Friday 28 September 2012

Serangan DOS dan Cara Mengatasinya

 Serangan DOS dan Cara Mengatasinya


Denial of service (DoS) adalah sebuah metode serangan terhadap sebuah komputer atau server di dalam jaringan internet dengan cara menghabiskan sumber daya (resource) sebuah peralatan jaringan komputer sehingga layanan jaringan komputer menjadi terganggu. Serangan ini bertujuan untuk mencegah pengguna mendapatkan layanan dari sistem.

Jika satu komputer mengirimkan data sebesar 32 bytes / detik ke situs yang di tuju. Jika ada 10.000 komputer yang melakukan perintah tersebut secara bersamaan, itu artinya ada kiriman data sebesar 312 Mega Bytes/ detik yang di terima oleh situs yang di tuju tadi. Dan server dari situs yang dituju tadi pun harus merespon kiriman yang di kirim dari 10.000 komputer secara bersamaan. Jika 312 MB/detik data yang harus di proses oleh server, dalam 1 menit saja, server harus memproses kiriman data sebesar 312 MB x 60 detik = 18720 MB. Bisa di tebak, situs yang di serang dengan metode ini akan mengalami Over Load / kelebihan data, dan tidak sanggup memproses kiriman data yang datang. Komputer-komputer lain yang ikut melakukan serangan tersebut di sebut komputer zombie, dimana sudah terinfeksi semacam adware. jadi si Penyerang hanya memerintahkan komputer utamanya untuk mengirimkan perintah ke komputer zombie yang sudah terinfeksi agar melakukan “Ping” ke situs yang di tuju.

Kita contohkan menyerang situs alisina.org [216.245.223.250]. situs ini layak diserang karena menghina Islam. tanpa basa-basi mari kita lakukan dengan software Hoic.





Serangan DoS dapat terjadi dalam banyak bentuk. yaitu :
  • Teardrop adalah salah satu tipe serangan Denial Of Service (DOS).Teardrop adalahsebuah serangan yang memanfaatkan kelemahan yang ditemukan pada internet protocol   dalam   pengiriman   paket.   Ketika   sebuah   paket   diproses,   dalam penerapannya biasanya dilakukan pengecekan apakah paket yang diberikan terlalu panjang atau tidak tapi tidak melakukan pengecekan apakah paket tersebut terlalu pendek dan dibatasi. Gambar berikut ini menjelaskan bagaimana proses serangan teardrop terjadi. Tumpukan menerima fragmen/ penggalan pertama paket yang dikirimkan dan mengalokasikan memeori untuk fragmen tersebut. Offset paket berikutnya diletakkan pada akhir dari area memori seperti akhir pointer. Tumpukan menyangka datagram berikutnya mulai pada offset dan menghitung akhir dari pointer untuk menunjukkan akhir dari paket baru yang dikirim, ini berarti ukuran paket pertama ditambah ukuran paket kedua dikurangi IP header kedua yang terbuang. Jumlah dari memori yang dibutuhkan  =  akhir  offset.  Tetapi  offsetnya  di-spoof  pada  paket  kedua  dan ditempatkan kedalam area memori pertama. Tumpukan mencoba untuk menyusun kembali untuk membetulkan susunannya, tetapi jika paket kedua lumayan pendek, maka pointernya akan berubah tempatnya. Pointer offset akan tetap menuju pada akhir dari paket pertama tetapi akhir pointer kemudian menuju kedalam area memori, bukan pada akhir dari paket pertama. Hasil perhitungan memori yang diperlukan = end-offset adalah negatif/ minus. Pada langkah selanjutnya adalah mengalokasikan memori untuk paket baru, prosedur pengalokasian memori dapat gagal karena diberikan angka negatif sebagai sebuah argument. Kesalahan dalam pengalokasian memori dapat menyebabkan host crash/ system crash.


Serangan teardrop mengirimkan satu atau lebig paket UDP yang telah dipecah ke sebuah host, dan dengan ukuran fragmen yang benar dan fragmen offset yang salah, pengalokasian memori pada host tujuan menjadi gagal.

