signifikan, seperti memanggil administrator keamanan sistem. Implementasi tertentu
memungkinkan pemakai untuk menentukan tindakan apa yang harus diambil sistem pada peristiwa
apa. Apa tanggapan yang mungkin? Jangkauannya tidak terbatas dan dapat berupa apa saja yang
dapat dibayangkan (dan diprogram) oleh administrator.
266
Secara umum, respons terbagi dalam tiga kategori utama (salah satu atau semuanya dapat dipakai
dalam satu respons):
• Memantau, mengumpulkan data, mungkin menambah jumlah data yang dikumpulkan.
• Protect, bertindak untuk mengurangi eksposur.
• Memberi tanda peringatan ke komponen proteksi lainnya.
• Panggil manusia.
Pemantauan sesuai untuk serangan dengan dampak sederhana (awal). Mungkin tujuan sebenarnya
yaitu untuk melihat penyusup untuk melihat sumber daya apa yang sedang diakses atau upaya
serangan apa yang dicoba. Kemungkinan pemantauan lainnya yaitu merekam semua lalu lintas
dari sumber tertentu untuk analisis di masa mendatang. Pendekatan ini harus tidak terlihat oleh
penyerang. Melindungi dapat berarti meningkatkan pengendalian akses dan bahkan membuat sumber daya
tidak tersedia (misalnya, mematikan koneksi jaringan atau membuat file tidak tersedia). Sistem bahkan
dapat memutuskan koneksi jaringan yang dipakai penyerang. Berbeda dengan pemantauan,
melindungi mungkin sangat terlihat oleh penyerang. Akhirnya, memanggil manusia memungkinkan
diskriminasi individu. IDS dapat mengambil tindakan defensif awal, mungkin terlalu kuat, segera
sementara juga menghasilkan peringatan kepada manusia, yang mungkin membutuhkan beberapa
detik, menit, atau lebih lama untuk merespons namun kemudian menerapkan tindakan balasan yang
lebih rinci dan spesifik.
Alarm
Tindakan paling sederhana dan paling aman untuk IDS yaitu dengan membuat alarm ke
administrator yang kemudian akan menentukan langkah selanjutnya. Manusia paling tepat untuk
menilai tingkat keparahan situasi dan memilih di antara tindakan pencegahan. Selain itu, manusia
dapat mengingat situasi masa lalu dan terkadang mengenali koneksi atau kesamaan yang mungkin
tidak terdeteksi oleh IDS.
Sayangnya, menghasilkan alarm mengharuskan manusia selalu tersedia untuk merespons alarm
itu dan responsnya tepat waktu dan tepat. Jika beberapa sensor menghasilkan alarm pada saat
yang sama, manusia dapat menjadi kelebihan beban dan melewatkan alarm baru atau terlalu
terlibat dengan salah satu sehingga alarm kedua tidak ditangani dengan cukup cepat. Lebih buruk
lagi, alarm kedua dapat mengalihkan perhatian atau membingungkan manusia, sehingga tindakan
pada alarm pertama terancam. Di penelitian Kasus 3-25 kami membahas berapa banyak alarm yang
memicu pelanggaran serius.
penelitian Kasus 3-25 : Target Corp. Kewalahan oleh Terlalu Banyak Alarm
Pada akhir 2013 yang sekarang ternyata yaitu peretas Rusia yang menyusup
ke jaringan Target, pengecer besar di Amerika Serikat. Para penyerang menanam
kode untuk mengumpulkan nomor kartu kredit dan debit pembeli, termasuk nomor
verifikasi yang akan membuat nomor ini cukup berharga di pasar gelap. Secara
keseluruhan, 40 juta nomor dicuri dalam beberapa minggu menjelang Natal, biasanya
periode belanja tersibuk pengecer tahun ini. Target telah berinvestasi dalam teknologi
deteksi penyusupan, yang berfungsi dan melihat aktivitas mencurigakan. Perangkat
lunak memberi tahu pusat pemantauan keamanan Target yang menganalisis situasi
dan meningkatkan peringatan ke pusat operasi keamanan perusahaan pada 30
267
November dan lagi pada 2 Desember. Staf pusat operasi keamanan tidak melakukan
apa-apa.
“Seperti perusahaan besar lainnya, setiap minggu di Target ada sejumlah besar
peristiwa teknis yang terjadi dan dicatat. Melalui penyelidikan kami, kami mengetahui
bahwa sesudah para penjahat ini memasuki jaringan kami, sejumlah kecil aktivitas
mereka dicatat dan muncul ke tim kami, ”kata juru bicara Target Molly Snyder melalui
email. “Kegiatan itu dievaluasi dan ditindaklanjuti.”
Ancaman yang diterima diklasifikasikan sebagai "malware.binary" yang berarti bagian
dari kode berbahaya yang tidak dikenal dengan jenis, sumber, atau kemampuan yang
tidak diketahui. Beberapa ahli mengatakan mereka memperkirakan tim keamanan
Target menerima ratusan peringatan ancaman seperti itu setiap hari.
Kisah ini menunjukkan kesulitan memakai teknologi IDS: Kecuali pelaku
bertindak berdasar alarm yang dihasilkan, meningkatkan peringatan tidak ada
nilainya. Namun terkadang jumlah alarm sangat banyak sehingga tim respons
kewalahan. Dengan terlalu banyak alarm, responden bisa menjadi puas diri,
mengabaikan situasi serius sebab penyelidikan peringatan sebelumnya ternyata
kosong.
Perilaku Adaptif
sebab keterbatasan manusia ini, IDS terkadang dapat dikonfigurasi untuk mengambil tindakan
untuk memblokir serangan atau mengurangi dampaknya. Berikut yaitu beberapa jenis tindakan
yang dapat dilakukan IDS:
• Terus pantau jaringan.
• Blokir serangan dengan mengarahkan lalu lintas serangan ke host pemantauan, membuang
lalu lintas, atau menghentikan sesi.
• Konfigurasi ulang jaringan dengan membawa host lain online (untuk meningkatkan kapasitas)
atau menyesuaikan penyeimbang beban.
• Sesuaikan performa untuk memperlambat serangan, misalnya dengan menjatuhkan
sebagian lalu lintas masuk.
• Tolak akses ke host atau layanan jaringan tertentu.
• Matikan sebagian jaringan.
• Matikan seluruh jaringan.
Serangan balik
Tindakan terakhir yang dapat diambil pada deteksi serangan yaitu untuk melakukan pelanggaran,
untuk menyerang balik. Tindakan ofensif harus dilakukan dengan sangat hati-hati sebab beberapa
alasan:
• Penyerang yang terlihat mungkin bukan penyerang yang sebenarnya. Menentukan sumber
yang benar dan pengirim lalu lintas Internet tidak mudah. Mengambil tindakan terhadap
pihak yang salah hanya memperburuk keadaan.
268
• Sebuah serangan balik dapat memicu pertempuran real-time di mana baik pertahanan
dan pelanggaran harus dilaksanakan dengan sedikit waktu untuk menilai situasi.
• Pembalasan dalam kemarahan belum tentu dipikirkan dengan matang.
• Legalitas bisa bergeser. Tindakan yang terukur dan perlu untuk melindungi sumber daya
pelaku yaitu prinsip hukum yang mapan. Mengambil tindakan ofensif membuka satu
untuk bahaya hukum, sebanding dengan penyerang.
• Memprovokasi penyerang dapat memicu eskalasi. Penyerang dapat menganggap
serangan balik sebagai tantangan.
3.7.2 Tujuan untuk Sistem Deteksi Intrusi (IDS)
Dua gaya deteksi intrusi — pencocokan pola dan heuristik — mewakili pendekatan yang berbeda,
yang masing-masing memiliki kelebihan dan kekurangan. Produk IDS yang sebenarnya sering
memadukan kedua pendekatan ini . Idealnya, IDS harus cepat, sederhana, dan akurat, sekaligus
lengkap. Itu harus mendeteksi semua serangan dengan penalti kinerja yang dapat diabaikan.
IDS dapat memakai beberapa—atau semua—pendekatan desain berikut:
• Filter pada header paket.
• Filter pada isi paket.
• Pertahankan status koneksi.
• Gunakan tanda tangan multipaket yang kompleks.
• Gunakan jumlah tanda tangan minimal dengan efek maksimal.
• Filter secara real time, online.
• Sembunyikan keberadaannya.
• Gunakan ukuran jendela waktu geser yang optimal untuk mencocokkan tanda tangan.
Stealth Mode
IDS yaitu perangkat jaringan (atau, dalam kasus IDS berbasis host, program yang berjalan pada
perangkat jaringan). Setiap perangkat jaringan berpotensi rentan terhadap serangan jaringan.
Seberapa berguna IDS jika diFlooding i dengan serangan penolakan layanan? Jika penyerang
berhasil masuk ke sistem dalam jaringan yang dilindungi, bukankah mencoba menonaktifkan IDS
menjadi langkah selanjutnya?
