Universitas Pamulang Teknik Informatika S-1

PERTEMUAN 16

KEAMANAN JARINGAN KOMPUTER

A. Tujuan Pembelajaran

Setelah mempelajari materi ini, mahasiswa mampu :

1. Memahami istilah umum keamanan

2. Memahami keamanan jaringan komputer

3. Menjelaskan beberapa bentuk perlindungan kontrol akses berdasarkan perangkat

keras dan perangkat lunak

4. Memahami standar keamanan jaringan komputer

B. Uraian Materi

1. Pengantar

Sebelum kita berbicara tentang keamanan jaringan, kita perlu memahami

istilah umum apa keamanan. Keamanan adalah proses berkelanjutan untuk
melindungi objek dari akses yang tidak sah. Itu sebagai keadaan atau perasaan
terlindungi dari bahaya. Benda itu masuk negara itu mungkin seseorang,
organisasi seperti bisnis, atau properti seperti sistem komputer atau file.
Keamanan berasal dari kata aman yang artinya, menurut kamus Webster,
keadaan bebas dari kepedulian, kecemasan, atau ketakutan. Sebuah objek
dapat berada dalam kondisi fisik keamanan atau kondisi keamanan teoritis.
Dalam keadaan fisik, suatu fasilitas aman jika dilindungi oleh sekat seperti pagar,
miliki mengamankan area baik di dalam maupun di luar, dan dapat menahan
penetrasi oleh penyusup. Keadaan keamanan ini dapat dijamin jika tiga
mekanisme perlindungan berikut ini di tempat: pencegahan, deteksi, dan
tanggapan.

a. Pencegahan, biasanya merupakan garis pertahanan pertama melawan

penyusup yang mungkin mencoba melakukannya dapatkan akses. Ia bekerja
dengan menciptakan suasana yang dimaksudkan untuk menakut-nakuti para
penyusup. Terkadang ini mungkin melibatkan peringatan tentang konsekuensi

Sistem Informasi 303

Universitas Pamulang Teknik Informatika S-1

yang parah jika keamanannya dilanggar. Pencegahan, adalah proses

mencoba menghentikan penyusup mendapatkan akses ke sumber daya
sistem. Hambatan termasuk firewall, zona demiliterisasi (DMZ), dan
penggunaan item akses seperti kunci, kartu akses, biometrik, dan lainnya ke
izinkan hanya pengguna yang berwenang untuk menggunakan dan
mengakses fasilitas.

b. Deteksi, terjadi saat penyusup berhasil atau sedang dalam proses

mendapatkan akses ke sistem. Sinyal dari proses deteksi termasuk
peringatan ke keberadaan seorang penyusup. Terkadang, peringatan ini
dapat disimpan atau dalam waktu nyata analisis lebih lanjut oleh personel
keamanan. Respon, adalah mekanisme efek samping yang mencoba
merespon kegagalan tiga mekanisme pertama. Ini bekerja dengan mencoba
menghentikan dan / atau mencegah kerusakan di masa mendatang atau
akses ke fasilitas.

Area di luar sistem lindung dapat diamankan dengan pagar kawat dan
dinding, sensor kebisingan atau getaran terpasang, penerangan keamanan,
televisi sirkuit tertutup (CCTV), sensor seismik yang terkubur, atau sistem
fotolistrik dan gelombang mikro yang berbeda. Di dalam sistem, keamanan dapat
ditingkatkan dengan menggunakan penghalang elektronik seperti firewall dan
sandi. Hambatan digital - umumnya dikenal sebagai firewall. Firewall adalah
perangkat keras atau perangkat lunak yang digunakan untuk mengisolasi bagian
sensitif dari fasilitas sistem informasi dari dunia luar dan batasi potensi kerusakan
oleh penyusup jahat.

Kondisi keamanan teoritis, umumnya dikenal sebagai keamanan semu

atau keamanan through obscurity (STO), adalah harapan keamanan yang palsu.
Banyak yang percaya bahwa sebuah benda bisa diamankan selama tidak ada
orang di luar kelompok implementasi inti yang memiliki pengetahuan tentang
keberadaannya. Keamanan ini sering disebut sebagai keamanan "mentalitas
susun".

a. Keamanan Komputer

Ini adalah studi yang merupakan cabang dari ilmu komputer, dengan
fokus pada pembuatan keamanan lingkungan untuk penggunaan komputer.
Ini adalah fokus pada "perilaku pengguna", jika Anda akan, diperlukan, dan
protokol untuk menciptakan lingkungan yang aman bagi siapa pun

