresentasikan setiap izin file: user, grup, dan umum. Nilai dikalkulasikan dengan
menambahkan 3 bit oktal bersamaan (lihat Table 3.6):

Tabel 3.6 Notasi Oktal

Okta Simboli Deskripsi

l k
0 --- Tidak ada izin
1 --x Eksekusi
2 -w- Izin tulis
3 -wx Izin tulis/ eksekusi
4 r-- Izin baca
5 r-x Izin baca/eksekusi
6 rw- Izin baca/tulis
7 rwx Izin baca/tulis/dan eksekusi
Tabel 3.7 Contoh izin file

Notasi Notasi Penjelasan

Simbolik oktal
drwx r-x r-x 755 Direktori dengan izin baca/tulis/eksekusi oleh pemilik dan izin
tulis/eksekusi oleh grup dan umum
drw- r-- --- 640 File dengan izin baca/tulis oleh pemilik dan izin baca oleh grup dan
tidak ada izin untuk umum

1. Bit read menambahkan 4 ke total (biner : 100)

2. Bit write menambahkan 2 (biner: 010)
3. Bit execute menambahkan 1 (biner:: 001)

Mengubah Izin
Perintah chmod digunakan untuk mengubah izin dari sebuah file atau direktori. chmod
menggunakan notasi oktal ketika memasukan izin. Dalam contoh selanjutnya, kita akan
mengubah izin dari direktori /home/shared/legal untuk memberikan izin  read/write/execute
kepada pemilik direktori, izin read/write/execute ke semua orang dalam grup legal_grp dan
izin read/execute kepada semua orang.

alice@sunshine shared]$ su -
Password: thisisasecret
root@sunshine ~]#
untuk mendandai bahwa perintah berhasil dijalankan – itu akan menampilkan
username terakhir anda (root) dan tanda dolar ($) digantikan dengan tanda pagar (#). Tanda
pagar digunakan sebagai perintah root di banyak sistem operasi dan shell – walaupun Anda
melihatnya, berahati-hatilah dengan perintah yang anda ketikan. Kesalahan sederhana dapat
menjadi malapetaka ketika menggunakan akun super-user.
[root@sunshine ~]# [cd /home/shared
[root@sunshine shared]# [ls -laF
total 56
drwxr-xr-x. 5 root root 4096 Jan 29 2012 ./
drwxr-xr-x. 12 root root 36864 Feb 15 19:57 ../
drwxr-xr-x. 6 root root 4096 Jan 29 2012 academic_affairs/
drwxr-xr-x. 5 root root 4096 Jan 29 2012 business_finance/
drwxr-xr-x. 2 root legal_grp 4096 Jan 29 2012 legal/
-rw-r--r-- 1 root root 3969 May 29 10:20 README
[root@sunshine shared]# [chmod 775 legal
[root@sunshine shared]# [ls -laF
total 56
drwxr-xr-x. 5 root root 4096 Jan 29 2012 ./
drwxr-xr-x. 12 root root 36864 Feb 15 19:57 ../
drwxr-xr-x. 6 root root 4096 Jan 29 2012 academic_affairs/
drwxr-xr-x. 5 root root 4096 Jan 29 2012 business_finance/
drwxrwxr-x. 2 root legal_grp 4096 Jan 29 2012 legal/
-rw-r--r--  1 root root 3969 May 29 10:20 README\
Izin di direktori yang dibolehkan sudah diubah dari  drwxr-xr-x ke drwxrwxr-x dalam
contoh yang sederhana, izin write pada grup telah ditambahkan, jadi setiap anggota dari
legal_grp sekarang dapat read dan write file di direktori ini.

Daftar Akses Kontrol

Standar izin file UNIX sangat kuat, tetapi titik kelemahan utama mereka adalah masing-
masing file hanya dapat dimiliki oleh satu pengguna dan satu grup sekaligus. Jika Anda
memiliki banyak orang yang membutuhkan untuk memiliki tingkat akses yang berbeda ke
file, izin file UNIX tidak cukup. Anda harus manfaatkan Daftar Akses Kontrol Sistem (ACL)
yang disediakan oleh sebagian besar sistem operasi UNIX modern. Berikut ini sebuah
contoh: misalkan Anda memiliki file yang ingin Anda beri dua pengguna akses read
dan write dan Anda juga ingin memberikan akses hanya baca ke grup pengguna yang
terpisah, pengguna lain seharusnya tidak memiliki akses. Dengan izin file standar, ini tidak
mungkin tetapi itu mungkin relatif mudah menggunakan perintah setfacl.
[root@sunshine ~]# cd /opt/book/system-admin/access_control
[root@sunshine access_control]# ls -laF
total 52
drwxr-xr-x 5 root root 4096 Jan 29 2012 ./
drwxr-xr-x 12 root root 36864 Feb 15 19:57 ../
-rw-r--r-- 1 root root 43836 May 29 10:06 document.txt
[root@sunshine access_control]# chmod 600 document.txt
[root@sunshine access_control]# ls -laF document.txt
-rw------- 1 root root 43836 May 29 10:06 document.txt
[root@sunshine access_control]# setfacl -m u:alice:rw document.txt
[root@sunshine access_control]# setfacl -m u:bob:rw document.txt
[root@sunshine access_control]# setfacl -m g:legal_grp:r document.txt
[root@sunshine access_control]# setfacl -m o-: document.txt
Perintah setfacl –m membutuhkan dua argument, pertama adalah ACL untuk
diterapkan dan kedua adalah file yang harus diterapkan dengan ACL juga. Entri ACL dibagi
menjadi tiga bagian dipisahkan dengan titik dua.

Bagian pertama mengindikasikan tipe entri dari ACL :

u – User – mengubah akses file untuk satu user 
g – grup – mengubah akses file untuk grup dari user
o – Lainnya – mengubah akses file untuk semua user yang tidak diberi akses oleh user atau
grup dalam ACL.

Bagian kedua mengindikasikan untuk siapa ACL diterapkan. Dalam kasus dari user
dan grup ACL, ini akan menjadi nama dari user atau grup masing-masing. Dalam kasus ACL
diterapkan ke “lainnya” bagian ini dibiarkan kosong. 
Akhirnya, bagian ketiga adalah daftar dari izin yang seharusnya dijamin oleh ACL ini.
Seperti perintah chmod, setfacl menggunakan notasi simbolik untuk mengekspresikan akses
read (r), write (w), dan execute (x).
Perintah getfacl mencantumkan ACL yang telah ditetapkan pada file. 
[root@sunshine access_control]# getfacl document.txt
# file: document.txt
# owner: root
# group: root
user::rwuser:
alice:rwuser:
bob:rwgroup::---
group:legal_grp:r--
mask::rwother::---
Anda juga dapat melihat bahwa apakah ACL telah diterapkan pada file menggunakan
ls –l
[root@sunshine access_control]# ls -laF document.txt
-rw-------+ 1 root root 43836 May 29 10:06 document.txt
Simbol tambahan di kolom terakhir dari izin mengindikasikan ACL saat ini.

Kepemilikan File

Mari kita lihat hasil lain dari perintah ls –l

[root@sunshine ~]# cd /home/shared
[root@sunshine shared]# ls -laF
total 56
drwxr-xr-x. 5 root root    4096 Jan 29 2012 ./
drwxr-xr-x. 12 root root    36864 Feb 15 19:57 ../
drwxr-xr-x. 6 root root    4096 Jan 29 2012 academic_affairs/
drwxr-xr-x. 5 root root    4096 Jan 29 2012 business_finance/
drwxr-xr-x. 2 root legal_grp 4096 Jan 29 2012 legal/
-rw-r--r--  1 root root    3969 May 29 10:20 README

Kolom 3 melaporkan pemilik file, user yang membuat file atau yang memiliki
kepemilikan yang ditransfer kepadanya oleh pemilik sebelumnya atau oleh administrator.
Hampir sama, kolom ke empat mencantumkan file yang dimiliki oleh grup. Ini biasanya
bawaan ke grup pembuat ketika file dibuat; namun, kita akan belajar bagaimana
memengaruhi grup bawaan apa yang digunakan nanti dalam bab ini.
Mengubah Kepemilikan

Untuk mengubah pemilik dan grup dari sebuah file, Anda akan menggunakan perintah chown
dan chgrp, masing-masing. Dalam contoh ini, kita akan mengubah kepemilikan dari
home/share/README ke user dave dan grup library_grp
[root@sunshine shared]# cd /home/shared
[root@sunshine shared]# chown dave README
[root@sunshine shared]# chgrp library_grp README
[root@sunshine shared]# ls -laF
total 56
drwxr-xr-x. 5 root root 4096 Jan 29 2012 ./
drwxr-xr-x. 12 root root 36864 Feb 15 19:57 ../
drwxr-xr-x. 6 root root 4096 Jan 29 2012 academic_affairs/
drwxr-xr-x. 5 root root 4096 Jan 29 2012 business_finance/
drwxr-xr-x. 2 root legal_grp 4096 Jan 29 2012 legal/
-rw-r--r--  1 dave library_grp 3969 May 29 10:20 README

Mengedit File
Sekarang Anda dapat melihat konten dari sebuah file, Anda perlu tahu cara membuat dan
mengedit file sendiri. Ada ratusan program yang tersedia untuk mengedit file, dari teks editor
paling sederhana hingga program grafis yang dapat menyaingi Microsoft Word dalam
fiturnya. Namun, selama berlatih dalam karir Anda, Anda akan menggunakan berbagai jenis
dan versi sistem operasi berbasis Unix dan editor favorit Anda mungkin tidak tersedia pada
semuanya. Hanya ada satu editor yang disertakan dengan semua sistem berbasis Unix: vi

Enam editor?
Hal pertama yang harus anda ketahui tentang vi adalah bagaimana mengucapkannya. Jangan
mencoba untuk mengucapkannya dengan kata “vie” dan jangan pernah membacanya sebagai
angka romawi enam (VI), cukup katakan dengan terpisah (vee-eye). Satu hal lagi – pengguna
Unix biasanya menggunakan vi sebagai kata kerja (“vi file ini”) daripada kata benda (“buka
file ini di vi”).

Dasar-dasar vi
Banyak orang merasa terintimidasi ketika mereka pertama kali membuka vi. Tidak ana menu
atau bantuan sedikitpun dan secara umum hanya ada sangat sedikit informasi yang
ditampilkan. Untuk membantu user yang baru pertama menggunakan vi, program tutorial
pendek (vimtutor) dikembangkan. Itu akan membawa Anda ke semua fungsi dasar vi dan
memperkenalkan Anda beberapa fitur yang membuat vi sangat diperlukan bahkan 35 tahun
sejak pengembangan awal. Sangat direkomendasikan untuk Anda agar menyelesaikan latihan
vimtutor untuk kebaikan Anda sendiri.
[alice@sunshine ~]$ vimtutor

Perintah ini akan membuka vimtutor, seperti yang terdapat pada gambar 3.4

vi dan gmail
Banyak user yang tidak peduli dengan banyaknya keyboard shortcut yang terdapat dalam gmail.
Pada pemeriksaan lebih dekat, beberapa keyboard shortcut ini tampaknya telah terinspirasi oleh
shortcut yang dimiliki oleh vi. Contohnya termasuk / untuk mencari, k untuk pindah ke percakapan
yang lebih baru, dan j untuk pindah ke percakapan yang lebih lama.

Instalasi dan pembaruan perangkat lunak

Dalam dunia Linux, aplikasi biasanya disebut dengan paket (packages). Beberapa fungsi
sehari-hari paling penting dari sistem administrator adalah untuk menginstal paket perangkat
lunak baru pada 

Gambar 3.4 tampilan vimtutor

semua server. Ini bisa menjadi tantangan karena banyaknya paket yang membentuk sistem
operasi server yang khas. Bahkan instalasi Linux yang relatif mendasar, seperti yang
digunakan untuk latihan dalam buku ini, mencakup lebih dari seribu paket terpisah.
Format paket
Jika Anda belum pernah bekerja dengan sistem operasi berbasis UNIX, Anda mungkin tidak
terbiasa dengan paket perangkat lunak. Di Microsoft Windows dan Mac OS X, pembaruan
sistem operasi umumnya didistribusikan sebagai bundel besar, yang memperbarui banyak
bagian sistem operasi sekaligus. Demikian pula, pembaruan aplikasi pada platform tersebut
didistribusikan sebagai satu file pemasang yang menggantikan beberapa file yang terdapat
dalam versi aplikasi yang lama. Linux dan sebagian besar sistem operasi berbasis UNIX
lainnya mendistribusikan sistem operasi dan pembaruan aplikasi sebagai paket perangkat
lunak. Alih-alih mengemas semua file yang dibutuhkan oleh aplikasi ke file tunggal, aplikasi
dibagi menjadi komponen-komponen kecil yang dapat digunakan kembali oleh aplikasi lain.
Komponen-komponen ini kemudian diubah menjadi paket perangkat lunak. Setiap paket
menyertakan daftar dependensi - paket yang harus diinstal sebelum paket ini dapat diinstal
dengan benar. Daftar ketergantungan ini bisa menjadi luas, bahkan untuk aplikasi yang
tampaknya cukup sederhana. Sebagai contoh, masukkan perintah ini untuk melihat daftar
dependensi untuk browser Firefox. Anda akan melihat bahwa firefox tergantung pada banyak
paket lain:
[alice@sunshine ~]$ repoquery --requires firefox
Manajer paket YUM
CentOS Linux menyertakan manajer paket yum untuk membantu administrator sistem dalam
tugas menginstal paket baru, melacak dependensi, dan memperbarui paket. Yum bekerja
dengan membangun database dari paket RPM yang saat ini diinstal pada sistem dan
kemudian membandingkannya dengan repositori paket online, situs HTTP atau FTP yang
berisi semua paket yang telah dirilis. Untuk memastikan bahwa repositori selalu tersedia dan
paket dapat diunduh dengan cepat, file-file tersebut direplikasi di antara ratusan server di
seluruh dunia. Masing-masing "mirror" dari repositori utama ini berisi semua file aslinya dan
dapat digunakan untuk semua instalasi atau memperbarui prosedur. Sebelum mengunduh file
apa pun, yum secara otomatis menguji kecepatan unduhan untuk mirror yang tersedia dan
memilih salah satu yang tercepat.

YUM install dan YUM remove

YUM install mengunduh paket yang dipesan dan paket yang memiliki ketergantungan dari
penyimpanan paket. Sebagai contoh, mari unduh paket gnome-games, yang mengandung
beberapa game seperti Solitare dan Sudoku.
[root@sunshine ~]# yum install gnome-games
Loaded plugins: fastestmirror, refresh-packagekit, security
Loading mirror speeds from cached hostfile
* base: mirrors.gigenet.com
* extras: mirrors.gigenet.com
* updates: centos.mirror.choopa.net
Setting up Install Process
Resolving Dependencies
--> Running transaction check
---> Package gnome-games.i686 1:2.28.2-2.el6 will be installed
[Output shortened to conserve space]
Dependencies Resolved

=============================================================
==================================
Package Arch Version
Repository Size
=============================================================
==================================
Installing:
gnome-games i686 1:2.28.2-2.el6 base
3.3 M
Installing for dependencies:
clutter i686 1.0.6-3.el6 base
320 k
ggz-base-libs i686 0.99.5-5.1.el6 base
189 k
guile i686 5:1.8.7-5.el6 base
1.4 M
Transaction Summary
=============================================================
==================================
Install 4 Package(s)
Total download size: 5.1 M
Installed size: 18 M
Is this ok [y/N]: y
Downloading Packages:
(1/4): clutter-1.0.6-3.el6.i686.rpm
| 320 kB 00:00
(2/4): ggz-base-libs-0.99.5-5.1.el6.i686.rpm
| 189 kB 00:00
(3/4): gnome-games-2.28.2-2.el6.i686.rpm
| 3.3 MB 00:03
(4/4): guile-1.8.7-5.el6.i686.rpm
| 1.4 MB 00:01
----------------------------------------------------------------------
------------------------
Total 744 kB/s
| 5.1 MB 00:07
[Output shortened to conserve space]
Installed:
gnome-games.i686 1:2.28.2-2.el6
Dependency Installed:
clutter.i686 0:1.0.6-3.el6 ggz-base-libs.i686 0:0.99.5-5.1.el6
guile.i686 5:1.8.7-5.el6
Complete!
[root@sunshine ~]# gnome-sudoku
Tiga repositori paket default (basis, ekstra, dan pembaruan) terdaftar untuk mirror yang
dipilih sebagai yang tercepat untuk repositori itu. yum kemudian mengunduh daftar
dependensi untuk gnome-game dan membandingkan daftar itu dengan paket yang sudah
diinstal pada sistem ini. Kemudian daftar semua paket yang akan diinstal disajikan untuk
administrator sistem. 
Jika administrator sistem ingin melanjutkan, paket diinstal dan aplikasi siap digunakan. Jika
sebuah paket tidak lagi diperlukan, perintah yum remove akan menghapus paket dan semua
paket yang bergantung padanya. Tentunya, harus sangat hati-hati saat menggunakan perintah
yum remove untuk memastikan bahwa paket yang diperlukan untuk fungsi server tidak
terpengaruh.
[root@sunshine ~]# yum remove gnome-games
Loaded plugins: fastestmirror, refresh-packagekit, security
Setting up Remove Process
Resolving Dependencies
--> Running transaction check
---> Package gnome-games.i686 1:2.28.2-2.el6 will be erased
--> Finished Dependency Resolution
Dependencies Resolved
=============================================================
==================================
Package Arch Version
Repository Size
=============================================================
==================================
Removing:
gnome-games i686 1:2.28.2-2.el6 @base
14 M
Transaction Summary
=============================================================
==================================
Remove 1 Package(s)
Installed size: 14 M
Is this ok [y/N]: y
Downloading Packages:
Running rpm_check_debug
Running Transaction Test
Transaction Test Succeeded
Running Transaction
Erasing : 1:gnome-games-2.28.2-2.el6.i686
1/1
Removed:
gnome-games.i686 1:2.28.2-2.el6
Complete!
yum list dan yum search
Kita dapat melihat bahwa perintah yum install mengizinkan anda untuk menginstal paket
baru, tapi bagaimana Anda tahu mana paket yang tersedia? perintah yum list akan
menampilkan semua paket yang tersedia dan yum search mengizinkan Anda untuk mencari
paket yang terdapat judul dan/atau deskripsi yang Anda cari.
[root@sunshine ~]# yum list
Loaded plugins: fastestmirror, refresh-packagekit, security
Loading mirror speeds from cached hostfile
* base: mirrors.gigenet.com
* extras: mirrors.gigenet.com
* updates: centos.mirror.choopa.net
Installed Packages
ConsoleKit.i686 0.4.1–3.el6 @anaconda-
CentOS-201112130233.i386/6.2
ConsoleKit-libs.i686 0.4.1–3.el6 @anaconda-
CentOS-201112130233.i386/6.2
ConsoleKit-x11.i686 0.4.1–3.el6 @anaconda-
CentOS-201112130233.i386/6.2
[Output shortened to conserve space]
zlib-static.i686 1.2.3-27.el6
base
zsh.i686 4.3.10-4.1.el6
base
zsh-html.i686 4.3.10-4.1.el6
base
[root@sunshine ~]# yum search games
Loaded plugins: fastestmirror, refresh-packagekit, security
Loading mirror speeds from cached hostfile
* base: mirrors.gigenet.com
* extras: mirrors.gigenet.com
* updates: centos.mirror.choopa.net
===N/S Matched: games
=====================================================
gnome– games .i686 : Games for the GNOME desktop
gnome– games –extra.i686 : More games for the GNOME desktop
gnome– games –help.noarch : Help files for gnome- games
kde games .i686 : KDE Games
kde games –libs.i686 : Runtime libraries for kde games
kde games –devel.i686 : Header files for compiling KDE 4 game applications

yum update
Perintah  yum update menyajikan cara yang sederhana untuk memindai semua paket yang
terinstal di sistem, membandingkan versi dengan yang saat ini tersedia dan melaporkan salah
satu yang perlu di tingkatkan.
[root@sunshine ~]# yum update
Loaded plugins: fastestmirror, refresh–packagekit, security
Determining fastest mirrors
* base: mirrors.gigenet.com
* extras: mirrors.gigenet.com
* updates: centos.mirror.choopa.net
base | 3.7 kB
00:00
extras | 3.5 kB
00:00
updates | 3.5 kB
00:00
updates/primary_db | 2.8 MB
00:03
Setting up Update Process
Resolving Dependencies
--> Running transaction check
---> Package firefox.i686 0:10.0.3-1.el6.centos will be updated
[Output shortened to conserve space]
Transaction Summary
=============================================================
=========================
Install 1 Package(s)
Upgrade 23 Package(s)
Remove 1 Package(s)
Total download size: 92 M
Is this ok [y/N]: y
Downloading Packages:
(1/24): firefox–10.0.4–1.el6.centos.i686.rpm | 20 MB
00:24
(2/24): kernel–2.6.32–220.13.1.el6.i686.rpm | 22 MB
00:30
(3/24): kernel–firmware–2.6.32–220.13.1.el6.noarch. | 6.2 MB
00:07
(4/24): kpartx-0.4.9–46.el6_2.2.i686.rpm | 45 kB
00:00
(5/24): libpng-1.2.49-1.el6_2.i686.rpm | 184 kB
00:00
[Output shortened to conserve space]
Complete!
Seperti yang Anda perhatikan, hasilnya sangat mirip dengan yum install. Satu hal
yang menarik untuk dicatat adalah bahwa yum update dapat menginstal dan menghapus paket
selain meningkatkannya. Ketika paket perangkat lunak dikembangkan dan diperbarui, mereka
dapat mengubah paket yang menjadi ketergantungannya atau paket tersebut dapat mengubah
nama, yang membutuhkan paket lama untuk dihapus dan diganti dengan yang baru.
Manajemen Akun
Bergantung pada lingkungan tempat administrator sistem bekerja, manajemen akun dapat
menghabiskan sebagian besar waktunya atau hampir tidak ada waktu sama sekali. Beberapa
faktor yang mempengaruhi jumlah manajemen pengguna yang harus dilakukan adalah jumlah
total akun pengguna dan persentase pengguna yang ditambahkan atau dihapus secara teratur.
Dengan organisasi seperti universitas dan perusahaan besar, jumlah dan kompleksitas tugas
manajemen akun terlalu besar untuk diproses secara manual. Dalam situasi ini, solusi
Manajemen Identitas digunakan untuk membuat aturan manajemen akun yang dapat
diterapkan secara otomatis ke semua pengguna saat ini dan yang potensial. Kita akan
membahas Manajemen Identitas secara mendalam di bab selanjutnya, tetapi untuk saat ini
kita akan melihat prosedur manajemen akun manual.

Manajemen Pengguna
Cara termudah untuk mengelola akun pengguna dan keanggotaan grup di CentOS adalah
dengan menggunakan Manajer Pengguna, alat grafis yang disertakan dengan instalasi
CentOS yang khas. Anda dapat memulainya dengan memilih "Pengguna dan Grup" dari
menu Administrasi (Gambar 3.5).
Antarmukanya sangat mirip dengan halaman administrasi pengguna yang ada pada Windows
dan Mac OSX (Gambar 3.6). Untuk menambahkan pengguna baru, cukup klik tombol
"Tambah Pengguna" dan lengkapi formulir pengguna baru. Secara default, alat ini akan
menghasilkan direktori home untuk pengguna di sistem file / home dan mengeluarkan nomor
id pengguna dan grup yang tersedia berikutnya. Namun, Anda dapat mengganti perilaku ini
dan memasukkan nilai khusus jika diperlukan. Anda juga dapat menghapus pengguna dengan
memilih tombol "Hapus".
Terakhir, Anda dapat mengedit akun yang ada dengan memilih akun dari daftar dan mengklik
tombol “Properti”. Di editor akun, Anda dapat mengubah nilai apa pun yang ditetapkan saat
akun dibuat. Selain itu, Anda juga dapat mengubah beberapa pengaturan kontrol akses untuk
akun, seperti:
• Akun Kedaluwarsa - Setelah tanggal ini, akun tidak akan diizinkan untuk mengautentikasi.
Administrator sistem harus membuka kunci akun agar pengguna dapat memperoleh kembali
akses.
• Kunci Kata Sandi Lokal - Jika pengaturan ini diaktifkan, pengguna tidak akan dapat
mengautentikasi dengan kata sandi di / etc / passwd. Namun, otentikasi eksternal (LDAP,
Kerberos, NIS, dll.) Masih diizinkan.
• Kata Sandi Kedaluwarsa - Pengaturan untuk jumlah waktu minimum dan maksimum yang
dapat dilewati antara perubahan kata sandi. Setelah jumlah waktu maksimum berlalu,
administrator sistem harus membuka kunci akun agar pengguna dapat kembali mengakses.

Gambar 3.5 Menjangkau pengguna dan manajer grup

Gambar 3.6 Menambahkan pengguna

 Gambar 3.7 Pengaturan grup
 Kata sandi dipaksa ganti saat login berikutnya - Tindakan jelas. Pengaturan ini sering
digunakan untuk akun baru. Administrator sistem membuat akun dengan kata sandi
sederhana yang diketahui. Ketika pengguna masuk untuk pertama kalinya, ia diminta untuk
mengubah kata sandi menjadi kata sandi yang lebih aman.
Selain pengguna, tab "grup" di Manajer Pengguna memungkinkan Anda untuk mengelola
pembuatan grup, penghapusan, dan perubahan keanggotaan (Gambar 3.7). Untuk menambah
grup baru, cukup pilih tombol "Tambah Grup" dan masukkan nama untuk grup baru. Anda
juga dapat menentukan grup id number khusus. Ketika grup sudah dibuat, Anda perlu untuk
menambahkan anggota. Pilih nama grup dari daftar di tab “Grup” dan klik tombol “Properti”.
Jendela yang ditunjukkan di sebelah kanan akan ditampilkan. Klik pada kotak centang di
setiap pengguna yang harus ditambahkan sebagai anggota dan kemudian klik OK. Grup baru
Anda sekarang siap digunakan.

Command-line admin pengguna

Tampilan grafis dari user manager sangat mudah digunakan dan dapat digunakan untuk
hampir semua tugas administrasi pengguna; namun, apa yang dapat Anda lakukan jika paket
itu tidak tersedia atau Anda sedang mengerjakan sistem dari jarak jauh melalui koneksi dial-
up? Dalam kasus ini, tampilan terminal adalah opsi terbaik. Berita baiknya adalah, di Unix,
semuanya memiliki baris perintah yang setara. Faktanya, banyak alat grafis di Unix hanyalah
tampilan untuk mengumpulkan data dari pengguna, menjalankan program baris perintah dan
menampilkan hasilnya.
Perintah useradd, usermod, dan userdel dapat digunakan sebagian besar tempat tugas
administrasi pengguna di Manajer Pengguna. Seperti beberapa perintah lain yang telah kita
bahas dalam bab ini, perintah ini memiliki kemampuan yang berbeda tergantung pada sistem
operasi yang Anda gunakan. Versi yang disertakan dengan CentOS memiliki beberapa fitur
canggih yang dapat kita manfaatkan, tetapi kita akan mendemonstrasikan fitur yang tersedia
di berbagai platform.
Dalam contoh ini, kita akan membuat user baru dengan nama “fred” dan direktori home (-d)
dari “/home/fred”. Kita juga akan menyimpan nama lengkapnya di bagian komentar dari file
kata sandi (-c “Fred Flintstone”).
[root@sunshine ~]# useradd -c "Fred Flintstone" -m -d "/home/fred" fred
[root@sunshine ~]# ls -laF /home/fred
total 28
drwx------. 4 fred fred 4096 May 4 19:48 .
drwxr-xr-x. 9 root root 4096 May 4 19:48 ../
-rw-r--r--. 1 fred fred 18 May 10 2012 .bash_logout
-rw-r--r--. 1 fred fred  176 May 10 2012 .bash_profile
-rw-r--r--. 1 fred fred  124 May 10 2012 .bashrc
drwxr-xr-x. 2 fred fred 4096 Nov 11 2010 .gnome2/
drwxr-xr-x. 4 fred fred 4096 Jan 22 18:48 .mozilla/

Sebelum user baru dapat masuk ke akun, kita perlu membuat kata sandi. Ketika Anda
menggunakan perintah useradd,  itu akan membuat bagian kata sandi kosong, yang secara
efektif akan mengunci akun sampai kata sandi dibuat. Perintah passwd memungkinkan Anda
untuk mengatur kata sandi pada akun Anda yang memiliki izin untuk melakukannya.
Sementara contoh di bawah ini menunjukkan kata sandi, dalam praktiknya, untuk alasan
keamanan, kata sandi tidak ditampilkan. Juga, karena Anda mungkin perlu menuliskan kata
sandi (di atas kertas atau dalam email / file) untuk diberikan kepada pengguna baru, Anda
harus meminta pengguna untuk mengubah kata sandi mereka saat login pertama kali. Di
CentOS, Anda melakukan ini dengan tanda "-e" ke perintah passwd:
[root@sunshine ~]# passwd fred
Changing password for user fred.
New password: NewPasswordGoesHere
Retype new password: NewPasswordGoesHere
passwd: all authentication tokens updated successfully.
[root@sunshine ~]# passwd -e fred
Expiring password for user fred.
User “fred” sekarang dapat masuk ke sistem dan mengakses filenya. Sepanjang
menggunakan tanda “-e”, ada beberapa kontrol akses yang berguna yang diizinkan oleh
perintah passwd, seperti mengunci (-l) dan membuka kunci (-u) sebuah akun. Dan mengatur
batas minimum (-n) dan maksimum (-x) umur kata sandi. 
[root@sunshine ~]# passwd -l fred
Locking password for user fred.
[root@sunshine ~]# passwd -u fred
Unlocking password for user fred.
[root@sunshine ~]# passwd -n 1 -x 180 fred
Adjusting aging data for user fred.
 Untuk menambahkan user ke dalam sebuah grup, Anda dapat menggunakan perintah
usermod dengan tanda “-aG” dan daftar grup yang dipisahkan dengan tanda koma.
[root@sunshine ~]# groups fred
fred : fred
[root@sunshine ~]# usermod -a -G
coll_fine_arts_grp,vp_academic_aff_grp fred
[root@sunshine ~]# groups fred
fred : fred vp_academic_aff_grp coll_fine_arts_grp
Anda juga dapat menggunakan perintah usermod untuk memodifikasi beberapa opsi
lain dalam akun, seperti tanggal kadaluwarsa (-e) dan memindahkannya ke direktori home (-
md).
[root@sunshine ~]# usermod -e 2013-08-01 -md "/home/flintstone" fred
[root@sunshine ~]# ls -laF /home/flintstone
total 28
drwx------. 4 fred fred 4096 May 4 19:48 .
drwxr-xr-x. 9 root root 4096 May 4 19:48 ../
-rw-r--r--. 1 fred fred   18 May 10 2012 .bash_logout
-rw-r--r--. 1 fred fred  176 May 10 2012 .bash_profile
-rw-r--r--. 1 fred fred  124 May 10 2012 .bashrc
drwxr-xr-x. 2 fred fred 4096 Nov 11 2010 .gnome2/
drwxr-xr-x. 4 fred fred 4096 Jan 22 18:48 .mozilla/
Akhirnya, userdel menghapus sebuah akun user. Secara default, direktori home dari
user tidak akan terhapus, tapi untuk menghapusnya, tambahkan tanda “-r”
[root@sunshine ~]# userdel -r fred
[root@sunshine ~]# ls -laF /home/flintstone
ls: cannot access /home/flintsone: No such file or directory
[root@sunshine ~]# groups fred
groups: fred: No such user

Manajemen Grup
Bersamaan dengan perintah useradd, usermod, userdel, ada perintah groupadd, groupmod,
dan groupdel yang cocok untuk manajemen grup. Karena grup memiliki sedikit opsi yang
dapat dikonfigurasi, perintah ini memiliki lebih sedikit switch yang digunakan. Groupadd dan
groupdel biasanya tidak memerlukan parameter tambahan selain grup untuk dikerjakan dan
satu-satunya opsi untuk usermod adalah mengganti nama (-n) grup. Keanggotaan grup dapat
dikelola dengan grupmems, yang meliputi switch untuk menambahkan (-a), menghapus (-d),
dan mendaftar semua (-l) anggota grup.
[root@sunshine ~]# groupadd new_group
[root@sunshine ~]# groupmems -a alice -g new_group
[root@sunshine ~]# groupmems -a bob -g new_group
[root@sunshine ~]# groupmems -l -g new_group
alice bob
[root@sunshine ~]# man groupmod
[root@sunshine ~]# groupmod -n improved_group new_group
[root@sunshine ~]# groupmems -l -g improved_group
alice bob
[root@sunshine ~]# groupmems -l -g new_group
groupmems: group 'new_group' does not exist in /etc/group
[root@sunshine ~]# groupdel improved_group

Contoh kasus – Universitas Northwest Florida

Pada Oktober 2012, diumumkan bahwa informasi pribadi milik lebih dari 300.000 orang
telah dicuri di Northwest Florida State College. Lembaga ini, sebelumnya adalah community
college, melayani sekitar 17.000 siswa setiap tahun. Sejak didirikan pada tahun 1963, kampus
ini telah memberikan hampir 30.000 gelar.
Populasi yang terkena dampak termasuk hampir 200.000 orang yang mungkin tidak
memiliki koneksi ke perguruan tinggi. Lainnya yang terkena dampak termasuk lebih dari
75.000 alumni atau mahasiswa saat ini, dan 3.200 karyawan saat ini atau pensiunan. 200.000
orang yang tidak berafiliasi dengan institusi adalah siswa yang memenuhi syarat untuk
beasiswa Bright Futures di tahun-tahun sekolah yang dimulai pada tahun 2005 dan 2006.
Data yang diambil termasuk nama, nomor Jaminan Sosial (SSN), tanggal lahir, jenis kelamin,
dan etnis. Dalam hal karyawan, data curian juga termasuk data setoran langsung dan nomor
rekening. Pada saat pengumuman, universitas mengakui bahwa sekitar 50 karyawan,
termasuk rektor perguruan tinggi, telah melaporkan masalah pencurian identitas.
Menurut investigasi perguruan tinggi, yang dilakukan dengan bantuan konsultan dan
seorang ahli cybercrimes Kantor Sherif distrik Okaloosa, pelanggaran terjadi antara 21 Mei
dan 24 September 2012. Pihak kampus berspekulasi bahwa pelakunya adalah "profesional" ,
serangan terkoordinasi oleh satu atau lebih peretas. "
Pencurian termasuk folder dari server utama sekolah yang menyertakan beberapa file.
Sementara lembaga telah memastikan bahwa tidak ada file yang memiliki set lengkap
informasi pribadi mengenai individu, begitu peretas memiliki akses ke server tunggal yang
berisi file, mereka dapat mengumpulkan semua informasi yang diperlukan untuk setidaknya
50 karyawan perguruan tinggi .
Para penyerang menggunakan identitas curian untuk mengajukan pinjaman dari PayDayMax,
Inc., serta Discount Advance Loans (iGotit.com, Inc.), dan menggunakan kredensial bank
curian untuk membayar kembali pinjaman tersebut. Kedua layanan pinjaman bayaran terletak
di Kanada. Selain itu, data yang dicuri juga digunakan untuk mengajukan kartu kredit Home
Depot dengan nama karyawan.
REFERENSI
Ragan , S. “ Northwest Florida State College says
clever attackers were successful in data breach ,”
SecurityWeek , October 10, 2012.
RANGKUMAN
Bab ini menunjukkan banyak utilitas dasar yang
digunakan oleh administrator sistem. Kebiasaan yang
terbentuk dengan utilitas ini adalah prasyarat untuk
keberhasilan sebagai profesional di bidang keamanan
informasi. Ini memberikan contoh nyata dari tugas
seorang administrasi sistem yang dibahas dalam bab
terakhir.
PERTANYAAN TINJAUAN BAB
1. Apa fungsi dari kernel?
2. Apa itu shell? Apa program shell yang
tersedia di semua versi UNIX? Apa itu shell
prompt?
3. Bagian teratas dari hierarki sistem
disebut apa? Bagaimana itu direpresentasikan di
sistem UNIX?
4. Apa itu path? Apa perbedaan dari path
relatif dan absolut
5. Perintah pwd dalam UNIX digunakan
untuk apa? Opsi fungsi apa saja yang bias
dijalankan dengan perintah tersebut?
6. Perintah cd dalam UNIX digunakan
untuk apa? Opsi fungsi apa saja yang bias
dijalankan dengan perintah tersebut?
7. Perintah ls dalam UNIX digunakan
untuk apa? Opsi fungsi apa saja yang bias
dijalankan dengan perintah tersebut?
8. Perintah rm dalam UNIX digunakan
untuk apa? Opsi fungsi apa saja yang bias
dijalankan dengan perintah tersebut?
9. Perintah mkdir dalam UNIX digunakan
untuk apa? Opsi fungsi apa saja yang bias
dijalankan dengan perintah tersebut?
10. Cantumkan dua perintah untuk kembali
ke direktori home.
11. Apa itu wildcards (ekspansi nama file)?
Berikan contoh bagaimana Anda menggunakan
Bolkan , J. “ Northwest Florida State College data
breach compromises 300,000 students and
employees ,” Campus Technology , October 17, 2012.
Tujuan dari bagian ini adalah untuk
memberikan pemahaman yang baik
tentang administrasi Unix secara umum
dan distro Linux CentOS secara khusus.
Pengetahuan ini akan menjadi pondasi
dari diskusi teknis di akhir latihan.
 Apa perintah yang akan Anda gunakan
untuk mencari folder “message”, dimana Anda
tau itu terdapat di folder /var?
 Berikan hasil dari ls –l, apa yang Anda
ketahui tentang kepemilikan dan izin akses
untuk folder accounting?
    drwxr-xr-x. 2 root
  accounting_grp
  4096 Jan 28 19:07 accounting/
16. Berikan hasil ls di atas, bagaimana
Anda menggunakan perintah chmod
untuk memberikan izin kepada semua
anggota “accounting_grp” ke folder
“accounting”?
16. Apa itu daftar akses kontrol?
Bagaimana itu digunakan?
16. Apa fungsi dari perintah setfacl?
16. Apa fungsi dari perintah getfacl?
16. Mengapa belajar tentang vi berguna
bagi administrator TI?
16. Gambarkan bagaimana setuid
berperilaku saat mengeksekusi file?
16. Apa yang harus dilakukan oleh pemilik
file .bashrc agar dapat mengedit file
tersebut jika izin saat ini adalah 444?
16. Apa itu paket software? Apa format
paling umum dalam distribusi paket
salah satunya.
12. Apa itu pengulangan dalam konteks
operasi file? Bagaimana itu membantu? Kenapa
kita harus sangat hati-hati ketika menggunakan
perintah pengulangan dalam file?
13. Apa cara yang akan sangat berguna
untuk menggunakan perintah tail untuk melihat
log file?
software?
16. Bagaimana Anda mencari semua paket
software di computer Anda?
16. Bagaimana cara menggunakan perintah
yum untuk update semua software di
sistem Anda?

PERTANYAAN CONTOH KASUS

1. Perguruan tinggi memelihara tautan ke laman web  Apa rekomendasi Federal
yang merinci respons berkelanjutan perguruan tinggi terhadap Trade Commission (FTC)
pelanggaran di laman beranda di http://www.nwfsc.edu/. mengenai langkah-langkah yang
Berdasarkan informasi itu, fakta apa yang dapat Anda harus Anda ikuti jika informasi
tambahkan ke rincian dalam deskripsi kasus yang disediakan di pribadi Anda telah disalah
sini? gunakan?
2. Jika identitas Anda disalah gunakan, kerusakan apa  Menurut Anda, apa tiga
yang mungkin terjadi dalam kehidupan pribadi Anda? langkah paling penting yang
dapat Anda ambil untuk
mencegah pencurian identitas?

PRAKTEK – SISTEM ADMINISTRASI DASAR LINUX

Aktivitas ini termasuk untuk menunjukkan 4. Latihan 4
pengetahuan Anda tentang perintah yang dipelajari 1. buat tiga user baru:
dalam bab ini. Menggunakan mesin virtual Linux  Name: Thomas Jefferson
yang Anda konfigurasi pada Bab 2, buka jendela  Username: Thomas
terminal dengan memilih panel "System Tools" di  Password: Monticello
bawah menu "Applications". Setelah  Name: Abraham Lincoln
menyelesaikan setiap latihan, serahkan kiriman  Username: abe
yang terdaftar pada instruktur Anda.  Password: 4score&7years
 Name: Benjamin Franklin
1. Latihan 1  Username: ben
1. Ubah direktori ke  Password: Early2bedEarly2rise
/opt/book/system-admin 2. buatlah tiga grup baru:
2. Cantumkan semua konten dalam o presidents (members:
direktori (termasuk file yang tersembunyi) thomas, abe)
2. Latihan 2 o continental_congress
1. Ubah direktori ke (members: thomas, ben)
/opt/book/system-admin/ex2  us_currency (members: thomas, ben,
2. ganti nama jeklyll.txt ke hyde.txt abe)
3. buatlah Salinan dari prince.txt 3. Buatlah Thomas menjadi
dengan nama pauper.txt pemilik file declaration.txt
4. hapus direktori Jacob.marley dan dari latihan sebelumnya
semua kontennya 3. Buatlah abe menjadi pemilik
file gettysburg.txt dari
Catatan : ambil screenshot dari konten dalam
latihan sebelumnya
direktori 3. Ubahlah kepemilikan grup
dari declaration.txt ke grup
3. Latihan 3 continental_congress dan
1. cari file dengan nama buat itu dapat diedit oleh
gettysburg.txt grup, dan dapat dibaca oleh
2. tampilkan tiga baris terakhir dalam semua user.
gettysburg.txt
Catatan : Ambil screenshot dari izin file
3. temukan file dengan nama
pemilik/grup dari kedua file.
declaration.txt
4. tampilkan lima baris pertama dari
declaration.txt

Catatan : ambil screenshot yang mengandung

baris yang diminta dari gettysburg.txt dan
declaration.txt

5. Latihan 5 1. Latihan 6
1. Instal paket “xorg-x11-apps”, a. Update semua paket
koleksi umum GUI tools RPM yang terinstal di sistem
2. Jalankan perintah “xlock”
Catatan : Ambil tangkapan layar
3. Buka jendela terminal baru dan
dari baris pertama dari /etc/issue
jalankan perintah “yum list xorg-xll-apps”
Catatan : Ambil tangkapan layar terminal dan
xclock windows

LATIHAN BERPIKIR KRITIS – OFFENSIVE CYBER EFFECTS OPERATIONS

(OCEO)

Di antara dokumen-dokumen yang Edward sangat merusak. Namun, pengembangan dan

Snowden, kontraktor yang bekerja di NSA,
dirilis setelah keluar dari agensi adalah
Presidential Policy Directive 20 (PPD20), yang
dikeluarkan pada Oktober 2012. Di antara hal-
hal lain, memo rahasia setebal 18 halaman
menetapkan peran " operasi efek cyber ofensif
”(OCEO). OCEO didefinisikan sebagai
“Operasi dan program atau kegiatan terkait
selain pertahanan jaringan, pengumpulan dunia
maya, atau DCEO - dilakukan oleh atau atas
nama Pemerintah Amerika Serikat, di atau
melalui ruang maya, yang dimaksudkan untuk
memungkinkan atau menghasilkan efek dunia
maya di luar Amerika Serikat. Jaringan
keberlanjutan kemampuan OCEO mungkin
memerlukan waktu dan upaya yang cukup besar
jika akses dan alat untuk target tertentu belum
ada.
Pemerintah Amerika Serikat akan
mengidentifikasi target potensial kepentingan
nasional di mana OCEO dapat menawarkan
keseimbangan antara efektivitas dan risiko
dibandingkan dengan instrumen kekuatan
nasional lainnya, membangun dan memelihara
kemampuan OCEO yang diintegrasikan sesuai
dengan kemampuan ofensif AS lainnya, dan
menjalankan kemampuan tersebut dalam cara
 Pemerintah Negara. " yang konsisten dengan ketentuan arahan ini.
Deskripsi OCEO dalam PPD 20 menyatakan
berikut: Anda memasuki dunia profesional yang
OCEO dapat menawarkan kemampuan unik beroperasi
dan tidak konvensional di lingkungan ini.
untuk memajukan tujuan nasional AS di sekitar
dunia dengan sedikit atau tanpa peringatan
kepada musuh atau target
dan dengan efek potensial mulai dari halus
hingga

REFERENSI

Bruce Schneier ’s Cryptogram, July 15, 2013 The Guardian, “Obama tells
intelligence chiefs to draw up
Schneier , B. “ Has U.S. started an Internet war? ”, CNN , 2013, http:// cyber target list – full document
www.cnn.com/2013/06/18/opinion/schneier cyberwar-policy (accessed text”, 2013.
07/16/2013)

PERTANYAAN BERPIKIR KRITIS

1. Di bagian utama,  Apa saja kemungkinan dampaknya bagi profesional keamanan
apa itu OCEO? informasi yang bekerja di Amerika Serikat (dan mungkin juga di
2. Apakah aktivitas luar Amerika Serikat), karena sekarang semua orang mengetahui
yang dikerjakan oleh tentang PPD20?
OCEO?
DESAIN KASUS

Anda dipanggil untuk melihat workstation Linux
seorang profesor. Mesin ini baru, dengan prosesor
cepat dan banyak memori, tetapi telah berjalan
sangat lambat selama seminggu terakhir.
Salah satu hal pertama yang Anda tahu harus
dilakukan ketika melihat masalah kinerja pada kotak
UNIX adalah menjalankan perintah ps, yang
merupakan singkatan dari "status prosesor." Output
perintah mencantumkan semua proses yang berjalan
di workstation dan beberapa informasi tambahan
tentang statusnya.
Output dari perintah ps mencantumkan semua
proses sistem operasi standar yang Anda harapkan
berjalan, tetapi Anda juga melihat beberapa proses
yang terlihat agak tidak biasa:
 /home/taylor/.sh , running sebagai root
 /home/taylor/. . ./ncftpd , memakan banyak
CPU dan disk I/O
Direktori / home / taylor adalah direktori home dari
Tulis laporan tentang apa yang Anda yakini
sebagai masalah dengan workstation dan
menyarankan langkah-langkah untuk
menyelesaikan masalah, berdasarkan apa
yang Anda ketahui.
Pertanyaan Petunjuk
Workstation itu pasti diretas. Taylor
mengklaim dia tidak tahu siapa yang
meletakkan program-program itu di sana.
Ada dua masalah berbeda dengan apa yang
Anda temukan. Satu mempengaruhi kinerja
mesin. Yang lain sedikit lebih serius dan
harus memengaruhi saran akhir Anda
tentang apa yang harus dilakukan dengan
kotak.
• Diskusikan program .sh yang Anda
temukan di direktori rumahnya.
• Apa yang terjadi ketika pengguna
profesor, Dr. Taylor. Berikut adalah beberapa "standar" seperti taylor menjalankan
informasi tambahan yang Anda kumpulkan selama program itu.
penyelidikan: • Apakah pengguna non-administrator dapat
 Izin dari /home/taylor/.sh adalah 7551 mengubah kepemilikan file menjadi root?
 Pemilik file adalah root • Apakah pengguna non-administrator dapat
 Ada “MD5 hash” yang identic dengan mengubah izin file untuk menambahkan
/bin/bash, yang berarti file benar-benar sama. setuid?
 Direktori /home/taylor/… mengandung dua • Apa yang dikatakan tentang pengguna
file: yang meletakkan file di sana di tempat
 File neftpd yang Anda temukan berjalan pertama?
sebelumnya denga perintah ps • Apa program ncftpd? Lakukan riset di web
 File general.cf, dimiliki oleh taylor, izin jika perlu.
644 • Menurut Anda apa tujuan program?
 File domain.cf, dimiliki oleh taylor, izin • Apakah Anda memiliki dugaan terdidik
644 tentang kapan program diinstal atau
 File general.cf, dengan baris lain: memulai operasinya?
 log-xfres = yes • Berdasarkan apa yang Anda ketahui, apa
 port = 80 yang harus dilakukan dengan workstation
 file domain.cf membawamu ke log file. Ini ini, dan mengapa?
adalah hasil dari perintah “head -7” di log file:  Dan pertanyaan bonus:
• Apa arti port 80 baris dalam file
2012-04-20 23:30:59 ### | S,/var/tmp/pub/
konfigurasi?
StarWars.avi, ...
• Mengapa itu diatur seperti itu?
2012-04-20 23:35:59 ### | S,/var/tmp/pub/
Conan.avi, ...
2012-04-20 23:37:59 ### | S,/var/tmp/pub/
Avatar.avi, ...
2012-04-21 00:37:59 ### | R,/var/tmp/pub/
Avatar.avi, ...
2012-04-21 00:37:59 ### | R,/var/tmp/pub/
Avatar.avi, ...
2012-04-21 01:37:59 ### | R,/var/tmp/pub/
Avatar.avi, ...
2012-04-21 02:35:59 ### | R,/var/tmp/pub/
Conan.avi, ...
 BAB 4
Model Dasar dari Information Security
Siapa yang menjamin sebuah keamanan di Internet? Bagaimana saya tahu?
 Cuckoo’s Egg
Overview
Bab ini memperkenalkan kerangka dasar yang digunakan untuk mengimplementasikan
keamanan informasi. Kerangka kerja ini terdiri dari empat elemen - aset, kerentanan,
ancaman, dan kontrol. Kami mendefinisikan masing-masing istilah ini, memberikan contoh
untuk masing-masing, dan menggambarkan bagaimana mereka terkait satu sama lain.
Di akhir bab ini, Anda harus tahu:
• Elemen-elemen model keamanan informasi dasar
• Hubungan antara elemen-elemen model keamanan informasi dasar
• Klasifikasi umum dari kontrol keamanan informasi

Pengenalan
Bab-bab sebelumnya telah menyoroti pentingnya keamanan informasi. Di sebagian besar
organisasi, administrator sistem mengambil sebagian besar tanggung jawab untuk menjaga
keamanan informasi. Untuk mengantisipasi minat Anda yang terus-menerus terhadap
keamanan informasi, bab-bab ini juga telah memperkenalkan Anda pada tugas-tugas dasar
yang dilakukan oleh administrator sistem dan keterampilan yang diperlukan untuk
menyelesaikan tugas-tugas ini. Dalam bab-bab berikutnya, Anda akan terus membangun
keterampilan teknis ini.
Keamanan informasi adalah bidang subjek yang sangat luas karena sebagian besar insiden
keamanan informasi mengeksploitasi beberapa kelemahan baru dalam suatu organisasi.
Mempertahankan keamanan informasi karenanya memerlukan perhatian pada hampir setiap
aspek organisasi. Untuk memberikan struktur pada upaya-upaya ini, penting untuk mengatur
semua kegiatan yang terkait dengan menjaga keamanan informasi ke dalam kerangka kerja
atau model. Dalam buku ini, kami menyebut kerangka kerja ini model keamanan informasi
dasar. Itu ditunjukkan pada Gambar 4.1.

Komponen Dasar Model Information Security

Model adalah representasi dari dunia nyata. Model berguna dalam menarik perhatian pada
elemen-elemen penting dari suatu masalah. Model keamanan informasi mencakup komponen
inti dari keamanan informasi, menunjukkan hubungan komponen-komponen ini satu sama
lain, dan mengecualikan yang lainnya. Model keamanan informasi dasar yang kami gunakan
dalam buku ini ditunjukkan pada Gambar 4.1.

 GAMBAR 4.1 Modelkeamanan informasi dasar 

model memiliki empat komponen - (1) aset, (2) kerentanan, (3) ancaman, dan (4) kontrol.
Setiap kegiatan yang terkait dengan keamanan informasi termasuk dalam salah satu
komponen ini.

Aset
  Di tengah gambar adalah aset. Dalam konteks keamanan informasi, aset didefinisikan
sebagai sumber daya atau informasi yang harus dilindungi. Semua skenario keamanan,
apakah terkait dengan keamanan informasi atau hanya terkait dengan mengamankan rumah
seseorang, mulailah dengan aset yang dianggap cukup berharga bagi Anda untuk melakukan
upaya khusus untuk melindunginya dari bahaya. Keamanan informasi tidak berbeda. Jika
beberapa informasi atau sumber daya terkait bernilai bagi organisasi, organisasi perlu
melakukan upaya khusus untuk mengamankan informasi tersebut. Namun, ada dua perbedaan
penting antara aset konvensional dan aset informasi - tembus pandang dan duplikasi. Dalam
sebagian besar skenario keamanan yang mungkin Anda kenal, item yang akan dilindungi
dapat dilihat dan dirasakan. Misalnya, Anda mengunci mobil Anda untuk mencegah
pencurian. Anda memasang sistem alarm rumah untuk mencegah pembobolan ke rumah
Anda. Dalam kedua kasus, aset terlihat dengan mata telanjang. Kerusakan juga terlihat. Jika
seseorang mendobrak mobil atau rumah Anda, kerusakan akan segera terlihat. Jika ada
kamera sirkuit tertutup di sekitarnya, mereka akan menangkap tindakan vandalisme. Namun
keamanan informasi berbeda. Aset dalam keamanan informasi bukanlah artefak berwujud
yang dapat dilihat dan dirasakan. Sebaliknya, itu adalah data dan informasi yang disimpan
sebagai 0s dan 1s pada komputer, kaset, telepon, dan perangkat lainnya. Sementara hard drive
dan perangkat lain itu sendiri terlihat, data berharga yang tersimpan pada perangkat ini tidak
terlihat. Jika data dicuri melalui jaringan, transfer data tidak terlihat oleh kamera atau
perangkat keamanan konvensional lainnya. Pencuri biasanya akan beroperasi dari negara lain,
ribuan mil jauhnya, aman dari pengawasan lembaga keamanan konvensional. Perbedaan
penting kedua antara aset konvensional dan aset informasi adalah duplikat. Melanjutkan
contoh mobil, jika mobil Anda dicuri, Anda akan melihat mobil yang hilang di pagi hari. Ini
karena mobil hanya dapat ada di satu tempat pada waktu tertentu. Namun, informasi dapat
diduplikasi dengan sempurna. Jika data Anda dicuri, Anda tidak akan melihat pencurian
sampai dibawa ke pemberitahuan Anda. Misalnya, jika seseorang menemukan laptop Anda
tanpa pengawasan, mengirim email salinan tugas Anda kepada dirinya sendiri dan
menyerahkan tugas yang disalin tersebut sebagai karyanya sendiri, Anda tidak akan tahu
tindakan plagiarisme jika instruktur tidak membawanya ke pemberitahuan Anda. Kedua
perbedaan antara aset konvensional dan aset informasi - tembus pandang dan duplikasi -
membuat keamanan informasi menjadi tantangan yang sangat berbeda dari keamanan
konvensional. Metode keamanan konvensional seperti kunci dan penjaga tidak terlalu efektif
untuk menjaga keamanan informasi. Sebagai contoh, kunci konvensional tidak banyak
membantu mencegah pencurian data melalui jaringan. Aset konvensional yang dicuri seperti
emas dapat dipulihkan dan dikembalikan kepada pemiliknya. Tetapi data yang dicuri dapat
disalin ke seratus lokasi dan bahkan jika beberapa dari salinan ini dihancurkan, hampir tidak
mungkin untuk menyangkal pencuri manfaat dari memiliki akses ke data. Kontrol keamanan
informasi oleh karena itu harus mencoba untuk mencegah pencurian di tempat pertama, dan
mendeteksi dan memblokir pencurian ketika mereka terjadi melalui pemantauan konstan.
Emas telah menjadi ukuran standar untuk nilai selama berabad-abad. Dengan demikian,
untuk menunjukkan nilai informasi, aset informasi ditunjukkan dalam model dasar kami
(Gambar 4.1) sebagai batang emas (meskipun bagi banyak organisasi, informasi yang mereka
miliki sebenarnya lebih berharga daripada emas!). 

Dalam skenario paling umum yang akan Anda temui, aset informasi disimpan dalam sistem
TI. Sistem berbasis kertas tidak bisa memberikan kepadatan penyimpanan informasi yang
diperlukan oleh organisasi modern. Sistem TI didefinisikan sebagai rakitan perangkat keras
komputer, perangkat lunak, dan firmware, yang dikonfigurasi untuk tujuan memproses,
menyimpan, atau meneruskan informasi. Dalam bisnis milik keluarga kecil, sistem TI ini
mungkin sesederhana spreadsheet Excel. Dalam bisnis yang sedikit lebih besar, sistem TI
dapat berupa perangkat lunak khusus seperti QuickBooks dan dalam bisnis terbesar, sistem
TI akan menjadi aplikasi perusahaan seperti sistem ERP. Sistem TI ditunjukkan pada Gambar
4.1 sebagai ember yang memegang aset. 

Kerentanan 
Keamanan informasi menjadi penting karena semua sistem memiliki kerentanan. Kerentanan
adalah kelemahan dalam sistem informasi yang memberikan ancaman peluang untuk
mengkompromikan aset.1 Dalam kasus sistem TI berbasis Excel yang dibahas di atas,
kerentanan tersebut mencakup akses tidak sah yang dapat menyebabkan hilangnya
kerahasiaan atau integritas dan hard drive. kegagalan yang dapat menyebabkan hilangnya
ketersediaan. Jika kami mencapai tingkat utopia di mana tidak ada kerentanan dalam sistem
TI, kami tidak perlu mempelajari keamanan informasi dan tidak akan memerlukan kader
profesional yang berdedikasi untuk keamanan informasi. Namun, produk perangkat lunak
modern besar. Sebagai contoh, Windows Vista memiliki sekitar 50 juta baris kode. 2 Sulit
untuk mengantisipasi dan menghilangkan semua kemungkinan kerentanan dalam produk
sebesar itu. Kerentanan tambahan dibuat dalam interaksi antar produk. Bahkan jika semua
kerentanan perangkat lunak diberantas, kerentanan yang dibuat pengguna dapat tetap ada.
Misalnya, banyak pengguna tidak melindungi akun administratif mereka dengan kata sandi
yang baik. 
 Untuk menangani kerentanan, industri perangkat lunak bekerja sama dengan pemerintah
federal telah menginvestasikan sumber daya yang cukup besar untuk membuat inventaris
kerentanan perangkat lunak yang dikenal. Ini adalah daftar Common Vulnerabilities and
Exposures (CVE). Daftar CVE bertujuan untuk memberikan nama dan pengidentifikasi
umum untuk semua kerentanan perangkat lunak yang diketahui secara publik. Daftar ini
dikelola oleh Mitre, sebuah organisasi penelitian dan pengembangan yang didanai pemerintah
federal. Contoh kerentanan dalam daftar CVE (entri terbaru pada saat penulisan ini)
ditunjukkan pada Gambar 4.2.3     
GAMBAR 4.2 Contoh daftar CVE pada saat pelaporan. Perusahaan Mitre

 GAMBAR 4.3 Entri NVD 4 untuk daftar CVE 

  Sementara komunitas tertarik untuk diberitahu tentang kerentanan, sebagian besar pengguna
lebih tertarik untuk belajar tentang dampak kerentanan yang mungkin terjadi dan langkah-
langkah yang disarankan untuk menghapus kerentanan. Informasi ini dikelola dalam upaya
paralel yang disebut National Vulnerabilities Database (NVD). Anda dapat melihat tautan
dari daftar CVE ke entri NVD pada Gambar 4.2. Gambar 4.3 menunjukkan entri NVD yang
sesuai dengan daftar pada Gambar 4.2. Beberapa fitur dari entri di atas patut diperhatikan.
Kerentanan ditambahkan ke database setelah diumumkan di web. Pengumuman itu dibuat
oleh vendor perangkat lunak. Informasi lebih lanjut tentang kerentanan dapat ditemukan di
situs web vendor dengan mengikuti tautan pada daftar CVE. Daftar CVE dan basis data NVD
bukan pelapor. Mereka pada dasarnya bertindak sebagai tempat penyimpanan utama dari
semua kerentanan yang dilaporkan kepada publik, dan kerentanan tersebut sering kali
dilaporkan oleh vendor perangkat lunak itu sendiri. 

 mengingat banyaknya jumlah produk perangkat lunak yang digunakan dan meningkatnya
ukuran perangkat lunak modern, tidak mengherankan bahwa basis data NVD sangat aktif. Per
Mei 2012, itu rata-rata 11 kerentanan dilaporkan per hari. Pada tanggal 4 Mei, terlepas dari
kerentanan yang dilaporkan di atas, ada kerentanan yang dilaporkan oleh VMWare dan IBM.
Kedelapan kerentanan yang dilaporkan hari itu pertama kali diumumkan oleh perusahaan
vendor itu sendiri. Selanjutnya, setiap tahun, industri menerbitkan 25 kesalahan perangkat
lunak paling berbahaya dari database ini. 5 Publikasi ini lengkap dan untuk kenyamanan
pengembang, ia memberikan contoh kode dan solusi yang disarankan untuk masing-masing
kerentanan yang diidentifikasi. Contoh kode dari publikasi ini digunakan kemudian dalam
bab ini. Upaya-upaya yang dilakukan oleh industri tampaknya membuahkan hasil. Menurut
Symantec, perusahaan yang mengembangkan banyak produk keamanan informasi populer,
4.989 kerentanan baru ditemukan pada 2011 dibandingkan dengan 6.253 pada 2010,
penurunan sekitar 20%. 6, 7     

 Ancaman  
Ancaman Kerentanan suatu aset menciptakan ancaman. Ancaman didefinisikan sebagai
kemampuan, niat, dan metode serangan musuh untuk mengeksploitasi atau membahayakan
aset. Dalam contoh Excel, seorang pekerja mungkin ingin mengeksploitasi kurangnya
perlindungan kata sandi pada file dan memodifikasi tarif per jam mereka. Ancaman ini
ditunjukkan dalam kerangka Gambar 4.1 sebagai panah. Sifat ancaman telah berubah secara
dramatis dalam beberapa tahun terakhir. Pada hari-hari awal Internet, sebagian besar
ancaman adalah pranks seperti yang dilakukan oleh geng 414-an. Pada awal 2000-an,
ancaman ini menjadi lebih mengganggu (mis., Virus ILOVEYOU) dan menyebar luas.
Industri perangkat lunak dan komunitas pengguna merespons dengan mengurangi kerentanan
perangkat lunak dan meningkatkan pelatihan pengguna. Pada 2011, tren menunjukkan bahwa
ancaman yang tersisa sangat terarah dan didorong secara komersial. Alat populer yang
dikembangkan oleh industri untuk memvisualisasikan ancaman penting yang dihadapi
organisasi adalah ATLAS. 8 ATLAS menggunakan sensor yang digunakan di ISP di seluruh
dunia untuk mengumpulkan informasi real-time tentang ancaman yang dihadapi oleh
organisasi. Informasi ini kemudian diproses dan ditampilkan di web. Administrator sistem
dapat dengan cepat mengidentifikasi serangan dominan dan memastikan bahwa mereka
memiliki pertahanan yang diperlukan untuk melawan serangan ini. Antarmuka web ATLAS
ditunjukkan pada Gambar 4.4. Symantec merilis laporan ancamannya untuk 2011 pada April
2012. Produk perusahaan memblokir 5,5 miliar serangan pada 2011, dibandingkan dengan 3
miliar serangan pada 2010, meningkat lebih dari 80%. Oleh karena itu secara paradoks,
ketika perangkat lunak menjadi lebih dan lebih aman dan jumlah kerentanan berkurang,
jumlah serangan meningkat. Paradoks ini telah difasilitasi oleh industrialisasi "industri
serangan." Lingkungan pengembangan terintegrasi (IDE) dan toolkit telah muncul (misalnya,
Zeus, Spyeye) untuk membantu penyerang dengan cepat membuat serangan baru dan untuk
mengeksploitasi kerentanan yang ada secara lebih efisien. Dibutuhkan lebih sedikit keahlian
untuk menciptakan serangan yang berhasil menggunakan toolkit ini daripada menggunakan
prinsip pertama, sehingga ancaman dapat diakses oleh populasi yang lebih luas untuk
dieksploitasi. Ini dapat menjelaskan sampai batas tertentu peningkatan serangan yang
didorong oleh motivasi politik. Ini adalah lingkungan keamanan informasi yang kita tinggali
saat ini. 

  
GAMBAR 4.4 Antarmuka web ATLAS.

 Informasi ini diperoleh dari Inisiatif ATLAS Arbor Networks pada 12 Mei 2012 dan izin
untuk menerbitkan kembali telah diperoleh. Data inisiatif ATLAS bersifat dinamis dan oleh
karena itu, informasi tersebut mungkin telah berubah sejak tanggal publikasi data. © Arbour
Networks, Inc. SEMUA HAK DILINDUNGI. Atlas adalah merek dagang dari Arbor
Networks, Inc. 

   Kontrol 

Semua sistem TI akan rentan untuk masa mendatang. Juga dalam jangka waktu ini, akan ada
penyerang berdedikasi yang mengancam akan mengeksploitasi kerentanan ini untuk
keuntungan pribadi atau motif lainnya. Apa yang administrator sistem lakukan untuk
mempertahankan komputer yang menjadi tanggung jawabnya? Peran keamanan informasi
adalah untuk meminimalkan dampak ancaman ini. Ini dilakukan dengan menyebarkan
kontrol keamanan di sekitar sistem TI yang rentan. Kontrol keamanan adalah perlindungan
yang digunakan untuk meminimalkan dampak ancaman. Dalam kerangka kerja kami pada
Gambar 4.1, kontrol ini ditampilkan sebagai cincin di sekitar sistem TI. Pada Gambar 4.1,
lebar panah menunjukkan frekuensi relatif dari berbagai kategori ancaman yang dilihat oleh
organisasi tipikal. Sebagian besar ancaman diblokir oleh kontrol yang biasanya diadopsi oleh
organisasi. Misalnya, sebagian besar sistem operasi sekarang dilengkapi dengan firewall yang
dikonfigurasi dengan beberapa pengaturan default dan mendorong pengguna untuk
menggunakan kata sandi yang kuat untuk mengamankan akun pengguna administratif di
komputer mereka. Secara komersial, bahkan bisnis terkecil mencadangkan file penting
mereka pada hard drive eksternal atau layanan Internet lainnya dan menjaga komputer
mereka terkunci untuk mencegah akses yang tidak sah. 
 Sebagai contoh, kontrol rudimenter seperti yang tercantum di atas dapat berhasil memblokir
sebagian besar ancaman yang dihadapi organisasi. Ini ditunjukkan oleh panah lebar di bagian
bawah Gambar 4 .1. Namun seperti yang ditunjukkan pada Gambar 4.1, kontrol keamanan
terbaik sekalipun memiliki lubang. Misalnya, pengguna sering lebih suka kata sandi yang
mudah diingat daripada kata sandi yang aman. Mereka juga sering tidak teratur dalam
membuat cadangan data mereka bahkan jika mereka telah menghabiskan ratusan atau ribuan
dolar untuk membeli sistem cadangan. Ancaman mengeksploitasi kelemahan ini dalam
kontrol keamanan untuk mencapai sistem TI yang rentan. Ancaman ini ditunjukkan oleh
panah di sebelah kanan, yang telah melanggar kontrol dan mencapai sistem TI. Untungnya,
banyak dari ancaman ini yang mungkin tidak membahayakan, seperti yang ditunjukkan oleh
ketidakmampuan panah di sebelah kanan Gambar 4.1 untuk mencapai sistem TI. Kembali ke
sistem IT berbasis Excel kami, satu ancaman seperti itu adalah pencurian laptop tempat bisnis
menyimpan catatannya. Dalam banyak kasus seperti itu, pencuri hanya tertarik untuk menjual
laptop untuk uang, dan pembeli dapat menginstal ulang sistem operasi pada mesin untuk
kinerja. Dalam hal ini, walaupun informasi tersebut rentan terhadap ancaman pencurian, pada
akhirnya tidak ada kompromi mengenai kerahasiaan. Jika perusahaan memiliki cadangan
yang baik, juga tidak akan ada kehilangan ketersediaan. Sebagian kecil dari ancaman akan
menyebabkan kerusakan nyata pada organisasi. Ancaman ini akan berhasil melewati kontrol
keamanan dan mengeksploitasi kerentanan untuk mengkompromikan informasi yang
menarik. Ancaman ini ditunjukkan oleh panah di bagian atas Gambar 4 .1. Contoh dalam
sistem berbasis Excel kami adalah karyawan yang dapat menjangkau laptop ketika manajer
tidak ada dan berhasil memanipulasi jumlah jam kerja untuk meningkatkan kompensasinya.
Profesi keamanan informasi berputar secara sistematis mengidentifikasi aset informasi,
kerentanan, ancaman, dan kontrol dan menggunakan kontrol secara tepat sehingga uang yang
dihabiskan untuk kontrol ini memberikan manfaat sebesar mungkin bagi organisasi. Sisa
buku ini berfokus pada masing-masing komponen ini secara terperinci. Sisa bab ini
menyurvei kerentanan, ancaman, dan kontrol penting. Ini dapat dilihat sebagai latihan
membangun kosakata Anda tentang keamanan informasi.
 
    Literatur populer tentang keamanan informasi sering menggunakan kata-kata "kerentanan,"
"ancaman," dan "risiko" secara bergantian. Ini sangat disayangkan. Risiko melibatkan potensi
kerugian dan ukuran kerugian jika kerugian sebenarnya terjadi. Kerentanan terkait dengan
paruh pertama risiko - mereka menciptakan potensi kerugian. Ancaman terkait dengan risiko
paruh kedua - jika berhasil, ancaman dapat menyebabkan kerugian. Manajer tertarik untuk
memitigasi risiko. Ancaman dan kerentanan menjadi risiko hanya jika risiko membahayakan
aset informasi berharga. Contohnya adalah "Taksonomi risiko keamanan cyber operasional"
dari SEI di CMU. Risiko yang diidentifikasi dalam dokumen seperti "tindakan orang,"
umumnya akan diklasifikasikan sebagai kerentanan. 9 Dalam sistem akuntansi berbasis
spreadsheet kami misalnya, risiko mungkin adalah ketidakmampuan bisnis untuk membayar
kembali pinjaman bisnis karena manipulasi data pada komputer yang tidak dilindungi oleh
karyawan yang tidak puas. Kerentanan dalam contoh ini adalah komputer yang tidak
terlindungi dan ancamannya adalah karyawan yang tidak puas. Kami akan membahas
manajemen risiko secara rinci dalam Bab 14. Dalam bab itu, kami akan menulis beberapa
pernyataan risiko untuk membedakan secara jelas antara ketiganya. Diharapkan bahwa
pembaca buku ini akan membedakan antara "kerentanan," "ancaman," dan "risiko" dan
menggunakan istilah yang tepat yang sesuai. 

 Kerentanan Umum, Ancaman, Dan Kontrol 

Ketika kita melanjutkan bab-bab ini, kita akan melihat kontrol keamanan informasi yang
penting secara lebih rinci. Pada saat ini, penting untuk memperkenalkan kerentanan,
ancaman, dan kontrol yang paling umum sehingga Anda dapat mulai memikirkan berbagai
dimensi tantangan keamanan informasi. 

Kerentanan 

Kerentanan adalah kelemahan yang dapat dieksploitasi dalam sistem informasi. Kerentanan
yang tak terhitung jumlahnya ada dan yang baru ditemukan setiap hari. Cara mudah untuk
memahami kerentanan ini adalah dengan mengelompokkannya dengan beberapa cara.
Bahkan, banyak sistem klasifikasi kerentanan ada. Sebagai contoh, satu sistem
mengklasifikasikan kerentanan berdasarkan pada tahap mereka diperkenalkan dalam siklus
hidup pengembangan perangkat lunak (SDLC). Seperangkat skema klasifikasi mengatur
kerentanan berdasarkan ancaman yang mereka buat. Sayangnya, semua skema klasifikasi ini
menderita karena satu kelemahan atau lainnya. Sebagai contoh, kelemahan dari sistem
berbasis SDLC adalah bahwa dalam sistem besar, sulit untuk secara tepat mengidentifikasi
tahap di mana kerentanan diperkenalkan. Kelemahan dari sistem pencacahan ancaman adalah
bahwa mekanisme klasifikasi tidak lengkap karena jenis ancaman baru ditemukan setiap saat.
1 0 Untuk keperluan kita, kita harus merasa nyaman untuk secara luas mengklasifikasikan
kerentanan menjadi kerentanan perangkat lunak dan kerentanan prosedural. 

Kerentanan perangkat lunak 

Kerentanan perangkat lunak adalah kesalahan dalam spesifikasi, pengembangan, atau

konfigurasi perangkat lunak sehingga pelaksanaannya dapat melanggar kebijakan keamanan.
11 Beberapa kerentanan perangkat lunak yang paling umum termasuk yang berikut ini. 

Kurangnya validasi input: Kerentanan validasi input mengacu pada situasi di mana input
pengguna digunakan dalam perangkat lunak tanpa mengonfirmasi validitasnya. Penggunaan
umum perangkat lunak, khususnya perangkat lunak web, adalah untuk mengakses data dari
basis data. Contohnya termasuk mengambil daftar film di situs-situs seperti
sonypictures.com, atau teks halaman web dari sistem manajemen konten (CMS) di situs-situs
seperti PBS Frontline dan HBGary, sebuah perusahaan keamanan komputer, menyediakan
solusi ahli untuk beberapa lembaga pemerintah. Pengguna situs ini biasanya menggunakan
kotak pencarian atau bidang input pengguna lain untuk menentukan kebutuhan informasi
mereka, dan perangkat lunak yang menjalankan situs memproses input pengguna ini untuk
menghasilkan respons yang sesuai. Jika input pengguna tidak divalidasi dengan benar,
pengguna dapat mengakses informasi yang seharusnya tidak mereka akses. Contoh kode
sumber diberikan di bawah ini. Dalam contoh ini, perangkat lunak menggunakan kueri SQL
sederhana untuk mengembalikan item yang cocok dengan nama pengguna dan nama item.
Jika input pengguna tidak divalidasi untuk kebenaran, pengguna dapat memperoleh semua
item dalam tabel item
    Faktor umum di antara situs yang tercantum di sini (Garis PBS, Garis Besar HBGary, dan
Gambar Sony) adalah bahwa mereka dikompromikan secara memalukan pada tahun 2011
karena untuk validasi input yang tidak benar dalam perangkat lunak web mereka. Bentuk
khusus kerentanan validasi input yang ditunjukkan pada contoh di atas disebut kerentanan
injeksi SQL. Kerentanan injeksi SQL mengacu pada penggunaan input SQL yang tidak
divalidasi dalam aplikasi. 

Unggahan tidak terbatas: Kerentanan unggahan tidak terbatas terjadi ketika file diterima
oleh perangkat lunak tanpa memverifikasi bahwa file mengikuti spesifikasi yang ketat.
Misalnya, banyak situs web e-commerce mendorong pengguna untuk mengunggah foto
penggunaan produk yang dijual oleh situs web tersebut. Jika situs-situs ini tidak memeriksa
bahwa foto yang diunggah memang .jpg atau .gif atau format file serupa lainnya, penyerang
mungkin mengunggah program perangkat lunak ke situs alih-alih gambar. Program-program
ini kemudian dapat mencoba untuk mengkompromikan situs, misalnya, dengan mencuri
nama pengguna dan kata sandi. Untuk mencegah serangan seperti itu terjadi,
direkomendasikan bahwa semua file yang diunggah oleh pengguna harus diperlakukan
sebagai berbahaya dan semua file tersebut harus dicari untuk kode berbahaya. Pencarian ini
tidak mudah karena beberapa tipe file (mis., File .gif) memiliki kolom komentar yang dapat
digunakan oleh penyerang untuk menyembunyikan kode jahat. 

Skrip lintas situs: Kerentanan skrip lintas situs terjadi ketika input yang disediakan
pengguna digunakan tanpa verifikasi sebagai bagian dari output yang disajikan kepada
pengguna lain. Kerentanan mendapatkan namanya karena cara paling umum digunakannya
adalah dengan penyerang mendapatkan korban mereka, yang meramban di satu situs web,
untuk menyediakan kode JavaScript (skrip) jahat sebagai input ke situs web lain yang
ditargetkan (lintas situs). Contoh berikut dari database kesalahan perangkat lunak 25 besar
menunjukkan kerentanan. Pertimbangkan halaman web sederhana yang ditulis dalam php
sebagai berikut:
 

Maksud dari halaman ini adalah untuk mengumpulkan nama pengguna dari formulir web di
halaman sebelumnya atau URL yang berakhiran “? Username = John” untuk membuat pesan
selamat datang seperti “Selamat datang, John” untuk pengguna. Namun, penyerang dapat
memasukkan beberapa kode skrip di bidang teks nama pengguna:

 
Ini akan menampilkan dialog peringatan kepada pengguna. Agar kotak dialog yang sama
ditampilkan kepada pengguna lain, penyerang dapat mengirim email kepada korban dengan
URL yang sesuai. Ketika korban mengklik email, dialog peringatan akan ditampilkan kepada
korban. Contoh di atas tidak berbahaya. Namun, seorang penyerang nyata dapat
mengeksploitasi kerentanan ini untuk membuat para korban mengaktifkan skrip yang lebih
merusak. Cross-site scripting adalah salah satu kerentanan paling umum dari aplikasi web,
sangat banyak sehingga memiliki singkatan sendiri - XSS. Kerentanan ini telah hadir dalam
satu bentuk atau yang lain di sebagian besar situs web populer, termasuk nama-nama terkenal
seperti Facebook, Barracuda Spam Firewall, Mediawiki (perangkat lunak di belakang
Wikipedia), dll. 

Buffer overflow: Kerentanan buffer overflow mengacu pada situasi di mana suatu program
menempatkan lebih banyak data ke lokasi penyimpanan daripada yang bisa dipegangnya. Ini
adalah salah satu kerentanan perangkat lunak yang paling umum. Biasanya, situasi seperti itu
hanya akan menyebabkan perangkat lunak rusak. Namun, penyerang dengan pengetahuan
terperinci tentang program dapat menyuntikkan input yang dibuat khusus sedemikian rupa
sehingga konten yang meluap membahayakan komputer dengan cara yang dapat diprediksi.
Kompromi biasanya memungkinkan penyerang untuk terhubung ke komputer dari jarak jauh
dan mencuri informasi. Buffer overflows sering terjadi pada program yang ditulis dalam
bahasa yang tidak dikelola seperti C dan C ++. Bahasa yang dikelola seperti Java dan C #
mengelola memori dan data sedemikian rupa sehingga buffer overflows tidak dimungkinkan
dalam program yang ditulis dalam bahasa ini. Namun, sebagian besar program perangkat
lunak (termasuk browser modern seperti Chrome dan Firefox) ditulis dalam C / C ++ untuk
kompatibilitas lintas platform. 13 Oleh karena itu, menghilangkan buffer overflows di
sebagian besar aplikasi modern membutuhkan praktik pemrograman yang sangat cermat. 

Otorisasi yang hilang: Kerentanan otorisasi yang hilang terjadi ketika sebuah program
perangkat lunak memungkinkan pengguna mengakses bagian-bagian istimewa dari program
tanpa memverifikasi kredensial pengguna. Penyerang selalu berusaha menemukan bagian
dari sistem informasi keuangan yang dapat mereka capai tanpa kredensial. Jika ditemukan
bagian seperti itu, kemungkinan akan dieksploitasi untuk mencuri informasi yang sensitif
secara finansial. Banyak pencurian data besar memang hasil dari kerentanan otorisasi yang
hilang. Misalnya, menurut publikasi "25 kesalahan berbahaya", ratusan ribu rekening bank
dikompromikan pada bulan Mei 2011 di Citigroup sebagai akibat dari hilangnya kerentanan
otorisasi. 
Data tidak terenkripsi: Kerentanan data tidak terenkripsi terjadi ketika data sensitif
disimpan secara lokal atau dikirim melalui jaringan tanpa enkripsi yang tepat. Data sensitif
termasuk kredensial pengguna dan informasi pribadi lainnya. Data yang tidak terenkripsi
yang mengalir melalui jaringan dapat dibaca dengan mudah menggunakan perangkat lunak
yang disebut sniffer. Data yang tidak terenkripsi yang disimpan dalam database dapat dicuri
jika otorisasi yang hilang atau input yang tidak divalidasi memungkinkan pengguna untuk
membaca data. Data yang tidak terenkripsi seringkali merupakan elemen dari pencurian data
utama. 

Kerentanan prosedural 

Kerentanan prosedural adalah kelemahan dalam metode operasional organisasi, yang dapat
dieksploitasi untuk melanggar kebijakan keamanan. Kerentanan prosedural dapat
membahayakan informasi bahkan jika semua kerentanan perangkat lunak telah dihapus. Jenis
kerentanan prosedural yang paling penting adalah sebagai berikut. 
Prosedur kata sandi: Prosedur standar yang digunakan untuk meminimalkan dampak dari
banyak kerentanan perangkat lunak termasuk "otorisasi yang hilang," "input yang tidak
valid," dan "unggahan tidak terbatas" adalah perlindungan kata sandi. Pengguna diminta
untuk membuat kata sandi yang hanya diketahui oleh diri mereka sendiri dan untuk
memberikan kata sandi ini sebelum mereka diizinkan untuk mengakses informasi sensitif.
Namun, kata sandi ini mungkin tidak memberikan keamanan yang memadai jika organisasi
tidak berhati-hati tentang prosedur kata sandinya. Sebagai contoh, jika kata sandi sangat
pendek (misalnya, "abcd"), mudah ditebak (misalnya, "kata sandi" atau "admin"), gunakan
kata-kata yang ditemukan dalam kamus (misalnya, "komputer"), atau gunakan bagian-bagian
pengguna

Password Tips
 kata sandi Menggunakan kata sandi yang baik juga disarankan dalam kehidupan pribadi. Tip
untuk kata sandi yang baik meliputi: 14   
1. Panjang: Gunakan setidaknya delapan karakter.    
2. Kompleksitas: Gunakan angka, huruf, simbol, dan tanda baca. Kata sandi yang panjang
dan rumit sulit untuk dikompromikan.    
3. Variasi: Ubah kata sandi secara teratur sehingga meskipun kata sandi dikompromikan,
kerentanan akhirnya dihapus.    
4. Variasi: Gunakan kata sandi yang berbeda untuk setiap situs. Paling tidak, gunakan dua
kata sandi - satu untuk situs sensitif (mis. Bank, toko online) dan lainnya untuk forum web,
ruang obrolan, dan situs lain yang kurang sensitif. Penyerang biasanya mencuri kredensial
dari situs-situs yang kurang sensitif ini (yang seringkali kurang hati-hati dikembangkan) dan
mencobanya di situs-situs sensitif seperti bank dan toko online. Untuk kisah menarik dan
terperinci tentang satu kejadian seperti itu, bacalah pengalaman James Fallows, koresponden
nasional untuk majalah The Atlantic dan mantan penulis pidato untuk Presiden Jimmy
Carter.  

informasi (misalnya, "john"), mereka tidak memberikan banyak perlindungan. Penyerang

biasanya mencoba berbagai kombinasi kata sandi ini ketika ditantang untuk memberikan kata
sandi. Karena ini adalah masalah yang tersebar luas, sebagian besar vendor perangkat lunak
mengizinkan administrator sistem menentukan prosedur kata sandi untuk mencegah
penggunaan kata sandi yang lemah. 
   Prosedur pelatihan: Ketika perangkat lunak semakin aman, penyerang mempertajam
fokus mereka pada kemudahan pengguna akhir. Mereka mungkin mengirim email yang
tampaknya datang dari kepala eksekutif organisasi, tetapi yang sebenarnya menggunakan
XSS (skrip lintas situs) dan metode lain untuk mendapatkan kredensial pengguna. Kredensial
ini kemudian dapat digunakan untuk memintas perlindungan kata sandi dan mengakses
informasi sensitif. Paling tidak, organisasi harus membuatnya sangat jelas bahwa mereka
tidak akan pernah mengirim email yang tidak diminta kepada pengguna, meminta mereka
untuk kata sandi atau kredensial lainnya. Permintaan semacam itu akan selalu dibuat secara
lebih formal, misalnya, dengan surat melalui pos, atau dengan memo yang dikirim melalui
hierarki organisasi, dll.
 
Prosedur pelatihan keamanan informasi minimal.
Organisasi harus memiliki kebijakan untuk tidak pernah meminta karyawan untuk informasi
sensitif seperti nama pengguna atau kata sandi dalam email atau panggilan telepon yang tidak
diminta. Karyawan di semua tingkatan organisasi harus mengetahui kebijakan ini. Karyawan
harus tahu bahwa mereka dapat dengan aman membuang email semacam itu apa pun
sumbernya dan apa pun situasinya. 
 
    Ancaman 
Diskusi tentang semua ancaman keamanan informasi dapat mengisi seluruh buku. Namun,
beberapa ancaman menjadi terkenal karena kekacauan yang telah mereka ciptakan selama
bertahun-tahun dan telah mendapatkan tempat di keamanan informasi "Hall of Fame."
Sebagai seorang profesional di bidang ini, disarankan agar Anda menyadarinya. Ini
dijelaskan secara singkat di bawah ini. 
  Virus / worm: Sebagian besar orang mengenal virus dan worm, dan sebagian besar
komputer yang dijual hari ini hadir dengan versi uji coba perangkat lunak antivirus. Virus dan
worm adalah program komputer yang berdampak buruk pada komputer dan menyebar
melalui jaringan tanpa persetujuan pengguna. Perbedaan antara keduanya adalah bahwa virus
menggunakan program lain (misalnya, klien email pengguna) untuk menyebar, sedangkan
worm dapat menyebar dengan sendirinya. Karena penulis worm dan virus tahu bahwa
sebagian besar pengguna menggunakan perangkat lunak antivirus, worm dan virus modern
dirancang untuk menyebabkan semua kemungkinan kerusakan dalam beberapa menit setelah
rilis. Sebagai contoh, worm Slammer, yang dirilis pada hari Sabtu, 25 Januari 2003,
mengeksploitasi kerentanan buffer overflow dalam Microsoft SQL Server. Kerentanan telah
ditemukan pada Juli 2002 dan Microsoft telah merilis pembaruan untuk menambal
kerentanan segera sesudahnya. Hanya inang yang tidak ditelusuri yang rentan dan worm
tersebut mencapai 90% dari target yang rentan ini dalam waktu kurang dari 10 menit, 16
menginfeksi setidaknya 75.000 inang. Kisah menarik dari virus ILOVEYOU dijelaskan
dalam contoh kasus. 

Denial of service (DOS): Denial of service adalah pencegahan tidak sah atas akses ke
sumber daya atau penundaan operasi yang kritis terhadap waktu. Ini biasanya dilakukan
dengan membuat sejumlah besar permintaan yang tidak perlu dari suatu sistem informasi.
Sumber daya dari sistem target kemudian disibukkan dengan menanggapi permintaan yang
tidak perlu ini, yang mencegah sistem untuk dapat menanggapi permintaan yang sah secara
tepat waktu. Dampak serangan DOS dapat diperkuat dengan mengerahkan beberapa
komputer untuk membuat permintaan yang tidak sah ini. Serangan semacam itu disebut
serangan denial of service (DDoS) terdistribusi. 
Distributed denial-of-service (DDoS) adalah penggunaan banyak sistem yang
dikompromikan untuk menyebabkan penolakan layanan bagi pengguna sistem yang
ditargetkan. Untungnya, relatif mudah mengenali banjir permintaan yang masuk ke satu
target sebagai serangan DOS dan sebagian besar ISP dapat dengan mudah memblokir
permintaan ini. Untuk penyelidikan yang benar-benar lucu tetapi sangat informatif dan
terperinci tentang serangan DOS, baca laporan Steve Gibson tentang serangan DOS terhadap
perusahaannya. 17 
Phishing: Berusaha untuk mengkompromikan pengguna dengan menyamar sebagai entitas
yang dapat dipercaya dalam komunikasi elektronik disebut phishing. Serangan phishing awal
berusaha memperoleh informasi seperti nama pengguna, kata sandi, dan detail kartu kredit.
Kebanyakan orang menerima setidaknya satu atau dua email ini setiap minggu. Contoh
ditunjukkan pada Gambar 4 .5. Email tersebut tampaknya berasal dari bank dan mengarahkan
pengguna untuk mengunjungi situs web yang mirip dengan situs web bank. Di situs web,
pengguna diminta untuk memberikan nama pengguna dan kata sandi mereka untuk
melakukan koreksi di bank. Meskipun email dan situs web target tampaknya sah, sebenarnya
tidak. Melihat URL dengan cermat akan menunjukkan bahwa situs web telah dihosting di
server yang dikompromikan. Dalam Gambar 4.5 misalnya, situs web telah di-host di distrik
sekolah di Alabama. Baru-baru ini, phishing digunakan dalam kombinasi dengan rekayasa
sosial dan eksploitasi zero-day untuk memulai ancaman persisten tingkat lanjut. Serangan
RSA 2011 yang dibahas dengan eksploitasi nol hari di bagian ini adalah contohnya.  

Malware: Malware (perangkat lunak berbahaya) adalah istilah umum yang

digunakan untuk menjelaskan perangkat lunak atau kode yang dirancang khusus untuk
mengeksploitasi komputer, atau data yang dikandungnya, tanpa persetujuan pengguna. Cara
yang sangat umum bagi malware untuk mencapai komputer adalah melalui unduhan gratis di
mana pembuat malware menciptakan perangkat lunak komputer yang tampaknya sangat
berguna dan 

mendistribusikannya secara gratis. Ketika pengguna yang tidak menaruh curiga mengunduh
dan menginstal perangkat lunak yang tampaknya bermanfaat ini, perangkat lunak jahat
diinstal bersama dengannya. Ini disebut teknik kuda Trojan. Ada banyak jenis malware
termasuk penebang kunci, klien zombie, dan rootkit. Keyloggers melacak (mencatat) tombol-
tombol yang ditekan pada keyboard, biasanya mencoba mengumpulkan nama pengguna dan
kata sandi. Klien zombie adalah perangkat lunak yang mengambil arahan dari komputer jarak
jauh dan menggunakan komputer yang terinfeksi untuk melakukan tugas jahat seperti yang
diarahkan. Komputer yang terinfeksi disebut zombie. Zombies biasanya digunakan untuk
mengirim email spam, meluncurkan serangan penolakan layanan, dan kompromi komputer di
instalasi sensitif seperti bank dan militer. Zombies, atau robot (bot), mendapatkan nama
mereka karena mereka secara membabi buta mematuhi instruksi dari tuannya.  

Rootkit: Rootkit adalah kumpulan program perangkat lunak yang digunakan untuk
menyembunyikan keberadaan perangkat lunak berbahaya pada sistem komputer. Istilah
"rootkit" mengacu pada perangkat lunak perangkat yang memberikan akses root pengguna
yang tidak sah (root adalah akun administratif pada sistem UNIX), sambil menyembunyikan
tindakan pengguna yang tidak sah. Biasanya, rootkit menggantikan alat sistem yang ada
(seperti yang digunakan untuk mendaftar proses (atas) dan isi folder (ls)) sedemikian rupa
sehingga versi yang dimodifikasi menyembunyikan keberadaan pengguna yang tidak sah.
Salah satu tujuan dari program malware adalah menginstal rootkit pada mesin korban.
Rootkit umumnya digunakan oleh penyusup untuk menyembunyikan keberadaan malware
lain seperti klien zombie sehingga pemilik komputer bahkan tidak menyadari bahwa
komputer ini telah dikompromikan dan digunakan untuk mengirim spam atau meluncurkan
serangan penolakan layanan. Dari semua ancaman perangkat lunak, rootkit sangat berbahaya
karena kemampuannya untuk menumbangkan perlindungan sistem operasi standar. Untuk
alasan ini, hampir tidak mungkin untuk menghapus rootkit dari mesin yang dikompromikan
dan mungkin disarankan untuk menginstal ulang sistem operasi sepenuhnya. 
Eksploitasi zero-day: Eksploitasi zero-day kompromi kerentanan sebelumnya tidak
dikenal dalam perangkat lunak komputer. Istilah ini menyiratkan bahwa pengembang tidak
memiliki hari untuk mengatasi kerentanan yang dieksploitasi. Meskipun pengembang tidak
mengetahui

eksploitasi zero-day FIGURE 4.6 Adobe Flash yang diluncurkan pada 28 Februari 2011

kerentanan pada saat serangan, seseorang menyadarinya dan telah memiliki kesempatan
untuk mengidentifikasi cara untuk berhasil mengeksploitasi kerentanan. 18 Salah satu
eksploitasi zero-day yang terkenal berkaitan dengan RSA, salah satu vendor terkemuka dari
token SecurID. Teknologi ini digunakan untuk otentikasi 2-faktor di lingkungan perusahaan.
Pada 17 Maret 2011, perusahaan melaporkan bahwa sistem TI yang bertanggung jawab untuk
menghasilkan token telah dikompromikan, berpotensi membahayakan keamanan
pelanggannya. Pakar industri percaya bahwa kompromi itu adalah hasil dari eksploitasi nol
hari yang melibatkan teknologi flash Adobe. 19 Menariknya, 18 hari sebelumnya, pada 28
Februari 2011, seorang penyerang dengan gagang Twitter @ yuange1975 telah
mengumumkan peluncuran eksploitasi Adobe Flash selama nol hari (Gambar 4.6), yang
diduga merupakan eksploit yang digunakan dalam insiden tersebut. 
Zombies: Zombi adalah komputer yang terhubung ke Internet yang telah dikompromikan
sedemikian rupa sehingga melakukan tugas jahat ke arah kendali jarak jauh. Kepatuhan
mereka yang tidak perlu dipertanyakan dengan petunjuk jarak jauh memberi mereka nama
zombie. Zombi terkadang juga disebut bot. Pemilik komputer zombie umumnya tidak
menyadari kompromi sampai mereka diberi tahu oleh administrator sistem mereka. Botnet
cukup terjangkau. Tarif sewa dua puluh empat jam untuk 100.000-2.000.000 zombie adalah
sekitar $ 200. 21 Zombies umumnya digunakan untuk melakukan tiga jenis kegiatan -
mengirim spam, meluncurkan serangan penolakan layanan, dan melakukan serangan kamus
untuk memecahkan kata sandi. Sketsa Oleg Nikolaenko dan botnet Mega-D memberi sedikit
penerangan ke dunia ini. 

 Botnet Mega-D 
 Pada 2011, ada industri mini di sekitar menginstal kuda Troya pada ratusan ribu komputer
dan menyewa kemampuan pemrosesan komputer ini untuk spammer dan peretas. Kumpulan
komputer yang dikompromikan disebut botnet. Contohnya adalah botnet Mega-D. Itu adalah
jaringan dari sekitar 500.000 komputer zombie yang terinfeksi, yang bertanggung jawab
untuk mengirim lebih dari 30% dari semua spam pada tahun 2008. Jaringan bot dijalankan
oleh Oleg Nikolaenko, seorang warga negara muda Rusia, yang dibayar $ 459.000 untuk
jasanya oleh Lance Atkinson, spammer yang dihukum dari Selandia Baru. Oleg ditangkap
oleh agen federal di hotel Bellagio di Las Vegas pada 4 November 2010, karena melanggar
ketentuan Undang-Undang CAN-SPAM tahun 2003. 

  Paket sniffing: Paket sniffing adalah tindakan intersepsi dan pemantauan data yang
melewati jaringan komputer. Paket sniffing merupakan ancaman penting bagi jaringan
nirkabel karena data yang tidak terenkripsi yang dikirim melalui jaringan nirkabel dapat
dibaca dengan mudah menggunakan perangkat lunak yang tersedia secara bebas (Wireshark)
dan peralatan komputer standar seperti laptop. Penyerang sedang mencari titik akses nirkabel
tidak terenkripsi tersebut di toko-toko dan perusahaan bisnis lainnya untuk mencuri
kredensial pengguna untuk eksploitasi kemudian. Salah satu insiden keamanan informasi
paling terkenal baru-baru ini, insiden TJMaxx, adalah hasil dari pencurian kata sandi melalui
paket sniffing dari jalur akses nirkabel yang tidak dienkripsi. 
Tebakan kata sandi: Tebakan kata sandi adalah tindakan berulang kali mencoba kata sandi
berbeda yang dikaitkan dengan akun pengguna sampai kata sandi yang benar ditemukan.
Komputer sensitif terus-menerus diselidiki untuk menebak kata sandi. Penyerang mencoba
berbagai kata sandi hingga kata sandi yang benar ditemukan. Serangan ini sangat lazim
sehingga kebanyakan sistem mengabaikan upaya login gagal berulang yang berasal dari
suksesi cepat dari mesin yang sama. Namun, kadang-kadang administrator sistem dapat
menghilangkan perlindungan yang mengarah ke kompromi. Misalnya, pada awal 2009,
seorang siswa berusia 18 tahun menjalankan program menebak kata sandi sepanjang malam
dan menemukan bahwa seorang administrator sistem di Twitter dengan nama pengguna
"Crystal" menggunakan kata sandi "kebahagiaan." 23 Beberapa ancaman lain yang terkait
dengan kata sandi dibahas nanti dalam buku ini.

Pada contoh di atas, biasanya, sistem seharusnya tidak biasa bagi pengguna untuk mencoba
kata sandi yang berbeda dengan kecepatan mungkin satu kata sandi baru per detik selama 8-
10 jam. Setelah terdeteksi, pengguna seharusnya diblokir. Ini akan menjadi salah satu kontrol
teknis, yang dibahas di bagian selanjutnya.
 Rekayasa sosial (social engineering): Rekayasa sosial adalah seni memanipulasi orang
untuk melakukan tindakan yang diinginkan. Rekayasa sosial mengeksploitasi keinginan
manusia untuk membantu dan naluri alami manusia untuk percaya. Ketika teknologi menjadi
semakin aman, rekayasa sosial menjadi semakin penting bagi peretas sebagai cara untuk
memasuki sistem yang menarik. Rekayasa sosial biasanya digunakan untuk memulai
serangan lain. Sejak sekitar 2010, mekanisme umum adalah mengirim email khusus ke
sekelompok kecil korban yang tidak menaruh curiga, biasanya pada tingkat sederhana dari
hierarki organisasi. Email tersebut berisi lampiran yang berisi

GAMBAR 4.7 Eksploitasi penggunaan eksploitasi nol hari. Ketika ada pengguna yang
membuka lampiran, eksploit memasang beberapa jenis perangkat lunak pemindaian di
komputer korban. Perangkat lunak ini meneruskan informasi ke pengontrol jarak jauh dan
juga dapat bertindak sebagai respons terhadap perintah yang diterima dari pengontrol.
Serangan RSA pada Maret 2011 mengikuti metodologi ini. Advanced persistent ancaman
(APT): Ancaman persisten tingkat lanjut adalah serangan intensif manusia yang
memanfaatkan berbagai teknik intrusi komputer. APT dirancang untuk melanggar organisasi
bahkan ketika mereka dilindungi oleh kontrol keamanan informasi yang dirancang dengan
baik dan dipelihara dengan baik. Untuk alasan ini, APT memerlukan tingkat kustomisasi
spesifik target yang tinggi, yang biasanya menyiratkan bahwa kelompok penyerang yang
didanai dengan baik bertanggung jawab atas ancaman tersebut. Karena tidak ada dua APT
yang sama, istilah APT umumnya mengacu pada tim di belakang serangan daripada serangan
itu sendiri. Tujuan paling umum dari APT adalah menggunakan serangan untuk mendapatkan
dan mempertahankan pijakan dalam organisasi untuk penggunaan dan kontrol yang
berkelanjutan. Gambar 4 .7 adalah plot frekuensi penggunaan pada bulan April 2011 dari dua
kerentanan populer yang biasa digunakan dalam APT. Keduanya adalah kerentanan dalam
MS Word, menyoroti fakta bahwa kerentanan dalam perangkat lunak populer sangat
berbahaya. Kerentanan yang ditemukan pada 2010 terus digunakan setahun setelah
diumumkan, menunjukkan kesukaan para penyerang untuk menggunakan eksploitasi yang
telah teruji oleh waktu dan kelambanan yang meluas dalam menerapkan pembaruan. Gambar
4.7 juga menunjukkan adopsi cepat eksploitasi baru, menunjukkan pentingnya aplikasi
pembaruan yang cepat. 24    
    
Kontrol 
Kontrol keamanan informasi adalah perlindungan yang digunakan untuk meminimalkan
dampak ancaman keamanan informasi. Dalam sistem TI modern, menerapkan kontrol yang
tepat dan hemat biaya adalah salah satu tugas paling penting dari administrator sistem. Sisa
buku ini hampir secara eksklusif ditujukan untuk menggambarkan berbagai kontrol dan
penggunaannya. Bagian ini memberikan tinjauan singkat tentang berbagai kontrol yang
tersedia. Dan dalam hal kerentanan, ada banyak skema populer yang digunakan untuk
mengklasifikasikan berbagai kontrol yang tersedia. Salah satu skema, populer di industri,
adalah untuk mengklasifikasikan kontrol sebagai fisik, prosedural, dan teknis. 

Kontrol fisik: Kontrol fisik menggunakan metode tradisional non-teknis untuk

mencegah bahaya. Biasanya, mereka mencegah pengguna yang tidak sah untuk dapat
memasuki fasilitas teknis. Contoh dari kontrol tersebut termasuk kunci, alat pemadam
kebakaran, pemeriksaan latar belakang, dan pintu. Kontrol prosedural: Kontrol prosedural
adalah rencana tindakan yang ditentukan yang mengatur penggunaan sumber daya komputer.
Kontrol prosedural mengikuti dua prinsip keamanan yang ditetapkan: 1. Menegakkan
akuntabilitas pribadi: Ketika orang tahu bahwa mereka bertanggung jawab atas tindakan
mereka, dan bahwa tindakan dapat ditelusuri kembali ke mereka, mereka umumnya waspada
dengan tindakan mereka. 2. Memerlukan kerja sama lebih dari satu orang untuk melakukan
penipuan: “Ketika pencuri terjatuh, pria jujur mendapatkan iuran mereka. ”25 Pengalaman
menunjukkan bahwa biasanya ada kejatuhan atas rampasan kejahatan, dan kontrol prosedural
yang tepat dapat menggunakan kelemahan manusia ini untuk meningkatkan keamanan. Ini
adalah alasan untuk prosedur akuntansi standar pembukuan entri ganda. Contoh kontrol
prosedural termasuk prosedur untuk mendapatkan akun komputer, prosedur untuk
meningkatkan hak istimewa, prosedur untuk memodifikasi program, prosedur untuk
perekrutan, dan persyaratan yang mengharuskan pengguna mengubah kata sandi secara
berkala.
 
   Ketika organisasi menjadi lebih besar dan lebih besar dan teknologi informasi inti menjadi
semakin aman, tantangan utama untuk keamanan informasi adalah untuk memastikan bahwa
kelemahan yang paling penting telah dieliminasi dari organisasi. Cara paling efektif untuk
melakukan ini adalah mengembangkan prosedur yang efektif dan kemudian secara konsisten
menerapkan prosedur ini. Oleh karena itu, setiap hari, profesional keamanan informasi paling
fokus pada kontrol prosedural. 
 
Kontrol teknis: Kontrol teknis adalah langkah-langkah keamanan yang dibangun ke dalam
sistem informasi itu sendiri. Contoh umum termasuk kata sandi, firewall, sistem deteksi
intrusi, pembaruan sistem, dan perangkat lunak antivirus. Sisa buku ini sebagian besar
berfokus pada kontrol teknis ini secara rinci.
 
    Sebagian besar kontrol keamanan informasi melintasi beberapa kategori. Misalnya, kata
sandi dapat dilihat sebagai kontrol prosedural (prosedur untuk mengakses sumber daya) atau
kontrol teknis (kontrol yang dibangun ke dalam teknologi informasi itu sendiri). Dalam
industri yang sensitif (misalnya, perbankan), sebagian besar karyawan diharuskan melalui
pemeriksaan latar belakang yang luas. Pemeriksaan ini dapat dianggap sebagai kontrol fisik
(non-teknis dan dirancang untuk mengontrol akses fisik) atau prosedural (prosedur yang
diikuti untuk mengontrol akses). Ini adalah salah satu kelemahan dari sebagian besar skema
klasifikasi dalam domain keamanan informasi - banyak item dapat dengan mudah jatuh ke
dalam beberapa kategori. 
 

    Contoh kasus - I LOVE YOU virus 

Pada tanggal 5 Mei 2000, banyak pengguna menerima email aneh dari orang yang mereka
kenal. Baris subjek email adalah "ILOVEYOU." Email berisi virus. Jika pengguna membuka
email, virus merusak file gambar pada hard disk dan mengirim dirinya sebagai email ke
pengguna dalam daftar kontak korban. Mengingat baris subjek yang menarik, email tersebut
juga memasukkan cerita rakyat keamanan informasi sebagai virus "bug cinta". Virus ini
mempengaruhi sekitar 50 juta komputer di seluruh dunia. Tindak lanjut hukum terhadap virus
itu menarik dan menyoroti keterbatasan penegakan hukum dalam menangani kejahatan dunia
maya. FBI dengan cepat mengidentifikasi Manila, Filipina, sebagai sumber virus dan seorang
mahasiswa baru, Onel de Guzman, sebagai penulis virus. Namun, penyebaran virus bukanlah
kejahatan di Filipina saat itu. Oleh karena itu, De Guzman tidak dapat dituntut di Filipina
atau diekstradisi ke Amerika Serikat untuk dituntut di bawah undang-undang AS untuk
tindakan menciptakan virus. Di bawah tekanan internasional yang kuat, De Guzman didakwa
melakukan pencurian dan penipuan kartu kredit pada Juni 2000. Namun, pada 21 Agustus
2000, semua tuduhan dibatalkan karena kurangnya bukti. Filipina akhirnya membuat undang-
undang yang mengkriminalisasi penyebaran virus, tetapi relatif lemah. Hukuman maksimum
adalah 2 minggu penjara dan setara dengan $ 100. 

 DAFTAR PUSTAKA 
    Arnold, W. “Filipina akan membatalkan tuntutan terhadap virus email,” New York Times,
22 Agustus 2000  
     Brenner, SW “Yurisdiksi cybercrime,” Kejahatan, Hukum dan Perubahan Sosial, 2006,
46: 189 - 206  
    RINGKASAN 
 Bab ini menggambarkan lingkungan keamanan informasi yang penting dan menjelaskan
empat komponen lingkungan - aset informasi, kerentanan sistem, ancaman, dan kontrol
keamanan. Contoh-contoh penting dari masing-masing komponen ini menyoroti masalah-
masalah yang mungkin akan Anda hadapi dalam karier Anda. 
Dalam bab ini dan bab-bab sebelumnya, Anda telah diperkenalkan dengan masalah-masalah
penting yang dihadapi oleh organisasi dan administrator sistem. Anda juga telah
diperkenalkan dengan beberapa keterampilan teknis dasar untuk melakukan tugas
administrasi sistem yang umum. Bab-bab selanjutnya dalam buku ini berfokus pada
membantu Anda menerapkan keterampilan teknis ini untuk menerapkan kontrol teknis
umum. 
PERTANYAAN  BAB TINJAUAN

1. Jelaskan secara singkat model keamanan informasi yang ditunjukkan pada Gambar
4.1.       
2. Apa itu aset informasi? Berikan beberapa contoh dari kehidupan pribadi Anda (cukup
dengan mendaftar beberapa kategori aset, jangan melanggar privasi Anda sendiri saat
menanggapi pertanyaan).        
3. Apa perbedaan penting antara aset konvensional (misalnya, emas, real estat) dan aset
informasi? Bagaimana perbedaan ini berdampak pada keamanan informasi? 4. Apa itu
kerentanan? Sebutkan beberapa kerentanan terhadap aset yang diidentifikasi dalam
pertanyaan
4. Apa itu National Vulnerability Database (NVD)? Mengapa ini bermanfaat?        
5. Apa kerentanan terbaru yang dicatat oleh NVD? (untuk menjawab pertanyaan ini,
kunjungi NVD di http: // nvd. nist.gov/, klik tautan ke "mesin pencari kerentanan" dan klik
"search," meninggalkan nilai default di semua bidang.) 7. Apa itu ancaman? Sebutkan
beberapa ancaman terhadap aset yang diidentifikasi ke aset yang diidentifikasi dalam
pertanyaan
6. Kunjungi situs indeks ancaman ATLAS (atlas.arbor.net pada 05/21/12). Apa serangan
teratas pada hari kunjungan Anda? 
7. Apa itu kontrol? Apa saja kontrol penting yang dapat Anda terapkan untuk
meminimalkan dampak ancaman dalam pertanyaan sebelumnya.        
8. Jelaskan kerentanan "kurangnya validasi input" secara singkat. Kenapa itu berbahaya?
11. Jelaskan secara singkat kerentanan "unggahan tidak terbatas". Kerugian apa yang dapat
menyebabkan kerentanan ini?        
9. Jelaskan kerentanan "buffer overflow" secara singkat.        
10. Jelaskan kerentanan "otorisasi yang hilang" secara singkat. Dalam industri apa
kerentanan ini sangat berbahaya?        
11. Apa itu kerentanan prosedural? 15. Apa rekomendasi untuk membuat kata sandi yang
baik?        
12. Bagaimana virus dan worm? Apa perbedaan utama di antara mereka? 
13. Berikan ringkasan singkat tentang virus ILOVEYOU dan dampaknya.        
14. Apa itu phishing?        
15. Apa itu malware?        
16. Apa itu rootkit? Mengapa mereka berbahaya?        
17. Apa itu zombie? Untuk apa mereka digunakan?        
18. Apa itu rekayasa sosial? Mengapa ini menjadi ancaman yang semakin penting?        
19. Apa yang dimaksud kontrol fisik? Mengapa itu penting?        
20. Apa itu kontrol prosedural? Mengapa itu penting?        
21. Apakah kontrol teknis itu? Berikan beberapa contoh kontrol teknis. 
  

CONTOH PERTANYAAN KASUS     

1. Apa motivasi de Guzman untuk melepaskan virus ILOVEYOU?        
3. Apa hukuman untuk membuat dan / atau menyebarkan virus di negara Anda? 
4. Undang-undang biasanya memberi hakim kebebasan yang cukup dalam memberikan
hukuman berdasarkan fakta-fakta dari kasus tersebut. Berdasarkan respons Anda terhadap
pertanyaan 2 di atas, hukuman apa yang akan Anda berikan kepada de Guzman?        
5. Mengapa Anda memilih penalti ini? 

HANDS-ON ACTIVITY - WEB SERVER SECURITY 

1. Sebagai bagian dari perancangan ulang situs web di Sunshine State University,
aplikasi pencarian direktori dikembangkan. Ini memungkinkan siapa saja untuk mencari
nama, alamat email, dan alamat surel siswa Sunshine State. Sebelum situs web dirilis ke
publik, Anda telah diminta untuk bekerja dengan tim mengevaluasi keamanan.    
2. Dengan menggunakan mesin virtual Linux yang Anda konfigurasi pada Bab 2, buka
browser web dengan mengklik ikon Firefox pada bilah di bagian atas layar (Gambar 4.8). 
3. Di bilah alamat, ketikkan direktori http://www.sunshine.edu/     
4. Di bidang Nama Depan, ketikkan william dan klik Kirim.    
5. Klik tombol "Kembali" untuk kembali ke layar pencarian.    
6. Ketikkan yang berikut ke dalam bidang Nama:
7. Depanwilliam! 'ATAU' a '=' a  
       
PERTANYAAN      
1. Berapa banyak hasil pencarian yang dikembalikan dalam pencarian pertama?       
2. Apakah ada lebih banyak hasil pencarian setelah mengubah input? 
3. Tulis ringkasan singkat (satu hingga dua paragraf) dari temuan Anda yang dapat
disajikan kepada administrasi Universitas Negeri Sunshine. Pastikan untuk memasukkan:

 GAMBAR 4.8. Menggunakan browser pada VM 

a. Apa kerentanan atau kerentanan aplikasi ini menderita? 

b. Alasan Anda merasakan kerentanan ini ada. 
c. Kemungkinan kerusakan yang bisa datang dari kerentanan ini. 
 
LATIHAN BERPIKIR KRITIS - INTERNET, “NILAI AMERIKA,” DAN
KEAMANAN 
 Dalam pemikiran konvensional, salah satu alasan utama untuk masalah keamanan informasi
kami adalah bahwa perancang Internet tidak membangun keamanan dalam teknologi Internet
yang mendasarinya seperti TCP dan IP. Jika saja TCP dan IP juga memasukkan keamanan,
kita akan memiliki infrastruktur informasi yang jauh lebih aman. Namun, menulis untuk
majalah IEEE Security and Privacy pada tahun 2011, Dan Geer, Kepala Keamanan Informasi
untuk In-Q-Tel, sebuah perusahaan modal ventura nirlaba untuk teknologi yang mendukung
CIA, menyatakan bahwa para pengembang Internet menyematkan interpretasi "nilai-nilai
Amerika" dalam teknologi internet yang mendasarinya. Inilah sebabnya mengapa IP,
teknologi Internet yang mentransfer data di Internet, “terbuka, tidak hierarkis, dan mengatur
diri sendiri.” Setelah data meninggalkan komputer Anda, Anda tidak memiliki kendali atas
bagaimana data dikirim ke tujuan. Protokol tidak memberikan mekanisme bagi pemerintah
untuk memberlakukan pembatasan pada aliran informasi di Internet, selain membatasi akses
pengguna 
ke Internet. Dan menyarankan bahwa Internet juga bisa menjadi ekspor budaya Amerika
yang sangat sukses, membawa keterbukaan dan kebebasan informasi di mana pun ia diadopsi.
Mengadopsi pandangan ini, Dan percaya bahwa kurangnya keamanan dalam protokol
internet yang mendasarinya adalah kekuatan, bukan kelemahan. Internet mengharuskan
pengguna akhir untuk bertanggung jawab atas keamanan mereka sendiri, alih-alih
mengandalkan keamanan yang disediakan oleh jalinan Internet. Internet yang tidak
bertanggung jawab atas keamanan juga tidak membatasi pengguna untuk terhubung ke
pengguna lain, melindungi hak pengguna untuk kebebasan berserikat. Internet yang aman
dapat membatasi kebebasan ini atas nama keamanan, yang membutuhkan izin dari penyedia
Internet untuk mengakses sumber daya yang diinginkan. 
  Reference 
    Geer, DE Jr. "Saat untuk memilih," Keamanan dan Privasi IEEE, Januari / Februari 2011,
96 - 95  
F 

PERTANYAAN BERPIKIR KRITIS      

1. Bagaimana infrastruktur informasi kita menjadi lebih aman jika Internet yang
mendasarinya menggabungkan teknologi keamanan seperti enkripsi ?        
2. Bagaimana kegunaan Internet dapat dilumpuhkan jika teknologi Internet yang
mendasarinya memasukkan lebih banyak keamanan? 
3. Berdasarkan jawaban Anda terhadap dua pertanyaan ini, apakah Anda setuju dengan
penilaian Dan Geer bahwa meninggalkan keamanan menjadi tanggung jawab pengguna akhir
adalah ide yang bagus? 
     

KASUS DESAIN 
 Departemen SIM dari Universitas Sunshine meminta Anda untuk berkunjung. Mereka
prihatin dengan keamanan data secara keseluruhan di departemen dan ingin pendapat dari
luar tentang (1) masalah besar yang mencolok yang ditemukan dan (2) apa yang bisa
dilakukan untuk mengurangi paparan mereka. Berikut adalah beberapa hal yang Anda
temukan selama kunjungan Anda:    
1. "Ruang server" adalah lemari kebersihan dengan satu UPS di sudutnya, dengan tujuh
server yang dipasang di rak.    
2. Tiga dari server ini hanya memiliki satu kartu jaringan. Keempat server lainnya
memiliki kabel jaringan yang terhubung ke switch jaringan yang sama. 
3. UPS tampaknya beroperasi pada kapasitas 80%. Teknisi lokal memperkirakan waktu
aktif 5 menit sebelum gagal.    
4. Banyak profesor riset menempatkan server mereka sendiri di kantor mereka.    
5. Teknisi Dukungan Desktop menggunakan kata sandi admin yang sama untuk
mengakses semua workstation di departemen.  
  Buat daftar minimal lima ancaman yang dapat Anda temukan dalam daftar di atas.
Kemudian, sarankan lima kontrol yang dapat ditambahkan untuk mengurangi ancaman.
Selengkap mungkin.   

BAB 5 Identifikasi Aset dan Karakterisasi 

   Tinjauan  
Kita telah melihat bahwa keamanan informasi dikaitkan dengan aset yang diidentifikasi.
Semua kegiatan yang berkaitan dengan keamanan informasi - kontrol keamanan, pemulihan
bencana dan program kesinambungan bisnis, dan penilaian risiko, harus berkisar seputar
melindungi kerahasiaan, integritas, dan ketersediaan aset organisasi. Identifikasi aset yang
tidak memuaskan dapat membuat aset berharga tidak terlindungi sementara organisasi
meluangkan waktu untuk melindungi sumber daya bernilai rendah. Mengidentifikasi dan
mengklasifikasikan aset merupakan dasar dari program keamanan informasi. Bab ini akan
menjelaskan aset penting dalam organisasi. Kami kemudian akan memeriksa bagaimana aset
ini dapat diidentifikasi dan diklasifikasikan. Bab-bab selanjutnya akan membahas bagaimana
aset-aset ini dapat dilindungi. Pada akhir bab ini Anda akan:
• Mengenal beberapa masalah yang terlibat dalam memelihara aset TI 
• Memiliki pemahaman dasar tentang misi organisasi 
• Tahu bagaimana mengklasifikasikan aset berdasarkan penyelarasannya dengan misi
organisasi 
• Waspadai masalah manajemen aset termasuk siklus hidup dan kepemilikan  
    
Tinjauan Aset 
Tujuan identifikasi dan klasifikasi aset adalah untuk secara proaktif mengumpulkan semua
informasi yang diperlukan tentang aset organisasi yang dapat berguna dalam menanggapi
ancaman yang mempengaruhi aset itu. Identifikasi aset harus mengarah pada penyebaran
mekanisme pemantauan yang diperlukan sehingga organisasi dapat menjadi sadar akan
serangan dan mengambil tindakan yang diperlukan. Tanpa adanya identifikasi dan klasifikasi
aset yang efektif, suatu organisasi bahkan mungkin tidak menyadari ancaman. Faktanya,
laporan investigasi pelanggaran data Verizon 2012 menyatakan bahwa 92% dari semua
insiden keamanan informasi diidentifikasi oleh pihak ketiga, seringkali berminggu-minggu
atau berbulan-bulan setelah kerusakan terjadi. 1 Penting untuk mengidentifikasi aset sendiri,
sebelum musuh Anda mengidentifikasi aset untuk Anda. Dalam Bab 4, kita mendefinisikan
aset sebagai sumber daya atau informasi yang harus dilindungi. Tapi bagaimana Anda tahu
apa yang perlu dilindungi? Apa yang layak dilindungi dalam satu organisasi mungkin tidak
dianggap penting di organisasi lain. Misalnya, koleksi musik Anda mungkin salah satu aset
Anda yang paling berharga, tetapi majikan Anda mungkin tidak terlalu peduli untuk itu.
Identifikasi dan klasifikasi aset karenanya cukup unik untuk setiap organisasi. Meskipun
tidak ada daftar periksa sederhana yang dapat dikembangkan untuk mengidentifikasi aset,
prosedur untuk melakukannya dapat dikembangkan. Selama bertahun-tahun, para pakar
industri telah menerbitkan pengalaman kolektif mereka dalam mengamankan aset informasi
sebagai berbagai standar industri keamanan informasi. ISO 27002 (sebelumnya dikenal
sebagai ISO 17799) adalah standar keamanan informasi yang diterbitkan oleh International
Organization for Standardization (ISO). Ini menguraikan prosedur untuk menjaga keamanan,
termasuk rekomendasi untuk mengidentifikasi dan mengklasifikasikan aset. Tujuan
Pengendalian untuk Teknologi Informasi dan Terkait (COBIT) adalah kerangka kerja serupa
yang biasa digunakan oleh auditor yang juga membahas klasifikasi aset TI. Dalam bab ini,
kami akan mengembangkan prosedur untuk mengidentifikasi dan mengklasifikasikan aset
dengan mensintesis dari pedoman ini. Tingkat tinggi, identifikasi dan klasifikasi aset
melibatkan daftar semua aset TI dalam organisasi, dan mengkarakterisasi pentingnya setiap
aset untuk keamanan informasi organisasi, dengan memperhatikan sistem TI di mana setiap
aset beroperasi. Secara umum, semua aset dapat diklasifikasikan menjadi dua jenis - umum
dan istimewa. 
 Aset umum adalah aset yang ditemukan di sebagian besar organisasi. Contoh dari aset umum
adalah email. Hampir setiap organisasi menggunakan email sebagai bentuk komunikasi
utamanya dan hampir setiap organisasi akan menganggap emailnya sebagai aset yang patut
dilindungi. Anda mungkin dapat mengembangkan daftar periksa untuk aset umum tersebut
tanpa pengetahuan khusus tentang suatu organisasi, berdasarkan pengalaman sebelumnya,
diskusi dengan kolega atau pencarian Internet. Di sisi lain, contoh aset istimewa adalah
transkrip siswa. Universitas dan lembaga pendidikan lainnya menganggap ini sebagai aset
vital karena alumni berhak untuk meminta transkrip kapan saja dalam kehidupan mereka.
Alumni berpotensi menggugat jika mereka kehilangan kesempatan kerja sebagai akibat dari
kegagalan almamater mereka untuk menghasilkan transkrip atas permintaan. Namun,
perusahaan tidak cenderung menempatkan premi seperti itu pada transkrip karyawan. Kecuali
untuk beberapa industri yang diatur (misalnya, kedokteran, akuntansi), begitu seseorang telah
bekerja selama beberapa tahun, kariernya tergantung pada kinerja saat ini daripada transkrip
perguruan tinggi. Karena itu, begitu seorang karyawan dipekerjakan, majikan mungkin tidak
peduli untuk menyimpan transkrip mereka. Transkrip siswa karena itu merupakan aset
istimewa. Aset idiosinkratik adalah aset yang berbeda untuk suatu organisasi. Perlu usaha dan
perhatian yang besar terhadap perincian untuk mengidentifikasi aset istimewa dalam
organisasi dengan benar. Sebagai seorang karyawan atau analis, menentukan aset istimewa
memerlukan penentuan proses, prosedur, dan kegiatan, yang memastikan bahwa organisasi
bekerja dengan kemampuan optimalnya. Tekad seperti itu dimulai dengan satu pertanyaan
mendasar: apa sebenarnya yang dilakukan organisasi ini? Jawaban atas pertanyaan ini dapat
muncul cukup sederhana, seperti "perusahaan ini menjual mobil" atau "bisnis ini memotong
rambut." Namun, untuk mengidentifikasi semua aset yang relevan dengan bisnis, analis
keamanan perlu menggali lebih dalam dan menentukan apa yang penting bagi pemilik,
pelanggan, dan karyawan organisasi. 

