Computer & Network Security : Information security

1. Computer & Network Security : Information security Indra Priyandono ST

3. Outline • Information security • Attacks, services and mechanisms • Security attacks • Security services • Methods of Defense • Model for Internetwork Security • Internet standards and RFCs

4. Protection of data 1. KeamananKomputer: • Timesharing sistem: beberapapenggunaberbagi H / W dan S / W sumberdayapadakomputer. • Remote login diperbolehkanmelaluijaringan. "Langkah-langkahdanalat-alatuntukmelindungi data danmenggagalkan hacker disebutKeamananKomputer".

5. 2. Network Security: Jaringankomputerbanyakdigunakanuntukmenghubungkankomputerdilokasi yang jauh. Meningkatkanmasalahkeamanantambahan: • Data dalamtransmisiharusdilindungi. • Konektivitasjaringanmenjadikansetiapkomputerlebihrentan.

6. Attacks, Services and Mechanisms TigaaspekKeamananInformasi: • Security Attack: Setiaptindakan yang menbahayakankeamananinformasi. • Security Mechanism: Sebuahmekanisme yang dirancanguntukmendeteksi, mencegah, ataumemulihkandariserangankeamanan. • Security Service: Sebuahlayanan yang meningkatkankeamanansistempengolahan data dan transfer informasi. Sebuahlayanankeamanan yang menggunakansatuataulebihmekanismekeamanan.

7. Security Attacks

8. Security Attacks Interruption:Asetsisteminihancurataumenjaditidaktersediaatautidakdapatdigunakan. Iniadalahseranganterhadapketersediaan. contoh: • Menghancurkanbeberapa H / W (disk atau line). • Menonaktifkansistem file. • Membanjirikomputerdenganprosesatau link komunikasidenganpaket.

9. Security Attacks Interception:Sebuahakses yang tidaksahuntukmendapatkanasetasetinformasi. Inimerupakanseranganterhadapkerahasiaan. contoh: • Penyadapanuntukmenangkap data dalamjaringan. • Menyalin data atau program yang sah

10. Security Attacks Modification:Sebuahakses yang tidaksahuntukmencarikeuntunganatauatauinformasiaset. Inimerupakanseranganterhadapintegritas. contoh: • Mengubah file data. • Mengubah program. • Mengubahisipesan.

11. Security Attacks Fabrication:Sebuahpihak yang tidakberwenangmenyisipkanobjekpalsukedalamsistem. Inimerupakanseranganterhadapkeaslian /authenticity contoh: • Penyisipancatatandalam file data. • Penyisipanpesanpalsudalamjaringan. (pesanulangan). • Spoofing

12. Passive vs. Active Attacks Secaragarisbesar, ancamanterhadapteknologisisteminformasiterbagidua Passive Attacks : • Usaha untukbisamendapatkaninformasidarisistem yang adadenganmenungguinformasi-informasiitudikirimkandidalamjaringan • Sangatsulitunukdideteksi

13. Passive vs. Active Attacks Active Attacks : • Metodepenyerangan yang dilakukandenganterlibatdalammodifikasialiran data

15. Passive Threats • Release of message : serangan yang bertujuanuntukmendapatkaninformasi yang dikirimbaikmelaluipercakapantelepon, email, ataupun transfer file dalamjaringan • Traffic analysis : Serangan yang dilakukandenganmengambilinformasi yang telahdiberiproteksi (misalenkripsi) dandikirimkandalamjaringan. • menganalisasistemproteksiinformasitersebutuntukkemudiandapatmemecahkansistemproteksiinformasitersebut

16. Active Threats Masquerade: • MasqueradingatauImpersonationyaitupenetrasikesistemkomputerdenganmemakaiidentitasdan password dariorang lain yang sah. Identitasdan password inibiasanyadiperolehdariorangdalam. Replay: • Dilakukandengancaramengambil data secarapasifdankemudianmengirimkannyakembalikedalamjaringansehinggamemunculkanefek yang tidakdapatdiketahui.

17. Active Threats Modification of messages: • Sebagiandaripesan yang sahtelahdiubahuntukmenghasilkaninformasi lain. Denial of service: • Menghambatpenggunaan normal darikomputerdankomunikasisumberdaya. • Membanjirijaringankomputerdenganpaket. • Membanjiri CPU atau server denganproses.