Untuk mengatasi masalah ini , sebagian besar IDS berjalan dalam Stealth Mode (mode siluman),
di mana IDS memiliki dua antarmuka jaringan: satu untuk jaringan (atau segmen jaringan) yang
dipantau dan yang lainnya untuk menghasilkan peringatan dan mungkin melakukan kebutuhan
administratif lainnya. IDS memakai antarmuka yang dipantau sebagai input saja; itu tidak
pernah mengirim paket keluar melalui antarmuka itu. Seringkali, antarmuka dikonfigurasi sehingga
perangkat tidak memiliki alamat yang dipublikasikan melalui antarmuka yang dipantau; yaitu, tidak
ada router yang dapat merutekan apa pun secara langsung ke alamat ini sebab router tidak
mengetahui keberadaan perangkat ini . Ini yaitu penyadapan pasif yang sempurna. Jika IDS
perlu menghasilkan peringatan, ia hanya memakai antarmuka alarm pada jaringan pengendalian
yang benar-benar terpisah. Arsitektur seperti itu ditunjukkan pada Gambar 3-66.
269
Gambar 3-66 Jaringan pengendalian IDS
Accurate Situation Assessment
Sistem deteksi intrusi tidak sempurna, dan kesalahan yaitu masalah terbesar mereka. Meskipun
IDS mungkin mendeteksi penyusup dengan benar hampir sepanjang waktu, ia mungkin tersandung
dalam dua cara berbeda: dengan membunyikan alarm untuk sesuatu yang sebenarnya bukan
serangan (disebut kesalahan positif palsu, atau kesalahan tipe I dalam komunitas statistik) atau tidak.
membunyikan alarm untuk serangan nyata (negatif palsu, atau kesalahan tipe II). Terlalu banyak
kesalahan positif, seperti pelanggaran Target, berarti administrator akan kurang percaya diri dengan
peringatan IDS, mungkin memicu alarm yang sebenarnya diabaikan. Tapi negatif palsu berarti
bahwa serangan nyata melewati IDS tanpa tindakan. Kami mengatakan bahwa tingkat positif palsu
dan negatif palsu mewakili sensitivitas sistem. Sebagian besar implementasi IDS memungkinkan
administrator untuk menyesuaikan sensitivitas sistem untuk mencapai keseimbangan yang dapat
diterima antara positif palsu dan negatif.
3.9 Manajemen Jaringan
Selanjutnya, kami memperkenalkan beberapa konsep yang relevan dengan keamanan dalam
mengelola, mengelola, dan menyetel jaringan. Administrator dapat mengambil tindakan untuk memilih
satu aliran lalu lintas jaringan dibandingkan yang lain, baik untuk mempromosikan pemakaian sumber
daya yang adil atau untuk memblokir aliran lalu lintas berbahaya sehingga komunikasi yang tidak
berbahaya dapat berjalan. Untuk melakukan penyetelan semacam ini, administrator memerlukan
Gambaran akurat tentang status jaringan. Alat yang disebut informasi keamanan dan perangkat
manajemen peristiwa mengumpulkan indikasi status dari berbagai produk—termasuk firewall, IDS,
router, penyeimbang beban—dan menyatukan aliran data terpisah ini ke dalam tampilan terpadu.
3.9.1 Manajemen untuk Memastikan Layanan
Jaringan bukanlah jenis sistem yang diatur dan dilupakan; sebab aktivitas jaringan bersifat dinamis,
administrator perlu memantau kinerja jaringan dan menyesuaikan sifat yang diperlukan.
270
Di bagian ini kami mencantumkan beberapa jenis manajemen yang dibutuhkan jaringan. Ketahuilah,
bagaimanapun, bahwa sebagian besar informasi ini berguna untuk administrator jaringan yang
tanggung jawab utamanya yaitu menjaga agar jaringan tetap berjalan dengan lancar, bukan
melindungi dari serangan penolakan layanan. Langkah-langkah ini melawan kasus kinerja suboptimal
biasa, namun bukan serangan bersama. Di bagian ini kami hanya menyebutkan topik-topik ini; untuk
detailnya, Anda harus berkonsultasi dengan referensi administrasi jaringan yang komprehensif.
Perencanaan Kapasitas
Salah satu penyebab jinak dari penolakan layanan yaitu kapasitas yang tidak mencukupi: terlalu
banyak data untuk terlalu sedikit kemampuan. Biasanya tidak dilihat sebagai masalah keamanan,
perencanaan kapasitas melibatkan pemantauan beban lalu lintas jaringan dan kinerja untuk
menentukan kapan harus meningkatkan aspek mana.
Jaringan atau komponen yang berjalan pada atau mendekati kapasitas memiliki sedikit margin untuk
kesalahan, yang berarti bahwa lonjakan lalu lintas yang sedikit namun normal dapat menempatkan
jaringan di atas dan memicu penurunan layanan yang signifikan.
Situs web sangat rentan terhadap masalah kapasitas yang tidak terduga. Situs berita dapat
berjalan dengan baik selama waktu normal hingga peristiwa penting terjadi, seperti kematian orang
terkenal atau gempa bumi, kecelakaan pesawat, atau serangan teroris, sesudah itu banyak orang
menginginkan detail terbaru tentang peristiwa ini . Meluncurkan produk baru dengan iklan
juga dapat memicu kelebihan beban; acara seperti pembukaan penjualan tiket untuk konser
populer atau acara olahraga telah memFlooding i situs web.
Penyeimbang Beban
Situs web populer seperti Google, Microsoft, dan New York Times tidak dijalankan di satu komputer
saja; tidak ada satu komputer pun yang memiliki kapasitas untuk mendukung semua lalu lintas yang
diterima situs-situs ini sekaligus. Sebaliknya, tempat-tempat ini mengandalkan banyak komputer
untuk menangani volume.
Publik tidak mengetahui beberapa server ini, misalnya, saat memakai URL www.nytimes.com,
yang dapat menjadi server1.nytimes.com atau www3.nytimes.com. Faktanya, pada kunjungan berturut-
turut ke situs web, aktivitas pemakai dapat ditangani oleh server yang berbeda. Penyeimbang beban
yaitu alat yang mengarahkan lalu lintas ke server yang berbeda saat bekerja untuk memastikan
bahwa semua server memiliki beban kerja yang kira-kira setara.
Penyetelan Jaringan
Demikian pula, insinyur jaringan dapat menyesuaikan lalu lintas pada segmen jaringan individu. Jika
dua klien di satu segmen bertanggung jawab atas sebagian besar lalu lintas, mungkin lebih baik
menempatkan mereka di segmen terpisah agar beban lalu lintas merata. Insinyur dapat memasang
tautan baru, merestrukturisasi segmen jaringan, atau meningkatkan konektivitas untuk memastikan
kinerja jaringan yang baik. Penyetelan jaringan bergantung pada data solid yang diperoleh dengan
memantau lalu lintas jaringan dari waktu ke waktu.
271
Dalam serangan nyata, administrator jaringan dapat menyesuaikan alokasi bandwidth ke segmen,
dan mereka dapat memantau lalu lintas masuk, secara selektif menjatuhkan paket yang tampaknya
berbahaya. (Catatan: Menjatuhkan paket secara berlebihan berisiko kecil; protokol TCP mendeteksi
paket yang hilang dan mencari transmisi ulang, dan protokol UDP tidak menjamin pengiriman.
Kehilangan sebagian kecil lalu lintas yang sah sambil menangkis serangan penolakan layanan
yaitu perdagangan yang dapat diterima -mati.)
Pembatasan laju yaitu tindakan balasan yang mengurangi dampak serangan. Dengan pembatasan
tarif, volume lalu lintas yang diizinkan ke alamat tertentu berkurang. Router dapat mengirim sinyal
quench kembali ke router lain yang meneruskan lalu lintas; sinyal ini menginformasikan router
pengirim bahwa router penerima kelebihan beban dan tidak dapat mengikuti, oleh sebab itu meminta
pengirim untuk menahan transmisi data. Quench dapat bekerja kembali melalui jaringan ke sumber
serangan, selama serangan itu berasal dari satu titik.
Pengalamatan Jaringan
Masalah yang melekat dalam pengalamatan Internet (IPv4) yaitu bahwa paket apa pun dapat
mengklaim berasal dari alamat mana pun: Sebuah sistem di alamat A dapat mengirim paket yang
menunjukkan alamat B sebagai sumbernya. Pernyataan itu membutuhkan sedikit elaborasi sebab
spoofing alamat bukan hanya masalah mengisi bagian yang kosong di halaman web. Sebagian besar
pemakai berinteraksi dengan Internet melalui aplikasi tingkat yang lebih tinggi, seperti browser
dan penangan surat, yang membuat aliran komunikasi dan meneruskannya ke penangan protokol,
seperti pengikatan dan kaus kaki. Penangan protokol melakukan interaksi jaringan, memasok data
yang akurat dalam aliran komunikasi. Dengan demikian, pelaku dapat memalsukan alamat
hanya dengan mengesampingkan penangan protokol ini, yang memerlukan hak istimewa dalam
sistem operasi. Alat peretas dapat melakukan interaksi itu, dan peneliti Beverly dan Bauer [BEV05]
melaporkan eksperimen di mana mereka memalsukan transmisi dari seperempat alamat Internet.
Penyedia layanan Internet, ISP, dapat berbuat lebih banyak untuk memastikan validitas alamat dalam
paket. Dengan susah payah, penyedia dapat membedakan antara lalu lintas dari pelanggan mereka
sendiri—yang alamatnya memblokir penyedia yang harus diketahui dan dapat diverifikasi—dan lalu
lintas dari pihak luar. Memiliki alamat sumber yang andal akan membatasi serangan penolakan
layanan tertentu, namun desain protokol Internet tidak menyertakan mekanisme untuk mendukung
keaslian alamat.