   Menentukan aset yang penting bagi organisasi  

Dua pendekatan umum untuk mengidentifikasi aset istimewa yang penting bagi organisasi
adalah pendekatan bottom-up dan pendekatan top-down. 

  Pendekatan bottom-up: berbicara dengan rekan kerja. 

Pendekatan bottom-up biasanya adalah apa yang terjadi ketika seseorang dipekerjakan. Itu
juga sering disebut sebagai "kurva belajar," periode waktu seorang karyawan baru harus
terbiasa dengan kebiasaan kerja dan kebutuhan organisasi. Karyawan itu diberikan banyak
dokumentasi untuk dibaca dan dipahami, atau dipasangkan dengan rekan yang
berpengalaman untuk mengajarinya. Waktu ini adalah kesempatan sempurna bagi karyawan
baru untuk menentukan pentingnya proses spesifik bagi perusahaan. Ini juga merupakan
kesempatan untuk mulai menentukan ketergantungan barang-barang yang kurang dikenal
untuk pencapaian tujuan perusahaan. Sementara karyawan cenderung mengetahui apa yang
membuat organisasi itu relevan bagi pelanggan, sekarang adalah kesempatan untuk mencari
tahu apa yang penting bagi operasi perusahaan dan mengikat kebutuhan organisasi dan
kebutuhan pelanggan bersama. Tidak ada yang tahu pekerjaan batin dari tempat kerja serta
orang-orang yang menangani masalah sehari-hari. Sebagai contoh, karyawan saat ini dapat
membawa ke perhatian calon karyawan baru fakta bahwa kegagalan server DNS sederhana
dapat menurunkan aplikasi $ 2 juta dolar yang sangat penting untuk operasi perusahaan. 

Pendekatan top-down: memahami tujuan organisasi 

Selain memandang organisasi dari bawah ke atas, melalui percakapan dengan staf
operasional, memahami tujuan organisasi dari sudut pandang para pemimpin eksekutif juga
sangat penting. Ini dapat dilakukan bahkan tanpa akses langsung ke eksekutif puncak
organisasi. Laporan Tahunan dan bagian "Tentang Kami" di situs web organisasi adalah
sumber informasi penting tentang organisasi. Manajemen puncak menggunakan tempat-
tempat ini untuk mengomunikasikan prioritas pribadi mereka kepada dunia. Sumber lain dari
pengumpulan informasi top-down adalah Pernyataan Visi dan Pernyataan Misi. Ini adalah
pernyataan yang digunakan oleh para pemimpin organisasi untuk secara jelas menyampaikan
nilai-nilai dan prioritas organisasi di bawah kepemimpinan mereka. Pernyataan Misi adalah
ungkapan pendek (lebih disukai satu atau dua kalimat) dari layanan organisasi, target pasar,
dan keunggulan kompetitifnya. Pernyataan Misi berfungsi untuk menginformasikan
pemangku kepentingan (misalnya, karyawan, pelanggan, pemasok) tentang prioritas
organisasi dan mengingatkan tim kepemimpinan tentang bagaimana kesuksesan akan diukur
dalam organisasi. Vision Statements articulate the organization's aspirations . Pernyataan Visi
mengartikulasikan aspirasi organisasi. Pernyataan Visi juga menentukan tujuan organisasi.
Namun, Pernyataan Visi hanya berbicara kepada karyawan dan mengomunikasikan nilai-nilai
dan keyakinan organisasi. Pernyataan visi menetapkan ekspektasi kinerja dan perilaku oleh
karyawan dalam organisasi. Pernyataan Visi dapat mengkomunikasikan kepada pelanggan
filosofi kerja organisasi, menjelaskan apa yang diharapkan ketika berhadapan dengan
organisasi. Karena Pernyataan Misi, laporan tahunan, dan dokumen lain semacam itu
berusaha secara sadar untuk membedakan organisasi dari kompetitornya, penelitian yang
cermat terhadap dokumen-dokumen ini dapat mengungkapkan apa yang penting bagi
organisasi. Sementara pernyataan-pernyataan ini sering dianggap sebagai sesuatu yang luhur
dan generik, upaya harus dilakukan untuk mendapatkan wawasan tentang apa yang menurut
para pemimpin organisasi secara unik penting bagi organisasi. Beberapa contoh insiden
keamanan informasi terbaru dan pernyataan misi organisasi terkait mengikuti. 
 
 British Aerospace Electronic Systems 
 BAE Systems adalah perusahaan Inggris terkemuka yang menyediakan produk pertahanan
dan keamanan, dari layanan dunia maya dan dukungan militer, hingga misi sistem elektronik
kritis dan peralatan perlindungan. Menurut situs webnya, 2 misi perusahaan adalah "Untuk
memberikan pertumbuhan berkelanjutan dalam nilai pemegang saham melalui komitmen
kami terhadap Total Performance." Ini tidak terlalu khas. Kami beralih ke Pernyataan Visi,
yaitu menjadi "perusahaan pertahanan, kedirgantaraan, dan keamanan global utama". 

 Tercantum dalam Laporan di bawah Tindakan Strategis, Anda akan menemukan: 3   
  + Meningkatkan laba dan menghasilkan uang tunai 
 + Menumbuhkan bisnis Kecerdasan dan Keamanan Cyber kami 
 + Menumbuhkan Sistem Elektronik 
 + Mendorong nilai dari Platform dan posisi Layanan 
 kami + Meningkatkan bisnis internasional kami  

 Pernyataan ini menunjukkan bahwa cyber intelijen, keamanan, dan sistem elektronik adalah
bisnis inti perusahaan. Data dalam bidang-bidang ini cenderung istimewa bagi perusahaan.
Memang, pada 2007, BAE adalah korban 4 dari Ancaman Persisten Tingkat Lanjut (APT).
APT adalah penetrasi yang sangat canggih yang tetap tersembunyi di jaringan organisasi,
membocorkan informasi ke peretas luar. APT biasanya dikerahkan oleh lembaga pemerintah
untuk memata-matai perkembangan teknologi negara lain. APT digunakan untuk mencuri
dokumen desain yang terkait dengan pesawat F-35 Strike Fighter, di mana BAE adalah
kontraktor. Data yang bocor dari BAE diduga membantu pemerintah Cina untuk
mengembangkan Pesawat Tempur J-20 yang digambarkan dalam Gambar 5.1.  

 Yahoo 
 Yahoo didirikan pada tahun 1994 oleh Stanford Ph.D. siswa David Filo dan Jerry Yang.
Sejak itu berkembang menjadi merek Internet utama dengan pencarian, konten vertikal, dan
layanan web lainnya. Dalam beberapa tahun terakhir, perusahaan telah berjuang untuk
bersaing di pasar yang sebagian besar didominasi oleh raksasa seperti Google dan Microsoft.
Pada Januari 2012, Yahoo membawa CEO baru untuk mencoba "menyalakan kembali
inovasi dan mendorong pertumbuhan." Setelah hanya 6 bulan bekerja, Yahoo mengubah arah
lagi dan mendatangkan mantan karyawan Google nomor 20, Marissa Mayer. Menurut
informasi yang tersedia bagi pemegang sahamnya di situs webnya, 5 pernyataan misi Yahoo
adalah bahwa "Yahoo adalah perusahaan media digital utama." Pernyataan visinya adalah
bahwa “Yahoo menciptakan pengalaman digital yang sangat pribadi yang membuat lebih dari
setengah miliar orang terhubung dengan apa yang paling penting bagi mereka, di seluruh
perangkat dan di seluruh dunia. Itulah cara kami memberikan dunia Anda, cara Anda. Dan
kombinasi unik Yahoo dari Science + Art + Scale menghubungkan pengiklan dengan
konsumen yang membangun bisnis mereka. "

Suatu keuntungan, sementara pernyataan ini tampak generik, mereka menyarankan bahwa
fitur istimewa perusahaan akan mencakup pengetahuan tentang preferensi pengguna dari
bagian yang signifikan dari populasi online di dunia, menjadikannya target yang menarik
bagi penyerang yang mencoba memanen kredensial pengguna. Pada Juli 2012, kesalahan
langkah keamanan sederhana dalam desain salah satu layanannya, Yahoo Voice,
menyebabkan hampir 400.000 kredensial online 6 bocor dari Yahoo! server. 

GAMBAR 5.1 J-20 fight

Universitas Nebraska - Lincoln

 UNL, Universitas Nebraska-Lincoln, disewa pada tahun 1869. Hari ini, Universitas
Nebraska - Lincoln adalah salah satu lembaga pengajaran terkemuka di negara ini, dan
pemimpin penelitian dengan beragam proyek yang didanai hibah yang bertujuan untuk
memperluas pengetahuan dalam sains dan humaniora. Pendaftarannya pada Musim Gugur
2011 mendekati 25.000 siswa. Menurut halaman webnya, tiga misi utama UNL adalah
pengajaran, penelitian, dan layanan. Halaman 7 yang sama menguraikan nilai-nilai berikut
untuk universitas:
  Pembelajaran yang mempersiapkan siswa untuk kesuksesan dan kepemimpinan seumur
hidup; Keunggulan dikejar tanpa kompromi; Pencapaian didukung oleh iklim yang
merayakan keberhasilan setiap orang; Keragaman ide dan orang; Keterlibatan dengan
komunitas akademik, bisnis, dan sipil di seluruh Nebraska dan dunia; Penelitian dan aktivitas
kreatif yang menginformasikan pengajaran, mendorong penemuan, dan berkontribusi pada
kemakmuran ekonomi dan kualitas hidup kita; Pengelolaan sumber daya manusia, keuangan,
dan fisik yang dilakukan untuk perawatan kita. 

 Sekali lagi, pernyataan-pernyataan ini nampaknya relatif umum untuk sebuah universitas.
Namun, mereka berpendapat bahwa informasi paling istimewa yang dimiliki universitas
adalah informasi materi pelajaran dan mahasiswa. Kehilangan informasi ini dapat merusak
universitas. Pada Mei 2012, pelanggaran dalam Sistem Informasi Mahasiswa 8 UNL
menyebabkan potensi kebocoran 654.000 Informasi Identifikasi Pribadi siswa termasuk
Nomor Jaminan Sosial. Jumlah (654.000) jauh melebihi pendaftaran siswa di universitas
karena universitas menyimpan catatan semua alumni. Selain itu, banyak universitas
mempertahankan setidaknya beberapa informasi mengenai semua pelamar ke universitas.
Selain itu, sebagian besar universitas juga menarik banyak siswa melalui program non-gelar
seperti program pengayaan musim panas. Contoh-contoh ini menunjukkan, organisasi
cenderung menjadi target untuk informasi paling istimewa yang mereka miliki. Meskipun
bukan ilmu pasti, pemeriksaan terhadap prinsip-prinsip panduan organisasi dapat membantu
mengidentifikasi informasi tersebut. 

    Jenis aset 
Saat Anda berupaya mengidentifikasi aset di organisasi Anda, ada baiknya mengetahui apa
yang harus dicari. Apa saja jenis aset yang berbeda dalam suatu organisasi? Meskipun
beberapa organisasi mungkin memiliki aset yang sangat unik, aset terpenting yang mungkin
Anda temui dalam keamanan informasi adalah sebagai berikut. Aset ini hadir di semua
organisasi dalam satu bentuk atau yang lain, dan kami akan melihat masing-masingnya:
• Aset informasi 
• Aset personel 
• Asetkeras 
 perangkat
• Aset perangkat lunak 
• Aset hukum 

Aset Informasi 
Aset informasi adalah konten yang disimpan secara digital yang dimiliki oleh suatu individu
atau organisasi. Ini biasanya merupakan aset terpenting dalam suatu organisasi dari sudut
pandang keamanan informasi. Semua serangan keamanan informasi yang disengaja pada
organisasi melibatkan upaya untuk mencuri data. Kecelakaan paling menyakitkan dengan
implikasi keamanan informasi (crash hard drive misalnya) melibatkan kehilangan data. Oleh
karena itu, komponen penting dari identifikasi aset melibatkan pencarian data dan informasi
yang penting bagi organisasi. Aset informasi termasuk file individual seperti gambar, foto,
video, dan file teks. Mereka juga memasukkan konten digital lainnya seperti data dalam
database. Aset ini disimpan baik pada perangkat yang dimiliki oleh organisasi ("lokal") atau
pada perangkat yang diakses di cloud, seringkali sebagai bagian dari layanan yang
ditawarkan oleh pihak ketiga dan diatur oleh kontak dengan organisasi. Contoh aset informasi
umum termasuk data penggajian, data arus kas, kontak pelanggan, informasi kartu kredit,
hutang dagang, piutang dagang, pengembalian pajak, dan email. Selain informasi mentah
tersebut, aset informasi umum juga mencakup informasi proses seperti dokumentasi sistem,
manual pelatihan pengguna, dokumen operasional yang memastikan kepatuhan terhadap
peraturan, dan informasi kesinambungan bisnis. Aset informasi idiosinkratis meliputi
kekayaan intelektual seperti desain produk dan hasil pengujian produk. Kekayaan intelektual
(IP) mengacu pada kreasi pikiran (penemuan, karya sastra dan artistik, dan simbol, nama,
gambar, dan desain) yang dapat digunakan untuk keuntungan. 

Dalam konteks universitas, contoh-contoh informasi istimewa meliputi nilai siswa, nilai ujian
siswa, dan transkrip mahasiswa. Sementara data menyebar, para pemimpin eksekutif
seringkali hanya menyadari implikasi keamanan dari informasi yang telah menarik perhatian
media negatif baru-baru ini atau yang termasuk dalam masalah kepatuhan hukum. Misalnya,
sebagian besar eksekutif menyadari implikasi keamanan data kartu kredit. Ini karena ada
banyak insiden pencurian kartu kredit di masa lalu dan akibatnya masalah ini dibahas di
semua acara industri. Ini adalah contoh klasik dari bias kognitif yang terkenal, bias kebaruan,
di mana pikiran memberikan perhatian yang tidak biasa pada pengamatan terbaru. Tantangan
bagi para profesional keamanan adalah untuk mengidentifikasi aset informasi sebelum
kehilangan informasi tersebut merugikan organisasi. Perhatikan contoh BYOD di bawah ini.
 

Bawalah perangkat Anda sendiri (BYOD)

Jika Anda belum pernah mendengarnya, singkatan terbaru di perusahaan IT adalah BYOD,
atau “Bawa Perangkat Anda Sendiri.” Ini adalah cerminan dari fakta bahwa organisasi,
dengan semua firewall dan peralatan keamanan mereka, belum mampu menahan proliferasi
perangkat milik pengguna yang mengakses jaringan mereka dan, yang lebih penting, data
mereka. Setelah awalnya menolak perangkat tersebut, banyak organisasi mulai menyambut
perangkat tersebut. Terkadang, motivasinya hanya penghematan biaya - jika dengan upaya
keras, karyawan dapat diizinkan untuk menggunakan peralatan pribadi mereka untuk
menyelesaikan tugas yang terkait dengan pekerjaan, organisasi dapat menghemat biaya
penyediaan peralatan ini kepada karyawan. Misalnya, paket ponsel dapat berharga $ 100 /
bulan, atau hampir $ 1.000 per karyawan per tahun. Untuk kira-kira setiap 50 karyawan yang
menggunakan ponsel pribadi mereka di tempat kerja alih-alih telepon yang dikeluarkan
perusahaan, organisasi dapat menyimpan satu pekerjaan profesional tingkat pemula. Ekonomi
BYOD sangat nyata. Dari perspektif keamanan, penting untuk dicatat bahwa BYOD
menciptakan tantangan dalam manajemen aset informasi. Data organisasi sekarang
didistribusikan ke banyak perangkat pribadi. Pencurian salah satu dari perangkat ini dapat
membahayakan aset informasi organisasi. Untuk alasan ini, sebagian besar organisasi
bersikeras bahwa mereka dapat sepenuhnya menghapus BOYD dengan remote control jika
terjadi pencurian, kerusakan, atau masalah lain. 
 
   Aset Personil 
Programmer, pengembang, dan, ya, bahkan manajer adalah aset organisasi yang penting.
Dibutuhkan waktu lama untuk menemukan karyawan dengan keterampilan yang tepat yang
bersedia bekerja dengan gaji yang mampu dibayar oleh organisasi Anda. Setelah karyawan
dipekerjakan, organisasi menginvestasikan banyak uang untuk melatih karyawan tersebut.
Sekalipun pelatihan semacam itu tidak formal, hanya melibatkan metode seperti mengikuti
karyawan lain selama beberapa hari untuk mempelajari seluk beluk, atau menghabiskan hari
di kantor membaca dokumentasi pengguna, itu menciptakan biaya bagi organisasi.
Kemudian, ketika karyawan mengembangkan secara profesional, mempelajari tata letak
tanah, membangun jejaring sosialnya di dalam perusahaan, ia mungkin mendapati dirinya
menjadi ahli di bidang tertentu. Misalnya, karyawan dapat berevolusi menjadi orang yang
paling memahami sesuatu yang mungkin menjadi operasi utama untuk departemen Anda,
seperti manipulasi string di Perl, atau penyetelan MySQL untuk operasi kinerja tinggi, atau
optimalisasi aturan firewall. Sebagai seorang analis keamanan informasi, salah satu tanggung
jawab Anda adalah mengidentifikasi orang-orang tersebut dan mengelola risiko yang terkait
dengan keunikan mereka. Salah satu caranya adalah membuat manajemen sadar akan
pentingnya individu-individu ini, sehingga manajemen dapat melakukan upaya ekstra untuk
menjaga mereka tetap di atas. Mekanisme lain adalah untuk melatih lintas individu lain dalam
organisasi untuk mengambil beberapa tanggung jawab kritis ini. 

Aset personel juga didokumentasikan dari perspektif respons bencana.  Ketika suatu aset berada di bawah
ancaman, Anda harus tahu cara menghubungi individu-individu yang dapat merespons ancaman tersebut. 
Dokumentasi ini berupa pengumpulan nomor telepon, alamat rumah, alamat email, dan segala bentuk
informasi kontak lainnya yang berlaku.  Aset perangkat keras Aset perangkat keras mencakup potongan
fisik mesin dan sistem terkait yang terlibat secara langsung atau tidak langsung dalam mendukung misi
bisnis.  Biasanya "barang" dibeli dengan pendapatan, biaya siswa, uang hibah, dll. Seringkali, perangkat
keras adalah media di mana data ada dan, oleh karena itu, tanpa perangkat keras tidak ada data untuk
diamankan, dan karenanya tidak perlu keamanan informasi  . Perangkat keras seperti itu sangat penting
bagi departemen seperti halnya data Selain peran perangkat hardware yang dipahami dengan baik di atas,
mungkin juga istimewa bagi perusahaan dalam bentuk prototipe perangkat baru, atau paten baru. Prototipe
adalah peluang bisnis baru yang dikejar oleh perusahaan sehingga perusahaan menjaga prototipe dengan
sangat hati-hati.  Untuk melindungi peluang komersial yang terkait dengan prototipe, rilis informasi apa
pun yang terkait dengan prototipe dilindungi oleh kontrak yang disebut Perjanjian Pengungkapan Non-
Pengungkapan (NDA). mengandung. sebagai aset tujuan umum, biasanya bentuk Kekayaan Intelektual.
Prototipe sering menjadi fondasi

Atribut pelacakan Apa yang harus direkam organisasi untuk aset perangkat keras?  Latihan ini adalah
fondasi bagi banyak kegiatan terkait keamanan lainnya, mulai dari perencanaan pemulihan bencana hingga
penilaian risiko.  Idealnya Anda ingin informasi selengkap mungkin sehingga jika perangkat tertentu
hilang, Anda dapat menggantinya dengan sedikit usaha. Tabel 5.1 adalah contoh pelacakan atribut untuk
PC / laptop.  Anda harus memperhatikan pada titik ini bahwa tabel sebenarnya mencakup lebih dari
sekedar deskripsi fisik mesin.  
• Biaya pembelian dan taksiran EOL - Biaya pembelian akan memberi Anda tolok ukur untuk
digunakan saat Anda mencari asuransi dan biaya penggantian jika terjadi kerugian.  Anda akan
membutuhkan sekitar $ 1.000 untuk mengganti peralatan ini. Estimasi EOL akan membantu Anda dalam
hal anggaran. Anda harus berencana mengganti laptop ini dalam waktu sekitar 3 tahun.  Pada saat itu,
Anda akan membutuhkan sekitar $ 1.000.  
•  Tanggal pengiriman aset dan produksi - Tanggal-tanggal ini akan memberi Anda sekilas tentang
seberapa efisien TI menyiapkan mesin untuk digunakan.  Ini termasuk instalasi OS dan aplikasi,
konfigurasi, dan pengiriman akhir ke pengguna akhir. Rentang waktu antara tanggal-tanggal ini dapat
meningkat pada akhir tahun fiskal, ketika secara tradisional departemen melakukan pembelian diskresioner
mereka.  Peningkatan abnormal dapat menunjukkan kompleksitas tambahan dalam proses atau kebutuhan
akan lebih banyak personel yang didedikasikan untuk persiapan komputer.

Tabel 5.1 Atribut pelacakan contoh Jenis Nomor Tag Laptop atau Pengidentifikasi Unik 6000-724872-001
Produsen Model ASUS # U46BAL5 Nomor Seri 7128347-JHF-B7 Alamat MAC 00-08-CA-84-40-79 Tag
Servis (jika berlaku) URG647 Deskripsi  Laptop 14 ", case perak CPU Core i7, 2,7 GHz Biaya Pembelian
$ 958,00 Pembelian / Sewa Tanggal 5/1/2012 Perkiraan Akhir Umur 3 Tahun Aset Disampaikan ke IT
5/15/2012 Tanggal Produksi 5/20/2012 Pengguna Utama Dr. Jane Davis Lokasi Gedung PHY, 475A
Terakhir Dilayani Oleh Elmer Livingstone Network jack PHY475A-B Tanggal Layanan 5/16/2012 Alasan
Pembuangan Alasan Pembuangan Panduan Khusus untuk Pembuangan (Kepatuhan) Laptop berisi data
penelitian yang dikendalikan oleh ekspor dan harus segera dihapus setelah diterima  oleh personel TI,
sesuai dengan pedoman DoD.

Tabel 5.1 Contoh Pelacakan Atribut 

Jenis Laptop
Nomor tag laptop atau 6000-724872-001
Pengidentifikasi Unik
Produsen ASUS
Model U46BAL5 
Nomor Seri 7128347-JHF-B7
Alamat MAC  00-08-CA-84-40-79
Tag Servis (jika berlaku) URG647 
Deskripsi Laptop 14 ", case perak
CPU Core i7, 2,7 GHz
Biaya Pembelian $ 958,00
Pembelian / Tanggal Sewa  5/1/2012 
Perkiraan Akhir Umur 3 Tahun
Aset Disampaikan ke IT 5/15/2012
Tanggal Produksi 5/20/2012
Pengguna Utama Dr. Jane Davis 
Lokasi Gedung PHY, 475A
Terakhir Dilayani oleh Elmer Livingstone  
Network jack PHY475A-B
Tanggal Layanan  5/16/2012 
Data Pembuangan
 Alasan Pembuangan
Panduan Khusus untuk Laptop berisi data penelitian yang dikendalikan oleh ekspor dan
Pembuangan (Kepatuhan) harus segera dihapus setelah diterima  oleh personel TI, sesuai
dengan pedoman DoD.

Anda mungkin telah memperhatikan bahwa "mesin bio" ini sebenarnya akan berguna untuk beberapa
departemen dalam IT, dan orang yang berbeda harus dapat menyumbangkan informasi.  Orang-orang
jaringan, misalnya, harus dapat memberi tahu Anda nomor jack mana kotak dicolokkan. Mereka juga
harus mengkonfirmasi lokasi fisik. Dukungan desktop harus dapat memperbarui tanggal layanan terakhir,
dan orang yang patuh dapat menggunakan tanggal tersebut untuk membuat daftar kapan komputer terakhir
diperiksa oleh personel TI.
Penemuan aset 
Mengelola aset melalui siklus hidupnya adalah standar emas.  Tetapi secara realistis mayoritas organisasi,
terutama organisasi kecil dan menengah, tidak memiliki prosedur formal untuk mengikuti aset perangkat
keras mereka melalui siklus hidup.  Server diganti ketika mereka rusak atau ketika mereka terlalu tua untuk
beroperasi dan kurangnya kinerja mereka mulai mempengaruhi bisnis. Di universitas, desktop diteruskan
dari anggota fakultas ke asisten administrasi.  Peralatan dibeli dengan uang hibah dan secara ajaib
"muncul" di jaringan suatu hari. Di sebagian besar departemen, tidak ada yang benar-benar tahu (1) aset
perangkat keras apa yang dimiliki departemen atau bahkan (2) di mana aset-aset ini berada.  Pemindaian
jaringan dapat digunakan untuk membuat daftar perangkat semacam itu. Sayangnya, pemindaian tidak
dapat diandalkan karena perangkat portabel mungkin tidak terhubung ke jaringan selama waktu
pemindaian. Bahkan beberapa pemindaian, dilakukan pada waktu yang berbeda, mungkin tidak
mengambil semua perangkat.  Untuk mengatasi masalah ini, banyak organisasi melembagakan kebijakan
yang membutuhkan peninjauan berkala terhadap semua peralatan yang diambil oleh karyawan di luar
lokasi.

Aset Perangkat Lunak

Aset perangkat lunak adalah alat perangkat lunak yang diperlukan untuk memanipulasi informasi
organisasi untuk menyelesaikan misi organisasi.  Aset perangkat lunak perlu dilindungi untuk memastikan
bahwa data dalam organisasi siap digunakan sehingga organisasi dapat mempertahankan tingkat
produktivitas yang tinggi.  Aset ini memiliki banyak aset perangkat lunak umum termasuk aplikasi
pengguna seperti Microsoft Office, aplikasi perusahaan seperti PeopleSoft (digunakan untuk memelihara
data personil), alat pengembangan, sistem pelacakan versi perangkat lunak, dan perangkat lunak terkait
keamanan.  Perlindungan aset perangkat lunak mencakup aktivitas seperti memastikan bahwa versi terbaru
perangkat lunak tersedia dan yang mengikat properti aset perangkat keras yang sama. versi perangkat
lunak yang tersedia kompatibel dengan versi perangkat keras yang digunakan dalam organisasi.   Aset
perangkat lunak umum biasanya dibeli. Aset perangkat lunak idiosinkratik biasanya adalah perangkat
lunak yang dikembangkan sendiri, baik untuk mendukung operasi lokal atau untuk dijual sebagai hasil dari
organisasi.

Aset hukum
Aset hukum terkait TI adalah pengaturan kontrak yang memandu penggunaan aset perangkat keras dan
perangkat lunak dalam organisasi.  Contoh dari aset tersebut termasuk perjanjian dukungan teknis, lisensi
perangkat lunak, sumber pendapatan, dan aliran pendanaan. Dalam aliran operasi sehari-hari, aset-aset ini
dapat dilupakan hingga menyebabkan gangguan.  Satu insiden terkenal yang menunjukkan pentingnya aset
TI legal terkait dengan Comair, anak perusahaan dari maskapai Delta. "Pada tahun 2004, maskapai ini
menggunakan sistem penjadwalan kru" 

Tabel 5.2 Contoh Aset

Aset Jenis Aset
Laptop Aset Perangkat Keras
Kelas Aset Informasi
John Doe - Analis Aset Personal
Keamanan 
Microsoft Office Suite Aset Perangkat Lunak
Microsoft Office Lisensi Aset Hukum

diakuisisi pada tahun 1986. Peraturan keselamatan penerbangan menetapkan pedoman ketat tentang jam
kru untuk memastikan kewaspadaan mereka dan sistem penjadwalan kru memastikan kepatuhan dengan
pedoman ini.  Lupa adalah fakta bahwa maskapai ini telah memperoleh lisensi untuk maksimum 32.000
perubahan dalam bulan tertentu. Musim dingin yang luar biasa ekstrem pada Desember 2004
menyebabkan maskapai ini mencapai batas itu untuk pertama kalinya pada Malam Natal.  Tanpa perangkat
lunak, maskapai tidak dapat beroperasi, meskipun semua pesawatnya berfungsi penuh. Insiden itu
menyebabkan lebih dari 200.000 pelanggan terlantar pada Natal 2004, kerugian $ 20 juta (dibandingkan
dengan laba $ 25 juta pada kuartal sebelumnya) dan kepergian CEO maskapai.  Yang harus dilakukan
untuk menghindari insiden itu adalah kesadaran akan batasan perizinan dan pembelian sejumlah lisensi
tambahan yang diperlukan. Insiden ini juga berfungsi sebagai subjek buku yang sangat mudah dibaca
tentang manajemen risiko TI. "

Identifikasi aset 
Sebuah contoh dari universitas yang khas Sekarang setelah kami menyebutkan kelas-kelas aset penting,
kami dapat beralih ke mengidentifikasi aset-aset ini di organisasi mana pun.  Aset umum lebih mudah
untuk diidentifikasi karena daftar tujuan umum dapat disusun untuk memerinci mereka. Aset idiosinkratik
lebih sulit dipahami karena identifikasi aset ini membutuhkan pengetahuan yang mendalam tentang
perusahaan dan industrinya.  Untuk mengatasi masalah ini, sebagian besar pedoman merekomendasikan
kombinasi pendekatan bottom-up dan top-down untuk mengidentifikasi aset. Mengidentifikasi apa yang
penting bagi organisasi dapat membantu menemukan aset istimewa bagi organisasi. Tabel 5.2 adalah
contoh dari beberapa aset representatif yang mungkin Anda temukan di universitas.

Karakterisasi Aset 
Sekarang setelah semua aset telah diidentifikasi, dengan sistem diprofilkan sehingga kami tahu
ketergantungannya, kami siap untuk mulai mengkarakterisasi aset tersebut.  Dua parameter yang
digunakan untuk mengkarakterisasi aset adalah sensitivitas dan kritikalitas. Karakterisasi aset membantu
kami mendedikasikan sumber daya secara tepat untuk melindungi aset.  Karakterisasi yang tidak efektif
dapat mengakibatkan investasi besar melindungi aset yang tidak signifikan, sementara membuat organisasi
rentan terhadap masalah umum.

Sensitivitas Aset
Sensitivitas menjelaskan seberapa besar kerusakan yang diakibatkan pelanggaran kerahasiaan atau
pelanggaran integritas suatu aset terhadap organisasi.  Kita dapat memeriksa sensitivitas berdasarkan

contoh berikut.

Semoga Anda memilih opsi 1. Bukan karena dia adalah anggota fakultas.  Jika seseorang yang tidak
berwenang mendapatkan akses ke penelitian Dr. Jameson, personel Angkatan Bersenjata AS tidak hanya
akan berpotensi membahayakan, universitas dapat menghadapi konsekuensi serius dalam hal hibah.  Dan
Dr. Jameson sendiri bisa masuk penjara. Sebenarnya sesuatu yang serupa terjadi dengan Prof. John Reece
Roth. Pada Juli 2009, Roth menerima hukuman penjara 4 tahun karena mengekspor teknologi militer
secara ilegal, sebagian besar karena pekerjaannya dengan mahasiswa pascasarjana dari Iran dan China.
"Ada pedoman berbeda dalam mengklasifikasikan sensitivitas aset. Beberapa organisasi menggunakan
skala  dari 0 hingga 5. Yang lain beralih dari rendah ke tinggi. Untuk tujuan buku ini, kami akan
menggunakan skema biner sederhana dan mengklasifikasikan aset dalam salah satu dari dua kategori:
dibatasi atau tidak dibatasi.

Aset terikat
Aset terikat adalah aset di mana pengungkapan atau perubahan akan memiliki konsekuensi yang
merugikan bagi organisasi.  Terserah organisasi untuk membuat penentuan di ambang pintu itu sendiri.
Beberapa konsekuensi mungkin dapat diterima jika dibandingkan dengan biaya yang diperlukan untuk
mengamankan aset.  Penentuan ini disebut penerimaan risiko dan akan dibahas lagi dalam bab-bab
selanjutnya. Ambil nilai Anda, misalnya. Nilai Anda adalah aset yang sangat terbatas untuk universitas
Anda. Bahkan orang tua Anda tidak boleh melihat mereka tanpa persetujuan Anda, bahkan jika mereka
membayar uang sekolah Anda secara penuh.  Itu tidak terjadi karena universitas adalah salah satu dari
orang baik. Universitas diharuskan untuk melindungi nilai Anda dan data lainnya untuk menjadi keluhan
terhadap Undang-Undang Pendidikan dan Hak Privasi Keluarga tahun 1974 ("FERPA"). FERPA adalah
apa yang dikenal sebagai undang-undang "Spending Clause": "Tidak ada dana yang akan dibuat  tersedia
di bawah program apa pun yang berlaku ... "kecuali jika persyaratan hukum dipenuhi." Kecuali jika
universitas mematuhinya, tidak ada dana federal yang akan dialokasikan ke universitas (termasuk bantuan
keuangan mahasiswa). Cukup banyak aset yang akan Anda temukan yang dianggap "dibatasi" disebabkan
oleh beberapa jenis kepatuhan. Beberapa contohnya adalah kepatuhan Industri Kartu Pembayaran (PCI),
pedoman yang dikeluarkan oleh bank untuk melindungi informasi kartu kredit, Undang-undang
Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPPA), dan Sarbanes-  Oxley Act (SOX), yang
menetapkan standar akuntansi baru atau yang ditingkatkan untuk semua dewan perusahaan publik AS,
manajemen, dan kantor akuntan publik. Ada juga aset lain yang dapat dianggap dibatasi sebagai masalah
pilihan oleh atau ganisasi. Laporan Karakterisasi Sistem, misalnya, menentukan dengan tepat sistem apa
yang organisasi anggap penting untuk operasi. Mereka juga dapat menunjukkan kerentanan yang dapat
dieksploitasi seseorang untuk mendapatkan akses ke sistem (ingat saluran yang tidak aman pada email?).
Jadi, Karakterisasi Sistem harus dianggap dibatasi.  Contoh lain dapat mencakup gaji personel, spreadsheet
anggaran, laporan audit internal, dan lainnya.

Aset tidak terikat 

 Aset tidak terikat adalah aset yang tidak diklasifikasikan sebagai dibatasi.  Ini adalah data
yang, jika dibocorkan atau dilihat oleh seseorang, tidak akan menimbulkan masalah bagi
organisasi.

Kami melihat bahwa nilai Anda dianggap informasi terbatas.  Sebaliknya, universitas Anda juga memiliki
sesuatu yang disebut Informasi Direktori, yaitu informasi tentang Anda yang dapat diposting secara
publik.  Biasanya, informasi berikut dianggap Informasi Direktori dan, oleh karena itu, data tidak terbatas:
Nama Mahasiswa, Alamat dan Telepon Lokal, Alamat Permanen dan Telepon, Alamat Email, Tempat
Lahir, Bidang Studi Utama, Tanggal Kehadiran, Pendaftaran Penuh atau Paruh Waktu  Status, Tahun di
Sekolah (Kelas), Gelar (S) Diterima, Penghargaan Gramedia dan Penghargaan Diterima, Institusi
Pendidikan Lainnya Dihadiri, Gambar Visual, Berat dan Tinggi Anggota Tim Atletik. Jika Anda terkejut
dan bertanya-tanya apa yang universitas Anda anggap sebagai Informasi Direktori, lihatlah.  Universitas
juga diharuskan menyediakan mekanisme untuk mengubah data Anda yang tidak terbatas menjadi data
yang dibatasi. Biasanya ada formulir privasi yang bisa Anda isi dengan Kantor Panitera yang
memungkinkan Anda menjaga universitas agar tidak bisa melepaskan, misalnya, alamat Anda. Informasi
yang diposting di situs web publik biasanya adalah informasi yang tidak dibatasi.  Aset informasi
pemasaran, katalog kelas universitas, dan fakta nutrisi pada makanan atau minuman juga merupakan
contoh.

Aset Kritis 
Aset kritis adalah ukuran dari pentingnya suatu aset untuk kelangsungan hidup organisasi.  Tingkat
kekritisan suatu aset biasanya terkait dengan ketersediaan aset dalam prinsip keamanan CIA.  Criticality
mengajukan pertanyaan: berapa lama organisasi saya bisa bertahan tanpa sumber daya ini? Semakin kritis
suatu aset, semakin besar ukuran yang harus diambil organisasi untuk memastikan aset itu berlebihan,
didukung, dan dilindungi dari kegagalan.  Ketika mencoba menentukan tingkat kekritisan suatu aset, Anda
akan menemukan bahwa itu sebagian besar berada di mata yang melihatnya. Ini akan bervariasi dari
departemen ke departemen dalam organisasi Anda, terutama ketika aset hanya dirasakan memiliki manfaat
bagi organisasi mereka sendiri.  Beberapa aset jelas melayani seluruh perusahaan dan sering disebut
sebagai Sistem Bisnis Perusahaan (EBS). Misalnya, sistem yang menangani fungsi SDM dan penggajian
biasanya dianggap sistem EBS. Di lingkungan universitas, sistem yang menangani nilai siswa dianggap
sebagai EBS. Namun, sistem email yang hanya menangani Fakultas Kedokteran tidak akan dianggap EBS,
karena hanya berfungsi dengan perguruan tinggi itu.  Namun, ini penting untuk operasi College of
Medicine. Sistem EBS umumnya dianggap kritis, sedangkan sistem non-EBS tidak.

Berbagai kelas kritikalitas didefinisikan dalam industri.  Sistem klasifikasi dasar mengkategorikan aset
sebagai hakiki, wajib, dan ditangguhkan.

Aset penting 
Suatu aset harus dianggap penting jika kehilangan ketersediaan akan menyebabkan dampak langsung yang
segera bagi organisasi.  Ini menyiratkan bahwa organisasi perlu menentukan definisi parah. Sejauh
durasinya, aset penting akan terlewatkan bahkan jika ketidakhadirannya hanya berlangsung dalam waktu
singkat.  Ambil roda di roda sangat penting. Ledakan bisa menyebabkan bencana besar bagi Anda dan
penumpang Anda. Contoh lain mungkin termasuk sistem pembelian untuk vendor berbasis web, daya
listrik untuk rumah sakit, dan sekoci untuk Titanic.  Salah satu kelemahan umum dalam keamanan
informasi adalah bahwa aset-aset penting terkadang tidak baik, misalnya. Jika Anda mengendarai mobil di
jalan raya, terlindung dengan baik dan ketersediaannya sering dianggap biasa. Kami akan meninjau
masalah ini lebih lanjut ketika kita membahas Disaster Recovery di Bab 11.

Aset yang diperlukan 

Suatu aset dianggap diperlukan ketika itu penting bagi organisasi tetapi organisasi akan
dapat terus beroperasi untuk jangka waktu tertentu bahkan jika aset tidak tersedia.
Mari kita pikirkan analogi mobil kita lagi.  Ini juga akan menggambarkan ketergantungan waktu dari
tingkat kekritisan.  Roda jelas dianggap penting jika Anda berkendara di jalan. Tetapi bagaimana jika
Anda sampai di rumah dan kemudian di malam hari menemukan bahwa Anda memiliki apartemen?  Pada
saat itu, dengan anggapan Anda tidak memiliki tempat lain untuk pergi, roda dapat dianggap sebagai aset
penting: mereka penting tetapi tidak kritis. Mereka mungkin lagi kritis pada hari berikutnya ketika Anda
harus pergi bekerja, tetapi sampai saat itu Anda memiliki kesempatan untuk memperbaiki masalahnya. 
Salah satu cara untuk memperbaiki hal-hal adalah dengan mengaktifkan rencana Disaster Recovery Anda:
dapatkan dongkrak, pasang ban cadangan, dan ambil yang buruk untuk diperbaiki. Waktu Henti: sekitar
20 menit.

Aset yang dapat ditangguhkan 

Aset yang dapat ditangguhkan adalah aset yang diperlukan untuk operasi organisasi yang optimal tetapi
kehilangan ketersediaan tidak akan menyebabkan masalah besar bagi organisasi dalam waktu dekat.  Jika
suatu aset dideskripsikan dalam istilah yang mirip dengan "baik, pada akhirnya kami ingin memilikinya
kembali tetapi kami dapat melakukannya tanpa untuk saat ini," Anda tahu bahwa aset tersebut adalah aset
yang dapat ditangguhkan.  Aset-aset ini adalah barang-barang yang mungkin membuat organisasi berjalan
lebih lancar, lebih efisien, tetapi dapat dibangun kembali jika diperlukan. Ambil sesuatu yang sederhana,
seperti pena yang Anda gunakan di kelas. Jika Anda kehilangan pulpen, Anda mungkin kesulitan mencatat
di kelas ini, tetapi Anda bisa menemukan pensil di tas ransel Anda dan itu juga bisa digunakan.  Ini satu
lagi. Bayangkan Anda memiliki dafter 10-item pekerjaan rumah di sekitar. Salah satunya adalah
membersihkan kamar Anda. Tetapi untuk melakukan itu Anda harus menggunakan ruang hampa udara,
tetapi saudara perempuan Anda saat ini menyedot debu kamarnya. Tentu saja Anda selalu menjadi aset
jika Anda menganggapnya diperlukan saat ini. Atau Anda bisa melakukan tugas-tugas lain terlebih dahulu
dan menunda kebutuhan untuk aset ini saat ini dengan harapan bahwa dia akan selesai pada saat Anda
selesai.  Aset yang dapat ditangguhkan juga merupakan aset informasi yang dapat dibuat kembali tanpa
dampak besar. Profesor Anda menulis nilai Anda di selembar kertas sebelum memasukkannya di Sistem
Informasi Mahasiswa universitas Anda. Jika komputer yang dia gunakan tiba-tiba crash dan dia
kehilangan data yang dia masukkan, jangan khawatir. Dia masih memiliki selembar kertas itu dan dapat
memasukkan kembali data yang hilang. opsi untuk pergi dan melakukan pengambilalihan bermusuhan

Unsur-unsur karakterisasi aset ditunjukkan pada Gambar 5.2.  Tabel 5.3 membangun contoh aset dengan
mengkarakterisasi aset tersebut.  Beberapa definisi jelas. Yang lain membutuhkan sedikit lebih banyak
pemikiran dan mungkin bahkan negosiasi dalam organisasi.  Ambil MS Office Suite, misalnya. Perangkat
lunak itu sendiri, DVD dengan aplikasi, dapat dianggap sebagai aset tidak dibatasi karena untuk
menjalankan aplikasi, Anda memerlukan Kunci Produk.  Selama Kunci Produk dibatasi, MS Office Suite
dapat dianggap Tidak Terbatas. Ini melengkapi esensi dari identifikasi dan karakterisasi aset. Namun,
dalam praktiknya, latihan dalam identifikasi dan klasifikasi aset mengharuskan analis untuk
menyadarinya. 

Gambar 5.2 Unsur-unsur karakterisasi aset

Tabel 5.3 Karakterisasi Contoh Aset dari Prespektif Universitas

Aset Jenis Aset Sensitivitas Aset Kekritisan Aset
Laptop Fakultas Aset Perangkat Keras Terikat Wajib
Nilai Siswa Aset Informasi Terikat Penting (Tergantung waktu)
Posisi Analis Personil Aset Personil Terikat Wajib
Microsoft Office Suite Aset Perangkat Lunak Tidak Terikat Ditangguhkan
Microsoft Office Aset Keuangan Tidak Terikat Wajib
License 

lingkungan di mana aset beroperasi.  Lingkungan dapat dicirikan sepanjang empat dimensi tahap siklus
hidup, ketergantungan sistem, kepemilikan, dan tanggung jawab.  Kasus prototipe adalah ketika suatu
departemen mempertimbangkan pembelian aset TI dengan anggarannya sendiri. Orang-orang yang
memutuskan pembelian kemungkinan adalah orang-orang bisnis, dengan kesadaran terbatas tentang
dampak pembelian pada sistem TI lainnya.  Sebagai analis keamanan informasi dengan kesadaran akan
siklus hidup aset, ketergantungan sistem, kepemilikan, dan tanggung jawab, Anda dapat diposisikan lebih
baik untuk memandu pengenalan aset ke dalam organisasi. Kami membahas masalah ini di bagian
selanjutnya dari bab ini. 

Siklus hidup aset TI dan identifikasi aset 

Aset memiliki umur panjang.  Selama masa pakai mereka yang dapat digunakan, aset melewati banyak
tahap.  Sementara sebagian besar diskusi tentang keamanan informasi berputar di sekitar aset dalam
penggunaan operasional, identifikasi aset memerlukan pengawasan aset dalam semua tahap siklus hidup
untuk meminimalkan kemungkinan masalah keamanan yang timbul dari penggunaan aset.  Bagian ini
memperkenalkan siklus hidup aset dan memberikan contoh potensi bahaya yang timbul dari pengawasan
pada setiap tahap siklus hidup aset. Gambar 5.3 menunjukkan siklus hidup aset TI generik. Dalam
industri, pengelolaan aset TI selama siklus hidup mereka disebut IT Asset Life Cycle Management
(ITALM).  Siklus hidup aset TI pada Gambar 5.3 menunjukkan tahapan tingkat tinggi dari suatu aset. Ini
mencakup tahapan berikut: perencanaan, akuisisi, penyebaran, manajemen, dan pensiun.

Tahap perencanaan
Aset tidak hanya "muncul" dalam bisnis. Mereka biasanya diperoleh untuk tujuan tertentu, menjawab
persyaratan, proyek, atau inisiatif. Misalnya, ketika seorang karyawan baru dipekerjakan, orang akan
membayangkan bahwa  Langkah pertama adalah perubahan dalam lingkungan kerja dalam beberapa
bentuk, baik peningkatan beban pada personel yang ada yang melakukan tugas, atau kebutuhan untuk
melacak dan mempertahankan kepatuhan dengan undang-undang baru, atau pembukaan produk baru.  juga
akan dipertimbangkan pada tahap ini.

Gambar 5.3 Siklus Hidup Aset TI Generik

Tahap perencanaan juga merupakan waktu terbaik untuk mengevaluasi proses organisasi untuk mencoba
meningkatkan aset baru untuk membantu berbagai inisiatif.  Misalnya, latihan perencanaan dapat dimulai
untuk memperoleh perangkat lunak yang akan mengenkripsi data dalam database. Kekuatan pendorong
untuk memperoleh aset mungkin adalah kebutuhan untuk kepatuhan di tingkat negara bagian, dengan
undang-undang yang mensyaratkan Nomor Jaminan Sosial dienkripsi setiap kali disimpan dalam Sistem
Informasi Siswa.  Namun, dengan perencanaan yang tepat, lisensi perangkat lunak yang sama juga dapat
mencakup nomor kartu kredit yang disimpan oleh toko komputer lokal, atau salinan pengembalian pajak
yang disimpan oleh Financial Aid. Mungkin contoh paling terkenal dari pengawasan pada tahap
perencanaan terkait dengan kurangnya fitur keamanan yang dibangun ke Internet.  Dalam tahap
perencanaan, tidak ada yang mengantisipasi sejauh mana teknologi akan digunakan untuk transaksi
komersial di seluruh dunia. Perencana terutama berkaitan dengan pengiriman data yang dapat diandalkan.
Kelalaian ini bertanggung jawab setidaknya sebagian untuk masalah keamanan yang kita hadapi saat ini di
Internet. Contoh menarik lainnya dari pengawasan pada tahap perencanaan terkait dengan kurangnya fitur
keamanan pada Windows 95. Teknologi ini dikembangkan untuk membantu pengguna berkomunikasi
melalui jaringan kecil di lingkungan yang terkontrol, mis., Di dalam rumah dan kantor kecil.  Fokusnya
adalah pada kenyamanan pengguna. Tidak ada yang mengantisipasi adopsi Intemet secara luas dan
penggunaan Windows 95 untuk mengakses Intermet. Tanpa perlindungan, PC ini menjadi target siap bagi
penyerang. Bahkan, setidaknya beberapa ahli keamanan percaya bahwa industri keamanan informasi
berutang keberadaannya dengan penyebaran luas komputer Windows 95 yang tidak aman pada Intermet
yang sama-sama tidak aman. (EOL) selama fase perencanaan juga. Apa yang akan terjadi pada aset ketika
mencapai EOL untuk proyek tertentu? Apakah organisasi dapat menggunakannya kembali untuk proyek
lain? Misalnya, perancang permainan dapat ditugaskan ke asisten administrasi  setelah satu tahun,
meningkatkan masa pakai keseluruhan aset untuk perusahaan. atau penggantian stasiun kerja yang
digunakan untuk pengembangan game 3D yang awalnya didedikasikan untuk perancang permainan dapat
ditugaskan ke asisten administrasi setelah satu tahun, meningkatkan masa pakai keseluruhan aset untuk
perusahaan.
Tahap akuisisi 
Setelah tahap perencanaan, akuisisi aset.  Perhatian utama selama tahap ini terkait dengan kelayakan
vendor, kepatuhan terhadap peraturan dan prosedur organisasi internal, dan kelayakan operasional aset dan
etika.  Ini dapat melibatkan berbagai metode dan potensi komplikasi. Sebagian besar perusahaan
memerlukan serangkaian persetujuan untuk memastikan bahwa aset baru memenuhi persyaratan ini. 
Beberapa prosedur yang digunakan dalam fase siklus hidup aset ini meliputi:

• Undangan Negosiasi (ITN) ITN adalah pernyataan yang dikeluarkan oleh perusahaan yang menunjukkan
kesediaan untuk melihat ke dalam suatu produk atau layanan.  Iklan, misalnya, dianggap sebagai ITN.
Perusahaan memiliki produk dan bersedia menjual produk itu dengan harga tertentu. Tetap keberatan
bahwa respons terhadap ITN berbeda dari penawaran aktual dan tidak akan pernah, dengan sendirinya,
mengarah pada kontrak.  ITNS sering digunakan oleh lembaga pemerintah ketika kriteria pembelian lebih
dari sekedar harga rendah saja.  

• Permintaan Proposal (RFP) - RFP dikeluarkan ketika tujuan dari suatu inisiatif atau proyek diketahui,
tetapi perusahaan tidak benar-benar peduli tentang bagaimana mereka dilakukan.  Mungkin ada beberapa
metode yang dapat digunakan untuk menyelesaikan tugas dan perusahaan akan mempertimbangkan semua
opsi yang tersedia. Instruksi terperinci mengidentifikasi elemen-elemen informasi yang akan disampaikan
untuk tujuan evaluasi.  Sebuah RFP biasanya akan berisi deskripsi tentang perusahaan yang mengeluarkan
RFP, menjelaskan kondisi saat ini, proyek, atau tantangan yang dihadapi organisasi, tata letak anggaran
dan kerangka waktu, dan serangkaian pertanyaan terbuka untuk dijawab oleh vendor.
• Undangan Menawar (ITB) ITB digunakan ketika persyaratan untuk pembelian aset atau layanan
didefinisikan dengan sangat baik dan spesifik.  Undangan untuk penawaran umumnya disusun sedemikian
rupa sehingga responden memberikan dokumentasi minimal untuk mendukung kualifikasi mereka untuk
menyediakan barang atau jasa.  Contoh dokumentasi yang diperlukan dapat mencakup lisensi, izin,
asuransi, bukti persetujuan dari sumber produk, referensi, peralatan yang tersedia, tahun, dan pengalaman
melakukan layanan yang dicari.  Setelah responden telah lulus tes persyaratan minimum, penghargaan
tersebut direkomendasikan kepada responden dengan tawaran terendah.

Tahap Deploying (Penggelaran)

Deploying adalah tahap di mana aset tersedia untuk karyawan organisasi.  Perhatian utama pada tahap ini
melibatkan kompatibilitas aset baru dengan aset organisasi yang ada, integrasi dengan sistem organisasi
lain, menghindari kehilangan data, dan meminimalkan downtime.  Kompleksitas penyebaran aset baru
akan sangat bervariasi dari aset ke aset. Salah satu pembeda utama adalah apakah aset tersebut merupakan
produk baru, perangkat lunak, atau inisiatif versus pembaruan ke yang sudah ada.  Contoh penerapan
sederhana akan melibatkan penyebaran komputer desktop baru ke anggota staf. Meskipun ini tampak
sederhana, mari kita pikirkan situasi ini sebentar. Untuk menyederhanakan perawatan, sebagian besar
organisasi memiliki persyaratan minimum untuk alat berat baru, baik itu diterbitkan atau tidak.  Desktop
akan dilisensikan dengan versi spesifik dari sistem operasi, katakanlah, Windows 7 Home, tetapi
organisasi tersebut berlisensi dan mendukung Windows 7 Professional. Jadi, sebelum melakukan hal lain,
komputer harus dihapus dan sistem operasi diinstal ulang. Selanjutnya kita akan menginstal aplikasi
seperti Microsoft Office dan Adobe Acrobat.  Jika ada domain Direktori Aktif, komputer akan
memilikinya untuk bergabung dengan domain. Sumber daya seperti drive bersama dan printer disediakan
untuk mesin baru. Karena ini adalah kelas keamanan, kami juga harus menyebutkan bahwa perangkat
lunak antivirus akan menjadi salah satu prioritas utama. Pastikan perangkat lunak AV diinstal dan
diperbarui sebelum menyerahkannya kepada pengguna akhir.  Untuk meminimalkan waktu henti pengguna
karena peningkatan (ingat triad CIA, kerahasiaan, integritas, dan ketersediaan), langkah terakhir adalah
mentransfer file data, termasuk gambar dan bookmark, ke mesin baru. Selama waktu ini, pengguna tidak
akan dapat bekerja di komputer mana pun, lama atau baru. Saklar mungkin harus dijadwalkan setelah jam
untuk mengurangi dampak, atau jika pengguna cukup tinggi pada rantai makanan sehingga gangguan tidak
terlihat dalam cahaya yang menguntungkan.  Apakah kita sudah selesai? Tidak juga. Penempatan tidak
boleh dianggap lengkap sampai pengguna akhir memiliki kesempatan untuk duduk dan menguji mesin
baru. Tahap ini dikenal sebagai Tes Penerimaan Pengguna atau UAT. Aplikasi yang hilang harus diinstal.
Akses baca dan tulis ke drive bersama dikonfirmasi. Hanya setelah fase penempatan selesai.
Ini adalah contoh penyebaran sederhana.  Sehubungan dengan contoh ini, pertimbangkan penyebaran
sistem SCADA (Pengawasan Kontrol dan Akuisisi Data) baru untuk mengendalikan pembangkit listrik
tenaga air.  Meskipun sangat kompleks dan tampaknya menakutkan, tugasnya sangat mirip. Jika bekerja
untuk perusahaan yang menjual sistem SCADA, insinyur yang akan bekerja dengan sistem adalah
pengguna Anda.  Menjaga lampu menyala di rumah orang adalah tujuan Anda, memasang sistem baru
dengan dampak minimal bagi pengguna utilitas rumah. Demi kesederhanaan, kita dapat mengasumsikan
bahwa pabrik memiliki sistem yang sepenuhnya berlebihan yang dapat dibawa online saat pekerjaan
dilakukan pada sistem produksi.  Akhirnya, pengujian akan sangat penting. Apakah kontrol berfungsi
seperti yang dirancang? Apakah ada mekanisme gagal-aman untuk menghindari kegagalan besar?
Apakah tes operasional, mur dan baut sistem, berjalan tanpa kegagalan? Apakah tes fungsional juga
berhasil?

Tahap Mengelola
Mengelola adalah tahap di mana aset digunakan.  Setelah aset digunakan, penting untuk memastikan
bahwa aset tersebut tidak memperkenalkan kerentanan baru ke dalam organisasi.  Sebagai permulaan, mari
kita mulai dari yang kecil dan fokus pada desktop yang baru saja diinstal. Anggota staf itu benar-benar
senang dengan kinerja layanan desktop TI, berjabat tangan, dan karyawan itu mengatakan hal yang biasa
"jika Anda memiliki masalah, teleponlah help desk dan kami akan datang memeriksanya" dan pindah ke 
tantangan selanjutnya. Meskipun dukungan tatap muka mungkin telah berakhir untuk saat ini, ada banyak
hal yang terjadi di latar belakang yang sering kali tidak terlihat oleh pengguna. Satu hal yang ingin kami
lakukan adalah memastikan kami melacak di mana desktop dikerahkan, siapa pengguna utama, jika ada,
dan alamat MAC perangkat baru (sehingga kami dapat melacaknya di jaringan).  Ini membantu pelacakan
aset, yang akan dibahas nanti dalam bab ini. Ada banyak cara untuk melakukan ini, dari spreadsheet
sederhana untuk organisasi kecil hingga perangkat lunak pelacakan otomatis besar yang biasanya
digunakan bersama mesin. Dari perspektif keamanan, ada satu elemen kunci yang harus dilakukan secara
berkala untuk menjaga desktop dan lingkungan komputasi organisasi tetap aman: tambalan dan pembaruan
keamanan.  Kita akan membahas ini secara panjang lebar di bab-bab selanjutnya, tetapi untuk saat ini
sudah cukup untuk mengatakan bahwa sistem operasi, aplikasi, dan tanda tangan antivirus harus ditambal.
Realitas yang keras bagi banyak aset TI adalah bahwa, meskipun mereka awalnya telah direncanakan
untuk memiliki Akhir Kehidupan, katakanlah, 3 tahun, kendala anggaran akan mengarah pada
perpanjangan kehidupan itu dalam organisasi. Lebih sering daripada tidak, prinsip "jika tidak rusak jangan
perbaiki" prinsip ini berlaku untuk aset dan organisasi ini menemukan diri mereka mengelola perangkat
yang sangat usang. Terutama dalam situasi ini, penting untuk mengikuti kontrak perangkat lunak dan
pemeliharaan perangkat keras  selama mungkin. Ini akan datang saat di mana biaya pemeliharaan akan
lebih besar daripada biaya perangkat baru. Itu adalah titik yang jelas untuk memperingatkan manajemen
dan menarik perangkat lama yang sudah ada untuk yang baru.
Tahap pensiun 
Masa pensiun adalah tahap ketika aset yang tidak lagi berkontribusi pada misi organisasi dihapus dari
penggunaan.  "Pensiun" tidak selalu terjadi karena sesuatu sudah usang. Alasan umum untuk pensiun
adalah ketika menjadi lebih murah untuk menghapus aset daripada terus menggunakannya. Kemungkinan
lain adalah pemanfaatan aset yang lebih baru, lebih baik, dengan fitur yang ditingkatkan.  kekhawatiran
dalam tahap pensiun adalah perlindungan terhadap kekayaan intelektual organisasi dan kinerja tugas
fidusia. Peralatan yang sudah pensiun biasanya akan berisi data dan beberapa di antaranya dapat dibatasi.
Penting untuk memastikan bahwa data tersebut tidak dapat dipulihkan dari peralatan yang sudah pensiun.  ,
desktop yang digunakan di sebuah perguruan tinggi akan mencapai titik di mana ia tidak lagi dapat
memberikan tingkat layanan minimum yang dekan dan siswa menganggap "memadai." Desktop ini
kemudian perlu pensiun. Selama penyebarannya, pengguna kemungkinan telah mencatat data siswa, kartu
kredit, dan data sensitif lainnya pada mesin.Sebagai bagian dari pensiunnya, semua data tersebut harus
dihapus bersih.  ters, kita akan membahas pembuangan peralatan. Donasi selalu menjadi pilihan. Pastikan
disk dibersihkan sebelum menyumbangkan peralatan apa pun. Jika perusahaan Anda memiliki kontrak
dengan perusahaan lain untuk pembuangan material, pastikan ada klausul privasi pada kontrak dan jaminan
bahwa perangkat yang berisi data akan dihancurkan dengan semestinya, dan tidak hanya digunakan
kembali atau dibuang di tempat pembuangan sampah.

Ambil contoh yang dibahas di Bab 2. Sunshine University berencana untuk mengganti sistem email siswa
yang ada dengan sistem berbasis cloud yang baru yang menawarkan stabilitas, redundansi, dan fitur baru
kepada komunitas pengguna, sementara pada saat yang sama memungkinkan Sunshine untuk  mengubah
kembali aset personelnya menjadi cara baru lain untuk mendukung misinya. Nanti kita juga akan
membahas dampak potensial dari kelanjutan penggunaan peralatan EOL di universitas dan menganalisis
risiko versus manfaat dari dukungan tersebut.
Pembuatan Profil Sistem
Dalam contoh sebelumnya kami melihat aset secara terpisah: laptop, server, dan kumpulan data tertentu. 
Ini dilakukan untuk kesederhanaan selama pengantar topik. Namun, ketika mengevaluasi kekritisan dan
sensitivitas dalam praktiknya, perlu untuk melihat aset dalam konteks sistem di mana mereka digunakan. 
Aset yang dapat dianggap "penting" dalam isolasi dapat diklasifikasikan sebagai "wajib" dalam praktik jika
organisasi telah berinvestasi secara memadai dalam redundansi. Demikian pula, aset yang dapat dianggap
"ditangguhkan" dalam isolasi mungkin sebenarnya "penting" ketika dilihat dalam konteks sistem (lisensi
untuk sistem penjadwalan dalam saluran udara misalnya). Atau, kumpulan aset individu  bahwa dengan
sendirinya dapat dianggap "ditangguhkan" dapat datang bersama-sama untuk membentuk sistem yang
"kritis." Bagian ini memberikan pengantar singkat untuk profil sistem.Profil sistem sedikit lebih kompleks
daripada inventaris sederhana komputer. Mengidentifikasi semua komponen dari suatu sistem dan
ketergantungan di antara mereka mungkin sama seperti seni seperti sains.Profilisasi sistem adalah tindakan
mengumpulkan semua aset yang diinventarisasi, mengelompokkannya berdasarkan fungsi, dan memahami
ketergantungan antara aset-aset ini. Hal ini menciptakan gambaran besar  dari sistem atau proses tertentu.
Menurut Institut Standar Nasional dan pedoman Teknologi untuk manajemen risiko TI, NIST SP800-30
Panduan Manajemen Risiko untuk Sistem TI, " Untuk membentuk profil sistem, organisasi akan
menyediakan perangkat keras, perangkat lunak, antarmuka sistem, data, personel, dan misi sistem.
Sebagai hasilnya, batasan sistem akan didefinisikan dengan jelas, bersama dengan fungsi, kekritisan, dan
sensitivitas. Pikirkan lagi tentang lingkungan universitas Anda, dan beberapa sistem TI yang dimiliki
universitas untuk menjalankan sisi akademik dan bisnis dari pembelajaran

Gambar 5.4 Sistem Informasi Siswa

lingkungan Hidup.  Salah satu sistem inti adalah Sistem Informasi Siswa (SIS), ditunjukkan pada tingkat
tinggi pada Gambar 5.4.

Sistem Informasi Siswa 

SIS melakukan apa yang tersirat dari namanya: SIS menyimpan informasi siswa seperti bantuan keuangan,
nilai, alamat, nomor jaminan sosial, data saran, dan jadwal kelas.  Ini adalah bagian penting dari operasi
universitas. Gambar 5.4 memberi kita contoh seperti apa sistem SIS biasanya. Siswa melihat informasi
mereka menggunakan antarmuka browser web.  Penasihat, profesor, dan administrator lainnya memiliki
pandangan yang lebih dalam tentang data, seringkali menggunakan antarmuka desktop. Mengikuti SP800-
30, kita dapat mengkarakterisasi sistem dengan cara berikut.  Perangkat keras 
Server web siswa berlebih menangani server antarmuka siswa.  Setiap server sendiri adalah aset yang
berbeda: mereka bisa gagal dan yang akan dilihat pengguna akhir adalah kinerja yang baik, sedikit
keterlambatan dalam memuat halaman.  Namun, bersama-sama, mereka menjadi wajib: jika mereka
kehilangan koneksi dengan Internet, siswa mungkin tidak dapat mengaksesnya. Selama periode
pendaftaran, mereka menjadi penting: jika mereka semua entah bagaimana kehilangan koneksi jaringan
mereka, tidak ada yang bisa mendaftar.  Analisis serupa dapat dilakukan pada semua elemen sistem,
bahkan memisahkannya menjadi subsistem dengan tingkat kritis dan sensitivitas yang berbeda.
Perangkat lunak 
SIS biasanya merupakan salah satu sistem yang terlalu rumit untuk dikembangkan sendiri.  Ada sistem
komersial dan open source yang tersedia, seperti Banner Ellucian dan OpenSIS. Aplikasi ini memiliki
banyak bagian yang kompleks dan seringkali menyertakan backend basis data di mana semua informasi
disimpan.  Antarmuka siswa biasanya berbasis web, tetapi antarmuka fakultas / staf juga dapat memiliki
klien yang berdedikasi. Biasanya, semua perangkat lunak dan lisensi terkait akan dianggap sebagai aset
penting.

Data 
Jenis data apa yang akan disimpan dalam SIS?  Beberapa dari mereka menonjol dan harus diperlakukan
sebagai data terbatas: nilai dan nomor jaminan sosial.  Kelas adalah informasi non-direktori yang
dilindungi oleh FERPA, seperti yang terlihat sebelumnya dalam bab ini.  SSNS juga dilindungi oleh
FERPA selain peraturan Negara Bagian dan Federal lainnya, bersama dengan Informasi Identifikasi
Pribadi (PII) lainnya.  Secara keseluruhan, karena jenis data yang dikandungnya, sistem SIS
diklasifikasikan sebagai terbatas.

Sistem Antarmuka 
Antarmuka menentukan cara data dimasukkan dan diekstraksi dari sistem.  Pertimbangkan input berikut: 
• Penerimaan: bagaimana siswa diterima di universitas?  
• Pelamar: apakah ada antarmuka terpisah yang digunakan untuk pelamar?  
• Bantuan keuangan: apakah ada persyaratan pelaporan tentang bantuan keuangan?  Pertimbangan pajak?  
• Beasiswa: bagaimana beasiswa diberikan dan dilaporkan.  
• Kepatuhan: apakah ada persyaratan untuk melaporkan jumlah siswa, IPK rata-rata, atau jenis informasi
lainnya ke Departemen Pendidikan?  
• Kelas: bagaimana nilai dimasukkan?  Secara manual? Secara otomatis dari Sistem Manajemen Miring?  
• Kelas: bagaimana cara menambahkan / menjatuhkan dikomunikasikan ke LMS sehingga memiliki
informasi terkini tentang siapa yang terdaftar dan berwenang untuk mengakses kelas mana?  
Semua antarmuka ini berisi data yang dipertukarkan antara SIS dan sistem lain.  Jika data dianggap
terbatas, maka pertukaran ini, atau setidaknya data yang dibatasi, harus dienkripsi.  Kredensial untuk
mengakses sistem harus dilindungi, terutama yang memiliki akses pribadi.

Dengan cara ini, tujuan dari pembuatan profil sistem adalah untuk menggambarkan sistem dengan semua
ketergantungannya sehingga kita dapat membuat keputusan tentang apa yang harus diubah (misalnya,
akses pengguna melalui cara yang tidak aman), menentukan titik kegagalan tunggal, dan lainnya. 
keprihatinan.

Kepemilikan aset dan tanggung jawab operasional 

Ingat sejak awal bab ini bahwa tujuan identifikasi dan klasifikasi aset adalah untuk secara proaktif
mengumpulkan semua informasi yang diperlukan tentang aset organisasi yang dapat berguna dalam
menanggapi ancaman yang mempengaruhi aset itu.  Sejauh ini, kami telah mengumpulkan semua
informasi teknis yang diperlukan untuk tujuan ini apa aset (identifikasi aset), dan seberapa penting aset ini
(karakterisasi aset). Tetapi kami telah melewatkan elemen penting dalam merespons ancaman yang
dihadapi aset - siapa yang harus menanggapi ancaman spesifik yang dihadapi aset?  Untuk alasan ini,
sebagai bagian dari karakterisasi suatu aset, penting juga untuk menentukan tanggung jawab individu atas
aset tersebut. Di jaringan rumah Anda, ini sederhana - Anda bertanggung jawab untuk semua yang ada di
rumah Anda dan ISP Anda bertanggung jawab atas apa pun yang terjadi dengan koneksi Anda ke ISP.
Namun, dalam jaringan perusahaan, ini lebih kompleks.  Ada dua masalah khusus yang cenderung Anda
temui. Yang pertama adalah bahwa orang atau unit yang berbeda cenderung bertanggung jawab atas
berbagai fungsi terkait dengan suatu aset. Yang kedua adalah bahwa terlepas dari upaya terbaik Anda,
Anda tidak mungkin dapat mengantisipasi segala sesuatu yang bisa salah dengan aset. Tanggung jawab
operasional adalah tanggung jawab individu atau entitas untuk fungsi tertentu yang terkait dengan
penggunaan aset.  
     Tanggung jawab operasional memperjelas peran anggota organisasi untuk semua fungsi yang
didefinisikan dengan baik terkait dengan aset.  Pemilik aset adalah individu atau unit dengan tanggung
jawab operasional untuk semua fungsi tak terduga yang terlibat dalam pengamanan aset.  
Anda mungkin memperhatikan bahwa definisi pemilik aset di atas tidak merujuk pada entitas yang
membayar pembelian aset tersebut.  Ini karena meskipun kontribusi anggaran dan kepemilikan aset
kadang-kadang dapat dibagi, mereka juga dapat dipisahkan. Ini dapat diklarifikasi dari contoh di bawah
ini.

Seharusnya jelas dari contoh bahwa sementara departemen membayar untuk aset, penanggung jawab
memiliki tanggung jawab operasional untuk semua aspek aset yang diantisipasi - termasuk fungsi seperti
instalasi perangkat lunak, pembaruan perangkat lunak, cadangan data, dan manajemen akun pengguna. 
Seharusnya juga jelas dari contoh bahwa panggilan pengadilan FBI adalah skenario yang sama sekali tidak
terduga, yang akhirnya ditangani oleh USF IT. Faktanya, dalam contoh ini, departemen TI universitas
terlibat dalam lab untuk pertama kalinya hanya ketika surat panggilan pengadilan diterima. Siapa yang
akan Anda pertimbangkan sebagai pemilik aset departemen akademik, profesor, atau universitas TI?  
Karena pengoperasian aset TI memerlukan keterampilan khusus, organisasi TI sering kali bertanggung
jawab atas semua fungsi residual yang terkait dengan aset TI.  Namun, karena sebagian besar aset TI dibeli
oleh unit bisnis dari anggaran mereka sendiri, TI sering tidak dianggap sebagai pemilik aset. Seorang
analis keamanan perlu menyadari dinamika ini dan konsekuensinya karena pemilik aset adalah mereka
yang bertanggung jawab untuk mengoordinasikan upaya mereka untuk memastikan keamanan aset. 
Pemahaman yang jelas tentang aspek karakterisasi aset ini dapat membantu dalam merencanakan respons. 
Sebagai contoh lain, mari kita lihat jenis aset informasi tertentu yang umum untuk "data kelembagaan"
Universitas.  University of South Florida mendefinisikan data kelembagaan sebagai: Data kelembagaan
didefinisikan sebagai semua elemen data yang dibuat, dipelihara, diterima, atau ditransmisikan sebagai
hasil dari kegiatan bisnis, pendidikan, atau penelitian unit Sistem USF dan mungkin ancaman yang jelas
pada  aktiva. termasuk satu atau lebih dari karakteristik berikut: 
-Terkait dengan operasi, perencanaan, pengendalian, atau audit fungsi bisnis dari kedua unit administrasi
dan akademik.  
-Ditujukan atau diperlukan secara umum antara lebih dari satu unit administrasi dan akademik. 
Termasuk dalam laporan Sistem USF yang dipublikasikan secara resmi.  
-Dibangkitkan atau diturunkan oleh entitas apa pun dari Sistem USF atau karyawan, atau afiliasi atau
agen Sistem USF.  
-Diklasifikasikan dan dibatasi sesuai dengan hukum dan kebijakan USF Sistem, negara bagian, dan
federal." 
Sangat mudah untuk melihat bahwa data jenis ini dapat didistribusikan di seluruh universitas, dengan
beragam pemilik. Penting untuk membuat garis yang jelas.  tanggung jawab di sekitar pengguna yang
menangani jenis data ini. Di sinilah kepemilikan aset informasi dan tanggung jawab operasional aset
informasi ikut berperan.

Sementara kepemilikan data aktual dipegang oleh universitas, seseorang harus dapat membuat keputusan
mengenai penggunaan data.  Karena itu, universitas mendelegasikan wewenang dan tanggung jawab utama
untuk keamanan data institusional kepada individu tertentu dalam organisasi.  Orang-orang ini dikenal
sebagai pemilik aset informasi. Pengguna yang memiliki tanggung jawab operasional untuk menjaga
keamanan data tetapi tidak memiliki data disebut kustodian data.  Contoh kustodian data adalah penasihat
siswa di departemen akademik yang memiliki akses ke transkrip siswa untuk membantu siswa mendaftar
ke program yang paling sesuai untuk lulus tepat waktu.  Penasihat memiliki tanggung jawab fidusia untuk
menjaga kerahasiaan data tersebut tetapi bukan pemilik data tersebut.
Dengan latar belakang ini, kami dapat memperbarui tabel karakterisasi aset kami untuk memasukkan
kepemilikan dan tanggung jawab seperti yang diberikan dalam Tabel 5.4.

Tabel 5.4 Karakterisasi Aset, kepemilikan dan tanggung jawab

Aset Jenis aset Sensitivitas Kritikalitas Pemilik  Tanggung jawab 
Laptop Perangkat Dibatasi Dibutuhkan Fakultas Penerapan TI-
fakultas  keras Cadangan TI-
Penambal TI-
Fakultas
Nilai siswa Informatif Dibatasi Penting Kantor Pengendali TI
Bantuan Keuangan
Pendaftar
 Keamanan Personil Dibatasi Dibutuhkan TI TI
posisi analis
Microsoft Perangkat Tidak Ditangguhka Pengguna akhir TI
Office Suite  lunak terbatas n
Microsoft Hukum Tidak Dibutuhkan TI TI
Office terbatas
Liecense

Contoh kasus - Stuxnet 

Fasilitas pengayaan nuklir di Natanz adalah salah satu aset paling kritis dan sensitif Iran.  Sekitar 5.000
sentrifugal bekerja untuk memperkaya uranium menjadi senjata sehingga negara itu dapat
mengembangkan bom nuklir sendiri.  Di samping sentrifugal ini adalah komputer yang digunakan untuk
memantau dan mengontrol sentrifugal ini. Banyak negara, termasuk Amerika Serikat, prihatin dengan
program Iran.  Setelah mempertimbangkan semua opsi yang tersedia, negara-negara ini mengidentifikasi
komputer yang mengendalikan pusat kendali sebagai aset terbaik untuk meningkatkan memperlambat
kemajuan Iran.  Hasilnya adalah worm komputer canggih, yang dikenal luas sebagai "Stuxnet." Pada
puncak keefektifannya, Stuxnet dilaporkan telah mengeluarkan 1.000 dari 5.000 sentrifugal yang
beroperasi di Natanz, membuat Iran mundur sekitar 18 bulan.  Stuxnet dirancang untuk menyebar dari satu
mesin target ke yang lain secara otomatis, melakukan tugasnya, dan menghancurkan dirinya sendiri, tanpa
meninggalkan jejak. Namun, komputer yang ditargetkan sangat dijaga. Untuk perlindungan tambahan,
mereka tidak terhubung secara fisik ke Internet, yang berarti tidak ada serangan berbasis Internet yang
dapat mencapai fasilitas.  Dari perspektif penyerang, bagaimanapun, orang-orang yang bekerja di fasilitas
itu adalah aset yang sangat berguna. Jika satu orang dapat dibujuk untuk membawa thumb drive USB
yang terinfeksi ke fasilitas, worm dapat mulai melakukan tugasnya. Kita hanya dapat berasumsi bahwa
inilah yang sebenarnya terjadi. Stuxnet sekarang dianggap sebagai worm komputer "bersenjata" pertama
di dunia.

DAFTAR PUSTAKA 
Ed Barnes, "Misteri mengelilingi rudal cyber yang melumpuhkan ambisi senjata nuklir Iran," Fox News,
26 November 2010, http://www.foxnews.com/tech/2010/11/26/secret-agent- centpled-irans  -nuklir-ambisi
/ (diakses 2/4/2013). Sanger, D.E. "Perintah Obama mempercepat gelombang serangan cyber terhadap
Iran," New York Times, 1 Juni 2012.

RINGKASAN 
Dalam bab ini, kami melihat identifikasi dan karakteristik aset TI dalam suatu organisasi.  Aset dapat
bersifat umum atau istimewa dan identifikasi memerlukan perhatian khusus terhadap kebutuhan unik
organisasi dan sumber daya TI yang diperlukan bagi organisasi untuk berhasil dalam misinya.  Aset yang
diidentifikasi dikarakterisasi untuk mengumpulkan semua informasi yang diperlukan untuk melindungi
aset pada saat perang dan perdamaian. Karakterisasi melibatkan mengklasifikasikan aset berdasarkan
sensitivitas dan kritikalitas.  Tanggung jawab individu harus ditugaskan untuk semua masalah keamanan
informasi yang diketahui dan tidak diketahui yang mungkin timbul selama penggunaan aset.
BAB TINJAUAN PERTANYAAN 
1. Apa aset dari perspektif profesional keamanan informasi?  
2. Saat mengidentifikasi aset, mengapa penting untuk memulai dengan mengidentifikasi apa yang penting
bagi organisasi?  
3. Apa dua cara umum untuk mengetahui apa yang penting bagi suatu organisasi?  
4. Apa yang dimaksud dengan aset umum?  Aset idiosinkratik? Bagaimana mereka berbeda dalam hal
upaya yang diperlukan untuk mengidentifikasi mereka dengan benar?  
5. Apa itu daftar periksa?  Mengapa daftar periksa berguna dalam bisnis secara umum? Mengapa mereka
tidak begitu berguna untuk identifikasi aset?  
6. Apa tujuan dari Pernyataan Misi?  Pernyataan Visi? Bagaimana mereka berbeda?  
7. Apa yang dimaksud dengan aset informasi?  Berikan beberapa contoh. 
8. Apa itu aset personalia?  Berikan beberapa contoh.  
9. Apa yang dimaksud dengan aset perangkat keras?  Berikan beberapa contoh.  
10. Apa yang dimaksud dengan aset perangkat lunak?  Berikan beberapa contoh.  
11. Apa itu aset legal?  Berikan beberapa contoh.  
12. Apa saja informasi penting yang dilacak untuk aset perangkat keras?  Apa tujuan dari pelacakan
tersebut?  
13. Apa itu karakterisasi aset?  Mengapa ini bermanfaat?
14. Apa sensitivitas aset?  Apa kelas sensitivitas yang berbeda yang biasa digunakan untuk
mengkarakterisasi aset?  
15. Apa itu kekritisan aset?  Apa kelas kritikalitas berbeda yang biasa digunakan untuk mengkarakterisasi
aset?  
16. Apa itu siklus hidup aset TI?  Apa saja tahapan dalam siklus hidup?  
17. Apa masalah keamanan informasi selama tahap "rencana" dari siklus hidup aset TI?  
18. Apa masalah keamanan informasi selama tahap "memperoleh" siklus hidup aset TI?  
19. Apa masalah keamanan informasi selama tahap "penyebaran" dari siklus hidup aset TI?  
20. Apa masalah keamanan informasi selama tahap "kelola" dari siklus hidup aset TI?  
21. Apa masalah keamanan informasi selama tahap "pensiun" dari siklus hidup aset TI?  
22. Apa yang dimaksud dengan profil sistem?  Bagaimana pengaruhnya terhadap keamanan informasi?  
23. Siapa pemilik aset?  
24. Apa tanggung jawab operasional atas suatu aset?  
25. Berikan contoh situasi di mana pemilik aset mungkin tidak memiliki tanggung jawab operasional untuk
aset tersebut.
CONTOH PERTANYAAN KASUS 
1. Aset apa yang ditargetkan oleh Stuxnet dan tim di belakang worm?  
2. Klasifikasi cach aset ini menggunakan skema klasifikasi aset yang dikembangkan dalam bab ini.
3. Berdasarkan informasi dalam artikel yang dirujuk dalam kasus ini, Iran tampaknya telah sangat berhati-
hati untuk mengidentifikasi dan melindungi asetnya di Natanz.  Apa tindakan pencegahan tambahan yang
bisa diambil?
AKTIVITAS PENANGANAN TANGAN - IDENTIFIKASI ASET KURSUS 
Pada bagian ini, kami akan menggunakan Anda sebagai siswa di kelas ini.  Kirim tanggapan Anda ke item
bernomor. 
Tentukan tujuan 
1. Apa tujuan Anda untuk kelas ini?  Ini bisa sesederhana "mendapatkan nilai kelulusan" atau lebih ketat,
"lulus kelas ini dengan nilai A."  
Kekuatan eksternal yang membentuk tujuan Anda 
2. Apakah ada batasan luar yang mungkin membentuk tujuan Anda untuk kelas ini?  Misalnya, 
• Apakah Anda memiliki beasiswa yang mengharuskan Anda mempertahankan IPK tertentu?  Ini sangat
mirip dengan hukum dan peraturan yang harus dipatuhi banyak organisasi untuk melakukan bisnis.  
• Apakah orang tua Anda membantu Anda membayar biaya kuliah dan meminta Anda tidak meninggalkan
kelas?  Orang tua Anda seperti pemegang saham sebuah perusahaan, memastikan Anda berprestasi pada
level target tertentu.  
• Apakah Anda harus mengambil kelas ini dan lulus semester ini sehingga Anda dapat lulus dalam jangka
waktu tertentu?  
Diskusikan / temukan aset dengan teman sekelas 
Sama seperti mendiskusikan pekerjaan Anda dengan orang lain di tempat kerja, berbicara dengan teman-
teman siswa Anda mungkin membawa ke aset ringan yang belum Anda pikirkan.  
3. Aset apa yang dapat Anda pikirkan yang berkontribusi pada tujuan Anda?  Berikut adalah beberapa
contoh: 
• Laptop 
• Perjalanan yang Anda dapatkan ke kelas setiap hari 
• Buku teks ini 
• Profesor Anda 
Cobalah untuk berpikir di luar kotak dan menghasilkan hal-hal yang biasanya tidak Anda pertimbangkan
di atas kepala Anda.
Klasifikasi aset 
4. Klasifikasi aset Anda sebagai informasi, personel, perangkat keras, perangkat lunak, atau legal.  Catat
setiap sensitivitas dan kekritisan aset. 
5. Seberapa sensitif aset Anda?  Beberapa faktor yang perlu dipertimbangkan termasuk: 
• Apakah ada risiko jika orang lain melihatnya?  
• Apakah Anda dinilai berdasarkan tugas ini?  
• Apa yang terjadi jika seseorang menyalin jawaban Anda dan mengubahnya?  
• Apa dampaknya terhadap nilai Anda jika Anda kehilangan tugas dan tidak dapat menyerahkannya tepat
waktu?  
• Apa yang terjadi jika Anda ketinggalan perjalanan ke kelas pada hari kuis?  Cobalah untuk
mengantisipasi skenario terburuk sambil mempertimbangkan ini atau masalah serupa.
Tentukan kepemilikan aset dan tetapkan hak asuh 
6. Apakah Anda pemilik dan pemelihara aset yang terdaftar?  Atau apakah Anda, misalnya, meminjam
laptop Anda dari orang lain?  Apakah fakta bahwa Anda bukan "pemilik" profesor Anda memengaruhi
tujuan Anda dengan cara apa pun?  
Pilih tiga aset dan jelaskan siklus hidup 
7. Ambil buku teks Anda, misalnya.  Berapa banyak perencanaan yang dilibatkan?  Apakah Anda memiliki
kesempatan untuk membeli salinan bekas?  Apakah Anda membeli laptop untuk kelas ini? Apakah Anda
akan menjualnya setelah kelas selesai?  
8. Dalam konteks kelas ini, apa siklus hidup profesor Anda?

LATIHAN BERPIKIR KRITIS - PENGGUNAAN PC TERTUTUP 

Kita telah melihat dalam bab ini bahwa penyerang selalu melihat-blog keamanan, keamanan, telah
merencanakan kemungkinan penggunaan cara-cara untuk mendapatkan kontrol komputer yang terhubung
ke Internet.  Brian Krebs, penulis informasi populer dari PC yang dikompromikan (Gambar 5.5).
 Gambar 5.5 Penggunaan PC yang diretas

Pertanyaan berpikir kritis 

1. Jika PC Anda terganggu, berikan deskripsi singkat tentang bagaimana PC Anda dapat digunakan oleh
penyerang untuk melakukan tiga dari kegiatan di atas.

KASUS DESAIN 
Untuk kasus desain keamanan bab ini, kami kembali ke Sunshine University yang digunakan dalam Bab I
dan 2. Jika Anda ingat pada Bab 2, dekan siswa meminta kami mengumpulkan perbandingan awal antara
mempertahankan layanan email untuk siswa.  di rumah, gunakan penyedia cloud laaS untuk mendukung
perangkat keras, atau gunakan solusi Saas dan lakukan outsourcing sepenuhnya terhadap layanan.
Perbandingan itu terutama dibuat berdasarkan ketersediaan layanan dan pandangan cepat pada layanan
yang ditawarkan.  Sekarang kita melihat lebih dekat pada aset satu hal yang dapat Anda lihat dengan jelas
adalah bahwa akan ada perbedaan besar dalam aset yang diperlukan untuk mendukung setiap opsi. Dan
aset ini tidak hanya terbatas pada aset perangkat keras. Termasuk juga potensi penciptaan aset informasi
baru seperti kalender dan dokumen.  Apakah ini akan mendukung tujuan universitas? Untuk keperluan
desain ini, pertimbangkan aset berikut: 
• Data Email Siswa 
• Perangkat Lunak Server Email
• Perangkat Keras Server Email 
• Penyimpanan Eksternal 
• Perjanjian Pemeliharaan Perangkat Keras Server 
• Perjanjian Pemeliharaan Perangkat Lunak Server Email dan Perjanjian Dukungan Teknis 
• 20 jam kerja seminggu dari Administrator untuk Dukungan Server 
   Penjelasan tentang peralatan yang mendukung email untuk siswa dapat ditemukan pada desain IS  kasing
di akhir Bab 2. Asumsikan: 
• Perangkat keras sepenuhnya dimiliki oleh departemen Layanan Mahasiswa.  
• Sendmail, perangkat lunak email, dibeli sebagai aplikasi yang menangani email masuk dan keluar.  Ini
memiliki kontrak tahunan yang mencakup peningkatan pemeliharaan, tambalan, dan dukungan teknis.
 • Solusi Iaas biasanya dihargai menggunakan dua parameter: 
(1) jumlah bandwidth jaringan yang digunakan oleh sistem dan 
(2) jumlah penyimpanan yang digunakan oleh sistem. 
 • Email siswa dihapus 7 hari setelah mereka lulus.

PERTANYAAN KASUS DESAIN 

Anda diharuskan menyerahkan laporan baru.  
Dalam laporan Anda, sertakan item berikut.  Kerangka untuk mendaftarkan aset ditampilkan di bawah ini:
1. Klasifikasi aset yang ada yang mendukung email lokal dalam hal informasi, personel, perangkat lunak,
perangkat keras, atau aset keuangan.
Aset Kelas Sensitivitas  Kritikalita Lokal IaaS SaaS
s
Data email siswa Informas x x
i
Perangkat lunak email
Server Perangkat keras
Penyimpanan eksternal
Penyetujuan perbaikan perangkat
lunak 
Perjanjian dukungan teknis perangkat
lunak email
Jam personil per minggu
2. Dapatkah Anda menentukan aset "primer" dalam daftar Anda?  Aset mana yang merupakan pusat
sistem, dengan semua aset lain yang mendukung keberadaannya?  
3. Apa tahapan siklus hidup TI adalah server email?  Jenis aset apa yang akan dibutuhkan jika keputusan
dibuat untuk menyimpan email di tempat?  
4. Tentukan dan tunjukkan dalam laporan aset mana yang tidak diperlukan jika email siswa dipindahkan ke
solusi laas.  Ulangi latihan yang sama untuk solusi Saas. Apakah salinan cadangan lokal dari data email
layak dengan solusi laaS / Saas?  Mengapa? Pertimbangkan dampak biaya.  
5. Apakah akan ada kurva belajar dengan penerapan sistem email luar-situs yang baru?  
6. Tentukan dan tunjukkan dalam laporan aset "tersembunyi" lainnya yang diperlukan untuk mendukung
arus konfigurasi di tempat.  Bagaimana aset ini berubah dengan beralih ke solusi di luar lokasi?
Contohnya termasuk yang berikut ini 
a.  Jika Anda memiliki masalah dengan akun email Anda di universitas Anda, siapa yang Anda hubungi
dulu?  
b.  Bagaimana cara email "meninggalkan" pengirim dan "tiba" di penerima?  
c.  Jika seorang siswa secara tidak sengaja menghapus seluruh Kotak Masuk mereka, bagaimana cara
memulihkannya?  
7. Klasifikasi setiap aset menurut pandangan Anda tentang sensitivitas dan kekritisannya.  Membenarkan.  
8. Apakah ada perbedaan kekritisan antara kotak surat siswa yang berbeda?  
9. Diskusikan dalam laporan tersebut kemungkinan waktu untuk beralih ke solusi di luar lokasi.
BAB 6
ANCAMAN DAN KERENTANAN
Gambaran Umum 
Setelah bab-bab awal yang memberikan tinjauan umum lanskap risiko, dalam Bab 4, kami melihat
komponen-komponen aset lanskap keamanan informasi, ancaman, kerentanan, dan kontrol.  Kami
kemudian mulai melihat lebih dalam pada komponen-komponen ini. Dalam Bab 5, kami melihat aset,
termasuk jenis aset, klasifikasi, dan karakterisasi. Dalam bab ini, kita akan mencermati ancaman.  Pada
akhir bab ini, Anda harus memiliki pemahaman yang jelas tentang berbagai aspek ancaman termasuk: 
• Model ancaman, mengintegrasikan komponen ancaman 
• Kekuatan yang dapat bertindak atas aset (agen) 
• Metode yang digunakan agen-agen ini  dapat mempengaruhi aset (tindakan) 
• Kerentanan dan relevansinya dengan ancaman

Pendahuluan 
Kami telah mendefinisikan ancaman sebagai kemampuan, niat, dan metode serangan musuh untuk
mengeksploitasi atau membahayakan aset.  Ini konsisten dengan definisi NIST 800-30 tentang ancaman
sebagai "keadaan atau peristiwa apa pun yang berpotensi berdampak buruk terhadap operasi dan aset
organisasi, individu, organisasi lain, atau bangsa melalui sistem informasi melalui akses, penghancuran,
pengungkapan tanpa izin  atau modifikasi informasi, dan / atau penolakan layanan. "! Setelah organisasi
mengidentifikasi dan mengkarakterisasi asetnya, langkah selanjutnya dalam analisis persyaratan keamanan
informasinya adalah analisis ancaman yang dihadapi oleh organisasi. Kami melihat dalam bab terakhir
berapa banyak tindakan harian kami berkisar pada ketersediaan aset, dan bagaimana kami mengambil aset
itu begitu saja.  Apa yang terjadi jika akses ke aset-aset ini tiba-tiba hilang? Sebagai seorang analis
keamanan informasi, Anda secara rutin akan diminta untuk memperkirakan pentingnya ancaman yang
muncul. Apakah fakta bahwa Microsoft baru saja mengetahui bahwa Internet Explorer rentan terhadap
serangan skrip lintas situs merupakan ancaman yang cukup serius sehingga semua komputer dalam
organisasi harus dipaksa untuk memutakhirkan dalam 24 jam ke depan?  Ini analog dengan perkiraan
bahwa penduduk Florida seperti kita harus membuat setiap kali kita membaca tentang badai yang
berkembang di Atlantik apakah ancaman kali ini cukup serius sehingga kita akhirnya harus membeli
generator jika listrik mati untuk waktu yang lama?

Model ancaman 
Ancaman timbul dari orang-orang yang termotivasi (agen) yang mengambil tindakan spesifik untuk
mengeksploitasi aset.  Interaksi antara agen, tindakan, dan aset yang relevan merupakan model ancaman
yang dihadapi organisasi. Ini ditunjukkan pada Gambar 6.1.  Pada sisa bab ini, kami menggunakan bagian
dari model klasifikasi insiden VERIS, bagian yang membahas ancaman, sebagai dasar untuk diskusi.
Sementara beberapa agen dan tindakan spesifik yang dibahas dalam bab ini didasarkan pada VERIS,
gagasan ancaman sebagai tindakan agen terhadap aset cukup umum.  Kami sudah membahas aset. Dalam
bab ini, kami fokus pada komponen yang tersisa dari agen dan tindakan ancaman. 
Gambar 6.1 Model Ancaman
 AGEN ANCAMAN SEIRING WAKTU DENGAN PRESENTASE

Gambar 6.2 Agen ancaman seiring waktu dengan presentase

Model VERIS lebih umum, memungkinkan ancaman termasuk ancaman yang belum ditemukan, untuk
dimodelkan dalam kerangka kerja.  Hal ini juga selaras dengan literatur akademik tentang topik serta
dengan model risiko standar yang akan kita bahas nanti dalam buku ini.  Karenanya kami menggunakan
model ancaman VERIS.
Agen ancaman 
Agen ancaman adalah individu, organisasi, atau kelompok yang memulai tindakan ancaman tertentu. 
Agen ancaman dapat diklasifikasikan ke dalam tiga jenis, masing-masing dengan motivasi yang berbeda,
untuk memulai ancaman: 
•  Agen eksternal 
•  Agen internal 
•  Mitra 
Gambar 6.2 menunjukkan bagaimana frekuensi relatif dari berbagai agen ancaman yang diklasifikasikan
oleh sistem VERIS telah berkembang sejak  2004. Jelas bahwa jumlah serangan internal telah berkurang
sejak 2009 sementara agen ancaman eksternal telah meningkat selama periode yang sama.  
Agen eksternal 
Seperti namanya, agen eksternal adalah agen di luar organisasi, tanpa tautan ke organisasi itu sendiri. 
Menurut VERIS 2012 Data Breach Report, 98% serangan pada 2012 berasal dari agen eksternal. Kami
melihat agen eksternal penting di bawah ini.  Daftar cepat diberikan pada Gambar 6.3.
   Gambar 6.3 Agen Eksternal
Kelompok aktivis 
Grup Anonim telah menjadi populer dalam beberapa tahun terakhir sebagai organisasi "peretas", kelompok
yang mencampur aktivisme politik dengan kegiatan peretasan. Kelompok yang dibentuk secara longgar
terdiri dari peretas dan penggemar internet lainnya, anggota Anonim menggambarkan diri mereka sebagai
individu yang menentang semua  jenis penindasan yang dirasakan, sensor internet, dan pengawasan oleh
lembaga pemerintah di seluruh dunia. Daftar singkat tentang eksploitasi terbaru mereka termasuk di sini.
  
Pemerintah asing 
Menurut laporan yang dikeluarkan oleh Kantor Eksekutif Kontra Intelijen Nasional pada Oktober 2011,
"informasi dan teknologi ekonomi AS yang sensitif menjadi sasaran layanan intelijen, perusahaan sektor
swasta, lembaga akademik dan penelitian, dan warga negara dari puluhan negara."  Satu insiden yang
dipublikasikan dengan baik melibatkan dugaan pencurian desain pesawat militer (Gambar 6.4a dan 6.4b).
 Tapi bukan itu saja. Bahkan sekutu dan mitra AS menggunakan akses mereka ke institusi AS
untuk mengakses informasi menggunakan banyak tindakan ancaman. Perkiraan kerugian dari
kisaran spionase ekonomi begitu luas sehingga menjadi tidak berarti - $ 2-400 miliar atau
lebih setahun.
Keterlibatan pemerintah tersebar luas dan tidak terbatas pada serangan terhadap Amerika
Serikat. Pemerintah AS juga terlibat dalam perang cyber. New York Times 7 mengklaim
bahwa Presiden Obama secara diam-diam memerintahkan peningkatan serangan dunia maya
terhadap infrastruktur komputer fasilitas nuklir Iran beberapa minggu setelah ia mengambil
alih kantor. Artikel yang sama menuduh bahwa AS dan Israel terlibat dalam penyebaran
Stuxnet, yang sementara mengambil 20% dari sentrifugal yang beroperasi di fasilitas Iran.

Kejahatan Dunia Maya

Pada akhir 1990-an, ketika Internet komersial masih dalam masa pertumbuhan, para peretas
utamanya "Script kiddies:" biasanya seorang remaja yang menemukan skrip exploit di suatu
tempat dan memutuskan untuk melakukannya deface halaman web hanya untuk
menunjukkan bahwa hacker mampu memodifikasi situs web. Kebanyakan skrip ini secara
sembrono menghancurkan data pada mesin yang terpengaruh hanya sebagai bukti konsep.
Di suatu tempat di telepon, script kiddies menjadi pintar. Kenapa hancurkan mesin saat itu
Anda dapat menghasilkan uang dari pengguna mesin itu? Mengapa ganti halaman web saat
Anda bias duduk di rumah dan pantau semua aktivitas sampai Anda melihat sesuatu yang
Anda sukai? Masukkan apa yang sekarang kita panggil kejahatan dunia maya. Cybercrime
adalah bisnis yang sangat menguntungkan, menawarkan keuntungan yang lebih tinggi dengan
yang lebih rendah kemungkinan diidentifikasi dan dituntut daripada kejahatan tradisional
seperti perampokan bank.
Salah satu agen ancaman kejahatan dunia maya yang populer adalah para peretas yang
terlibat dengan Nigerian Scam,juga dikenal sebagai "419 Nigerian Scam" mengacu pada
artikel dalam KUHP Nigeria berurusan dengan penipuan. Berikut ini adalah contoh email.
Ribuan email akan dikirim sekaligus. Tidak bisa dihindari, para penipu akan menerima
beberapa tanggapan.

Upaya pemerintah untuk mencegah kejahatan cyber finansial terus berlanjut. Di Nigeria,
pemberitahuannya adalah ditempel di dinding pemilik kafe, memperingatkan pengguna
tentang kemungkinan penangkapan bagi scammers yang mengirim email palsu. Tetapi, secara
umum, pengguna belajar memperhatikan pepatah: “jika itu kedengarannya terlalu bagus
untuk menjadi kenyataan, mungkin memang begitu”

Kelompok Terorganisir
Beberapa ancaman memerlukan kerja sama beberapa agen yang bertindak bersama.
Organisasi dari kelompok kejahatan dunia maya tertentu sangat luar biasa. Misalnya, ada
situs web yang mengoordinasikan penjualan dan pembelian informasi terbatas seperti kartu
kredit, nomor jaminan sosial, bank info akun, dan banyak lagi. Situs-situs ini biasanya
mempekerjakan sejumlah besar individu, masing-masing dengan tugas pekerjaan mereka
sendiri.
• Admin: Jalankan layanan escrow dan kontrol keanggotaan
• Global Moderator: Mengawasi konten dan menengahi perselisihan apa pun
• Moderator: Pantau masing-masing topik topik
• Peninjau: Mengevaluasi kualitas produk vendor
• Vendor: Memiliki izin untuk menjual barang dan jasa kepada anggota forum
• Anggota (penipu): Beli barang
Untuk menjadi vendor Anda harus memberikan satu set nomor kartu kredit kepada reviewer.
Orang ini keluar dan melakukan pembelian menggunakan angka-angka itu. Jika sebagian
besar kartu valid, Anda diterima sebagai penjual (Gambar 6.5). Di bawah ini adalah contoh
vendor yang dinilai:
Ulasan Hasil: kesedihan Zo0mer. Dalam 24 jam, saya menerima total 50 dump. . . . 41
diterima, 9 ditolak - namun ia akan mengganti penurunan jika diberitahukan dalam waktu 48
jam. Saya juga melakukan took uji pada 4 kartu. . . 3 diterima £ 500, £ 1.2K dan £ 1.8K,
kartu penurunan AS Produk: 9/10 Layanan 9.5 / 10
Salah satu contoh situs tersebut adalah CarderPlanet. CarderPlanet adalah organisasi criminal
didirikan pada tahun 2001. Ini mengoperasikan dan memelihara situs web
www.carderplanet.com untuk penjahatnya kegiatan. Pada Agustus 2004, situs tersebut telah
menarik lebih dari 7.000 anggota. Meskipun sebagian besar posting di forum itu dalam
bahasa Rusia, dan sebagian besar anggota CarderPlanet berasal dari Eropa Timur dan Rusia,
forum ini memiliki komponen berbahasa Inggris yang signifikan. 
Organisasi itu didirikan dengan cara yang mirip dengan mafi a dengan peringkat tertinggi
anggota, atau "keluarga," yang memiliki gelar seperti Godfather dan "capo di capi" (atau bos
semua bos). Itu ditutup pada tahun 2004 setelah penangkapan beberapa anggota seniornya.
Berdasarkan US Secret Service, “jaringan yang dibuat oleh pendiri CarderPlanet. . . tetap
satudari organisasi yang paling canggih dari penjahat keuangan online di dunia. Jaringan ini
telah berulang kali dikaitkan dengan hampir setiap intrusi signifikan informasi keuangan
yang dilaporkan kepada komunitas penegak hukum internasional."
Pesaing
Pesaing selalu tertarik untuk mendapatkan keuntungan dari kompetisi. Ini tidak benar hanya
di industri swasta tetapi juga dalam politik. Pada tahun 2003, memo internal dari minoritas
Demokrat pemimpin didistribusikan ke media ramah-GOP. "Awalnya, mayoritas Partai
Republik membantah G.O.P. Keterlibatan setelah memo bocor dan diterbitkan. Dokumen-
dokumen itu menjelaskan caranya Senator Demokrat telah membuat strategi dan
berkonsultasi dengan kelompok-kelompok kepentingan luar yang berdedikasi untuk
menentang beberapa calon peradilan yang lebih konservatif dari Presiden Bush. Tetapi
setelah polisi bergerak pada minggu lalu, Senator Orrin Hatch, anggota Partai Republik Utah
yang merupakan ketua Komite Kehakiman, membalikkan dirinya dan mengumumkan bahwa
dia 'kaget' untuk mengetahui bahwa itu adalah anggota stafnya sendiri yang telah menyusup
ke dalam minoritas. File komputer."
Pelanggan
Pelanggan dapat dengan mudah menjadi agen juga, internal atau eksternal, tergantung di
mana Anda menggambar batas layanan Anda. Dengan Sistem Informasi Mahasiswa,
misalnya, TI memiliki pengguna siswa serta administrator dari berbagai modul aplikasi SIS:
Bantuan Keuangan, Utang Akun, Bantuan Keuangan, dll. Ini biasanya dikenal sebagai
“Fungsional Pengguna. " Sebagai pelanggan, pengguna ini kadang-kadang juga
membutuhkan fungsionalitas dan hak istimewa itu, sementara bisa membuat pekerjaan
mereka lebih mudah, juga bisa membuat Universitas berisiko. Seseorang dari Bantuan
Keuangan, misalnya, dengan akses ke Nomor Jaminan Sosial siswa, bisa merasa tergoda
untuk menjual daftar mereka yang ada di pasar hacker.
Penyebab alami dan kegagalan infrastruktur
Di Amerika Serikat kami memiliki kebakaran liar dan gempa bumi di barat. Tornado di
Midwest. Badai dan hujan abu di Pantai Timur dan di sepanjang Teluk Amerika. Praktis tidak
ada area negara ini 100% aman. Dan Anda masih memiliki intervensi manusia: pipa bocor,
tidak disengaja membangun kantor, dll. Semua ini adalah eksternal, bencana alam yang dapat
memengaruhi TI bisnis infrastruktur. Ketika infrastruktur TI gagal, kerusakan finansial bisa
sangat besar. Itu apa yang terjadi dengan Sears pada 2013. “. . . kegagalan lima jam, terburu-
buru setelah liburan, biaya Sears $ 1,58 juta dalam laba, menurut gugatan. (Sears
menghasilkan $ 12,3 miliar dalam penjualan selama kuartal keempat tetapi kehilangan $ 489
juta.) Server farm berjalan menggunakan generator selama delapan hari, membakar $ 189.000
dalam bahan bakar diesel."
Mantan karyawan
Karyawan yang tidak puas adalah jenis agen yang sangat berbahaya, karena mereka
seringkali memilikinya wawasan tentang cara kerja internal perusahaan, dan mereka mampu
menggunakan yang dikenal secara internal kerentanan untuk mendapatkan akses dan merusak
bisnis. Pada Mei 2013, sebuah pengaduan pidana disegel pada hari Kamis di pengadilan
federal di Distrik Timur New York menuntut Michael Meneses - yang ditangkap sebelumnya
hari itu di Smithtown, Long Island - dengan meretas jaringan komputer sebuah perusahaan
yang memproduksi pasokan listrik bertegangan tinggi, menyebabkan perusahaan mengalami
kerusakan lebih dari $ 90.000. "Dia menggunakan berbagai metode teknologi tinggi untuk
meretas jaringan perusahaan korban dan mencuri miliknya kredensial keamanan mantan
kolega, termasuk menulis program yang menangkap pengguna masuk nama dan kata sandi.
Dia kemudian menggunakan kredensial keamanan setidaknya satu mantan kolega untuk
mengakses jaringan dari jarak jauh melalui jaringan pribadi virtual (VPN) dari rumahnya dan
dari Hotel yang terletak di dekat majikan barunya, merusak jaringan. ” 
Agen internal
Agen internal adalah orang-orang yang terhubung dengan organisasi, seringkali sebagai
karyawan. Mereka termasuk Anda agen yang diharapkan, admin sistem, asisten Help Desk,
pengembang perangkat lunak. Tapi yang lainnya orang tak terduga seperti staf kebersihan
juga bisa menjadi agen ancaman (Gambar 6.5).
Help Desk
Karyawan Help Desk dapat diberikan hak istimewa tertentu yang, baik karena kesalahan atau
penyalahgunaan, dapat mempengaruhi operasi suatu perusahaan. Tidak jarang mengizinkan
karyawan Help Desk kemampuan untuk mengubah kata sandi bagi pengguna, setelah
memeriksa identitas mereka. Hak istimewa ini terbuka pintu untuk potensi suap dan
pemerasan karyawan, terutama ketika aktivitas berjalan tidak dicentang.
Human resources
Perekrutan dan pemberhentian personel dalam suatu organisasi, biasanya ditangani oleh
departemen SDM, memulai sejumlah kegiatan yang berpotensi termasuk penugasan dan
penghapusan hak istimewa dalam sistem TI. Tindakan ini biasanya dikenal sebagai
onboarding dan offboarding. Jika ini dilakukan secara otomatis, konsekuensinya bisa menjadi
bencana.
Pada tahun 2005 sebuah bank komunitas kecil di Negara Bagian Florida harus
mengambil semua email karyawannya dari kaset cadangan setelah kesalahan entri dalam
sistem SDM memberhentikan semua karyawannya. dan semua akun email mereka dicabut.
Layanan kebersihan
Ruang server dan pusat data biasanya terlarang bagi siapa pun tanpa perlu berada di sana.
Namun, tidak semua server masuk ke ruang server. Ini tidak biasa di lingkungan Universitas
untuk memiliki server di kantor-kantor umum, tanpa perlindungan fisik atau redundansi.
Kembali pada tahun 2003 seorang petugas kebersihan membantu di University of South
Florida, setelah memperhatikan bahwa kantor tertentu agak kotor, memutuskan untuk
menyedot ruangan. Dia mencabut UPS untuk dicolokkan dalam penyedot debu dan lalai
memasangnya kembali saat dia selesai. UPS kehabisan kekuatan dan College dibiarkan tanpa
email sampai hari berikutnya, ketika administrator local kembali ke kantor.
Auditor internal
Auditor datang dalam berbagai flor yang berbeda. Beberapa bersedia bekerja dengan
administrator dan memahami berbagai prioritas, alokasi sumber daya, dan bagaimana TI
memproses secara keseluruhan misi organisasi. Yang lain hanya tertarik menunjukkan
kegagalan yang dirasakan dari departemen TI. Beberapa sepenuhnya siap untuk membahas
skema basis data dan perutean jaringan, serta pengumpulan uang tunai dan bantuan keuangan.
Beberapa di industri menganggap auditor sebagai generalis yang sempurna, pepatah Jack dari
semua perdagangan, tetapi belum tentu master dari semua. 
Perhatian utama auditor adalah kepatuhan. Sistem TI harus sesuai dengan lokal, hukum
negara bagian dan federal. Mereka juga harus memastikan bahwa semua kebijakan dan
prosedur resmi diadopsi oleh organisasi diikuti. Dengan mengingat hal itu, perlu ditekankan
bahwa kepatuhan berbeda dari keamanan. Dan perbedaan inilah yang terkadang mengubah
auditor menjadi agen ancaman.
Misalnya, anggap organisasi Anda memiliki kebijakan yang menyatakan, “semua nomor ID
karyawan akan dienkripsi saat disimpan secara elektronik. " ID disimpan di server database,
yang untuk  argumen, hanya dihidupkan ketika data diperlukan. Server berada di dalam
fasilitas accesscontrolled, dan Anda adalah satu-satunya orang dengan akses ke kotak. Dari
sudut pandang Anda, risiko kebocoran atau kehilangan data sangat kecil. Namun, seperti
yang akan kita lihat di bab-bab selanjutnya, Kepatuhan terhadap peraturan, federal, dan
hukum negara bagian yang dibuat dengan tujuan untuk melindungi privasi pengguna,
seringkali memiliki tujuan tunggal dan tidak mempertimbangkan keamanan sistem secara
keseluruhan. secara keseluruhan, alih-alih hanya berfokus pada bagian yang perlu dilindungi.
Oleh karena itu, setiap auditor, internal atau eksternal, akan bersikeras bahwa data masih
harus dienkripsi atau kebijakan diubah jika organisasi mengambil risiko. Bahkan jika
organisasi Anda harus menghabiskan ribuan dolar untuk mengenkripsi data.
Auditor juga dapat mempengaruhi operasi TI. Di Negara Bagian Florida, jika ruang server
Anda tidak hingga kode karena daya dirangkai melalui penggunaan kabel ekstensi, Fire
Marshalls berwenang untuk memutuskan daya segera, bahkan jika proses kritis diturunkan
karena pemutusan.

Manajemen Atas
Manajer dapat dianggap sebagai agen ancaman dalam berbagai cara. Tetapi mungkin yang
paling mengancam adalah kurangnya dukungan manajemen puncak untuk TI secara umum
dan kurangnya pemahaman Perhatian pada keamanan.
Sistem TI ada di mana-mana untuk organisasi saat ini, namun orang tidak menyadarinya
ketergantungan yang menciptakan. Di universitas, gaji fakultas, pendaftaran, transkrip, dan
bantuan keuangan, semua tergantung pada kenyataan bahwa sistem TI tersedia dan beroperasi
dengan baik.
Sebagian besar TI beroperasi di dunia di mana "tidak ada berita adalah kabar baik."
Sementara itu bagus dari sudut pandang operasional, itu menciptakan pemutusan dengan
pengguna. Sulit untuk membenarkan pengeluaran terkait dengan pembelian server baru jika,
dari perspektif pengguna akhir, layanan masih ditawarkan tanpa berdampak pada kinerja.
Dalam jangka panjang, keberhasilan TI berpotensi menciptakan kejatuhannya sendiri jika
manajemen tidak selalu diingatkan akan ketergantungan bisnis pada layanan yang
disediakannya.
Mitra
Mitra termasuk pihak ketiga yang berbagi hubungan bisnis dengan organisasi. Ini termasuk
pemasok, vendor, penyedia hosting, dukungan IT outsourcing, dll. Beberapa tingkat
kepercayaan dan privilege biasanya tersirat di antara mitra bisnis (Gambar 6.6). 

Layanan konsultasi dan kontraktor

Kategori ini juga mencakup layanan instalasi dan layanan pemeliharaan. Ini adalah layanan
dibayar oleh suatu organisasi untuk melakukan pekerjaan tertentu atau untuk menambah staf
lokal.
Organisasi konsultan melakukan yang terbaik untuk mematuhi persyaratan khusus klien
mereka. Namun, klien dengan kebutuhan khusus mungkin akan keliru jika detail yang
diabaikan sangat luar biasa penting bagi klien. Pertimbangkan kasus kebocoran keamanan
baru-baru ini di Badan Keamanan Nasional (NSA) yang melibatkan Edward Snowden. Tuan
Snowden adalah karyawan Booz-Allen Hamilton, kontraktor yang melakukan banyak
pekerjaan teknologi untuk NSA dan agen federal sensitif lainnya.  
Dari 5 Juni hingga 21 Juni 2013, surat kabar Guardian mengungkapkan sangat rahasia
memesan izin NSA untuk mengumpulkan informasi tentang warga AS. Anggota parlemen
dan masyarakat terkejut oleh wahyu. Reaksi berkisar dari memanggil Mr. Snowden sebagai
pahlawan karena mengungkap aktivitas tersebut, hingga menyebutnya pengkhianat karena
mengungkapkan prosedur keamanan yang telah membuat Amerika aman. Pada saat penulisan
ini, nasib akhirnya tidak diketahui. Pemerintah AS. sedang bekerja untuk membawanya ke
AS untuk diadili (Gambar 6.7).
Namun, dari sudut pandang keamanan informasi, insiden tersebut membawa beberapa hal
perhatian. Mengingat sifat institusi, tidak mungkin untuk menegaskan bagaimana Mr.
Snowden mendapatkan miliknya data dari NSA, hingga terungkap dalam pengadilan,
kesaksian federal, atau outlet serupa lainnya.Namun, telah berspekulasi bahwa Mr Snowden
menggunakan USB-drive untuk menyimpan datanya. Organisasi sensitif biasanya
menonaktifkan port ini di komputer untuk mencegah kebocoran tersebut. Begitu, banyak ahli
terkejut dengan kemungkinan ini di NSA. Sungguh luar biasa bagaimana seorang karyawan
dari mitra memiliki akses ke dokumen sensitif tersebut.

Layanan Cloud
Layanan cloud adalah kelas layanan yang sangat besar. NIST 13 daftar lima karakteristik
penting komputasi awan: layanan mandiri sesuai permintaan, akses jaringan luas,
pengumpulan sumber daya, cepat elastisitas atau ekspansi, dan layanan yang diukur. Itu juga
mencantumkan tiga "model layanan" (perangkat lunak, platform, dan infrastruktur), dan
empat "model penyebaran" (pribadi, komunitas, publik, dan hybrid) yang secara bersama-
sama mengategorikan cara-cara untuk memberikan layanan cloud.
Semua layanan ini dianggap "outsourcing" pada satu titik waktu. Tapi sejak itu kata
outsourcing terkait dengan orang-orang kehilangan pekerjaan mereka, industri diciptakan
kembali sendiri dan dulu berganti nama menjadi layanan "in the Cloud."
Semua layanan ini dianggap "outsourcing" pada satu titik waktu. Tapi sejak itu kata
outsourcing terkait dengan orang-orang kehilangan pekerjaan mereka, industri diciptakan
kembali sendiri dan dulu berganti nama menjadi layanan "in the Cloud."
Biasanya ketika sebuah perusahaan memindahkan beberapa layanannya ke cloud ada asumsi
peningkatan redundansi, keandalan, dengan beberapa server hosting aplikasi failover secara
berganda lokasi geografis. Sementara itu adalah kasus di sebagian besar situasi, itu tidak
selalu terjadi. Bisnis tidak boleh membuat asumsi itu. Ketika layanan dipindahkan, berikut
adalah beberapa hal untuk diperiksa:
• Apakah pusat data memiliki sertifikasi keamanan yang diperlukan?
• Di mana lokasi geografis Center?
• Kontrol apa yang diposisikan untuk melindungi data?
Penting juga untuk memiliki strategi keluar dari awal. Menetapkan metode dengan mana,
dalam keadaan darurat, data dapat dipindahkan ke lokasi lain. Kegagalan dalam salah satu
poin ini dapat memindahkan penyedia layanan outsourcing dari mitra ke agen ancaman.

Mengalihdayakan infrastruktur ruang server Anda adalah hal yang populer untuk dilakukan.
Itu mendapat fisik khawatir keluar dari jalan dan memungkinkan organisasi untuk khawatir
tentang bagian penting dari bisnis mereka. Ini terutama berlaku untuk situs blog berita dan
tempat media sosial tertentu.
Pada Oktober 2012, Badai Sandy menghantam Pantai Timur dekat Atlantic City. Pembaca
bangun keesokan harinya kecewa karena beberapa situs berita favorit mereka
dihancurkan,termasuk The Huffi ngton Post dan Gawker. Situs-situs ini menggunakan ISP
Datagram sebagai platform utama mereka. Datacenter Datagram gagal, dan saluran bahan
bakar yang memberi makan generator gagal, menurunkan seluruh pusat data (Gambar 6.8).

Vendor dan pemasok

Ketika vendor atau pemasok tidak dapat menyediakan sumber daya yang dibutuhkan, atau
tidak berolahraga dengan benar kontrol kualitas pada perangkat, atau tidak mengevaluasi
dengan baik hubungan bisnis yang mereka pelihara,efeknya terhadap bisnis mungkin cukup
besar.

Tindakan ancaman
Agen adalah bagian pertama dari ancaman, tetapi sampai agen melakukan beberapa tindakan
untuk melukai aset, tidak ada ancaman yang dibuat. Tindakan adalah aktivitas yang dilakukan
oleh agen untuk mempengaruhi kerahasiaan, integritas, atau ketersediaan aset. Membuat
daftar tindakan yang lengkap itu sia-siakarena tindakan ancaman baru hanya dibatasi oleh
kecerdikan para agen. Namun, paling umum tindakan ancaman dapat digolongkan ke dalam
kategori berikut: 
• Malware
• Peretasan
• Rekayasa sosial
• Fisik
• Kesalahan
• Lingkungan Hidup
Malware
Malware adalah kependekan dari "perangkat lunak berbahaya." Ini adalah perangkat lunak
yang secara khusus dirancang untuk merusak, mengganggu, mencuri, atau secara umum
mempengaruhi beberapa tindakan “buruk” atau tidak sah lainnya di komputer. Virus, worm,
Trojan, dan bot adalah contoh malware.
Jumlah malware di alam liar telah meningkat pesat, mulai dari 1.300 di 1990 hingga 50.000
pada 2000, lalu lebih dari 200 juta pada 2010.