Sistem Informasi 304

Universitas Pamulang Teknik Informatika S-1

menggunakan komputer. Oleh karena itu, bidang ini melibatkan empat bidang
minat: studi tentang etika komputer, pengembangan protokol perangkat lunak
dan perangkat keras, dan pengembangan praktik terbaik. Ini adalah bidang
studi kompleks yang melibatkan detail desain matematika dari protokol
kriptografi.

b. Keamanan Jaringan

Jaringan komputer adalah jaringan komputer yang terdistribusi yang

memiliki hubungan kuat artinya mereka berbagi banyak sumber daya satu
komputer pusat atau terhubung secara longgar, artinya mereka hanya berbagi
itu sumber daya yang dapat membuat jaringan berfungsi. Ketika kita berbicara
tentang jaringan computer keamanan, model objek fokus kami sekarang telah
berubah. Bukan lagi satu komputer tetapi sebuah jaringan.

2. Mengamankan Jaringan Komputer

Menciptakan keamanan dalam model jaringan komputer yang kita mulai

dalam modul ini berarti menciptakan lingkungan yang aman untuk berbagai
sumber daya. Dalam model ini, sumber daya aman, berdasarkan definisi di atas,
jika sumber daya itu dilindungi dari baik akses tidak sah internal dan eksternal.
Sumber daya ini, fisik atau tidak benda. Memastikan keamanan suatu benda
berarti melindungi benda tersebut dari akses tidak sah baik dari dalam objek
maupun dari luar. Singkatnya, kami melindungi benda. Objek sistem bisa
berwujud atau tidak berwujud. Dalam modul jaringan komputer, objek berwujud
adalah sumber daya perangkat keras dalam sistem, dan obyek tak berwujud
adalah informasi dan data dalam sistem, baik dalam transisi maupun statis dalam
penyimpanan.

a. Perangkat Keras

Melindungi sumber daya perangkat keras termasuk melindungi :

1) Objek pengguna akhir yang menyertakan komponen perangkat keras

antarmuka pengguna seperti semua komponen masukan sistem klien,
termasuk keyboard, mouse, touchscreen, light pens, dan lainnya.

2) Objek jaringan seperti firewall, hub, sakelar, router, dan gateway rentan
terhadap peretas.

Sistem Informasi 305

Universitas Pamulang Teknik Informatika S-1

3) Saluran komunikasi jaringan untuk mencegah penyadap dari penyadapan

komunikasi jaringan.

b. Perangkat Lunak

Melindungi sumber daya perangkat lunak termasuk melindungi

perangkat lunak berbasis perangkat keras, sistem operasi, protokol server,
browser, perangkat lunak aplikasi, dan intelektual properti yang disimpan di
disk penyimpanan jaringan dan database. Ini juga melibatkan perlindungan
perangkat lunak klien seperti portofolio investasi, data keuangan, catatan real
estat, gambar atau gambar, dan file pribadi lainnya yang biasa disimpan di
rumah dan bisnis komputer.

3. Bentuk Perlindungan

Sekarang, kita tahu objek model apa yang atau perlu dilindungi. Mari kita
jaga sebentar detail untuk nanti, survei cara dan bentuk melindungi benda-benda
ini. Pencegahan akses tidak sah ke sumber daya sistem dicapai melalui sejumlah
layanan yang mencakup kontrol akses, otentikasi, kerahasiaan, integritas, dan
nonrepudiation.

a. Akses Kontrol

Ini adalah layanan yang digunakan sistem, bersama dengan identifikasi

yang disediakan pengguna sebelumnya informasi seperti kata sandi, untuk
menentukan siapa yang menggunakan layanannya. Beberapa bentuk kontrol
akses berdasarkan perangkat keras dan perangkat lunak.

1) Sistem Kontrol Akses Perangkat Keras

Kemajuan teknologi yang pesat telah menghasilkan alat kontrol

akses yang efisien terbuka dan fleksibel, sementara pada saat yang sama
memastikan tindakan pencegahan yang wajar terhadap resiko. Alat
kontrol akses yang termasuk dalam kategori ini meliputi :

a) Terminal akses: Titik akses terminal telah menjadi sangat canggih,

dan sekarang mereka tidak hanya melakukan identifikasi pengguna
tetapi juga memverifikasi hak akses, mengontrol jalur akses, dan
berkomunikasi dengan komputer host. Aktivitas ini dapat dilakukan
dengan berbagai cara termasuk verifikasi sidik jari dan waktu nyata
sensor anti-break-in. Teknologi jaringan telah memungkinkan unit-

Sistem Informasi 306

Universitas Pamulang Teknik Informatika S-1

unit ini untuk terhubung ke jaringan pemantauan atau tetap dalam

mode off-line yang berdiri sendiri.

