Server application security configuration hardening

Server merupakan sebuah perangkat/mesin dengan sistem komputer untuk memberikan fasilitas layanan tertentu di dalam jaringan komputer. Aspek keamanan menjadi faktor yang penting untuk diperhatikan pada sebuah server dikarenakan berbagai serangan dari luar sering diluncurkan dengan memanfaatkan vulnerability yang ada pada server. Serangan yang timbul dapat mengakibatkan hal yang fatal terhadap bisnis suatu organisasi. Oleh karena itu, perlu dilakukan proses “hardening” untuk menambah tingkat keamanan pada server. Istilah “hardening” secara umum berarti melakukan proses pengerasan suatu lapisan yang lembut sehingga lapisan tersebut menjadi lebih kuat dan lebih tahan terhadap kerusakan. Prinsip itu juga yang digunakan untuk menerapkan hardening server yang berpengaruh terhadap keamanan server. Sebelum melanjutkan pembahasan mengenai hardening konfigurasi pada aplikasi server, akan dibahas terlebih dahulu pengertian server, jenis-jenis server, dan bagaimana melakukan hardening.

Gambar 1. [1]

Pengertian Server

Secara garis besar, server dibagi menjadi 3 macam yaitu:

1. application server

application server (server aplikasi) yang juga disebut appserver merupakan server yang mempunyai sebuah program untuk menangani berbagai operasi aplikasi antara user dan database (misalnya aplikasi bisnis dari organisasi). Berikut adalah ilustrasi operasi application server.

2. Data Server

Data server atau sering disebut database server merupakan server yang menyediakan layanan database dan melakukan beberapa task seperti analisa data, penyimpanan data, pengarsipan data, manipulasi, dan beberapa fungsi lainnya yang menggunakan arsitektur client/server.

3. proxy server

Proxy server dapat dikatakan sebagai server penghubung antara aplikasi pada klien dan aplikasi pada server yang ada diluar (atau server yang ingin diakses oleh client).

Mengapa server application?

Menurut Curtis Coleman, MSIA, CISSP, CISM direktur Global IT Governance dari perusahaan Seagate Technology [2] mengatakan bahwa kerawanan yang paling berbahaya pada perusahaan besar yang memiliki jaringan luas adalah pada aplikasinya. Sistem keamanaan telah  banyak terfokus pada antivirus dan keamanan jaringan, tapi bagian yang amat merisaukan adalah  transaksi bisnis yang memiliki data yang sangat berharga (valuable). Sistem keamanan pada Aplikasi merupakan tren masa depan yang dapat dikatakan sebagai era baru setelah era anti Virus dan era keamanan jaringan.

Penggunaan firewall dan SSL bukan menjadi jaminan bahwa pengamanan data dan aplikasi dapat terjaga dengan baik. Menurut [2], berdasarkan hasil pengecekan dengan menggunakan AppScan didapatkan lebih dari 1000 aplikasi yang telah memiliki firewall dan solusi enkripsi memiliki tingkat kerawanan rata-rata 98%. Oleh karena itu mengapa keamanan aplikasi merupakan obyek yang sangat penting, diantaranya:

1. frekuensi kejadian; sebanyak dua dari 4 website pada perusahaan bisnis rawan untuk dibobol.

2. Tingkat penembusan; sebanyak 75% para hacker dapat menembus sampai ke level aplikasi

3. Tidak terdeteksi; Perangkat untuk QA testing tidak didesain dengan baik untuk mendeteksi lubang keamanan pada suatu aplikasi.

4. Kerugian yang berakibat fatal; Keamanan pada aplikasi tidak dapat dijaga dengan baik rentan terhadap serangan dan eksploitasi. Ketika telah terjadi eksploitasi, maka kegiatan bisnis dari suatu perusahaan akan terganggu yang akan mengakibatkan customer value dan kepercayaan customer menjadi semakin menurun. Hal ini akan sangat berdampak terhadap performa perusahaan itu sendiri.

Kerentanan pada Aplikasi

Menurut Eugene Lebanidze [3] ada 10 besar kerawanan pada aplikasi, yaitu:

1. Unvalidated Input

   Unvalidated input adalah jenis kerawanan yang cukup sering terjadi sehingga akan menimbulkan masalah/kerusakan yang sangat serius. Semua aplikasi berbasis web harus dipastikan dapat menangani permasalahan unvalidated input sehingga menghindari adanya unauthorized user. Jika aplikasi tidak dapat memvalidasi dengan baik, maka ketika penyerang mempunyai kesempatan untuk masuk, komponen aplikasi bagian belakang seperti database dapat diserang dengan mudah. Beberapa poin pada kerawanan pertama:

  • HTTP request dari browse ke web apps

Bentuk masukan dalam aplikasi Web adalah URL, Querystring, From Fields, HIdden Fields, Cookies, Headers. Palikasi web menggunakan informasi ini untuk generate halaman web.

  • Attacker dapat mengubah semua jenis request

2. Broken Access Control

   Access Control yang baik dapat mencegah adanya unauthorized user mengakses informasi maupun data perusahaan. Akan tetapi ketika Access Control ini diasalahgunakan atau tidak berjalan dengan baik maka penyerang/unautorized user dapat mengakses informasi sehingga mengganggu CIA (Confidentiality, Integrity, Availability) dari suatu data maupun informasi itu sendiri. Kunci untuk menangani kerawanan ini melalui kebijaksanaan untuk access control dan dapat dilakukan dengan menggunakan two-way authentication.

3. Broken Authentication dan Session Management

4. Cross Site Scripting

5. Buffer Overflow

6. Injection Flaws

7. Improper Error Handling

8. Insecure Storage

9. Denial of Service

10. Insecure Configuration Management

Beberapa Teknik Hardening Server

Pentingnya menjaga keamanan jaringan maupun server harus dipahami oleh semua elemen di perusahaan sehingga timbulnya “awareness” terhadap permasalahan keamanan dan apa saja yang menimbulkan kerentanan terhadap sistem keamanan tersebut. Berikut adalah beberapa teknik untuk melakukan server hardening:

– Gunakan data encryption untuk komunikasi
– Hindari penggunaan protokol yang tidak aman yang mengirim informasi atau password dalam bentuk plain text (misalnya UDP)
– Hindari penggunaan software yang tidak diperlukan pada server
– Upgrade OS yang digunakan terutama security patches.
– Akun user sebaiknya memiliki password yang cukup kuat dan lakukan penggantian password secara berkala dan tidak menggunakan kembali password yang pernah digunakan.
– Kunci akun ketika terjadi event dimana terlalu banyak terjadi failure login.
– SSH hardening :
– ubah port dari default menjadi non-standard
– Disable root login secara langsung.  Mengubah lebel menjadi root hanya jika dibutuhkan.
– Layanan yang tidak dibutuhkan sebaiknya dinonaktifkan.
– Hardening sysctl.conf
– Server hardening dengan melakukan instalasi Root Kit Hunter dan ChrootKit hunter.
– Minimalisasi membuka port jaringan menjadi hanya yang dibutuhkan saja
– Instal Logwatch dan review logwatch email setiap hari. Hal ini untuk menginvestigasi jika terjadi aktivitas yang berbahaya pada server
– Gunakan firewall, IPS, dan IDS untuk menambah keamanan pada server
– Instal Linux Socket Monitor untuk mendeteksi ketika adanya socket baru yang dibuat pada sistem. Pembuatan socket baru dapat mengungkapkan aktivitas hacker pada sistem.
– Batasi akses pengguna sehingga hanya dapat mengakses yang dibutuhkan saja.
– Monitor log server

Software untuk melakukan hardening.

1. Basille Linux

Program hardening Bastille mengunci OS, secara aktif melakukan konfigurasi sistem untuk meningkatkan keamanan dan mengurangi  kerentanannya.

Bastille mensupport Red Hat (Fedora Core, Enterprise, and Numbered/Classic), SUSE, Debian, Gentoo, dan Mandrake dengan HPUX.

User/administrator diperbolehkan untuk memilih cara malakukan hardening pada OS.  Pada setting default hardeningnya, Bastille akan menanyakan apakah user memiliki pertanyaan, menjelaskan topic akan pertanyaan tersebut, dan membuat kebijakan berdasarkan jawaban user. Kebijakan tersebut akan diterapkan ke sistem. Dalam mode assessmentnya, Bastille membuat laporan yang dapat digunakan user untuk mempelajari lebih lanjut mengenai setting keamanan yang digunakan dan juga memberikan informasi ke user mengenai setting mana yang perlu diperketat.

2. JASS untuk Solaris systems

SolarisTM Security Toolkit, yang dikenal juga dengan JumpStartTM Architecture and Security Scripts (JASS) toolkit, menyediakan mekanisme yang fleksibel dan ekstensibel untuk meminimasi, melakukan hardening, dan mengamankan sistem Solaris Operating Environment systems. Goal utama pengembangan toolkit ini adalah untuk menyederhanakan dan meng-otomatis-kan proses pengamanan Solaris system.

Toolkit ini dikembangkan oleh anggota Enterprise Engineering and Professional Services teams, yang berdasarkan best practices keamanan yang telah diuji, dan pengalaman pengguna yang dikumpulkan selama bertahun-tahun.

3. Syhunt Apache/PHP Hardener

Syhunt Apache/PHP Hardener digunakan untuk melakukan evaluasi ancaman keamanan dan identifikasi countermeasure yang sesuai pada tahap konfigurasi web server, sehingga menyediakan proteksi ekstra terhadap web hacking dan merupakan level tertinggi keamanan aplikasi. Berikut ini merupakan fitur utama Syhunt.

  • Memeriksa konfigurasi keamanan web server dengan melakukan hampir 50 pemeriksaan keamanan
  • Menyediakan analisis heuristic file konfigurasi web server untuk mendeteksi error pada konfigurasi keamanan
  • Men-support file konfigurasi Apache dan PHP
  • Memproduksi laporan HTML yang simple dan mudah dimengerti
  • Melakukan update secara otomatis.

 

Oleh:  Alissa 23213129 & Pertiwi Sapta Rini 23213095

Referensi:

[1]  System Hardening Services [Online]. Available : http://www.secure-bytes.com/hardening+services.php

[2]  Coleman Curtis. Case Study: An Evolution of Putting Security into SDLC. Available: http://www.owasp.org/docroot/owasp/misc/COLEMAN-Putting_Security_IntoSDLS-OWASP_v2.ppt

[3]  Lebanidze Eugene.  Securing Enterprise Web Application at the Source. Available: http://www.owasp.org/docroot/owasp/misc/Securing_Enterprise_Web_Applications_at_the_Source.pdf

[4]  Akhmad Agus, et al. Sistem Keamanan pada Pengembangan Sistem Informasi. Available: http://directory.umm.ac.id/SI_UKM/125M-07-final1.0.pdf

[5]  http://www.bastille-linux.org/

[6] http://www.securityfocus.com/tools/2250/

Web Domain Whitelisting for HTTPS/SSL Domain

Proses whitelisting web domain bertujuan untuk membatasi akses internet hanya pada website yang terdapat dalam daftar putih (whitelist) tersebut. Proses whitelist website ini umumnya dilakukan menggunakan aplikasi tertentu. Dengan menggunakan aplikasi whitelisting yang terpercaya, whitelisting juga dapat dilakukan pada website yang berbasis HTTPS / SSL tanpa adanya intrusi dari aplikasi tersebut, sehingga data yang dikomunikasikan tetap terenkripsi tanpa terbaca oleh aplikasi whitelisting tersebut.

HTTPS

Dewasa ini, metode penyerangan melalui dunia maya semakin beragam dan akibat yang ditimbulkan pun semakin luas, baik secara langsung maupun tidak langsung. Salah satu jalur penyerangan yang paling mudah ialah melalui website, terutama karena tingkat penggunaannya yang sangat tinggi dan mencakup sebagian besar khalayak manusia. Berbagai usaha telah dilakukan untuk meningkatkan keamanan dari sisi website, salah satunya ialah penggabungan protokol HTTP dengan SSL menjadi protokol komunikasi yang lebih aman, yakni HTTPS.

HTTP merupakan protokol aplikasi yang menjadi landasan protokol komunikasi world wide web (www). Sementara itu, Transport Layer Security (TLS) / Secure Socket Layer (SSL) ialah protokol kriptografi yang digunakan untuk meningkatkan keamanan pada komunikasi melalui internet [1]. Kedua protokol ini terletak pada layer aplikasi model TCP / IP, seperti dapat dilihat pada gambar di bawah ini,

tcpip

Ide awal dari HTTPS (HTTP Secure) ialah mengintegrasikan protokol HTTP dengan kapabilitas keamanan yang dimiliki TLS / SSL sehingga menghasilkan protokol komunikasi internet yang jauh lebih aman. Karena tingkat keamanannya ini, HTTPS umum digunakan untuk menyediakan layanan yang membutuhkan keamanan lebih, seperti situs perbankan atau online shopping. Demikian perbedaan singkat antara HTTP dan HTTPS [2],

  • Teknis: url pada HTTP dimulai dengan “http://”, sementara url pada HTTPS dimulai dengan “https://”. Selain itu, HTTP menggunakan port 80 untuk komunikasi, sementara HTTPS menggunakan port 443.
  • HTTPS menggunakan proses enkripsi, sementara HTTP tidak.
  • HTTPS membutuhkan sertifikasi, sementara HTTP tidak.

Perbedaan yang mempengaruhi level keamanan ialah dua poin terakhir, terutama karena server dari sebuah HTTPS host memerlukan sertifikasi kunci publik yang umumnya diberikan oleh pihak ketiga yang terpercaya. Berikut ialah langkah-langkah protokol komunikasi HTTPS antara client dan server secara umum,

  1. Client melakukan koneksi awal
  2. Server menjawab koneksi awal dengan memberikan daftar metode enkripsi yang dapat dilakukan
  3. Client memilih metode enkripsi serta mengirimkan sertifikasi untuk otentikasi identitas
  4. Server mengirimkan sertifikasi web-nya untuk otentikasi identitas
  5. Client dan server saling bertukar informasi menggunakan metode enkripsi yang telah disetujui
  6. Koneksi ditutup

Dapat kita lihat bahwa koneksi HTTPS akan lebih aman dibandingkan koneksi HTTP, karena menggunakan enkripsi dan pertukaran sertifikat sebagai otentikasi. Namun, hal ini masih kurang karena intrusi terhadap dunia maya masih dapat dilakukan, terutama pada tahap pengintaian serta pemaketan data yang akan dicuri [3]. Salah satu proses mitigasi yang dapat dilakukan untuk mengurangi risiko ini ialah dengan melakukan whitelisting pada web yang berbasis HTTPS tersebut.

 

WHITELISTING WEBSITE

Whitelisting berlawan dengan blacklisting dimana pada whitelisting kita membuat daftar hal yang kita beri kapabilitas tertentu, dan hal-hal di luar daftar tersebut tidak memiliki kapabilitas tersebut. Pada dunia maya, whitelisting umum dilakukan terhadap email, LAN, program / perangkat lunak, serta aplikasi tertentu. Artikel ini akan membahas secara spesifik proses whitelisting web yang berbasi HTTPS / SSL.

Proses whitelisting web umumnya dilakukan menggunakan software atau aplikasi tertentu, dimana user mengisi daftar website yang dapat dikunjungi komputernya. Pengisian database whitelist ini dapat dilakukan user setelah proses otentikasi password pada aplikasi tersebut. Koneksi internet selanjutnya akan dilakukan melalui kanal aplikasi tersebut.

 

WHITELISTING WEBSITE BERBASIS HTTPS / SSL

Proses whitelisting pada web yang berbasis HTTPS sedikit berbeda dibandingkan proses whitelisting pada web umumnya. Di saat kita mencoba mengunjungi web berbasis HTTPS yang telah kita whitelist dengan aplikasi tertentu, umumnya akan muncul peringatan “bad certificate” dikarenakan protokol HTTPS membutuhkan pertukaran sertifikat seperti telah dijelaskan pada bagian sebelumnya, sementara saat kita masuk ke web HTTPS tersebut melalui aplikasi whitelist maka pertukaran sertifikat tersebut tidak berjalan lancar. Hal ini bertujuan untuk memberikan kita peringatan lebih mengenai konten yang akan kita whitelist.

