social engineering Nama Kelompok : Eko AW Andria Hadi Sucipto

social engineering

Nama Kelompok :

Eko AW Andria Hadi Sucipto

Pengertian

Definisi Social enginering

1. Seni dan ilmu memaksa orang untuk memenuhi harapan anda (Bernz ),

2. Suatu pemanfaatan trik-trik psikologis hacker luar pada seorang user legitimate dari sebuah sistem komputer (Palumbo)

3. Mendapatkan informasi yang diperlukan (misalnya sebuah password) dari seseorang daripada merusak sebuah sistem (Berg).

4. Suatu teknik memperoleh data/informasi rahasia dengan cara mengeksploitasi kelemahan manusia (Richardus Eko Indrajit)

Kelemahan manusia

(Richardus Eko Indrajit)

● Rasa Takut – jika seorang pegawai atau karyawan dimintai data atau informasi dari atasannya, polisi, atau penegak hukum yang lain, biasanya yang bersangkutan akan langsung memberikan tanpa merasa sungkan;

● Rasa Percaya – jika seorang individu dimintai data atau informasi dari teman baik, rekan sejawat, sanak saudara, atau sekretaris, biasanya yang bersangkutan akan langsung memberikannya tanpa harus merasa curiga; dan

● Rasa Ingin Menolong – jika seseorang dimintai data atau informasi dari orang yang sedang tertimpa musibah, dalam kesedihan yang mendalam, menjadi korban bencana, atau berada dalam duka, biasanya yang bersangkutan akan langsung memberikan data atau informasi yang diinginkan tanpa bertanya lebih dahulu.

Tujuan

Tujuan dasar social engineering sama seperti umumnya hacking: mendapatkan akses tidak resmi pada sistem atau informasi untuk melakukan penipuan, intrusi jaringan, mata-mata industrial, pencurian identitas, atau secara sederhana untuk mengganggu sistem atau jaringan.

Target-target tipikal termasuk perusahaan telepon dan jasa-jasa pemberian jawaban, perusahaan dan lembaga keuangan dengan nama besar, badan-badan militer dan pemerintah dan rumah sakit.

Mengapa organisasi / sebuah perusahaan berkemungkinan besar diserang dengan social engineering?

Alasan mengapa

organisasi / perusahaan berkemungkinan besar diserang dengan social engineering, karena

akan lebih mudah dalam

melakukan

social

engineering

untuk

mendapatkan akses daripada menggunakan

teknik-teknik

hacking

yang lazim digunakan.

Serangan Social Engineering

Serangan

social engineering

menempati dua tingkatan, yaitu :

1. Tingkatan Fisik

Serangan Social Engineering

1. Tingkatan Fisik

Pada lingkungan fisik yang rawan terhadap serangan-serangan

social engineering

, tempat kerja, telepon, tempat sampah dan

on-line

(internet).

Serangan Social Engineering

2. Tingkatan Psikologis

Social engineering

dari sudut pandang psikologis, menekankan

bagaimana caranya menciptakan lingkungan psikologis yang

sempurna untuk suatu serangan.

Metode-metode dasar persuasi termasuk : berkedok sebagai

orang lain, mengambil hati/ menjilat, mencari kesesusaian,

penunjukan tanggung jawab, atau sekadar keramah-tamahan.

Serangan Social Engineering

Terlepas dari metode yang digunakan, tujuan utamanya adalah

untuk meyakinkan orang yang memegang informasi bahwa sang

social engineer

adalah seseorang yang dapat dipercaya dengan

informasi berharga tersebut.

Kunci lainnya adalah untuk tidak bertanya terlalu banyak pada

satu saat, namun bertanya sedikit demi sedikit untuk menjaga

suasana keramah-tamahan.