Pemantauan peristiwa visual: Ini adalah kombinasi dari banyak

teknologi menjadi satu bentuk kontrol akses yang sangat berguna
dan berkembang pesat menggunakan berbagai teknologi waktu
nyata termasuk sinyal video dan audio, foto udara, dan teknologi
Global Positioning System (GPS) untuk mengidentifikasi lokasi.

Kartu identitas: Kadang-kadang disebut kartu proximity, kartu

ini telah menjadi sangat umum hari ini sebagai alat kontrol akses di
gedung-gedung, keuangan institusi, dan area terlarang lainnya. Kartu
hadir dalam berbagai bentuk, termasuk magnet, kode batang, chip
kontak, dan kombinasinya.

Identifikasi biometrik: Ini mungkin bentuk kontrol yang tumbuh

paling cepat alat akses hari ini. Beberapa bentuk yang paling populer
termasuk sidik jari, iris, dan pengenalan suara. Namun, pengenalan
sidik jari menawarkan tingkat yang lebih tinggi keamanan.

Video Surveillance : Ini adalah pengganti CCTV masa lalu, dan

memang benar mendapatkan popularitas sebagai alat kontrol akses.
Dengan teknologi jaringan yang cepat dan kamera digital, gambar
sekarang dapat diambil dan dianalisis dengan sangat cepat dan
tindakan yang diambil dalam beberapa menit.

b) Sistem Kontrol Akses Perangkat Lunak

Kontrol akses perangkat lunak terbagi dalam dua jenis:

pemantauan titik akses dan jarak jauh pemantauan. Dalam point of
access (POA), aktivitas pribadi dapat dipantau oleh aplikasi berbasis
PC. Aplikasi ini bahkan dapat dihubungkan ke jaringan atau ke mesin
atau mesin yang ditunjuk. Aplikasi mengumpulkan dan menyimpan
peristiwa akses dan peristiwa lain yang terhubung ke operasi sistem
dan hak akses download terminal akses.

Dalam mode jarak jauh, terminal dapat dihubungkan dengan

berbagai cara, termasuk penggunaan modem, saluran telepon, dan
segala bentuk koneksi nirkabel. Mungkin seperti itu mode terminal,
terkadang jika diperlukan, memiliki panggilan otomatis pada waktu

Sistem Informasi 307

Universitas Pamulang Teknik Informatika S-1

yang telah ditentukan jika diinginkan atau memiliki petugas untuk

melapor secara teratur.

b. Otentikasi

Otentikasi adalah layanan yang digunakan untuk mengidentifikasi

pengguna. Identitas pengguna, terutama dari pengguna jarak jauh, sulit
karena banyak pengguna, terutama yang bermaksud menyebabkan
merugikan, dapat menyamar sebagai pengguna yang sah padahal
sebenarnya bukan. Ini layanan menyediakan sistem dengan kemampuan
untuk memverifikasi bahwa pengguna adalah orangnya sendiri atau dia
mengklaim didasarkan pada apa yang pengguna, ketahui, dan miliki. Secara
fisik, kami dapat mengotentikasi pengguna atau pengganti pengguna
berdasarkan pemeriksaan satu atau lebih dari item pengguna berikut:

1) Nama pengguna (terkadang nama layar).

2) Kata sandi.

3) Gambar

4) retina: Pengguna melihat ke perangkat elektronik yang memetakan

matanya gambar retina; sistem kemudian membandingkan peta ini
dengan peta serupa yang disimpan di sistem.

5) Sidik jari: Pengguna menekan atau terkadang memasukkan jari tertentu

ke dalam perangkat yang membuat salinan sidik jari pengguna dan
kemudian membandingkannya dengan gambar serupa pada file
pengguna sistem.

6) Lokasi fisik: Lokasi fisik dari sistem yang memulai permintaan masuk
diperiksa untuk memastikan bahwa permintaan sebenarnya berasal dari
yang dikenal dan lokasi resmi. Dalam jaringan, untuk memeriksa keaslian
lokasi klien, sebuah jaringan atau alamat Internet Protocol (IP) dari mesin
klien dibandingkan dengan yang ada di file pengguna sistem. Metode ini
kebanyakan digunakan sebagai tambahan langkah-langkah keamanan
lainnya karena itu sendiri tidak dapat menjamin keamanan. Jika
digunakan sendiri, itu menyediakan akses ke sistem yang diminta untuk
siapa saja yang memiliki akses ke mesin klien.