Untuk mempermudah hal ini, pada umumnya aplikasi whitelisting HTTPS yang bersangkutan menyediakan sertifikat khusus untuk koneksi HTTPS / SSL yang dapat kita unduh [4]. Menggunakan sertifikat ini, proses pertukaran sertifikat dengan web yang berbasi HTTPS / SSL dapat dilakukan secara langsung. Apabila aplikasi penyedia jasa whitelist ini tidak melakukan kecurangan, maka komunikasi yang dilakukan semestinya akan tetap terenkripsi tanpa diintrusi / didekripsi oleh aplikasi tersebut.

Jadi, inti dari proses whitelisting pada web yang berbasis HTTPS ialah kita dapat melakukan proses whitelisting seperti pada web HTTP umumnya, namun proses komunikasi tetap terjamin dengan enkripsi tanpa diintrusi / dibaca oleh aplikasi penyedia jasa whitelisting.

peringkat

Saat ini strategi mitigasi intrusi dunia maya menggunakan proses whitelisting web berbasis HTTPS / SSL sudah umum dilakukan, dan berdasarkan Australian Signals Directorate strategi mitigasi ini termasuk ke dalam 35 besar (peringkat 17) strategi mitigasi terhadap intrusi dunia maya. Strategi ini umumnya tidak terlalu banyak menghabiskan biaya untuk diaplikasikan dalam suatu organisasi, namun strategi ini biasanya tidak dapat mendeteksi datangnya intrusi.

 

IMPLEMENTASI

Pada bagian ini akan dijelaskan contoh implementasi whitelisting website menggunakan software Whitetrash pada OS Ubuntu [5]. Pertama akan ditunjukkan implementasi whitelisting menggunakan Whitetrash pada domain web biasa (HTTP).

1.  Pengguna melakukan koneksi dengan website yang belum terdapat dalam whitelist

whitetrash7

2.  Pengguna akan terhubung pada aplikasi Whitetrash untuk konfirmasi mengenai website tersebut, namun sebelumnya terdapat otentikasi user

whitetrash1

3.  Apabila otentikasi yang dilakukan berhasil, maka pengguna akan diminta untuk memilih apakah website tersebut akan dimasukkan ke dalam whitelist-nya atau tidak, seperti berikut

whitetrash2

4.  Apabila pengguna setuju untuk memasukkan website tersebut ke dalam whitelist-nya, Whitetrash akan mengkonfirmasi penambahan website tersebut ke dalam database whitelist pengguna seperti berikut,

whitetrash3

5.  Setelah konfirmasi dari Whitetrash, pengguna akan diarahkan pada website tersebut seperti berikut,

whitetrash4

Selanjutnya, tiap koneksi pada website yang belum terdapat pada whitelist akan diarahkan terlebih dahulu pada konfirmasi penambahan website pada whitelist Whitetrash (poin 3). Otentikasi user hanya dilakukan di awal.

6.  Pengguna juga dapat mengamati daftar website dalam whitelist sebagai berikut,

whitetrash5

atau melalui akun admin sebagai berikut,

whitetrash6

 

CONTOH INSIDEN

Whitelisting web secara umum (HTTP) merupakan usaha mitigasi untuk menanggulangi intrusi dunia maya pada tahap pengintaian awal serta pemaketan data yang akan dicuri. Dua skenario intrusi yang mungkin terjadi ialah,

  • Seseorang menggunakan komputer orang lain untuk mengunjungi situs yang berbahaya.
  • Malware menghubungkan koneksi internet seseorang dengan sebuah situs berbahaya tanpa disadari pemilik komputer tersebut.

Kedua skenario ini dapat ditanggulangi dengan aplikasi whitelisting situs karena untuk penambahan daftar putih (whitelist) dibutuhkan otentikasi pengguna. Intrusi tidak dapat dilakukan apabila pihak penyerang tidak memiliki bukti otentikasi (password) yang valid.

Sementara itu, contoh skenario yang mungkin terjadi pada penggunaan aplikasi whitelisting situs yang spesifik pada HTTPS / SSL ialah sebagai berikut,

  • Aplikasi whitelisting yang digunakan kurang terpercaya, sementara pengguna melakukan koneksi HTTPS/SSL dengan sebuah situs. Komunikasi data yang seharusnya terenkripsi sebagaimana koneksi HTTPS/SSL pada umumnya tidak terenkripsi, atau diintrusi oleh aplikasi whitelisting tersebut sehingga data yang dikomunikasikan dibaca oleh aplikasi tersebut. Untuk menanggulangi hal ini, pilih aplikasi whitelisting yang terpercaya.

 

REFERENSI

  1. IETF, 2008. The Transport Layer Security (TLS) Protocol Version 1.2. [Online] Available at: http://tools.ietf.org/html/rfc5246 [Diakses 29 10 2013].
  2. Kumar, Naresh, 2012. HTTP vs HTTPS: Similarities and Difference. [Online] Available at: http://theprofessionalspoint.blogspot.com/2012/04/http-vs-https-similarities-and.html [Diakses 29 10 2013].
  3. Directorate, A. S., 2012. Strategies to Mitigate Targeted Cyber Intrusions.[Online] Available at: http://www.asd.gov.au/infosec/top-mitigations/top35mitigationstrategies-list.htm [Diakses 28 10 2013].
  4. Whitetrash, 2009. Frequently Ask Question (FAQ).[Online] Available at: http://whitetrash.sourceforge.net/FAQ.shtml [Diakses 28 10 2013].
  5. Whitetrash, 2009. Frequently Ask Question (FAQ).[Online] Available at: http://whitetrash.sourceforge.net/ [Diakses 28 10 2013].

 

Alan Yudhahutama / 23213028

Galih Gilang Wicaksono / 23213098

Manajemen Konfigurasi Komputer

Pendahuluan

Manajemen konfigurasi menjadi isu yang sangat penting saat ini. Saat ini, pengguna selalu ingin memiliki program yang dapat melakukan banyak hal dalam pada komputer yang dimilikinya, namun perlu diperhatikan bahwa program-program tersebut juga beresiko cukup tinggi sehingga justru dapat mengurangi performa dari komputer dalam menjalankan program yang dinginkan dan diharapkan pengguna. Untuk menghindari hal tersebut, pengguna perlu melakukan konfigurasi yang baik terhadap komputer yang digunakan. Selain itu, manajemen konfigurasi komputer juga sangat penting bagi organisasi ataupun perusahaan yang mengandalkan teknologi informasi dalam melakukan kegiatan operasional untuk keberlangsungan bisnis perusahaan. Hal ini dilakukan untuk melindungi aset perusahaan seperti data dan informasi, melindungi operasional bisnis dari berbagai serangan yang berbahaya pada komputer baik serangan dari internal maupun serangan eksternal, serta mejaga kesinambung kinerja perusahaan. Pada artikel ini, akan dibahas mengenai kendali pada manajemen konfigurasi pada komputer, contoh software yang digunakan untuk manajemen konfigurasi, dan juga contoh insiden yang menerapkan software tersebut.

Dekripsi
Manajemen konfigurasi adalah pengelolaan dalam mengendalikan perkembangan pada sistem yang kompleks. Manajemen konfigurasi komputer ini dapat diartikan sebagai proses pemeliharaan yang dilakukan secara terus menerus terhadap sistem dan jaringan komputer, serta memastikan bahwa sistem dan jaringan komputer ini dapat tetap melayani dan memenuhi kebutuhan dan misi perusahaan yang memanfaatkan penggunaan sistem dan jaringan komputer. Manajemen konfigurasi ini penting untuk mengatur penggunaan komputer oleh end user ataupun user workstation. Berikut ini adalah manfaat dari manajemen konfigurasi yang dilakukan secara konsisten.

  1. Mudah mendeteksi anomalous software pada user workstation. Hal ini dapat dilakukan dengan cara menerapkan application whitelisting.
  2. Administrator jaringan dapat mengetahui software apa yang sedang digunakan pada jaringan.
  3. Dapat mencegah user workstation dari pembuatan scheduled task untuk mengeksekusi program berbahaya (malicious).
  4. Dapat mencegah pengguna untuk menjalankan sistem yang biasa digunakanan untuk melakukan pengintaian.

 

os1
Gambar 1 Configuration Management

Kendali
Berikut ini terdapat beberapa kendali yang dapat dilakukan terkait manajemen konfigurasi komputer menurut Australian Government Information Security Manual (ISM), yaitu:

Kendali 0380

Kendali ini mengharuskan bahwa manajemen konfigurasi perlu dilakukan dengan mengembangkan SOE (Standard Operating Environments) yang aman untuk server dan workstation, yang mencakup beberapa hal berikut.

  • Penghapusan software, hardware, serta komponen sistem operasi yang dibutuhkan.
  • Menonaktifkan fungsionalitas yang tidak dibutuhkan pada software, hardware, dan sistem operasi. Fungsionalitas yang tidak dibutuhkan ini seperti driver untuk wireless, bluetooth, webcamera, autorun pada sistem operasi, dan lain-lain.
  • Penggunaan fungsi pencegahan eksekusi data, sebaiknya berbasis hardware, jika tersedia.
  • Mengimplementasikan kontrol akses terhadap objek yang sesuai untuk membatasi program dan system user sesuai dengan akses minimum yang dibutuhkan.
  • Memasang antivirus dan internet software security lainnya.
  • Memasang firewall berbasis software yang membatasi keluar masuk koneksi jaringan.
  • Mengkonfigurasi remote logging ataupun transfer of local events log ke pusat server

Kendali 0382

Kendali ini mengharuskan manajemen konfigurasi untuk memastikan pada seluruh server dan workstation, pengguna tidak memiliki kemampuan untuk memasang ataupun menonaktifkan software.

Kendali 0383
Kendali ini mengharuskan manajemen risiko mengurangi kerentanan (vulnerability) yang potensial pada SOE dengan cara beberapa cara berikut.
• Menghapus atau menonaktifkan akun yang tidak digunakan.
• Menamai ulang atau menghapius akun utama.
• Mengganti passphrases utama.

Kendali 0341
Kendali ini mengharuskan manajemen konfigurasi utntuk menonaktifkan berbagai fitur eksekusi otomatis pada sistem operasi terhadap connectable media.

Contoh Software
Berikut ini akan disebutkan beberapa software yang menerapkan manajemen konfigurasi pada komputer.
1. Windows 7 user account control
User Account Control (UAC) membantu menjaga PC melawan hacker dan software yang berbahaya. Setiap kali program akan membuat perubahan terhadap komputer, UAC akan memberi tahu user dan meminta izin untuk melakukan perubahan. Berikut ini akan dijelaskan mengenai pilihan pengaturan yang ada di User Account Control:
• Always notify
Dengan pengaturan ini setiap kali ada perubahan, UAC akan meminta konfirmasi. Pilihan ini cocok digunakan jika pengguna sering memasang dan mencoba aolikasi baru di Windows atau mengunjungi situs-situs yang belum bisa dipastikan keamanannya.
• Default – notify me when programs try to make changes to my computer
Dengan pengaturan ini, UAC akan meminta konfirmasi hanya jika terjadi perubahan yang bukan dilakukan oleh administrator. Pilihan ini juga cocok digunakan untuk pengguna yang sering mengunjungi situs yang memang selalu diku njungi banyak orang.
• Notify me when programs try to make changes to my computer
Pada pengaturan ini, UAC tidak akan meredupkan cahaya pada layar saat meminta konfirmasi kemudian memberikan perintah pada windows untuk melanjutkan tuga.s
• Never notify
Pengaturan ini adalah pengaturan yang paling rawan terhadap serangan malware atau spyware. Pengguna tidak akan mengetahui jika spyware, malware, atau virus sedang mencoba menginfeksi komputer. Akibatnya, komputer menjadi lebih lambat akibat pemakaian resource dari malware atau spyware.

os2
Gambar 2 User Account Control Setting

Contoh lain manajemen konfigurasi pada windows utnuk mencegah pengguna yang melakukan pemasangan program-program tanpa izin pemilik adalah dengan cara menonaktifkan windows installer melalui group policy editor, registry editor. Selain itu, dapat juga dilakukan dengan membuat user account dengan type limited.

2. Autorun Eater
Sebuah software yang dikembangkan untuk melindungi user dari virus yang memakai metode pemanfaatan “autorun.inf”. Software ini dapat memperingatkan dan menghapus file “autorun.inf” yang mencurigakan sehingga malware tidak dijalankan saat mengakses drive yang terinfeksi. Selain itu Autorun Eater memiliki fitur sebagai berikut.
• memonitor semua drive (kecuali drive A, B, dan CD / DVD) secara real time.
• Mencegah infeksi malware yang menggunakan metode “autorun.inf” dari perangkat penyimpanan yang dapat dilepas (flashdisk, harddisk eksternal, dll).
• Memindai perangkat penyimpanan yang terinfeksi secara otomatis dengan Microsoft Security Essentials.
• Menghapus file “autorun.inf” yang mencurigakan dan dibackup secara otomatis
• Setiap event (kejadian) dicatat untuk referensi di masa mendatang
• Memperbaiki 3 perubahan registry critical umum yang dibuat oleh malware.
• Hotkey untuk mengaktifkan memindai / scan

3. CFEngine
CFEngine adalah sistem manajemen konfigurasi open source yang cukup populer, fungsi utamanya adalah untuk menyediakan konfigurasi otomatis terhadap sistem komputer dengan skala besar, termasuk manajemen terpadu dari server, desktop, embedded networkod devices, smartphone, serta komputer tablet. CFEngine ini biasa digunakan pada skala perusahaan.

4. Faronics Anti-Executabe Standard
Faronics Anti-Executabe Standard adalah software utility yang berfungsi untuk mengontrol dan memblok aplikasi installer seperti .exe .msi. Software ini memblokir aplikasi yang tidak termasuk dalam whitelist, sehingga sangat aman untuk menghindari virus, ancaman hacker, penggunaan cheat game online, dan pengguna yang jahil.

os3
Gambar 3 Faronics Anti-Executable Standard Edition (Sumber http://belajaritsaja.com/review/software/anti-executable)

 

 

Contoh insiden
Salah satu contoh insiden yang menggunakan salah satu software manajemen konfigurasi adalah penggunaan Anti executable pada warnet. Adanya pengguna warnet yang jahil membuat pemilik warnet khawatir sistem warnet dapat diserang termasuk sistem billing. Oleh karena itu, pihak operator warnet menggunakan software Anti-executable untuk mencegah hal tersebut.

 

Contributor:

Sundari Mega P (23213069), Dea Rahmatia (23213084)

Referensi:

http://www.asd.gov.au/infosec/top-mitigations/top35mitigation-details.htm
http://www.asd.gov.au/publications/Information_Security_Manual_2013_Controls.pdf?&updatedAug13
http://www.cs.tufts.edu/tech_reports/reports/2006-4/report.pdf
http://windows.microsoft.com/en-us/windows7/products/features/user-account-control
http://blog.fastncheap.com/uac-user-account-control-windows-7/
http://amdnet.net/download-anti-executable-standard-3-50-full-serial/

 

Mitigation Strategy #35 – Selected network traffic capture

Network Monitoring

Penggunaan komputer dan media-media digital sebagai alat penyimpanan data semakin banyak digunakan. Penggunaan media-media digital tersebut dikarenakan kemudahan dalam penyimpanan dan penggunaannya. Namun secara tidak sadar dengan menyimpan berbagai data dalam bentuk digital ternyata akan memperbesar kemungkinan data tersebut dapat dibaca atau diambil oleh orang yang tidak bertanggung jawab. Dengan semakin majunya teknologi internet pada era yang semakin berkembang ini, maka kemungkinan data tersebut tersebar akan semakin besar. Dikarenakan ada kemungkinan data tersebut diambil atau disebarkan maka ada baiknya jika suatu jaringan komputer selalu dimonitor trafficnya.

