Keamanan Sistem Informasi Berbasis Internet

Keamanan Sistem Informasi 

Berbasis Internet

Masalah keamanan merupakan salah satu aspek penting dari sebuah sistem

informasi. Sayang sekali masalah keamanan ini sering kali kurang

mendapat perhatian dari para pemilik dan pengelola sistem informasi.

Seringkali masalah keamanan berada di urutan kedua, atau bahkan di urutan

terakhir dalam daftar hal-hal yang dianggap penting. Apabila menggangu

performansi dari sistem, seringkali keamanan dikurangi atau ditiadakan.

Buku ini diharapkan dapat memberikan gambaran dan informasi  menyeluruh tentang keamanan sistem informasi dan dapat membantu para pemilik dan pengelola sistem informasi dalam mengamankan informasinya.Informasi saat ini sudah menjadi sebuah komoditi yang sangat penting.

Bahkan ada yang mengatakan bahwa kita sudah berada di sebuah“information-based society”. Kemampuan untuk mengakses dan menyediakan informasi secara cepat dan akurat menjadi sangat esensial bagi sebuah organisasi, baik yang berupa organisasi komersial(perusahaan),p tinggi, lembaga pemerintahan, maupun individual (pribadi). 

Hal ini dimungkinkan dengan perkembangan pesat di bidang

teknologi komputer dan telekomunikasi. Dahulu, jumlah komputer sangat

terbatas dan belum digunakan untuk menyimpan hal-hal yang sifatnya

sensitif. Penggunaan komputer untuk menyimpan informasi yang sifatnya

classified baru dilakukan di sekitar tahun 1950-an.

Sangat pentingnya nilai sebuah informasi menyebabkan seringkali

informasi diinginkan hanya boleh diakses oleh orang-orang tertentu.

Jatuhnya informasi ke tangan pihak lain (misalnya pihak lawan bisnis)

dapat menimbulkan kerugian bagi pemilik informasi. 

Sebagai contoh,banyak informasi dalam sebuah perusahaan yang hanya diperbolehkan diketahui oleh orang-orang tertentu di dalam perusahaan tersebut, seperti misalnya informasi tentang produk yang sedang dalam development,

algoritma-algoritma dan teknik-teknik yang digunakan untuk menghasilkan produk tersebut. Untuk itu keamanan dari sistem informasi yang digunakan harus terjamin dalam batas yang dapat diterima.

Jaringan komputer, seperti LAN1 dan Internet, memungkinkan untuk menyediakan informasi secara cepat. Ini salah satu alasan perusahaan atau

organisasi mulai berbondong-bondong membuat LAN untuk sistem

informasinya dan menghubungkan LAN tersebut ke Internet.

Terhubungnya LAN atau komputer ke Internet membuka potensi adanya

lubang keamanan (security hole) yang tadinya bisa ditutupi dengan

mekanisme keamanan secara fisik. Ini sesuai dengan pendapat bahwa

kemudahan (kenyamanan) mengakses informasi berbanding terbalik

dengan tingkat keamanan sistem informasi itu sendiri. Semakin tinggi

tingkat keamanan, semakin sulit (tidak nyaman) untuk mengakses

informasi.

Menurut G. J. Simons, keamanan informasi adalah bagaimana kita dapat

mencegah penipuan (cheating) atau, paling tidak, mendeteksi adanya

penipuan di sebuah sistem yang berbasis informasi, dimana informasinya

sendiri tidak memiliki arti fisik.

Keamanan dan management perusahaan

Seringkali sulit untuk membujuk management perusahaan atau pemilik

sistem informasi untuk melakukan investasi di bidang keamanan. Di tahun

1997 majalah Information Week melakukan survey terhadap 1271 system atau network manager di Amerika Serikat. 

Hanya 22% yang menganggap

keamanan sistem informasi sebagai komponen sangat penting (“extremely

important”). Mereka lebih mementingkan “reducing cost” dan “improving

competitiveness” meskipun perbaikan sistem informasi setelah dirusak

justru dapat menelan biaya yang lebih banyak.

Keamanan itu tidak dapat muncul demikian saja. Dia harus direncanakan.

Ambil contoh berikut. Jika kita membangun sebuah rumah, maka pintu

rumah kita harus dilengkapi dengan kunci pintu.