Virus
Virus menyebar dengan menggunakan file "host" yang membutuhkan interaksi manusia
untuk mengaktifkannya. File yang terinfeksi itu sendiri mungkin berada di hard drive
komputer, tetapi mesin tidak akan terinfeksi sampai file dieksekusi. Virus menyebar ketika
seseorang mentransfer file yang terinfeksi ke mesin baru dan file dieksekusi pada host baru.
Sepotong kode pertama yang dianggap sebagai virus diciptakan pada tahun 1971 oleh
seorang karyawan BBN yang dipanggil, sekarang Raytheon BBN. BBN membangun jaringan
packet switching untuk ARPANET, pendahulu untuk internet. Perangkat lunak yang disebut
Creeper dirancang sebagai bukti konsep untuk mereplikasi diriperangkat lunak. Itu akan
melompat ke dari satu server ke yang lain, menginstal sendiri, lalu menghapus yang
sebelumnyasalin dan tampilkan pesan "Saya Creeper, tangkap saya jika Anda bisa" pada
layar host baru.
Wabah Virus Melissa adalah salah satu virus pertama yang merusak jaringan
perusahaan.Melissa berbeda dari virus lain karena kecepatan penyebarannya. Itu menyamar
itu sendiri sebagai email dengan subjek "Pesan Penting Dari <seseorang yang Anda kenal>."
Itu email membawa dokumen Microsoft Word dengan virus makro, virus yang akan
dijalankan secara otomatis ketika file dibuka.
Mesin yang terinfeksi dengan Virus Melissa akan menghadirkan beberapa gejala:
• Shutdown yang tidak dapat dijelaskan dengan pesan kesalahan yang ditunjukkan pada
Gambar 6.9
• Dokumen Word dibuka saat mesin terinfeksi akan menampilkan kutipan dari episode
acara TV “The Simpsons”
• File acak akan dipilih untuk dikirim melalui email sebagai pembawa virus ke 50
pengguna
 hadir di buku alamat komputer.
Selain masalah yang berpusat pada pengguna akhir, Melissa menyebabkan masalah parah
pada email infrastruktur perusahaan karena beban mesin yang terinfeksi diberlakukan pada
server email. Itu penulis virus Melissa ditangkap dan dijatuhi hukuman 20 bulan penjara dan
$ 5.000 di kantor.
WORMS
Sementara infeksi dan penyebaran virus tergantung pada intervensi manusia, Worms
menggunakan sistem operasi atau kerentanan aplikasi untuk menginfeksi dan akses jaringan
untuk mengeksploitasi kerentanan yang sama pada mesin lain.
Worm internet pertama adalah Morris Worm, dirilis pada tahun 1988. Meskipun seperti
Creeper virus worm ini dimaksudkan sebagai bukti konsep, karena kesalahan pengkodean
yang dimiliki perangkat lunak Memperbaiki kesempatan untuk menelurkan banyak salinan
dirinya pada mesin yang terinfeksi, menyebabkan beban host meningkat dan terkadang
akhirnya crash.
Worm SQL Slammer, dirilis pada Januari 2003, adalah salah satu penyebaran tercepat Worm
dalam sejarah, mengambil keuntungan dari kerentanan aliran luapan buffer di Microsoft SQL
Server 2000 untuk ditiru. Hasil dari infeksi SQL Slammer di seluruh dunia sangat terlihat:

 Banyak Mesin ATM dari Bank of America tidak tersedia ketika virus Slammer  
menghantam.
• Continental Airlines telah membatalkan dan menunda penerbangan karena loket
penjualan tiket dibatalkan terinfeksi.
• Sistem Kota Seattle 911 tidak dapat dioperasikan.
Penyebab terbesar bukanlah infeksi itu sendiri, tetapi tingkat yang mengkhawatirkan di mana
cacing itu mencoba merambat. Mesin tunggal yang terinfeksi memiliki kemampuan untuk
mengirim jaringan dalam beberapa menit, secara efektif menciptakan Serangan Denial of
Service dengan menggunakan semua bandwidth jaringan tersedia. Diperkirakan bahwa 90%
dari semua server rentan di Internet terinfeksi di dalamnya 10 menit dari rilis worm.

Bot
Salah satu botnet terbaru yang ditemukan oleh industri keamanan dikenal sebagai
ZeroAccess. Pada September 2012, diperkirakan bahwa malware ZeroAccess telah diinstal
sekitar 9 juta waktu. Bot adalah program perangkat lunak penggunaan umum, sekam kosong,
yang menghubungi Command and Control server untuk pesanan mereka. Bot ZeroAccess
menggunakan jaringan seperti peer-to-peer untuk mengunduh plugin dari server C&C. Plugin
ini menjalankan tugas yang dirancang untuk menghasilkan pendapatan untuk botnet operator.
Itu menyelesaikan tugas ini dengan dua metode utama: Click Fraud and Bitcoin Mining .
Click Fraund terjadi sehubungan dengan bisnis yang menggunakan iklan Pay Per Click (PPC)
model. Motivasinya bervariasi. Seringkali peretas dipekerjakan untuk mencoba menguras
anggaran iklan pesaing. Namun, pelaku penipuan klik paling sering adalah penerbit sendiri,
banyak dari mereka menjalankan penipuan bayar per klik yang berhasil.
Bitcoin disebut-sebut sebagai mata uang virtual baru untuk menggantikan uang tunai di
Internet. Mirip seperti Federal Reserve bertanggung jawab mengatur mata uang kami,
regulasi Bitcoin didelegasikan ke jaringan peer-peer yang terdiri dari komputer yang
menjalankan klien Bitcoin, atau Bitcoin Miner. Kapan kamu menginstal Bitcoin Miner di
komputer Anda, mesin Anda pada dasarnya berfungsi sebagai bank Bitcoin, mengeluarkan
mata uang, transaksi validasi, dll. Individu biasanya menjadi bagian dari "kumpulan
penambangan" dan menerima bitcoin pembayaran sebagai bagian dari pembayaran mereka.
Tentunya, botnet sangat cocok untuk kegiatan ini.
Peretasan
Menurut VERIS Data Breach Report untuk 2011, 81% dari pelanggaran di 2011 terlibat
beberapa jenis tindakan peretasan. Beberapa metode yang digunakan untuk mendapatkan
akses ke komputer juga digunakan oleh kode malware. Perbedaan utama antara pelanggaran
peretasan dan infeksi malware adalah bahwa infeksi malware menyebar secara otomatis,
tanpa campur tangan manusia. Meskipun mereka berdua mungkin menggunakan metode
penetrasi yang sama, pelanggaran peretasan adalah serangan ditargetkan ke host atau
organisasi tertentu, yang diarahkan oleh peretas.
Brute-force attack
Brute force adalah metode yang digunakan peretas untuk mendapatkan akses ke akun pada
sistem target dengan mencoba "menebak" kata sandi yang benar. Biasanya ini adalah proses
otomatis yang mungkin diperlukan jam untuk menyelesaikan.
Meskipun versi "dibuat untuk TV" dari serangan ini terdengar agak dibuat-buat, dengan
hacker hanya mencoba beberapa kata sandi dan dengan mudah mengakses ke komputer, itu
tidak terlalu jauh dari kebenaran. Analisis terhadap 450.000 kata sandi yang bocor dengan
serangan Yahoo yang disebutkan sebelumnya dalam bab ini memunculkan mutiara
kebijaksanaan berikut:
• 160 akun Yahoo memiliki kata sandi "111111"
• "kata sandi" digunakan sebagai kata sandi 780 kali
• "ninja" digunakan 333 kali (bukan sebagai "ninja" seperti yang mereka inginkan)
Berikut ini adalah contoh kata sandi yang tidak memadai, 25 kata sandi terburuk tahun 2011
(Tabel 6.1) yang diekstraksi oleh vendor antivirus ESET: 

Serangan Kredensial Default

Peralatan yang dirancang untuk dihubungkan ke jaringan biasanya berasal dari pabrik dengan
kata sandi standar. Begitu juga aplikasi dan basis data perangkat lunak tertentu. Serangan
Kredensial Default merujuk pada insiden di mana peretas memperoleh akses ke sistem atau
perangkat lunak yang dilindungi oleh preset standar (dan karenanya dikenal luas) nama
pengguna dan kata sandi.
Ada banyak situs web yang mengumpulkan daftar kata sandi default. CIRT.net, misalnya,
mengelola database dengan 1937 kata sandi default, dari 467 vendor seperti Microsoft dan
Verizon.
Pada Juli 2012, ISP utama dari Belanda menemukan bahwa akun pelanggan rentan karena
kredensial default. ID pengguna mereka ditetapkan menjadi kode pos mereka + alamat jalan
mereka, dan kata sandi masuk awal adalah "welkom01." Ketika mereka melakukan
pemeriksaan keamanan pada akun mereka menemukan bahwa 140.000 pelanggan tidak
pernah repot mengubah kata sandi default awal.
Sedikit variasi pada temanya adalah Wireless Access Point (WAP), seperti yang mungkin
Anda miliki di rumah. Untuk bergabung dengan router rumah Anda dan mendapatkan akses
jaringan nirkabel, yang Anda butuhkan adalah SID (nama jaringan), yang biasanya disiarkan
dan ditemukan oleh komputer Anda, dan kata sandi router. Ada dua kata sandi populer untuk
WAP yang dikirimkan oleh Penyedia Layanan Internet Anda: baik alamat MAC router atau
nilai heksadesimal lainnya. Keduanya dapat dengan mudah ditemukan tertulis di bagian
bawah WAP. Yang dibutuhkan seorang peretas adalah akses cepat ke jaringan Anda, selama
pertemuan atau pesta, dan voila, akses instan.

Serangan Buffer Overflow

Mari kita mulai dengan analogi. Aliran buffer overflow seperti membuang 1 galon air ke
dalam wadah yang hanya menampung satu gelas. Air pada akhirnya akan meluap dan
menggunakan ruang lain di tempat yang seharusnya tidak dituju. Biasanya tumpahannya
terbuang sia-sia. Namun di dunia komputer, tumpahan yang terbentuk dengan tepat dapat
menghasilkan kunci menuju kerajaan.
Dalam komputasi, aliran buffer berlebih terjadi ketika buffer program atau wadah tidak
dimensinya dengan benar, dan konten yang seharusnya ada dalam memori “tumpah” di
bagian lain memori komputer. Jika isi dari spillover dibuat dengan benar, komputer mungkin
“tertipu” untuk meyakini bahwa spillover sebenarnya adalah bagian dari program yang perlu
dijalankan.

Code Red worm menggunakan buffer overflow dengan menghubungkan ke Microsoft IIS
Server yang rentan dan mengirimkannya sejumlah besar N (huruf kapital N). Pada akhir
string ini, ia akan mengirim potongan kode untuk dieksekusi oleh server web. Sederhana dan
efisien!

Serangan Lintas Situs Skrip (XSS)

XSS adalah salah satu serangan berbasis web yang paling umum. Itu terjadi ketika situs web
memungkinkan pengguna jahat untuk memasukkan informasi dengan konten berbahaya di
dalamnya. Konten biasanya kode javascript yang dijalankan pada klien ketika pengguna lain
mengunjungi situs itu. Target umum untuk serangan ini adalah forum berbasis web.
Perangkat lunak yang mendukung situs-situs ini seringkali tidak memvalidasi input
pengguna, yang memungkinkan pengguna untuk memasukkan html atau kode java. Kode ini
kemudian diterbitkan di forum untuk dilihat dan dieksekusi oleh pengguna lain (Gambar
6.10).
Menurut Accunetix, sebuah perusahaan yang berspesialisasi dalam alat penilaian kerentanan
berbasis web, situs XSS yang dieksploitasi biasanya digunakan untuk melakukan kegiatan
berbahaya berikut:
• Pencurian identitas
• Mengakses informasi sensitif atau terbatas
• Mendapatkan akses gratis ke konten berbayar jika tidak
• Memata-matai kebiasaan browsing web pengguna
• Mengubah fungsi browser
• Pencemaran nama baik publik dari individu atau perusahaan
• Penempatan aplikasi web
•  Penolakan serangan layanan
SQL Injection Attack 
SQL injection adalah teknik serangan yang digunakan untuk mengeksploitasi bagaimana
halaman web berkomunikasi dengan database back-end. Penyerang dapat mengeluarkan
perintah (dalam bentuk pernyataan SQL yang dibuat khusus) ke database menggunakan
kolom input di situs web. 18 Seperti yang Anda lihat, injeksi SQL sangat mirip dengan XSS.
Perbedaan utama adalah bahwa serangan XSS dieksekusi di ujung depan web, sedangkan
serangan SQL dieksekusi di server. Masalah dalam kedua kasus adalah input pengguna tidak
pernah divalidasi dengan benar.

Pada Oktober 2012, kelompok peretas Anonymous menggunakan serangan SQL Injection
terhadap ujung depan web yang rentan untuk mengungkapkan informasi yang tersimpan di
server database 50 universitas di seluruh dunia, termasuk Princeton, John Hopkins, dan
Rutgers.

Penyalahgunaan
Penyalahgunaan melibatkan penggunaan aset secara tidak sah. Dalam kebanyakan kasus,
penyalahgunaan adalah hasil dari tidak adanya prinsip keamanan bersama yang dikenal
sebagai "perlu tahu." Dengan prinsip yang perlu diketahui, seorang individu hanya memiliki
akses ke aset jika ia membutuhkan akses ke aset itu untuk melakukan pekerjaannya. Dan
prinsip itu berlaku secara independen dari posisi orang tersebut dalam organisasi.
Penyalahgunaan Hak Istimewa
Penyalahgunaan hak istimewa terjadi ketika seorang karyawan menggunakan posisinya dan /
atau akses ke aset dengan cara yang tidak benar, menyebabkan kerusakan pada aset dan / atau
organisasi.
Sebagai orang IT, hal pertama yang terlintas dalam pikiran adalah administrator sistem
menyalahgunakan hak istimewa mereka. Ambil contoh kontraktor TI Steven Barnes. Steve
bekerja untuk Blue Falcon Networks, sekarang dikenal sebagai Akimbo Systems. Pada 2008,
Steven diperintahkan, oleh pengadilan di California, untuk membayar ganti rugi $ 54.000
kepada Akimbo dan menghabiskan 1 tahun 1 hari di penjara. Alasannya? Steven
menggunakan aksesnya untuk masuk ke server email Exchange Akimbo dan menghapus
batasan yang ditetapkan pada server itu agar spammer tidak menggunakannya sebagai proxy
spam. Hasilnya setara dengan serangan Denial of Service, dengan sistem email Akimbo turun
segera setelah spammer menemukan pembukaan. Menurut Steven, ia membuka gerbang itu
sebagai pembalasan setelah rekan kerja dari Blue Falcon Networks, yang sekarang dikenal
sebagai Akimbo Systems, datang ke rumahnya dan mengambil komputer pribadinya dengan
paksa pada tahun 2003.
Penipuan dan Penggelapan
Perangkat Akses Palsu dan Penipuan Komputer dan Penyalahgunaan Undang-Undang (18
A.S.C.A. § 1030), disahkan oleh Kongres pada tahun 1984, adalah upaya pertama oleh
pemerintah Federal untuk menangani masalah penipuan di arena TI. Undang-undang tersebut
juga mengkriminalisasi penggunaan komputer untuk mempengaruhi kerusakan sistem
komputer, termasuk perangkat keras dan perangkat lunak mereka dan terutama dirancang
untuk para peretas. Sejak saat itu, CFAA telah digunakan untuk menuntut karyawan yang
menggunakan posisi dan akses mereka ke aset untuk menipu dan menggelapkan uang dari
organisasi dan pelanggan mereka.
Kasus-kasus penyimpangan dan penggelapan yang menggunakan sumber daya TI
berlimpah, terutama ketika individu-individu menemukan diri mereka dalam kesulitan
keuangan. Hal ini menyebabkan perusahaan memerlukan pemeriksaan kredit untuk karyawan
yang memiliki akses ke aset yang berpotensi menyebabkan penipuan.
Pada Agustus 2012, seorang wanita Knoxville mulai melayani 5 tahun dalam masa
percobaan setelah mengakui dia melakukan penipuan komputer saat bekerja sebagai manajer
operasi ritel untuk SunTrust Bank. 21 Tugasnya adalah memastikan cabang di wilayahnya
mengikuti praktik keamanan internal, menurut jaksa penuntut. Dia memiliki akses ke catatan
keuangan pelanggan SunTrust melalui komputer kerjanya, menurut pengacara AS. Berikut
adalah beberapa contoh penipuan komputer lainnya:

 Mengirim email tipuan yang ditujukan untuk menakut-nakuti orang (scareware atau
ransomware)
 Secara ilegal menggunakan komputer orang lain atau "berpose" sebagai orang lain di
Internet
 Menggunakan segala jenis malware atau email untuk mengumpulkan informasi dari
suatu organisasi atau perusahaan dengan tujuan menggunakannya untuk keuntungan
finansial  
 Menggunakan komputer untuk meminta anak di bawah umur ke dalam aliansi
seksual  
 Melindungi undang-undang hak cipta dengan mengunduh dan berbagi materi yang
dilindungi hak cipta tanpa izin pemilik  
 Menggunakan komputer untuk mengubah informasi, seperti nilai, laporan kerja, dll.

Penggunaan Perangkat Lunak yang Tidak Disetujui

Karyawan dapat menjadi agen ancaman ketika mereka melanggar kebijakan perusahaan dan
menginstal aplikasi perangkat lunak pada komputer mereka. Perangkat lunak yang dipasang
di desktop atau smartphone dapat memberikan peretas jalan ke aset perusahaan yang terbatas.
Mengizinkan pengguna menginstal perangkat lunak pada desktop mereka adalah masalah
yang sangat bermasalah bagi universitas. Secara default, universitas seharusnya terbuka, tidak
terbatas, tempat-tempat di mana rasa ingin tahu dan penelitian bersatu untuk mendorong
inovasi. Di sisi lain, keterbukaan yang sama itu bisa berakhir dengan mengekspos data
penelitian dan aset informasi lainnya kepada agen ancaman dengan konsekuensi yang
mengerikan bagi departemen maupun individu.
Pada akhir 1990-an, contoh sempurna dari masalah yang terkait dengan instalasi ini adalah
Bonzi Buddy. Gorila ungu Bonzi lucu dan menggemaskan, favorit banyak pengguna
universitas di kampus. Itu berkeliaran di desktop mereka dan membuat pengguna terhibur.
Sayangnya, ia juga mengumpulkan informasi tentang kebiasaan berselancar pengguna,
menyimpan preferensi (spyware), dan menampilkan iklan terkait di layar (adware). Akhirnya,
ia menghabiskan begitu banyak daya dari CPU sehingga semua aplikasi lain akan melambat
menjadi merangkak (Gambar 6.11).

Karena keterbukaan mereka, sebagian besar universitas tidak memiliki kebijakan yang
melarang pengguna untuk menginstal perangkat lunak di komputer mereka, tetapi banyak
organisasi lain melakukannya. Pada Agustus 2012, Pengadilan Distrik AS untuk Distrik Barat
Oklahoma menyatakan bahwa seorang karyawan yang mengunduh shareware dari Internet
yang melanggar kebijakan perusahaan mungkin bertanggung jawab berdasarkan CFAA
karena menggunakan perangkat lunak yang diunduh untuk mendapatkan dokumen rahasia
perusahaan. Dalam Musket Corp. v. Star Fuel of Oklahoma LLC, pengadilan menyatakan
bahwa siapa pun yang berwenang untuk menggunakan komputer untuk tujuan tertentu tetapi
melewati batasan-batasan tersebut dianggap telah “melampaui akses resmi” di bawah CFAA.

Rekayasa Sosial
Serangan sosial melibatkan percakapan, dialog dengan pengguna yang meyakinkan mereka
untuk melakukan sesuatu yang biasanya tidak mereka lakukan. Bahkan pengguna komputer
yang cerdas mungkin rentan terhadap serangan rekayasa sosial mengingat keadaan yang
benar.
Pretexting
Pretexting adalah teknik di mana penyerang menggunakan skenario rumit untuk
memanipulasi seseorang untuk melakukan suatu tindakan atau membocorkan informasi.
Pretexting juga dikenal di luar bidang teknis sebagai "permainan con" atau "scam."
Salah satu jenis alasan adalah phishing, di mana penyerang menggunakan email untuk
mencoba membuat penerima mengungkapkan informasi. Email phishing dapat dibuat sangat
meyakinkan, menarik secara visual, dan pengirimnya bisa berpose sebagai figur otoritas atau
seseorang yang diketahui pengguna. Phishing biasanya digabungkan dengan  spamming, di
mana penyerang mengirim ribuan dan ribuan email dengan harapan bahwa sebagian kecil
penerima akan diyakinkan dan membuka file yang terinfeksi malware atau membalas dengan
nomor atau kata sandi akun.
Dengan bergeraknya komunikasi telepon menuju Voice Over IP (VOIP), metode pengiriman
baru untuk serangan pretexting muncul. Spam over Internet Protocol atau SPIT adalah
panggilan yang direkam sebelumnya yang dilakukan secara massal menggunakan jaringan
VOIP yang dilanggar. Mereka biasanya menginstruksikan orang tersebut menjawab
panggilan untuk "tetap terhubung" atau menjawab pertanyaan yang akan direkam dan
diteruskan ke peretas. Berlawanan dengan pengiriman email, di mana kontrol yang tersedia
menghentikan sebagian besar spam yang diterima oleh pengguna, tidak ada cara untuk
mengontrol panggilan yang akan diterima telepon seseorang. Sementara beberapa operator
memiliki "daftar hitam" yang tersedia untuk pelanggan (dengan biaya kecil), situasinya tidak
dapat dikelola ketika sumber panggilan berubah secara berkala.
Fisik
Tindakan fisik melibatkan aspek berwujud atau gamblang dari suatu aset. Sayangnya, banyak
organisasi tidak menganggap tindakan ancaman fisik cukup masalah untuk menjamin biaya
perlindungan terhadapnya.
Akses yang tidak Sah
Ini adalah ancaman umum. Banyak organisasi mengharuskan area tertentu dilindungi oleh
mekanisme akses kartu. Namun, dalam upaya bersikap ramah dan sopan, karyawan di
organisasi ini akan membuka pintu jika mereka melihat orang lain berlari menggunakan
peluang untuk memasuki gedung tanpa mencari lencana akses mereka. Karyawan sering kali
tidak akan menantang orang lain jika mereka menangani diri mereka sendiri dengan
keyakinan dan keyakinan, dengan nada "Saya seharusnya berjalan-jalan di sini tanpa lencana
saya."
Pada zaman di mana terorisme berubah dari agen ancaman yang relatif tidak dikenal
menjadi masalah serius, kontrol akses tidak sah ke wilayah dan sistem yang berkaitan dengan
infrastruktur negara, seperti bandara, pembangkit listrik, dan bahkan gardu listrik yang
melayani wilayah terbatas telah menjadi masalah kritis. Sementara pagar dan kontrol akses
lainnya pada awalnya dirancang untuk menjaga orang-orang dari mendapatkan akses dan
terluka dengan menyetrum diri mereka sendiri, sekarang kekhawatirannya adalah bahwa
akses yang tidak sah akan menyebabkan kekurangan serius dalam layanan infrastruktur kritis.
Organisasi sedang meninjau pedoman dan standar mereka untuk perlindungan aset, seperti 
Institute of Electrical and Electronic Engineers (IEEE) dan Standar untuk Keamanan Fisik
Stasiun Tenaga Listrik, 23 berfokus pada agen ancaman yang baru dan sebelumnya diabaikan
ini.

Pencurian
Jalan-jalan di sekitar kampus, pergi ke perpustakaan universitas Anda atau area studi lain.
Anda akan melihat betapa mudahnya mengambil laptop seseorang ketika mereka keluar
dengan cepat untuk pergi ke kamar kecil. Itu banyak waktu untuk menutup tutupnya,
mencabut daya dan melepas dengan perangkat baru

Error
Kategori kesalahan agen ancaman mencakup semua yang dilakukan secara salah dan tidak
sengaja. Ini termasuk kelalaian, kecelakaan, perjalanan, kegagalan fungsi perangkat keras dan
perangkat lunak, dll. Kesalahan tidak termasuk hal-hal yang dibatalkan atau dilakukan secara
tidak benar tetapi sengaja
Kesalahan Entri Data
Kesalahan entri data datang dalam dua varietas: kelalaian atau komisi. Dengan kesalahan
kelalaian, nilai tidak dimasukkan dengan cara yang sesuai. Kesalahan komisi mengacu pada
integritas entri data
Sayangnya kesalahan entri data sering terjadi, tetapi sangat berbahaya di area
Kesehatan. Catatan Kesehatan Elektronik ditempatkan di rumah sakit dan kantor dokter di
seluruh negeri dengan maksud untuk memfasilitasi pertukaran data antara praktik medis dan
tempat perawatan lainnya. Namun, berbagi data dengan cara ini juga akan membagi
kesalahan entri pada data itu sendiri. Sementara teknologi itu sendiri mungkin penting,
pelatihan yang tepat dan uji kegunaan sangat penting untuk operasi yang tepat dari sistem ini.
Kesalahan konfigurasi
Perhatian khusus harus diambil oleh administrator sistem ketika berhadapan dengan server
yang berisi Informasi yang Dapat Diidentifikasi secara Pribadi. Sayangnya, seringkali
pemutakhiran perangkat keras dan lunak dilakukan di bawah tekanan luar biasa untuk
membawa sistem kembali online, dan integritas sistem menderita karenanya.
Insiden paling umum yang melibatkan kesalahan konfigurasi tampaknya terkait
dengan peningkatan ini. Pada 2012, University of North Carolina di Charlotte secara tidak
sengaja mengekspos PII lebih dari 350.000 orang karena kegagalan administrator untuk
memigrasi pengaturan keamanan dengan benar dari server lama yang dinonaktifkan ke server
baru. Hal yang sama terjadi dengan Northwest College di Florida hanya beberapa bulan
kemudian.
Lingkungan Hidup
Tindakan ancaman dalam kategori lingkungan meliputi:
• Bencana alam seperti angin topan, tornado, dan banjir
• Berbagai kontrol lingkungan yang didedikasikan untuk mendukung aset TI, seperti
gangguan daya, kebocoran air, gangguan pendingin udara, dll.

Air conditioning failure

Level3 adalah perusahaan telekomunikasi multinasional besar yang berbasis di Colorado. Ini
menyediakan transportasi jaringan untuk pengiriman data, suara, dan konten untuk sebagian
besar operator telekomunikasi besar di Amerika Serikat dan luar negeri.
Pada tahun 2011, perusahaan mengalami kegagalan AC di salah satu pusat data yang
berlokasi di Perancis. Karena keadaan sebenarnya dalam pusat data adalah premium,
perusahaan cenderung mengemas sebanyak mungkin server untuk meminimalkan biaya
dukungan. Sebagai hasilnya, menjaga udara tetap dingin adalah suatu keharusan. Setelah
beberapa jam, suhu sekitar di ruang server mencapai 131 ° F. Ketika suhu sekitar mencapai
titik itu, motherboard dan sirkuit terintegrasi mulai gagal. Hard drive mungkin masih ada
berfungsi setelah suhu kembali normal, tetapi masalah dengan kepala atau pelat yang rapuh
dapat mengintai di latar belakang selama berbulan-bulan sebelum mereka muncul dalam
diagnostik apa pun.
Pelakunya jelas. Sistem pendingin udara menggunakan pasokan air dingin untuk
bekerja. Sebelumnya pada hari itu, saluran yang memasok air dingin ke sistem AC pusat data
Prancis pecah. Tanpa sumber air dingin yang berlebihan, sistem AC tidak dapat beroperasi
dan dimatikan.
Hurricanes 
Kami berada di lantai 10 dan 11 dari gedung tinggi perusahaan di Poydras Ave., tepat di
dekat St. Charles. Kami memiliki generator dan banyak makanan dan air. Ini adalah lima
dari kita total. Saya tidak yakin bagaimana koneksi Internet akan terpengaruh. Saya punya
kamera dan senjata saya. Angin yang berkelanjutan adalah 175, hembusan ke 215. Bahaya
sebenarnya bukan angin, itu adalah gelombang badai angin yang akan mendorong kota dari
Teluk melalui danau. Kota itu mungkin tidak akan pernah pulih. Jujur saja, hal ini bisa jadi
alkitabiah.  
Entri tersebut diposting oleh Michael Barnett, mantan Green Beret dan konsultan
untuk Intercosmos Media Group, perusahaan induk dari perusahaan web host zipa.com.
Barnett dipekerjakan secara khusus sebagai manajer krisis untuk Badai Katrina yang
mendekat. Dia bersembunyi dengan pacarnya di pusat data untuk melindungi aset dan
mudah-mudahan bisa keluar dari badai.
Katrina terbukti menjadi monster, dengan kerusakan jutaan dolar. Dari tempat
bertenggernya di lantai 10, Barnett mendokumentasikan kekacauan, penjarahan, dan
perjuangannya untuk menjaga operasi tetap berjalan dengan sumber daya yang semakin
menipis. Sayangnya, ini bukan badai terakhir. Setiap tahun, dari Juni hingga September,
organisasi-organisasi yang bertempat tinggal di dekat daerah rawan bersiap menghadapi
angin dan banjir yang umumnya terkait dengan angin topan. Mereka adalah salah satu
ancaman paling dahsyat untuk menghadapi pusat data dan aset tempat mereka tinggal.
Kerentanan
Kami telah mendefinisikan kerentanan sebagai kelemahan dalam sistem informasi yang
memberikan ancaman peluang untuk mengkompromikan aset. Kedua istilah, kerentanan dan
ancaman, sering digunakan secara bergantian dalam industri, terutama oleh vendor. Namun,
sangat relevan untuk membedakan keduanya. Dengan sendirinya, kerentanan tidak
menghadirkan risiko terhadap aset. Dengan cara yang sama, ancaman tidak menghadirkan
risiko kecuali jika ada kerentanan dalam sistem yang dapat dieksploitasi oleh ancaman.
Tidak setiap kerentanan menghadirkan ancaman bagi jaringan. Tidak semua
kerentanan perlu segera ditambal. Hanya kerentanan yang dapat dieksploitasi yang
merupakan ancaman bagi operasi bisnis dan aset informasi. Sudah biasa bagi tim
administratif untuk menerima laporan kerentanan dengan permintaan tindakan segera untuk
menghilangkannya. Salah satu sumber dari permintaan ini adalah tim audit internal
organisasi. Sumber umum lainnya dari pesan fi-it-now-so-so-the-press / vendor-critical
adalah manajemen, termasuk banyak Direktur IS. Tetapi haruskah semua kerentanan
dianggap darurat? Apakah semua kerentanan layak untuk dolar anggaran keamanan Anda?

Agen ancaman menggunakan pengetahuan mereka tentang kerentanan untuk menghasilkan

ancaman baru terhadap aset. Untuk aset informasi, modifikasi kode perangkat lunak yang ada
yang akan menyelesaikan kerentanan dikenal sebagai "patch keamanan." Database
Kerentanan Nasional Departemen Keamanan Dalam Negeri (NVD) 27 melaporkan 3532
kerentanan pada 2011, sekitar 10 kerentanan baru ditemukan setiap hari. Ini sebenarnya
merupakan peningkatan dibandingkan dengan angka dari 2009 dan 2010 (Gambar 6.12).

Kerentanan sistem operasi

Kerentanan sistem operasi adalah masalah-masalah dengan sistem operasi yang dapat
memberikan akses hacker ke fungsi dan akun sistem operasi. Karena OS adalah blok
pembangun dasar untuk semua aplikasi yang berjalan pada suatu sistem, administrator
biasanya diminta untuk menerapkan patch keamanan OS.
Microsoft menerbitkan tambalan mereka pada hari Selasa kedua setiap bulan. Tanggal
ini dikenal sebagai Patch Tuesday atau Black Tuesday, sebagai pengakuan atas fakta bahwa
administrator harus
idealnya menerapkan tambalan pada server uji dan menganalisis efeknya sebelum
menerapkan tambalan pada server produksi. Jika tambalan dianggap kritis, Microsoft akan
merilis tambalan keamanan antara hari Selasa. Jenis tambalan ini dikenal sebagai Patch Out
of Band
Di antara 10 kerentanan eksternal teratas yang terdaftar oleh vendor keamanan Qualys
untuk Agustus 2012, berikut ini adalah kerentanan sistem pengoperasian internal Microsoft.
Kerentanan internal adalah kerentanan yang dapat dieksploitasi begitu hacker memiliki
pijakan pada komputer yang rentan, biasanya melalui akun non-admin yang dikompromikan.
Peretas kemudian menggunakan kerentanan ini untuk mendapatkan akses administratif dan
kontrol atas komputer.
Microsoft XML inti layanan kerentanan eksekusi kode jauh (MS12-043 dan KB2719615)
Microsoft XML Core Services 3.0, 4.0, 5.0, dan 6.0 mengakses lokasi memori yang tidak
diinisialisasi, memungkinkan penyerang jarak jauh untuk mengeksekusi kode arbitrer atau
menyebabkan Penolakan Layanan melalui situs web yang dibuat.
Kerentanan eksekusi kode jauh ada dalam cara Microsoft XML Core Services
menangani objek dalam memori. Kerentanan dapat memungkinkan eksekusi kode jauh jika
pengguna melihat situs web yang berisi konten yang dibuat khusus. Seorang penyerang yang
berhasil mengeksploitasi kerentanan ini dapat mengambil kendali penuh dari sistem yang
terpengaruh. Seorang penyerang kemudian dapat menginstal program; melihat, mengubah,
atau menghapus data; atau buat akun baru dengan hak pengguna penuh. Pengguna yang
akunnya dikonfigurasikan memiliki hak pengguna yang lebih sedikit pada sistem bisa lebih
sedikit terkena dampak dibandingkan pengguna yang beroperasi dengan hak pengguna
administratif.

Microsoft Windows sertifikat digital spoofing kerentanan (KB2728973)

Sertifikasi digital tanpa izin dapat memungkinkan spoofi. Peti sertifikat dikeluarkan secara
tidak teratur oleh Otoritas Sertifikasi Microsoft dan digunakan untuk menandatangani bagian
dari malware "Api". Flame adalah malware yang tampaknya dirancang untuk menargetkan
spionase seperti salah satu pendahulunya, Stuxnet. Malware ini ditemukan oleh Kaspersky
Labs pada Mei 2012 tetapi tampaknya berada di alam liar sejak 2010.
Kerentanan eksekusi kode jauh Microsoft Windows shell (MS12-048)
Kerentanan eksekusi kode jauh ada dalam cara Windows menangani file dan nama direktori.
Kerentanan ini dapat memungkinkan eksekusi kode jauh jika pengguna membuka file atau
direktori dengan nama yang dibuat khusus. Jika pengguna masuk dengan hak pengguna
administratif, penyerang yang berhasil mengeksploitasi kerentanan ini dapat mengambil
kendali penuh dari sistem yang terpengaruh. Seorang penyerang kemudian dapat menginstal
program; melihat, mengubah, atau menghapus data; atau buat akun baru dengan hak
pengguna penuh. Pengguna yang akunnya dikonfigurasikan memiliki hak pengguna yang
lebih sedikit pada sistem bisa lebih sedikit terkena dampak dibandingkan pengguna yang
beroperasi dengan hak pengguna administratif.
Microsoft Windows-mode driver driver peningkatan kerentanan hak istimewa (MS12-047)
Peningkatan kerentanan hak istimewa ada dalam cara driver mode kernel Windows
menangani tata letak keyboard tertentu. Penyerang yang berhasil mengeksploitasi kerentanan
ini dapat menjalankan kode arbitrer dalam mode kernel. Seorang penyerang kemudian dapat
menginstal program; melihat, mengubah, atau menghapus data; atau buat akun baru dengan
hak administratif penuh.
Kerentanan eksekusi kode jauh komponen Microsoft Data Access (MS12-045)
Kerentanan eksekusi kode jarak jauh ada dalam cara Komponen Akses Data Microsoft
mengakses objek dalam memori yang telah diinisialisasi dengan tidak benar. Penyerang yang
berhasil mengeksploitasi kerentanan ini dapat menjalankan kode arbitrer pada sistem target.
Seorang penyerang kemudian dapat menginstal program; melihat, mengubah, atau
menghapus data; atau buat akun baru dengan hak pengguna penuh.

Kerentanan aplikasi web

Aplikasi web memasukkan titik masuk lainnya ke aset yang mendasarinya. Proyek Keamanan
Aplikasi Web Terbuka (OWASP) adalah organisasi nirlaba dengan sejumlah bab dan proyek
yang mencoba membuat aplikasi berbasis web lebih aman. Sebagai bagian dari upaya ini,
OWASP menerbitkan daftar kerentanan teratas yang ditemukan dalam aplikasi web. Kami
sudah membahas beberapa ketika kami berbicara tentang tindakan ancaman.
Injection
Injeksi terjadi ketika mekanisme melakukan interpretasi perintah yang dikirim oleh komputer
klien tidak memvalidasi perintah sebelum meneruskannya ke aplikasi yang akan dieksekusi.
Ketika input tidak divalidasi dengan benar, server web dapat mencoba untuk mengeksekusi
perintah yang harus dibatasi dan tidak pernah dieksekusi. Pada dasarnya, fakta bahwa input
tidak divalidasi memberikan penyerang "pseudo shell" ke server dan / atau database-nya.
Mencegah injeksi membutuhkan menjaga data yang dilewatkan oleh sumber luar
(seperti dalam formulir web) terpisah dari perintah dan permintaan back-end yang
sebenarnya.
Cara yang lebih disukai untuk menangani masalah ini adalah dengan menggunakan
Antarmuka Pemrograman Aplikasi atau API. Dengan API, pemrogram membatasi jenis input
yang diterima dari klien. Sebagai contoh, seorang programmer dapat memiliki API yang
hanya menerima perintah tunggal, satu kata seperti BACA, MENULIS, dan
MEMODIFIKASI. Apa pun selain kata-kata kunci ini diabaikan.
Jika metode ini tidak tersedia, programmer harus hati-hati memeriksa interpretasi dan
membersihkan perintah yang akan memungkinkan klien untuk keluar dari lingkungan.
Sebagai contoh, jika perintah yang dikirimkan oleh klien akan diteruskan sebagai parameter
untuk pernyataan SQL, program harus kesalahan jika ada tanda titik koma yang dilewatkan
oleh klien.
Serangan menggunakan mekanisme injeksi adalah yang paling populer dan mudah
digunakan, seperti SQL Injection atau LDAP Injection.
Skrip lintas situs (XSS)
Kelemahan XSS terjadi setiap kali aplikasi mengambil data yang tidak dipercaya dan
mengirimkannya ke browser web tanpa validasi dan pelolosan yang tepat. XSS
memungkinkan penyerang untuk mengeksekusi skrip di browser korban, yang dapat
membajak sesi pengguna, menghapus situs web, atau mengarahkan pengguna ke situs
berbahaya. 33 Sementara aset target untuk serangan menggunakan injeksi adalah server,
target utama untuk serangan menggunakan kerentanan XSS adalah klien yang terhubung ke
server.
Pemalsuan permintaan lintas situs (CSRF)
Ketika Anda duduk untuk menggunakan komputer Anda, kemungkinan Anda masuk ke
banyak situs yang berbeda: Facebook, MSN, CNN, dan lainnya. Seorang peretas yang
menggunakan kerentanan CSRF menggunakan fakta ini untuk mengirim "permintaan" ke
layanan masuk ini atas nama Anda.
Sementara serangan XSS "memantulkan" muatan di server kembali ke klien, serangan
CSRF hanya menjalankan perintah di server atas nama klien. Misalnya, di belakang layar,
tanpa sepengetahuan Anda, seorang peretas dapat mengirim permintaan HTTP ke server
dengan cara ini:
http://somesite.com/change-password.php&user=jdoe?new-pwd=ilikepie Server web
menerima permintaan ini, confi rms "jdoe" sudah masuk dan mengubah kata sandi menjadi
"ilikepie."
Perlindungan lapisan transport tidak mencukupi
Sederhananya, ini diterjemahkan untuk memastikan server web Anda mengaktifkan enkripsi
yang sesuai. Tidak semua server web mungkin memerlukan enkripsi data. Mungkin alasan
nomor satu untuk koneksi HTTPS adalah situs web yang mengharuskan pengguna untuk
masuk. Kecuali jika transaksi login adalah
(Kecuali proses Login) terenkripsi, seluruh konten dapat dilihat oleh seorang peretas (hacker)
yang memiliki akses, termasuk dokumen login pengguna.
Penting untuk menggunakan algoritma yang valid, sesuai dengan standar industri
untuk enkripsi. Kita akan mempelajari lebih lanjut mengenai enkripsi pada chapter
selanjutnya.

Contoh Kasus – Gozi

Ketika Anda berpikir mengenai ancaman keamanan informasi, Anda mungkin akan berpikir
mengenai orang yang Pintar tetapi tidak jujur mencoba untuk menyerang komputer Anda
untuk mendapatkan keuntungan pribadi. Tapi apakah Anda sadar ada industry yang baru
yang sedang mengembangkan perangkat lunak untuk membantu orang yang sedang belajar
untuk menjadi penyerang kekuatan-industry-agar-mendapatkan-keuntungan? Pada 23 Januari
2013, pengacara Amerika Serikat menuntut tiga orang- Nikita Kuzmin dari Rusia, Dennis
Calovskis dari Latvia, dan Mihai Paunescu dari Romania karena menciptakan dan
menyebarkan Gozi Trojan. Perangkat lunak ini diatur untuk setiap pelanggan untuk
menyerang institusi keuangan yang secara spesifik dipilih oleh pelanggan. Ketiga orang
tersebut telah ditahan diberbagai belahan dunia dalam kurun waktu dua tahun terakhir.
Virus Gozi dibuat pada tahun 2005 dan disebarkan melalui file pdf. Ketika file dibuka, virus
ini akan ter-install dengan sendirinya, tetapi tidak melakukan hal yang membahayakan,
namun menghindari pemeriksaan menyeluruh dari anti virus. Pada akhirnya, vrus tersebut
telah ter-install pada jutaan komputer diseluruh dunia, termasuk lebih dari 40.000 komputer
di Amerika Serikat.
Para pembuat virus Gozi sangat selektif dalam memilih pelanggannya. Ketika seorang
pelanggan selesai membayar, mesin peinfeksi yang dipilih Customer akan tersedia.
Pelanggan kemudian dapat memilih perusahaan keuangan untuk menjadi target, berdasarkan
perilaku penggunaan atau preferensi bank dari sekumpulan korban yang telah tersedia. Tim
Gozi kemudian akan menulis program yang sudah di kustomisasi untuk pelanggan, dimana
program tersebut akan mengganggu komunikasi antara nasabah dengan bank yang dilakukan
melalui web, hal ini mengizinkan pelanggan dari Tim Gozi untuk mengambil seluruh
informasi yang bersifat rahasia. 
Untuk memfasilitasi pengiriman uang, Tim Gozi juga memikat para individu dengan skema
isian-amplop. Para individu ini akan menerima uang dari bank dan mengirimkannya kepada
pelanggan, menawarkan level anonimitas kepada pelanggan.
Jika dinyatakan bersalah, setiap anggota dari ketiga member dari Tim Gozi akan dipenjara
selama lebih dari 60 tahun.

SUMMARY
Pada Bab ini, kita melihat bahwa ancaman terdiri dari seorang agen yang melakukan tindakan
terhadap aset. Kita kemudian melihat pada agen-agen yang penting dan aksi-aksi yang
kemungkinan akan Anda hadapi pada karir Anda.
PERTANYAAN ULASAN BAB
1. Apa yang dimaksud dengan Ancaman? Berikan contoh.
2. Apa yang dimaksud dengan model ancaman? Mengapa model ancaman berguna?
3. Pertimbangkan laptop Anda sebagai sebuah Aset. Gambarkan model ancaman Anda
untuk aset tersebut.
4. Apa yang dimaksud dengan agen ancaman? Berikan contoh.
5. Apa saja tipe-tipe dari agen ancaman? Bagaimana mereka telah berevolusi selama ini
secara merata?
6. Gambarkan penipuan khas Nigerian 419.
7. Apa yang dimaksud dengan Hacktivist?
8. Menurut pendapat Anda, Organisasi lokal mana di daerah Anda yang kemungkinan
akan menjadi Target Hacktivist? Mengapa?
9. Apa saja motivasi pemerintah untuk mensponsori atau menyokong kejahatan dunia
maya yang diketahui?
10. Apa yang dimaksud dengan agen ancaman internal? Berikan contoh. Diantara hal
tersebut apa yang paling berbahaya? Mengapa?
11. Bagaimana Manajemen atas (Top Management) menjadi seorang agen internal dari
perspektif keamanan informasi?
12. Apa yang dimaksud dengan aksi ancaman? Apa saja aksi ancaman yang biasanya
terjadi?
13. Aksi ancaman apa yang berasal dari perusahaan jasa layanan IT?
14. Apa yang dimaksud dengan serangan brute-force? Apa saja tujuan dari serangan
brute-force?
15. Bagaimanaa seorang mantan karyawan menjadi ancaman? 
16. Apa yang dimaksud dengan ancaman zero-day?
17. Apa yang dimaksud dengan ancaman pemindahan (shifting)? Bagaimana hal tersebut
memengaruhi kerja para professional keamanan informasi?
18. Apa yang dimaksud dengan serangan penulisan cross-site? Apa tujuan dari serangan
penulisan cross-site?
19. Aksi ancaman apa saja yang dapat berasal dari lingkungan?
20. Meurut pendapat Anda aksi ancaman apa saja yang berasal dari lingkungan di daerah
Anda?
21. Apa yang dimaksud dengan kerentanan (vulnerabilities)?
22. apa hubungan antara kerentanan dengan ancaman?
23. Mengapa patch selasa mengacu pada pekerjaan keamanan informasi?
24. Apa yang dimaksud dengan OWASP? Mengapa hal tersebut penting untuk
professional keamanan informasi?
25. Ingat kembali mengenai model ancaman untuk laptop Anda pada pertanyaan nomor
tiga. Menurut pendapat Anda siapa agen ancaman paling penting dan apa aksi ancaman
paling penting di model Anda?

PERTANYAAN CONTOH KASUS

1. Berdasarkan informasi yang telah disediakan di studi kasus, apa saran yang akan
Anda berikan untuk teman Anda agar tetap aman selama online?
2. Apa yang dimaksud dengan “tahan peluru” (bulletproof) hosting? Mengapa hal
tersebut berharga untuk penjahat dunia maya? (Anda mungkin perlu melakukan pencarian
secara online)
3. Apa pelanggaran yang dibebankan kepada setiap individu yang ada di The Ring?

AKTIVITAS SECARA LANGSUNG – PENGAMATAN KERENTANAN

Pada latihan ini, Anda akan memasang dan menguji Open Vulnerability Assessment Scanner
(OpenVAS) pada mesin virtual Linux termasuk teks berikut ini. Open VAS merupakan
serangkaian tools yang mengizinkan Admin keamanan untuk mengelola pengamatan sebuah
sistem dalam jumlah besar dari kerentanan jaringan. Untuk informasi lebih lanjut, harap
melihat situs web OpenVAS: http://www.openvas.org .

Untuk memasang OpenVAS, buka jendela terminal dan ‘su’ pada akun root: 
[alice@sunshine ~]$ su-

Password: thisisasecret

Selanjutnya, gunakan pengelola paket YUM untuk memasang paket-paket yang dibutuhkan:
[root@sunshine ~]# yum -y install openvas
Loaded plugins: downloadonly, fastestmirror,
refresh-packagekit, security
Loading mirror speeds from cached hostfile
* atomic: www4.atomicorp.com
* base: mirror.flhsi.com
* extras: mirror.cogentco.com
* updates: mirrors.adams.net
Setting up Install Process
Resolving Dependencies
--> Running transaction check
---> Package openvas.noarch 0:1.0-5.el6.
art will be installed
--> Processing Dependency: openvas-administrator
for package: openvas-1.0-5.el6.
art.noarch
--> Processing Dependency: wmi for package:
openvas-1.0-5.el6.art.noarch
--> Processing Dependency: openvas-scanner
for package: openvas-1.0-5.el6.art.
noarch
--> Processing Dependency: wapiti for

package: openvas-1.0-5.el6.art.noarch--> 

Perintah ini akan menginstal sekitar 40 paket baru sistem. Ketika instalasi selesai (ini
mungkin memakan waktu tergantung pada koneksi Internet Anda), jalankan perintah
openvas-setup untuk memulai proses konfigurasi OpenVAS dan masukkan nilai-nilai di
bawah ini.
[root@sunshine ~]# openvas-setup

Openvas Setup, Version: 0.3

Langkah 1: Perbarui data NVT dan SCAP

Harap perhatikan langkah ini bisa memakan waktu. Setelah selesai, data NVT dan SCAP
akan  diperbarui secara otomatis setiap 24 jam
Updating NVTs....
Updating SCAP data...
[i] This script synchronizes a SCAP data
directory with the OpenVAS one.
[i] SCAP dir: /var/lib/openvas/scap-data
[i] Will use rsync
[i] Using rsync: /usr/bin/rsync
[i] Configured SCAP data rsync feed:
rsync://feed.openvas.org:/scap-data
OpenVAS feed server - http://openvas.org/
This service is hosted by Intevation GmbH -
http://intevation.de/
All transactions are logged.
Please report problems to admin@intevation.
de
receiving incremental file list
./
COPYING 1493 100% 1.42MB/s
0:00:00 (xfer#1, to-check=30/32)
COPYING.asc 198 100% 193.36kB/s
0:00:00 (xfer#2, to-check=29/32)
debian.6.0.xml 980140 100% 652.02kB/s
0:00:01 (xfer#3, to-check=28/32)
debian.6.0.xml.asc 198 100% 0.51kB/s
0:00:00 (xfer#4, to-check=27/32)

...

Langkah 2: Konfigurasi GSAD

Greenbone Security Assistant adalah Web Berbasis front-end untuk mengelola pemindaian. 
Secara default itu dikonfigurasi hanya mengizinkan koneksi dari localhost. 
Allow connections from any IP? [Default:

yes] No.

Langkah 3: Pilih password untuk admin GSAD

Pengguna admin digunakan untuk mengonfigurasi akun, Perbarui NVT secara manual, dan
kelola peran.
Enter administrator username: openvas-admin
Enter Administrator Password: 12345qwert
Verify Administrator Password: 12345qwert
ad main:MESSAGE:9806:2013-01-19 14h39.33
EST: No rules file provided, the new user
will have no restrictions.
ad main:MESSAGE:9806:2013-01-19 14h39.33
EST: User openvas-admin has been successfully
created.
Step 4: Create a user
Using /var/tmp as a temporary file holder.
Add a new openvassd user
---------------------------------
Login: openvas-user
Authentication (pass/cert) [pass] : pass
Login password : secret
Login password (again) : secret
User rules
---------------
openvassd has a rules system which allows
you to restrict the hosts that openvasuser
has the right to test.
For instance, you may want him to be able
to scan his own host only.
Please see the openvas-adduser(8) man
page for the rules syntax.
Enter the rules for this user, and hit
ctrl-D once you are done:
(the user can have an empty rules set)
Ctrl-D
Login : openvas-user
Password : ***********
Rules :
Is that ok? (y/n) [y] y
user added.
Starting openvas-administrator...
Starting openvas-administrator: [ OK ]
Setup complete, you can now access GSAD

at: https://<IP>:9392

Untuk menyelesaikan proses pengaturan, Anda harus menjalankan satu perintah lagi. Perlu
diketahui bahwa perintah ini bisa membutuhkan waktu 20 menit atau lebih untuk
menyelesaikannya, jadi harap bersabar.
[root@sunshine tmp]# /opt/book/threats/
scripts/finish_openvas_setup This program
completes the OpenVAS configuration
process.
Stage 1: Loading and processing plugins
Processing 57744 plugins. Please be
patient. This will take 15 minutes or
more depending on your hardware.
Starting openvas-scanner: base gpgme-
Message: Setting GnuPG homedir to '/etc/
openvas/gnupg' base gpgme-Message: Using
OpenPGP engine version '2.0.14'

Stage 2: Building the OpenVAS-Manger

database
This will take 10-15 minutes depending on
your hardware.
done.

Stage 3: Starting services

Stopping openvas-manager:
Starting openvas-manager: Stopping
openvas-administrator:
Starting openvas-administrator:
Setup complete. Please open Firefox and

go to https://www.sunshine.edu:9392

Buka jendela browser web dan buka https://www.sunshine.edu:9392. Anda akan diberikan
sertifikat -Peringatan. Peringatan ditampilkan karena sertifikat dihasilkan selama proses
instalasi OpenVAS, jadi FireFox tidak dapat memverifikasi sertifikat dengan wewenang
eksternal. 

Klik panah di sebelah “I Understand the Risks” dan kemudian klik pada tombol “Add
Exception. . . ". Layar ditunjukkan pada Gambar 6.13 akan ditampilkan. Untuk menerima
sertifikasi, pastikan bahwa "Permanently Store This Exception" checkbox telah dicek dan klik
tombol "Confirm Security Exception".

Anda akan disajikan layar masuk untuk "Greenbone Security Assistant" (GSA). GSA adalah
salah satu dari beberapa aplikasi yang membentuk sistem OpenVAS. Dimana menyediakan
antarmuka grafis untuk semua pemindaian OpenVAS fitur. Untuk masuk, gunakan akun dan
kata sandi openvas-user yang telah Anda buat di atas. Layar utama untuk GSA ditampilkan
pada Gambar 6.14:

Pilih "New Task" dari menu "Scan Management". Layar pada Gambar 6.15 akan ditampilkan.
Untuk membuat pemindaian tugas yang baru, ada di kolom "Name" - kami telah menyebut
sampel ini "myScan", tetapi nama pastinya tidak begitu penting. Ubah kotak dropdown “Scan
Config” ke “Full and Very Deep Ultimate”; ini memungkinkan semua pemindaian kerentanan
yang ada pada OpenVAS disertakan. Anda dapat meninggalkan bidang lain pada nilai
defaultnya. Klik "Create Task" untuk menyelesaikan konfigurasi. 

Gambar 6.13. Sertifikat Pengecualian Firefox

Gambar 6.14. Layar Utama GSA

 Gambar 6.15. Konfigurasi Tugas Baru

Gambar 6.16. Memulai Pemindaian Baru

Setelah tugas dibuat, Anda akan disajikan layar tugas. Untuk memulai pemindaian, klik
tombol start (lihat Gambar 6.16). Status tugas akan beralih dari "Baru" ke "Diminta."
Diperlukan 5-10 menit untuk menyelesaikan pemindaian, tetapi Anda dapat menyegarkan
halaman di Firefox untuk memeriksa status saat ini. 

Setelah pemindaian selesai, klik tombol perincian (lihat Gambar 6.17). 

Halaman detail pemindaian memberi Anda gambaran umum pindaian yang telah dijalankan
dan hasilnya. Untuk melihat laporan untuk pemindaian yang baru saja selesai, klik tombol
perincian untuk membuka Halaman Laporan. Dalam Laporan Halaman, Anda dapat melihat
hasil pemindaian atau mengunduh laporan dalam berbagai format. Untuk mengunduh
laporan, pilih format file dan klik tombol unduh (lihat Gambar 6.18).

Kiriman

Simpan laporan lengkap sebagai openvas_report.pdf dan serahkan ke instruktur Anda.

 Gambar 6.17. Melihat Rincian Pemindaian

Gambar 6.18. Halaman Laporan

LATIHAN BERPIKIR KRITIS – RENCANAN PERANG CYBER IRAN PADA TAHUN

2003

Pada Agustus 2009, New York Times melaporkan bahwa pada tahun 2003, ketika AS
merencanakan perang Irak, Intelijen Agensi Amerika Serikat dan Pentagon mengembangkan
sebuah rencana untuk meluncurkan serangan cyber dengan tujuan pembekuan rekening bank
yang dioperasikan oleh Saddam Hussein. Ada miliaran dolar dalam akun-akun ini, yang
digunakan untuk membayar gaji tantara personel dan membeli persediaan. Jika berhasil,
siasat cyber akan melumpuhkan kemampuan Saddam Hussein untuk mengupah perang
dengan senjata kinetik (konvensional).

Seperti yang dilaporkan New York Times, meskipun para pejabat yang terlibat dalam
mengembangkan rencana serangan cyber percaya diri akan kemampuan mereka untuk
melakukan serangan, mereka tidak pernah mendapatkan persetujuan untuk melaksanakan
rencana mereka. Pejabat Presiden Pemerintahan Bush prihatin dengan kerusakan yang
mungkin ditimbulkan, yaitu, dampak pada akun yang dimiliki oleh individu lain, jika ada
bagian dari serangan cyber tidak berjalan sesuai rencana. Ini bisa menciptakan kekacauan
keuangan di seluruh dunia, dimulai dengan Timur Tengah, tetapi kemungkinan akan
menyebar ke Eropa dan bahkan Amerika Serikat.

Itu tahun 2003. Sejak saat itu teknologi telah berkembang, dan perang cyber semakin menjadi
bagian dari gudang senjata militer. Bahkan saat perang Irak tahun 2003, militer serangan
termasuk mengganggu sistem telepon di Irak. Aksi ini sementara waktu mempengaruhi
layanan telepon sipil di negara-negara tetangga Irak. Namun, kerusakan jaminan ini dianggap
dapat diterima saat itu. Namun kerusakan tambahan dari serangan cyber yang rusak dianggap
tidak dapat ditoleransi. Namun sejak dulu, Pemerintah AS merasa nyaman menggunakan
serangan siber untuk memajukan tujuannya, didokumentasikan dengan terbaik dalam kasus
virus Stuxnet.

REFERENSI 

Markoff, J. and Shanker, T. “Halted ’03 Iraq plan illustrates U.S. fear of cyberwar risk,” New
York Times, August 1, 2009

PERTANYAAN BERPIKIR KRITIS

1. Apasaja beberapa cara (yang meskipun tidak mungkin) dari serangan cyber yang
diusulkan yang mungkin dapat mengancam diri Anda?
2. Apasaja beberapa cara dari serangan cyber militer yang dapat membahayakan
masyarakat?
3. Batasan tradisional militer berdasarkan Konvensi Geneva dan Piagam PBB disebut
proporsionalitas, ide dimana hukuman harus setara dengan kejahatan. Sebagaimana telah
diberikan resiko dari serangan cyber di pertanyaan sebelumnya, menurut Anda apakah
serangan cyber memiliki kemungkinan lebih besar untuk menyebabkan ancaman yang tidak
sesuai untuk masyarakat dari pada senjata konvensional?

KASUS DESAIN

Help Desk di Fakultas Teknik Universitas Sunshine memiliki hak istimewa. yakni dapat
memperbaiki masalah akses pengguna dengan melewati prosedur kontrol akses normal.

Bagaimana ini bisa terjadi, Anda mungkin bertanya-tanya? Bertahun-tahun yang lalu,
seorang profesor Teknik Listrik dengan prestise yang cukup besar di Perguruan Tinggi tidak
dapat menyerahkan proposal hibah karena akun yang ia miliki tidak sengaja terkunci selama
akhir pekan. Dekan Fakultas dan Ketua Departemen sangat luar biasa tidak bahagia. Sebagai
solusi "sementara", pekerja siswa di Help Desk diberikan hak administratif kepada Rekayasa
domain, sehingga mereka dapat mengubah kata sandi dan membuka kunci akun tanpa
mengganggu fakultas dan staf. Bertahun-tahun kemudian, apa yang disebut "solusi
sementara" telah menjadi respons permanen, dan cepat selama akhir pekan yang diharapkan
oleh semua pengguna.
 Suatu Sabtu pagi, Adam, seorang siswa baru dipekerjakan sebagai karyawan Help
Desk memutuskan, bertentangan dengan kebijakan fakultas, untuk menginstal klien
BitTorrent di Help Desk komputernya. Kemudian di minggu ini, investigasi ke dalam laporan
komputer lambat mengarah ke penemuan botnet instalasi pada sebagian besar komputer di
Fakultas. Setelah berhari-hari diselidiki, sumber botnet instalasi ditemukan ketika keylogger
ditemukan mesin yang digunakan Adam. Dia secara tidak sengaja menginstal malware pada
mesin bersama dengan BitTorrent instalasi dan malware keylogger telah ditangkap
Kredensial Adam. 

Dekan Universitas telah meminta Anda untuk menyerahkan laporkan insiden di

mejanya sesegera mungkin, termasuk rekomendasi untuk mencegah insiden seperti itu di
masa depan. 

1. Sebutkan ancaman dan kerentanan yang memungkinkan situasi ini terjadi.

2. Klasifikasi semua peristiwa yang ditemukan dalam nomor 1 di atas, termasuk:
a. Aset yang terpengaruh, termasuk klasifikasi aset dan karakterisasi 
b. Agen ancaman (termasuk internal, eksternal, atau mitra)
c. Tindakan ancaman (tipe, dll.) 
d. Kerentanan yang digunakan
3. Rekomendasi apa yang akan Anda buat untuk Dekan agar bergerak maju?
3. Menurut Anda, apa yang harus dilakukan dengan Adam, si siswa baru-baru ini
direkrut ke posisi Help Desk?

BAB 7 KONTROL ENKRIPSI

Gambaran

Enkripsi adalah salah satu teknologi operasional inti yang digunakan dalam keamanan
informasi. Di dalamnya terdapat bentuk penting, yang membantu memberikan kerahasiaan
informasi. Melalui aplikasi inovatif, enkripsi juga dapat mengkonfirmasi integritas informasi
dan identitas pengirim. Setiap transaksi komersial yang dilakukan melalui Internet
menggunakan enkripsi untuk menjaga informasi keamanan. Enkripsi memastikan bahwa
informasi keuangan seperti nomor kartu kredit yang dikirim melalui Internet tidak dicuri
selama transit. Dalam banyak kasus, enkripsi tidak hanya sesuai tetapi juga juga diwajibkan
oleh hukum federal. Oleh karena itu enkripsi adalah bagian penting dari infrastruktur
komersial modern. Dalam bab ini, kami memperkenalkan dasar-dasar teknologi enkripsi. Kita
juga membahas tantangan operasional dalam mengimplementasikan enkripsi dan solusi yang
telah dikembangkan untuk mengatasi tantangan ini. Di akhir bab ini, Anda harus tahu:

o Tiga jenis enkripsi yang umum digunakan dan penggunaannya yang paling
tepat
o Implementasi standar dari teknologi enkripsi yang digunakan dalam
pertukaran informasi
o Penggunaan teknologi alternatif enkripsi untuk memverifikasi identitas dalam
bentuk sertifikat 
o Infrastruktur (PKI) yang telah dikembangkan untuk membuat enkripsi nyaman
dan praktis 

Pengenalan

Apa yang kita harapkan ketika mengirim informasi melalui Internet? Kami tentu
menginginkan informasinya untuk mencapai penerima. Namun, apakah itu cukup?
Bagaimana jika pesannya adalah - “Saya tidak punya uang untuk membayar uang sekolah
semester ini. Harap transfer $ 1.000 ke dalam rekening giro saya # 0000101010 di credit
union, nomor perutean 123456789. Untuk jaga-jaga jika ada kesulitan kata sandinya adalah
'hello123'. "

Di dunia keamanan informasi, adalah umum untuk menggunakan nama Alice dan Bob
sebagai pengirim dan penerima pesan saat mendiskusikan komunikasi aman. Dalam contoh
kita di atas, katakanlah, Alice ingin mengirim pesan kepada Bob. Fitur apa yang diinginkan
Alice dalam komunikasi tersebut? Untuk satu, dia ingin pesan untuk mencapai Bob. Kedua,
ia mungkin lebih suka bahwa hanya Bob yang mengerti pesannya, bahkan jika teman-
temannya dapat melihat atau mendengarpercakapannya. (Lagi pula, siapa yang ingin teman-
temannya tahu bahwa mereka kehabisan uang?) Setelah menerima pesan, Bob kemungkinan
ingin mengkonfirmasi bahwa pesan tersebut berasal dari Alice. Bob juga dapat mencari
konfirmasi bahwa isi pesan sudah benar. Enkripsi tidak bisa sebenarnya mengirimkan pesan,
tetapi enkripsi memberi kita semua fitur lain yang diinginkan dalam komunikasi antara Alice
dan Bob. Mengadaptasi iklan yang terkenal, ada beberapa hal keamanan informasi yang tidak
dapat dilakukan; untuk yang lainnya, ada enkripsi. 

Pada deskripsi tingkat tinggi, enkripsi mengubah pesan menjadi bentuk yang hanya
berupa penerima dapat memecahkan kode, memberikan kerahasiaan. Saat decoding,
penerima juga dapat mendeteksi jika pesan dimodifikasi selama transit, berikan integritas.
Karena enkripsi sangat berguna, itu digunakan sebagai analog keamanan informasi dari pisau
tentara Swiss. Jika keamanan informasi terlibat, kemungkinannya adalah: enkripsi sedang
dalam beberapa bentuk atau yang lain. 

DASAR ENKRIPSI

Enkripsi berarti crypt dan dilakukan melalui cryptography. Kriptografi adalah suatu senyawa
kata yang dibuat dari kata Yunani crypto (κρυπτo) dan graphy (γραφη). "Crypto" berarti
tersembunyi dan "grafik" berarti menulis, dan kriptografi adalah tindakan penulisan
tersembunyi. Glosarium Telekomunikasi ATIS, sumber standar kami untuk definisi,
mendefinisikan enkripsi sebagai kriptografi transformasi data untuk menghasilkan ciphertext.
Definisi ini memperkenalkan dua hal baru istilah - kriptografi dan teks sandi. Kita telah
melihat bahwa kriptografi adalah tindakan tersembunyi penulisan. Lebih formal lagi,
berdasarkan pada glosarium telekomunikasi ATIS, kita dapat mendefinisikan kriptografi
sebagai seni atau ilmu memberikan informasi sederhana tidak dapat dipahami, dan untuk
memulihkan terenkripsi informasi ke bentuk yang dapat dipahami. Ciphertext adalah teks
terenkripsi yang tidak dapat dipahami oleh pembaca. Etimologi ciphertext didasarkan pada
kata Arab cifr, yang tidak berarti apa-apa. Kata cifr kemudian juga digunakan untuk mewakili
angka 0. Pada ujung penerima, dekripsi digunakan untuk menguraikan 3 pesan tersembunyi.

Gambar 7.1 mengintegrasikan kegiatan ini dan menunjukkan keseluruhan proses

komunikasi yang aman antara Alice dan Bob.

Untuk semua utilitasnya, perlu diingat bahwa enkripsi hanya dapat melakukan banyak
hal. Baut cutter akan merusak kunci apa pun, dan pengguna yang bersedia membagikan kata
sandi akan membahayakan apa pun skema enkripsi. 

Gambar 7.1. Enkripsi dan Dekripsi dalam Konteks

Asal Usul

Contoh enkripsi terdokumentasi pertama kali digunakan oleh Kaisar Romawi Julius Caesar
(100 SM – 44 SM). Gambar 7.2 adalah ekstrak dari karya yang diterjemahkan di mana
metode enkripsi dijelaskan; demikian, “jika ada kesempatan untuk kerahasiaan, ia
menggunakan alfabet sedemikian rupa sehingga tidak ada satu kata pun yang bisa diucapkan.
Cara menguraikan surat-surat itu adalah dengan mengganti d untuk a, dan juga dari huruf
lainnya masing-masing.”
 Gambar 7.2 Referensi untuk Cifr Cesar

Jadi, dalam sandi Caesar, setiap huruf diganti dengan huruf tiga tempat di sebelah
kanan dari huruf dalam alfabet. Jadi A → D; B → E, ..., Q → T, ..., W → Z, X → A, Y → B,
Z → C. Sementara Caesar selalu menggunakan pergeseran tiga huruf, kita bisa dengan
mudah menggunakan shift lain. Misalnya, pergeseran empat karakter ke kanan akan memberi
kita skema enkripsi seperti A → E; B → F.

Contoh sederhana ini menggambarkan konsep yang sangat penting dalam kunci
enkripsi. Kita akan segera memiliki lebih banyak bicara tentang kunci dan makna mereka.
Bahkan, metode ini dapat digeneralisasi lebih jauh. Surat-surat tidak perlu digeser dengan
jumlah yang sama. Pemetaan apa pun dari satu huruf ke huruf lain akan berfungsi sebagai
enkripsi skema. Misalnya, A → H; B → X, C → B... akan sama efektifnya. Sebenarnya,
skema enkripsi ini untuk mengganti masing-masing huruf dengan huruf lain untuk tujuan
enkripsi dikenal dalam literatur keamanan sebagai substitusi mono-alfabet.

Contoh ini menggambarkan blok penyusun banyak teknologi enkripsi yang sangat
penting - substitusi. Kami akan segera menggambarkan bagaimana substitusi digunakan
dalam teknologi enkripsi modern.
 Sementara enkripsi memastikan kerahasiaan data, kerahasiaan ini tidak selalu
diinginkan. Saat ini ada malware yang digunakan yang akan mengenkripsi data di komputer
dan menjaganya tetap terenkripsi hingga pembayaran dilakukan kepada peretas. Jenis
malware ini dikenal sebagai "ransomware." Pose enkripsi masalah bagi para pakar keamanan
yang terlibat dalam forensik data dengan mengaburkan detail insiden keamanan. Hal ini juga
menghalangi penggunaan firewall dan perangkat jaringan lainnya berdasarkan inspeksi paket
yang mendalam untuk mengizinkan atau memblokir aliran data tertentu. Jika data yang
terkandung dalam paket dienkripsi, data tersebut tidak bisa diperiksa.

Analisis Persyaratan Enkripsi

Apa persyaratan yang harus dipenuhi oleh teknik enkripsi yang baik? Secara umum, teknik
enkripsi berbagi banyak properti dengan kunci dan teknik enkripsi yang baik mirip dengan
kunci yang baik dalam banyak hal. Apa yang kita harapkan dari kunci yang baik? Pertama,
kami mengharapkannya mudah digunakan untuk pemilik. Kedua, kami berharap mereka akan
kesulitan untuk menerobos penyusup. Sementara sebagian besar kunci pada akhirnya dapat
rusak, kunci hanya perlu cukup lama untuk istirahat menarik perhatian penonton atau terlalu
mahal untuk istirahat untuk sepadan dengan usaha. 

Teknik enkripsi yang baik juga berbagi properti ini. Kami mengharapkan teknik
enkripsi yang baik agar mudah digunakan untuk pengirim dan penerima informasi yang
berwenang. Kami juga berharap bahwa pengguna yang tidak sah akan membutuhkan banyak
waktu untuk memutus enkripsi yang mereka inginkan baik menyerah atau tindakan mereka
akan diperhatikan sebelum mereka berhasil.

Dalam keamanan informasi, upaya diukur berdasarkan persyaratan komputasi. Sebuah

skema enkripsi yang baik akan membutuhkan perhitungan minimal oleh pengguna yang
berwenang untuk membaca dan menulis data, tetapi sejumlah besar perhitungan dari
pengguna yang tidak sah.

Pembuat teknik enkripsi harus khawatir tentang fakta bahwa penyusup bisa cukup
pintar mencoba memecahkan skema enkripsi. Seni memecahkan ciphertext disebut
cryptanalysis. Sebagai contoh, jika kita menggunakan substitusi mono-alfabet dengan alfabet
bahasa Inggris, kita bisa gunakan fakta bahwa beberapa huruf diketahui lebih umum daripada
yang lain (mis., e> t> a> I>o> n> s> h> r> d> l> u) untuk menebak skema enkripsi hanya
dari hitungan huruf dan frekuensi relatifnya. Dengan pengetahuan ini, diperkirakan bahwa
skema enkripsi mono-alfabet dapat dipatahkan dengan korpus hanya sekitar 600 karakter
terenkripsi. Jika kita juga menebak kata-kata yang mungkin, hanya sekitar 150 huruf yang
dibutuhkan. Penyerang bahkan mungkin mencoba untuk mengirim plaintext selektif dan
melihat cara kerja enkripsi. Misalnya, mengirim "BAT" dan "CAT" dapat menunjukkan
bagaimana perubahan dalam satu huruf dalam teks biasa mempengaruhi hasil enkripsi,
memberikan petunjuk untuk memecahkan enkripsi. 
Kunci

Sama halnya tidak mudah untuk menghasilkan mekanisme penguncian yang mudah dan
ekonomis bagi pengguna yang memiliki izin, tetapi sulit dipecahkan untuk pengguna yang
tidak sah, tidak mudah untuk membuat teknik enkripsi dengan properti serupa. Lihatlah ke
sekeliling, berapa banyak jenis kunci yang berbeda ada? Ada kunci gembok, kunci
kombinasi, kunci biometrik, dan mungkin beberapa lainnya jenis kunci. Beberapa tipe kunci
ini mengamankan semua gerbang dan brankas di dunia. Demikian pula, hanya ada beberapa
teknik enkripsi mengamankan semua informasi di dunia.

Kembali ke analogi kunci, jika hanya ada beberapa jenis kunci yang bagus,
bagaimana kita menggunakan jenis kunci yang sama untuk mengamankan semua rumah di
lingkungan? Bagaimanapun, itu tidak akan sangat membantu jika Metode yang membuka
satu pintu juga membuka semua pintu lain di lingkungan tersebut. Ini membawa kita ke kunci
– gembok yang dibuat secara unik oleh kunci. Kunci yang membuka gembok apa pun yang
diberikan merupakan keunikan dari gembok tersebut.

Enkripsi analog ke jenis kunci adalah algoritma kriptografi, untuk singkatnya,

algoritma. Algoritma kriptografi adalah urutan langkah-langkah yang digunakan untuk
menggambarkan proses kriptografi. Secara umum, kami menyebutnya algoritma. Beberapa
algoritma bagus dengan semua yang diinginkan properti telah ditemukan sejauh ini. Setiap
langkah dari algoritma yang dipilih dibuat unik oleh satu set angka unik, yang disebut kunci.
Dalam konteks enkripsi, sebuah kunci adalah urutan simbol yang mengontrol operasi
encipherment dan decipherment. Pengguna dengan kunci yang benar dapat saling bertukar
informasi dengan mudah. Eavesdropper akan mengambil terlalu lama waktu untuk menebak
kunci yang benar.

Apa sajakah properti kunci yang baik? Seperti yang telah kami katakan berulang kali,
kunci yang baik harus sulit ditebak. Dalam konteks enkripsi, kunci dipecah hanya dengan
mencoba kunci yang berbeda sampai yang benar ditemukan. Jika kita menggunakan kunci 1-
digit, kita memiliki 10 kunci yang memungkinkan (0, 1, … , 9). Jika penyusup membutuhkan
sekitar 1 detik untuk mencoba satu kunci, ia akan memerlukan paling banyak 10 detik untuk
menebak kunci yang benar. Jika proses itu diulang berkali-kali, waktu rata-rata akan menjadi
setengahnya, atau 5 detik. Ini karena pada beberapa kesempatan tebakan pertama akan benar,
pada kesempatan lain mungkin menjadi tebakan keenam, dan seterusnya. Untuk
meningkatkan keamanan, kita bisa mencoba angka 2 digit. Ini meningkatkan jumlah kunci
yang memungkinkan hingga 100 (0–99). Pada tingkat yang sama seperti sebelumnya, si
penyusup sekarang paling lama 100 detik, dan rata-rata 50 detik. Dengan demikian, kunci
yang lebih panjang meningkatkan keamanan. 

Karena komputer dapat menghitung dan memeriksa ratusan ribu tombol per detik,
panjang kunci yang digunakan dalam praktik adalah ratusan digit.
Properti Algoritma Umum

Persyaratan enkripsi dalam paragraf sebelumnya menyarankan beberapa properti penting dari
algoritma kripto yang bagus. Mereka dapat dilihat sebagai proses pengacakan input. Input
(plaintext) biasanya memiliki struktur dalam bentuk kata-kata, gambar, dokumen, dll. Kita
telah melihat bahwa jika suatu penyusup dapat menebak bagian mana pun dari struktur
internal plaintext, informasi itu akan dieksploitasi untuk memecahkan kode ciphertext.
Karena itu, algoritma enkripsi harus membuat ciphertext terlihat seperti urutan bit yang acak.
Namun, pengacakan harus dapat dipulihkan kepada pengguna yang memiliki kunci yang
benar. 

Tidak hanya karakter aktual dalam pesan yang tampak acak, bahkan panjangnya
ciphertext harus tampak acak bagi penyusup. Jika tidak, dalam situasi tertentu, si pengganggu
mungkin bisa menebak konten pesan hanya dengan melihat panjang pesan dan konteksnya.
Misalnya, jika Anda tahu bahwa dalam situasi tertentu, hanya dua yang mungkin pesan “ya”
dan “tidak,” dan Anda melihat pesan terenkripsi yang bertuliskan “! $ #,” Anda tidak perlu
menguraikan pesan untuk mengetahui dengan pasti bahwa plaintext adalah "ya."

Akhirnya, properti penting lain dari algoritma adalah bahwa perubahan dalam 1bit
input harus sepenuhnya mengubah ciphertext, mengubah setidaknya setengah dari bit. Ini
akan mencegah penyusup dari mencoba membuat pesan selektif dan mencoba menebak
skema enkripsi oleh melihat output ciphertext.

Pada titik ini, kita tahu bahwa enkripsi melibatkan algoritma dan kunci. Kami juga
tahu itu ada beberapa algoritma yang digunakan secara universal untuk mengenkripsi
informasi, yang dibuat unik untuknya setiap instance dengan kunci unik untuk instance itu.
Kami sekarang beralih ke jenis algoritma yang digunakan dan aplikasinya.

Gambaran Umum Jenis Enkripsi

Semua teknik enkripsi yang dikenal dapat dikategorikan menjadi tiga jenis. Kategorisasi
dilakukan berdasarkan jumlah kunci yang digunakan untuk mengenkripsi dan mendekripsi
informasi. Sebuah perbandingan cepat dari ketiga jenis enkripsi ini diberikan pada Tabel 7.1.
Sisa bab ini membahas masing-masing dari ketiga jenis enkripsi ini secara terperinci.

Pada saat melihat tabel, orang mungkin menyarankan bahwa fungsi Hash mungkin
enkripsi paling sederhana untuk dimengerti. Itu mungkin benar juga. Namun, ketika orang
berbicara tentang enkripsi, mereka biasanya berarti penggunaan kriptografi kunci rahasia dan
kriptografi kunci publik. Di bagian ini maka dari itu, selanjutnya kami membahas kriptografi
kunci rahasia, diikuti oleh kriptografi kunci publik. Kita akan berbicara tentang fungsi hash
pada akhirnya karena penggunaannya dalam enkripsi kurang intuitif daripada penggunaan
dua jenis enkripsi lainnya.
Kriptografi Kunci Rahasia

Kriptografi kunci rahasia mengacu pada metode enkripsi yang menggunakan satu kunci
untuk enkripsi dan dekripsi. Gambar 7.3 memberikan gambaran umum kriptografi kunci
rahasia.

Seperti terlihat pada gambar, fitur utama dari kriptografi kunci rahasia adalah kunci
yang sama digunakan untuk enkripsi dan dekripsi. Karena simetri ini pada kunci yang
digunakan untuk enkripsi dan dekripsi, kriptografi kunci rahasia kadang-kadang juga disebut
kriptografi kunci simetris, atau enkripsi kunci simetris.

Penggunaan kriptografi kunci rahasia yang paling umum adalah untuk mengirimkan
informasi dengan aman. Jika Alice dan Bob dapat menyetujui kunci tersebut, kemudian Alice
dapat mengenkripsi informasinya dengan kunci dan Bob dapat mendekripsi informasi
tersebut menggunakan kunci yang sama. Demikian pula, Bob dapat mengenkripsi
informasinya dengan kunci bersama dan Alice dapat mendekripsi informasi menggunakan
kunci bersama. Informasinya akan tetap aman selama transmisi karena hanya Alice dan Bob
yang tahu kuncinya, dan seperti yang telah kita sepakati sebelumnya, hampir mustahil untuk
mendekripsi informasi yang dikirimkan tanpa mengetahui kuncinya. 

Tabel 7.1 Perbandingan Jenis-Jenis Enkripsi

Jenis Enkripsi Kunci Aplikasi

Fungsi Hash 0 Perlindungan Kata Sandi, Pemeriksaan Integritas data

Kriptografi Kunci 1 Mengamankan penyimpanan data dan transmisi data

Rahasia

Kriptografi Kunci 2 Mengamankan pertukaran kunci, Autentikasi, tanda 

Publik tangan digital.

Gambar 7.3 Gambaran Umum Kriptografi Kunci Rahasia

Enkripsi kunci rahasia juga dapat digunakan untuk mengamankan informasi yang
disimpan di komputer. Jika Bob mau untuk mengamankan beberapa informasi, ia dapat
memilih kunci dan mengenkripsi informasi pada hard drive menggunakan kunci. Untuk
mengambil informasi, Bob cukup memasukkan kuncinya dan mendekripsi informasinya. Dan
tentu saja, jika Bob lupa kuncinya, ia tidak akan pernah dapat mengambil informasi di
komputernya. 

Standar saat ini untuk kriptografi kunci rahasia adalah Standar Enkripsi Lanjutan
(AES). Itu dipilih oleh Institut Nasional untuk Standar dan Teknologi (NIST) pada 26
November 2001, setelah proses seleksi yang berlangsung hampir 5 tahun. Teknologi yang
digunakan di AES dikembangkan oleh dua cryptographers Belgia. Dua teknologi, Enkripsi
Data Standar (DES) dan Algoritma Enkripsi Data Internasional (IDEA), adalah pendahulu
teknologi ke AES, dan Anda dapat menemukan istilah-istilah ini dalam literatur tentang
keamanan informasi. Namun, karena AES adalah standar saat ini, kami tidak akan
membicarakan DES dan IDEA lebih jauh di buku ini. Tinjauan singkat teknologi di balik
AES disediakan di bagian selanjutnya.

Kriptografi Kunci Publik

Kriptografi kunci publik mengacu pada metode enkripsi yang menggunakan dua kunci, satu
untuk enkripsi dan satu lagi untuk dekripsi. Teknologi ini digunakan untuk dua aplikasi
berbeda - transmisi data dan tanda tangan digital. Gambar 7.4 memberikan gambaran umum
kriptografi kunci publik untuk tujuan pengiriman data.

Perbandingan Gambar 7.3 dan 7.4 menunjukkan bahwa fitur unik kriptografi kunci
public adalah bahwa satu kunci digunakan untuk enkripsi dan kunci yang berbeda digunakan
untuk dekripsi. Karena dari asimetri ini dalam kunci yang digunakan, kriptografi kunci publik
juga disebut kunci asimetris kriptografi, atau enkripsi kunci asimetris.

Seperti yang akan kita lihat di bagian selanjutnya, ketika kita menjelaskan kriptografi
kunci publik secara lebih rinci, Kunci pribadi penerima tetap dijaga kerahasiaannya. Untuk
alasan ini, biasanya merujuk ke penerima kunci pribadi sebagai kunci rahasia. Namun,
Kaufman dkk merekomendasikan bahwa industri harus distandarisasi pada memanggil kunci
ini kunci pribadi, dan menyimpan frase "kunci rahasia" untuk kunci rahasia bersama
digunakan dalam kriptografi kunci rahasia. Dalam menghormati saran itu, kami juga akan
berusaha untuk menghindari menyebut kunci pribadi sebagai kunci rahasia.
 Gambar 7.4 Gambaran Umum Kriptografi Kunci Publik Rahasia saat Transmisi Data

Untuk apa kriptografi kunci publik digunakan? Seperti yang akan kita lihat,
kriptografi kunci publik dapat dilihat sebagai versi supercharged dari kriptografi kunci
rahasia. Dengan demikian, ia dapat melakukan apa pun yang Kriptografi kunci rahasia dapat
dilakukan, dan beberapa lagi. Lalu mengapa kita peduli dengan kunci rahasia kriptografi?
Ternyata kriptografi kunci publik sangat menuntut sumber daya komputasi, membutuhkan
jutaan kali kemampuan pemrosesan yang diperlukan untuk kriptografi kunci rahasia.
Penggunaan kriptografi kunci publik yang sembrono akan membawa bahkan komputer
desktop tercepat ke gerinda berhenti. Dalam praktiknya, oleh karena itu, kami sangat selektif
tentang kapan harus menggunakan kunci public kriptografi, lebih suka menggunakan
kriptografi kunci rahasia sejauh mungkin.

Penggunaan utama kriptografi kunci publik adalah untuk bertukar kunci. Sementara
akan pembahasan kriptografi kunci rahasia pada bagian sebelumnya, apakah Anda
memikirkannya? Bagaimana Alice dan Bob mungkin menyetujui kunci rahasia bersama yang
sama? Anda mungkin memperhatikan bahwa kami dimulai dengan asumsi bahwa Alice dan
Bob memiliki kunci rahasia bersama. Ini mungkin jika Bob dan Alice punya kantor di
dekatnya. Namun, bagaimana jika Bob adalah penyedia layanan yang berlokasi di
Washington, DC, dan Alice adalah pelanggan yang berlokasi di Tampa, Florida? Bisakah
Alice dan Bob mungkin memiliki cara untuk menyetujui kunci rahasia bersama yang tidak
akan diketahui orang lain? Itu jawabannya tidak. Sebenarnya dapat dibuktikan bahwa tidak
ada cara yang dapat diandalkan bagi Alice dan Bob untuk bertukar kunci rahasia dengan
aman.

Karena tidak ada cara sepele bagi Alice dan Bob untuk bertukar kunci rahasia dengan
aman, publickey kriptografi digunakan untuk melakukan pekerjaan itu. Ketika Alice dan Bob
siap untuk berkomunikasi satu sama lain, mereka pertama kali menggunakan kriptografi
kunci publik untuk bertukar kunci rahasia. Begitu kunci rahasianya telah disetujui, Alice dan
Bob beralih dari menggunakan kunci publik intensif komputasi kriptografi ke kriptografi
kunci rahasia yang jauh lebih sederhana. 
Ini penting untuk diingat tentang kriptografi kunci publik - kunci pribadi hanya diketahui
oleh pemilik kunci. Itu tidak dibagikan dengan orang lain.

Gambar 7.5 Menggunakan Enkripsi Kunci Publik Untuk Tanda Tangan Digital

Penggunaan kedua kriptografi kunci publik berasal dari hubungan unik di antara
kedua kunci publik dan kunci privasinya. Ternyata mereka ada berpasangan. Kami telah
melihat bahwa informasi yang dienkripsi dengan kunci publik dapat didekripsi oleh kunci
pribadi terkait. Proses ini juga bekerja secara terbalik. Informasi yang dienkripsi dengan
kunci pribadi dapat didekripsi kunci publik terkait. Fitur ini digunakan secara industri untuk
membuat tanda tangan digital. Tanda tangan digital didefinisikan sebagai transformasi
kriptografi data yang memungkinkan penerima data untuk membuktikan sumber (non-
repudiation) dan integritas data.

Ketika Alice mengirim pesan kepada Bob, ia juga dapat mengirim versi terenkripsi
dari pesan, dienkripsi dengan kunci pribadinya sendiri. Bob dapat mencoba mendekripsi
informasi ini. Jika versi yang didekripsi cocok dengan informasi yang dikirim, Bob tidak
hanya tahu bahwa Alice mengirim pesan, tetapi juga tahu bahwa pesan itu tidak dimodifikasi
dalam perjalanan. Prosesnya ditunjukkan pada Gambar 7.5.

Enkripsi kunci publik dapat membingungkan bagi pembaca pertama kali. Juga
membingungkan untuk melihat dua penggunaan berbeda dari teknologi yang
membingungkan ini. Untuk memfasilitasi pembelajaran, kami menggunakan dua pendekatan
dalam bab ini. Langkah pertama adalah membandingkan Gambar 7.4 dan 7.5 dan untuk
mengisolasi Perbedaan diantara mereka. Langkah kedua akan berada di bagian berikutnya, di
mana kami menggambarkan kunci public enkripsi menggunakan contoh.

Mari kita lihat Gambar 7.4 dan 7.5.

Kunci apa yang digunakan dalam setiap kasus? Untuk transmisi data, kami
menggunakan tombol penerima. Untuk tanda tangan digital, kami menggunakan kunci
pengirim. Untuk transmisi data, kami menggunakan kunci publik untuk enkripsi. Untuk tanda
tangan digital, kami menggunakan kunci pribadi untuk enkripsi. Ini dirangkum pada Tabel
7.2.

Apa yang terjadi di sini? Mengapa perbedaan pada kunci yang digunakan. Hal penting
yang harus diingat tentang enkripsi kunci publik adalah bahwa pengguna hanya memiliki
akses ke satu kunci pribadi - miliknya. Tapi setiap orang memiliki akses ke kunci publik
semua orang.

Tabel 7.2 Perbandingan Kunci untuk Aplikasi Enkripsi Kunci Publik

Transmisi Data Tanda Tangan Digital

Pemilik Kunci Penerima Pengirim

Jenis Kunci Publik Rahasia

Enkripsi

Saat mengirimkan data, kami ingin memastikan bahwa data tidak dapat dibaca oleh
orang lain selama transmisi. Cara terbaik untuk mencapai itu adalah dengan mengenkripsi
sedemikian rupa sehingga hanya penerima yang dapat mendekripsi informasi. Bagaimana
kamu melakukannya? Apa yang unik bagi penerima?

Kita tahu bahwa hanya penerima yang memiliki kunci privatnya. Kami juga tahu
bahwa jika kami mengenkripsi beberapa informasi dengan kunci publik penerima, hanya
penerima yang akan dapat mendekripsi informasi menggunakan kunci pribadinya.
Untungnya, siapa pun di dunia bisa mendapatkan kunci publik pengguna apa pun. Jadi, itulah
yang akan kami lakukan - mengenkripsi informasi dengan kunci publik penerima dan
kirimkan. Hanya penerima yang dapat membaca informasi.

Saat menandatangani surat, privasi bukan urusan kami. Misalnya, Bob ingin yakin
bahwa Alice memang mengirim surat itu. Bagaimana Alice bisa melakukan itu? Baik,
keduanya Alice dan Bob tahu bahwa hanya Alice yang memiliki kunci pribadi Alice. Jika
Alice entah bagaimana bisa meyakinkan Bob bahwa dia memang memiliki kunci itu, Bob
akan diyakinkan. Untungnya, kami memiliki cara untuk melakukan itu. Jika Alice
mengenkripsi beberapa informasi dengan kunci pribadinya, siapa pun di dunia dapat
mendekripsi dengan kunci publiknya. Memang, Bob melakukan hal itu. Jika dia berhasil, dia
benar yakin bahwa Alice memiliki kunci pribadi yang seharusnya. Dan karena tidak ada
orang lain di dunia seharusnya memiliki kunci pribadi Alice, surat itu pasti berasal dari Alice.
Kunci public dengan demikian berfungsi sebagai tanda tangan digital.

Cara tanda tangan digital digunakan dalam praktik, kami mendapatkan fitur bonus
juga. Apa pesan haruskah Alice mengenkripsi dan mengirim ke Bob untuk meyakinkannya
tentang identitasnya? Kami mengenkripsi pesan itu sendiri. Dengan cara ini, jika Bob berhasil
mendekripsi, tidak hanya dia yakin bahwa pesan itu berasal dari Alice, dia juga yakin bahwa
pesan itu tidak dimodifikasi selama transmisi.

Di atas telah disederhanakan dalam satu cara dibandingkan dengan apa yang sebenarnya
terjadi. Penyederhanaan yang dimiliki telah dilakukan untuk tujuan pengajaran. Dalam
praktiknya, kita tidak perlu mengenkripsi seluruh pesan; kita hanya perlu mengenkripsi
fungsi hash pesan. Fungsi hash dibahas di bagian berikutnya dan kami akan meninjau
kembali masalah ini di akhir pembahasan fungsi hash.

Anda mungkin juga berpikir - bagaimana Alice dapat menjaga kerahasiaan pesan selama
transmisi data apakah ada yang bisa mendekripsi menggunakan kunci publiknya? Pertanyaan
yang bagus Dia tidak bisa. Karena itu, apa yang kami lakukan adalah mengirim pesan
menggunakan teknik pengiriman data yang dibahas di atas dan juga mengirim tanda tangan
digital bersama dengan pesan untuk memastikan bahwa pesan itu memang datang dari Alice. 

Teknologi saat ini digunakan untuk melakukan kriptografi kunci publik disebut RSA.
Itu dinamai tiga pencipta teknologi - Ron Rivest, Adi Shamir, dan Leonard Adleman.
Teknologi ini dijelaskan dalam sebuah makalah yang diterbitkan pada tahun 1977.

Fungsi Hash

Fungsi hash merujuk pada metode enkripsi yang tidak menggunakan kunci. Fungsi-fungsi ini
juga disebut transformasi satu arah karena tidak ada cara untuk mengambil pesan yang
dienkripsi menggunakan fungsi hash. Sekarang, itu pasti membuat Anda menggaruk-garuk
kepala. Mengapa Anda peduli teknologi terenkripsi jika Anda tidak pernah bisa membaca
data kembali? Ternyata, ini sebenarnya sangatberguna dan, pada kenyataannya, Anda telah
menggunakan properti ini sejak Anda menggunakan komputer.

Fungsi hash mengambil pesan dengan panjang berapa pun dan mengonversinya
menjadi angka dengan panjang tetap, biasanya panjangnya 128 atau 256 bit. Panjang
transformasi hash dari angka "4" akan menjadi sama panjang dengan transformasi hash
seluruh DVD. Fungsi hash digunakan dengan kata sandi. Kita akan segera melihat bagaimana
dalam paragraf berikutnya, sementara itu, mungkin ini merupakan latihan yang baik untuk
Anda berpikir bagaimana fungsi hash dapat berguna dengan kata sandi.

Komputer menyimpan kata sandi sebagai hasil dari transformasi hash alih-alih
menyimpan yang sebenarnya nilai kata sandi. Dengan cara ini, kata sandi tidak pernah dapat
dipulihkan bahkan jika komputer itu dicuri. Ketika pengguna mengetikkan kata sandi mereka,
komputer menghitung hash kata sandi dan membandingkan hash dengan hash kata sandi yang
disimpan. Jika keduanya cocok, komputer menerima kata sandi yang diberikan, jika tidak,
Dengan cara ini, fungsi hash memungkinkan komputer memverifikasi kata sandi tanpa
menyimpan salinan kata sandi itu sendiri.
Kata sandi yang disembunyikan masih rentan terhadap serangan brutal dan kamus, seperti
yang akan kita lihat di sini pada Bab 8. Jika pengguna memilih kata sandi yang lemah, itu
masih bisa dengan mudah ditebak. Fungsi hash bisa mengaburkan kata sandi tetapi tidak
dapat mencegahnya dari tebakan.

Penggunaan kata sandi lainnya adalah untuk memverifikasi integritas informasi. Jika
pengirim mengirim sebuah pesan serta hash pesan, penerima dapat secara mandiri
menghitung hash pesan dan bandingkan dengan hash yang diterima. Jika kedua hash cocok,
penerima bisa meyakinkan bahwa pesan itu tidak dimodifikasi selama transmisi. Ketika hash
digunakan dengan cara ini, mereka disebut checksum. Checksum adalah nilai yang dihitung
pada data untuk mendeteksi kesalahan atau manipulasi selama transmisi.

Anda melihat ini secara umum selama unduhan data. Vendor perangkat lunak sering
menyediakan checksum untuk unduhan perangkat lunak mereka untuk membantu
administrator sistem memverifikasi bahwa perangkat lunak telah diunduh tanpa kesalahan.
Gambar 7.6 menunjukkan contoh dari situs pengunduhan untuk IBM Server Aplikasi.

Gambar 7.6 Contoh Checksum

Fungsi hash paling populer yang digunakan saat ini disebut MD5 dan SHA-2. MD5
merupakan kepanjangan untuk versi 5 algoritma intisari pesan. MD5 digunakan secara
universal sejak pengembangannya oleh Ron Rivest (Ron Rivest yang sama yang
mengembangkan RSA) pada tahun 1991. Namun, sebuah array yang rusak telah ditemukan
dalam algoritma dan penggunaannya untuk aplikasi kriptografi telah secara resmi tidak
dianjurkan sejak 31 Desember 2008. 9 Namun, MD5 terus menjadi populer untuk aplikasi
berisiko rendah seperti verifikasi unduhan.

SHA adalah singkatan dari algoritma hash aman dan akhiran 2 adalah singkatan dari
versi 2 dari algoritma. Pengembangan SHA telah difasilitasi oleh NIST, National Institute of
Standards dan Teknologi. SHA-2 diterbitkan pada tahun 2001. Meskipun tidak ada
kerentanan keamanan yang diketahui di SHA-2, teknologi untuk versi SHA berikutnya, SHA-
3 dipilih pada 02 Oktober 2012. Motivasi untuk pengembangan fungsi hash generasi
berikutnya sebelum adanya kebutuhan nyata harus disiapkan jika serangan dikembangkan
terhadap SHA-2. SHA-3 menggunakan algoritma yang sama sekali berbeda dibandingkan
dengan SHA-2, jadi sangat tidak mungkin serangan itu yang mengkompromikan SHA-2 juga
akan mengkompromikan SHA-3. Pengembang sekarang memiliki pilihan menggunakan
SHA-2 atau SHA-3 tergantung kebutuhan mereka.

Rincian Jenis Enkripsi

Bagian sebelumnya memberikan ikhtisar dari tiga jenis enkripsi dan penggunaannya.
Dibagian ini, kami melihat teknologi utama yang digunakan dalam setiap jenis enkripsi
secara lebih rinci.

Kriptografi Kunci Rahasia

Enkripsi kunci rahasia terdiri dari dua prosedur - enkripsi blok dan rantai blok sandi.
Mengenkripsi pesan besar dengan ukuran tidak terbatas membutuhkan sumber daya
komputasi yang sangat besar, di luar kemampuan sebagian besar komputer pengguna akhir.
Oleh karena itu, data pengguna pertama-tama dipecah menjadi ukuran blok kecil yang bisa
dikelola. Memecah pesan ke dalam blok berukuran wajar menawarkan kombinasi kinerja dan
keamanan yang terbaik. Enkripsi blok adalah proses pengubahan blok plaintext ke blok
terenkripsi. Sebagian besar algoritma enkripsi komersial menggunakan 64- atau 128-bit blok.
Secara khusus, standar saat ini untuk kriptografi kunci rahasia, AES, menggunakan blok 128-
bit.

Enkripsi Blok

Secara umum, enkripsi blok menggunakan kombinasi dua aktivitas - substitusi dan permutasi.
Kita telah melihat contoh penggantian sebelumnya dalam bab ini - sandi Caesar dan
substitusi mono-alfabetik yang lebih umum. Dalam konteks kriptografi kunci rahasia,
substitusi menentukan output k-bit untuk setiap input k-bit. Permutasi menentukan posisi
output dari masing-masing bit input k. Permutasi adalah kasus substitusi khusus karena agak
spesifik dari input pengganti untuk bit c tertentu dalam output. Operasi generik enkripsi blok
ditunjukkan pada Gambar 7.7.

Gambar 7.7, yang didasarkan pada standar teknologi DES, mewakili operasi teknologi
enkripsi kunci rahasia. 
 Gambar 7.7 Bentuk Generik dari Ekripsi Blok

Dalam setiap blok, data selanjutnya dibagi menjadi dua bagian. Prosedur penggantian
menggantikan semua bit di setiap bagian. Dua bagian yang hancur kemudian dijalankan
melalui unit permutasi, yang mengocok bit dalam blok. Prosesnya diulangi sampai input
dienkripsi dengan memuaskan.

Mengapa permutasi?

Pembaca yang tertarik mungkin bertanya - jika permutasi hanyalah bentuk substitusi khusus,
mengapa menggunakannya di semua? Mengapa tidak mengulangi operasi substitusi saja. 

Alasan untuk menggunakan permutasi adalah untuk lebih menyebar dampak

substitusi. Jika kamu melihat pada Gambar 7.7 dengan cermat, Anda akan menemukan
bahwa jika sedikit di bagian kiri input diubah, substitusi Operasi hanya mempengaruhi bit di
bagian kiri dari output. Hal yang sama berlaku untuk perubahan input bit di bagian kanan -
substitusi hanya mempengaruhi bit di bagian kanan. Seorang musuh bisa menggunakan ini
properti untuk membuat input khusus dan memecah algoritma enkripsi. Operasi permutasi
berdifusi dampak perubahan dalam sedikit input untuk output keseluruhan blok. 

Operasi substitusi-permutasi diulang beberapa kali untuk memastikan bahwa

perubahan dalam input didistribusikan ke semua bit dalam output. Pada Gambar 7.7,
perubahan dalam 1 bit di input akan berdampak 32 dari 64bit dalam output putaran (baik
setengah kiri atau setengah kanan, diikuti oleh perubahan dalam 32bit yang sesuai dari output
akhir dari putaran). Ini bukan untuk memuaskan. Untuk enkripsi yang baik, perubahan dalam
1bit input harus memengaruhi semua 64bit pada output secara merata. Inilah yang akan
membuat enkripsi sulit dipecah untuk seorang penyusup. Untuk mencapai ini, putaran
diulang sampai semua bit output dipengaruhi oleh perubahan sekecil apa pun dalam input.
DES menggunakan 16 putaran. AES menggunakan 10-14 putaran, tergantung pada ukuran
kunci.

Kebingungan-Difusi

Urutan substitusi-permutasi algoritma enkripsi blok mengimplementasikan Gagasan Claude

Shannon untuk kebingungan dan difusi. Shannon, secara luas dianggap sebagai bapak teori
informasi, mengembangkan gagasan bahwa kebingungan dan difusi memberikan dasar yang
baik untuk sistem kerahasiaan. Kebingungan membuat hubungan antara plaintext dan
ciphertext serumit mungkin. Difusi adalah menyebarkan dampak dari perubahan dalam 1bit
dari plaintext ke semua bit di ciphertext. Dalam blok enkripsi, substitusi memberikan
kebingungan dan permutasi memberikan difusi.

Rantai Blok Sandi

Setelah informasi dalam blok dienkripsi, kita perlu cara untuk menggunakan mekanisme ini
untuk mengenkripsi input ukuran sewenang-wenang. Ide dasar di balik metode yang
digunakan dalam praktik untuk mencapai tujuan ini adalah untuk mengumpulkan semua blok
terenkripsi dan menggabungkannya bersama untuk mendapatkan versi input pengguna yang
terenkripsi. Metode paling sederhana untuk mencapai hal ini mungkin hanya mengumpulkan
semua blok seperti yang ditunjukkan pada Gambar 7.8. Metode ini sangat intuitif untuk
dipahami; Namun, tidak digunakan dalam praktik untuk alasan yang dibahas segera. Namun,
mengingat pentingnya konsep ini, Metode ini diberi nama - buku kode elektronik (ECB).
Buku kode elektronik adalah proses dari membagi pesan menjadi blok dan mengenkripsi
setiap blok secara terpisah.
 Gambar 7.8 Buku Kode Elektronik

Mengapa ECB tidak digunakan dalam praktik? Gambar 7.8 menunjukkan bahwa ada
difusi yang tidak memadai kebingungan dalam metode ini. Jika blok 1 dan 3 identik, blok
sandi 1 dan 3 juga akan identik dan ini akan terlihat pada keluaran enkripsi terakhir. Ini
berpotensi memberikan penyerang beberapa wawasan informasi yang sedang dienkripsi. Oleh
karena itu, dalam praktiknya, beberapa kompleksitas perlu untuk diperkenalkan untuk
menyebar output secara memadai. Dari metode-metode ini, metode yang cukup intuitif untuk
dimengerti disebut cipher block chaining (CBC). Rantai blok sandi menggunakan informasi
dari blok cipher sebelumnya saat mengenkripsi blok cipher. Mekanisme ini ditunjukkan pada
Gambar 7.9.

Perbedaan antara ECB dan CBC adalah bahwa sebelum blok dienkripsi, blok itu
hancur dengan output dari blok sebelumnya. Panah diagonal pada gambar menunjukkan
output cipher dari blok sebelumnya yang digunakan untuk memotong-motong input dari blok
berikutnya. Operasi yang biasa digunakan untuk menggabungkan dua input yang disebut "OR
eksklusif," ditulis sebagai XOR, dan diwakili dalam Gambar 7.9 sebagai +. XOR adalah
operasi bitwise di mana hasilnya adalah 0 jika 2bit input sama dan 1 jika dua bit input
berbeda. Sebagai hasil dari chaining output, bahkan jika blok 1 dan 3 sama, blok sandi 1 dan
3 tidak akan sama.

Vektor inisialisasi yang dipilih secara acak memastikan bahwa bahkan jika pesan
yang sama dikirim sekali lagi, hasilnya akan sangat berbeda. Output CBC akhir diperoleh
dengan hanya mengumpulkan blok cipher bersama, seperti yang ditunjukkan pada bagian
bawah Gambar 7.9.

Seperti dapat dilihat dari bagian ini, kriptografi kunci rahasia bergantung pada operasi
yang cukup sederhana. Karenanya komputasi ini sangat konservatif. Namun, seperti yang
dibahas sebelumnya dalam bab ini, tantangan dalam menggunakan enkripsi kunci rahasia
adalah pertukaran kunci. Pengirim dan penerima harus dapat bertukar kunci sebelum enkripsi
dimulai. Kriptografi kunci publik, yang akan dibahas di bagian selanjutnya, menyelesaikan
tujuan ini. Kriptografi kunci publik bersifat komputasi yang sangat intensif, tetapi kebajikan
terbesarnya adalah memungkinkan komunikasi rahasia melalui saluran yang tidak aman.
Oleh karena itu idealnya cocok untuk digunakan dalam pertukaran kunci.

Kriptografi Kunci Publik

Kriptografi kunci publik menggunakan dua kunci - satu untuk enkripsi dan satu lagi untuk
dekripsi. Kunci enkripsi didistribusikan secara luas untuk memungkinkan pengguna
mengirim pesan terenkripsi kepada pemilik kunci. Kunci dekripsi digunakan untuk
mendekripsi pesan. Jelas, pemilik menjaga kunci dekripsi dengan hati-hati. Untuk alasan ini,
kunci enkripsi pengguna disebut kunci publik dan kunci dekripsi, kunci pribadi.
 Gambar 7.9 Rantai Blok Cipher

Untuk membuat diskusi singkat dan sesederhana mungkin, di bagian ini, kami menyediakan
contoh aritmatika modular sederhana yang berada di belakang sebagian besar algoritma
kriptografi kunci publik. Kami kemudian menyajikan RSA, algoritma enkripsi kunci publik
yang paling populer.

Aritmatika Modular digunakan dalam Kriptografi Kunci Publik

Operasi modulus kadang-kadang juga disebut operasi "sisa". Jadi, 17 mod 10 = 7, 94 mod 10
= 4, dll. Penggunaan operasi modulo untuk kriptografi kunci publik dapat dilihat dari Tabel
7.3. 13 Tabel memberikan bagaimana angka desimal dapat dienkripsi.

Untuk menggunakan tabel untuk mengenkripsi data, gandakan angka apa pun di
header tabel dengan 3 dan ambil modulus sehubungan dengan 10. Sebagai contoh, untuk
mengenkripsi 6, kita menggunakan 6 * 3 mod 10 = 18 mod 10 = 8. Jadi, 8 adalah ciphertext
untuk angka 6. Baris pertama yang disorot dalam tabel menunjukkan ciphertext dihitung
dengan cara ini untuk semua kemungkinan angka satu digit.

Untuk mendekripsi, kita mengalikan ciphertext dengan 7 dan mengambil modulus

sehubungan dengan 10. Untuk contoh, 8 * 7 mod 10 = 56 mod 10 = 6. Perhatikan bahwa ini
memberi kita plaintext 6, yang telah dienkripsi ke 8. Hasil untuk semua nomor lain
ditampilkan di baris yang disorot kedua dalam tabel.

Dalam contoh ini, kita dapat menulis (3, 10) sebagai kunci enkripsi (publik) dan (7,
10) sebagai kunci dekripsi (pribadi). Ada dua fakta menarik tentang operasi modulus yang
digunakan di contoh ini.

Pertama, data yang dienkripsi dengan kunci enkripsi tidak dapat didekripsi oleh kunci
enkripsi. Misalnya, 8 * 3 mod 10 = 24 mod 10 = 4. Tetapi 4 ≠ 6, jadi seorang penyusup tidak
bisa begitu saja mengeksploitasi pengetahuannya tentang kunci publik untuk mendekripsi
data yang dienkripsi dengan kunci yang sama. Pengetahuan tentang kunci pribadi diperlukan
untuk dekripsi.

Kedua, salah satu kunci dapat digunakan untuk enkripsi, dan kunci lainnya akan
berfungsi sebagai dekripsi kunci. Misalnya, 6 * 7 mod 10 = 2 (enkripsi), dan 2 * 3 mod 10 =
6 (dekripsi). Ini memungkinkan kriptografi kunci publik yang akan digunakan untuk tanda
tangan digital, sebagaimana disebutkan sebelumnya dalam bab ini.

Tabel 7.3 Modulo 10 tabel untuk Menunjukkan Dasar-Dasar Kriptografi Kunci Publik

Angka untuk n Enkripsi 🡪 0 1 2 3 4 5 6 7 8 9

(plaintext)

Kunci (Pengganda) m ↓
0 0 0 0 0 0 0 0 0 0 0

n * m mod 10 🡪 1 0 1 2 3 4 5 6 7 8 9

n * m mod 10 🡪 2 0 2 4 6 8 0 2 4 6 8

n * 3 mod 10 = ciphertext c 🡪 3 0 3 6 9 2 5 8 1 4 7

4 0 4 8 2 6 0 4 8 2 6

5 0 5 0 5 0 5 0 5 0 5

6 0 6 2 8 4 0 6 2 8 4

c * 7 mod 10 (plaintext) 🡪 7 0 7 4 1 8 5 2 9 6 3

8 0 8 6 4 2 0 8 6 4 2

9 0 9 8 7 6 5 4 3 2 1

Contoh pada Tabel 7.3 menunjukkan pentingnya panjang kunci dalam kriptografi
kunci publik. Tidak akan terlalu lama bagi penyusup untuk menebak kunci privat (7, 10) yang
diberikan Pengetahuan kunci publik (3, 10). Dalam praktiknya, oleh karena itu, kami
menggunakan angka yang sangat besar untuk mencegah penyusup menebak kunci pribadi
dalam jumlah waktu yang wajar.

RSA
Contoh di bagian sebelumnya menggunakan contoh sederhana untuk menunjukkan sifat
magis dari kriptografi kunci publik. RSA adalah bentuk kriptografi kunci publik yang
digunakan dalam praktik. RSA Algoritma menggunakan eksponensial bukannya perkalian.
Algoritma ini dijelaskan di sini secara singkat.

1. Mulai dengan dua bilangan prima besar, yang disebut p dan q. Biasanya angka-angka
ini lebih dari 256bit masing-masing (mis., masing-masing lebih dari 76 angka desimal).
2. Hitung n = p * q.
3. Hitung φ = (p - 1) * (q - 1).
4. Pilih nomor e yang relatif prima untuk ϕ, yaitu, dua angka yang tidak dibagikan faktor
umum selain 1 (huruf e berarti enkripsi, dan angka ini akan digunakan untuk enkripsi).
5. Pilih angka d yang merupakan kebalikan multiplikatif dari e mod ϕ, mis., Angka d
tersebut dimana d * e - 1 dapat dibagi oleh ϕ (huruf d berarti dekripsi, dan angka ini akan
digunakan untuk dekripsi).
6. Pasangan <e, n> adalah kunci publik dan digunakan untuk enkripsi
7. Pasangan <d, n> adalah kunci pribadi dan digunakan untuk dekripsi
8. Kunci digunakan sebagai berikut:
a. Untuk mengenkripsi pesan m, hitung ciphertext c = m e mod n
b. Untuk mendekripsi ciphertext c, hitung m = c d mod n.

Contoh sederhana dapat menunjukkan ini. Kita harus bijaksana dalam jumlah yang
kita pilih karena eksponensial dengan sangat cepat mengarah ke jumlah yang sangat besar.
Namun p = 3 dan q =11 bekerja dengan baik. Dengan pilihan ini, kita punya

1. n = 3 * 11 = 33.
2. φ = (3 - 1) * (11 - 1) = 2 * 10 = 20.
3. Katakanlah e = 3, karena 3, tidak berbagi faktor apa pun dengan 20 selain 1.
4. Kita dapat memilih d = 7 karena 3 * 7 - 1 = 20 dan 20 dibagi φ = 20.
5. Dengan pilihan-pilihan ini:
a.  c = m 3 mod 33
b. m = c 7 mod 33.

Tabel 7.4 Contoh RSA

Plaintex Cipher Plaintext

t

Operasi Pengirim Operasi Penerima

Simbol Representasi Angka m 3

m 3
mod c 3
c mod Simbol 
3

(m) 33 33

H 8 512 12 410338673 8 H

E 5 125 26 8031810176 5 E
 L 12 1728 12 35831808 12 L

O 14 2744 5 78125 14 O

I 9 729 3 2187 9 I

S 19 6859 28 1349292851 19 S
2

M 13 2197 19 893871739 13 M

Tabel 7.4 menunjukkan penggunaan pilihan ini dalam contoh RSA. Kami mulai
dengan mengkonversi plaintext ke bentuk numerik. Contohnya hanya menggunakan posisi
dalam alfabet sebagai representasi numerik, mis., a = 1, b = 2, dll. Operasi enkripsi dan
dekripsi mungkin diverifikasi dari tabel.

Karena kunci publik mencakup produk n dari dua angka p, q dipilih pada awalnya,
jika n bisa difaktorkan, RSA bisa rusak. Oleh karena itu, keamanan RSA sangat tergantung
pada kesulitan faktorial dalam jumlah besar. 

RSA juga sangat tergantung pada ketersediaan sejumlah besar bilangan prima besar.
Jika tidak, penyusup dapat dengan mudah membuat tabel dari semua bilangan prima yang
dikenal dan mencoba produk kombinasi sampai n diperoleh. Untungnya, bilangan prima
berlimpah dan tidak praktis untuk menyimpan semua bilangan prima yang dikenal. Oleh
karena itu, jika digunakan bilangan prima besar yang sesuai, RSA aman setidaknya untuk
saat ini.

Teorema Bilangan Prima

Probabilitas bahwa angka n adalah bilangan prima adalah sekitar 1In (n), di mana ln
mewakili alam logaritma. Ini juga sama dengan 12.3log (n) , di mana log adalah logaritma ke
pangkalan 10. Katakanlah n adalah sebuah Nomor 10 digit. Karena log (10 ) = 10, 10

probabilitas bahwa jumlahnya adalah angka prima = 1 / 2.3 * 10 = 1/23.

Jika n adalah angka 100 digit, kemungkinannya menjadi 1 dalam 230. Dengan kata lain, jika
kita secara acak memilih 230, angka 100 digit, kita sangat mungkin menemukan sebuah
bilangan prima. Sebagai alternatif, ada sekitar 10 /230 ≈ 10 angka prima 100 digit. Semua
100 97

komputer penyimpanan di dunia berjumlah sekitar 10 byte. Oleh karena itu tidak praktis
20

untuk menyimpan semua angka prima untuk memecahkan RSA menggunakan prosedur
tebak-dan-periksa.

Fungsi Hash
Fungsi hash digunakan untuk mengubah input menjadi output dengan panjang tetap.
Transformasi memiliki dua properti: (1) setiap input memiliki output yang unik dan (2) tidak
mungkin menebak input dari output yang diberikan. Ini ditunjukkan pada Gambar 7.10.
Dapat dilihat bahwa semua input memiliki output yang unik (itulah sebabnya transformasi
disebut fungsi. 16 Tetapi input 1–6 semuanya berubah menjadi output hash yang sama. Oleh
karena itu, mengingat keluaran hash, tidak mungkin untuk menentukan input mana yang
menyebabkan output yang diberikan.

Gambar 7.10 Fungsi Hash

Seperti dibahas sebelumnya, fungsi hash digunakan untuk menyimpan kata sandi. Jika
kata sandi disimpan sebagai teks yang jelas, pencurian data dapat membahayakan kata sandi.
Menyimpan kata sandi sebagai hash melindungi kata sandi untuk dapat dicuri.

Pemeriksaan yang baik untuk menentukan apakah situs web menyimpan kata sandi dalam
bentuk teks atau sebagai hash adalah untuk meminta kata sandi. Jika situs dapat mengirimkan
kata sandi Anda, Anda tahu bahwa situs tersebut menyimpan kata sandi Anda dalam teks
yang jelas, atau web tersebut tidak akan dapat mengirim Anda kata sandi.