Lalu apa sebenarnya network monitoring itu ?. salah satu sumber menyebutkan “the term network monitoring describes the use of a system that constantly monitor a computer network for slow or failing components and that notifies the network administrator”. Atau pada tautan lain disebutkan “monitoring an active communications network in order to diagnose problems and gather statistics for administration and fine tuning”. Berdasarkan dua penjelasan diatas dapat diambil sebuah kesimpulan bahwa network monitoring adalah suatu system yang memonitor traffic didalam suatu jaringan komputer untuk dicatat dan dilaporkan semua kejadian yang terjadi kepada admin untuk dikelola sehingga jaringan komputer tersebut tetap dalam keadaan baik.

Monitoring yang baik dibutuhkan pengawasan secara berkelanjutan, hal ini dikarenakan kita tidak dapat mengetahui kapan akan terjadinya masalah dalam suatu jaringan komputer. Ketika memonitor jaringan maka seorang admin jaringan harus mengetaui keadaan jaringan apakah ada hal yang tidak berjalan dengan benar atau perlu diperbaiki.  Hal ini diperlukan ketika terjadi error/troubleshoot pada jaringan sehingga admin dapat dengan cepat memperbaiki sehingga layanan pada jaringan tetap terjaga dengan baik.

Selain itu seorang admin juga memerlukan suatu tools untuk mengukur pernggunaan bandwidth, sehingga dapat diketahui berapa penggunaan rata-rata tiap harinya. Ketika terjadi kejanggalan pada data maka dapat aplikasi-aplikasi apa saja yang mengakibatkan bandwidth habis atau dapat disebabkan oleh malware. Ketika suatu aplikasi membutuhkan bandwidth besar maka ada kemungkinan bahwa aplikasi lain seperti web browser akan mengalami kesulitan dalam mengakses internet. Dengan memonitoring jaringan tersebut maka kita dapat mengembalikan bandwidth dengan mematikan aplikasi yang mengambil bandwidth besar tersebut. Pada beberapa aplikasi bahkan dapat menentukan besar pembagian besar kecilnya pembagian bandwidth supaya lebih seimbang seperti misallnya pada mikrotik.

1

Queue pada mikrotik

Monitoring juga dapat digunakan untuk memastikan bahwa tidak ada orang asing atau hacker yang mengakses jaringan komputer kita. Dengan mengenkripsi traffic pada jaringan maka kita dapat menjaga keamanan data yang dipertukarkan dalam lingkup internal. Pada umumnya suatu instansi menggunakan tunnel  atau VPN untuk melindungi pertukaran data yang terjadi dalam lingkup internal.

Selain ketiga hal diatas hal yang tidak kalah penting adalah mencatat semua kejadian pada suatu logs. Hal ini diperlukan ketika suatu kejadian terulang kembali maka hal tesebut dapat dengan mudah diperbaiki.selain itu log pun berfungsi untuk mengembalikan jaringan kekeadaan sebelumnya. Pengembalian ini berfungsi ketika jaringan diupgrade ´namun kualitas jaringam bertambah buruk,  maka dengan dikembalikan ke pengaturan sebelumnya, kualitas layanan jaringan akan menjadi lebih baik lagi.

Ada dua macam teknik yang umum digunakan dalam memonitor jaringan komputer yaitu :

  1. Synthetic / Active monitoring
  2. Passive monitoring

Synthetic atau Active monitoring digunakan untuk melihat performa kerja jaringan secara real time. active monitoring umumnya menggunakan  sebuah web browser. Active monitoring akan terus menerus memonitoring kinerja jaringan seperti  kecepatan akses, respon waktu, bandwidth pemakaian dll.  Karena sifatnya yang menggunakan web browser untuk memonitor kinerja jaringan, maka active monitoring sering digunakan untuk melihat  proses bisnis yang bersifat vital. Beberapa tools yang dapat digunakan untuk active monitoring adalah “ping”, “traceroute”, “MTR” (kombinasi antara ping dan traceroute), SNMP collectors, MRTG.

Passive monitoring adalah sebuah teknik monitoring jaringan yang digunakan untuk menangkap penggunaan jaringan dengan cara menyalin penggunaan sebenarnya. Passive monitoring membantu sebuah instansi untuk menganalisis keamanan jaringan, flow of traffic, dll dengan hasil akhir menghasilkan laporan berdasarkan traffic jaringan. Beberapa tool yang dapat digunakan untuk passive monitoring adalah log monitoring, SNMP trap receiver, NetFlow.

Berikut adalah perbedaan antara Active monitoring dengan passive monitoring :

Active monitoring

Passive monitoring

Configuration

Multi-point

Single or multi-point

Data size

Small

Large

Network overhead

Additional traffic

– Device overhead

– No overhead if splitter is used

Purpose

Delay, packet loss, availability

Throughput, traffic pattern, trend, & detection

CPU Requirement

Low to Moderate

High

 

Salah satu cara untuk menangkap traffic data yang lewat pada jaringan adalah dengan menggunakan wireshark. Dengan menggunakan wireshark kita dapat mengetahui jenis suatu paket, paket tersebut berasal dari mana, menggunakan port berapa dll. Wireshark menyediakan list yang cukup lengkap untuk memonitor jaringan. Kali ini akan dicoba memonitor jaringan menggunakan wireshark. Pada jaringan akan dimonitor lalu lintas program “achat” antara dua buah komputer. achat merupakan sebuah program yang menggunakan port 9256 untuk melakukan proses pertukaran data. Untuk mengetahui sebuah program menggunakan port berapa pada komputer kita dapat dengan menggunakan program “currports”.

2Currports

Pertama untuk memonitor antara dua buah komputer diperlukan filter dalam wireshark sehingga hanya dua buah komputer yang diinginkan saja yang akan terlihat aktifitasnya.

Berikut adalah filter wireshark yang digunakan untuk menangkap pembicaraan antara dua buah komputer.

3Pada gambar diatas dapat dilihat bahwa kita hanya ingin menangkap pembicaraan dari ip 192.168.0.120 dengan komputer dengan ip 192.168.0.20 pada port 9256 yaitu port aplikasi achat. Pada awal percobaan, komputer A (ip 192.168.0.120) akan mengirim private message ke komputer B (ip 192.168.0.20).

4Seperti dapat dilihat pada gambar diatas bahwa komputer A mengirim private message ke komputer B dengan isi “bahan test kuliah keamanan os”. Traffic pertukaran data ini yang akan dicoba untuk dimonitor oleh wireshark.ketika pesan tersebut terkirim maka pada wireshark akan tercatat satu kejadian baru seperti pada gambar dibawah ini.

12

Isi dari paket yang berkotak merah adalah sebagi berikut.

13

Dapat dilihat pada gambar diatas bahwa komputer a mengirim privateMsg ke komputer b. isi dari privateMsg tersebut dapat dilihat pada paket dibawah ini.

14

Dimana isi dari paket tersebut adalah sebagi berikut.

15

Dapat dilihat pada gambar diatas bahwa isi paket tersebut adalah merupakan isi dari private message yang dikirimkan oleh komputer a ke komputer b. lalu bagai mana dengan mengirim suatu file melalui program tersebut. Sama halnya dengan mengirimkan private message diatas, karena masih menggunakan program yang sama maka port yang digunakan akan sama. Sehingga filter pada wireshark tidak perlu dirubah. Berikut adalah pengiriman file menggunakan achat

9

Ketika file tersebut dikirmkan maka pada wireshark kembali tercatat kejadian baru yang dapat dilihat sebagai berikut.

10

Dapat dilihat pada gambar diatas bahwa komputer a ingim mengirimkan suatu file kepada komputer b. ketika komputer b ingin menerima file tersebut maka pada wireshark akan tercatat lagi suatu kejadian baru dapat dilihat pada gambar dibawah ini.

11

Dapat dilihat pada gambar diatas bahwa  file yang dikirimkan berada pada folder E:Belajar DropboxDropboxDropboxFile DerryKeamanan OS.  Dan file yang akan dikirim adalah Top_ 35_Mitigations_Details_2012.pdf.

Jika kita ibaratkan hal ini terjadi pada suatu perusahaan  dan folder tersebut berisikan file-file penting maka kita, seorang admin jaringan harus dapat memblok pengiriman paket tersebut. Memblok pengiriman paket tersebut dapat dilakukan dengan beberapa cara yaitu dengan hanya meberikan user control kepada pengakses folder tersebut sehingga dapat diketahu siapa saja yang mengakses file yang berada pada folder tersebut. Selain itu dapa juga memblockir pengiriman paket tersebut.

Penulis :

Muhammad Abduh / 23213153

Retri Derry F / 23213057

Referensi :

http://en.wikipedia.org/wiki/Passive_monitoring

http://en.wikipedia.org/wiki/Synthetic_monitoring

http://nabellahendra.blogspot.com/2013/02/pengujian-dan-monitoring-jaringan.html

http://en.wikipedia.org/wiki/Network_monitoring

obiona.olatunde, Bandwidht monitoring & measurement (tools and services), Obafemi Awolowo University, Ilelfe, Nigeria.

Miao luo, Wei Jiang. Network Monitoring and measurement and its application in security field

-. Introduction to Networking monitoring and management.

Mitigation Strategy #34 : Gateway blacklisting

Managing Sinkhole DNS Domain and Hosts File using Windows Server DNS

 

Ardy Pratama/23213056

Harry Chandra/23213066

1. Pendahuluan

Ketika kita ingin membuka suatu situs internet, misalnya google.com, DNS server akan mengubah alamat yang kita masukkan menjadi ip address, lalu menggunakan ip tersebut untuk mengakses situs web yang dituju. Tapi dalam perkembangannya, banyak ancaman berupa malware, spyware, phising, scams, pornography, bandwidth wasting video, dan masih banyak lagi gangguan yang dapat menyerang computer kita. Beberapa website secara otomatis akan membuat computer kita mendownload “material” ketika kita membuka website tersebut. Hal ini tentu sangat mengganggu, apalagi jika website tersebut berupa pop up yang muncul ketika kita hendak mendownload file dari situs web hosting. Oleh karena itu, kita akan mencoba menggunakan Windows Power Shell untuk membuat sinkhole guna mengatasi masalah tersebut. Apa itu sinkhole? Sinkhole merupakan DNS server yang memberikan kode ip address yang salah terhadap beberapa situs, sehingga meskipun pop up website terbuka, kita tidak akan pernah masuk ke web tersebut karena ip website tersebut sudah “dibuat menjadi salah” oleh sinkhole DNS server.

Sebuah DNS Sinkhole bekerja dengan melakukan spoofing DNS server terhadap domain-domain berbahaya yang mengandung malware. Admin mengkonfigurasi DNS yang dikirimkan ke internet untuk mengembalikan alamat IP yang salah sehingga domain bermalware menjadi tidak bisa diakses. JIka klien mengirimkan request alamat domain bermalware, sinkhole akan memberikan alamat yang tidak bisa dibuka atau alamat lain (selain alamat asli domain bermalware tersebut). Dengan demikian, klien tidak akan bisa melakukan koneksi ke target host dan terlindung dari malware. Ketika domain baru ditambahkan ke list domain bermalware, domain tersebut akan diawasi langsung oleh sinkhole administrator. User tidak akan lagi bisa mengakses domain tersebut. Untuk notifikasi realtime, digunakan IDS seignature yang akan memberikan peringatan ketika seorang klien melakukan koneksi ke host IP yang terdapat pada DNS sinkhole.

Dalam arsitektur jaringan, biasanya digunakan split DNS, dimana internal DNS server mengirimkan alamat request ke eksternal DNS server. Eksternal DNS server biasanya terdapat di area DMZ firewall. Di eksternal server inilah kita akan menggunakan sinkhole untuk memainkan Fully Qualified Domain Names (FQDN) sehingga memberikan ip address yang salah terhadap situs-situs yang ingin kita block. Misalnya, kita membuat list website-website yang ingin diblok lalu mengeset semua website yang tersebut ke ip 0.0.0.0, karena ip ini tidak ada maka web tersebut tidak akan pernah terbuka di browser computer.

Kita bisa mendapatkan list domain name FQDN dari website-website yang mengandung malware/potensi ancaman lainnya di web berikut:

DNS Sinkhole juga dapat digunakan untuk memblok situs-situs yang tidak diinginkan, seperti situs pornografi, sehingga anak-anak di bawah umur tidak dapat mengakses situs tersebut. Selain itu, akhir-akhir ini, serangan botnet semakin merajalela. Dapat dilihat pada grafik di bawah ini, jumlah serangan botnet terus meningkat dari tahun ke tahun.

1

2. DNS Sinkhole Overview

2.1   Key Feature

Sistem yang digunakan cukup simple sehingga dapat secara efektif mendeteksi dan memblok malicious traffic pada internet. Sinkhole harus dapat memitigasi berbagai macam ancaman yang menggunakan DNS resolution. Menggunakan DNS zone fies, administrator dapat dengan mudah menambahkan host dan domain untuk diblok. DNS Sinkhole yang akan dibahas pada bagian tiga menyediakan fitur deteksi dan blocking domain yang berbahya. Sistem yang digunakan cukup sederhana dan mudah untuk digunakan. Modul tambahan dapat ditambahkan ketika instalasi sinkhole untuk menyediakan notifikasi real time pada sinkhole event dan juga log traffic pada sinkhole. Fitur ini akan membuat sinkhole menjadi elemen kunci dalam proses monitoring suatu perusahaan.

2.2   Tipe Sinkhole

Sinkhole merupakan sistem jaringan yang hampir mirip dengan honeypot. Beberapa ISP telah menggunakan sinkhole untuk melindung pelanggan mereka ketika melakukan browsing. Sinkhole untuk single platform dapat dibuat menggunakan host file sederhana. Teknik ini telah ada sejak beberapa tahun yang lalu. Namun, sinkhole jenis ini hanya cocok digunakan untuk jumlah host yang sedikit. Intrusion Prevention System (IPSs) menyediakan beberapa kendali terhadap paket DNS, misalnya seperti DNS time to live (TTL). TTL efektif ketika digunakan untuk mengatur fast-flux DNS system, namun tidak berfungsi dengan baik untuk normal DNS. Jenis lainnya adalah dengan menggunakan darknet. Darknet adalah IP space teralokasi, dimana tidak ada service atau aktivitas server di dalamnya. Darknet dapa digunakan untuk mengumpulkan data pada network traffic yang janggal. Kejanggalan ini biasanya disebabkan oleh mass scanner, malware yang sedang mencari korban, atau salah konfigurasi host.

2.3   Keuntungan Sinkhole

Terdapat banyak keuntungan ketika menggunakan internal DNS sinkhole. Keuntungan tersebut antara lain: sinkhole tidak mahal, scalable, efektif, dan mudah untuk dirawat. Perawatan yang bersifat kontinyu diperlukan untuk menjaga sinkhole tetap up to date dengan domain-domain malware yang baru.

2.4   Batasan Sinkhole

Internal DNS Sinkhole memiliki beberapa batasan yang harus diketahui oleh system administrator. Batasan utama yang ada adalah sesungguhnya DNS Sinkhole tidak dapat mendeteksi malware, memblok instalasi malware, atau memusnahkan malware. DNS sinkhole hanya mendeteksi indicator dari malware. Indikator tersebut yang kemudian di follow up oleh security analis untuk menentukan langkah selanjutnya. DNS sinkhole log digunakan sebagai indikasi telah terjadi infeksi malware.

3.Arsitektur DNS Sinkhole

3.1   Normal DNS Flow

Berikut ilustrasi arsitektur dari normal DNS flow (tanpa menggunakan sinkhole):

2

 

Arsitetur jenis ini sangat rentan terhadap serangan botnet, DDoS attack, keylogger, spam, identity theft, traffic sniffer, email storms, dan berbagai serangan lainnya.