 Jika kita terlupa memasukkan kunci pintu pada budget perencanaan rumah, maka kita akan dikagetkan bahwa ternyata harus keluar dana untuk menjaga keamanan.

Kalau rumah kita hanya memiliki satu atau dua pintu, mungkin dampak dari budget tidak seberapa. 

Bayangkan bila kita mendesain sebuah hotel dengan 200 kamar dan lupa membudgetkan kunci pintu. Dampaknya sangat besar.Demikian pula di sisi pengamanan sebuah sistem informasi. Jika tidak kita budgetkan di awal, kita akan dikagetkan dengan kebutuhan akan adanya

perangkat pengamanan (firewall, Intrusion Detection System, anti virus, Dissaster Recovery Center, dan seterusnya).

Meskipun sering terlihat sebagai besaran yang tidak dapat langsung diukur

dengan uang (intangible), keamanan sebuah sistem informasi sebetulnya

dapat diukur dengan besaran yang dapat diukur dengan uang (tangible).

Dengan adanya ukuran yang terlihat, mudah-mudahan pihak management

dapat mengerti pentingnya investasi di bidang keamanan. Berikut ini adalah

berapa contoh kegiatan yang dapat anda lakukan:

• Hitung kerugian apabila sistem informasi anda tidak bekerja selama 1

jam, selama 1 hari, 1 minggu, dan 1 bulan. (Sebagai perbandingkan,

bayangkan jika server Amazon.com tidak dapat diakses selama beberapa

hari. Setiap harinya dia dapat menderita kerugian beberapa juta dolar.)

• Hitung kerugian apabila ada kesalahan informasi (data) pada sistem

informasi anda. Misalnya web site anda mengumumkan harga sebuah

barang yang berbeda dengan harga yang ada di toko anda.

• Hitung kerugian apabila ada data yang hilang, misalnya berapa kerugian

yang diderita apabila daftar pelanggan dan invoice hilang dari sistem

anda. Berapa biaya yang dibutuhkan untuk rekonstruksi data.

• Apakah nama baik perusahaan anda merupakan sebuah hal yang harus

dilindungi? Bayangkan bila sebuah bank terkenal dengan rentannya

pengamanan data-datanya, bolak-balik terjadi security incidents.

Tentunya banyak nasabah yang pindah ke bank lain karena takut akan

keamanan uangnya.

Pengelolaan terhadap keamanan dapat dilihat dari sisi pengelolaan resiko

(risk management). Lawrie Brown dalam menyarankan menggunakan

“Risk Management Model” untuk menghadapi ancaman (managing

threats). Ada tiga komponen yang memberikan kontribusi kepada Risk,

yaitu Asset, Vulnerabilities, dan Threats.

Untuk menanggulangi resiko (Risk) tersebut dilakukan apa yang disebut
“countermeasures” yang dapat berupa:
• usaha untuk mengurangi Threat
• usaha untuk mengurangi Vulnerability
• usaha untuk mengurangi impak (impact)
• mendeteksi kejadian yang tidak bersahabat (hostile event)
• kembali (recover) dari kejadian

Beberapa Statistik Sistem Keamanan
Ada beberapa statistik yang berhubungan dengan keamanan sistem
informasi yang dapat ditampilkan di sini. Data-data yang ditampilkan
umumnya bersifat konservatif mengingat banyak perusahaan yang tidak
ingin diketahui telah mengalami “security breach” dikarenakan informasi
ini dapat menyebabkan “negative publicity”. Perusahan-perusahaan
tersebut memilih untuk diam dan mencoba menangani sendiri masalah
keamanannya tanpa publikasi.

• Tahun 1996, U.S. Federal Computer Incident Response Capability
(FedCIRC) melaporkan bahwa lebih dari 2500 “insiden” di sistem
komputer atau jaringan komputer yang disebabkan oleh gagalnya sistem
keamanan atau adanya usaha untuk membobol sistem keamanan .

• Juga di tahun 1996, FBI National Computer Crimes Squad, Washington
D.C., memperkirakan kejahatan komputer yang terdeteksi kurang dari
15%, dan hanya 10% dari angka itu yang dilaporkan.

