SISTEM KEAMANAN & TEKNOLOGI INFORMASI

SISTEM KEAMANAN &

TEKNOLOGI INFORMASI

WEB SYSTEM

CARA KERJA WEB SERVER

Secara sederhana tugas web server ialah menerima permintaan yang berasal dari klien kemudian mengirimkannya kembali dalam bentuk berkas kepada si klien tersebut. Perangkat lunak pada web server terdapat di komputer server dimana merupakan tempat menyimpan data-data website. Disamping itu,

komputer server membutuhkan akses internet agar tetap terhubung sehingga dapat diakses oleh klien.

FUNGSI WEB SERVER

Menerima permintaan dari klien dan mengirimkan kembali file yang

diminta oleh klien tersebut melalui protocol tertentu.

Biasanya merupakan komponen-komponen dari halaman web,

seperti :

•

Teks

•

Gambar

•

Audio

•

Video

•

Dokumen, dsb

KLIEN DAN SERVER

Komputer yang terhubung ke web dinamakan Klien dan server. Diagram sederhana dari cara mereka berinteraksi seperti berikut:

•

Klien merupakan pengguna web yang terhubung dengan internet di perangkat mereka (contohnya, komputer anda terhubung dengan Wi-Fi, atau handphone

terhubung dengan jaringan mobile) dan software untuk mengakses web tersedia di perangkat tersebut (biasanya web browser seperti Firefox atau Chrome).

•

Server adalah komputer yang menyimpan halaman web, situs, atau aplikasi web. Ketika perangkat klien ingin mengakses halaman web, salinan dari halaman web diunduh dari server ke mesin klien untuk ditempilkan di browser pengguna.

KOMPONEN LAIN DARI WEB SYSTEM

•

Koneksi internet

: Memungkinkan anda mengirim dan menerima

data dari web.

•

TCP/IP

: (Transmission Control Protocol dan Internet Protocol)

merupakan protokol komunikasi yang menjelaskan bagaimana data

harus berjalan di web.

•

DNS

: (Domain Name System) seperti halnya buku alamat untuk

website. Ketika anda menuliskan alamat web di browser, browser

melihat DNS sebelum mengambil halaman web di website. Browser

perlu mencari tahu di server mana website berada, sehingga bisa

mengirimkan pesan HTTP ke tempat yang benar.

KOMPONEN LAIN DARI WEB SYSTEM

(LANJ)

•

HTTP

: (

Hypertext Transfer Protocol

) merupakan protoKol

aplikasi yang menjelaskan bahasa untuk klien dan server

untuk saling berkomunikasi.

•

Komponen file

: Sebuah website dibuat dari banyak file.

File ini di bagi menjadi dua jenis:

•

Berkas kode: Website dibuat dari HTML, CSS, dan JavaScript,

•

Aset: Merupakan sekumpulan nama untuk bahan pembuat

website, seperti gambar, musik, video, dokumen, dan PDF.

WHAT HAPPEN IN

THERE…

.

Ketika anda menuliskan alamat web di browser :

1.

Browser menuju ke DNS server dan mencari alamat server yang sebenarnya dimana website berada.

2.

Browser mengirim pesan HTTP request ke server meminta salinan dari

website untuk di kirim ke klien. Pesan ini, dan semua data dikirim diantara klien dan server, di kirim melalui koneksi internet menggunakan TCP/IP.

3.

Server menyetujui permintaan klien, server mengirip pesan "200 OK", yang maksudnya "Tentu anda bisa melihat website tersebut! ini dia", dan

kemudian mulai mengirim file website ke browser sebagai bagian-bagian kecil yang disebut data paket.

4.

Browser menggabungkan bagian-bagian halaman web menjadi sebuah halaman web sempurna dan menampilkannya untuk anda.

PENJELASAN DNS

Alamat web sebenarnya tidak seperti yang kita tuliskan di browser, untaian yang kamu tuliskan di address bar merupakan untaian dari angka seperti ini:

63.245.217.105.

Ini disebut alamat IP, dan ini mewakili lokasi dari web. Akan tetapi, akan sulit untuk mengingat, itulah mengapa Domain Name System server dibuat. Ini adalah server spesial yang mencocokkan alamat yang kamu tulis di web browser (seperti

"mozilla.org") ke alamat (IP) address website yang sebenarnya.

Website dapat di jangkau secara langsung melalui IP addresses. Coba buka website Mozilla website dengan menuliskan 63.245.217.105 ke address bar.

