IMPLEMENTASI AAA UNTUK MENGONTROL AKSES DI JARINGAN KOMPUTER

Access control adalah Suatu proses dimana user diberikan hak akses untuk mengakses system atau informasi. Dalam access control terdapat identifikasi, otorisasi, otentifikasi dan audit. Access control memiliki subjek (user) yang mencoba untuk mendapatkan access dari Object (software) yang tersimpan pada ACL (access control list). ACL merupakan daftar access control berisi perizinan dan data kemana user diberikan izin tersebut. Data yang telah memiliki izin hanya dapat diakses oleh beberapa user yang telah diberikan akses untuk mengaksesnya dan tentunya sudah dikontrol oleh access control. Dalam hal ini mungkin memerlukan administrator untuk mengamankan informasi dan mengatur hak atas informasi apa saja yang boleh diakses dan kapan informasi tersebut dapat diakses.

Dalam dunia jaringan komputer, untuk mengakses dan mengontrol jalan masuk jaringan komputer digunakan teknik AAA yang diimplementasikan dalam AAA server. AAA adalah sebuah model akses jaringan yang memisahkan tiga macam fungsi kontrol yaitu Authentication, Authorization, dan Accounting untuk diproses secara independen. AAA Server adalah Program server yang bertugas untuk menangani permintaan akses ke suatu komputer dengan menyediakan proses otentikasi, otorisasi, dan akuntansi.

a.    Authentication adalah Proses pengesahan identitas user sebelum mengakses jaringan.

Proses ini diawali dengan pengiriman kode unik oleh user kepada server. Server menerima kode unik tersebut dan membandingkannya dengan kode unik yang disimpan dalam database server. Jika hasilnya sama, maka server akan memberikan hak akses kepada user. Dan jika hasilnya tidak sama, maka server akan mengirimkan error message dan menolak hak akses user.

b.   Authorization adalah Proses pengecekan wewenang user, mana saja hak-hak akses yang diizinkan serta yang tidak diizinkan untuk user tersebut. Proses ini dilakukan oleh server dengan cara mengecek hak-hak akses user yang tersimpan di dalam database. Setelah hak aksesnya diketahui, kemudian server akan menyerahkan hak-hak tersebut kepada user. User dapat mengakses resource yang ada didalam jaringan.

c.    Accounting adalah Proses pencatatan terhadap semua aktivitas yang telah dilakukan user didalam jaringan. Informasi yang didapat dapat berupa : Identitas user, Waktu awal dan akhir user terkoneksi di jaringan, Sifat dari layanan yang diberika. Pencatatan ini bertujuan untuk : Auditing, Billing, Other purposes.

Protokol AAA adalah RADIUS (Remote Authentication Dial In User Service), TACACS (Terminal Access Controller Access Control System), Kerberos.

a.    RADIUS adalah Protokol otentikasi keamanan komputer yang digunakan untuk melakukan mekanisme AAA secara terpusat untuk mengakses jaringan. Didefinisikan dalam : RFC 2865 (Authentication, Authorization), RFC 2866 (Accounting). Berjalan pada port UDP 1812 (Authentication) dan 1813 (Accounting).

b.   TACACS adalah Protokol otentikasi remote yang digunakan untuk berkomunikasi dengan server otentikasi, yang umum digunakan dalam jaringan UNIX. Didefinisikan dalam RFC 1492. Berjalan pada port (TCP maupun UDP) 49.

c.    Kerberos adalah Protokol otentikasi yang memungkinkan suatu node berkomunikasi melalui jaringan yang tidak aman untuk membuktikan identitas mereka satu sama lain dalam cara yang aman. Didefinisikan dalam RFC 4120. Berjalan pada port TCP 88.

Mekanisme AAA

1.   User meminta hak akses ke dalam suatu jaringan kepada NAS sebagai langkah awal koneksi

2.   NAS mengumpulkan informasi user tersebut, lalu mengirimkannya ke AAA server

3.   AAA server menerima serta memproses informasi tersebut, lalu memberikan informasi balasan kepada NAS berupa pesan penerimaan/penolakan atas akses user ke dalam jaringan

4.   NAS menyampaikan informasi dari AAA server kepada user, bahwa hak akses ditolak/diterima beserta layanan yang dapat diakses olehnya dalam jaringan

5.   NAS bersama AAA server mencatat semua aktivitas user di jaringan

LOGICAL SECURITY SISTEM KEAMANAN INFORMASI

Logical security merupakan jenis kontrol dalam sebuat sistem informasi yang berikaitan dengan aturan pengaksesan pengguna sesuai dengan wewenang yang diberikan/ditentukan dalam penggunaan data/informasi serta program-program sistem informasi. Maka dari itu logical security banyak berhubungan dengan user-ID untuk setiap pengguna sistem informasi.