Shunning
Dengan alamat sumber yang andal, administrator jaringan dapat mengatur router tepi untuk
menjatuhkan paket yang terlibat dalam serangan penolakan layanan. Praktik ini, yang disebut
pengucilan, pada dasarnya menyaring semua lalu lintas dari alamat yang terlibat. Pemantauan real-
time yang mendeteksi serangan menentukan alamat dari mana serangan itu datang dan bertindak
cepat untuk memblokir alamat ini . Firewall dapat menerapkan pengucilan alamat tertentu
Namun, menghindari memiliki sisi negatifnya. Jika penyerang dapat mendeteksi bahwa sebuah
situs menerapkan shunning, penyerang dapat mengirim lalu lintas serangan yang dipalsukan agar
tampak dari sumber yang sah. Artinya, penyerang mungkin membuat seolah-olah serangan itu
berasal dari google.com atau facebook.com, misalnya; menghindari serangan yang nyata memiliki
hasil negatif berupa penolakan lalu lintas yang sah dari Google atau Facebook.
272
Blacklisting dan Sinkholing
Dalam kasus ekstrim, administrator jaringan dapat memutuskan untuk secara efektif memutuskan
sistem yang ditargetkan. Administrator dapat memasukkan alamat target ke daftar hitam, artinya tidak
ada lalu lintas yang masuk ke alamat itu, dari sumber yang sah atau berbahaya. Atau, administrator
dapat mengarahkan lalu lintas ke alamat yang valid di mana lalu lintas masuk dapat dianalisis;
proses ini disebut sinkholing.
Kedua tindakan pencegahan ini dapat diterapkan di tepi jaringan, sebelum volume lalu lintas yang
berlebihan diizinkan untuk memFlooding i subjaringan internal. Jika tidak, lalu lintas yang berlebihan
dapat memFlooding i semua subnetwork internal, sehingga menolak atau menurunkan layanan ke
semua host di subnetwork, bukan hanya satu host yang menjadi target serangan.
Semua tindakan administratif ini membawa potensi risiko. Pemantauan jaringan mempengaruhi
kinerja jaringan sebab mencegat, menganalisis, dan meneruskan lalu lintas membutuhkan waktu dan
sebab nya menimbulkan penundaan. Dalam operasi normal, penundaannya kecil, namun pada saat
serangan, penundaan ini, yang memengaruhi lalu lintas baik maupun jahat, semakin memperlambat
sistem yang sudah tertekan. Lebih jauh lagi, manajemen yang baik memerlukan analisis yang
terperinci, untuk melihat, misalnya, tidak hanya bahwa lalu lintas yaitu paket SYN namun paket
SYN berasal dari alamat a.b.c.d, yang merupakan alamat yang sama dengan 250 paket SYN yang
baru-baru ini berasal. Mengenali paket SYN dapat dilakukan secara instan; mengenali alamat a.b.c.d
yang terlibat dalam 250 serangan sebelumnya memerlukan analisis data historis yang disimpan.
Inspeksi yang lebih tepat menghasilkan informasi yang lebih berguna namun juga membutuhkan
lebih banyak waktu untuk inspeksi.
Peralatan jaringan seperti firewall, router, sakelar, dan penyeimbang beban sering kali menyediakan
data bagi orang untuk menganalisis dan mengelola jaringan. Terlalu banyak informasi dapat
memFlooding i administrator jaringan manusia, terutama pelaku yang keterampilan keamanannya
terbatas. Dengan demikian, penanggulangan manajemen lebih tepat untuk jaringan yang besar
atau cukup penting untuk memiliki staf keamanan yang berpengalaman dengan sumber daya yang
memadai.
Untuk semua jaringan, dengan atau tanpa tim keamanan yang mumpuni, sebagian beban pemantauan
dan pendeteksian serangan penolakan layanan dapat ditangani oleh perangkat lunak. Pada bagian
berikutnya kami menjelaskan sistem deteksi dan pencegahan intrusi, perangkat komputer yang
melakukan pemantauan semacam itu.
3.9.2 Security Information and Event Management (SIEM)
Dalam bab ini, kita telah membahas produk jaringan dan keamanan, termasuk router, switch, VPN,
dan berbagai jenis firewall, IDS, dan IPS. Sebuah perusahaan besar dapat memiliki ratusan atau
bahkan ribuan produk seperti itu, seringkali dengan merek dan model yang berbeda, serta puluhan
ribu server dan workstation, yang semuanya perlu dipantau oleh personel keamanan. Di bagian ini,
kita membahas alat yang memungkinkan tim keamanan kecil untuk memantau dan menanggapi
masalah keamanan dari seluruh perusahaan ini .
273
Pusat Operasi Keamanan (SOC)
Sebagai contoh, mari kita bayangkan jaringan toko grosir ritel bernama SiC Groceries, dengan kantor
pusat di New York City dan 1.000 toko di seluruh Amerika Serikat. Semua toko SiC perlu memelihara
komunikasi jaringan dengan kantor pusat untuk mengoordinasikan inventaris toko, penjualan,
karyawan, dan masalah logistik lainnya, sehingga setiap toko memerlukan koneksi Internet serta
koneksi VPN yang selalu aktif ke kantor pusat. Koneksi internet di toko ritel pada dasarnya sama
dengan yang Anda dapatkan dari ISP lokal, dan mereka rentan terhadap serangan seperti yang lain.
Lebih buruk lagi, penyerang yang menembus jaringan toko ritel akan memiliki akses orang dalam
ke kantor pusat perusahaan melalui VPN. Itu berarti bahwa setiap toko dalam rantai merupakan
vektor serangan potensial untuk membobol jaringan utama perusahaan dan harus dilindungi seperti
itu. Alih-alih memiliki satu firewall dan satu IDS yang melindungi koneksi Internet perusahaan, SiC
Groceries membutuhkan 1.000 firewall dan IDS yang melindungi 1.000 koneksi Internet.
namun siapa yang akan memantau firewall dan IDS ini untuk memastikan mereka berfungsi
dengan baik, menanggapi peringatan mereka, dan menyelidiki kemungkinan insiden keamanan
di toko ritel? Tentu tidak ekonomis untuk memiliki staf keamanan di setiap toko, sebab keahlian
semacam itu mahal, dan setiap toko jarang memiliki masalah keamanan yang memerlukan intervensi
manual.
Sebagai gantinya, SiC Groceries akan membuat Security Operations Center (SOC) di satu lokasi,
mungkin markas mereka. SOC yaitu tim personel keamanan yang didedikasikan untuk memantau
jaringan untuk insiden keamanan dan menyelidiki serta memulihkan insiden ini .
Agar SOC-nya efektif, SiC Groceries harus mengizinkan akses jarak jauh tim SOC untuk memantau
semua jaringan dan produk keamanan di seluruh perusahaannya, termasuk semua tokonya. Personel
keamanan dapat secara manual masuk ke setiap perangkat untuk memeriksa status dan mencari
peringatan, namun opsi itu tidak berskala, dan membuatnya sulit untuk mengidentifikasi bahkan pola
serangan sederhana, seperti serangan terhadap banyak toko yang berasal dari alamat sumber
yang sama. Sebaliknya, SiC membutuhkan bantuan otomatis untuk meningkatkan kemampuan tim
keamanan, dan di sinilah alat informasi keamanan dan manajemen acara, atau SIEM, berperan.
SIEM yaitu sistem perangkat lunak yang mengumpulkan data yang relevan dengan keamanan dari
berbagai produk perangkat keras dan perangkat lunak untuk membuat dasbor keamanan terpadu
(seperti Gambar yang ditunjukkan pada Gambar 3-67 untuk personel SOC.
274
Gambar 3-67 Dasbor SIEM
Produk keamanan modern, peralatan jaringan, dan sistem operasi biasanya melaporkan data yang
relevan dengan keamanan ke file log berbasis teks. Misalnya, saat pemakai memasukkan kata sandi
yang salah saat mencoba masuk ke Windows, Windows dapat menulis peristiwa "kegagalan logon"
ke log keamanannya. Selain peristiwa masuk, sistem operasi umumnya dapat mencatat peristiwa
manajemen pemakai (misalnya, menambahkan pemakai atau mengubah izin pemakai ) dan akses
file atau aplikasi. Alat keamanan, baik berbasis host maupun berbasis jaringan, dapat melaporkan
hasil pemindaian malware, upaya penyusupan yang terdeteksi, dan koneksi yang diblokir. SIEM dapat
mengumpulkan file log ini secara teratur dari seluruh perusahaan, memperbarui personel SOC
tentang status keamanan perusahaan setiap beberapa detik.
namun SIEM tidak hanya mengumpulkan informasi; mereka dapat melakukan banyak hal untuk
membantu analis SOC memahaminya. Dengan semua data peristiwa keamanan di satu tempat,
analis dapat mencari pola di seluruh perusahaan dan dalam jangka waktu yang mencakup bulan atau
bahkan tahun. Banyak SIEM memungkinkan analis untuk mengatur data dengan cara menarik yang tak
terhitung jumlahnya. Misalnya, seorang analis SOC mungkin melihat lonjakan peristiwa login di tengah
malam dan ingin menyelidikinya. SIEM akan memungkinkan analis untuk mencari semua aktivitas
login antara jam, katakanlah, 1:00–4:00 AM Waktu Bagian Timur, dan kemudian melanjutkan untuk
menyelidiki berdasar faktor lain, seperti alamat IP, negara sumber yang jelas, target sistem, atau
nama pemakai yang ditargetkan. Kemampuan untuk menjalankan pencarian seperti ini dan dengan
cepat menyelidiki firasat di semua sistem perusahaan yaitu terobosan mendasar untuk analisis
keamanan yang hampir real-time.