18. Security Services • Confidentiality (privacy) • Authentication (yang dibuatataumengirim data) • Integrity (belumdiubah) • Non-repudiation (order adalah final) • Access control (mencegahpenyalahgunaansumberdaya) • Availability /Ketersediaan (permanen, non-penghapusan) • Serangan Denial of Service • Virus yang menghapus file

19. Confidentiality (Kerahasiaan) • Defenisi : menjagainformasidariorang yang tidakberhakmengakses. • Privacy : lebihkearah data-data yang sifatnyaprivat ,  informasi yang tepatteraksesolehmereka yang berhak ( danbukanorang lain). Contoh : e-mail seorangpemakai (user) tidakbolehdibacaoleh administrator. • Confidentiality ataukerahasiaanadalahpencegahanbagimereka yang tidakberkepentingandapatmencapaiinformasi,  berhubungandengan data yang diberikankepihak lain untukkeperluantertentudanhanyadiperbolehkanuntukkeperluantertentutersebut.

20. Confidentiality (Kerahasiaan) Cont • Contoh : data-data yang sifatnyapribadi (sepertinama, tempattanggallahir, social security number, agama, status perkawinan, penyakit yang pernahdiderita, nomorkartukredit, dansebagainya) harusdapatdiproteksidalampenggunaandanpenyebarannya. • BentukSerangan : usahapenyadapan (dengan program sniffer). • Usaha-usaha yang dapatdilakukanuntukmeningkatkan privacy dan confidentiality adalahdenganmenggunakanteknologikriptografi.

21. Authentication • Adalahsuatulangkahuntukmenentukanataumengonfirmasibahwaseseorang (atausesuatu) adalahautentikatauasli. Melakukanautentikasiterhadapsebuahobjekadalahmelakukankonfirmasiterhadapkebenarannya. Sedangkanmelakukanautentikasiterhadapseseorangbiasanyaadalahuntukmemverifikasiidentitasnya. • Informasitersebutbenar-benardariorang yang dikehendaki.

22. Authentication Cont… • Dukungan : • Adanya Tools membuktikankeasliandokumen, dapatdilakukandenganteknologi watermarking(untukmenjaga “intellectual property” dan digital signature. • Access control, yaituberkaitandenganpembatasanorang yang dapatmengaksesinformasi. User harusmenggunakan password, biometric (ciri-cirikhasorang), dansejenisnya. • Padasuatusistemkomputer, autentikasibiasanyaterjadipadasaat login ataupermintaanakses.

23. Integrity • informasitidakbolehdiubahtanpaseijinpemilikinformasi,  keaslianpesan yang dikirimmelaluisebuahjaringandandapatdipastikanbahwainformasi yang dikirimtidakdimodifikasiolehorang yang tidakberhakdalamperjalananinformasitersebut. • Contoh : e-mail di intercept ditengahjalan, diubahisinya, kemudianditeruskankealamat yang dituju. • Bentukserangan : Adanya virus, trojan horse, ataupemakai lain yang mengubahinformasitanpaijin, “man in the middle attack” dimanaseseorangmenempatkandiriditengahpembicaraandanmenyamarsebagaiorang lain.

24. Non-repudiation • Merupakanhal yang yangbersangkutandengansipengirim (seseorang yang telahmelakukantransaksi), Aspekinimenjaga agar seseorangtidakdapatmenyangkaltelahmelakukansebuahtransaksi. Dukunganbagi electronic commerce.

25. Access Control • Cara pengaturanakseskepadainformasi. berhubungandenganmasalah authentication danjuga privacy • Metode : Access control seringkalidilakukanmenggunakankombinasiuserid/password ataudenganmenggunakanmekanisme lain.

26.  Availability • Upayapencegahanditahannyainformasiatausumberdayaterkaitolehmereka yang tidakberhak, berhubungandenganketersediaaninformasiketikadibutuhkan. • Contohhambatan : • “denial of service attack” (DoS attack), dimana server dikirimipermintaan (biasanyapalsu) yang bertubi-tubiataupermintaan yang diluarperkiraansehinggatidakdapatmelayanipermintaan lain ataubahkansampai down, hang, crash. • mailbomb, dimanaseorangpemakaidikirimi e-mail bertubi-tubi (katakanribuan e-mail) denganukuran yang besarsehingga sang pemakaitidakdapatmembuka e-mailnyaataukesulitanmengakses e-mailnya.

27. Availability Cont… • Dampakhambatan : sisteminformasi yang diserangataudijeboldapatmenghambatataumeniadakanakseskeinformasi.

28. Methods of Defence • Encryption • Software Controls (pembatasanaksesdalam database, dalamsistemoperasimelindungisetiappenggunadaripengguna lain) • Hardware Controls (smartcard) • Policies (seringmengubah password) • Physical Controls