3.2   DNS Sinkhole Flow-Basic

Basic DNS Sinkhole terdiri dari komponen-komponen berikut ini:

  1. Commodity Server
  2. OS Linux dengan bind
  3. Daftar host dan domain yang mengandung malicious malware
  4. Custom configuration dan updated script

Berikut ilustrasi dari DNS flow yang terjadi ketika seorang attacker menyerang klien untuk berusaha membuat kontak dengan botnet:

3

DNS sinkhole akan mengintersep DNS request dan memberikan response ip address sesuai dengan configurasi admin sinkhole. Ketika suatu malware berusaha menginfeksi klien dengan membuatnya melakukan koneksi ke 1010101.org (malicious domain yang sudah ada dalam list dns sinkhole), request yang dikirimkan ke sinkhole akan mendapatkan respon ke ip 127.0.0.1 sehingga klien akan melakukan koneksi ke dirinya sendiri, bukan ke ip malware tersebut. Dengan demikian, klien terlindung dari domain-domain yang mengandung malware.

3.3   DNS Sinkhole Flow-Advanced

Suatu advanced DNS Sinkhole memiliki komponen dari basic sinkhole, ditambah elemen-elemen berikut ini:

  1. Socat service emulating one atau listening service yang digunakan untuk network forensic analysis.
  2. Snort IDS dengan customized sinkhole sigbature untuk real time alert.
  3. Script untuk scheduled reporting

Figure di bawah ini memberikan ilustrasi tentang DNS flow chart yang terjadi ketika seorang attacker berusaha membuat klien melakukan koneksi ke botnet.

4

Empat langkah awal sama dengan basic sinkhole, kecuali bahwa sinkhole menyediakan valid internal address (buika 127.0.0.1) sebagai respon terhadap bot controller. Valid internal address kemudia diredirect ke administrator controller IP address (step 5). Karena outbond command dan control traffic adalah web based, listening service dikonfigurasi dalam HTTP ports. Port HTTP yang biasanya dimonitor adalah port 80, 8000, dan 8080. Namun, admin juga harus mengawasi port 443 dan 8443 dengan menkonfigurasi SSL certificate. Tiap sinkhole grup sebaiknya dikonfigurasi dengan IP address yang berbeda, dengan demikian admin dapat mengirimkan traffic dengan jenis yang berbeda ke IP masing-masing sehingga analisis dan reporting menjadi lebih cepat.

3.4 Scalability and Performance

BIND DNS adalah system dengan skala besar dimana sinkhole dapat digunakan dalam organisasi dengan puluhan ribu pengguna. Sepasang DNS sinkhole yang akan dibahas pada bagian selanjutnya telah digunakan dalam organisasi dengan lebih dari 15.000 pengguna selama setahun tanpa terjadi down atau masalah performa. Sebuah DNS Bind server dengan RAM 1 GB dapat bekerja dengan baik mengelola 20000 domain.

4 Use Case

Ketika klien diredirect ke sinkhole, hal ini disebabkan oleh satu atau dua alasan: yang pertama klien telah terinfeksi sehingga mencoba melakukan kontak ke bot controller atay yang kedua, klien tidak sengaja teredirect lewat link suatu website. Berikut dua macam kasus penggunaan sinkhole, drive by downloads dan command-and-control channels.

4.1   Blocking Drive By Downloads

Tipe redirect yang satu ini sering terjadi ketika seorang klien mengakses suatu website yang telah disisipi malicious hidden link yang memaksa klien mendownload dan mengeksekusi suatu code tanpa sepengetahuan dirinya.

Sinkhole Socat packet log di bawah ini menunjukkan seorang klien berusaha mendownload malicious javascript code, js.php. Malicious download tersebut pun diblokir dan tidak ada koneksi yang tersambung ke zettapetta.com

5

4.2   Blcoking Command and Control Channels

Contoh di bawah ini menunjukkan seorang klien yang secara langsung berusaha mengakses C&C bot controller yang terdapat di hjwbxhqr.com. Karena domain hjwbxhqr.com terdapat di sinkhole list, klien menjadi tidak dapat mengakses bot controller.

6

 

5 Deploying and Maintaining DNS Sinkhole

5.1   Sonfigure BIND

Tujuan utama melakuakn konfigurasi bind adalah untuk melakukan automatisasi proses download dan parsing domain list ke sinkhole. Untuk melakukan automatisasi, kita gunakan suatu shell script untuk mendownload informasi dari list, mengumpulkan, lalu menjadikannya sebuah list dalam bind server.

5.1.1          Bind Zone File SOA Configuration for a single host

Misalnya, www.sans.org adalah domain dengan malware dan memiliki ip address 66.35.45.201. Sinkhole akan memberikan ip yang salah pada klien, dalam kasus ini 192.168.25.5 sehingga klien tidak akan bisa mengakses website bermalware.

7

5.1.2          BIND Zone File ZOA Configuration Multiple Domains (Wildcard)

Metode kedua adalah dengan menambahkan record yang ada menggunakan wildcard *. Jadi bila domain sans.org dimasukkan, sub domain yang ada seperti isc.sans.org dan testing.sans.org otomatis akan juga masuk.

8

5.1.3          Master Zone Configuration

Di bawah ini merupakan contoh bagaimana menambahkan single domain our.sink.com ke suatu sinkhole. Single site sinkhole filenya bernama site_specific_sinkhole.conf dan berisi informasi target domain.

9

Contoh lainnya saat menambahkan domain sans.org ke sinkhole, dengan menambahkan wildcard *.sans.org, semua child domain yang berakhiran .sans.org akan dimasukkan ke sinkhole. Wildcard sinkhole filenya disebut entire_domain_sinkhole.conf.

10

Kita lakukan tes dan memberikan output sebagai berikut:

11

5.2   Download dan Sinkronisasi Lists

Nama domain yang disimpan harus diperiksa untuk memastikan bahwa mereka tidak mengandung extranet. Untuk itu, The Time To Live (TTL) perlu digunakan agar domain yang salah masuk dapat segera dihapus.

5.3   Configuring Custom Lists

Salah satu fitur kunci dari internal DNS sinkhole adalah kemampuan untuk membuat custom list. Setiap kali klien mengakses domain berbahaya, sinkhole dapat secara langsung memasukkannya ke custom list sehingga klien lain dapat dicegah memasuki domain tersebut. Contohnya dapat kita lihat di bawah ini:

12

13

 5.4   Configuring Socat

Ada bermacam-macam cara untuk mengcapture sinkhole traffic, namun fleksibilitas dan tingkat kerumitan menjadi syarat utama. Socat dapat digunakan untuk mendengarkan beberapa port seperti TCP 80, 7070, 8000, 8080 dalam sebuah single IP address. Jika dikombinasikan dengan sniffer/custom IDS signature, sinkhole dapat menyediakan data real time, domain apa yang sedang berkomunikasi dengan klien.

14

 5.5   Configuring IDS

Snort signature berikut akan memberikan alert pada sinkhole traffic dan mengcapture domain yang melakukan komunikasi dengan klien:

15

Snort signature yang dikombinasikan dengan Socat listener akan memberikan alert setiap kali klien diredirect ke sinkhole based pada IP 192.168.25.5. Signature tersebut juga termasuk kombinasi TCP flag untuk mengcapture GET atau POST.

 5.6   Configure Reporting

Shell Script dengan httpry dapat digunakan untuk menggenerate report harian semua paket yang dicapture menggunakan Socat atau web listener yang lain. Report tersebut menunjukkan jumlah koneksi ke domain di sinkhole untuk setiap URL. Berikut contoh daily DNS Sinkhole Report:

16

6. Simulasi Membuat DNS Sinkhole menggunakan Windows Power Shell

Berikut tools dan requirements yang diperlukan untuk membuat DNS Sinkhole:

  • Power Shell versi 2.0 atau versi di atasnya
  • Windows Server 2003 atau versi di atasnya
  • Windows Management Instrumentation (WMI) enable
  • Memiliki hak lokal admin pada DNS server

Selanjutnya, kita akan mencoba membuat sinkhole sebagai berikut:

  1. Kita download source code dari http://www.sans.org/windows-security/downloads/

2. Selanjutnya kita harus mengatur permission pada power shell sebagai berikut:

17

Atur permission pada process, CurrentUser, dan LocalMachine menjadi RemoteSigned

3. Setelah itu, kita enable koneksi pada laptop lewat WMI (Windows Management Instrumentation seperti berikut ini:

18

4. Lalu kita akan melakukan sinkhole terhadap suatu website, misalnya kita ingin memblok www.sans.org, maka pada power shell kita ketikkan

./Sinkhole-DNS.ps1 -Domain “www.sans.org”

Maka www.sans.org akan dialihkan ke alamat ip 0.0.0.0

5. Untuk melakukan sinkhole terhadap semua domain yang tersimpan dalam file .txt, kita gunakan perintah

Sinkhole-DNS.ps1 -InputFile file.txt -IncludeWildCard -RemoveLeadingWWW

6. Untuk melakukan sinkhole terhadap semua domain yang tersimpa dalam file.txt dalam sebuah remote DNS server “server7.sans.org”, kita gunakan command:

Sinkhole-DNS.ps1 -InputFile file.txt -DnsServerName “server7.sans.org” -Credential “server7&#92administrator”

Hasilnya dapat dilihat berikut ini:

19

Terlihat bahwa semua domain pada file txt telah diimport ke remote DNS server.

7. Untuk menghapus semua domain yang sudah disinkhole, gunakan perintah:

Sinkhole-DNS.ps1 –DeleteSinkHoleDomains

Selain membuat sinkhole pada DNS server, kita juga bisa melakukan pengeblockan server melalui hosts file. Host file digunakan sebagai alternative karena memiliki beberapa kelebihan jika dibandingkan dengan melakukan pengeblockan menggunakan DNS server. Kelebihan tersebut antara lain:

1)      Jika laptop dibawa ke tempat lain dan konek ke server DNS lain, website akan tetap diblok karena host file yang digunakan tidak berubah.

2)      Tidak memerlukan hak akses root ke server untuk memodifiaksi hosts file

3)      Untuk memodifikasi hosts file, user harus login sebagai administrator pc mereka, sehingga lebih terlindung dari virus

Selain kelebihan tersebut, juga terdapat beberapa kekurangan dari penggunaan host file. Kekurangan tersebut antara lain:

  1. Semakin besar ukuran host file, performance pc akan semakin menurun
  2. Jika diserang oleh virus yang dapat mengakses pc kita sebagai admin, host file dapat dimodifikasi oleh virus tersebut.
  3. Mengatur host file pada ribuan computer akan jauh lebih susah daripada mengatur sinkhole pada sebuah DNS server
  4. Tidak seperti DNS record yang bersifat time expire, entry host file yang salah tidak akan dihapus hingga dilakukan modifikasi oleh user.

Software requirement yang diperlukan antara lain:

  1. Powershell 2.0 atau versi di atasnya
  2. Memiliki hak akses administrator untuk memodifikasi host file

Langkah-langkah:

  1. Download source code dari http://www.sans.org/windows-security/downloads/
  2. Atur permission pada power shell, set process, CurrentUser, dan LocalMachine menjadi RemoteSigned
  3. Untuk memasukkan domain www.MalwareDomainList.com ke hostfile dan menjadikan ipnya menjadi 0.0.0.0, gunakan command berikut:
./ Update-HostsFile.ps1

20

Terlihat bahwa domain telah berhasil dimasukkan ke hostfile.

4. Untuk melakukan blackhole ke semua domain yang terdapat pada sebuah file txt dan mengubah ipnya menjadi 10.1.1.1, digunakan command berikut:

Update-HostsFile.ps1 -FilePathOrURL “c:&#92folder&#92file.txt &#92&#92server&#92share&#92remotefile.txt http://www.malwaredomainlist.com/hostslist/hosts.txt” -BlackHoleIP “10.1.1.1”

21

Terlihat bahwa semua domain pada file txt telah didownload ke hostfile.

5. Untuk menambahkan www pada list domain yang hanya mencamtukan nama web lalu mengimportnya ke hostfile, gunakan command:

Update-HostsFile.ps1 -AddDuplicateWWW

22

6. Untuk menghapus hostfile dan mengembalikannya ke localhost standart entries, gunakan command:

Update-HostsFile.ps1 -ResetToDefaultHostsFile

 7. Kesimpulan

  1. Untuk memblock situs web yang mengandung virus/malware, dapat digunakan metode sinkhole pada DNS server dan sinkhole pada hostfile
  2. Metode sinkhole pada hostfile lebih cocok digunakan pada personal computer, sedangkan metode sinkhole pada DNS server dimanfaatkan untuk computer dengan jumlah yang banyak.

Antivirus Software

Anti Virus Software

Anti virus software atau sering dikenal dengan AntiVirus (disingkat dengan AV) merupakan perangkat lunak yang digunakan/didisain untuk mencegah, mendeteksi, dan mengambil tindakan untuk menglucuti atau menghilangkan program jahat/malware (computer virus, keyloggers, backdoors, trojan horses, adware, spyware, dan lain sebagainya).  Supaya dapat melindungi dengan efektif AntiVIrus harus bekerja secara tersembunyi setiap saat dan harus selalu terperbaharui sehingga dapat mendeteksi versi terbaru dari malware.

Program jahat seperti computer virus merupakan program yang didisain secara bebas untuk mengganggu. Gangguan yang diperbuat seperti: merekam, mengubah, menghapus data. Program ini berkembang biak dengan cara menyebarkan dirinya ke komputer lain dan melalui Internet.

Antivirus Program
Antivirus Program

Program antivirus merupakan bagian  paling dasar dari multi-layer strategi keamanan- bahkan untuk pengguna komputer yang sangat mahir.  serangan yang terus menerus terjadi pada browser, plug-in, bahkan sistem operasi hal ini menjadikan proteksi dari antivirus sangat penting.

Beberapa Aplikasi AntiVirus

  1. BitDefender Antivirus 2012
  2. McAfee Antivirus 2012
  3. Kaspersky Antivirus 2012
  4. ESET NOD32 Antivirus 2012
  5. Norton Antivirus 2012
  6. AVG Internet Security Antivirus 2012
  7. GFI Vipre Antivirus 4
  8. F-Secure Antivirus 2012
  9. Trend Micro Antivirus 2012
  10. ZoneAlarm Antivirus 2012
  11. Panda AntiVirus 2012
Phising
Phising

Terdapat banyak aplikasi antivirus yang lainnya, daftar diatas diambil dari hasil review pada web siliconindia.com berdasarkan kecepatan, pendeteksian, pemantauan tautan, menghilangkan virus, pembaharuan, blocking website jahat, dan lain sebagainya. Kebannyakan software diatas digunakan pada sistem operasi Microsoft Windows, hanya beberapa yang sudah menyediakan untuk sistem operasi yang lain.

How Anti Virus Work

On-Access Scanning

Perangkat lunak antivirus berjalan di latar belakang pada komputer, memeriksa setiap file yang dibuka. Hal ini dikenal sebagai on-access scanning, latar belakang pemindaian , pemindaian administratif, perlindungan real-time, atau sebagainya, tergantung pada program antivirus yang digunakan. Ketika file .EXE yang dibuka , mungkin tampak seperti meluncurkan program segera – tapi tidak. Perangkat lunak antivirus memeriksa program pertama, membandingkannya dengan virus yang dikena, worm, dan jenis-jenis malware.

Perangkat lunak antivirus juga melakukan pemeriksaan ” heuristik “, memeriksa program untuk jenis perilaku buruk yang mungkin menunjukkan sebagai virus baru. Program antivirus juga memindai jenis file lainnya yang dapat berisi virus . Sebagai contoh, sebuah file zip. Arsip mungkin berisi virus dikompresi atau dokumen Word dapat berisi makro berbahaya. File di-scan setiap kali mereka digunakan – misalnya , jika Anda men-download file EXE , maka akan dipindai segera, bahkan sebelum Anda membukanya .

Dimungkin untuk menggunakan antivirus tanpa on-access scanning, tapi ini bukan ide yang baik – virus yang memanfaatkan celah keamanan dalam program tidak akan tertangkap oleh pemindai. Setelah virus menginfeksi sistem, itu jauh lebih sulit untuk dihapus. (Ini juga sulit untuk memastikan bahwa malware pernah benar-benar dihapus.)