Fitur pencarian ini memberikan kemampuan seperti IDS untuk deteksi berbasis tanda tangan. Sebagian
besar SIEM memungkinkan pemakai untuk membuat dan berbagi pencarian yang diatur untuk berjalan
secara berkala dan menghasilkan tanggapan berdasar hasil. Misalnya, seorang analis mungkin
275
membuat aturan yang mencari tiga upaya masuk yang gagal terhadap satu host dalam jangka
waktu lima menit. Jika aturan pernah menemukan perilaku seperti itu, analis dapat membuatnya
waspada di layar, mengirim email kepadanya, atau bahkan menjalankan skrip khusus. Ini bukan
pengganti kemampuan IDS, melainkan pelengkap: SIEM dapat mencocokkan aturan yang lebih
kompleks terhadap berbagai sumber log di seluruh perusahaan, namun pencocokan aturannya lambat
dibandingkan dengan IDS, dan tidak cocok untuk menganalisis jaringan lalu lintas.
Selain mengatur data log dan membuatnya dapat dicari, sebagian besar SIEM juga memiliki fitur untuk
mengaktifkan alur kerja analis SOC. Salah satu fitur umum di antara SIEM yaitu memungkinkan
analis untuk "mengklaim" peristiwa untuk diselidiki, memberi tim SOC cara langsung untuk membagi
beban kerja. SIEM ini kemudian memungkinkan analis untuk membubuhi keterangan suatu peristiwa
dengan catatan dari penyelidikan dan menempatkan peristiwa ini dalam antrian untuk analisis
lebih lanjut atau menutup penyelidikan.
Kendala SIEM
Meskipun SIEM telah berkembang menjadi alat keamanan penting untuk perusahaan besar mana
pun, mereka yaitu sistem kompleks yang sulit untuk diterapkan, dipelihara, dan dipakai . Berikut
yaitu beberapa masalah yang perlu dipertimbangkan saat memilih SIEM:
• Biaya. Solusi SIEM komersial untuk perusahaan besar dapat menghabiskan biaya jutaan dolar,
namun beberapa SIEM open-source gratis. Ukuran organisasi, kompleksitas sistem, persyaratan
fungsional dan kinerja, dan selera untuk pengembangan kustom semua harus membantu
menginformasikan pilihan SIEM. Sementara jutaan dolar untuk produk perangkat lunak yang
tersedia mungkin tampak selangit pada awalnya, pembeliannya akan tergantung pada kebutuhan
organisasi. Jika perusahaan perlu membuat fitur khusus dan membayar untuk dukungan ahli,
pemeliharaan, dan pelatihan, solusi sumber terbuka gratis mungkin lebih mahal dibandingkan produk
komersial yang didukung.
• Portabilitas data. Persyaratan berkembang, dan SIEM yang memenuhi kebutuhan saat ini suatu
hari nanti akan perlu diganti. Sebelum memilih SIEM, pastikan Anda akan memiliki cara untuk
mengekspor data yang Anda simpan dalam format standar yang dapat dibaca oleh sebagian
besar SIEM lainnya. Pengetahuan yang Anda simpan di SIEM, seperti pencarian tersimpan atau
visualisasi data, cenderung spesifik untuk SIEM dan Anda mungkin perlu membangun kembali
basis pengetahuan ini saat Anda berpindah produk.
• Kompatibilitas sumber log. SIEM terus menjadi lebih fleksibel dalam hal jenis data yang dapat
mereka impor dan kemudahan yang memungkinkan pemakai menentukan tipe data baru,
namun beberapa SIEM lebih baik dibandingkan yang lain dalam hal ini. Bergantung pada tipe data dan
sistem yang menghasilkan kumpulan log tertentu, SIEM mungkin mengharuskan Anda menginstal
agen atau server perantara untuk mengumpulkan log. sesudah mengetahui log yang penting bagi
Anda, Anda dapat mengidentifikasi SIEM mana yang telah membaca log data ini , yang
dapat membaca log ini dengan sedikit konfigurasi, dan mana yang memerlukan agen.
• Kompleksitas penerapan. sebab SIEM dapat menyentuh ribuan sistem dalam suatu perusahaan,
penerapannya umumnya merupakan tugas yang rumit. Penerapan kemungkinan akan
memerlukan berbagai perubahan konfigurasi (misalnya, memperbarui kebijakan audit sistem,
dan mengonfigurasi perangkat untuk mengirim log ke IP baru), beberapa di antaranya akan
menjadi efek samping yang tidak terduga dari kerumitan lingkungan Anda. Untuk perusahaan
276
dengan lebih dari 1.000 sistem, penerapan penuh kemungkinan akan memakan waktu berbulan-
bulan dan memerlukan koordinasi di berbagai tim.
• Kustomisasi. Vendor SIEM bersaing berdasar kedalaman fungsionalitas bawaan dan
kemudahan penyesuaian. Beberapa SIEM hadir dengan antarmuka pemakai yang luas dan
sejumlah sumber data utama yang bekerja langsung; yang lain hanya menawarkan fungsi dasar,
namun mudah disesuaikan dengan skrip. Apa pun jenis SIEM yang Anda pilih, pastikan untuk
memahami seberapa banyak fungsionalitas yang Anda perlukan yang ada di dalamnya atau
mudah diperoleh, dan seberapa banyak Anda harus mengembangkan diri.
• Penyimpanan data. SIEM umumnya membutuhkan penyimpanan dalam jumlah besar, namun
jumlah pastinya sangat bervariasi sesuai dengan arsitektur sistem dan aktivitas yang akan
dipantau. File log yang mencantumkan peringatan IDS relatif jarang, sementara pengambilan
paket penuh dapat menghasilkan gigabyte data baru per detik. SIEM sering kali mengelola 100
TB data atau lebih.
• Segregasi dan pengendalian akses. Meskipun merupakan kemampuan keamanan yang penting,
SIEM juga membawa risiko besar. Mengumpulkan semua data keamanan penting Anda dalam
satu sistem berarti menaruh kepercayaan besar pada pemakai dan administrator sistem itu.
Seperti yang dikatakan penyair Romawi Juvenal, “Siapa yang mengawasi para penjaga?” SIEM
umumnya memiliki pemisahan yang kuat dan kemampuan pengendalian akses berbasis peran yang
memungkinkan administrator untuk membatasi akses pemakai ke data dan fungsionalitas, namun
mengurangi risiko orang dalam yang ditimbulkan oleh personel keamanan yaitu tantangan
terus-menerus.
• Pemeliharaan penuh waktu. sebab mereka berinteraksi dengan begitu banyak sistem yang
berbeda, SIEM pada dasarnya kompleks, jadi penerapan, pemeliharaan, dan penyesuaian
yaitu keterampilan ahli dalam diri mereka sendiri. Jika Anda menjalankan organisasi besar,
bersiaplah untuk mengabdikan setidaknya satu anggota staf penuh waktu secara eksklusif untuk
tugas-tugas ini .
• Pelatihan pemakai . Analis SOC umumnya terlatih dalam deteksi, investigasi, dan respons
insiden, namun mereka mungkin tidak tahu cara memakai alat tertentu yang disebarkan
di organisasi Anda. Bersiaplah untuk meminta setiap pemakai menghabiskan sekitar satu
minggu pelatihan untuk belajar memakai SIEM, dan mengharapkan penurunan produktivitas
sementara sambil belajar memigrasi kebiasaan lama dan alur kerja ke sistem baru.
Fungsi SOC seperti halnya pusat kendali lalu lintas udara atau ruang kendali reaktor nuklir: Sejumlah
besar data terakumulasi dari berbagai sumber. Staf pengendalian harus memakai pengalaman
dan intuisi untuk memastikan bahwa sistem berjalan dengan baik, sehingga bantuan teknologi
apa pun untuk mengatur dan mencerna data membantu staf menjadi lebih efektif. Selama sistem
berjalan dengan baik, pemantauan sebagian besar pasif. Namun, saat anomali terjadi, staf pengendalian
membutuhkan banyak data latar belakang untuk menentukan apa yang terjadi dan memutuskan
apa yang harus dilakukan selanjutnya.
277
3.10 Kesimpulan
Dalam bab ini kita telah membahas banyak detail komunikasi dan keamanan jaringan. Beberapa
materi telah diperluas pada topik sebelumnya (seperti intersepsi dan modifikasi) dalam konteks baru,
sementara beberapa tidak seperti topik yang telah kami jelajahi sebelumnya (seperti penolakan
layanan terdistribusi). Kami telah menjelajahi teknologi (komunikasi WiFi dan protokol keamanan,
DNS, firewall, dan perangkat pendeteksi penyusupan) serta kebijakan dan praktik (manajemen
jaringan). Keamanan jaringan sangat penting dalam bidang keamanan komputer yang lebih besar,
namun ini dibangun di atas banyak blok bangunan yang telah kami buat (enkripsi, identifikasi dan
otentikasi, pengendalian akses, desain tangguh, hak istimewa paling rendah, kepercayaan, pemodelan
ancaman). Jadi, meskipun bab ini telah menyajikan istilah dan konsep baru, sebagian besar materi
mungkin tampak seperti perluasan dan perluasan yang wajar dari apa yang sudah Anda ketahui.
