IT Security & Awareness

UAS
Dosen : Ir. Herman Josep K, M. Kom.,CISA,CISSP,CEI,CEH,EDRP

1. Ceritakan secara singkat perihal Least Priviledge Principle dan contoh2 pengetrapannya.dalam IT Security.
Jawab:
Least Priviledge Principle adalah memberikan hak bagi user sesuai dengan tugasanya masing-masing. Hal ini dilakukan agar tidak terjadi hal-hal yang tidak diinginkan (tindakan akses data tanpa izin).
Contoh :
• Sorang user hanya boleh melakukan input data dan browsing data saja.
• Seorang database administrator hanya berhak mengontrol dan memaintaince database tanpa mempunyai kekuasaan updating(memanipulasi) data.
• Seorang network enginer hanya berhak mengontrol dan memaintenance jaringan saja.

2. Ceritakan pengertian2 berikut: MAC (Mandatory Access Control), DAC ( Discritionary Access Control) dan RBAC ( Role Based Access Control ) dan berikan contoh2nya masing2.
Jawab:
• MAC (Mandatory Access Control) : jenis kontrol akses dimana sistem yang memutuskan bagaimana data akan di akses atau di share atau melakukan beberapa jenis operasi pada obyek. Pada MAC user diklasifikasi berdasarkan level dan lebih aman dibanding DAC
Contoh :
MAC akan mengantisipasi Pengaksesan terhadap File yang rahasia.

• DAC ( Discritionary Access Control) : jenis kontrol akses dimana user yang memutuskan bagaimana user memprotek dan men share datanya, melalui sistem komputer untuk membatasi akses ke suatu objek berdasarkan identitas dan / atau kelompok yang di miliki. Pada DAC user diklasifikasikan berdasarkan kepemilikan atu kelompok.
Contoh :
akses ke program aplikasi / database, share resource.

• RBAC ( Role Based Access Control ) : adalah control aksesyang merupakan alternative baru yang merupakan perpaduan mandatory access control (MAC) dan discretionary access control (DAC). RBAC mengacu pada role based security. RBAC bersifat netral dan merupakan teknologi control akses yang flexible untuk siimulasi DAC dan MAC. Conversely, MAC can simulate RBAC if the role graph is restricted to a tree rather than a partially ordered set. Dalam organisasi, roles dibuat untuk fungsi kerja yang berbeda. Dengan kata lain peran keanggotaan didasarkan pada kompetensi, tugas, dan kewenangan.

3. Dalam pengetrapan Database Security, apa artinya Referential Integrity, Granular Access Control dan Inference Control, jelaskan dan berikan contoh2nya.
Jawab:
• Referential Integrity : adalah integritas/kesatuan data dalam suatu database. Referential integrity ini untuk menghindari proses manipulasi (baik edit maupun hapus data) yang tidak sesuai.
Contohnya :
data-data yang merupakan file master dalam suatu sistem tidak dapat dihapus selama data tersebut digunakan dalam table transaksi. Contoh lain file data header suatu transaksi tidak dapat di hapus selama data detailnya ada dan masih digunakan

• Granular Access Control : adalah kontrol akses terhadap data berdasarkan tugas, wewenang dan fungsi kerja. Seorang user akan dikelompokan dan diberikan akses sesuai dengan tugasnya masing-maisng melalui suatu aturan tertentu.

Contoh :
Bagian penerimaan barang hanya dapat memeasukan data barang yang diterimanya
Bagian SDM hanya dapat mengakses data karyawan/SDM saja
Bagian finance hanya dapat mengakses data finance saja

• Inference Control : adalah kontrol yang berfungsi memproteksi data dari permintaan/pendeteksian tidak langsung. Dengan kata lain menunjukan bahwa seorang user tidak bisa mendapatkan informasi yang melalui beberapa klasifikasi query database secara langsung.

4. Apakah yang anda ketahui perihal LAN Topology? Type2nya dan type mana yang paling mudah mengalami Single Point of Failures?
Jawab :
LAN Topology : adalah bentuk koneksi, pengaturan atau pemetaan dari komponen-komponen jaringan, berupa koneksi fisik dan logic antar komponen tersebut. Pemilihan topologi tergantung pada beberapa faktor, termasuk reliability, expandibility, dan performance.

Type LAN Topology : Point to point, bus/tree, ring, star, mesh
Penjelasan :
• Point to point : topologi berupa hubungan langsung dari satu komputer ke satu computer
• Topologi Bus : pada topologi bus digunakan sebuah kabel tunggal atau kabel pusat di mana seluruh workstation dan server dihubungkan.