Sistem Informasi 308

Universitas Pamulang Teknik Informatika S-1

7) Kartu identitas: Semakin banyak, kartu digunakan sebagai dokumen

otentikasi. Siapa pun yang menjadi pembawa kartu mendapatkan akses
ke sistem yang diminta. Seperti itu kasus dengan otentikasi lokasi fisik,
otentikasi kartu biasanya digunakan sebagai alat otentikasi tingkat kedua
karena siapa pun yang memiliki akses ke kartu secara otomatis dapat
memperoleh akses ke sistem yang diminta.

c. Confidentiality / Kerahasiaan

Layanan confidentiality / kerahasiaan melindungi data dan informasi

sistem dari yang tidak berwenang penyingkapan. Ketika data meninggalkan
satu sistem ekstrim seperti komputer klien sebuah jaringan, ia menjelajah ke
lingkungan yang tidak mempercayai. Jadi, penerima data itu mungkin tidak
sepenuhnya percaya bahwa tidak ada pihak ketiga seperti cryptanalysis atau
orang di tengah menguntit data. Layanan ini menggunakan algoritma enkripsi
untuk memastikan bahwa hal semacam itu tidak terjadi saat datanya berada
di alam bebas.

Enkripsi melindungi saluran komunikasi dari sniffer. Pengendus adalah

program yang ditulis untuk dan diinstal pada saluran komunikas untuk
menguping pada lalu lintas jaringan, memeriksa semua lalu lintas pada
segmen jaringan yang dipilih.

d. Integritas

Layanan integritas melindungi data dari ancaman aktif seperti yang

mungkin berubah. Sama seperti kerahasiaan data, data dalam transisi antara
pengiriman dan penerimaan pihak rentan terhadap banyak ancaman dari
peretas, penyadap, dan cryptanalyst yang bertujuan untuk mencegat data dan
mengubahnya berdasarkan motif mereka. Layanan ini, melalui enkripsi dan
algoritma hashing, memastikan integritas dari data transien masih utuh.
Fungsi hash mengambil pesan masukan M dan membuat kode darinya. Kode
tersebut biasanya disebut sebagai hash atau intisari pesan. Sebuah

fungsi hash satu arah digunakan untuk membuat tanda tangan pesan
— seperti sidik jari manusia. Oleh karena itu, fungsi hash digunakan untuk
menyediakan pesan integritas dan keaslian. Tanda tangan tersebut kemudian
dilampirkan ke pesan sebelumnya dikirim oleh pengirim ke penerima.

Sistem Informasi 309

Universitas Pamulang Teknik Informatika S-1

e. Non-Penolakan

Ini adalah layanan keamanan yang memberikan bukti asal dan

pengiriman layanan dan / atau informasi. Dalam kehidupan nyata, ada
kemungkinan pengirim dapat menyangkal kepemilikan file menukar data
digital yang berasal darinya. Layanan ini, melalui digital

tanda tangan dan algoritma enkripsi, memastikan bahwa data digital

tidak boleh disangkal dengan memberikan bukti asal yang sulit disangkal.
Tanda tangan digital adalah mekanisme kriptografi yang merupakan padanan
elektronik dari tanda tangan tertulis untuk mengautentikasi sepotong data
mengenai identitas pengirim. Kita harus berhati-hati di sini karena istilah
"nonrepudiation" memiliki dua makna, satu di dunia hukum dan yang lainnya
di dunia kriptoteknik.

4. Standar Keamanan

Model jaringan komputer juga mengalami masalah standardisasi. Protokol

keamanan, solusi, dan praktik terbaik yang dapat mengamankan jaringan
computer model datang dalam berbagai jenis dan menggunakan teknologi
berbeda yang dihasilkan ketidakcocokan antarmuka, interoperabilitas yang lebih
sedikit, dan keseragaman di antara banyak sumber daya sistem dengan
teknologi yang berbeda dalam sistem dan antar sistem. Manajer sistem, kepala
keamanan, dan pakar. Oleh karena itu lebih suka standar, jika tidak ada standar
de facto, yang menjadi dasar pada layanan, industri, ukuran, atau misi. Jenis
layanan yang ditawarkan oleh organisasi menentukan jenis standar keamanan
yang digunakan. Seperti layanan, sifat dari industri tempat organisasi juga
menentukan jenis layanan yang ditawarkan oleh sistem, yang pada gilirannya
menentukan jenis standar yang akan diadopsi. Ukuran file organisasi juga
menentukan jenis standar yang akan diadopsi. Relatif kecil pendirian,
kemudahan implementasi dan jalannya sistem mempengaruhi standar yang akan
diadopsi. Terakhir, misi pendirian juga menentukan jenis standar yang
digunakan. Misalnya, instansi pemerintah punya misi itu berbeda dengan
universitas. Oleh karena itu, kedua organisasi ini dapat memilih standar yang
berbeda.