Logical security bertujuan untuk:

1.   Melindungi data/informasi yang tersimpan di dalam perangkat sistem informasi, dari perusakan atau penghancuran yang dilakukan baik disengaja maupun tidak disengaja.

2.   Menghindari dan mendeteksi perubahan terhadap data/informasi yang dilakukan oleh pihak yang tidak berwenang, serta menjaga agar informasi tidak disebarkan kepada pihak yang tidak berwenang.

Aplikasi Logical Security

Terdapat beberapa pengaplikasian logical security terhadap sistem informasi yang pada umumnya aplikasi tersebut juga diimplementasikan ke dalam beberapa sistem aplikasi lainnya. Pengaplikasian tersebut diantaranya user-ID, password, access level, closed menu.

User-ID

Tujuan dari user-ID adalah untuk mengidentifikasi pengguna yang memiliki otoritas untuk mengakses sistem informasi. Sebelumnya sistem harus mendapatkan data semua user-ID yang akan disimpan pada basisdata sistem informasi. User-ID merupakan perisai pertama terhadap pengaksesan sistem. Setiap user-ID harus diidentifikasi oleh satu data yang bersifat unik (biasanya berupa kunci utama dalam sebuah basisdata). Beberapa data yang biasanya termasuk ke dalam user-ID diantaranya:

1. Username

Username merupakan data yang menidentifikasi setiap pengguna. Username lebih baik bersifat unik untuk dapat mengidentifikasi setiap pengguna. Username dapat dibuat menggunakan kodifikasi. Sebagai contoh username dengan nilai BDGCSAP001 (BDG = Bandung, CS = Customer Service, AP = Agus Putra, 001 = Nomor urut apabila ada pengguna yang bekerja di bagian yang sama dan nama yang sama).

2. Password

Password juga merupakan bagian dari data set user-ID. Tetapi dalam materi ini akan dibahas secara terpisah di sub bab berikutnya. Password merupakan kunci untuk masuk ke dalam sistem atau mendapatkan akses.

3. Initial Menu

Initial menu merupakan informasi menu apa saja yang akan ditampilkan pada sebuah sistem informasi berkaitan dengan hak akses setiap pengguna. Sebagai contoh pada sistem informasi akademik, menu untuk bagian akademik dengan menu untuk guru harus berbeda. Daftar menu yang dapat ditampilkan untuk setiap jenik hak akses dapat disimpan dalam basis data atau juga dapat diseleksi langsung menggunakan kode program.

4. Output Queue

Menentukan arah output dari setiap proses yang harus dikirimkan oleh sistem.

5. Special Authorities

Apabila terdapat seorang pengguna yang diberikan wewenang tambahan untuk mengakses data atau proses, dapat didefinisikan di bagian special authorities.

6. Password change date

Tanggal setiap ada perubahan password harus selalu terekam atau tersimpan.

7. Access Levels

Menentukan hak pengaksesan untuk setiap level pengguna yang berkaitan dengan data dan program (modul). Pembahasan lebih lengkap ada pada sub bab berikutnya.

Password

Password berkaitan dengan user-ID, untuk membuktikan bahwa pengguna memiliki wewenang untuk memaki dan masuk ke dalam sistem. Oleh karena itu setiap pengguna sebelum masuk ke dalam sistem informasi harus mengetik/memasukan username beserta password. Untuk menghindari percobaan pengaksesan oleh pengguna yang tidak memiliki wewenang, harus dikontrol dengan mengkombinasikan kontrol preventif dan pendeteksian. Hal tersebut dapat dilakukan dengan cara:

1.   Ditentukan batasan kesalahan dalam memasukan username dan password (misalnya sebanyak 3 kali). Apabila sudah melebihi batas tersebut maka secara otomatis username yang berkaitan dinonaktifkan oleh sistem. Dapat juga dinonaktifkan terminal yang dipakai apabila tidak akan menggangu proses sistem informasi lainnya. Untuk fasilitas pengaktifan dapat diterapkan pada sistem administrator. Kontrol ini juga dapat memberikan informasi terhadap pemilik sistem bahwa adanya aktifitas percobaan pengaksesan sistem secara illegal.

2.   Percobaan tersebut harus direkam di log file. Dimana nantinya secara berkala harus diaudit untuk menginvestigasi beberapa penyebabnya.