Enkripsi sedang Digunakan

Satu tantangan yang tersisa dalam menggunakan enkripsi dalam praktiknya adalah
membangun kepercayaan pada kunci publik yang dikirim oleh pengguna. Kita telah melihat
bahwa cukup mudah untuk menghasilkan pasangan kunci publik-kunci privat. Bagaimana
jika seorang penyusup mengirimi Anda kunci publik dan mengklaim bahwa itu adalah kunci
publik Bank Dunia Amerika. Bagaimana Anda mendeteksi bahwa itu bukan? Di bagian
selanjutnya dari bab ini, kami akan meihat bagaimana enkripsi kunci publik digunakan dalam
teknologi komersial seperti SSL / TLS dan VPN. Kami kemudian akan membahas prosedur
yang digunakan untuk membangun kepercayaan pada kunci publik.
SSL / TLS dan VPN

Teknologi yang paling umum digunakan untuk mengenkripsi informasi selama transfer
jaringan adalah SSL / TLS (Security Sockets Layer dan Transport Layer Security) dan VPN
(Virtual Private Network). Dalam SSL / TLS, transaksi dengan server jaringan tertentu,
seperti web atau database server, dienkripsi. Di VPN, semua komunikasi dari komputer
dienkripsi.
Jaringan). Dalam SSL / TLS, transaksi dengan server jaringan tertentu, seperti server web
atau database, dienkripsi. Di VPN, semua komunikasi dari komputer dienkripsi.
  Fitur yang menonjol dari semua teknologi enkripsi yang digunakan dalam praktik
adalah bahwa mereka menggabungkan fitur terbaik dari kriptografi kunci rahasia dan
kriptografi publik untuk pengalaman pengguna yang menyenangkan. Kriptografi kunci
rahasia menggunakan daya komputasi minimal. Namun, perlu kunci bersama untuk
dipertukarkan dengan aman sebelum komunikasi rahasia dapat dimulai. Kunci publik sangat
menuntut sumber daya komputasi dan oleh karena itu tidak terlalu tepat untuk mengenkripsi
seluruh percakapan terutama pada perangkat kecil. Namun, bahkan perangkat paling
sederhana dapat menggunakan kriptografi kunci publik secara singkat untuk bertukar kunci
rahasia.
  Oleh karena itu, dalam praktik komersial, komunikasi aman dimulai dengan server
yang menyediakan kunci publiknya kepada pengguna. Pengguna membuat kunci rahasia
secara lokal dan mengenkripsi kunci rahasia dengan kunci publik server. Ini mengakhiri
penggunaan kriptografi kunci publik untuk komunikasi. Semua transaksi selanjutnya
dienkripsi dengan kunci rahasia bersama.
Sertifikat
  Enkripsi dunia nyata sangat tergantung pada keandalan kunci publik yang dikirim
oleh server. Ini cukup analog dengan kebutuhan akan keandalan SIM yang dihasilkan sebagai
bukti identitas di dunia fisik. Dalam dunia fisik, kami memeriksa keandalan lisensi dengan
memverifikasi apakah lisensi memang dikeluarkan oleh negara DMV. Di dunia internet, ada
perusahaan yang disebut otoritas sertifikasi (CA) yang berfungsi sebagai analog dari DMV.
CA mengeluarkan kunci publik ke server. Proses pertukaran kunci publik berfungsi seperti
yang ditunjukkan pada Gambar 7.11.
  Server yang tertarik untuk berpartisipasi dalam transaksi eCommerce mendapatkan
kunci publik dari salah satu penyedia kunci publik yang terkenal (otoritas sertifikasi). CA
mengenkripsi kunci publik dan alamat IP server web dengan kunci pribadinya sendiri untuk
digunakan sebagai sertifikat. Sertifikat adalah kumpulan informasi yang berisi kunci publik
terenkripsi dari server dan identifikasi penyedia kunci. Server mengirimkan sertifikat mereka

kepada klien untuk 

mengidentifikasi diri mereka sebelum memulai koneksi yang aman. Klien (browser) hadir
dengan kunci publik dari semua otoritas sertifikasi terkenal. Jika otoritas diketahui, sertifikat
didekripsi menggunakan kunci publik yang dikenal otoritas. Sertifikat yang didekripsi berisi
kunci publik server web.
  Untuk memastikan bahwa semuanya baik-baik, browser juga membandingkan alamat
IP server web dengan alamat IP server yang terhubung.
PKI
 Bit yang hilang terakhir dalam proses ini adalah otoritas sertifikat. Apa yang mencegah
penyusup menyamar sebagai otoritas sertifikasi?
 Cara kami menangani masalah ini adalah browser memiliki daftar otoritas sertifikasi yang
telah disetujui sebelumnya. Gambar 7.12 menunjukkan contoh dari browser Chrome. Jika
sertifikat yang disediakan oleh server berasal dari salah satu CA ini, browser menggunakan
informasinya sendiri untuk menghubungi CA dan mengkonfirmasi kebenaran sertifikat
tersebut. Jika sertifikat berasal dari beberapa organisasi lain (mis., Universitas itu sendiri),
browser biasanya memberi tahu pengguna tentang masalah tersebut untuk memungkinkan
pengguna menggunakan penilaian pribadi mereka dalam mempercayai otoritas sertifikasi.
Satu peringatan seperti itu ditunjukkan pada Gambar 7.13. Sertifikat dalam hal ini dihasilkan
pada server web lokal oleh Nessus. Karena server web ini bukan salah satu CA terkenal, rute
bijaksana untuk peramban adalah meminta saran kepada pengguna tentang cara melanjutkan.
 Kerangka yang dibentuk untuk mengeluarkan, memelihara, dan mencabut sertifikat kunci
publik disebut infrastruktur kunci publik

(PKI). 
Contoh kasus - Teknologi negara
 Kita telah melihat dalam bab ini bahwa cara utama kita menggunakan enkripsi adalah
dengan mengamankan saluran komunikasi. Teknologi seperti VPN dan SSL memungkinkan
kami membuat koneksi terenkripsi di antara komputer, tetapi konten itu sendiri tetap tidak
dienkripsi. Teknik enkripsi lain yang umum digunakan mengenkripsi seluruh hard drive.
 Masalah umum dengan semua pendekatan enkripsi ini adalah bahwa meskipun kami benar-
benar bertujuan untuk mengenkripsi informasi yang disimpan dalam file, metode ini
mengenkripsi segalanya kecuali file itu sendiri. Setelah pengguna masuk ke akun mereka,
semua file terlihat. Serangan phishing pada pengguna yang saat ini login berhasil dapat
memperoleh semua file yang diistimewakan oleh pengguna. Setelah file diemail, pengirim
tidak memiliki kontrol atas bagaimana penerima melindungi konten informasi dalam file.
 Tidakkah mudah untuk mengenkripsi file yang membutuhkan enkripsi? Lebih baik lagi,
membiarkan file terenkripsi sepanjang waktu, hanya tidak mengenkripsi selama durasi
membaca / mengedit, dan hanya untuk pengguna yang ditunjuk?
 Teknologi semacam itu mungkin dan telah dikembangkan oleh perusahaan bernama Nation
Technologies, yang didirikan oleh Stephen Nation, mantan perwira intelijen NYPD. Produk
dan layanan perusahaan memungkinkan pelanggan untuk mengenkripsi file satu per satu. File
terenkripsi dapat ditukar dengan sejumlah pengguna. Orang yang mengenkripsi file dapat
menentukan izin akses file untuk pengguna yang ditunjuk, masing-masing diidentifikasi oleh
alamat email atau pengidentifikasi lainnya. Penerima dapat menyimpan file dan membukanya
untuk dibaca. Saat mereka menutup file, file kembali ke status terenkripsi.
Keuntungan potensial dari pendekatan ini adalah bahwa organisasi tidak perlu lagi khawatir
tentang rahasia yang dicuri. Informasi dienkripsi bahkan ketika disimpan.

RINGKASAN
 Dalam bab ini, kami melihat enkripsi, dalam hal aplikasi, algoritma pada tingkat tinggi dan
infrastruktur yang ada untuk mengaktifkan enkripsi tanpa batas. Kami melihat tiga jenis
enkripsi - fungsi hash, kriptografi kunci rahasia, dan kriptografi kunci publik. Jenis enkripsi
berbeda dalam hal jumlah kunci yang digunakan untuk enkripsi.
 Teknologi yang digunakan dalam praktik seperti SSL dan VPN menggabungkan kriptografi
kunci rahasia dengan kriptografi kunci publik. Kriptografi kunci publik digunakan untuk
pertukaran kunci awal untuk menghindari overhead komputasi yang akan terjadi jika
kriptografi kunci publik digunakan untuk seluruh transaksi.
 Industri TI telah menetapkan serangkaian prosedur sehingga verifikasi dan pertukaran kunci
berlangsung dengan lancar. Prosedur-prosedur ini secara kolektif dikenal sebagai
infrastruktur kunci publik. Keberhasilan prosedur ini mungkin diukur dari ketidaktahuan
relatif sebagian besar konsumen tentang kegiatan yang terjadi di latar belakang untuk
memastikan bahwa transaksi eCommerce mereka aman.
 Rekomendasi
 Untuk perlakuan enkripsi yang sangat menarik, lucu, dan menyeluruh, buku karya Kaufman,
Perlman, dan Speciner sangat direkomendasikan. Semua detail yang hilang dalam bab ini
dapat diselesaikan dengan merujuk pada buku. Selain sebagai orang yang paling
berpengetahuan tentang masalah ini, para ahli juga merupakan penulis yang sangat berbakat
dan telah berupaya keras untuk menjadikan subjek yang teknis ini sangat mudah diakses dan
bersifat pribadi. Para penulis telah belajar banyak tentang subjek ini dari sumber itu.
BAB TINJAUAN PERTANYAAN
1. Apa itu enkripsi?
2. Untuk apa enkripsi digunakan?
3. Uraikan singkat tentang Caser cipher.
4. Apa saja persyaratan algoritma enkripsi yang baik?
5. Mengapa algoritma enkripsi modern menggunakan kunci?
6. Apa itu kriptografi kunci rahasia?
7. Berikan tinjauan singkat standar saat ini untuk kriptografi kunci rahasia. Apa saja
beberapa aplikasinya?
8. Apa itu kriptografi kunci publik?
9. Apa saja aplikasi kriptografi kunci publik?
10. Apa itu tanda tangan digital?
11. Bagaimana kriptografi kunci publik digunakan untuk menyediakan tanda tangan
digital?
12. Apa fungsi hash? Berikan gambaran singkat tentang beberapa fungsi hash yang
paling terkenal.
13. Untuk apa fungsi hash digunakan?
14. Apa itu blok enkripsi? Mengapa data dipecah menjadi blok-blok untuk kriptografi
kunci rahasia?
15. Apa itu substitusi dalam konteks enkripsi?
16. Apa permutasi dalam konteks enkripsi? Mengapa itu dibutuhkan?
17. Apa paradigma kebingungan-difusi kriptografi?
18. Apa yang dimaksud dengan rantai cipher blok? Mengapa itu perlu?
19. Berikan gambaran singkat tentang algoritma RSA.
20. Apa itu SSL / TLS? Untuk apa ini digunakan?
21. Apa perbedaan antara SSL dan VPN?
22. Apa sertifikat?
23. Apa otoritas sertifikasi? Layanan apa yang mereka sediakan?
24. Apa itu PKI?
25. Apa perlunya PKI?

CONTOH PERTANYAAN KASUS

  1. Kunjungi situs web Nation Technology di www.nationtechnologies.com. Apa saja fitur
dari produk perusahaan?
  2. Jelaskan apa yang menurut Anda akan menjadi salah satu cara yang berguna di mana
Anda dapat menggunakan teknologi yang ditawarkan oleh Nation Technologies?
  3. Perusahaan di industri mana yang menurut Anda paling diuntungkan dari teknologi yang
ditawarkan oleh Nation Technologies? Mengapa?
  4. Menurut Anda apa beberapa bahaya bisnis paling penting yang dihadapi oleh Nation
Technologies?
AKTIVITAS HANDS-ON-ENKRIPSI
 Kegiatan-kegiatan ini dimasukkan untuk menunjukkan penggunaan enkripsi menggunakan
mesin virtual Linux yang Anda konfirmasikan di Bab 2. Anda akan melakukan enkripsi
menggunakan fungsi hash (kunci 0), kunci rahasia (1 kunci), dan kunci publik (2 kunci).
Pastikan Anda memiliki konektivitas Internet dan buka jendela terminal untuk menyelesaikan
aktivitas ini.
 Kata sandi hash
 Seperti yang disebutkan dalam bab ini, sistem operasi menyimpan hasil fungsi hashing alih-
alih menyimpan nilai aktual kata sandi. Di CentOS Linux, fungsi hashing default untuk kata
sandi sekarang SHA-512 (di masa lalu, DES dan MD5 telah digunakan sebagai default).
• Masuk menggunakan akun "alice" (kata sandi: aisforapple) dan buka jendela terminal
• CentOS menyertakan program grub_crypt yang memungkinkan kita melihat hasil dari
berbagai fungsi hashing tanpa mengubah kata sandi pengguna:
[alice@sunshine Desktop] $ grub-crypt --sha-512
 Kata sandi: aisforapple
 Ketik ulang kata sandi: aisforapple
$6$DqW2UfDcPZjKyQyc$fwQqIAxfEgEuy6KFAKxEdKP1cWuy0d5vemqNRV2uNAPf1V
NaXhpmZYOIZuW8iitC82MhQMaR2h8EY0DgQb5Z / 1
[alice @ sunshine Desktop] $ grub-crypt --sha-256
 Kata sandi: aisforapple
 Ketik ulang kata sandi: aisforapple
$5$omu31sk0zLzOVug1$2sbFJlcupATlu6Kw2iTfqXMMbbgYanXoNtEDjgVH876
[alice @ sunshine Desktop] $ grub-crypt --md5
 Kata sandi: aisforapple
 Ketik ulang kata sandi: aisforapple
 $1$S213Gc1H$sTKjWuHbrSrquDLzy4XT8/
 Hasilnya mengandung tiga nilai yang dipisahkan oleh tanda dolar. Mereka ditafsirkan
sebagai ($ id $ salt $ hash):
• Id - id numerik yang mengidentifikasi algoritma hashing digunakan (MD5, SHA-256,
SHA-512). 20
• Garam - string karakter acak yang digunakan untuk menambah panjang input ke
fungsi.
• Hash - hasil algoritma hashing pada kata sandi pengguna dan garam.
 Seperti yang Anda lihat, algoritma yang berbeda menghasilkan sangat banyak hasil yang
berbeda, bahkan ketika menggunakan kata sandi yang sama dengan input.
Pilih kata sandi yang kuat berdasarkan aturan yang disebutkan di Bab 8 dan jalankan grub-
crypt dengan MD5, SHA-256, dan SHA-512.
Jalankan grub-crypt beberapa kali dengan kata sandi dan algoritma enkripsi yang sama.
 Pertanyaan
 1. Apakah perintah menghasilkan hasil yang sama setiap kali? Mengapa atau mengapa tidak?
 2. Simpan output dari perintah sebelumnya ke dalam teks file / opt / buku / enkripsi / hasil /
ex1.txt
 Hasil Kerja: Kirim konten ex1.txt ke instruktur Anda.
File hashes (checksum)
 Selain kata sandi, penggunaan utama lainnya untuk algoritma hashing di Linux adalah untuk
memverifikasi integritas file sistem. Perintah md5sum menyediakan cara mudah untuk
menghasilkan checksum 21 berbasis MD5 dari file atau membandingkan file dengan
checksum yang dikenal baik. Jika checksum file berbeda sama sekali dari nilai yang
diketahui-baik, file tersebut telah dimodifikasi dan bisa berarti sistem telah dikompromikan.
Untuk menghasilkan checksum suatu file:
[alice @ sunshine ~] $ md5sum hello.txt
8ddd8be4b179a529afa5f2ffae4b9858 hello.txt
 Checksum MD5 didasarkan pada isi
file, sehingga file tersebut dapat disalin atau diganti namanya tanpa mempengaruhi nilai
checksum, tetapi jika konten diubah dengan cara apa pun, md5sum akan mengembalikan nilai
yang berbeda.
[alice @ sunshine ~] $ cp hello.txt world.txt
[alice @ sunshine ~] $ md5sum world.txt
8ddd8be4b179a529afa5f2ffae4b9858 world.txt
[alice @ sunshine ~] $ echo '!' >> world.txt
[alice @ sunshine ~] $ md5sum hello.txt dunia.txt
8ddd8be4b179a529afa5f2ffae4b9858 hello.txt
c231742ea29c9e53d4956d8fa4dd6d96 world.txt
Output dari perintah md5sum juga dapat disimpan sebagai file teks; ini berguna jika
Anda membuat checksum untuk sejumlah besar file. File teks kemudian dapat digunakan
sebagai input untuk –c switch dari perintah md5sum, yang membandingkan checksum dari
semua file yang terdaftar dan melaporkan hasil.

[alice @ sunshine ~] $ md5sum * .txt> checksums.txt

 [alice @ sunshine ~] $ cat checksums.txt
8ddd8be4b179a529afa5f2ffae4b9858 hello.txt
c231742ea29c9e53d4956d8fa4dd6d96 world.txt
[alice @ sunshine ~] $ echo 'Ini sudah
dimodifikasi '> hello.txt
[alice @ sunshine ~] $ md5sum -c checksums.txt
 hello.txt: GAGAL
 world.txt: Oke
md5sum: PERINGATAN: 1 dari 2 checksum yang dihitung tidak cocok
 Pertanyaan
 File / opt / buku / enkripsi / checksum / cek
sums.txt berisi daftar checksum MD5 untuk file dalam direktori itu, memvalidasi integritas
file.
 1. Sebutkan file apa saja yang gagal validasi checksum di
/opt/book/encryption/result/failed.txt
 2. Buat file teks yang berisi semua checksum untuk file .png di direktori ini dan simpan
sebagai / opt / book / enkripsi / hasil / periksa
sum.txt
 Deliverable: Kirimkan konten fail.txt dan checksum.txt ke instruktur Anda.
Enkripsi kunci rahasia
Enkripsi kunci rahasia digunakan secara luas di Linux untuk enkripsi file. Sebagian
besar distribusi Linux modern menyertakan dukungan untuk satu atau beberapa bentuk sistem
file terenkripsi, yang mengenkripsi semua file ketika ditulis ke disk. Mengkonfigurasi sistem
file terenkripsi berada di luar cakupan teks ini, tetapi perintah aescrypt memberikan cara
untuk melindungi file individual dengan bentuk enkripsi kunci rahasia yang sama. Daftar
argumen perintah cukup sederhana, seperti yang diberikan pada Tabel 7.5. Kita dapat
menggunakan perintah ini untuk mengenkripsi dan mendekripsi file hello.txt, sebagai berikut:
[alice @ sunshine ~] $ cat hello.txt
Hello World!
[alice @ sunshine ~] $ aescrypt -e hello.txt
-p 1234qwer -o hello.txt.aes

Tabel 7. 5 Opsi Perintah Aescript

 Argumen Fungsi
-e Enkripsi file
-d Dekripsi file
-p Kata sandi untuk digunakan. Jika ini dihilangkan, perintah akan meminta
<password> pengguna.
-o <filename> Output file
 
[alice @ sunshine ~] $ head -1 hello.txt.aes
AES ^ B ^ @ ^ @ ^ DIBUAT OLEH ^ @ AESCRYPT
3.05 ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^ @ ^
@ ^ @ ^ @@ ^ @
[alice @ sunshine ~] $ aescrypt -d hello.txt.aes -p 1234qwer -o
 hello.decrypt.txt
[alice @ sunshine ~] $ cat hello.decrypt.txt
Hello World!
 Pertanyaan
 Untuk latihan ini, ubah direktori menjadi / opt / book / enkripsi / kunci-rahasia
 1. Enkripsi file plan.txt menggunakan kata sandi pinky dan simpan hasilnya ke
/opt/book/encryption/result/plans.aes
 2. Dekripsi file yang terenkripsi menggunakan kata sandi ‘brain’ dan simpan hasilnya ke
/opt/book/encryption/results/plaintext.txt
 Hasil Kerja: Kirim isi plan.aes dan plaintext.txt ke instruktur Anda.
 Enkripsi kunci publik menggunakan GPG
 GPG adalah singkatan dari GNU Privacy Guard. Ini adalah alternatif perangkat lunak gratis
untuk PGP (Pretty Good Privacy) dan didasarkan pada standar OpenPGP. Tapi itu
meninggalkan pertanyaan berikut: "Apa itu PGP?"
 PGP dikembangkan oleh Phillip Zimmerman pada tahun 1991. Ini adalah perangkat lunak
enkripsi pertama yang dibangun di atas algoritma kriptografi kunci publik, termasuk
algoritma RSA yang dibahas dalam bab ini. Karena masalah paten, standar OpenPGP dibuat,
mendefinisikan format data standar untuk interoperabilitas antara perangkat lunak enkripsi.
GPG adalah salah satu program paling terkenal yang dikembangkan berdasarkan standar ini.
GPG memungkinkan Anda untuk mengenkripsi data, "menandatangani", dan
mengirimkannya kepada orang lain, yang akan menggunakan kunci publik yang Anda
berikan kepada mereka untuk mendekripsi data. Untuk menggunakan enkripsi kunci publik,
kami membuat pasangan kunci, membagikan kunci publik, dan menggunakan pasangan kunci
untuk enkripsi dan dekripsi.
 Generasi kunci (KeyGen)
 Langkah pertama dalam sistem enkripsi kunci publik apa pun adalah membuat pasangan
kunci publik / pribadi Anda. GPG menyediakan - genkey switch yang akan memandu Anda
melalui proses:
 [alice@sunshine ~] $ gpg --gen-key
gpg (GnuPG) 2.0.14; Hak Cipta (C) 2009 Free Software Foundation, Inc.
Ini adalah perangkat lunak gratis: Anda bebas untuk ubah dan distribusikan ulang.
TIDAK ADA GARANSI, sejauh diizinkan oleh hukum.
 Anda akan diminta untuk memilih jenis kunci yang Anda inginkan untuk tanda tangan digital
dan enkripsi. Pilih default (RSA dan RSA). Anda kemudian akan ditanya ukuran kunci.
Standarnya adalah 2048 bit. Anda dapat memilih opsi ini dengan aman. Kemudian, Anda
akan memilih panjang validitas untuk kunci tersebut. Dalam situasi dunia nyata, nilai ini akan
antara 1 dan 5 tahun tetapi untuk penugasan ini, kunci tidak perlu kedaluwarsa.
 Silakan pilih jenis kunci yang Anda inginkan:
 (1) RSA dan RSA (default)
 (2) DSA dan Elgamal
 (3) DSA (hanya masuk)
 (4) RSA (hanya masuk)
 Pilihan Anda? 1
Panjang kunci RSA mungkin antara 1024 dan 4096 bit.
 Apa ukuran kunci yang Anda inginkan? (2048) 2048
 Ukuran kunci yang diminta adalah 2048 bit
Silakan tentukan berapa lama kuncinya sah.
 0 = kunci tidak kedaluwarsa
 <n> = kunci kedaluwarsa dalam n hari
 <n> w = kunci kedaluwarsa dalam n minggu
 <n> m = kunci kedaluwarsa dalam n bulan
 <n> y = kunci kedaluwarsa dalam n tahun
 Kunci valid untuk? (0) 0
 Kunci tidak kedaluwarsa sama sekali
 Apakah ini benar? (y / T) y
Setelah ini, Anda akan diminta untuk memilih nama untuk kunci, alamat email, dan
komentar. Nama asli Anda dan alamat email keduanya dapat digunakan di sini. Untuk
komentar, Anda dapat menempatkan perusahaan apa pun yang Anda sukai - mis.,
“Universitas Negeri Sunshine." GPG akan menggunakan informasi ini untuk membuat
keypair Anda.
GnuPG perlu membuat ID pengguna
kenali kunci Anda.
Nama asli: Alice Adams
 Alamat email: alice@sunshine.edu
Komentar: Universitas Negeri Sunshine
  Anda memilih USER-ID ini:
  "Alice Adams (Universitas Negeri Sunshine) <alice@sunshine.edu>"
Ubah (N) ame, (C) omment, (E) mail atau (O) kay / (Q) uit? HAI
  Sekarang, Anda akan membutuhkan kata sandi. Anda akan melihat kotak dialog yang mirip
dengan Gambar 7.13. Masukkan sesuatu yang cukup aman, tetapi sesuatu yang akan Anda
ingat. Akhirnya, program akan mulai menghasilkan kunci Anda. Untuk meningkatkan
efektivitas kunci, sebaiknya gerakkan mouse Anda ke arah yang acak atau lakukan beberapa
tugas lain di komputer, sementara pembuatan kunci sedang berlangsung. Ini bisa memakan
waktu detik atau menit; sangat bervariasi tergantung pada banyak faktor.
  Setelah ini selesai, maka Anda baru saja membuat kunci tombol pertama.
Kita perlu menghasilkan banyak byte acak. Merupakan ide bagus untuk melakukan beberapa
tindakan lain (ketik pada keyboard, gerakkan mouse, gunakan disk) selama generasi utama;
ini memberikan generator angka acak peluang yang lebih baik untuk mendapatkan entropi
yang cukup.
gpg: key 9ED0CE35 ditandai sebagai akhirnya tepercaya.
kunci publik dan rahasia dibuat dan ditandatangani.
 gpg: memeriksa trustdb
gpg: dibutuhkan 3 marjinal, 1 lengkap, model kepercayaan PGP
gpg: kedalaman: 0 valid: 1 ditandatangani: 0 kepercayaan: 0-, 0q, 0n, 0m, 0f, 1u
 pub 2048R / 14382D17 2012-12-01
 Sidik jari kunci = B317 3F83 705B
889D B414 7DF0 A3C1 B094 7E5B 6F3F
uid Alice Adams (Universitas Negeri Sunshine) <alice@sunshine.edu>
 sub 2048R / C8761AAB 2012-12-01

 Apa yang baru saja kita lakukan adalah menciptakan keypair, yang terletak di folder
tersembunyi baru bernama .gnupg di direktori home Anda. Folder ini, bersama dengan
beberapa konten lain, termasuk pubring.gpg, dan secring.gpg, yang masing-masing
menyertakan kunci publik dan kunci rahasia Anda. File-file tersebut keduanya disimpan
dalam format biner, sehingga Anda tidak dapat membaca kontennya, tetapi GPG dapat
menafsirkan file ini dan menampilkan informasi yang Anda butuhkan.
 Berbagi kunci (Key Sharing)
 Untuk mendaftar kunci publik yang disimpan di "keyring" GPG, ketikkan perintah berikut:
 [alice @ sunshine ~] $ gpg --list-keys
 /home/alice/.gnupg/pubring.gpg
 ------------------------------
 pub 2048R / 14382D17 2012-12-01
uid Alice Adams (Universitas Negeri Sunshine) <alice@sunshine.edu>
 sub 2048R / C8761AAB 2012-12-01
 Untuk membuat daftar kunci pribadi Anda:
 [alice @ sunshine ~] $ gpg --list-secret-keys
 /home/alice/.gnupg/secring.gpg
 ------------------------------
 detik 2048R / 14382D17 2012-12-01
uid Alice Adams (Universitas Negeri Sunshine) <alice@sunshine.edu>
 ssb 2048R / C8761AAB 2012-12-01
 Sebelum Anda dapat membagikan data terenkripsi dengan orang lain, Anda perlu melakukan
dua hal: memberi mereka salinan kunci publik Anda dan mengimpor salinan kunci publik
mereka ke GPG. Untuk mengekspor kunci publik Anda sebagai file teks:
[alice @ sunshine ~] $ gpg -a -o /tmp/alice_adams.pub --export
[alice @ sunshine ~] $ head /tmp/alice_adams.pub
----- BEGIN PGP PUBLIC KEY BLOCK -----
  Versi: GnuPG v2.0.14 (GNU / Linux)
mQENBFC6Q/MBCACjZH9O43XeK8TfDXVW084xmr2lgiLsv7drbT9poQiuHmHrnbAmI/
dm+nTIQn4qI8d+qTn0oWUsa9HD+N5sAsAHkYl5kkmWgg/rtP8NtaH84/qqKSQNktmd/zx
fyNgJ4fTHhfqJA6RuHoKuFla+MMqKzR4u+ZSjxgmHl4tbSBph2+YgmMp8fqLH18i4fSEo
G5jZ6VciPw8KAyZvVIsC5TyOfXW67UU8QJ7bEZaejxMtrhecF4F/ 
Sekarang jika kunci Anda diekspor, Anda harus memberikannya kepada orang yang ingin
Anda bertukar informasi. Di dunia nyata, kuncinya akan diemailkan ke pihak lain atau, dalam
situasi keamanan yang sangat tinggi, diserahkan kepada penerima.
Catatan : Jika Anda memiliki beberapa kunci, seperti satu untuk penggunaan pribadi dan satu
untuk penggunaan kerja, Anda bisa menentukan kunci mana yang ingin Anda sertakan
menggunakan -u <user> di mana <user> adalah alamat email dari kunci yang ingin Anda
gunakan.
Dalam kasus kami, kunci telah ditransfer ke pengguna lain di Universitas Negeri Sunshine
(bob @ sunshine. Edu) dan ia telah mengimpor kunci ke kunci GPG-nya. Bob juga telah
membuat pasangan kuncinya dan memberi tahu kami bahwa itu dapat ditemukan di home /
bob / public_html / bob_brown.pub atau http://www.sunshine.edu/bob/bob_brown.pub jadi
kami memiliki dua opsi untuk mengimpor Bob's kunci publik.
Untuk mengimpor file dari sistem file lokal:
[alice @ sunshine ~] $ gpg --import / home /
bob / public_html / bob_brown.pub
gpg: kunci 310C3E16: kunci publik "Bob Brown (Universitas Negeri Sunshine)
<bob@sunshine.edu> "diimpor
  gpg: Jumlah total yang diproses: 1
  gpg: diimpor: 1 (RSA: 1)
 Atau untuk mengimpor file dari server web jarak jauh:
[alice @ sunshine ~] $ gpg --fetch-keys
http://www.sunshine.edu/~bob/bob_brown.pub
gpg: kunci 310C3E16: kunci publik "Bob Brown (Universitas Negeri Sunshine)
<bob@sunshine.edu> "diimpor
gpg: Jumlah total yang diproses: 1
gpg: diimpor: 1 (RSA: 1)
Bagaimanapun, Anda sekarang akan memiliki kunci publik untuk digunakan.
Hati-hati saat mengimpor kunci publik dari host jarak jauh, baik melalui web atau email.
Anda harus yakin mendapatkan publik yang benar dan belum dirusak sebelum
menggunakannya untuk komunikasi aman apa pun.
Jika Anda menjalankan gpg - kunci daftar lagi, Anda sekarang akan melihat kunci publik
untuk Bob Brown dalam daftar kunci yang tersedia:
[alice @ sunshine ~] $ gpg --list-keys
 /home/alice/.gnupg/pubring.gpg
 ------------------------------
 pub 2048R / 14382D17 2012-12-01
uid Alice Adams (Universitas Negeri Sunshine)
<alice@sunshine.edu>
 sub 2048R / C8761AAB 2012-12-01
 pub 2048R / 310C3E16 2012-12-01
uid Bob Brown (Universitas Negeri Sunshine)
<bob@sunshine.edu>
 sub 2048R / 1EA93238 2012-12-01
Enkripsi dan dekripsi
 Sekarang setelah Anda memiliki kunci publik, Anda sekarang akan dapat mengenkripsi
pesan sedemikian rupa sehingga dirancang untuk tertentu
penerima. Untuk menandatangani dan mengenkripsi file, maka simpan file tersebut sebagai
file berbasis teks (standarnya adalah format biner). Gunakan sakelar -a dan -e dan tentukan
kunci publik mana yang harus digunakan dengan menggunakan -r:
[alice @ sunshine ~] $ gpg -s -a -r bob@sunshine.edu -e hello.txt
Anda memerlukan kata sandi untuk membuka kunci kunci rahasia
pengguna: "Alice Adams (Universitas Negeri Sunshine) <alice@sunshine.edu>" Kunci RSA
2048-bit, ID 14382D17, dibuat 2012-12-01
 GPG kemudian menampilkan kotak dialog bagi Anda untuk memasukkan kata sandi untuk
kunci pribadi Alice. Setelah dimasukkan, ia kemudian memeriksa keyring untuk kunci publik
milik bob@sunshine.edu:
gpg: 1EA93238: Tidak ada jaminan ini
kunci milik pengguna yang disebutkan
pub 2048R / 1EA93238 2012-12-01 Bob Brown (Universitas Negeri Sunshine)
<bob@sunshine.edu>
Sidik jari kunci utama: 599F 4790 E781ADBF 1850 F120 2B51 B871 310C 3E16
Sidik jari subkunci: 26BF DCFC 0A62 72249D20 5DE5 9734 A6C4 1EA9 3238
TIDAK yakin bahwa kunci itu milik orang yang disebutkan dalam ID pengguna. Jika kamu *
Benar-benar * tahu apa yang Anda lakukan, mungkinjawab pertanyaan selanjutnya dengan
ya.
 Tetap gunakan kunci ini? (y / T) y
 GPG mengeluarkan peringatan bahwa kunci Bob mungkin tidak dapat dipercaya karena baru
saja diimpor dan tidak ada data lain dalam kunci GPG yang dapat digunakan untuk
memverifikasi validitas kunci. Anda dapat dengan aman mengabaikan pesan ini untuk latihan
ini, tetapi jika Anda berencana untuk menggunakan GPG dalam situasi dunia nyata, lihat
Buku Pegangan Privasi GNU 24 untuk informasi tentang membangun sebuah
"Web of Trust" untuk manajemen utama.
 [alice @ sunshine ~] $ cat hello.txt.asc
 ----- MULAI PESAN PGP -----
 Versi: GnuPG v2.0.14 (GNU / Linux)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 + 51X + jd8y9AB2096s2x+BQFuCmG25K/z7E2BoJjsVVzf
/ qg6yQTbgPmvG83Jyvev71ykXd7TfKZGss
= BxNI
 ----- AKHIR PESAN PGP -----
 Sekarang Anda telah mengenkripsi pesan untuk Bob dan menandainya dengan kunci pribadi
Anda, sekarang saatnya baginya untuk mendekripsi. Kami dapat mengalihkan pengguna ke
akun Bob dan mendekripsi file untuk mengujinya.

[alice @ sunshine ~] $ su - bob

 Kata sandi:
[bob @ sunshine ~] $ gpg -o hello.txt
--decrypt ~ alice / hello.txt.asc
Anda memerlukan frasa sandi untuk membuka kunci kunci rahasia
pengguna: "Bob Brown (Universitas Negeri Sunshine) <bob@sunshine.edu>"
Kunci RSA 2048-bit, ID 1EA93238, dibuat 2012-12-01 (ID kunci utama 310C3E16)
 Anda akan melihat kotak dialog entri kata sandi pada titik ini. Setelah Anda memasukkan
kata sandi untuk kunci pribadi Bob (bisforbanana), file tersebut akan didekripsi; namun,
Anda akan menerima kesalahan saat memverifikasi tanda tangan:
gpg: dienkripsi dengan kunci RSA 2048-bit, ID 1EA93238, dibuat 2012-12-01 "Bob Brown
(Universitas Negeri Sunshine)<bob@sunshine.edu> "
gpg: Signature buatan Sun 02 Des 2012
10:37:18 EST menggunakan ID kunci RSA 14382D17
gpg: Tidak dapat memeriksa tanda tangan: Tidak ada kunci publik
 Bob harus mengimpor kunci publik Alice sebelum tanda tangan pada file dapat diverifikasi:
[alice @ sunshine ~] $ gpg --import /tmp/alice_adams.pub
gpg: key 14382D17: kunci publik "Alice Adams (Universitas Negeri Sunshine)
<alice@sunshine.edu>" diimpor
 gpg: Jumlah total yang diproses: 1
 gpg: diimpor: 1 (RSA: 1)
 Coba perintah dekripsi lagi dan kali ini file akan didekripsi dan konten disimpan ke hello.txt.
GPG kemudian akan memverifikasi tanda tangan yang disertakan:
gpg: Signature made Sun 02 Des 2012 10:37:18 EST menggunakan RSA key ID 14382D17
gpg: Tanda tangan yang bagus dari "Alice Adams (Universitas Negeri Sunshine)
<alice@sunshine.edu>"
gpg: PERINGATAN: Kunci ini tidak disertifikasi dengan tanda tangan tepercaya!
gpg: Tidak ada indikasi bahwa tanda tangan itu milik pemilik.
Sidik jari kunci primer: C42E 0E23 08A1 8116 019A AAB3 2D73 7113 1438 2D17
Sekali lagi, GPG mengeluarkan peringatan karena keyring GPG Bob tidak memiliki
informasi yang cukup untuk memvalidasi kunci publik untuk alice@sunshine.edu. Setelah
tanda tangan diperiksa, Anda dapat memverifikasi bahwa konten file yang didekripsi sudah
benar:
 [bob @ sunshine ~] $ cat hello.txt
Hello World!
 Pertanyaan
 1. Hasilkan pasangan kunci publik / pribadi baru menggunakan nama, alamat email, dan
sekolah Anda sebagai bidang komentar.
 2. Ekspor kunci publik dan simpan sebagai /opt/book/encryption/results/key.pub
 3. Impor kunci publik yang disimpan di /opt/book/encryption/public-key/eric_pierce.pub
 4. Sebutkan kunci publik dan pribadi yang disimpan dalam keyring GPG Anda dan simpan
hasilnya sebagai /opt/book/encryption/result/public-keyring.txt dan / opt / book / enkripsi /
hasil / privatekeyring.txt.
 5. Enkripsi dan tandatangani /home/alice/hello.txt menggunakan kunci publik yang baru saja
Anda impor dan simpan output sebagai /opt/buku/enkripsi/hasil/encrypted.asc
 Deliverable: Kirim konten key.pub, public-keyring.txt, private-keyring.txt, dan encrypted.asc
ke instruktur Anda.
LATIHAN BERPIKIR KRITIS - KUNCI ENKRIPSI TERTUTUP
MODEL BISNIS
 Kami belum menghabiskan banyak waktu dalam buku ini untuk membahas cloud computing
dan risiko yang secara spesifik timbul dari menaruh begitu banyak data di cloud. Apakah
Anda tahu di mana data Gmail Anda? Atau, di mana Microsoft menyimpan file yang Anda
simpan di layananSkyDrive? 
Anda mungkin tidak peduli, dan bagi kebanyakan orang itu adalah hal yang masuk akal untuk
dilakukan. Perusahaan akan banyak kehilangan jika mereka menyalahgunakan kepercayaan
publik. Model bisnis saat ini pada dasarnya tampaknya bahwa pengguna mempercayai
penyedia layanan cloud gratis dengan data mereka dengan pemahaman bahwa penyedia
layanan cloud dapat mengintip ke dalam konten file untuk tujuan terbatas. Menyesuaikan
iklan online tampaknya menjadi salah satu tujuan yang diterima tersebut. Jadi, trade-off
adalah layanan penyimpanan cloud gratis dengan imbalan iklan.
 Namun, khususnya sejak wahyu tentang kolaborasi antara penyedia layanan cloud dan NSA
telah muncul, beberapa pengguna mungkin khawatir tentang privasi informasi mereka. Apa
yang dapat mereka lakukan jika mereka masih ingin mendapatkan kenyamanan layanan
cloud?
 Dari apa yang telah kita baca dalam bab ini, solusinya sederhana. Saat ini, penyedia layanan
cloud menangani enkripsi, mis., Penyedia layanan cloud dan bukan pemilik data yang
memiliki kunci enkripsi untuk data tersebut. Ini memungkinkan penyedia layanan cloud
untuk melihat data Anda sesuai permintaan. Dengan demikian, model bisnis iklan-untuk-
penyimpanan tertanam dalam kepemilikan penyedia layanan atas kunci enkripsi.
 Jika Anda ingin mencegahnya, Anda bisa mengenkripsi data Anda sebelum mengunggah
data ke penyedia layanan cloud. Anda kemudian akan bertanggung jawab untuk manajemen
kunci karena jika Anda kehilangan kunci dekripsi Anda, Anda tidak akan dapat membaca
data Anda sendiri.
REFERENSI
Falkenrath , R. “ Op-ed: encryption, not restriction, is the key to safe cloud computing ,”
http://www.nextgov.com/cloud-comput ing/2012/10/op-ed-encryption-not-restriction-key-safe-
cloudcomputing/58608/ (accessed 07/18/2013) 

Amazon Web Services , “ Using client-side encryption ,” http://docs.aws

.amazon.com/AmazonS3/latest/dev/UsingClientSideEncryption .html (accessed 07/18/2013) 

Schneier , B. Cryptogram, November 15, 2012

PERTANYAAN LATIHAN BERPIKIR KRITIS

 1. Banyak layanan cloud populer seperti Gmail saat ini gratis karena pengguna mengizinkan
iklan dengan imbalan layanan gratis. Menurut Anda bagaimana pasar akan berkembang jika
semakin banyak data dienkripsi di mana penyedia layanan tidak dapat lagi memonetisasi data
Anda melalui iklan?
 2. Apa saja kekhawatiran khusus dari organisasi yang diatur seperti lembaga pemerintah
dalam hal komputasi awan? (The Nextgov op-ed memiliki beberapa contoh.)
KASUS DESAIN
 Departemen Penerimaan Mahasiswa Universitas Sunshine sangat aktif dalam hal perekrutan
mahasiswa. Ini secara rutin mengunjungi sekolah menengah setempat untuk mempromosikan
program universitas, sering mengumpulkan Informasi Identifikasi Pribadi (PII) dari siswa
sekolah menengah untuk membantu mereka mengajukan permohonan beasiswa, bantuan
keuangan, dan peluang lainnya.
 Untuk mencatat semua informasi ini, perekrut membawa laptop yang dikeluarkan universitas
untuk kunjungan mereka. Baru-baru ini, salah satu kendaraan rekrutmen dibobol dan isi
mobil dicuri. Untungnya, pelaku melewatkan laptop (berisi 500 Nomor Jaminan Sosial) di
bagasi kendaraan.
 Sebagai seorang ahli keamanan, Provost menghubungi Anda untuk meminta pendapat Anda
tentang apa yang bisa dilakukan untuk membuat laptop ini lebih aman. Dalam membaca
undang-undang negara Anda, Anda menyadari bahwa, di mana seluruh enkripsi disk
digunakan pada laptop ini, kerahasiaan informasi yang terkandung akan dilindungi dan tidak
perlu melaporkan kejadian tersebut.
 Tulis rekomendasi satu halaman kepada Provost, yang mencakup informasi dalam paragraf
sebelumnya dan berdebat untuk pembelian solusi enkripsi seluruh disk untuk universitas.
Dalam laporan Anda, sertakan informasi berikut ini.
 1. Laporkan persyaratan hukum untuk enkripsi semacam itu di universitas negeri di negara
bagian Anda
 2. Garis besar persyaratan Anda untuk produk tersebut
 3. Lakukan riset tentang penawaran produk populer dan sertakan minimal tiga vendor
 4. Jelaskan perbedaan antara enkripsi file dan enkripsi seluruh disk
 5. Kapan satu harus digunakan versus yang lain? Pertimbangkan apa yang dilindungi
masing-masing.
 6. Sistem operasi apa yang Anda gunakan?
 7. Bagaimana kunci dekripsi akan dipulihkan jika hilang?
BAB 8 | Identitas dan Akses Pengelolaan
Gambaran
 Dalam bab ini, kita akan melihat beberapa mekanisme yang paling populer untuk
mengidentifikasi pengguna dan mengelola hak istimewa mereka dalam sistem perusahaan.
Sistem yang akan kami diskusikan memiliki banyak fitur yang sama, tetapi setiap sistem telah
dikembangkan untuk menanggapi kebutuhan unik dari konteks populer. Pada akhir bab ini,
Anda harus tahu:
• Perbedaan antara manajemen identitas dan manajemen akses
• Fase dalam model manajemen identitas dan akses
• Tiga kategori kredensial pengguna
• Kekuatan dan kelemahan relatif dari teknologi otentikasi utama
Manajemen identitas
Manajemen identitas adalah proses mengidentifikasi individu dan mengumpulkan semua data
yang diperlukan untuk memberikan atau mencabut hak istimewa bagi pengguna untuk
sumber daya. Sistem nama pengguna dan kata sandi yang Anda gunakan pada laptop Anda
adalah contoh dari sistem manajemen identitas. Dalam organisasi yang lebih besar, proses
formal menjadi perlu untuk mengelola churn pengguna melalui sistem. Dengan menggunakan
contoh universitas negeri pada umumnya, pada hari tertentu, ratusan acara seperti mahasiswa
bergabung dengan universitas, meninggalkan universitas, mendapatkan pekerjaan di kampus,
mengubah pekerjaan di kampus, yang masing-masing memengaruhi informasi apa yang
digunakan pengguna diizinkan untuk mengakses. Proses sederhana yang bekerja di komputer
rumah perlu diganti dengan sistem formal untuk memastikan bahwa setiap orang memiliki
informasi yang tepat waktu di lingkungan yang dinamis ini, tanpa mengurangi informasi yang
tidak boleh mereka akses. Sistem manajemen identitas melakukan fungsi yang diperlukan
untuk mencapai tujuan ini.
 Informasi tentang pengguna disimpan dalam sistem catatan. Berdasarkan Undang-Undang
Privasi AS 1974, 1 kami mendefinisikan System of Record (SoR) sebagai catatan dari mana
informasi diambil dengan nama, nomor identifikasi, simbol, atau pengidentifikasi khusus
lainnya yang ditugaskan untuk individu. Sistem catatan tidak harus sangat rumit. Panel
pengguna di laptop Windows Anda adalah contoh dari SoR. Database SDM dan penggajian
juga akan dianggap sebagai SoR. Di organisasi besar, basis data ini dapat menjadi bagian dari
sistem ERP, sedangkan pada perusahaan kecil, itu mungkin saja berupa lembar kerja Excel.
Demikian pula, Sistem Informasi Mahasiswa universitas Anda adalah contoh dari SoR untuk
data siswa. Sebagai aturan umum, sebuah Sistem Catatan dibuat untuk menyimpan data untuk
tujuan tertentu atau tentang sekelompok orang tertentu. Misalnya, informasi tentang seorang
siswa yang bekerja di Universitasnya akan ditemukan di SoRs siswa dan karyawan. Dengan
demikian, merupakan hal yang umum bagi seseorang untuk memiliki identitas di beberapa
Sistem Catatan pada saat yang bersamaan.
 Dalam SoR, identitas adalah catatan berbeda yang disimpan dalam Sistem Catatan. Dengan
demikian, apa yang secara tradisional kita sebut sebagai pengguna komputer disebut
"identitas" di dunia keamanan informasi. Identifier adalah serangkaian digit yang secara unik
mengidentifikasi identitas dalam SoR.
 Sistem manajemen identitas menangani kompleksitas yang terkait dengan sinkronisasi
identitas di seluruh SoR. Mereka beroperasi dalam tiga tahap (Gambar 8.1) untuk
mengumpulkan semua informasi yang diperlukan untuk mengelola identitas - penemuan
identitas, rekonsiliasi identitas, dan pengayaan identitas. Pada akhir proses, kami
mendapatkan registri orang dengan informasi yang dapat ditindaklanjuti tentang pengguna di
organisasi.
Fase I: penemuan identitas
 Manajemen identitas dimulai dengan fase penemuan, di mana semua identitas baru dan yang
diperbarui di seluruh organisasi berada. Dalam fase ini, sistem manajemen identitas
mengumpulkan semua pengidentifikasi baru atau yang diperbarui di setiap SoR. Perubahan
nama, pembaruan peran, dan koreksi terhadap tanggal lahir atau pengidentifikasi adalah
kejadian umum, dan perlu ditemukan. Kompleksitas fase ini sangat bervariasi tergantung
pada ukuran organisasi. Untuk organisasi kecil dengan pergantian karyawan minimal, proses
ini bisa sepenuhnya manual - ketika seorang karyawan dipekerjakan atau diberhentikan,
datanya diperbarui dalam database Sumber Daya Manusia dan dimasukkan secara manual ke
dalam sistem manajemen identitas. Namun, dalam organisasi yang lebih besar, ini mungkin
melibatkan beberapa sistem otomatis yang mengumpulkan ribuan data dari selusin atau lebih
sistem beberapa kali per hari. Terlepas dari metode tersebut, pada akhir fase penemuan
identitas, kami mendapatkan daftar pengidentifikasi baru atau yang diperbarui dari semua
Sistem Catatan organisasi. Daftar ini adalah data input untuk fase selanjutnya dari proses
manajemen identitas - rekonsiliasi identitas.
Fase 2: rekonsiliasi identitas
 Setelah daftar pengidentifikasi baru atau yang diperbarui telah dikompilasi, kami dapat
melakukan rekonsiliasi identitas. Rekonsiliasi identitas adalah proses membandingkan setiap
identitas yang ditemukan dengan catatan induk dari semua individu dalam organisasi. Untuk
menunjukkan mengapa rekonsiliasi diperlukan, anggaplah Sunshine University merekrut
anggota fakultas baru. Data berikut dimasukkan ke dalam database Sumber Daya Manusia

universitas:

Setelah beberapa tahun, Dr. Jones memutuskan untuk mengambil kelas di waktu luangnya
dan mendaftar di kelas di departemen Biologi. Data berikut dimasukkan ke dalam Sistem
Informasi Mahasiswa: 

 Tanpa proses rekonsiliasi identitas, ketika pengidentifikasi dari berbagai Sistem Catatan
dikumpulkan ke satu tempat, tidak jelas apakah ada dua orang dengan nama Henry Jones,
satu fakultas dan satu siswa, atau satu orang dengan banyak peran:

Dengan proses rekonsiliasi identitas, kita dapat menentukan bahwa kedua catatan ini merujuk
pada Henry Jones yang sama, sebagai berikut:

 Daftar Orang (Person Registry)

 Seperti yang dapat Anda lihat dalam contoh di atas, Henry Jones diberi pengenal selain
Pengenal Mahasiswa dan Karyawan yang dikeluarkan oleh Sistem Catatan masing-masing.
Identifikasi ketiga ini adalah untuk sistem manajemen identitas itu sendiri. Di jantung
sebagian besar sistem manajemen identitas adalah database yang dikenal sebagai Person
Registry. Registry Orang adalah hub pusat yang menghubungkan pengidentifikasi dari semua
Sistem Catatan ke dalam satu identitas "master" dan memungkinkan korelasi dan terjemahan
data identitas (seperti ID Pelajar ke ID Karyawan) dimungkinkan.
 Apa yang membuat Registry Orang? Registri itu sendiri hanyalah sebuah database
sederhana. Ini mengeluarkan pengidentifikasi unik untuk setiap orang baru yang dibuat.
Perhatikan bahwa pengidentifikasi ini dikeluarkan "per orang" dan bukan "per identitas"
sebagaimana dengan Sistem Catatan. Seperti yang telah kita lihat dalam contoh di atas, satu
orang dapat memiliki banyak identitas dalam Sistem Catatan, tetapi tujuan Daftar Orang
adalah untuk mengeluarkan satu pengidentifikasi untuk setiap orang. Registry Orang
menyimpan semua pengidentifikasi dari Sistem Catatan yang berbeda dan beberapa bagian
penting dari data identitas (nama, tanggal lahir, dll.) Untuk setiap individu dalam organisasi.
Fungsi rekonsiliasi identitas
 Proses rekonsiliasi identitas itu sendiri ditandai oleh tiga fungsi utama - penciptaan identitas,
pencocokan identitas, dan penggabungan identitas. Bahkan, rekonsiliasi identitas kadang-
kadang disebut dalam industri sebagai proses "pertandingan / penggabungan". Pencocokan
identitas adalah proses pencarian Orang Registri yang ada untuk satu atau lebih catatan yang
cocok dengan satu set data identitas tertentu. Setelah catatan orang yang cocok ditemukan,
fungsi gabungan identitas menggabungkan catatan baru atau yang diperbarui dengan data
yang terkait dengan catatan orang yang ada. Jika kecocokan yang cocok tidak ditemukan
dalam Registry Orang, data yang diberikan diasumsikan mewakili orang baru. Dalam situasi
ini, kami memohon pembuatan identitas, yang merupakan fungsi yang membuat catatan dan
pengidentifikasi orang baru di Person Registry. Jika data identitas yang diberikan cocok
dengan banyak identitas, konflik identitas terjadi. Untuk menyelesaikan konflik identitas,
administrator harus mengevaluasi data identitas yang disediakan oleh SoR dan memutuskan
apakah ini adalah identitas baru atau secara manual mencocokkannya dengan salah satu
identitas yang ada. Bagan arus proses kecocokan / penggabungan disertakan dalam Gambar
8.2.
 Sekali lagi, tergantung pada ukuran organisasi dan jumlah Sistem Catatan, fase rekonsiliasi
identitas sangat bervariasi dalam kompleksitasnya. Dalam kasus yang paling sederhana -
sebuah organisasi dengan hanya satu Sistem Rekor-rekonsiliasi dan Person Registry tidak
diperlukan. Dalam kasus apa pun, setelah identitas direkonsiliasi, kami beralih ke fase
selanjutnya dari proses manajemen identitas - pengayaan identitas.
 Mengapa tidak menggunakan nomor jaminan sosial sebagai pengidentifikasi di mana-mana?
 Pertanyaan yang sangat alami pada titik ini adalah - mengapa tidak menggunakan nomor
jaminan sosial di mana saja? Bagaimanapun, mereka dikeluarkan per orang, dan bukan per
identitas. Ini sebagian besar akan menghilangkan perlunya rekonsiliasi identitas.
 Salah satu alasan paling penting untuk tidak menggunakan nomor jaminan sosial secara luas
adalah bahwa menggunakan nomor jaminan sosial dengan cara ini akan membuat beban
tambahan pada organisasi untuk menjaga keamanan nomor-nomor ini.
Fase 3: pengayaan identitas
 Hingga saat ini dalam proses manajemen identitas, satu-satunya data yang telah
dikumpulkan dari Sistem Catatan telah dikaitkan dengan mengidentifikasi individu dan
membedakan mereka dari semua individu lain dalam organisasi. Fase pengayaan identitas
mengumpulkan data tentang hubungan masing-masing individu dengan organisasi. Dalam
contoh Sunshine State University kami, selama fase penemuan identitas, kami
mengumpulkan pengidentifikasi untuk Henry Jones dari siswa dan database Sumber Daya
Manusia, tetapi tidak ada informasi tentang hubungannya dengan universitas. Selama fase
pengayaan identitas, kami juga akan mencatat bahwa Henry Jones adalah anggota fakultas di
departemen Arkeologi dan mengambil kelas di departemen Biologi. Setelah pengayaan
identitas, entri Registry Dr. Jones akan terlihat seperti ini:

Hubungan individu dengan organisasi disebut sebagai peran atau afiliasi mereka. Individu
dapat memiliki banyak peran dalam suatu organisasi, dan mungkin memiliki peran dengan
banyak organisasi secara bersamaan. Sebagai contoh, direktur Pemasaran di sebuah
perusahaan memegang kedua peran direktur dalam hal organisasi Pemasaran, dan karyawan
dalam hal perusahaan secara keseluruhan. Karena itu, di sebagian besar organisasi perlu
untuk menentukan peran utama untuk setiap individu. Ini dicapai dengan menerapkan nilai
prioritas pada setiap peran sebagai bagian dari proses pengayaan identitas. Setelah daftar
semua peran individu telah dikompilasi, daftar tersebut dapat diurutkan berdasarkan nilai
prioritas dan peran utama yang dipilih. Dalam contoh sebelumnya, peran direktur akan
menerima nilai prioritas yang lebih tinggi daripada karyawan, sehingga peran utama
pengguna ini akan dicatat sebagai "direktur." Demikian pula, Henry Jones akan memiliki
peran utama "fakultas."
 Pada akhir fase pengayaan identitas, proses manajemen identitas selesai. Sistem manajemen
identitas telah mengumpulkan informasi yang cukup dalam Person Registry untuk cukup
yakin bahwa setiap individu dalam organisasi diidentifikasi secara unik dan informasi yang
cukup telah diekstraksi untuk membuat keputusan cerdas tentang akses dan hak istimewa
yang harus diterima individu ini. Identitas sekarang siap digunakan oleh sistem manajemen
akses, yang menangani keputusan akses ini dan tindakan yang dihasilkan.
Manajemen akses
 Proses manajemen identitas menetapkan siapa individu dalam organisasi. Kita sekarang
perlu menentukan apa yang masing-masing individu ini boleh lakukan. Sistem manajemen
akses mencakup semua kebijakan, prosedur dan aplikasi yang mengambil data dari Person
Registry dan Sistem Catatan untuk membuat keputusan tentang pemberian akses ke sumber
daya.
Kontrol akses berbasis peran
 Sebelum memberikan akses ke sumber daya apa pun, administrator keamanan dan
kepemimpinan organisasi perlu mengembangkan kebijakan untuk mengatur bagaimana akses
diberikan. Di sebagian besar organisasi besar, kebijakan ini menggunakan pendekatan kontrol
akses berbasis peran (RBAC) untuk memberikan akses. Dalam sistem RBAC, izin yang
diperlukan untuk melakukan serangkaian operasi terkait dikelompokkan bersama sebagai
peran sistem. Peran sistem ini dipetakan ke fungsi atau posisi pekerjaan tertentu dalam
organisasi. Sistem RBAC memberikan individu dalam peran pekerjaan tertentu hak akses
yang terkait dengan peran sistem yang sesuai. Misalnya, seseorang yang dipekerjakan sebagai
agen pembelian di suatu organisasi mungkin diizinkan untuk memasukkan pesanan
pembelian baru, tetapi tidak menyetujui pembayaran. Kemampuan untuk menyetujui
pembayaran akan diberikan kepada peran yang terhubung dengan individu di posisi yang
berbeda, seperti dalam akuntansi. Suatu kendala di mana lebih dari satu orang diperlukan
untuk menyelesaikan suatu tugas dikenal sebagai pemisahan tugas. Pemisahan tugas adalah
fitur umum dari sistem bisnis, terutama ketika transaksi moneter terlibat.
 Tujuan dari sistem keamanan RBAC adalah untuk membuat kebijakan keamanan organisasi
mencerminkan proses bisnis aktual dalam organisasi. Setiap individu dalam organisasi
seharusnya hanya diberi peran yang benar-benar diperlukan untuk menyelesaikan
pekerjaannya dengan sukses dan setiap peran hanya boleh berisi izin yang diperlukan untuk
melakukan tugas-tugas spesifiknya. Karena kerangka kerja RBAC memetakan langsung ke
fungsi dunia nyata individu dalam suatu organisasi, administrator keamanan dapat bekerja
secara langsung dengan pengguna sistem dan pemilik proses bisnis untuk mengembangkan
kebijakan yang akan diberlakukan. Ini penting karena pengguna sistem adalah ahli bidang
subjek; mereka tahu izin sistem apa yang diperlukan untuk fungsi pekerjaan tertentu dan
fungsi pekerjaan apa yang dilakukan oleh posisi mana.
Akses Registry
 Inti dari proses manajemen akses adalah database Access Registry. Registri akses
memberikan administrator keamanan tampilan tunggal akun dan izin individu di seluruh
organisasi. Setiap sistem TI yang terhubung ke sistem manajemen akses diaudit secara teratur
untuk mendapatkan izin dan perubahan akun dan data diperbarui dalam registri akses. Selain
itu, registri akses mencakup aplikasi yang menjalankan audit akses berkala. Audit akses
menentukan akses apa yang harus dimiliki setiap individu berdasarkan data yang diberikan
oleh Person Registry dan kebijakan keamanan saat ini. Dengan membandingkan hasil audit
akses dengan data akses yang disimpan dalam registri akses, administrator keamanan dapat
dengan mudah menentukan akses apa yang harus ditambahkan atau dihapus untuk
memastikan sistem mematuhi kebijakan keamanan.
 Langkah terakhir dalam proses manajemen akses adalah untuk bertindak atas perubahan
akses yang diperlukan dengan mengirim / menyediakan tindakan untuk setiap layanan atau
sistem yang terpengaruh. Tindakan penyediaan mencakup membuat akun atau menambahkan
izin yang tidak dimiliki atau dihapus individu (penghapusan ketentuan) akun atau izin yang
tidak lagi diperlukan.
Penyediaan standar
 Aplikasi yang digunakan untuk mengirim tindakan penyediaan telah secara historis sangat
khusus dan umumnya harus ditulis untuk menargetkan aplikasi atau layanan tunggal. Namun,
mengingat pentingnya, ada beberapa pekerjaan untuk membuat kerangka kerja standar untuk
mengirim data penyediaan, seperti Layanan Markup Language (SPML) 2 Layanan dan
Sistem untuk Manajemen Identitas Lintas Domain (SCIM). 3 Spesifikasi SPML disetujui
pada tahun 2007, tetapi hanya melihat penggunaan terbatas, terutama di perusahaan yang
sangat besar, karena kompleksitasnya. SCIM, di sisi lain, relatif baru (versi 1.0 dirilis pada
Desember 2011) dan berusaha untuk kesederhanaan. Masih terlalu dini untuk mengatakan
apakah SCIM akan menjadi standar yang banyak digunakan, tetapi tampaknya memiliki
dukungan luas dari penyedia layanan cloud utama.
Setelah administrator sistem menyelesaikan proses manajemen identitas dan akses
manajemen, sistem siap melayani pengguna. Sistem perlu menyediakan cara bagi pengguna
untuk membuktikan identitas mereka sehingga hak istimewa yang sesuai dapat diberikan.
Mekanisme otentikasi memungkinkan pengguna untuk membuktikan identitas mereka.
Autentikasi
 Dalam jaringan komputer, otentikasi adalah proses yang dilalui pengguna untuk
membuktikan bahwa ia adalah pemilik identitas yang sedang digunakan. Ketika pengguna
memasukkan nama pengguna (juga dikenal sebagai kepala keamanan), ia berusaha
menggunakan identitas untuk mengakses sistem. Untuk mengautentikasi pengguna, yaitu,
memverifikasi bahwa pengguna memang pemilik identitas, langkah selanjutnya yang paling
umum adalah meminta kredensial. Kredensial adalah bagian (atau bagian) dari informasi
yang digunakan untuk memverifikasi identitas pengguna. Kredensial yang paling umum
digunakan terbagi dalam tiga kategori besar:
• Sesuatu yang Anda tahu
• Sesuatu yang Anda miliki
• Sesuatu dirimu
Sesuatu yang Anda tahu - kata sandi
 Kata sandi adalah bentuk kredensial tertua dan paling sederhana. Kata sandi adalah
serangkaian karakter rahasia yang hanya diketahui oleh pemilik identitas dan
menggunakannya untuk mengautentikasi identitas. Jika orang yang mencoba mengakses akun
memberikan kata sandi yang benar, diasumsikan bahwa mereka adalah pemilik identitas dan
diberikan akses. Anda pasti sudah terbiasa dengan penggunaan kata sandi. Mereka banyak
digunakan karena sederhana dan tidak memerlukan perangkat keras atau perangkat lunak
canggih untuk diimplementasikan. Meskipun kata sandi saat ini merupakan bentuk kredensial
yang paling banyak digunakan, kami telah melihat sebelumnya bahwa ada banyak masalah
dengan keamanannya, termasuk kata sandi yang lemah. Juga, penyerang menggunakan dua
teknik umum untuk menebak kata sandi:
• Serangan kamus (Dictionary Attacks) - mencoba ribuan kata sandi dari kamus besar kata
sandi umum dan kata-kata dari berbagai bahasa
• Serangan brutal (Brute-Force Attacks)- mencoba kombinasi karakter acak hingga kata sandi
ditebak atau setiap kombinasi yang mungkin telah dicoba
 Serangan kamus dapat menebak kata sandi umum dengan sangat cepat, tetapi tidak terlalu
efektif terhadap kata sandi yang berisi banyak angka dan simbol selain huruf. Sebaliknya,
serangan bruteforce akan menebak kata sandi yang diberikan cukup waktu. Untuk mengatasi
kelemahan ini, sebagian besar organisasi memberlakukan kebijakan kata sandi untuk
memberlakukan kata sandi "kuat". Beberapa aturan umum yang digunakan adalah sebagai
berikut:
• Kata sandi harus terdiri dari delapan karakter atau lebih.
• Kata sandi harus mengandung angka, huruf besar dan kecil, dan karakter khusus.
• Kata sandi tidak boleh mengandung kata kamus.
Entropi kata sandi
 Sayangnya, aturan ini menghasilkan kata sandi yang sulit diingat, tetapi tidak harus
menghasilkan kata sandi yang kuat. Pada tahun 2006, Institut Nasional Standar dan
Teknologi (NIST) mengeluarkan Publikasi Khusus 800-63, 5 yang menyajikan definisi
matematis kekuatan kata sandi berdasarkan entropi 6 kata sandi. Perhitungan entropi
memungkinkan Anda memperkirakan berapa lama penyerang untuk menebak kata sandi yang
diberikan menggunakan serangan brute-force. Misalnya, kata sandi yang memenuhi semua
aturan di atas dan akan dianggap kuat:! D3nT1ty dihitung memiliki 25 bit entropi, yang
mewakili 2 25 kemungkinan (33 juta) kata sandi. Rata-rata, seorang penyerang harus
mencoba lebih dari 16 juta kata sandi (setengah dari jumlah total) untuk menebak nilai yang
benar. Pada 1000 upaya per detik, penyerang hanya membutuhkan waktu sekitar 4 jam untuk
menebak kata sandi. Namun, jika alih-alih satu kata, Anda menggunakan 3-4 kata umum
bersama sebagai frasa sandi, seperti "gunting kertas batu" yang Anda naikkan entropi ke 2 41
- itu akan meningkatkan jumlah waktu yang dibutuhkan untuk menebaknya menjadi lebih
dari 8 tahun.
 Seperti yang Anda lihat, kata sandi dengan entropi yang lebih tinggi jauh lebih tahan
terhadap serangan brute-force.
Sesuatu yang Anda miliki - token
 Alih-alih mendasarkan otentikasi pada rahasia yang diketahui dan dapat dibagikan pengguna
(sengaja atau tidak) dengan orang lain, token adalah objek fisik (atau dalam kasus token
perangkat lunak, disimpan pada objek fisik) yang harus disajikan untuk membuktikan kepada
pengguna. identitas Dalam hampir semua kasus, token harus disertai dengan kata sandi
("sesuatu yang Anda miliki" dan "sesuatu yang Anda tahu"), menciptakan sistem otentikasi
dua faktor. Otentikasi dua faktor adalah cara yang relatif sederhana untuk menetapkan tingkat
kepercayaan yang tinggi dalam identitas individu yang mengakses sistem. Lembaga
keuangan telah menggunakan otentikasi dua faktor (kartu ATM dan PIN) selama beberapa
dekade, seperti halnya perusahaan besar. Namun, peningkatan phishing dan serangan berbasis
kata sandi lainnya dalam beberapa tahun terakhir telah memotivasi banyak organisasi untuk
menambahkan faktor kedua ke skema otentikasi mereka yang ada.
 Kartu pintar adalah token perangkat keras berukuran kartu kredit yang menyimpan nomor
ID, yang secara unik mengidentifikasi kartu, atau menyertakan sedikit memori untuk
menyimpan sertifikat digital yang mengidentifikasi pengguna itu sendiri. Kartu pintar
digunakan dalam berbagai aplikasi, mulai dari kartu SIM di dalam setiap ponsel hingga kartu
akses yang digunakan untuk akses fisik ke area aman di instalasi pemerintah dan militer.
Pendekatan alternatif untuk otentikasi berbasis cat adalah untuk memuat sertifikat langsung
pada perangkat penyimpanan USB (Gambar 8.3). Selain menghilangkan kebutuhan akan
pembaca kartu pintar, beberapa token otentikasi berbasis USB juga menggunakan sertifikat
dan kata sandi untuk mengamankan penyimpanan onboard.

 Kelemahan dari kartu cerdas dan token otentikasi berbasis USB adalah bahwa pengguna
harus memiliki akses fisik ke port USB komputer atau pembaca kartu yang terhubung
sebelumnya. Ini tidak selalu memungkinkan, terutama saat menggunakan perangkat seluler
atau masuk dari laboratorium komputer yang digunakan terbuka atau Internet Café. Di
lingkungan ini, token yang tidak perlu terhubung langsung ke komputer diperlukan. Token
perangkat keras ukuran gantungan kunci dari perusahaan seperti RSA dan Vasco menangani
hal ini dengan menghasilkan serangkaian angka yang ditampilkan pada layar LCD kecil di
bagian depan token. String ini kemudian dimasukkan oleh pengguna sebagai kata sandi satu
kali (OTP), kata sandi yang hanya dapat digunakan satu kali dan biasanya hanya valid untuk
waktu yang terbatas. Token perangkat keras seperti itu (Gambar 8.4) telah populer selama
bertahun-tahun di sektor korporasi dan pemerintah karena mereka relatif mudah diterapkan,
tidak memerlukan pembaca khusus atau aksesori lain untuk dihubungkan ke setiap komputer
dalam organisasi dan dapat digunakan dengan mudah dalam suatu lingkungan desktop atau
seluler.
 Jenis token ini membuat kata sandi satu kali dengan menggunakan metode berbasis waktu
atau urutan.
• Token berbasis waktu menghasilkan kata sandi baru pada interval waktu tertentu,
biasanya 30 atau 60 detik.
• Token berbasis urutan menggunakan algoritma kompleks untuk menghasilkan
serangkaian kata sandi yang tidak dapat ditebak berdasarkan kata sandi sebelumnya dalam
seri.

Terlepas dari jenis yang digunakan, token perangkat keras terdaftar dengan server otentikasi
sebelum diberikan kepada pengguna, menetapkan nilai awal untuk memulai algoritma
berbasis urutan atau menyinkronkan jam internal untuk yang berbasis waktu.
 
Selain token perangkat keras, vendor keamanan seperti RSA juga menawarkan token
perangkat lunak, aplikasi ponsel yang berfungsi dengan cara yang sama dengan token
perangkat keras tetapi tidak mengharuskan pengguna untuk membawa perangkat terpisah.
Karena mereka tidak melibatkan pengiriman perangkat fisik, token ini memiliki manfaat
tambahan penyebaran cepat dan sederhana - hanya menginstal aplikasi. Setelah aplikasi
diinstal, token perangkat lunak berfungsi persis seperti variasi perangkat keras - aplikasi
menghasilkan kata sandi satu kali yang kemudian dapat dikombinasikan dengan kata sandi
mereka untuk disahkan ke sistem. Google Authenticator adalah token perangkat lunak yang
tersedia untuk iOS dan Android smartphone yang menyediakan otentikasi dua faktor untuk
akun Google.
 Selain aplikasi token perangkat lunak, kemampuan unik ponsel modern telah meningkatkan
jumlah opsi yang tersedia untuk otentikasi dua faktor. Pesan teks SMS adalah cara sederhana
untuk menyediakan faktor kedua untuk otentikasi. Selama pengaturan akun, pengguna
mendaftarkan nomor ponsel mereka dengan layanan otentikasi. Sejak saat itu, ketika
pengguna mencoba untuk mengotentikasi, kode sandi pendek dikirim dalam pesan teks ke
nomor telepon mereka. Pengguna kemudian memasukkan kode untuk membuktikan bahwa
mereka masih memiliki ponsel yang terdaftar. Salah satu kelemahan menggunakan SMS
sebagai kredensial otentikasi adalah bahwa banyak perusahaan telepon seluler membebankan
biaya per pesan.
 tiQR (http://tiqr.org) memberikan contoh pendekatan baru lain untuk otentikasi yang
memanfaatkan fitur perangkat keras yang ditemukan di telepon pintar. Saat masuk ke situs
yang dilindungi oleh tiQR, pengguna disajikan dengan frase tantangan yang dikodekan
sebagai kode Respon Cepat (QR). Pengguna kemudian mengambil gambar kode QR
menggunakan aplikasi tiQR (pada tulisan ini, tersedia versi Android dan iOS) di smartphone
mereka. Pengguna kemudian memasukkan kata sandi mereka ke dalam aplikasi tiQR dan
mengirimkannya ke server otentikasi bersama dengan frase-tantangan decode. Server
otentikasi memvalidasi kata sandi dan frase tantangan pengguna untuk memverifikasi
identitas pengguna.
Sesuatu Pada Anda - biometrik
 Token perangkat keras dan lunak adalah cara yang bagus untuk menambahkan faktor kedua
dan meningkatkan keamanan, tetapi seperti objek fisik apa pun, token dapat hilang atau dicuri
dan digunakan oleh penyerang untuk menyamar sebagai pengguna. Bagaimana kita dapat
memastikan bahwa orang yang mengakses suatu sistem jelas merupakan pemilik identitas?
Alat biometrik menganalisis perbedaan kecil dalam sifat fisik atau perilaku tertentu, seperti
sidik jari atau pola pembuluh darah di mata, untuk mengidentifikasi seseorang. Secara umum,
perangkat biometrik bekerja dengan membandingkan data biometrik yang diambil dari subjek
dengan salinan data biometrik orang yang sebelumnya ditangkap selama proses pendaftaran.
Jika orang yang mengakses data biometrik sistem cocok dengan data yang disimpan, ia
dianggap orang yang sama dan otentikasi berhasil.
Perbedaan fisik yang dapat diamati di antara orang-orang disebut penanda biometrik. Ada
banyak penanda yang dapat digunakan, tetapi kesesuaian penanda tertentu ditentukan oleh
beberapa faktor, termasuk:
• Universalitas - setiap orang harus memiliki sifat atau karakteristik
• Keunikan - tidak ada dua orang yang harus sama dalam hal sifat
• Permanen - sifat tidak boleh berubah dari waktu ke waktu
• Kolektibilitas - sifat tersebut harus dapat diukur secara kuantitatif
• Kinerja - persyaratan sumber daya untuk pengukuran yang akurat harus masuk akal
• Penerimaan - kesediaan pengguna untuk menerima pengukuran sifat
• Circumvention - kesulitan meniru sifat-sifat orang lain
Sidik jari
 Sejauh ini, penanda biometrik yang paling dikenal dan digunakan adalah sidik jari. Sidik jari
yang terdiri dari pola unik punggungan pada jari-jari atau telapak tangan manusia benar-benar
unik - dalam lebih dari 100 tahun investigasi TKP dan jutaan cetakan, tidak ada dua orang
yang pernah ditemukan memiliki kecocokan fi sidik jari.
 Sekali umum hanya dalam aplikasi yang sangat aman, harga dan kompleksitas teknologi
pemindaian telah menurun ke titik bahwa pemindai sidik jari umumnya dimasukkan sebagai
peralatan standar dalam laptop PC yang dirancang untuk pengguna bisnis. Pemindai sidik jari
menggunakan salah satu sensor optik yang merupakan kamera kecil yang mengambil gambar
digital dari jari tersebut, atau pemindai kapasitif yang menghasilkan gambar jari pengguna
menggunakan arus listrik. Alih-alih membandingkan seluruh hasil cetak, perangkat lunak
pemindaian membandingkan bentuk dan lokasi lusinan fitur berbentuk unik (minutiae)
(Gambar 8.5). Dengan mencocokkan beberapa hal-hal kecil di antara dua sidik jari, perangkat
lunak dapat menghitung probabilitas bahwa kedua hasil cetak tersebut cocok. Jenis
pencocokan probabilistik ini mencegah faktor lingkungan (pencahayaan, noda pada kamera,
dll.) Dari mempengaruhi hasil pencocokan sidik jari. Namun, itu juga memperkenalkan
kelemahan dalam otentikasi biometrik. Seorang penyerang tidak perlu mendapatkan
kecocokan persis dari sidik jari untuk menyamar sebagai target; dia hanya perlu menduplikasi
cukup banyak hal kecil untuk meyakinkan pemindai bahwa dia “mungkin” adalah orang yang
tepat. Meskipun serangan yang berhasil terhadap pemindai sidik jari telah dipublikasikan, 11
teknologi ini umumnya aman dan akan terus menjadi bentuk identifikasi biometrik yang
paling banyak digunakan untuk tahun-tahun mendatang.

Iris dan pemindaian retina

Scanner retina merekam pola unik pembuluh darah yang terletak di belakang mata Anda.
Selain retina, mata mengandung sifat pengidentifikasi unik lainnya: iris. Iris adalah struktur
melingkar tipis yang mengelilingi pupil dan memberi warna pada mata. Seperti sidik jari,
struktur ini unik untuk setiap individu dan dapat digunakan untuk otentikasi. Pemindaian
retina dan iris telah lama menjadi mata-mata film - untuk memasuki pangkalan rahasia,
sistem keamanan memindai mata agen dan memverifikasi identitasnya. Dalam kehidupan
nyata, sistem ini digunakan untuk melindungi area seaman Pentagon dan duniawi seperti gym
lokal Anda.
 Pemindai retina telah digunakan di area keamanan tertinggi selama bertahun-tahun. Bagi
pengguna, pemindaian retina sangat mirip dengan tes yang akan dilakukan di kantor
Optometrist. Ia melihat ke lensa mata dan memfokuskan pada titik cahaya selama beberapa
detik sementara pemindai menangkap gambar retina dan memproses data. Pemindaian retina
sangat akurat, tetapi tidak dianggap dapat diterima untuk penggunaan umum karena jauh
lebih invasif dibandingkan teknologi lain dan umumnya lebih lambat daripada alternatifnya.
 Tidak seperti pemindai retina, pemindaian iris cepat dan tidak menyakitkan. Pemindai iris
pada dasarnya adalah kamera digital standar (video atau masih) dilengkapi dengan filter
inframerah (IR) yang memungkinkannya untuk menangkap gambar yang lebih baik dari iris.
Meskipun tidak seakurat pemindaian retina, pemindai iris digunakan dalam lebih banyak
aplikasi karena lebih mudah digunakan. Pemindaian iris sangat mirip dengan mengambil foto
dan tidak mengharuskan pengguna berada dalam jarak dekat dengan pemindai (hingga
beberapa meter jauhnya) atau menahan diam untuk waktu yang lama karena gambar diambil
secara instan.
 Pada tahun 2001, Kementerian Dalam Negeri Uni Emirat Arab memulai program
pemindaian semua warga negara asing yang memasuki negara itu, mencari orang-orang yang
sebelumnya telah dikeluarkan dari negara itu karena pelanggaran izin kerja (Gambar 8.6).
Sistem ini berisi jutaan identitas dan menjalankan milyaran pencarian per hari. Hingga saat
ini, sistem tersebut telah menangkap lebih dari 10.000 orang dengan dokumen perjalanan
palsu yang mencoba masuk kembali ke negara itu.

 Pemindaian Iris juga telah mulai bergerak dari organisasi pemerintah besar ke aplikasi bisnis.
Sebagai contoh, Equinox Fitness Clubs telah melengkapi 15 lokasi mereka dengan pemindai
iris alih-alih pemindai kartu tradisional yang digunakan di klub kebugaran lainnya. Pemindai
memungkinkan anggota VIP mereka untuk mengakses layanan eksklusif tanpa harus
membawa kartu atau mengingat PIN. 
Masalah sistem biometrik
 Sistem biometrik memberikan bentuk otentikasi faktor kedua yang sangat aman dan dapat
memberikan tingkat kepastian yang tinggi dalam identitas pengguna, namun keabadiannya
sebenarnya merupakan kelemahan. Jika penyerang mencuri kata sandi pengguna atau token
keamanan perangkat keras, ancamannya dihilangkan begitu kata sandi atau token baru
dikeluarkan. Itu tidak mungkin ketika berhadapan dengan data biometrik. Sesuai sifatnya,
penanda biometrik bersifat permanen - kami tidak dapat mengeluarkan sidik jari orang baru
jika data sidik jari mereka dikompromikan. Penanda itu tidak lagi dapat digunakan sebagai
faktor otentikasi yang dapat diandalkan. Entah sistem sidik jari harus ditingkatkan untuk
menghilangkan fl yang memungkinkan penyerang meniru pengguna yang valid atau seluruh
sistem harus diganti menggunakan penanda biometrik yang berbeda.
 Biometrik mungkin tampak baru, tetapi itu adalah bentuk identifikasi tertua. Harimau saling
mengenali aroma satu sama lain; penguin mengenali panggilan. Manusia saling mengenali
dengan melihat dari seberang ruangan, suara di telepon, tanda tangan pada kontrak, dan foto-
foto pada SIM. Sidik jari telah digunakan untuk mengidentifikasi orang-orang di TKP selama
lebih dari 100 tahun.
 Apa yang baru tentang biometrik adalah bahwa komputer sekarang melakukan pengenalan:
sidik jari, pemindaian retina, cetak suara, dan pola pengetikan.
Sistem masuk tunggal (Single Sign-On)
 Setelah identitas pengguna dibuat, akses diberikan ke sistem atau aplikasi. Jika otentikasi ini
untuk akun lokal, seperti masuk ke Windows ketika Anda memulai komputer Anda, proses
otentikasi selesai. Sistem operasi menginformasikan semua program di komputer Anda
tentang identitas Anda dan tidak perlu untuk mengautentikasi lagi. Namun, bagaimana jika
aplikasi yang perlu Anda akses ada di sistem lain? Bagaimana Anda mengidentifikasi diri
Anda ke aplikasi jarak jauh? Contohnya adalah mengakses informasi kursus dari sistem
manajemen pembelajaran seperti Blackboard.
 Anda dapat mengulangi proses otentikasi dan memberikan nama pengguna dan kata sandi
Anda plus faktor lain (token, biometrik, dll.) Yang diperlukan di lingkungan Anda. Ini akan
berhasil, tetapi dengan cepat menjadi membosankan, terutama jika Anda mengakses banyak
sistem. Apa yang dibutuhkan adalah cara untuk masuk sekali ke suatu sistem dan
mendapatkan akses ke semua aplikasi yang terhubung tanpa diminta kredensial lagi. Sistem
ini disebut sebagai sistem masuk tunggal (SSO) dan dapat dilakukan dengan beberapa cara.
Sistem masuk tunggal (SSO) mengacu pada teknologi yang memungkinkan pengguna
melakukan otentikasi satu kali dan kemudian mengakses semua sumber daya yang diizinkan
untuk digunakan oleh pengguna.
 Secara umum, administrator sistem dalam lingkungan sistem masuk tunggal menciptakan
kata sandi pengguna yang unik dan kuat untuk setiap sumber daya yang diizinkan untuk
diakses oleh pengguna dan mengubah setiap kata sandi sumber daya individu ini secara
teratur, sebagaimana ditentukan oleh kebijakan kata sandi organisasi. Pengguna akhir tidak
mengetahui adanya kata sandi sumber daya individual ini. Sebagai gantinya, pengguna
diberikan satu kata sandi tunggal yang dimasukkan pengguna ketika mencoba mengakses
sumber daya yang dikendalikan oleh teknologi akses tunggal.
 Implementasi teknologi sistem masuk tunggal biasanya menggunakan satu repositori pusat
untuk otentikasi berbasis kata sandi. Setelah pengguna mengautentikasi ke repositori ini,
sistem mencari sumber daya yang diizinkan untuk diakses oleh pengguna. Ketika pengguna
mencoba mengakses salah satu sumber daya ini, sistem SSO memberikan kata sandi sumber
daya atas nama pengguna. Sistem masuk tunggal menjadi semakin populer di organisasi
besar seperti universitas dan bank.
Manfaat dan masalah SSO
 Sebelum melihat teknologi SSO yang berbeda, mari kita lihat kelebihan dan kekurangan
penerapan SSO dalam suatu sistem. Ada beberapa manfaat utama yang segera diberikan SSO
kepada pengguna dan administrator sistem:
• Pengalaman pengguna yang lebih baik - tidak ada yang suka memasukkan kredensial
beberapa kali.
• Kredensial dirahasiakan - hanya pengguna dan server SSO yang memiliki akses ke
kredensial pengguna. Ini menghilangkan kemungkinan penyerang mengakses kata sandi
melalui layanan yang dikompromikan.
• Implementasi otentikasi dua faktor yang lebih mudah - alih-alih memperbarui semua
layanan untuk mendukung otentikasi token atau biometrik, hanya sistem SSO yang perlu
diperbarui.
• Kurang kebingungan - pengguna tidak perlu mengingat banyak akun dengan nama
pengguna dan kata sandi yang berbeda.
• Lebih sedikit panggilan help desk - pengguna lebih cenderung mengingat kata sandi
mereka.
• Kata sandi yang lebih kuat - karena pengguna hanya perlu mengingat satu kata sandi, kata
sandi itu bisa lebih rumit.
• Audit terpusat - semua otentikasi dicatat dan dapat dipantau di satu tempat.
 Secara umum, menerapkan teknologi SSO meningkatkan keamanan dan pengalaman
pengguna, tetapi ada juga kelemahannya:
• Kredensial yang dikompromikan adalah ancaman yang lebih besar. Akun tunggal yang
disusupi dapat mengakses beberapa sistem atau aplikasi.
• Serangan phishing - Memiliki satu halaman login menciptakan target yang menarik bagi
phisher. Mereka dapat menyalin HTML dari halaman login Anda dengan tepat, sehingga
memudahkan pengguna untuk jatuh karena penipuan mereka.
• Sistem SSO Anda menjadi titik kegagalan tunggal. Jika tidak tersedia, tidak ada yang bisa
mengotentikasi ke sistem apa pun. Kegagalan repositori ini tidak hanya akan membahayakan
kerahasiaan dan integritas semua kata sandi dalam repositori tetapi juga ketersediaan sistem
yang dikendalikan oleh repositori ini.
• Menambahkan semua jenis SSO meningkatkan kompleksitas sistem secara keseluruhan.
Solusi yang lebih kompleks adalah, semakin banyak hal yang bisa salah.
Sinkronisasi kata sandi
 Selain SSO, beberapa organisasi menggunakan skema otentikasi sinkronisasi kata sandi.
Sinkronisasi kata sandi memastikan bahwa pengguna memiliki nama pengguna dan kata
sandi yang sama di semua sistem. Namun tidak seperti SSO, dalam sinkronisasi kata sandi,
pengguna harus masuk kredensial saat mengakses setiap sistem. Perubahan kata sandi pada
satu sistem disebarkan ke sumber daya lain. Ini mengurangi kebingungan pengguna dan dapat
mengurangi panggilan help desk untuk mengatur ulang kata sandi.
Tidak seperti SSO, tidak ada repositori pusat kata sandi dalam sinkronisasi kata sandi.
Sebagai gantinya, setiap sistem yang disinkronkan menyimpan salinan kata sandi pengguna
dan pengguna secara otomatis ke masing-masing sistem secara langsung. Manfaat bagi
pengguna adalah hanya ada satu kata sandi untuk diingat. Sinkronisasi kata sandi umumnya
digunakan ketika mengintegrasikan beberapa jenis sistem yang berbeda, misalnya pengguna
harus dapat mengakses aplikasi berbasis web, aplikasi yang berjalan pada mainframe, dan
akun basis data menggunakan kredensial yang sama.
Karena sinkronisasi kata sandi memiliki lebih sedikit komponen untuk diimplementasikan,
maka umumnya lebih murah daripada SSO. Namun, sinkronisasi kata sandi memiliki
masalah sendiri. Karena kata sandi yang sama diketahui digunakan pada banyak sumber
daya, kompromi dari salah satu sumber daya ini membahayakan semua sumber daya lain
yang disinkronkan dengan sumber daya ini. Jika sinkronisasi kata sandi digunakan dengan
sumber daya dengan persyaratan keamanan yang berbeda, penyerang dapat membahayakan
sumber daya yang kurang aman untuk mendapatkan akses ke sumber daya keamanan yang
lebih tinggi, yang cenderung lebih berharga.

Direktori aktif dan Kerberos

Di jaringan Microsoft Windows, Active Directory berfungsi sebagai arsitektur akses tunggal.
Active Directory mengintegrasikan berbagai layanan jaringan termasuk DNS dan LDAP
dengan Kerberos. Kerberos adalah protokol otentikasi yang memungkinkan node dalam
jaringan tidak aman untuk secara aman mengidentifikasi diri mereka satu sama lain
menggunakan token . Kerberos adalah pro-tocol otentikasi yang sangat populer, dan
berfungsi sebagai dasar bagi banyak teknologi otentikasi lainnya. Proyek Kerberos
dikembangkan pada 1980-an oleh para peneliti di MIT dan dirilis ke publik pada tahun 1993.
15 Kerberos memberikan tingkat kepercayaan yang sangat tinggi pada identitas yang
diberikan kepada aplikasi yang dilindungi dengan membangun hubungan tepercaya
berdasarkan kunci enkripsi bersama antara otentikasi server, aplikasi yang dilindungi, dan
klien.
Dalam situasi Kerberos yang khas, seorang aktor ingin menggunakan layanan jarak jauh,
seperti printer atau server file. Otentikasi menggunakan protokol Kerberos memerlukan satu
peserta tambahan, pusat distribusi utama, dan mensyaratkan bahwa ketiga aktor tersebut
menjadi anggota dari "ranah" Kerberos yang sama (domain di Active Directory) :

• Seorang klien yang memulai otentikasi.   

• Pusat Distribusi Utama (KDC), yang memiliki dua komponen:   
  • Layanan otentikasi,   
  • Layanan pemberian tiket.   
• Layanan yang ingin diakses klien. 
Dengan pengaturan ini, operasi Kerberos ditunjukkan pada Gambar 8.7.
Sebelum klien dapat mengakses layanan "kerberized", mereka harus mengautentikasi ke
KDC. Klien dan layanan pertama-tama mengumumkan keberadaan mereka di jaringan
dengan memberikan kredensial mereka.
15   http://www.kerberos.org/about/FAQ.html

CHAPTER 8  
Identity and Access Management
FIGURE 8 .7 Kerberos ticket exchange
Dan meminta Tiket-Pemberian Tiket (TGT) (1). KDC kemudian mengeluarkan TGT yang
dienkripsi dengan kunci rahasia yang hanya diketahui oleh KDC dan kunci sesi yang akan
dienkripsi dengan tanggapan KDC di masa depan (2). TGT dan kunci sesi memiliki masa
hidup 10 jam secara default dan dapat diperpanjang oleh klien kapan saja.
Ketika klien membutuhkan layanan, ia meminta Tiket Layanan untuk layanan tertentu dengan
menghadirkan TGT ke KDC (3). Jika KDC berhasil mendekripsi TGT, ia mengeluarkan tiket
layanan baru untuk klien dan layanan yang diminta (4). Klien mendekripsi bagiannya
menggunakan kunci sesi yang dikirim sebelumnya oleh KDC dan kemudian mengirimkan
bagian lainnya ke layanan yang diminta (5). Layanan kemudian memverifikasi tiket
menggunakan kunci sesi jangka panjangnya sendiri yang dihasilkan oleh KDC dan
memberikan akses kepada pengguna (6).
Kerberos sejauh ini merupakan teknologi SSO paling populer untuk penggunaan desktop.
Kebanyakan organisasi besar menggunakan desktop Windows dan Active Directory untuk
mengelola akun pengguna. Otentikasi Kerberos yang disertakan dengan Active Directory
memungkinkan pengguna untuk masuk ke desktop mereka sekali dan memasang drive jarak
jauh dan printer atau mengakses aplikasi jarak jauh tanpa memberikan nama pengguna atau
kata sandi mereka. Namun, Kerberos dan Active Directory diarahkan untuk penggunaan
korporat - mereka bekerja ketika semua pengguna mengakses sistem pada komputer
tepercaya (biasanya dimiliki dan dikelola oleh perusahaan). Kerberos tidak cocok untuk
aplikasi yang ditargetkan untuk pengguna web yang mengakses sistem di komputer pribadi
mereka. Dalam kasus ini, tidak mungkin untuk mengasumsikan bahwa pengecer dan
konsumen akan bersedia untuk menjalin hubungan saling percaya satu sama lain untuk
bertukar tiket layanan. Teknik-teknik yang dibahas di bawah ini dirancang untuk bekerja di
lingkungan yang lebih luas ini.
Single sign-on  225

Sistem masuk tunggal web

Kerberos dirancang pada 1980-an, jauh sebelum penciptaan World Wide Web. Meskipun
protokol telah diperbarui sejak bertahun-tahun, protokol ini tidak pernah terintegrasi dengan
mudah dengan aplikasi berbasis web. Ada dua alasan untuk ini: yang pertama adalah
persyaratan bahwa semua klien dan server menjadi anggota ranah Kerberos; yang tidak layak
dengan aplikasi web umum. Alasan lainnya adalah dukungan browser - browser web utama
tidak mendukung otentikasi Kerberos hingga yang relatif baru dan beberapa masih
memerlukan konfigurasi yang luas untuk memungkinkan dukungan. Sistem akses web
tunggal (WebSSO) memungkinkan pengguna untuk mengautentikasi ke aplikasi web tunggal
dan mengakses aplikasi web lainnya tanpa memasukkan nama pengguna dan kata sandi
mereka lagi. Ada banyak jenis WebSSO yang digunakan. Kami akan melihat garis besar
teknologi otentikasi yang digunakan untuk akses web tunggal dan kemudian fokus pada
protokol WebSSO tertentu yang banyak digunakan dalam jaringan pendidikan dan komersial.
Otentikasi berbasis Token
Bentuk paling sederhana dari single-sign-on Web adalah penggunaan token otentikasi
bersama. Token otentikasi adalah identifikasi unik atau hash kriptografi yang membuktikan
identitas pengguna dalam sesi pos token . Ketika seorang pengguna mencoba untuk
mengakses salah satu aplikasi web yang dilindungi untuk pertama kalinya, mereka dialihkan
ke layanan penyedia token yang memvalidasi nama pengguna dan kata sandi (dan faktor
otentikasi lainnya yang diperlukan) dan menghasilkan token otentikasi (Gambar 8.8).

FIGURE 8 . 8 Otentikasi berbasis Token    

Bergantung pada implementasi spesifik dari penyedia token, token otentikasi dapat dihasilkan
dalam sejumlah cara yang berbeda. Paling umum, token adalah hasil dari proses kriptografi
seperti melewatkan nama pengguna melalui algoritma hashing aman (HMAC-MD5) atau
algoritma enkripsi kunci-rahasia (AES). Setelah token dibuat, pengguna diarahkan ke layanan
yang diminta dan token ditambahkan ke parameter permintaan HTTP. Alternatif untuk ini
adalah menyimpan token ke browser pengguna sebagai cookie sesi sebelum mengarahkan
pengguna ke layanan yang diminta. Cookie sesi hanya disimpan dalam memori sementara
dan dihapus setiap kali pengguna menutup browser mereka. Selain data otentikasi, aplikasi
dapat menyimpan data lain seperti item yang disimpan dalam keranjang belanja atau
preferensi situs untuk pengguna dalam cookie sesi.
Berbagi token otentikasi dalam cookie sesi adalah cara sederhana untuk mengaktifkan SSO
antara beberapa aplikasi web, tetapi batasan utama adalah bahwa browser web tidak
mengizinkan cookie untuk dibagikan di antara beberapa domain. Cookie sesi disimpan untuk
sunshine.edu hanya dapat digunakan oleh aplikasi pada sub-domain sunshine.edu seperti
www.sunshine.edu dan mail.sunshine.edu , tetapi tidak pada www.example. com. Jika SSO
diperlukan antara aplikasi pada dua domain yang berbeda, cookie sesi tidak dapat digunakan.
Pada aplikasi web, proses untuk memvalidasi token otentikasi tergantung pada
metode yang digunakan untuk menghasilkannya. Dalam kasus yang paling sederhana, jika
algoritma kunci-simetris digunakan, aplikasi web yang diminta akan memasukkan token dan
salinannya dari kunci kriptografi ke algoritma dekripsi. Data yang dihasilkan akan
menyertakan setidaknya nama pengguna orang yang mengautentikasi itu, tetapi juga dapat
mencakup data lain tentang orang tersebut, seperti nama, atau acara otentikasi, seperti cap
waktu atau alamat IP.
Sistem masuk tunggal menggunakan otentikasi berbasis token relatif mudah
diterapkan dan, bila dilakukan dengan benar dan menggunakan kunci kriptografi yang kuat,
aman. Namun, ada beberapa kekurangannya. Yang pertama adalah bahwa tidak ada protokol
atau kerangka kerja standar untuk token otentikasi, sehingga setiap organisasi menerapkan
sistem otentikasi mereka secara berbeda. Ini bukan masalah jika semua aplikasi yang akan
menggunakan SSO ditulis sendiri, tetapi bisa menjadi masalah besar ketika mencoba
mengintegrasikan aplikasi eksternal. Masalah lain adalah bahwa manajemen kunci kriptografi
sulit untuk ditangani. Jika Anda membuat kunci unik untuk setiap aplikasi menggunakan
SSO,

                       FIGURE 8 . 9  Layanan otentikasi pusat   

Anda berpotensi memiliki ratusan kunci untuk dikelola. Di sisi lain, jika Anda menggunakan
satu kunci untuk semua layanan, dan kunci dikompromikan, semua layanan rentan.

Layanan Otentikasi Pusat (CAS)

Protokol Central Authentication Service (CAS) adalah salah satu teknologi masuk tunggal
open source terkemuka, terutama dalam pendidikan tinggi . Ini pertama kali dikembangkan di
Universitas Yale pada tahun 2001. Protokol CAS menggabungkan aspek otentikasi berbasis
token dengan konsep yang diperoleh dari Kerberos untuk mengembangkan SSO Web yang
aman dan mudah diintegrasikan dengan sebagian besar aplikasi web (Gambar 8.9). Pada
tahun 2004, kepemilikan proyek dipindahkan ke Kelompok Minat Khusus Arsitektur Jawa
(Jasig), sebuah konsorsium lembaga pendidikan yang didedikasikan untuk mengembangkan
perangkat lunak terutama untuk pendidikan tinggi.
Seperti otentikasi berbasis token, ketika pengguna mencoba mengakses aplikasi web yang
dilindungi oleh CAS, mereka dialihkan ke layanan otentikasi di server CAS. Seperti KDC
Kerberos, layanan ini menerima dan memvalidasi kredensial pengguna dan kemudian
menerbitkan Tiket-Pemberian Tiket (TGT). Hal unik tentang CAS adalah tiket ini disimpan
ke dalam browser pengguna dalam cookie sesi yang hanya dapat diakses oleh server CAS.
Pada kunjungan berikutnya ke layanan otentikasi selama sesi login CAS (2 jam secara
default), browser menyajikan TGT untuk otentikasi alih-alih mendorong pengguna untuk
memasukkan kredensial mereka.
Melanjutkan dengan kemiripan dengan Kerberos, browser meminta server CAS untuk
mengeluarkan Tiket Layanan (ST) untuk aplikasi web yang dilindungi. Tiket Layanan CAS
adalah nilai acak yang hanya digunakan sebagai pengidentifikasi unik; tidak ada data
pengguna yang disimpan dalam tiket layanan. Tiket Layanan hanya untuk sekali pakai;
mereka hanya dapat diverifikasi sekali dan kemudian mereka dihapus dari server CAS. Juga,
mereka hanya berlaku untuk URL yang diminta tiket dan berlaku untuk periode waktu yang
sangat singkat (10 detik pada pengaturan standar). Setelah ST dihasilkan, pengguna
diarahkan ke aplikasi yang semula mereka minta dengan ST yang ditambahkan ke parameter
permintaan HTTP, mirip dengan proses yang digunakan oleh otentikasi berbasis token.
Alih-alih divalidasi oleh aplikasi web itu sendiri seperti token otentikasi, Tiket Layanan
dikirim kembali ke server CAS untuk validasi. Jika URL layanan cocok dengan ST yang
dihasilkan dan tiketnya belum kedaluwarsa, server CAS merespons dengan dokumen XML
yang berisi nama pengguna yang diautentikasi. Versi selanjutnya dari server CAS
menambahkan kemampuan untuk mengembalikan atribut seperti nama atau alamat email
selain nama pengguna.
Faktor kunci dalam keberhasilan server CAS adalah kesederhanaan dan fleksibilitasnya.
Dukungan CAS dapat dengan mudah ditambahkan ke hampir semua aplikasi web, baik
dengan menggunakan salah satu klien yang tersedia 16 atau mengembangkan klien Anda
sendiri. Tidak seperti otentikasi token, yang membutuhkan algoritma kriptografi yang
kadang-kadang sulit untuk dikerjakan, satu-satunya persyaratan untuk berinteraksi dengan
server CAS adalah kemampuan untuk membuat koneksi HTTPS dan mem-parsing XML
tanggapan server CAS. Setiap bahasa pemrograman utama yang digunakan saat ini dengan
mudah memenuhi kedua kriteria ini, jadi mengembangkan klien CAS khusus tidaklah sulit.
Server CAS itu sendiri juga mudah diperluas dan dirancang untuk fleksibilitas. Ini
mendukung berbagai jenis kredensial pengguna seperti nama pengguna / kata sandi LDAP
dan sertifikat x.509. Ia bahkan dapat dikonfigurasikan untuk menerima tiket Kerberos,
menciptakan solusi SSO lengkap - pengguna masuk ketika komputer mereka dinyalakan di
pagi hari dan tidak perlu memasukkan kembali kata sandi mereka, bahkan ketika mengakses
aplikasi web.

Federasi
Kerberos dan beberapa bentuk SSO Web menyediakan semua kontrol yang
diperlukan untuk mengamankan aplikasi dalam organisasi, tetapi bagaimana jika pengguna
Anda perlu mengakses aplikasi di luar organisasi Anda (seperti Google Apps atau Office
365) atau pengguna dari organisasi lain perlu untuk mengakses beberapa aplikasi Anda?
Jawaban tradisional adalah menghasilkan akun untuk pengguna Anda di sistem eksternal dan
akun "tamu" di sistem Anda untuk semua pengguna eksternal. Bayangkan bahwa anggota
fakultas di Sunshine State University bekerja sama dengan para peneliti dari sebuah
perusahaan biotek lokal. Satu-satunya cara untuk memberikan akses ke data penelitian untuk
kedua kelompok peneliti, semua personel bioteknologi akan membutuhkan kredensial
universitas dan anggota fakultas akan memerlukan kredensial dari biotek.
 Pada akhirnya, proses ini tidak dapat didukung karena sejumlah alasan; yang pertama
adalah memperkenalkan seperangkat kredensial kedua; menghilangkan semua keuntungan
yang diperoleh SSO. Namun, masalah yang paling penting dari sudut pandang keamanan
adalah bahwa tidak ada cara untuk mengetahui kapan harus mencabut hak istimewa dari
pengguna eksternal. Akses untuk individu di dalam organisasi dapat dicabut begitu perubahan
afiliasi mereka (pemutusan, perubahan posisi, dll.) Telah terdeteksi oleh sistem manajemen
identitas. Namun, jenis informasi ini umumnya tidak akan tersedia untuk individu di luar
organisasi, yang membuat kontrol akses menjadi sulit. Selain implikasi keamanan, membuat
akun di organisasi eksternal biasanya memerlukan pelepasan data pribadi (seperti nama dan
alamat email) untuk pengguna Anda, yang dapat menimbulkan masalah privasi yang serius.
Federasi menjembatani kesenjangan antara sistem otentikasi dalam organisasi yang
terpisah . Federasi biasanya diimplementasikan dengan menyediakan metode untuk aplikasi
internal (penyedia layanan atau SP) untuk mempercayai informasi tentang individu
(pernyataan) yang dikirim oleh sumber eksternal (penyedia identitas atau IdP). Dalam contoh
Sunshine State di atas, alih-alih membuat akun untuk semua peneliti biotek, sistem yang
berisi data penelitian di kampus Sunshine State akan memverifikasi identitas pengguna
dengan IdP perusahaan bioteknologi.
16 
https://wiki.jasig.org/display/CASC/Client + Fitur + Matriks
dan meminta informasi yang cukup tentang pengguna untuk membuat keputusan apakah akan
memberikan akses. Jika otentikasi berhasil dan informasi yang diberikan oleh IdP memenuhi
persyaratan aplikasi, akses akan diberikan. Permintaan informasi dan keputusan akses ini
dilakukan setiap kali pengguna mencoba untuk mengotentikasi, yang memungkinkan
Sunshine State untuk menolak akses ke pengguna yang tidak lagi memenuhi kriteria segera
setelah IDP bioteknologi memiliki informasi.
Mengizinkan pengguna dari lebih dari satu penyedia identitas untuk mengakses
layanan menimbulkan tantangan yang menarik. Bagaimana layanan dapat mengetahui
penyedia identitas mana yang dapat mengotentikasi pengguna? Jawabannya adalah bertanya
kepada pengguna organisasi mana yang mereka berafiliasi. Layanan pencarian memberi
pengguna daftar organisasi tepercaya yang dapat mereka pilih untuk mengautentikasi .
Gambar 8.10 adalah contoh layanan penemuan di salah satu sistem federasi populer -
InCommon.
Bahasa Markup Pernyataan Keamanan (SAML)
Protokol federasi yang paling umum digunakan dalam perangkat lunak perusahaan
adalah Security Assertion Markup Language (SAML). SAML adalah protokol berbasis XML
yang pertama kali dikembangkan pada tahun 2001 oleh Komite Teknis Layanan Keamanan
OASIS. 17 Protokol telah melalui beberapa revisi, yang terbaru (SAML 2.0) dirilis pada
tahun 2005. SAML menggabungkan beberapa standar XML lainnya untuk keamanan pesan,
termasuk enkripsi dan penandatanganan. Keamanan pesan penting dalam pro-tocol karena
alih-alih mengirim data langsung dari IdP ke SP, para pihak dalam transaksi berbasis SAML
berkomunikasi dengan menyampaikan pesan melalui browser pengguna dalam bentuk
HTML. Ini menyederhanakan konfigurasi federasi SAML, karena kontrol jaringan tidak perlu
diperbarui untuk memungkinkan IdP atau SP baru terhubung ke anggota federasi lainnya.
Namun, karena pesan tersebut melewati pihak ketiga yang tidak dipercaya (browser
pengguna), pesan XML harus ditandatangani dan dienkripsi secara kriptografi untuk
memastikan keamanan dan integritasnya.

FIGURE 8 . 10 Layanan penemuan untuk federasi InCommon

17 
https://www.oasis-open.org/committees/security/
230 CHAPTER 8 Identity and Access Management
Dalam federasi lebih dari beberapa penyedia identitas dan layanan, pemeliharaan
federasi menjadi begitu rumit sehingga dapat dipisahkan menjadi organisasinya sendiri.
Penyedia federasi bertanggung jawab atas semua tugas administratif terkait dengan
berjalannya federasi, seperti manajemen keanggotaan, membuat dan menegakkan kebijakan
federasi dan mengelola Infrastruktur Kunci Publik (PKI) yang diperlukan untuk operasi
kriptografi . The penyedia federasi juga menerbitkan metadata federasi, yang merupakan
dokumen XML con-taining daftar lengkap dari semua anggota federasi dan data penting,
seperti ORGANISASI-tion dan informasi kontak, untuk setiap penyedia layanan identitas .
Penyedia federasi adalah titik sentral dalam jaringan kepercayaan yang membentuk federasi.
Para peserta federasi mempercayai penyedia untuk memeriksa anggota baru dan menegakkan
tingkat kualitas tertentu dalam proses manajemen identitas mereka. Pada gilirannya, peserta
mendanai penyedia federasi melalui biaya keanggotaan.
Gambar 8.11 menggambarkan proses otentikasi pengguna dalam federasi SAML.
Ketika pengguna mencoba untuk mengotentikasi ke penyedia layanan yang dilindungi SAML
(1), SP pertama memeriksa bahwa sumber yang diminta memerlukan otentikasi (pemeriksaan
akses). Jika otentikasi diperlukan,

FIGURE 8 . 11 SSO dengan federasi SAML        

SP mengembalikan formulir HTML (2) yang berisi dokumen XML AuthnRequest
yang akan disajikan (3) ke layanan SSO pada penyedia identitas. IdP kemudian meminta
kredensial pengguna (4) dan memvalidasinya (5). Jika otentikasi berhasil, IdP mengumpulkan
semua data tentang pengguna ini yang harus dirilis ke penyedia layanan ini dan menghasilkan
respons SAML. Untuk melindungi data yang terkandung dalam respons, IdP mengenkripsi
XML dengan kunci publik penyedia layanan (diambil dari penyedia federasi) dan
menandatangani dokumen dengan kunci privatnya sendiri. IdP kemudian mengirimkan
formulir HTML yang berisi data respons kepada pengguna (6). Formulir secara otomatis
dikirimkan ke penyedia layanan (7), yang mendekripsi dokumen XML dan memverifikasi
tanda tangan pesan. Sekarang pengguna telah diautentikasi, penyedia layanan menyediakan
sumber daya yang diminta kepada pengguna (8).
Tidak seperti beberapa protokol SSO lain yang telah kita bahas dalam bab ini, SAML
tidak ditulis sebagai bagian dari aplikasi server. Standar SAML mendefinisikan rincian
tentang bagaimana protokol bekerja, tetapi implantasi sebenarnya dari rincian tersebut
diserahkan kepada pengembang aplikasi. Karena itu, ada banyak sistem otentikasi yang
mendukung protokol SAML baik dari vendor perangkat lunak komersial utama, seperti
Oracle dan Microsoft, dan implementasi open-source yang tersedia secara bebas.
Implementasi SAML oleh Microsoft adalah bagian dari produk Active Directory
Federation Services (ADFS) mereka. ADFS adalah layanan yang memperluas sistem
Direktori Aktif untuk mendukung akses gabungan ke sumber daya lokal dan eksternal
menggunakan SAML dan protokol terkait . ADFS adalah jantung dari banyak produk terbaru
Microsoft ketika mereka mulai memperkenalkan lebih banyak model Perangkat Lunak
sebagai layanan untuk pengiriman perangkat lunak. Misalnya, menggunakan ADFS untuk
akses gabungan ke Office 365 memungkinkan organisasi menggunakan kredensial lokal
mereka (dengan sistem masuk tunggal ke komputer desktop mereka) untuk mengakses email
dan kalender berbasis cloud mereka. Kepatuhan ADFS terhadap standar SAML juga
memungkinkan organisasi bersatu dengan produk non-Microsoft seperti Salesforce.com atau
Google Apps untuk bisnis.
Shibboleth adalah implementasi server otentikasi berbasis sumber terbuka SAML
yang paling populer. Shibboleth adalah manajemen identitas sumber terbuka dan infrastruktur
kontrol akses gabungan berdasarkan Bahasa Assertion Markup Language (SAML) . Ini
dikembangkan untuk akses web tunggal oleh grup Internet2 yang terdiri dari pengembang
dari beberapa universitas dan organisasi penelitian utama. Fakultas dan peneliti dari berbagai
organisasi membutuhkan cara untuk mengakses sumber daya bersama di berbagai kampus
anggota, yang masing-masing menggunakan sistem otentikasi unik mereka sendiri. Versi
awal (1.0) dari Shibboleth dirilis pada tahun 2003, dengan peningkatan versi utama pada
tahun 2005 (versi 1.3) dan 2008 (versi 2.0) dan banyak rilis poin yang lebih kecil telah dirilis
sejak itu. Shibboleth sekarang merupakan sistem otentikasi paling populer untuk lembaga
pendidikan, terutama universitas riset besar, dan merupakan dasar bagi banyak federasi
nasional dan internasional.
Semboyan?
Kamus Merriam-Webster mendefinisikan Shibboleth sebagai “suatu kebiasaan atau
penggunaan yang dianggap membedakan satu kelompok dari yang lain.” 18 Istilah ini berasal
dari Alkitab Ibrani (Hakim-hakim 12: 5–6) di mana pengucapan yang benar dari kata ini
digunakan untuk membedakan orang Gilead (yang mengucapkannya dengan benar) dari
orang Efraim (yang mengucapkannya sebagai “Sibboleth”).
8 
http://www.merriam-webster.com/dictionary/shibboleth
Sekitar waktu yang sama versi pertama Shibboleth sedang dikembangkan, yayasan
yang menjalankan infrastruktur jaringan untuk semua universitas Swiss, SWITCH,
sedang berhadapan dengan masalah yang sama yang dihadapi oleh anggota kelompok
Internet2 yang mengerjakan Shibboleth. Pada tahun 2003 SWITCH mengumumkan federasi
baru, SWITCHaai 19 yang akan menghubungkan semua universitas di Swiss dan semua mitra
penelitian atau komersial mereka, yang memungkinkan siswa dan fakultas Swiss mengakses
semua sumber daya pendidikan di negara itu dengan satu set kredensial. Pada November
2012, SWITCHaai memiliki lebih dari 50 lembaga pendidikan dengan penyedia identitas dan
hampir 100 sektor publik dan mitra perusahaan sebagai penyedia layanan.
Setelah kesuksesan yang SWITCH miliki dengan menjalankan federasi skala besar,
jaringan pendidikan di seluruh dunia mulai mengembangkan rencana mereka sendiri untuk
federasi. Pada tahun 2004, Internet2 mengumumkan federasi nasional, InCommon, untuk
menghubungkan universitas-universitas Amerika dengan lembaga penelitian pemerintah dan
mitra perusahaan. InCommon dimulai dengan hanya beberapa anggota dan tumbuh lambat
pada awalnya, tetapi dengan penambahan mitra perusahaan besar seperti Microsoft dan rilis
Shibboleth 2.0 pada 2008, keanggotaan meledak. Pada akhir 2012, InCommon memasukkan
lebih dari 300 lembaga pendidikan, yang mewakili hampir 6 juta pengguna, dan lebih dari
150 mitra penelitian dan komersial. 20 SWITCH dan mitra Internet2 di Inggris, JISC,
mengumumkan Federasi Inggris pada tahun 2005, 21 yang telah menjadi salah satu federasi
terbesar di dunia dengan hampir 1000 peserta dan ratusan penyedia layanan.
OpenID
Federasi berbasis SAML adalah solusi yang sangat baik untuk keamanan perusahaan, seperti
mengotentikasi karyawan atau mitra bisnis, tetapi membutuhkan perencanaan dan pemikiran
sebelum menambahkan sumber daya federasi baru. Setiap penyedia identitas dan layanan
harus terdaftar di federasi sebelum digunakan untuk otentikasi. Registrasi harus dilakukan
oleh administrator sistem penyedia identitas dan, tergantung pada persyaratan penyedia
layanan, mungkin memerlukan perubahan konfigurasi pada sistem IdP. Dalam situasi
perusahaan, ini baik-baik saja. Ketika layanan federasi baru diidentifikasi oleh karyawan atau
anggota organisasi lainnya, persyaratan tersebut ditinjau dan harus disetujui sebelum
perubahan konfigurasi dilakukan. Ini juga berarti bahwa SAML memiliki kerugian yang
berbeda ketika aplikasi yang basis penggunanya termasuk masyarakat umum. Bayangkan
jumlah pekerjaan yang diperlukan untuk memelihara federasi yang berisi jutaan penyedia
layanan dan identitas yang ada di Internet dengan ratusan atau ribuan penyedia baru yang
dibuat setiap hari. Untuk menangani situs dengan populasi pengguna besar dari seluruh dunia,
seperti Twitter dan Facebook, diperlukan jenis federasi baru.
OpenID awalnya dikembangkan pada 2005 untuk platform blogging LiveJournal.com . Alih-
alih meminta penyedia identitas (disebut sebagai Penyedia OpenID) untuk mendaftar dengan
penyedia federasi pusat, OpenID menggunakan model terdistribusi untuk otentikasi. Satu-
satunya persyaratan untuk menjadi Penyedia OpenID adalah memiliki koneksi Internet yang
memungkinkan komputer lain untuk menjangkau Anda dan server web yang menjalankan
aplikasi server yang sesuai dengan OpenID. Penghalang rendah untuk entri ini berarti bahwa
pengguna yang sangat sadar akan keamanan dan privasi bahkan dapat menjalankan Penyedia
OpenID mereka sendiri, memungkinkan mereka untuk menetapkan persyaratan kekuatan dan
jenis kredensial yang mereka miliki.
19 
http://www.switch.ch/aai/about/federation
20 
http://www.incommonfederation.org/participants
21 
http://www.ukfederation.org.uk
 gunakan untuk mengotentikasi diri mereka sendiri. Alasan protokol berhasil,
bagaimanapun, adalah manfaat bagi penyedia layanan (Mengandalkan Partai dalam protokol
OpenID). Janji "aplikasi web" baru saja mulai muncul dengan situs-situs seperti Gmail,
Flickr, dan Facebook, semuanya diluncurkan pada 2004. Startup meluncurkan aplikasi baru
setiap saat dan pengguna merasa frustrasi karena harus menyulap beberapa akun dan kata
sandi. Menambahkan dukungan OpenID relatif mudah bagi pengembang aplikasi dan
penyedia email utama seperti AOL, Google, dan Yahoo segera bergabung sebagai Penyedia
OpenID. Berkat penyedia seperti ini, OpenID digunakan di ribuan situs dan lebih dari satu
miliar URL OpenID digunakan di web.
Untuk mengautentikasi menggunakan protokol OpenID 1.0, pengguna menyediakan
URL OpenID mereka kepada Pihak yang Mengandalkan bukannya nama pengguna (1). URL
OpenID unik untuk setiap pengguna dan biasanya merupakan subdomain organisasi yang
menampung penyedia OpenID, misalnya, http: // jsmith.sunshine.edu. Pihak yang
Mengandalkan kemudian meminta URL dan dialihkan ke penyedia OpenID (2). Penyedia
OpenID merespons dengan rahasia bersama yang akan digunakan untuk memperbarui
tanggapan otentikasi (3). Pihak yang Mengandalkan kemudian mengalihkan browser
pengguna ke penyedia OpenID untuk otentikasi. Setelah pengguna memberikan kredensial
mereka (4) dan penyedia OpenID memverifikasi bahwa mereka valid (5), ia menghasilkan
respons otentikasi dan mengembalikannya, bersama dengan rahasia bersama, kembali ke
Pihak yang Mengandalkan (6). Setelah pengguna diberi otorisasi, URL OpenID dikaitkan
dengan akun lokal di aplikasi Relying Party dan detail pengguna yang diperlukan untuk
layanan (nama, alamat email, dll.) Diminta dari pengguna. Prosesnya ditunjukkan pada
Gambar 8.12.
Spesifikasi final untuk OpenID 2.0 22 dirilis pada akhir 2007, membawa kemampuan
untuk melepaskan atribut tentang pengguna selain respons otentikasi (OpenID Attribute
Exchange 23 ). OpenID 2.0 juga menambahkan dukungan untuk "identitas terarah" yang
memungkinkan pengguna untuk masuk .
22 
http://openid.net/specs/openid-authentication-2_0.html
 
23 
http://openid.net/specs/openid-attribute-exchange-1_0.html

nama domain penyedia OpenID mereka (yahoo.com, misalnya) atau pilih penyedia dari
daftar dan layanan penemuan pusat di penyedia itu akan mengembalikan URL OpenID yang
benar untuk pengguna. Gambar 8.13 menunjukkan layar pemilihan penyedia yang umum
untuk Openely 2.0 Relying Party. Rilis atribut adalah fitur penting; itu memungkinkan
pengguna untuk mem-bypass formulir yang meminta info pengguna dasar seperti nama dan
alamat email dengan meminta penyedia OpenID mereka menyatakan informasi untuk
mereka. Karena proses pendaftaran dan masuk lebih mudah bagi pengguna, Mengandalkan
Pihak melihat peningkatan yang ditandai dalam pendaftaran dan penggunaan layanan saat
menggunakan otentikasi OpenID. 24 Sistem rilis atribut di OpenID 2.0 juga dapat dilihat
sebagai keuntungan untuk privasi pengguna. Sebelum merilis data apa pun kepada Pihak
yang Mengandalkan, penyedia OpenID meminta izin pengguna dan memungkinkan mereka
untuk menghentikan transaksi jika mereka tidak ingin merilis data yang diminta.
OAuth 
Protokol OpenID dirancang untuk memenuhi kasus penggunaan khas aplikasi web -
seorang manusia yang duduk di depan browser web sedang mengakses layanan. Namun, dua
kasus penggunaan baru muncul tak lama setelah pengembangan OpenID: mashup web dan
aplikasi seluler. Mashup web adalah halaman web atau aplikasi yang menggabungkan data
dari satu atau lebih API berbasis web ke dalam layanan baru. Misalnya, BigHugeLabs
(http://bighugelabs.com) menggunakan API gambar dari Flickr untuk membuat poster,
mosaik, dan banyak jenis gambar baru lainnya. Ada ribuan mashup yang menggunakan
Google Maps API (https: //developers.google.com/maps), dari mencari tur Winery di mana
saja di Amerika Serikat (http://winesandtimes.com) hingga melihat saat ini Tren Twitter
berdasarkan lokasi (http://trendsmap.com) (Gambar 8 .14). API yang digunakan oleh mashup
tidak dapat dilindungi oleh OpenID karena mereka tidak diakses oleh orang yang dapat
mengautentikasi ke penyedia OpenID. Mereka sedang diakses oleh aplikasi web yang
menggabungkan data dan membuat mashup.
Demikian pula, aplikasi pada perangkat seluler seperti ponsel cerdas dan tablet mengakses
API berbasis web untuk mengambil dan memanipulasi data bagi pengguna untuk
meningkatkan kemampuan asli mereka. Sebuah game di smartphone mungkin
memungkinkan Anda untuk memperbarui status Anda di Twitter atau Facebook dengan skor
tinggi Anda, tetapi Anda tidak ingin memberikan akses penuh (misalnya, memperbarui daftar
teman Anda) kepada pengembang game. Diperlukan sebuah protokol yang akan
memungkinkan pengguna untuk memberikan aplikasi atau akses layanan ke sumber daya
spesifik untuk waktu yang terbatas tanpa memberikan kredensial mereka. Protokol OAuth
(otorisasi terbuka) dikembangkan untuk memenuhi kebutuhan ini. Menurut halaman beranda
teknologi OAuth, 25 OAuth adalah mekanisme yang memungkinkan pengguna untuk
memberikan akses ke sumber daya pribadi di satu situs (penyedia layanan) ke situs lain
(konsumen). Gambar 8.15 adalah gambaran umum protokol. Hal pertama yang harus Anda
ketahui tentang protokol OAuth adalah bahwa itu bukan protokol otentikasi, meskipun
banyak orang keliru menyebutnya sebagai satu. OAuth hanya berurusan dengan
24   http://janrain.com/resources/industry-research/consumer-perceptions-of-online-
registration-and-social-login  
25   http://oauth.net/about/

FIGURE 8 . 14 http://trendsmap.com
otorisasi, menyediakan aplikasi web (klien OAuth) dengan cara untuk meminta akses
ke satu atau lebih sumber daya (ruang lingkup) dari pengguna (pemilik sumber daya) melalui
server otorisasi OAuth dan dapat menggunakan kembali otorisasi itu untuk jangka waktu
yang lama dan memungkinkan pengguna untuk mencabut akses kapan saja.
Sebelum klien dapat mengirim permintaan ke server otorisasi, aplikasi harus
mendaftarkan pengenal dengan server dan menerima kredensial klien, biasanya dalam bentuk
kata sandi atau rahasia bersama. Ketika klien perlu mengakses sumber daya untuk pertama
kali, itu mengarahkan agen pengguna pemilik sumber daya (browser atau aplikasi seluler) ke
server otorisasi bersama dengan ruang lingkup permintaan dan pengidentifikasi klien (1a &
1b). Server Otorisasi mengotentikasi pengguna (2 & 3) (dapat meminta kredensial mereka
secara langsung atau, lebih mungkin, menjadi bagian dari jaringan federasi / SSO) dan
menyajikan kepada mereka daftar sumber daya yang diminta dan memberi mereka
kesempatan untuk menerima atau tolak permintaan itu.
Jika pemilik sumber daya memberikan akses, agen pengguna dialihkan kembali ke
klien OAuth bersama dengan kode otorisasi (4a & 4b). Klien OAuth kemudian mengirimkan
kode otorisasi dan kredensial klien yang sebelumnya dibuat dengan server otorisasi (5).
Server authori-zation memverifikasi kredensial dan permintaan klien dan kemudian
menerbitkan token akses (6) yang dapat digunakan klien untuk mengakses sumber daya yang
dilindungi (7). Klien OAuth dapat terus menggunakan token akses ini hingga kedaluwarsa
atau aksesnya dicabut oleh pemilik sumber daya.
Sebagian besar situs jejaring sosial utama termasuk Facebook, Twitter, Foursquare,
dan Google + menyediakan akses ke server otorisasi OAuth. Jika Anda pernah mengizinkan
aplikasi lain untuk memposting ke timeline Facebook Anda atau memperbarui posting ke
akun Twitter Anda, Anda telah menjadi pemilik sumber daya dalam transaksi OAuth.
Masalah utama dengan OAuth adalah bahwa otentikasi pengguna diserahkan ke server
otorisasi, yang berarti bahwa jika pengguna memiliki klien mengakses tiga layanan berbeda
yang menggunakan OAuth untuk otorisasi, mereka kemungkinan harus mengotentikasi tiga
kali terpisah. Banyak pengembang menganggap OAuth “cukup baik” sebagai sistem
otentikasi karena mereka merasa bahwa jika server otorisasi mengeluarkan kode otorisasi
untuk permintaan OpenID, identitas pengguna telah diverifikasi dan otentikasi dapat
dipercaya. Jika
236. CHAPTER 8   Identity and Access Management

token akses OAuth digunakan untuk otentikasi dan otorisasi, namun ada
kemungkinan, bahwa klien yang nakal atau berkompromi dapat menyalahgunakan token dan
menyamar sebagai pengguna di situs lain mana pun yang menggunakan layanan otorisasi
yang sama. Dalam sebagian besar aplikasi yang digunakan OAuth untuk hari ini, risiko jenis
serangan ini minimal, karena sumber daya yang dilindungi oleh OAuth (jejaring sosial, blog,
dll.) Tidak terlalu berharga. Ketika perbankan dan lembaga keuangan lainnya mulai
menerapkan OAuth, target menjadi jauh lebih berharga dan lebih mungkin untuk
dieksploitasi. Protokol yang baru diusulkan, OpenID Connect, menggabungkan OAuth untuk
otorisasi, OpenID untuk otentikasi, dan elemen-elemen protokol SAML untuk keamanan
pesan menjadi satu standar tunggal. 26 Desain OpenID Connect masih sangat fluks dan
beberapa tahun dari mendekati popularitas OAuth, tetapi sebagai penerus OpenID 2.0 perlu
disebutkan.
26 
http://openid.net/connect
Example case – Markus Hess 237
Cara sederhana untuk melihat bagaimana OAuth digunakan dalam praktik dapat dilihat
dengan membuat aplikasi MVC 4 sederhana dengan templat Internet di Visual Studio 2012.
MVC 4 memperkenalkan mekanisme SimpleMembershipProvider untuk mengautentikasi
pengguna dan memasukkan OAuth sebagai salah satu fitur-fiturnya. Untuk
mengimplementasikan OAuth, MVC 4 menggunakan tabel yang disebut
webpages_OAuthMembership, yang strukturnya dapat dilihat pada Gambar 8.16. Kolom
Userid dalam tabel adalah kunci utama untuk catatan pengguna di aplikasi lokal. Melalui
tabel webpages_OAuthMembership, SimpleMembership mengaitkan id pengguna lokal ke
informasi identifikasi pengguna pada penyedia jarak jauh seperti Facebook atau Twitter.
Setelah asosiasi dibuat, pengguna dapat memberikan kredensial mereka di penyedia jarak
jauh. Aplikasi lokal akan memverifikasinya dengan penyedia jarak jauh dan, jika
dikonfirmasi oleh pihak ketiga, memungkinkan pengguna mengakses aplikasi lokal.
Pengguna, bukan aplikasi, membuat hubungan antara id pengguna lokal dan id di pihak
ketiga. Aplikasi ini hanya memungkinkan pengguna untuk membuat seperti asosiasi.