  • IP Soofing
IP Spoofing adalah suatu trik hacking yang dilakukan pada suatu server dengan tujuan untuk mengecoh komputer target agar mengira sedang menerima data bukan dari komputer yang mengirim data tersebut, melainkan komputer target mengira menerima data dari komputer lain yang memiliki IP Addres yang berbeda dari komputer  sebenarnya  yang  telah  mengirim  data.  Suatu  contoh  dari  IP  Spoofing adalah sebagai berikut :
Misalkan :
IP Address komputer sumber yang mengirim data adalah 203.45.98.1
IP Address komputer yang akan dijadikan target adalah 202.14.12.1
IP Address sistem yang digunakan untuk mengirimkan data adalah 173.23.45.89

Secara normal komputer target akan mengidentifikasi IP Address dari komputer yang mengirimkan data adalah 203.45.98.1, namun dalam trik IP Spoofing komputer target akan mengira bahwa data yang dikirim adalah dari komputer dengan IP Address
173.23.45.89.


IP   Spoofing   adalah   suatu   teknik   yang   sulit   untuk   dilakukan   karena   pada kenyataannya  saat  melakukan  teknik  ini  penyerang  (hacker)  tidak  mendapatkan pesan atau feedback dari proses yang telah dilakukan apakah berhasil atau gagal. Hal ini biasa disebut dengan blind attack, dimana hacker akan selalu berasumsi bahwa serangan yang dilakukannya sudah berjalan dengan benar.

Permasalahan utama dari teknik ini adalah walaupun komputer sumber berhasil mengirim data dengan IP Address komputer sumber yang telah disamarkan, dan komputer yang menjadi target telah mempercayai bahwa data telah dikirm oleh komputer dengan IP Address yang dipalsukan, kemudian komputer target akan membalas melalui IP Address yang dipalsukan, bukan IP Address komputer sumber.

IP Spoofing dilakukan dengan menggunakan konsep three-way handshake agar terjadi koneksi TCP/IP. Secara normal three-way handshake yang terjadi adalah:
1.    Komputer sumber mengirim paket SYN ke komputer target
2.    Komputer target mengirim kembali paket SYN/ACK ke komputer sumber
3.    Komputer sumber akan mengakui paket SYN dr komputer target dengan mengirim balasan berupa paket SYN ke komputer target.

Adapun yang terjadi dalam IP Spoofing adalah :
1.    Komputer sumber mengirim paket SYN ke komputer target tapi dengan menggunakan IP Address yang telah dipalsukan.
2.    Komputer target akan mengirim paket SYN/ACK kepada komputer dengan
IP Address yang palsu tersebut. Dalam hal ini tidak ada cara bagi komputer sumber untuk menentukan kapan dan apakah komputer target benar-benar membalas dengan mengirimkan paket SYN/ACK ke IP Address yang telah dipalsukan tersebut. Hal ini merupakan bagian yang tidak diketahui oleh komputer sumber (blind part) dan komputer sumber hanya dapat berasumsi bahwa komputer target telah mengirim paket SYN/ACK ke IP Addres yang telah dipalsukan tersebut.
3.    Kemudian setelah beberapa waktu komputer sumber harus mengirimkan paket SYN ke komputer target untuk mengakui bahwa komputer dengan IP
Address yang palsu telah menerima paket SYN/ACK.

Koneksi TCP/IP hanya akan terjadi jika dan hanya jika ketiga langkah di atas terjadi.

  • LAND Attack
LAND Attack atau biasa juga disebut LAND DoS Attack bekerja dengan cara mengirimkan paket SYN dengan IP Address yang telah dipalsukan – yang biasa digunakan pada handshake antara client dan host – dari suatu host ke semua port yang sedang terbuka dan mendengarkan. Jika paket diatur untuk memiliki IP Address sumber  (source)  dan  tujuan  (destination)  yang  sama,  maka  pada  saat  paket  ini dikirim ke sebuah mesin (melalui IP Spoofing) akan dapat membohongi atau mengecoh mesin tersebut agar mengira bahwa mesin itu sendiri yang telah mengirim paket tersebut, dimana hal ini dapat mengakibatkan mesin crash (tergantung dari sistem operasi yang terdapat pada mesin tersebut).

Jenis  serangan  ini  dapat  mempengaruhi  mesin  dengan  sistem  operasi  Windows 95/NT, berbagai jenis dari UNIX, termasuk juga  SunOS, beberapa versi BSD UNIX, serta Macintosh. Serangan ini juga dapat mempengaruhi beberapa Cisco router, dan peralatan cetak yang berbasiskan TCP/IP (TCP/IP-based printing devices).