Sistem Informasi 310

Universitas Pamulang Teknik Informatika S-1

a. Standar Keamanan Berdasarkan Jenis Layanan / Industri

Manajer sistem dan keamanan dan pengguna dapat memilih standar

keamanan untuk digunakan berdasarkan jenis industri tempat mereka berada
dan jenis layanan industri tersebut menyediakan. Tabel 16.1 menunjukkan
beberapa layanan ini dan keamanan yang sesuai standar yang dapat
digunakan untuk layanan ini. Sekarang mari kita berikan beberapa detail dari
beberapa standar ini.

1) Standar Kriptografi Kunci Publik / Public Key Cryptography Standards

(PKCS)

Untuk memberikan dasar dan katalisator untuk keamanan

interoperable berbasis public teknik kriptografi kunci, Standar Kriptografi
Kunci Publik (PKCS) didirikan. Ini adalah standar keamanan terbaru,
pertama kali diterbitkan pada tahun 1991 mengikuti diskusi sekelompok
kecil pengadopsi awal teknologi kunci publik. Sejak didirikan, mereka
telah menjadi dasar dari banyak standar formal dan diterapkan secara
luas. Secara umum PKCS merupakan spesifikasi keamanan yang
diproduksi oleh di PT RSA Laboratories kerjasama dengan pengembang
sistem yang aman di seluruh dunia untuk tujuan mempercepat
penyebaran kriptografi kunci publik. Faktanya, di seluruh dunia kontribusi
dari rangkaian PKCS telah menjadi bagian dari banyak formal dan de
standar facto, termasuk dokumen ANSI X9, PKIX, SET, S / MIME, dan
SSL.

2) Standar untuk Interoperable Secure MIME / The Standards for

Interoperable Secure MIME (S/MIME)

Secure / Multipurpose Internet Mail Extensions (S / MIME) adalah

spesifikasi untuk pesan elektronik yang aman. Itu datang untuk mengatasi
masalah email yang berkembang intersepsi dan pemalsuan pada saat
komunikasi digital meningkat. Jadi, masuk 1995, beberapa vendor
perangkat lunak berkumpul dan membuat spesifikasi S / MIME dengan
tujuan memudahkan untuk mengamankan pesan dari pengintip. Ia
bekerja dengan membangun lapisan keamanan di atas MIME standar
industry protokol berdasarkan PKCS. Penggunaan PKCS memanfaatkan
pengguna S / MIME dengan privasi langsung, integritas data, dan
otentikasi paket email. Ini telah memberikan standar daya tarik yang luas,

Sistem Informasi 311

Universitas Pamulang Teknik Informatika S-1

sehingga S / MIME bergerak lebih dari sekadar surel. Sudah menjadi

vendor gudang perangkat lunak, termasuk Microsoft, Lotus, dan Banyan,
dan layanan perdagangan elektronik online lainnya menggunakan S /
MIME.

Tabel 16. 1 Organisasi dan standar mereka

ORGANIZATION STANDARDS

IPSec, XML-Signature XPath Filter 2, X.509, Kerberos, S/MIME,

RFC 1108 US Department of Defense Security Options for the
Internet Protocol, RFC 2196 Site Security Handbook, RFC 2222
Simple Authentication and Security Layer, RFC 2323 IETF
Identification and Security Guidelines, RFC 2401 Security
Architecture for the Internet Protocol, RFC 2411 IP Security
Document Roadmap, RFC 2504 Users’ Security Handbook, RFC
2828 Internet Security Glossary, RFC 3365 Strong Security
IETF Requirements for Internet Engineering Task Force Standard
Protocols, RFC 3414 User-Based Security Model (USM) for
version 3 of the Simple Network Management Protocol
(SNMPv3), RFC 3631 Security Mechanisms for the Internet, RFC
3871 Operational Security Requirements for Large Internet
Service Provider (ISP) IP Network Infrastructure, RFC 4033 DNS
Security Introduction and Requirements, RFC 4251 The Secure
Shell (SSH) Protocol Architecture, RFC 4301 Security
Architecture for the Internet Protocol

ISO 7498-2:1989 Information processing systems—Open

ISO Systems Interconnection, ISO/IEC 979x, ISO/IEC 997, ISO/IEC
1011x, ISO/IEC 11xx, ISO/IEC DTR 13xxx, ISO/IEC DTR 14xxx

