BAB I PENDAHULUAN 1.1 Latar Belakang Masalah

Transkripsi

1 BAB I PENDAHULUAN 1.1 Latar Belakang Masalah Universitas sangat bergantung pada sistem informasi untuk kegiatan penting seperti kegiatan mengajar, belajar, administrasi, riset, dan berbagi informasi. Dalam menekankan fungsionalitas dari sistem informasi universitas,kudrass menekankan bahwa sistem informasi universitas harus menyediakan informasi tentang penawaran kerjasama riset,ilmiah dan kemampuan pendidikan lebih lanjut[1]. Dalam pandanganveronica, sangat bergantungnya universitas pada komputer dan teknologi lain menimbulkan kebutuhan pada keamanan yang selalu update[2]. Sistem informasi dan jaringan berhadapan dengan semakin meningkatnya ancaman keamanan dari berbagai sumber termasuk kecurangan yang menggunakan bantuan komputer, serangan dari peretas dari dalam atau luar jaringan. Ada banyak ancaman kepada sistem informasi dan infrastruktur jaringan saat ini yang mengancam reliabilitypada sistem informasi universitas. Beberapa contoh ancaman umum yang dapat mengenai sistem informasi adalah peretas, virus komputer, spam, Denial of service (DoS), domain Name Services (DNS) spoofing. Luodan Warkenting menyampaikan, sistem informasi pada universitas dianggap lebih kompleks daripada sistem informasi yang biasanya digunakan di dalam organisasi komersial,tetapi tetap harus memperhatikan konsumennya dengan baik (pelajar dan anggota staf)[3].hal sulit untuk mengamankan jaringan universitas dikarenakan banyaknya jumlah pengguna, luasnya kategori dari pengguna jaringan dan sifat akses terbuka sebuah universitas di mana fakultas dan departemen berdiri sendiri atau otonom. Jaringan universitas mungkin memiliki celah terhadap serangan fisik pada komponen jaringan, serangan social engineering dan cyber attacksyang memungkinkan peretas yang jahat dapat mempunyai akses ke beberapa resources yang terlarang melalui koneksi jaringan. Pembobolan data menjadi sangat umum pada pendidikan tinggi. Angka pembobolan data yang dibobol pada pendidikan tinggi semakin menanjak. 1

2 Banyak sekali data personal dan finansial pada semua institusi dan penelitian sensitif yang disimpan pada banyak universitas besar[4]. Lingkungan yang terbuka dan kolaboratif pada kampus dan universitas, dan juga banyaknya tipe dari perangkat portabel membuat semakin mudahnya hackers dan semakin susahnya untuk mendeteksi akses yang tidak sah. Serangan pembobolan data yang paling sering terjadi pada kampu dan sistem universitas adalah hacking,malware dan pembobolan pada perangkat portabel[5]. Empat kasus universitas yang pernah terjadi pembobolan data adalah Pennsylvania State University, University of Maryland, North Dakota State University System dan Butler University. Setiap universitas tersebut pernah terjadi pembobolan data yang sangat besar. Pembobolan memiliki beberapa kemiripan, termasuk akses remote dan beberapa untuk mengetes kemampuan si hackers. Semua pembobolan itu memakan biaya, administrator kampus dan universitas perlu untuk bersiap menghadapai pembobolan data, termasuk rencana untuk mengamankan dan bereaksi kepada pembobolan. Industry Sector Tabel 1. 1 Laporan pembobolan (PRC data set)[5] Precentage of Number of Reported Reported Breaches Breaches with Known Record Average Number of Records Exposed per Breach EDU 73% ,509 GOV 63% ,070 BSF 51% 560 1,420,533 NGO 45% 97 44,789 MED 43% 1,136 67,280 BSO 38% 551 1,041,668 BSR 38% 505 1,087,949 Laporan pada Tabel 1.1 fokus pada dominasi jumlah laporan insiden pembobolan, dibandingkan dengan jumlah record exposed pada pembobolan, dikarenakan besarnya jumlah pembobolan yang tidak memiliki record. IDSIRTII yang merupakan indonesia team untuk merespon insiden keamanan pada infrastruktur internet di bawah kominfo pada tahun 2013 mengeluarkan statistik jumlah serangan website pada domain indonesia, pada tabel terlihat bahwa domain.ac.id yang mana adalah domain untuk universitas, mendapatkan serangan terbanyak, terlihat pada Tabel