Contoh kasus - Markus Hess

Cliff Stoll, seorang astronom dan administrator sistem TI amatir menggunakan indra
pengamatannya untuk melacak penyusup muda Jerman, Markus Hess, yang berhasil
memasuki banyak perusahaan militer AS selama periode 1 tahun selama 1986–1987.
Penyusup itu menjual banyak file yang dia unduh ke KGB. Terlepas dari kegigihan dan
keterampilan si pengganggu, dalam banyak kasus, ia dapat memasuki komputer dengan
mengeksploitasi kata sandi yang lemah. Jalur koneksi penyusup ditunjukkan pada Gambar
8.17.
Memantau hasil cetakan terperinci dari aktivitas penyusup, ternyata ia mencoba memasuki
sekitar 450 komputer, menggunakan nama akun umum seperti atap, tamu, sistem, atau bidang
dan kata sandi standar atau umum. Dengan menggunakan utilitas sederhana seperti siapa atau
jari yang mencantumkan pengguna yang saat ini tercatat, ia dapat menemukan nama akun
pengguna yang valid. Dalam sekitar 5% dari mesin yang dicoba, nama dan kata sandi akun
default adalah valid, meskipun mesin diharapkan aman. Kredensial default ini sering
memberikan hak istimewa manajer sistem juga. Dalam kasus lain, begitu dia masuk ke suatu
sistem, dia bisa mengeksploitasi kerentanan perangkat lunak yang terkenal untuk
meningkatkan hak istimewanya untuk menjadi manajer sistem. Dalam kasus lain, ia
mengambil keuntungan dari masalah yang dipublikasikan dengan baik di beberapa sistem
operasi, untuk mendapatkan hak istimewa root atau manajer sistem.
Penyusup juga memecahkan kata sandi terenkripsi. Pada masa itu, sistem operasi UNIX
menyimpan kata sandi dalam bentuk terenkripsi, tetapi di lokasi yang dapat dibaca publik.
Log lalu lintas menunjukkan bahwa ia mengunduh file kata sandi terenkripsi dari sistem yang
dikompromikan ke komputernya sendiri dan dalam waktu sekitar satu minggu, menyambung
kembali ke komputer yang sama dan masuk ke akun yang ada dengan kata sandi yang benar.
Setelah diselidiki, ternyata kata sandi yang berhasil ditebak adalah kata-kata bahasa Inggris,
nama-nama umum, atau nama-tempat, yang menunjukkan serangan kamus

238

Example case – Markus Hess 239

di mana ia secara berturut-turut akan mengenkripsi kata-kata kamus dan membandingkan
hasilnya dengan kata sandi yang diunduh.
Pengalaman ini membantu penyelidik menghargai kelemahan keamanan kata sandi di
beberapa versi UNIX dan implikasinya. Versi Unix ini pada saat itu tidak memiliki penuaan
kata sandi, kedaluwarsa, dan pengecualian kata-kata kamus sebagai kata sandi. Juga,
membiarkan siapa pun membaca kata sandi, memercayai keamanan skema enkripsi tidak
tepat. Pedoman laboratorium Lawrence Berkeley tidak repot-repot mempromosikan
pemilihan kata sandi yang baik dengan hasil bahwa hampir 20% kata sandi penggunanya
dapat ditebak menggunakan kata-kata kamus.

REFERENSI
 
Stoll, C. "Menguntit peretas yang cerdik," Komunikasi ACM, Stoll, C. "Telur Cuckoo,"
Doubleday, http://en.wikipedia.org/             
 Mei 1988, 31 (5): 484–497 wiki / The_Cuckoo's_Egg  

RINGKASAN
Dalam bab ini, kami melihat proses manajemen identitas dan akses, dari awal
identitas pengguna dalam Sistem Catatan hingga mekanisme otentikasi dan otorisasi. Kami
memperkenalkan fase manajemen identitas - penemuan identitas, rekonsiliasi identitas, dan
pengayaan identitas - dan bagaimana kebijakan kontrol akses berbasis peran digunakan untuk
manajemen akses.
Otentikasi adalah proses yang digunakan untuk memvalidasi identitas pemegang
akun. Dibutuhkan setidaknya dua informasi: prinsipal (nama pengguna) dan kredensial.
Kredensial dapat dipecah menjadi tiga kategori besar: kata sandi, token, dan biometrik.
Otentikasi multifaktor memerlukan dua atau lebih jenis kredensial yang digunakan bersama
untuk memvalidasi identitas.
Sistem masuk tunggal memungkinkan pengguna untuk mengakses aplikasi pada
banyak sistem komputer dalam satu organisasi sekaligus hanya mengautentikasi sekali.
Beberapa protokol SSO seperti Kerberos dirancang untuk penggunaan desktop, sementara
yang lain, seperti CAS dan otentikasi berbasis token, dimaksudkan untuk digunakan oleh
aplikasi web. Protokol Federasi seperti Shibboleth dan OpenID memungkinkan pengguna
dari berbagai organisasi untuk mengakses sumber daya bersama dan memperluas pengalaman
akses tunggal di luar satu organisasi.
BABREVIEWUQUESTION ?
1. Apa itu manajemen identitas?
2. Jelaskan secara singkat fase-fase model manajemen identitas.
3. Apa itu Sistem Catatan?
4. Apakah nama seseorang akan menjadi pengidentifikasi yang baik untuk Sistem
Catatan? Mengapa atau mengapa tidak?
5. Apa peran yang dimainkan oleh Registry Orang dalam proses manajemen identitas?
6. Apa itu peran?
7. Apa pemisahan tugas?
8. Berikan contoh kebijakan kontrol akses berbasis peran.
9. Apa yang dilakukan audit akses?
10. Apa itu kredensial?
11. Apa tiga kategori kredensial?
12. Apa bentuk kredensial tertua dan paling sederhana?
13. Apa perbedaan antara serangan kamus dan brute-force password?
14. Sebutkan satu kelebihan dan kekurangan untuk masing-masing jenis kredensial ini:

 Kata sandi

 Kartu Pintar

 Token Perangkat Keras

 Token perangkat lunak telepon seluler (SMS)

15. Apa tujuh faktor yang harus dipertimbangkan ketika menentukan kesesuaian penanda
biometrik?
16. Sebutkan dan jelaskan secara singkat tiga keuntungan dan kerugian untuk akses
masuk tunggal.
17. Apa nama arsitektur akses tunggal Microsoft?
18. Apa itu token otentikasi?
19. Sebutkan setidaknya satu keuntungan dan kerugian menggunakan:
• Token yang dibagikan    
• CAS    
• Shibboleth    
• OpenID    
• OAuth    
20. Sebutkan setidaknya satu kesamaan dalam desain yang dimiliki CAS dan Kerberos.
21. Apa tujuan dari federasi?
22. Di mana federasi SAML utama pertama didirikan? Apa namanya?
23. Sebutkan dan jelaskan secara singkat empat peran dalam federasi SAML.
24. Jelaskan dua cara yang berbeda dengan OpenID 2.0 dari spesifikasi OpenID 1.0.
25. Apa itu web mashup? Mengapa mereka bergantung pada OAuth untuk fungsionalitas?

PERTANYAAN CONTOH
1. Apa saja kegiatan yang sedang dilakukan laboratorium Lawrence Berkeley?
2. Menurut Anda, apa informasi paling berharga yang dapat diperoleh penyerang dari
mengakses komputer di lab ini secara tidak benar?
3. Apa langkah-langkah yang saat ini diambil oleh laboratorium untuk mengurangi
kemungkinan kompromi seperti itu? (Anda harus dapat menemukan informasi ini secara
online)?
4. Apa sistem operasi yang paling sering Anda gunakan?
5. Bagaimana Anda melihat semua akun pengguna dan propertinya di sistem operasi ini?
6. Apakah Anda melihat akun pengguna default di sistem Anda (tamu, administrator,
dll.)?
7. Jika ada akun seperti itu, apakah Anda melihat potensi kerentanan pada komputer
Anda sebagai akibat dari akun ini?
8. Jika Anda menjawab ya untuk di atas, apa yang dapat Anda lakukan untuk
memperbaiki kerentanan ini?
 
HANDS - ONACTIVITY - IDENTITYM DI CHANDMERGE
Aktivitas ini akan menunjukkan proses pencocokan identitas dan penggabungan yang
digunakan oleh Person Registry selama fase rekonsiliasi identitas pada proses manajemen
identitas. Anda akan membandingkan data dari dua Sistem Rekaman Universitas Negeri
Sunshine yang berbeda dan membuat file data tunggal.
1. Unduh spreadsheet (human_resources.xls) yang berisi data identitas karyawan dari
sistem Sumber Daya Manusia dari situs web pendamping buku teks.
2. Unduh spreadsheet (student_system.xls) yang berisi data identitas siswa dari situs
web panitia buku teks.
3. Unduh spreadsheet Person Registry (person_reg-istry.xls) dari situs web pendamping
buku teks.
4. Dengan menggunakan diagram alur pada Gambar 8.2, terapkan proses Match / Merge
ke data dalam lembar kerja Sumber Daya Manusia dan Siswa.
5. Catat hasil proses Pencocokan / Gabungkan dalam spreadsheet Person Registry.
 
Hasil Kerja: Kirim konten spreadsheet Person Registry ke instruktur Anda .
Otentikasi dua faktor
Kegiatan selanjutnya akan menunjukkan penggunaan autentikasi dua faktor. Anda akan
membangun dan menginstal modul autentikasi Google Authenticator pada mesin virtual
Linux yang disertakan dengan teks ini. Google Authenticator adalah aplikasi kata sandi satu
kali (TOTP) berbasis waktu yang berjalan di perangkat seluler iOS dan Android. Meskipun
awalnya dikembangkan untuk pro-vide otentikasi dua faktor untuk aplikasi web yang ditulis
oleh Google, itu juga dapat digunakan saat masuk ke sistem Linux.
Untuk menginstal modul Google Authenticator, buka jendela terminal dan “su” ke akun root:

[alice @ sunshine ~] $  su -  Kata sandi: thisisasecret

Salin Google Authenticator menginstal file ke direktori temporer, ekstrak file dan bangun
modul autentikasi.
[root @ sunshine ~] # cp / opt / book / chptr8 / paket / libpam-google-authenticator-1.0-
source.tar / tmp /.
[root @ sunshine ~] # cd / tmp
[root @ sunshine / tmp] # tar xvf libpam-google-authenticator-1.0-source.tar
[root @ sunshine / tmp] # cd libpam-google-authenticator-1.0-source [root @ sunshine
libpam ...] # make

The make perintah mengkompilasi kode sumber modul ke dalam petunjuk biner.

Selanjutnya, jalankan suite pengujian otomatis:
 [root @ sunshine libpam ...] # lakukan tes dan pasang modul:
[root @ sunshine libpam ...] # make install
Untuk mengaktifkan modul, modifikasi /etc/pam.d/sshd  agar sesuai dengan yang
berikut:
#% PAM-1.0
auth diperlukan pam_sepermit.so                     
auth diperlukan pam_google_authenticator .so nullok
auth menyertakan kata sandi-auth

Akun yg dibutuhkanpam_nologin.so
Akun termasuk kata sandi-auth
kata
sandi termasuk kata sandi-auth
 
# pam_selinux.so close harus menjadi aturan sesi pertama   
sesi diperlukan pam_selinux.so tutup                           
diperlukan sesi pam_loginuid.so                    
# pam_selinux.so terbuka hanya boleh diikuti oleh sesi yang akan dieksekusi dalam konteks
pengguna
sesi diperlukan pam_selinux.so terbuka                           
env_params
sesi opsional pam_keyinit.so                       mencabut paksa sesi termasuk kata sandi-
auth                           
 Mulai ulang SSHD:
[root @ sunshine libpam ...] # service sshd restart
Buka jendela terminal baru dan gunakan SSH untuk mengakses akun lain untuk memastikan
bahwa pengguna yang belum mengonfigurasi token Google Authenticator tidak perlu
memasukkan kode otentikasi. Untuk menguji ini, kami akan masuk ke akun bob @ sunshine
menggunakan SSH:

[alice @ sunshine Desktop] $ ssh bob @ sunshine

The keaslian dari tuan sinar matahari '      
 (127.0.0.1) 'tidak dapat dibangun.
Sidik jari kunci RSA adalah 5c: 40: 15: b8: b7: f4:
eb: 08: 14: cd: 1b: c7: d0: 4c: 76: 74.

Anda yakin ingin melanjutkan koneksi (ya / tidak)? Iya

Peringatan: Secara permanen menambahkan 'sinar matahari' (RSA) ke daftar host yang
dikenal. Kata sandi: bisforbanana
Login terakhir: Minggu 12 Mei 20:23:01 2013 dari
sunshine.edu
[bob @ sunshine ~] $
Sekarang, mari konfigurasikan Google Authenticator untuk akun bob @ sunshine :
[bob @ sunshine ~] $ google-authenticator
Apakah Anda ingin token otentikasi menjadi
berbasis waktu (y / n) y

https://www.google.com/chart?chs = 200x200
& chld = M | 0 & cht = qr & chl = otpauth: // totp / bob @
sunshine.edu% 3Fsecret% 3DXPE7E73HKJ7S4XB3
Kunci rahasia baru Anda adalah: XPE7E73HKJ7S4XB3
Kode verifikasi Anda adalah 424105
Kode awal darurat Anda adalah:
85632437
55053127
44712977
12900353
82868046

Simpan URL yang dikembalikan dalam respons dari google-authenticator . Anda akan

membutuhkannya saat mengkonfigurasi perangkat seluler Anda.
Apakah Anda ingin saya memperbarui file "/ home / bob / .google_authenticator" Anda (y /
n)
Apakah Anda ingin melarang beberapa penggunaan otentikasi yang sama token? Ini
membatasi Anda untuk satu login setiap 30-an, tetapi itu meningkat peluang Anda untuk
melihat atau bahkan mencegah serangan man-in-the-middle (y / n)
Secara default, token bagus untuk 30 detik dan untuk mengimbangi kemungkinan time-skew
antara klien dan server, kami membolehkan tambahan token sebelum dan sesudah waktu saat
ini.
Jika Anda mengalami masalah dengan sinkronisasi waktu yang buruk, Anda dapat
meningkatkan jendela dari standarnyaukuran 1: 30 menit hingga sekitar 4 menit. Apakah
Anda ingin  melakukannya (y/n)
Jika komputer yang Anda masuki tidak mengeras melawan kekuatan kasar
upaya login , Anda dapat mengaktifkan rate-b membatasi untuk modul otentikasi. Secara
default, ini membatasi penyerang ke nolebih dari 3 upaya login setiap 30-an.  Apakah Anda
ingin mengaktifkan pembatasan-tingkat (y / n) 
Modul Google Authenticator sekarang dikonfigurasi untuk akun bob @ sunshine saat masuk
ke server dengan SSH. Sebelum menguji modul, Anda harus mengonfigurasi aplikasi Google
Authenticator untuk perangkat seluler iOS atau Android atau menggunakan salah satu "kode
awal darurat" yang disediakan oleh google-authenticator . Aplikasi seluler Google
Authenticator menggunakan metode konfigurasi yang inovatif; kode QR berisi semua
informasi yang diperlukan untuk mengkonfigurasikan perangkat. Sebelum mengonfigurasi
perangkat Anda, buka tautan yang dikembalikan dari aplikasi konfigurasi google-
authenticator di browser desktop Anda untuk melihat konfigurasi kode QR.
Mengkonfigurasi Google Authenticator pada perangkat iOS
Untuk menggunakan aplikasi Google Authenticator, Anda harus memiliki iPhone 3G atau
lebih baru yang menjalankan iOS 5 atau lebih baru.
1. Kunjungi Apple App Store
2. Cari Google Authenticator
3. Unduh dan instal aplikasi
4. Buka aplikasi
5. Ketuk ikon plus
6. Ketuk tombol “Scan Barcode” dan arahkan kamera Anda ke kode QR di layar Anda
(Gambar 8.18).
Mengkonfigurasi Google Authenticator pada perangkat iOS
Untuk menggunakan aplikasi Google Authenticator, Anda harus memiliki iPhone 3G atau
lebih baru yang menjalankan iOS 5 atau lebih baru.
1. Kunjungi Apple App Store
2. Cari Google Authenticator
3. Unduh dan instal aplikasi
4. Buka aplikasi
5. Ketuk ikon plus
6. Ketuk tombol “Scan Barcode” dan arahkan kamera Anda ke kode QR di layar Anda
(Gambar 8.18). 
Mengkonfigurasi Google Authenticator pada perangkat Android
Untuk menggunakan aplikasi Google Authenticator, Anda harus menjalankan Android 2.1
(Éclair) atau yang lebih baru.
1. Kunjungi toko aplikasi Google Play
2. Cari Google Authenticator

FIGURE 8 . 18 Konfigurasi kode QR

1. Unduh dan instal aplikasi

2. Ketuk tombol "Tambahkan Akun"
3. Pilih "Pindai kode batang akun"
4. Jika aplikasi tidak dapat menemukan aplikasi pemindai barcode pada perangkat Anda,
Anda akan diminta untuk menginstalnya. Tekan tombol "Instal" dan pergi melalui proses
instalasi.
5. Arahkan kamera Anda ke kode QR di layar Anda
Menggunakan Google Authenticator dengan perangkat seluler Anda
Sekarang setelah Anda mengkonfigurasi perangkat Anda, Anda sekarang dapat masuk ke
akun bob @ sunshine menggunakan kata sandi dan token Google Authenticator
menggunakan SSH. Buka aplikasi Google Authenticator lagi. Aplikasi ini akan memberi
Anda kode otentikasi baru setiap 30 detik. Anda dapat melihat berapa banyak waktu yang
telah berlalu untuk kode saat ini dengan menonton lingkaran di sudut kiri atas.

[alice @ sunshine Desktop] $ ssh bob @ sunshine

Kode Validasi : < masukkan Google                                         
 
Kode autentikator >
Kata sandi: bisforbanana
 
Login terakhir: Minggu 12 Mei 22:11:03 2013 dari
 
sunshine.edu
 
[bob @ sunshine ~] $

Seperti yang Anda lihat, login menggunakan kata sandi dan kode dari aplikasi Google
Authenticator berhasil. Semua upaya masuk SSH untuk akun bob @ sunshine akan
menerima prompt Kode Validasi mulai sekarang. Jika Anda ingin berhenti
menggunakan otentikasi dua faktor dengan akun, hapus saja file .google_authenticator dari
direktori home.
Menggunakan Google Authenticator tanpa perangkat seluler
Bagaimana jika Anda kehilangan perangkat seluler Anda atau Anda tidak dapat
membuka aplikasi Google Authenticator (baterai mati, perangkat rusak, dll.)? Itulah tujuan
dari "Kode Awal Darurat" yang terdaftar saat Anda menjalankan google-authenticator . Kode
awal adalah kode otentikasi khusus yang dapat digunakan sebagai pengganti aplikasi seluler.
Jika Anda menemukan diri Anda tanpa perangkat seluler, Anda dapat menggunakan kode
awal. Kode-kode tersebut harus digunakan sesuai urutannya dari atas ke bawah, dan setiap
kode hanya dapat digunakan satu kali (Gambar 8.19). Jika Anda menggunakan kelima kode,
Anda harus menjalankan google-authenticator lagi untuk menghasilkan lebih banyak.
Pertanyaan
1. Banyak situs web dan layanan Internet seperti Google, Twitter, dan Facebook memiliki
dua faktor opsiona sistem pengabdian. Apakah Anda menggunakan layanan yang
menyediaka pilihan ini? Jika demikian, apakah Anda menggunakan otentikasi dua faktor
dengan akun itu? Mengapa atau mengapa tidak?
CRITICALTHINKINGEXERCISE-FEDDALISMTHESECUR
I T Y S O L U T I O N F O R T H E I N T E R N E T?
Feodalisme: Sistem sosial dominan di Eropa abad pertengahan, di mana kaum bangsawan
memegang tanah dari Mahkota dengan imbalan dinas militer, dan para pengikut pada
gilirannya adalah penyewa para bangsawan, sementara para petani (villein atau budak)
diwajibkan untuk hidup dari junjungan mereka. tanah dan beri dia penghormatan, tenaga
kerja, dan bagian dari hasil panen, terutama dengan imbalan perlindungan militer.27
Latihan berpikir kritis dalam Bab 4 merujuk pada pemikiran di antara perancang Internet
bahwa keamanan akan menjadi tanggung jawab pengguna akhir. Bagaimana hasilnya? Yah,
sudah sangat sulit bagi pengguna akhir untuk mengimbangi persyaratan keamanan.

FIGURE 8 . 19 Google Authenticator (iOS)

Selama masa pemanasan desktop, pengguna akhir bertanggung jawab atas keamanan
komputer. Beberapa ISP memberikan langganan antivirus gratis kepada pelanggan mereka
sebagai bagian dari paket Internet mereka, tetapi tanggung jawab tetap menjadi pengguna
akhir 
Dengan maraknya smartphone dan tablet, model ini telah banyak berubah dalam
waktu singkat. Pengguna akhir selalu mengharapkan keamanan "di luar kotak." Seperti Bruce
Schneier menulis di blog-nya, dua tren teknologi sebagian besar telah membuat ini menjadi
kenyataan: komputasi awan dan platform yang dikendalikan vendor. Ketika komputasi awan
meningkat dalam popularitas, semakin banyak informasi kami berada di komputer
Example case – Markus Hess 245
Dimiliki oleh perusahaan termasuk Google, Apple, Microsoft (Dokumen dan email), dan
Facebook (gambar). Platform yang dikontrol vendor telah mentransfer kontrol atas perangkat
ini dan melalui mereka, data kami, platform vendor ini. Smartphone dan tablet yang hampir
sepenuhnya dibatasi oleh vendor.
             Di dunia ini, kita mendapatkan tingkat keamanan yang sangat memuaskan, seseorang
yang tahu lebih banyak dari yang kita perlu keamanan, tetapi memberi kita sedikit, jika ada,
detail keamanan semacam itu. Kami tidak dapat membahas elemen keamanan kami dengan
vendor ini atau menawar fitur keamanan. Bagaimana email di akun Gmail pengguna atau foto
di Flickr digunakan? Pengguna umum tidak tahu. Pengguna tidak dapat melihat file atau
mengatur cookie pada iPad mereka. Seperti yang ditulis Bruce, pengguna "memiliki sedikit
visibilitas ke dalam keamanan Facebook sehingga [mereka] tidak tahu sistem operasi apa
yang mereka gunakan."
            Pengguna telah membuktikan bahwa mereka menyukai peralihan ini - keamanan dan
kenyamanan yang lebih besar dengan ketidakseimbangan kontrol keamanan yang terbatas,
dengan keamanan yang akan dilakukan dengan benar. Dari perspektif keamanan saja, ini
mungkin benar. Penyedia keamanan jauh lebih baik daripada pengguna akhir. Cadangan
otomatis, deteksi malware, dan transfer otomatis adalah semua layanan inti yang disediakan
tanpa biaya. Namun, terlepas dari Manfaat yang sangat besar, pengguna inheren dalam
hubungan feodal dengan penyedia cloud ini dan platform yang dikendalikan oleh vendor.
Sementara mata uang di era feodal abad pertengahan adalah tenaga kerja, dalam versi
modern, mata uang adalah data. Pengguna setuju pada ketentuan penyedia layanan meminta
data mereka dan vendor percaya akan memberikan keamanan. Saat layanan menjadi semakin
canggih, memberikan manfaat yang sadar konteks, ada godaan yang lebih besar untuk
pengguna untuk berbagi lebih banyak data dengan penyedia cloud. Tidak hanya email, tetapi
juga kalender dan buku alamat. Jika semua penting dan mengekspor data ini diperlukan
waktu dan kami senang dengan satu penyedia dan platform, kami mungkin perlu
mempercayai satu penyedia sepenuhnya.
Jadi, siapa penguasa feodal hari ini? Google dan Apple adalah contoh kanonik.
Microsoft, Facebook, Amazon, Yahoo, dan Verizon adalah kompetensi. Pertahanan apa yang
diperlukan pengguna terhadap perubahan sewenang-wenang dalam persyaratan layanan oleh
vendor ini? Kita tahu kapan saja sebagian dari penyedia ini membagikan data kami dengan
pemerintah tanpa izin atau mengizinkan kami. Sebagian besar pengguna tahu bahwa penyedia
ini menjual data untuk mendapatkan keuntungan, meskipun sedikit, ada yang tahu untuk
tujuan apa atau dalam bentuk apa.
Di Eropa Abad Pertengahan, orang-orang menjanjikan kesetiaan mereka kepada tuan
feodal dengan ketidakseimbangan perlindungan tuan itu. Hari ini, kami meminta sukarela
kesetiaan untuk penyedia untuk perlindungan penyedia itu. Di Eropa Abad Pertengahan,
petani bekerja di pertanian tuan mereka. Hari ini, kami bekerja keras di situs mereka,
menyediakan data, informasi pribadi (permintaan pencarian, email, posting, berusaha, dan
suka).
REFERENCES
Schneier, B. “Feudal security,” http://www.schneier.com/blog/ Schneier
B.“Moreon feudalsecurity,”http://www.schneier archives/2012/12/feudal_sec.html
(accessed 07/14/2013) .com/blog/archives/2013/06/more_on_feudal.html
(accessed07/14/2013)
CRITICALTHINKINGEXERCISEQUESTIONS
1. Apakah Anda setuju dengan paralel yang ditarik oleh Bruce Schneier antara
feodalisme di abad pertengahan dan hubungan antara pengguna teknologi modern dengan
penyedia besar seperti Google dan Apple?
2. Bruce Schneier berpendapat bahwa intervensi pemerintah adalah "satu-satunya cara"
untuk memperbaiki hubungan kekuasaan asimetris antara penyedia besar dan pengguna akhir
di dunia teknologi saat ini. Mengingat pengungkapan pemantauan data kontroversial
pemerintah AS sendiri terhadap warga AS, apakah Anda setuju dengan penilaian ini?
3. Apakah menurut Anda pasar bebas dapat meringankan beberapa kekhawatiran Bruce
Schneier?

DESIGNCASE
Di Sunshine University, siswa memiliki kemampuan untuk menggunakan login dan kata
sandi Sunshine untuk mengelola pendaftaran kelas mereka setiap semester. Tepat setelah
awal semester Musim Gugur, setelah periode drop-add berakhir, Anda dipanggil ke Kantor
Panitera untuk menyelidiki suatu kasus. Seorang siswa mengeluh bahwa semua kelasnya 
dikeluarkan dari sistem, tetapi dia mengklaim tidak melakukannya.
1. Meneliti dan mendeskripsikan konsep non-repudiation.
2. Bagaimana ini berlaku untuk otentikasi elektronik, terutama untuk situasi ini?
3. Setelah diselidiki lebih lanjut, Anda mengetahui bahwa mantan pacar
mahasiswa itu, yang kecewa setelah putus, menggunakan kredensial Sunshine siswa untuk
masuk ke sistem dan menjatuhkan semua kelasnya. Menurut Anda bagaimana pacar tersebut
memperoleh kredensial ke akun siswa lain?
4. Bagaimana sistem dapat dimodifikasi untuk menggunakan biometrik untuk
memastikan tidak ada penolakan?
5. Selain biometrik, saran apa lagi untuk metodologi otorisasi, teknis atau non-teknis,
yang akan Anda tawarkan untuk membantu memastikan tidak ada penolakan?
6. Ketika universitas semakin banyak bergerak menuju kursus online, situasi lain apa
yang dapat muncul di mana login dan kata sandi sederhana tidak akan cukup untuk
memastikan identitas siswa dan mencegah penipuan?
7. Bagaimana siswa dapat mencegah kejadian ini?
Kontrol Perangkat Keras dan Perangkat Lunak
BAB 9
Gambaran
Dalam bab ini, kami akan melengkapi tampilan terperinci kami pada komponen
model keamanan informasi umum kami, yang diperkenalkan pada Bab 4. Di Bab 5, kami
membahas identifikasi dan karakterisasi aset. Dalam Bab 6, kami membahas ancaman dan
kerentanan. Komponen terakhir dari model umum adalah kontrol. Kami melihat beberapa
kontrol yang paling penting dan paling terkenal dalam bab ini. Di akhir bab ini, Anda harus
tahu :
• Manajemen kata sandi
• Firewall dan kemampuannya
• Daftar kontrol akses (ACL)
• Sistem deteksi / pencegahan intrusi
• Menambal sistem operasi dan aplikasi
• Perlindungan titik akhir
• Praktik terbaik pengendalian keamanan informasi
Daftar di atas tidak dimaksudkan untuk komprehensif. Ini hanya daftar kontrol penting yang
dipilih oleh penulis. Contoh sederhana dari kontrol yang tidak dibahas di atas adalah
perangkat lunak antivi-rus. Selanjutnya, setelah Anda memasuki profesi, Anda akan
menemukan banyak kontrol keamanan informasi lainnya termasuk kontrol khusus aplikasi.
Maksud dari daftar di atas dan bab ini adalah untuk memperkenalkan kontrol yang paling
terkenal sehingga Anda memiliki pemahaman tentang ide-ide dasar yang mendasari kontrol
keamanan informasi. Sebagian besar dari ide-ide ini dapat digeneralisasikan, sehingga harus
membantu Anda dengan cepat mengevaluasi manfaat kontrol lain yang Anda temui.

Manajemen kata sandi

Kami telah menetapkan kata sandi sebagai serangkaian karakter rahasia yang hanya
diketahui oleh pemilik identitas dan menggunakannya untuk mengautentikasi identitas. Kata
sandi dirancang untuk menjadi mekanisme keamanan yang cukup sederhana untuk pengguna
rata-rata sementara cukup aman untuk sebagian besar aplikasi. Kata sandi digunakan untuk
melindungi data, sistem, dan jaringan. Kata sandi biasanya dikombinasikan dengan nama
pengguna. Nama pengguna berfungsi sebagai identifikasi. Identifikasi adalah penyajian
identitas pengguna untuk sistem. Otentikasi membangun kepercayaan pada validitas identitas
yang diklaim.1 Berhasil penggunaan nama pengguna dan kata sandi yang terkait memberikan
pengguna akses ke sumber daya terbatas seperti email, situs web, dan data sensitif sesuai
dengan izin yang terkait dengan identitas.
Kata sandi dikenal oleh beberapa nama berbeda tergantung konteksnya. Nomor
identifikasi pribadi (PIN) adalah kata sandi numerik pendek (4-6 digit). PIN digunakan ketika
keypad kecil diperlukan (mesin ATM), atau ketika kata sandi reguler berpotensi
menimbulkan masalah keselamatan manusia (sistem pencegah kebakaran bandara). Karena
pendek, PIN dapat dengan mudah ditebak dan hanya memberikan keamanan terbatas. Secara
umum, penggunaan PIN mengasumsikan keberadaan mekanisme keamanan lainnya. Ini
termasuk batas penarikan harian dan kamera keamanan di ATM dan keamanan fisik di
bandara.
Bentuk lain dari kata sandi adalah frasa sandi. Frasa sandi adalah urutan kata yang
berfungsi sebagai kata sandi. Contoh frasa sandi adalah "Wow !!! thisis # 1clasatschooL."
Motivasi untuk menggunakan frasa sandi adalah bahwa meskipun otak manusia hanya dapat
menyimpan hingga sekitar tujuh potongan informasi dalam memori jangka pendek, masing-
masing bungkusan itu bisa cukup besar.2 Kata sandi bisa jadi lebih lama daripada kata sandi
tetapi lebih mudah diingat dari urutan karakter yang sewenang-wenang. Namun, penting
untuk diingat bahwa frasa sandi sederhana seperti "ini sekolah # 1 kelas" dapat diprediksi dan
mudah ditebak oleh penyerang dibandingkan dengan kata sandi seperti "TiT #` CaS. " Frasa
sandi yang panjang tidak selalu lebih aman daripada kata sandi atau frasa sandi yang lebih
pendek.
2
Miller, G.A. “The magical number seven, plus or minus two: some limits on our capacity for
processing information,” The
Psychological Review, 1956, 63: 81–97, http://www.musanim.com/miller1956/ (accessed
11/1/2012).
3
NIST Special publication 800-118 (draft), Guide to enterprise password management,
http://csrc.nist.gov/publications/ drafts/800-118/draft-sp800-118.pdf (accessed 11/1/2012).
Ancaman kata sandi
Pengambilan kata sandi adalah kemampuan penyerang untuk mendapatkan kata sandi
dari penyimpanan, transmisi, atau pengetahuan dan perilaku pengguna. Jika kata sandi
disimpan secara tidak benar dalam memori oleh aplikasi, atau pada hard drive oleh sistem
operasi, pengguna dengan kredensial yang sesuai pada sistem mungkin dapat mencuri kata
sandi. Demikian pula, jika kata sandi tidak dienkripsi selama transmisi, mereka dapat diendus
oleh siapa pun di jaringan. Pengetahuan dan perilaku pengguna dapat dieksploitasi dalam
serangan rekayasa sosial.
Menebak kata sandi adalah ancaman lain. Dalam menebak kata sandi, penyusup
melakukan upaya berulang kali untuk mengotentikasi menggunakan kemungkinan kata sandi
seperti kata sandi default dan kata-kata kamus. Tebakan kata sandi dapat dilakukan oleh
penyerang mana saja dengan akses ke prompt login pada sistem target. Password cracking
adalah proses menghasilkan string karakter yang cocok dengan string kata sandi yang ada
pada sistem yang ditargetkan. Pemecahan kata sandi hanya dapat dilakukan oleh penyerang
yang sudah memiliki akses ke versi terenkripsi dari kata sandi yang disimpan. Versi kata
sandi terenkripsi ini disebut hash dan akan dibahas dalam bab tentang enkripsi. Penggantian
kata sandi adalah pengganti kata sandi pengguna yang ada dengan kata sandi yang dikenal
penyerang. Ini umumnya terjadi dengan mengeksploitasi kelemahan dalam kebijakan reset
kata sandi sistem menggunakan berbagai teknik rekayasa sosial.
Kata sandi yang dikompromikan adalah kata sandi pada sistem yang dikenal oleh
pengguna yang tidak sah. Setelah kata sandi seperti itu diketahui, ia dapat dieksploitasi untuk
meluncurkan serangan rekayasa sosial lainnya, mengubah izin file pada file sensitif, dll. Jika
kata sandi yang dikompromikan adalah pengguna yang memiliki hak istimewa, kata
administrator TI, penyerang bahkan dapat memodifikasi aplikasi dan sistem untuk eksploitasi
nanti. Misalnya, penyerang mungkin dapat membuat akun istimewa untuk dirinya sendiri
(kebanyakan penyerang memang laki-laki!).
Manajemen kata sandi yang efektif menghadiri ancaman ini. Rekomendasi NIST
untuk langkah-langkah minimal untuk manajemen kata sandi adalah membuat kebijakan kata
sandi, mencegah pengambilan kata sandi, meminimalkan tebakan dan pemecahan kata sandi,
menerapkan kedaluwarsa kata sandi sesuai kebutuhan.
Ancaman kata sandi menunjukkan sifat berulang dari ancaman keamanan informasi.
Kami telah membahas ancaman terhadap aset. Seolah-olah, dalam bab ini, kami mencoba
mengembangkan perlindungan terhadap ancaman bersama. Tetapi kami menemukan bahwa
perlindungan ini sendiri dapat dikompromikan. Misalnya, kata sandi adalah perlindungan,
tetapi kata sandi itu sendiri dapat dikompromikan. Dan oleh karena itu, langkah-langkah
khusus harus diambil untuk menjaga keamanan.
Rekomendasi manajemen kata sandi
Kebijakan kata sandi adalah seperangkat aturan untuk menggunakan kata sandi.
Untuk pengguna, kebijakan kata sandi menentukan jenis kata sandi apa yang diizinkan.
Misalnya, kata sandi, panjang, dan aturan kompleksitas termasuk dalam kategori ini. Untuk
administrator, kebijakan kata sandi menentukan bagaimana kata sandi dapat disimpan,
dikirimkan kepada pengguna baru, dan diatur ulang seperlunya. Kebijakan kata sandi harus
mempertimbangkan setiap peraturan yang spesifik untuk industri tempat organisasi
beroperasi.

Batasan kata sandi

Sementara password ada di mana-mana dalam keamanan informasi, mereka memiliki
banyak batasan yang signifikan. Pengguna sering lupa kata sandi, membutuhkan meja
bantuan yang mahal untuk menanggapi permintaan pengguna atau mekanisme pengaturan
ulang kata sandi. Mekanisme pengaturan ulang kata sandi memperkenalkan kerentanan
mereka sendiri karena pertanyaan tantangan mungkin tidak cukup kuat. Pengguna sering
menyimpan kata sandi di lokasi tempat pengguna lain dapat melihatnya. Akhirnya, serangan
rekayasa sosial yang relatif sederhana seperti phishing dapat sangat berhasil mencuri kata
sandi.
Untuk semua alasan ini, ada minat yang cukup besar dalam mengembangkan
alternatif kata sandi untuk otentikasi. Namun, mencari alternatif yang baik bukanlah hal
sepele. Pengguna tahu bagaimana menggunakan kata sandi dan manajer enggan untuk
meminta karyawan untuk mengubah metode kerja kecuali benar-benar diperlukan. Itu tidak
membantu bahwa ada data terbatas yang tersedia pada kerugian aktual yang diderita oleh
organisasi karena pencurian kata sandi.
Masa depan kata sandi
Berbagai mekanisme otentikasi telah diusulkan untuk mengganti kata sandi. Salah
satunya adalah Passfaces, di mana pengguna memilih satu set wajah manusia dan pengguna
memilih wajah dari set ini di antara yang disajikan selama upaya login. Yang lain adalah
draw-a-secret, di mana pengguna menggambar garis kontinu melintasi kisi-kisi kotak.
Sementara kata sandi cenderung terus digunakan untuk sementara waktu, tidak akan
mengejutkan jika ini atau mekanisme serupa lainnya menjadi lebih populer di tahun-tahun
mendatang.
4
Herley, C. van Oorschot, P.C. and Patrick, A.S. “Passwords: if we’re so smart, why are we
still using them?” Lecture Notes in Computer Science 5628, 2009, Springer-Verlag.
Kata sandi dan kepedulian yang lebih umum dalam mengelola identitas adalah area penting
dari keamanan informasi dalam praktiknya sehingga kita memiliki seluruh bab mengenai
identitas dan manajemen akses di bagian selanjutnya dalam buku ini.
Kontrol akses5
Kami sebelumnya telah mendefinisikan kontrol akses sebagai tindakan membatasi akses ke
sumber daya sistem informasi hanya untuk pengguna yang berwenang, program, proses, atau
sistem lain. Kami berurusan dengan sistem kontrol akses setiap hari. Misalnya, kunci adalah
bentuk kontrol akses. Dalam keamanan komputer, kontrol akses direpresentasikan
menggunakan model kontrol akses. Model kontrol akses menggambarkan ketersediaan
sumber daya dalam suatu sistem. Model kontrol akses yang berguna mampu mewakili
kebutuhan perlindungan informasi dan sumber daya dari jenis apa pun dan pada berbagai
tingkat granularitas. Pada saat yang sama, pelaksanaan model tidak boleh menempatkan
beban komputasi yang tidak masuk akal pada sistem operasi. Dua implementasi umum dari
model kontrol akses adalah daftar kontrol akses (ACL) dan kontrol akses berbasis peran
(RBAC).
Daftar kontrol akses (ACL)
Daftar kontrol akses (ACL) adalah daftar izin yang dilampirkan ke objek tertentu. ACL
menggunakan sintaksis sederhana untuk menentukan subjek, objek, dan operasi yang
diizinkan. Misalnya, jika ACL untuk koneksi jaringan mengatakan (131.247.93.68, APA
PUN, blok), host 131.247.93.68 harus diblokir dari melewati koneksi jaringan untuk
mencapai sumber daya di jaringan. Sistem operasi memeriksa semua permintaan sumber daya
yang masuk untuk entri ACL yang mungkin melarang akses ke sumber daya.
ACL biasanya digunakan untuk mempertahankan dua jenis sumber daya - file dan koneksi
jaringan. File ACL menentukan hak pengguna individu atau grup pengguna untuk file dan
file yang dapat dieksekusi. Penggunaan perintah chmod di Bab 3 adalah contoh dari sistem
ACL File. Jaringan ACL menetapkan aturan yang menentukan nomor port dan alamat
jaringan yang dapat diakses. Jaringan ACL adalah cara umum untuk menerapkan firewall
(dibahas nanti dalam bab ini). Sebagian besar sistem operasi modern datang dengan ACL
standar yang memberikan tingkat keamanan yang wajar bagi pengguna rata-rata. ACL adalah
beberapa kontrol yang paling sederhana untuk diterapkan dan banyak kontrol keamanan
lainnya bergantung pada ACL untuk efektivitasnya. Misalnya, ACL membantu menjaga
integritas dan ketersediaan kata sandi dengan mencegah penyerang menimpa kata sandi. ACL
dimulai dengan perbedaan dasar antara subjek dan objek. Subjek mencoba operasi pada
objek. Operasi diizinkan jika diizinkan oleh ACL. ACL dapat diwakili sebagai matriks akses
yang menentukan izin untuk setiap subjek pada setiap objek. Contoh ditunjukkan pada
Gambar 9.1. Setiap sel dalam gambar menunjukkan izin akses untuk
subjek yang sesuai pada objek yang sesuai.
Subjek John adalah pemilik File 1. Dia juga telah membaca dan menulis izin pada file
tersebut. Sebagai pemilik, John dapat memberikan izin apa pun kepada pengguna mana pun
pada file. Dalam hal ini, subjek Bob telah diberi izin baca dan subjek Alice telah diberi izin
Jalankan pada file. Dengan demikian, setiap sel adalah daftar kontrol akses untuk setiap
pengguna pada objek yang sesuai.
5
Tolone, W. Gail-Joon Ahn and Tanusree Pai, “Access control in collaborative systems,”
ACM Computing Surveys, 37(1): 29–41.

Objects
Host 1 File 1 File 2
Subject John Block Own Read Read
s
Write

Bob Block Read Read

Alice Allow Execute Own Read Write
Execute

                                                              
Keterbatasan
           Daftar kontrol akses adalah mekanisme kontrol akses yang sangat sederhana dan
efektif. Mereka juga memiliki beberapa batasan signifikan. Jika izin untuk pengguna tertentu
harus diubah, izin untuk pengguna tersebut harus diubah pada semua objek yang memiliki
akses pengguna. Selain itu, tidak mungkin untuk menetapkan izin berdasarkan tanggung
jawab pengguna. Jika seorang pengguna mengubah peran, memberikan izin akses kepada
pengguna yang sesuai dengan peran baru mereka memerlukan modifikasi izin kepada
pengguna secara individual pada semua objek yang berlaku.
Kontrol akses berbasis peran (RBAC)
            Kami telah melihat bahwa kontrol akses berbasis peran memberikan izin untuk peran
pengguna daripada pengguna individu. Peran dibuat untuk fungsi pekerjaan dan pengguna
diberi peran berdasarkan tanggung jawabnya. Dengan menetapkan izin akses untuk peran,
ada pemisahan antara pengguna dan kontrol akses. Ketika pengguna berkembang dalam
organisasi, peran mereka dapat ditetapkan dan izin akses diperbarui secara otomatis. Oleh
karena itu RBAC mengurangi biaya dan upaya administrasi yang diperlukan untuk
menerapkan kontrol akses di organisasi besar, dibandingkan dengan ACL.
Firewall6
             Firewall adalah bentuk perlindungan yang memungkinkan satu jaringan untuk
terhubung ke jaringan lain sambil mempertahankan sejumlah perlindungan. Salah satu contoh
firewall yang paling dikenal adalah pintu ke rumah atau kantor. Pintu memungkinkan
penghuni untuk keluar dari rumah, sementara menghalangi hujan dan hujan es memasuki
rumah. Pintunya juga membantu penghuni menjaga tingkat kerahasiaan.
            Firewall jaringan adalah perangkat keras atau perangkat lunak yang mencegah bahaya
yang berasal dari satu jaringan agar tidak menyebar ke jaringan lain. Dalam praktiknya,
firewall jaringan digunakan untuk melayani berbagai keperluan termasuk (1) membatasi
masuk dan keluar dari jaringan ke lokasi yang ditentukan dengan hati-hati, (2) membatasi lalu
lintas Internet masuk ke aplikasi spesifik yang berjalan pada perangkat tertentu, dan (3)
memblokir keluar lalu lintas dari host yang diduga telah dikompromikan. Firewall umumnya
tidak dimaksudkan untuk bertahan melawan serangan khusus. Misalnya, pintu-pintu toko ritel
tidak dirancang untuk mendeteksi pembeli dengan bahan peledak, atau pengutil. Tugas-tugas
itu, jika perlu (mis., Di bandara), diserahkan kepada kontrol yang lebih khusus seperti
pengawas manusia atau teknologi antipencurian. Namun, firewall adalah garis pertahanan
pertama yang sangat efektif dan relatif pasif terhadap sejumlah besar gangguan umum.
             Gambar 9.2 menunjukkan pengaturan umum firewall relatif terhadap jaringan
internal organisasi dan jaringan eksternal seperti Internet. Semua lalu lintas antara Internet
dan
6
An excellent resource on Internet firewalls is “Building Internet firewalls,” by Elizabeth D.
Zwicky, Simon Cooper and D. Brent Chapman, O’ Reilly Media, ISBN 978-1-56592-871-8
(896 pages). A lot of information in this section is based on this resource.

Jaringan organisasi diarahkan melalui firewall di mana aturan lalu lintas organisasi dapat
diimplementasikan.

Keputusan firewall 

Firewall memilih salah satu dari dua tindakan yang mungkin dilakukan pada paket yang
melewatinya - mengizinkan atau menolak. Paket yang dibolehkan melanjutkan ke tujuan
yang dituju, sementara paket yang ditolak diblokir di firewall. Kita mulai dengan sikap dasar
firewall - default deny atau default allow. Firewall dengan sikap memungkinkan default akan
memungkinkan semua paket ke dalam jaringan, kecuali yang secara eksplisit dilarang.
Firewall dengan penyangkalan standar memblokir semua paket, kecuali yang diizinkan
secara eksplisit.
Sikap dasar firewall ditambah oleh administrator yang menetapkan aturan ACL untuk
mengidentifikasi paket yang diizinkan (dengan asumsi sikap penolakan standar). Beberapa
aturan representatif ditunjukkan di bawah ini, menggunakan sintaks yang digunakan oleh ip
filter, perangkat lunak firewall

populer. 
Aturan-aturan ini dapat ditafsirkan sebagai berikut. Dua aturan pertama memungkinkan paket
untuk mencapai dan keluar dari alamat IP 192.168.10.50 ke alamat IP apa pun di subnet
192.168.1.0/24. 192.168.1.0/24 ini adalah cara ringkas untuk mewakili semua alamat IP dari
192.168.1.0 hingga 192.168.1.255. Ini mungkin berguna jika, misalnya, host 192.168.10.50
digunakan untuk menyediakan layanan bersama seperti berbagi file dan printer dan koneksi
keluar ke layanan ssh (ini adalah layanan login jarak jauh ke host UNIX). Aturan SSH juga
menentukan bahwa semua transaksi ssh dicatat. Organisasi mungkin ingin melakukan ini
untuk melacak semua aktivitas SSH. Dua aturan terakhir menentukan posisi default firewall,
yang ditolak secara default. 

Keterbatasan firewall 

Karena popularitasnya, penting untuk mengetahui apa yang tidak bisa dilakukan firewall.
Beberapa batasan penting firewall meliputi:

Orang dalam dan lalu lintas yang tidak diatur:  Firewall melindungi organisasi
dikompromikan, ia dapat mencuri data dari komputer lain di dalam organisasi tanpa melewati
firewall. Demikian pula jika pengguna membawa perangkat penyimpanan flash dan menyalin
data sensitif ke perangkat itu. tidak ada yang bisa dilakukan firewall untuk mencegahnya
karena lalu lintas tidak mengalir melalui firewall.
Lalu lintas terenkripsi: Data terenkripsi tidak dapat diperiksa, dan karenanya firewall
memiliki kemampuan terbatas untuk bertahan terhadap data yang dienkripsi. Misalnya, jika
pengguna menjelajahi situs web yang aman, firewall tidak akan dapat memeriksa informasi
terenkripsi yang dipertukarkan antara pengguna dan situs web.

Konfigurasi: Keamanan dan kegunaan yang diberikan oleh firewall tergantung pada
konfigurasinya oleh administrator. Firewall yang dikonfigurasi dengan buruk dapat
memungkinkan lalu lintas berbahaya untuk mencapai target sensitif sembari memberikan
ilusi keamanan.

Jenis-jenis firewall 

Ada banyak tipe firewall, firewall packet filtering dan firewall inspeksi paket yang dalam.
Paket firewall penyaringan memeriksa bidang header protokol paket yang mengalir melalui
firewall untuk menentukan apakah akan mengizinkan paket untuk memasuki jaringan.
Firewall penyaringan paket dapat memeriksa bidang seperti alamat IP sumber dan tujuan,
alamat port tujuan, dan flag TCP. Salah satu penggunaan firewall semacam itu adalah
memblokir paket yang masuk dari host atau ISP yang memiliki riwayat mengirim pesan spam
dalam jumlah besar. Host atau ISP akan diidentifikasi oleh bidang alamat IP sumber. 
Firewall inspeksi paket mendalam memeriksa data yang dibawa oleh suatu paket,
selain header protokol, untuk memutuskan bagaimana menangani paket. Data yang dibawa
oleh paket tersebut dapat dibandingkan dengan database muatan berbahaya yang diketahui.
Perbandingan semacam itu dapat mengidentifikasi upaya untuk meluncurkan buffer overflow
atau serangan lain yang bergantung pada payload yang dibuat dengan cermat.

Organisasi firewall

Gambar 9.2 adalah representasi yang disederhanakan tentang bagaimana firewall digunakan.
Gambar 9.3 lebih mewakili konfigurasi firewall standar. Ini melibatkan firewall perimeter,
zona demiliterisasi, firewall interior, dan zona militerisasi. 
Firewall perimeter adalah firewall yang terletak di antara jaringan eksternal dan organisasi.
itu memungkinkan host di luar organisasi untuk mengakses layanan publik yang ditawarkan
oleh organisasi seperti web, email, dan DNS.
Jaringan perimeter, juga disebut zona demiliterisasi, adalah jaringan yang terletak di
antara jaringan eksternal dan jaringan internal organisasi. Jaringan perimeter meng-host
layanan eksternal seperti http, smtp, dan DNS.
Jaringan internal, atau zona militerisasi, adalah lokasi semua aset informasi
organisasi.
Firewall interior membatasi akses ke jaringan internal organisasi. Secara umum, akses ke
jaringan internal terbatas pada beberapa aplikasi spesifik untuk permintaan yang berasal dari
host tertentu di jaringan perimeter. Sebagai contoh, sebuah universitas dapat memelihara
portal di zona demiliterisasi. Sumber daya seperti catatan siswa disimpan di jaringan internal.
Catatan ini hanya dapat diakses menggunakan permintaan yang berasal dari portal. Jika portal
dikompromikan, informasi lain di dalam universitas tidak berisiko dikompromikan.
Angka-angka di bawah ini menunjukkan firewall Windows beraksi. Kolom di sebelah kiri
menunjukkan bahwa ketika firewall memblokir permintaan http yang masuk (default), sebuah
situs web yang menjalankan host tidak dapat diakses dari dunia luar. Kolom di sebelah kanan
menunjukkan host yang sama tetapi kali ini, dengan firewall Windows dikonfigurasi untuk
memungkinkan permintaan http masuk. Situs ini sekarang dapat diakses dari dunia luar
(Gambar 9.4 dan 9.5).

Deteksi gangguan / sistem pencegahan

TI mendapat serangan konstan dari berbagai sumber. Misalnya, agen-agen Federal telah
melaporkan bahwa jumlah insiden keamanan yang menempatkan informasi sensitif pada
sistem Federal berisiko meningkat dari 5.503 pada 2006 menjadi 41.776 pada 2010,
meningkat lebih dari 650% selama periode ini. Untuk merespons secara efektif terhadap
insiden ini, administrator sistem tertarik pada teknologi yang dapat mendeteksi upaya intrusi
dalam waktu nyata dan memperingatkan administrator sehingga mereka dapat merespons
dengan segera. Persyaratan ini telah mengarah pada pengembangan sistem deteksi intrusi.
Sistem deteksi intrusi (IDS) adalah perangkat perangkat keras atau aplikasi
perangkat lunak yang memantau sistem TI untuk aktivitas berbahaya atau pelanggaran
kebijakan penggunaan yang dibuat oleh administrator sistem. Sistem pencegahan intrusi
dibangun berdasarkan IDS dan upaya untuk menghentikan potensi intrusi. IDS dan sampai
batas tertentu IPSs kini telah menjadi bagian integral dari infrastruktur keamanan TI sebagian
besar organisasi. 
Secara umum, ada dua jenis sistem deteksi intrusi - berbasis jaringan dan berbasis
host. IDS jaringan (NIDS) memantau lalu lintas jaringan dan aktivitas protokol aplikasi
mengidentifikasi koneksi yang mencurigakan. NIDS biasanya termasuk dalam router dan
firewall. IDS berbasis host (HIDS) adalah aplikasi perangkat lunak yang diinstal pada host
individual yang memantau aktivitas lokal seperti akses file dan panggilan sistem untuk
perilaku mencurigakan. Untuk memaksimalkan kemungkinan mendeteksi upaya intrusi,
sebagian besar lingkungan perusahaan menggunakan beberapa IDS, masing-masing dengan
seperangkat aturannya sendiri, untuk mengamati aktivitas sistem dari perspektifnya sendiri.
Salah satu fungsi yang menarik dari IDS adalah untuk meningkatkan alarm tentang
serangan yang akan datang. Ini dilakukan dengan mengawasi aktivitas pengintaian -
pemindaian host dan port untuk mengidentifikasi target untuk serangan selanjutnya.
Pemindaian seperti itu sering mendahului serangan skala besar. Jika administrator sistem
diberitahu tentang pemindaian tersebut, mereka dapat mengambil tindakan yang perlu
disiapkan untuk setiap serangan berikut.
Metode deteksi

IDS kontemporer didasarkan pada tiga metode deteksi - tanda tangan, anomali, dan status
protokol. Sebagian besar implementasi komersial menggunakan kombinasi ketiganya untuk
memaksimalkan efektivitas.

Signature-based IDS

Tanda tangan adalah urutan byte yang diketahui sebagai bagian dari perangkat lunak
berbahaya. Metode deteksi berbasis tanda tangan membandingkan peristiwa yang diamati
dengan database tanda tangan untuk mengidentifikasi kemungkinan insiden. Contoh tanda
tangan adalah email dengan baris subjek "ILOVEYOU" dan lampiran file yang disebut
"LOVE-LETTER-FOR-YOU.txt.vbs" Ini sesuai dengan virus ILOVEYOU terkenal yang
dirilis pada 5/5/2000 di Filipina.
Deteksi berbasis tanda tangan sangat efektif terhadap ancaman sederhana yang
terkenal. itu juga komputasi sangat efisien karena menggunakan operasi perbandingan string
sederhana. Namun, tidak terlalu berguna untuk mendeteksi ancaman yang sebelumnya tidak
diketahui, ancaman yang disamarkan, dan ancaman yang kompleks. Misalnya, virus
ILOVEYOU akan sama efektifnya jika baris subjek email membaca "tawaran pekerjaan
untuk Anda" dan file lampiran disebut "interview-script.vbs." Namun, penyamaran sederhana
ini akan mempersulit IDS berbasis tanda tangan untuk mendeteksi virus. 
Batasan lain dari teknologi IDS berbasis tanda tangan adalah bahwa pencocokan
tanda tangan terbatas pada unit kegiatan saat ini, misalnya, paket masuk atau entri log
individu. IDS berbasis tanda tangan tidak memahami operasi protokol jaringan. Akibatnya,
IDS berbasis tanda tangan tidak dapat mendeteksi pemindaian port karena setiap paket probe
individu adalah paket yang terbentuk dengan baik dan sah. Deteksi ancaman terhadap
pemindaian port memerlukan agregasi informasi tentang paket saat ini dengan informasi
tentang paket yang diterima di masa lalu - sesuatu yang tidak dapat dilakukan hanya dengan
mencocokkan tanda tangan dengan paket saat ini. Secara lebih umum, IDS berbasis tanda
tangan tidak dapat mendeteksi serangan yang terdiri dari beberapa peristiwa jika tidak ada
satu pun peristiwa individual yang dengan jelas cocok dengan tanda tangan serangan yang
diketahui.

Anomaly-based IDS

Anomaly-based deteksi adalah proses mendeteksi penyimpangan antara peristiwa yang

diamati dan menentukan pola aktivitas. Administrator menentukan profil perilaku normal
berdasarkan pengguna, host, koneksi jaringan, atau aplikasi. Misalnya, profil untuk PC
desktop rata-rata dapat menentukan bahwa penelusuran web terdiri dari rata-rata 20%
penggunaan jaringan selama jam kerja biasa, IDPS kemudian membandingkan aktivitas saat
ini dan membunyikan alarm saat aktivitas web terdiri dari bandwidth yang jauh lebih besar
dari yang diharapkan. Atribut lain untuk profil yang dapat dibuat termasuk jumlah email yang
dikirim oleh pengguna dan tingkat penggunaan prosesor untuk host dalam periode waktu
tertentu.
Metode deteksi berbasis anomali sangat efektif dalam mendeteksi ancaman yang sebelumnya
tidak diketahui. Misalnya, jika komputer terinfeksi dengan jenis malware baru yang
mengirim email spam dalam jumlah besar, atau menggunakan sumber daya pemrosesan
komputer untuk memecahkan kata sandi, perilaku komputer akan sangat berbeda dari profil
yang dibuat untuk komputer tersebut. IDS berbasis anomali akan dapat mendeteksi
penyimpangan ini dan memperingatkan administrator sistem.
Satu masalah dengan membangun profil untuk IDS berbasis anomali adalah bahwa itu
bisa sangat menantang untuk profil dasar desktop yang akurat. Misalnya, komputer dapat
melakukan pencadangan penuh yang melibatkan volume besar transfer data jaringan pada
hari terakhir bulan itu. Jika ini dimasukkan sebagai bagian dari profil dasar, lalu lintas
perawatan normal akan dianggap sebagai penyimpangan yang signifikan dari profil dasar dan
akan memicu alarm.

Protocol-state-based IDS*

Protocol-state-based IDS  membandingkan peristiwa yang diamati dengan aktivitas protokol

yang ditetapkan untuk setiap negara protokol untuk mengidentifikasi penyimpangan.
Sementara deteksi berbasis anomali menggunakan host atau profil spesifik jaringan, analisis
protokol stateful menentukan bagaimana protokol tertentu harus dan tidak boleh digunakan.
Misalnya, IDS stateful tahu bahwa pengguna dalam keadaan tidak terauthentikasi hanya
akan mencoba sejumlah upaya login yang terbatas atau hanya akan mencoba serangkaian
kecil perintah dalam keadaan tidak terauthentikasi. Penyimpangan dari perilaku protokol
yang diharapkan dapat dideteksi dan diserang oleh IDS berbasis negara protokol.
Kemampuan lain dari protokol IDS stateful adalah kemampuan untuk mengidentifikasi
urutan perintah yang tidak terduga. Misalnya, mengeluarkan perintah yang sama berulang
kali dapat menunjukkan serangan brute-force. IDS berbasis negara protokol juga dapat
melacak id pengguna yang digunakan untuk setiap sesi, yang berguna saat menyelidiki suatu
insiden.
Analisis protokol dapat mencakup pemeriksaan untuk perintah individual, seperti
memantau panjang argumen. Jika perintah biasanya memiliki argumen nama pengguna,
argumen dengan panjang 1.000 karakter dapat dianggap mencurigakan. Selain itu, jika nama
pengguna berisi data non-teks, itu bahkan lebih tidak biasa dan pantas untuk dihapus.
Keterbatasan utama IDS berbasis negara protokol adalah bahwa negara pelacakan
untuk banyak sesi simultan bisa sangat intensif sumber daya, membutuhkan investasi yang
signifikan dalam perangkat keras komputer.

IDS/IPS architecture

Enterprise IDS/IPS mengikuti arsitektur sistem terdistribusi umum. Ada banyak agen sensor
yang digunakan di seluruh perusahaan, mengumpulkan informasi berbasis jaringan dan host.
Agen-agen ini mengirim data mereka ke stasiun manajemen pusat, yang mencatat semua data
yang diterima dalam database dan melakukan berbagai analisis berdasarkan tanda tangan,
berbasis anomali, dan berbasis negara protokol pada data. Administrator sistem menggunakan
konsol berbasis desktop atau web untuk mengkonfigurasi agen, memantau alarm, dan
mengambil tindakan defensif yang sesuai.

Keterbatasan IDS / IPS 

Teknologi IDS / IPS memiliki dua batasan terkenal - false positive dan evasion.
Dengan kondisi teknologi saat ini, IDS tidak sepenuhnya akurat. Banyak alarm yang
diangkat oleh IDS tidak mewakili ancaman nyata dan banyak ancaman nyata terlewatkan.
Menandai aktivitas aman sebagai tindakan jahat disebut false positive. Gagal
mengidentifikasi aktivitas jahat disebut false negative. Mengurangi satu umumnya
meningkatkan yang lain. Misalnya, IDS yang sangat sensitif akan mendeteksi serangan yang
lebih nyata, tetapi IDS juga akan menandai banyak transaksi tidak berbahaya sebagai
berbahaya. IDS yang kurang sensitif tidak akan meningkatkan terlalu banyak alarm palsu,
tetapi dalam prosesnya juga akan kehilangan banyak serangan nyata. Karena serangan
sebenarnya sangat mahal, organisasi umumnya lebih suka memaksimalkan kemungkinan
mendeteksi lalu lintas berbahaya, bahkan jika itu berarti harus merespons lebih banyak alarm
palsu. Ini harus dibayar dengan kelompok keamanan informasi yang harus mencurahkan
lebih banyak sumber daya untuk menyaring semua alarm palsu untuk menemukan peristiwa
yang benar-benar berbahaya.
Evasion adalah tindakan melakukan aktivitas jahat sehingga terlihat aman.
Penyerang menggunakan prosedur penghindaran untuk mengurangi kemungkinan serangan
terdeteksi oleh teknologi IDPS, Sebagai contoh, pemindaian port dapat dilakukan dengan
sangat lambat (selama beberapa hari) dan dari berbagai sumber untuk menghindari deteksi.
Malware dapat dikirim sebagai dikirim sebagai bagian dari lampiran file dan tampak sah. 
Karenanya IDS / IPS tidak dapat dipercaya untuk mendeteksi semua aktivitas jahat.
Namun, seperti firewall, firewall bisa sangat efektif sebagai bagian dari penyebaran
keamanan informasi organisasi secara keseluruhan.
Panduan NIST adalah sumber yang bagus untuk informasi lebih lanjut tentang
teknologi IDS / IPS.

Manajemen patch untuk sistem operasi dan aplikasi

Patch adalah perangkat lunak yang memperbaiki masalah keamanan dan fungsionalitas
dalam perangkat lunak dan firmware. Tambalan juga disebut pembaruan. Tambalan biasanya
merupakan cara paling efektif untuk mengurangi kerentanan perangkat lunak. Sementara
organisasi dapat sementara mengatasi kerentanan perangkat lunak yang diketahui melalui
solusi (misalnya menempatkan perangkat lunak yang rentan di belakang firewall), tambalan
atau pembaruan adalah cara paling efektif untuk menangani kerentanan perangkat lunak yang
diketahui.
Manajemen tambalan adalah proses mengidentifikasi, memperoleh, memasang, dan
memverifikasi tambalan. Patch penting bagi administrator sistem karena efektivitasnya dalam
menghilangkan kerentanan perangkat lunak. Bahkan, banyak kerangka kerja keamanan
informasi memaksakan persyaratan manajemen patch. Misalnya, Standar Keamanan Data
(PCI) Industri Kartu Pembayaran (DSS) mensyaratkan bahwa tambalan-tambalan penting
harus dipasang dalam waktu 1 bulan sejak pelepasan tambalan (persyaratan PCI DSS 2.0
6.1.b).
Manajemen tambalan memperkenalkan banyak tantangan. Yang paling penting adalah
tambalan dapat merusak perangkat lunak yang ada, terutama perangkat lunak yang telah
dikembangkan sendiri menggunakan teknologi yang lebih lama. PCI DSS mendefinisikan
tambalan perangkat lunak yang tepat sebagai “tambalan yang telah dievaluasi dan diuji secara
memadai untuk menentukan bahwa tambalan tidak bertentangan dengan konfigurasi
keamanan yang ada. “Manajemen tambalan yang efektif untuk seluruh perusahaan mengatasi
tantangan ini dan yang terkait, sehingga administrator sistem tidak menghabiskan waktu
untuk memperbaiki masalah yang dapat dicegah.
Dalam beberapa tahun terakhir, perangkat lunak manajemen tambalan otomatis telah
mendapatkan popularitas untuk menangani masalah ini. Dalam survei terbaru terhadap para
profesional TI, produk perangkat lunak manajemen tambalan otomatis (seperti SUS,
HFNetChk, BigFix Enterprise Suite, dan Pembaruan PatchLink) digunakan oleh 64%
responden untuk manajemen tambalan; 18% menggunakan pembaruan Windows dan 17%
menerapkan tambalan secara manual.
 NIST mengidentifikasi tantangan-tantangan berikut dengan manajemen tambalan
perusahaan: waktu, penentuan prioritas, dan pengujian; konfigurasi; host alternatif; inventaris
perangkat lunak; sumber daya yang berlebihan dan verifikasi implementasi. Masing-masing
dibahas secara singkat di bawah ini.

Pengaturan waktu, penentuan prioritas, dan pengujian

Idealnya, setiap tambalan harus dipasang segera setelah dirilis oleh vendor untuk melindungi
sistem secepat mungkin. Namun, jika tambalan dipasang tanpa pengujian menyeluruh, ada
risiko nyata bahwa sistem operasional mungkin gagal, menyebabkan gangguan langsung ke
jalan normal bisnis organisasi. Dalam jangka pendek, banyak organisasi mungkin
menganggap gangguan seperti itu lebih merusak daripada potensi bahaya karena tidak
memasang patch. Hal-hal yang lebih rumit dalam praktik karena organisasi sering
kekurangan staf. Untuk mendapatkan manfaat maksimal dari waktu staf terbatas yang
tersedia untuk penambalan, biasanya perlu diprioritaskan tambalan mana yang harus dipasang
terlebih dahulu. Oleh karena itu, selama manajemen tambalan, penentuan waktu, penentuan
prioritas, dan pengujian sering bertentangan.
Satu respons terhadap tantangan ini adalah tambalan bundel. Alih-alih melepaskan tambalan
segera setelah siap, vendor produk sering melepaskan agregat banyak tambalan sebagai
bundel tambalan pada triwulanan atau jadwal berkala lainnya. Ini mengurangi upaya
pengujian tambalan di organisasi dan memfasilitasi penyebaran. Bundling tambalan bahkan
dapat menghilangkan kebutuhan untuk memprioritaskan jika upaya pengujian dan
penyebaran cukup dikurangi dengan bundling. Bahkan jika vendor perangkat lunak
menggunakan bundel tambalan, jika diketahui bahwa kerentanan yang tidak ditambal sedang
dieksploitasi secara aktif, vendor akan segera mengeluarkan tambalan yang sesuai. alih-alih
menunggu waktu rilis untuk bundel. 

Sementara memprioritaskan tambalan, penting untuk mempertimbangkan pentingnya sistem

yang akan ditambal selain pentingnya kerentanan itu sendiri. Selokan yang menghadap ke
web mungkin lebih penting untuk ditambal daripada desktop yang terletak di belakang zona
militerisasi. Ketergantungan adalah pertimbangan lain. jika pemasangan satu tambalan
mengharuskan beberapa tambalan lain diinstal terlebih dahulu. prasyarat tambalan juga perlu
diuji dan diterapkan, bahkan jika kerentanan tambalan itu sendiri tidak terlalu penting. 

Konfigurasi 

dalam lingkungan perusahaan, pengujian tambalan dan penyebaran rumit oleh fakta bahwa
biasanya ada beberapa mekanisme untuk menerapkan tambalan. Sebagai contoh. beberapa
perangkat lunak dapat dikonfigurasikan untuk secara otomatis memperbarui dirinya sendiri
oleh pengguna akhir. dalam kasus luar, pengguna mungkin secara manual menginstal
beberapa tambalan atau bahkan menginstal versi perangkat lunak yang lebih baru. Walaupun
metode yang disukai mungkin menggunakan alat manajemen tambalan yang terpusat, dalam
beberapa kasus, tambalan dapat dimulai oleh alat-alat seperti pemindai kerentanan jaringan. 
Prosedur pemasangan tambalan yang bersaing ini dapat menyebabkan konflik. Metode yang
bersaing dapat mencoba untuk menimpa tambalan, menghapus tambalan yang diinstal
sebelumnya, atau memasang tambalan yang organisasi memutuskan untuk tidak menginstal
karena alasan stabilitas operasional. Organisasi karenanya harus mengidentifikasi semua cara
patch dapat diterapkan dan menyelesaikan konflik apa pun di antara metode aplikasi patch
yang bersaing. 
Pengguna adalah masalah terkait dalam konfigurasi manajemen tambalan. Pengguna,
terutama pengguna yang kuat, dapat menimpa atau menghindari proses manajemen patch,
misalnya, dengan mengaktifkan pembaruan langsung, menonaktifkan perangkat lunak
manajemen patch, menginstal versi perangkat lunak lama dan tidak didukung. atau bahkan
mencopot pemasangan tambalan. Tindakan pengguna ini merusak efektivitas proses
manajemen tambalan. Organisasi karenanya harus mengambil langkah-langkah untuk
mencegah pengguna dari memengaruhi secara merugikan teknologi manajemen tambalan
organisasi. 

Host alternatif. 

Lingkungan khas perusahaan memiliki beragam perangkat keras dan perangkat lunak yang
digunakan. Manajemen tambalan sangat disederhanakan ketika semua host identik,
sepenuhnya dikelola, dan menjalankan aplikasi dan sistem operasi yang khas. Keragaman
dalam lingkungan komputasi menghasilkan tantangan yang cukup besar selama penambalan.
Contoh keanekaragaman arsitektur termasuk host yang dikelola oleh pengguna akhir; laptop
tele-work yang tetap berada di luar lingkungan perusahaan untuk waktu yang lama dan dapat
mengumpulkan kerentanan; komponen TI non-standar seperti lemari es berkemampuan
Internet atau peralatan lain; perangkat yang dimiliki secara pribadi seperti ponsel cerdas yang
tidak dapat dikendalikan oleh organisasi; dan virtualisasi, yang memunculkan dan
menghancurkan sistem komputer sesuai permintaan, terkadang dengan perangkat lunak yang
sudah usang. 

Dalam daftar ini, peranti merupakan kasus yang sangat menarik karena seringkali produsen
peranti ini tidak terlalu mengenal pentingnya manajemen tambalan dan mungkin tidak
mendukung prosedur otomatis untuk pengujian dan pemasangan tambalan. Manajemen
tambalan untuk perangkat ini dapat dengan mudah menjadi proses yang memakan waktu dan
padat karya. 
Tambalan efektif. proses manajemen harus mempertimbangkan semua arsitektur host
alternatif yang terhubung dengan infrastruktur TI organisasi. 

Software inventory 

Untuk pengujian yang efektif, manajemen tambalan perusahaan mengharuskan organisasi

mempertahankan inventaris terkini dan lengkap dari semua perangkat lunak yang dapat
diperbaiki yang diinstal pada setiap host di organisasi. Inventaris ini juga harus mencakup
versi dan status tambalan yang benar dari setiap perangkat lunak. 
Resource overload 

Setelah pengujian selesai, penyebaran perlu dikelola untuk mencegah agar sumber daya tidak
kelebihan beban. Sebagai contoh. jika banyak host mulai mengunduh patch besar yang sama
pada saat yang sama, itu dapat secara signifikan memperlambat kecepatan unduh saat hard
drive mencari blok perangkat lunak yang berbeda untuk setiap host individu. Dalam
organisasi besar. Bandwidth jaringan juga bisa menjadi kendala. terutama jika tambalan
sedang dikirim di seluruh benua pada jaringan WAN. Organisasi harus merencanakan untuk
menghindari situasi sumber daya yang berlebihan. Strategi umum termasuk ukuran
infrastruktur manajemen tambalan untuk menangani volume permintaan yang diharapkan dan
mengejutkan pengiriman tambalan sehingga sistem manajemen tambalan perusahaan hanya
mengirim tambalan ke sejumlah host pada waktu tertentu.

Implementation verification 

Masalah kritis lain dengan manajemen tambalan adalah memaksa perubahan yang diperlukan
pada host target sehingga tambalan berlaku. Bergantung pada tambalan dan perangkat keras
serta perangkat lunak target, ini mungkin tidak memerlukan langkah tambahan, mungkin
memerlukan memulai kembali aplikasi atau layanan yang ditambal, me-reboot seluruh sistem
operasi, atau membuat perubahan lain pada keadaan host. Mungkin sangat sulit untuk
memeriksa host dan menentukan apakah patch tertentu telah berlaku.
Salah satu mekanisme untuk menghadapi tantangan ini adalah menggunakan metode
lain untuk mengkonfirmasi pemasangan, misalnya, menggunakan pemindai kerentanan yang
independen dari sistem manajemen tambalan.

End-point protection 

End-point protection adalah keamanan yang diterapkan pada perangkat pengguna akhir.
Perangkat pengguna akhir adalah desktop. laptop. dan perangkat seluler yang digunakan
langsung oleh konsumen sistem TI. Keamanan end-point biasanya diterapkan menggunakan
aplikasi perangkat lunak khusus yang menyediakan layanan seperti perlindungan antivirus.
perlindungan anti malware, dan deteksi intrusi. Perlindungan end-point berfungsi sebagai
pertahanan pada upaya terakhir. mencoba untuk mengambil masalah keamanan yang tidak
terjawab oleh kontrol jaringan seperti Firewall dan sistem deteksi intrusi. 
Keamanan end-point dapat menawarkan keamanan yang tidak dapat disediakan oleh sistem
di seluruh organisasi. Sebagai contoh. sistem keamanan end-point dapat mengkonfirmasi
bahwa versi sistem operasi, browser. klien email. dan perangkat lunak lain yang diinstal pada
perangkat adalah yang terbaru dan memperingatkan pengguna jika perlu untuk memulai
pembaruan. Kontrol keamanan berbasis jaringan umumnya tidak dapat memberikan
keamanan yang halus. 
Perlindungan end-point juga memberikan perlindungan terhadap perangkat yang disusupi
lainnya di dalam jaringan. Sebagai contoh. jika desktop di dalam jaringan terganggu dan
mulai memindai port di dalam jaringan. perangkat lunak keamanan end-point pada host yang
ditargetkan dapat mendeteksi pemindaian dan memblokir permintaan lebih lanjut dari
komputer hingga masalah teratasi. 
Perusahaan-perusahaan terkenal yang menawarkan perangkat lunak perlindungan end-point
termasuk Symantec dan McAfee. Microsoft juga memasukkan Windows Defender sebagai
bagian dari sistem operasinya. 

Operasi 

Perangkat lunak keamanan end-point mengenali malware dan virus menggunakan salah satu
dari dua metode signatum dan reputasi. Deteksi berbasis tanda tangan adalah metode
tradisional untuk mendeteksi perangkat lunak berbahaya. Mekanisme berbasis reputasi lebih
baru dan secara komputasi lebih efisien dalam mendeteksi ancaman yang sebelumnya tidak
diketahui.

Signature-based end-point protection 

Kita telah melihat bahwa tanda tangan adalah urutan byte yang dikenal sebagai bagian dari
perangkat lunak berbahaya. Tanda tangan telah menjadi teknik dominan yang digunakan
dalam perlindungan end-point. Metode deteksi virus dan malware tradisional mengandalkan
para ahli yang melakukan analisis terperinci atas setiap virus dan malware yang dapat
dieksekusi untuk mengidentifikasi urutan byte yang unik untuk virus malware. Dalam bahasa
umum, urutan byte pengidentifikasi ini juga disebut definisi virus Setelah urutan byte tersebut
diidentifikasi, urutan byte ditambahkan ke basis data perangkat lunak end-point dari
perangkat lunak berbahaya yang diketahui. 
Perangkat lunak perlindungan end-point memeriksa semua file yang masuk, keluar, dan
mengeksekusi untuk setiap tanda tangan virus yang dikenal. Jika tanda tangan semacam itu
ditemukan, file tersebut segera dikarantina. 
Deteksi virus dan malware berbasis signature memiliki beberapa masalah yang diketahui.
Yang paling jelas adalah bahwa ia tidak dapat bertahan melawan ancaman yang sebelumnya
tidak diketahui. Ketika virus baru dirilis, tanda tangannya tidak akan ada dalam database end-
point, dan perangkat lunak perlindungan end-point akan menganggap perangkat lunak
tersebut aman. 
Kedua, ketidakmampuan deteksi berbasis tanda tangan untuk memblokir virus yang
sebelumnya tidak dikenal mendorong pertumbuhan jumlah virus. Secara konseptual, pembuat
virus dapat memodifikasi hanya 1 byte malware dan menggagalkan kemampuan sistem
berbasis tanda tangan untuk mengenali malware. Ini mendorong pengembang untuk membuat
virus yang mengubah diri mereka secara halus di antara infeksi tanpa campur tangan dari
pengembang, yang mengakibatkan ledakan dalam ukuran basis data tanda tangan. Karena
setiap file harus dipindai terhadap semua tanda tangan yang dikenal, pada akhirnya.
pertumbuhan ukuran database tanda tangan menyebabkan deteksi berbasis tanda tangan
memperlambat sistem secara signifikan. Perlombaan senjata antara virus dan tanda tangan
virus ini mengorbankan kinerja sistem untuk pengguna akhir. 
Reputation-based end-point protection 

Reputation-based end-point protection mencoba memprediksi keamanan file berdasarkan

skor reputasi yang dihitung menggunakan atribut yang dapat diamati file tersebut. Pengaruh
setiap atribut file pada reputasi file dihitung dari perilaku file yang diamati pada mesin
pengguna. Seiring waktu, skor reputasi dihitung dan diperbarui secara berkala untuk setiap
file yang dapat dieksekusi yang diketahui. Ketika file yang dapat dieksekusi (program
komputer) ditemukan. sistem perlindungan titik akhir berbasis reputasi dapat menentukan
keamanan file dengan melihat skor reputasinya (jika diketahui) atau dengan menghitung
kemungkinan reputasi file dari atribut file yang dapat diamati.
Karena perlindungan endpoint berbasis reputasi hanya perlu melihat atribut file yang
diketahui (seperti ukuran file. Age. Source), metode ini menghilangkan kebutuhan untuk
memindai setiap byte setiap file untuk keberadaan jutaan tanda tangan malware yang
diketahui. Ini sangat mempercepat proses pemindaian virus dan malware. memungkinkan
sumber daya komputer untuk dikhususkan untuk tugas-tugas produktif. yang bertentangan
dengan deteksi tanda tangan.
Metode berbasis reputasi memiliki ketahanan bawaan terhadap virus baru. File yang
sebelumnya tidak dikenal secara alami menerima skor reputasi rendah, seperti bagaimana
peminjam baru seperti remaja mulai dengan skor kredit rendah. Karena file digunakan oleh
lebih banyak pengguna untuk periode waktu yang lebih lama tanpa efek berbahaya yang
diamati, file terus meningkatkan skor reputasinya. Ini mirip dengan bagaimana pengguna
meningkatkan peringkat kredit mereka melalui pinjaman yang bertanggung jawab. Dengan
demikian, mekanisme berbasis reputasi memberi penghargaan pada keakraban dan berpotensi
memangkas pertumbuhan varian malware.
Contoh kasus - Jaringan AirTight 

Setelah menyelesaikan gelar PhD. dalam Ilmu Komputer dari University of Maryland di
College Park pada 1995, Pravin Bhagwat bekerja sebagai peneliti utama di AT&T Research
dan IBM Thomas J. Watson Research Center. Pada tahun 2003, ia adalah perintis dan peneliti
yang terkenal di jaringan nirkabel, akhirnya ikut menulis 5 paten pada berbagai aspek
jaringan nirkabel. Pada upaya awal yang dilakukan pada masa itu, industri berusaha membuat
versi nirkabel Ethernet. Tujuannya adalah untuk memungkinkan komputer mengirim data
tanpa perlu kabel untuk membawa data. Komersialisasi teknologi dimulai sekitar tahun 1997.
ketika IEEE menerbitkan standar 802.11 untuk teknologi Ethernet nirkabel yang muncul.
Kecepatan data standar yang ditentukan hingga 2Mbps dan dirancang terutama untuk
digunakan oleh pemindai kode batang di toko ritel dan gudang. Pada tahun 1999. standar
802.1 1b diterbitkan, menentukan kecepatan data hingga 1Mbps. Ketika produsen komputer
menyadari bahwa kecepatan data ini sebanding dengan kecepatan data Ethernet 10Mbps,
mereka menganggap teknologi tersebut mampu ditambahkan sebagai bagian integral dari
motherboard komputer.

Integrasi jaringan wifi ke komputer memberi sinyal kepada Pravin bahwa jaringan nirkabel
akan segera menjadi teknologi utama. Dia bisa melihat bahwa itu akan segera menjadi biasa
bagi pengguna untuk membawa komputer dalam koper (laptop). Setelah menghabiskan
bertahun-tahun di industri ini sebagai teknolog, ia sekarang mulai memikirkan dengan serius
peluang wirausaha di sektor ini. 

Pilihan yang jelas adalah masuk ke bisnis menawarkan titik akses nirkabel. Namun, pada saat
Pravin telah mengidentifikasi peluang, perusahaan-perusahaan seperti Aruba, Airespace,
Trapeze. Vivato, Airgo dan Aerohive telah mendapatkan tingkat pendanaan yang signifikan
dari investor tenda. Bersaing di ruang ini berarti bersaing dengan perusahaan yang didanai
dengan baik dengan akses ke penasihat terbaik di industri. Kerangka 3 langkahnya untuk
memasuki ruang teknologi adalah untuk (saya) mengantisipasi masalah, (2) membangun
perangkap tikus yang unggul untuk memecahkan masalah dan (3) siap melayani pelanggan
ketika masalah yang diantisipasi muncul dengan sendirinya. Menyadari bahwa orang lain
telah mengalahkannya dalam kesempatan ini, ia memutuskan untuk melihat ke depan untuk
mencari tahu apa peluang berikutnya di sektor ini. Tidak hanya itu, ia memutuskan untuk
bersiap dengan solusi ketika kesempatan tiba. 

Kerentanan sebagai peluang bisnis 

Keahlian yang diperoleh dari terlibat dengan pengembangan teknologi sejak masih bayi
memberi Pravin beberapa wawasan unik. Dia menyadari bahwa pengenalan jaringan nirkabel
akan mengekspos seluruh kelas kerentanan baru dalam organisasi. Secara khusus, sampai
sekarang, bisnis tidak pernah menganggap kabel Ethernet (layer 2) mereka sebagai sumber
ancaman. Kabel Ethernet biasanya dikurung dalam bangunan, dimana prosedur keamanan
fisik tradisional akan menjadi penyerang dari mencapai kabel dan melakukan kerusakan.
Sebagian besar kerentanan keamanan di lingkungan ini terjadi pada lapisan jaringan atau di
atasnya. Karena semua lalu lintas lintas organisasi melewati lokasi pusat, router gateway,
firewall pelindung dengan aturan yang ditetapkan cukup untuk menangani sebagian besar
serangan di sebagian besar organisasi. 
Namun, ini akan berubah jika wi-fi APs akan terhubung ke Ethernet secara langsung. Sinyal
nirkabel menyebar ke segala arah. Di sebuah kompleks perkantoran besar, sinyal dari satu
bisnis dapat dipantau dari bisnis tetangga. Adalah mungkin untuk secara tidak sah
memeriksa, memodifikasi dan menyuntikkan paket dan lalu lintas ke jaringan dari luar
jaringan melalui AP ini. Atau bahkan hanya dengan berdiri di lobi. Ini adalah kerentanan
yang sama sekali baru yang pasti akan mempengaruhi setiap organisasi di dunia. 
Merasakan bahwa tidak ada orang yang dia kenal yang memikirkan peluang komersial yang
disajikan oleh kerentanan ini, dia memutuskan untuk bekerja ke arah pengembangan solusi.
Dia mulai dengan menyusun apa yang dianggapnya tiga elemen penting untuk memulai
sebuah perusahaan - sebuah ide. tim dan keuangan yang diperlukan untuk menopang tim

sampai menghasilkan keuntungan. 

Tetapi apakah perangkap tikus yang unggul dalam keamanan informasi? Sistem pencegahan
intrusi? Itu adalah teknologi yang terkenal. Sesuatu yang menurunkan biaya? Bagaimana
Anda melakukannya? Mungkin dengan mengotomatisasi sesuatu? Setelah berpikir panjang,
dia menyimpulkan bahwa sesuatu yang fungsi administrasi sistem kunci otomatis dapat
berguna. 

Oleh karena itu perusahaan fokus pada otomatisasi deteksi titik akses nakal dan pemindaian
jaringan nirkabel. Pada akhir 2005, setelah sekitar dua tahun perkembangan yang intens, ia
memiliki solusi yang baik untuk masalah ini. Sementara solusi yang ada mendaftar semua
titik akses yang tersedia di jaringan (Gambar 6), teknologinya dapat memberi label setiap titik
akses di sekitarnya sebagai internal, eksternal, nakal atau salah konfigurasi (Gambar 7).
Teknologinya memungkinkan administrator jaringan untuk secara jelas mengidentifikasi titik
akses yang perlu diperhatikan (yang berwarna merah pada Gambar 7). 
Elemen dasar dari teknologi Airtight adalah kotak perangkat keras yang ditambahkan ke
jaringan. Kotak mendeteksi sinyal nirkabel dalam medium untuk mengumpulkan semua
informasi yang diperlukan dan memproses sinyal menggunakan algoritma kepemilikannya.

Market catalyst 

Sementara teknologinya menarik dan memikat, ia segera menemui hambatan lain. Ketika dia
pergi untuk memasarkan teknologinya, pelanggan potensial tidak menyadari perlunya
mengambil tindakan segera. Bagaimanapun, Pravin berusaha membuat pelanggan
membelanjakan uang untuk memecahkan masalah potensial yang belum pernah ada
sebelumnya dan yang belum pernah mereka alami. Sepertinya dia menjual Aspirin kepada
orang-orang yang belum mengalami sakit kepala. Pada tahun 2005, solusi keamanan nirkabel
bukanlah persyaratan yang dikenakan pada perusahaan oleh regulator negara atau badan
industri seperti konsorsium Industri Kartu Pembayaran (PCI). Dan tidak ada yang mau
menghabiskan uang untuk keamanan kecuali mereka benar-benar harus. Sejauh ada yang
tertarik pada keamanan nirkabel, mereka senang dengan keamanan apapun yang dibangun
oleh vendor jalur akses ke dalam sistem mereka.
Cara ini berjalan, pada 2007, keberhasilan terbatas pada industri di mana keamanan tinggi
adalah prioritas. Ini termasuk lembaga keuangan, telekomunikasi, dan pemerintah. Manajer
TI dalam perusahaan ini mengakui ancaman tersebut dan bersedia berinvestasi dalam solusi
teknologi yang menambahkan lapisan keamanan tambahan ke jaringan nirkabel mereka yang
ada.
Selama tahun 2003-2007, perusahaan mempertahankan diri melalui apa yang Pravin anggap
sebagai tiga hal penting untuk mempertahankan perusahaan setelah memulai - usaha, waktu
dan kesabaran, modal. Itu mendapatkan pendanaan dari perusahaan-perusahaan modal
ventura terkenal di seluruh dunia yang membeli visinya.
Semua ini berubah ketika Alberto Gonzalez dan aktivitasnya di TJ Maxx menjadi dikenal.
Perusahaan menjadi sadar akan vektor ancaman baru yang dibuat oleh jaringan nirkabel.
Selain itu, revisi 1.1 ke standar PCI memperkenalkan persyaratan bagi semua perusahaan
yang menerima kartu kredit untuk secara berkala memindai jaringan nirkabel mereka untuk
titik akses yang tidak terkonfigurasi (tidak ada persyaratan seperti itu pada saat insiden TJX).
Jadi Alberto Gonzalez membantu mendidik pelanggannya dengan cara yang dia sendiri tidak
bisa. Tiba-tiba, perusahaan mengalami sakit kepala dan mencari Aspirin yang dapat
disediakan oleh AirTight.

Current status 

Produk kedap udara telah menerima berbagai penghargaan industri selama bertahun-tahun.
Pada saat penulisan, perusahaan memiliki 29 paten untuk kreditnya, mencakup berbagai
aspek teknologi yang dikembangkan oleh perusahaan. Pada 2012, Gartner MarketScope
untuk sistem pencegahan intrusi LAN nirkabel memberi peringkat Airtight Networks "sangat
positif," satu-satunya perusahaan yang mencapai peringkat itu dalam bidang yang mencakup
produk dari para pemimpin industri seperti Cisco, Motorola dan Aruba Networks. Airtight
telah memanfaatkan keunggulan produk ini dengan beberapa keberhasilan, menarik
pelanggan tenda besar seperti Citrix, New York City Transit, dan Ryder Systems.

Future directions 

Setelah mendominasi ruang keamanan wifi selama beberapa tahun, AirTight sekarang
mencari untuk memperluas jejaknya dengan memasuki pasar yang lebih besar. Ingat pasar
akses nirkabel yang Pravin menyerah pada hari-hari awal perusahaan karena terlambat
memasuki pasar? AirTight sekarang melihat pasar itu setelah membangun hubungan dengan
beberapa pelanggan besar melalui penawaran keamanan nirkabelnya. Diproyeksikan bahwa
pendapatan di pasar akses nirkabel akan naik dari kira-kira. $ 4 milyar. pada tahun 2013
menjadi sekitar $ 20 miliar. pada tahun 2020. AirTight percaya bahwa jika mereka bisa
mendapatkan hak keamanan, yang secara luas diakui sebagai teknologi yang jauh lebih sulit
untuk dikuasai, mereka juga akan dapat melakukan akses dengan benar.
AirTight mendorong beberapa industri di mana terdapat penyebaran nirkabel berskala
besar seperti ritel, perhotelan, layanan kesehatan, dan pendidikan. Organisasi dalam industri
ini besar, tetapi memiliki kebutuhan keamanan yang sederhana. Ini memasuki industri-
industri ini dengan memperkenalkan fitur-fitur yang mungkin menarik bagi masing-masing
sektor ini. Misalnya, pelanggan dapat mengaktifkan kemampuan akses wifi menggunakan
perangkat keras keamanan yang digunakan dengan peningkatan perangkat lunak sederhana.
Di sektor pendidikan tinggi, itu sedang mengembangkan fitur yang memungkinkan profesor
dan mahasiswa mempelajari jaringan komputer dengan memeriksa lalu lintas jaringan yang
disaring langsung di dalam kampus.
Pada saat penulisan pada pertengahan 2013, jaringan AirTight telah mengamankan
kemenangan akses wifi utama di sektor ritel. Teknologi perusahaan sedang digunakan di
beberapa pengecer nasional terkenal, dengan ribuan lokasi masing-masing. Salah satu fitur
yang digunakan di lokasi ritel adalah layanan analitik data besar untuk membantu perusahaan
melacak pengunjung di seluruh toko dan menawarkan promosi khusus melalui ponsel. Fitur
lain memungkinkan perusahaan ini untuk secara aman menawarkan akses nirkabel tamu di
setiap lokasi, dengan konfigurasi minimal di setiap toko.
Selain itu, untuk mengatasi ketatnya anggaran di pendidikan tinggi, telah
dikembangkan solusi titik akses nirkabel yang dikelola Cloud, yang menghilangkan salah
satu komponen paling mahal dalam penyebaran WLAN di seluruh kampus. Model ini
memungkinkan institusi untuk hanya menggunakan titik akses nirkabel di jaringan, di mana
mereka secara otomatis mengkonfigurasi sendiri. Administrator jaringan mengelola titik
akses menggunakan antarmuka berbasis web-browser yang sederhana.
Airtight menyebut AP tepi cerdas yang dikelola cloud ini dibandingkan dengan AP
ringan yang dikelola pengontrol tradisional. Perubahan arsitektur ini memanfaatkan
perkembangan perangkat keras komputer selama dekade terakhir. Karena CPU menjadi lebih
cepat, RAM menjadi lebih murah dan standar menjadi lazim, pertukaran yang mengharuskan
penggunaan pengontrol pusat telah berubah. Titik akses murah (AP) sekarang dapat
mengemas teknologi yang mahal satu dekade lalu. Industri akses nirkabel yang telah melalui
dua fase perubahan yang mengganggu15 dalam kehidupan mudanya bisa menjadi perubahan
yang mengganggu lagi.

REFERENSI

Wireless Field Day 5 presentation by David King, CEO of AirTight Networks ,

http://www.youtube.com/watch?v = qxNAUeevfvc&list =
PLObjX_zORJMAz0EBXmsQqSS5EOWzb96St&index = 16 (accessed 8/11/13)
BAB REVIEW QUESTIONS 

1. Apa itu kata sandi? Untuk apa ini digunakan? 

2. Secara singkat jelaskan beberapa bentuk kata sandi alternatif. 
3. Apa itu manajemen kata sandi? Mengapa itu perlu? 
4. Apa ancaman penting terhadap kata sandi? 
5. Apa rekomendasi penting untuk manajemen kata sandi? 
6. Apa saja kelebihan dan batasan kata sandi?
7. Apa itu firewall? Apa kegunaan umum mereka? 
8. Tulis contoh aturan firewall menggunakan sintaks yang ditunjukkan dalam bab ini.
Jelaskan apa aturannya. 
9. Tulis aturan firewall yang memblokir semua permintaan web yang masuk (port 80)
dari jaringan 192.168.0.0/16. 
10. Apa saja batasan firewall? 
11. Apa itu firewall paket inspeksi yang mendalam? Apa kemampuan tambahan yang
mereka tawarkan, dibandingkan dengan firewall packet filtering? 
12. Apa perbedaan antara jaringan perimeter dan jaringan interior, dari perspektif
keamanan informasi? 
13. Gambarlah diagram organisasi firewall perusahaan biasa, yang menunjukkan firewall
perimeter, firewall interior, zona demiliterisasi, dan jaringan internal. 
14. Apa rekomendasi untuk konfigurasi firewall dasar? 
15. Apakah IDS / IPS itu? 
16. Apa itu IDS berbasis tanda tangan? Apa kelebihan dan keterbatasan mereka? 
17. Apa IDS berbasis anomali? Apa kelebihan dan keterbatasan mereka? 
18. Apa IDS berbasis negara protokol? Apa kelebihan dan keterbatasan mereka? 
19. Apa itu tambalan? Apa itu bundel tambalan dan mengapa itu digunakan? 
20. Apa itu manajemen tambalan?
21. Secara singkat jelaskan tantangan penting dalam manajemen tambalan yang efektif. 
22. Apa itu perlindungan titik akhir? Apakah perlu di organisasi dengan kontrol jaringan
yang kuat seperti firewall, IDS, dan kata sandi yang kuat? 
23. Apa saja layanan penting yang ditawarkan oleh perlindungan titik akhir? 
24. Apa saja batasan deteksi malware berbasis tanda tangan? 
25. Apa itu deteksi malware berbasis reputasi?

CONTOH PERTANYAAN

1. Berikan ringkasan persyaratan keamanan untuk jaringan nirkabel (pencarian Internet

untuk “persyaratan nirkabel PCI” akan mengarahkan Anda ke beberapa sumber daya yang
bermanfaat) 
2. Anda adalah CIO dari frm menengah hingga besar. Seberapa pentingkah ukuran
vendor dalam keputusan Anda untuk menggunakan produknya untuk keamanan informasi
organisasi Anda? Mengapa ukuran vendor penting bagi Anda? 

3. Anda adalah CIO dari frm menengah hingga besar. Seberapa pentingkah keberadaan
teknologi vendor sebelumnya dalam perusahaan Anda dalam keputusan Anda untuk
menggunakan produknya untuk keamanan informasi organisasi Anda? Mengapa pengalaman
sebelumnya dengan vendor penting bagi Anda?

4. Anda adalah CEO dari perusahaan startup yang menawarkan produk yang menarik
untuk meningkatkan keamanan informasi organisasi. Bagaimana Anda mengatasi masalah
yang diangkat dalam dua pertanyaan terakhir? 

5. Kunjungi situs web jaringan AirTight. Apa saja produk dan layanan utama yang
ditawarkan oleh perusahaan?

HANDS - ON ACTIVITY - HOST- BASED IDS (OSSEC) 

Dalam latihan ini, Anda akan menginstal dan menguji OSSEC, sistem pendeteksi intrusi
berbasis Host Terbuka, pada mesin virtual Linux yang disertakan dengan teks ini. OSSEC
melakukan analisis log, pemeriksaan integritas fle, pemantauan kebijakan, deteksi rootkit,
peringatan waktu-nyata, dan respons aktif. Untuk informasi lebih lanjut, lihat situs web
OSSEC http://www.ossec.net 

Untuk menginstal OSSEC, buka jendela terminal dan “su” ke akun root:

Salin file instalasi OSSEC ke direktori sementara, buka kompresi file dan mulailah proses
instalasi.
Anda sekarang dapat memulai OSSEC dengan perintah yang diberikan di atas, tetapi
pertama-tama ada satu opsi konfigurasi yang perlu disesuaikan. Secara default, pemeriksaan
sistem OSSEC dijalankan setiap 22 jam. Ini cocok untuk penggunaan umum; namun, kami
ingin agar proses berjalan lebih sering untuk latihan ini. Anda harus membuka
/var/ossec/etc/ossec.conf di editor teks dan mengubah nilai dalam baris 76 dari 79200 (22 jam
dalam detik) menjadi 300 dan menyimpan perubahan Anda. Perhatikan bahwa ossec.conf
hanya dapat dilihat atau dimodifikasi oleh root. Saat login sebagai root, modifikasi fle
menggunakan Gnome Text Editor (Gambar 9.8):

Ini akan menyebabkan sistem memeriksa untuk berjalan setiap 5 menit, bukannya setiap 22
jam. Dengan perubahan itu, Anda sekarang dapat memulai server OSSEC. Simpan perubahan
Anda dan keluar dari editor Teks Gnome untuk kembali ke terminal prompt.
Program-program yang membentuk sistem OSSEC sekarang berjalan, Anda dapat melihat
log OSSEC utama di / var / ossec / logs / ossec.log. Ini memberi Anda rincian tentang file
yang dibaca OSSEC saat start-up dan hasil dari pelaksanaan program OSSEC. Jika OSSEC
mendeteksi peristiwa apa pun yang dapat menjadi signifikan dari sudut pandang keamanan,
detail akan dicatat ke / var / ossec / logs / alerts / alerts.conf. Namun, OSSEC mengeluarkan
sejumlah besar informasi dan melihatnya dengan menggunakan paging meskipun log fles
tidak mudah. Paket OSSEC-WebUI adalah antarmuka berbasis web yang menyediakan cara
yang jauh lebih mudah untuk mencari dan melihat peringatan yang direkam (Gambar 9.9). 

Berbeda dengan paket OSSEC utama, OSSEC-WebUI tidak menyertakan skrip instalasi dan
membutuhkan sedikit usaha untuk melakukan konfigurasi.

[root@sunshine]# cd
/home/shared/business_finance/information_technology/website/m
ain
[root@sunshine main]# cp /opt/book/controls/packages/ossec-
wui-0.3.tar.gz .
[root@sunshine main]# tar zxvf ossec-wui-0.3.tar.gz
[root@sunshine main]# mv ossec-wui-0.3ossec
[root@sunshine main]# groupmems -g ossec-a apache
[root@sunshine main]# chmod 777 /tmp
[root@sunshine main]# chmod 770 /var/ossec/tmp
[root@sunshine main]# chgrp apache /var/ossec/tmp
[root@sunshine main]# service httpd restart

Anda sekarang harus dapat mengakses antarmuka OSSEC-WebUI dengan membuka browser
web dan mengunjungi http: // sunshine.edu/ossec. 

Untuk menguji apakah OSSEC bekerja dengan benar, kami sekarang akan menunjukkan
beberapa cara OSSEC digunakan untuk memantau kemungkinan insiden keamanan.

Pemantauan integritas file 

Sistem pemantauan integritas fle di OSSEC mendeteksi perubahan pada file sistem dan
memberi tahu Anda ketika terjadi. Ini bisa disebabkan oleh serangan, penyalahgunaan oleh
pengguna internal, atau bahkan salah ketik oleh administrator. Untuk mensimulasikan
serangan yang memodifikasi file sistem, Anda akan memodifikasi file dan melihat hasilnya di
OSSEC-WebUI.
1. Ubah isi / etc / hosts agar sesuai dengan ini: 127.0.0.1 sunhost.edu localhost diretas.
sunshine.edu :: 1 sunshine.edu localhost 
2. Tunggu 5-10 menit. Pemeriksaan integritas file akan berjalan setiap 5 menit, tetapi
mungkin perlu beberapa menit untuk menyelesaikannya, jadi yang terbaik adalah menunggu
beberapa menit lagi untuk memastikan pemindaian penuh telah terjadi. 
3. Buka OSSEC-WebUI dan pilih tab "Pemeriksaan integritas". 
4. Klik pada tanda plus di sebelah / etc / hosts untuk memperluas rincian tentang fle ini. 
5. Ambil tangkapan layar halaman ini dan kirimkan ke instruktur Anda.

Pemantauan log 

OSSEC mengumpulkan, menganalisis, dan menghubungkan banyak log di seluruh sistem

Linux Anda untuk memberi tahu Anda apa yang sedang terjadi. Untuk menunjukkan ini,
Anda akan melakukan beberapa tugas administrasi sistem umum yang menghasilkan pesan
audit dilacak oleh OSSEC dan melihat hasilnya

1. Instal paket zsh menggunakan manajer paket YUM. 

2. Buat pengguna baru: Nama pengguna: ossec-sample Home Directory: / home / ossec-
sample Kata sandi: oSS3c! 
3. Buka jendela terminal baru dan jalankan perintah ini: [alice @ sunshine ~] $ ssh
bob@sunshine.edu 
4. Saat diminta kata sandi, gunakan bisforbanana. 
5. Buka OSSEC-WebUI di browser web. 
6. Tunggu 5-10 menit hingga OSSEC menyelesaikan semua pemindaian dan
pemrosesan. 
7. Tinjau peringatan terbaru yang ditangkap oleh OSSEC dan temukan yang terkait
dengan tiga peristiwa di atas. 
8. Salin dan tempel data tentang setiap peristiwa ke dalam dokumen Word. 

Hasil Kerja: Kirim dokumen yang berisi hasil OSSEC kepada instruktur Anda.

LATIHAN BERPIKIR KRITIS - EXTRA - KONTROL KEAMANAN MANUSIA

Penelitian yang dilaporkan dari Australia pada November 2012 menunjukkan bahwa kontrol
keamanan bahkan digunakan dengan cara yang menarik di luar dunia manusia untuk
menangani masalah unik untuk bertahan hidup di alam liar. Bronze-Cuckoo Horsfield
bertelur di sarang Superb Fairy-Wrens, berharap meninggalkan tugas menjadi orangtua bagi
Peri-Wrens yang tidak curiga. Telur-telur dari kedua spesies terlihat mirip, memungkinkan
tipu muslihat.

Dari perspektif Peri-Gelatik, masalahnya sebenarnya jauh lebih buruk. Telur Bronze-Cuckoo
menetas 3 hari sebelum telur Peri-Gelatik, 12 hari versus 15 hari. Begitu mereka lahir, anak-
anak Cuckoo Perunggu mendorong keluar telur Peri-Gelatik dari sarang. Tanpa mekanisme
pendeteksian yang efektif, Peri-Gelatik yang dirugikan mungkin akhirnya memberi makan
anak-anak Perunggu-Cuckoo yang menyinggung, yang menghancurkan telur-telurnya.

Sementara Wrens tidak dapat berbuat banyak untuk mencegah kehancuran telur mereka,
mereka telah mengembangkan mekanisme (kontrol) untuk menghindari memberi makan
Cuckoo Perunggu. Sekitar 10 hari setelah telur diletakkan, ibu mulai bernyanyi untuk embrio-
nya. Setelah lahir, anak-anak ayam diharapkan untuk memasukkan catatan unik dalam lagu
dalam panggilan mereka untuk makanan. Jika catatan unik hilang, anak-anak ayam akan
ditinggalkan. Embrio Fairy-Wren mendapat 5 hari untuk mempelajari not-not tersebut,
embrio Bronze-Cuckoo hanya mendapatkan 2 hari, tidak cukup untuk mempelajari not-not
tersebut. Tes berhasil sekitar 40% dari waktu dalam mendeteksi pelanggar.

REFERENSI

Schneier , B. Cryptogram, November 15, 2012

Yong E. , “ Fairy Wrens teach secret passwords to their unborn chicks to tell them apart from
cuckoo impostors ,” Discover Magazine blog, November 8, 2012 ,
http://blogs.discovermagazine.com/ notrocketscience/2012/11/08/fairy-wrens-teach-
secretpasswords-to-their-unborn-chicks-to-tell-them-apart-from -cuckoo-impostors (accessed
07/18/2013)

Corbyn , Z. “ Wrens teach their eggs to sing ,” November 8, 2012 ,

http://www.nature.com/news/wrens-teach-their-eggs-tosing-1.11779 (accessed 07/18/2013)
PERTANYAAN LATIHAN BERPIKIR KRITIS

1. Dari kontrol yang dibahas dalam bab ini, kontrol mana yang paling mirip dengan
kontrol yang digunakan oleh ibu Peri-Wren untuk mendeteksi penipu?
2. Kontrol yang digunakan oleh ibu Peri-Gelatik tampak agak rumit. Beberapa kontrol
sederhana menyarankan diri mereka sendiri. Bisakah Anda menyebutkan beberapa?

KASUS DESAIN

Anda diminta mengeraskan mesin CentOS untuk anggota fakultas. Dia adalah penerima
hibah yang cukup besar dari pemerintah federal, tetapi mengharuskan dia menggunakan
CentOS untuk beberapa analisis data. Hasilnya dianggap sebagai data terbatas, sehingga
akses ke komputer harus dibatasi. Anda tidak yakin bagaimana melakukannya, sehingga
perlu beberapa penelitian.

Setelah beberapa penelitian di web, Anda menemukan item yang terdaftar 1 hingga 6 di
bawah ini. Tulis prosedur yang tepat (string perintah dan rincian file), Anda biasa
menerapkan perubahan ini sehingga Anda dapat mereplikasi mereka di mesin lain sesuai
kebutuhan.

1. Ubah port default untuk daemon sshd dari port 22 ke port 4444. Perubahan kecil ini
akan menghindari sebagian besar pemindaian otomatis untuk masuk ke mesin menggunakan
SSH.
2. Tambahkan id login profesor (jamesc) ke grup roda.
3. Nonaktifkan SSH login sebagai root, memaksa pengguna untuk menggunakan
perintah sudo sebagai gantinya. Perintah ini memungkinkan pengguna yang terdaftar di grup
roda untuk meningkatkan hak istimewa mereka dan menjalankan perintah sebagai pengguna
root.
4. Ubah parameter penuaan kata sandi untuk pengguna jamesc agar berakhir dalam 60
hari.
5. Ubah parameter riwayat kata sandi untuk mengingat tiga kata sandi terakhir dan
panjang kata sandi hingga minimum delapan karakter.
6. Daftar aturan firewall dan simpan salinannya. Petunjuk: Anda mungkin menemukan
file konfigurasi dan perintah berikut berguna:

 sshd_confg 
 login.defs 
 group 
 change 
 system-auth 
 iptables

Shell Scripting CHAPTER 10

Overview 
Dalam bab-bab sebelumnya, kami melihat beberapa tugas umum yang terkait dengan
administrasi sistem. Dimulai dengan pengantar peran administrator sistem di Bab 2, bab-bab
berikutnya telah memperkenalkan kontrol teknis yang digunakan untuk memerangi ancaman
keamanan dan upaya yang diperlukan setelah terjadi pelanggaran keamanan.
Dalam bab ini, kami akan memperkenalkan Anda cara untuk menangani tugas-tugas yang
terkadang rumit dan sering berulang, yang diperlukan untuk administrasi sistem yang efektif.
Shell BASH menyediakan mekanisme untuk membuat skrip - aplikasi yang dibangun dari
beberapa aplikasi baris perintah - untuk menyelesaikan tugas-tugas kompleks. Di akhir bab
ini, Anda harus tahu:

 cara menulis skrip shell BASH sederhana

 penggunaan elemen pemrograman umum (variabel, loop, dll)
 bagaimana menangani interaksi pengguna
 cara menggunakan alat UNIX umum untuk mem-parsing dan memanipulasi file teks

Pengantar

Pengetahuan dasar tentang skrip shell diperlukan bagi siapa pun yang ingin menyelesaikan
tugas administrasi sistem umum, mengaudit keamanan sistem, atau mengimplementasikan
banyak kontrol yang telah kita bahas dalam bab-bab sebelumnya. Skrip Shell digunakan
untuk mengotomatiskan proses di seluruh sistem Unix, mulai dari layanan jaringan saat boot
hingga mengonfigurasi lingkungan shell pengguna selama login. Bab ini hanya akan menjadi
pengantar skrip shell. Untuk memulai, kami akan membuat skrip yang dimaksudkan sebagai
contoh struktur dan prosedur umum yang digunakan dalam semua skrip shell. Kemudian
dalam bab ini, kita akan menggabungkan beberapa elemen umum ini untuk menunjukkan
otomatisasi proses yang akan terlalu memakan waktu untuk dilakukan secara manual atau
perlu diulang di masa depan.
Apa sebenarnya skrip dan bagaimana bedanya dengan program yang ditulis dalam bahasa
pemrograman lain yang mungkin Anda kenal seperti C # atau Java? Perbedaan paling penting
antara skrip dan program yang ditulis dalam bahasa seperti Java adalah skrip tidak harus
dikompilasi ke dalam file biner untuk dijalankan. Script ditafsirkan dan dikonversi menjadi
kode biner yang diperlukan saat run-time. Karena proses kompilasi dihilangkan,
mengembangkan aplikasi dengan bahasa scripting umumnya lebih cepat daripada dengan
bahasa yang dikompilasi; namun, bisa ada penalti performa saat kode dieksekusi. Ada
beberapa bahasa scripting populer yang digunakan, termasuk PHP, Python, dan Ruby. Tidak
seperti skrip yang ditulis dalam bahasa-bahasa ini, skrip shell tidak memerlukan program juru
bahasa untuk mengubah skrip menjadi biner. Script shell ditafsirkan secara langsung oleh
proses shell; BASH dalam kasus kami, tetapi salah satu kerang populer lainnya dapat
digunakan.
Jadi, bagaimana kita menulis skrip shell? Pada dasarnya, skrip shell adalah daftar perintah
yang disimpan dalam file teks yang dapat kita jalankan dengan memanggil program BASH

pada baris perintah:

Ini menghemat upaya Anda mengetik ulang daftar perintah setiap kali Anda perlu
menyelesaikan tugas. Namun, dengan menambahkan satu baris ke bagian atas skrip dan
mengubah izin fle agar dapat dieksekusi, kita dapat mengubah daftar perintah ini menjadi
perintah:
Perintah chmod mengatur bit yang dapat dieksekusi untuk pemilik file. Semua yang lain tidak
akan dapat menjalankan skrip. Baris pertama dari versi skrip ini (#! / Bin / bash)
memberitahu sistem operasi bahwa file ini harus dikirim ke program yang ditentukan untuk
diproses. Kami juga telah menambahkan komentar ke skrip. Setiap baris yang dimulai dengan
tanda pound (#) diabaikan oleh penerjemah BASH sebagai komentar. Komentar membantu
Anda mendokumentasikan cara kerja skrip, terutama jika Anda bekerja dengan logika yang
kompleks. Anda dapat menambahkan komentar yang menjelaskan apa yang harus dilakukan
pernyataan tertentu dan apa output yang diharapkan. Komentar juga memungkinkan Anda
untuk menambahkan informasi penting tentang skrip seperti penulis dan tanggal modifikasi
terakhir.

Setelah baris ini ditambahkan ke bagian atas file teks, Anda dapat mengatur izin untuk
membuat file tersebut dapat dieksekusi dan Anda telah membuat aplikasi khusus yang baru.
Anda dapat menggunakan langkah-langkah ini untuk membuat skrip untuk serangkaian
perintah yang perlu Anda ulangi secara teratur. Selain itu, panjang daftar perintah tidak
masalah - Anda dapat memiliki daftar seratus perintah atau hanya satu. Sering kali
merupakan ide yang baik untuk membuat skrip untuk satu perintah jika beberapa opsi baris
perintah diperlukan untuk menyelesaikan suatu tugas, seperti dengan curl atau wget.

Pengalihan output

Kami telah melihat bagaimana cara menyimpan banyak program ke dalam satu file skrip,
tetapi ada cara lain untuk mengintegrasikan beberapa program baris perintah untuk
menyelesaikan tugas yang kompleks. Output dari satu perintah dapat digunakan sebagai input
untuk perintah lainnya, menciptakan jumlah skrip pada satu baris. Ini dimungkinkan karena
penggunaan stream dari arsitektur UNIX. “Aliran tidak lebih dari urutan byte yang dapat
dibaca atau ditulis menggunakan fungsi pustaka yang menyembunyikan detail perangkat
yang mendasarinya dari aplikasi. Program yang sama dapat membaca dari, atau menulis ke
terminal, fle, atau soket jaringan dengan cara yang tidak tergantung pada perangkat
menggunakan stream. ”1 Ada tiga stream I / O standar:

• Input Standar (stdin) menyediakan input dari keyboard.

• Output Standar (stdout) menampilkan output dari perintah ke layar.
• Standard Error (stderr) menampilkan pesan kesalahan ke layar.

Alur I / O ini dapat dengan mudah dialihkan ke BASH, memungkinkan Anda membaca input
dari file, bukan keyboard, mengirim satu (atau keduanya) stream output ke program lain
sebagai input, atau menyimpan output ke file. Operator pipa (|) menghubungkan aliran stdout
dari satu program ke stdin dari program lain. Sebagai contoh, kami akan mencantumkan
semua perintah di / usr / bin yang berisi kata "gnome" di filename:

[alice@sunshine ~]$ ls -l /usr/bin | grep gnome

Ketika Anda menjalankan perintah ini, Anda akan menerima sekitar 50 fles
sebagai hasilnya. Bagaimana jika Anda hanya menginginkan tiga hasil pertama?
Anda dapat menyalurkan output dari grep ke perintah lain:

Operator pengalihan (>) digunakan untuk mengirim output ke file alih-alih

menampilkannya di layar. Anda juga dapat menambahkan data ke file yang ada
menggunakan >> operator:
Menggunakan banyak program kecil secara berurutan alih-alih aplikasi tunggal, kompleks
adalah pusat dari desain Unix. Pengembang asli sistem pengalihan I / O di Unix, Doug
McIlroy, menyimpulkannya dengan cara ini: “Ini adalah filosofi Unix: Menulis program yang
melakukan satu hal dan melakukannya dengan baik. Menulis program untuk bekerja bersama.
Menulis program untuk menangani aliran teks, karena itu adalah antarmuka universal.

Manipulasi teks

Karena penggunaan dan manipulasi aliran teks sangat penting untuk menulis skrip BASH,
kami akan menghabiskan sedikit waktu pada aplikasi baris perintah yang berspesialisasi
dalam memanipulasi aliran teks. Bersama-sama, perintah-perintah ini adalah "pisau swiss-
army" dari manipulasi teks, menyediakan segalanya mulai dari penyortiran file hingga
konversi kasus dan digunakan di hampir setiap skrip BASH tanpa memandang ukuran.

Cut 

Anda akan sering menemukan diri Anda berurusan dengan data kolom yang menggunakan
beberapa bentuk pemisah, seperti tab atau koma, untuk membatasi setiap kolom dalam
kumpulan data. Perintah cut memungkinkan Anda untuk mengurai setiap baris file data dan
hanya mengekstrak kolom yang Anda butuhkan. Untuk contoh ini, kami akan menggunakan
file Comma-Separated Value (CSV) yang diekspor dari Excel yang memiliki bidang berikut:
nama depan, nama belakang, nama pengguna, dan alamat email. Untuk mengekstrak alamat
email untuk semua pengguna:

Christine,Riggs,christine.riggs,christine.riggs@sunshine.edu

Lindsay,Fishbein,lindsay.fishbein,lindsay.fishbein@sunshine.edu

[alice@sunshine ~]$ cut -d, -f4 /opt/book/scripting/users.csv

ian.cook@sunshine.edu

christine.riggs@sunshine.edu

lindsay.fishbein@sunshine.edu

...