• Sebuah penelitian di tahun 1997 yang dilakukan oleh perusahaan
Deloitte Touch Tohmatsu menunjukkan bahwa dari 300 perusahaan di
Australia, 37% (dua diantara lima) pernah mengalami masalah
keamanan sistem komputernya.

• Penelitian di tahun 1996 oleh American Bar Association menunjukkan
bahwa dari 1000 perusahaan, 48% telah mengalami “computer fraud”
dalam kurun lima tahun terakhir.

• Di Inggris, 1996 NCC Information Security Breaches Survey
menunjukkan bahwa kejahatan komputer menaik 200% dari tahun 1995
ke 1996. Survey ini juga menunjukkan bahwa kerugian yang diderita
rata-rata US $30.000 untuk setiap insiden. Ditunjukkan juga beberapa
organisasi yang mengalami kerugian sampai US $1.5 juta.

• FBI melaporkan bahwa kasus persidangan yang berhubungan dengan
kejahatan komputer meroket 950% dari tahun 1996 ke tahun 1997,
dengan penangkapan dari 4 ke 42, dan terbukti (convicted) di pengadilan
naik 88% dari 16 ke 30 kasus.

• John Howard dalam penelitiannya di CERT yang belokasi di Carnegie
Mellon University mengamati insiden di Internet yang belangsung
selama kurun waktu 1989 sampai dengan 1995. Hasil penelitiannya
antara lain bahwa setiap domain akan mengalami insiden sekali dalam
satu tahun dan sebuah komputer (host) akan mengalami insiden sekali
dalam 45 tahun.

• Winter 1999, Computer Security Institute dan FBI melakukan survey
yang kemudian hasilnya diterbitkan dalam laporannya [8]. Dalam
laporan ini terdapat bermacam-macam statistik yang menarik, antara lain
bahwa 62% responden merasa bahwa pada 12 bulan terakhir ini ada
penggunaan sistem komputer yang tidak semestinya (unauthorized use),
57% merasa bahwa hubungan ke Internet merupakan sumber serangan,
dan 86% merasa kemungkinan serangan dari dalam (disgruntled
employees) dibandingkan dengan 74% yang merasa serangan dari
hackers.

• Jumlah kelemahan (vulnerabilities) sistem informasi yang dilaporkan ke
Bugtraq meningkat empat kali (quadruple) semenjak tahun 1998 sampai
dengan tahun 2000. Pada mulanya ada sekitar 20 laporan menjadi 80
setiap bulannya1.

• Pada tahun 1999 CVE2 (Common Vulnerabilities and Exposure)
mempublikasikan lebih dari 1000 kelemahan sistem. CVE terdiri dari 20
organisasi security (termasuk di dalamnya perusahaan security dan
institusi pendidikan).

• Juli 2001 muncul virus SirCam dan worm Code Red (dan kemudian
Nimda) yang berdampak pada habisnya bandwidth. Virus SirCam
mengirimkan file-file dari disk korban (beserta virus juga) ke orang-
orang yang pernah mengirim email ke korban. Akibatnya file-file rahasia
korban dapat terkirim tanpa diketahui oleh korban.

Di sisi lain, orang yang dikirimi email ini dapat terinveksi virus SirCam ini dan juga
merasa “dibom” dengan email yang besar-besar. Sebagai contoh,seorang kawan penulis mendapat “bom” email dari korban virus SirCam sebanyak ratusan email (total lebih dari 70 MBytes). Sementara itu
worm Code Red menyerang server Microsoft IIS yang mengaktifkan
servis tertentu (indexing).

Di server target Setelah berhasil masuk, worm ini akan melakukan scanning terhadap jaringan untuk mendeteksi apakah ada server yang bisa dimasuki oleh worm ini. Jika ada, maka worm dikirim
ke server target tersebut. Di server target yang sudah terinfeksi tersebut
terjadi proses scanning kembali dan berulang. Akibatnya jaringan habis
untuk saling scanning dan mengirimkan worm ini. Dua buah security
hole ini dieksploit pada saat yang hampir bersamaan sehingga beban
jaringan menjadi lebih berat.

