Evaluasi Keamanan Sistem Informasi

Meski sebuah sistem informasi sudah di rancang memiliki perangkat pengamanan dalam berbagai operasi, masalah keamanan harus selalu di monitor. 

3 Faktor kenapa masalah keamanan harus selalu di monitor:

1. Di temukannya lubang keamanan (security hole) yang baru. Perangkat lunak dan perangkat keras biasanya sangat kompleks sehingga tidak mungkin untuk di uji seratus persen. Kadang-kadang ada lubang keamanan yang di timbulkan oleh kecerobohan implementasi. Seperti halnya windows milik microsoft selalu saja ditemukan lubang keamanan baru (security hole) oleh para hacker.
2. Kesalahan konfigurasi, bisa mengakibatkan timbulnya celah keamanan pada suatu sistem. Misalnya mode (permission atau kepemilikan) dari berkas yang menyimpan password secara tidak sengaja diubah sehingga dapat diubah oleh orang-orang yang tidak berhak.
3. Penambahan perangkat baru (hardware dan/atau software) yang menyebabkan menurunnya tingkat security atau berubahnya metoda untuk mengoperasikan sistem. Karena sebuah sistem tetap membutuhkan seorang administrator, dan seoarang admin pasti membutuhkan penyesuaian jika sistemnya diubah atau diganti dengan yang baru.

Sumber Lubang Keamanan

Sumber Lubang Keamanan (security hole) ini dapat disebabkan karena Salah Desain, Salah Implementasi, Salah Konfigurasi, dan Salah Penggunaan.

• Salah Desain, Contoh sistem yang lemah desainnya adalah sistem enkripsi ROT13 dimana karakter pesan dan hasil enkripsi diubah dengan menggeser 13 karakter alphabet saja, Meski diimplementasi dengan pemrograman yang sangat teliti sekalipun jika orang mengetahui logika dan algoritma nya pasti enkripsi nya bisa ketahuan.
• Salah Implementasi, banyak program dan sistem yang salah pengimplementasiannya disebabkan karena programer terburu-buru karena dikejar deadline dalam mengimplementasikan programnya jadi lupa ditest atau didebug. Contoh, programer tidak/lupa memfilter form input yang menyebabkan karakter-karakter khusus dapat masuk. Jika karakater khusus ini dibiarkan masuk maka hacker dapat merubah tampilan website melalui javascript atau script shell tentu ini sangat berbahaya.
• Salah Konfigurasi, Desain sempurna, Implementasi baik, namun konfigurasi salah maka hancurlah sistem itu..Contoh, kesalahan konfigurasi permission / perizinan / Hak akses pada sistem UNIX misalnya dapat fatal, sebuah file/direktori yang menyimpan data password jika belum dikonfigurasi dan masih writeable bisa disalah gunakan oleh pemakai dan bisa diubah-ubah.
• Salah Penggunaan, Jika semua sistem sudah baik maka tinggal disisi user saja. Sebaik dan sesempurna sistem yang dibuat mungkin akan sia-sia jika usernya tidak memahami. Contoh, seorang user salah memberi perintah karena ketidaktahuannya dan memformat atau menghapus data-data penting di komputer.

Mengevaluasi Keamanan Sistem

Mengevaluasi keamanan sistem informasi juga bisa kita gunakan dengan menggunakan tools penguji keamanan sistem. Untuk sistem yang basisnya UNIX ada bebrapa tools yaitu : Cops, Tripwire, Satan/Saint, SBScan : Localhost Secuty Scanner. Selain tools2 diatas ada juga tools2 yang dibuat hacker untuk kepentingannya. antara lain :

1. Crack : program ini dibuat untuk memcahkan password dengan cara Brute Force menggunakan kamus. jadi program ini mencoba mencocokkan password dengan kata dikamus. Karena itu jangan menggunakan password dengan kata yang ada di kamus.
2. Land / Latierra : program yang dibuat untuk membuat windows NT dan windows 95 hang.
3. Ping-o-Death : program ping yang dapat membuat crash windows 95 / NT dan beberapa versi UNIX
4. Winuke : program untuk memacetkan sistem berbasis windows. Dan banyak lagi tools-tools lain yang bisa didapetin gratis di internet

Probling

Service di internet umumnya menggunakan TCP atau UDP, dan setiap service menggunakan port yang berbeda, misalnya :

• SMTP, Service untuk mengirim email pake protocol TCP dan dengan port 25
• FTP, Service untuk tranfer file pake protocol TCP, dengan port 21
• HTTP, Service untuk web server pake protocol TCP, dengan port 80
• DNS, Service untuk domain pake protocol TCP dan UDP, dengan port 53
• POP3, Service untuk mengambil email pake protocol TCP, dengan port 110

Untuk beberapa service yang menggunakan TCP probe dapat dilakukan menggunakan program telnet. dengan probing kita bisa mengetahui kegiatan apa saja yang ada di suatu server, jadi intinya probing adalah kegiatan mencari tahu suatu server memiliki kegiatan apa aja.. misalnya untuk mengetahui suatu server terdapat service SMTP kita gunakan telnet ke server dengan port 25

Mendeteksi Probling

Untuk mendeteksi adanya probing ke sistem informasi dapat di pasang suatu program yang memonitornya. Probing biasanya meninggalkan jejak di berkas log di sistem. Dengan mengamati entry di dalam berkas log dapat di ketahui adanya probing. Contoh di atas menunjukkan entry di berkas syslog dimana terjadi probing dari komputer yang di beri nama notebook dengan nomor IP 192.168.1.4. Selain itu, ada juga program untuk memonitor probe seperti paket program courtney, portsentry dan tcplogd.

OS fingerprinting

Mengetahui operating system (OS) dari target yang akan di serang merupakan salah satu pekerjaan yang di lakukan oleh seorang cracker. Setelah mengetahui OS yang di tuju, dia dapat melihat database kelemahan sistem yang di tuju. Fingerprinting merupakan istilah yang umum di gunakan untuk menganalisa OS sistem yang di tuju. Fingerprinting dapat di lakukan dengan berbagai cara. Cara yang paling konvensional :

• Melakukan telnet ke server yang di tuju.
• Servis FTP. Servis FTP tersedia di port 21.  Dengan melakukan telnet ke port tersebut dan   memberikan perintah “SYST” anda dapat   mengetahui versi dari OS yang di gunakan.
• Menggunakan program netcat (nc).

Cara fingerprinting yang lebih canggih adalah dengan menganalisa respon sistem terhadap permintaan (request) tertentu. Misalnya dengan menganalisa nomor urut packet TCP/IP yang di keluarkan oleh server tersebut dapat di persempit ruang jenis dari OS yang di gunakan. Ada beberapa tools untuk melakukan deteksi OS ini antara lain : Nmap dan Queso

Sekian, semoga bermanfaat 

Sumber:

• http://eksplore.blogspot.co.id/2009/04/evaluasi-kemanan-sistem-informasi.html
• https://velusgemini.wordpress.com/2011/11/13/evaluasi-keamanan-sistem-informasi/