Kita juga bisa mengembalikan beberapa kolom dan menyaring output dengan
menggabungkan perintah cut dengan grep:

[alice@sunshine ~]$ cut -d, -f1,2,4 /opt/book/scripting/users.csv |

grep john

John,Jayavelu,john.jayavelu@sunshine.edu

Jennifer,Johnson,jennifer.johnson@sunshine.edu

John,Altier,john.altier@sunshine.edu

...

Seperti yang Anda lihat, itu kembali kolom pertama, kedua, dan keempat dan hanya
mengembalikan catatan yang berisi string “john.”

Sort

Perintah Sort melakukan persis seperti yang disiratkan namanya – ia mengurutkan baris dari
sebuah berkas teks:

[alice@sunshine ~]$ cat /opt/book/scripting/words.txt

eyes

record

explosive

spice

prison

videotape

leg

ice

magnet

printer

[alice@sunshine ~]$ sort /opt/book/scripting/words.txt

explosive

eyes
ice

leg

magnet

printer

prison

record

spice

videotape

Berhati-hatilah bahwa urutan default mengasumsikan data teks, oleh karena itu-n beralih
harus diberikan jika Anda menyortir data numerik:

[alice@sunshine ~]$ sort /opt/book/scripting/numbers.txt

1002

1234567

356

8675309

99

[alice@sunshine ~]$ sort -n /opt/book/scripting/numbers.txt

99

356
1002

1234567

8675309

uniq

Melanjutkan tren perintah sederhana yang dinamai sesuai fungsinya, uniq menghapus garis
duplikat dari file teks. Uniq hanya mencari garis yang berdekatan untuk menemukan duplikat,
jadi masukan harus diurutkan terlebih dahulu:

[alice@sunshine ~]$ cat /opt/book/scripting/duplicates.txt

apple

banana

orange

orange

kiwi

banana

kiwi

apple

[alice@sunshine ~]$ sort /opt/book/scripting/duplicates.txt | uniq

apple

banana

kiwi

orange

tr
Perintah TR menggantikan Daftar karakter yang ditentukan dengan set karakter kedua atau
menghapus (-d) mereka dari aliran input. Untuk mengganti x, y, dan z untuk semua
kemunculan a, b, dan c dalam file teks:

[alice@sunshine ~]$ cat /opt/book/scripting/original.txt The quick

brown fox jumps over the lazy dog.
[alice@sunshine ~]$ cat /opt/book/scripting/original.txt | tr
"abc"

"xyz"

The quizk yrown fox jumps over the lxzy dog.

[alice@sunshine ~]$ cat /opt/book/scripting/original.txt|tr -d "abc"

The quik rown fox jumps over the lzy dog.

Yang lebih umum digunakan fungsi TR adalah mengkonversi teks huruf kecil ke huruf besar
dan sebaliknya:

[alice@sunshine ~]$ cat /opt/book/scripting/original.txt | tr "[:lower:]"

"[:upper:]"

THE QUICK BROWN FOX JUMPS OVER THE LAZY DOG.

[: Lower:] dan [: Upper:] adalah set karakter; digunakan sebagai cara cepat
untuk menentukan semua huruf besar dan kecil, masing-masing. Lihat
halaman manual untuk TR (Man tr) untuk daftar lengkap rangkaian karakter
yang tersedia.

Variables

Variabel adalah representasi dari sepotong data (nomor, nama file, string teks, dll) yang
tersimpan dalam memori komputer. Untuk membuat variabel baru, Anda hanya perlu
menyediakan nama variabel dan data yang diwakilinya: nilainya

[alice@sunshine ~]$ myVariable=20

[alice@sunshine ~]$ echo $myVariable

20

Tidak ada spasi yang diizinkan sebelum atau setelah = saat menetapkan nilai. Oleh karena itu,
semua tugas akan menjadi salah:
[alice@sunshine ~]$ myVariable =  20

[alice@sunshine ~]$ myVariable =20

[alice@sunshine ~]$ myVariable=  20

Anda juga dapat menetapkan teks atau bahkan variabel lain sebagai nilai variabel.

[alice@sunshine ~]$ hello="Hello World"

[alice@sunshine ~]$ world=$hello

[alice@sunshine ~]$ echo $hello

Hello World

[alice@sunshine ~]$ echo $world

Hello World

Jadi, Anda dapat menetapkan output dari perintah sebagai nilai variabel dengan melampirkan
perintah dalam $ (), yang dikenal sebagai ekspansi perintah.

[alice@sunshine ~]$ now=$(date)

[alice@sunshine ~]$ echo $now

Wed Dec 19 10:41:40 EST 2012

Table 10.1Arithmetic operators in BASH

Operato
r Description Example Result
+ Addition $((5 + 5)) 10
− Subtraction $((5 − 1)) 4
* Multiplication $((3 * 2)) 6
/ Division $((10/2)) 5
% Modulus (Remainder) $((10 % 3)) 1
** Exponent $((6 ** 2)) 36
Anda juga dapat melakukan aritmatika dasar dengan bilangan bulat (bilangan bulat) di BASH
dengan menggunakan konstruksi $ (()), yang dirujuk sebagai arithmetic expansion. Daftar
operasi aritmatika yang dapat dilakukan oleh BASH tercantum dalam tabel 10,1.

[alice@sunshine ~]$ myVariable=20

[alice@sunshine ~]$ myBigVariable=$(( $myVariable * 100 ))

[alice@sunshine ~]$ echo myBigVariable

2000

[alice@sunshine ~]$ echo $(( $myBigVariable +  1 ))

2001

Quoting

Melampirkan variabel dalam tanda kutip ganda ("") tidak mempengaruhi penggunaannya.
Namun, tanda kutip tunggal (' ') akan menyebabkan nama variabel yang digunakan secara
harfiah bukannya mengganti nilai variabel.

Listing 3: /opt/book/scripting/quoting

#! /bin/bash

name=Alice

echo "My name is $name and the date is $(date +%m-%d-%Y)"

echo 'My name is $name date is $(date +%m‒%d‒%Y)'

[alice@sunshine ~]$ /opt/book/scripting/quoting

My name is Alice and the date is 12-19-2012
My name is $name and the date is $(date +%m-%d-%Y)

Seperti yang bisa Anda lihat, penggunaan tanda kutip tunggal di baris kedua mencetak nama
variabel literal sementara substitusi variabel terjadi pada string pertama. Juga, perhatikan
bahwa tanggal saat ini digantikan dengan $ (date +% m −% d −% Y) tanpa harus menetapkan
nama variabel. Perintah yang disertakan dalam $ () dijalankan setiap kali mereka ditemui
dalam skrip dan nilainya ditentukan secara dinamis.

Environment variables
Beberapa variabel dibuat secara otomatis ketika Anda login atau memulai jendela terminal
baru. Variabel lingkungan ini memegang nilai default dan preferensi pengguna untuk
terminal saat ini SES-Sion. Untuk melihat daftar variabel lingkungan dan nilainya, gunakan
perintah env:

[alice@sunshine ~]$ env

HOSTNAME=sunshine.edu

SHELL=/bin/bash

USER=alice

PATH= (/usr/lib/qt-3.3/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/
sbin:/usr/sbin:/sbin:/home/alice/bin ...

PWD=/home/alice

TERM=xterm

Anda akan melihat beberapa layar data dalam hasil, sebagian besar yang aplikasi-spesifik,
tetapi ada beberapa yang layak disebutkan (tabel 10,2).

Variabel ini dapat digunakan dalam baris perintah seperti variabel biasa:

[alice@sunshine ~]$ echo "My name is $USER and my current directory

is $PWD"

My name is alice and my current directory is /home/alice

Kita juga bisa memanfaatkan variabel ini dalam skrip shell kita. Misalnya, lihat listing 4.

Listing 4: /opt/book/scripting/env_variable_example

#! /bin/bash

echo "Hello $USER"

echo "You are calling this program from $PWD"

echo "Your home directory is $HOME"

Karena variabel environment dibuat secara otomatis oleh BASH, kita dapat memiliki output
dinamis berdasarkan pengguna yang mengeksekusi script. Berikut adalah output ketika
pengguna Alice menjalankan script ini:

[alice@sunshine Desktop]$ /opt/book/scripting/env_variable_example

Hello alice

You are calling this program from /home/alice/Desktop Your home

directory is /home/alice

Dan inilah hasilnya ketika Bob menjalankannya:

[bob@sunshine tmp]$ /opt/book/scripting/env_variable_example Hello

bob

You are calling this program from /tmp

Your home directory is /home/bob

Tabel 10,2 Variabel umum environment

USER Pengguna saat ini
HOM
E Direktori Home dari pengguna saat ini
PWD Direktori saat ini
Daftar direktori (colon-separated) bahwa Shell akan mencari melalui ketika mencari 
PATH aplikasi

Variabel PATH berbeda dari variabel lingkungan lain yang kita telah melihat. Daripada
digunakan sebagai bagian dari perintah, nilai dalam variabel PATH digunakan langsung oleh
BASH shell itu sendiri. Ketika seorang pengguna input sebuah perintah, seperti Firefox untuk
memulai browser web, BASH mencari perintah yang berurutan di setiap direktori yang
terdaftar di PATH. Anda dapat menggunakan perintah yang untuk melihat demonstrasi
pencarian dalam tindakan:

[alice@sunshine ~]$ which firefox /usr/bin/firefox

[alice@sunshine ~]$ which ThisProgramDoesNotExist /usr/bin/which: no

ThisProgramDoesNotExist in (/usr/lib/qt-

3.3/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/sbin:/usr/sbin:/sbin
:/ home/alice/bin)

Built-in variables
Selain variabel lingkungan, BASH juga mendefinisikan beberapa variabel dengan nilai yang
berguna; secara kolektif mereka disebut sebagai built-in variabel. Variabel built-in
menyediakan berbagai macam fungsi kecil, dari pelaporan pada jenis perangkat keras server
sedang berjalan untuk mengembalikan status perintah terakhir yang dikeluarkan. Ada lusinan
built-in variabel untuk memilih dari (Lihat pria BASH halaman untuk daftar lengkap), tapi
kami akan bekerja dengan subset kecil (tabel 10,3).
Skrip dalam Listing 5 adalah contoh bagaimana ini dapat digunakan.

Listing 5: /opt/book/scripting/builtin_variable_example

#! /bin/bash

echo "This script is executing with process ID: $$"

echo "OS: $OSTYPE Hardware: $MACHTYPE"

echo "This is he current date and time:"

date

echo "The exit value from date was $?"

echo "This command should fail:"

ls -l NoFile

echo "The exit value was $?"

echo "Wait 2 seconds"

sleep 2

echo "Here are 3 random numbers:"

echo $RANDOM

echo $RANDOM

Table 10.3 Built-in variables

Mengembalikan status Exit dari perintah terakhir. 0 berarti keberhasilan, nilai lainn
$? menunjukkan kesalahan. Arti dari setiap nilai adalah aplikasi khusus.
$$ Mengembalikan nomor id skrip yang sedang berjalan.
$MACHTYPE Mengembalikan arsitektur perangkat keras yang digunakan.
$OSTYPE Mengembalikan sistem operasi yang sedang digunakan.
$SECONDS Mengembalikan jumlah detik skrip saat ini telah berjalan.
$RANDOM Mengembalikan angka acak antara 0 dan 32767.

echo $RANDOM

echo "Wait 3 seconds"

sleep 3

echo "This script has run for $SECONDS seconds"

[alice@sunshine ~]$ /opt/book/scripting/builtin_variable_example 

This script is executing with process ID: 10380 OS: linux-gnu
Hardware: i386-redhat-linux-gnu

This is the current date and time:

Wed Dec 19 11:41:40 EST 2012

The exit value from date was 0

This command should fail:

ls: cannot access NoFile: No such file or directory

The exit value was 2

Wait 2 seconds

Here are 3 random numbers:

10549

319

20535

Wait 3 seconds

This script has run for 5 seconds

Conditionals

Pada bagian terakhir, kita memperkenalkan $? variabel dan itu mengembalikan nilai keluar
dari Run perintah terakhir. Bagaimana jika Anda ingin mengambil satu tindakan jika perintah
berhasil ($? sama dengan 0) dan tindakan lain jika gagal? Seperti bahasa pemrograman
lainnya, BASH menyediakan konstruksi yang menguji satu set kondisi tertentu dan bertindak
berdasarkan hasil tes.

If/then

Bentuk paling dasar bersyarat adalah konstruk if/then. Perintah if memeriksa nilai keluar dari
serangkaian pernyataan perbandingan. Jika nilai keluar sama dengan nol, perintah di Stanza
kemudian dieksekusi. Seluruh konstruksi diakhiri dengan perintah Fi.

#! /bin/bash

if [ "$USER" =  "alice" ]

then

echo "Good Morning, Alice!"

fi

Jika pengguna menjalankan skrip ini memiliki username Alice ("$USER" =

"Alice"), Echo com-mand dieksekusi. Jika nama pengguna mereka adalah
sesuatu yang lain, script selesai tanpa mengeksekusi perintah apapun.

Sintaks if/then membangun di BASH sedikit berbeda dari kebanyakan bahasa Pro-gramming
lainnya. Kesalahan yang paling umum ketika menulis pernyataan if/then di BASH tidak
3

memisahkan elemen dengan spasi.

Anda harus menaruh spasi di antara tanda kurung siku dan if serta di sekitar pernyataan
perbandingan di dalam tanda kurung. Kebanyakan bahasa lainnya lebih mengampuni dalam
penggunaan white space. Salah satu dari upaya ini pada pernyataan jika akan gagal dan error:

if["$USER" =  "alice"]

if ["$USER" =  "alice"]

if[ "$USER" =  "alice" ]

Perbedaan lain dalam penggunaan if/then di BASH dibandingkan dengan bahasa lain adalah
bahwa perbandingan string seperti contoh di atas menggunakan operator yang berbeda (=)
dari perbandingan numerik (-EQ) akan. Bagan berikut memiliki daftar operator perbandingan
dengan contoh penggunaannya.

Operator Comparison Example

For the usage examples:
X=5
Y=“RED”
-eq Sama dengan (integer) if [ $X -eq 5 ]
-ne Tidak sama dengan (integer) if [ $X -ne 3 ]
-gt Lebih besar kemudian (integer) if [ $X -gt 2 ]
-lt Kurang dari (integer) if [ $X -lt 10 ]
-ge Lebih dari atau sama dengan (integer) if [ $X -ge 4 ]
-le Kurang dari atau sama dengan (integer) if [ $X -le 7 ]
= Sama dengan (string) if [ “$Y” = “RED” ]
!= Tidak sama dengan (string) if [ “$Y” != “BLUE” ]

If/then/else

Jika Anda ingin mengambil satu tindakan jika pernyataan bersyarat benar dan tindakan yang
berbeda jika itu adalah palsu, you'xcept bahwa untuk perintah tambahan di Stanza lain yang
akan dieksekusi jika kondisinya tidak terpenuhi. /opt/Book/scripting/number_guess_v1
adalah contoh dari dasar konstruk if/the.else. Kami akan membangun contoh dasar ini untuk
mengembangkan aplikasi yang lebih kompleks selama sisa bab.

Listing 6: /opt/book/scripting/number_guess_v1

#! /bin/bash

guess=2

number=$(( ( $RANDOM % 100 ) +  1 ))

#Is the guess correct?

if [ $guess -eq $number ]

then

echo "Correct Guess: The number is $number"

else

# Is the guess high?

if [ $number -lt $guess ]

then

echo "Guess lower: The number is less than $guess"

fi

 Is the guess
low? if [ $number
-gt $guess ] then

echo "Guess higher: The number is greater than $guess"

fi fi

Karena guess sama dengan 2 dan nomornya adalah 5, yang pertama pernyataan if/then akan
selalu salah (kami akan menambahkan user-supplied guesses kemudian di Bab), dan program
harus selalu mengeksekusi kode di Stanza lain. Pada titik ini, script melakukan sesuatu yang
kita tidak pernah lihat sebelumnya: nested-if statement.
Nested-if statement hanyalah statement if/then normal di dalam statement if atau else lainnya.

if [ condition1 ]

then

echo "condition1 is true"

else

#Nested-if statement

if [ condition2 ]

then

echo "condition2 is true"

else

echo "Neither condition is true"

fi

fi

Jika condition1 benar, Bagian lain dilewati, sehingga pernyataan nested-if tidak dieksekusi
sama sekali dan tidak ada tes yang dijalankan di Condition2. Namun, jika condition1 tidak
benar, nested-if dijalankan dan Condition2 dicentang. Dalam script number guessing, karena
guess kurang dari 5, yang pertama dari dua pernyataan nested-if akan kembali benar dan
harus mencetak guess Higher: angka lebih besar dari 2. Kita dapat menjalankan script untuk
menguji output:

[alice@sunshine ~]$ /opt/book/scripting/number_guess_v1 

Guess higher: The number is greater than 2

If/then/elif

Konstruks terakhir kita adalah if/then/elif. Elif adalah kontraksi dari "else if" dan merupakan
alternatif untuk struktur else-if. Contoh dari atas dapat ditulis dengan menggunakan Elif
sebagai berikut:

if [ condition1 ]

then

echo "condition1 is true"

elif [ condition2 ]
then

echo "condition2 is true"

else

echo "neither condition is true"

fi

Beberapa Stanza Elif dapat ditambahkan ke jika pernyataan jika ada lebih dari dua kondisi
untuk diperiksa. Sebagai contoh, kami akan memperbarui script number guessing sebagai
/opt/Book/scripting/number_guess_v2

Listing 7: /opt/book/scripting/number_guess_v2

#! /bin/bash

guess=2

number=$(( ( $RANDOM % 100 ) +  1 ))

#Is the guess correct?

if [ $guess -eq $number ]

then

echo "Correct guess: The number is $number"

# Is the guess high?

elif [ $number -lt $guess ]

then

echo "Guess lower: The number is less than $guess"

# Is the guess low?

elif [ $number -gt $guess ]

then

echo "Guess higher: The number is greater than $guess"

fi

Penggunaan Elif bukannya pernyataan nested-if membuat kode sedikit lebih pendek dan lebih
mudah dibaca. Kita dapat menjalankan kode untuk memverifikasi bahwa mengembalikan
hasil yang sama:

[alice@sunshine ~]$ /opt/book/scripting/number_guess_v2 Guess

higher: The number is greater than 2

User input

Nilai untuk semua variabel dalam skrip yang kita telah melihat sejauh ini hardcoded. Mereka
didefinisikan dalam skrip itu sendiri dan satu-satunya cara nilai dapat diubah adalah dengan
memodifikasi script. Dalam banyak kasus, ini baik, tetapi Anda mungkin juga ingin nilai
yang disediakan oleh pengguna. Ada dua cara untuk menerima masukan dari pengguna:
command line arguments dan the read command.

Command line arguments

Seperti perintah lain yang Anda jalankan di jendela Terminal, BASH script dapat menerima
argumen Program. Argumen secara otomatis disimpan dalam variabel khusus ketika
mengeksekusi program. Variabel diberi nama dengan angka dalam urutan argumen yang
diberikan pada baris perintah:

Listing 8: /opt/book/scripting/user_input_ex1
#! /bin/bash

echo "The first argument: $1"

echo "The second argument: $2"

echo "The third argument: $3"

[alice@sunshine ~]$ /opt/book/scripting/user_input_ex1

42 "Hello World" Earth

The first argument: 42

The second argument: Hello World

The third argument: Earth

Perhatikan bahwa argumen kedua terdiri dari dua kata ("Hello World"). Tanda kutip di
sekitar kelompok kata memberitahu BASH bahwa ini adalah argumen tunggal.

Jadi, sekarang kita bisa menerima argumen dari baris perintah, tapi bagaimana kita bisa
memastikan bahwa jumlah argumen yang benar dimasukkan? BASH termasuk variabel
khusus lain, $ #, yang menyimpan jumlah argumen yang dimasukkan. Hal ini memungkinkan
Anda untuk menguji jumlah argumen yang dimasukkan terhadap jumlah yang diharapkan dan
mencetak pesan error jika uji gagal.

Listing 9: /opt/book/scripting/user_input_ex2

#! /bin/bash

if [ $# -eq 3 ]

then

echo "The first argument: $1"

echo "The second argument: $2"

echo "The third argument: $3"

else

echo "Three arguments are required!"

fi

[alice@sunshine ~]$
/opt/book/scripting/user_input_ex2 42 Earth Three
arguments are required!

Reading user input

Pilihan lain untuk memasukkan input pengguna ke dalam skrip Anda adalah perintah Read.
membaca jeda eksekusi skrip sampai pengguna memasukkan nilai dan menekan kembali.
Untuk mendemonstrasikan penggunaan Read, kita akan mengupdate script menebak angka:

Listing 10: /opt/book/scripting/number_guess_v3

#! /bin/bash

#Prompt for user input

echo "Enter a number between 1 and 100 and press [ENTER]: "

read guess

number=$(( ( $RANDOM % 100 ) +  1 ))

#Is the guess correct?

if [ $guess -eq $number ]

then

echo "Correct guess: The number is $number"

# Is the guess high?

elif [ $number -lt $guess ]

then

echo "Guess lower: The number is less than $guess"

# Is the guess low?

elif [ $number -gt $guess ]

then
echo "Guess higher: The number is greater than $guess"

fi

[alice@sunshine ~]$ /opt/book/scripting/number_guess_v3

Enter a number between 1 and 100 and press [ENTER]: 15
Guess lower: The number is less than 15

Loops

Salah satu aspek yang paling berguna BASH Scripting (dan pemrograman komputer pada
umumnya) adalah kemampuan untuk mengurangi tugas berulang ke beberapa perintah
sederhana. Daripada mengetik perintah yang sama atau serupa berulang-ulang, loop
memungkinkan Anda untuk menulis perintah yang ingin Anda jalankan sekali dan kemudian
memiliki shell mengulanginya. Kami akan bekerja dengan dua jenis loop tersedia dalam
script BASH:

1. for loops – Loop ini mengulangi perintah menggunakan daftar item input yang
diberikan
2. while loops – Loop ini mengulangi perintah sementara kondisi tertentu benar

For loops

Untuk loop adalah yang paling dasar dan yang paling umum digunakan perulangan
membangun dalam script BASH. A for loop iterasi atas daftar item, mengeksekusi perintah
yang terkandung dalam loop selama setiap iterasi. Ketika para intepretor BASH mencapai
kata kunci "Done," itu melompat kembali ke awal loop dan memulai iterasi berikutnya.
Selama setiap berturut-turut melewati loop, nilai loop variabel (var dalam contoh berikut)
diubah ke elemen saat ini dalam daftar. /opt/Book/scripting/for_loop_example1 adalah
contoh sederhana untuk loop:

Listing 11: /opt/book/scripting/for_loop_example

#! /bin/bash

for var in "item1" "item2" "item3"

do

echo "The current item is $var"

#More commands could be added here

done
Ketika dijalankan, Anda dapat melihat bahwa nilai perubahan $var dengan setiap iterasi:

[alice@sunshine ~]$ /opt/book/scripting/for_loop_example1

The current item is item1

The current item is item2

The current item is item3

Selain mencantumkan setiap item pada baris perintah, Anda juga dapat
menggunakan output perintah sebagai daftar item untuk mengulangi.

Listing 12: /opt/book/scripting/for_loop_example2

#! /bin/bash

for word in $(head -3 /opt/book/scripting/words.txt)

do

echo "Original word: $word"

echo "All uppercase: $(echo $word | tr '[:lower:]' '[:upper:]')"

done

[alice@sunshine ~]$ /opt/book/scripting/for_loop_example2

Original word: eyes

All uppercase: EYES

Original word: record

All uppercase: RECORD

Original word: explosive

All uppercase: EXPLOSIVE

Seperti yang Anda lihat, tiga baris pertama di/opt/Book/scripting/Words.txt (mata, catatan,
eksplosif) digunakan sebagai daftar item untuk mengulang. Perintah pertama dalam lingkaran
adalah pernyataan Echo sederhana, mencetak nilai $word, tapi perintah kedua adalah sedikit
lebih kompleks. Dalam perintah ini, kami disalurkan nilai variabel $word ke TR dan
mengubah karakter huruf kecil menjadi huruf besar (echo $word | TR ' [: Lower:] ' ' [:
Upper:] '), output dari perintah tersebut kemudian dicetak ke layar.

Internal field separator

Ketika membaca output dari perintah di untuk loop, BASH menentukan pemisahan antara
setiap item dengan menggunakan variabel internal khusus $IFS, pemisah bidang internal.
Variabel berisi daftar karakter yang digunakan sebagai batas Lapangan; ketika salah satu
ditemukan, item baru untuk loop untuk dibuat. Nilai default di $IFS adalah karakter spasi
putih (spasi, tab, dan baris baru), namun daftar dapat dimodifikasi, misalnya, untuk mengurai
daftar yang dipisahkan koma atau mengabaikan salah satu default sebagai pemisah dan
memungkinkannya sebagai bagian dari item.

Listing 13: /opt/book/scripting/ifs_example1

!# /bin/bash

for line in $(tail -3 /etc/passwd)

do

echo $line

done

[alice@sunshine ~]$
/opt/book/scripting/ifs_example1
russell.dacanay:x:1648:100:"Russell
Dacanay

(Staff-Library)":/home/staff/russell.dacanay:/bin/bash
daniel.saddler:x:1649:100:"Daniel

Saddler

(Staff-Student Services)":/home/staff/daniel.saddler:/bin/bash

russell.lavigne:x:1650:100:"Russell Lavigne

(Staff-Academic Affairs VP
Office)":/home/staff/russell.lavigne:/bin/bash

Seperti yang dapat Anda lihat, menggunakan nilai default untuk $IFS, garis dari/etc/passwd
dipecah di tengah kolom kelima karena ruang atau spasi dalam teks Field tersebut. Untuk
masalah Fi, kami akan menetapkan $IFS hanya berisi ne ' \n.
Listing 14: /opt/book/scripting/ifs_example2

!# /bin/bash

#Change IFS to the newline character only

IFS=$’\n’

for line in $(tail -3 /etc/passwd)

do

echo $line

done

[alice@sunshine ~]$ /opt/book/scripting/ifs_example1

russell.dacanay:x:1648:100:"Russell Dacanay (Staff-Library)": \

/home/staff/russell.dacanay:/bin/bash

daniel.saddler:x:1649:100:"Daniel Saddler (Staff-Student Services)":

\

/home/staff/daniel.saddler:/bin/bash

russell.lavigne:x:1650:100:"Russell Lavigne (Staff-Academic Affairs

VP

Office)": \

/home/staff/russell.lavigne:/bin/bash

Bukan berarti backslash (\) pada output di atas adalah karakter kelanjutan baris, yang
digunakan karena outputnya terlalu panjang untuk dicetak pada satu baris. Jika Anda
menjalankan script di mesin virtual Linux Anda, Anda akan menemukan garis dengan
backslash dan satu setelah dicetak sebagai satu baris.

Sequences

Anda akan sering perlu untuk mengeksekusi sebuah tindakan tertentu beberapa kali atau
menggunakan urutan num-Bers sebagai masukan untuk sebuah loop. Sejak versi 3.0, 4 BASH
telah menyertakan built-in sintaks untuk generat-ing urutan angka sebagai masukan untuk
untuk loop. Urutan nomor dikelilingi oleh kurung kurawal ({}) dan argumennya dipisahkan
oleh dua titik (..). Urutan dapat dibuat dengan menggunakan dua atau tiga argumen-jika dua
argumen diberikan, yang pertama adalah nilai awal dan yang kedua adalah nilai akhir. Loop
ini kemudian dieksekusi menggunakan setiap bilangan bulat dari awal hingga nilai akhir.

Listing 15: /opt/book/scripting/sequence_example1

#!/bin/bash

for number in {1..5}

do

echo $number

done

[alice@sunshine ~]$ /opt/book/scripting/sequence_example1

Anda juga bisa menambahkan angka ke belakang dengan mencantumkan angka yang lebih
tinggi sebagai nilai awal dan angka yang lebih rendah sebagai nilai akhir.

Listing 16: /opt/book/scripting/reverse_sequence

#!/bin/bash

for number in {10..1}

do

echo $number

done

[alice@sunshine ~]$ /opt/book/scripting/reverse_sequence

10

Jika tiga argumen diberikan,  argumen ketiga menentukan apa kenaikan antara setiap nomor
dalam seri harus.

Listing 17: /opt/book/scripting/sequence_example3

#!/bin/bash

for number in {1..10..2}

do

echo $number

done
[alice@sunshine ~]$ /opt/book/scripting/sequence_example3

7
9

Perhatikan bahwa "10" bukan bagian dari hasil yang dikembalikan. Hal ini karena urutan
nomor berisi semua angka yang kurang dari atau sama dengan nilai akhir. Karena urutan
incrementing oleh dua, nomor berikutnya dalam seri akan sebelas, tapi itu lebih besar dari
nilai akhir kita 10.

Break and continue

Dalam kondisi tertentu, Anda mungkin ingin menghentikan pemrosesan loop atau melompat
ke iterasi berikutnya dari pengulangan. Istirahat dan melanjutkan kata kunci memberikan
kemampuan ini. Istirahat kunci-kata berhenti pemrosesan loop, melewatkan setiap perintah
yang tersisa dalam iterasi saat loop, dan melewatkan semua item yang tersisa dalam daftar
masukan. Eksekusi script tidak terganggu; Namun, akan terus mengeksekusi perintah setelah
loop.

Listing 18: /opt/book/scripting/break_example

#!/bin/bash

for number in {1..5}

do

if [ $number -eq 4 ]

then

echo "Stop!"

break

fi

echo "$number"

done

echo "This command runs AFTER the loop is complete."

[alice@sunshine ~]$ /opt/book/scripting/break_example

1
2

Stop!

This command runs AFTER the loop is complete.

Perhatikan bahwa loop diproses seperti yang diharapkan untuk tiga angka pertama dalam
urutan. Ketika kondisi dalam pernyataan if ($number-EQ 4) terpenuhi, "Stop!" dicetak ke
layar, kata kunci Break tercapai, dan pelaksanaan loop berakhir. Sebagai contoh lain, kita
akan memperbarui jumlah script menebak untuk memberikan pengguna lima kesempatan
untuk menebak nomor dan istirahat jika nomor menebak awal.

Listing 19: /opt/book/scripting/number_guess_v4

#! /bin/bash

number=$(( ( $RANDOM % 100 ) +  1 ))

#Give the user 5 guesses

for loop in {1..5}

do

#Prompt for user input

echo "Enter a number between 1 and 100 and press [ENTER]: "

read guess

echo ""

#Is the guess correct?

if [ $guess -eq $number ]

then

echo "Correct guess: The number is $number"

echo "You guessed it in $loop tries"

break
# Is the guess high?

elif [ $number -lt $guess ]

then

echo "Guess number $loop"

echo "Guess lower: The number is less than $guess"

# Is the guess low?

elif [ $number -gt $guess ]

then

echo "Guess number $loop"

echo "Guess higher: The number is greater than $guess"

fi

end

[alice@sunshine ~]$
/opt/book/scripting/number_guess_v4 Enter a
number between 1 and 100 and press [ENTER]:
15

Guess number 1

Guess lower: The number is lower than 15

Enter a number between 1 and 100 and press [ENTER]: 3

Guess number 2

Guess higher: The number is higher than 3

Enter a number between 1 and 100 and press [ENTER]: 5

Correct guess: The number is 5

You guessed it in 3 tries

Kata kunci melanjutkan melompati perintah yang tersisa dalam iterasi loop saat ini dan
memulai iterasi berikutnya. Dalam contoh berikutnya, kita akan menggunakan kode yang
sama dari listing 13 tetapi mengganti kata kunci Break dengan melanjutkan.

Listing 20: /opt/book/scripting/continue_example

#!/bin/bash

for number in {1..5}

do

if [ $number -eq 4 ]

then

echo "Stop!"

continue
fi

echo "$number"

done

echo "This command runs AFTER the loop is complete."

[alice@sunshine ~]$ /opt/book/scripting/continue_example

Stop!

5
Perintah ini berjalan setelah loop selesai.
Perhatikan perbedaan output antara skrip ini dan skrip dalam listing 18. Sekali lagi, tiga
iterasi pertama dari loop diproses sesuai yang diharapkan dan kondisi pernyataan if terpenuhi
pada iterasi keempat. Namun, daripada keluar dari loop, pemrosesan berlanjut dengan iterasi
kelima (dan terakhir) loop.

While loops
Daripada beroperasi pada daftar item seperti untuk loop, while loop akan terus berjalan
sampai kondisi tertentu terpenuhi. Sebelum memulai iterasi loop, kondisi ini diuji. Jika
hasilnya benar, perintah di dalam loop dieksekusi. Jika false, loop dilewati dan skrip lainnya
dieksekusi.

Listing 21: /opt/book/scripting/while_loop_example1

#! /bin/bash

counter=1

while [ $counter -le 5 ]

do

echo $counter

$(( counter=$counter +  1 ))

done

[alice@sunshine ~]$ /opt/book/scripting/while_loop_example1

Seperti yang dapat Anda lihat, output dari perintah ini mirip dengan beberapa contoh
pengulangan yang telah kita bahas sebelumnya. Namun, script itu sendiri memiliki beberapa
perbedaan besar. Perbedaan pertama yang akan Anda perhatikan adalah tidak seperti saat
menggunakan for loop, kita mendefinisikan nilai awal dari variabel counter sebelum
mengeksekusi loop.

Ketika juru bahasa BASH mencapai sementara pernyataan, jika nilai saat ini dari counter
kurang dari atau sama dengan lima, perintah di dalam loop dieksekusi. Selama loop, nilai
yang disewakan CUR dari counter dicetak ke layar dan kemudian meningkat satu ($ ((counter
= $counter + 1))). Pada titik ini, nilai penghitung diuji lagi dan jika masih kurang dari atau
sama dengan lima, loop terus.

Saat menulis skrip, Anda mungkin perlu membuat pengulangan tak terbatas: loop yang
berlanjut hingga pengguna secara eksplisit mengakhiri skrip. Mereka biasanya digunakan
ketika Anda perlu memonitor sesuatu secara berkala, seperti ukuran file atau jumlah
pengguna yang masuk. Untuk membuat loop tak terbatas, Anda akan membuat loop
sementara yang kondisi tesnya selalu dievaluasi sebagai True. Anda dapat melihat
penggunaan loop tak terbatas untuk memantau ukuran berkas log (/var/log/httpd/access_log)
dalam listing 14. Dengan setiap iterasi, waktu file diperiksa dan ukuran file log dicetak ke
layar. Script akan loop sampai pengguna keluar dari script, baik dengan menekan "CTRL"
dan e.

Listing 22: /opt/book/scripting/while_loop_example2

#! /bin/bash

echo "This script will loop forever. Hit Control+C (CTRL+C) to

exit."

while [ true ]

do

sleep 2

echo ""

date

echo " $(wc -l /var/log/httpd/access_log)"

done

[alice@sunshine ~]$
/opt/book/scripting/while_loop_example2 This
script will loop forever. Hit Control+C (CTRL+C)
to exit.

Fri Jan 4 08:11:00 EST 2013

7 /var/log/httpd/access_log
Fri Jan 4 08:11:02 EST 2013
7 /var/log/httpd/access_log
Fri Jan 4 08:11:04 EST 2013
8 /var/log/httpd/access_log
Fri Jan 4 08:11:06 EST 2013
9 /var/log/httpd/access_log

Untuk menguji skrip ini, Anda harus membuka peramban web dan mengunjungi
http://sunshine.edu setelah memulai skrip. Jumlah entri dalam berkas log akan meningkat
setiap kali Anda memuat halaman web.

Putting it all together

Anda sekarang telah melihat potongan dasar dari shell script; Mari kita lihat script yang
menggunakan elemen manusia untuk mengotomatisasi proses di semua pengguna pada
sistem. Mesin virtual Linux disertakan dengan teks ini memiliki lebih dari 1.000 account,
terlalu banyak untuk mendukung dengan tangan. Skrip ini mengekstrak informasi penting
untuk setiap akun dan menampilkannya dalam format yang mudah dibaca.

Listing 23: /opt/book/scripting/user_info

#! /bin/bash

#This script returns import information about all users on the

system

#Example line from /etc/passwd #alice:x:501:501:Alice

Adams:/home/alice:/bin/bash
for user in $(cut -d: -f1 /etc/passwd)

do

IFS=$’\n’

#Grab the line from the password file that #contains

this user’s info. We append the #delimiter (:) to
ensure we only get results #for this username and not
similar users userinfo=$(grep $user: /etc/passwd)

comment=$(echo $userinfo | cut -d: -f5)

home=$(echo $userinfo | cut -d: -f6)

groups=$(groups $user | cut -d: -f2)

#We only want this to run on "regular" users, #not system

accounts. Skip users that do not #have '/home' in the
path to their home directory
if [ $(echo "$home" | grep -v '/home/') ] then

continue

fi

echo "Username: $user"

echo "User Info: $comment"

echo "Home Directory: $home"

echo "Groups: $groups"

echo "Disk usage: $(du -sh $home)"

last=$(last $user | head -1)

if [ $( echo $last | wc -c ) -gt 1 ]

then

echo "Last login: "

echo "$last"

else

echo "User has never logged in!"

fi

echo ""

echo "--"

echo ""

done

[alice@sunshine ~]$ /opt/book/scripting/user_info

Username: alice

User Info: Alice Adams

Home Directory: /home/alice

Groups: alice sys

Disk Usage: 75M /home/alice

Last login:

Alice pts/3 sunshine.edu Sun Jan 13 12:22 - 13:00 (0:48)

--

Username: bob

User Info: Bob Brown

Home Directory: /home/bob

Groups: bob

Disk Usage: 1.1M /home/bob

Last login:

bob pts/6 sunshine.edu Sun Jan 6 16:48 - 18:46 (1:58)

--

Mari kita lihat script ini secara mendalam. Dalam beberapa baris pertama, kita mengatur loop
menggunakan semua username pada sistem ini. Username selalu kolom pertama
di/etc/password.

for user in $(cut -d: -f1 /etc/passwd)

do

Untuk setiap akun, kita mencari file/etc/password untuk menemukan informasi account untuk
pengguna.

IFS=$’\n’

userinfo=$(grep $user: /etc/passwd)

Bagian berikutnya dari skrip menggunakan dipotong untuk memisahkan kolom dari informasi
akun ke variabel yang dapat digunakan. Ini juga menggunakan perintah Groups untuk
mendapatkan daftar kelompok pengguna adalah anggota dan du command untuk menghitung
jumlah penyimpanan direktori Home yang mereka gunakan.
comment=$(echo $userinfo | cut -d: -f5)

home=$(echo $userinfo | cut -d: -f6)

groups=$(groups $user | cut -d: -f2)

echo "Username: $user"

echo "User Info: $comment"

echo "Home Directory: $home"

echo "Groups: $groups"

echo "Disk usage: $(du -sh $home)"

Bagian akhir dari script menggunakan perintah terakhir untuk mendapatkan

login terbaru untuk pengguna ini. Jika pengguna tidak pernah login, hasil dari
terakhir akan menjadi baris kosong dan skrip akan menampilkan pesan
kesalahan. Jika pengguna telah login, terakhir kali pengguna telah login dan
durasi sesi login yang ditampilkan.

last=$(last $user | head -1)

if [ $( echo $last | wc -c ) -gt 1 ]

then

echo "Last login:"

echo $last

else

echo "User has never logged in!"

fi

Example case – Max Butler

Pada 1998, Max Butler adalah 26 tahun komputer antusias, menghasilkan lebih dari
$100/Jam untuk menguji keamanan klien korporat sembari menjadi relawan untuk San
Francisco kantor FBI. Tahun itu, kelemahan keamanan kritis ditemukan di server DNS open-
source yang paling popular di internet – BIND.
BIND digunakan pada hampir semua server untuk memetakan URL seperti "www.usf.edu"
ke alamat IP seperti 131.247.88.80. Cacat akan memungkinkan hacker untuk mendapatkan
kontrol penuh dari setiap server menjalankan versi terlindungi BIND. Secara khusus, hampir
semua server Departemen Pertahanan AS menjalankan BIND. Jika server ini harus dilindungi
dari penyerang, mereka harus ditambal sebelum penyerang sampai ke mereka. Tetapi
birokrasi militer bisa lambat. Bagaimana seorang ahli keamanan yang bersangkutan dengan
semua tidak bersalah 20 tahun untuk memperbaiki masalah secepatnya?

Masukkan skrip. Script dapat beroperasi pada kecepatan komputer dan menginstruksikan
ratusan komputer setiap detik untuk men-download patch dan memperbaiki diri. Max Butler
melakukan hal itu, menyusun script yang terletak setiap server menjalankan versi patch Bind
dan memperbarui dengan patch yang ditentukan. Sementara ia berada di itu, Max juga
memodifikasi patch sehingga menciptakan backdoor bahwa hanya Max sadar. Dengan cara
ini, Max berpikir ia melindungi komputer dari penyerang, sementara pada saat yang sama,
memberinya akses tak terbatas ke komputer yang sama sehingga ia bisa masuk dan
memperbaiki mereka semua sendiri waktu berikutnya kerentanan dilaporkan. Tidak perlu
membuang-buang waktu menghubungi administrator DoD.

Perbuatan baik bekerja, tapi sayangnya untuk Max, backdoor tidak terlihat baik. Ketika
administrator sistem DoD ditemukan tentang hal itu, mereka dituntut Max. Pada tanggal 21
Mei 2001, Max dikirim ke penjara selama 18 bulan untuk perbuatan.

Ini bukan kuas terakhir Max dengan Cybercrime atau penjara. Dia kemudian melanjutkan
untuk memerintah mayoritas pasar kartu kredit online terlarang. Pada 12 Februari 2010, ia
dijatuhi hukuman 13 tahun penjara atas pelanggaran tersebut, maka hukuman terpanjang yang
pernah diberikan untuk kejahatan komputer. Hal ini kemudian terhalang oleh kalimat
diberikan kepada Albert Gonzales untuk T.J. Maxx kasus. Max saat ini sedang menjalani
hukuman di kamp penjara federal Yankton, sebuah aspek keamanan minimum di South
Dakota. Ia dijadwalkan akan dirilis pada 1/1/2019. CNBC menghasilkan sebuah file kasus
segmen pada dirinya, yang disebut "American Greed".

REFERENCES

http://www.wired.com/techbiz/people/magazine/17-01/ff_max_
http://www.cnbc.com/id/100000049 butler?currentPage = all

Poulsen, K. “Kingpin: how one hacker took over the billion-dollar

cybercrime underground,” Random House.

SUMMARY
Bab ini memperkenalkan Anda ke shell script dan utilitas mereka. Script adalah salah satu
alat yang paling kuat di gudang setiap IT profesional, dan terutama sehingga untuk keamanan
informasi profesional. Dengan disiplin, seorang profesional dapat menggabungkan semua
pengalaman profesional mereka ke dalam repertoar skrip untuk digunakan kembali pada saat
itu pemberitahuan. Kami telah mencoba untuk menggunakan use case yang menarik untuk
memperkenalkan topik dan berharap Anda akan terinspirasi untuk mengembangkan script
Anda sendiri untuk mengotomatisasi tugas-tugas berulang dalam sehari-hari Anda bekerja.

Apple pengembang Perpustakaan memiliki sangat consice dan ditulis dengan baik bab untuk
memperkenalkan Shell Scripting disebut shell scripting primer.

CHAPTER REVIEW QUESTIONS

1. Apa itu Shell Scripting?

2. Apa yang digunakan untuk scripting shell? Mengapa ini membantu?

3. Apa perbedaan penting antara scripting LAN-guages dan bahasa komputer lainnya?

4. Apa baris pertama dari setiap skrip BASH?

5. Apa yang terjadi ketika berkas skrip tidak memiliki izin eksekusi bagi pengguna yang
mencoba menjalankan skrip?

6. Apa yang dimaksud dengan pengalihan output? Mengapa berguna?

7. Karakter apa yang mengalihkan output satu perintah menjadi masukan dari yang lain?

8. Bagaimana Anda bisa mengirim output dari sebuah script ke file? Bagaimana ini
dapat berguna?

9. Akankah echo "$PATH" dan Echo ' $PATH ' memiliki hasil yang sama?

10. Simbol apa yang digunakan BASH untuk perkalian?

11. Karakter apa yang dimulai setiap komentar dalam sebuah script BASH?

12. Apa perintah cut lakukan?

13. Apa fungsi perintah Sort?

14. Apa fungsi perintah uniq?

 15. Manakah dari penetapan variabel ini yang benar?

o myVariable = 35

o myVariable = 35

o myVariable= 35

o myVariable =35

16. Karakter apa yang membaca data dari file dan menggunakannya sebagai input untuk
perintah lain?

17. Apa itu variabel lingkungan? Bagaimana itu bisa berguna?

18. Apa yang dimaksud dengan variabel bawaan? Bagaimana mereka berbeda dari
variabel lingkungan?

19. Apa nilai dari $?  jika perintah terakhir yang dieksekusi, berhasilkah diselesaikan?

20. Bagaimana Anda bisa mengumpulkan input pengguna dari skrip?

21. Variabel apa yang akan mengembalikan argumen kedua yang diberikan pada skrip
pada command line?

22. Apa itu pemisah bidang internal? Apa yang dimaksud dengan nilai default?
Bagaimana itu dapat dimodifikasi? Mengapa Anda dapat melakukannya?

23. Apa urutan angka {1.. 10.. 3} ?

24. Apa yang dimaksud dengan loop? Mengapa mereka berguna?

25. Kapan pengulangan sementara berakhir?

EXAMPLE CASE QUESTIONS

1. Apa beberapa instansi yang terpengaruh oleh skrip Max?

2. Max Butler mengklaim bahwa ia memasang backdoor pada komputer yang

terpengaruh sebagai langkah jinak sehingga ia bisa memperbaiki komputer di masa
depan sendirian. Bagaimana Anda bereaksi terhadap klaim ini, yaitu, sejauh mana
Anda percaya bahwa klaim ini membebaskan dia dari rasa bersalah?
HANDS-ON ACTIVITY – BASIC SCRIPTING

Kegiatan ini dimasukkan untuk menunjukkan pengetahuan Anda tentang perintah dan
teknik scripting yang dipelajari dalam bab ini. Menggunakan mesin virtual Linux Anda konfi
gured di Bab 2, membuka jendela Terminal dengan memilih "System Tools" panel di bawah
"Applications" menu. Setelah menyelesaikan setiap latihan, kirimkan screenshot output ke
instruktur anda.
1. Simpan output dari /opt/book/scripting/user_info menjadi file text. Namai dengan
/opt/book/scripting/results/exercise1

2. Tulis skrip (namai dengan /opt/book/scripting/results/exercise2) dimana:

 Daftar semua file di direktori/usr/bin yang namanya mengandung "saya"
 Simpan daftar file ke/tmp/senam SE1.txt
 Menampilkan jumlah file yang ditemukan untuk pengguna  

3. Tulis skrip (namai dengan /opt/book/scripting/results/exercise3) dimana:

 Meminta pengguna untuk panjang dan lebar (dalam feet) dari ruangan persegi panjang
 Menghitung luas ruangan
 Menampilkan hasil kepada pengguna

4. Tulis skrip (namai dengan /opt/book/scripting/results/exercise4) dimana:

 Menghitung mundur dari 10 ke 1
 Menampilkan nomor saat ini
 Pause untuk 1 detik antara angka
 Menampilkan teks "LIFT OFF" setelah mencapai nomor 1  

5. Buat copy dari /opt/book/scripting/while_loop_example1 (namai dengan

/opt/book/scripting/results/exercise5) dan mdoifikasi menjadi:
 Tanya user untuk angka maksimumnya
 Tampilkan semua meskipun melebihi angka maksimum

6. Buat copy dari /opt/book/scripting/number_guess_v4 (namai dengan

/opt/book/scripting/results/exercise6) dan memperbaruinya untuk memberikan
pengguna sebanyak mungkin yang diperlukan untuk menebak nomor.

7. Buat copy dari /opt/book/scripting/user_info (namai dengan /

opt/book/scripting/results/exercise7) dan update menjadi: 
 Accept a username as a command line argument 
 Instead of displaying the account information for all accounts, output only the
information for this account
Pengumpulan: Serahkan semua file di direktori/opt/Book/scripting/Results ke
instruktur anda. 

CRITICAL THINKING EXERCISE – SCRIPT SECURITY

Scripting adalah utilitas yang hebat. Tapi kita akan lalai dalam sebuah buku tentang
keamanan informasi jika kita tidak mengingatkan anda untuk masalah keamanan penting
dengan skrip. Halaman pengembang Apple memiliki informasi tentang keamanan skrip shell.
Highlights termasuk berikut:
 Jika semua (absolut) jalur perintah tidak dispesifi, skrip mungkin berakhir
menjalankan kode berbahaya yang memiliki nama yang sama sebagai perintah dipanggil dari
skrip
 Jika input pengguna diterima tanpa verifikasi, aknowledgeable pengguna dapat
memanfaatkan script ' s privilleges. Oleh karena itu, sejauh mungkin, input pengguna harus
digunakan hanya jika cocok dengan satu set nilai yang diizinkan.
 Skrip tidak harus menentukan apakah pengguna memiliki hak yang diperlukan untuk
menjalankan skrip. Pengguna memanggil skrip dapat mengubah variabel lingkungan untuk
mengalahkan pemeriksaan tersebut.

REFERENCE

Apple Corp. , “ Shell scripting primer ,”

http://developer.apple.com/library/mac/#documentation/OpenSource/Conceptual/
ShellScripting/ShellScriptSecurity/ShellScriptSecurity.

html#//apple_ref/doc/uid/TP40004268-CH8-SW1 (accessed 07/19/2013)

SHELL SCRIPTING QUESTIONS

1. Jika script terutama untuk digunakan oleh administrator sistem ahli, mengapa Anda
harus peduli tentang keamanan dalam kode script?

2. Mengapa berbahaya untuk mengeksekusi skrip sebagai pengguna root?

DESIGN CASE

Anda dipanggil untuk menyelidiki kemungkinan istirahat di sebuah kotak Ubuntu Linux. File
log menyimpan informasi login ssh yang menarik. Berikut ini adalah cuplikan file Auth. log.
File lengkap tersedia pada mesin virtual Linux
sebagai/opt/Book/scripting/design_cas/Auth.log.

Feb 17 08:00:08 inigo sshd[7049]: Failed password for root from  61.136.171.198 port 59146
ssh2 
Feb 17 08:00:09 inigo sshd[7049]: Received disconnect from  61.136.171.198: 11: Bye Bye
[preauth] 
Feb 17 08:00:16 inigo sshd[7051]: pam_ unix(sshd:auth): authentication 
failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=61.136.171.198  user=root 
Feb 17 08:00:18 inigo sshd[7051]: Failed password for root from  61.136.171.198 port 59877
ssh2 
Feb 17 08:00:19 inigo sshd[7051]: Connection closed by 61.136.171.198  [preauth] 
Feb 17 08:17:01 inigo CRON[7296]: pam_ unix(cron:session): session opened for user root
by (uid=0) 
Feb 17 08:17:01 inigo CRON[7296]: pam_ unix(cron:session): session  closed for user root

1. Membuat script yang menampilkan alamat IP (tanpa duplikat) dari semua server yang
mencoba untuk login dan gagal untuk login sebagai pengguna ' root ' bersama dengan jumlah
kali setiap server berusaha untuk log in. Urutkan hasil dengan jumlah login gagal.

2. Membuat skrip yang menampilkan semua nama akun dan yang mencoba yang tidak
ada di server ini (Petunjuk: Cari frasa ' gagal sandi untuk pengguna tidak valid ') dan alamat
IP yang mencoba berasal dari. Urutkan daftar secara alfabetis dan jangan sertakan garis
duplikat.

3. Membuat skrip yang akan membaca berkas (IP. txt) yang berisi daftar IP dan
mencoba untuk menyelesaikan sepenuhnya Qualifi Ed domain name (FQDN) dengan
perintah ' host '. FQDN adalah versi mnemonic manusia alamat IP, seperti www.google.com
atau my.usf.edu. Script harus menyimpan IP dan FQDN (atau ' UNKNOWN ' jika IP tidak
dapat diselesaikan), satu set per baris, koma-dipisahkan, ke file bernama FQDN. TX.

CHAPTER 11: INCIDENT HANDLING

Introduction

Dalam bab ini kita akan membungkus banyak konsep dan ide yang kita tinjau dalam bab
masa lalu ke dalam narasi dari sebuah insiden. Penanganan insiden adalah segi keamanan
penting, karena melibatkan meminimalkan efek buruk dari insiden pada aset, menerapkan
kontrol yang diperlukan untuk mengurangi eksposur aset ke ancaman yang ada, dan akhirnya
mengembalikan layanan IT dengan dampak sesedikit mungkin bagi organisasi. Pada akhir
bab Anda harus dapat:
 Mengidentifikasi komponen utama dari berurusan dengan insiden
 Pahami siklus hidup penanganan insiden
 Siapkan kebijakan dasar yang menguraikan metodologi untuk penanganan insiden
 Gunakan bahan yang terlihat sejauh ini untuk mengidentifikasi dan
mengklasifikasikan insiden dengan benar
 Memutuskan kapan harus memulai proses penahanan dan Pemberantasan insiden
 Laporan insiden tersebut untuk meningkatkan persiapan untuk insiden serupa di masa
depan
 Mengetahui unsur-unsur pemulihan bencana dan perencanaan kelangsungan bisnis

Incidents Overview

Menurut NIST 800-61 rev2, insiden keamanan komputer adalah pelanggaran atau ancaman
yang segera melanggar kebijakan keamanan komputer, kebijakan penggunaan yang dapat
diterima, atau praktik keamanan standar. Contoh insiden meliputi:

 Penyerang perintah botnet untuk mengirim volume tinggi permintaan sambungan ke

server web organisasi anda, menyebabkan crash. 
 Beberapa pengguna di organisasi anda tertipu untuk membuka "laporan kuartalan"
yang dikirim melalui email yang sebenarnya adalah malware; menjalankan alat telah
menginfeksi komputer mereka dan menjalin koneksi dengan host eksternal. 
 Penyerang memperoleh data sensitif dan mengancam CEO Anda bahwa rincian akan
dirilis secara terbuka jika organisasi tidak membayar jumlah uang yang ditetapkan. 
 Pengguna memberikan atau memaparkan informasi sensitif kepada orang lain melalui
layanan berbagi file peer-to-peer.  

Dalam bab sebelumnya, kami telah menghilangkan komponen masalah keamanan informasi
termasuk ancaman, aset, dan karakteristik mereka serta beberapa tindakan umum yang
diambil untuk meminimalkan masalah keamanan informasi. Sayangnya, meskipun upaya
terbaik Anda, penyusup cenderung menemukan cara untuk menciptakan masalah bagi Anda.
Kami menyebutnya insiden. Untuk merespon insiden, hal ini berguna untuk mengembangkan
beberapa prosedur standar dan memperbaiki prosedur ini berdasarkan pengalaman Anda.
Kami memperkenalkan elemen penting dari prosedur penanganan insiden dalam bab ini.

Incident Handling
Bagaimana seseorang pergi tentang penanganan insiden? Anda telah melihat pratinjau
masalah yang dihadapi dalam menanggapi insiden ketika Anda menghadapi masalah server
email mahasiswa dalam kasus desain di bagian awal buku ini. Melihat ke belakang, langkah
apa yang harus Anda lakukan untuk menanggapi insiden itu? Bagaimana dengan infeksi
virus, atau defacement halaman web? Apakah ada tindakan umum untuk respon yang tepat
untuk semua insiden ini?
Sementara beberapa prosedur yang berkaitan dengan setiap insiden dapat bervariasi, proses
keseluruhan tetap sama. Ini dijelaskan di NIST 800-61 Rev. 2, dan melibatkan 4 langkah
dasar:    
1. Preparation    
2. Detection and analysis    
3. Containment, eradication, and recovery    
4. Postincident analysis

 
  

Dalam organisasi yang paling efektif, langkah ini tidak berdiri sendiri. Sebaliknya, mereka
adalah bagian dari siklus yang mengulangi sendiri setiap kali organisasi menghadapi kejadian
yang merugikan.
Di bagian lain dari bab ini, kita akan membahas elemen penanganan insiden khas, mengikuti
prosedur NIST.   

Reference example – Incident handling gone bad

 
Hari ini, dengan tingkat profesionalisme yang tinggi di dunia TI, itu adalah kultus yang
perpindahan sulit untuk Fi nd contoh penanganan insiden yang sangat buruk. Untungnya bagi
kita, pada 26 Juni 2013, Inspektur Jenderal untuk Departemen Perdagangan AS merilis
Laporan Audit yang sangat buruk ditangani insiden di administrasi pembangunan ekonomi
(EDA), unit yang relatif kecil di Departemen AS Perdagangan, dengan anggaran tahunan
sekitar $460.000.000 di 2012. 
Singkatnya, pada tanggal 6 Desember 2011, Departemen Keamanan dalam negeri
memperingatkan EDA dan National Oceanic and Atmospheric Administration (NOAA) dari
potensi malware dalam sistem TI mereka. NOAA Fi saya masalah dan membawa kembali
sistem yang terkena dampak ke dalam operasi dengan 12 Januari 2012, yaitu, sekitar 35 hari
setelah peringatan awal.
Sebaliknya, EDA, takut infeksi luas dan keterlibatan negara-aktor potensial, bersikeras pada
jaminan penghapusan malware pada semua sistem. Dalam upaya ini, itu menghabiskan lebih
dari $2.700.000 di biaya remediasi, termasuk lebih dari $1.500.000 dalam layanan dari
kontraktor TI. Ini lebih dari separuh Total anggaran TI EDA untuk tahun ini. Bahkan lebih
menarik, itu membayar $4.300 kepada kontraktor untuk menghancurkan secara fisik
$170.500 dalam peralatan IT. Peralatan IT hancur termasuk printer, TV, kamera, desktop,
mouse, dan bahkan keyboard.
Kehancuran yang nakal hanya berhenti karena pada tanggal 1 Agustus 2012, EDA telah
kehabisan dana untuk upaya destruktif. Oleh karena itu EDA dihentikan penghancuran
komponen TI yang tersisa, senilai lebih dari $3.000.000. EDA dimaksudkan untuk
melanjutkan aktivitas destruktif sekali dana untuk kehancuran tersebut menjadi tersedia.
Semua ini, hanya untuk menghapus malware rutin yang mempengaruhi dua dari sekitar 250
komponen IT (misalnya desktop, laptop, dan server).
Insiden ini adalah font contoh untuk apa yang bisa salah pada hampir setiap tahap proses
penanganan insiden. Kita akan menggunakan contoh di seluruh bab untuk mengilustrasikan
apa yang bisa salah. Insiden akan lucu, jika bukan karena pajak kita sendiri membayar untuk
hasil yang tidak bahagia ini.
 
References
 
US Department of Commerce, OIG Final Report, “ Economic Development Administration
Malware Infections on EDA’ s Systems Were Overstated and the Disruption of IT Operations
Was Unwarranted, ” OIG-13-027-A, June 26, 2 013,  h
ttp://www.oig.doc.gov/OIGPublications/ OIG-13-027-A.pdf (accessed 07/14/2013)

Preparation 

Persiapan adalah langkah pertama dalam pembuatan rencana respons insiden. Persiapan
melibatkan lebih dari sekadar duduk di sekitar mencoba untuk berpikir tentang semua
kemungkinan ancaman skenario yang dapat mempengaruhi atribut dari aset sesuai Spesifi c,
dan respon yang tepat untuk masing-masing skenario ini. Daripada mencoba untuk
sepenuhnya siap untuk menangani semua jenis tindakan ancaman terhadap semua aset yang
berbeda, itu lebih produktif untuk mengidentifikasi langkah dasar yang umum untuk semua
peristiwa, dan merencanakan pelaksanaan masing-masing langkah ini.
 
Creating a policy for incident response  

Dalam persiapan insiden, langkah pertama adalah untuk membuat kebijakan seputar respon
insiden dan mendapatkan kesepakatan manajemen atas kebijakan.  Kebijakan tanggapan
insiden menjelaskan metode standar yang digunakan oleh organisasi untuk menangani
insiden keamanan informasi. Hal ini mungkin menyerang banyak sebagai dokumen yang
tidak perlu tetapi sangat penting untuk mengeksekusi terlebih dahulu. Hal ini karena
kebijakan akan membantu Anda fokus pada insiden secara keseluruhan, dari awal sampai
akhir, tanpa mendapatkan dialihkan oleh media dan tekanan organisasi, termasuk
konsekuensi yang mungkin dari setiap kontrol sementara Anda mungkin harus menempatkan
di tempat untuk mengandung atau memberantas ancaman. Sebagai contoh, jika server web
Universitas Anda rusak, lebih baik memiliki kebijakan di tempat yang memungkinkan TI
untuk membawa situs web ke bawah selama yang diperlukan untuk menangani masalah,
daripada harus mendapatkan izin secara real time dari pemangku kepentingan untuk
melakukannya. Bahkan, sebagian besar pemangku kepentingan, termasuk pengguna situs web
akan merasa lebih meyakinkan untuk mengetahui bahwa Anda mengikuti prosedur standar
daripada mengetahui bahwa Anda mencari tahu apa yang harus dilakukan secara real time.
Diskusi yang terlibat dalam mengembangkan kebijakan respon insiden juga memberikan
manajemen dengan pemahaman tentang masalah yang mungkin harus berurusan dengan
selama insiden aktual.

Masukkan secara tertulis! " Ini adalah konsep penting dalam keamanan dan adalah sesuatu
yang semua manajer mengerti. Kesulitan dalam menerapkan kebijakan ini akan sangat
bervariasi dari organisasi ke organisasi.
Di University of South Florida, kebijakan resmi ditulis pertama, kemudian diperiksa oleh unit
TI internal dan Komite Pengarah, pindah ke General Counsel untuk proses pemeriksaan 8
minggu dengan entitas yang berbeda di kampus, dari kelompok persatuan fakultas untuk
manusia Sumber daya. Keuntungan dari proses yang ditarik keluar adalah bahwa hal itu juga
membantu untuk mempublikasikan kebijakan dan meningkatkan kesadaran keamanan. Dalam
organisasi lain, bagaimanapun, email sederhana kepada seorang eksekutif mungkin cukup
untuk melaksanakan kebijakan. Satu hal yang umum untuk kedua pendekatan, dan suatu
keharusan bagi setiap kebijakan, adalah dukungan dari manajemen puncak.  
Dan ini adalah mengapa Anda perlu memiliki sesuatu secara tertulis: jika Anda harus
menarik steker pada server karena data sensitif mungkin bocor karena hacker, Anda ingin
membuat benar-benar yakin seseorang telah Anda kembali.

Cakupan adalah bagian dari kebijakan respons insiden yang menentukan target kebijakan.
Disarankan bahwa ruang lingkup harus sempit dan ditentukan sedekat mungkin dengan apa
yang dapat dicapai. Elemen lingkup mencakup (a) aset yang dicakup oleh kebijakan; (b)
Apakah ada pengecualian terhadap kebijakan; (c) ada Departemen dalam organisasi Anda
dengan otonomi untuk menolak kepatuhan terhadap kebijakan; (d) dapat masing-masing
departemen menjadi lebih eksklusif/ketat dengan kebijakan mereka? Universitas, misalnya,
terkenal desentralisasi dalam hal sumber daya IT. Dalam organisasi tersebut, bahkan
mungkin perlu untuk mencoba untuk menemukan kesepakatan tentang ketika insiden
keamanan lokal menjadi keprihatinan seluruh organisasi.

Memiliki kebijakan saja tidak cukup. Semua orang yang terlibat harus tahu apa yang ada
dalam kebijakan. Dalam kasus EDA, seperti yang dinyatakan dalam laporan OIG.  
“DOC [staf] tidak memahami bahwa ada ekspektasi yang sudah ada dari layanan respons
insiden tertentu, seperti diuraikan dalam Perjanjian tingkat layanan (SLA) antara [DOC] dan
EDA. Perjanjian ini dengan jelas menyatakan [DOC ' s] berkewajiban Layanan tanggapan
insiden (misalnya, penyelidikan, forensik, dan reverse engineering) dan mendefinisikan
tanggung jawab respons insiden EDA (misalnya, melaporkan insiden dan berurusan dengan
dikarantina atau dihapus malware). Sejak [DOC] staf tidak memahami Perjanjian ini, mereka
tidak akurat diasumsikan EDA mampu melakukan kegiatan analisis insiden sendiri
(misalnya, menentukan tingkat infeksi malware).”

Incident response team 

Sama seperti organisasi telah menetapkan karyawan untuk fungsi sesuai Spesifi c, penting
untuk memiliki staf yang ditunjuk untuk merespon insiden. Anggota staf ini disebut Tim
respons insiden. Meskipun insiden keamanan tidak terjadi setiap hari, staf tanggapan insiden
yang ditunjuk mengembangkan pengalaman ke dalam harapan organisasi selama insiden.
Tujuan utama dari tim respon insiden adalah untuk melindungi infrastruktur komputasi
keseluruhan organisasi, dan karenanya anggotanya perlu menyadari keseluruhan arsitektur TI
organisasi. Tim bertanggung jawab untuk siklus penanganan insiden secara keseluruhan,
termasuk:
 Dengan cepat Indentifikasi ancaman terhadap infrastruktur data kampus 
 menilai tingkat risiko 
 segera mengambil langkah untuk mengurangi risiko yang dianggap penting dan
berbahaya bagi integritas sumber daya sistem informasi Universitas, 
 memberitahukan manajemen peristiwa dan risiko terkait, 
 memberitahu personil lokal dari setiap insiden yang melibatkan sumber daya
mereka, 
 laporan akhir yang diperlukan, termasuk pelajaran yang dipetik dari
Incident response team (IRT) memiliki beberapa peran sebelum, selama, dan setelah insiden.
Peran masing-masing anggota IRT harus menjadi bagian dari kebijakan respon insiden.
Sering kali, keanggotaan IRT akan melintasi batas Departemen, dan Manajer harus
memahami dan setuju bahwa, ketika dipanggil, anggota IRT akan ditarik dari proyek mereka
saat ini dan dialokasikan untuk IRT, terutama ketika datang ke fase isolasi Insiden.  
Dalam organisasi besar, mungkin ada kebutuhan untuk memiliki beberapa IRTs, satu dalam
setiap pembagian organisasi. Jika kerangka kerja tersebut diperlukan, penting bahwa
kelompok pusat bertanggung jawab untuk membuat keputusan keamanan ketika peristiwa
mulai melintasi batas-batas dari divisi yang terkena dampak asli. Sebagai contoh, infeksi
malware awalnya dilokalisasi ke komputer di College of Arts dapat mengancam integritas
jaringan secara keseluruhan jika daerah kampus lainnya juga terinfeksi. Isolasi dari infeksi di
perguruan tinggi dengan mengganggu akses dari perguruan tinggi ke seluruh jaringan
Universitas adalah sesuatu yang berada di bawah yurisdiksi kelompok IRT Pusat

Di University of South Florida, masing-masing unit dan Departemen diwajibkan oleh

kebijakan untuk memperingatkan IRT segera setelah aset diklasifikasikan "dibatasi" terlibat
dalam peristiwa buruk. Anggota tim respons insiden harus dibawa bersama segera setelah
insiden terdeteksi dalam Universitas. Setelah operasi normal dipulihkan, laporan harus
disampaikan kepada semua anggota IRT dan administrator sistem lokal, jelas menguraikan
sejauh mana pelanggaran, dan langkah yang diambil untuk menghindari insiden di masa
depan. Insiden ini akan ditinjau oleh kepala departemen keamanan TI sebagai bagian dari
program penilaian risiko berkelanjutan (penilaian risiko dibahas dalam bab 14).

IRT akan memiliki satu kursi, biasanya analis keamanan senior. Orang ini akan
mengkoordinasikan dan membantu anggota IRT lainnya untuk melakukan fungsi mereka
ketika berhadapan dengan insiden, dari komunikasi dengan manajemen, pengguna, personil
TI lainnya, vendor, ISP, dll. Kursi IRT mengontrol situasi seperti itu berkembang, terutama
dari perspektif teknis. Dengan demikian, sangat penting bahwa individu ini memiliki
kredibilitas tinggi dalam organisasi untuk kompetensi mereka, keterampilan komunikasi yang
sangat baik, baik lisan dan tertulis, cukup latar belakang teknis untuk memahami situasi, dan
untuk dapat membuat sepersekian detik, keputusan berpendidikan berdasarkan pembaruan
status yang diberikan kepadanya oleh anggota lain dari tim.  
Teknis anggota IRT dipilih tergantung pada ancaman tindakan. Sebagai contoh, jika
pangkalan data Oracle dilanggar karena akun administrator disusupi pada sistem operasi, IRT
dapat mencakup anggota berikut:
 Seseorang akrab dengan OS untuk melihat sistem OS dan log, atau setidaknya
ekstrak mereka untuk analisis oleh seseorang yang akrab dengan data forensik. 
 Database administrator untuk memeriksa Oracle database, konten, dan log untuk
mencoba menentukan apakah ada sesuatu yang diubah.
 Seorang insinyur jaringan untuk memeriksa firewall dan/atau netflow log untuk
mencoba mengamati lalu lintas yang luar biasa. 
 Personil layanan desktop dapat dipanggil jika mesin desktop menyediakan vektor
untuk akun admin supaya dikompromikan. 
Para IRT perlu kompeten dan organisasi perlu berinvestasi sebagaimana diperlukan
untuk membantu IRT mempertahankan kompetensi. Ketika jalan berubah jelek, IRT
adalah garis pertahanan utama. Contohnya di EDA, laporan OIG menyebutkan ini
mengenai Department of Commerce (DOC) IRT: 
  "Staf DOC CIRT yang tidak berpengalaman dan pengetahuan yang tidak memadai
atas kemampuan merespon insiden EDA menghalangi kemampuannya untuk
menyediakan layanan respon insiden yang memadai. Pengendali insiden yang
mengatur aktivitas respon insiden EDA memiliki sedikit pengalaman respon insiden,
tidak ada pelatihan respon insiden, dan tidak memiliki keterampilan yang memadai
untuk menyediakan layanan respon insiden. Karena kurangnya pengalaman,
pelatihan, dan keahlian, para penanggungjawab insiden meminta jaringan informasi
yang salah (contohnya melakukan analisis insiden yang salah), yang membuat EDA
percaya bahwa ia terinfeksi malware yang menyebar, dan menyimpang dari prosedur
respon insiden wajib. Kantor informasi kepolisian itu harus memastikan semua staf
DOC CIRT dapat merespon insiden minimum dari persyaratan." 
Tim Pendukung 
Dalam sebuah insiden, terjadi lebih banyak hal daripada penyelidikan teknis. Komunikasi
adalah aspek penting dari tugas IRT. Salah satu fitur khusus dari insiden sehubungan dengan
operasi IT adalah kepentingan ekstrim antara konstituen yang berbeda untuk informasi.
Sering kali kebutuhan informasi ini tidak konsisten satu sama lain. End user sangat tertarik
untuk mengetahui kapan layanan mereka akan dipulihkan. Compliance officers tertarik untuk
mengetahui apakah ada informasi yang bocor. Jika ada kemungkinan untuk memperluas
minat publik terhadap insiden ini, media akan segera tertarik pada komentar para eksekutif
paling senior organisasi ini sebelum acara berita berikutnya. Ketika Anda menerima
pertanyaan ini, sering kali Anda tidak akan memiliki cukup informasi untuk menanggapi
secara memuaskan (Gambar 11.1) 

Mengatur alur informasi adalah penting dalam posisi ini. Yang paling penting adalah
menolak godaan menyampaikan spekulasi sebagai pendapat "para pakar" yang terinformasi.
Meskipun berguna untuk mengenali insiden-insiden, khususnya yang mempengaruhi end
user, sebaiknya Anda mengikuti konsep “need-to-know.”. Need-to-know adalah prinsip
manajemen informasi di mana seseorang hanya disediakan informasi yang diperlukan untuk
membentuk pekerjaan mereka.
Need-to-know tidak berarti bahwa peristiwa seharusnya tetap rahasia. Sebaliknya, adopsi
yang konsisten dari need-to-know mengurangi panggilan yang tidak perlu bagi karyawan dari
manajer yang mencari informasi "istimewa". Pencari informasi bisa diarahkan ke situs web
atau saluran lain dengan spesifik dalam kebijakan tanggap insiden. Sebelum memperbaharui
informasi tersebut, IRT harus mempertimbangkan intervensi departemen hukum untuk
memutuskan apa yang akan diungkapkan dan bagaimana itu akan diungkapkan. Dalam hal
komunikasi dengan masyarakat umum, ada tiga badan hukum yang perlu dipertimbangkan:

 Hubungan Media: jika organisasi memiliki seperti sebuah departemen, semua

informasi dengan masyarakat di luar organisasi harus diarahkan melalui departemen ini.
Mereka memiliki pengetahuan dan pengalaman tentang cara menghadapi suatu peristiwa.
 Penasihat Hukum: departemen hukum akan memastikan apakah pengungkapan
informasi pemerintah federal atau negara berlaku pada peristiwa tertentu, terutama bila
menyangkut masalah kerahasiaan data. Pengungkapan yang tidak diinginkan mungkin
memiliki konsekuensi hubungan keuangan dan publik yang parah terhadap organisasi.
 Penegakan Hukum: universitas memiliki Polisi Universitas setempat. Tidak ada
lembaga penegak hukum di luar diizinkan untuk memasuki kampus, bahkan CIA atau FBI,
tanpa pengetahuan baik Polisi Universal maupun Penasihat Umum.
Langkah-langkah ini memperkecil kemungkinan menjelek-jelekkan, publisitas yang tidak
terinformasi, dan gangguan umum selama memberikan tanggapan positif dari insiden itu.

Need-to-know adalah umum dalam militer dan pengaturan spionase sebagai cara untuk
menjaga keselamatan personil. Jika musuh tahu bahwa seorang prajurit atau mata-mata
tidak memiliki informasi khusus, kecil kemungkinannya ia akan berinvestasi dalam
upaya untuk menangkap prajurit atau memata-matai itu.

Komunikasi 
Mari kita lihat di komunikasi, karena ini merupakan bagian penting dari tanggapan terhadap
sebuah insiden (Gambar 11.2).

Melaporkan sebuah insiden untuk menindaklanjuti Insiden dapat datang ke perhatian IRT
dalam berbagai cara.
Pada sebuah Laporan Langsung, pemilik aset atau penjaga dapat melaporkan kejadian itu
sendiri. Misalnya, katakanlah Anda mengembangkan kebiasaan yang baik untuk melihat
nomor identitas Anda di Google dari waktu ke waktu. Suatu hari, dengan cepat, kau
mendapatkan hasil. Sepertinya nomor itu ditemukan pada dokumen word dari kelas yang
dulu kau ambil di universitas sebelumnya. Sebagai pengguna yang berpengetahuan luas,
Anda mencari orang IT yang bertanggung jawab untuk sefgera mengamankan dan
melaporkan bahwa SSN Anda tak terlindungi.
Kemungkinan lainnya adalah Laporan Tak Dikenal. Organisasi biasanya menjaga proses
yang mana seseorang dapat melaporkan masalah anonim dan tidak takut akan balasan. Salah
satu contohnya seperti tuduhan bahwa seorang pejabat tinggi universitas mencetak materi
pornografi di pencetak universitas. Tuduhan ini akan membuat segala bentuk
mengingatkanmu akan kejahatan di universitas, mulai dari hubungan publik beresiko
pelecehan seksual dan penggunaan uang pajak yang tidak pantas. Dapat dimengerti jika jika
tuduhan itu benar, seorang karyawan tidak akan ingin melihat namanya terkait dengan
tuduhan seperti itu karena takut kehilangan pekerjaannya.
Media Bantuan mungkin juga terlibat dalam laporan ini. Mungkin, selama proses
menyelesaikan sebuah masalah, karyawan media bantuan menemukan sesuatu. Sebuah
kesalahan konfigurasi bersama drive jaringan, misalnya, memungkinkan terlalu banyak akses
untuk pengguna tanpa need-to-know. Mungkin Media Bantuan menerima laporan dari
pengguna yang menemukan sesuatu. Alasan kita harus menganggap Meida Bantuan sebagai
pelaporan terpisah karena biasanya media bantuan memiliki tiket masalah, yang mungkin itu
terlihat oleh sekelompok besar orang. Pertimbangkan seberapa banyak detail yang ingin Anda
lihat pada tiket Media Bantuan? Ini kembali ke kontrol pesan dan need-to-know.
Akhirnya, metode Self-Audit seperti jurnal periodik kerentanan dan analisis log dapat
mengakibatkan retak-retak permukaan yang harus ditangani. Salah satu contoh yang umum
adalah bahwa administrator yang menemukan pelanggaran karena beban CPU komputer
terlalu tinggi, menyebabkan masalah ketersediaan. Setelah administrator dipanggil untuk
menganalisis masalah, dengan cepat dan jelas bahwa proses FTP yang melarikan diri adalah
pihak yang bersalah. Situs FTP ini menyimpan file mp3 untuk peretas supaya dibagikan satu
sama lain dan itu sangat digunakan, menyebabkan beban CPU tinggi. Sayangnya, ini adalah
skenario yang terlalu umum. 

Pemberitahuan Sering kali, segera setelah sebuah insiden menjadi masalah, orang-orang
dalam organisasi akan mulai mengajukan pertanyaan. Hal ini terutama berlaku bagi mereka
yang terkena dampak peristiwa itu. Jika peristiwa ini mempengaruhi manajer dan pemimpin
eksekutif lainnya, tekanan untuk komunikasi cepat dan resolusi akan semakin besar. 
IT Personal dan IT Help Desk harus tetap terinformasi, khususnya bila peristiwa ini
mempengaruhi ketersediaan aset. Pengguna akan dengan cepat kewalahan Media Bantuan
dengan panggilan telepon jika acara melibatkan aset yang kritis kepada organisasi yang
dianggap "penting.". Pada lingkungan IT yang terdesentralisasi, seperti banyak penelitian
besar universitas di seluruh Amerika Serikat, organisasi-organisasi IT lainnya harus juga
diinformasikan untuk waspada. Misalnya, jika acara itu berupa serangan Denial of Service,
itu mungkin terjadi karena adanya kelemahan. Unit lain mungkin ingin melakukan
pemeriksaan darurat sebelum mereka juga menderita konsekuensi dari serangan DoS. 
Manajemen harus terus diperbarui. Itu benar-benar ide yang bagus untuk menginformasikan
kepada setiap manajer dan eksekutif lain secara berkala, bahkan jika tidak ada perubahan. Ini
akan menjaga telepon tidak berdering, bahkan panggilan langsung kepada insinyur yang
seharusnya mendedikasikan 100% dari upaya mereka untuk penahanan dan pemberantasan
masalah. Pesan singkat teks dan pesan singkat surel dengan status update sangat berguna
dalam situasi ini.
End users dan customers juga sangat tegang ketika mereka tidak tahu apa yang terjadi.
Selalu ada dua pertanyaan yang diajukan selama situasi ini: kapan sistem kembali, dan apa
yang terjadi. Kadang-kadang kedua pertanyaan itu sulit untuk dijawab. Pada  Desember 2013,
Facebook mengalami pemadaman besar-besaran di

Internet akibat persoalan DNS. Meskipun layanan itu sendiri turun hanya 15-25 menit,
pengguna di seluruh dunia merasa frustrasi dan bingung, seperti salah satu dari ribuan tweet
yang dikirim selama gangguan (Gambar 11.3).

Kita dapat kembali ke EDA teladan terpercaya kita untuk melihat kesalahan apa yang
dapat terjadi dengan komunikasi. Sebenarnya, bagian awal laporan tersebut
menyebabkan kegagalan terutama karena kegagalan komunikasi antara departemen
perdagangan dengan unit EDA. Dari laporan: 
DOC CIRT mengirimkan dua pemberitahuan insiden ke EDA. Dalam pemberitahuan
insiden pertama pada 7 Desember 2011, petugas insiden DOC CIRT meminta jaringan
mencatat informasi. Namun, alih-alih memberikan EDA daftar komponen yang
berpotensi terinfeksi, pengurus insiden keliru menyediakan EDA daftar yang berisi
146 komponen dalam batas jaringannya. Menerima pemberitahuan ini, unit anak
perusahaan, EDA meyakini bahwa mereka terkena infeksi malware berbahaya, yang
mempengaruhi semua komponen yang tercantum dalam 146 komponen.
Kesalahan DOC CIRT dalam membuat laporan di insiden kedua. Pada awal 8
Desember 2011, seorang anggota staf jaringan HCHB menginformasikan DOC CIRT
bahwa permintaan petugas insiden untuk pencatatan informasi jaringan tidak
mengidentifikasi komponen yang terinfeksi. Sebaliknya, respon itu hanya
mengidentifikasi komponen EDA yang berasal dari suatu bagian jaringan HCHB.
Anggota staf jaringan HCHB kemudian melakukan analisis yang tepat,
mengidentifikasi hanya dua komponen yang menunjukkan perilaku berbahaya dalam
peringatan US-CERT. Dengan informasi baru ini. DOC CIRT mengirim EDA
pemberitahuan insiden surel kedua pemberitahuan insiden kedua. 
Pemberitahuan insiden kedua DOC CIRT tidak jelas. Laporan insiden kedua dalam
DOC CIRT tidak jelas menjelaskan bahwa pemberitahuan insiden pertama tidak
akurat. Akibatnya, EDA percaya bahwa infeksi malware yang menyebar luas
 mempengaruhi sistem. Secara spesifik, pemberitahuan insiden kedua dimulai dengan
menyatakan informasi yang sebelumnya diberikan tentang insiden tersebut memang
benar.
EDA menafsirkan pernyataan itu sebagai konfirmasi pemberitahuan insiden pertama,
ketika petugas insiden DOC CIRT hanya bermaksud mengonfirmasikan EDA adalah
agensi yang diidentifikasi dalam waspada US-CERT. Tidak ada pemberitahuan atau
lampiran yang mana penangan insiden mengidentifikasi bahwa ada kesalahan atau
perubahan pada informasi yang sebelumnya tersedia. 
Meskipun lampiran pemberitahuan insiden diidentifikasi dengan tepat hanya 2
komponen yang menunjukkan perilaku mencurigakan - bukan 146 komponen yang
semula diidentifikasi DOC CIRT - nama dari lampiran pemberitahuan insiden kedua
yang sama persis dengan lampiran pemberitahuan pertama. Lampiran mengaburkan
klarifikasi. 

Kesalahpahaman DOC CIRT dan EDA berlanjut selama 5 minggu ke depan, meskipun
komunikasi tambahan terjadi antara DOC CIRT dan EDA. Setiap organisasi terus
memiliki pemahaman yang berbeda mengenai sejauh mana infeksi malware itu berada.
DOC CIRT percaya insiden itu hanya mempengaruhi dua
komponen, sedangkan EDA percaya bahwa insiden itu mempengaruhi lebih dari
setengah komponennya. Beberapa faktor berkontribusi pada penafsiran yang berbeda
ini:

 DOC CIRT beranggapan EDA paham bahwa pemberitahuan insiden keduanya

menggantikan laporan insiden pertama dan bahwa hanya ada 2 komponen yang
kemungkinan terinfeksi - bukan 146. Namun, DOC CIRT tidak menindaklanjuti untuk
memastikan apakah EDA mengerti informasi baru itu.
 EDA menanggapi pemberitahuan insiden kedua dengan menyediakan contoh
dari dua komponen (pada daftar identifikasi dalam pemberitahuan insiden pertama dan
yang menunjukkan perilaku berbahaya) untuk analisis forensik. DOC CIRT percaya
bahwa sampel itu merupakan dua komponen yang sama yang diidentifikasi dalam
pemberitahuan insiden kedua.
 Ketika DOC CIRT memastikan bahwa sampel dari 2 komponen yang terinfeksi
malware itu, EDA percaya bahwa DOC CIRT telah mengkonfirmasi infeksi malware
untuk semua 146 komponen yang tercantum dalam pemberitahuan insiden pertama.
 DOC CIRT tidak mempertahankan pemberitahuan insiden pertama yang
menunjukkan 146 komponen atau mendokumentasikan aktivitas respon insiden awal.
Oleh karena itu, ketika manajemen CIRT terlibat dalam aktivitas respon insiden,
mereka tidak bisa melihat bahwa kesalahpahaman telah terjadi.

 
Kepatuhan
Kepatuhan adalah tindakan mengikuti hukum, peraturan, aturan, kode industri, dan
kewajiban kontrak yang berlaku. Idealnya, tuntutan untuk memenuhi persyaratan adalah
praktik terbaik yang dikembangkan untuk menghindari kesalahan yang sudah diketahui
sebelumnya. Namun dalam praktiknya, kepatuhan sering kali penting karena
ketidakkepatuhan menyebabkan hukuman yang bisa dihindari. Bagaimanapun juga, Anda
perlu menyadari persyaratan kepatuhan apa pun yang berkaitan dengan respons peristiwa
yang cocok dengan konteks Anda dan bertindak yang sesuai. 
Sebagai contoh kepatuhan pada tanggap insiden, Federal Information Security Management
Act (FISMA) mensyaratkan agen-agen Federal untuk membangun kemampuan respon
1

insiden. Setiap lembaga sipil Federal diwajibkan untuk menunjuk titik kontak primer dan
sekunder (POC) dengan US-CERT, tim kesiapan darurat komputer Amerika Serikat, dan 2

melaporkan semua insiden yang konsisten dengan kebijakan respon insiden lembaga tersebut.
Sebagai contoh kepatuhan FISMA, ketika dikenal atau diduga kehilangan, pencurian, atau
com janji PII (informasi yang dapat diidentifikasi secara pribadi) yang melibatkan sistem
angkatan laut AS muncul, departemen angkatan laut diharuskan untuk:
I. menggunakan bentuk OPNAV 5211/13 untuk membuat awal dan menindaklanjuti
laporan,
II. mengirimkan formulir US-CERT dalam waktu 1 jam menemukan pelanggaran telah
terjadi,
III. melaporkan ke kantor privasi DON CIO dalam waktu 1 jam,
IV. melaporkan ke kantor Privasi Pertahanan,
V. melaporkan kepada angkatan laut, USMC, langsung rantai komando, berlaku.
 
Perangkat keras dan perangkat lunak 
Untuk menjadi efektif, IRT membutuhkan alat yang tepat. Sebuah contoh perangkat keras
dan perangkat lunak yang direkomendasikan oleh NIST 800-61 rev.2 untuk respons terhadap
insiden mencakup: 
 perangkat cadangan untuk membuat piringan gambar atau data kejadian lainnya, 
 laptop untuk mengumpulkan, menganalisis data, dan menulis laporan, 
 perangkat keras komputer cadangan untuk tujuan "kecelakaan dan terbakar",
seperti mencoba malware dan pavload lainnya yang ditemukan dan dianggap
"tidak diketahui".
 ambil analisis paket untuk menangkap dan menganalisis lalu lintas jaringan. 
 perangkat lunak forensik digital untuk memulihkan data yang terhapus,
menganalisis memodifikasi, akses, dan penciptaan (MAC) jadwal, analisis log, dll
 barang bukti mengumpulkan aksesori seperti kamera digital, perekam suara,
berbagai bentuk hak asuh, dan sebagainya. 

Salah satu teman baikmu selama bagian proses ini adalah mesin pencari. Sebuah pencarian di
web melalui snippet log, misalnya banner FTP, dapat mengungkapkan informasi berharga
seperti lokasi file log, file konfigurasi, dan petunjuk penting lainnya guna membantu tim
keamanan membangun garis waktu yang lebih lengkap untuk peristiwa tersebut.
 
Dari 855 insiden yang dianalisis dalam laporan pelanggaran Data Verizon 2013, 81%
leveraged hack, 69% termasuk malware, dan 61% memiliki kombinasi keduanya. Oleh
karena itu, wajar saja untuk berasumsi bahwa sebagian besar waktu para anggota IRT akan
terlibat dalam penyelidikan dan analisis peretasan atau infeksi malware dan menggunakan
alat-alat khusus secara ekstensif. Oleh karena itu kami telah mendedikasikan satu bab
keseluruhan untuk analisis tersebut.
 
Pelatihan 
Ini adalah dunia yang terus berubah. Teknologi baru, akronim baru membawa aset baru dan
ancaman baru. Ini adalah tugas analis keamanan seperti Anda untuk mempertahankan
kesadaran terhadap aset baru dan ancaman, terutama mereka yang mungkin memperkenalkan
risiko kepada organisasi. Beberapa dari Anda mungkin memiliki kemewahan untuk
mengkhususkan diri dalam bidang keamanan, seperti enkripsi atau forensik. Para anggota inti
IRT, bagaimanapun, harus generalis. Mereka harus mampu untuk mundur dari rutinitas
mereka dan memiliki pandangan 30.000 kaki tentang perusahaan, aset, kontrol, tindakan
ancaman, dan konsekuensi.
Sebuah sertifikasi keamanan adalah awal yang baik, belum tentu karena Anda akan
mempertahankan semua ratusan halaman informasi yang akan dilemparkan kepada Anda,
seperti diminta untuk minum dari selang kebakaran, tetapi karena ia menawarkan set dasar
informasi pada semua aspek keamanan, terutama hal-hal yang mungkin tidak Anda pikirkan
cukup baik. Sertifikat yang baik akan membangun pada informasi pendahuluan yang
disediakan dalam buku ini.
 
Salah satu sertifikasi tersebut, yang ditawarkan oleh organisasi ISC, adalah sistem keamanan
informasi bersertifikat Sertifikasi profesional, atau CISSP. CISSP berdasarkan pada apa yang
dikenal sebagai Badan Umum Pengetahuan, informasi dianggap penting untuk para
profesional keamanan di seluruh dunia, termasuk:
Kontrol Akses 
Telekomunikasi dan Jaringan Keamanan 
Keamanan Informasi Pemerintahan dan Manajemen Risiko 
Perangkat Lunak Mengembangkan Kriptografi 
Arsitektur dan Desain Keamanan 
Operasi Keamanan 
Kontinuitas Bisnis dan Perencanaan Pemulihan Bencana 
Hukum, Peraturan, Investigasi, dan Kepatuhan 
Keamanan Fisik (Lingkungan)
 
Aspek pelatihan lainnya juga patut mendapat perhatian. Personel hubungan Media, misalnya
harus diinstruksikan tentang bagaimana berinteraksi dengan Media, termasuk kontrol pesan,
pentingnya tidak mengungkapkan informasi sensitif. Mengungkapkan rincian teknis
mengenai cara infeksi malware terdeteksi dan dikendalikan, misalnya, dapat memperingatkan
para peretas dan pengembang malware mengenai cara mengelak dari kontrol yang sama pada
rilis malware tersebut di masa depan. Dalam situasi tertentu, kontrol pesan ini bertentangan
langsung dengan prinsip bahwa masyarakat harus selalu dikomunikasikan secara penuh dan
efektif. Hubungan Media menjadi seimbang ketika menyangkut respon insiden, lebih seperti
menerapkan kontrol keamanan, mengungkapkan terlalu banyak mungkin menjadi masalah,
mengungkapkan terlalu sedikit juga bisa membuat keadaan menjadi lebih buruk.
 
Pendeteksian dan analisis
Langkah-langkah di bagian sebelumnya memastikan bahwa organisasi siap untuk suatu
insiden seAndainya itu terjadi. Pada bagian ini, kita akan melihat pada proses analisis dan
deteksi insiden umum. Kemudian dalam buku ini, kita akan melihat lebih rinci pada beberapa
insiden teknik analisis.
 
Dokumentasi awal 
Menurut NIST 800-61rev2, anggota IRT harus memastikan bahwa insiden tersebut benar-
benar diikuti, mulai segera setelah acara tersebut terdeteksi. Walaupun dokumentasi ini akan
berkembang sebagai deteksi dan analisis secara menyeluruh, informasi mengenai benda-
benda berikut harus ada dalam dokumentasi dari sebuah peristiwa:
 Status insiden saat ini (baru, sedang dalam proses, diteruskan untuk penyelidikan,
diselesaikan, dll.) 
 Ringkasan kejadian itu 
 Indikator terkait dengan insiden
 Insiden lain yang berkaitan dengan kejadian ini 
 Tindakan diambil oleh semua penangan insiden pada insiden ini 
 Melacak, jika berlaku 
 Penilaian dampak terkait dengan insiden 
 Informasi kontak untuk pihak lain yang terlibat (misalnya, pemilik sistem,
administrator sistem) 
 Sebuah daftar bukti berkumpul selama penyelidikan insiden 
 Komentar dari penangan insiden 
 Langkah-langkah berikutnya yang harus diambil (misalnya, membangun kembali
host, meng-upgrade aplikasi).
 
Mendeteksi sebuah insiden 
Organisasi Anda telah pergi melalui proses persiapan untuk insiden keamanan. anda
merencanakan, berlatih, melakukan beberapa pembelian. Perangkat keras analisis siap
digunakan. Hubungan Media sudah disiapkan. Sayangnya, kemungkinan IRT Anda perlu
menunggu lama untuk diuji. Tapi bagaimana organisasi akan menyadari bahwa ada sesuatu
yang salah? Bagaimana mungkin insiden itu akan terdeteksi? 
 
Perubahan yang terlihat pada layanan Salah satu cara umum di mana organisasi
mengabaikan sesuatu yang salah dengan sistem atau data adalah melalui perubahan nyata
pada data atau sistem yang sama. Pemusnahan Web, misalnya, adalah contoh. Pengguna
sebuah situs web akan dengan cepat melihat ada sesuatu yang salah ketika mereka
mengunjungi situs itu dan disambut dengan halaman yang tertera pada gambar 11.4

 
GAMBAR 11.4 
 
Menurut laporan pelanggaran Data VERIS tahun 2012, 92% pelanggaran yang
mencengangkan dilaporkan oleh pihak ketiga. Mari kita melihatnya secara perspektif, karena
ini sangat penting. Tidak penting apa "peluru perak" penjual keamanan mencoba untuk
menjual Anda untuk melindungi aset Anda, untuk memantau kesehatan keamanan Anda,
kemungkinan bahwa ketika Anda mengalami pelanggaran, itu akan dilaporkan kepada Anda
oleh pihak ketiga.
 
Pemantauan skenario lain yang khas adalah pelanggaran yang menyebabkan masalah
kinerja. Kadang-kadang, baik sebagai akibat langsung atau tidak langsung dari malware yang
dipasang oleh seorang hacker, sistem komputer mungkin menjadi lamban sedemikian rupa
sehingga mudah terlihat baik bagi para pengguna maupun bagi para administrator.
Salah satu penggunaan populer untuk komputer yang diretas adalah penggunaan gudang
mesin sebagai tempat penyimpanan data, baik untuk berbagi musik, film, atau bahan
pornografi secara ilegal. Yang terakhir tampaknya mendapatkan banyak perhatian dari para
hacker dan lurkers lainnya (orang-orang yang sering meretas dalam lingkungan hacker tetapi
tidak berbagi data apa pun). Begitu komputer terkena malware dan materi pornografi yang
dibagikan, pengguna komputer akan segera melihat penurunan kinerja karena kebanyakan
pengolah data dan jaringan komputer kemungkinan besar akan digunakan untuk mengunduh
materi tersebut. Biasanya, hal ini membuat daftar bantuan dipanggil.
 
 Memahami perilaku normal
 
Untuk mendeteksi apa pun yang "tidak normal," administrator pertama-tama harus
menentukan dasar atau perilaku normal sistem. Beberapa komputer desktop di universitas,
misalnya, hanya digunakan dari pukul 8. 00 sampai 17. 00, senin hingga jumat. Oleh karena
itu, deteksi upaya login ke komputer ini pukul 2 pagi pada hari sabtu harus meningkatkan
segala macam bendera peringatan.
 
PII memantau sebagai hasil langsung dari semua pelanggaran besar yang dilakukan
perusahaan besar dan hasil serangan gencar terhadap cakupan berita, setiap individu mulai
menjadi lebih berhati-hati dengan informasi pribadinya. Sebagai bagian dari proses ini, para
pengguna mungkin beralih ke Google atau mesin pencari lainnya dan mencari informasi
pribadi mereka sendiri, seperti nomor jaminan sosial mereka (gambar 11.5)
 
Sepuluh tahun yang lalu adalah umum untuk profesor untuk posting siswa nilai ini depan
pintu kantor mereka. Alih-alih menggunakan nama, untuk melindungi identitas siswa mereka,
profesor menggunakan nomor identitas (oh, ironi). 

Sekarang, sepuluh tahun kemudian, banyak profesor masih memiliki documents yang mereka
gunakan untuk posting di pintu mereka, dengan SSNs dan nilai. Kadang-kadang, file-file
yang terlupakan ini berakhir di tempat di mana mesin pencari menangkap mereka dan
mengekspos mereka kepada dunia.

((GAMBAR 11.5))
 
Google Alert
 
Google Alerts adalah alat yang ditawarkan oleh Google untuk membantu pengguna mencatat
topik-topik yang menarik. Penggunaan alat ini baik adalah mengaturnya untuk menyediakan
peringatan bagi Anda setiap kali nama Anda diindeks oleh Google crawler. Anda dapat
memasukkan permintaan pencarian "John Doe" dan menginstruksikan pemberitahuan Google
untuk mengirimkan email segera setelah menemukan halaman web baru dengan nama John
Doe di dalamnya.  
3

 
File integritas pemantauan File Alat integritas file adalah aplikasi perangkat lunak yang
memantau integritas file dalam sistem komputer. Jika file yang dipantau di komputer diubah,
administrator sistem akan segera diberi tahu. Alat-alat ini sering merupakan bagian dari suite
yang lebih besar yang disebut Intrusion Detection Systems (HIDS) berbasis host. Mereka
berbasis host karena aplikasi yang berjalan pada host komputer, dibandingkan Intrusion
Detection Systems Jaringan berbasis, biasanya disebut hanya sebagai IDS.
Ambil contoh situasi web pembangkit listrik. Jika indeks. HTML (atau arsip utama)
dimonitor oleh alat integritas file, segera setelah integritas halaman terpengaruh (oleh
perubahan konten), administrator web akan diberi tahu. Banyak alat juga memiliki pilihan
untuk secara otomatis mengembalikan file ketika mendeteksi perubahan. Contoh umum
tentang perkakas yang bisa menahan formulir untuk memonitor integritas adalah OSSEC
(gambar 11.6), Samhain, dan Tripwire. 
File alat pengawas integritas cepat membawa ke cahaya konsep FP atau positif palsu. Suatu
positif palsu adalah menemukan yang tampaknya menjadi masalah (sebuah positif) namun
setelah menyelidikinya lebih lanjut ternyata tidak menjadi masalah (oleh karena itu, salah).
Anda juga belajar tentang konsep ini dalam statistik.

GAMBAR 11. 6 OSSEC, alat integritas file yang populer

 
sebagai kesalahan tipe -2. Konsep ini dapat ditemukan dalam banyak alat "deteksi
keamanan", dari firewalls hingga sistem pemindai. 
Mari kita periksa isu positif palsu dalam alat integritas file. Selama angsuran alat.
Administrator akan diminta untuk memerinci apa yang perlu dipantau. Ini adalah keputusan
yang harus dibuat dengan hati-hati. Apa yang akan terjadi, misalnya, jika Anda memutuskan
untuk memantau integritas dari web server file log akses? Akses log file untuk web server
berubah setiap kali seseorang mengakses situs web Anda. Oleh karena itu, peringatan akan
dimulai setiap kali kalian memeriksa daftar pengunjung - positif palsu. 
Meskipun hal ini tampak "rapi" untuk situs yang lambat, di situs sibuk, Anda bisa cepat-cepat
mengabaikan peringatan. Jadi, itu layak pemantauan sama sekali? Dalam file log, jawaban isi
tidak. Tapi bagaimana memantau file konfigurasi? Atau file index.html pada situs. Itu
mungkin layak untuk dipantau.
 
Laporan anonim kadang-kadang individu mungkin enggan melaporkan kejadian yang
merugikan karena takut akan tindakan balasan. Kebanyakan lembaga memiliki sarana bagi
para majikan dan pihak lain untuk melaporkan peristiwa yang dirasakan atau mungkin terjadi
secara anonim. Peristiwa-peristiwa ini bisa saja, misalnya, insiden penipuan potensial, saya
tidak menggunakan infrastruktur komputasi organisasi ini secara tidak langsung oleh para
manajer atau pegawai administrasi lainnya - saya korban pelecehan seksual terhadap email,
dan sebagainya.
Dalam banyak kasus, kebijakan institusi internal mengharuskan semua tuduhan yang saya
terima melalui mekanisme pelaporan anonim tersebut diselidiki. Sementara di dunia yang
sempurna ini mungkin kebijakan yang baik untuk diikuti, institusi harus menyadari fakta
bahwa individu dalam posisi berkuasa dalam organisasi pada saat-saat tidak disukai. Tuduhan
berikut secara membabi buta, berulang kali, tanpa verifikasi yang tepat, bisa saja menjadi
ancaman tindakan terhadap aset personil (seorang manajer, contohnya) menempatkan
lembaga tersebut dalam bahaya.
 
 
Log analisis Log adalah catatan kinerja mesin. Log adalah teman analis keamanan terbaik.
Dalam hal deteksi insiden, pencatatan digunakan oleh pengelola keamanan untuk
menentukan kapan persisnya sistem itu diserang dan tindakan ancaman apa yang digunakan
oleh seorang hacker (gambar 11.7).
 
Dalam sistem Linux, sebagian besar pencatatan terletak di bawah direktori log /var/.
Sebagian besar log sistem operasi dikendalikan oleh syslog daemon. Var/log pesan file
biasanya akan menjadi yang pertama seorang analis keamanan akan memeriksa, mencari
penyimpangan seperti pesan kesalahan aneh, reboots tidak teratur. Tunggu. Analisis catatan
dibahas secara lebih terperinci dalam bab berikutnya (gambar 11.8). 
Dalam hal deteksi, organisasi Anda mungkin memiliki solusi konsolidasi Log, atau ledakan
penuh manajer acara insiden keamanan (SIEM). Dalam solusi konsolidasi Log, pencatatan
dari beberapa sistem dan aplikasi disatukan ke dalam server terpisah untuk memonitor,
forensik, dan analisis kinerja. Sistem SIEM mengintegrasikan konsolasi dengan analisis.
Sistem ini mencari pola penyimpangan pada beberapa sistem untuk menentukan
kemungkinan adanya ancaman atau pelanggaran. 
Agar analisis log efektif, adalah kunci bahwa jam antara semua server yang memasukkan
semua server ke dalam server konsolidasi log disinkronisasikan. Sinkronisasi ini penting
untuk memastikan bahwa garis waktu saling terkait dengan benar ketika peretas menyelidiki,
menyerang, dan menerobos berbagai sistem.
 
Gambar 11 . 8 Analisis Log

 
 
Konsolidasi Log memiliki keuntungan lain. Selain dapat melihat peristiwa log di satu tempat,
sehingga lebih mudah untuk mengiris dan memotong data untuk mencari peristiwa tertentu,
itu juga menyalin data log ke server lain, mempertahankan integritas log. Hal ini khususnya
berguna sewaktu memeriksa data untuk mencari bukti penipuan yang dilestarikan oleh
individu-individu dengan hak-hak istimewa administratif. Seorang Administrator Database
umumnya mampu menutupi jejak dia di server sistem Database itu sendiri tetapi DBA
seharusnya tidak memiliki lebih dari izin read-only pada konsolidasi log atau SIEM server.

Konsol manajemen perlindungan titik perlindungan titik akhir atau EPP adalah evolusi dari
teman lama kita aplikasi antivirus. Sebuah EPP lebih dari sekedar mengawasi dan melindungi
sebuah sistem komputer dari infeksi virus. Solusi EPP biasanya mencakup:
 Antivirus perlindungan terhadap malware "mencoba menginstalasi dirinya sendiri"
pada komputer, biasanya diketahui Seperti "On Access" perlindungan atau "Realtime"
perlindungan. 
 Perlindungan AV dengan penghapusan dan/atau karantina file yang ditemukan pada
komputer Anda, sudah di-download, baik sudah dipasang atau tidak, melalui scan "sesuai
permintaan" atau "jadwal". 
 Firewall pelindung.
 HIDS, pendeteksi intrusi air (opsional). 
 Berkas integritas (opsional). 
 Pencurian identitas (pilihan) 
 Anak-anak mengakses pemantauan (opsional).

Seperti yang kau lihat, suite EPP cukup berubah dari "just" perlengkapan perlindungan
malware. Saya kadang-kadang juga termasuk "hooks" untuk manajemen aplikasi server
lainnya seperti email asi, server web, DLL. Semakin dekat dan dekat dengan solusi SIEM.
Meskipun biaya atau anggaran untuk memasang dan merancang sebuah solusi konsolidasi
yang dibuat secara besar-besaran atau berdasarkan persyaratan tersebut bisa jadi bersifat
relatif untuk sebuah organisasi, bumbu manajemen EPp sering kali dilengkapi dengan harga
lisensi peraba untuk EPPs. Karena bahkan organisasi yang terkecil berinvestasi pada
perlindungan titik akhir, mereka memiliki pilihan untuk menggunakan suite manajemen EPP
untuk pertorm beberapa fungsi analisis log (gambar 11.9).

Penyelidikan Internal Akhirnya, layak disebut kejadian yang ditemukan oleh investor
Internal. Kita khususnya berbicara tentang penyelidikan yang berasal dari Audit Internal,
auditor negara (jika Anda bekerja di sebuah badan negara), sumber daya manusia, polisi
universitas, atau penasihat umum. Kadang-kadang, penyelidikan ini bisa jadi dimulai dengan
sesuatu yang sama sekali tidak berkaitan dengan ruang teknis tetapi perlu dibantu untuk
mendapatkan bukti lebih lanjut. Misalnya, jika seorang karyawan dipecat dan akhirnya
menggugat tempat kerja Anda untuk penghentian pelanggaran hukum, Anda dapat diminta
oleh pengacara umum untuk memeriksa semua surel di antaranya para eksekutif dari tempat
kerja Anda membahas subjek.

Kemungkinan lainnya adalah auditor internal yang menyelidiki operasi departemen dan
menemukan PII disimpan tanpa persetujuan dari pihak keamanan dan melawan kebijakan.
Dalam hal ini Case, penting untuk menemukan semua informasi yang tersimpan tidak teratur,
mengklasifikasikan, dan terapkan kontrol yang tepat sebelum audit lainnya (misalnya audit
kartu kredit PCI audit,) dan masih banyak lagi masalah berat mengancam data.

Gambar 11.9 Contoh Perlindungan Akhir

Menganalisis insiden

Setelah ada kesepakatan bahwa "ya, ada sebuah insiden,"  IRT akan mulai proses
menganalisis insiden tersebut. Tujuan analisis adalah untuk menemukan segala macam
kejadian merugikan yang menyusun insiden tersebut agar dapat secara tepat dan efektif
mengendalikan fase berikutnya dari pelestari dan pemberantasan. Jika kejadian ini tidak
dianalisis secara menyeluruh, organisasi Anda akan terjebak dalam serangkaian deteksi dan
penahanan, dengan setiap iterasi membawa lebih banyak kerusakan sandera atas kerahasiaan,
integritas, atau ketersediaan aset yang terlibat Analisis akan jelas berubah tergantung pada
situasi. Dalam praktiknya, kau harus selalu mengukur keuntungan yang mungkin kau
dapatkan dari analisisnya. Sebagai contoh, mari kita asumsikan ada wabah malware di
departemen kimia. Sepuluh komputer di laboratorium terbuka terinfeksi dengan rupanya jenis
malware yang sama. Mereka semua memberikan pintu belakang yang sama, botnet yang
sama, dan menggunakan nomor pelabuhan yang sama. Jika Anda memiliki waktu dan sumber
daya yang tersedia itu akan ok untuk melihat lebih dekat pada semua mesin, mencari file log
untuk pintu belakang, memeriksa untuk melihat apakah ada jejak hubungan sebenarnya
manusia dicatat menggunakan sistem. Sebaliknya, karena semua mesin ini terbuka untuk
penggunaan lab tanpa data pribadi yang tersimpan, mungkin lebih mudah untuk sekadar
memeriksa salah satu contoh saja dari mesin-mesin itu. Mesin pencari di Internet adalah
sumber pengetahuan luar biasa yang dapat dengan mudah disadap untuk memperoleh
informasi selama analisis. Semua spanduk FTP hingga nomor pelabuhan botnet bisa dicari
untuk mendapatkan informasi lebih pada instalasi malware tertentu. Terakhir, sebagai bagian
dari analisis, Anda harus dapat menentukan pemangku kepentingan dan setiap aset yang
mungkin terbatas atau penting yang mungkin terpengaruh oleh insiden tersebut. Aset ini akan
menjadi target utama kalian untuk perlindungan dan pemberantasan akan masuk ke tahap
berikutnya dari manajemen insiden.

Pengurungan, pemberantasan, dan pemulihan 

Pengurungan adalah tindakan mencegah timbulnya bahaya. Biasanya, ini mencakup
membersihkan komputer yang terkena dampak dari jaringan. Untuk banyak insiden, datang
titik selama. Analisis jika suatu peristiwa memang memiliki penahanan, bahkan sebelum
analisis seluruh kejadian itu selesai. Hal ini terjadi ketika analis itu yakin bahwa kejadian
yang sedang berlangsung, merit action, dan/atau menentukan bahwa risiko terhadap aset
terlalu tinggi untuk acara untuk terus seperti ini. Karena penahanan bisa jadi mencakup
penghentian layanan sementara, keputusan ini perlu pemikiran yang cermat untuk
menyeimbangkan kerugian dari layanan yang bermasalah dengan kerugian yang diharapkan
dari penyebaran. Ing membahayakan mesin lain. Pertimbangan yang sama harus diterapkan
ketika kita mempertimbangkan pemberantasan, pemusnahan penyebab peristiwa yang
merugikan itu (gambar 11.10). 
Tidak ada resep rahasia untuk menemukan titik bercabang ini. Hal ini sebagian besar
ditentukan oleh pengalaman dari individu-individu yang merupakan bagian dari IRT,
bersama dengan masukan dari manajemen jika memungkinkan.

Contain Erradicate

        Incident Analysis System

Erradicate Recover

Gambar 11.10 Penahanan, pemberantasan, dan waktu pemulihan

Kembali ke contoh lab yang digunakan secara terbuka, setelah komputer pertama dianalisis
secara menyeluruh, perangkat lunak di mesin bisa dihapus dan dipasang kembali. Ini adalah
titik pemulihan, ketika komputer diaktifkan kembali kepada pemilik untuk operasi normal.
Jika situasi ini termasuk komputer prof sor yang harus diselidiki, kelompok IRT dapat
mempertimbangkan untuk mendapatkan salinan hard drive dan kemudian melepaskan mesin
untuk dihapus, data didukung. Dan OS dipasang kembali. Dengan memperoleh salinan foto
atau disk kami dapat dengan cepat melepaskan mesin untuk pulih tanpa merusak tugas
pengguna akhir sementara periode analisis berlanjut.
Mempertimbangkan contoh yang lebih mendesak, jika selama analisis anggota IRT
mengetahui bahwa pintu belakang digunakan aktif mentransfer PIl dari server yang dihack ke
pengunjung di luar kampus. Koneksinya akan terputus secepat mungkin. Setelah itu, pintu
belakang bisa ditangani. Baik melalui daftar kontrol akses jaringan. Firewall. Atau
memindahkan backdoor dari server sebelum analisis. Dalam semua situasi, kerahasiaan,
integritas, dan ketersediaan aset harus datang sebelum kebutuhan analis.

IRT harus menyadari dampak dari bertindak atas aset yang terlibat dalam kejadian yang
merugikan, baik di tingkat i micro dan makro. Berikut situasi ketika keputusan dapat berubah
drastis saat data tersedia aku untuk analisis. 
13:00 : Sebuah mesin di fakultas kedokteran ditemukan memiliki pintu belakang.
Saya selama analisis, beberapa hal harus datang ke pikiran segera. "College of Medicine"
adalah salah satu aku dari perguruan tinggi yang "mungkin" memiliki persyaratan HIPAA
yang terkait dengan data. Cari aku segera jika mesin mengandung data HIPAA. Jika mesin
berisi data HIPAA, itu harus ditangani segera. 
13:10 : Komputer tidak mengandung data HIPAA. Itu milik fakultas di radiologi, aku
diluar zona HIPAA. 
Setelah panggilan telepon cepat ke administrator lokal kita menemukan bahwa komputer
yang dimaksud tidak saya tidak berisi data HIPAA. IRIT "bisa" bergerak untuk bertindak jika
diperlukan. Apa tindakan ancaman dari kotak itu? 
13:30 : Komputer bertekad untuk menjadi bagian dari hibah yang membawa 100 juta
dolar ke universitas. 
Sebaiknya ada serius back up dari dekan perguruan tinggi dan mungkin dari Provost sebelum
sesuatu dilakukan untuk mesin ini yang bahkan bisa jauh membahayakan apa pun berjalan di
l kotak ini.

Beberapa tindakan yang dilakukan IRT selama penahanan dapat membuktikan

perbedaan untuk pulih dari penyakitnya. Tindakan yang dilakukan untuk berisi situasi khusus
dapat menempatkan organisasi dalam bahaya di bidang-bidang lain. Memulai kembali sistem
HR untuk menghapus malware dapat mengganggu proses pembayaran jika dilakukan pada
waktu yang salah. Untuk alasan ini, sejauh mungkin, penting untuk memberitahu semua
pemangku kepentingan sebelum perubahan dilakukan pada aset untuk penahanan. Ketahuilah
bahwa anggota IRT harus terus mengamati kebutuhan-untuk-tahu selama notifi ini. Seorang
manajer penggajian mungkin harus dilibatkan kenapa sebuah server dihidupkan kembali, tapi
belum tentu semua orang di bagian penggajian.
Keputusan lain yang perlu dibuat selama penahanan adalah apakah harus duduk
kembali dan mengamati perilaku hacker atau segera menangani masalah. Itu semua bermuara
pada potensi kerusakan aset. Sementara reaksi brengsek pertama dari administrator sistem
adalah untuk segera squash bug dan menghapus semua trek, observasi mungkin bermanfaat
untuk organisasi. Ini dapat mengungkapkan vektor serangan lain yang digunakan oleh hacker,
aset lain sudah di bawah kendali hacker, dan banyak potongan informasi berguna lainnya.
Anggota IRT dan administrator harus berhati-hati ketika menarik steker pada hacker.
Upaya untuk melakukannya hendaknya diatur dan dikoordinasikan sebanyak mungkin. Para
peretas terkenal suka merusak sewaktu ketahuan, untuk melanjutkan upaya mereka menutupi
jejak mereka dan menyingkirkan semua informasi penebangan setempat yang dapat memicu
penangkapan mereka. Para administrator Database yang terlibat dalam situasi penipuan dapat
membuat perangkap yang, ketika diminta, dapat secara total menghancurkan Database dan
semua data yang terdapat di dalamnya.

Untuk alasan inilah agen FBI yang terlibat dalam operasi sengat melawan para peretas secara
paksa dan cepat menyingkirkan individu-individu dari keyboard dan alat masukan lainnya
sesegera mungkin ketika mereka tertangkap. Hal ini mengurangi kemungkinan bahwa para
peretas akan memulai script untuk menghancurkan aset dan bukti.

Hikmah yang kita petik 

Tahap terakhir dari penanganan insiden juga memungkinkan kita untuk mempersiapkan
insiden selanjutnya. Dalam bagian akhir ini, anggota IRT mengumpulkan catatan mereka dan
menyelesaikan dokumentasi mereka. Dokumentasi harus memuat semua peristiwa merugikan
individu yang terlibat dalam insiden ini, bersama dengan perangko waktu dan aset yang
terlibat, serta:
 Menunjukkan bidang mana saja dari organisasi yang terlibat dalam kecelakaan itu
dan apa yang sudah mengakibatkan pelanggaran; 
 Bagaimana ancaman-ancaman itu ditangani secara individual oleh setiap
departemen dan bersama-sama di bawah koordinasi IRT;
 Sejauh mana prosedur yang ada cocok untuk menangani persoalan dan
kesempatan: untuk perbaikan; 
 Sejauh mana aset tersebut diidentifikasi dan diklasifikasikan dengan tepat,
sehingga IRT dapat membuat keputusan cepat saat situasi berkembang; 
 Sejauh mana informasi yang dibagikan kepada para pemangku kepentingan
dilakukan dengan memuaskan; 
 Peluang bagi deteksi dini untuk menghindari persoalan serupa; 
 Langkah teknis yang perlu diambil untuk menghindari masalah serupa di masa
depan.

Jadi, bagaimana insiden EDA itu akhirnya terselesaikan? 

Pada februari 2013, lebih dari setahun setelah peringatan awal itu, kantor inspektur jenderal
departemen perdagangan (DOC) meyakinkan EDA dan dokter bahwa kerusakan itu hanya
disebabkan oleh dua sistem saja. Karena yakin bahwa tidak ada kejadian yang signifikan,
dokter itu memulai upaya pemulihan pada bulan februari 2013.  Dan hanya membutuhkan
waktu lebih dari 5 minggu untuk mengembalikan kemampuan operasional EDA sebelumnya.
Sebagai perbandingan, upaya EDA yang tidak lengkap meliputi hampir satu tahun. 
Terutama, [DOC] menyediakan EDA dengan enterprise e-mail, akun management services,
help desk support services, dan sebuah citra yang dipercaya dan seragam untuk laptop
mereka. Departemen itu memulihkan akses para pengguna EDA untuk aplikasi bisnis
penting.
Bencana 
Dalam dunia insiden ada rakasa yang memiliki keras-keras besar di seluruh organisasi dan
dengan cepat bisa membawa sebuah perusahaan makmur berlutut: bencana. Malapetaka
adalah peristiwa yang menyebabkan kebinasaan besar. Sebuah bencana dapat dianggap
sebagai insiden besar, atau sebuah insiden yang sedemikian besar sehingga melibatkan
beberapa sub-insiden, atau sebuah insiden yang mempengaruhi seluruh organisasi.
Bagaimanapun cara Anda melihatnya, bencana adalah insiden dengan implikasi majon dalam
beberapa pemangku kepentingan. 
Mari kita mulai dengan beberapa definisi. Pemulihan bencana (DR) adalah proses yang
diterapkan oleh organisasi IT untuk membawa sebatang kembali dan berjalan. DR dapat
melibatkan opera ke situs yang berlebihan, pusat layanan pemulihan dan data.

Tahun 2002. Kegagalan perangkat keras pada server email mahasiswa menyebabkan 30.000
akun email siswa hilang di universitas South Florida, termasuk data yang tersimpan. Segera
DR. Plan mulai bekerja, menyerukan penciptaan kembali semua akun email siswa. Akun-
akun ini awalnya kosong tetapi akan memperkenankan siswa untuk mulai mengirim dan
menerima surel. Setelah itu dilakukan, semua kotak surat diekstrak dari pita dan
dikembalikan ke kotak surat pengguna. Seluruh proses DR kasus ini mengambil sekitar 3
minggu.