Jebolnya sistem kemanan tentunya membawa dampak. Ada beberapa
contoh akibat dari jebolnya sistem keamanan, antara lain:

• 1988. Keamanan sistem mail sendmail dieksploitasi oleh Robert Tapan
Morris sehingga melumpuhkan sistem Internet. Kegiatan ini dapat
diklasifikasikan sebagai “denial of service attack”. Diperkirakan biaya
yang digunakan untuk memperbaiki dan hal-hal lain yang hilang adalah
sekitar $100 juta. Di tahun 1990 Morris dihukum (convicted) dan hanya
didenda $10.000.

• 10 Maret 1997. Seorang hacker dari Massachusetts berhasil mematikan
sistem telekomunikasi di sebuah airport lokal (Worcester,
Massachusetts) sehingga mematikan komunikasi di control tower dan
menghalau pesawat yang hendak mendarat. Dia juga mengacaukan
sistem telepon di Rutland, Massachusetts.

• 7 Februari 2000 (Senin) sampai dengan Rabu pagi, 9 Februari 2000.
Beberapa web terkemuka di dunia diserang oleh “distributed denial of
service attack” (DDoS attack) sehingga tidak dapat memberikan layanan
(down) selama beberapa jam. Tempat yang diserang antara lain: Yahoo!,
Buy.com, eBay, CNN, Amazon.com, ZDNet, E-Trade.

FBI mengeluarkan tools untuk mencari program TRINOO atau Tribal Flood
Net (TFN) yang diduga digunakan untuk melakukan serangan dari
berbagai penjuru dunia.

• 4 Mei 2001. Situs Gibson Research Corp. (grc.com) diserang Denial of
Service attack oleh anak berusia 13 tahun sehingga bandwidth dari
grc.com yang terdiri dari dua (2) T1 connection menjadi habis. Steve
Gibson kemudian meneliti software yang digunakan untuk menyerang
(DoS bot, SubSeven trojan), channel yang digunakan untuk
berkomunikasi (via IRC), dan akhirnya menemukan beberapa hal
tentang DoS attack ini. Informasi lengkapnya ada di situs www.grc.com.
.
• Juni 2001. Peneliti di UC Berkeley dan University of Maryland berhasil
menyadap data-data yang berada pada jaringan wireless LAN (IEEE
802.11b) yang mulai marak digunakan oleh perusahaan-perusahaan.

Masalah keamanan yang berhubungan dengan Indonesia Meskipun Internet di Indonesia masih dapat tergolong baru, sudah ada beberapa kasus yang berhubungan dengan keamanan di Indonesia. Dibawah ini akan didaftar beberapa contoh masalah atau topik tersebut.

• Akhir Januari 1999. Domain yang digunakan untuk Timor Timur (.TP)
diserang sehingga hilang. Domain untuk Timor Timur ini diletakkan
pada sebuah server di Irlandia yang bernama Connect-Ireland.

Pemerintah Indonesia yang disalahkan atau dianggap melakukan
kegiatan hacking ini. Menurut keterangan yang diberikan oleh administrator Connect-Ireland, 18 serangan dilakukan secara serempak dari seluruh penjuru dunia. Akan tetapi berdasarkan pengamatan,
domain Timor Timur tersebut dihack dan kemudian ditambahkan sub
domain yang bernama “need.tp”.

Berdasarkan pengamatan situasi,
“need.tp” merupakan sebuah perkataan yang sedang dipopulerkan oleh
“Beavis and Butthead” (sebuah acara TV di MTV). Dengan kata lain,
crackers yang melakukan serangan tersebut kemungkinan penggemar
(atau paling tidak, pernah nonton) acara Beavis dan Butthead itu. Jadi,
kemungkinan dilakukan oleh seseorang dari Amerika Utara.

• Beberapa web site Indonesia sudah dijebol dan daftarnya (beserta contoh
halaman yang sudah dijebol) dapat dilihat di koleksi <http://
www.2600.com> dan alldas.de

• Januari 2000. Beberapa situs web Indonesia diacak-acak oleh cracker
yang menamakan dirinya “fabianclone” dan “naisenodni” (indonesian
dibalik). Situs yang diserang termasuk Bursa Efek Jakarta, BCA,
Indosatnet. Selain situs yang besar tersebut masih banyak situs lainnya
yang tidak dilaporkan.

• Seorang cracker Indonesia (yang dikenal dengan nama hc) tertangkap di
Singapura ketika mencoba menjebol sebuah perusahaan di Singapura.