ITU X.2xx, X.5xx, X.7xx, X.80x

ECBS TR-40x

ECMA ECMA-13x, ECMA-20x

Sistem Informasi 312

Universitas Pamulang Teknik Informatika S-1

X3 Information Processing, X9.xx Financial, X12.xx Electronic

NIST
Data Exchange

P1363 Standard Specifications for Public Key Cryptography,

IEEE IEEE 802.xx, IEEE P802.11 g, Wireless LAN Medium Access
Control (MAC) and Physical Layer (PHY) Specifications

RSA PKCS #x—Public key cryptographic standard

XML Encryption, XML Signature, exXensible Key Management

W3C
Specification (XKMS)

3) Standar Pemrosesan Informasi Federal / Federal Information Processing

Standards (FIPS)

Standar Pemrosesan Informasi Federal (FIPS) adalah National

Institute of Standar dan Teknologi (NIST), standar yang disetujui untuk
enkripsi tingkat lanjut. Ini adalah standar dan pedoman pemerintah
federal AS di berbagai bidang di pengolahan data. Mereka
direkomendasikan oleh NIST untuk digunakan oleh pemerintah AS
organisasi dan lainnya di sektor swasta untuk melindungi informasi
sensitif. Berkisar dari FIPS 31 yang dikeluarkan pada tahun 1974 hingga
FIPS 198 saat ini.

Tabel 16. 2 Standar keamanan berdasarkan layanan

AREA OF
SERVICE SECURITY STANDARD
APPLICATION

Network authentication Kerberos

Secure TCP/IP
INTERNET communications over the IPsec
SECURITY Internet

Privacy-enhanced
S/MIME, PGP
electronic mail

Sistem Informasi 313

Universitas Pamulang Teknik Informatika S-1

Public Key
3DES, DSA, RSA, MD5,
Cryptography
SHA-1, PKCS
Standards

Secure Hypertext
S-HTTP
Transfer Protocol

Authentication of directory X.509/ISO/IEC 9594-

users 8:2000

Security protocol for privacy

on Internet/transport SSL, TLS, SET
security

X.509, RSA BSAFE

SecurXML-C, DES,
AES, DSS/DSA,
EESSI, ISO

Advanced encryption 9xxx, ISO, SHA/SHS,

DIGITAL
standard/ PKI/ digital XML digital
SIGNATURE AND
certificates, XML digital signatures (XML-
ENCRYPTION
signatures DSIG), XML
Encryption
(XMLENC), XML Key

Management
Specification (XKMS)

Authentication of user’s
LOGIN AND SAML, Liberty Alliance,
right to use system or
AUTHENTICATION FIPS 112
network resources.

FIREWALL AND Secure Data Exchange

Security of local, wide, and
SYSTEM (SDE) protocol for IEEE
metropolitan area networks
SECURITY 802, ISO/IEC 10164

Sistem Informasi 314

Universitas Pamulang Teknik Informatika S-1

4) Secure Sockets Layer (SSL)

SSL adalah standar enkripsi untuk sebagian besar transaksi Web.

Bahkan, itu menjadi jenis enkripsi e-niaga yang paling populer.
Kebanyakan intranet konvensional dan aplikasi ekstranet biasanya
membutuhkan kombinasi mekanisme keamanan itu termasuk

a) Enkripsi

b) Autentikasi

c) Kontrol akses

SSL menyediakan komponen enkripsi yang diimplementasikan

dalam TCP / IP. Dikembangkan oleh Netscape Communications, SSL
menyediakan klien Web yang aman dan komunikasi server, termasuk
enkripsi, otentikasi, dan integritas memeriksa koneksi TCP / IP.

5) Standar Keamanan Layanan Web

Agar transaksi Web seperti e-commerce benar-benar meningkat,

pelanggan akan melakukannya perlu melihat model arsitektur terbuka
yang didukung oleh keamanan berbasis standar kerangka. Pemain
keamanan, termasuk organisasi standar, harus menyediakan model
terbuka dan kerangka kerja yang dapat dioperasikan, yaitu, sebagai
vendor netral seperti mungkin, dan mampu menyelesaikan masalah kritis,
seringkali sensitif, yang terkait dengan keamanan. Itu kerangka
keamanan juga harus mencakup standar interoperabilitas Web untuk
akses kontrol, penyediaan, biometrik, dan hak digital.

b. Standar Keamanan Berdasarkan Ukuran / Implementasi

Jika jaringannya kecil atau organisasi kecil seperti universitas, misalnya,

standar keamanan dapat dijabarkan sebagai kebijakan keamanan organisasi
atau praktik terbaiknya pada keamanan sistem, termasuk keamanan fisik
peralatan, perangkat lunak sistem, dan perangkat lunak aplikasi.

c. Standar Keamanan Berdasarkan Kepentingan

Dalam banyak kasus, institusi dan lembaga pemerintah memilih untuk

memilih keamanan standar hanya berdasarkan kepentingan lembaga atau
negara.