DR adalah proses yang sangat kompleks dan sesuatu yang biasanya ditangani oleh individu
dengan pengalaman bertahun-tahun dalam organisasi. Dalam organisasi besar, sering kali
orang - orang didedikasikan untuk topik ini. Kemungkinan besar, Anda tidak akan diberikan
tanggung jawab pada bagian awal karir Anda, jadi subjek ini tidak diulas secara detail dalam
buku ini. Topiknya diperkenalkan di sini untuk membantu saudara mengenal beberapa
konsep dasar dan memungkinkan saudara ikut berperan. 
DR adalah bagian dari gambaran yang lebih besar, perencanaan bisnis lanjutan atau BCP.
Bisnis adalah proses untuk mempertahankan operasi di bawah kondisi merugikan. Selama
BCP, para perencana memikirkan masak - masak apa yang akan terjadi Andaikan terjadi
bencana, dan apa yang bisa mengurangi kebutuhan untuk membantu organisasi terus bekerja.
Dalam hal sistem email USF, pertanyaan-pertanyaan termasuk bagaimana siswa akan
menyerahkan tugas mereka, dana mana yang akan digunakan untuk membeli perangkat keras
baru, bagaimana membuat klaim asuransi apa pun, dan dampak lain apa yang terjadi pada
organisasi?
Dengan sifat alami nya, BCP dan DR terlibat dan sering dipimpin oleh entitas lain daripada
itu. Misalnya, tidak masuk akal bagi organisasi-organisasi untuk bekerja terpisah satu sama
lain ketika mempersiapkan diri menghadapi badai atau tornado. Peristiwa seperti itu akan
memengaruhi seluruh organisasi. HR mungkin menuntut agar semua orang tetap tinggal di
rumah seAndainya ada kemungkinan badai tingkat 4 atau lebih tinggi. Sementara itu, para
karyawan harus hadir secara fisik untuk menutup server dan meja. Koordinasi antara
kelompok-kelompok ini akan memastikan bahwa tindakan yang tepat dilaksanakan.
Salah satu bagian penting dari BCP adalah analisis dampak bisnis atau BIA. Analisis dampak
bisnis adalah identifikasi jasa dan produk yang penting bagi organisasi. Ini adalah ketika
klasifikasi aset kita telah melihat dalam bab sebelumnya datang dalam bermain. Aset penting
haruslah mereka yang secara langsung mendukung layanan dan produk yang dihasilkan BIA.
BIA kemudian mendikte prioritas prosedur DR.
Tujuan utama dari BCP/DR rencana adalah untuk menjaga karyawan dan keluarga mereka
aman. Tidak boleh ada tindakan yang membahayakan seorang karyawan, dan persiapan harus
dibuat untuk memungkinkan metode-metode penerapan aset pemulihan yang tidak termasuk
situasi berbahaya. Berikut adalah beberapa hal lain yang perlu dipertimbangkan:
 Daftar panggilan, mungkin daftar nomor telepon yang seukuran kartu, merupakan
sarana yang sangat berguna bagi para karyawan seAndainya terjadi bencana.
 Bagaimana caranya menginformasikan kepada rekan sekerja jika sistem telepon
setempat tidak berfungsi?
 Jika Anda memundurkan data Anda, secara lokal, dengan perangkat yang
dipasang di server Anda, bagaimana Anda akan mendapatkan kembali data itu di
situs yang berlebihan? Data mana yang harus dikembalikan dulu?
 Apakah ada orang lain di samping Anda yang tahu cara memulihkan data itu?
Apakah ada petunjuk diterbitkan di suatu tempat? Jika diharapkan bahwa
seseorang akan membaca 100 halaman manual sebelum memulainya, prosedurnya
harus disederhanakan.
 Apakah pemeriksaan dilakukan secara teratur? Kaset dan media lainnya menjadi
rusak, tergores, dan tidak terbaca.
 Apakah ada cara untuk mendapatkan perangkat keras baru agar dapat segera
menggantikan perangkat keras yang rusak akibat bencana itu? Jika ada asuransi
cyber, apa ada yang tahu rincian cara mengaktifkannya?

Contoh pembajakan di kampus 

Ini adalah catatan pribadi dari seorang Administrator sistem pada kasus di universitas Florida
selatan. Kasus ini terjadi sebelum tahun 2005 dan semua nama pribadi dan nama tuan rumah
diubah untuk melindungi individu yang terlibat. Seperti laporan insiden rinci yang disimpang
untuk muncul di domain publik karena mereka biasanya kebutuhan untuk tahu dan tidak
pernah diterbitkan

Kami akan memanggil siswa Greg Apple dan John Orange. Kedua siswa tersebut jurusannya
tidak diumumkan. Catatan SA tentang jadwal kejadian adalah sebagai berikut.

Senin, Okt 17:

Aku menerima laporan bahwa pemisah akar dalam server a sudah penuh. Ternyata dua
mahasiswa (nama masuk jorange dan gapple) telah menggunakan TMP untuk menyimpan
sekitar 10GB berkas berritsleting. Aku dihapus sebagian besar file.

Malam harinya, Administrator jaringan kami mengirimkan surat ini:

"Aku mengambil akun gapple on server a malam ini.. Dia memiliki 2 log dari sisi yang
berbeda negara pada saat yang sama... Di atas ini ia tampaknya telah mengambil file
password, yang dalam rekeningnya, dari suatu tempat di internet.. Juga, melakukan terakhir
pada orang ini, itu tidak tampak seolah-olah ia pernah tidur... Aku akan berbicara dengan
Anda di pagi hari.."
File password tampaknya berasal dari somedomain.com.
Bersama-sama dengan kata sandi di akun gapple ada sebuah situs berisi daftar direktori
panjang dari pengguna "mikel". Aku mengerjakan mikel@somedomain.com dan 'bingo', itu
dia. Saya mengirimkan surat ke root@somedomaincom tetapi saya tidak mendapat balasan.

Selasa, 18 oktober
Saya sadari pagi itu ketika saya masuk ke server server sebuah sebuah sesi telnet yang
jorange lakukan ke somedomain.com. Aku memutuskan untuk memeriksa direktori
rumahnya dan tata letaknya tampak sangat mirip dengan gapple. Saya FTP 'd beberapa file ia
telah disimpan pada TMP ke PC saya dan membuka ritsleting. Ternyata menjadi permainan
bajakan. Aku mulai memantau tindakan jorange sangat dekat. 
Will (administrator jaringan) memberitahu saya bahwa poin. Com adalah situs freenet,
dengan koneksi internet sepenuhnya, dan shell access. Dia juga bilang dia memiliki rekening
di sana. Karena aku tidak menerima apa-apa dari root@thepoint, aku memberitahu Will
untuk masuk dan mencari tahu apa dia bisa melacak direktori "mikel", karena itu adalah 755.
Will menemukan 3 password dan beberapa permainan lainnya.
*******************************
Dari file log, saya telah menemukan hubungan dari host berikut untuk baik akun gapple atau
jorange:
 akun numsix@in. Anotherdomain. net - akun Jack Laughlin 's
 hoki. Other domainnet
 mikel@somedomain.com – akun Mike Lee
 server0.Thriddomain.Net – akun Randy Sharr
Mungkin ada lebih account dikompromikan di situs ini.
********************************
Bukti pada gapple:
1. File kata sandi dari somedomaincom.
2. File berisi daftar direktori thepoint.com:/˜mikel
3. File menunjukkan Log Log dari gapple@servera ke jorange@servera.
4. Bukti pada jorange:
5. Perangkat lunak bajakan on/TMP. Kami memiliki salinan barang secara lokal ke
server lain tapi file yang sebenarnya telah dihapus tadi malam sebelum akun ditutup.
6. Surat yang diterima jorange dari pengguna anonim, memberikan lokasi baru untuk
perangkat lunak bajakan. Keberadaan situs baru ini dilindungi.
7. File Log pengiriman FTP dari some domaincom, menggunakan akun palsu mikel.
Keberadaan mikel@somedomaincom account dan isinya - bajakan software - adalah
confi rmed oleh root@somedomain.com.
8. Akibat temuan-temuan ini, kedua siswa tersebut dikeluarkan dari universitas karena
pelanggaran kode etik.
RINGKASAN 
Dalam bab ini, kita melihat insiden penanganan proses. Kami melihat bahwa organisasi yang
efektif tidak menunggu adanya insiden untuk terjadi sebelum mereka menemukan cara untuk
mengatasi mereka. Sebaliknya, mereka dengan proaktif mempersiapkan diri untuk menangani
keamanan informasi insiden. Persiapan seperti itu mencakup mengembangkan kebijakan
untuk memandu respons insiden, kesepakatan tentang rencana komunikasi, prosedur untuk
membentuk tim respons insiden, dan memperoleh alat-alat yang pantas untuk menanggapi
insiden. Insiden-insiden terdeteksi dengan memperhatikan perilaku abnormal. Kita melihat
bahwa saat menanggapi insiden, mungkin menjadi perlu untuk menonaktifkan layanan yang
mengandung kerusakan. Akhirnya, kami memperkenalkan konsep - konsep yang
berhubungan dengan bencana atau insiden berskala besar.

PERTANYAAN TINJAUAN BAB INI

1. Apa itu insiden informasi keamanan?
2. Tuliskan beberapa contoh insiden, sebaiknya yang pernah Anda alami sendiri.
3. Apa saja langkah-langkah dasar yang tercakup dalam menangani suatu insiden?
4. Mana dari hal di atas menurut pendapat Anda yang paling penting? Mengapa?
5. Kegiatan penting apa saja yang perlu dilakukan untuk mempersiapkan insiden?
6. Apa itu kebijakan respon insiden? Mengapa berguna?
7. Lihat kebijakan respon insiden untuk suatu organisasi (ini mudah tersedia online).
Apa saja unsur – unsurnya dari kebijakan tersebut? Apa yang Anda temukan paling menarik
tentang kebijakan tersebut?
8. Seberapa jauh kebijakan keamanan informasi? Mengapa berguna untuk mengaburkan
cakupan kebijakan?
9. Tim tanggap insiden apa? Bagaimana itu diratakan?
10. Apa sajakah permasalahan umum yang terkait dalam berkomunikasi perihal
kecelakaan?
11. Apa prinsip yang perlu diketahui? Mengapa bermanfaat untuk penanganan insiden?
12. Apa itu kepatuhan? Apa kaitan penanganan insiden?
13. Bagaimana pelatihan dapat membantu penanganan insiden?
14. Pilih protokol keamanan informasi yang kau pilih dan baca kurikulumnya? Dalam
satu kalimat masing-masing. Jelaskan bagaimana tiga modul kurikulum dapat meningkatkan
kemampuan Anda untuk menangani insiden?
15. Apa saja kebiasaan yang digunakan untuk mendeteksi suatu insiden?
16. Apa itu analisis data? Untuk apa itu?
17. Jika Anda menggunakan alat integritas ringan seperti OSSEC pada komputer rumah
Anda, apa folder yang paling cocok untuk memonitor menggunakan perangkat tersebut?
Mengapa? (Anda mungkin ingin mencoba alat bantu terbuka seperti OSSEC)
18. Apa tujuan analisis kejadian?
19. Apa itu kendali? Mengapa penting? Langkah apa saja yang dapat Anda ambil untuk
mencegah kerusakan akibat serangan virus?
20. Apa pemberantasan? Langkah apa saja yang bisa diambil untuk memberantas
serangan virus?
21. Bagaimana menangani insiden meningkatkan keamanan informasi organisasi di masa
depan?
22. Anggap semester terakhir sebagai insiden. Tulislah paragraf "pelajaran yang
dipelajari" sederhana setelah pelajaran yang serupa dengan pola yang digunakan untuk
insiden informasi keamanan. Anonim yang tepat/menggeneralisasi pelajaran yang dipelajari
untuk mempertahankan privasi Anda.
23. Bencana apa? Bagaimana pemulihan dari bencana?
24. Apa itu perencanaan kelanjutan bisnis? Apa beberapa hal yang dapat Anda lakukan
sebagai bagian dari latihan perencanaan bisnis untuk data pribadi Anda?
25. Apa itu analisis dampak bisnis? Bagaimana itu berguna?

CONTOH PERTANYAAN KASUS

1. Mana mekanisme deteksi insiden yang dijelaskan di bab menyebabkan deteksi
insiden?
2. Siapa yang akan menjadi orang-orang yang tepat di kampus universitas untuk
diberitahu tentang insiden setelah itu terdeteksi?
3. Pelajaran apa yang Anda peroleh dari membaca tentang kejadian itu?

AKTIVITAS - INSIDEN WAKTU MENGGUNAKAN OSSEC

Dalam latihan ini, Anda akan menggunakan salinan OSSEC yang dipasang selama latihan
konkret di bab 9 untuk memantau sebuah insiden simulasi dan membangun timeline insiden. 
Untuk memulai simulasi insiden, beralih ke super user account dan mengeksekusi naskah
simulator:
[alice@sunshine ~]$su -
Kata sandinya: ini rahasia
# /opt/ buku/pembukaan pembukaan/naskah/insiden awal
########################################
Insiden simulasi telah dimulai!
Script ini akan berjalan selama 10-20 menit.
########################################
Begitu script selesai, mulai antarmuka OSSEC-WebUI dengan membuka peramban web dan
mengunjungi http://sunshine.edu/ossec

PERTANYAAN
1. Bagaimana penyerang itu mencoba untuk mengakses sistem? Apa account itu
target/target dia?
2. Saat rekening ini terganggu, apa rekening lainnya juga ikut terganggu?
3. Apakah ada software baru yang dipasang?
4. Apakah ada port jaringan baru yang dibuka atau ditutup?
5. Apakah setiap account ditambahkan ke dalam sistem?
6. Hasilkan kronologi peristiwa penting yang terjadi dalam insiden tersebut. Sebuah
template kata Microsoft untuk timeline dapat diunduh dari http://office. Microsoft.com/en-
us/templates/timelin-tc0010165.aspx
KERUSAKAN MENTAL DI EDA
Laporan EDA sangat berguna bagi siapapun yang tertarik dalam menangani insiden informasi
keamanan. Untuk berpikir lebih lanjut, inilah kutipan lain dari laporan tersebut: terlepas dari
rekomendasi pemulihan dari DHS dan NSA menyarankan EDA untuk fokus agar dapat
secara cepat dan pulih sepenuhnya sistem ti (IT), EDA malah fokus untuk membangun
sebuah infrastruktur ti yang baru, meningkatkan prasarana dan mendesain kembali aplikasi
bisnisnya. Pada September 2012 (8 bulan setelah isolasi), kepemimpinan EDA memberikan
kepada badan perdagangan IT Review Board (CITRB) permintaan untuk memprogram ulang
dana guna melaksanakan upaya pemulihan; CITRB tidak menyetujui permintaan EDA.
Menurut EDA, akan butuh lebih dari $26 juta yang dicairkan dalam 3 tahun ke depan
(kenaikan dari $3,6 juta menjadi sekitar $8,83 juta, atau sekitar 2,5 kali lipat, ke anggaran
rata-rata tahunan biro it) untuk mendanai upaya pemulihan.
1. Mereka yang mencurigai pemerintah yang besar akan menggunakan informasi ini
dalam laporan OIG untuk menyarankan bahwa EDA hanya menggunakan insiden itu sebagai
alasan untuk menghancurkan prasarana "IT" yang sudah ada sehingga ia bisa mengamankan
pendanaan untuk peralatan IT baru, contoh dari berlapis emas pada infrastrukturnya.
Bagaimana Anda akan mendukung atau menolak saran ini berdasarkan informasi dalam
laporan itu?

Kasus rancangan
Anda diminta oleh Provost untuk menyiapkan satu halaman dokumen yang menggambarkan
langkah-langkah apa yang akan Anda ambil untuk membuat tim respon insiden dan bersiap
untuk meretas. Didorong oleh seorang penjual asuransi cyber yang meyakinkan disajikan
skenario malapetaka dan suram, Provost dan presiden prihatin bahwa Sunshine University
tidak akan mampu bertindak cepat dan tegas untuk menyelesaikan masalah apa pun yang
mungkin terjadi dan ini akan mempengaruhi citra universitas. Dalam laporan Anda,
pertimbangkan hal berikut:
1. Poin apa saja yang harus disoroti dalam kebijakan respon insiden?
2. Unit mana yang harus memiliki representasi pada IRT dan mengapa?
3. Perdebatan tentang pemusatan sumber daya dalam hal keamanan kampus.
4. Riset persyaratan pelaporan di daerah Anda jika ada pelanggaran.
5. Penelitian perlindungan yang ditawarkan oleh asuransi keamanan cybera
Analisa insiden bab 12

Perkenalan
Di bab terakhir, kami melihat gambaran dari peristiwa yang ditangani. Kita melihat fase-fase
yang berbeda: 
 Persiapan: Membangun infrastruktur untuk menyelesaikan permasalahan yang terjadi.
 Analisis: mencari tahu dan mendokumentasikan sebanyak mungkin insiden.
 Pembatasan: berdasarkan hasil analisis, tentukan cara terbaik untuk memproses dan
menyingkirkan dampak insiden yang berkepanjangan.
 Pelajaran yang dipelajari: terapkan pengetahuan yang baru ditemukan untuk
memperbaiki masalah apa pun yang ditemukan selama proses itu, kembali ke tahap
persiapan.

Siklus penanganan insiden tak pernah berakhir. Seiring dengan munculnya kerentanan baru,
teknologi baru muncul, tantangan baru muncul. Jika sesuatu gagal selama fase persiapan,
ketika organisasi mencoba untuk menjadi proaktif terhadap kerentanan mereka, itu pasti akan
mengarah pada kejadian-kejadian yang merugikan.
Dalam bab ini, kita akan mempelajari fase-fase 2 dan 3, analisa dan pencegahan. Kita akan:
 Mencari sumber informasi di dalam Linux dan sistem operasi Windows.
 Belajar cara memperoleh informasi dari sistem-sistem tersebut khusus untuk peristiwa
yang sedang kita kaji ulang.
 Mempelajari cara membuat jadwal yang menunjukkan pola peristiwa.
 Melihatlah berbagai contoh serangan atas beberapa aplikasi.

Analisis Log

Kebanyakan aplikasi dan sistem operasi perangkat lunak menyediakan semacam mekanisme
penebangan untuk merekam informasi status. Tujuan logging tugas pada aplikasi bervariasi.
 Para pengembang perangkat lunak menggunakan penebangan untuk memastikan
penyerapannya berperilaku seperti yang diharapkan. Misalnya, pengembang perangkat lunak
mungkin memutuskan untuk menaruh keluaran perintah internal ke layar dalam situasi
tertentu. Ini dikenal sebagai menjalankan aplikasi dalam debug mode.
 Administrator sistem menggunakan informasi penebangan untuk melakukan analisis
kinerja contoh produksi aplikasi. Sebagai contoh, SAs dapat memantau log untuk
memastikan aplikasi memiliki cukup memori dan disk ruang untuk menjalankan dengan
benar.
 Keamanan administrator menggunakan log selama tahap analisis suatu insiden.
Faktanya, akses ke log sistem kemungkinan item pertama yang akan diminta admin
keamanan sebagai bagian dari penyelidikan.

Gambar 12.1 Peristiwa View Gambar  pada Windows 8

Pada bagian ini, kita akan mencermati log secara umum, baik catatan sistem operasi maupun
catatan aplikasi.

Log Windows

Logs Windows juga disebut sebagai "catatan peristiwa" "Gambar 12.1 menggambarkan
jendela antarmuka menyediakan pengguna untuk membaca dengan teliti batang-batang kayu
tersebut. Program ini dikenal sebagai Event Viewer. Ada perangkat lainnya, open source dan
commercial, yang dapat digunakan untuk menggali file log peristiwa di Windows. Sebuah
pencarian web yang sederhana akan menghasilkan ratusan hasil.
 Panel kiri pada penampang acara adalah panel navigasi. Ini memberi administrator cara
untuk melihat catatan berbeda yang ada di sistem ini. Padadek ini, administrator mampu
menciptakan pAndangan kustom, fokus pada target khusus.

Layar depan penambil acara

Layar depan acara penampil, digambarkan dalam gambar 12.1, terdiri dari tiga panel dengan
informasi berbeda pada file log.

Ringkasan dari peristiwa administratif yang pane ini tidak sesuai dengan jumlah peristiwa
setiap peristiwa. Jika administrator mengembangkan tipe "+" dengan mengklik tombol "+" di
sebelah tipe tersebut, jumlah peristiwa di bawah tipe kejadian tersebut akan lebih hancur lagi
berdasarkan ID kejadian.

Baru-baru ini dilihat noda-noda kaca jendela ini berisi peristiwa terbaru dilihat file log.
Fragmen itu memuat uraian tentang pandangan (jika tersedia), tanggal terakhir diujungnya
file log (nodus) (dengan kata lain, ketika sesuatu sebenarnya ditulis pada arsip tersebut), dan
kapan file itu mula-mula dibuat. Garis tanggal kosong menunjukkan bahwa file itu tidak
pernah dibuat atau entri log tidak pernah terjadi pada file tersebut (gambar 12.3).

Gambar 12.2 Ringkasin dari panel Acara Administrasi

Gambar 12.3 Node Baru Dilihat

Gambar 12.4 Ringkasan Panel Log

Ringkasan Log pada halaman belakang adalah panel ringkasan Log. Ini menjelaskan atribut
dari masing-masing file log yang saat ini disimpan. Kolom ukuran/maksimum memberi tahu
administrator berapa banyak ruang yang tersisa untuk pertumbuhan dalam file log. Jika Anda
melihat arsip-arsip yang hampir atau paling banyak, kemungkinan besar catatan yang
disimpan dalam arsip itu berputar dan karenanya hilang (gambar 12.4). Ini menimbulkan
pertanyaan: berapa banyak hari dari tumpukan kayu yang dapat disimpan mesin sebelum
catatan yang hilang?
Biasanya, saudara akan menyadari bahwa Log keamanan akan segera mengisi bahan
bakar, sehingga dibutuhkan waktu rotasi lebih sering daripada yang lainnya. Hal ini terutama
berlaku untuk server Windows. Tergantung jumlah pengguna server, mengambil informasi
yang berguna dari file Log keamanan mungkin tidak berguna.
Selain itu, perhatikan dua kolom lagi yang terpampang di panel ringkasan kayu itu.
Sekilas, Anda bisa menentukan apakah jasa penebangan tertentu dapat dilaksanakan, dan
Anda juga bisa mengetahui apakah layanan itu bertujuan untuk menulis ulang informasi yang
sudah ada saat file log penuh atau membuang entri baru ketika penuh.

Jenis file log peristiwa

Secara otomatis, beberapa peristiwa file log umum untuk Windows OS sejak XP. Anda dapat
melihat file log Windows terpampang pada panel kiri gambar 12,2.
 Log aplikasi berisi informasi penebangan dari aplikasi pihak ketiga dan aplikasi
Microsoft tidak dianggap sebagai bagian dari distribusi inti sistem operasi. Misalnya, log
video game informasi, Microsoft Office log, semua pesan ini login dalam file peristiwa
aplikasi.
 Keamanan dokumen sebagian besar merupakan kumpulan upaya login dan log ke
daftar. Konfigurasi Its dapat disesuaikan sehingga akan log penciptaan dan membuka atau
penutupan file data dalam sistem.
 Log sistem acara menyimpan pesan sistem operasi. Misalnya, masalah koneksi
jaringan dan kesalahan pengemudi kartu video dimasukkan ke file peristiwa sistem.
 Windows 8 memiliki dua lagi node log stAndar:
 1.  Setup node yang menyimpan informasi terkait instalasi aplikasi perangkat lunak
 2.  Log peristiwa berantai, yang akan kita bahas sebentar lagi.

Contoh forensik Windows

Berikut adalah contoh nyata cepat dari menggunakan penampil acara untuk mengumpulkan
data untuk analisis. Kadang-kadang, bahkan peristiwa-peristiwa yang digolongkan sebagai
"informasi" dapat memuat informasi penting bagi analis keamanan. Ambil screenshot dari
mesin dikompromikan pada gambar 12,5. 
Komputer ini memiliki McAfee instalasi antivirus berjalan di atasnya. Browsing melalui file
log ini, beberapa kata harus muncul segera. Dalam deskripsi umum, kita melihat "Event ID
5000. "Kayu yang diekspor ini bukan mesin asli. Oleh karena itu, jendela-jendela tidak dapat
membedakan peristiwa mana yang dihasilkan peristiwa itu. Namun, informasi termuat
menunjukan bahwa "VirusScan Enterprise" adalah pelakunya. Jika Anda sudah familiar
dengan organisasi ini Anda akan tahu bahwa versi AV engine pada saat kejadian adalah 5,4.1
(dibandingkan dengan versi 5.3.0 yang ditemukan) dan versi virus signature adalah 5700,
yang mengarah pada kesimpulan bahwa scanner virus belum up to date pada mesin tertentu.
Pencarian di Internet pada "Event ID 5000" berhubungan dengan McAfee mengungkapkan
bahwa ini bisa menjadi kesalahan yang diangkat jika pada perlindungan akses, bagian yang
membuat mesin dari mendapatkan terinfeksi waktu nyata, tidak memulai dengan berhasil. 
Semua informasi ini berasal dari satu pesan singkat peristiwa informasi sederhana. Di saat
ini, pertanyaan yang perlu diingat adalah: apakah aplikasi antivirus (antivirus) dijalankan
pada mesin ini sama sekali?

Gambar 12.5 Informasi Acara Tangkapan layar

Kritik
Pesan Log juga ditAndai dengan label yang menunjukkan tingkat urgensi mereka. Ketika
melihat penampang acara, Anda akan melihat bahwa folder tampilan Custom berisi "Events"
Custom View. PAndangan ini dipasang secara otomatis pada jendela 8 instalasi dan
menyediakan pemAndangan dari semua peristiwa "penting", "kesalahan", dan "peringatan"
dari semua catatan administratif. Ini adalah tingkat atas, yang paling penting log pesan pada
sistem Windows. Gambar 12.6 menunjukkan keluaran khas tampilan peristiwa administratif.
Menurut Microsoft, 1 Windows memiliki tingkat kritik berikut:
 Informasi: peristiwa yang menggambarkan keberhasilan melaksanakan suatu tugas,
seperti permohonan, sopir, atau dinas. Misalnya, sebuah peristiwa informasi direkam ketika
seorang sopir jaringan berhasil memanggul kendaraannya.
 Peringatan: suatu peristiwa yang tidak selalu berarti, bisa jadi menunjukkan
kemungkinan terjadinya problem di masa depan. Sebagai contoh, sebuah pesan peringatan
log log apabila ruang disk mulai menipis.
 Kesalahan: peristiwa yang menggambarkan problem penAnda, seperti kegagalan
tugas penting. Peristiwa kesalahan dapat melibatkan kehilangan data atau kehilangan fungsi.
Sebagai contoh, sebuah peristiwa kesalahan akan tercatat jika layanan gagal untuk beban
selama start-up.
 Audit yang sukses (catatan keamanan): suatu peristiwa yang menggambarkan
keberhasilan penyelesaian suatu peristiwa keamanan yang telah diaudit. Misalnya, suatu
peristiwa Audit yang sukses tercatat ketika sebuah catatan pengguna log on ke komputer.
 Audit yang gagal (catatan keamanan): sebuah peristiwa yang menggambarkan suatu
peristiwa keamanan yang diaudit yang gagal. Sebagai contoh, kegagalan Audit mungkin
login ketika pengguna tidak dapat mengakses drive jaringan.

Gambar 12.6 Administrasi windows memantau

UNIX punya tingkat kritik yang sama, tapi tidak sama. Kita akan melihat itu di bagian
berikutnya.
Ketika "penampil acara (setempat)" dipilih pada panel kiri, sang administrator dibawa ke
halaman tinjauan dan ringkasan.

Unix Log
 Sekarang mari kita lihat catatan Unix. Apa yang kita lihat pada beberapa bagian berikutnya
menggunakan Linux, tapi idenya, dan seringkali lokasi file dan file konfigurasi, juga berlaku
pada perangkat Unix lainnya, seperti Solaris dan AIX. Sebagai contoh, salah satu file yang
akan kita lihat adalah /var/adm/messages (Solaris) atau /var/log/pesan-pesan log/(Linux). File
yang sama, dengan jenis konten yang sama, tetapi di lokasi yang sedikit berbeda. 

Kantor penebangan perusahaan Syslog

Unix punya proses khusus untuk menangani pesan untuk program yang "syukuran sadar.".
Seperti itu, setiap programmer dapat menggunakan fasilitas ini untuk menyimpan informasi
log pada lokasi spesifik dalam file konf konfigurasi. Conf. 
Jasa syslog digunakan dengan merincikan apa yang dikenal sebagai pemilih. Selektor disusun
dari dua bagian:
1. Fasilitas itu merancang layanan yang menghasilkan pesan kesalahan. Beberapa
fasilitas yang tersedia adalah asli, autentik, cron, daemon, kern, LPR, dan surat. Log pesan
yang diproduksi oleh subsistem email, misalnya, akan login menggunakan fasilitas surat.
Syslog juga menyediakan fasilitas untuk kode yang dikembangkan secara lokal. Ini dikenal
sebagai lokal0 melalui local7.
2. Prioritas adalah salah satu yang berikut: debug, info, pemberitahuan, peringatan,
peringatan (sama dengan peringatan), kekeliruan, kesalahan (sama seperti kesalahan), crit,
peringatan, emerg, kepanikan (sama seperti emerg). Prioritas mengetahui pesan berdasarkan
kritik. Prioritas adalah aditif, berarti bahwa ketika pesan pemilih prioritas dengan prioritas itu
dan semua prioritas yang lebih tinggi akan logg

File konfigurasi disusun dengan menggabungkan selektor digabungkan dengan tindakan. Dia
…
 Tindakan bisa menjadi:
 • filename, seperti pesan var/adm/.
 • berikutnya untuk melayani syslog pada host lain, seperti @hostname
 • tuliskan informasi log di layar pengguna dengan memerinci nama pengguna (atau * untuk
semua pengguna)
 Berikut adalah beberapa contoh:
 *. Info; surat; autentik. Tidak ada;cron.no /var/log/messages dikonfirmasi. /var/log/aman


Ini adalah beberapa contoh:

*.info;mail.none;authpriv.none;cron.non /var/log/messages
e
authpriv.* /var/log/secures
mail.* /var/log/maillog
cron.* /var/log/cron
*.emerg *

Pada baris 1, semua pesan yang digolongkan sebagai info atau prioritas lebih tinggi
terlepas dari fasilitas (*.info) akan ditulis ke /var/log/messages. Satu-satunya pengecualian
untuk aturan ini adalah pesan dengan fasilitas mail, authpriv, dan cron. Dalam baris 2–4,
semua pesan dengan fasilitas tersebut ditulis ke file log masing-masing. Akhirnya, semua
pesan dengan prioritas emerg (biasanya hanya digunakan jika sistem shutdown adalah yang
utama) ditulis ke layar semua pengguna yang saat ini masuk ke server.
Standard Log Files
Ketika menyelidiki suatu insiden, analis mungkin harus melihat semua file pada direktori
/var/log. Inilah beberapa yang paling penting.
messages or syslog sebagian besar implementasi Unix akan menyertakan file pesan meskipun
beberapa versi Unix menggunakan /var/log/syslog sebagai gantinya. Namun, informasi yang
disimpannya pada dasarnya sama dengan file standar /var/log/messages. Setiap dan semua
pesan informasi menggunakan layanan syslog masuk ke file-file ini. Dengan demikian, ini
adalah pemberhentian pertama bagi administrator yang mencari kemungkinan masalah atau
analis keamanan yang mencari jejak pembobolan.
Salah satu hal yang menyenangkan tentang file log Unix adalah anda dapat dengan
cepat membedahnya menggunakan beberapa alat yang telah kami pelajari sejauh ini. Ambil
cuplikan yang ditunjukkan pada Gambar 12.7, misalnya. Potongan file log itu dibuang ke
layar dengan perintah berikut:
zcat syslog.?.gz | grep -v snort | grep -v AptDaemon | grep -v dbus | less

Yang pada dasarnya mengarahkan sistem untuk mengekstrak isi semua file pada
direktori saat ini dari pencocokan pola di atas, di mana "?" meluas ke huruf atau angka apa
saja. Kemudian hapus baris apa pun yang mengandung kata "snort," "AptDaemon," atau
"dbus" dan tampilkan hasilnya melalui perintah pager lebih sedikit. Ini dilakukan untuk
membatalkan file log. Dalam log peristiwa Windows, ini akan sama dengan meminta
program untuk menyembunyikan pesan "Audit Success" dari awal mulai. Baris perintah
sederhana ini mengurangi jumlah baris yang menarik dari 3.600 menjadi 1.000.
 Alasan di balik decluttering (deklarasi) itu sederhana. Ketika Anda pertama kali mulai
memeriksa file log, anda akan melihat kejanggalan, kejadian aneh. Lihatlah Gambar 12.7
lagi. Sekitar setengah jalan melalui gambar, baris log berikut muncul:
Jan 11 07:38:16 inigo kernel: [337129.385557] device eth0 left promiscuous mode
Semua baris log menggunakan layanan syslog mengikuti pola yang sama: pertama
date (tanggal), lalu military time, hostname, service logging the message, dan akhirnya pesan
yang sebenarnya. Pada baris khusus ini, pada 7:38 pada 11 Januari, antarmuka eth0,
antarmuka jaringan kabel yang menghubungkan host ke jaringan, "left promiscuous mode."
Biasanya ini akan menjadi perhatian. Antarmuka dalam mode promiscuous pada dasarnya
dapat menangkap setiap dan semua lalu lintas data yang dilihatnya, termasuk paket data yang
bukan miliknya. Di lingkungan yang diaktifkan, itu mungkin tidak menjadi masalah. Tetapi
dalam lingkungan bersama, seperti titik akses nirkabel yang tidak terlindungi, semua lalu
lintas dari semua mesin yang terhubung ke titik akses ini akan terlihat oleh komputer ini saat
dalam mode promiscuous.

Authentication log Titik berikutnya untuk analis keamanan adalah authentication log,
/var/log/secure atau /var/log/auth.log, tergantung pada sistem operasinya. Sesuai namanya,
file ini menyimpan informasi otentikasi dan otorisasi untuk sistem. Gambar 12.8 memiliki
sampel kecil.
File ini diekstraksi dari desktop Linux box, yang tidak mengandung data menarik
untuk peretas. Kotak ini dikenal sebagai kanal "crash and burn". Itu dimulai, lalu
dihancurkan,

lalu mulai lagi, dan selanjutnya. Tujuannya adalah untuk menguji alat forensik baru. Lihatlah
file log. Dalam jangka waktu 6 jam, semalam:
  Seseorang yang menggunakan login aadriano mencoba masuk menggunakan ssh dari
66.135.32.170.
 Seseorang mencoba masuk berkali-kali, mungkin dengan banyak kata sandi, ke akun
root dari 5.76.16.183.
Karena tidak ada pengguna aadriano di box ini, kita hanya dapat berasumsi bahwa ini
adalah skrip otomatis, mungkin menggunakan kata sandi yang dikenal yang diperoleh di
suatu tempat untuk pengguna aadriano. Pencarian web cepat pada IP dan akun menampilkan
halaman web dari situs honeypot, situs yang sengaja membuka diri untuk menarik dan
merekam upaya intrusi. Situs honeypot memiliki kata sandi aktual yang digunakan pada
upaya percobaan masuk: admin, aadriano123, dan aadriano. Semua upaya yang dicatat di
situs honeypot terjadi sekitar tanggal yang sama dengan insiden tersebut.
Petunjuk berikutnya sebenarnya sedikit lebih memprihatinkan. IP tersebut milik
perusahaan komunikasi di Rusia. Pencarian pada alamat tidak mengungkapkan catatan, tidak
ada jejak di mana pun. Sementara serangan pertama meninggalkan jejak yang jelas untuk
diotomatiskan, yang kedua mungkin merupakan penyelidikan eksplorasi yang ditargetkan.
Langkah selanjutnya pada proses analisis adalah:
1. Periksa apakah IP yang sama mengenai komputer lain di organisasi anda.
2. Periksa log lengkap, tanpa filter, untuk IP yang sama.
3. Periksa file log lain di mesin yang sama.

wtmp file wtmp bukan file teks, tetapi file biner yang menyimpan informasi login dan logout
historis. Perintah Unix yang membaca file /var/log/wtmp dan menampilkan pada layar daftar
pengguna yang terakhir login. Selain itu, yang terakhir juga akan melaporkan setiap sistem
memulai ulang
yang direkam pada /var/log/wtmp. Jika anda mencari waktu reboot, perintah last adalah cara
yang paling mudah dan mendapatkan respon cepat. Asumsinya adalah, tentu log belum
diubah. Gambar 12.9 menunjukkan contoh output dari program last pada desktop Linux box.
Hasilnya menunjukkan user name, nomor pseudo terminal yang terkait dengan login, nama
host, dan periode waktu saat user login. Switch “-a” pada akhir perintah memberi tahu sistem
untuk menampilkan nama host di akhir baris. Jika switch tidak di masukkan, nama host
ditampilkan pada kolom ketiga dan dipotong sesuai kebutuhan. Itu sering membuatnya sulit
untuk membaca nama host secara lengkap.
File wtmp di rotasi secara berkala. Anda mungkin melihat beberapa file wtmp di
/var/log, ditambahkan dengan .1, .2, dll. File yang lebih dulu ini dapat diakses dengan
menggunakan perintah last dengan –f <filename> flag.

utmp file Sementara file wtmp menyimpan informasi historis tentang login, file utmp
menunjukkan siapa yang login ke sistem pada saat ini. Dalam beberapa sistem Unix, utmp
disimpan di direktori /var/adm. Sebagian besar distribusi Linux menyimpan file dalam
/var/run
Mirip dengan wtmp, utmp adalah file biner. Isinya diperiksa dengan menggunakan
perintah "who". Perintah ini membaca file utmp dan menampilkan nama pengguna dari
mereka yang login, serta beberapa informasi tentang dari mana mereka masuk.
Satu lagi, mungkin perintah yang sedikit lebih berguna adalah "w" yang ditampilkan
pada Gambar 12.10. Perintah ini menampilkan sedikit lebih banyak informasi tentang sistem
dan biasanya ini adalah salah satu hal pertama yang akan dijalankan seorang analis segera
setelah login. Perintah w menunjukkan:
 Berapa lama komputer telah menyala sejak reboot terakhir.
 Terminal nyata (real) atau semu (pseudo) mana yang digunakan.
 Saat pengguna login.
 Apakah mereka aktif atau tidak.
  Memuat informasi.
 Perintah dijalankan oleh pengguna.
Output w mungkin tidak terlalu mengesankan pada Gambar 12.10, tetapi menjadi
sangat berguna pada sistem multiuser, dimana ratusan pengguna mungkin masuk dan bekerja
pada saat yang sama. Mari kita asumsikan itu saat menjalankan perintah. Anda melihat
pengguna menjalankan perintah berikut:
nmap 192.168.1.0/24 > ˜/.out/.output.pscan
Sekalipun Anda tidak tahu apa yang dilakukan perintah nmap, fakta bahwa Anda
memiliki pengguna di sistem Anda yang menyimpan data pada file tersembunyi di direktori
tersembunyi harus menaikkan tingkat peringatan. Pencarian web cepat mengungkapkan
bahwa nmap adalah pemindai port yang kuat. Spesifikasi host menunjukkan bahwa pengguna
ini memindai seluruh subnet 192.168.1. Bahkan jika ini tidak bertentangan dengan kebijakan,
itu menjamin cek. Jika kolom FROM menampilkan nama host yang tidak anda ketahui,
mungkin sudah waktunya untuk memasuki mode respons insiden.

Web server logs

Mayoritas insiden dalam beberapa tahun terakhir melibatkan semacam basis web, apakah itu
mengeksploitasi kerentanan Java, mengunduh file PDF yang tercemar, atau injeksi SQL yang
sangat umum. Untuk menganalisis peristiwa ini, kita perlu sampel log server web.
Kotak berikut memperlihatkan beberapa baris pada file log dari server aplikasi yang
menjalankan aplikasi PeopleSoft. PeopleSoft menggunakan server web Apache yang
dikonfigurasikan khusus sebagai ujung depannya.
 Pada contoh di atas, host 97.183 tampaknya melakukan semacam penyelidikan di
server web. Setiap baris tampaknya mencari aplikasi yang berbeda. Sekali lagi menggunakan
pencarian web, kami menemukan bahwa "ptz.htm" adalah ujung depan untuk kamera
keamanan AXIS. File sws_data.js milik Awstats paket statistik web. Selain temuan ini,
sepertinya 97.183 juga menyerang 89.16, yang pada gilirannya meneruskan serangan ke
server web ini. Memang, setelah penyelidikan lebih lanjut, kami menentukan bahwa 89.16
adalah server proxy untuk Peoplesoft.
Netflow logs
Netflow adalah protokol jaringan yang dikembangkan oleh Cisco untuk mengumpulkan
informasi lalu lintas IP jaringan. Selama bertahun-tahun, ia juga telah didukung oleh vendor
peralatan jaringan lain sebagai standar untuk jenis logging ini.
Berikut contoh informasi yang tersedia dari netflow. Garis-garis itu diurai untuk
memudahkan pembacaan.

Log jaringan seperti netflow log ini adalah kunci untuk dapat membangun hubungan
antara aktivitas di banyak komputer di jaringan. Selain cap waktu, netflow flog menunjukkan
sumber dan tujuan transaksi. Nomor port berguna untuk menentukan jenis layanan yang
berjalan pada IP sumber dan/atau tujuan. Akhirnya, jumlah paket merupakan indikasi yang
baik tentang jumlah informasi yang dipertukarkan selama koneksi itu. Dari cuplikan di atas,
kita sudah dapat menentukan beberapa hal:
 222.243 mungkin menjalankan server web pada port 80. Ini biasanya nomor port
untuk server web tidak aman (non-SSL).
 IP yang sama menjalankan server web aman (SSL) pada port standarnya, 443.
 Jumlah lalu lintas pada port ini merupakan indikasi apakah ini adalah server web yang
populer atau tidak. Jumlah koneksi yang luar biasa dapat menunjukkan bahwa konten
yang dipertanyakan (seperti film porno, musik, atau film) didistribusikan secara
ilegal.
 Karena ada server web yang berjalan, itu juga berarti bahwa harus ada file log di suatu
tempat di 222.243. Jika kita ingin mengetahui apa yang ditransfer pada waktu
tertentu, kita dapat mengetahuinya, dengan asumsi jam pada perangkat aliran net dan
server web sedang disinkronkan.
Seperti yang Anda lihat, kami dapat memperoleh sedikit informasi dari empat baris
log netflow.

Other logs
Tergantung pada aplikasi yang berjalan pada sistem anda, anda mungkin memiliki lebih
banyak log untuk menyelidiki yang bekerja pada analisis insiden tersebut. Berikut ini adalah
pesan yang diekstrak dari server yang menjalankan WordPress, Sistem Manajemen Konten.
Ini menunjukkan aplikasi WP sedang diserang oleh serangan injeksi SQL.

General Log Configuration and Maintenance

Sistem operasi dan aplikasi perangkat lunak berasal dari pengembang dengan pengaturan
default untuk pengambilan log, tetapi pengaturan default tersebut tidak selalu sesuai dengan
hasil yang diinginkan. Seperti yang kami sebutkan di awal buku ini, personel TI yang berbeda
ingin mengekstraksi hal-hal yang berbeda dari log, dan apa yang mungkin diinginkan
pengguna tidak selalu seperti yang diinginkan oleh analis keamanan. Misalnya, pengguna
mungkin tidak peduli tentang catatan masuk dan keluar sama sekali ke desktop. Jelas, dari
sudut pandang analis keamanan, informasi itu cukup berharga. Oleh karena itu, tugas pertama
yang harus diselesaikan ketika berurusan dengan konfigurasi dan pemeliharaan log adalah
untuk menentukan audiens. Siapa yang akan tertarik melihat log? Apakah ada masalah
kepatuhan yang mengharuskan pembuatan log dan mencatat aktivitas tertentu? Sebagai
contoh, apakah organisasi saya diharuskan oleh Auditor Federal untuk mencatat setiap dan
semua akses ke Nomor Jaminan Sosial disimpan dalam database saya? Apakah organisasi
saya diharuskan menyimpan informasi log selama beberapa hari? Informasi apa yang
diperlukan organisasi untuk memelihara?
Ini semua adalah pertanyaan kepatuhan, dan kepatuhan belum tentu sama dengan
keamanan. Mari kita lihat beberapa perubahan konfigurasi dasar dan sekali lagi tanyakan
pertanyaan "Apa yang harus saya simpan?" dengan mata kita pada aspek keamanan. Gambar
12.11 adalah tangkapan layar dari entri pada log peristiwa keamanan dengan pengaturan
default, dari instalasi Windows 8 Early Release.
Kami sebelumnya membahas fakta bahwa Log Keamanan biasanya adalah yang akan
mengisi dan memutar tercepat. Dan inilah alasannya: login berulang yang berhasil dari
pengguna. Dalam hal ini, kami memiliki beberapa opsi.
 Meningkatkan ukuran file log maksimum. Ini akan memberi kami waktu tambahan
dan mungkin cukup di komputer pribadi untuk memungkinkan jumlah hari yang layak
dipertahankan. Namun, ini bukan solusi "one-size-fi ts-all" dan mungkin tidak praktis
dalam lingkungan perusahaan. Administrator mungkin harus menentukan ukuran log
yang berbeda untuk komputer yang berbeda tergantung pada pola penggunaan.
 Jangan mencatat pesan "Audit Success". Ini mungkin terdengar seperti jawaban yang
dapat diterima, setidaknya pada awalnya. Namun, itu seharusnya tidak menjadi opsi A
 untuk seorang analis keamanan. Jika anda menghapus semua login yang berhasil dari
log anda juga akan kehilangan semua waktu ketika seorang hacker masuk ke
komputer menggunakan kata sandi curian jam 4 pagi! Lihat sidebar di halaman
berikutnya untuk contoh praktis.

 Rotasi dan arsipkan file lama. Pilihan lain adalah mengarsipkan file dan memulai log
baru. Ini menarik karena Anda dapat menyimpan file log ke ukuran pendek, lebih
mudah dikelola dan menyimpan sejarah yang lebih lama. Kekurangannya adalah
penggunaan ruang penyimpanan. Katakanlah anda ingin menyimpan file log hingga
20MB, menjaga lima salinan terakhir. Itu akan menjadi 100MB untuk log keamanan.
Bagaimana dengan file log lainnya? Penggunaan mungkin mulai merayap.
Opsi terbaik, jika memungkinkan, adalah mentransfer file log ke komputer lain yang
didedikasikan untuk menyimpan informasi log. Windows telah menambahkan opsi ini pada
Windows 8. Event yang diekspor ini akan ditampilkan pada node log Forwarded Events.
Tindakan mengekspor log dari mesin asli ke central box (kotak pusat) yang
didedikasikan untuk pengumpulan log dikenal sebagai konsolidasi log. Dari perspektif
keamanan, dan kepatuhan juga, mengekspor log adalah pilihan terbaik karena berbagai
alasan. Sebagai permulaan, ini memungkinkan korelasi log yang lebih mudah antara
komputer yang berbeda. Dengan semua log yang berlaku di satu lokasi, analis keamanan
tidak perlu berkeliling mengumpulkan barang. Sangat sulit untuk mengumpulkan log jika
anda tidak tahu host mana yang telah dikompromikan. Dalam situasi konsolidasi, analis dapat
mencari semua file akses untuk semua upaya koneksi dari satu IP tertentu, misalnya.
Prosesnya jauh lebih cepat dan sederhana. Dan sederhana itu baik ketika anda berada di
tengah-tengah insiden. Minutes of downtime dapat diterjemahkan menjadi jutaan dolar.

(Gambar 12.12)
Salah satu hal pertama yang akan dilakukan peretas berpengalaman ketika mereka
membobol komputer, terutama di lingkungan perusahaan, adalah menghapus dan
menonaktifkan semua log dalam upaya untuk menutupi jejak mereka. Jika entri log diekspor
saat terjadi, secara real time, ke mesin lain, bahkan jika log lokal rusak, analis keamanan
masih akan memiliki akses ke salinan asli.
Mengekspor log juga menawarkan perlindungan terhadap ancaman penyalahgunaan
hak istimewa oleh administrator, karena administrator server dapat dengan mudah menutupi
jejaknya dalam situasi penipuan dengan memodifikasi informasi logging. Tentu saja, inilah
peringatannya: mesin logging, jika diatur, seharusnya hanya memungkinkan akses
berdasarkan kebutuhan untuk mengetahui. Praktik umum adalah hanya mengizinkan personel
keamanan untuk mengakses komputer ini, dengan akses hanya baca yang dibagikan sesuai
kebutuhan kepada administrator lainnya.

Live incident response

Salah satu aturan forensik pertama adalah memulihkan data sebanyak mungkin saat sistem
aktif dan bekerja jika memungkinkan. Kadang-kadang, tergantung pada kerusakan yang
disebabkan, administrator harus menembak terlebih dahulu dan mengajukan pertanyaan
kemudian, cabut steker pada mesin, atau lepaskan dari jaringan.
Namun, jika situasinya memungkinkan, analisis sistem yang hidup dan
terkompromikan dapat memberikan simpatisan dengan lebih banyak data. Respon insiden
langsung melibatkan pengumpulan data volatil dan non-volatil yang sistemnya aktif. Data
volatil adalah data yang akan hilang pada reboot sistem: proses yang berjalan, konten memori
yang mudah menguap, koneksi TCP dan UDP saat ini, dll. Data yang tidak mudah menguap
adalah data yang disimpan dalam perangkat penyimpanan permanen, seperti hard drive.
Setelah dikumpulkan, data harus dikirim dari mesin melalui sarana apa pun yang diperlukan.
Aplikasi populer yang digunakan untuk mengirim data ini ke workstation lain (biasanya
dikenal sebagai forensics workstations) termasuk netcat dan cryptcat. Netcat menciptakan
TCP tunnel antara komputer yang sedang diselidiki dan workstation forensik, dan itu
mencakup kemampuan MD5 hash checksum, yang diinginkan untuk memastikan integritas
data. Cryptcat adalah versi terenkripsi dari netcat.
Salah satu program tersebut adalah perintah systeminfo. Gambar 12.13 menunjukkan
output systeminfo pada komputer Windows 8 desktop. Menariknya, ini biasanya merupakan
salah satu perintah pertama yang akan dijalankan oleh peretas pada komputer yang
dikompromikan untuk mengetahui seberapa kuat mesin itu dan seberapa banyak
penyimpanan yang tersedia. Systeminfo juga menentukan tambalan mana yang telah
diterapkan pada sistem.

Secara umum, peretas lebih menyukai utilitas baris perintah sehingga mereka dapat
dengan mudah membaca output dan mengevaluasinya dari sistem lain. Adalah umum untuk
menemukan file-file log yang berisi output dari utilitas-utilitas ini yang semuanya dibungkus
dengan baik dalam satu paket yang mudah digunakan ketika menyelidiki suatu host yang
disusupi.
Restoring files
Peretas menghasilkan log. Mereka juga memiliki muatan yang biasanya ditransfer ke sistem
yang dikompromikan, termasuk alat laba sistem yang baru saja kita bahas. Log dan alat-alat
ini sering dihapus dari sistem begitu beachhead didirikan, tetapi mendapatkan file-file ini
biasanya merupakan nilai tambah yang besar untuk penyelidikan. Mengembalikan file juga
sangat bermanfaat pada penyelidikan personel, dalam situasi penipuan, atau penggunaan
sumber daya perusahaan secara tidak teratur.
Disini ada perbedaan antara deleting dan erasing file. Pengguna biasanya berpikir
bahwa dengan menekan tombol delete pada mesin Windows, mereka secara efektif akan
menghapus file dari sistem. Pengguna yang lebih canggih lainnya menyadari bahwa mereka
juga harus "empty the trash." Tetapi beberapa pengguna tahu bahwa bahkan dengan
mengambil kedua langkah ini, data yang terkait dengan file ini masih berpotensi dipulihkan.
Berikut penyederhanaan proses penyimpanan file. Ketika file disimpan di komputer,
data dibagi menjadi beberapa bagian. Bagian pertama akan menyimpan informasi di mana
secara fisik pada disk bagian yang lain disimpan (juga disebut sebagai metadata). Ketika file
dihapus, sistem operasi akan menghapus bagian pertama, penunjuk alamat, dan membiarkan
bagian data yang sebenarnya tidak tersentuh tetapi ditandai "usable."
Untuk menghindari kehilangan data, penunjuk alamat direplikasi, terkadang di
beberapa lokasi pada sistem. Jika bagian pertama ini dibangun kembali berdasarkan bagian
cadangan sebelum bagian yang ditandai tersedia digunakan kembali, seluruh file dapat
diambil. Metode lain dari rekonstruksi file disebut file carving. Dengan file carving, aplikasi
mencoba untuk membangun kembali file berdasarkan pada konten masing-masing data, dan
tidak berdasarkan pada metadata.
Gambar 12.14 menunjukkan perintah Pemeriksaan File Sistem dijalankan pada mesin
Windows 8. Perintah ini biasanya dijalankan ketika metadata untuk file tertentu hilang pada
saat boot.
MAC times
Kita sudah melihat time stamp (cap waktu) untuk kejadian yang ditemukan pada file log dari
semua varietas. Sekarang kita akan berbicara secara singkat tentang cap waktu yang terkait
dengan file data.
Setiap file, baik pada sistem Unix atau Windows, memiliki setidaknya tiga cap waktu
yang terkait dengannya. Stempel waktu ini dikenal sebagai MAC times, dan itu adalah:
 Modification Time - menunjukkan waktu file terakhir diubah.
 Access Time - menunjuk ke waktu file terakhir diakses atau dibaca.
 Creation Time - waktu ketika file dibuat.
Biasanya Access Time tidak terlalu dapat dipercaya, karena akan sering berubah.
Pemindai virus, misalnya, dapat mengakses semua file pada sistem setiap malam saat
memindai virus. Aplikasi disk defrag dapat mengakses potongan data pada hard drive untuk
meningkatkan kinerja dengan menghapus tempat "kosong" di antara data. Kedua aktivitas ini
berpotensi mempengaruhi Waktu Akses file dalam sistem. Pelacakan Waktu Akses bahkan
mungkin dinonaktifkan oleh administrator sistem untuk meningkatkan kinerja sistem file.
 Namun, Creation and Modification Time sedikit lebih dapat diandalkan. Meskipun
mereka dapat diubah secara program, mereka biasanya tidak tersentuh oleh peretas.
Jadi, mari kita asumsikan bahwa menggunakan log netflow, kami menemukan
koneksi SSH yang mencurigakan ke server yang kami selidiki. Menggunakan log netflow,
kami menemukan cap waktu yang terkait dengan koneksi. Netflow juga menunjukkan
sejumlah besar paket yang ditransfer ke server: beberapa jenis muatan dijatuhkan ke dalam
sistem. Namun, log netflow tidak akan memberi tahu kami "apa" dijatuhkan. Untuk
mengetahui berapa muatannya, kita harus memeriksa sistem yang dimaksud. Kita bisa
menyelidiki direktori secara membabi buta, mencoba mencari tahu apa yang tampak luar
biasa atau kita bisa membangun timeline file server dan menentukan file mana yang dibuat
sekitar waktu yang ditemukan pada log netflow.
Gambar 12.15 menunjukkan satu cara untuk melihat cap waktu MAC pada file di
Windows. Cukup pilih file, klik kanan, lalu pilih Properties. Anda juga dapat menampilkan
tanggal yang berbeda di seluruh direktori dengan menggunakan File Explorer dan
menampilkan kolom yang sesuai, seperti pada Gambar 12.16. Itu akan bekerja untuk melihat
sekilas pada sistem live. Namun, jika Anda perlu memeriksa seluruh drive, akan lebih mudah
untuk menggunakan alat yang menyelidiki direktori secara rekursif, seperti mac_robber atau
alat forensik lainnya.
Timelines
Setelah semua informasi telah dikumpulkan, sekarang saatnya untuk membangun garis waktu
kejadian (timeline). Timeline adalah bagian penting dari proses analisis. Mengembangkan
time line pada banyak mesin dan menghubungkannya satu sama lain dan dengan log jaringan
adalah bagian besar dari pekerjaan forensik.
 Gambar 12.17 menunjukkan time line sampel untuk satu dari lima server berbeda
yang terlibat dalam suatu insiden pada tahun 2006. Laporan yang dihasilkan sepanjang 15
halaman dan kegiatan yang dipertanyakan pada server Kenya seringkali dikuatkan pada
server lain. Pemindaian yang dimulai di Kenya terdeteksi di Server A dan sebaliknya.
Seluruh time line dibangun berdasarkan pemeriksaan berbagai file log yang ditemukan di
lima server.

Other forensics topics

Forensik TI adalah topik yang sangat luas yang akan membutuhkan satu semester penuh
untuk didiskusikan. Kemahiran hanya disertai dengan pengalaman di bidangnya. Pelatihan
adalah hal yang konstan, karena perangkat terkomputerisasi dengan kemampuan jaringan
terus berkembang, dari smartphone ke termostat pintar. Semakin banyak perangkat elektronik
yang canggih menjadi "smart" dan mulai mengambil bagian yang lebih integral pada dunia
yang kita anggap remeh.
Beberapa perkembangan baru perlu disebutkan, karena mereka membawa tantangan
besar bagi forensik. Salah satu pengembangan tersebut adalah penyimpanan cloud. Ambil
contoh aplikasi seperti Dropbox, misalnya. Ini adalah wilayah baru untuk keamanan secara
umum, serta forensik. Misalnya, file yang disimpan dengan Dropbox segera dibagikan
dengan banyak komputer di jaringan Dropbox akun. Selain itu, file yang "dihapus" pada
folder Dropbox komputer tidak dihapus pada portal web Dropbox dan dapat dengan mudah
dipulihkan, seperti yang ditunjukkan pada Gambar 12.18. Berapa banyak akses yang dimiliki
simpatisan ke log Dropbox? Apakah itu membutuhkan panggilan pengadilan?
 Smartphone dan perangkat tablet pribadi juga terdapat masalah. Kami membahas ide
BYOD sebelumnya, karyawan menggunakan perangkat pribadi mereka untuk bisnis, sering
kali dengan akses ke data perusahaan yang eksklusif dan terbatas. Alat forensik sekarang
sedang dikembangkan yang memungkinkan penyelidik untuk menganalisis gambar disk dan
file dari smartphone. Sebagian besar alat ini bekerja pada salinan cadangan perangkat, bukan
pada perangkat itu sendiri. Ini akan menyiratkan kepemilikan perangkat untuk menghasilkan
cadangan atau akses ke salinan cadangan yang ada. Investigasi internal sedang dilakukan,
karena mendapatkan akses ke salah satu dari opsi ini akan membutuhkan kerja sama
karyawan (yang tidak selalu terjadi) atau panggilan pengadilan.
Seperti halnya keamanan TI lainnya, forensik harus mengikuti kecepatan evolusi
teknologi. Setiap kali ada revisi sistem operasi baru, perangkat baru dengan tipe sistem file
baru, alat forensik harus berevolusi dan beradaptasi dengan situasi baru. Akan selalu ada
kelambatan, dan simpatisan perlu dapat menemukan alternatif, jawaban kreatif ketika situasi
membutuhkan.

Example case – backup server compromise

Beberapa waktu yang lalu, sebuah komputer yang bertempat di departemen teknologi
informasi sebuah universitas terganggu. Mesin itu digunakan sebagai cadangan untuk sistem
penanganan kartu kredit dan sedang dalam proses dibangun kembali ketika peretas masuk.
Diperkirakan intrusi tersebut mengeksploitasi kerentanan yang diketahui dalam salinan usang
dari database server MySQL yang diinstal pada mesin. Penyebab utama kekhawatiran adalah
file kritis yang berisi data sensitif dipindahkan dari mesin sebelum deteksi pembobolan.
Namun, sebagai akibat dari kebijakan organisasi dan implementasinya, file tersebut sangat
terenkripsi dan karenanya tidak dapat dibaca oleh peretas tanpa mengetahui kunci privat.
Kunci ini hanya dimiliki oleh dua orang di dalam organisasi.
 Timeline kejadian sangat instruktif karena menggambarkan kecepatan serangan ini
dan perlunya respons yang cepat oleh TI. Semua kejadian yang terdaftar terjadi pada 1 hari.

Instalasi server FTP menunjukkan bahwa peretas yang berkompromi dengan server
bermaksud menjadikannya bagian dari jaringan komputer yang dikompromikan yang
digunakan untuk mendistribusikan perangkat lunak bajakan. Yang mengejutkan adalah
bahwa meskipun ini bukan serangan yang ditargetkan pada mesin yang berisi informasi
keuangan, para penyerang tetap dapat secara instan menemukan file yang berisi informasi
yang sensitif secara finansial. Namun, informasi dalam file yang dicuri aman karena enkripsi.
Pelajaran-pelajaran berikut telah dipelajari dan diimplementasikan mengikuti analisis
kejadian ini.
Access Control List
Access Control List adalah garis pertahanan pertama melawan serangan. List ini ditempatkan
di jaringan dan mengontrol mesin mana yang diizinkan untuk mengakses layanan pada mesin
target.
Update MySQL Server
Ini tampaknya menjadi sumber kerentanan yang memungkinkan para peretas untuk
berkompromi dengan sistem. Karena itu, menambal sistem operasi saja tidak menyelesaikan
semua masalah keamanan. Administrator sistem lokal harus mengetahui semua aplikasi yang
berjalan di komputer dan segera menyelesaikan pembaruan keamanan penting.

Additional Steps Taken

 Tinjauan penuh dan lengkap atas operasi dan pengaturan untuk memastikan
lingkungan yang aman.
 Program dibuat untuk meninjau daftar akses IP dan akses sistem pengguna fungsional
untuk memastikan entri diperlukan.
 Dokumentasi yang signifikan tentang langkah-langkah keamanan dan rencana
pemulihan bisnis telah dibuat atau diperbarui.
 Pembagian terbuka yang tidak perlu dihapus pada server produksi dan cadangan.
 Tidak lagi menyimpan file-file ini di kedua server. Jika sesuatu dikirim ke vendor
kami, itu kemudian dihapus.
CHAPTER REVIEW QUESTIONS

1. Apa itu analisis insiden? Apa tujuan dari analisis insiden?

2. Apa itu analisis log? Apa tujuan dari analisis log?
3. Buka Event Viewer di komputer Anda. Apa acara terbaru di panel Administrative Events?
4. Bagaimana entri terbaru di panel node yang baru dilihat?
5. Apa perbedaan tingkat kekritisan log yang biasanya dilaporkan oleh sistem Windows?
6. Bagaimana informasi penting acara dalam log Windows dapat berguna?
7. Apa lokasi umum file log pada sistem Unixbased?
8. Apa layanan syslog?
9. Apa itu penyeleksi syslog?
10. Apa saja bagian dari pemilih syslog?
11. Apa log otentikasi di Unix? Bagaimana ini bisa bermanfaat?
12. Apa file wtmp? Bagaimana informasi dalam file berguna?
13. Apa file utmp? Bagaimana informasi dalam file berguna?
14. Informasi apa yang biasanya tersedia dari log server web?
15. Apa saja manfaat dari konsolidasi log?
16. Apa tanggapan insiden langsung? Mengapa ini penting?
17. Apa saja prinsip dasar dari respons insiden langsung?
18. Mengapa cap waktu penting dalam analisis insiden?
19. Apa itu MAC times?
20. Apa itu time line kejadian? Mengapa ini bermanfaat?
21. Masalah analisis insiden apa yang dimunculkan oleh layanan penyimpanan cloud populer
seperti DropBox? 
Pertanyaan-pertanyaan berikut berkaitan dengan analisis Anda tentang anggota fakultas yang
meretas laptop Windows. Anda tahu mesin ini diretas 3 hari yang lalu.
22. Alat apa yang dapat Anda gunakan untuk melihat log peristiwa komputer?
23. Panel mana yang memegang tanggal Pembuatan file log?
24. Asumsi apa yang dapat Anda buat jika tanggal Pembuatan Aplikasi, Sistem, dan Log
Keamanan sama, 4 pagi ini?
25. Apakah ada cara untuk memiliki pendapat yang berpendidikan tentang kapan terakhir kali
hacker mengakses laptop?

EXAMPLE CASE QUESTIONS

1. Berapa lama waktu antara awal pemindaian dan pencurian file yang berisi informasi kartu
kredit?
2. Seandainya serangan itu tidak diperhatikan, potensi bahaya apa yang bisa terjadi pada
universitas?
3. Apa saja cara di mana deteksi insiden bisa dipercepat?

HANDS-ON ACTIVITY – SERVER LOG ANALYSIS

Dalam latihan ini, Anda akan menganalisis log server dari server web produksi. Untuk
memulai, mari kita lihat format log:

File tersebut adalah format log "gabungan" Apache dan terdiri dari kolom-kolom berikut:
 alamat IP klien (mis., 127.0.0.1).
 Identitas klien menurut inetd - ini adalah bidang warisan dan hampir selalu disetel ke
"-"
 Nama pengguna orang yang meminta data jika otentikasi HTTP digunakan, jika
otentikasi tidak digunakan, bidang ini akan diatur ke "-".
 Saat ini permintaan diproses (mis., [16/Jan/2013: 10:14:02 -0500]).
 Permintaan HTTP yang dikirim dari klien (mis., “GET /gambar/gtalk.png HTTP/1.1”)
 Kode status HTTP (mis., 200).
 Ukuran transfer dalam byte (mis., 1506).
 "pengarah." Halaman yang mengarahkan klien untuk meminta sumber ini
("http://www.sunshine.edu/").
 "Agen Pengguna", yang memberi Anda informasi tentang browser web dan sistem
operasi yang digunakan pada klien ("Mozilla / 4.0 (kompatibel; MSIE 7.0; Windows NT
6.0)").
Dari bidang-bidang ini, hanya ada beberapa yang perlu kita perhatikan. Kami akan membahas
mengapa masing-masing bagian data ini penting dan menunjukkan bagaimana cara
mengekstraknya menggunakan perintah cut yang Anda pelajari di Bab 10.
Client IP Address
Jika ada kemungkinan insiden, Anda harus tahu dari mana klien berasal. Catatan: data ini
diambil dari server web produksi, sehingga alamat IP dimodifikasi untuk melindungi privasi
pengguna.

Timestamp
Sama pentingnya adalah alamat IP klien, Anda perlu tahu kapan permintaan dibuat ke server
web.

HTTP request
Permintaan HTTP dibagi menjadi tiga bagian:
1. Metode: GET digunakan untuk meminta data dan POST digunakan untuk mengirimkan
data.
2. Sumber daya (halaman HTML, gambar, skrip PHP, dll.) yang diminta.
3. Versi protokol HTTP yang digunakan. Ini biasanya HTTP/1.1.

HTTP status code

Kode status HTTP yang dikirim server kembali ke klien. "Informasi ini sangat berharga,
karena mengungkapkan apakah permintaan menghasilkan respons yang berhasil (kode yang
dimulai pada 2), pengalihan (kode yang dimulai pada 3), kesalahan yang disebabkan oleh
klien (kode yang dimulai pada 4), atau kesalahan di server (kode dimulai pada 5)."
User Agent
String Agen Pengguna memberi Anda informasi penting tentang klien seperti jenis dan versi
browser dan versi sistem operasi. Catatan: string ini dihasilkan oleh browser klien dan dapat
dimodifikasi, jadi jangan anggap data ini 100% benar. Ini sering digunakan dalam
menganalisis penggunaan secara keseluruhan, seperti menentukan persentase pengguna yang
mengakses halaman web dengan perangkat seluler.

Perhatikan bahwa kami telah menggunakan tanda kutip (' " ') alih-alih spasi ('  ') sebagai
pembatas untuk pemotongan. Ini karena Agen Pengguna berisi bidang nomor variabel yang
dipisahkan oleh spasi, tetapi selalu dimulai dan diakhiri dengan tanda kutip, membuat tanda
kutip pembatas yang lebih dapat diandalkan.
Pertanyaan
Gunakan pengetahuan yang baru saja Anda pelajari tentang mengekstraksi data dari file
dengan grep, sortir, dan perintah manipulasi string lain yang Anda pelajari sepanjang
aktivitas langsung dalam teks untuk menjawab pertanyaan-pertanyaan berikut:
1. Berapa banyak alamat IP unik yang mengajukan permintaan?
2. Alamat IP apa yang paling banyak mengirim permintaan? Apakah permintaan berhasil?
Bagaimana Anda tahu?
3. Apa User Agent yang paling populer?
4. Berapa banyak Agen Pengguna yang mengandung kata "iPad" atau "iPhone" versus
"Android"?
5. Anda baru saja diberitahu bahwa ada aktivitas mencurigakan pada mesin di jaringan Anda,
YAY.247.114.164. Buat daftar semua sumber daya (jika ada) yang diminta menggunakan
sistem ini.
 6. Server web lain di kampus telah dikompromikan melalui kerentanan dalam utilitas admin
(wp-admin) dari aplikasi blogging Wordpress. Tidak diketahui alamat IP apa yang digunakan
penyerang, tetapi Anda berharap mereka memindai server web lain untuk menemukan salinan
Wordpress yang rentan. Cari log server web untuk pemindaian dan tentukan dari mana alamat
IP atau alamat asal mereka

CRITICAL THINKING EXERCISE – DESTRUCTION AT THE EDA (CONTD.)

Sebagian besar analisis kejadian di EDA dilakukan oleh kontraktor eksternal. Inilah yang
dikatakan oleh laporan OIG tentang pekerjaan itu:
Dalam waktu 2 minggu sejak dimulainya kegiatan respon insidennya, kontraktor cybersecurity
EDA menemukan indikasi awal malware yang sangat persisten adalah positif palsu - bukan
infeksi malware yang sebenarnya. Namun, CIO EDA mencari jaminan jaminan bahwa
komponen-komponen itu bebas infeksi dan tidak ada malware yang dapat bertahan.
Responden insiden eksternal tidak dapat memberikan jaminan yang dicari oleh CIO EDA,
karena hal itu melibatkan pembuktian bahwa infeksi tidak bisa ada daripada yang tidak ada.
Pada 16 April 2012, meskipun berbulan-bulan mencari, kontraktor keamanan siber EDA
tidak dapat menemukan malware yang sangat persisten atau indikasi serangan yang
ditargetkan pada sistem EDA. Selanjutnya, NSA dan US-CERT tidak menemukan aktivitas
negara-bangsa atau malware yang sangat gigih.
1. Apakah Anda setuju dengan standar pertahanan yang dicari oleh CIO EDA - sebuah
jaminan bahwa tidak ada malware yang dapat bertahan pada sistem organisasi?
2. Berdasarkan laporan, apa yang mengikuti temuan ini dari kontraktor?

DESIGN CASE

Berikut ini adalah ringkasan dari insiden yang Anda selidiki untuk TI pusat. 
PPSERVER1 dikompromikan pada malam hari tanggal 29 Februari 2013. Peretas memiliki
akses ke mesin selama sekitar 1 jam. Selama mengakses mesin, peretas mencoba mengakses
mesin lain dalam jaringan Universitas Sinar Matahari menggunakan seperangkat enam
kredensial berbeda.
Metode investigasi berikut digunakan untuk menentukan tingkat pembobolan:
  Investigasi forensik yang luas menggunakan tool forensik otopsi dan Sleuthkit untuk
menentukan garis waktu kejadian, mencari dan mengekstrak file log, backdoors, dan
kemungkinan keylogger.
 Log peristiwa Windows dipulihkan dan diperiksa secara rinci.
 Koneksi jaringan masuk dan keluar ke dan dari APPSERVER1 juga diperiksa.
 • Perhatian khusus diberikan pada lalu lintas inbound dan outbound ke server database
DB1, yang menyimpan data pribadi terbatas untuk universitas.
Peretas menggunakan kata sandi yang dikenal untuk Remote Desktop ke server front-end
aplikasi APPSERVER1. Penyelidikan lebih lanjut mengungkapkan daftar kredensial yang
tampaknya telah dikompromikan sebelumnya. Kredensial yang digunakan oleh peretas untuk
mengakses APPSERVER1 adalah satu-satunya yang masih berlaku pada saat itu.
Kedaluwarsa kata sandi di universitas diatur ke 180 hari.

PERTANYAAN
1. Kapan insiden itu ditemukan dan bagaimana?
2. Informasi penting apa yang tidak ada?
3. Berdasarkan apa yang Anda ketahui, apa lagi yang akan Anda pertimbangkan untuk
membuat penentuan yang lebih baik dari konsekuensi akhir dari insiden tersebut? Jadilah
sedetail yang Anda bisa.
4. Apa yang akan menjadi rekomendasi Anda untuk perbaikan?

CHAPTER 13: POLICIES, STANDARDS, and GUIDELINES

Introduction
Pada bab-bab sebelumnya, kami melihat secara luas bahaya dan tantangan yang dihadapi
organisasi ketika bisnis mereka bergantung pada jaringan data. Baik lembaga pemerintah atau
perusahaan swasta, semua organisasi menghadapi tantangan keamanan yang sama - cara
terbaik melindungi aset tanpa mengganggu produktivitas dan laba. Kami juga melihat
berbagai langkah perlindungan untuk melindungi aset, terutama yang dilakukan oleh
administrator sistem yang terlatih. Kami juga melihat prosedur yang direkomendasikan untuk
bereaksi terhadap kejadian buruk, dengan demikian mengendalikan kerusakan dan
meminimalkan dampak pada organisasi.
Dalam bab ini, kita akan menjauh dari dunia teknis dan membahas mekanisme
administrasi yang tersedia untuk analis keamanan dan administrator sistem. Mekanisme ini
memungkinkan administrator keamanan untuk memandu perilaku pengguna TI dalam
organisasi dengan cara yang mengurangi bahaya keamanan yang dapat dihindari dengan
mudah. Tanpa mekanisme ini, administrator sistem akan menghabiskan banyak waktu untuk
menyelesaikan masalah keamanan yang seharusnya tidak terjadi di tempat pertama, dengan
biaya yang signifikan bagi organisasi.
Di akhir bab ini, anda harus dapat bisa:
 Memahami perbedaan antara persyaratan keamanan dan kepatuhan
 Bedakan antara kebijakan, standar, dan prosedur
 Memahami siklus hidup suatu kebijakan
 Identifikasi serangkaian kebijakan yang dianggap “suatu keharusan” untuk organisasi
mana pun
Guiding Principles
Mekanisme administratif yang digunakan dalam industri untuk memandu perilaku pengguna
akhir adalah kebijakan, standar, dan pedoman. Mekanisme ini memungkinkan administrator
keamanan untuk mendapatkan dukungan tingkat eksekutif untuk tujuan keamanan informasi
dalam organisasi dan menerjemahkan tujuan ini ke item spesifik yang dapat ditindaklanjuti
untuk semua anggota organisasi. Ketika pengalaman mereka dalam menangani insiden
menunjukkan kepada administrator keamanan bahwa organisasi perlu mengubah cara
berurusan dengan keamanan informasi, mereka dapat membawa perubahan yang disarankan
ke perhatian manajemen puncak untuk ditinjau. Sementara manajemen puncak khawatir
tentang keamanan informasi, juga khawatir bahwa keamanan tambahan biasanya
menghambat pekerjaan, dan dapat menambah biaya pelatihan yang substansial untuk
menangani perubahan. Namun, jika perubahan masih dibenarkan, manajemen puncak akan
mengizinkan perubahan. Praktik keamanan informasi yang dihasilkan dikeluarkan sebagai
kebijakan. Standar dan pedoman berasal dari kebijakan ini. Kebijakan, standar, dan pedoman
perlu ditargetkan dan memiliki tujuan yang jelas. Untuk mencapai hal ini, penting untuk
memahami prinsip-prinsip dasar keamanan informasi yang dihargai oleh organisasi dan
menggunakan prinsip-prinsip tersebut sebagai dasar dukungan kebijakan. Kami akan
membahas beberapa prinsip ini dalam beberapa paragraf berikutnya.
Pertama-tama, organisasi harus memahami fakta bahwa keamanan memengaruhi
organisasi dan karyawan serta pelanggannya setiap hari. Keamanan bukanlah sesuatu yang
Anda lakukan hari ini, lewati besok, dan kemudian coba lagi minggu depan. Prinsip-prinsip
keamanan yang kuat harus tertanam dalam setiap dan semua kegiatan dalam organisasi.
 Selanjutnya, pahami konsep "lapisan keamanan." Tidak ada solusi "satu ukuran untuk
semua" untuk masalah keamanan. Sebagai analis keamanan atau administrator sistem, Anda
akan menemukan banyak perusahaan di luar sana yang mencoba memberi tahu Anda bahwa
produk mereka benar-benar diperlukan dan akan menyelesaikan semua masalah keamanan
Anda. Itu tidak akan pernah terjadi. Jika itu masalahnya kita tidak akan melihat berulang di
media berita, berulang-ulang, kasus wabah virus, kebocoran data, dan defacements web. Cara
terbaik untuk menemukan kembali peretas, malware, dan penipu adalah dengan menerapkan
beberapa sistem keamanan untuk melindungi aset Anda. Jadi, untuk melindungi data di server
file Anda mungkin telah menerapkan sistem login dengan kata sandi yang kompleks,
pemindaian biometrik, firewall, EPP, dan enkripsi, berharap salah satu dari sistem ini akan
menangkap tindakan ancaman.
Memahami posisi lain juga dapat membantu dalam penulisan kebijakan. Apakah
perusahaan lebih memilih perangkat lunak open source atau komersial? Pendekatan yang
berbeda dapat memunculkan persyaratan kebijakan yang berbeda. Apakah perusahaan
mengadopsi salah satu standar industri secara keseluruhan, atau lebih selektif pada apa yang
diadopsinya? Apakah ia menyewa konsultan sementara atau berusaha mempertahankan
pengetahuan di rumah?

Policy
Menurut kerangka kerja COBIT,  “suatu kebijakan (policy) adalah dokumen yang mencatat
prinsip atau tindakan tingkat tinggi yang telah diputuskan.” Penekanannya di sini adalah
"tingkat tinggi." Kebijakan mencerminkan prinsip-prinsip yang disahkan di tingkat tertinggi
organisasi. Waktu eksekutif pada level ini sangat mahal, dan eksekutif ini berusaha sangat
keras untuk tidak mengunjungi kembali masalah yang kedua kalinya. Oleh karena itu
kebijakan ditulis dalam bahasa yang cukup umum untuk menghadapi perkembangan rutin
dalam bisnis dan teknologi. Mekanisme administrasi lainnya - standar, pedoman, dan
prosedur - berasal dari kebijakan dan memberikan arahan spesifik yang dapat ditindaklanjuti
untuk semua karyawan. Standar, pedoman, dan prosedur ditulis oleh para ahli seperti
administrator sistem dan dapat berubah ketika keadaan spesifik dalam organisasi berubah.
Dengan demikian, sementara kebijakan menentukan arah umum bagi organisasi untuk diikuti,
tanpa memperhatikan cara menuju ke sana, standar, pedoman, dan prosedur fokus pada
bagaimana mencapai tujuan yang diinginkan kebijakan.
Misalnya, University of South Florida menyatakan hal berikut pada kebijakan 0-516,
Kebijakan Penggunaan yang Sesuai SSN:
Kertas dan file elektronik yang berisi Nomor Jaminan Sosial akan dibuang secara aman sesuai
dengan kebijakan penyimpanan dan pembuangan negara bagian dan federal.
Tidak ada detail tentang cara membuang kertas yang mengandung SSN. Satu-satunya
persyaratan adalah bahwa hal itu dilakukan "dengan cara yang aman" menurut hukum. Fokus
kebijakan adalah bahwa catatan dibuang, dan bukan bagaimana pembuangan akan
dilaksanakan. Itu akan tergantung pada teknologi yang tersedia, biaya, dll. Dan akan
dijelaskan dalam standar, prosedur, dan pedoman.
STANDARD
Standar adalah seperangkat aturan yang ditetapkan, diterima dan diadopsi oleh beberapa
organisasi. Beberapa standar disebut sebagai "standar industri." Ini adalah kegiatan,
pengaturan, dan pengukuran yang diterima oleh semua perusahaan dalam suatu industri dan
harus dianggap sebagai norma untuk operasi.
NIST, Institut Nasional untuk Standar dan Teknologi, adalah salah satu sumber
terpenting untuk standar dalam hal keamanan TI, setidaknya untuk organisasi di Amerika
Serikat. Meskipun dokumen mereka biasanya dengan hati-hati dilabeli sebagai
"rekomendasi" atau "pedoman," mereka dipandang sebagai standar de facto untuk semua
organisasi di Amerika Serikat. Beberapa contoh telah terlihat di seluruh buku teks ini, dan
termasuk "Pedoman untuk Melakukan Penilaian Risiko."
Organisasi Internasional untuk Standardisasi (ISO) adalah organisasi lain yang
diterima di seluruh dunia untuk menghasilkan standar dengan cakupan internasional. Salah
satu standar ISO yang paling banyak digunakan adalah 17799/27002, yang berkaitan dengan
keamanan informasi. Menurut situs web mereka, ISO 27002 “menetapkan pedoman dan
prinsip umum untuk memulai, menerapkan, memelihara, dan meningkatkan manajemen
keamanan informasi dalam suatu organisasi. Tujuan yang diuraikan memberikan panduan
umum tentang tujuan yang umum diterima dari manajemen keamanan informasi. " ISO / IEC
27002: 2005 berisi praktik terbaik dari tujuan kontrol dan kontrol dalam bidang manajemen
keamanan informasi berikut:
 Kebijakan keamanan 
 Organisasi keamanan informasi 
 Manajemen aset 
 Keamanan sumber daya manusia
 Keamanan fisik dan lingkungan
 Manajemen komunikasi dan operasi
 Kontrol akses
 Akuisisi, pengembangan, dan pemeliharaan sistem informasi
 Manajemen insiden keamanan informasi
 Manajemen kesinambungan bisnis
 Kepatuhan
Setelah diterima oleh organisasi, standar wajib. Misalnya, agar suatu organisasi
menyatakan dirinya memenuhi persyaratan ISO 27002, organisasi tersebut harus mematuhi
semua peraturan yang diajukan oleh standar. Tidak ada yang namanya "kepatuhan sebagian."
 Standar juga terkait langsung dan didukung oleh suatu kebijakan. Misalnya, suatu
kebijakan dapat menyatakan bahwa semua komputer dalam organisasi harus telah menginstal
solusi perlindungan titik akhir yang diajukan oleh departemen TI dan disediakan di situs web
TI. Standar kemudian akan menentukan EPP mana yang harus diinstal. Keuntungan dalam
situasi ini sederhana. Seperti yang akan kita lihat, biasanya suatu kebijakan lebih sulit untuk
dimodifikasi daripada standar. Dengan memungkinkan TI untuk menjaga standar EPP,
kebijakan tersebut memungkinkan TI untuk membuat keputusan dalam hal EPP tanpa harus
memiliki beban melalui seluruh siklus hidup kebijakan dan persetujuan.
Akhirnya, standar membuat kebijakan lebih bermakna. Ambil contoh di paragraf
sebelumnya. Tanpa standar, EPP menjadi agak kabur. EPP adalah kumpulan aplikasi yang
melindungi titik akhir. Mereka selalu menyertakan solusi antivirus, tetapi berikut ini adalah
opsional:
 Host-based intrusion detection
 Firewall
 Scheduled virus scans or real-time scans 
 Vulnerability assessment
 Website reputation
Tanpa standar, unit akan memiliki solusi campur aduk. Standar menentukan mana dari
opsi-opsi ini yang penting bagi organisasi dan memaksa semua unit untuk
mengimplementasikan solusi itu.
GUIDELINE
Guideline (pedoman) adalah prosedur yang Anda beri tahu unit ketika "alangkah baiknya
jika" hal-hal dioperasikan atau diselesaikan dengan cara tertentu, tetapi itu bukan keharusan
untuk melakukannya. Misalnya, mari kita asumsikan ada aplikasi antivirus baru yang berjalan
di iOS, dan berfungsi sangat baik. Departemen TI mungkin dapat "menyarankan" bahwa
semua orang harus menginstal dan menjalankan aplikasi ini di perangkat mereka, tetapi tanpa
kebijakan yang menyatakan bahwa TI memiliki kemampuan untuk melakukannya, saran ini
akan tetap menjadi saran dan tidak wajib.
Beberapa pedoman mungkin berkembang kemudian menjadi standar. Di sebuah
universitas tanpa departemen TI yang terpusat, mungkin sulit bagi organisasi keamanan untuk
harus mendukung solusi antivirus terpadu untuk semua. Itu akan melibatkan meyakinkan
semua unit untuk menyerahkan hak mereka untuk menjalankan perangkat lunak AV apa pun
 yang mereka inginkan. Sebaliknya, keamanan TI mungkin dipaksa untuk menyusun
pedoman, menentukan penggunaan vendor "A" dan alasan mengapa ini harus dilakukan.
Skenarionya, ketika alasannya mungkin lebih politis daripada teknis, adalah ketika
sangat berguna untuk menggunakan prinsip "carrot vs stick". Jika organisasi keamanan TI
dapat menawarkan perangkat lunak yang disediakan oleh vendor "A" secara gratis ke unit
lain di kampus, banyak unit akan menemukan ide yang menarik dan dikonversi menjadi
menggunakan perangkat lunak. Ini adalah pendekatan wortel.
Tetapi, pada bagian bagian ini, pedoman diadopsi secara ketat atas dasar sukarela.
Dokumen yang dihasilkan akan tetap menjadi pedoman sampai ada cukup otoritas yang
diberikan oleh manajemen untuk dapat menjadikannya standar (Gambar 13.1).

Why so much paperwork?

Keluhan khas orang-orang teknis adalah “mengapa kita harus melalui semua masalah ini?
Mengapa begitu banyak dokumen? " Personil TI pada umumnya sangat tangan-tangan pada
orang, dan dokumentasi belum tentu keahlian mereka. Tetapi kebutuhan untuk
mempertahankan kebijakan melampaui kepatuhan. Selesai, mendokumentasikan operasi ini
tidak hanya menambahkan birokrasi dan birokrasi, tetapi juga dapat meningkatkan fungsi
organisasi.
Misalnya, kebijakan keamanan adalah tanda bagi pelanggan, pengguna akhir, dan
bahkan karyawan, bahwa organisasi menganggap serius keamanan. Misalnya, The City of
Tampa, FL, memposting yang berikut ini pada kebijakan keamanan mereka:
Memberi Anda pengalaman online yang aman adalah prioritas utama The City of Tampa. Kami
menyadari bahwa keamanan informasi Anda adalah yang paling penting, dan kami telah
mencurahkan banyak upaya untuk memastikan bahwa informasi pribadi Anda terlindungi.
 Kebijakan ini menunjukkan pentingnya organisasi menempatkan pada keamanan
informasi, yang harus meyakinkan kepada pengguna yang bersangkutan. Kebijakan juga
menyediakan peta jalan bagi karyawan dan pengguna baru. Satu kebijakan umum yang akan
kita lihat dalam beberapa bagian berikutnya dikenal sebagai “kebijakan penggunaan yang
dapat diterima” atau AUP. AUP menjelaskan kepada pengguna apa yang harus dan tidak
dilakukan sistem, hal-hal yang dapat diterima untuk dilakukan serta hal-hal yang akan
menyebabkan berakhirnya layanan atau pekerjaan. Berikut ini contoh layanan AT&T IP
AUP:
Materi atau Konten yang Mengancam: Layanan IP tidak boleh digunakan untuk meng-host,
memposting, mengirimkan, atau mentransmisikan ulang konten atau materi apa pun (atau
untuk membuat nama domain atau beroperasi dari nama domain), yang melecehkan, atau
mengancam kesehatan atau keselamatan dari yang lain. Selain itu, bagi Layanan IP yang
memanfaatkan AT&T yang disediakan hosting web, AT&T berhak menolak untuk
menyediakan layanan tersebut jika kontennya ditentukan oleh AT&T sebagai cabul, tidak
senonoh, penuh kebencian, jahat, rasis, memfitnah, menipu, memfitnah, makar, sangat kejam
atau mempromosikan penggunaan kekerasan atau membahayakan orang lain.
Kebijakan memaksa organisasi untuk menentukan nilai informasi yang mereka
hasilkan dalam mendukung aset aktual. Terkadang mungkin menguntungkan untuk membuat
tekad ini dan mendokumentasikannya dalam kasus litigasi. Sebagai contoh, MIT memiliki
paragraf berikut tentang kebijakan mereka tentang penyimpanan log DHCP.
Server DHCP dikonfigurasikan untuk memberikan alamat dinamis secara otomatis sesuai
kebutuhan. Log informasi disimpan pada server yang dikelola IS & T. Setiap log ditandai
dengan tanggal pembuatannya; sekali sehari, sistem menghapus log yang berumur 30 hari.
MIT bukan satu-satunya organisasi yang membuat kebijakan log DHCP mereka
secara tertulis. Banyak universitas melakukannya karena alasan yang sangat spesifik: untuk
membuat organisasi yang melacak pelanggaran undang-undang hak cipta menyadari bahwa,
jika mereka ingin melakukan tindakan pelanggaran, mereka harus memberi tahu organisasi
dalam waktu 30 hari (dalam kasus MIT) tentang deteksi peristiwa.
Kebijakan juga memastikan konsistensi di seluruh organisasi. Dan konsistensi adalah
hal yang baik. Organisasi akademik, misalnya, terkenal terdesentralisasi. Setiap perguruan
tinggi dapat memiliki grup komputasi sendiri, masing-masing unit administrasi. Sementara
dalam hal dukungan desktop model ini memastikan bahwa orang-orang yang bekerja pada
workstation menanggapi orang yang sama dengan pemilik workstation, biasanya Dekan
Perguruan Tinggi, dalam hal keamanan memiliki potensi untuk menciptakan obat mujarab
dari solusi. Misalnya, School of Architecture dapat memutuskan bahwa antivirus adalah
pemborosan dana dan bukan untuk membeli. College of Engineering dapat menginstal solusi
AV berkualitas rendah hanya karena lebih murah daripada yang lain. College of Fine Arts
dapat membayar harga selangit untuk lisensi mereka karena mereka tidak memiliki jumlah
komputer untuk dapat menegosiasikan kesepakatan yang lebih baik. Kebijakan di seluruh
kampus yang memengaruhi solusi antivirus akan menyatukan unit-unit ini, memaksa mereka
untuk saling bekerja sama untuk mencapai standardisasi, model penetapan harga yang lebih
baik, dan banyak manfaat lain yang terkait dengan penggunaan yang konsisten di seluruh
kampus.
Perhatikan bahwa ini bukan pernyataan bahwa "sistem TI terpusat bekerja lebih baik."
Sekalipun dukungan didesentralisasi dalam suatu organisasi, aspek-aspek tertentu (seperti
keamanan) harus memiliki garis dasar bersama. Biasanya ini dapat dilakukan dengan
menyiapkan penyebut umum minimum. Misalnya, Standar Manajemen Akun Windows
mungkin memiliki efek bahwa "kata sandi tidak akan lebih pendek dari 8 karakter." Ini tidak
membuat departemen mana pun membuat kebijakan internal mereka sendiri dan memiliki
kata sandi minimal 12 karakter.
Akhirnya, alasan utama bagi personel TI untuk mendukung pengembangan kebijakan
keamanan adalah dukungan manajemen. Jika kebijakan dikembangkan dengan cara yang
benar, masukan dari semua unit yang terkena dampak dan pemangku kepentingan akan
dipertimbangkan sebelum diundangkan. Ini sangat meningkatkan penerimaan segala kendala
yang diberlakukan oleh kebijakan. Dan seperti halnya hukum, begitu kebijakan diterapkan,
menuduh ketidaktahuan tidak akan membebaskan individu dari konsekuensi. Misalnya, jika
organisasi memiliki kebijakan bahwa komputer tidak memperbarui definisi virus mereka
setiap hari akan ditarik dari jaringan, dan komputer pengguna ditarik dari jaringan karena
alasan ini, pengguna tidak akan memiliki jalan lain untuk mengeluh.
Policy Cycle
Sama seperti siklus respons insiden, kebijakan juga bekerja dengan siklus. Sebenarnya,
insiden seringkali merupakan kekuatan pendorong di belakang penciptaan kebijakan baru
atau revisi yang sudah ada. Pada akhir 1990-an, wabah besar-besaran dari virus "Melissa" dan
"ILOVEYOU" mendorong terciptanya kebijakan keamanan yang terpusat untuk organisasi
universitas yang terdesentralisasi, dan penamaan Pejabat Keamanan Informasi untuk
universitas.
Ada dua pemirsa yang berbeda dan berbeda untuk suatu kebijakan. Suatu organisasi
baik menulis kebijakan untuk karyawan dan pelanggan mereka, atau kebijakan itu ditulis
untuk memenuhi peraturan negara bagian atau federal. Idealnya administrator keamanan akan
menggunakan kebijakan untuk mengatasi kedua pemirsa.

Sesering mungkin, kebijakan harus ditargetkan pada masalah tertentu. Beberapa

organisasi menulis halaman dan halaman kebijakan, mengharapkan pengguna untuk
 membaca dan memahami seluruh dokumen. Dengan memecah kebijakan menjadi segmen
yang ditargetkan, kepatuhan terhadap peraturan dapat dipenuhi, dan pengguna akan lebih
mudah menemukan apa yang mereka cari. Misalnya, anda mungkin memiliki satu kebijakan
yang membahas perlindungan data, kebijakan lain yang membahas tentang akses pengguna,
dan lainnya yang membahas cadangan data.
Kami sebelumnya menyebutkan bahwa kebijakan sering didorong oleh peristiwa
buruk. Ketika suatu peristiwa cukup besar dan menarik perhatian manajemen, adalah umum
untuk melihat reaksi spontan dalam bentuk kebijakan. Kami akan membahas Penilaian
Dampak dalam beberapa bagian tetapi merupakan ide yang baik untuk memastikan kebijakan
yang menghambat produktivitas dan kegunaan tidak diterapkan hanya sebagai reaksi
"spontan" terhadap kejadian buruk. Kebijakan perlu dipikirkan dengan matang dan
dampaknya dianalisis sebelum diadopsi oleh suatu organisasi. Ini terutama berlaku untuk
kebijakan keamanan.
Pada akhir spektrum, kebijakan keamanan harus cukup kuat untuk melindungi
kerahasiaan, integritas, dan ketersediaan aset. Karena kebutuhan untuk melindungi, banyak
organisasi melakukan kesalahan dalam sisi perlindungan masalah ini. Namun, Anda tidak
dapat mencekik produktivitas dan misi organisasi untuk memenuhi tujuan itu. Karyawan
Anda akan cenderung menjaga Anda jujur sejauh kebijakan berjalan. Mereka adalah
kelompok yang sangat banyak akal, berdedikasi untuk melakukan pekerjaan mereka atau
mencapai tujuan mereka dengan cara yang paling mudah. Jika mereka menganggap suatu
kegiatan atau perilaku sebagai cara terbaik untuk mencapai tujuan mereka dan Anda
melarang mereka untuk melakukannya, mereka akan menemukan jalan keluarnya. Ketika
organisasi Anda menyusun kebijakan, pastikan pengguna benar-benar dapat mematuhinya.
Sekarang mari kita bahas tahapan siklus kebijakan adalah sebagai berikut:
 Writing the policy (Menulis Kebijakan)
 Impact Assessment and Promulgation (Penilaian Dampak)
 Review   (Review)

Penulisan aturan
Sekarang saatnya untuk menempatkan pena diatas kertas dan benar-benar
mulai menulis. Organisasi Anda mungkin memiliki format cific dengan
spesialisasi untuk menulis kebijakan. Dengan tidak adanya itu, salah satu
hal terbaik untuk dilakukan adalah untuk mencari web untuk kebijakan
serupa dari industri yang sama. Jadi, jika Anda bekerja pada K-12, lihat di
sekolah lain dan distrik sekolah. Hal ini berguna untuk melihat Negara
Anda terlebih dahulu, karena Negara mungkin memiliki masalah
kepatuhan terhadap peraturan yang mungkin harus ditangani pada topik
yang Anda menangani. Kemudian, melihat kebijakan lain, baik nasional
maupun internasional. Ini akan memastikan Anda menutupi banyak sub-
topik mungkin.
 Berikut kami sajikan template generik yang meliputi bagian Anda
akan menemukan di hampir setiap kebijakan. Nama-nama bisa berubah
sedikit, misalnya beberapa mungkin memilih untuk memanggil
“Overview” yang “Pengantar”, tetapi isi dari bagian akan tetap. Demi
menjaga thread serupa di seluruh bagian, contoh kita akan memeriksa
semua dari pendidikan tinggi.

Gambaran Umum
Ini adalah bagian pertama dalam kebijakan. Sekilas memberitahu
pengguna alasan mengapa organisasi memutuskan bahwa itu akan sesuai
untuk memiliki kebijakan tersebut. Penampilan Mari kita lihat sebuah
contoh dari University of Arizona. Ini adalah dari Security umum Policy :
6

Sumber daya universitas, informasi dan teknologi telah menjadi semakin penting
untuk ulty-faktor, staf dan siswa untuk tujuan akademik dan administratif.
Pada saat yang sama, ancaman internal dan eksternal untuk kerahasiaan,
integritas, dan ketersediaan sumber daya ini telah meningkat. pelanggaran
keamanan yang biasa dan universitas terus menjadi target populer untuk
menyerang. sumber daya universitas penting, seperti penelitian, perawatan
pasien, transaksi bisnis, mahasiswa, dan karyawan data pribadi non publik,
harus dilindungi dari gangguan dan penggunaan yang tidak atau
penutupan dis. Perangkat harus diatur dan rutin dipelihara dan diperbarui
sehingga mereka mencegah intrusi dan kegiatan berbahaya lainnya.

6
UA Kebijakan keamanan, http://security.arizona.edu/is100

Dalam paragraf pertama di atas, garis universitas yang mereka nilai

data yang institusional mereka. Mereka juga memberikan sekilas beberapa
isu yang akan dibahas pada kebijakan. Di paragraf kedua, mereka
menguraikan tujuan untuk menulis kebijakan.

Tujuan dari kebijakan ini adalah untuk memastikan bahwa semua

individu dalam ruang lingkup memahami tanggung yang
bertanggung mereka dalam mengurangi risiko kompromi dan
mengambil langkah-langkah keamanan yang sesuai untuk melindungi
sumber daya universitas. Akses ke sumber daya universitas adalah
hak istimewa, bukan hak, dan menyiratkan tanggung jawab
pengguna. akses tersebut tunduk Arizona Dewan Bupati dan
kebijakan Universitas, standar-standar, pedoman dan prosedur, dan
hukum federal dan negara.

Dengan ayat ini, mereka kembali ke beberapa prinsip-prinsip yang

kita bahas sebelumnya. Keamanan bukanlah pekerjaan IT saja. Sebaliknya,
 mengamankan data mereka adalah tanggung jawab setiap individu di
universitas. Mereka juga mengatur hal-hal untuk bagian penegakan
hukum, yang menyatakan bahwa akses mereka, termasuk akses yang
diberikan kepada siswa, bukan merupakan hak karena membayar uang
kuliah mereka, tapi hak istimewa. Dan jika pelanggaran pengguna hak
istimewa ini, mungkin ada konsekuensi.

Cakupan
Bagian lingkup memberitahu pengguna apa atau siapa yang ditutupi oleh
kebijakan. Kebijakan akan selalu memiliki ruang lingkup yang terkait
dengan itu. Berikut ruang lingkup untuk Policy Workstation Keamanan di
7

Emory College:
Kebijakan keamanan workstation berlaku untuk semua workstation
(Windows, Mac OS X, Linux) (termasuk desktop, portabel, dan mesin
virtual) yang jatuh di bawah lingkup administrasi ECCS.
Ini adalah ruang lingkup yang sangat jelas. Di satu sekilas, pengguna
dapat membacanya dan menentukan apakah workstation mereka tercakup
dalam kebijakan ini atau tidak. Namun, organisasi harus berhati-hati untuk
tidak over-menentukan target kebijakan, kecuali ada kebutuhan untuk itu.
Dengan mencatat Windows, Mac, OS X, Linux, ECCS membuka pintu
celah. Sebuah sederhana “. . . dan Sistem Operasi lainnya”pada akhir daftar
yang akan menutupi celah tersebut. Namun, seperti, anggota fakultas run
ning tua Solaris Desktop Workstation tidak akan tercakup oleh kebijakan.
Dalam contoh lain dari lingkup, Kansas State University memiliki
ruang lingkup berikut melekat Kebijakan Manajemen Insiden mereka: 8

Prosedur ini berlaku untuk semua Universitas personil, unit, dan

afiliasi dengan tanggung jawab untuk merespon insiden keamanan
yang melibatkan sumber daya Universitas TI atau data.
KSU iniKebijakan adalah contoh yang sangat baik dari Kebijakan
Manajemen Insiden itu sendiri, termasuk klasifikasi data dan garis yang
sangat jelas tentang tanggung jawab. Jika keamanan tidak ity responsibil-
satunya dari grup keamanan IT tapi bukan itu dibagi oleh setiap pengguna,
ruang lingkup ini pada dasarnya meliputi seluruh karyawan dan afiliasi
dari universitas setiap kali Data lembaga yang terlibat.

7
Kebijakan Keamanan workstation, Emory College,
https://wiki.as.emory.edu/display/ecitprocedures/Workstation+Security+Pol
icy
 8
Manajemen Insiden, Kansas State, http://www.k-
state.edu/its/security/procedures/incidentmgt.html

Definisi
Masih dalam “pra-kebijakan” bagian, di mana kita mengatur panggung
untuk kebijakan yang sebenarnya, Anda mungkin melihat bagian terpisah
untuk definisi. Hal ini sangat berguna ketika subyek kebijakan mungkin
tidak jelas untuk penonton, atau jika organisasi membutuhkan sedikit lebih
klarifikasi pada lingkup. 
Sebagai contoh perhatikan definisi Georgetown Kesehatan Ephi,
Electronic Dilindungi
Informasi:
Elektronik Informasi Kesehatan yang Dilindungi: Ephi meliputi data komputer yang berkaitan
dengan masa lalu, sekarang atau masa depan fisik atau kesehatan mental,
perawatan kesehatan, atau pembayaran untuk perawatan kesehatan. Ephi
mencakup informasi yang dapat mengidentifikasi individu, seperti nama,
nomor jaminan sosial, alamat, tanggal lahir, riwayat medis atau nomor
rekam medis, dan termasuk informasi tersebut ditransmisikan atau
dipertahankan dalam format elektronik, tetapi tidak termasuk catatan
pendidikan dan pengobatan siswa tertentu. Tidak termasuk dalam Ephi
mahasiswa pendidikan catatan, termasuk catatan medis (yang dilindungi
di bawah FERPA), catatan medis karyawan yang diterima oleh
Georgetown University dalam kapasitasnya sebagai majikan, dan catatan
kompensasi pekerja. Meskipun catatan ini tidak cov- ered bawah HIPAA
Privasi atau Aturan Keamanan, Kebijakan lain Universitas menutupi
kerahasiaan dan keamanan dari bahan tersebut. Ada ketentuan khusus
dalam hukum yang mengatur pelepasan catatan psikoterapi.
Definisi ini sangat penting untuk Kebijakan HIPAA Georgetown, 9

sejak Ephi adalah jantung dari peraturan HIPAA. Definisi ini tidak hanya
menentukan apa yang dianggap Ephi tetapi juga beberapa contoh yang jelas
dari apa yang tidak dianggap Ephi, seperti catatan siswa.
Sebuah istilah yang populer digunakan dalam kebijakan IT adalah
“Sumber Informasi.” Tapi apa sebenarnya adalah sumber informasi?
Apakah itu termasuk smartphone karyawan? laptop A siswa? Sebuah mesin
faks departemen? telepon Sebuah fakultas? Berikut adalah cara Marist
College mendefinisikan Sumber Informasi:
10

Untuk tujuan kebijakan ini, sumber daya informasi mengacu pada:

1. Semua Marist College dimiliki perangkat keras komputer,
perangkat lunak, peralatan komunikasi, peralatan jaringan,
 jaringan dan telekomunikasi protokol, penyimpanan terkait dan
peripheral;
2. Semua perangkat keras komputer, perangkat lunak, peralatan
komunikasi, peralatan jaringan, penyimpanan terkait dan
peripheral yang terhubung untuk setiap Marist College sumber
daya informasi;
3. Semua perangkat keras komputer, perangkat lunak, peralatan
komunikasi, peralatan jaringan, penyimpanan terkait dan
peripheral bahwa toko atau informasi mengirimkan milik Marist
College;
4. Semua data, informasi dan kekayaan intelektual yang
mungkinditransmisikan melalui atau disimpan pada setiap Marist
College sumber daya informasi;
5. Laporan kertas, mikrofilm, microfiche, buku, filmatau media yang
berisi informasi, data atau kekayaan intelektual yang merupakan
properti dari Marist College.

Ini adalah definisi yang sangat menyeluruh Sumber Daya Informasi.

Mulai sekarang dalam kebijakan, setiap kali kata-kata “Informasi Sumber
Daya” yang disebutkan tidak boleh ada pertanyaan tentang apa itu
mengacu.

9
HIPAAKebijakan, Georgetown University,
http://policies.georgetown.edu/hipaa/sections/security/62953.html
10
Kebijakan Keamanan Informasi, Marist College, http://security.marist.edu/policy.pdf

Pernyataan kebijakan
Kita akhirnya sampai ke bagian yang akan menjelaskan kepada pembaca
kebijakan yang sebenarnya kami ingin Kerja membentuk lish. Bagian
ini akan mengambil semua konsep yang diperkenalkan di beberapa
pertama bagian - tujuan, prinsip-prinsip organisasi, target untuk
kebijakan, dan definisi, dan memindahkannya ke depan untuk
kesimpulan. Pernyataan kebijakan merumuskan bagaimana organisasi
akan berurusan dengan situasi tertentu.
Paragraf berikutnya berisi sepotong dari Universitas Persyaratan Wireless
Massachusetts Boston dan Prosedur, membahas Poin Wireless
Access. WAP adalah titik koneksi antara perangkat mobile dan sisa
jaringan:
Semua WAP terhubung ke infrastruktur universitas harus terdaftar di IT
dan harus sesuai dengan standar teknis dan konvensi penamaan
 yang ditentukan oleh IT. Proses pendaftaran membutuhkan informasi
termasuk unit yang bertanggung jawab universitas dan penghubung
yang ditunjuk, serta tion LOKASI yang, tujuan, dan informasi teknis
dan operasional tentang WAP. Pendaftaran dapat dilakukan dengan
menggunakan formulir online yang terletak di situs IT. pendaftaran
tersebut ditujukan untuk identifikasi WAP, untuk memfasilitasi
komunikasi antara semua pihak yang bertanggung jawab untuk
nirkabel dukungan jaringan dan operasi, dan untuk memastikan
kepatuhan terhadap kebijakan semua UMass berlaku, standar-
standar, dan pedoman, serta federal, negara bagian, dan aturan dan
peraturan setempat.
Ini adalah jenis umum dari kebijakan. Poin Wireless Access atau WAP sembarangan
dikerahkan di kampus bisa dengan mudah menyebabkan masalah. Jika pengaturan
tidak dilakukan dengan benar, individu berjalan di sekitar kampus bisa bergaul
dengan WAP sengaja, membuka diri terhadap serangan sniffing. Juga, koneksi
pelacakan kembali ke pengguna tertentu mungkin tidak dapat dilakukan.
Pernyataan kebijakan akan panjang bervariasi tergantung pada subyek dan pilihan tion
organiza- ini baik pengelompokan masalah keamanan beberapa menjadi satu
kebijakan atau membelah mereka menjadi beberapa kebijakan. Sebisa mungkin,
pernyataan kebijakan juga akan menguraikan ikatan responsibili- untuk menerapkan
kebijakan tersebut.
Koordinator Respon Insiden setelah menerima laporan bertanggung jawab untuk menilai
kebenarannya, menentukan apakah atau tidak acara merupakan suatu IT Insiden dan
mengklasifikasikan IT Insiden, dan memulai prosedur penanganan.
Pernyataan di atas merupakan bagian dari Keamanan Data Insiden Respon Kebijakan
Purdue. Ini hanyalah salah satu dari beberapa pernyataan menentukan tanggung
jawab koordinator respon insiden.

Pelaksanaan
Bagian penegakan biasanya bagian terakhir dari kebijakan tersebut. Ini mungkin merujuk
pada kebijakan lain untuk hukuman. Hal ini juga jarang spesifik dalam hukuman.
Biasanya akan menyebutkan berbagai tindakan yang mungkin, dengan ungkapan-
ungkapan seperti “sampai dengan dan termasuk” dan “tindakan yang tepat.” Ini tions
sek- juga akan cenderung menggunakan “mungkin” bukannya lebih mutlak “harus”
atau “harus” digunakan di seluruh kebijakan. Ambil bagian penegakan Carnegie
Mellon: 11

Pelanggaran Kebijakan ini dapat menyebabkan penangguhan atau kehilangan hak

penggunaan pelanggar ini, sehubungan dengan data Kelembagaan dan Universitas
dimiliki Sistem Informasi. sanksi administrasi tambahan mungkin berlaku hingga dan
termasuk pemutusan hubungan kerja atau kontraktor statusnya dengan Universitas.
Sipil, obat kriminal dan adil mungkin berlaku.
Bagian penegakan mungkin juga menyebutkan pengecualian untuk kebijakan, atau sarana
yang pengguna akan dapat mengajukan permohonan pengecualian dari kebijakan.
Kebijakan yang sama dari CMU menambahkan berikut ini:
Pengecualian untuk Kebijakan ini harus disetujui oleh Kantor Keamanan Informasi, di
bawah bimbingan dari Komite Pengarah Eksekutif pada Computing ( “ESCC”), dan
secara resmi didokumentasikan. pengecualian kebijakan akan ditinjau secara
periodik untuk kesesuaian.
Kantor Keamanan Informasi tidak hanya akan menyetujui atau menolak setiap permintaan
untuk tion perkecualian tetapi juga meninjau permintaan ini dari waktu ke waktu
untuk memastikan mereka cocok dengan ancaman teknologi saat ini, tidak
menempatkan universitas beresiko. Juga catatan sesuatu yang umum dalam kebijakan
dalam grafik para- ini: pengecualian akan ditinjau “berkala.” Tidak tahunan, tidak
setiap bulan, tetapi periodi- Cally. Hal ini dilakukan agar ISO tidak melanggar
kebijakan sendiri dengan tidak meninjau mereka di meja waktu tertentu. Jika hal-hal
lain yang mendesak muncul, tinjauan dapat ditunda.

11
Kebijakan Keamanan Informasi, CMU,
http://www.cmu.edu/iso/governance/policies/information-security.html

Dengan semua kebijakan yang disetujui oleh organisasi, kepatuhan wajib. Berikut ini adalah
contoh lain, potongan kebijakan keamanan USDA. Ini menentukan pertama apa yang
disebutkan,

Kebijakan, Standar, dan Pedoman 371

bahwa setiap orang yang terlibat dengan data USDA harus mematuhi
kebijakan keamanan. Kemudian, pada paragraf terakhir, itu berbicara
kepada penegakan kebijakan:
Semua pengguna informasi dan AIS, termasuk kontraktor yang bekerja
untuk USDA, yang bertanggung jawab untuk mematuhi ini sistem
informasi kebijakan keamanan serta prosedur dan praktek yang
masih terbelakang dalam mendukung kebijakan ini. Setiap
kontraktor menangani data USDA sensitif tunduk pada persyaratan
rity keamanan hotel yang ditetapkan dalam Peraturan Departemen
ini.
Siapa pun mencurigai penyalahgunaan atau berusaha penyalahgunaan
sumber daya USDA sistem informasi bertanggung jawab untuk
melaporkan kegiatan tersebut kepada para pejabat manajemen
mereka dan ke ISSPM.
Pelanggaran standar, prosedur, atau praktik dalam mendukung kebijakan
ini akan dibawa ke perhatian dari pejabat manajemen untuk
 tindakan yang tepat yang akan menghasilkan tindakan disipliner,
yang dapat mencakup pemutusan hubungan kerja. 12

Paragraf ini melakukan sesuatu yang sangat umum untuk kebijakan ketika
datang ke penegakan hukum. Alih-alih secara khusus menyatakan
bahwa siapa pun melakukan hal ini akan dipecat segera,
melembutkan pukulan dengan mengatakan “sampai dengan”
pemutusan hubungan kerja. Membuat pernyataan dengan cara ini
memungkinkan pejabat manajemen untuk menerapkan hukuman
mereka sendiri tanpa perlu harus memecat karyawan vidual puncak-.
Bahkan, kebijakan ini bahkan tidak menetapkan ambang yang rendah
untuk penegakan. Untuk semua maksud dan tujuan, tamparan
sederhana di pergelangan tangan mungkin cukup.
Tidak untuk “memilih” kebijakan ini, tetapi penting untuk menyebutkan
bahwa kebijakan khusus ini juga hilang poin penting lain yang
dibutuhkan oleh pedoman COBIT. Dan itu adalah metode untuk
pembebasan. Salah satu alternatif yang akan membuat kebijakan ini
COBIT compliant akan menyatakan bahwa pelaku akan dipecat,
maka memungkinkan sebuah jalan untuk banding karena keadaan
khusus.

12
Kebijakan Keamanan
USDA,http://www.ocio.usda.gov/sites/default/files/docs/2012/DR3140-001.htm

Penilaian dampak dan pemeriksaan

Setelah kebijakan ini ditulis, sangat disarankan bahwa kebijakan ditinjau
oleh semua pemangku kepentingan yang terkena dampak. Selama
fase ini, draft kebijakan tersebut beredar melalui stakeholder dan
umpan balik yang diminta. Salah satu pertanyaan yang diajukan
kepada para pemangku kepentingan adalah apakah kebijakan baru
atau perubahan kebijakan yang ada akan berdampak pada departemen
mereka, menguntungkan atau tidak. organisasi harus mampu untuk
mempertimbangkan juga dampak dari kegagalan untuk lulus
kebijakan baru, serta dampak yang lewat sama.
Ketika kita membahas kebijakan dan pemeriksaan isu Governance segera
muncul. Pemerintahan adalah hirarki yang membuat keputusan dalam
organisasi. Dalam hal kebijakan, Tata Kelola mencerminkan komite
atau kelompok yang memiliki kemampuan untuk memveto kebijakan
sebelum menjadi resmi. Universitas Michigan daftar berikut ini:
13
berikut mengidentifikasi berbagai tingkat tinjauan pemerintahan dan
pemeriksaan kebijakan, standar dan pedoman (awalnya disusun oleh
IT kelompok pengembangan kebijakan kerja) yang:
Direktur CISO / IIA Eksekutif: Tinjauan awal kebijakan, pedoman, dan standar
IIA Dewan: Tingkat Pertamareview tata kelola kebijakan TI, standar, dan pedoman
CIO: Tingkat keduareview tata kelola kebijakan IT; persetujuan akhir dari pedoman dan
standar sebelum adopsi dan penyebaran ke kampus
Dewan IT: Tingkat ketiga dari tinjauan pemerintahan untuk kebijakan IT; kebijakan baru
atau yang direvisi secara substansial memerlukan persetujuan Dewan IT
Komite Eksekutif TI: tingkat akhir dari tinjauan pemerintahan untuk kebijakan IT; kebijakan
direkomendasikan untuk tion adop- sebagai baru atau revisi Standar Panduan Praktek
memerlukan persetujuan dari Komite Eksekutif IT.

13
Kebijakan Pengembangan Framework, University dari Michigan,
http://cio.umich.edu/policy/framework.php

Mungkin ada tingkat lain dari persetujuan yang terlibat sebelum kebijakan menjadi resmi.
Umumnya, agar kebijakan yang akan diterapkan untuk seluruh organisasi, juga harus
diperiksa oleh kelompok lain. anggota fakultas mungkin memiliki mengatakan pada
kebijakan. Mungkin bahkan mahasiswa beberapa lembaga. Beberapa universitas
memiliki spesifik “Kebijakan Grup” setup dengan representasi lintas-kampus, yang
bertanggung jawab untuk meninjau dan menyetujui atau menolak kebijakan.
universitas lain menangani kebijakan di Kantor General Counsel. Berikut ini adalah
contoh dari Cornell University: 14

Denganpersetujuan bertanggung jawab eksekutif, UPO akan mendistribusikan draft

dokumen kebijakan kepada anggota Advisory Group Policy (PAG) sebelum
pertemuan kajian PAG. Yang bertanggung jawab eksekutif atau kantor yang
bertanggung jawab akan menyajikan draft kebijakan untuk pertemuan, di mana ment
dokumen- akan ditinjau untuk kepraktisan dan kejelasan. Setelah pertemuan PAG,
UPO dan kantor yang bertanggung jawab akan meninjau dan melakukan perubahan
diterima diusulkan oleh PAG tersebut. Kemudian, PAG akan merekomendasikan
bahwa EPRG menyetujui dokumen Ulasan.
Denganpersetujuan bertanggung jawab eksekutif, UPO akan
mendistribusikan draft akhir dari kebijakan untuk anggota EPRG sebelum
pertemuan EPRG. Yang bertanggung jawab eksekutif akan mempresentasikan
rancangan kebijakan akhir pertemuan ini, di mana EPRG akan
memusyawarahkan persetujuan akhir dari kebijakan, khususnya prinsip-
prinsipnya. UPO dan kantor yang bertanggung jawab akan melakukan
perubahan seperti yang diarahkan oleh EPRG tersebut.
 Setelah EPRG dan eksekutif yang bertanggung jawab telah menyetujui
dokumen, UPO akan dicatat pada dokumen tanggal persetujuan akhir sebagai
tanggal kebijakan itu “KALBE,” dan akan menyebarluaskan kebijakan untuk
komunitas universitas melalui pengumuman resmi.

14
Penyusunan dan Penerbitan Kebijakan University, Cornell University,
http://www.dfa.cornell.edu/cms/treasurer/policyoffice/ kebijakan / volume /
pemerintahan / upload / vol4_1.pdf

UPO (Badan Kebijakan University) menangani mekanisme proses

diundangkan kebijakan. The PAG adalah kelompok lintas fungsional
bertanggung jawab untuk persetujuan. Di Cornell PAG benar-benar memenuhi
dari waktu ke waktu untuk membuat keputusan kebijakan. Di universitas lain,
proses pemeriksaan dapat dilakukan melalui email, dengan tenggat waktu
untuk komentar akan melahirkan.
Seperti yang Anda lihat, kadang-kadang Anda mungkin berbicara
beberapa minggu sebelum kebijakan melewati proses diundangkan dan dibuat
dilaksanakan. Ini adalah salah satu alasan mengapa rincian teknis harus
ditinggalkan kebijakan sebanyak mungkin. Dengan menambahkan referensi ke
standar kebijakan dan menempatkan organisasi TI yang bertanggung jawab
atas standar, hal-hal seperti panjang minimum password, sistem operasi yang
didukung, dan dinamis lainnya item TI dapat dimodifikasi lebih mudah hanya
dengan melakukan kajian internal.
Sementara ini ulasan yang luas tampak birokrasi yang tidak perlu dan pita
merah, mereka mencegah organisasi dari mengembangkan kebijakan yang sulit
untuk melaksanakan, atau yang menciptakan konsekuensi yang tidak disengaja
antara para pemangku kepentingan. Daripada kebijakan merevisi setelah
menghadapi
perlawanan dari kelompok-kelompok ini, dan membuang-buang waktu
Anda serta kredibilitas Anda dengan manajemen puncak, lebih baik
untuk mempertimbangkan semua kemungkinan masalah dengan
kebijakan sebelum membawa itu ke manajemen puncak untuk
persetujuan.

Tinjauan kebijakan
Setelah kebijakan atau standar dibuat dan diundangkan, ketika harus itu
ditinjau? Ada beberapa pemicu yang harus dipertimbangkan, tapi salah
satu yang paling umum adalah tinjauan periodik kebijakan. Perguruan
biasanya diakreditasi oleh organisasi akademik luar. Di Florida,
organisasi yang SACS, Asosiasi Selatan Kampus dan Sekolah. Setiap 5
tahun, SACS mengirimkan tim penyelidik akademik untuk melihat di
universitas, korban derajat, dan kebijakan dan prosedur secara
 keseluruhan. Salah satu hal SACS khusus melihat apakah kebijakan,
termasuk kebijakan IT, ditinjau secara berkala. Jika kebijakan berusia 10
tahun, telah itu telah ditinjau baru-baru ini? Apakah itu memenuhi
persyaratan saat ini lembaga? Jika tidak, hal ini mencerminkan kelalaian
sistematis pada bagian dari TI? Aturan praktis adalah untuk memiliki
kajian internal dari semua kebijakan, standar, dan pedoman setidaknya
sekali setahun. Biasanya orang-orang di IT bertanggung jawab untuk
menulis kebijakan juga sama bertanggung jawab atas administrasi sistem,
satu tingkat atau lainnya. Masa peninjauan tahunan adalah waktu ketika
semua pemicu dianggap untuk menentukan apakah suatu kebijakan harus
ditinjau.
Salah satu hal yang dapat mempercepat peninjauan kebijakan atau
standar munculnya perubahan teknologi. Idealnya, kebijakan ditulis
sedemikian rupa bahwa teknologi baru dapat diatasi pada standar, daripada
harus melalui proses diundangkan seluruh.
Proyek-proyek baru menyebarkan aplikasi baru atau diperbarui juga
mungkin memerlukan tinjauan. Misalnya, mengubah Portal karyawan
Anda untuk aplikasi baru bisa menjadi usaha besar, yang mungkin sangat
baik memerlukan perubahan kebijakan, standar, dan prosedur pada saat
yang sama. 
Perubahan kepatuhan terhadap peraturan mungkin memerlukan
evaluasi ulang pemerintahan. Untuk ujian-ple, Higher Peluang Pendidikan
Act of 2008 universitas terpaksa mengambil sikap konkret terhadap ilegal
berbagi materi berhak cipta, seperti film atau lagu. Menurut EDUCAUSE,
15
beberapa bagian dari kesepakatan HEOA dengan file sharing yang tidak
sah pada jaringan kampus, memaksakan tiga persyaratan umum pada
semua perguruan tinggi dan universitas AS:

 Sebuah pengungkapan tahunan untuk siswa menggambarkan

kebijakan hukum hak cipta dan kampus yang berkaitan dengan
melanggar hukum hak cipta.
 Sebuah rencana untuk “secara efektif memerangi distribusi yang
tidak sah materi berhak cipta” oleh pengguna jaringan, termasuk
“penggunaan satu atau lebih berbasis teknologi pencegah.”
 Sebuah rencana untuk “menawarkan alternatif untuk download ilegal.”