• September dan Oktober 2000. Setelah berhasil membobol bank Lippo,
kembali Fabian Clone beraksi dengan menjebol web milik Bank Bali.
Perlu diketahui bahwa kedua bank ini memberikan layanan Internet
banking.

• September 2000. Polisi mendapat banyak laporan dari luar negeri
tentang adanya user Indonesia yang mencoba menipu user lain pada situs
web yang menyediakan transaksi lelang (auction) seperti eBay.

• 24 Oktober 2000. Dua warung Internet (Warnet) di Bandung digrebeg
oleh Polisi (POLDA Jabar) dikarenakan mereka menggunakan account
dialup curian dari ISP Centrin. Salah satu dari Warnet tersebut sedang
online dengan menggunakan account curian tersebut.

• April 2001. Majalah Warta Ekonomi1 melakukan polling secara online
selama sebulan dan hasilnya menunjukkan bahwa dari 75 pengunjung,
37% mengatakan meragukan keamanan transaksi secara online, 38%
meragukannya, dan 27% merasa aman.

• 16 April 2001. Polda DIY meringkus seorang carder2 Yogya.Tersangka diringkus di Bantul dengan barang bukti sebuah paket yang berisi lukisan (Rumah dan Orang Indian) berharga Rp 30 juta. Tersangka berstatus mahasiswa STIE Yogyakarta.

• Juni 2001. Seorang pengguna Internet Indonesia membuat beberapa
situs yang mirip (persis sama) dengan situs klikbca.com, yang digunakan
oleh BCA untuk memberikan layanan Internet banking.

Situs yang dia buat menggunakan nama domain yang mirip dengan klikbca.com, yaitu kilkbca.com (perhatikan tulisan “kilk” yang sengaja salah ketik),
wwwklikbca.com (tanpa titik antara kata “www” dan “klik”),
clikbca.com, dan klickbca.com. Sang user mengaku bahwa dia medapat
memperoleh PIN dari beberapa nasabah BCA yang salah mengetikkan
nama situs layanan Internet banking tersebut.

• 16 Oktober 2001. Sistem BCA yang menggunakan VSAT terganggu
selama beberapa jam. Akibatnya transaksi yang menggunakan fasilitas
VSAT, seperti ATM, tidak dapat dilaksanakan. Tidak diketahui (tidak
diberitakan) apa penyebabnya. Jumlah kerugian tidak diketahui.

Meningkatnya Kejahatan Komputer
Jumlah kejahatan komputer (computer crime), terutama yang berhubungan
dengan sistem informasi, akan terus meningkat dikarenakan beberapa hal,
antara lain:

• Aplikasi bisnis yang menggunakan (berbasis) teknologi informasi dan
jaringan komputer semakin meningkat. Sebagai contoh saat ini mulai
bermunculan aplikasi bisnis seperti on-line banking, electronic
commerce (e-commerce), Electronic Data Interchange (EDI), dan masih
banyak lainnya.

Bahkan aplikasi e-commerce akan menjadi salah satu aplikasi pemacu di Indonesia (melalui “Telematika Indonesia” dan
Nusantara 21). Demikian pula di berbagai penjuru dunia aplikasi e-
commerce terlihat mulai meningkat.

• Desentralisasi (dan distributed) server menyebabkan lebih banyak
sistem yang harus ditangani. Hal ini membutuhkan lebih banyak
operator dan administrator yang handal yang juga kemungkinan harus
disebar di seluruh lokasi. Padahal mencari operator dan administrator
yang handal adalah sangat sulit.

• Transisi dari single vendor ke multi-vendor sehingga lebih banyak
sistem atau perangkat yang harus dimengerti dan masalah
interoperability antar vendor yang lebih sulit ditangani. Untuk
memahami satu jenis perangkat dari satu vendor saja sudah susah,
apalagi harus menangani berjenis-jenis perangkat.

• Meningkatnya kemampuan pemakai di bidang komputer sehingga mulai
banyak pemakai yang mencoba-coba bermain atau membongkar sistem
yang digunakannya (atau sistem milik orang lain). Jika dahulu akses ke
komputer sangat sukar, maka sekarang komputer sudah merupakan
barang yang mudah diperoleh dan banyak dipasang di sekolah serta
rumah-rumah.