Full System Scans

Karena on-access scanning, biasanya tidak diperlukan lagi untuk menjalankan full-system scans. Jika Anda men-download virus ke komputer Anda , program antivirus Anda akan melihat segera – Anda tidak harus secara manual melakukan scan terlebih dahulu .

Full-system scans sangat membantu bila aplikasi antivirus baru saja diinstal. Hal ini berguna untuk memastikan tidak ada virus di komputer. Kebanyakan program antivirus mengatur jadwal full-system scans , sering sekali seminggu. Hal ini memastikan bahwa file definisi virus terbaru yang digunakan untuk memindai sistem Anda untuk virus aktif .

Full-system scans juga dapat membantu ketika memperbaiki komputer. Jika Anda ingin memperbaiki komputer yang sudah terinfeksi , memasukkan hard drive di komputer lain dan lakukan full-system scans.

Virus Definitions

Perangkat lunak antivirus bergantung pada definisi virus (pembaharuan) untuk mendeteksi malware. Itu sebabnya secara otomatis akan didownload pembaharuan terbaru, sekali sehari atau bahkan lebih sering. File definisi mengandung daftar untuk virus dan malware lainnya yang telah ditemukan di internet. Ketika program antivirus memindai file dan pemberitahuan bahwa file sesuai dengan definisi yang tersedia maka file tersebut bagian dari malware,  file tersebut dimasukkan ke dalam  karantina atau program antivirus dapat secara otomatis menghapus file atau dibiarkan tetap berada pada lokasinya , jika pengguna yakin bahwa itu adalah positif palsu .

Perusahaan antivirus harus terus-menerus pembaharuan definisi terbaru dari malware, sehingga dapat memastikan malware ditangkap oleh programnya. Laboratorium antivirus menggunakan berbagai alat untuk membongkar virus, merilis update tepat waktu yang memastikan pengguna terlindungi dari bagian baru dari malware .

Malicious Attachments
Malicious Attachments

Heuristics

Program antivirus juga menggunakan teknik heuristik. Heuristik memungkinkan program antivirus untuk mengidentifikasi jenis malware baru atau modifikasi dari malware, bahkan tanpa file definisi virus. Sebagai contoh, jika program antivirus memberitahu bahwa program yang berjalan pada sistem Anda sedang mencoba untuk membuka setiap file EXE di sistem, menginfeksi dengan menulis salinan program asli ke dalamnya, program antivirus dapat mendeteksi program ini sebagai malware baru, dengan Jenis virus yang tidak diketahui.

Tidak ada program antivirus yang sempurna. Heuristik tidak bisa terlalu agresif atau setiap perangkat lunak yang sah dianggap sebagai virus.

False Positives

Karena jumlah perangkat lunak yang beredar sangat banyak , itu memungkinkan program antivirus terkadang mengatakan file tersebut sebagai virus ketika itu sebenarnya sebuah file yang benar-benar aman . Hal ini dikenal sebagai “false positives”. Bahkan, perusahaan antivirus membuat kesalahan seperti mengidentifikasi file sistem Windows, program pihak ketiga, atau file program antivirus sendiri sebagai virus. False positives dapat merusak sistem pengguna kesalahan tersebut umumnya berakhir di pemberitaan, seperti Microsoft Security Essentials mengidentifikasi Google Chrome sebagai virus , AVG versi 64-bit merusak Windows 7 , atau Sophos mengidentifikasi dirinya sebagai malware.

Heuristik juga dapat meningkatkan false positives. Sebuah antivirus mungkin memperhatikan bahwa program berperilaku mirip dengan program berbahaya dan mengidentifikasinya sebagai virus.

Meskipun demikian , false positives jarang terjadi dalam penggunaan normal. Jika antivirus mengatakan sebuah file berbahaya, umumnya pengguna akan percaya. Jika tidak yakin apakah file sebenarnya virus, Anda dapat mencoba meng-uploadnya ke VirusTotal (yang kini dimiliki oleh Google) atau kesitus antivirus tersebut (laboratoriumnya) . VirusTotal akan memidai file tersebut dengan berbagai produk antivirus yang berbeda dan memberitahu Anda apa yang dikatakan tentang file tersebut oleh antivirus lainnya.

Detection Rates

Program antivirus yang berbeda memiliki tingkat deteksi yang berbeda, yang kedua definisi virus dan heuristik terlibat didalamnya. Beberapa perusahaan antivirus mungkin memiliki teknik heuristik yang lebih efektif dan memberikan definisi virus lebih baik dari pesaing mereka untuk menghasilkan tingkat deteksi yang lebih tinggi.

Beberapa organisasi melakukan tes rutin dari program antivirus untuk dibandingkan satu sama lain, membandingkan tingkat deteksi mereka dalam dunia nyata. AV-Comparitives teratur merilis studi yang membandingkan kondisi tingkat deteksi setiap antivirus. Tingkat deteksi cenderung berfluktuasi dari waktu ke waktu – tidak ada satu produk terbaik yang konsisten di atas. Jika ingin mengetahui seberapa efektif program antivirus dan yang terbaik diantaranya, maka studi tingkat deteksi adalah tempat untuk melihat.

Protection Rate
Protection Rate

Virus yang Berkembang dan Penanganan

1. WIN32/Ramnit.A

Virus ini terkenal bandel, dan cukup lama membuat pengguna internet terganggu. Ada cukup banyak laporan komputer yang terjangkit Ramnit masuk ke technical support Eset Indonesia. Virus berjenis trojan ini relatif sulit disingkirkan. Tip dari Technical Support Eset Indonesia adalah lakukan update scan via safe mode atau gunakan sysrescue.

2. LNK/Autostart.A

Nama lain Win32/CplLnk.A, yaitu threat yang dibuat secara khusus. Ketika seseorang membuka sebuah folder yang berisi malware shortcut dengan menggunakan aplikasi yang menampilkan shortcut icon, maka malware tersebut akan aktif secara otomatis.

3. Win32/Ramnit.F

Malware berjenis trojan ini mampu meng-copy dirinya yang akan memenuhi hard drive komputer yang terinfeksi. Virus ini biasanya bersembunyi di dalam aplikasi office, bahkan game. Dengan kemampuannya membuka firewall dan menyamar menjadi program palsu untuk mengumpulkan data penting seperti data transaksi, data keuangan sehingga sangat dianjurkan untuk segera menghapusnya, karena berpotensi menghambat kerja komputer dan merusak data yang tersimpan di dalamnya.

4. HTML/frame.B.Gen

Sejenis trojan yang berbahaya, dan mampu membajak komputer berbasis Windows lalu menginstall backdoor di komputer tersebut. Malware ini mampu mematikan software antivirus, sekaligus memonitor aktivitas browsing user, bahkan menghapus registry entries. Serta bisa mengakibatkan sistem operasi pada komputer tidak mampu bekerja sama sekali sehingga sangat membahayakan keamanan semua data yang tersimpan didalam komputer.

5. Win32/Sality.NBA

Salah satu program jahat ilegal yang ada pada Windows. Program tersebut mampu mangambil alih resources system dan memperlambat kinerja komputer. Beberapa program sejenis seringkali muncul dalam bentuk pesan-pesan maupun banner iklan sehingga mengganggu proses kerja. Sementara itu, malware ini juga merusak data yang tersimpan di dalam komputer.

6. Adware.BL

Geographical Distribution of Threat "AdWare.bl"
Geographical Distribution of Threat “AdWare.bl”

Sebuah ancaman keamanan baru yang dikenal sebagai Adware.BL telah ditemukan oleh Security Expert pada agustus 2013 (symantec.com). Jenis ancaman keamanan ini dapat menyebabkan kerugian bagi komputer Anda jika Anda tidak memiliki antivirus yang baik terinstal pada komputer Anda. Sebuah Software Antivirus yang baik akan mencegah Adware.BL dari yang diinstal dan dijalankJan pada komputer Anda. Berikut akibat yang dihasilkan apabila terkena virus tersebut :

  • Komputer Menjalankan Lambat
  • Program Gagal Buka expecially semua file exe
  • Tidak dapat terhubung ke Internet
  • Virus Scanner palsu yang tidak akan menutup

Ada banyak lagi, tetapi ini biasanya merupakan gejala dari komputer Anda terinfeksi Adware.BL atau beberapa jenis Virus dan Spyware atau . Untuk melindungi komputer terbaik anda dari terinfeksi . Pastikan untuk menjalankan Scan Virus dan Scanner Spyware di Komputer. Antivrus yamg sudah dapat dibersihkan dengan symantec dan kaspersky yang sudah diperbaharui.

Referensi:

Ditulis oleh:  Adrian Dwiananto A (23212035) & Mulkan Fadhli (23212034)

Mitigation Strategy #21 : Operating System Exploit Mitigation Mechanism

Muhammad Akbar Jamaludin (23213020)

Elian Daiva (23213021)

Penggunaan ASLR dan DEP pada Operating System

Data Extension Prevention (DEP) dan Address Space Layout Randomization (ASLR) merupakan dua buah countermeasure yang telah terbukti di dalam menghadapi tipe-tipe eksploit yang saat ini banyak dilakukan untuk memanfaatkan celah keamanan pada aplikasi. DEP mencegah sektor memori tertentu untuk dieksekusi, sementara ASLR merupakan teknologi yang digunakan mencegah shellcode untuk berhasil dieksekusi. Kombinasi keduanya akan menghasilkan pengamanan yag memadai untuk menangkal serangan yang mengekspoitasi kelemahan dengan return-oriented programming (ROP) dan shellcode.

Data Extension Prevention (DEP) dan Cara Kerjanya

DEP secara khusus, akan mencegah konten dari suatu region memori diidentifikasi sebagai data berisi selain instruksi executable yang akan dieksekusi sebagai instruksi oleh program, service, device driver, dan sebagainya. DEP melindungi beberapa program error dan membantu mencegah beberapa program exploit tertentu yang menyimpan instruksi executable pada data area seperti pada buffer overflow. DEP ini diperkenalkan penggunaannya untuk produk massal pada Linux tahun 2004 (kernel 2.6.8), Microsoft tahun 2004 (bagian dari Windows XP SP2), dan Apple tahun 2006 (saat migrasi arsitektur x86).

Kita akan menggunakan contoh kasus untuk melihat bagaimana kerentanan normal dapat dieksploitasi, contohnya adalah stack buffer overflow. Dengan menggunakan nilai 0x41414141 kedalam sebuah payload, dan eip disetting dengan 0x41414141, sehingga kita tahu bahwa payload ini dapat exploitasi. Bantuan dari software untuk melakukan penetration test seperti Metasploit, dapat digunakan untuk menemukan offset dari nilai yang dimasukkan dalam eip. Hal ini akan menjadi start offset dari kode eksploit ini. Untuk memverifikasi, kita akan memuat 0x41 sebelum offset, 0x42424242 pada offset, dan 0x43 setelah offset.

Pada proses tanpa ASLR dan tanpa DEP, stack address akan tetap sama setiap kali kita memulai proses. Kita tahu dengan pasti dimana proses pada memori. Maka akan kita lihat bagaimana stack memori akan tampak dengan data test seperti yang didefinisikan di atas:

1

Seperti yang kita lihat pada gambar, esp menunjuk pada stack address 000ff6b0, yang telah diset 0x42424242. Nilai sebelum ini adalah 0x41 dan nilai setelahnya adalah 0x43, seperti yang kita harapkan. Sekarang kita tahu bahwa address yang disimpan pada 000ff6b0 akan dilangkahi. Sehingga kita akan mengatur address ini pada alamat dari beberapa memori yang bisa kita kontrol:

 2

Sekarang kita sudah mengatur nilai dari address 000ff6b0 sehingga eip akan di set ke alamat 000ff6b4, offset berikutnya pada stack. Hal ini akan mengakibatkan 0xCC akan dieksekusi. Yang mana nilai int3 akan dieksekusi. Int3 merupakan op-code dari instruksi yang didefinisikan untuk digunakan oleh debugger untuk secara temporari mengganti suatu instruksi dengan breakpoint pada suatu program yang sedang berjalan. Ketika CPU mengeksekusi Int3, CPU akan memanggil OS interrupt handler yang akan melaporkan sebagai exception pada tipe EXCEPTION_BREAKPOINT pada OllyDbg. Dengan mengeksekusi nilai 0xCC pada stack address, akan mengaktifkan exception dan  menghentikan proses debugger. Hal ini akan mengizinkan kita untuk memverifikasi bahwa program exploit dilakukan dengan sukses.

 3

Sekarang kita akan mengganti memori pada 000ff6b4 dengan shellcode, dengan mengubah payload kita. Ini akan mengakhiri program exploit kita.

Untuk mencegah program exploit ini berhasil dijalankan, maka Data Execution Prevention (DEP) dikembangkan. DEP memaksakan struktur tertentu, termasuk didalamnya adalah stack, yang akan ditandai sebagai non-executable. Hal ini juga semakin didukung oleh dukungan CPU dengan No-Execution (NX) bit, yang juga dikenal dengan XD bit, EVP bit, atau XN bit, yang akan mengizinkan CPU untuk menjalankan eksekusi hingga ke level hardware. Dengan DEP diaktifkan, program exploit sebelumnya tidak akan berjalan.

 4

Exploit akan gagal karena stack ditandai sebagai non-executable, dan kita mencoba untuk mengeksekusinya. Untuk bisa mengatasi hal tersebut, biasanya attacker mengembangkan Return-Oriented Programming (ROP). Hal ini dilakukan dengan menggunakan potongan kecil kode, yang disebut ROP gadget, yang merepresentasikan modul yang sah untuk suatu proses. Gadget ini berisi satu atau lebih instruksi, yang diakhiri oleh return. Dengan menyisipkan ROP ke dalam suatu nilai tertentu pada stack, akan mengizinkan kode untuk dieksekusi.

Pertama-tama, mari kita lihat bagaimana stack kita saat ini:

 5

Kita tahu bahwa kita tidak bisa mengeksekusi kode pada 000ff6b4, maka kita akan mencari kode yang sah yang dapat kita gunakan. Bayangkan jika tugas pertama kita adalah untuk mendapatkan suatu nilai ke dalam register eax. Kita akan mencari kombinasi pop eax; ret , di dalam modul yang dijalankan oleh proses. Setelah kita menemukannya, katakanlah 00401f60, kita akan menempatkan nilai ini pada stack:

 6

Ketika shellcode ini dieksekusi, maka kita akan mendapatkan peringatan access violation:

 7

CPU saat ini akan selesai melakukan hal berikut :

–          Melompati instruksi pop eax ke alamat 00401f60

–          Pop off 0xCCCCCCCC dari stack, ke dalam eax

–          Mengeksekusi ret, pop 0x43434343 ke dalam eip

–          Mengeluarkan preingatan access violation karena 43434343 bukanlah address memori yang valid

Sekarang, dengan membayangkan hal tersebut, bukannya nilai 43434343, nilai pada 000ff6b8 telah diarahkan ke alamat dari ROP gadget yang lain. Yang mana menunjukkan bahwa pop eax telah dieksekusi, yang kemudian adalah gadget kita berikutnya. Kita dapat menghubungkan gadget kita bersama seperti ini. Tujuan awal kita adalah untuk menemukan address dari proteksi memori API, seperti VirtualProtect, dan menandai stack tersebut sebagai executable. Kemudian kita akan memasukkan final dari ROP gadget untuk melakukan proses instruksi jmp esp dan mengeksekusi shellcode.  Dengan ini, maka DEP dapat diterobos.

ASLR dan Cara Kerjanya

Untuk dapat menambal kekurangan dari DEP, dikembangkan ASLR atau Address Space Layout Randomization. ASLR dikembangkan pada 1997 oleh Memco Software, yang diimplementasikan secara terbatas pada stack randomization sebagai bagian dari produk SeOS Access Control. Pengembangan selanjutnya dilakukan dalam PaX Projects, yang merupakan patch pada Linux kernel, dimana desain dan implementasi pertama ASLR diterapkan pada July 2001. Dan mulai penyempurnaan lebih lanjut mulai Oktober 2002 dengan kernel stack randomization.