3 Tabel 1. 2 Statistik Serangan website domainindonesia [6] TLD.ID Jumlah.ac.id 2027 (64,84%).go.id 442 (14,14%).co.id 188 (6,01%).sch.id 156 (4,99%).web.id 107 (3,42%) Berdasarkan data statistik serangan website domain indonesia pada tabel 1.2 maka terlihat bahwa situs yang menggunakan domain.ac.id yang biasa digunakan oleh perguruan tinggi, memiliki jumlah serangan terbanyak, beberapa contoh kasus yang pernah dibahas oleh media berita online seperti website resmi eksekutif mahasiswe (EM) Universitas Brawijaya yang beralamatkan yang pada 6 Januari 2016 lalu pernah mendapatkan serangan hacker yang kuat dugaan dikarenakan EM mendukung pergergakan yang dilakukan aliansi mahasiswa UNJ Jakarta, setelah itu kasus lainnya pada 5 November 2016, tujuh subdomain Universitas Indonesia (UI) telah diretas, subdomain tersebut terdiri dari : Motif peretasan diduga dikarenakan konflik politik berkepanjangan yang terjadi di Indonesia, dan contoh terakhir adalah melalui media berita online tirto.id, memberitakan bahwa pada 28 Mei 2017 terjadi peretasan pada situs Sekolah Tinggi Filsafat Driyarkarya yang motifnya masih tidak jelas apa alasan dibalik peretasan tersebut. Pada tahun 2014 lalu sebuah media berita online yang cukup terkenal di indonesia yaitu tribunnews.com memberitakan bahwa situs Fakultas Hukum UGM diretas yang beralamatkan yang motifnya 3

4 adalah sebagai bentuk protes terhadap kasus Florence, yaitu mahasiswa Fakultas Hukum UGM yang memiliki kasus dengan kata-katanya pada sosial media. Setelah itu media berita yang cukup terkenal di indonesia lainnya yaitu viva.co.id pernah memberitakan kasus peretasan portal perpustakan online khusus untuk mahasiswa milik Universitas Gadjah Mada yang beralamatkan Menurut keterangan di dalam situs tersebut, portal perpustakaan online dibuat untuk menyediakan berbagai informasi seputas perpustakaan perguruan tinggi yang telah terhubung. Fasilitas yang disediakan berupa pencarian katalog buku, hasil-hasil penelitian dan jurnal terbitan lokal. Portal i-library berjalan pada platform jaringan inherent sehingga pencarian berbagai koleksi bahan pustaka dapat diakses melalui satu pintu layanan dengan cepat dan mudah. Dari jejak yang ditinggalkan, peretas hanya meninggalkan pesan peringatan pada administrator web portal tersebut untuk meningkatkan keamanannya. Penelitian mengenai keamanan informasi sistem dan jaringan di lingkungan Universitas Gadjah Mada sendiri sebelumnya telah dilakukan. Terdapat penelitian yang berfokus pada segi penerapan policy[7]. Kemudian penelitian yang berfokus pada keamanan aplikasi web [8], penelitian yang berfokus pada keamanan jaringan nirkabel[9], dan juga penelitian tentang Intrusion Detection System(IPS) yang jika dilihat dari sisi manajemen keamanan jaringan, IPS sendiri berfungsi sebagai detection terhadap serangan keamanan yang terjadi [10] sedangkan uji penetrasi lebih berfungsi sebagai prevention dan audit. Uji penetrasi sendiri bertujuan untuk menemukan juga mengindentifikasi exploit dan celah keamanan yang ada pada infrastruktur IT organisasi dan menguji efektifitas dari keamanan yang sdah diterapkan dengan menggunakan pengajian serangan secara real-world. Dengan skenario serangan yang dapat diubah-ubah uji penetrasi juga dapat mengidentifikasi jenis informasi apa saja yang dapat diakses penyerang dan mengetahui apakah informasi tersebut berbahaya atau tidak. Selain itu uji penetrasi juga membantu mengidentifikasi informasi apa saja yang terekspose ke publik atau internet[11]. 4

