NAMA : ALFRIDHA ISKANDAR

NIM : F52120030

RESUME.

1. Konsep komputer security

tiga tujuan utama yang menjadi inti dari keamanan

komputer:
a) Kerahasiaan:Istilah ini mencakup dua konsep terkait:
— Kerahasiaan data:1Menjamin bahwa informasi pribadi atau rahasia tidak tersedia
atau diungkapkan kepada individu yang tidak berwenang.
— Pribadi:Menjamin bahwa individu mengendalikan atau mempengaruhi informasi apa
yang
terkait dengan mereka dapat dikumpulkan dan disimpan dan oleh siapa dan kepada
siapa
informasi tersebut dapat diungkapkan.
b) Integritas:Istilah ini mencakup dua konsep terkait:
— Integritas data:Menjamin bahwa informasi dan program diubah hanya dengan
cara yang ditentukan dan disahkan.
— Integritas sistem:Menjamin bahwa suatu sistem melakukan fungsi yang
dimaksudkan dengan cara yang tidak terganggu, bebas dari manipulasi sistem yang
disengaja atau tidak disengaja.
c) Ketersediaan:Menjamin bahwa sistem bekerja segera dan layanan tidak ditolak untuk
pengguna yang berwenang.
Ketiga konsep tersebut mewujudkan tujuan keamanan mendasar baik untuk data maupun
untuk layanan informasi dan komputasi. Misalnya, standar NIST FIPS 199 (Standar untuk
Kategorisasi Keamanan Informasi Federal dan Sistem Informasi) mencantumkan
kerahasiaan, integritas, dan ketersediaan sebagai tiga tujuan keamanan untuk informasi dan
sistem informasi.
Aset dari sistem komputer dapat dikategorikan sebagai berikut:
• Perangkat keras:Termasuk sistem komputer dan pemrosesan data lainnya, penyimpanan
data, dan perangkat komunikasi data
• Perangkat lunak:Termasuk sistem operasi, utilitas sistem, dan aplikasi.
• Data:Termasuk file dan database, serta data terkait keamanan, seperti file
kata sandi.
• Fasilitas dan jaringan komunikasi:Tautan komunikasi jaringan area lokal
 dan luas, jembatan, router, dan sebagainya.
Dalam konteks keamanan, perhatian kami adalah dengankerentanandari sumber
daya sistem. [NRC02] mencantumkan kategori umum kerentanan berikut dari sistem
komputer atau aset jaringan:
• Bisa jadirusak, sehingga melakukan hal yang salah atau memberikan jawaban yang
salah. Misalnya, nilai data yang disimpan mungkin berbeda dari yang seharusnya karena
tidak dimodifikasi dengan benar.
• Itu bisa menjadibocor. Misalnya, seseorang yang seharusnya tidak memiliki akses ke
beberapa atau semua informasi yang tersedia melalui jaringan memperoleh akses
tersebut.
• Itu bisa menjaditidak tersediaatau sangat lambat. Artinya, menggunakan sistem atau
jaringan
menjadi tidak mungkin atau tidak praktis.
Ketiga jenis kerentanan umum ini sesuai dengan konsep integritas, kerahasiaan, dan
ketersediaan, yang disebutkan sebelumnya di bagian ini.
Sesuai dengan berbagai jenis kerentanan terhadap sumber daya sistem adalah ancaman
yang mampu mengeksploitasi kerentanan tersebut. Ancaman mewakili potensi bahaya
keamanan terhadap aset.

2. Konsep threat asset dan attack

 Ancaman utama terhadap perangkat keras sistem komputer adalah ancaman

ketersediaan. Perangkat keras adalah yang paling rentan terhadap serangan dan paling tidak
rentan terhadap kontrol otomatis. Ancaman termasuk kerusakan peralatan yang tidak
disengaja dan disengaja serta pencurian. Proliferasi komputer pribadi dan workstation dan
meluasnya penggunaan LAN meningkatkan potensi kerugian di daerah ini. Pencurian CD-ROM
dan DVD dapat menyebabkan hilangnya kerahasiaan. Langkah-langkah keamanan fisik dan
administratif diperlukan untuk menghadapi ancaman-ancaman ini.