Sistem Informasi 315

Universitas Pamulang Teknik Informatika S-1

Tabel 16.3 di bawah ini menunjukkan beberapa standar keamanan

berdasarkan minat, dan subbagian setelah tabel juga menunjukkan praktik
terbaik keamanan dan standar keamanan berdasarkan lebih lanjut
kepentingan nasional.

Tabel 16. 3 Praktik keamanan terbaik untuk organisasi kecil

APPLICATION AREA SECURITY STANDARDS

OPERATING SYSTEMS Unix, Linux, Windows, etc.

VIRUS PROTECTION Norton

E-MAIL PGP, S/MIME

FIREWALLS

TELNET AND FTP TERMINAL

SSH (secure shell)
APPLICATIONS

d. Praktek Keamanan Terbaik

Seperti yang Anda perhatikan dari diskusi kita, ada banyak repertoar
keamanan standar alat pada lanskap keamanan sistem dan informasi karena
sebagai teknologi berkembang, situasi keamanan menjadi lebih kompleks dan
tumbuh lebih banyak setiap hari. Dengan perubahan ini, bagaimanapun,
beberapa tren dan pendekatan keamanan tetap ada sama.

Salah satu konstanta ini memiliki strategi yang baik untuk menangani
mengubah lanskap keamanan. Mengembangkan strategi keamanan seperti
itu melibatkan penjagaan mengawasi realitas dari adegan teknologi yang
berubah dan meningkat pesat ancaman keamanan. Untuk mengikuti semua
perubahan ini, pakar keamanan dan manajer keamanan harus tahu
bagaimana dan apa yang harus dilindungi dan kontrol apa yang harus
diterapkan dan pada pukul berapa. Dibutuhkan manajemen keamanan,
perencanaan, pengembangan kebijakan, dan desain prosedur keamanan.

Sistem Informasi 316

Universitas Pamulang Teknik Informatika S-1

Penting untuk diingat dan pasti dipahami bahwa tidak ada prosedur,
kebijakan, atau teknologi, betapapun Anda menyukainya dan percaya itu, itu
akan pernah 100%, jadi penting bagi perusahaan untuk memiliki petugas
keamanan yang ditunjuk, petugas program keamanan, dan petugas
keamanan kepala (CSO), di bawah chief information officer (CIO), dan
bertanggung jawab atas praktik terbaik keamanan. Berikut beberapa contoh
praktik terbaik. Peraturan dan Praktik Keamanan yang Diterima Secara Umum
(CASPR) Dikembangkan oleh Proyek CASPR, upaya ini bertujuan untuk
menyediakan seperangkat praktik terbaik yang dapat dilakukan diterapkan
secara universal ke organisasi apa pun terlepas dari industri, ukuran atau
misinya. Seperti itu praktik terbaik, misalnya, berasal dari pakar informasi
dunia keamanan. CASPR menyaring pengetahuan menjadi serangkaian
makalah dan menerbitkannya jadi mereka tersedia secara gratis di Internet
untuk semua orang. Proyek ini mencakup banyak hal area, termasuk sistem
operasi dan keamanan sistem, keamanan jaringan dan telekomunikasi,
kontrol akses dan otentikasi, manajemen infosecurity, audit dan penilaian
infosecurity, pencatatan dan pemantauan infosecurity, keamanan aplikasi,
pengembangan aplikasi dan sistem, dan investigasi dan forensik. Untuk
mendistribusikan kertas mereka dengan bebas, para pendiri CASPR
menggunakan gerakan open source sebagai panduan, dan mereka merilis
makalah di bawah GNU Lisensi Dokumen Gratis untuk memastikan mereka
dan turunannya tetap bebas tersedia.