Kategori Social Engineering

1. Human based social engineering

Yaitu melibatkan interaksi antara manusia yang satu dengan yang lainnya (pelaku social engineering berhubungan langsung atau berinteraksi dengan korbannya)

2. Computer based social engineering

Bergantung pada komputer/software yang digunakan untuk mengumpulkan informasi atau data yang diperlukan

Human Based Social Engineering

1. Impersonation (Pemalsuan)

2. Important User (Menyamar sebagai orang penting)

3. Third Party Authorization (Pemalsuan Otorisasi)

4. Technical Support (Menyamar menjadi bagian Technical

Support)

Impersonation (Pemalsuan)

Dengan berpura-pura menjadi karyawan, hacker bisa mengakses lokasi-lokasi yang hanya diperuntukan untuk karyawan dan mendapatkan banyak keuntungan darinya.

Contoh: Seseorang menyamar sebagai salah seorang karyawan dari suatu perusahaan, petugas kebersihan, kurir pengantar barang, dan sebagainya

Important User (Menyamar sebagai orang

penting)

Contoh: Seseorang menyamar sebagai seorang yang memiliki kedudukan tinggi di perusahaan dan kemudian berusaha untuk mengintimidasi karyawan atau bawahannya

Third Party Authorization (Pemalsuan

Otorisasi)

Hacker bisa berpura-pura menjadi orang yang diberikan tanggung jawab atau kuasa untuk melakukan sesuatu

Contoh : Seseorang berusaha meyakinkan target untuk memberikan informasi yang diperlukan dengan mengatakan bahwa ia telah diberi otorisasi oleh seseorang untuk menanyakan hal tersebut yang biasanya adalah seseorang yang lebih tinggi jabatannya.

Technical Support (Menyamar menjadi bagian

Technical Support)

Contoh :

Seseorang menyamar

sebagai salah satu dari tim IT dan berusaha mengumpulkan informasi dari korbannya.

In Person (Mendatangi langsung ke tempat

korban)

Contoh: menyamar sebagai petugas kebersihan dan mencari atau mengumpulkan data/informasi dari tempat sampah yang ada di tempat korban atau berusaha melihat sekeliling pada saat user sedang mengetikkan password di komputernya (shoulder surfing)

Teknik Lain Human Based Social Engineering

1. Pengintaian

2. Shoulder Surfing

3. Dumpster Diving

4. Tailgating (Membuntuti)

5. PiggyBacking

Pengintaian

Cara ini digunakan untuk pengguna yang berada ditempat umum atau bisa juga pengguna menggunakan komputer dari tempat yang bisa dilihat dari suatu lokasi.

Shoulder Surfing

Melihat orang memasukan pin

komputer, pin ATM, mengisi form, menekan nomor telp, dsb dengan berada disekitar korban

Dumpster Diving

mencari informasi melalui sampah/file yang

Tailgating (Membuntuti)

Contoh:

Keamanan apartemen memang ketat dan pengunjung harus menggunakan kartu akses untuk membuka pintu. Biasanya pengunjung ini akan mengikuti penghuni sebenarnya dari belakang. Ketika pintu lobby terbuka, mereka langsung masuk mengikuti penghuni

PiggyBacking

Pada metode ini, pelaku meminta bantuan kepada orang-orang yang memiliki akses masuk dengan berpura-pura lupa membawa kartu aksesnya. Untuk meyakinkan

korbannya, pelaku bisa mengajaknya untuk ngobrol-ngobrol sebentar dengan topik

seputar lingkungan yang akan dimasukinya. Cara ini akan menghindari kecurigaan dari korban.

Computer Based Social Engineering

1. Instant Chat Messenger 2. Pop-up Windows

3. Surat Berantai (Chain Letter) dan Hoaxes 4. Email SPAM

Instant Chat Messenger

Melalui media ini, pelaku bisa berinteraksi dan menjalin pertemanan dengan calon korbannya. Pertemanan yang walaupun dilakukan secara virtual, mempunyai efek yang sama dengan pertemanan pada dunia nyata. Setelah mendapat kepercayaan dari korbannya, pelaku bisa melakukan

Pop-up Windows

pelaku Social Engineering yang

memanfaatkan pop-up windows ini untuk mengelabuhi pengguna.