Universitas diminta untuk membuat usaha yang baik-iman untuk

kepatuhan pada bulan Agustus 2008, meskipun hukum tidak akan
ditegakkan sampai 2010. Kegagalan untuk mematuhi dapat mengakibatkan
kerugian keuangan besar-besaran untuk universitas dalam hal dana
Bantuan Keuangan. Perubahan kepatuhan mengakibatkan perubahan
dalam operasi, yang harus merefleksikan perubahan kebijakan yang ada.
15
HEOA 2008, EducaPENGGUNAAN, http://www.educause.edu/library/higher-education-
opportunity-act-heoa

Pemenuhan
Sebelum kita melihat contoh dan beberapa isu kebijakan utama, mari kita
lihat topik yang com- monly disalahpahami: kepatuhan. Lebih penting lagi,
mari kita memahami perbedaan antara lingkungan yang aman dan
lingkungan yang sesuai.
Pemenuhan, Kadang-kadang disebut sebagai kepatuhan terhadap
peraturan, melibatkan berikut fikasi speci- diajukan oleh kebijakan atau
persyaratan hukum. Kebijakan sering berasal dari standar industri (a) untuk
daerah, dirinya didorong oleh kepatuhan terhadap peraturan, atau (b) acara
dengan efek buruk pada organisasi. Ini spesifikasi hukum sering kabur dan
membingungkan, terutama dalam hal kepatuhan diamanatkan oleh negara
dan hukum federal. Misalnya, bocor dari Nomor Jaminan Sosial dalam
beberapa tahun terakhir yang dihasilkan banyak hukum Negara
membutuhkan perlindungan dari SSN, tanpa mengatasi alasan mengapa
organisasi di kali diminta untuk SSN mengumpulkan.
Tapi untuk analis keamanan adalah penting untuk memahami
perbedaan antara keamanan dan kepatuhan. Mari kita berasumsi, misalnya,
bahwa Anda mempertahankan server yang sangat aman yang menyimpan
data yang dibatasi untuk perusahaan Anda. Server hipotetis ini, perusahaan
Anda menyimpan ribuan informasi kartu kredit dari pelanggan mereka.
Anda telah menyiapkan 20 kontrol yang berbeda untuk mempertahankan
sistem mengamankan, dari satu account hanya diketahui oleh Anda,
otentikasi multi-faktor, firewall, dll Jika data kartu kredit tidak dienkripsi,
tidak peduli apa pun yang telah Anda lakukan untuk melindungi data,
sistem mungkin keluar dari kepatuhan sesuai dengan Industri Kartu (PCI)
Pembayaran kebijakan.
Ini bukan untuk mengatakan bahwa kepatuhan tidak penting. Audit
Internal dan KASIH Kepatuhan departemen-departemen memastikan
bahwa administrator dan karyawan lain mematuhi hukum dan kebijakan
yang mengatur organisasi, sehingga tidak menempatkan organisasi pada
risiko yang tidak semestinya. Dalam arena IT, tidak adanya Audit internal
dan bagian Kepatuhan yang bermitra dengan IT pada proyek-proyek
menyiratkan bahwa tanggung jawab untuk patuh terhadap semua sumber
yang ditunjukkan pada Gambar 13.2 yang sampai ke departemen TI. Jika
konteks kepatuhan tidak tersedia, manajemen keamanan dan tim operasi
mungkin akan melakukan apa yang mereka yakini sebagai “benar” hal, tapi
 apa yang bisa, pada kenyataannya, membuang-buang tenaga dan tidak
mencapai hasil yang dibutuhkan.
Kepatuhan merupakan aspek penting dari setiap proyek dan, dengan
demikian, harus dipertimbangkan pada tahap perencanaan usaha apapun.
Hal ini jauh lebih mudah untuk merancang dengan kepatuhan dalam
pikiran daripada mencoba untuk retrofit dan mengakomodasi kebutuhan
tersebut kemudian.

Setiap negara memiliki menetapkan sendiri persyaratan kepatuhan

terhadap peraturan. Beberapa secara langsung ditujukan terhadap sumber
daya TI, seperti UU Pemberitahuan Pelanggaran California.
Berdasarkandata- governance.com, SB 1386 (Pelanggaran California
Keamanan Informasi Act) adalah hukum California State yang
mengharuskan perusahaan yang mengumpulkan informasi pribadi untuk
memberitahu setiap orang dalam database mereka harus ada pelanggaran
keamanan yang melibatkan informasi pribadi seperti nomor Jaminan
Sosial, nomor SIM, akun mereka nomor, kartu kredit atau debit nomor,
atau kode keamanan atau password untuk mengakses akun keuangan
mereka.
Lainnya tidak langsung mempengaruhi operasi, seperti hukum
Penyimpanan Record Florida IT. Ini adalah set yang sangat kompleks
peraturan dengan jadwal retensi yang mengidentifikasi catatan lembaga
dan menetapkan periode waktu minimum yang catatan harus
dipertahankan berdasarkan catatan nilai-nilai administrasi, fiskal, hukum,
dan sejarah.
16

Seolah menjaga dengan persyaratan Negara itu tidak cukup, ada juga
persyaratan Ance komplikasi- federal diajukan oleh banyak hukum dan
peraturan yang berbeda, berdasarkan jenis industri atau jenis data
menangani organisasi Anda. Sama seperti peraturan Negara, beberapa
secara langsung ditujukan pada sumber daya TI. Lainnya berakhir
melibatkan IT secara tidak langsung. Berikut adalah beberapa peraturan
federal paling terkenal dan paling kompleks. Semua ini akan mengambil
setidaknya satu minggu untuk belajar. Kami hanya akan memberikan
ringkasan singkat.

HIPAA
 Aturan HIPAA Privasi menyediakan perlindungan federal untuk informasi
kesehatan pribadi yang dimiliki oleh entitas tertutup dan memberikan
pasien berbagai hak sehubungan dengan informasi tersebut. Pada saat yang
sama, Aturan Privasi seimbang sehingga memungkinkan pengungkapan
informasi kesehatan pribadi yang diperlukan untuk perawatan pasien dan
tujuan penting lainnya.

16
Rekam Retensi Penjadwalan dan
Disposisi,http://dlis.dos.state.fl.us/recordsmgmt/scheduling.cfm

Peraturan Keamanan menetapkan serangkaian pengamanan

administrasi, fisik, dan teknis untuk entitas tertutup untuk digunakan untuk
menjamin kerahasiaan, integritas, dan ketersediaan information. 17

kesehatan dilindungi elektronik

GLB
Gramm-Leach-Bliley Act (GLB atau Modernisasi Keuangan Act)
membutuhkan “lembaga keuangan” untuk melindungi privasi pelanggan
mereka, termasuk pelanggan non-publik, informasi per- musiman. Karena
universitas juga menangani berbagai catatan keuangan dari siswa dan
orang tua mereka, perguruan tinggi juga memiliki tanggung jawab untuk
mengamankan catatan pribadi siswa. Di antara lembaga yang juga jatuh di
bawah FTC yurisdiksi untuk tujuan dari Undang-Undang GLB pemberi
pinjaman non-bank hipotek, broker pinjaman, beberapa penasihat
keuangan atau investasi, preparers pajak, penyedia layanan penyelesaian
real estate, dan penagih utang. Pada saat yang sama, peraturan FTC hanya
berlaku untuk perusahaan yang “signifikan terlibat” dalam kegiatan
keuangan tersebut.
GLB terdiri dari dua “aturan”: the Perlindungan Peraturan dan Aturan Privasi.
Menurut situs FTC, yang Perlindungan Peraturan mengharuskan perusahaan untuk
mengembangkan rencana keamanan informasi tertulis yang menjelaskan program mereka
untuk informasi pelanggan melindungi. Rencananya harus sesuai dengan ukuran
perusahaan dan kompleksitas, sifat dan ruang lingkup yang kegiatan, dan sensitivitas
informasi pelanggan menangani. Sebagai bagian dari rencana, setiap perusahaan harus:

• menunjuk satu atau lebih karyawan untuk mengkoordinasikan program keamanan

informasinya;
• mengidentifikasi dan menilai risiko untuk informasi pelanggan di setiap daerah yang relevan
dari operasi perusahaan, dan mengevaluasi efektivitas pengamanan saat ini untuk
mengendalikan risiko tersebut;
• merancang dan melaksanakan program perlindungan, dan secara teratur memantau dan
mengujinya;
• pilih penyedia layanan yang dapat menjaga pengamanan yang memadai, pastikan kontrak
Anda membutuhkan mereka untuk mempertahankan perlindungan, dan mengawasi
penanganan mereka informasi pelanggan;
• mengevaluasi dan menyesuaikan program dalam terang situasi yang relevan, termasuk
perubahan dalam bisnis perusahaan atau operasi, atau hasil dari pengujian keamanan dan
pemantauan.
 FERPA

Keluarga Hak Pendidikan dan Privacy Act (FERPA) (20 USC § 1232g; 34 CFR Part 99)
adalah hukum federal yang melindungi privasi catatan pendidikan siswa. hukum berlaku
untuk semua sekolah yang menerima dana di bawah program yang berlaku dari Departemen
Pendidikan Amerika Serikat.
Sekolah dapat mengungkapkan, tanpa persetujuan, “direktori” informasi seperti siswa
nama, alamat, nomor telepon, tanggal dan tempat lahir, kehormatan dan penghargaan, dan
tanggal kehadiran. Namun, sekolah harus memberitahu orang tua dan siswa yang layak
tentang informasi direktori dan memungkinkan orang tua dan siswa yang layak jumlah yang
wajar waktu untuk permintaan bahwa sekolah tidak mengungkapkan informasi direktori
tentang mereka. Sekolah harus memberitahu orang tua dan siswa yang layak setiap tahun dari
hak-hak mereka di bawah FERPA. Sarana yang sebenarnya pemberitahuan (surat khusus,
dimasukkan dalam PTA sebuah buletin, mahasiswa buku pegangan, atau artikel koran) yang
diserahkan kepada kebijaksanaan masing-masing school. 18

SOX
Sarbanes-Oxley Act of 2002 (SOX) memperkenalkan perubahan yang signifikan untuk
praktek keuangan dan regulasi manajemen perusahaan. Lulus di bangun dari berbagai
skandal perusahaan, SOX adalah bagian kompleks undang-undang yang mengharuskan
perusahaan untuk membuat perubahan besar untuk membawa organisasi mereka ke dalam
kepatuhan. UU memegang eksekutif puncak pribadi bertanggung jawab atas akurasi dan
ketepatan waktu data keuangan perusahaan mereka - di bawah ancaman tion prosecu-
kriminal. Dengan demikian, kepatuhan SOX telah menjadi prioritas utama bagi perusahaan
publik.

18
US Department dari situs
Pendidikan,http://www2.ed.gov/policy/gen/guid/fpco/ferpa/index.html
 Sesuai dengan Undang-Undang Federal, departemen IT memainkan peran utama dalam
mengamankan akurasi dan keandalan data perusahaan. Dengan penerapan Sarbanes-Oxley
Act, kontrol teknologi informasi telah menjadi lebih populer. Berikut adalah beberapa IT
pro cesses yang kemungkinan akan diselidiki saat memeriksa kepatuhan:

o administrasi keamanan
o Cadangan data
o perubahan kontrol
o Kontrol akses

Hukum Kontrol Ekspor

Hukum Kontrol Ekspor adalah topik panas untuk universitas riset di
seluruh negeri. Hukum melarang ekspor tanpa izin dari materi atau
informasi tertentu untuk alasan keamanan atau perlindungan
perdagangan nasional. kontrol ekspor biasanya muncul untuk satu atau
lebih dari alasan berikut:

 Sifat ekspor memiliki aktual atau potensial aplikasi militer atau isu-
isu perlindungan ekonomi,
 kekhawatiran pemerintah tentang negara tujuan, organisasi, atau individu,
 kekhawatiran pemerintah tentang penggunaan akhir dinyatakan atau dicurigai atau
pengguna akhir dari ekspor. 19

Penelitian Universitas tunduk pada undang-undang kontrol ekspor

termasuk Lalu Lintas Internasional di Peraturan Arms (ITAR). Undang-
undang ini juga berlaku untuk kegiatan penelitian di kampus, untuk
ekspor sementara peralatan universitas milik dikendalikan termasuk
komputer laptop yang berisi perangkat lunak atau data teknis
dikendalikan, dan untuk pengiriman bahan penelitian untuk kolaborator
asing.

isu-isu kebijakan utama

Berikut ini adalah ikhtisar singkat dari beberapa isu kunci setiap organisasi
harus siap untuk dle han-, baik di kebijakan atau tingkat standar.
penggunaan diterima- AUP adalah salah satu kebijakan utama untuk
organisasi. Ini memberi garis panduan-untuk pengguna dan pelanggan
pada apa yang sesuai dan apa yang tidak yang sesuai harus dilakukan
dengan sumber informal teknologi mation. definisi lingkup ini penting
agar pengguna memahami apa dan siapa yang berada di bawah kebijakan.
 Costumer AUP mungkin berbeda dari AUP karyawan. Di lingkungan
universitas mereka biasanya sama. Jika ada pengecualian untuk liputan
mereka juga harus disebutkan. Misalnya, College of Medicine mungkin
perlu AUP ketat karena kebutuhan untuk HIPAA kepatuhan.

19
UC Berkeley, Ekspor Kontrol,http://www.spo.berkeley.edu/policy/exportcontrol.html

klasifikasi informasi - ini adalah kebijakan yang menguraikan

definisi ity kritis dan kepekaan aset. Contohnya adalah penting untuk
memperjelas maksud dari klasifikasi. Definisi kepemilikan data dan
custodianship juga merupakan bagian dari kebijakan ini.
Akses jaringan- Kebijakan ini merinci yang jenis pengguna yang
diizinkan untuk terhubung ke sumber daya jaringan. Siswa di lorong-
lorong penduduk mungkin tidak memiliki akses ke datacenter jaring sub.
Mengunjungi profesor mungkin harus melalui proses khusus untuk
mendapatkan hak istimewa jaringan. Pengunjung hanya mungkin dapat
mengakses jaringan nirkabel tamu jika mereka menggunakan jumlah sel
mereka untuk pendaftaran.
akses remote- Menentukan sarana diterima oleh yang seorang
karyawan diperbolehkan untuk mengakses sumber daya dari luar jaringan
organisasi. Ini juga dapat mencakup persyaratan mengakses data melalui
smartphone dan perangkat pribadi lainnya. Apakah remote desktop pilihan
bisa accept-, atau harus karyawan menggunakan koneksi VPN?

enkripsi - Apa jenis data membutuhkan enkripsi? Kapan web server diperlukan untuk
menggunakan SSL? Apakah pengujian dan pengembangan lingkungan juga memerlukan
enkripsi? Dapat sertifikat self-ditandatangani? Apakah dapat diterima untuk mengirim
informasi terbatas tidak terenkripsi melalui email?
Perencanaan kontingensi - Menentukan rencana pemulihan bencana. Kebijakan harus
Kerja membentuk lish garis komando yang jelas dalam kasus bencana lokal atau umum,
dengan jalur pelaporan dan alternatif dalam kasus seseorang tidak dapat dicapai. Ini
menunjuk seorang eksekutif sebagai appropri- yang makan orang bertanggung jawab untuk
deklarasi bencana. Hal ini mengacu pada standar dan prosedur untuk spesifik tentang apa
yang harus dilakukan dengan setiap sistem dalam kasus bencana lainnya.
respon insiden- Kebijakan respon insiden menggambarkan prosedur umum dalam
kasus insiden dengan efek samping dalam organisasi. Ini menentukan siapa yang seharusnya
memimpin tim respon insiden, yang akan bertanggung jawab komunikasi, baik nal internal
dan exter-. Ini akan menentukan kapan insiden harus meningkat, dan bagaimana menangani
eskalasi. Ini menyediakan kursi IRT yang lintang untuk membuat keputusan yang cepat
sepihak untuk melindungi aset organisasi.
Otentikasi dan otorisasi - Apakah metode yang diterima otentikasi? Peran apa yang
bisa pengguna individu mengambil? Berapa lama setelah pemutusan hubungan kerja akan
 akun pengguna dicabut? Apakah departemen diperbolehkan untuk meminta perpanjangan
periode ini? Siapa yang memiliki hak untuk menerima account di sistem?

contoh kasus - HB Gary

HB Gary adalah sebuah perusahaan keamanan informasi dengan anak perusahaan
bernama HB Gary Federal. Seperti namanya, anak perusahaan ini bertujuan untuk menarik
bisnis keamanan informasi dari berbagai lembaga federal AS seperti CIA, FBI, dll
Sayangnya, karena kelemahan dalam software dan buruknya implementasi kebijakan
password, sebagian email perusahaan yang dicuri oleh hacktivists berafiliasi dengan
Anonymous dan Lulzsec di atau sekitar Februari 2011. publisitas terkait dengan insiden
tersebut membuat bahan tertawaan keluar dari bisnis keamanan mencari perusahaan
keamanan dari beberapa organisasi keamanan tertinggi di dunia. Pada tanggal 2 Mei 2012,
jaksa federal dibebankan lima individu dengan ini dan kejahatan terkait lainnya.
Sebuah artikel di Ars Technica menjelaskan serangan secara rinci. HB Gary telah
mengembangkan sesuai selera konten-manajemen-sistem (CMS) dengan bantuan pihak
ketiga. Kelemahan dalam CMS membuat software rentan terhadap serangan injeksi SQL.
Memanfaatkan kerentanan ini, penyerang download informasi pengguna seluruh dari situs.
Meskipun password telah dienkripsi, dua eksekutif kunci di perusahaan keamanan - CEO
Aaron Barr dan COO Ted Vera - pelanggaran- pelanggaran lated rekomendasi password
yang umum dalam dua hal penting: (1) mereka menggunakan password sederhana dan (2)
mereka menggunakan password yang sama tidak hanya untuk CMS, tetapi juga untuk
email, Twitter, dan LinkedIn. Informasi ini sekitar dua eksekutif yang paling istimewa
perusahaan fol- melenguh oleh beberapa rekayasa sosial pintar memungkinkan penyerang
untuk men-download semua email perusahaan dan deface website perusahaan.
Dakwaan dan artikel Ars Technica adalah bacaan yang menarik. Seperti artikel
Wikipedia pada Lulzsec. 20

20
Stephen Colbert memiliki nya mengambil insiden itu, “mencoba
hacker Perusahaan untuk mencatat Wikileaks,”http:
//www.colbertnation. com / the-colbert-laporan-video / 375.428 /
Februari-24-2011 / perusahaan-hacker-mencoba-to-take-down-wikileaks
(Diakses 2013/07/23). Peringatan: NSFW (tidak aman untuk bekerja)
REFERENSI

http://arstechnica.com/tech-policy/2011/02/anonymous-speaks-the
-inside-cerita-of-the-HBGary-hack /
http://www.wired.com/images_blogs/threatlevel/2012/03/Ackroyd-et-al.-Indictment.pdf
http://en.wikipedia.org/wiki/LulzSec

Kesimpulan
Dalam bab ini, kita dibedakan antara kepatuhan dan keamanan. Sedangkan kepatuhan
mengacu mengikuti prosedur yang ditentukan, keamanan mengacu meminimalkan bahaya.
 Kami pembeda guished antara kebijakan, standar dan prosedur, yang merupakan tiga bentuk
utama dari dokumen formal yang panduan

keamanan informasi dalam organisasi. Mengingat manence per- relatif kebijakan, kami
berjalan melalui proses generik untuk menetapkan kebijakan yang mungkin terbaik untuk
mencapai tujuan mereka. Kami juga terdaftar seperangkat minimal kebijakan ritas informasi
keamanan hotel yang kami percaya setiap organisasi harus menyusun.

REFERENSI
SANS Kebijakan
Template,http://www.sans.org/security-
resources/ kebijakan /

PERTANYAAN BAB REVIEW 

1) Apa kebijakan keamanan informasi?
2) Apa tujuan dari kebijakan keamanan informasi?
3) Apa standar?
4) Bagaimana standar yang berbeda dari kebijakan? Bagaimana adalah dua serupa?
5) Apa pedoman?
6) Bagaimana pedoman berbeda dari standar dan penetap- an kebijakan? Bagaimana tiga
serupa?
7) Apa siklus kebijakan? Mengapa pengembangan kebijakan melanjutkan melalui siklus?
8) Apa saja komponen dari informasi yang khas kebijakan keamanan hotel?
9) Apa yang biasanya termasuk dalam bagian ikhtisar kebijakan keamanan informasi?
10) Apa yang biasanya termasuk dalam bagian lingkup kebijakan keamanan informasi?
11) Apa yang biasanya termasuk dalam bagian definisi kebijakan keamanan informasi?
12) Apa yang biasanya disertakan dalam laporan bagian kebijakan dari kebijakan keamanan
informasi?
13) Apa yang biasanya termasuk dalam bagian penegakan kebijakan keamanan informasi?
14) Apa penilaian dampak dan pemeriksaan suatu kebijakan? Mengapa kegiatan ini penting
sebelum kebijakan diadopsi?
15) Apa peninjauan kebijakan? Kapan biasanya dilakukan? Mengapa kebijakan meninjau
berguna?
16) Apa kepatuhan? Mengapa perlu? Apa adalah beberapa undang-undang dengan yang
majikan Anda harus com- lapis? (Jika Anda tidak sedang bekerja, pertimbangkan
lembaga pendidikan Anda sebagai majikan Anda untuk pose pur- dari pertanyaan ini)
17) Apa perbedaan antara kepatuhan dan keamanan?
 18) Apa implikasi kepatuhan utama HIPAA untuk profesional keamanan informasi?
19) Apa implikasi kepatuhan utama GLB untuk profesional keamanan informasi?
20) Apa implikasi kepatuhan utama FERPA untuk profesional keamanan informasi?
21) Apa implikasi kepatuhan utama SOX ke manajemen puncak perusahaan?
22) Apa implikasi kepatuhan utama HIPAA untuk profesional keamanan informasi?
23) Apa kebijakan penggunaan diterima?
24) Apa kebijakan enkripsi?
25) Menentukan apakah berikut harus dianggap sebagai pedoman atau bekerja melalui
proses sebagai standar. Membenarkan jawaban Anda.
a) "Semua sistem menyimpan SSN harus terdaftar di IT Security”

PERTANYAAN CONTOH KASUS 

1) Apa saja ketentuan bagian US Code 982 (a) (2) (B) dan 982 (b) (1)?
2) Apa pelanggaran yang spesifik dilakukan oleh para penyerang, seperti yang tercantum
dalam surat dakwaan?
3) Berdasarkan kejadian itu, apa kebijakan tertentu recommen- dations akan Anda
rekomendasikan untuk perusahaan kerusakan ventilasi pra dari serangan serupa di masa
mendatang?

HANDS-ON KEGIATAN - CREA TE AN AUP 

(Direkomendasikan: Bentuk kelompok di kelas Anda untuk menyelesaikan kegiatan ini.)
Dengan kelompok Anda, membuat kebijakan penggunaan diterima untuk penggunaan
rekening komputasi Negara Sunshine. Ketika con nyusun kebijakan, mempertimbangkan
informasi berikut:
1. Kebijakan ini akan berlaku untuk semua komputer account milik siswa, staf,
dan fakultas Sunshine State University.
2. Kebijakan ini harus mencakup daftar tindakan / perilaku yang dilarang dengan
account komputer Negara Sunshine.
3. Kebijakan ini harus mencakup hukum dan / atau peraturan yang
mempengaruhi penggunaan diterima dari account sistem.
4. Kebijakan ini harus mencakup konsekuensi untuk pelanggaran.
Setelah kelompok Anda telah menciptakan kebijakan, simpan di Linux Virtual
Machine Anda sebagai / Home / shared / business_finance / information_technology /
website / itu / policy.htmlyang dapat dilihat di http://it.sunshine.edu/policy.html.
Buat tiga sampai Ringkasan empat garis kebijakan suit- mampu untuk
memperingatkan pengguna dari ketentuan kebijakan di sistem login dan simpan sebagai/
 Etc / motd. Pastikan untuk menyertakan URL kebijakan sehingga pengguna dapat
membaca teks lengkap.

Buka jendela terminal baru dan menggunakan SSH untuk melihat pesan hari:

[ Root @ sinar matahari ~] # sshalice@sunshine.edu

kiriman

1. Menyerahkan salinan file policy.html.

2. Menyerahkan salinan dari file / etc / motd.
3.
KRITIS BERPIKIR LATIHAN - AARON SW AR TZ 
Aaron Swartz adalah seorang programmer komputer yang sangat dihormati dan sangat
terampil. Pada usia 14, ia adalah salah satu ators CRE layanan RSS populer, yang
memungkinkan pengguna untuk mengikuti konten dari website. Harun juga memiliki
keinginan yang kuat untuk mendapatkan informasi dari dinding belakang membayar
sehingga pengguna bisa mengakses informasi secara gratis. Sayangnya, intensitas keinginan
ini menyebabkan dia untuk diam-diam men-download hampir semua isi dari JSTOR
perpustakaan digital dari artikel akademis menggunakan jaringan MIT. Hampir 4,8 juta
artikel yang down load meskipun berulang kali mencoba untuk menghentikannya.
Kejadian ini menyebabkan penuntutan pidana di bawah Penipuan dan Penyalahgunaan
Komputer Act (CFAA), dan tampaknya permintaan dari jaksa bahwa ia pergi ke penjara
sebagai bagian dari kesepakatan pembelaan. Aaron, penderitaan panjang depresi, tidak
mampu untuk mengatasi stres dan ditemukan tewas di apartemennya pada 12 Januari 2013.
Kematian dianggap bunuh diri. kematian Harun dihasilkan tekanan kuat untuk merevisi
Penipuan dan Penyalahgunaan Komputer Act. pendukung Harun terperanjat bahwa jenius
seperti Aaron akan mendorong untuk kematiannya hanya karena melanggar kebijakan
penggunaan diterima dan perjanjian kontrak lainnya. Rep. Zoe Lofgren dari San Jose
menyusun hukum yang disebut hukum Harun yang akan melarang ecution Pro-bawah
CFAA untuk melanggar penggunaan yang dapat diterima penetap- an kebijakan atau
kewajiban kontrak lain jika pelanggaran tersebut adalah satu-satunya dasar untuk
menentukan bahwa akses yang tidak sah telah terjadi.
ahli lain berpendapat bahwa kejahatan Harun itu bukan hanya melanggar kebijakan
penggunaan yang dapat diterima. Aaron diam-diam over datang upaya oleh JSTOR dan MIT
untuk menghentikan download diperdebatkan, dengan demikian bersalah representasi palsu.

REFERENSI
(Ada banyak artikel tentang Aaron Swartz di Internet. Berikut ini adalah sumber utama untuk
kasus ini.)
Schwartz, J. “aktivis Internet, pencipta RSS, sudah mati pada 26, appar- ently bunuh diri,”
New York Times, 2013/01/12
Sellars, A. “Dampak Hukum 'Harun kasus Aaron Swartz ini,” 2013/01/18,
http://www.dmlp.org/blog/2013/impact-aarons-law- aaron-swartzs-kasus (Diakses
2013/07/16)
Healey, J. “Salah satu dari sedikit warisan Aaron Swartz ini:? Memperbaiki hukum yang
buruk” Los Angeles Times, 2013/01/16
Penipuan komputer dan Penyalahgunaan Act,http://www.law.cornell.edu/uscode/ text /
18/1030 (diakses 2013/07/16)

PERTANYAAN BERPIKIR KRITIS

1) Apakah Anda berpikir kematian Harun adalah hasil dari “prosecuto- melampaui batas
Rial”?

2) Kamu adalah jaksa dalam kasus ini. Apakah Anda melakukan hal ada- berbeda,
misalnya, menetap untuk hukuman ringan, mengingat kontribusi besar Harun untuk
teknologi?

DESAIN CASE
Selama pertemuan yang melibatkan auditor negara dan universitas offi- pejabat Anda
melihat bahwa banyak sinar matahari Universitas Dekan dan Direksi membuat ekstensif
menggunakan tablet dan smartphone. Tidak hanya itu, tetapi mereka juga menggunakan
aplikasi seperti Google Drive dan Dropbox untuk memindahkan dokumen dari satu perangkat
ke perangkat lainnya mulus. Anda membawa keprihatinan ini kepada Dekan College of
Business, yang duduk di sebelah Anda dalam pertemuan ini.
Menuliskebijakan tentang penggunaan ruang penyimpanan pribadi berbasis cloud untuk
menyimpan data kelembagaan universitas. Kebijakan tersebut harus memiliki gambaran,
ruang lingkup, definisi, pernyataan kebijakan, dan enforce- ment. Minimal,
mempertimbangkan dan alamat berikut:
 Kebijakan ini hanya akan berlaku untuk College of Business.
 Adalah pedoman umum bahwa pengguna harus atau tidak harus menyimpan data di
atas awan? Silakan membenarkan.
 Apakah ada kelas data yang tidak boleh disimpan pada rekening awan pribadi?
 Akankah langkah-langkah penegakan berbeda untuk dosen dan mahasiswa?
Selain kebijakan, penelitian dan menguraikan Persyaratan Layanan untuk dua layanan
cloud-penyimpanan pribadi, menunjukkan masalah yang mungkin hal ini layanan dapat
membawa ke universitas dan untuk pengguna, termasuk bility lia- terbatas, pembatasan
uptime, dll

Gambaran
Ini mengintegrasikan Bab sebagian besar konsep yang
dibahas dalam bab-bab sebelumnya menjadi suatu kerangka
menyeluruh untuk menangani keamanan informasi. Bab-
bab sebelumnya telah mengambil pendekatan bottom-up
untuk keamanan, membahas konsep-konsep secara
terperinci. Bab ini mengambil pendekatan top-down,
dimulai dengan keprihatinan masyarakat dan manajemen
puncak yang berkaitan dengan keamanan tion Informasi.
konstituen ini kurang peduli dengan teknologi dan lebih
tertarik dalam meminimalkan dampak ekonomi dari
keamanan informasi. Ungkapan “risiko manajemen TI”
mengatur semua masalah yang terkait dengan keamanan
informasi, memanfaatkan masukan dari manajemen dan
teknologi ahli.
Isu penting untuk manajemen puncak biasanya
menerima banyak perhatian dari banyak pihak. Sejak peduli
manajemen puncak tentang manajemen risiko, sejumlah
1

kerangka kerja manajemen risiko TI populer telah muncul.

Kami menyediakan tur singkat dari kerangka kerja ini.
Kami kemudian ide menyaring dari kerangka kerja ini
untuk membuat kerangka kerja manajemen risiko yang
konsisten dengan kerangka kerja standar yang kita telah
digunakan untuk konsep terkait lainnya dalam bab-bab
sebelumnya

1
Meskipun kekhawatiran ini, hanya sekitar 5% - 25% dari
perusahaan Fortune 500 siap untuk menangani krisis.
Perusahaan-perusahaan siap krisis terhadap harus mengatasi
sekitar 33% lebih sedikit krisis, hidup sekitar 25% lebih
lama, memiliki dua kali lipat ROA dan memiliki reputasi
tinggi dibandingkan perusahaan yang hanya bereaksi
terhadap krisis (Mitroff, II dan MC Alpaslan (2003).
“Mempersiapkan jahat .”Harvard Business Review 2003
(April): 109-115)..

Pada akhir bab ini, Anda harus tahu:

 Relevansi manajemen risiko untuk manajemen puncak

  IT kerangka kerja manajemen risiko
 Analisis risiko - identifikasi dan penilaian
 Manajemen risiko - mitigasi, persiapan, dan respon
Pengantar
Risiko adalah ukuran kuantitatif dari potensi kerusakan yang disebabkan oleh
ancaman tertentu. Dalam ters chap- sebelumnya, kami telah membangun basis
pengetahuan yang diperlukan untuk menganalisis dan mengelola risiko. Dalam Bab
6, kita telah membahas ancaman secara rinci. Kita bisa membangun gagasan bahwa
dalam bab ini untuk membahas masalah yang menarik perhatian manajemen
puncak - manajemen risiko.
Sejak manajemen risiko didorong oleh kekhawatiran manajemen puncak, di tion
sek- pengantar ini, kami menetapkan topik manajemen risiko dalam konteks
keseluruhan mengelola sebuah organisasi.
Kita kemudian mendiskusikan kerangka kerja manajemen risiko standar yang
dikembangkan oleh NIST untuk memandu kegiatan manajemen-risiko TI.

Manajemen risiko sebagai komponen manajemen organisasi

Kinerja suatu organisasi dinilai menggunakan beberapa ukuran
profitability. organisasi Lebih menguntungkan lebih berharga daripada
2

organisasi kurang menguntungkan. Dengan demikian, fokus utama dari

manajer adalah untuk memaksimalkan keuntungan organisasi mereka. Kita
dapat menulis kekhawatiran gerial ini mana- sebagai:

Masalah keputusan manajer = max (profit) = max (Pendapatan -biaya)

Manajer dapat mencapai tujuan ini dengan menggunakan beberapa

kombinasi dari peningkatan pendapatan (umumnya dengan menaikkan
harga atau menjual lebih unit) atau dengan mengurangi biaya. Banyak
literatur ment mengelola- dan sebagian besar kurikulum MBA khas yang
dikhususkan untuk membimbing manajer untuk mencapai tujuan tersebut.
Namun, ketika menjalankan organisasi pada sehari-hari, manajer
menemukan hal-hal yang tidak biasa terjadi sepanjang waktu, banyak yang
dapat secara signifikan mempengaruhi organisasi persamaan
maksimalisasi keuntungan. Sebagai contoh, kita telah melihat sebelumnya
bagaimana TJ Maxx membuat ketentuan untuk $ 118 juta untuk
menangani dampak dari insiden kartu kredit. Karena insiden ini dapat
mempengaruhi keuntungan organisasi, mereka perlu dikelola. Pada tingkat
yang sangat tinggi, mengelola dampak keuangan dari kejadian yang tidak
biasa disebut manajemen risiko. Untuk mewakili ini,
max (Pendapatan - biaya - Δ), Di mana Δ adalah dampak dari
peristiwa yang tidak biasa pada organization. yang Ada luas dua
3
 pendekatan untuk manajemen risiko: (1) membuat risiko (Δ) diprediksidan
(2) meminimalkan dan mempersiapkan risiko ini.

2
Tidak semua organisasi bertujuan untuk profitabilitas. organisasi non-
menguntungkan seperti perguruan tinggi adalah sektor besar ekonomi,
akuntansi untuk over 10% dari semua pekerjaan AS
(http://www.urban.org/nonprofits/index.cfm). Sementara organisasi-
organisasi ini mengukur output mereka menggunakan kriteria seperti jumlah
siswa lulus dan jumlah paten yang diperoleh, bahkan organisasi ini prihatin
dengan menempatkan sumber daya mereka untuk penggunaan optimal, dan
manajer mereka berbagi sebagian besar risiko-manajer keprihatinan yang
sama sebagai manajer di untuk- organisasi nirlaba
3
Δ singkatan delta, istilah standar industri untuk penyimpangan dari perilaku normal

standar pendekatan untuk pengambilan risiko diprediksi adalah

asuransi dan lindung nilai. Ini adalah beberapa kegiatan yang paling
penting dari sektor keuangan perekonomian. Misalnya, membeli asuransi
banjir untuk datacenter Anda membuat dampak keuangan dari kejadian
banjir predict- mampu, sama dengan premi tahunan yang dibayarkan untuk
membeli asuransi. Sementara ide terdengar tidak biasa, Anda harus tahu
bahwa ini merupakan komponen penting dari manajemen risiko TI. Kami
(penulis) tidak ahli dalam merancang dan menetapkan harga instrumen
keuangan, jadi kami meninggalkan rincian dari pendekatan ini para ahli di
bidang keuangan. Namun, kami ingin menekankan bahwa manajemen
puncak memahami pendekatan ini dengan baik dan selalu menganggap
serius. Jadi, jangan heran jika Anda mendengar istilah “asuransi” dalam
konteks TI manajemen risiko.
Itu daun kita dengan meminimalkan dan mempersiapkan risiko. Ini
adalah pendekatan kita bahas dalam sisa bab ini.

Dengan latar belakang ini, kita sekarang akan melihat kerangka IT manajemen risiko
standar yang dikembangkan oleh NIST.
kerangka manajemen risiko
Kerangka adalah struktur untuk mendukung sesuatu yang lain. Dalam literatur manajemen,
karya frame- digunakan ketika sejumlah besar ide-ide yang akan diselenggarakan dengan
cara yang dapat

4
Salah satu siswa kami diringkas ide ini dengan mengingatkan kita dari kutipan: “Offense
menjual tiket, menang pertahanan kejuaraan”
5
daerah terkait lain adalah memastikan bahwa risiko baru yang diciptakan
dalam organisasi karena investasi TI dikelola dengan baik. Sebagai
contoh, beberapa kerugian keuangan yang spektakuler terjadi karena
perdagangan keuangan yang cepat diaktifkan oleh sistem TI. Hal ini juga
tidak dibahas dalam bab ini. Tapi diskusi yang sangat baik dapat
ditemukan di Westerman, G. dan Hunter, R. (2007). IT Risiko: Mengubah
Ancaman Bisnis ke Keunggulan Kompetitif (Hardcover). Boston, MA,
Harvard Business School Press
6
http://www.sec.gov/about/forms/form10-k.pdf
7
http://www.law.cornell.edu/cfr/text/17/229.503
8
http://investor.apple.com/
 NIST 800-39 kerangka 385

dipahami dan diingat oleh banyak orang, yaitu, kerangka kerja manajemen
mendukung-lembaga yang lisasi dari konsep terkait untuk mencapai tujuan
yang menarik.
Banyak kerangka yang populer untuk manajemen risiko, termasuk
oktaf CERT, ISO 27002 dari Organisasi Standar Internasional, dan
pedoman NIST 800-39 pada penuaan risiko keamanan informasi manusia-.
Selain itu, vendor terkemuka seperti Microsoft dan Google
9 10

mempublikasikan rekomendasi mereka sendiri untuk manajemen risiko

keamanan informasi. Semua panduan ini menyajikan ide-ide yang sama
dan mewakili hasil upaya kolektif dari pikiran terbaik di industri untuk
mengelola risiko TI. Salah satu pedoman ini akan menjadi dasar yang
sangat baik untuk mengembangkan rencana manajemen risiko informasi
untuk organisasi Anda.

preferensi kami dalam buku ini adalah untuk ide-ide hadir dalam cara
yang konsisten di seluruh bab. Kami percaya memfasilitasi pemahaman
dan diingat. Kami menemukan NIST yang 800-39 pedoman yang paling
cocok untuk tujuan kita karena sangat kompatibel dengan cara kita telah
disajikan informasi dalam bab-bab sebelumnya. Dengan demikian, kita
mendasarkan sisa bab ini pada garis-garis panduan-. Kami
mengintegrasikan banyak ide dibahas dalam bab-bab sebelumnya (seperti
model ancaman dan siklus hidup bencana) dalam kerangka NIST
manajemen risiko. Untuk kelengkapan, menjelang akhir bab ini, kami juga
memberikan gambaran singkat dari kerangka populer lainnya.
9
http://technet.microsoft.com/en-us/library/cc163143.aspx
10
https://cloud.google.com/files/Google-CommonSecurity-WhitePaper-v1.4.pdf

NIST 800-39 kerangka

Rekomendasi NIST untuk mengelola risiko keamanan informasi yang
diterbitkan sebagai publikasi khusus 800-39, Versi saat tanggal Maret
11

2011. 800-39 Pedoman tersebut dikembangkan dengan masukan dari Sipil,

Pertahanan, dan Komunitas Intelijen untuk menyediakan kerangka kerja
keamanan informasi untuk pemerintah federal. The 800-39 pedoman (dan
pembahasan dalam bab ini) sangat umum dan tidak hadir untuk
 keprihatinan spesifik lingkungan keamanan tinggi seperti pangkalan
militer atau hukum khusus seperti HIPAA. Mereka KASIH environ- akan
menggunakan prosedur yang lebih ketat daripada yang disarankan oleh
NIST 800-39. Namun, 800-39 kerangka ini sangat berguna bagi sebagian
besar organisasi komersial dan non-profit dan karenanya cocok untuk
tujuan kita. Jika Anda bekerja di lingkungan yang tinggi-keamanan seperti
pangkalan militer atau bank,
Risiko TI didefinisikan sebagai risiko yang terkait dengan
penggunaan sistem informasi dalam tion organiza-. Ini adalah salah satu
dari banyak risiko yang dihadapi organisasi. NIST mengakui bahwa
manajemen risiko adalah bukan ilmu pasti. Ini adalah penilaian kolektif
terbaik dari orang-orang di semua tingkatan dan fungsi dalam sebuah
organisasi tentang langkah-langkah yang sesuai untuk melindungi
organisasi. The 800-39 kerja frame- merekomendasikan bahwa
kepemimpinan senior terlibat dalam manajemen risiko TI, dan bahwa
risiko manajemen TI diintegrasikan dalam desain proses bisnis. 12

11
http://csrc.nist.gov/publications/nistpubs/800-39/SP800-39-final.pdf (Diakses 2012/12/20)

12
Sebuah link yang sangat menarik di IT risiko untuk administrator
sekolah:http://dangerouslyirrelevant.org/2012/08/26-internet-safety- bicara-
points.html(Diakses 2013/07/22). Muncul di blog Bruce Schneier, 2012/09/15

IT komponen manajemen risiko

The 800-39 kerangka mengidentifikasi empat komponen TI manajemen
risiko - (1) frame risiko,
(2) penilaian risiko, (3) respon risiko sekali risiko yang dinilai, dan (4)
terus berisiko pemantauan berdasarkan pengalaman yang diperoleh dari
kegiatan respon risiko. Ini diatur seperti yang ditunjukkan pada Gambar
14.1.

Bingkai risiko menetapkan konteks manajemen risiko dengan

menggambarkan lingkungan di mana keputusan berbasis risiko yang
dibuat. Ini mengklarifikasi kepada seluruh anggota dalam organisasi
berbagai kriteria risiko yang digunakan dalam organisasi. Kriteria ini
meliputi (i) asumsi tentang risiko yang penting; (Ii) respon yang dianggap
praktis; (Iii) tingkat pertimbangan- risiko ered diterima; dan (iv) prioritas
dan trade-off ketika menanggapi risiko. framing risiko juga
mengidentifikasi risiko yang akan dikelola oleh senior yang pemimpin /
eksekutif.
 Dalam konteks bingkai risiko, mengidentifikasi komponen penilaian
risiko dan gerbang secara agregat risiko yang dihadapi organisasi. Ingat
definisi kita tentang risiko sebagai ukuran kuantitatif dari potensi
kerusakan dari ancaman. penilaian risiko mengembangkan ini perkiraan
kuantitatif dengan mengidentifikasi ancaman, kerentanan dalam organisasi
dan membahayakan untuk organisasi jika ancaman mengeksploitasi
kerentanan. Kami membahas penilaian risiko secara lebih rinci pada
bagian berikutnya.
alamat respon risiko bagaimana organisasi menanggapi risiko
setelah mereka ditentukan dari penilaian risiko. respon risiko membantu
dalam pengembangan yang konsisten, organisasi-lebar, respon terhadap
risiko yang konsisten dengan kerangka risiko. Mengikuti standar bisnis
prosedur-prosedur, respon risiko terdiri dari (i) mengembangkan program
alternatif tindakan untuk menanggapi risiko; (Ii) mengevaluasi alternatif
ini; (Iii) memilih program yang tepat tindakan; dan (iv) menerapkan
respon risiko berdasarkan program yang dipilih tindakan.
pemantauan risiko mengevaluasi efektivitas rencana manajemen
risiko organisasi dari waktu ke waktu. pemantauan risiko melibatkan (i)
verifikasi bahwa langkah-langkah respon risiko yang direncanakan
dilaksanakan; (Ii) verifikasi bahwa respon risiko direncanakan memenuhi
persyaratan yang berasal dari misi organisasi, fungsi bisnis, peraturan, dan
standar; (Iii) penentuan efektifitas kebijakan respon risiko; dan (iv)
identifikasi perubahan yang diperlukan untuk rencana manajemen risiko
sebagai akibat dari perubahan teknologi dan lingkungan bisnis.
Panah pada Gambar 14.1 menggambarkan proses manajemen risiko
dan informasi dan komunikasi arus antara komponen manajemen risiko.
Kegiatan di lingkaran luar yang dilakukan secara berurutan, bergerak dari
penilaian risiko untuk respon risiko untuk risiko toring moni-. Frame risiko
menginformasikan semua sekuensial kegiatan langkah-demi-langkah.
Misalnya, ancaman diidentifikasi dari frame risiko berfungsi sebagai
masukan untuk kegiatan penilaian risiko. Demikian pula, output dari
komponen penilaian risiko (risiko) berfungsi sebagai input ke component
respon risiko.  
13

13
Dokumen 800-39 menggunakan panah bi-directional di mana-mana pada
gambar. Kami telah menggunakan panah diarahkan untuk menghubungkan
lingkaran luar. Kami percaya ini lebih baik mewakili sifat berurutan
 kegiatan dan arus informasi dari penilaian risiko untuk menanggapi
pemantauan

Tugas beresiko
Setelah frame risiko didirikan, kita bisa membangun model ancaman
dikembangkan sebelumnya untuk membuat model penilaian risiko.

Model penilaian risiko

Model ancaman diperkenalkan sebelumnya direproduksi pada Gambar
14.2. Ancaman melibatkan agen termotivasi menyerang aset. Ketika
melakukan analisis ancaman, kita biasanya tidak melakukan analisis
formal dari hasil potensi ancaman. Perhatian kita selama analisis ancaman
terbatas untuk mengidentifikasi potensi masalah.

Misalnya, salah satu ancaman yang diidentifikasi adalah seorang hacker jarak jauh
(agen) mengorbankan kepercayaan pengguna basis data (aset), dengan mencuri kredensial
ini (tindakan). Selama analisis ancaman, kami tidak mempertimbangkan dampak potensial
dari ancaman tersebut. Secara khusus, kami tidak khawatir tentang apa yang hacker yang
mungkin dilakukan dengan informasi tersebut.
penilaian risiko dapat dilihat sebagai menambahkan analisis hasil terhadap ancaman
diidentifikasi. definisi kita tentang risiko sebagai ukuran kuantitatif dari potensi kerusakan
yang disebabkan oleh ancaman tertentu dapat ditulis sebagai:

Risiko = kerusakan sebagai akibat dari ancaman tertentu, atau

Risiko = kerusakan (ancaman), yaitu, risiko adalah output kerusakan sebagai fungsi dari input
ancaman

Karena ancaman itu sendiri terdiri dari agen, tindakan, dan aset, kita dapat menulis
persamaan untuk risiko sebagai:

Risiko = kerusakan (agen, tindakan, aset)

 Hal ini ditunjukkan pada Gambar 14.3. Kita dapat menggunakan angka ini untuk
mengidentifikasi risiko dan menuliskannya sebagai pernyataan risiko, yang menyediakan
semua informasi yang diperlukan untuk mengkomunikasikan informasi tentang risiko
kepada pihak yang bersangkutan. Membangun contoh ancaman kami hacker mencuri
pengguna dentials CRE, kita dapat menulis risiko yang terkait sebagai:

Risiko 1: Seorang hacker jarak jauh (agen) dapat mencuri kredensial (tindakan) pengguna
(asset) dan mencoba mandat ini ke situs web akses perbankan (tindakan). Hal ini dapat
menyebabkan tuntutan hukum, yang akan menguras keuntungan serta manajemen waktu
(kerusakan).
Risiko 2: Seorang hacker jarak jauh (agen) dapat mencuri kredensial (tindakan) pengguna
(asset) dan mencoba mandat ini ke situs web akses perbankan (tindakan). Hal ini dapat
menyebabkan publisitas negatif, yang bisa melukai bisnis kami dalam jangka pendek
(kerusakan).

Dengan kata lain, ancaman yang sama dapat dikaitkan dengan beberapa risiko, jika
ancaman dapat menyebabkan beberapa bentuk kerusakan.

Setelah risiko diidentifikasi, ukuran kuantitatif untuk risiko yang

dikembangkan oleh estimat- ing kemungkinan dan potensi kerusakan pada
terjadinya risiko. Kami kemudian menghitung risiko sebagai produk dari
kemungkinan dan besarnya. Melanjutkan contoh kita dari hacker,
mengatakan kami memperkirakan kemungkinan serangan itu di tahun
mendatang pada 1%. Juga, mengatakan bahwa risiko 2, kami
memperkirakan kerusakan moneter dari penjualan yang hilang pada $
10.000 keuntungan. Kita bisa menghitung risiko dalam hal ini sebagai:

Risiko = kemungkinan × besarnya = 0.01 × $ 10.000 =$ 100.

Dengan mengembangkan perkiraan yang sama untuk semua risiko
yang teridentifikasi, kita dapat memprioritaskan risiko dalam kerangka
risiko kami.

kerangka kerja manajemen risiko lainnya

 NIST 800-39 kerangka adalah kerangka IT manajemen risiko yang sangat
umum. Ada beberapa kerangka kerja manajemen risiko keamanan
informasi lainnya, dengan seri ISO 27000 dan CERT OCTAVE menjadi
salah satu yang paling populer. Ada banyak perusahaan konsultan yang
membantu organisasi untuk melaksanakan rekomendasi dari standar
tersebut. Kami menyediakan singkat pandangan berlebihan dari dua
standar ini di sini untuk kelengkapan.

ISO seri 27000

Organisasi Standar Internasional (ISO) telah mencadangkan seri ISO
27000 standar (yaitu, standar dimulai dengan angka 27) untuk masalah
keamanan informasi. Per Desember 2012, seri ini meliputi enam standar
mulai dari ISO 27001 ISO 27006. Standar-standar ini mencakup topik-
topik berikut:

ISO 27001: Standar yang menentukan persyaratan untuk sistem ment

mengelola- keamanan informasi (ISMS)
ISO 27002: Standar yang menentukan satu set kontrol untuk memenuhi persyaratan yang
ditentukan dalam ISO 27001
ISO 27.003: Pedoman pelaksanaan ISMS ISO 27.004:
Pengukuran dan metrik untuk ISMS
ISO 27005: Standar untuk informasi manajemen risiko keamanan
ISO 27006: Standar yang menyediakan pedoman untuk akreditasi organisasi yang
menawarkan ISMS sertifikasi
ISO 27001 menyatakan standar bahwa ISO mengadopsi pendekatan proses untuk
implement- keamanan informasi ing. Semua proses mengikuti model Deming Plan-Do-
Check-Act (PDCA). Selama fase perencanaan, organisasi menetapkan kebijakan dan
prosedur untuk mengelola risiko tion Informasi. Prosedur ini dioperasikan dalam tahap
do. Selama pemeriksaan, memproses perfor- Mance diukur terhadap spesifikasi rencana
dan disajikan kepada manajemen untuk diperiksa. Pada tahap tindakan, review hasilnya
digunakan untuk memperbaiki kebijakan dan prosedur dalam iterasi berikutnya dari fase
rencana.
Kamudapat mencatat paralel antara standar NIST 800-39 dan ISO 27001. NIST
menilai fase peta ke tahap rencana ISO, fase respon terhadap melakukan tahap, dan tahap
tor moni- untuk cek ISO dan bertindak fase.

ISO 27002 dokumen seperangkat teknik keamanan, yang memetakan dengan

kontrol yang telah kita bahas dalam buku ini. Kontrol dalam standar dibagi menjadi
bagian berikut: (i) manajemen aset; (Ii) keamanan sumber daya manusia; (Iii) fisik dan
keamanan lingkungan; (Iv) komunikasi dan manajemen operasi; (V) kontrol akses; (Vi)
sistem informasi akuisisi, pengembangan, dan pemeliharaan; (Vii) insiden keamanan
 informasi agement manusia-; (Viii) manajemen kelangsungan bisnis; dan (ix)
compliance. 14

ISO 27005 menetapkan bahwa proses manajemen risiko keamanan informasi terdiri
dari langkah-langkah berurutan tujuh: (i) pembentukan konteks; (Ii) penilaian risiko; (Iii)
perlakuan risiko; (Iv) penerimaan risiko; (V) pelaksanaan rencana perawatan risiko; (Vi)
pemantauan risiko dan review; dan
(Vii) manajemen risiko perbaikan proses. Menyusul rekomendasi PDCA ISO 27001, ISO
27005 aligns kegiatan ini dengan empat fase seperti yang ditunjukkan pada Tabel 14.1.
Seperti yang Anda lihat, ada tumpang tindih antara ISO dan tions NIST
recommenda- karena terkait dengan keamanan informasi.

OKTAF
Carnegie Mellon University (CMU) host terkenal Software Engineering Institute yang
(SEI). SEI adalah sebuah organisasi yang didanai pemerintah federal yang memiliki
selama bertahun-tahun diambil kepengurusan untuk mengkoordinasikan berbagai
kegiatan penting untuk industri perangkat lunak. Ini dimulai dengan mengembangkan
pedoman yang direkomendasikan untuk meningkatkan proses pengembangan perangkat
lunak. Dalam beberapa tahun terakhir, telah diambil kepemimpinan dalam keamanan
informasi dan mempertahankan repositori pusat dari laporan bug yang dirilis oleh vendor
perangkat lunak utama. Inisiatif lain yang populer dari SEI adalah OCTAVE meth-
odology untuk manajemen keamanan informasi.

14
Kita hanya menyentuh secara singkat pada manajemen kelangsungan bisnis dalam buku ini.
Hal ini karena sebagian besar perguruan segar ates gradu- hanya akan memiliki tanggung
jawab yang terbatas untuk kelangsungan bisnis. Kami telah memilih untuk mempertahankan
fokus kami pada topik keamanan informasi yang paling relevan untuk lulusan perguruan
tinggi dalam 4-5 tahun pertama setelah lulus

Tabel 14.1 Keselarasan antara 27001 keamanan informasi ISO (IS) komponen
sistem manajemen dan ISO 27005 IS manajemen risiko komponen proses
keamanan informasi (IS) tahap proses sistem manajemen IS tahap proses
manajemen risiko

Rencanapembentukan konteks

Mengembangkan perlakuan resiko penerimaan

rencana Risiko
Melakukan Penerapan perlakuan resiko rencana
Memeriksa pemantauan terus-menerus dan meninjau dari risiko
Bertindak Mempertahankan dan meningkatkan IS manajemen risiko proses
 OCTAVE berdiriuntuk operasional Kritis Ancaman, Asset,
Kerentanan Evaluasi. The odology berkorespondensi meth- ke tahap
penilaian risiko kerangka NIST 800-39. Tion deskriptif metodologi
OCTAVE yang disediakan di bawah ini diadaptasi dari gambaran yang
disediakan di website SEI: 15

Metode OCTAVE dikembangkan dengan organisasi besar dalam

pikiran (300 karyawan atau lebih). Organisasi-organisasi ini umumnya
memelihara infrastruktur TI mereka sendiri dan memiliki ity capabil-
untuk mengelola operasi keamanan informasi mereka sendiri. OCTAVE
menggunakan pendekatan tiga tahap untuk memeriksa masalah organisasi
dan teknologi, perakitan gambaran yang komprehensif tentang kebutuhan
keamanan informasi organisasi. Tiga fase tersebut:

Tahap 1: mengidentifikasi aset kritis dan ancaman terhadap aset tersebut

Tahap 2: mengidentifikasi kerentanan, baik organisasi dan teknologi, yang
mengekspos ancaman mereka, menciptakan risiko bagi organisasi
Tahap 3: mengembangkan strategi perlindungan dan mitigasi risiko rencana
berbasis praktik untuk mendukung misi dan prioritas organisasi

OKTAF terdiri dari serangkaian lokakarya, baik yang difasilitasi oleh

para ahli di luar atau dilakukan oleh tim analisis interdisipliner tiga sampai
lima personil organisasi sendiri. Metode ini memanfaatkan pengetahuan
dari berbagai tingkat organisasi. Kegiatan ini didukung oleh katalog yang
baik atau praktik yang dikenal, serta survei dan lembar kerja yang dapat
digunakan untuk memperoleh dan informasi penangkapan selama diskusi
terfokus dan sesi pemecahan masalah.
Seperti Anda mungkin telah mengamati, ada banyak persamaan
antara OCTAVE dan kerangka kerja manajemen risiko keamanan mation
informal lainnya dibahas sebelumnya (NIST 800-39 dan ISO 27000).

IT kontrol umum untuk Sarbanes-Oxley

Sejauh dalam bab ini, kita telah membahas kerangka informasi umum
keamanan manajemen risiko yang dapat digunakan dalam berbagai
industri. Sementara kerangka ini harus membantu dalam kebanyakan
konteks, dalam konteks di mana taruhannya sangat tinggi, persyaratan
hukum khusus untuk IT metodologi manajemen risiko telah muncul. Satu
konteks tersebut adalah pelaporan keuangan di perusahaan publik. Konteks
 ini telah menjadi pendorong besar perekrutan baru gradu- profesional
informasi ated keamanan dalam dekade terakhir. Ia telah memperkenalkan
istilah-istilah seperti SOX, bagian 302, bagian 404, pengendalian internal,
dan IT kontrol umum ke dalam leksikon keamanan informasi. Mengingat
pentingnya hal ini, kami memberikan gambaran konteks ini di bagian ini.

Sarbanes-Oxley Act of 2002

Dalam tahun-tahun terakhir abad ke-20, Amerika menyaksikan salah satu kenaikan paling
euforia harga saham dalam sejarah keuangan. Potensi bisnis Internet menyebabkan
investor penawaran atas harga dari setiap perusahaan yang berhubungan dengan internet.
Fenomena ini sekarang dikenal sebagai “booming dot-com.” Analis dikembangkan metrik
seperti “dolar per bola mata” untuk membenarkan harga ini. Sedangkan perusahaan yang
sahamnya harga lebih dari 20 kali pendapatan tahunan Star Excursion Balance Test sekutu
dianggap mahal, selama ini perusahaan saat memakai miliar valuasi dolar tanpa
keuntungan dan banyak perusahaan memakai valuasi lebih dari 100 kali keuntungan
tahunan. Pada tahap akhir dari hiruk-pikuk ini, ketika orang-orang mulai mempertanyakan
ini valuasi tinggi dan perusahaan berada di bawah tekanan untuk membenarkan harga
saham mereka, eksekutif di beberapa perusahaan terkenal ditempa mereka akun-buku baik
untuk menunjukkan penjualan yang tidak benar-benar terjadi (MCI-Worldcom) atau untuk
biaya menyembunyikan (Enron). Banyak dari para eksekutif ini keuntungan pribadi dari
pemalsuan ini.
Ketika kasus masuk ke pengadilan, para pemimpin di perusahaan-perusahaan ini
membantah kesalahan dan mengambil pembelaan bahwa mereka telah ditandatangani pada
laporan keuangan terutama didasarkan pada kepercayaan mereka staf akuntansi dan
auditor. Mereka berpendapat bahwa operasi perusahaan begitu rumit bahwa tidak mungkin
bagi mereka untuk mengetahui semua aspek dari laporan keuangan. Namun, para ahli
mengelola- ment, masyarakat, dan anggota parlemen yakin bahwa manajer tahu persis apa
yang mereka lakukan dan permohonan ketidaktahuan hanyalah upaya untuk
mengeksploitasi celah hukum dan hukuman menghindari.
Percobaan ini membawacahaya dua rincian penting dari pasar saham. Satu, bahwa
KASIH retire- kebanyakan orang Amerika yang terkait erat dengan pasar saham karena
sebagian besar dana pensiun tidak punya pilihan selain untuk berinvestasi sebagian aset
mereka di pasar saham AS untuk mencapai pertumbuhan yang diperlukan untuk membantu
orang pensiun anggun. Ketika perusahaan besar seperti Enron dan Worldcom MCI-
dimanipulasi pernyataan mereka dan akhirnya runtuh, sakit aset pensiun dari hampir setiap
pekerja Amerika. Dua, bahwa para pemimpin perusahaan bisa mendorong banyak
kesalahan di perusahaan mereka melalui arah verbal dan implisit bahwa tidak
meninggalkan jejak kertas yang dapat digunakan selama persidangan pengadilan. Di
bawah tekanan berat untuk melakukan sesuatu, Kongres meloloskan tindakan Sarbanes-
Oxley tahun 2002. Tindakan ini dinamai setelah dua sponsor utama, Senator Paul Sarbanes
(D-MD) dan Perwakilan Michael G. Oxley (R-OH). Pola voting menunjukkan dukungan
islative kaki- luar biasa pada saat hukum. Ia menerima 423 dari kemungkinan 434 orang di
dalam rumah dan
 99 dari 100 orang yang mungkin di senat.

Sarbanes-Oxley - ketentuan penting

Dari perspektif hukum, hukum memiliki satu dampak yang besar. Bagian 302 dan 906
dibuat ketentuan pidana baru, membuat CEO dan CFO dari perusahaan publik
bertanggungjawab secara pidana untuk pernyataan yang tidak benar dalam pengajuan
publik. CEO dan CFO sekarang pribadi bertanggung jawab atas kebenaran informasi
keuangan yang disajikan dalam pengajuan publik. Sebelum Sarbanes-Oxley, jaksa harus
membangun niat jahat untuk laporan tidak benar dianggap sebagai tindak pidana. Untuk
ence rujukan terbaik, ketentuan yang relevan dari tindakan itu direproduksi di bawah ini.
IT kontrol umum untuk Sarbanes-Oxley 393

membangun niat jahat untuk laporan tidak benar dianggap sebagai tindak pidana.
Untuk referensi, ketentuan yang relevan dari tindakan itu direproduksi di bawah
ini.

EXHIBIT
14.1 KUTIPAN DARI SEC. 302 DARI Sarbanes-Oxley Act

DETIK. 302. TANGGUNG JAWAB PERUSAHAAN UNTUK LAPORAN KEUANGAN. 

(A) Kebutuhan Peraturan.-

Komisi, menurut aturan, membutuhkan, untuk setiap perusahaan mengajukan laporan

berkala berdasarkan pasal 13 (a) atau 15 (d) dari Securities Exchange Act of 1934 (15 USC
78m, 78o (d)), bahwa pejabat eksekutif kepala sekolah atau pejabat dan petugas keuangan
kepala sekolah atau pejabat, atau orang melakukan fungsi yang sama, menyatakan dalam
setiap laporan tahunan atau kuartalan disampaikan atau diajukan berdasarkan baik bagian
seperti UU tersebut itu- 

(1) petugas penandatanganan telah mengkaji laporan tersebut;

(2) berdasarkan pengetahuan petugas, laporan itu tidak mengandung pernyataan tidak benar
dari fakta material atau omit untuk menyatakan fakta material yang diperlukan untuk
membuat pernyataan yang dibuat, mengingat keadaan di mana pernyataan seperti dibuat,
tidak menyesatkan;
(3) berdasarkan pengetahuan petugas seperti ini, laporan keuangan, dan informasi keuangan
lainnya dimasukkan dalam laporan, cukup hadir di semua hal yang material kondisi keuangan
dan hasil usaha dari penerbit pada, dan untuk, periode yang disajikan dalam laporan; 
(4) penandatanganan officers-
 1. bertanggung jawab untuk membangun dan mempertahankan internal yang
kontrol;
2. telah merancang pengendalian internal seperti untuk memastikan mate- bahwa
Informasi rial yang berkaitan dengan emiten dan anak konsolidasi ini
diumumkan kepada petugas tersebut dengan orang lain dalam entitas,
khususnya selama periode di mana laporan periodik sedang disiapkan;
3. telah mengevaluasi efektivitas emiten internal kontrol pada tanggal dalam
waktu 90 hari sebelum laporan; dan
4. telah disajikan dalam laporan kesimpulan mereka tentang efektivitas
pengendalian internal mereka berdasarkan evaluasi mereka pada tanggal
tersebut;

394 BAB 14 Analisis Risiko TI dan Manajemen Risiko

EXHIBIT
14,2 KUTIPAN DARI SEC. 906 DARI Sarbanes-Oxley Act

DETIK. 906. TANGGUNG JAWAB PERUSAHAAN UNTUK LAPORAN KEUANGAN.

...

 (C) PIDANA PENALTIES.-Whoever-

(1) menyatakan pernyataan apapun sebagaimana dimaksud dalam ayat (a) dan (b) dari
bagian ini mengetahui bahwa laporan periodik yang menyertai pernyataan tidak
membawakan dengan semua persyaratan yang ditetapkan dalambagian ini akan didenda
tidak lebih dari $ 1.000.000 atau dipenjara tidak lebih dari 10 tahun, atau keduanya; atau ''

(2) menyatakan sengaja pernyataan sebagaimana dimaksud dalam ayat (a) dan (b) dari
bagian ini mengetahui bahwa laporan periodik yang menyertai pernyataan tidak
membawakan dengan semua persyaratan yang ditetapkan dalam bagian ini akan didenda
tidak lebih dari $ 5.000.000, atau dipenjara tidak lebih dari 20 tahun, atau keduanya. '' .
EXHIBIT
14.3 BAGIAN 404 DARI Sarbanes-Oxley Act

DETIK. 404. MANAJEMEN PENILAIAN KONTROL INTERNAL. 

(A) ATURAN REQUIRED.-Komisi harus menentukan aturan yang mengharuskan

setiap
laporan tahunan yang dibutuhkan oleh bagian 13 (a) atau 15 (d) dari Securities Exchange
Act of 1934 (15 USC 78m atau 78o (d)) mengandung laporan pengendalian internal,
yang akan-

(1) menyatakan tanggung jawab manajemen untuk menetapkan dan

mempertahankan struktur pengendalian internal yang memadai dan prosedur untuk

pelaporan keuangan; dan

(2) mengandung penilaian, pada akhir fiskal terbaru tahun penerbit, efektivitas struktur
pengendalian intern dan prosedur dari penerbit untuk pelaporan keuangan. 

(B) Evaluasi pengendalian intern DAN REPORTING.-Sehubungan dengan penilaian

internal kontrol yang diperlukan oleh ayat (a), masing-masing kantor akuntan publik
terdaftar yang mempersiapkan atau masalah laporan audit untuk penerbit akan
membuktikan, dan laporan, penilaian yang dibuat oleh manajemen penerbit. Sebuah
atestasi dibuat dalam ayat ini harus dilakukan sesuai dengan standar untuk keterlibatan
atestasi dikeluarkan atau diadopsi oleh Dewan. Setiap pengesahan tersebut tidak akan
menjadi subjek dari keterlibatan terpisah.

IT kontrol umum untuk Sarbanes-Oxley 395

Dari perspektif bisnis, bagian 404 dari tindakan Sarbanes-Oxley memperkenalkan

konsep berbasis standar verifi kasi pengendalian internal. Sebelum bagian dari tindakan
Sarbanes- Oxley, audit perusahaan-perusahaan menggunakan prosedur teruji mereka
sendiri untuk memverifikasi bahwa perusahaan memiliki proses yang kuat untuk
mencegah penipuan. Namun, peristiwa booming dot-com mengungkapkan bahwa
 perusahaan audit fi bisa dibujuk melalui biaya dan janji-janji keterlibatan masa depan
untuk kompromi pada penilaian mereka dan laporan keuangan tersangka Sertifikasi.
Dengan demikian, tindakan Sarbanes-Oxley diperlukan bahwa kation verifi prosedur
internal didasarkan pada aturan yang ditetapkan oleh pemerintah, bukan industri. Pasal
404 UU Sarbanes-Oxley ditampilkan di bawah. Direktif di bagian yang relevan dengan
tujuan kita disorot dalam huruf tebal.

Hasil akhirnya adalah bahwa, sejak tahun 2003, perusahaan-perusahaan dituntut untuk
memverifikasi bahwa pengendalian internal mereka sesuai dengan standar yang
ditetapkan oleh tindakan Sarbanes-Oxley. Kami memberikan gambaran tingkat tinggi
dari standar dan prosedur terkait di seluruh bagian ini.

PCAOB dan audit standar

Sarbanes-Oxley (populer disebut SOX) menciptakan tubuh yang disebut Public Company
Accounting Oversight Board (PCAOB) untuk mengembangkan standar yang akan digunakan
untuk attestations SOX. Mengadaptasi dari organisasi 's website, 16

PCAOB adalah t perusahaan nonprofi didirikan oleh Kongres untuk mengawasi [audit
perusahaan publik dan broker-dealer, dengan tujuan perlindungan investor]. Sarbanes-Oxley
Act of

2002, yang menciptakan PCAOB, diperlukan bahwa auditor perusahaan publik AS dikenakan
pengawasan eksternal dan independen untuk pertama kalinya dalam sejarah. Sebelumnya,
profesi itu selfregulated. Kelima anggota Dewan PCAOB, termasuk Ketua, ditunjuk untuk
terhuyung lima tahun hal oleh Komisi Sekuritas dan Bursa (SEC), setelah berkonsultasi
dengan Ketua Dewan Gubernur Federal Reserve System dan Sekretaris Departemen
Keuangan. SEC memiliki kewenangan pengawasan atas PCAOB, termasuk persetujuan dari
Dewan 's aturan, standar, dan anggaran. Undang-Undang didirikan pendanaan untuk
kegiatan PCAOB, terutama melalui biaya tahunan dinilai pada perusahaan publik secara
proporsional dengan kapitalisasi pasar mereka dan broker dan dealer berdasarkan modal
bersih mereka.

PCAOB telah menerbitkan standar untuk semua aspek audit. 17 Standar bunga terbesar
bagi kita adalah AS5 - “Sebuah Audit Pengendalian Internal Atas Pelaporan Keuangan
yang terintegrasi dengan An Audit Laporan Keuangan” dan AS12 - “Mengidentifikasi
dan Menilai Risiko Salah Saji Material” AS 5 panduan keseluruhan keterlibatan SOX,
sesuatu yang Anda sangat mungkin untuk berpartisipasi dalam jika Anda bergabung
dengan salah satu rms audit fi profesional. Dalam audit SOX, AS 12 memberikan
panduan untuk IT.

Bagian 21 dari AS 5 standar spesifik ed arah keseluruhan audit SOX sebagai:

 21. Auditor harus menggunakan pendekatan top-down untuk audit pengendalian internal
atas pelaporan keuangan untuk memilih kontrol untuk tes. Pendekatan top-down
dimulai pada tingkat laporan keuangan dan dengan auditor pemahaman tentang risiko
keseluruhan untuk pengendalian internal atas pelaporan keuangan. auditor kemudian
berfokus pada kontrol entitas-tingkat dan bekerja ke rekening tidak bisa signifi dan
pengungkapan dan asersi yang relevan mereka.

396 BAB 14 Analisis Risiko TI dan Manajemen Risiko

Bagian 36 dari AS 5 mengarahkan auditor untuk ayat 29 dan Lampiran B dari AS 12

untuk menangani dampak TI pada proses audit:

36. Auditor juga harus memahami bagaimana TI mempengaruhi perusahaan aliran

transaksi. auditor harus menerapkan ayat 29 dan Lampiran B dari Standar Audit No
12, Mengidentifikasi dan Menilai Risiko Salah Saji Material, yang membahas
pengaruh teknologi informasi pada pengendalian internal atas pelaporan keuangan
dan risiko untuk menilai.

Bagian 29 dari As 12 pada dasarnya mengarahkan auditor untuk lampiran B dari standar:

29. Auditor juga harus memperoleh pemahaman tentang bagaimana TI mempengaruhi

perusahaan aliran transaksi. (Lihat Lampiran

B.)

Akhirnya, lampiran B dari AS 12 meliputi berikut ini:

LAMPIRAN B - PERTIMBANGAN MANUAL DAN OTOMATIS SISTEM DAN KONTROL

...

B4. Auditor harus memperoleh pemahaman tentang spesifik c risiko ke perusahaan

pengendalian internal atas pelaporan keuangan yang dihasilkan dari IT. Contoh
risiko tersebut meliputi:

 Ketergantungan pada sistem atau program yang tidak akurat pengolahan

data, pengolahan data yang tidak akurat, atau keduanya;
  akses tidak sah ke data yang mungkin mengakibatkan kerusakan data atau
perubahan yang tidak benar untuk data, termasuk pencatatan transaksi yang tidak
sah atau tidak ada atau rekaman akurat dari transaksi (risiko tertentu mungkin
timbul ketika beberapa pengguna mengakses database umum);

 Kemungkinan personil IT mendapatkan hak akses di luar yang diperlukan

untuk melakukan tugas

mereka ditugaskan, sehingga mogok pemisahan tugas;

 perubahan tidak sah ke data di master fi les;

 perubahan tidak sah terhadap sistem atau program;

 Kegagalan untuk melakukan perubahan yang diperlukan untuk sistem atau

program;

 intervensi manual yang tidak pantas; dan

 potensi kehilangan data atau ketidakmampuan untuk mengakses data yang

diperlukan .

Untuk kenyamanan, Gambar 14.4 menunjukkan bagaimana pedoman di atas untuk IT

audit fl ow dari bagian ke bagian dalam standar auditing.

PENGENDALIAN INTERNAL

Apa tujuan akhir dari semua aktivitas yang terkait dengan Sarbanes-Oxley? Istilah yang
digunakan adalah “pengendalian internal atas pelaporan keuangan.” Hal ini defi ned oleh
PCAOB dalam lampiran A dari AS 5 sebagai:

A5. pengendalian internal atas pelaporan keuangan adalah suatu proses yang dirancang
oleh, atau di bawah pengawasan, perusahaan principal eksekutif dan kepala keuangan
petugas pejabat, atau orang melakukan yang sama
GAMBAR 14.4 pedoman audit Sarbanes-Oxley workfl ow untuk dampak pada IT

fungsi, dan dipengaruhi oleh perusahaan direksi, manajemen, dan personil lainnya,
untuk memberikan keyakinan memadai mengenai keandalan pelaporan keuangan
dan penyusunan laporan keuangan fi untuk keperluan eksternal sesuai dengan
GAAP dan termasuk kebijakan dan prosedur bahwa -

1. Pertain untuk pemeliharaan catatan yang, secara rinci wajar, akurat dan
cukup refl dll yang transaksi dan disposisi aset perusahaan;

2. Memberikan jaminan yang memadai bahwa transaksi dicatat sebagai diperlukan

untuk persiapan izin

Laporan keuangan sesuai dengan prinsip akuntansi yang berlaku umum, dan bahwa
penerimaan dan pengeluaran perusahaan yang telah dilakukan semata sesuai dengan
kewenangan manajemen dan direksi perusahaan; dan

3. Memberikan keyakinan memadai tentang pencegahan atau deteksi tepat waktu

akuisisi yang tidak sah, penggunaan, atau disposisi dari perusahaan aset 's yang bisa
berdampak material terhadap laporan keuangan.

pengendalian internal atas pelaporan keuangan adalah bagian dari kegiatan kontrol
secara keseluruhan di perusahaan. Dalam domain Sarbanes-Oxley, kegiatan kontrol
defi ned sebagai prosedur, metode, dan kebijakan yang orang 

yang bertanggung jawab gunakan untuk mengurangi kemungkinan terjadinya

peristiwa berisiko untuk tingkat yang dapat diterima . Definisi defi ini konsisten
dengan definisi defi TI kontrol keamanan kami telah digunakan dalam buku ini -
pengamanan digunakan untuk meminimalkan dampak dari ancaman.
IT KONTROL UMUM

Sebagian besar kegiatan audit pengendalian internal dilakukan oleh auditor dan akuntan.
Namun, profesional ini bergantung pada ahli IT untuk membantu dalam evaluasi kontrol
exemplifi ed dalam Lampiran B dari AS 12. Kegiatan ini secara tradisional telah disebut IT
kontrol umum.

Versi saat ini dari standar auditing tampaknya tidak memiliki definisi defi untuk
istilah “IT kontrol umum.” Namun, AS 2, yang telah digantikan oleh AS 5, termasuk
dalam para 50. 18

50. Beberapa kontrol (seperti kontrol perusahaan-tingkat, dijelaskan dalam ayat 53)
mungkin memiliki efek yang luas pada pencapaian banyak tujuan keseluruhan
kriteria kontrol. Sebagai contoh, teknologi informasi kontrol umum atas
pengembangan program, perubahan program, operasi komputer, dan akses ke
program dan data bantuan memastikan bahwa spesifik c kontrol atas pengolahan

398 BAB 14 Analisis Risiko TI dan Manajemen Risiko

transaksi beroperasi secara efektif . Sebaliknya, kontrol lain yang dirancang untuk
mencapai tujuan c spesifik kriteria kontrol. Sebagai contoh, manajemen umumnya
menetapkan spesifik kontrol c, seperti akuntansi untuk semua dokumen pengiriman, untuk
memastikan bahwa semua penjualan berlaku dicatat.

Sementara bahkan AS 2 hanya diberikan contoh dan tidak resmi defi ne kontrol umum
IT, para 50 menunjukkan definisi defi. Berdasarkan para 50 dari AS2, kontrol umum
mungkin berlawanan dengan kontrol spesifik c dalam pengendalian umum
menyediakan platform yang mendasari untuk pemenuhan banyak kontrol spesifik c.
Sebagai contoh, jika sistem TI memungkinkan pengguna tanpa password untuk
mencatat transaksi, kemungkinan penipuan transaksi meningkat signifi cantly,
melemahkan efektivitas spesifik c kontrol yang dirancang untuk memverifikasi
kegiatan bisnis yang berbeda. Oleh karena itu, menjaga infrastruktur TI yang aman
melalui IT kontrol umum penting untuk andal memverifikasi aktivitas bisnis.
Berdasarkan ini, kami Defi ne kontrol umum sebagai IT kegiatan pengendalian yang
dilakukan oleh IT yang menjamin pengolahan yang benar dari transaksi bisnis
dengan organisasi .

Dalam keterlibatan Sarbanes-Oxley, para ahli IT yang terlibat dalam audit TI kontrol umum.
PROSEDUR UNTUK VERIFIKASI TI KONTROL UMUM SEBAGAI BAGIAN DARI
AUDIT SOX

Mengikuti prinsip top-down dari AS 5, industri telah mengembangkan prosedur berikut

untuk audit IT pengendalian umum atas pelaporan keuangan. 19
1. Lihatlah fi rm 's laporan keuangan
2. Mengidentifikasi item baris materi
 Sebuah. Apa seorang investor yang bijaksana rata-rata cukup harus
tahun
3. Mengidentifikasi proses bisnis makan ke item ini
3. Mengidentifikasi platform yang mendukung proses ini IT - OS, database, aplikasi,
web-server, jaringan
3. Memverifikasi bahwa IT tujuan pengendalian umum ed satisfi untuk platform ini
3. Laporkan kelemahan material

Sebuah. Defi siensi yang dapat mengakibatkan bahan mis-pernyataan terjadi atau
tetap tidak terdeteksi Proses ini diulang setiap tahun, untuk mematuhi ketentuan
tindakan SOX. Untuk # 5 dalam daftar di atas, 12 tujuan pengendalian telah identifi
ed berdasarkan industri praktik terbaik, termasuk barang-barang seperti mengelola
perubahan dan mengelola data. 20

KEPATUHAN TERHADAP MANAJEMEN RISIKO

Contoh dari Sarbanes-Oxley dalam domain TI pengendalian umum atas pelaporan keuangan
yang diperkenalkan di bagian acara sebelumnya yang banyak kegiatan manajemen risiko
yang diamanatkan oleh undang-undang dan peraturan. Sebelumnya, kami telah defi ned
kepatuhan sebagai tindakan berikut

hukum yang berlaku, peraturan, aturan, kode industri, dan kewajiban kontrak. Jika sebagian besar
pekerjaan manajemen risiko yang defi ned oleh undang-undang dan peraturan, Anda mungkin
bertanya-tanya mengapa setiap organisasi harus mengambil upaya mengembangkan rencana
manajemen risiko sendiri berdasarkan NIST 80.039 atau ISO 27000. Mengapa tidak outsource
manajemen risiko kepada anggota DPRD dan pakar industri, dan hanya mematuhi hukum,
peraturan, kode industri, dll yang ahli ini berkembang?

Jika Anda memberikan ini beberapa pemikiran, Anda akan menyadari bahwa kepatuhan
adalah hanya bagian dari manajemen risiko, membutuhkan satu set minimal kegiatan
manajemen risiko untuk mencegah bencana yang dapat mempengaruhi orang lain.
Kepatuhan tidak mengatur risiko yang mempengaruhi hanya Anda atau organisasi Anda.
Misalnya, Anda berhak untuk mempertaruhkan uang Anda pada lotere, menghambur-
hamburkan penghasilan Anda pada pembelian bijaksana, dan mengkonsumsi alkohol dalam
 privasi rumah Anda, dll Karena setiap hasil yang merugikan dari tindakan ini terbatas pada
Anda sendiri, tidak ada peraturan atau kode mencegah Anda dari melakukan kegiatan ini.
Namun, ketika Anda berkendara di jalan, perilaku berbahaya Anda dapat menempatkan
pembalap lain beresiko. Oleh karena itu, kita membutuhkan driver untuk mematuhi hukum
mengemudi aman dan ada hukuman kaku karena mengemudi di bawah pengaruh alkohol
infl.

Demikian pula, dalam manajemen risiko TI, kegiatan kepatuhan memastikan bahwa
organisasi Anda 's perilaku tidak menempatkan investor dan organisasi lainnya beresiko.
Tapi Anda sendiri bertanggung jawab untuk memastikan bahwa tindakan Anda tidak
menempatkan organisasi Anda sendiri beresiko. manajemen risiko mencakup segala
sesuatu yang Anda lakukan untuk mencegah bahaya untuk diri sendiri.

keamanan Jual

keamanan TI tidak mudah dijual. manajemen atas biasanya berpikir dalam hal Return on
Investments dan seringkali itu adalah kultus diffi untuk mengukur laba atas sesuatu yang
“mungkin” terjadi, seperti listrik atau insiden hacker. Meskipun lebih mudah untuk membenarkan
biaya berdasarkan yang ada, insiden dikenal, organisasi-organisasi tertentu masih ragu-ragu untuk
berkomitmen sumber daya untuk keamanan.

Salah satu strategi terbaik adalah untuk mencoba untuk memasukkan persentase tertentu
harus dikeluarkan dalam keamanan dalam setiap proyek dimulai dalam waktu IT. Misalnya,
sebuah proyek yang melibatkan Identitas dan Manajemen Akses juga dapat mencakup
biaya perangkat lunak yang diperlukan untuk mengenkripsi data pribadi seperti nomor
Jaminan Sosial. Dan jika perjanjian perangkat lunak dinegosiasikan dengan benar,
perangkat lunak yang sama dapat lisensi untuk menyertakan izin untuk mengenkripsi data
yang dibatasi lain di server lain juga.

Sayangnya, salah satu cara termudah untuk mendapatkan dana adalah untuk memanfaatkan
insiden yang terjadi dengan lainnya, organisasi serupa. Sebuah kebocoran Nomor Jaminan
Sosial di Universitas terdekat akan tanpa pertanyaan keraguan kenaikan gaji tentang
keamanan internal Universitas Anda sendiri. Para siswa akan bertanya bagaimana
dilindungi SSN mereka, dan mungkin sehingga akan media lokal. Selama masa ini, TI
dapat menerima rejeki dana untuk meningkatkan sikap keamanan infrastruktur. Hal ini
penting untuk memiliki strategi selalu siap untuk dapat menggunakan situasi ini dan tidak
hanya membuang-buang dana sumber daya yang tidak diperlukan pembelian.

Contoh kasus - pembelian pasar online

Pada tanggal 5 Desember 2012, Jaksa AS untuk Distrik Timur New York mengumumkan
penangkapan enam Rumania dan satu Albania nasional untuk menipu pelanggan AS di pasar
internet yang populer seperti eBay, AutoTrader.com, dan Cars.com. Penangkapan melibatkan
kerjasama antar lembaga penegak hukum di Rumania, Republik Ceko, Inggris, Kanada, dan
Amerika Serikat.

400 BAB 14 Analisis Risiko TI dan Manajemen Risiko

Para penipu diposting iklan rinci untuk barang-barang mahal seperti mobil dan perahu
di pasar online populer meskipun tidak ada item yang diposting benar-benar ada.
Mereka menggunakan co-konspirator yang disebut “anak panah” di Amerika Serikat
ke bank terbuka rekening menggunakan paspor palsu berkualitas tinggi. panah ini
menanggapi pertanyaan dari calon pembeli dan pembayaran dikumpulkan.

Pembayaran dari korban tidak curiga dipindahkan dari Amerika Serikat oleh anak
panah sebagai kas atau kawat transfer. Dalam satu kasus, $ 18.000 tunai dikirimkan
keluar dari dalam speaker AS. Dalam kasus lain, uang yang digunakan untuk
membeli jam tangan mahal, yang kemudian dikirim ke penipu. Total taksiran
penghasilan dari geng adalah $ 3 juta.

RINGKASAN

Dalam bab ini, kita melihat analisis risiko dan kerangka kerja yang berbeda tersedia untuk
analisis risiko. Kami menggunakan analisis risiko untuk berhubungan isi buku ini untuk
tujuan manajerial keseluruhan suatu perusahaan. NIST 800-39 risiko kerangka analisis
memungkinkan kami untuk menyajikan semua informasi dalam bagian awal buku dalam
format yang konsisten dengan standar yang direkomendasikan untuk analisis risiko. Kami
melihat bahwa analisis risiko asosiasi masing-masing

CHAPTER REVIEW QUESTIONS

1. Apa risiko? Apa pendapat Anda adalah tiga terbesar

IT risiko Anda wajah dalam kehidupan pribadi Anda?
2. Apa manajemen risiko? Daftar satu atau dua kegiatan
Anda dapat melakukan untuk membuat risiko identifi ed di Q1 lebih dapat diprediksi.

standar manajemen yang dikembangkan oleh Organisasi Standar Internasional (ISO).

Bagaimana mereka berhubungan dengan NIST 800-39 standar. Jika Anda harus memilih
salah satu dari

Ancaman dengan semua hasil yang mungkin dan menyediakan mekanisme untuk mengukur
risiko untuk perbandingan dan evaluasi. Kami juga melihat kerangka manajemen risiko
spesifik c diamanatkan oleh tindakan Sarbanes-Oxley, yang digunakan oleh perusahaan-
perusahaan publik meyakinkan para investor dari keandalan pelaporan keuangan.

3. Daftar satu atau dua kegiatan yang dapat Anda lakukan untuk meminimalkan dan
mempersiapkan diri untuk risiko TI Anda identifi ed di Q1.

4. Apa kerangka? Mengapa mereka digunakan dalam mengelola-

ment? Sangat briefl y (dalam 1-2 kalimat), nama kerangka Anda telah belajar di kelas lain.
Bagaimana penggunaan kerangka bantuan pemahaman Anda tentang topik yang
diselenggarakan oleh framework?

5. Apa tujuan dari NIST 800-39 kerangka?

6. Apa jenis risiko organisasi yang terdaftar di NIST 800-39 (halaman 1, ayat 2 standar)?

7. Lihatlah terbaru 10-K fi dipimpin oleh Apple Computer (atau jika Anda suka,
memimpin vendor teknologi lain publik, mengatakan Microsoft, Oracle, Dell, IBM,
HP). Daftar

Kerangka agement. Menggambar sosok yang menunjukkan komponen kerangka kerja dan
hubungan komponen ini satu sama lain.

8. Memberikan gambaran singkat dari NIST yang 800-39 risiko-manusia- Memberikan

gambaran singkat dari NIST yang 800-39 risiko-manusia-

9. Apa manajemen risiko TI? Bagaimana IT manajemen risiko terkait dengan

organisasi 's manajemen risiko secara keseluruhan?

10. Apa bingkai risiko TI, seperti defi ned oleh NIST 800-39? Apa peran dari
frame risiko dalam manajemen risiko TI?

11. Apa risiko TI penilaian, seperti defi ned oleh NIST 800

39? Apa peran dari penilaian risiko dalam manajemen risiko TI?

12. Apa risiko TI respon, seperti defi ned oleh NIST 800

39? Apa peran dari respon risiko dalam manajemen risiko TI?
 13. Apa risiko TI pemantauan, seperti defi ned oleh NIST 800 39? Apa peran risiko
pemantauan dalam manajemen risiko TI?
14. Bagaimana risiko yang berkaitan dengan ancaman?
14. Selama fase kation identifi risiko penilaian risiko, apa saja item yang perlu
ditentukan untuk mengidentifikasi risiko?
16. Menulis risiko Anda identifi ed q1 sebagai pernyataan risiko,Berikut contoh
dalam bab sebagai template. Jelas mengidentifikasi semua
komponen risiko di setiap pernyataan risiko.
16. Untuk setiap risiko di P16, menggunakan penilaian terbaik Anda untuk
memperkirakan kemungkinan dan dampak dari setiap risiko. Menggunakan
perkiraan ini, mengukur setiap risiko dan peringkat risiko berdasarkan perkiraan
tersebut.
16. Memberikan gambaran singkat dari ISO 27000 seri risiko semua risiko identifi ed
oleh perusahaan sebagai faktor risiko (meringkas mereka sebagai frase singkat
masing-masing). Mengklasifikasikan setiap risiko ini sebagai salah satu risiko
organisasi yang tercantum dalam NIST 800-39.

TANGAN - ON ACTIVITY - RISK ASSESSMENT USING LSOF

Dalam kegiatan ini, Anda akan belajar penggunaan lsof perintah untuk pemeriksaan yang
perintah menggunakan koneksi jaringan dan menghasilkan penilaian risiko dari Linux Virtual
Machine Anda.
EXAMPLE CASE QUESTIONS

Baca pengumuman oleh Jaksa AS 's aparat ce di

link yang diberikan dalam kasus tersebut. Daftar sebanyak mekanisme yang digunakan
oleh penipu untuk meyakinkan pembeli potensial dari legitimasi iklan?

Contoh kasus - pembelian pasar online 401

ini, mana yang akan Anda pilih sebagai standar referensi Anda untuk IT manajemen risiko?
Mengapa?
 19. Memberikan gambaran singkat dari metodologi OCTAVE dikembangkan oleh
SEI. Bagaimana cara berhubungan dengan standar NIST 80.039 dan ISO 27000?

20. Apa adalah beberapa ketentuan penting Defi ned oleh

tindakan Sarbanes-Oxley?

21. Apa beberapa perbedaan penting antara

ketentuan bagian 302 dan 404 dari tindakan Sarbanes- Oxley.

22. Apa pengendalian internal sebagai defi ned oleh Sarbanes-Oxley Act?

23. Apa standar auditing?

24. Briefl y menggambarkan prosedur audit top-down untu

verifi kasi TI kontrol umum sebagai bagian dari audit Sarbanes- Oxley.

25. Bagaimana manajemen risiko yang berbeda dari kepatuhan?

2. Berdasarkan kejadian ini, apa tindakan pencegahan yang akan Anda rec-

ommend ke teman merenungkan pembelian barang mahal secara online?

Untuk memulai, beralih ke akun super user dan menjalankan ' lsof -i ' untuk melihat
semua koneksi jaringan terbuka

The output from this command gives you several valuable pieces of information
about the programs running on your system such as:

 The name of the program that is running (COMMAND)

 The user the program is running as (USER)

 The process id of the program (PID)

 The port the program is connecting to and/or awaiting connects on (NAME)

 The fi nal column (NAME) is the most interesting. The entries are in the format
server:port (STATE)

where server is the computer (name or IP address) the process is connecting to and port is
the name of the service the process is using. The port number the process is connected to is
resolved to a service name by looking it up in / etc/ services . Port numbers can be used for
multiple services, so this lookup isn ’t always reliable, but it is usually a good guess.

QUE S T I ONS

1. In your opinion, what services (if any) could be a secu-rity risk and
may need to be disabled?

2. Instead of disabling a service, what other controls could be put in place to

mitigate the risk?

Example case – online marketplace purchases 403

CRITICAL THINKING EXERCISE – RISK ESTIMATION BIASES

Dalam beberapa tahun terakhir, ada banyak penelitian tentang bagaimana orang bias dalam
memperkirakan risiko. Cass Sunstein, salah satu cendekiawan hukum paling terkemuka di
zaman kita menyatakan bahwa “beragam budaya fokus pada risiko yang sangat berbeda,
dengan pengaruh sosial dan tekanan teman sebaya yang menekankan beberapa ketakutan dan
mengurangi yang lain. Kaskade, heuristik ketersediaan, penolakan, dan polarisasi kelompok
sangat relevan di sini. ” Dalam sebuah artikel di
 
New York Times, Prof. Jared Diamond menggambarkan bagaimana orang mengabaikan
bahaya dengan kemungkinan rendah terjadinya di setiap kesempatan, tetapi dengan frekuensi
peluang yang sangat tinggi, misalnya, mengemudi. Dalam aliran penelitian terkait yang
disebut kognisi budaya, Prof. Dan Kahan dari Universitas Yale menyatakan bahwa "budaya
mendahului fakta," di mana orang secara selektif menerima dan mengabaikan fakta dengan
cara yang mendukung pandangan mereka.
REFERENCES

Sunstein , C.R. “ Laws of Fear: Beyond the Precautionary Principle ,”

Cambridge University Press, March 2005 . Available at SSRN:

http://ssrn.com/abstract = 721562

Diamond , J. “ That daily shower can be a killer ,” New York Times , 01/28/ 2013

Schneier , B. Cryptogram, February 1, 2013 Kahan , D.M. , Slovic , P. , Braman , D. , and

Gastil , J. “ Fear of democ-

racy: A cultural evaluation of Sunstein on risk ,” Harvard Law Review , 2006 , 119, Yale
Law School, Public Law Working Paper No. 100, Yale Law & Economics Research Paper
No. 317. Available at SSRN: http://ssrn.com/abstract = 801964

CRITICAL THINGKING QUESTION

1. Selama penilaian risiko TI, apa saja cara yang diperkirakan 2. Disarankan bahwa perkiraan
risiko yang terlalu tinggi bias bias dapat menyebabkan penilaian yang terlalu tinggi terhadap
risiko yang tidak signifikan dan mengarah pada kurangnya pengakuan terhadap beberapa
risiko penting lainnya. Apakah Anda setuju meremehkan risiko penting? dengan penilaian
ini? Mengapa atau mengapa tidak?

DE S I GN CAS E

Sekarang setelah Anda menyelesaikan kelas, sekarang saatnya untuk menyelesaikan. Anda
telah bekerja di Universitas Sunshine selama setahun sekarang dan Presiden dan Provost
meminta Anda untuk mengumpulkan Penilaian Risiko untuk organisasi. Buat RA yang
disederhanakan untuk tahun ini berdasarkan semua Kasus Desain yang telah Anda kerjakan
sejauh ini. Berikut ini beberapa pedoman:

• Tinjau dan evaluasi ulang semua Desain Kasus untuk semua bab dalam buku untuk
mempersiapkan dokumen Penilaian Risiko.
• Jadikan RA mudah dibaca.
• Gunakan grafik untuk menunjukkan poin Anda.
• Bandingkan status Sunshine University saat ini dengan Universitas lain jika
memungkinkan.
• Meneliti kemungkinan tantangan yang ditimbulkan oleh teknologi baru.
• Tutup dengan beberapa item yang diusulkan untuk meningkatkan sikap 
keamanan Universitas.

406. Glossary

Protokol Layanan Otentikasi Pusat: salah satu teknologi sistem

masuk tunggal open source terkemuka, terutama dalam pendidikan tinggi.

Sertifikat: bundel informasi yang berisi kunci publik terenkripsi dari server,
dan identifikasi penyedia kunci.

cd: perintah (ubah direktori) yang memungkinkan kita beralih ke direktori

lain. Nama folder target ditentukan sebagai argumen untuk perintah.

Checksum: nilai yang dihitung pada data untuk mendeteksi kesalahan atau
manipulasi selama transmisi.

Ciphertext: teks terenkripsi yang tidak dapat dipahami oleh pembaca.

Komputasi awan: pengiriman perangkat lunak dan sumber daya komputer

lainnya sebagai layanan melalui Internet, bukan sebagai produk yang berdiri
sendiri.

Kepatuhan: tindakan mengikuti hukum, peraturan, aturan, kode industri,

dan kewajiban kontrak yang berlaku.

Insiden keamanan komputer: pelanggaran atau ancaman

pelanggaran kebijakan keamanan komputer, kebijakan penggunaan yang dapat
diterima, atau praktik keamanan standar.
 Kata sandi yang dikompromikan: kata sandi pada sistem yang diketahui
pengguna yang tidak sah.

Kerahasiaan: menjaga pembatasan yang diizinkan pada akses dan

pengungkapan, termasuk cara untuk melindungi privasi pribadi dan informasi
hak milik.

Konfigurasi: tindakan memilih satu di antara banyak kombinasi fitur yang

mungkin dari suatu sistem.
Kontrol: perlindungan yang digunakan untuk meminimalkan dampak ancaman.

Kontrol kegiatan: prosedur, metode, dan kebijakan yang digunakan orang yang bertanggung
jawab untuk mengurangi kemungkinan terjadinya peristiwa berisiko ke tingkat yang dapat
diterima.

Kredensial: potongan (atau potongan) informasi yang digunakan untuk memverifikasi

identitas pengguna.

Script lintas-situs: kerentanan yang terjadi ketika input yang diberikan pengguna digunakan
tanpa verifikasi sebagai bagian dari output yang disajikan kepada pengguna lain.

Cryptanalysis: seni memecahkan ciphertext.

Algoritma kriptografi: urutan langkah-langkah yang digunakan untuk menggambarkan proses

kriptografi.

Kriptografi: seni atau ilmu dalam memberikan informasi biasa tidak dapat dipahami, dan
untuk memulihkan informasi yang dienkripsi ke bentuk yang dapat dipahami.

Inspeksi paket mendalam fi firewall: perangkat yang memeriksa data yang dibawa oleh suatu
paket, di samping header protokol, untuk memutuskan bagaimana menangani paket.

Stand allow allow stance: konfigurasi firewall yang memungkinkan semua paket masuk ke
jaringan, kecuali yang secara eksplisit dilarang.

Sikap tolak standar: konfigurasi firewall yang memblokir semua paket, kecuali yang
diizinkan secara eksplisit.

Deferrable asset: aset yang diperlukan untuk operasi optimal organisasi tetapi kehilangan
ketersediaan tidak akan menyebabkan masalah besar bagi organisasi dalam waktu dekat.

Zona demiliterisasi: lihat jaringan perimeter.

Penolakan layanan: pencegahan yang tidak sah atas akses ke sumber daya atau penundaan
operasi yang kritis terhadap waktu.

Tanda tangan digital: transformasi kriptografi dari data yang memungkinkan penerima data
untuk membuktikan sumber (non-repudiation) dan integritas data.

Bencana: peristiwa bencana yang menyebabkan kehancuran besar.

Pemulihan bencana: proses yang diadopsi oleh organisasi TI untuk mengembalikan sistem
dan menjalankannya. Biasa disingkat DR.

Layanan penemuan: layanan yang menyediakan pengguna dengan daftar organisasi tepercaya
yang dapat mereka pilih untuk diautentikasi.

Serangan denial-of-service terdistribusi: penggunaan banyak sistem yang dikompromikan

untuk menyebabkan penolakan layanan bagi pengguna sistem yang ditargetkan. Biasa
disingkat DDoS.

Pengontrol domain: server yang mengimplementasikan aturan direktori aktif dalam domain.

Enkripsi: transformasi kriptografi data untuk menghasilkan ciphertext.

Perlindungan titik akhir: keamanan diterapkan pada perangkat pengguna akhir.

Glossary 407
Aset esensial: aset yang kehilangan ketersediaan akan menyebabkan dampak langsung yang
segera bagi organisasi.

Evasion: tindakan melakukan aktivitas jahat sehingga terlihat aman.

False positive: suatu temuan yang tampaknya menjadi masalah (positif) tetapi setelah
diselidiki lebih lanjut ternyata tidak menjadi masalah (karena itu, salah).

Federasi: menjembatani kesenjangan antara sistem otentikasi dalam organisasi yang terpisah.

Metadata Federasi: dokumen yang berisi daftar lengkap semua anggota federasi dan data
penting, seperti organisasi dan informasi kontak, untuk setiap penyedia identitas.

Penyedia Federasi: entitas yang bertanggung jawab untuk semua tugas administratif terkait
menjalankan identitas

federasi, seperti manajemen keanggotaan, membuat dan menegakkan kebijakan federasi, dan
mengelola Infrastruktur Kunci Publik (PKI) yang diperlukan untuk operasi kriptografi.
Firewall: suatu bentuk perlindungan yang memungkinkan satu jaringan terhubung ke jaringan
lain sambil mempertahankan sejumlah perlindungan.

Kerangka kerja: struktur untuk mendukung sesuatu yang lain.

Aset umum: aset yang ditemukan di sebagian besar organisasi.

Kebijakan grup: infrastruktur yang memungkinkan Anda untuk mengimplementasikan

konfigurasi tertentu untuk pengguna dan

komputer.

Fungsi hash: metode enkripsi yang tidak menggunakan kunci.

File tersembunyi: file yang keberadaannya tersembunyi dari pengguna secara default.

Direktori rumah: ruang pribadi pengguna di komputer, analog dengan folder Documents di
Windows.

Istilah ini populer di sistem UNIX.

IDS berbasis host: aplikasi perangkat lunak yang diinstal pada masing-masing host yang
memantau aktivitas lokal seperti

Akses file dan panggilan sistem untuk perilaku mencurigakan. Terkadang disingkat HIDSs.

Hot spares: komponen redundan yang ditempatkan di dalam server dan yang dapat
menggantikan komponen yang gagal

Tidak ada downtime.

Identifikasi: penyajian identitas pengguna untuk sistem.

Identifi er: serangkaian digit yang secara unik mengidentifikasi identitas dalam SoR.

Identity: catatan berbeda yang disimpan dalam Sistem Catatan.

Pengayaan identitas: mengumpulkan data tentang hubungan masing-masing individu dengan

organisasi.
Manajemen identitas: proses mengidentifikasi individu dan mengumpulkan semua data yang
diperlukan untuk memberikan atau mencabut hak istimewa bagi pengguna untuk sumber
daya.

Pencocokan identitas: proses pencarian Orang Registri yang ada untuk satu atau lebih catatan
yang cocok dengan satu set data identitas tertentu.

Penggabungan identitas: menggabungkan catatan baru atau yang diperbarui dengan data
yang terkait dengan orang yang ada

merekam.

Rekonsiliasi identitas: proses membandingkan setiap identitas yang ditemukan dengan

catatan induk semua individu dalam organisasi.

Aset idiosinkratik: aset yang berbeda untuk suatu organisasi.

Kebijakan respons insiden: metode standar yang digunakan oleh organisasi untuk menangani
insiden keamanan informasi.

Aset informasi: konten yang disimpan secara digital yang dimiliki oleh individu atau
organisasi.

Keamanan informasi: melindungi informasi dan sistem informasi dari akses yang tidak sah,
penggunaan,

pengungkapan, gangguan, modifikasi, atau perusakan untuk memberikan integritas,

kerahasiaan, dan ketersediaan.

Kontrol keamanan informasi: perlindungan yang digunakan untuk meminimalkan dampak

ancaman keamanan informasi.

Model keamanan informasi: representasi komponen inti dari keamanan informasi,

menunjukkan hubungan komponen-komponen ini satu sama lain, dan mengecualikan yang
lainnya.

Kontrol umum TI: mengontrol aktivitas yang dilakukan oleh TI yang memastikan
pemrosesan bisnis yang benar

transaksi oleh organisasi.

Risiko TI: risiko yang terkait dengan penggunaan sistem informasi dalam suatu organisasi.
 408. Glossary

Sistem TI: rakitan perangkat keras komputer, perangkat lunak, dan perangkat lunak yang
dikonfigurasikan untuk tujuan memproses, menyimpan, atau meneruskan informasi.

Infrastruktur sebagai Layanan: model bisnis di mana organisasi menggunakan peralatan

perangkat keras seperti

prosesor, penyimpanan, dan router dari penyedia layanan. Biasa disingkat IaaS.

Kerentanan validasi input: situasi di mana input pengguna digunakan dalam perangkat lunak
tanpa konfirmasi

validitasnya.

Instalasi: tindakan menulis data yang diperlukan di lokasi yang sesuai pada hard drive
komputer - untuk menjalankan program perangkat lunak.

Integritas: menjaga dari modifikasi atau perusakan informasi yang tidak benar, dan termasuk
memastikan

informasi tanpa penolakan dan keaslian.

Kekayaan intelektual: kreasi pikiran (penemuan, karya sastra dan artistik, dan simbol, nama,

gambar, dan desain) yang dapat digunakan untuk laba. Biasa disingkat IP.

Ulang fi interior: perangkat yang membatasi akses ke jaringan internal organisasi.

Agen internal: orang yang terhubung dengan organisasi, seringkali sebagai karyawan.

Jaringan internal: lokasi semua aset informasi organisasi. Disebut juga militer

daerah.

Sistem deteksi intrusi: perangkat perangkat keras atau aplikasi perangkat lunak yang
memantau sistem TI untuk mali-

aktivitas serius atau pelanggaran kebijakan penggunaan yang ditetapkan oleh administrator
sistem. Biasa disingkat IDS.

Sistem pencegahan intrusi: teknologi yang dibangun berdasarkan IDS dan upaya untuk
menghentikan potensi intrusi.
Kerberos: protokol otentikasi yang memungkinkan node dalam jaringan tidak aman untuk
mengidentifikasi mereka dengan aman-

diri satu sama lain menggunakan token.

Kernel: perangkat lunak yang menyediakan kontrol untuk perangkat keras, mengelola
memori, mengeksekusi kode

pada CPU komputer, dan menyembunyikan detail perangkat keras fisik yang mendasarinya
dari aplikasi pengguna.

Pencatat kunci: perangkat lunak yang melacak (mencatat) tombol-tombol yang ditekan pada
keyboard, biasanya berusaha mengumpulkan pengguna-

nama dan kata sandi.

Aset hukum terkait TI: pengaturan kontrak yang memandu penggunaan aset perangkat keras
dan perangkat lunak dalam organisasi.

Log: catatan kinerja mesin.

Malware: perangkat lunak atau kode yang dirancang khusus untuk mengeksploitasi
komputer, atau data di dalamnya, tanpa

persetujuan pengguna.

Kerentanan otorisasi yang hilang: kerentanan yang terjadi ketika suatu program perangkat
lunak memungkinkan pengguna mengakses bagian-bagian istimewa dari program tanpa
memverifikasi kredensial pengguna.

Pernyataan Misi: ekspresi pendek (lebih disukai satu atau dua kalimat) dari layanan
organisasi, target pasar, dan keunggulan kompetitifnya.

Model: representasi dari dunia nyata.

Pemantauan: tindakan mendengarkan dan / atau merekam kegiatan sistem untuk menjaga
kinerja dan keamanan.

Substitusi mono-alfabet: skema enkripsi untuk mengganti huruf individual dengan huruf lain
untuk

tujuan enkripsi.
Need-to-know: prinsip manajemen informasi di mana seseorang hanya diberikan informasi

yang diperlukan untuk melakukan pekerjaan mereka.

Network fi rewalls: perangkat keras atau lunak yang mencegah bahaya yang berasal dari satu
jaringan

menyebar ke jaringan lain.

Network IDS: device that monitors network traffi c and application protocol activity
to identify suspicious connections.

OAuth: a mechanism that allows a user to grant access to private resources on one site (the
service pro-vider) to another site (the consumer).

Open source software: software in which anyone is able to modify the source code and
distribute his or her changes to the world.

Glosarium 409

Tanggung jawab operasional: tanggung jawab individu atau entitas untuk fungsi spesifik
yang terkait

untuk penggunaan suatu aset.

Sistem operasi: perangkat lunak yang mengelola perangkat keras komputer dan menyediakan
layanan umum untuk aplikasi pengguna.

Pembaruan sistem operasi: pembaruan perangkat lunak yang bermasalah dengan komponen
tingkat rendah dari perangkat lunak sistem.

Paket ulang fi fi fi fi s: fi firewall yang memeriksa header protokol fi fi paket yang mengalir
melalui

fi firewall untuk menentukan apakah akan mengizinkan paket masuk ke jaringan.

Paket mengendus: tindakan mencegat dan memantau data yang melewati jaringan komputer.

Direktori induk: direktori (folder) langsung tentang yang saat ini ada dalam hierarki sistem
file.
Mitra: pihak ketiga mana pun yang berbagi hubungan bisnis dengan organisasi.

Passphrase: urutan kata yang berfungsi sebagai kata sandi.

Kata sandi: serangkaian karakter rahasia yang hanya diketahui oleh pemilik identitas dan
menggunakannya untuk otentikasi

identitas.

Pengambilan kata sandi: kemampuan penyerang untuk mendapatkan kata sandi dari
penyimpanan, transmisi, atau pengetahuan dan perilaku pengguna.

Password cracking: proses menghasilkan string karakter yang cocok dengan string kata sandi
yang ada pada sistem yang ditargetkan.

Kedaluwarsa kata sandi: durasi penggunaan kata sandi sebelum harus diubah.

Tebakan kata sandi: tindakan berulang kali mencoba berbagai kata sandi yang terkait dengan
akun pengguna, misalnya

sebagai kata sandi dan kata-kata kamus default, hingga kata sandi yang benar ditemukan.

Manajemen kata sandi: proses penentuan, penerapan, dan pemeliharaan kebijakan kata sandi

di seluruh perusahaan.

Kebijakan kata sandi: seperangkat aturan untuk menggunakan kata sandi.

Penggantian kata sandi: penggantian kata sandi pengguna yang ada dengan kata sandi yang
dikenal oleh

penyerang.

Sinkronisasi kata sandi: memastikan bahwa pengguna memiliki nama pengguna dan kata
sandi yang sama di semua sistem.

Patch: perangkat lunak yang memperbaiki masalah keamanan dan fungsionalitas dalam
perangkat lunak dan perangkat lunak.

Manajemen tambalan: proses mengidentifikasi, memperoleh, menginstal, dan memverifikasi

tambalan.

Perimeter fi firewall: firewall yang terletak antara jaringan eksternal dan organisasi.
Jaringan perimeter: jaringan yang terletak di antara jaringan eksternal dan internal organisasi

jaringan. Jaringan perimeter meng-host layanan eksternal seperti http, smtp, dan DNS.
Jaringan perimeter biasanya disebut zona demiliterisasi.

Permutasi: spesifikasi posisi output dari masing-masing bit input k.

Registry Orang: hub pusat yang menghubungkan pengidentifikasi dari semua Sistem Catatan
menjadi satu

Identitas "master" dan memungkinkan korelasi dan terjemahan data identitas (seperti ID
Pelajar ke ID Karyawan) mungkin.

Penciptaan identitas: fungsi yang membuat catatan dan pengidentifikasi orang baru dalam
Registri Orang.

Nomor identifikasi pribadi: kata sandi numerik pendek (4-6 digit). Biasa disingkat PIN.

Phishing: berusaha untuk mengkompromikan pengguna dengan menyamar sebagai entitas

yang dapat dipercaya dalam elektronik

komunikasi.

Kontrol fisik: metode tradisional non-teknis untuk mencegah bahaya.

Kebijakan: dokumen yang mencatat prinsip atau tindakan tingkat tinggi yang telah
diputuskan.

Pengujian proaktif: tindakan menguji sistem untuk masalah tertentu sebelum masalah
tersebut terjadi.

Kontrol prosedural: rencana tindakan yang ditentukan yang mengatur penggunaan sumber
daya komputer.

Kerentanan prosedural: kelemahan dalam metode operasional organisasi, yang dapat

dieksploitasi untuk melanggar kebijakan keamanan.

IDS berbasis negara protokol: IDS yang membandingkan peristiwa yang diamati dengan
aktivitas protokol yang ditetapkan untuk setiap negara protokol untuk mengidentifikasi
penyimpangan.
Kriptografi kunci publik: metode enkripsi yang menggunakan dua kunci, satu untuk enkripsi
dan lainnya untuk

dekripsi.

410. Glossary

Pemantauan reaktif: tindakan mendeteksi dan menganalisis kegagalan setelah terjadi.

Rekursi: tindakan mendefinisikan fungsi dari segi dirinya sendiri.

Redundansi: kemampuan surplus, yang dipertahankan untuk meningkatkan keandalan sistem.

Perlindungan titik akhir berbasis reputasi: memprediksi keamanan file berdasarkan skor
reputasi yang dihitung menggunakan atribut file yang dapat diamati.

Aset yang diperlukan: aset yang penting bagi organisasi, tetapi organisasi akan dapat terus
beroperasi untuk jangka waktu tertentu bahkan jika aset tidak tersedia.

Aset yang dibatasi: aset di mana pengungkapan atau perubahan akan memiliki konsekuensi
yang merugikan bagi organisasi.

Risiko: ukuran kuantitatif potensi kerusakan yang disebabkan oleh ancaman yang ditentukan.

Penilaian risiko: mengidentifikasi dan menggabungkan risiko yang dihadapi organisasi.

Kerangka risiko: menggambarkan lingkungan tempat pengambilan keputusan berbasis risiko.

Ini membantu dalam menetapkan konteks untuk manajemen risiko.

Manajemen risiko: mengelola dampak keuangan dari peristiwa yang tidak biasa.

Pemantauan risiko: mengevaluasi efektivitas rencana manajemen risiko organisasi dari waktu
ke waktu.

Respons risiko: menentukan respons organisasi terhadap risiko begitu risiko ditentukan dari
penilaian risiko.

Peran: hubungan seseorang dengan organisasi. Disebut juga afiliasi.

Kontrol akses berbasis peran: memberikan individu dalam peran pekerjaan tertentu yang
terkait dengan hak akses
dengan peran sistem yang sesuai. Biasa disingkat RBAC, ini memberikan izin untuk peran
pengguna daripada pengguna individu.

Rootkit: koleksi program perangkat lunak yang dirancang untuk menyembunyikan

keberadaan komputer tertentu

proses atau program dari metode deteksi normal.

Kontrol: perlindungan yang digunakan untuk meminimalkan dampak ancaman.

Lingkup: bagian dari kebijakan respons insiden yang menentukan target kebijakan.

Kriptografi kunci rahasia: metode enkripsi yang menggunakan satu kunci untuk enkripsi dan
dekripsi.

Pemisahan tugas: kendala di mana lebih dari satu orang diperlukan untuk menyelesaikan
tugas.

Perjanjian tingkat layanan: spesifikasi apa dan bagaimana TI akan memberikan dan
mengelola harapan pelanggan atau pemilik sistem. Biasa disingkat SLA.

Shell: program berbasis teks yang memungkinkan pengguna untuk berinteraksi langsung
dengan kernel.

Shibboleth: manajemen identitas sumber terbuka dan infrastruktur kontrol akses gabungan
berdasarkan Bahasa Assertion Markup Language (SAML).

Tanda tangan: urutan byte yang dikenal sebagai bagian dari perangkat lunak berbahaya.

Satu titik kegagalan: bagian dari suatu sistem yang kegagalannya akan menghentikan seluruh
sistem dari bekerja.

Sistem masuk tunggal: teknologi yang memungkinkan pengguna melakukan otentikasi satu
kali dan kemudian mengakses semua sumber daya yang diizinkan untuk digunakan oleh
pengguna. Biasa disingkat SSO.

Rekayasa sosial: seni memanipulasi orang untuk melakukan tindakan yang diinginkan.

Perangkat Lunak sebagai Layanan: mekanisme pengiriman di mana aplikasi dan semua
sumber daya terkait

disediakan untuk organisasi oleh vendor, biasanya melalui browser web. Biasa disingkat
SaaS.
Aset perangkat lunak: alat perangkat lunak yang diperlukan untuk memanipulasi informasi
organisasi untuk menyelesaikan misi organisasi.

Pembaruan perangkat lunak: tindakan mengganti komponen perangkat lunak yang rusak
dengan komponen yang mana

cacat yang diidentifikasi telah dihapus.

Kerentanan perangkat lunak: kesalahan dalam spesifikasi, pengembangan, atau konfigurasi

perangkat lunak sehingga pelaksanaannya dapat melanggar kebijakan keamanan.

Kerentanan injeksi SQL: penggunaan input SQL yang tidak divalidasi dalam aplikasi.

Standar: seperangkat aturan yang ditetapkan, diterima dan diadopsi oleh beberapa organisasi.

Steganografi: menyembunyikan informasi sedemikian rupa sehingga tidak ada yang

mencurigai keberadaan pesan tersebut.

Substitusi: spesifikasi output k-bit untuk setiap input k-bit.

Administrasi sistem: serangkaian fungsi yang menyediakan layanan dukungan, memastikan

operasi yang andal,

mempromosikan penggunaan sistem yang efisien, dan memastikan bahwa sasaran kualitas
layanan yang ditentukan terpenuhi.

Glosarium 411

Administrator sistem: orang yang bertanggung jawab atas pengoperasian sistem

teknologi sehari-hari.

Sistem Catatan: catatan dari mana informasi diambil oleh nama, nomor identifikasi,
simbol,

atau pengidentifikasi khusus lainnya yang ditugaskan kepada individu tersebut.

Terkadang disingkat SOR.

Profit sistem: tindakan menyatukan semua aset yang diinventarisasi,

mengelompokkannya berdasarkan fungsi, dan

memahami ketergantungan antara aset-aset ini.

 Petugas keamanan sistem: orang yang bertanggung jawab untuk menulis,
menegakkan, dan meninjau prosedur operasi keamanan dalam suatu organisasi.

Kontrol teknis: langkah-langkah keamanan informasi yang dibangun ke dalam sistem

informasi itu sendiri.

Ancaman: kemampuan, niat, dan metode serangan musuh untuk mengeksploitasi atau
menyebabkan kerusakan pada aset.

Agen ancaman: individu, organisasi, atau kelompok yang memulai tindakan ancaman
tertentu.

Model ancaman: interaksi antara agen yang relevan, tindakan, dan aset yang dihadapi
organisasi.

Token: objek fisik (atau dalam hal token perangkat lunak, disimpan pada objek fisik)
yang harus dipra-kirim untuk membuktikan identitas pengguna.

Kerentanan data yang tidak terenkripsi: situasi di mana data sensitif disimpan secara
lokal atau dikirim melalui jaringan tanpa enkripsi yang tepat.

Aset tidak terbatas: aset tidak diklasifikasikan sebagai dibatasi. Ini adalah data yang,
jika dibocorkan atau dilihat oleh seseorang,

tidak akan menimbulkan masalah bagi organisasi.

Kerentanan unggahan yang tidak dibatasi: kerentanan yang dibuat ketika file diterima
oleh perangkat lunak tanpa memverifikasi bahwa file mengikuti spesifikasi yang
ketat.

Manajemen pengguna: mendefinisikan hak-hak anggota organisasi atas informasi

dalam organisasi.

Virus dan worm: program komputer yang berdampak buruk pada komputer dan
menyebar melalui jaringan tanpa persetujuan pengguna.

Pernyataan Visi: pernyataan yang mengartikulasikan aspirasi organisasi.

Kerentanan: kelemahan dalam sistem informasi yang memberikan ancaman peluang

untuk berkompromi

aset.
 Mashup Web: halaman web atau aplikasi yang menggabungkan data dari satu atau
lebih API berbasis web ke dalam layanan baru.

Eksploitasi zero-day: serangan yang membahayakan kerentanan yang sebelumnya

tidak diketahui dalam perangkat lunak komputer.

Zombie: komputer yang terhubung ke Internet yang telah dikompromikan sedemikian

rupa sehingga kinerjanya

tugas jahat ke arah remote kontrol. Biasanya disebabkan oleh pemasangan klien
zombie.

Klien zombie: perangkat lunak yang mengambil arahan dari komputer jarak jauh dan
menggunakan komputer yang terinfeksi untuk melakukan tugas jahat sebagai arahan