 Perangkat lunak mencakup sistem operasi, utilitas, dan program aplikasi. Ancaman
utama terhadap perangkat lunak adalah serangan terhadap ketersediaan. Perangkat
lunak, terutama perangkat lunak aplikasi, seringkali mudah dihapus. Perangkat lunak
juga dapat diubah atau dirusakuntuk menjadikannya tidak berguna. Manajemen
 konfigurasi perangkat lunak yang cermat, yang mencakup membuat cadangan versi
perangkat lunak terbaru, dapat mempertahankan ketersediaan tinggi. Masalah yang
lebih sulit untuk ditangani adalah modifikasi perangkat lunak yang menghasilkan
program yang masih berfungsi tetapi berperilaku berbeda dari sebelumnya, yang
merupakan ancaman terhadap integritas/otentisitas. Virus komputer dan serangan
terkait termasuk dalam kategori ini. Masalah terakhir adalah perlindungan terhadap
pembajakan perangkat lunak.
 Keamanan perangkat keras dan perangkat lunak biasanya menjadi perhatian para
profesional pusat komputasi atau kekhawatiran individu pengguna komputer pribadi.
Masalah yang jauh lebih luas adalah keamanan data, yang melibatkan file dan bentuk
data lain yang dikendalikan oleh individu, kelompok, dan organisasi bisnis. Masalah
keamanan sehubungan dengan data bersifat luas, mencakup ketersediaan, kerahasiaan,
dan integritas. Dalam hal ketersediaan, perhatiannya adalah pada penghancuran file
data, yang dapat terjadi secara tidak sengaja atau berbahaya. Perhatian yang jelas
terhadap kerahasiaan adalah pembacaan yang tidak sah dari file data atau database,
dan area ini mungkin telah menjadi subjek penelitian dan upaya yang lebih banyak
daripada area keamanan komputer lainnya. Ancaman yang kurang jelas terhadap
kerahasiaan melibatkan analisis data dan memanifestasikan dirinya dalam penggunaan
apa yang disebut basis data statistik, yang menyediakan ringkasan atau informasi
agregat. Agaknya, keberadaan informasi agregat tidak mengancam privasi individu
yang terlibat. Namun, seiring dengan pertumbuhan penggunaan basis data statistik,
ada peningkatan potensi pengungkapan informasi pribadi. Intinya, karakteristik
individu konstituen dapat diidentifikasi melalui analisis yang cermat. Misalnya, jika
satu tabel mencatat agregat pendapatan responden A, B, C, dan D dan yang lain
mencatat agregat pendapatan A, B, C, D, dan E, perbedaan antara kedua agregat akan
menjadi pendapatan E. Masalah ini diperparah dengan meningkatnya keinginan untuk
menggabungkan kumpulan data. Dalam banyak kasus, mencocokkan beberapa set data
untuk konsistensi pada tingkat agregasi yang berbeda memerlukan akses ke unit
individual. Dengan demikian, unit individu, yang merupakan subjek dari masalah
privasi, tersedia pada berbagai tahap dalam pemrosesan kumpulan data.
3. Persyaratan fungsional komputer security
 Ada sejumlah cara untuk mengklasifikasikan dan mengkarakterisasi tindakan
pencegahan yang dapat digunakan untuk mengurangi kerentanan dan menangani
ancaman terhadap aset sistem. Akan berguna untuk presentasi di sisa buku ini untuk
melihat beberapa pendekatan, yang kita lakukan di bagian ini dan dua bagian
berikutnya. Di bagian ini, kami melihat penanggulangan dalam hal persyaratan
fungsional, dan kami mengikuti klasifikasi yang didefinisikan dalam FIPS 200
(Persyaratan Keamanan Minimum untuk Sistem Informasi dan Informasi Federal).
Standar ini menyebutkan 17 bidang terkait keamanan yang berkaitan dengan
perlindungan kerahasiaan, integritas, dan ketersediaan sistem informasi dan informasi
yang diproses, disimpan, dan dikirimkan oleh sistem tersebut.
 Prinsip da . Area fungsional yang terutama melibatkan kontrol dan prosedur
manajemen mencakup kesadaran dan pelatihan; audit dan akuntabilitas; sertifikasi,
akreditasi, dan penilaian keamanan; perencanaan kontingensi; pemeliharaan;
perlindungan fisik dan lingkungan; perencanaan; keamanan personel; tugas beresiko;
dan sistem dan akuisisi layanan. Area fungsional yang tumpang tindih dengan tindakan
teknis keamanan komputer dan kontrol manajemen mencakup manajemen
konfigurasi, respons insiden, dan perlindungan media. sar desain sistem keamanan
 Kontrol akses:Membatasi akses sistem informasi untuk pengguna yang berwenang,
proses yang bertindak atas nama pengguna yang berwenang, atau perangkat (termasuk
sistem informasi lainnya) dan untuk jenis transaksi dan fungsi yang diizinkan untuk
dilakukan oleh pengguna yang berwenang.
 Perencanaan:Mengembangkan, mendokumentasikan, memperbarui secara berkala,
dan mengimplementasikan rencana keamanan untuk sistem informasi organisasi yang
menggambarkan kontrol keamanan yang ada atau direncanakan untuk sistem
informasi dan aturan perilaku bagi individu yang mengakses sistem informasi.