Sistem informasi yang baik akan merekam semua kegiatan pengguna (diwakili oleh user-ID setiap pengguna). Contohnya sistem akan merekam user-ID (beserta tanggal kejadian) yang melakukan perubahan dan penghapusan terhadap data. Pada tabel 1 di bawah ini terdapat beberapa saran untuk pengontrolan password.

Access Level

Setelah pengguna berhasil masuk ke dalam sistem dengan menggunakan user-ID dan passwordnya, maka sistem hanya akan menyediakan data dan informasi yang sesuai dengan level akses pengguna tersebut. Selain itu modul-modul yang digunakan juga sesuai dengan level akses. Oleh karena itu rincian tingkat pengaksesan harus diimplementasikan ke dalam sistem. Berikut beberapa level akses yang umum diterapkan, diantaranya:

1. No Access

Tingkat pengaksesan ini berarti pengguna tidak diizinkan memakai program beserta datanya. Sebagai default, semua file dan program memiliki tingkat pengaksesan ini.

2. Execute

Tingkat pengaksesan ini berlaku untuk program yang diizinkan untuk dijalankan oleh pengguna.

3. Read Only

Pengguna hanya diperbolehkan untuk menjalankan program yang diakses dengan membaca atau mencetak beberapa file yang berkaitan dengan program tersebut. Akan tetapi tidak diberikan akses untuk memodifikasi dan/atau menghapus data yang ada pada file tersebut.

4. Modify/Update

Pengguna diberikan akses untuk memodifikasi data yang ada pada file.

5. Delete

Pengguna diberikan akses untuk menghapus data yang ada pada file.

6. Add/Write

Memungkinkan pengguna untuk menambahkan record ke dalam file.

7. Owner

Memungkinkan pengguna memberikan hak pengaksesan terhadap file-file atau/dan menjalankan program-program tertentu kepada pengguna lain.

Closed Menu

Closed menu merupakan informasi menu apa saja yang akan ditampilkan pada sebuah sistem informasi berkaitan dengan hak akses setiap pengguna. Setiap pengguna akan diberikan menu program sesuai hak akses yang sudah ditentukan. Sebagai contoh pada sistem informasi akademik, menu untuk bagian akademik dengan menu untuk guru harus berbeda. Daftar menu yang dapat ditampilkan untuk setiap jenik hak akses dapat disimpan dalam basis data atau juga dapat diseleksi langsung menggunakan kode program.

Tanggungjawab Pemberian Kontrol

Tanggungjawab untuk pemberian kontrol terhadap tingkat pengaksesan untuk setiap pengguna biasanya dibebankan kepada security administrator. Jabatan tersebut memiliki wewenang untuk membuat, mengganti, dan menghapus user-ID beserta password dan tingkat pengaksesan. Pada tabel 2 di bawah ini terdapat beberapa contoh yang dapat dilakukan untuk memeriksa logical security.

PHYSICAL SECURITY SISTEM KEAMANAN INFORMASI

Physical Security atau keamanan fisik membahas ancaman, kerawanan dan tindakan yang dapat diambil untuk mamberi perlindungan fisik tehadap sumber daya organisasi dan informasi yang sensitif. Sistem keamanan fisik sering mengacu pada tindakan yang diambil untuk melindungi sistem, gedung dan infrastruktur pendukung yan terkait terhadap ancaman yang berhubungan dengan lingkungan fisik. Secara singkat Physical Security dapat diartikan sebagai keamanan infrastruktur teknologi informasi secara fisik.

Physical Security Checklist:

1. Company Surroundings

Sebuah perusahaan besar biasanya memiliki sistem keamanan yang terstruktur dengan sangat baik. Untuk memasuki wilayah perusahaan dibutuhkan hak akses yang sah, dan hanya orang-orang tertentu saja yang memiliki hak tersebut.

Beberapa cara mengamankan daerah sekitar perusahaan:

– Pagar / gerbang

– Tembok tinggi

– Penjaga

– Menggunakan alarm keamanan

2. Reception

Posisi seorang resepsionis harus diperhatikan, karena orang luar perusahaan dapat dengan mudah untuk melihat dan mengetahui segala aktivitas yang dilakukan resepsionis terhadap komputer perusahaan. Sebaiknya:

– Posisi monitor komputer tidak menghadap ke orang luar

– Tidak meninggalkan komputer dalam keadaan menyala

3. Server

Komputer server pada sebuah perusahaan adalah bagian yang paling penting, karena dalam komputer tersebut tersimpan data-data penting (rahasia) perusahaan. Perlindungan terhadap komputer server dapat dilakukan dengan 2 cara:

Pertama: Perlindungan data pada computer server, biasanya dari serangan virus dan spy. Disarankan untuk menginstall antivirus dan sering-sering untuk mengpdatenya.

