Ilmu Seni Security 2

Ilmu dan Seni Keamanan Informasi Theory and Practice SAEPULLOH

http://www.saepulloh.web.id Bogor, 26 Mei 2007

Informasi = Uang? • Informasi memiliki nilai (value) yang dapat dijual belikan – Data-data nasabah, mahasiswa – Informasi mengenai perbankan, nilai tukar, saham – Soal ujian – Password, PIN

• Nilai dari informasi dapat berubah dengan waktu – Soal ujian yang sudah diujikan menjadi turun nilainya Saepulloh - Ilmu & Seni Security

2

Teknologi Informasi • Teknologi yang terkait dengan pembuatan, pengolahan, distribusi, penyimpanan dari informasi • Menghasilkan produk dan layanan yang sudah kita gunakan sehari-hari sebagai “manusia moderen” – – – –

Mesin ATM di bank Telepon, handphone, SMS Games, PlayStation, on-line games P2P applications

Saepulloh - Ilmu & Seni Security

3

Technology Drivers • Computer Technology – Moore’s law: complexity doubles every 18 months – Good enough

• Storage Technology – Increases 3 times / year – Good enough

• Network Technology – Increase in speed, lower in price – But … new bandwidth-hungry applications. The need for (more) speed! Saepulloh - Ilmu & Seni Security

4

Perhatian terhadap keamanan informasi • Mulai banyaknya masalah keamanan informasi – – – –

Virus, worm, trojan horse, spam Hacking & cracking Spyware, keylogger Fraud (orang dalam), penipuan, pencurian kartu kredit

• Masalah security dianggap sebagai penghambat penerimaan penggunaan infrastruktur teknologi informasi Saepulloh - Ilmu & Seni Security

5

Cuplikan statistik kejahatan • 7 Februari 2000 s/d 9 Februari 2000. Distributed Denial of Service (Ddos) attack terhadap Yahoo, eBay, CNN, Amazon, ZDNet, ETrade. • 2001. Virus SirCam mengirimkan file dari harddisk korban. File rahasia bisa tersebar. Worm Code Red menyerang sistem IIS kemudian melakukan port scanning dan menyusup ke sistem IIS yang ditemukannya. • 2004. Kejahatan “phising” (menipu orang melalui email yang seolah-olah datang dari perusahaan resmi [bank misalnya] untuk mendapatkan dataSaepullohnomor - Ilmu & Seni Security 6 data pribadi seperti PIN internet banking) mulai marak

Saepulloh - Ilmu & Seni Security

7

Contoh kejahatan kartu kredit • Berdasarkan laporan terakhir (2004), Indonesia: – Nomor #1 dalam persentase (yaitu perbandingan antara transaksi yang baik dan palsu) – Nomor #3 dalam volume

• Akibatnya kartu kredit dan transaksi yang (nomor IP-nya) berasal dari Indonesia secara resmi diblokir di beberapa tempat di Amerika Saepulloh - Ilmu & Seni Security

8

Phising

From: To: … Subject: USBank.com Account Update URGEgb Date: Thu, 13 May 2004 17:56:45 -0500 USBank.com Dear US Bank Customer, During our regular update and verification of the Internet Banking Accounts, we could not verify your current information. Either your information has been changed or incomplete, as a result your access to use our services has been limited. Please update your information. To update your account information and start using our services please click on the link below: http://www.usbank.com/internetBanking/RequestRouter?requestCmdId=DisplayLoginPage Note: Requests for information will be initiated by US Bank Business Development; this process cannot be externally requested through Customer Support.

Saepulloh - Ilmu & Seni Security

9

Ilmu dan Seni Keamanan Informasi • Dimulai dari coba-coba. Merupakan sebuah seni. • Mulai diformalkan dalam bentuk ilmu. • Tidak bisa selamanya mengandalkan kepada coba-coba saja. Harus menggabungkan keduanya. • Catatan: Ilmu komputer (computer science) pun muncul melalui jalur ini

Saepulloh - Ilmu & Seni Security

10

Contoh Ilmu Security • Kriptografi (cryptography) – Enkripsi & dekripsi: DES, AES, RSA, ECC – Berbasis matematika

• Protokol dan jaringan (network & protocols) – SSL, SET

• Sistem dan aplikasi (system & applications) • Management, policy & procedures

Saepulloh - Ilmu & Seni Security

11

DES: Data Encryption Standard

Saepulloh - Ilmu & Seni Security

12

Protokol SSL 1

Client Hello / Connection Request Daftar algoritma / cipher suite Pemilihan cipher suite