LAND Attack dapat mempengaruhi berbagai sistem operasi dalam berbagai cara. Sebagai contoh, serangan jenis ini dapat menyebabkan mesin dengan sistem operasi Windows NT 4.0 (dengan Service Pack 3 dan seluruh aplikasinya) menjadi lambat kira-kira dalam waktu 6 detik, setelah itu akan kembali normal tanpa ada efek lainnya. Serangan ini jika terjadi pada mesin dengan sistem operasi Windows 95 dapat menyebabkan baik itu crash maupun lock-up, sehingga mesin-mesin tersebut perlu di boot ulang. Sementara sebagian besar mesin dengan sistem operasi UNIX yang mendapat serangan ini akan crash atau hang dan user tidak dapat melakukan akes ke servis-servis yang terdapat pada mesin tersebut.

  • Ping of Death
Ping of Death adalah salah satu bentuk serangan “ping attack”. Pada internet, bentuk serangan ini adalah bentuk serangan DoS (denial of service attack) yang disebabkan oleh penyerang yang dengan sengaja mengirimkan sebuah paket IP yang ukurannya lebih besar dari yang diijinkan oleh protokol IP yaitu 65.536 byte. Salah satu fitur dari TCP/IP adalah fragmentation, yang mengijinkan sebuah paket IP tunggal dipecah ke dalam bagian yang lebih kecil. Pada tahun 1996, para penyerang mulai mengambil keuntungan dari fitur ini, yaitu saat mereka menemukan bahwa sebuah paket yang dipecah menjadi bagian-bagian kecil dapat ditambah menjadi lebih besar dari yang diijinkan  yaitu  65.536  byte.  Banyak  sistem  operasi  tidak  tahu  apa  yang  harus dilakukan ketika menerima paket dengan ukuran yang berlebihan tersebut, sehingga akhirnya sistem operasi tersebut berhenti bekerja, crashed, atau rebooted.

Serangan  ping  of  death  sangat  tidak  menyenangkan  karena  tanda-tanda  atau identitas penyerang saat mengirim paket dengan ukuran yang berlebihan dapat dengan mudah disamarkan, dan karena para penyerang tidak perlu mengetahui apapun tentang mesin yang akan mereka serang kecuali IP Addressnya. Pada akhir tahun 1997, vendor-vendor sistem operasi telah membuat sejumlah patch yang memungkinkan untuk menghindari serangan ini. Beberapa Web site melakukan blok terhadap  pesan  ping  ICMP  pada  firewall  yang  mereka  miliki  untuk  mencegah berbagai variasi berikutnya dari serangan jenis ini. Ping of death juga dikenal sebagai “long ICMP”. Variasi dari serangan ini termasuk jolt, sPING, ICMP bug, dan IceNewk.


Bagaimana cara mengatasi serangan Dos?

Untuk mengatasi terjadinya serangan DoS maka hal pertama yang dilakukan adalah dengan mengetahui jenis-jenis serangan DoS dan bagaimana cara kerjanya. Seperti strategi yang diterapkan oleh Tsun Zu dalam bukunya “The Art of War”. Kita harus mengetahui kelebihan dan kelemahan penyerang sebelum melakukan serangan balasan. Setelah mengetahui cara kerja dan jenis-jenis serangan DoS maka langkah berikutnya yang paling sering digunakan adalah dengan melakukan pengaturan dengan cara penyaringan/ filtering, atau “sniffer”/ mengendus pada sebuah jaringan sebelum sebuah aliran informasi mencapai sebuah server situs web. Penyaring tersebut dapat melihat serangan dengan cara melihat pola atau meng-identifikasi kandungan/ isi dari informasi tersebut. Jika pola tersebut datang dengan frekuensi yang sering, maka penyaring dapat memberikan perintah untuk memblokir pesan yang berisikan pola-pola tersebut, melindungi web server dari serangan tersebut.


STUDI KASUS

Pengumuman Hasil Ujian Sistem Penerimaan Mahasiswa Baru (SPMB)