Kedua: Perlindungan fisik komputer server dari berbagai serangan, khususnya dari serangan bencana alam.

4. Workstation area

Workstation area merupakan tempat yang sangat rawan untuk keamanan data, karena orang dapat dengan mudah untuk mengambil data dari komputer milik orang lain. Sebaiknya kita melakukan pengamanan dengan cara:

– Tidak meninggalkan meja kerja dengan keadaan komputer menyala, komputer harus dalam keadaan terkunci

– Gunakan kamera CCTV

– Tidak meninggalkan usb / media drives lainnya masih terhubung ke komputer

5. Wireless access points

Keberadaan alat wireless access points sudah semakin meluas dan dibutuhkan pengamanan yang lebih ketat. Untuk mencegah akses-akses yang tidah sah, sebaiknya wireless access harus lebih terjaga/ terjamin. Lakukanlah hal-hal berikut:

– Nyalakan WEP encryption

– Rubah default SSID-nya

– Access point harus menggunakan password

– Password harus cukup kuat sehingga tidak mudah untuk dicrack

6. Access control

Access control digunakan untuk mencegah panggunaan akses yang tidak sah terhadap area-area operasional sensitif perusahaan. Pengontrolan dapat dilakukan dengan cara:

– Kartu pengenal yang dilengkapi chip

– Biometric device: retina mata, sidik jari, pengenal suara

7. Computer equipment maintenance

Pemeliharaan komputer secara rutin sangat disarankan, karena dapat membuat komputer tahan lama dan tetap stabil untuk jangka waktu yang panjang. Sebaiknya:

– Perusahaan memiliki orang-orang yang terlatih dan bertanggungjawab dalam bidang maintenance

– Tidak membiarkan orang luar perusahaan untuk melakukan maintenance

8. Wiretapping

Wiretapping adalah tindakan secara diam-diam mendengarkan pembicaraan orang lain melalui saluran telepon. Biasa dikenal dengan istilah penyadapan. Pengamanan dapat dilakukan dengan:

– Tidak membiarkan kabel berserakkan sembarangan, susun kabel secara rapih

– Lindungi kabel dengan pelindung kabel

9. Remote access

Remote access dapat mempermudah pegawai untuk mengakses komputer perusahaan dari luar perusahaan. Namun sebaiknya penggunaan remote access ini dihindari karena keamanan dari remote access sangat rendah dan rentan terhadap pencurian data.

Metodologi keamanan
Dalam metodology keamanan ada tingkatan level keamanan yang harus diperhatikan,
1.    Level 0 – Keamanan fisik
2.    Level 1 – Keamanan database, data, komputer, peralatan & aplikasi
3.    Level 2 – Keamanan jaringan
4.    Level 3 – Keamanan informasi
5.    Level 4 – Keamanan

Keamanan Fisik
Keamanan adalah hal yang sangat penting untuk diorganisasikan, dan didalam keamanan itu sendiri keamann fisik adalah yang tidak kalah pentingnya.

Keamanan fisik meliputi berbagai jenis ancaman, kerentanan, dan resiko. Mekanisme keamanan fisik meliputi tempat desain dan layout, komponen lingkunagn, respon tanggap, pelatihan, kontrol akses, deteksi dari pengacau, dan keamanan power serta api.

Keamanan fisik tidak terlalu menjadi perhatian di era 60-an dan 70-an, karena komputer pada zaman tersebut terlalu besar untuk dicuri karena berupa mainframe sebesar kamar, dan pada masa tersebut hanya orang yang tertentu yang dapat menggunakannya. Dan sekarang, komputer berukuran kecil dan ada disemua perusahaan, dan akses kepada peralatan dan sumber daya tersebut sangat mudah.

Perusahaan-perusahaan telah memilki ruang server, dan user dapat mengendalikannya dengan mudah tanpa harus ada di ruang server tersebut.

Melindungi sistem komputer, jaringan, fasilitas, dan para pegawai menjadi hal yang sangat vital dalam berbagai perusahaan.

Kebanyakan orang yang nerkecimpung di bagian keamanan informasi tidak mempedulikan keamanan fisik. Yang mereka pikirkan hanya menangani keamanan dari hacker, port, virus, dan keamanan yang berbau teknologi. Tetapi keamanan informasi tanpa keamanan fisik yang memadai akan menjadikannya hal yang percuma.