2

Sertifikat Digital Server Encrypted secret / key / nonce

Client

Decrypted secret

3

Server

Sertifikat Digital Client Encrypted secret / key / nonce Decrypted secret

4

Kunci simteris disepakati Transfer data dengan enkripsi kunci simetris Saepulloh - Ilmu & Seni Security

13

System Security: Secure Email Isi email tidak dirahasiakan. Diinginkan terjaganya integritas dan non-repudiation

Keduanya disatukan dan dikirimkan

From: Budi Subject: Kiriman

From: Budi Subject: Kiriman

Kiriman datang Senin pagi

Kiriman datang Senin pagi

hash

af005c0810eeca2d5

ohx76@#

Enkripsi (dg kunci privat pengirim)

ohx76@# Saepulloh - Ilmu & Seni Security

14

Application Security • Masalah yang sering dihadapi dalam pembuatan software – Buffer overflow – Out of bound array

Saepulloh - Ilmu & Seni Security

15

Security Lifecylce

Saepulloh - Ilmu & Seni Security

16

Contoh dari praktek (seni) security linux% host –t ns target.co.id linux% host –t mx target.co.id linux% nslookup > server 167.205.21.82 > set type=any > ls –d itb.ac.id >> /tmp/zone_out > ctrl-D

linux% nmap 192.168.1.10 Starting nmap V. 2.12 by Fyodor ([email protected], www.insecure.org/nmap/) Interesting ports on router (192.168.1.11):

Port 22 25 53 80 110 113 143 1008 3128 8080

State open open open open open open open open open open

Protocol tcp tcp tcp tcp tcp tcp tcp tcp tcp tcp

Service ssh smtp domain http pop-3 auth imap2 ufsd squid-http http-proxy

Nmap run completed -- 1 IP address (1 host up) scanned in 1 second

Saepulloh - Ilmu & Seni Security

17

Aspek Dari Security • • • • •

Confidentiality Integrity Availability Ketiga di atas sering disingkat menjadi CIA Ada tambahkan lain – – – –

Non-repudiation Authentication Access Control Accountability Saepulloh - Ilmu & Seni Security

18

Confidentiality / Privacy • Kerahasiaan data. Data hanya boleh diakses oleh orang yang berwenang – Data-data pribadi – Data-data bisnis; daftar gaji, data nasabah – Sangat sensitif dalam e-commerce dan healthcare

• Serangan: penyadapan (teknis dengan sniffer / logger, man in the middle attack; non-teknis dengan social engineering)

• Proteksi: enkripsi Saepulloh - Ilmu & Seni Security

19

Integrity • Informasi tidak boleh berubah (tampered, altered, modified) oleh pihak yang tidak berhak • Serangan – Pengubahan data oleh orang yang tidak berhak, spoofing – Virus yang mengubah berkas

• Proteksi: – Message Authentication Code (MAC), digital signature / certificate, hash functions, logging Saepulloh - Ilmu & Seni Security

20

Availability • Informasi harus tersedia ketika dibutuhkan • Serangan – Meniadakan layanan (Denial of Service / DoS attack) atau menghambat layanan (server dibuat lambat)

• Proteksi – Backup, redundancy, DRC, BCP, firewall

Saepulloh - Ilmu & Seni Security

21

Non-repudiation • Tidak dapat menyangkal (telah melakukan transaksi) – Menggunakan digital signature – Logging

Saepulloh - Ilmu & Seni Security

22

Authentication • Meyakinkan keaslian data, sumber data, orang yang mengakses data, server yang digunakan – what you have (identity card) – what you know (password, PIN) – what you are (biometric identity)

• Serangan: identitas palsu, terminal palsu, situs gadungan

Saepulloh - Ilmu & Seni Security

23

Access Control • Mekanisme untuk mengatur siapa boleh melakukan apa – Membutuhkan adanya klasifikasi data: public, private, confidential, (top)secret – Role-based access

Saepulloh - Ilmu & Seni Security

24

Accountability • Dapat dipertanggung-jawabkan • Melalui mekanisme logging dan audit • Adanya kebijakan dan prosedur (policy & procedures)

Saepulloh - Ilmu & Seni Security

25

Teori Jenis Serangan • Interruption DoS attack, network flooding

• Interception Password sniffing

• Modification Virus, trojan horse

A

B

A

B

A

E

E

B

• Fabrication spoffed packets

A

Saepulloh - Ilmu & Seni Security

E

B

26

Klasifikasi: Dasar elemen sistem • Network security – fokus kepada saluran (media) pembawa informasi

• Application security – fokus kepada aplikasinya sendiri, termasuk di dalamnya adalah database

• Computer security – fokus kepada keamanan dari komputer (end system), termasuk operating system (OS)

Saepulloh - Ilmu & Seni Security

27

Topologi Lubang Keamanan ISP

Network sniffed, attacked

Holes

Internet Network sniffed, attacked

Users Trojan horse

Userid, Password, PIN, credit card #

Network sniffed, attacked, flooded

1. 2. 3.