Tujuan Pengendalian untuk Teknologi Informasi dan (Terkait) (COBIT)

Dikembangkan oleh auditor TI dan tersedia melalui Audit Sistem Informasi dan
Control Association, COBIT menyediakan kerangka kerja untuk menilai
program keamanan. COBIT adalah standar terbuka untuk pengendalian
teknologi informasi. IT Governance Institute, bersama dengan pakar industri
di seluruh dunia, analis, dan akademisi, mengembangkan definisi baru untuk
COBIT yang terdiri dari kedewasaan model, faktor penentu keberhasilan
(CSF), indikator tujuan utama (KGI), dan indikator kinerja utama (KPI). COBIT
dirancang untuk membantu tiga audiens yang berbeda :

1) Manajemen yang perlu sering menyeimbangkan risiko dan

mengendalikan investasi lingkungan TI yang tidak dapat diprediksi

Sistem Informasi 317

Universitas Pamulang Teknik Informatika S-1

2) Pengguna yang perlu mendapatkan jaminan atas keamanan dan kontrol

TI layanan tempat mereka bergantung untuk mengirimkan produk dan
layanan mereka pelanggan internal dan eksternal

3) Auditor yang dapat menggunakannya untuk mendukung pendapat

mereka dan / atau memberikan nasehat manajemen pada pengendalian
internal Evaluasi Ancaman Kritis Operasional, Aset, dan Kerentanan
(OCTAVE) oleh Pusat Koordinasi CERT Carnegie Mellon: OCTAVE
adalah pendekatan untuk evaluasi risiko keamanan informasi mandiri
yang :

a) Menugaskan organisasi

b) Menyeimbangkan aset informasi penting, kebutuhan bisnis,

ancaman, dan kerentanan

c) Mengukur organisasi terhadap praktik keamanan baik yang diketahui

atau diterima

d) Menetapkan strategi perlindungan dan keamanan informasi di

seluruh organisasi rencana mitigasi risiko singkatnya, ini memberikan
ukuran berdasarkan praktik terbaik yang diterima untuk evaluasi
program keamanan. Ini dilakukan dalam tiga fase:

e) Menentukan aset informasi yang harus dilindungi.

f) Ini mengevaluasi infrastruktur teknologi untuk menentukan apakah

dapat melindungi mereka aset dan seberapa rentannya dan
menentukan risiko terhadap aset kritis.

g) Ini menggunakan praktik keamanan yang baik dan menetapkan

perlindungan di seluruh organisasi strategi dan rencana mitigasi
untuk risiko spesifik terhadap aset kritis.

Sistem Informasi 318

Universitas Pamulang Teknik Informatika S-1

C. Soal / Latihan

1. Jika melindungi sumber daya perangkat keras pada keamanan jaringan komputer
termasuk melindungi?

2. Jika melindungi sumber daya perangkat lunak pada keamanan jaringan komputer
termasuk melindungi?

3. Apa yang dimaksud dengan Otentikasi?

4. SSL menyediakan komponen enkripsi yang diimplementasikan dalam TCP / IP

yang dikembangkan oleh?

Jawaban :

1. a. Objek pengguna akhir yang menyertakan komponen perangkat keras

antarmuka pengguna seperti semua komponen masukan sistem klien,
termasuk keyboard, mouse, touchscreen, light pens, dan lainnya.

b. Objek jaringan seperti firewall, hub, sakelar, router, dan gateway rentan
terhadap peretas.

c. Saluran komunikasi jaringan untuk mencegah penyadap dari penyadapan

komunikasi jaringan.

Perangkat lunak berbasis perangkat keras, sistem operasi, protokol server, browser,
perangkat lunak aplikasi, dan intelektual properti yang disimpan di disk penyimpanan
jaringan dan database. Ini juga melibatkan perlindungan perangkat lunak klien seperti
portofolio investasi, data keuangan, catatan real estat, gambar atau gambar, dan file
pribadi lainnya yang biasa disimpan di rumah dan bisnis komputer.

Otentikasi adalah layanan yang digunakan untuk mengidentifikasi pengguna. Identitas

pengguna, terutama dari pengguna jarak jauh, sulit karena banyak pengguna, terutama
yang bermaksud menyebabkan merugikan, dapat menyamar sebagai pengguna yang
sah padahal sebenarnya bukan.

Netscape Communications

Sistem Informasi 319

Universitas Pamulang Teknik Informatika S-1

D. Referensi

CobiT a Practical Toolkit for IT Governance.

http://www.ncc.co.uk/ncc/myitadviser/archive/issue8/business_processes.cf
m
Kizza JM (2003) Social and ethical issues in the information age, 2nd edn. Springer,
New York
Mercuri R, Neumann P Security by obscurity. Commun ACM 46(11):160
McCullagh A, Caelli W Non-repudiation in the digital environment.
http://www.firstmonday. dk/issues/issue5_8/mccullagh/index.html#author
OCTAVE: Information Security Risk Evaluation. http://www.cert.org/octave/
Putvinski M. IT security series part 1: information security best practices. http://www.
corporatecomplianceinsights.com/information-security-best-practices
Scherphier A. CS596 Client-server programming security.
http://www.sdsu.edu/cs596/security. htm

Sistem Informasi 320