PENJELASAN PAKET

Sebelumnya kita menggunakan istilah "

paket

" untuk menjelaskan

format dimana data yang dikirim dari server ke klien. Pada

dasarnya data dikirim melalui web, dikirim sebagai ribuan

bagian kecil, sehingga pengguna web yang berbeda dapat

mengunduh

website

yang sama dalam waktu yang sama. Jika

situs web mengirim sebuah bagian yang besar, hanya satu

pengguna yang dapat mengunduh dalam waktu tertentu,

dimana akan membuat web sangat tidak efisien dan tidak

menyenangkan untuk digunakan.

ANCAMAN PADA WEB SERVER

Web server seringkali merupakan

host

yang paling

banyak menjadi sasaran dan diserang di lingkup

jaringan suatu organisasi. Akibatnya, mengamankan

web server dan infrastruktur jaringan yang

ANCAMAN PADA WEB SERVER

(LANJ)

1. Entitas

malicious

dapat mengeksploitasi

bug

perangkat

lunak dalam web server, sistem operasi web server, atau

active content

untuk memperoleh akses ilegal ke dalam web

server.

2. Serangan

Denial of Service

(

DoS

) yang diarahkan pada

Web server atau infrastruktur jaringan pendukungnya,

sehingga dapat menolak atau menghalangi para pengguna

sah yang akan memanfaatkan layanannya.

3. Informasi sensitif pada web server yang memungkinkan

untuk dibaca atau dimodifikasi tanpa otorisasi.

ANCAMAN PADA WEB SERVER

(LANJ)

4. Informasi sensitif di database penyangga yang digunakan untuk

mendukung elemen interaktif dari suatu aplikasi web memungkinkan

untuk dibobol melalui serangan

command injection, misalnya injeksi

Structured Query Language

[SQL], injeksi

Lightweight Directory Access

Protocol

[LDAP], cross-site scripting [XSS].

5. Informasi sensitif yang ditransmisikan tanpa dienkripsi antara web

server dan browser

yang dapat disadap dan terbaca dengan jelas.

6. Informasi pada web server yang dapat diubah untuk tujuan jahat.

Defacement

(penggantian tampilan) situs web merupakan contoh yang

umumnya dilaporkan untuk ancaman ini.

ANCAMAN PADA WEB SERVER

(LANJ)

7. Entitas malicious yang berhasil mendapatkan akses ilegal terhadap sumber daya di tempat lain dalam jaringan organisasi melalui suatu

serangan terhadap web server.

8. Entitas malicious yang menyerang organisasi internal setelah membobol suatu host web server. Serangan tersebut dapat dilancarkan secara

langsung, misalnya dari host yang bobol terhadap suatu server internal atau secara tidak langsung misalnya dengan menempatkan konten malicious

pada web server yang bobol yang berusaha mengeksploitasi kerawanan dalam browser web dari para pengguna yang mengunjungi situs tersebut. 9. Server yang dapat digunakan sebagai suatu titik distribusi perangkat serangan, pornografi, atau lunak yang dicopy secara ilegal.

SERANGAN TAK LANGSUNG

1. Phishing, dimana para penyerang menggunakan

social engineering

(rekayasa sosial) untuk memperdaya para pengguna agar melakukan

logging

ke suatu situs palsu.

2. Pharming, dimana server DNS atau

file host

para pengguna

dibobol sehingga para pengguna diarahkan ke suatu situs malicious

pengganti situs yang sah.

TAHAPAN PENGELOLAAN KEAMANAN WEB SERVER

1.

Kebijakan Kemananan Sistem Informasi Organisasi ― Suatu kebijakan keamanan harus mespesifikasikan prinsip dan aturan-aturan dasar

keamanan sistem informasi dan tujuan internal yang diharapkan. Kebijakan juga harus menegaskan siapa dalam organisasi yang bertanggung jawab untuk setiap tahap keamanan informasi (misalnya implementasi,

pemberlakuan, audit, dan review). Supaya efektif, kebijakan harus diberlakukan secara konsisten diseluruh organisasi.

2.

Konfigurasi/Kontrol Perubahan dan Manajemen ― Proses pengendalian modifikasi terhadap suatu sistem desain, perangkat keras, firmware, dan perangkat lunak menyediakan jaminan yang cukup bahwa sistem dilindungi terhadap kemungkinan modifikasi yang tidak sesuai sebelum, selama dan sesudah implementasi sistem.

TAHAPAN PENGELOLAAN KEAMANAN WEB SERVER

(LANJ)

3.