Bahan Evaluasi
1. Dalam bab ini kami telah menjelaskan nomor urut antara pengirim dan penerima sebagai cara
untuk melindungi aliran komunikasi terhadap serangan substitusi dan replay. Jelaskan situasi
di mana penyerang dapat mengganti atau memutar ulang terlepas dari nomor urut. Untuk jenis
penomoran urut yang mana—satu aliran umum nomor urut atau aliran terpisah untuk setiap
pasangan komunikator—serangan ini efektif?
2. Apakah mesin bensin memiliki satu titik kegagalan? Apakah mobil pemadam kebakaran
bermotor? Apakah pemadam kebakaran? Bagaimana masing-masing dari dua yang terakhir
mengkompensasi satu titik kegagalan di yang sebelumnya? Jelaskan jawaban Anda.
3. Penyedia dan pemakai jaringan telekomunikasi prihatin dengan satu titik kegagalan dalam
“mil terakhir”, yaitu kabel tunggal dari stasiun switching terakhir penyedia jaringan ke tempat
pelanggan. Bagaimana pelanggan dapat melindungi dari satu titik kegagalan itu? Beri komentar
tentang apakah pendekatan Anda menghadirkan pertukaran biaya-manfaat yang baik.
4. Anda sedang merancang bisnis di mana Anda akan meng-host situs web perusahaan. Masalah
apa yang dapat Anda lihat sebagai titik kegagalan tunggal? Daftar sumber daya yang dapat terlibat.
Nyatakan cara untuk mengatasi setiap sumber daya yang menjadi satu titik kegagalan.
5. Tubuh manusia menunjukkan ketahanan yang luar biasa. Sebutkan tiga contoh di mana tubuh
mengkompensasi kegagalan bagian tubuh tunggal.
6. Bagaimana perangkat keras dapat dirancang untuk toleransi kesalahan? Apakah metode ini
berlaku untuk perangkat lunak? Mengapa atau mengapa tidak?
7. "Sakelar" telepon manusia kuno itu aneh tapi sangat lambat. Anda akan memberi isyarat kepada
operator dan mengatakan Anda ingin berbicara dengan Jill, namun operator, mengetahui Jill
mengunjungi Sally, akan menghubungkan Anda ke sana. Selain kelambatan atau inefisiensi,
apa dua kelemahan lain dari skema ini?
8. Panggilan telepon (analog) yaitu "berbasis sirkuit", yang berarti bahwa sistem memilih jalur
kabel dari pengirim ke penerima dan jalur atau sirkuit ini didedikasikan untuk panggilan
sampai selesai. Apa dua kerugian dari circuit switching?
9. Model OSI tidak efisien; setiap lapisan harus mengambil pekerjaan dari lapisan yang lebih
tinggi, menambahkan beberapa hasil, dan meneruskan pekerjaan ke lapisan yang lebih rendah.
278
Proses ini berakhir dengan hadiah yang setara di dalam tujuh kotak bersarang, masing-masing
dibungkus dan disegel. Tentunya pembungkus ini (dan membuka bungkusnya) tidak efisien. (Bukti
kelambatan ini yaitu bahwa protokol yang mengimplementasikan Internet—TCP, UDP, dan
IP—diwakili oleh arsitektur empat lapis.) Dari membaca bab-bab awal artikel ini, kutip keuntungan
keamanan dari pendekatan berlapis.
10. Jelas, lapisan fisik harus berada di bagian bawah tumpukan OSI, dengan aplikasi di bagian atas.
Membenarkan urutan lima lapisan lainnya sebagai bergerak dari abstraksi rendah ke tinggi.
11. Buat daftar masalah keamanan utama yang ditangani pada setiap tingkat tumpukan protokol
OSI.
12. Keuntungan keamanan apa yang terjadi dari paket yang berisi NIC sumber? alamat dan bukan
hanya alamat NIC tujuan?
13. TCP yaitu protokol yang kuat: Pengurutan dan koreksi kesalahan dipastikan, namun ada penalti
di overhead (misalnya, jika tidak diperlukan pengurutan ulang atau koreksi kesalahan). UDP
tidak menyediakan layanan ini namun lebih sederhana. Sebutkan situasi spesifik di mana protokol
UDP ringan dapat diterima, yaitu, saat koreksi kesalahan atau pengurutan tidak diperlukan.
14. Asumsikan tidak ada protokol FTP. Anda diminta untuk mendefinisikan fungsi yang analog dengan
FTP PUT untuk pertukaran file. Sebutkan tiga fitur atau mekanisme keamanan yang akan Anda
sertakan dalam protokol Anda.
15. Skema pengalamatan IP 32-bit memberikan sekitar 4 miliar alamat.
Bandingkan jumlah ini dengan populasi dunia. Setiap bit tambahan menggandakan jumlah
alamat potensial. Meskipun 32 bit menjadi terlalu kecil, 128 bit tampaknya berlebihan, bahkan
memungkinkan pertumbuhan yang signifikan. namun tidak semua bit harus didedikasikan untuk
menentukan alamat. Mengutip pemakaian keamanan untuk beberapa bit dalam sebuah
alamat.
16. Saat domain baru dibuat, misalnya domainanda.com, Tabel di domain .com harus menerima
entri untuk domainanda. Serangan keamanan apa yang mungkin dicoba pelaku terhadap
pencatat .com (administrator Tabel .com) selama pembuatan domainanda.com?
17. Pemindai port yaitu alat yang berguna bagi penyerang untuk mengidentifikasi kemungkinan
kerentanan dalam sistem calon korban. Mengutip situasi di mana pelaku yang bukan
penyerang dapat memakai pemindai port untuk tujuan yang tidak berbahaya.
18. Salah satu argumen dalam komunitas keamanan yaitu bahwa kurangnya keragaman itu
sendiri merupakan kerentanan. Misalnya, dua browser dominan, Mozilla Firefox dan Microsoft
Internet Explorer, dipakai oleh sekitar 95 persen pemakai Internet. Risiko keamanan apa
yang diperkenalkan oleh pengendalian pasar ini? Misalkan ada tiga (masing-masing dengan pangsa
pasar yang signifikan). Akankah tiga meniadakan risiko keamanan itu? Jika tidak, apakah empat?
Lima? Jelaskan jawaban Anda.
19. Bandingkan kawat tembaga, microwave, serat optik, inframerah, dan nirkabel (frekuensi radio)
dalam ketahanannya terhadap penyadapan pasif dan aktif.
20. Jelaskan mengapa router bawang mencegah node perantara mengetahui sumber dan tujuan
komunikasi yang sebenarnya.
21. Perutean bawang tergantung pada node perantara. Apakah cukup hanya ada satu simpul
perantara? Justifikasi jawaban Anda.
22. Misalkan node perantara untuk perutean bawang berbahaya, memperlihatkan sumber dan
tujuan komunikasi yang diteruskannya. Jelas pengungkapan ini akan merusak kerahasiaan yang
dirancang untuk dicapai oleh perutean bawang. Jika node jahat yaitu salah satu dari dua di
tengah, apa yang akan diekspos. Jika itu salah satu dari tiga, apa yang akan hilang. Jelaskan
279
jawaban Anda dalam hal node jahat di masing-masing posisi pertama, kedua, dan ketiga. Berapa
banyak node tidak berbahaya yang diperlukan untuk menjaga privasi?
23. Masalah dengan pencocokan pola yaitu sinonim. Jika direktori saat ini yaitu bin, dan .
menunjukkan direktori saat ini dan .. induknya, lalu bin, ../bin, ../bin/., .././bin/../bin semua
menunjukkan direktori yang sama. Jika Anda mencoba memblokir akses ke direktori bin dalam
skrip perintah, Anda perlu mempertimbangkan semua varian ini (dan lebih banyak lagi). Sebutkan
cara algoritma pencocokan pola mengatasi sinonim.
24. Protokol HTTP secara definisi stateless, artinya tidak memiliki mekanisme untuk "mengingat"
data dari satu interaksi ke interaksi berikutnya. (a) Sarankan cara untuk mempertahankan status
di antara dua panggilan HTTP. Misalnya, Anda dapat mengirimkan halaman artikel dan harga
yang cocok dengan kueri pemakai kepada pemakai , dan Anda ingin menghindari keharusan
mencari harga setiap artikel lagi sesudah pemakai memilih satu untuk dibeli. (b) Menyarankan
suatu cara yang dengannya Anda dapat mempertahankan beberapa gagasan tentang status
antara dua akses web yang terpisah beberapa hari. Misalnya, pemakai dapat memilih harga
yang dikutip dalam euro dibandingkan dolar, dan Anda ingin menampilkan harga dalam mata uang
pilihan lain kali tanpa meminta pemakai .