ASLR menjaga ketika attacker secara tiba-tiba meloncat ke suatu fungsi yang mudah untuk dieksploitasi pada memori tertentu. ASLR akan melakukan pengacakan (randomization) pada posisi key data area pada suatu program, termasuk base dari executable dan posisi dari alokasi memori stack, memori dinamis, dan libraries pada process’s address space.

Pada Windows Vista dan 7, ASLR akan mengacak lokasi dari file executable, DLL, stack dan heap dalam memori. Ketika file executable dimuat ke dalam memori, Windows akan mendapatkan nilai dari timestamp counter (TSC) dari prosesor, untuk kemudian akan digeser (shifted) 4 kali, melakukan pembagian mod dengan 254, kemudian ditambahkan dengan 1. Hasil dari penghitungan tersebut akan dikalikan dengan 64 KB, dan gambar dari file executable akan dimuat didalam memori. Hal ini berarti ada 256 kemungkinan dari lokasi file executable di dalam memori. File-file DLL, melalui proses, akan secara bersama berada pada memori. Offset dari DLL akan ditentukan dari nilai bias sistem yang akan dihitung saat proses boot. Nilai akan dikomputasi sebagai TSC dari CPU ketika fungsi MiInitializeRelocations pertama kali dipanggil, digeser (shifted), dan disamarkan ke dalam nilai 8 bit. Nilai ini hanya akan dihitung sekali saat proses boot dilakukan.

Ketika DLL dimuat, mereka akan menuju shared memory region antara 0x50000000 dan 0x780000000. DLL pertama yang akan dimuat dalam memori yaitu ntdll.dll, yang akan dimuat pada 0x780000000 – bias * 0x100000, yang mana nilai bias adalah merupakan lebar bias sistem (widesystem bias). Karena menghitung offset module akan menjadi sangat trivial ketika mengetahui base dari ntdll.dll, maka urutan dimana module akan dimuat akan teracak juga.

Ketika threads dibuat, maka lokasi dari stack base mereka akan teracak. Hal ini akan dilakukan dengan menemukan 32 lokasi yang sesuai di dalam memori, untuk kemudian dipilih nilai TSC saat itu dan menggeser serta menyamarkannya ke dalam nilai 5 bit. Setelah base address selesai dihitung, bilangan 9 bit lain yang diturunkan dari TSC akan digunakan untuk menghitung final stack base address. Hal ini secara teoretis akan menghasilkan derajat keteracakan (randomness) yang tinggi.

Pada akhirnya, lokasi dari heap dan alokasinya akan teracak. Hal ini dihitung dari nilai 5-bit TSC yang diturunkan, kemudian dikalikan dengan 64KB, yang akan menghasilkan rentang heap yang memungkinkan dari 00000000 hingga 001f0000.

Ketika mekanisme ASLR ini dikombinasikan dengan DEP, kita akan terhindarkan dari eksekusi shellcode atau proses exploit secara umum. Hal ini tidak hanya dikarenakan kita tidak bisa mengeksekusi stack, melainkan juga kita tidak tahu dimanakah instruksi ROP akan berada di dalam memori.

Referensi:

[1] http://en.wikipedia.org/wiki/Address_space_layout_randomization (diakses 30 Oktober 2013 pukul 18.00)

[2] http://en.wikipedia.org/wiki/Data_Execution_Prevention  (diakses 30 Oktober 2013 pukul 18.00)

[3] http://security.stackexchange.com/questions/18556/ (diakses 29 Oktober 2013 pukul 20.00)

[4] ________, DEP/ASLR Implementation Progress in Popular Third-party Windows Applications, Secunia Research (2010)

Block Spoofed Emails

Mitigation Strategy #19 – Block Spoofed Emails

1. Overview

Artikel ini berisi mengenai salah satu permasalahan pada keamanan informasi, yaitu email spoofing. Penjelasan yang ada pada artikel ini mencakup deskripsi, permasalahan yang dapat muncul karena email spoofing, dan strategi mitigasi untuk mencegah kebocoran keamanan informasi dengan melakukan block spoofed emails.

Email spoofing dapat mengganggu keamanan suatu sistem, karena dapat menyebabkan hilangnya kerahasiaan informasi-informasi sensitif. Kerahasiaan (confidentiality) adalah salah satu dari tiga atribut utama keamanan informasi.

Gambar 1Gambar 1 Tiga atribut utama keamanan informasi

Pengeblokan spoofed email termasuk dalam “Top 35 Mitigations Strategy for Targeted Cyber Intrusions” yang dirilis oleh Department of Defence dari pemerintah Australia [1].

2. Deskripsi Spoofed Emails – Apa itu email spoofing?

Pernahkah Anda menerima suatu email yang tampak berasal dari administrator suatu sistem, pihak bank, atau pemerintah

Email spoofing dapat muncul dalam berbagai bentuk, namun memiliki hasil yang sama, yaitu seseorang menerima email yang tampak berasal dari suatu sumber, padahal email ini dikirimkan oleh sumber yang berbeda [2]. Email spoofing sering digunakan untuk menipu user untuk mengeluarkan pernyataan yang sensitif, misal password.

Email spoofing dapat didefinisikan sebagai pemalsuan atau modifikasi header dari suatu email sehingga email yang diterima oleh seorang user tampak seperti dikirimkan oleh suatu sumber yang bukan sumber asli email [3]. Email spoofing dapat digunakan oleh distributor spam untuk membuat user penerima email lebih terbuka dan merespon spam yang dikirimkan.

Contoh bentuk spoofed email yang dapat mempengaruhi keamanan :

–          Email yang tampak berasal dari administrator suatu sistem, yang meminta supaya user mengubah password ke string tertentu, dengan ancaman memblokir akun user

–          Email yang tampak berasal dari pihak dengan otoritas yang meminta user mengirimkan file berisi informasi penting, seperti password dan lain-lain

Pada Gambar 2, dapat diamati spoofed email yang dikirimkan seolah-olah dari pihak administrator untuk mengubah password user ke string tertentu.

Gambar_02_spoofed_emailGambar 2 Spoofed email example.

3. Mengapa, Bagaimana melakukan Email Spoofing?

Standar protokol yang digunakan untuk melakukan proses transmisi email melalui IP adalah Simple Mail Transfer Protocol (SMTP). Spoofed emails dapat dibuat karena SMTP tidak memiliki proses autentikasi yang baik. Siapapun dapat melakukan koneksi ke SMTP suatu situs dan memberikan perintah untuk mengirimkan spoofed email. Untuk melakukan email spoofing, pengirim memberikan perintah ke header email yang dapat mengubah informasi yang ada pada email, seperti identitas pengirim, isi email, dan lain-lain.

BlockSpoofedEmail_Gambar_03_SMTP

Gambar 3 SMTP

4. Overview Block Spoofed Emails as Mitigations Strategy

Dalam melakukan pengeblokan spoofed emails, dapat digunakan dua metode, yaitu Sender Policy Framework (SPF) dan DomainKeys Identified Mail (DKIM). SPF menunjukkan mail server mana yang memiliki otoritas untuk mengirimkan email [4]. Server email penerima akan melakukan pengecekan apakah email yang diterima didapatkan dari server email yang memiliki otoritas. Pengecekan ini akan memverifikasi bahwa email datang dari server yang memiliki otoritas.

Berbeda dengan SPF, DKIM bekerja dengan cara menambahkan informasi tertentu ke dalam email sehingga email sulit dipalsukan. DKIM menambahkan suatu digital signature, sehingga penerima dapat melakukan pengecekan apakah signature yang diberikan pada email sesuai.

5. Sender Policy Framework (SPF)

Pada bagian berikut akan dibahas mengenai Sender Policy Framework (SPF) sebagai salah satu teknik untuk mengeblok spoofed emails [5].

5.1 Apa itu SPF?

SPF adalah suatu sistem validasi email yang dibuat untuk mendeteksi dan mengeblok spoofed emails. SPF melakukan deteksi dan pengeblokan email dengan cara verifikasi server email pengirim sebelum meneruskan email ke penerima.

SPF memungkinkan pengguna untuk menspesifikasikan server yang diperbolehkan untuk mengirim email pada domain mereka, dan dapat memberikan informasi untuk dicek oleh penerima. Pemilik domain dapat menghindari penggunaan domain mereka untuk spoofing dengan membuat SPF record, yang berisi daftar domain atau IP address valid yang memiliki otoritas mengirim email untuk domain mereka.

Dari pihak penerima email, server penerima yang memiliki fasilitas pengecekan SPF dapat melakukan validasi keabsahan pengirim dengan mengecek SPF record yang sudah dibuat oleh domain pengirim email.

Prosedur sejenis SPF juga digunakan oleh server email Microsoft Exchange dengan nama “Sender ID”.

5.2 SPF Implementation

Seperti dibahas pada bagian sebelumnya, SPF diimplementasi dalam dua bagian, yaitu bagian checking (penerima) dan publishing (pengirim).

  1. SPF Checking

SPF Checking diimplementasikan untuk mengecek validitas email yang masuk. Pengecekan yang dilakukan adalah apakah email dikirimkan oleh sumber dengan otoritas.

2.   SPF Publishing

SPF Publishing memungkinkan publikasi email server yang memiliki otoritas untuk mengirimkan email.

5.3 SPF Checking Steps

  1. Pasang SPF software yang compatible dengan server email yang digunakan, misal SpamAssassin dari Apache
  2. Daftar software yang memanfaatkan SPF dapat diamati pada [6]
  3. Ada dua metoda yang dapat dipilih dalam menangani spoofed email. Metoda pertama adalah “hard-fail”, yaitu spoofed email tidak diteruskan dan diblok di gateway. Metoda kedua adalah “soft-fail”, yaitu meneruskan spoofed email ke penerima dengan menambahkan flag.
  4. Atur dan uji SPF software yang dipasang, apakah compatible
  5. Monitoring log SPF untuk mendeteksi email legitimate yang dianggap spoofed (false negative).

5.4 SPF Publishing Steps

  1. Tentukan outgoing mail server yang digunakan
  2. Pastikan HELO/EHLO mengirimkan hostname yang valid. HELO/EHLO adalah mekanisme identifikasi sederhana yang mengandalkan DNS hostname di proses SMTP. Pastikan proses identifikasi dengan HELO menggunakan hostname yang valid
  3. Buat SPF Record dengan syntax seperti pada contoh:

agency.gov.au. IN TXT v=spf1 a mx a: domain1.gov.au a: domain2.gov.au ipaddress1 ipaddress2 -all

  4.   Dengan keterangan:

  • agency.gov.au. nama domain
  • v=spf1 mendefinisikan versi SPF yang digunakan
  • a dan mx mendefinisikan email server yang memiliki otoritas
  • a: domain1.gov.au a: domain2.gov.au ipaddress1 ipaddress2 adalah daftar yang dapat mengirimkan email
  • -all  menspesifikasikan metoda penanganan “hard-fail”

5.   Jika domain memang dibuat tanpa fasilitas pengiriman email, syntax dapat langsung berupa:

agency.gov.au. IN TXT v=spf1 -all

 6.   Untuk memilih metoda “soft-fail”, dapat dilakukan dengan mengganti –all menjadi ~all

 7.   Berikan informasi pada user mengenai penggunaan SPF dan cara penanganan (soft atau hard-fail). User juga dapat memberikan laporan mengenai kesalahan-kesalahan yang terjadi di lapangan.

 8.   Pengetesan dan deployment SPF

 9.   Monitoring log SPF

Untuk contoh mail server yang memanfaatkan SPF dapat diamati pada Gambar 4 dan Gambar 5. Gambar 4 dan Gambar 5 menunjukkan tampilan cpanel dari suatu domain yang menggunakan mail server Atmail. Untuk SPF checking, domain ini menggunakan SpamAssassin seperti tampak pada Gambar 4. SpamAssassin dalam melakukan filtering spoofed email menggunakan metode SPF [6]. Sedangkan pada Gambar 5, dapat diamati fasilitas SPF Publishing yang disediakan pada domain. Administrator dapat memasukkan SPF record seperti yang ditunjukkan pada step-step sebelumnya.

BlockSpoofedEmail_Gambar_04_Spamassassin

Gambar 4 SpamAssassin

BlockSpoofedEmail_Gambar_05_SPF

Gambar 5 Fasilitas SPF Publishing pada suatu domain

5.5 Kekurangan SPF

SPF dapat dengan baik melakukan pengeblokan terhadap spoofed email dari external. Namun, SPF tidak dapat melakukan pengeblokan terhadap spoofed email yang berasal dari dalam (cross-user forgery), yaitu saat seorang user dalam suatu domain membuat spoofed email menggunakan address user lain dalam domain tersebut.

6. Pengguna SPF

Pada bagian ini akan diberikan daftar pengguna SPF [6]. Software anti spam seperti SpamAssassin v3.0.0 dan ASSP menggunakan SPF. Selain itu, banyak Mail Transfer Agent (MTA) yang memanfaatkan SPF sebagai mitigasi, yaitu Courier, CommuniGate Pro, Wildcat, mdaemon, dan Microsoft Exchange. Selain itu, beberapa MTA juga memiliki plug-in yang dapat mendukung penggunaan SPF, seperti Postfix, Sendmail, Exim, qmail, dan Qpsmtpd.

7. DomainKeys Identified Mail (DKIM)

Berbeda dengan SPF, DomainKeys Identified Mail adalah metode autentikasi email berbasis cryptographic signing [7]. DKIM dibuat dari merger antara Yahoo! DomainKeys dan Identified Internet Mail (IIM) milik Cisco.

DKIM dilakukan dengan cara organisasi pengirim email membubuhkan tanda tangan digital (digital signature) yang berhubungan dengan domain name dari organisasi tersebut. Pembubuhan tanda tangan digital dapat dilakukan oleh organisasi pengirim sendiri maupun pihak ketiga yang diberi otoritas. Biasanya, pembubuhan tanda tangan dilakukan oleh Mail Transfer Agent (MTA) atau MSA dari organisasi.

Sama dengan pada SPF, DKIM dilakukan dengan menggunakan suatu DNS record yaitu DKIM-Signature: header field. Mekanisme penggunaan DKIM [8] dapat diamati pada Gambar 6 berikut. Pada Gambar 6, dapat diamati arsitektur sistem DKIM. DKIM menggunakan asymmetric encryption, yaitu menggunakan sepasang public key dan private key.

BlockSpoofedEmail_Gambar_06_DKIMArchitecture

Gambar 6 Arsitektur Sistem DKIM

Mekanisme DKIM dapat dibagi menjadi dua bagian utama, yaitu proses Signing dan proses Verifying. Pada proses Signing dengan SDID (Signing Domain Identifier), digunakan private key yang dimiliki oleh pihak pemberi tanda tangan. Proses Signing dilakukan di dalam Administration Management Domain (ADMD) pengirim. Proses verifying dilakukan di dalam ADMD delivery dengan menggunakan informasi pada data public key. Jika pasangan kunci sesuai (signature verifying pass), dilakukan proses assessment pada signature berdasarkan reputasi pemberi tanda tangan. Informasi ini akan diberikan pada engine filtering DKIM. Jika verifying gagal atau tidak ada signature pada email. akan dilakukan pengecekan apakah memang tidak diperlukan tanda tangan, atau email yang diterima merupakan spoofed-email.

Sama seperti SPF yang merupakan metoda dengan dua sisi pengguna, DKIM juga membutuhkan peran baik dari pengirim maupun penerima email. Pada pihak pengirim, proses dilakukan biasanya di Outbound MTA . Proses pembubuhan tanda tangan digital tentu membutuhkan suatu software yang dapat:

  • Memperoleh private key yang bersangkutan
  • Melakukan perhitungan (hashing, pembuatan signature, pembuatan key)
  • Membubuhkan signature (message header field DKIM-Signature: ).

