Practical Approach of Information Security Protection

Pusat Kajian E-Govetnment – Universitas GunadarmaSecurity Approach

1

Koko Bachrudin, S.Kom., MMSI.

Practical Approach of InformationSecurity Protection


2

Tentang Saya

● System Administrator situs presidenri.go.id (2012-2014), wapresri.go.id (2008-2014)

● System Administrator portal kemenpora.go.id (2008 – Sekarang)

● CTO ddoeth.id● Instruktur pelatihan Digital Forensics (kominfo,

BPJS-TK)● Penilitian di bidang safety and security


3

Unit Kompetensi

Kode Unit Judul Unit

J.62090.020 Menglola Log

J.62090.024 Melaksanakan Pencatatan Aset

J.62090.012 Mengaplikasikan Ketentuan/Persyaratan Keamanan Informasi

J.62090.032 Menerapkan Kontrol Akses Berdasarkan Konsep/metedologi yang telah diterapkan

J.62090.001 Menerapkan Prinsip Perlindungan Informasi


4

“Only the Sith deal in absolutes”-Obi Wan Kenobi-


5

Agenda

● Konsep Keamanan Informasi● Serangan terhadap Kemanan informasi● Bagaimana Bertahan● Perangkat Lunak yang dapat Digunakan● Contoh Penerapan


6

Keamanan Informasi


7

Burma, 2010

● DdoS Burma's main Internet provider● Menyerang Sistem Pemilu● 0.5 sampai 10-15 Gbit/s


8

Estonia, 2007

● Menyerang hampir seluruh IT di Estonia● Menggunakan Botnet


9

Fenomena Stuxnet


10

Critical Information Infrastructure Protection


11

Critical Information Infrastructure Protection


12

Konsep keamanan Informasi

● Confidentiality (Kerahasiaan)● Integrity (Integritas)● Availability (ketersediaan)


13

Evaluation Assurance Level (EAL)

● EAL 1: Functionally Tested● EAL 2: Structurally Tested● EAL 3: Methodically Tested and Checked● EAL 4: Methodically Designed, Tested and

Reviewed● EAL 5: Semiformally Designed and Tested● EAL 6: Semiformally Verified Design and Tested● EAL 7: Formally Verified Design and Tested


14

EAL 1: Functionally Tested

● Sistem elektronik telah diuji dan berfungsi dengan baik

● Diterapkan pada kepercayaan terhadap sistem tinggi dan ancaman bukan menjadi masalah besar


15

EAL 2: Structurally Tested

● Sistem Elektronik diuji pada level struktur● Diterapkan dalam situasi dimana sistem harus

memiliki tigkat keamanan yang rendah


16EAL 3: Methodically Tested and Checked● Diuji pada level metode pengembangan sistem

elektronik● Diterapkan dalam situasi dimana sistem harus

memiliki tigkat keamanan yang rendah sampai sedang


17EAL 4: Methodically Designed, Tested and Reviewed● Diuji pada level metode perancangan sistem

elektronik● Diterapkan dalam situasi dimana sistem harus

memiliki tigkat keamanan sedang sampai tinggi● Tingakatan tertinggi secara ekonomi dapat

dilakukan


18EAL 5: Semiformally Designed and Tested● Sistem Elektronis Diuji secara semi-formal● Diterapkan dalam situasi dimana sistem harus

memiliki tigkat keamanan Tinggi dan independen

● Untuk menghindari sesuatu yang belum diketahui masalahnya


19EAL 6: Semiformally Verified Design and Tested● Sistem Elektronis Diuji secara semi-formal dan

terverifikasi● Diterapkan dalam situasi dimana sistem harus

memiliki tigkat Resiko yang Tinggi


20EAL 7: Formally Verified Design and Tested● Sistem Elektronis Diuji secara formal Matematis

dan terverifikasi● Diterapkan dalam situasi dimana sistem harus

memiliki tigkat Resiko yang Tinggi dan memiliki nilai yang tinggi


21

Ancaman Keamanan Informasi Yang Sering Timbul


22

Confidentiality (Kerahasiaan)

● Packet Capturing● Password Attack● Port Scanning● Phishing● Social Enginering


23

Integrity (Integritas)

● Man-in-the-middle attacks● Session hijacking attacks● Modified Document


24

Availability (ketersediaan)

● DoS● Ddos● ICMP Flood● Electrical power attacks● Server Room Environment attacks● Bad Architecture and Configuration


25

Vulnerability

● Kecacatan pada sistem elektronis● Disebakan oleh buruknya fase pengembangan

sistem elektronik, atau● Buruknya fase implementasi sistem elektronik● Melahirkan sebuah exploit● Contoh kasusu: Vulnerability pada BASH, SSLv2

(DROWN Attack), WPA2(KRACK)


26

Rootkits

● Memberikan akses kepada user yang tidak berhak

● Mendapatkan akses administrator (root)● Sulit untuk terdeteksi● Contoh kasus: Sony BMG, Linux Rootkits,

Windows Rootkits● Tidak hanya digunakan untuk eskalasi akses,

namun digunakan untuk menjalankan program berbahaya


27

Backdoors

● Sebuah proses yang berjalan untuk memfasilitasi user yang tidak berhak untuk mengakses sistem elektronis

● Ada setelah sistem berhasil di kuasai baik secara shell atau aplikasi

● Digunakan oleh user yang tidak berhak untuk mengakses resource yang ada pada komputer


28

Employee Fraud

● Karyawan tidak di berikan kontrol akases yang baik

● Karyawan memanfaatkan previleges yang dimiliki untuk melakukan kejahatan

● Contoh: Flash Sale Tokopedia, Snowden


29

Kecatatan Program

Ariane 5AF 296

AF 447qz8501


30


31

Kecacatan Program

● 64 bit floating point number problem

● Pitot tubes Problem ● Override Input● Hardware Design

Problems● Inaccurate tracking

calculation

● Ariane 5 Rocket● Air France 447● Air France 296● Air Asia qz8501● U.S. Patriot


32

Bagaimana Bertahan??