Pada setiap awal tahun ajaran, Universitas Indonesia mendapatkan kehormatan untuk menjadi tempat hosting pengumuman penerimaan mahasiswa baru seluruh Indonesia. Sebagai sebuah event yang sangat penting, diperlukan persiapan yang sangat matang. Salah satu persiapan yang terpenting adalah persiapan jaringan komputer yang akan digunakan untuk menjamin tersedianya akses yang memadai bagi semua pihak yang berkepentingan dengan pengumuman tersebut, terutama pada saat-saat puncak, yaitu malam pertama pengumuman hasil SPMB. Setelah beberapa tahun menjalani peranan tersebut, ada beberapa permasalahan yang dihadapi ketika acara sedang berlangsung, yaitu :
  • Habisnya sumber daya pada web server yang digunakan, karena banyaknya request yang diterima, termasuk didalamnya usaha serangan DoS (Denial of Service), sedangkan kapasitas web server yang ada tidak sebanding dengan request yang masuk. Dalam beberapa kesempatan, web server yang digunakan kehabisan sumber daya memori, sehingga web server mengalami crash, yang selanjutnya dapat merusak komponen lain dari web server tersebut seperti media penyimpanan hard-disk. Jika hal ini terjadi, maka waktu untuk melakukan recovery akan cukup lama. Selama proses recovery tersebut, akses ke situs pengumuman hasil SPMB tidak dapat dilayani.
  • Bandwidth koneksi Internet yang habis didominasi oleh beberapa pihak tertentu yang melakukan mirroring data. Walaupun hal ini tidak dilarang, tapi hal ini akan merugikan pengguna-pengguna lain yang tidak dapat melakukan akses karena bandwidth yang ada sudah habis digunakan. Seringkali dalam suatu kurun waktu, bandwidth yang ada habis untuk melayani satu klien saja.
  • Akses data yang membutuhkan waktu cukup lama, karena terbatasnya sumber daya yang ada dan penggunaan struktur basis data penyimpanan data yang kompleks.

Berdasarkan pengalaman-pengalaman yang didapatkan dari tahun-tahun sebelumnya, maka persiapan-persiapan yang dilakukan pada tahun ini adalah :
  • Penggunaan teknologi virtual server yang memungkinkan penggunaan beberapa web server dan melakukan pembagian beban di antaranya. Sebuah virtual server adalah sebuah host yang akan menerima koneksi dari klien-klien dan mengatur ke web server yang mana koneksi tersebut akan diarahkan. Pada virtual server tersebut juga akan dicatat jumlah koneksi yang sedang ditangani setiap web server, sehingga virtual server tersebut dapat membagi beban dengan sebaik mungkin. Ada beberapa algoritma yang dapat digunakan untuk membagi beban web server, antara lain membagi koneksi secara round-robin atau least-connection. Ada juga algoritma yang bisa memberikan bobot lebih pada server-server dengan kemampuan lebih dibandingkan dengan server lainnya. Algoritma lainnya adalah membagi koneksi berdasarkan lokasi klien yang melakukan akses. Untuk masalah konektivitas, virtual server juga memberikan beberapa pilihan, yaitu :
  • Virtual server bertindak sebagai router, dimana semua koneksi masuk dan keluar ke server akan melalui host ini. Hanya host virtual server yang memakai alamat IP publik internet. Sedangkan untuk server-server tujuan akan mempergunakan alamat IP privat.
  • Virtual server hanya bertindak sebagai penerus koneksi saja (network bridge), sedangkan server-server tujuan memiliki koneksi langsung sendiri. Pada skema ini, koneksi masuk akan melalui virtual server sedangkan koneksi keluar tidak. Baik virtual server maupun server-server tujuan akan mempergunakan alamat IP publik.
  • Virtual server sebagai pengatur beban saja. Skema ini mirip dengan skema sebelumnya. Bedanya pada skema ini, server-server tujuan bisa terdapat pada kelompok jaringan komputer yang berbeda, bahkan bisa terdapat pada lokasi fisik yang berbeda. Pada host tersebut juga diimplementasikan traffic shaping yang berguna untuk mengendalikan kecepatan request yang masuk ke setiap web server. Hal ini untuk mencegah sebuah web server menerima request yang terlalu banyak sehingga beban web server tersebut terlalu berat.

Dengan penggunaan virtual server dan traffic shaping, diharapkan sumber daya yang ada akan dapat menghadapi semua request yang masuk dan serangan DOS yang mungkin terjadi.


READMORE....!!

Friday 21 September 2012

UIN SUSKA RIAU masuk Top 50 Universitas di Indonesia

KOMPAS.com — Webometrics, sebuah situs yang melakukan pemeringkatan universitas-universitas di seluruh dunia berdasarkan parameter digital, kembali mengeluarkan pemeringkatan terbaru pada Juli 2012. Setiap tahunnya, Webometrics mengeluarkan dua kali rilis pemeringkatan, yaitu pada Januari dan Juli. Kali ini, ada 361 perguruan tinggi di Indonesia yang masuk pemeringkatan Webometrics.

Pemeringkatan oleh Webometrics ini didasarkan pada sejumlah aspek, antara lain terkait konten global yang terindeks oleh Google, jumlah rich file (pdf, doc, docs, dan ppt) yang terindeks di Google Scholar, dan karya akademik yang terpublikasi di jurnal internasional.