4. Konsep attack surface dan attack tree

 Permukaan serangan jaringan:Kategori ini mengacu pada kerentanan melalui jaringan
perusahaan, jaringan area luas, atau Internet. Termasuk dalam kategori ini adalah
kerentanan protokol jaringan, seperti yang digunakan untuk serangan penolakan
layanan, gangguan tautan komunikasi, dan berbagai bentuk serangan penyusup.
 Analisis permukaan serangan adalah teknik yang berguna untuk menilai skala dan
tingkat keparahan ancaman terhadap suatu sistem. Analisis sistematis titik kerentanan
membuat pengembang dan analis keamanan menyadari di mana mekanisme keamanan
diperlukan. Setelah permukaan serangan ditentukan, desainer mungkin dapat
menemukan cara untuk membuat permukaan lebih kecil, sehingga membuat tugas
musuh menjadi lebih sulit. Permukaan serangan juga memberikan panduan dalam
menetapkan prioritas untuk pengujian, memperkuat langkah-langkah keamanan, atau
memodifikasi layanan atau aplikasi.
 Pohon serangan adalah percabangan, struktur data hierarkis yang mewakili
serangkaian teknik potensial untuk mengeksploitasi kerentanan keamanan
[MAUW05, MOOR01, SCHN99]. Insiden keamanan yang menjadi tujuan serangan
direpresentasikan sebagai simpul akar dari pohon, dan cara penyerang dapat mencapai
 tujuan itu secara iteratif dan bertahap direpresentasikan sebagai cabang dan subnode
dari pohon. Setiap subnode mendefinisikan subgoal, dan setiap subgoal mungkin
memiliki set sendiri dari subgoal lebih lanjut, dll.Pohon serangan adalah percabangan,
struktur data hierarkis yang mewakili serangkaian teknik potensial untuk
mengeksploitasi kerentanan keamanan [MAUW05, MOOR01, SCHN99]. Insiden
keamanan yang menjadi tujuan serangan direpresentasikan sebagai simpul akar dari
pohon, dan cara penyerang dapat mencapai tujuan itu secara iteratif dan bertahap
direpresentasikan sebagai cabang dan subnode dari pohon. Setiap subnode
mendefinisikan subgoal, dan setiap subgoal mungkin memiliki set sendiri dari subgoal
lebih lanjut, dll.
 Motivasi penggunaan pohon serangan adalah untuk secara efektif mengeksploitasi
informasi yang tersedia tentang pola serangan. Organisasi seperti CERT menerbitkan
nasihat keamanan yang memungkinkan pengembangan kumpulan pengetahuan
tentang strategi serangan umum dan pola serangan khusus. Analis keamanan dapat
menggunakan pohon serangan untuk mendokumentasikan serangan keamanan dalam
bentuk terstruktur yang mengungkapkan kerentanan utama. Pohon serangan dapat
memandu desain sistem dan aplikasi, serta pilihan dan kekuatan tindakan pencegahan.