Pengkajian dan Manajemen Resiko ― Pengkajian terhadap resiko

merupakan proses analisa dan interprestasi resiko yang berkaitan dengan penentuan jangkauan proses dan metodologi, pengumpulan dan analisa data terkait resiko, dan mereprestasikan hasil analisis resiko. Pengumpulan dan analisis data resiko membutuhkan identifikasi aset, ancaman,

kerawanan, penjagaan, konsekuensi, dan peluang suatu serangan dapat berhasil.

4.

Konfigurasi yang Distandarkan ― Organisasi harus mengembangkan konfigurasi pengamanan yang distandarkan untuk penggunaan OS dan aplikasi secara luas. Ini akan memberikan rekomendasi untuk para

administrator web server dan jaringan dalam hal bagaimana

mengkonfigurasi sistem secara aman dan memastikan konsistensi dan kepatuhan terhadap kebijakan keamanan organisasi.

TAHAPAN PENGELOLAAN KEAMANAN WEB SERVER

(LANJ)

5.

Praktek-praktek Pemrograman yang Aman ― Organisasi harus

mengadopsi pedoman pengembangan aplikasi terbaik terutama dari segi keamanan untuk memastikan bahwa mereka mengembangkan aplikasi web mereka dengan suatu cara yang aman.

6.

Kesadaran dan Pelatihan Keamanan ― Suatu program pelatihan keamanan merupakan hal penting untuk keseluruhan personil

keamanan informasi di suatu organisasi. Membuat para pengguna dan administrator sadar akan tanggung jawab keamanan mereka dan mengajarkan praktek yang tepat membantu mereka merubah tingkah-laku mereka untuk menyesuaikan diri dengan praktek

TAHAPAN PENGELOLAAN KEAMANAN WEB SERVER

(LANJ)

7.

Contingency, Kontinuitas Operasi, dan Perencanaan Pemulihan dari Bencana — Rencana contingency, kontinuitas rencana operasi, dan rencana pemulihan dari bencana dibuat terlebih dahulu supaya jika terjadi gangguan, organisasi dapat mengatasinya dengan minimum down time dan cepat kembali beroperasi secara normal.

8.

Sertifikasi dan Akreditasi — Sertifikasi dalam konteks keamanan sistem informasi berarti bahwa suatu sistem telah dianalisis untuk menentukan seberapa baik sistem tersebut memenuhi semua

persyaratan keamanan organisasi. Akreditasi muncul ketika

manajemen organisasi menyatakan bahwa sistem tersebut memenuhi persyaratan keamanan organisasi.

MENJAGA KEAMANAN WEB SERVER

1.

Nonaktifkan layanan : Matikan semua layanan yang tidak dipakai & nonaktifkan.

2.

Amankan akses secara remote : Menggunakan koneksi VPN atau protokol terenkripsi (SSH), atau dengan membatasi IP.

3.

Server eksperimen vs. server produksi : Gunakan server web berbeda untuk kepentingan pengembangan dan untuk kepentingan produksi.

4.

Tetapkan hak akses : Menetapkan hak akses bagi akun tertentu yg menjalankan layanan tertentu, dan Membatasi akses anonymous user

MENJAGA KEAMANAN WEB SERVER

(LANJ)

5.

Pasang patch secara teratur : Aktivitas hacking bisa terjadi karena para penjahat memanfaatkan lubang dari software yang belum diperbarui.

6.

Pantau dan periksa server : Memantau semua log aktivitas jaringan, akses ke web server, database server,dan sistem operasi. Waspada terhadap aktivitas mencurigakan.

7.

Hapus akun user yg tidak terpakai : Menonaktifkan akun pengguna yang tidak terpakai.

8.

Hapus modul server yg tidak dipakai : Menonaktifkan aneka modul yang tidak dipakai, biasanya merupakan modul default saat web server dipasang.

MENJAGA KEAMANAN WEB SERVER

(LANJ)

7.

Gunakan perkakas sekuriti : Menggunakan perkakas yang membantu administrator mengamankan dan meminimalisir risiko sekuriti web

server.

8.

Gunakan scanner untuk memeriksa port terbuka : Memasang tools

untuk melakukan pemeriksaan terhadap keamanan port dalam server.

9.

Gunakan layanan content delivery network (CDN) : CDN “menyerap”

serangan DDoS via penyebaran serangan ke berbagai mesin yg berada dalam jaringannya.

10.

Ikuti berita terbaru : Mengikuti aneka informasi dan berita untuk mengetahui perkembangan terbaru tentang tools pengaman yg tersedia atau aneka potensi serangan terbaru.