33

Secure Human Resource

● Okupasi Berbasiskan Standar Terkait● Metode seleksi karyawan dengan

memperhatikan integritas● Memastikan Terdapat Akses Kontrol yang jelas

pada setiap user untuk mengakses resource


34

Secure Software Design

● Mencegah adanya – Vulnerabilities– Cacat– Kesalahan Logika, sejak awal perancangan program

● Sering digunakan pada:– Sistem kritis– Teknologi penerbangan

● Di evaluasi menggunakan EAL


35

Secure Operating System

● Memiliki sertifikasi keamanan sistem operasi ● Berdasarkan pada Common Criteria dan FIPS

140-2● Beberapa sistem operasi yang memiliki

sertifikasi EAL4: Oracle Solaris, BAE STOP, RHEL5, RHEL6, SLES

● Windows 2000, 2003, 2008, XP


36

Encryption

● Penggunaan teknologi/metode enkripsi standar yang telah teruji

● Enkripsi sangat bergantung pada kunci, jalur/data mungkin aman. Pertanyaan berikutnya adalah bagaimana menyimpan kunci??


37

Firewall


38

File Integrity Test

● Melukan test integritas kepada seluruh file penting

● Dapat mendeteksi perubahan yang terjadi pada file

● Memberikan informasi secara berkala, untuk ketepatan dalam melakukan aksi


39

Akses Kontrol (AAA Framework)

● Authentication● Authorization● Audit

Authentication

Authorization

Credential

Perrmisson

Resource

Activity

1

2

3

4

Audit


40

Authentication

● Indentifikasi user● Memeriksa “credential” user● Memeriksa kriteria user


41

Authorization

● Proses menegakkan kebijakan:– Menentukan jenis atau kualitas kegiatan– Sumber daya, atau layanan yang diizinkan untuk

pengguna● Pengguna mendapatkan hak untuk melakukan

sesuatu


42

Audit

● Memonitor:– Pengguna login (waktu, tanggal, dll)– Perilaku pengguna– Akses Terhadap source– Lama Akses

● Menentukan kapasitas kedepannya● Resolusi masalah


43

Password Management


44

Formal Verification


45

Perangkat Lunak Yang Dapat Digunakan


46

Intrusion Detection System

● Snort● OSSEC HIDS● Fail2ban


47

Konfigurasi yang baik

● Menempatkan semua konfigurasi sesuai dengan spesifikasinya (Isi variabel, lokasi, dll)

● Meastikan sistem tidak error ketika terjadi update atau upgrade

● Konfigurasi memiliki integrity check yang baik, dan harus diketahui ketika terjadi perubahan


48

Application Firewall

● Mencegah serangan terhadap sistem elektronik

● Melindungi di level aplikasi

● CheckPoint● SonicWall● Barracuda Network● Fortinet● AppArmor● ModSecurity


49

Hexatier

● Database Firewall● Prevent SQL Injection● Databace Activity Monitoring● Realtime Alerts● Support: Mariadb, MySQL, SQL-Server, Amazon

Aurora


50

Static Analyzer

● Code Dx● Microfocus● Coverity ● Gamma


51

Enterprise Operating System

● Redhat Enterprise Linux 5 dan 6● Suse Linux Enterprise Server ● Oracle Solaris ● Windows Server


52

SPIN and UPAAL

● Formal Verification● Model Checking● Digunakan oleh banyak badan:

– flood control barrier rotterdam– NASA: Mars Science Laboratory, Deep Space 1,

Cassini, the Mars Exploration Rovers, Deep Impact, etc.

– Toyota Investigation● Source: http://spinroot.com/spin/success.html


53

Case


54

Kemenpora.go.id

Apache +Mod_security

WebProgram

DatabaseFirewall

DatabaseSystem

App Armor

App Armor

App Armor

Suse Linux Server

LogMngmnt


55

Presidenri.go.id (Era SBY)

NGINX WebProgram

DatabaseSystem

App Armor

App Armor

App ArmorStatic WEB

FullHTML

Static FileGenerator

Suse Linux Server

LogMngmnt


56

Indeks Keluarga Sehat

AplikasiFront End

InputIKS

MessageBroker

Cluster Big DataDatabase

Hitung IKS

FrontEndPelaporanNilai IKS

On MemoryDatabase

DatabaseViasualisasi

Akuisisi Penyimpanan Analisis danPemrosesan

Visualisasi


57

Komunikasi Antar Agen (SPIN)


58

Practical Approach of Information Security Protection

Documents