Proteksi dan Teknik
Keamanan Sistem Informasi
Orange Book
merupakan bagaimana sebuah keamanan sistem Informasi diterapkan. Keamanan
Sistem khususnya yang terkait dengan keamanan operasi membahas mengenai
kontrol-kontrol apa saja yang diperlukan pada lingkungan operasi yang
berhubungan dengan proses pengolahan pada komputer. Hal-hal tersebut harus
meliputi 3 hal penting dalam keamanan informasi yaitu Kerahasiaan (Confidentiality),
Integritas (Integrity), dan Ketersediaan (Availability).
Adapun pendekatan yang akan
dilakukan meliputi:
1.
Kontrol dan Proteksi (Controls
and Protections)
2.
Pengawasan dan Pengauditan
(Monitoring and Auditing)
3.
Ancaman dan Kerawanan (Threats
and Vulnerabilities)
1.
Kontrol dan Proteksi
(Controls and Protections)
Domain
Keamanan Operasi memperhatikan kontrol-kontrol yang akan digunakan untuk
melindungi perangkat keras, perangkat lunak, dan sumberdaya media lainnya dari
hal-hal sebagai berikut:
- Ancaman di
sebuah lingkungan operasi
- Pihak
pelanggar internal ataupun eksternal
- Operator yang
tidak secara benar mengakses sumberdaya
Selain itu juga
akan dibahas mengenai aspek kritikal dari kontrol operasi yaitu:
1. Pengamanan
sumberdaya, meliputi kontrol perangkat keras
2. Kontrol
entitas-kewenangan (privileged-entity)
Kontrol
berdasarkan Orange Book (Orange Book Controls)
Trusted
Computer Security Evaluation Criteria (TCSEC, Orange Book) mendefinisikan
beberapa tingkat dari jaminan kebutuhan akan operasi komputer yang aman. Orange
Book mendefinisikan dua tipe jaminan, yakni:
1.
Operational Assurance, meliputi:
a.
System Architecture
b.
System Integrity
c.
Covert Channel Analysis
d.
Trusted Facility Management
e.
Trusted Recovery
2.
Life Cycle Assurance, meliputi:
a.
Security Testing
b.
Design Specification and Testing
c.
Configuration Management
d.
Trusted Distribution
Pada
domain Kontrol Operasi, Operational Assurance meliputi Covert Channel Analysis,
Trusted Facility Management, dan Trusted Recovery. Sedangkan Life Cycle Assurance
meliputi Configuration Management.
2. Pengawasan
dan Pengauditan (Monitoring and Auditing)
Pengawasan disini
diimplementasikan pada fasilitas operasional dimana untuk mengidentifikasikan
penggunaan computer yang tidak semestinya. Mendeteksi kerusakan dan responnya,
termasuk mekanisme pelaporan adalah bagian penting dari pengawasan.
a. Pengawasan
(Monitoring)
Pengawasan terdiri
mekanisme, peralatan dan teknik yang mengijinkan identifikasi dari kejadian
keamanan yang dapat mempengaruhi operasi dari komputer. Konsep pengawasan
termasuk pengawasan untuk instalasi perangkat lunak ilegal, memonitor perangkat
keras untuk kesalahan, dan memonitor kegiatan operasional untuk anomali/keanehan.
b. Pengauditan
(Auditing)
Implementasi dari audit sistem yang
teratur adalah merupakan fondasi bagi pengawasan kontrol keamanan operasional.
Sebagai tambahan dari dilakukannya pengecekan compliance baik internal maupun
eksternal, pelaksanaan audit pada jejak audit (transaksi) dan log dapat
membantu fungsi pengawasan dengan cara mengenali pola-pola yang abnormal dari kebiasaan
pengguna.
3.
Ancaman dan Kerawanan
(Threats and Vulnerabilities)
Ancaman adalah semua
hal yang apabila terjadi dapat menyebabkan kerusakan pada sistem dan kehilangan
kerahasiaan, kemampuan, dan integritas. Ancaman dapat berbahaya seperti merubah
data-data yang sensitif atau dapat terjadi secara tidak sengaja seperti
kesalahan pada kalkulasi transaksi atau penghapusan file yang tidak disengaja.
Kerawanan adalah kelemahan yang terdapat pada sistem yang dapat dimanfaatkan
oleh ancaman. Mengurangi aspek kerawanan pada sistem dapat mengurangi resiko
dan efek dari ancaman pada sistem. Contohnya pada progam password generation
yang dapat membantu user memilih password robust (tidak mudah ditebak), yang
dapat mengurangi kemungkinan user menggunakan password yang buruk (kerawanan)
dan membuat password semakin susah untuk ditembus.
a.
Ancaman :
i.
Kehilangan tidak
disengaja
ii.
Aktivitas tidak
layak
iii.
Operasi computer
illegal dan penyerangan yang disengaja
b.
Kerawanan :
i.
Analisis
tren/lalu lintas
ii.
Akun
pemeliharaan
iii.
Penyerangan
pemisahan data
iv.
Kerawanan
Initial Program Load
v.
Pembajakan
alamat jaringan
No comments:
Post a Comment