Pihak penerima email juga memerlukan perangkat yang dapat:

  • Memperoleh public key yang bersangkutan
  • Melakukan perhitungan (hashing, verifikasi signature)
  • Memberikan hasil verifikasi ke filtering engine.

Pada Gambar 7, ditunjukkan fasilitas DKIM yang disediakan pada suatu domain.

BlockSpoofedEmail_Gambar_07_DKIM

Gambar 7 Fasilitas DKIM pada suatu domain

8. Pengguna DKIM

Pada tabel berikut dapat diamati beberapa organisasi dan software yang menggunakan DKIM. Untuk lebih lengkap dapat dilihat pada [9]. Keterangan pada Tabel 1, MTA adalah Mail Transfer Agent, Filter adalah Email Filtering Engine, dan Send adalah Email Sending Engine. Dari Tabel 1, dapat diamati bahwa DKIM banyak digunakan, baik sebagai Mail Transfer Agent, Email Filtering Engine, maupun Email Sending Engine.

 Tabel 1 List Pengguna DKIM

Organisasi

Package

Role

ALT-N

mdaemon

MTA

Apache

SpamAssassin

Filter

IceWarp Software

IceWarp Server 9

MTA

Port25

Power MTA

MTA

Postfix

Postfix using dkim-milter

MTA

Sendmail

dkim-milter

Filter

Strongmail

Strongmail

Multiple

messagesystems

Ecelerity

MTA

ColdSpark

SparkEngine

Send

Zrinity

XMS

MTA, Filter

Barracuda Networks, Inc

Barracuda Spam Firewall

Filter

EXIM

EXIM

MTA

Google

gmail.com, googlemail.com, google.com

MTA

9. Contoh Insiden

Ada beberapa contoh insiden yang disebabkan oleh spoofed emails. Pada artikel ini, akan diberikan dua buah contoh insiden spoofing email. Contoh insiden pertama terjadi pada tahun 2012, dimana Japan Bank for International Cooperation (JBIC) menjadi korban email spoofing [10]. Kasus email spoofing yang terjadi ini didahului oleh infeksi virus Trojan pada salah satu PC staff JBIC. Virus trojan ini mengakibatkan beberapa informasi yang ada pada sistem JBIC bocor, sehingga dapat digunakan untuk membuat spoofed emails semakin terlihat valid (legitimate). Setelah kebocoran data terjadi, terdata semakin banyak email spoofing yang dibuat dengan sender dari domain JBIC. JBIC mendeteksi adanya spoofed email dengan menggunakan free email seperti @yahoo dan @aol dan menggunakan nama-nama staff yang bekerja di JBIC. Selain itu, spoofed email yang terdeteksi menggunakan domain name @jbic.go.jp.

Contoh insiden kedua terjadi pada D&B Credibility Insights. Beberapa pengguna layanan yang diberikan pada D&B Credibility Insights menerima suatu email yang berisi mengenai customer complaint dan memiliki attachment [110]. Pada isi email, pengirim meminta supaya user mengunduh attachment yang ada. Spoofed email ini menggunakan address alert@dnb.com, padahal D&B tidak pernah mengirimkan email ini. Attachment yang ada pada isi email juga ternyata berisi Malware.

Penggunaan SPF akan bermanfaat untuk menghindari spoofed email dengan domain @jbic.go.jp dan @dnb.com, karena pada pihak client, dapat dilakukan pengecekan validitas pengirim, baik dengan IP address maupun domain name pengirim.

Selain itu, dapat juga digunakan DKIM sebagai proses autentikasi email. Dengan adanya DKIM, akan sulit melakukan spoofing email, karena dibutuhkan signature yang hanya dimiliki pihak dengan otoritas.

10. References

[1]     Strategies to Mitigate Targeted Cyber Intrusions – Mitigation Details, [Online], Available: http://www.asd.gov.au/infosec/top-mitigations/top35mitigation-details.htm. [Accessed: Oct. 26, 2013] [2]     Spoofed/Forged Email, [Online], Available: http://www.cert.org/tech_tips/email_spoofing.html. [Accessed: Oct. 26, 2013] [3]     email spoofing, [Online], Available: http://searchsecurity.techtarget.com/definition/email-spoofing. [Accessed: Oct. 27, 2013] [4]     Send better email: Configure SPF and DKIM for Google Apps, [Online], Available: http://www.techrepublic.com/blog/google-in-the-enterprise/send-better-email-configure-spf-and-dkim-for-google-apps/. [Accessed: Oct 27, 2013] [5]     Send better email: Configure SPF and DKIM for Google Apps, [Online], Available: http://www.techrepublic.com/blog/google-in-the-enterprise/send-better-email-configure-spf-and-dkim-for-google-apps/. [Accessed: Oct 27, 2013] [6]     Sender Policy Framework Implementations, [Online], Available: http://www.openspf.org/Implementations. [Accessed: Oct 27, 2013] [7]     C. Dave, “Trust in Email Begins with Authentication,” issued by Messaging Anti-Abuse Working Group (MAAWG), San Fransisco: 2008.

[8]     DomainKeys Identified Mail (DKIM) Service Overview, [Online], Available: http://www.dkim.org/specs/rfc5585.html. [Accessed: Oct 30, 2013] [9]     DKIM Software and Services Deployment Reports, [Online], Available: http://www.dkim.org/deploy/index.html. [Accessed: Oct 30, 2013] [10]     Warning: Spoofed E-mails Disguised as JBIC Staff, [Online], Available: http://www.jbic.go.jp/en/about/news/alert_mail/index.html. [Accessed: Oct 28, 2013] [11]     Did you get a Customer Complaint Email from D&B?, [Online], Available: http://blog.dandb.com/2013/02/19/customer-complaint-email-dnb/#wrap. [Accessed: Oct 28, 2013]

Contributor:

Renard Xaviero Adhi Pramono (23213031)

Mochammad Fadhli Zakiy (23213127)

Mitigation Strategy #20 – User education

Muhammad Akbar Jamaludin (23213020)

Elian Daiva (23213021)

Introduction

Saat ini, teknologi informasi telah berkembang dengan sangat pesat dan digunakan di berbagai area seperti bisnis, organisasi, perusahaan, dan pemerintahan. Penggunaan teknologi informasi di berbagai area penting membuat keamanan informasi menjadi bagian penting yang tidak dapat dipisahkan dari teknologi informasi. Hal ini terkait kebutuhan akan confidentiallyintegrity, dan availability dari informasi-informasi yang berada di jaringan IT. Keamanan informasi semakin dirasa penting setelah meningkatnya pelanggaran keamanan informasi yang membuat keugian yang sangat besar pada bisnis, organisasi, perusahaan, ataupun pemerintahan yang terkena dampak.

Sebagian orang berpikiran bahwa teknologi sudah dapat menjadi solusi untuk menjaga keamanan  informasi. Seringkali perhatian utama di keamanan informasi ini banyak difokuskan pada aspek teknis saja. Akan tetapi, pada kenyataannya, teknologi saja tidak dapat menangani semua risiko kemanan informasi, justru penggunalah yang menjadi garda terdepan dalam pertahanan di keamanan informasi. Setiap organisasi yang memikirkan mitigasi risiko keamanan informasi melalui penanggulangan teknologi saja akan gagal pada akhirnya (Mitnick and Simon, 2003).

Dalam organisasi, setiap karyawan  (pengguna) harus yakin dan diajarkan untuk berkontribusi dan mematuhi aturan keamanan informasi, implementasi, dan pengendalian dalam rangka menyukseskan dan mengefektifkan manajemen keamanan informasi (Ashenden, 2008 and Williams, 2008). .

Ketika membicarakan tentang pengguna, hal yang dapat meningkatkan keamanan informasi terletak pada pelatihan dan pendidikan. Pelatihan dan pendidikan ini tidak hanya terkait keamanan teknis staff IT saja, tetapi juga terkait penumbuhan kesadaran dan kepedulian akan keamanan informasi.

Pendidikan keamanan informasi untuk pengguna dilakukan agar pengguna dapat menghindari:

  1. Memilih passphrase yang lemah
  2. Menggunakan kata sandi yang sama terus menerus pada sistem yang sama
  3. Menggunakan kata sandi yang sama di tempat yang berbeda
  4. Mengunjungi situs web yang tidak terkait dengan pekerjaan
  5. Mengekspos alamat email dan informasi pribadi lainnya
  6. Menggunakan perangkat USB dan peralatan lainnya yang diragukan keamanannya.

Mendidik pengguna tentang kepedulian keamanan informasi membantu pengguna untuk melindungi dan menangani dengan tepat informasi-informasi sensitif yang telah dipercayakan untuk ditangani pengguna tersebut. Pendidikan pengguna ini dapat mengurangi tingkat resistensi pengguna dalam pelaksanaan strategi mitigasi.

Pendidikan pengguna ini perlu disesuaikan dengan peran yang pekerjaan pengguna itu sendiri. Pendidikan khusus harus diberikn untuk pengguna dengan peran khusus, misalnya:

  1. Pengembang perangkat lunak diberikan pendidikan untuk menulis kode dengan aman
  2. Penguji perangkat lunak diberikan pendidikan terkait metode pendeteksian vulnerabilities (kerentanan) dari perangkat lunak yang diuji.
  3. Staf yang memiliki peran teknis administratif (seperti admin jaringan, admin jaringan, dll) diberikan pendidikan terkait keamanan IT dan teknik-teknik yang mungkin dilakukan pihak penyerang.
  4. Bagian bisnis diberikan pendidikan terkait pemahaman akan risiko dan bagaimana mengintegrasikan fungsi bisnis dengan risiko

Keberhasilan program pendidikan terhadap pengguna ini dapat dilihat dari penurunan frekuensi dan tingkat keparahan dari insiden yang terjadi terutama insiden-insiden yang terkait dengan pengguna secara langsung, contohnya adalah dengan adanya laporan terkait adanya email-email yang mencurigakan.

Contoh studi kasus 1 :

Detecting Socially-Engineering Emails

sumber: http://www.asd.gov.au/publications/csocprotect/socially_engineered_email.htm

Mengirimkan email socially-engineering adalah salah satu teknik yang paling umum digunakan dalam intrusi cyber yang berbahaya yang menargetkan lembaga pemerintahan Australia. Cara ini dilakukan dengan cara menipu penerima email untuk mendownload perangkat lunak berbahaya dengan mengklik link atau lampiran. Link atau lampiran ini mungkin terlihat seperti terkait dengan pekerjaan atau terkait dengan sebuah kepentingan tertentu, dan dapat muncul dari orang yang dikenal. Secara tidak sengaja mengakses file-file ini dapat menyebabkan konsekuensi yang serius., termasuk pencurian informasi pemerintah Australia.

Email-email ini ditargetkan kepada pejabat senior dan staf mereka, admin, pengguna dengan akses ke informasi sensitif, pengguna yang mempunyai akses.Pengguna tersebut harus sangat waspada dan menerapkan strategi untuk mengurangi risiko.

Email socially-engineering ini dapat sangat canggih, tetapi ada beberapa cara yang dapat dilakukan untuk membedakannya dari email yang sah. Beberapa hal yang perlu dipertimbangkan diantaranya:

–          Apakah anda benar-benar tahu siapa yang mengirim email?

  • Apakah anda mengenali pengirim dan alaman email mereka?
  • Apakah isi konten selaras dengan apa yang Anda harpkan dri pengirim?
  • Apakah pengirim meminta anda untuk membuka lampiran atau mengakses situs web?

–          Apakah anda mengharapkan email dari mereka?

Email socially-engineering ini dapat dibuat dari sumber yang terpercaya, termasuk dari dalam organisasi anda.

–          Apakah isi email relevan dengan pekerjaan anda?

Pelaku cyber yang berbahaya dapat menggunakan email penipuan yang berhubungan dengan bidang yang anda minati.

–          Apakah email meminta Anda untuk mengkses situs web atau membuka lampiran? Teknik ini biasanaya digunakan untuk menjalankan kode berbahaya pada komputer korban yang dapat membahayakan data-data di dalamnya. Lebih baik mengetikkan alamat web langsung ke browser daripada mengklik link. Lakukan penilaian dan berhati-hati saat membuka lampiran atau mengakses website.

–          Apakah alamat web relevan dengan isi email?

Selalu temptkan mouse di atas link dan memeriksa bahwa alamat link konsisten dengan link. Mengklik link bisa mengarahkan Anda ke situs web berbahaya.

–          Apakah email tersebut berasal dari alamat email pribadi? Jika isi email terlihat tidak biasa, email bisa berbahaya. Hubungi pengirim untuk memverifikasi email sebelum membuka lampiran atau mengklik link apapun.

–          Apakah anda curiga dengan penulisan email?

–          Salah ejaan,  kapitalisasi, penggunaa bahasa, atau adanya penerima tertentu dapat menunjukkan email tersebut tidak sah

–          Apakah anda menerima email yang sama dua kali? Ini bisa menjadi pertanda bahwa pelaku berusaha meningkatkan peluang Anda untuk membuka email dan melakukan tindakan sesuai permintaan pengirim.

Untuk menangani email-email yang berbahaya dapat dilakukan dengan cara menghubungi tim keamanan IT di tempat bekerja, dan jangan menghapus atau meneruskan email yang dicurigai berbahaya.

Contoh studi kasus 2 :

Studi kasus ini didapatkan dari paper berjudul “The positive outcomes of information security awareness training in companies A case study”. Studi kasus ini dilakukan pada sebuah perusahaan transportasi terbesar di Turki yang memiliki sekitar 3000 karyawan. Untuk privasi dan keamanan perusahaan, nama resmi perusahaan, nama orang dan departemen tidak dinyatakan secara eksplisit dalam penelitian ini.

Situasi awal : Masalah dan kebutuhan

Dalam beberapa tahun terakhir telah terjadi beberapa insiden keamanan informasi terutama yang berkaitan dengan kontrol akses pada sistem TI. Insiden ini diantaranya adalah pengungkapan beberapa data rahasia kepada beberapa klien atau perusahaan lain, menghapus atau mengubah beberapa ctatatn dengan menggunakan kredensial akses karyawan lain, dan pengungkapan semua gaji karyawan dengan mengakses file bagian SDM. Insiden ini terjadi akibat penyalahgunaan hak akses pengguna dengan memberikan password komputer, menggunakan password yang sangat mudah dan sederhana, meninggalkan layar komputer aktif selama jam makan siang atau setelah jam kantor.

Manajemen senior menginginkan adanya penanggulangan yang tepat dan efektif untuk mengurangi pelanggaran tersebut. Ia juga menetapkan bahwa sebagian pelangaran yang terjadi merupakan kesalahan yang tidak disengaja dan ketidaktahuan adalah maslaah utama. Salah satu perhatian dari manajemen senior adalah untuk mengembangkan standar dan kepatuhan untuk penggunaan yang tepat dari password dalam keseluruhan perusahaan. Pada saat itu, perusahaan belum menerapkan Sistem Manajemen Keamanan Informasi (SMKI). Perusahaan juga tidak memiliki kebijakaan atau prosedur keamanan resmi yang tertulis.

Program untuk menumbuhkan kepedulian terhadap keamanan informasi

Tujuan utama dari program ini adalah untuk memperluas penggunaan passord yang tepat di perusahaan dan untuk meminimalkan risiko yang relevan. Pembentukan kesadaran keamanan informasi pada level yang dapat diterima adalah strategi daar untuk mencapai tujuan ini. Level ini diputuskan bersama oeh Manajer Keamanan Informasi dan Manajer senior lainnya. Semua metode, dan program-program terkait kampanye kesadaran keamanan informasi diputuskan bersama juga.

Strategi

Langkah awal yang dilakukan adalah dengan melihat situasi saat ini, melihat insiden keamanan yang relevan yang terjadi sebelumnya beserta dampak yang ditimbulkannya, tingkat risiko saat ini (dianalisis dengan analisis risiko kualitatif sederhana). Audit tingkat kelemahan sandi dilakukan di seluruh perusahaan.