Keamanan fisik memilki tingkat kerentanan, ancaman yang berbeda dari keamanan informasi. Keamanan fisik lebih cenderung kepada perusakan fisik, penyusup, isu lingkungan, pencurian, dan vandalisme.

etika seorang yang ahli dalam bidang keamanan melihat kedalam keamanan informasi, mereka berpikir tentang bagaimana seseorang dapat masuk kedalam lingkunagn yang ia tidak memilki hak melalui port, modem, atau wireless access point.

Tetapi ketika yang ahli dalam bidang keamanan melihat kedalam keamanan fisik, mereka akan berpikir bagaimana orang dapat secara fisik masuk ke lingkungan kompuer dan menyebabkan berbagai kerusakan.

Ancaman yang mungkin terjadi dalam keamanan fisik dapat dibagi menjadi beberapa katagori:

1.      Ancaman alam. Seperti banjir, gempa bumi, badai dan tornado, kebakaran, kondisi temperatur, dan lain sebagainya.

2.      Ancaman sistem. Seperti distribusi tegangan, gangguan komunikasi, gangguan ke berbagai sumber daya lainnya seperti air, uap air, gas dan lain sebagainya.

3.       Ancaman yang dibuat manusia. Orang yang tidak memilki akses (internal maupun eksternal), ledakan bom, dendam pegawai, kesalahan dan kecelakaan pegawai, vandalisme, penipuan, pencurian, dan lain sebagainya.

4.       Ancaman bermotivasi politik. Mogok kerja, kerusuhan, pemberontak, serangan teroris, pemboman, dan sebagainya.

Keamanan fisik adalah baris pertama pertahanan.Keamanan fisik mengalamatkan perlindungan fisik terhadap sumber daya organisasi yang berupa orang-orang, data, fasilitas, peralatan, sistem. Pada dasarnya keamanan fisik mengutamakan keselamatan orang, bagaimana orang dapat secara fisik masuk ke sebuah lingkungan dan bagaimana lingkungan mempengaruhi peralatan dan sistem. Keselamatan orang selalu dipentingkan terlebih dahulu dari pada faktor keamanan lainnya.

Planning Proccess
Keamanan fisik adalah kombinasi dari orang, proses, prosedur, dan peralatan untuk melindungi sumber daya.

Meskipun setiap organisasi berbeda, tetapi tujuan membangun dan memperkuat tingkat keamanan fisik pada dasarnya sama. Organisasi pertama kali harus menefinisikan kerentanan, ancaman, pengancam, dan target ancaman dari perusahaan tersebut.

Departemen yang menangani keamanan fisik memilki tujuan:

1.      Mencegah tindak kriminal, dengan cara memperkerjakan panjaga keamanan, sinyal alarm, dan sebagainya.

2.      Mengurangi kerugian dengan cara memperlambat tindak perusakan itu terjadi, seperti gembok, kunci, kartu masuk, dan sebagainya.

3.      Mendeteksi tindak kriminal, dengan cara CCTV, smoke detector, motion detector, dan sebagainya.

4.      Memperkirakan respon petugas keamana terhadap suatu insiden untuk mengurangi besarnya kerugian dan kerusakan.

5.      Membuat mekanisme respon pemadaman api, proses emergency, mematuhi hukum pemerintah tentang keamanan, dan konsultasi dengan pihak ahli.

Jadi sebelum sebuah keamanan fisik yang efisien dipenuhi, langkah-langkah berikut harus telah dilakukan:

1.      Identifikasi tim yang terdiri dari pegawai dalam atau konsultan luar yang akan membangun program kamanan fisik

2.      Membawa analisis resiko untuk mengidentifikasi kerentanan dan ancaman serta memperhitungkan dampak yang akan terjadi dari setiap ancaman.

3.      Bekerja dalam managemen untuk mendifinisikan resiko yang dapat diterima dalam program keamanan fisik tersebut.

4.      Mendapatkan garis besar performance yang dibutuhkan dari level resiko yang ada.

5.      Membuat pengukuran tindakan.

6.      Mengembangkan kriteria dari hasil analisis, dan memikirkan level keamanan dan kekuatan yang dibutuhkan untuk hal berikut: Pencegahan (Deterrence), Penundaan (Delaying), Deteksi (Detection),  Penaksiran (Assessment), Tanggapan (Response)

7.      Mengidentifikasi dan mengimplementasikan tindakan dari setiap katagori program.

8.      Terus menerus mengawasi setiap tindakan untuk menjaga bila terjadi resiko yang tidak diinginkan.

Sumber Ancaman Utama
Sumber Ancaman Utama dalam keamanan fisik adalah :
1.    Cuaca
2.    Api dan obat-obatan,
3.    Gerakan bumi,
4.    Getaran benda,
5.    Energi,
6.    Peralatan,
7.    Organisme,
8.    Manusia.