• Mudahnya diperoleh software untuk menyerang komputer dan jaringan
komputer. Banyak tempat di Internet yang menyediakan software yang
langsung dapat diambil (download) dan langsung digunakan untuk
menyerang dengan Graphical User Interface (GUI) yang mudah
digunakan. Beberapa program, seperti SATAN, bahkan hanya
membutuhkan sebuah web browser untuk menjalankannya. Sehingga,
seseorang yang dapat menggunakan web browser dapat menjalankan
program penyerang (attack).

• Kesulitan dari penegak hukum untuk mengejar kemajuan dunia
komputer dan telekomunikasi yang sangat cepat. Hukum yang berbasis
ruang dan waktu akan mengalami kesulitan untuk mengatasi masalah
yang justru terjadi pada sebuah sistem yang tidak memiliki ruang dan
waktu.

• Semakin kompleksnya sistem yang digunakan1, seperti semakin
besarnya program (source code) yang digunakan sehingga semakin
besar probabilitas terjadinya lubang keamanan (yang disebabkan
kesalahan pemrograman, bugs). Lihat tabel di bawah untuk melihat
peningkatkan kompleksitas operating system Microsoft Windows.
Seperti diungkapkan oleh Bruce Schneier dalam bukunya ,
“complexity is the worst enemy of security”.

• Semakin banyak perusahaan yang menghubungkan sistem informasinya
dengan jaringan komputer yang global seperti Internet. Hal ini membuka
akses dari seluruh dunia. (Maksud dari akses ini adalah sebagai target
dan juga sebagai penyerang.) Potensi sistem informasi yang dapat
dijebol dari mana-mana menjadi lebih besar.

Klasifikasi Kejahatan Komputer

Kejahatan komputer dapat digolongkan kepada yang sangat berbahaya
sampai ke yang hanya mengesalkan (annoying). Menurut David Icove
berdasarkan lubang keamanan, keamanan dapat diklasifikasikan menjadi
empat, yaitu:

1. Keamanan yang bersifat fisik (physical security): termasuk akses
orang ke gedung, peralatan, dan media yang digunakan. Beberapa bekas
penjahat komputer (crackers) mengatakan bahwa mereka sering pergi ke
tempat sampah untuk mencari berkas-berkas yang mungkin memiliki
informasi tentang keamanan. Misalnya pernah diketemukan coretan
password atau manual yang dibuang tanpa dihancurkan. Wiretapping
atau hal-hal yang berhubungan dengan akses ke kabel atau komputer
yang digunakan juga dapat dimasukkan ke dalam kelas ini.

Denial of service, yaitu akibat yang ditimbulkan sehingga servis tidak
dapat diterima oleh pemakai juga dapat dimasukkan ke dalam kelas ini.
Denial of service dapat dilakukan misalnya dengan mematikan peralatan
atau membanjiri saluran komunikasi dengan pesan-pesan (yang dapat
berisi apa saja karena yang diutamakan adalah banyaknya jumlah pesan).

Beberapa waktu yang lalu ada lubang keamanan dari implementasi pro-
tokol TCP/IP yang dikenal dengan istilah Syn Flood Attack, dimana
sistem (host) yang dituju dibanjiri oleh permintaan sehingga dia menjadi
terlalu sibuk dan bahkan dapat berakibat macetnya sistem (hang).

2. Keamanan yang berhubungan dengan orang (personel): termasuk
identifikasi, dan profil resiko dari orang yang mempunyai akses
(pekerja). Seringkali kelemahan keamanan sistem informasi bergantung
kepada manusia (pemakai dan pengelola). Ada sebuah teknik yang dike-
nal dengan istilah “social engineering” yang sering digunakan oleh
kriminal untuk berpura-pura sebagai orang yang berhak mengakses
informasi. Misalnya kriminal ini berpura-pura sebagai pemakai yang
lupa passwordnya dan minta agar diganti menjadi kata lain.

3. Keamanan dari data dan media serta teknik komunikasi (communi-
cations). Yang termasuk di dalam kelas ini adalah kelemahan dalam
software yang digunakan untuk mengelola data. Seorang kriminal dapat
memasang virus atau trojan horse sehingga dapat mengumpulkan infor-
masi (seperti password) yang semestinya tidak berhak diakses.