5 Setiap organisasi tidak dapat melakukan uji penetrasi pada setiap aspek sistem dan jaringan yang dimilikinya dikarenakan keterbatasan ruang lingkup pengujian, waktu dan sumber daya akan tetapi, penyerang sesungguhnya mungkin dapat menemukan celah keamanan pada area-area sistem dimana tidak dilakukan uji penetrasi [12]. Server yang akan dijadikan objek penelitian adalah server yang yang sedang berjalan sekarang dengan menggunakan hostname server.te.ugm.ac.id, secara garis besar server tersebut saat ini menampung 37 layanan yang aktif dan dipisahkan oleh subdomain, beberapa sistem keamanan yang terpasang di server adalah clamav, Kaspersky dan host-based intrusion detection menggunakan OSSEC. Perubahan pada konfigurasi default juga dilakukan seperti merubah port ssh. Menurut Kamus Besar Bahasa Indonesia Departemen Pendidikan Nasional menjelaskan bahwa analisis adalah penyelidikan terhadap suatu peristiwa untuk mengetahui keadaan yang sebenarnya.secara global menurut Pantiwati[13], asesmen merupakan suatu proses yang dilakukan melalui langkah-langkah perencanaan, penyusunan alat penilaian, dan pengumpulan informasi dengan disertai sejumlah bukti yang menunjukan pencapaian hasil pengolahan dan penggunaan informasi, sedangkan Asesmen sistem keamanan menurut Scarfone dan Orebaugh[14] adalah proses menentukan seberapa efektif sebuah entitas ketika dilakukan asesmen memenuhi tujuan keamanan tertentu, sedangkan yang dimaksud sistem keamanan disini adalah suatu kesatuan dari komponenkomponen yang berorientasi untuk melakukan pengamanan.analisis uji penetrasi dan asesmen akan dilakukan menggunakan metode ISSAF dengan mengikuti tren ancamankeamanan aplikasi yang paling baru pada saat penelitian dilakukan yaitu OWASP TOP TEN 2017 danmenentukan tingkat keparahan resiko dan dampak pada bagian teknis dan bisnis dengan melakukan perhitungan menggunakan metode OWASP risk rating.issaf adalah sebuah kerangka kerja untuk melakukan pengujian terhadap sebuah sistem keamanan[15] sedangkan OWASP risk rating adalah sebuah metode untuk melakukan penilaian terhadap dampak resiko dari celah keamanan yang ditemukan[16].penggunaan metode ISSAF 5

6 dikarenakan memiliki struktur yang jelas dan sangat intuitif, yang memandu penguji melalui langkah-langkah penilaian yang rumit. Metodologi ini menjelaskan proses pengujian penetrasi yang optimal untuk membantu penguji melakukan pengujian secara lengkap dan benar, menghindari kesalahan yang umumnya terkait dengan strategi serangan yang dipilih secara acak. 1.2 Rumusan Masalah Berdasarkan latar belakang, penelitian ini merumuskan masalah yaitumasih banyaknya terjadi aksi peretasan pada dunia akademik dan organisasi yang ada di universitas. 1.3 Kontribusi Penelitian Dalam penelitian ini akan dilakukan uji penetrasi dan asesmen sistem keamanan server DTETI UGM. Ada beberapa penelitian yang relevan dengan penelitian ini antara lain : Nishant Shresta [12] pada tesisnya tahun 2012 melakukan penelitian terhadap asesmen keamanan menggunakan uji penetrasi melalui pendekatan administrator jaringan dan sistem. Hasil penelitian menunjukan bahwa melakukan uji penetrasi membuktikan adanya celah keamanan yang bisa dieksploitasi. Karenanya, hasil penelitian menunjukan nilai pengujian penetrasi tersebut dan membuktikan bahwa pengujian semacam ini masih berguna dalam mengidentifikasi lemahnya jaringan dan sistem. Hal ini dapat memberikan administrator sistem dan jaringan banyak informasi untuk mengambil tindakan korektif atau mengatasi celah keamanan dan untuk mengamankan keseluruhan jaringan atau sistem jika dilakukan dengan benar dan metodologis. Tahap metode yang dilakukan dalam pengujian ini adalah intelligence gathering, scanning and vulnerability assessment, exploitation and post exploitation.alat yang digunakan dalam penelitian ini adalah Nmap, OpenVAS, Nessus dan Metasploit framework. Ankita Gupta, Kavita dan Kirandeep Kaur [17] pada paper penelitiannya di tahun 2013 melakukan penelitian terhadap asesmen celah keamanan dan uji penetrasi. Hasil dari penelitian menunjukan uji penetrasi memberikan bukti bahwa celah keamanan memang ada dan memberikan blueprint untuk perbaikan. Tahap 6