25. Bagaimana sebuah situs web dapat membedakan antara kurangnya kapasitas dan serangan
penolakan layanan? Misalnya, situs web sering mengalami peningkatan volume lalu lintas yang
luar biasa tepat sesudah iklan yang menampilkan URL situs ditampilkan di televisi selama siaran
acara olahraga populer. Lonjakan pemakaian itu yaitu hasil dari akses normal yang terjadi
secara bersamaan. Bagaimana sebuah situs dapat menentukan kapan lalu lintas tinggi masuk
akal?
26. Syn flood yaitu hasil dari beberapa pertukaran protokol yang tidak lengkap: Klien memulai
pertukaran namun tidak menyelesaikannya. Sayangnya, situasi ini juga bisa terjadi secara normal.
Jelaskan situasi jinak yang dapat memicu pertukaran protokol menjadi tidak lengkap.
27. Serangan denial-of-service terdistribusi membutuhkan zombie yang berjalan di banyak mesin
untuk melakukan bagian dari serangan secara bersamaan. Jika Anda yaitu seorang administrator
sistem yang mencari zombie di jaringan Anda, apa yang akan Anda cari?
28. Penandatanganan kode seluler yaitu pendekatan yang disarankan untuk mengatasi kerentanan
kode yang tidak bersahabat. Uraikan apa yang harus dilakukan oleh skema penandatanganan
kode.
29. Sistem harus mengontrol akses applet ke sumber daya sistem yang sensitif, seperti sistem
file, prosesor, jaringan, dan variabel status internal. namun istilah "sistem file" sangat luas, dan
applet yang berguna biasanya memerlukan penyimpanan yang persisten. Sarankan pengendalian
yang dapat ditempatkan pada akses ke sistem file. Jawaban Anda harus lebih spesifik dibandingkan
"izinkan semua membaca" atau "larang semua penulisan." Jawaban Anda pada dasarnya harus
membedakan antara apa yang "penting keamanan" dan tidak, atau "berbahaya" dan tidak.
30. Misalkan Anda memiliki koneksi jaringan berkapasitas tinggi yang masuk ke rumah Anda dan Anda
juga memiliki titik akses jaringan nirkabel. Juga misalkan Anda tidak memakai kapasitas
penuh dari koneksi jaringan Anda. Sebutkan tiga alasan Anda mungkin masih ingin mencegah
orang luar mendapatkan akses jaringan gratis dengan menyusup ke jaringan nirkabel Anda.
31. Mengapa segmentasi direkomendasikan untuk desain jaringan? Artinya, apa yang membuatnya
lebih baik untuk memiliki segmen jaringan terpisah untuk server web, satu untuk pemrosesan
backend office, satu untuk menguji kode baru, dan satu untuk manajemen sistem?
280
32. Untuk aplikasi besar, beberapa situs web memakai penyeimbang beban untuk
mendistribusikan lalu lintas secara merata di antara beberapa server yang setara. Misalnya,
mesin pencari mungkin memiliki database konten dan URL yang sangat besar, dan beberapa
prosesor front-end yang merumuskan kueri ke manajer database dan memformat hasil untuk
ditampilkan ke klien yang bertanya. Penyeimbang beban akan menetapkan setiap permintaan
klien yang masuk ke prosesor front-end yang paling tidak sibuk. Apa keuntungan keamanan
memakai penyeimbang beban?
33. Dapatkah tautan dan enkripsi ujung-ke-ujung keduanya dipakai pada komunikasi yang sama?
Apa yang akan menjadi keuntungan dari itu? Mengutip situasi di mana kedua bentuk enkripsi
mungkin diinginkan.
34. Apakah VPN memakai enkripsi tautan atau ujung ke ujung? Justifikasi jawaban Anda.
35. Mengapa firewall merupakan tempat yang baik untuk mengimplementasikan VPN? Mengapa
tidak mengimplementasikannya di server yang sebenarnya sedang diakses?
36. Apakah VPN memakai enkripsi simetris atau asimetris? Jelaskan jawabanmu.
37. Apa tujuan keamanan untuk bidang, seperti nomor urut, dari paket IPsec?
38. Diskusikan trade-off antara sistem respons tantangan manual (di mana pemakai menghitung
respons dengan tangan atau mental) dan sistem yang memakai perangkat khusus, seperti
kalkulator.
39. Token sandi sinkron harus beroperasi pada kecepatan yang sama dengan penerima. Artinya,
token harus maju ke nomor acak berikutnya pada saat yang sama penerima maju. sebab
ketidaktepatan jam, kedua unit tidak akan selalu bersama dengan sempurna; misalnya, jam
token mungkin berjalan 1 detik per hari lebih lambat dari jam penerima. Seiring waktu, perbedaan
yang terakumulasi dapat menjadi signifikan. Sarankan sarana yang penerima dapat mendeteksi
dan mengkompensasi penyimpangan jam pada bagian dari token.
40. ACL pada router memperlambat throughput sumber daya sistem yang banyak dipakai .
Sebutkan dua keuntungan memakai ACL. Buat daftar situasi di mana Anda mungkin ingin
memblokir (menolak) lalu lintas tertentu melalui ACL pada router; yaitu, situasi di mana hukuman
kinerja tidak akan menjadi faktor penentu.
41. Informasi apa yang mungkin ingin diperiksa oleh firewall inspeksi stateful dari beberapa
paket?
42. Ingat bahwa penataan ulang paket dan perakitan kembali terjadi pada tingkat transport dari suite
protokol TCP/IP. Firewall akan beroperasi pada lapisan yang lebih rendah, baik Internet atau
lapisan data. Bagaimana firewall inspeksi stateful dapat menentukan apa pun tentang aliran lalu
lintas saat aliran mungkin rusak atau rusak?
43. Apakah aturan firewall harus simetris? Artinya, apakah firewall harus memblokir jenis lalu lintas
tertentu baik masuk (ke situs yang dilindungi) dan keluar (dari situs)? Mengapa atau mengapa
tidak?
44. Protokol FTP relatif mudah untuk diproksi; firewall memutuskan, misalnya, apakah orang luar
harus dapat mengakses direktori tertentu dalam sistem file dan mengeluarkan perintah yang
sesuai ke pengelola file di dalam atau merespons negatif orang luar. Protokol lain tidak layak
untuk diproksi. Sebutkan tiga protokol yang akan sangat sulit atau tidak mungkin untuk diproksi.
Jelaskan jawabanmu.
45. Bagaimana isi log audit berbeda untuk router penyaringan versus firewall proxy aplikasi?
46. Sebutkan alasan mengapa sebuah organisasi mungkin menginginkan dua atau lebih firewall
pada satu jaringan.
281
47. Firewall yaitu target penetrator. Mengapa ada sedikit kompromi dari firewall?
48. Haruskah seorang administrator jaringan meletakkan firewall di depan honeypot (diperkenalkan
di Bab 5)? Mengapa atau mengapa tidak?
49. Dapatkah firewall memblokir serangan yang memakai skrip server, seperti serangan di
mana pemakai dapat mengubah harga item yang ditawarkan oleh situs e-commerce? Mengapa
atau mengapa tidak?
50. Mengapa IDS mode siluman memerlukan jaringan terpisah untuk mengomunikasikan alarm dan
menerima perintah manajemen?
51. Salah satu bentuk IDS mulai beroperasi dengan menghasilkan peringatan untuk setiap tindakan.
Seiring waktu, administrator menyesuaikan pengaturan IDS sehingga aktivitas umum yang tidak
berbahaya tidak menimbulkan alarm. Apa kelebihan dan kekurangan desain ini untuk IDS?
52. Dapatkah email terenkripsi memberikan verifikasi kepada pengirim bahwa penerima telah
membaca pesan email? Mengapa atau mengapa tidak?
53. Dapatkah kerahasiaan pesan dan perlindungan integritas pesan diterapkan pada pesan yang
sama? Mengapa atau mengapa tidak?
54. Apa keuntungan dan kerugian dari program email (seperti Eudora atau Outlook) yang secara
otomatis menerapkan dan menghapus perlindungan pesan email antara pengirim dan
penerima?
282
Melindungi data yaitu inti dari sistem yang aman, dan banyak pemakai (orang, program,
atau sistem) mengandalkan sistem Database Management System (DBMS) untuk mengelola
perlindungan data terstruktur. Untuk alasan ini, kami mencurahkan bab ini untuk keamanan database
dan sistem manajemen database, sebagai contoh bagaimana keamanan aplikasi dapat dirancang
dan diimplementasikan untuk tugas tertentu.
Basis data sangat penting bagi banyak organisasi bisnis dan pemerintah, yang menyimpan data
yang mencerminkan aktivitas inti organisasi. Seringkali, saat proses bisnis direkayasa ulang
untuk membuatnya lebih efektif dan lebih selaras dengan tujuan baru atau yang direvisi, salah satu
sistem pertama yang menerima pengawasan cermat yaitu kumpulan database yang mendukung
proses bisnis. Dengan demikian, basis data lebih dari sekadar repositori yang berhubungan dengan
perangkat lunak. Organisasi dan isinya dianggap sebagai aset perusahaan yang berharga yang
harus dilindungi dengan hati-hati.
Namun, perlindungan yang diberikan oleh sistem manajemen basis data memiliki hasil yang beragam.
Seiring waktu, kami telah meningkatkan pemahaman kami tentang masalah keamanan basis data,
dan beberapa pengendalian yang baik telah dikembangkan. namun masih ada lebih banyak masalah
keamanan yang tidak tersedia pengendalian nya.
