Hacker dan Security System

Dear all,

Kalau melihat judul di atas pasti akan teringat dengan istilah Hacker, Cracker atau bahkan Carder. Banyak film, novel atau artikel di majalah/koran yang mengulas hal tsb, sebenarnya siapakah mereka? Kenapa sekarang kita perlu concern thd mereka? Kebetulan bbrp minggu lalu saya diminta mengisi sebuah seminar ttg Hacking & Networking on Linux di Jogja Expo Center, trus jadi pengen nulis hal ini.

Kata hacking sendiri sering menimbulkan arti yang berbeda-beda, walau aslinya adalah kegiatan untuk mengetahui kelemahan suatu sistem bahkan bagaimana meningkatkan kemampuan suatu sistem baik itu software atau hardware. Jadi butuh suatu keahlian khusus, misal kemampuan programming yang baik atau pemahaman ttg hardware elektronik yang hebat. Sedangkan di film maupun di novel digambarkan hanya sebagai aktivitas untuk bisa menerobos masuk ke suatu sistem untuk mengambil suatu keuntungan. Mungkin penggambaran yang paling tepat untuk hacking adalah di film The Matrix Reloaded, dimana Trinity menggunakan tool Nmap (Network Mapper). Selain itu, banyak film yang sekedar bermain dengan animasi utk menggambarkan hacker. Juga banyak orang yg sekedar menggunakan tool bikinan orang lain utk menembus suatu sistem, tanpa usaha yang keras, yang sering kita kategorikan mereka hanya sbg “Script Kiddies” atau anak-anak yang bermain dengan Script orang lain. Sebenarnya untuk menjadi hacker yang baik, banyak usaha yang hrs dilakukan baik memahami TCP/IP, belajar programming dll.

Lalu mengapa sekarang kita perlu melindungi sistem informasi di perusahaan/organisasi kita? Dulu pada saat sistem informasi masih bersifat Closed Network dan teknologi yang dipakai sifatnya propietary (spesifik pd perusahaan tertentu), ancaman keamanan tidak begitu dikuatirkan. Begitu kita menggunakan protokol standar TCP/IP (yg notebene sudah uzur dan sederhana), jaringan terhubung ke Internet, saat itulah sistem kita menjadi sasaran empuk bagi orang2 jail di luar sana. Tapi kondisi mengharuskan spt itu, misal bank hrs membuka layanan Internet Banking, perhotelan atau travel agent menyediakan Online Reservation, perusahaan harus menyediakan e-Commerce site untuk kemudahan customer dll.

Untuk itu, mau tidak mau perusahaan harus menyiapkan Sistem Keamanan (Security System) yang sesuai dengan kebutuhan. Salah satu contoh adalah Firewall, yg bekerja spt Satpam. Setiap ada tamu masuk ke suatu kantor, satpam akan menanyakan tujuannya, meminta ID Card, kemudian mencatat kehadiran kita tsb. Firewall akan memeriksa setiap akses yang masuk dan membandingkan dengan policy, apakah akses itu diijinkan atau tidak. Tapi hal itu tidak cukup, maka di dalam perusahaan pasti dipasang CCTV Camera utk mengawasi aktivitas di dalam. Sehingga walau tamu diijinkan masuk, belum tentu dia tidak berbuat yang aneh2, misal memasang bom di dalam, mencuri sesuatu utk dibawa keluar dll. Biasanya selain Firewal, kita akan memasang IDS (Intrusion Detection System) yang akan mengawasi lalulintas data, jika terjadi anomali/keanehan maka IDS akan memberikan peringatan bahkan bisa menyuruh Firewall utk menutup koneksi pada akses tsb.

Selain itu, masih dibutuhkan lagi Sistem Otentikasi yang memastikan siapa yg akan akses, boleh apa saja di dalam, dan pencatatan aktivitas2 mereka. Utk mengamankan jalur agar tidak disadap, dibutuhkan teknologi penyandian (encryption) sehingga data tidak mudah terbaca oleh siapapun. Dan juga dibutuhkan sistem terpusat utk mengawasi/mengkonfigurasi semua sistem keamanan, spt ruang Satpam yg dilengkapi banyak monitor dan tombol2 utk berbagai kegiatan.

Yang lebih penting lagi adalah mengajarkan ke setiap pengguna sistem di perusahaan kita utk selalu berhati-hati jika mengakses suatu layanan keluar. Tipe serangan yg disebut Social Engineering Attack adalah suatu serangan yang memanfaatkan kelemahan user. Misal sebuah email dengan alamat pengirim manager-it@apa.com meminta semua user utk mereply dg menyertakan username dan password, dengan alasan akan dilaksanakan upgrade ke sistem baru. Atau email yang meminta kita klik ke suatu website utk mendownload demo antivirus terbaru, pdhl isinya adalah virus atau worm.

Jadi dalam mengamankan suatu sistem, banyak hal yg harus diperhatikan. Tidak sekedar membeli software atau device Security lalu sekedar dipasang. Wah, jadi repot juga ya kalau punya sistem yang terkoneksi keluar. Makanya ada suatu kalimat sakti di dunia Security yaitu “The most secure system is unconnected system”....hehe atau bahkan kalau mau aman sekali ya ikuti semboyan-nya Andrew S. Grove pendiri Intel yaitu “Only The Paranoid Survive”, walau ini sebenarnya lebih ke strategi bisnis. Udahan dulu deh, ketemu lagi di cerita lain.