System (OS) Network Applications + db

Web Site

- Applications (database, Web server) hacked -OS hacked

www.bank.co.id Saepulloh - Ilmu & Seni Security

28

Pelaku di bidang Security • Information bandit – Sekarang masih dipotretkan sebagai jagoan – Akan tetapi akan berkurang – the disappearance act of information bandits

• Information security professionals – Masih kurang – Lebih menyenangkan

• Keduanya menggunakan tools yang sama • Perbedaannya sangat tipis: itikad & pandangan • Jangan bercita-cita menjadi bandit! Saepulloh - Ilmu & Seni Security

29

source: hacking exposed

ANATOMY OF A HACK The Objective

The Methodology

Target address range, name space acquisition , and information gathering are essential to a surgical attack . The key here is not to miss any details.

Footprinting

Bulk target assessment and identification of listening services focuses the attacker's attention on the most promising avenues of entry

Scanning

More intrusive probing now begins as attackers begin identifying valid user accounts or poorly protected resource shares.

Enumeration

Enough data has been gathered at this point to make an informed attempt to access the target

Gaining access

If only user-level access was obtained in the last step, the attacker will now seek to gain complete control of the system

Escalating privilege

The information-gathering proccess begins again to identify mechanisms to gain access to trusted systems.

Pilfering

Once total ownership of the target is sesured, hiding this fact from system administrators becomes paramount, lest they quickly end the romp.

Covering tracksCreating back doors

Trap doors will be laid in various parts of the system to ensure that priveleged access is easily regained at the whim of the intruder

Creating back doors

If an attacker is unsuccessful in gaining access, they may use readily available exploit code to disable a target as a last resort.

Denial of Service

The Techniques

The Tools

Open source search whois Web interce to whois ARIN whois DNS zone transfer

USENet, search engines, Edgar Any UNIX client http://www.networksolutions.com/whois http://www.arin.net/whois dig, nslookup ls -d, Sam Spade

Ping sweep TCP/UDP port OS Detection

fping, icmpenum WS_Ping ProPack nmap, SuperScan, fscan Nmap, queso, siphon

List user accounts List file shares Identify applications

null sessions , DumpACL, sid2user, OnSite Admin showmount, NAT, Legion banner grabbing with telnet or netcat, rpcinfo

Password eavesdropping File share brute forcing Password file grab Buffer overflows

tcpdump, L0phtcrack readsmb NAT, legion tftp, pwdump2 (NT) ttdb, bind, IIS .HTR/ISM.DLL

Password cracking Known exploits

john, L0phtcrack lc_messages, getadmin, sechole

Evaluate trusts Search for cleartext passwords

rhosts, LSA Secrets user data, configuration files, Registry

Clear logs Hide tools

zap Event Log GUI, rootkits, file streaming

Create rouge user accounts Schedule batch jobs Infect startup files Plant remotecontrol services Install monitoring mechanisms Replace apps with Trojans

members of wheel, Administrators cron, AT rc, Startup folder, Registry keys netcat, remote.exe, VNC, BO2K keystroke loggers, add acct. to secadmin mail aliases login, fpnwclnt.dll

SYN flood ICMP techniques Identical src/dst SYN requests Overlapping fragment/offset bugs Out of bounds TCP options (OOB) DDoS

synk4 ping of death, smurf land, latierra teardrop, bonk, newtear supernuke.exe trinoo/TFN/stcheldraht

Saepulloh - Ilmu & Seni Security

30

INDOCISC Audit Checklist 1. evaluating (network) topology 2. penetration testing from outside and inside network 3. evaluating network devices, such as routers, switches, firewalls, IDS, etc. 4. evaluating server(s) 5. evaluating application(s) 6. evaluating policy and procedures Saepulloh - Ilmu & Seni Security

31

Penutup • Mudah-mudahan presentasi yang singkat ini dapat memberikan gambaran mengenai ilmu security • Masih banyak detail yang tidak dibahas pada presentasi ini • Mudah-mudahan tertarik menjadi security professional bukan menjadi bandit

Saepulloh - Ilmu & Seni Security

32