Database
Bab 4
Bab ini akan membahas tentang:
• Istilah dan konsep basis data
• Persyaratan keamanan: C-I-A ; keandalan, jenis integritas
• pengendalian akses; data sensitif, pengungkapan, inferensi, agregasi
• Data Mining dan Big Data
283
Kami memulai bab ini dengan ringkasan singkat tentang terminologi database. Kami kemudian
mempertimbangkan persyaratan keamanan untuk sistem manajemen basis data. Dua masalah
keamanan utama—integritas dan kerahasiaan—dijelaskan dalam konteks database. Kami
melanjutkan bab ini dengan mempelajari dua masalah keamanan database yang penting (namun
terkait), masalah inferensi dan masalah bertingkat. Kedua masalah itu kompleks, dan tidak ada
solusi langsung. Namun, dengan memahami masalah, kami menjadi lebih sensitif terhadap cara
mengurangi potensi ancaman terhadap data. Akhirnya, kami menyimpulkan bab ini dengan melihat
pengumpulan big data dan data mining, sebuah teknologi untuk menurunkan pola dari satu atau lebih
database. Data mining melibatkan banyak masalah keamanan yang kami angkat dalam bab ini.
4.1 Pengenalan Database
Basis Data yaitu kumpulan informasi yang disimpan dalam komputer secara sistematik sehingga
dapat diperiksa memakai suatu program komputer untuk memperoleh informasi dari database.
Software yang dipakai untuk mengelola dan permintaan panggilan (query) basis data yang disebut
sistem manajemen database (database management system, DBMS).
Kita mulai dengan mendeskripsikan database dan mendefinisikan terminologi yang terkait dengan
pemakaian nya. Kami mengambil contoh dari apa yang disebut database relasional sebab ini
yaitu salah satu tipe yang paling banyak dipakai . Namun, konsep yang dijelaskan di sini berlaku
untuk semua jenis database. Kami pertama-tama mendefinisikan konsep dasar dan kemudian
memakai nya untuk mendiskusikan masalah keamanan.
Basis Data memiliki gambaran terstruktur dari jenis fakta yang tersimpan di dalamnya: penjelasan
ini disebut skema. Benda Skema menggambarkan yang mewakili database, dan hubungan antara
objek-objek ini . Ada banyak bagaimana mengatur skema, atau memodelkan struktur database:
ini dikenal sebagai model basis data atau model data.
4.1.1 Konsep Database
Konsep dasar dari basis data ialah kumpulan dari sebuah catatan atau sebuah potongan dari
pengetahuan. Sebuah basis data memiliki penjelasan testruktur dari jenis fakta yang tersimpan
di dalamnya, penjelasan ini dengan skema. Skema menggambarkan sebuah objek yang
diwakili suatu basis data dan memiliki hubungan diantara objek ini . Ada banyak cara untuk
mengorganisasi skema atau memodelkan struktur basis data, ini dikenal sebagai model basis data
atau model data. Biasanya model yang umum dipakai sekarang ialah model relasional yang
istilahnya layman mewakili semua informasi dalam bentuk table-Tabel yang saling berhubungan
dimana setiap table terdiri dari baris dan kolom ( definisi yang sebenarnya memakai terminologi
matematika ). Dalam model ini hubungan antar table diwakili dengan memakai nilai yang sama
antar table. Model yang lain seperti model hierarkis dan model jaringan memakai cara yang
lebih eksplisit untuk mewakili hubungan antar table.
284
Database dapat dibuat dan diolah dengan memakai suatu program komputer, yaitu yang
biasa kita sebut dengan software (perangkat lunak). Software yang dipakai untuk mengelola
dan memanggil kueri (query) database disebut Database Management System (DBMS) atau jika
diterjemahkan kedalam bahasa indonesia berarti “Sistem Manajemen Basis Data”.
DBMS terdiri dari dua komponen, yaitu Relational Database Management System (RDBMS) dan
Overview of Database Management System (ODBMS). RDBMS meliputi Interface Drivers, SQL
Engine, Transaction Engine, Relational Engine, dan Storage Engine. Sedangkan ODBMS meliputi
Language Drivers, Query Engine, Transaction Engine, dan Storage Engine.
4.1.2 Komponen Database
File database terdiri dari record, yang masing-masing berisi satu kelompok data terkait. Seperti
ditunjukkan pada contoh di Tabel 4-1, sebuah record dalam file nama dan alamat terdiri dari satu
nama dan alamat. Setiap catatan berisi bidang atau elemen, item data dasar itu sendiri. Bidang
dalam catatan nama dan alamat yaitu NAMA, ALAMAT, KOTA, NEGARA, dan KODE POS. Basis
data ini dapat dilihat sebagai Tabel dua dimensi, di mana catatan yaitu baris dan setiap bidang
catatan yaitu elemen Tabel .
Tidak setiap database mudah direpresentasikan sebagai Tabel tunggal yang ringkas. Basis data
pada Gambar 4-1 secara logis terdiri dari tiga file dengan kemungkinan kegunaan yang berbeda.
Ketiga file ini dapat direpresentasikan sebagai satu Tabel besar, namun penggambaran itu mungkin
tidak meningkatkan utilitas atau akses ke data.
Alvin
WahyudiAlvin
Budi
Agus
Joshep
WahyudiMarsha
Dani
Yuli
Nadya
Atmaja
Wibawa
Wibawa
Wibawa
Wibawa
Wibawa
Wibawa
KartasuraDiponegoro 69
Semarang SMG 43210
43210 SRG
SOC
60603
60603
43210
KTS
SMGSemarang
Kartasura
Majapahit 605
Majapahit 603
Budi
Agus
Gambar 4-1 Database Beberapa Tabel Terkait
Struktur logis dari database disebut skema. pemakai tertentu mungkin hanya memiliki akses ke
sebagian database, yang disebut subskema. Skema keseluruhan database pada Gambar 4-1 dirinci
dalam Tabel 4-2. Tiga blok terpisah dari Gambar yaitu contoh subskema, meskipun subskema
lain dari database ini dapat didefinisikan. Kita dapat memakai skema dan subskema untuk
menyajikan kepada pemakai hanya elemen-elemen yang mereka ingin atau perlu mereka lihat.
285
Misalnya, jika Tabel 4-1 mewakili karyawan di sebuah perusahaan, subskema di kiri bawah dapat
mencantumkan nama karyawan tanpa mengungkapkan informasi pribadi seperti alamat rumah.
Tabel 4-1 Contoh Database
Alvin
KartasuraDiponegoro 69
Semarang SMG 43210
60603
43210
KTS
SMGSemarang
Majapahit 605
Siliwangi 04
Dias
Agus
Aturan database mengidentifikasi kolom dengan nama. Nama setiap kolom disebut atribut database.
Relasi yaitu sekumpulan kolom. Sebagai contoh, dengan memakai database pada Tabel
4-2, kita melihat bahwa NAMA–KODE POS yaitu relasi yang dibentuk dengan mengambil kolom
NAMA dan KODE POS, seperti yang ditunjukkan pada Tabel 4-3. Relasi menentukan kelompok
nilai data terkait, dengan cara yang hampir sama seperti relasi "ibu dari" menentukan hubungan
di antara pasangan manusia. Dalam contoh ini, setiap cluster berisi sepasang elemen, NAMA dan
KODE POS. Relasi lain dapat memiliki lebih banyak kolom, sehingga setiap klaster dapat berupa
triple, 4-tuple, atau n-tuple (untuk beberapa nilai n) elemen.
Tabel 4-2 Skema Database dari Gambar 4-1
Nama Lengkap Alamat Kota Kode
Kota
Kode
Pos
Bandara
Alvin Wahyudi Majapahit 605 Semarang SMG 43210 SRG
Budi Wahyudi Majapahit 605 Semarang KTS 43210 SRG
Dias Angga Diponegoro 69 Kartasura SMG 60603 SOC
Agus Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Marsha Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Dani Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Yuli Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Nadya Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Tabel 4-3 Relasi dalam Database
Alvin
Nama Kode Pos
43210
43210
60603
Agus
Dias
Kueri
pemakai berinteraksi dengan manajer database melalui perintah ke DBMS yang mengambil,
memodifikasi, menambah, atau menghapus bidang dan catatan database. Perintah disebut query.
Sistem manajemen basis data memiliki aturan sintaksis yang tepat untuk kueri. Sebagian besar
bahasa kueri memakai notasi seperti bahasa Inggris, dan banyak yang didasarkan pada SQL,
bahasa kueri terstruktur yang awalnya dikembangkan oleh IBM. Kami telah menulis pertanyaan
286
contoh dalam bab ini menyerupai kalimat bahasa Inggris sehingga mudah dimengerti. Misalnya,
pertanyaan
PILIH NAMA = 'WAHYUDI'
mengambil semua catatan yang memiliki nilai WAHYUDI di bidang NAMA.
Hasil dari mengeksekusi query yaitu subskema. Salah satu cara untuk membentuk subskema
database yaitu dengan memilih record yang memenuhi kondisi tertentu. Sebagai contoh, kita
mungkin memilih record di mana KODE POS=43210, menghasilkan hasil yang ditunjukkan pada
Tabel 4-4.