Sebuah rencana yang rinci disiapkan untuk kampanye kesadaran keamanan informasi dengan semua tugas yang diperlukan, batasan waktu, dan juga sumber daya. Beberapa penanggulangan proyek untuk mitigasi risiko dimasukan dalam rencana. Proyek pertama adalah dengan menyiapkan dan mengaktifkan akses kontrol, serta kebijakan, dan prosedur penggunaan password. Materi pelatihan terkait kepedulian terhadap keamanan informasi dan pelatihan dikerjakan secara paralel.

Audit dilakukan setelah 6 bulan proyek berjalan dan juga di akhir tahun. Pada saat yang sama, audit non-teknis dilakukan pada beberapa karyawn yang dipilih secara acak. Semua hasil audit dan hasil feedback dari pengguna dikumpulkan dan dianalisis oleh manajemen senior. Semua manajer memiliki kesempatan untuk meninjau hasil, membandingkan hasil dengan tujuan awal dan indikator kunci dari tujuan serta memutuskan apakah perlu untuk mencari perbaikan lebih lanjut atau tidak.

Seluruh strategi / tahapan dalam proyek ini disusun mirip “PDCA – Plan, Do, Check, Act” model untuk manajemen keamanan inormasi seperti yang terdapat pada ISO 27001 : 2005.

Ruang Lingkup dan Tujuan Proyek

Proyek ini akan dilakukan untuk semua karyawan di perusahaan, di mana semua karyawan ini ikut berpartisipasi daam pealtihan dan dalam emua kegiatan kampanye kesadaran keamanan informasi.

Tujuan proyek ini adalah:

  1. Durasi proyek pelatihan adalah persis 1 tahun . Setelah mendapatkan dan meninjau hasil untuk efisiensi dan efektivitas pelatihan , pelatihan lebih lanjut dan / atau kegiatan kesadaran tambahan akan direncanakan dan diimplementasikan.
  2. Dalam satu tahun , semua kebijakan keamanan informasi yang relevan dan prosedur harus disetujui dan harus ditindak secara resmi
  3. Seperti saat sesi pelatihan , semua kampanye kesadaran lain dalam rencana harus diaktifkan
  4. Pada akhir tahun pertama , setidaknya penurunan 30 % dalam password yang sangat lemah harus diperhatikan ( manajemen senior menyimpulkan bahwa password rusak dalam waktu kurang dari 15 menit dianggap sangat lemah ).
  5. Pada akhir tahun pertama , setidaknya 75 % dari karyawan dalam perusahaan harus telah dilatih .
  6. Di antara karyawan secara acak disurvei dan diaudit , setidaknya 50 % dari mereka harus menggunakan password mereka aman dan benar dan harus sesuai dengan kebijakan keamanan informasi dan prosedur .

Metode dan tools yang digunakan

Pelatihan untuk peningkatan kesadaran keamanan informasi ini dibimbing oleh tim instruktur berpengalaman dari konsultan keamanan informasi yang digunakan perusahaan. Pelatihan dilaksanakan dalam waktu 120 menit yang dibagi menjadi 2 sesi. Khusus staff IT, pelatihannya dipisahkan karena ada pembahasan aspek-aspek yang sifatnya teknis. Untuk manajer juga dberikan pelatihan  khusus oleh manajer keamanan informasi dalam ssi tunggal 60 menit. Pelatihan ini tidak hanya terkait penggunaan password, tetapi konsep lain terkait keamanan informasi yang penting bagi perusahaan.

Kampanye kesadaran keamanan informasi juga dilakukan dengan berbagai cara seperti pemasangan poster, pembuatan animasi flash, pembuatan pesan berbasis web, karikatur dan video, teka-teki yang menarik, dan kuis yang dapat diakses oleh semua karyawan.

Bagian lain dari proyek ini adalah audit keamanan informasi. Audit ini dilakukan 3 kali, yaitu sebelum inisiasi proyek, 6 bulan keberjalanan proyek, dan terakhir dilakukan 1 tahun setelah inisiasi proyek. Audit ini dilakukan paralel dengan kegiatan pelatihan dan kampanye.

Hasil Audit

Hasil utama dari proyek ini adalah:

  • 85 % dari semua karyawan kerah putih di perusahaan mengikuti pelatihan kesadaran .
  • 100 % dari personil TI menghadiri pelatihan kesadaran .
  • 85 % dari manajer perusahaan dan departemen mengikuti pelatihan .
  • Semua kebijakan keamanan informasi dan prosedur dalam lingkup proyek telah diaktifkan dan diterapkan .
  • Enam dari delapan kegiatan kesadaran dilakukan .
  • Di antara karyawan 190 yang dipilih secara acak dan diaudit , 114 dari mereka memenuhi kedua kebijakan password dan kebijakan keamanan lainnya / prosedur .

Gambar di bawah ini menunjukkan penggunaan password yang dapat dibobol dalam waktu kurang dari 1 menit :

akbar 3

Gambar di bawah ini menunjukkan penggunaan password yang dapat dibobol dalam waktu kurang dari 2 jam :

akbar 4

Gambar di bawah ini menunjukkan penggunaan password yang dapat dibobol dalam waktu kurang dari 24 jam :

akbar 5

Detailnya dapat dilihat pada tabel di bawah ini:

akbar 7

Tabel di bawah ini menunjukkan pemilihan password sebelum dilakukan pelatihan peningkatan kesadaran dalam keamanan informasi.

akbar 6

Referensi

[1] Mete Eminağaoğlu, Erdem Uçar, and Şaban Eren, The positive outcomes of information security awareness training in companies – A case study, Information Security Technical Report, Volume 14, Issue 4, November 2009, Pages 223–229,  http://dx.doi.org/10.1016/j.istr.2010.05.002

[2] http://www.asd.gov.au/publications/csocprotect/socially_engineered_email.htm (diakses tanggal 30 Oktober 2013 pukul 20.00)

[3] H.F. Tipton, M. Krause, Information security management handbook, Auerbach Publications (2007)

[4] IT Governance Institute, Information security governance: guidance for information security managers, ITGI Publishing (2008)

Web Domain Whitelisting for All Domains

Komputer dan jaringan merupakan bagian yang sangat penting untuk dijaga keamanannya. Attack yang terjadi di sebuah organisasi besar, kecil maupun individual dapat dikarenakan pengaksesan web domain yang tidak secure maupun malicious website sehingga dari pengaksesan itulah attack dari luar dapat terjadi.

_59273631_http

Pengaksesan web domain yang tidak aman ini hanya dapat dicegah dari internal suatu organisasi maupun individual. Oleh karena itu dibutuhkan teknik untuk meloloskan web domain mana yang dapat diakses dan mana yang tidak dapat diakses berdasarkan sekuritasnya sehingga dapat meminimalisir serangan yang mungkin terjadi akibat malicious website.

Teknologi  blacklist dan whitelist adalah suatu metode untuk mengatasi permasalahan tersebut. Blacklist merupakan daftar dari sekumpulan web domain ataupun alamat email, dan URL yang terindikasi tidak “aman” sehingga secara otomatis akan diblokir oleh komputer maupun jaringan agar tidak dapat diakses. Sedangkan prinsip whitelist kebalikan dari blacklist yaitu daftar yang diperbolehkan untuk diakses oleh komputer atau jaringan dimana terdapat sekumpulan URL, web domain maupun alamat email yang “aman” .

Teknologi whitelist ini banyak digunakan karena dapat menjadi kontrol akses sehingga komputer atau jaringan tertentu hanya dapat mengakses domain atau menerima email yang diperbolehkan atau diijinkan oleh organisasi maupun individu. Misalnya, seorang pegawai customer service dari sebuah bank yang bekerja menggunakan komputer dan jaringan, hanya dapat mengakses web domain perusahaan bank tersebut sehingga selain pengaksesan itu maka tidak diperbolehkan. Whitelist ini juga mencegah penggunanya dari email yang terindikasi “tidak aman” sehingga penggunanya hanya dapat menerima alamat email yang telah terdaftar sebagai alamat email yang aman sehingga pegawai customer service bank seperti contoh tadi hanya menerima alamat email yang memang termasuk ke dalam whitelist untuk mengurangi adanya attack yang dikirim melalui email yang dapat mengganggu jalannya bisnis perusahaan maupun kegiatan individu yang menggunakan komputer dan internet.

Teknik Web Domain Whitelisting

 Web domain whitelisting merupakan teknik yang hanya memperbolehkan pengaksesan domain web yang spesifik – yang telah diketahui merupakan domain yang “baik”, dan memiliki kebijakan penolakan default. Artinya, pada teknik whitelisting, semua domain akan ditolak kecuali yang terdapat pada whitelist. Blacklisting merupakan kebalikan dari whitelisting, dimana domain web diperbolehkan secara default, dan hanya menolak domain yang “buruk” yang terdapat pada blacklist.

Berikut ini merupakan gambaran umum arsitektur web domain whitelisting.

Berdasarkan skenario permasalahan pada gambar diatas, tentu harus ada perangkat yang bertugas sebagai web filtering sehingga internal network tidak dapat mengakses situs yang tidak terdapat di dalam whitelist. Beberapa contoh software yang dapat digunakan yaitu:

  • Whitetrash

Whitetrash merupakan web whitelisting yang dinamik untuk squid web proxy. Whitetrash mempersulit malware menggunakan HTTP dan SSL untuk melakukan:

1. initial compromise

2. eksfiltrasi data

3. command and control

Fitur-fitur yang disediakan whitetrash adalah sebagai berikut.

  1. Menyediakan whitelist untuk HTTP dan SSL yang dapat digunakan user maupun admin dan memiliki proteksi terhadap malware dan browser exploit
  2. Terintegrasi dengan Google Safebrowsing API sehingga URL juga dicek dalam daftar Google malware and phising blacklist. Domain yang ter-blacklist tidak dapat dimasukkan ke dalam whitelist oleh user.
  3. Terdapat otentifikasi menggunakan framework web Django.
  4. Otentifikasi dapat dinon-aktifkan, sehingga ketika digunakan bersamaan dengan sistem CAPTCHA, keamanan tetap terjaga tanpa ada overhead dari manajemen user.
  5. Sistem CAPTCHA telah berhasil diimplementasikan untuk mencegah malware melakukan penambahan terhadap whitelist. CAPTCHA dapat digunakan baik untuk HTTP, SSL, maupun keduanya.
  6. Interface admin berbasis Django sehingga memungkinkan admin untuk melakukan pengaturan pada entri user dan whitelist.
  7. Men-support memcached untuk mengurangi beban pada database dan memungkinkan penggunaan pada perusahaan skala besar. Memcached digunakan untuk situs seperti Slashdot, livejournal, dan sourceforge.
  8. Dapat men-generate sertifikat SSL.  Whitetrash dapat membuat sendiri certificate authority-nya, yang digunakan untuk menunjukkan form untuk domain baru SSL. Sesi SSL untuk domain yang ter-whitelist telah ter-proxy.
  9. Terdapat plugin pada firefow yang mempermudah user mem-whitelist domain.
  • ESET Smart Security

ESET smart security merupakan salah satu perangkat lunak yang memfasilitasi penggunanya dengan 3 fitur utama yaitu:

  1. Antivirus dan antispyware, fitur ini akan menjaga komputer dari virus maupun spyware.

  2. Personal firewall. fitur ini membuat komputer seperti mempunyai firewall dan berfungsi sebagai firewall pada umumnya yaitu menjaga network yang masuk maupun yang keluar. Pengguna juga dapat melakukan konfigurasi dan menambahkan rules pada personal firewall, sehingga firewall bekerja sesuai dengan keinginan dan kebutuhan pengguna.

  3. Antispam module. fitur ini memfasilitasi agar pengguna tidak menerima spam email berdasarkan whitelist yang ada. Sehingga pengguna dapat mengatur agar hanya menerima almat email yang authorized sesuai dengan whitelist.

Mekanisme membuat whitelist menggunakan software ini dapat dilihat disini.

  • SpamExperts Software

Software ini memberikan layanan antispam untuk email sehingga pengguna dapat memilih email mana saja yang ingin diterima berdasarkan alamat email yang telah didefinisikan di dalam whitelist. Mekanisme cara kerja software SpamExperts dapat diilustrasikan sperti gambar dibawah ini:

 

Dengan menggunakan software ini, maka user akan terhindar dari email yang tidak diinginkan atau adanya spam. Cara ini dapat menghindari user dari serangan yang dapat digencarkan melalui email. Overview prinsip kerja sofware SmartExperts dapat dilihat melalui link ini.

  • Aplikasi lainnya

Di berbagai browser terdapat banyak aplikasi yang melakukan filter untuk penggunanya berdasarkan konten yang dapat dilihat dari sebuah web maupun web yang diperbolehkan untuk diakses. Contohnya di internet explorer adalah aplikasi “the content advisor” dan “anti phising” . Content advisor adalah perrangkat yang dapat user gunakan untuk mengontrol konten yang dapat diakses atau dilihat  di komputer ketika user melakukan browsing.  Hal ini untuk mengontrol konten yang tidak ingin dilihat ketika membuka sebuah web misalnya yang berbau unsur pornografi, dsb.

Sedangkan Anti-phising adalah perangkat untuk mengontrol akses ke sebuah situs. Pada anti-phising, situs dapat dibagi menjadi 3 kriteria yaitu :

  • “Trusted sites”, berisi situs-situs yang dipercaya atau diperbolehkan untuk diakses. Trusted sites ini memiliki prinsip yang sama seperti whitelist.

  • Situs yang berada pada daftar “phising” melalui mekanisme smart screen filter dan daftar yang ada secara online.

  • “Heuristis”. Jika user mengakses situs yang termasuk kedalam kriteria ini maka akan muncul semacam “warning” yang akan memberitahu bahwa sertifikat yang dimilikinya valid atau tidak.

Selain perangkat-perangkat yang telah disebutkan, windows juga menyediakan perangkat “Live Parental Control” bagi orang tua yang ingin mengontrol anak-anaknya dalam menggunakan komputer dan internet ketika di rumah.  Fitur ini memberikan kemudahan bagi para orangtua untuk mengontrol konten melalui beberapa komputer berdasarkan login credential dan profile dari user. Fitur ini akan mencatat kegiatan apa saja yang dilakukan  di komputer seperti aktivitas website, percakapan instant messaging, email, dan penggunaan aplikasi. Sehingga berdasarkan log tersebut, maka orang tua dapat melakukan monitoring terhadap anaknya dengan mudah. Selain itu, whitelist yang sudah ada pun harus selalu di-upgrade karena kecanggihan teknologi dan komunikasi selalu berkembang setiap harinya. Oleh karena itu, para orangtua yang ingin mengontrol anaknya harus paham mengenai perkembangan teknologi dan komunikasi saat ini sehingga fitur ini dapat dimanfaatkan secara maksimal.

Contoh insiden yang diatasi dengan teknik whitelist

Whitelisting merupakan teknik yang membuat malware sulit menggunakan HTTP dan SSL. Malware dikirim ke user dalam bentuk dokumen word processor melalui sebuah email. User membuka dokumen, dan malware akan tereksekusi. Selanjutnya, malware biasanya akan menggunakan HTTP untuk men-download tools, mengirimkan sinyal kepada penyerang, atau eksfiltrasi data. Dengan menggunakan whitelist, semua tindakan ini dapat diblok karena domain penyerang tidak terdapat pada whitelist.

Pada whitelist terdapat perlindungan yang bagus terhadap browser exploit, yang seringkali melakukan cross-site scripting atau teknik lain untuk menampilkan halaman web yang terlihat sah sembari men-download konten dari website penyerang.

Referensi:

  1. http://whitetrash.sourceforge.net/

  2. http://www.eset.sg/html/167/804

  3. http://www.unitedhosting.co.uk/SpamExperts-spam-filtering.php

4.  http://www.bbc.co.uk/news/technology-21954636

5.  http://docs.fortinet.com/cb/html/index.html#page/FOS_Cookbook/UTM/cb_utm_wf_whitelist.html

Oleh : Alissa, Pertiwi Sapta Rini