Keunggulan Kelemahan
pengembangan jaringan atau penambahan workstation baru dapat dilakukan dengan mudah tanpa mengganggu workstation lain bila terdapat gangguan di sepanjang kabel pusat maka keseluruhan jaringan akan mengalami gangguan
• Mudah dikembangkan
• Jarak LAN yang tidak terbatas
• Keterhandalan yang tinggi
• Kecepatan pengiriman yang tinggi
• Jumlah terminal dapat berkurang atau bertambah tanpa mengganggu operasional jaringan
• Tidak diperlukan pengendali pusat
• Kondusif untuk koneksi antar tingkat didalam sebuah gedung • Jika lalu lintas data terlalu tinggi dapat terjadi kemacetan data
• Diperlukan repeater untuk memperkuat sinyal pada transmisi dengan jarak yang jauh.
• Operasional jaringan LAN bergantung pada setiap terminal.


Gambar Topologi Bus

• Topologi Ring, dalam topologi ring semua workstation dan server dihubungkan sehingga terbentuk suatu pola lingkaran atau cincin. Tiap workstation ataupun server akan menerima dan melewatkan informasi dari satu komputer ke komputer lain.

Keunggulan Kelemahan
tidak terjadinya collision atau tabrakan pengiriman data seperti pada topologi Bus, karena hanya satu node dapat mengirimkan data pada suatu saat setiap node dalam jaringan akan selalu ikut serta mengelola informasi yang dilewatkan dalam jaringan, sehingga bila terdapat gangguan di suatu node maka seluruh jaringan akan terganggu
• Laju transfer data tinggi
• Dapat melayani lalu lintas data yang padat/tinggi
• Dapat melayani berbagai media pengirim
• Waktu akses data optimal • Penambahan atau pengurangan terminal sangat sulit
• Kerusakan pada media pengirim dapat menghentikan kerja keseluruhan jaringan
• Harus ada metode mendeteksi kesalahan dan pengisolasian kerusakan
• Kerusakan salah satu terminal mengakibatkan kelumpuhan keseluruhan jaringan


Gambar Topologi Ring

• Topologi Star, pada topologi star, masing-masing workstation dihubungkan secara langsung ke server atau hub.
Keunggulan Kelemahan
dapat meningkatkan unjuk kerja jaringan secara keseluruhan kebutuhan kabel yang lebih besar dibandingkan dengan topologi lainnya
• Keterhandalan paling tinggi
• Mudah dikembangkan
• Keamanan data tinggi
• Kemudahan akses ke jaringan yang lain • Lalu lintas data dapat menyebabkan jaringan menjadi lambat
• Jaringan tergantung pada terminal pusat


Gambar Topologi Star

Yang paling mudah mengalami Single Point of Failures adalah Topology Ring, karena setiap node dalam jaringan akan selalu ikut serta mengelola informasi yang dilewatkan dalam jaringan, sehingga bila terdapat gangguan di suatu node maka seluruh jaringan akan terganggu

5. Apakah yang anda ketahui perihal Message Authentication? Berikan contohnya dan jelaskan step2nya.
Jawab :
Message Authentication adalah autentikasi pesan yang menyatakan keaslian suatu pesan.
Langkah-langkahnya adalah sebagai berikut : pertama transmisi pesan dari satu perangkat ke perangkat kedua; transmisi pesan kedua dari perangkat kedua ke perangkat yang pertama, pesan kedua termasuk kode pesan otentikasi , yang ditentukan menggunakan kata pertama dan kedua dari pesan; transmisi pesan ketiga dari perangkat pertama ke perangkat yang kedua, ketiga pesan termasuk kode pesan otentikasi ditentukan menggunakan pesan ketiga. kode Pesan otentikasi yang ketiga menjadi dasar pada pesan kedua atau pesan kedua dan pertama.

6. Bila suatu password terdiri atas alphabetic character saja, dan terdiri atas 8 characters, berapa lama diperlukan untuk brute force attack dengan menggunakan CPU power sebesar 10 MIPS (Millions Instructions Per Second), bila dianggap setiap trial butuh 2 instuctions CPU?
Jawab :
Diketahui:
a. Upper Case = 26 karakter
b. Lower Case = 26 karakter
c. Jadi jumlah kombinasi = 52 karakter (Lower Case + Upper case)
d. Panjang karakter = 8 karakter
e. Trial = 2 Instruksi
f. Power CPU = 10 Mps

Ditanya :
berapa lama diperlukan untuk brute force attack ?

Jawab :
• Jumlah karakter dengan panjang 8 karakter = 52 8 = 53.459.728.531.456 Karakter
• Dengan trial 2 instruksi = 53.459.728.531.456 x 2 = 106.919.457.062.912 Karakter
• CPU power 10 Mbps = 106.919.457.062.912 / 10000000 = 10.691.945,71 detik
Sama dengan 2.969,985 jam

7. Ceritakan langkah2 yang perlu dilakukan oleh sender dan receiver dari pengiriman suatu message yang besar ( 10 ribu characters) yang bersifat NON-Confidential dan melalui Internet, dengan menggunakan digital signature dan sebagainya supaya mencegah non-repudiation dan memastikan bahwa message integitynya?
Diketahui :
Besar message = 10 ribu karakter, sifat : rahasia
Transmisi menggunakan internet dengan menggunakan digital signature
Soal :
Langkah langkah yang perlu dilakukan oleh sender dan receiver dari pengiriman supaya mencegah non-reputation dan memastikan bahwa message integritynya dan confidentialitynya :