Tabel 4-4 Hasil dari Kueri Pemilihan
Nama Lengkap Alamat Kota Kode
Kota
Kode
Pos
Bandara
Alvin Wahyudi Majapahit 605 Semarang SMG 43210 SRG
Budi Wahyudi Majapahit 605 Semarang KTS 43210 SRG
Agus Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Marsha Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Dani Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Yuli Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Nadya Wibawa Siliwangi 04 Semarang SMG 43210 SRG
Kriteria seleksi lainnya yang lebih kompleks dimungkinkan, dengan operator logika seperti dan(˄)
dan atau (˅), dan perbandingan seperti kurang dari (<). Contoh kueri pemilihan yaitu
PILIH (ZIP='43210') (NAMA='WAHYUDI')
sesudah memilih catatan, kami dapat memproyeksikan catatan ini ke satu atau lebih atribut. Operasi
pilih mengidentifikasi baris tertentu dari database, dan operasi proyek mengekstrak nilai dari bidang
(kolom) tertentu dari catatan ini . Hasil dari operasi proyek pilih yaitu kumpulan nilai atribut
yang ditentukan untuk catatan yang dipilih. Sebagai contoh, kita dapat memilih record yang memenuhi
kondisi KODE POS=43210 dan memproyeksikan hasilnya ke atribut NAME dan LENGKAP, seperti
pada Tabel 4-5. Hasilnya yaitu daftar nama depan dan belakang orang yang alamatnya memiliki
kode pos 43210.
Tabel 4-5 Hasil dari Select–Project Query
WahyudiAlvin
Budi
Agus
JoshepMarsha
Marsha
Dani
Yuli
Nadya
Wahyudi
Wibawa
Wibawa
Wibawa
Wibawa
Wibawa
287
Perhatikan bahwa kita tidak harus memproyeksikan ke atribut yang sama di mana pemilihan
dilakukan. Misalnya, kita dapat membuat kueri memakai ZIP dan NAMA namun memproyeksikan
hasilnya ke PERTAMA:
TAMPILKAN PERTAMA DI MANA (ZIP='43210') (NAMA='WAHYUDI')
Hasilnya yaitu daftar nama depan orang yang nama belakangnya yaitu WAHYUDI dan KODE
POS 43210.
Kami juga dapat menggabungkan dua subskema pada elemen umum dengan memakai kueri
gabungan. Hasil dari operasi ini yaitu subskema yang recordnya memiliki nilai yang sama untuk
elemen yang sama. Sebagai contoh, Gambar 4-2 menunjukkan bahwa subskema NAMA–KODEP
POS dan subskema ZIP–BANDARA dapat digabungkan pada bidang umum KODE POS untuk
menghasilkan subskema NAMA–BANDARA.
Alvin
Alvin
43210 SRG
SRG
SOC
SRG
SRG
SOC
43210
43210
60603 60603
43210
1. Project NAMA-KODE POS 2. Bergabung ke KODE POS
Dias
Dias
Agus
Agus
3. Project KODE POS-BANDARA
4. Hasil
Gambar 4-2 Hasil dari Select–Project–Join Query
4.1.3 Keuntungan memakai Database
Ide logis di balik database yaitu : Database yaitu kumpulan data tunggal, disimpan dan dipelihara
di satu lokasi pusat, yang dapat diakses oleh banyak orang sesuai kebutuhan. Namun, implementasi
sebenarnya mungkin melibatkan beberapa pengaturan atau akses penyimpanan fisik lainnya. Inti
dari database yang baik yaitu bahwa pemakai tidak menyadari pengaturan fisik; pengaturan logis
terpadu yaitu semua yang mereka lihat. Akibatnya, database menawarkan banyak keuntungan
dibandingkan sistem file sederhana:
• akses bersama, sehingga banyak pemakai dapat memakai satu kumpulan data yang
umum dan terpusat
• akses terpengendalian , sehingga hanya pemakai yang berwenang yang diizinkan untuk melihat atau
mengubah nilai data
• redundansi minimal, sehingga pemakai individu tidak perlu mengumpulkan dan memelihara
kumpulan data mereka sendiri
• konsistensi data, sehingga perubahan nilai data mempengaruhi semua pemakai nilai data
• integritas data, sehingga nilai data terlindungi dari perubahan yang tidak disengaja atau
berbahaya
Anda akan melihat banyak konsep keamanan yang familiar dalam daftar ini. Meskipun keamanan
hanyalah salah satu dari beberapa motivasi untuk memakai database, beberapa pemakai
menghargai memiliki tingkat akses yang aman.
Sebuah DBMS dirancang untuk memberikan keuntungan ini secara efisien. Namun, seperti yang
sering terjadi, tujuan dapat saling bertentangan. Secara khusus, seperti yang akan kita lihat,
kepentingan keamanan dapat bertentangan dengan kinerja. Bentrokan ini tidak mengherankan,
sebab tindakan yang diambil untuk menegakkan keamanan sering kali meningkatkan ukuran atau
kompleksitas sistem komputasi. Namun, yang mengejutkan yaitu bahwa kepentingan keamanan
juga dapat mengurangi kemampuan sistem untuk menyediakan data kepada pemakai dengan
membatasi kueri tertentu yang tampaknya tidak berbahaya.
4.2 Persyaratan Keamanan Basis Data
Persyaratan keamanan dasar sistem database tidak berbeda dengan sistem komputasi lain yang
telah kita pelajari. Masalah dasar—pengendalian akses, pengecualian data palsu, otentikasi pemakai ,
dan keandalan—sejauh ini telah muncul dalam banyak konteks dalam artikel ini. Berikut ini yaitu
daftar persyaratan untuk keamanan database.
• Integritas database fisik. Data database kebal dari masalah fisik, seperti listrik padam, dan
pelaku dapat merekonstruksi database jika hancur sebab bencana.
• Integritas basis data logis. Struktur database dipertahankan. Dengan integritas logis database,
misalnya, modifikasi nilai satu bidang tidak memengaruhi bidang lain.
• Integritas elemen. Data yang terkandung dalam setiap elemen akurat.
• Kemampuan audit. Dimungkinkan untuk melacak siapa atau apa yang telah mengakses (atau
memodifikasi) elemen dalam database.
• pengendalian akses. Seorang pemakai hanya diperbolehkan untuk mengakses data resmi, dan
pemakai yang berbeda dapat dibatasi untuk mode akses yang berbeda (seperti membaca
atau menulis).
• Otentikasi pemakai . Setiap pemakai diidentifikasi secara positif, baik untuk jejak audit maupun
untuk izin mengakses data tertentu.
• Ketersediaan. pemakai dapat mengakses database secara umum dan semua data yang
mereka otorisasi.
Kami secara singkat memeriksa masing-masing persyaratan ini.
Integritas Basis Data
Jika database berfungsi sebagai pusat penyimpanan data, pemakai harus dapat mempercayai
keakuratan nilai data. Kondisi ini menyiratkan bahwa administrator database harus yakin bahwa
pembaruan dilakukan hanya oleh individu yang berwenang. Ini juga menyiratkan bahwa data harus
dilindungi dari korupsi, baik oleh tindakan program ilegal dari luar atau oleh kekuatan luar seperti
kebakaran atau kegagalan daya. Dua situasi dapat mempengaruhi integritas database: saat seluruh
database rusak (seperti yang terjadi, misalnya, jika media penyimpanannya rusak) atau saat item
data individual tidak dapat dibaca.
Integritas database secara keseluruhan yaitu tanggung jawab DBMS, sistem operasi, dan
manajer sistem komputasi (manusia). Dari perspektif sistem operasi dan manajer sistem komputasi,
database dan DBMS yaitu file dan program, masing-masing. Oleh sebab itu, salah satu cara
untuk melindungi database secara keseluruhan yaitu dengan membuat cadangan semua file di
sistem secara berkala. Pencadangan berkala ini dapat menjadi pengendalian yang memadai terhadap
kegagalan katastropik.
Terkadang seorang administrator perlu dapat merekonstruksi database pada titik kegagalan. Misalnya,
saat listrik padam tiba-tiba, klien bank mungkin sedang melakukan transaksi atau siswa mungkin
mendaftar online untuk kelas mereka. Dalam kasus ini, pemilik ingin dapat memulihkan sistem ke
titik stabil tanpa memaksa pemakai untuk mengulang transaksi yang baru saja selesai.
Untuk menangani situasi ini, DBMS harus memelihara log transaksi. Sebagai contoh, misalkan
sistem perbankan dirancang agar pesan dibuat dalam log (elektronik atau kertas atau keduanya)
setiap kali transaksi diproses. Jika terjadi kegagalan sistem, sistem dapat memperoleh saldo akun
yang akurat dengan mengembalikan ke salinan cadangan database dan memproses ulang semua
transaksi selanjutnya dari log.
Integritas Elemen
Integritas elemen database yaitu kebenaran atau akurasinya. Pada akhirnya, pemakai yang
berwenang bertanggung jawab untuk memasukkan data yang benar dalam database. Namun,
pemakai dan program membuat kesalahan dalam mengumpulkan data, menghitung hasil, dan
memasukkan nilai. Oleh sebab itu, DBMS terkadang mengambil tindakan khusus untuk membantu
menangkap kesalahan saat dibuat dan untuk memperbaiki kesalahan sesudah dimasukkan.
Basis data mencapai integritas basis data, strukturnya