5. Strategi pengamanan sistem computer

 Langkah pertama dalam merancang layanan dan mekanisme keamanan adalah

mengembangkan kebijakan keamanan. Mereka yang terlibat dengan keamanan
komputer menggunakan istilahkebijakan keamanan di berbagai cara. Setidaknya,
kebijakan keamanan adalah deskripsi informal dari perilaku sistem yang diinginkan
[NRC91]. Kebijakan informal tersebut dapat merujuk persyaratan untuk keamanan,
integritas, dan ketersediaan. Lebih berguna, kebijakan keamanan adalah pernyataan
formal aturan dan praktik yang menentukan atau mengatur bagaimana sistem atau
organisasi menyediakan layanan keamanan untuk melindungi sumber daya sistem
yang sensitif dan kritis (RFC 4949). Kebijakan keamanan formal seperti itu cocok
untuk ditegakkan oleh kontrol teknis sistem serta manajemen dan kontrol
operasionalnya.
 Implementasi keamanan melibatkan empat tindakan yang saling melengkapi:
a. Pencegahan:Skema keamanan yang ideal adalah skema di mana tidak ada
serangan yang berhasil. Meskipun ini tidak praktis dalam semua kasus, ada
berbagai ancaman di mana pencegahan adalah tujuan yang masuk akal.
Misalnya, pertimbangkan transmisi data terenkripsi. Jika algoritma enkripsi
aman digunakan, dan jika ada tindakan untuk mencegah akses tidak sah ke kunci
enkripsi, maka serangan terhadap kerahasiaan data yang dikirimkan akan
dicegah.

b. Deteksi:Dalam beberapa kasus, perlindungan mutlak tidak mungkin dilakukan,

tetapi praktis untuk mendeteksi serangan keamanan. Misalnya, ada sistem
deteksi intrusi yang dirancang untuk mendeteksi keberadaan individu yang tidak
sah yang masuk ke sistem. Contoh lain adalah deteksi serangan penolakan
layanan, di komunikasi atau sumber daya pemrosesan mana yang dikonsumsi
sehingga tidak tersedia untuk pengguna yang sah.
 c. Tanggapan:Jika mekanisme keamanan mendeteksi serangan yang sedang
berlangsung, seperti serangan penolakan layanan, sistem mungkin dapat
merespons sedemikian rupa untuk menghentikan serangan dan mencegah
kerusakan lebih lanjut.

d. Pemulihan:Contoh pemulihan adalah penggunaan sistem cadangan, sehingga jika

integritas data terganggu, salinan data yang benar sebelumnya dapat dimuat
ulang.

 Evaluasi adalah proses memeriksa produk atau sistem komputer dengan

memperhatikan kriteria tertentu. Evaluasi melibatkan pengujian dan mungkin juga
melibatkan teknik analitik atau matematika formal. Dorongan utama pekerjaan di
bidang ini adalah pengembangan kriteria evaluasi yang dapat diterapkan pada sistem
keamanan apa pun (mencakup layanan dan mekanisme keamanan) dan yang didukung
secara luas untuk membuat perbandingan produk.