Jawaban :
Karena ukuran messagenya besar, termasuka didalamnya ada autentikasi dengan digital signature dan ditransmisikan melalui internet maka metodeyang cocok adalah dengan menggunakan kombinasi public dan symmetric key cryptography.
Langkah langkahnya adalah sebagai berikut :
• Pengirim mengirim sebuah dokumen message berbentuk plaintext
• Kemudian lakukan enkripsi dengan method public key – dihasilkan ciphertext
• Ciphertext ini lalu ditransmisikan melalui internet.
• Si penerima menerima dokumen message dalam bentuk ciphertext
Kemudian dokumen message ciphertext tersebut di dekripsi menggunakan symmetric session key, dan kembali menjadi plaintext, dan dapat di baca oleh penerima.

8. Bila suatu perusahaan Departemen IT nya, menggunakan LAN dan bisa access ke Internet, apa alasannya semua users dilarang connect ke Internet lewat MODEM langsung?
Jawab :
Alasan semua users dilarang connect ke Internet lewat MODEM langsung :
Alasan keamanan sistem dan data, efektifitas koneksi dengan penggunaan ICS, penghematan biaya untuk pembelian modem, serta kontrol akses dan batasan koneksi internet bagi para user/karyawan. Penjelasan :
• Keamanan komputer, karena koneksi ke internet banyak sekali celah yang mengancam keamanan komputer, baik sistem maupun data, dari mulai hacker, virus, worm, trojan, sehingga jika langsung terkoneksi modem khawatir akan mengancam keamanan masing-masing komputer. Dengan hanya 1 komputer server yang terkoneksi melalui modem ke internet, maka dapat memfilter ancaman-ancaman terhadap keamanan sistem dan data, misanya dengan mengaktifkan filewall dan antispyware.
• Internet Sharing Connection, dengan koneksi modem hanya satu komputer, maka komputer lain dapat melakukan akses dengan sharing koneksi internet dari komputer server. Ini berarti hanya dibutuhkan satu modem, dan satu line koneksi komunikasi internet (misal line telepon), hal ini juga akan menghemat biaya dan dapat dilakukan kontrol dan batasan terhadap akses internet oleh user lain, jangan sampai dengan adanya konekeksi internet malah mengganggu kinerja pekerjaan pokok tiap user.

9. Ceritakan perihal perusahaan dimana anda kini bekerja, nama entitinya, mission dan Goals dan vision perusahaan, dan berikan contoh masing2 dari strategic planning, tactical planning dan operational planningnya masing2 utk IT Deparmentnya, dan contoh IT policynya dan berikan pula List dari Vulnerabilities, Threads atau Thread Agents dan katagory dari Risknya, berdasarkan Quantitative Risk Analysis.
Vulnerabilities Hal 251
Risk hal hal 276
Thread agents
Jawab :
Saya bekerja di STMIK Bani Saleh sebagai staf Program Studi. Disini saya akan sampaikan dari sisi puskom mengenai IT-nya.
• Nama entitinya : Puskom STMIK Bani Saleh
• Visi : IT sebagai modal utama dalam mengembangkan sistem informasi
• Misi : Membangun sistem informasi yang kredible dan akurat
• Goals : sistem informasi yang kredible, akurat dan integrated


• Strategic planning :
• Membangun infrastruktur baik software maupun hardware yang mampu melayani kepentingan customer (mahasiswa, dosen, staf)
• Membangun sistem informasi yang terintegrasi
• Tactic planning :
• Memperbaiki kemampuan perangkat (hardware & software yang ada)
• Membuat network security
• Melengkapi sistem informasi yang belum ada
• Operational planning :
• Pelatihan user
• Contoh IT policy :
• Authorisasi User (level mahasiswa, dosen, staf)
• Confidentiality
• Integrity (konsistensi data mahasiswa, dosen dan HRD
• List dari Vulnerabilities :
• Penyusupan mahasiswa atau dosen terhadap data
• Virus-virus
• Threads atau Thread Agents :
• Hambatan manajemen (kurang proaktif)
• Hambatan eksternal
• Software dan hardware (Sistem kemananan fisik belum memadai, seperti UPS) dan usia hardware yang rata-rata sudah lama.
• katagory dari Risknya berdasarkan Quantitative Risk Analysis :
jika dilihat dari QRA, kategori risknya adalah sulit melakukan koordinasi, pengerjaan sistem informasi
tepat waktu dan terbentur biaya serta SOP yang belum jelas.

10. Mengapa 100% Quantitative analysis tak mungkin dilakukan dalam hal utk IT Assets?
Jawab :
100% Quantitative analysis tak mungkin dilakukan dalam hal utk IT Assets, karena :
Dalam IT asset, tidak dapat dilakukan penghematan biaya dan efektifitas yang lebih. Sehingga ini yang menyebabkan tidak semuanya bisa dilakukan dalam IT asset.