Contoh:

Saat membuka website tiba-tiba muncul pop-up peringatan bahwa terdeteksi virus di komputer yang digunakan. Korban

diminta mengklik link atau telp no yang sudah disiapkan oleh pelaku.

Surat Berantai (Chain Letter) dan Hoaxes

Chain letter atau surat berantai biasanya menawarkan hadiah atau barang gratis asalkan korbannya bersedia mengirimkan email yang sama keteman-temannya, dan tentunya hadiah yang dijanjikannya ini palsu.

Terkadang, surat berantai juga disertai dengan ancaman bagi yang tidak memforward email tersebut seperti kecelakaan yang mengerikan, musibah,

bankrut, bahkan meninggal dunia yang biasanya membawa nama agama untuk mempengaruhi psikologis manusia

Email SPAM

Murahnya email menjadi salah satu sebab pengiriman email SPAM begitu merajalela.

Phishing

Phishing adalah teknik menipu untuk mendapatkan informasi pribadi milik korban. Biasanya pelaku mengirimkan email yang seolah-olah dari perusahaan atau badan resmi. Misalnya dari Bank, Toko online atau Badan pemerintah dan lainnya. Email tersebut memiliki tampilan dan tulisan yang sama persis dengan apabila perusahaan resmi yang mengirimkan.

Email palsu ini biasanya berisi formulir data-data pribadi yang harus diisi korban. Data-data pribadi bisa berupa password email, nomor pin ATM atau data-data vital lainnya. Data-data tersebut kemudian bisa dipergunakan untuk kepentingan pribadi pelaku, dan biasanya merugikan korban. Untuk mengintimidasi korban, biasanya dalam email dicantumkan ancaman berupa pembekuan akun rekening bank, penghentian layanan, atau ancaman lainnya apabila formulir data pribadi tidak diisi.

Solusi Menghindari Resiko

1. Selalu hati-hati dan mawas diri dalam melakukan interaksi di dunia nyata maupun didunia

maya mengingat informasi merupakan aset sangat berharga.

2. Organisasi atau perusahaan mengeluarkan sebuah buku saku berisi panduan mengamankan

informasi yang mudah dimengerti dan diterapkan oleh pegawainya, untuk mengurangi insiden-insiden yang tidak diinginkan

3. Belajar dari buku, seminar, televisi, internet, maupun pengalaman orang lain agar terhindar

dari berbagai penipuan dengan menggunakan modus social engineering

4. Pelatihan dan sosialisasi dari perusahaan ke karyawan dan unit-unit terkait

mengenaipentingnya mengelola keamanan informasi melalui berbagai cara dan kiat

5. Memasukkan unsur-unsur keamanan informasi dalam standar prosedur operasional

sehari-hari – misalnya “clear table and monitor policy” - untuk memastikan semuapegawai melaksanakannya

Solusi Menghindari Resiko (pencegahan)

1. Melakukan analisa kerawanan sistem keamanan informasi yang ada di perusahaannya (baca:

vulnerability analysis)

2. Mencoba melakukan uji coba ketangguhan keamanan dengan cara melakukan “penetration test”

3. Mengembangkan kebijakan, peraturan, prosedur, proses, mekanisme, dan standar yang harus

dipatuhi seluruh pemangku kepentingan dalam wilayah organisasi

4. Menjalin kerjasama dengan pihak ketiga seperti vendor, ahli keamanan informasi, institusi

penanganan insiden, dan lain sebagainya untuk menyelenggarakan berbagai program dan aktivitas bersama yang mempromosikan kebiasaan perduli pada keamanan informasi

5. Membuat standar klasifikasi aset informasi berdasarkan tingkat kerahasiaan dannilainya

6. Melakukan audit secara berkala dan berkesinambungan terhadap infrastruktur dansuprastruktur

Daftar Pustaka

Buku CEH 400% Illegal

http://en.wikipedia.org/wiki/Social_engineering_%28security%29 http://rhatavarium.blogspot.com/2012/04/social-engineering.html Seluk Beluk Teknik Social Engineering - Prof. Richardus Eko Indrajit