7 metode yang dilakukan pada penelitian adalah Discovery, Assessment, Exploitation and Launching of Attack, report. Alat yang digunakan dalam penelitian ini adalah Acunetix. Joel Kwesi Appiah [18] pada tesisnya tahun 2014 melakukan penelitian terhadap asesmen keamanan jaringan dan sistem menggunakan uji penetrasi pada lingkungan universitas (studi kasus Kwame Nkrumah University of Science and Technology). Hasil penelitian menunjukan bahwa semua eksploitasi yang dilakukan tidak memerlukan interaksi manusia sehingga teknik social engineering tidak digunakan untuk membahayakan mesin yang menjadi sasaran. Eksploitasi dilakukan menyerang host yang mempunyai celah keamanan membuktikan bahwa eksploitasi celah keamanan bisa dilakukan pada infrastruktur sistem dan jaringan Kwame Nkrumah University of Science. Tahap metode yang dilakukan dalam pengujian ini adalah Planning, Vulnerability Discovery, Attack dan Reporting. Alat yang digunakan dalam pengujian ini adalah Nessus,OpenVAS dan Metasploit Framework. Rohan Vibhandik dan Arijit Kumar Bose [19] pada paper penelitiannya tahun 2015 melakukan penelitian terhadap asesmen celah keamanan aplikasi berbasis website melalui pendekatan pengujian. Hasil dari penelitian ini menunjukan hasil analisis yang diperoleh dapat membuktikan kombinasi alat W3AF dan Nikto mampu memeriksa adanya celah keamanan yang dapat mengakibatkan serangan yang canggih dan terencana. Tahap metode yang dilakukan pada penelitian ini adalah identify, Analyze, Test, dan Report. Alat yang digunakan dalam penelitian ini adalah W3AF dan Nikto. Prashant Shinde dan Shrinkant Ardhapurkar [20] pada paper penelitiannya di tahun 2016 melakukan penelitian terhadap analisis keamanan siber menggunakan asesmen celah keamanan dan uji penetrasi. Hasil dari penelitian membuktikan metode Vulnerability Assessment and Penetration Testing (VAPT) membantu organisasi untuk menentukan apakah pengaturan keamanan mereka berkerja dengan baik. Tahap metode yang dilakukan pada penelitian ini adalah Information Gathering, Scanning, Build Attack,Exploitation : Attack Phase dan Report. Alat yang digunakan dalam penelitian ini adalah NetNirikshak

8 Penelitian mengenai keamanan informasi sistem dan jaringan di lingkungan Universitas Gadjah Mada sendiri sebelumnya telah dilakukan. Terdapat penelitian yang berfokus pada segi penerapan policy[7]. Kemudian penelitian yang berfokus pada keamanan aplikasi web [8], penelitian yang berfokus pada keamanan jaringan nirkabel[9], dan juga penelitian tentang Intrusion Detection System(IPS) yang jika dilihat dari sisi manajemen keamanan jaringan, IPS sendiri berfungsi sebagai detection terhadap serangan keamanan yang terjadi [10] sedangkan uji penetrasi lebih berfungsi sebagai prevention dan audit. Berbeda dengan penelitian sebelumnyapenelitian ini akan melakukan analisis uji penetrasi dan asesmen sistem keamanan server menggunakan tahap metode yang berbeda dan alat yang berbeda pada Departemen Teknik Elektro dan Teknologi Informasi Universitas Gadjah Mada yang akan menghasilkan analisis metode uji penetrasi dan asesmen menggunakan alat dan metode yang lebih efektifkarena berdasarkan tren ancaman keamanan terbaru pada saat penelitian ini dilakukan yang mana pasti sudah melewati tahap perbaikan dari metode-metode yang sudah ada sebelumnya dan dapat dijadikan bahan evaluasi oleh administrator sistem dan jaringan Depertemen Teknik Elektro dan Teknologi Informasi Universitas Gadjah Mada. Tahap metode yang akan dilakukan dalam penelitian ini mengikuti tahap ada pada Information Systems Security Assesment Framework (ISSAF) yaitu Planning and preparation, Assessment, Reporting, Clean up and Destroy artifacts dengan menambahkan perhitungan resiko berdasarkan dari OWASP TOP TEN 2017menggunakan metode OWASP risk rating. Tabel 1. 3 Kontribusi Penelitian No. Peneliti Judul Kelebihan Kekurangan 1 Nishant Shresta[12] 2 Gupta, Kavita dan Kirandee Kaur[17] Security Assessment via Penetration Testing: A Network and System Administrator's Approach Vulnerability Assessment and Penetration Testing Pada penelitian ini fokus pada uji penetrasi maka hanya memakan waktu lebih sedikit. Memiliki tahap membuat blueprint. Tidak memiliki tahapan laporan pada kerangka yang digunakan, maka dapat membingungkan pihak manajemen Hanya menggunakan satu alat. 3 Joel Kwesi Network and Systems Penelitian dilakukan Tidak ada tindak 8

9 Tabel 1.3 Kontribusi Penelitian (Lanjutan) No. Peneliti Judul Kelebihan Kekurangan Appiah[18] Security Assessment using penetration testing in a university environment: The case of Central University College. pada organisasi yang besar. lanjut mengenai celah yang ditemukan. 4 Rohan Vibhandik dan Arijit Kumar Bose [19] 5 Prashant Shinde dan Shrinkant Ardhapurkar [20] 6 M. M. Sulthony[7] 7 A.W. Purbo[8] 8 Ramadahani [9] 9 Simaremare[ 10] Penelitian Ini Vulnerability Assesment of Web Application - Testing Approach Cyber Security Analysis Using Vulnerability Assessment and Penetration Testing Evaluasi keamanan Sistem Informasi Pusat Sistem dan Sumber Daya Informasi Universitas Gadjah Mada Menggunakan Indeks Keamanan Informasi (INDEKS KAMI) Scanning Celah Keamanan Pada Website menggunakan NIKTO WEB SCANNER. Analisis Keamanan Jaringan Wireless Di Universitas Gadjah Mada Dengan Menggunakan Metode Wardriving Pengembangan Sistem Keamanan Jaringan Intraner UGM Menggunakan Metode IDS Analisis Uji Penetrasi Dan Asesment Sistem Keamanan Server Menggunakan ISSAF Pada Penelitian ini ingin membuktikan uji penetrasi menggunakan kombinasi dua alat. Memiliki tahap build attack. Penelitian fokus pada penerapan policy. Penelitian dilakukan dengan objek yang luas. Penelitian fokus pada jaringan wireless. Sistem yang dikembangkan pada penelitian ini mendeteksi serangan dengan baik. Memiliki peniliaian pada celah yang ditemukan agar dapat ditindaklanjutin dengan Tidak ada tahap planning, maka kemungkinan hasil uji penetrasi kurang maksimal. Hanya menggunakan satu alat. Policy sangat erat dengan sisi manusia, tetapi pada penelitian ini tidak dilakukan uji penetrasi pada sisi manusia yang ada dalam organisasi tersebut. Penelitian uji penetrasi hanya menggunakan satu alat saja dan kurangnya tindak lanjut setelah ditemukan celah. Alat yang digunakan tidak cocok untuk Metode Wardriving.Maka menyebabkan hasil kurang maksimal. Sistem IDS berhubungan erat dengan IPS, baiknya sistem dikembangkan tidak hanyak mendeteksi tetapi juga bisa mencegah. Penelitian tidak meliputi pada sisi fisik dan manusia dalam organisasi. 9

10 Tabel 1.3 Kontribusi Penelitian (Lanjutan) No. Peneliti Judul Kelebihan Kekurangan Departemen Teknik Elektro Dan Teknologi Informasi UGM baik dan benar Tabel 1.3 Menjelaskan tentang kontribusi penelitian ini. Penjelasan terdiri atas nama peneliti yang penelitiannya memiliki kaitan dengan penelitian ini, kelebihan dan kekurangan penelitian sebelumnya. 1.4 Tujuan Penelitian Tujuan dari pelaksanan penelitian ini antara lain adalah: Untuk meneliti penggunaan uji penetrasi di dalam pengaturan jaringan DTETI UGM. Mencoba untuk menguji eksploitasi celah keamanan yang ditemukan. Menentukan tingkat resiko dan keparahan potensi celah keamanan pada infrastruktur sistem dan jaringan. 1.5 Manfaat penelitian Manfaat yang didapat dari penelitian ini adalah : 1. Meminimalisir terjadinya kebocoran informasi yang ada di dalam sistem server dengan memberikan solusi pada setiap celah keamanan yang ditemukan. 2. Identifikasi celah keamanan pada sistem server. 3. Sebagai salah satuserver audit atau evaluasi keamanan server. 1.6 Batasan masalah Pada penelitian akan melakukan analisis uji penetrasi dan asesmen pada sistem keamanan server pada Departemen Teknik Elektro dan Teknik Informatika Universitas Gadjah Mada untuk benar-benar tidak mengganggu operasional yang berjalan dan sesuai kesepakatan dengan pihak Direktorat Sistem dan Sumber Daya Informasi maka setiap tindakan atau metode yang akan mengakibatkan jaringan mati seperti DoS tidak akan dilakukan. 10