Tujuan dari pemeringkatan ini adalah mempromosikan publikasi situs, mendukung keterbukaan akses, dan akses elektronik untuk publikasi ilmiah. Indikator situs dinilai sangat berguna untuk pemeringkatan karena tak hanya berdasarkan jumlah kunjungan, tetapi juga pada jumlah konten global dan visibilitas dari universitas yang bersangkutan.

Berikut adalah peringkat 50 besar perguruan-perguruan tinggi di Indonesia, seperti dimuat pada situs Webometrics:
1. Universitas Gadjah Mada (peringkat 379 dunia)             
2. Universitas Indonesia  (peringkat 507 dunia)            
3. Institut Teknologi Bandung (568 dunia) 
4. Institut Teknologi Sepuluh Nopember (582 dunia)              
5. Universitas Pendidikan Indonesia (630 dunia)
6. Universitas Gunadarma (740 dunia)        
7. Institut Pertanian Bogor (764 dunia)        
8. Universitas Brawijaya (837 dunia)          
9. Universitas Sebelas Maret (883 dunia)          
10. Universitas Diponegoro (948 dunia)          
11. Universitas Airlangga (988 dunia)          
12. Universitas Padjajaran (990 dunia)
13. Universitas Hasanuddin (1.230 dunia)
14. Universitas Sriwijaya (1.263 dunia)        
15. Universitas Mercu Buana (1.277 dunia)      
16. Universitas Negeri Malang (1.435 dunia)          
17. Universitas Islam Indonesia (1.463 dunia)    
18. Universitas Muhammadiyah Malang (1.492 dunia)
19. Universitas Muhammadiyah Yogyakarta (1.543 dunia)
20. Universitas Kristen Petra (1.564 dunia)          
21. Universitas Komputer Indonesia/UNIKOM (1.637 dunia)
22. Universitas Ahmad Dahlan (1.652 dunia)         
23. Universitas Bina Nusantara (1.666)         
24. Universitas Udayana (1.668)         
25. Universitas Muhammadiyah Surakarta (1.687)
26. Universitas Islam Negeri Maulana Malik Ibrahim Malang (1.734)
27. Universitas Andalas (1.751)       
28. Universitas Lampung (1.765)          
29. Universitas Sumatera Utara (1.853)         
30. Universitas Negeri Yogyakarta (1.854)        
31. Universitas Katolik Indonesia Atma Jaya (2.084)
32. Universitas Esa Unggul (2.121)
33. Sekolah Tinggi Manajemen Informatika dan Komputer AMIKOM (2.284)
34. Politeknik Elektronika Negeri Surabaya (2.365)
35. Universitas Negeri Semarang (2.397)
36. Universitas Surabaya (2.428)          
37. Universitas Trisakti (2.443)          
38. Sekolah Tinggi Manajemen Informatika dan Komputer Jakarta (2.764)
39. Universitas Narotama (2.809)  
40. Universitas Pendidikan Ganesha (2.884)          
41. Universitas Dian Nuswantoro (2.987)          
42. Universitas Terbuka (3.000)          
43. Universitas Jenderal Soedirman (3.182)          
44. Institut Sains & Teknologi Akprind (3.322)       
45. Institut Teknologi Telkom (3.451)
46. Universitas Negeri Papua (3.497)          
47. Institut Agama Islam Negeri Sunan Ampel (3.665)
48. Universitas Pancasila (3.665)          
49. Universitas Islam Negeri Sultan Syarif Kasim (3.717)
50. Universitas Negeri Padang (3.725)


sumber : kompas
READMORE....!!

Social Engineering

 Social Engineering


Beberapa pengertian Social Engineering :

"Social engineering refers to various techniques that are utilized to obtain information in order to bypass security systems,  through the exploitation of human vulnerability".
(Bezuidenhout et.al., 2010)

"Social Engineering is the term for using human deception as means for information theft". (Hermansson et.al., 2005)

Social Engineering is the art of exploiting the weakest link of information security systems: the people who are using them.
(Huber, 2009)

Social engineering does not rely on a faulty piece of high-tech equipment to mount the attack; rather , it uses a skilled attack on the psyche of the opponent.
(Long, 2008)

Social engineering attacks have the goal of collecting a certain amount of data to be used later in a technical attack.”
(Evans, 2009)

Social engineering purpose of attacks is to get direct access by using physical or digital access  to an organisation’s information or information system. "
” (Foozy , 2011)

Social Engineering bisa diartikan sebagai berbagai usaha dalam mengeksploitasi titik terlemah dalam sebuah sistem keamanan komputer. Dan titik terlemah tersebut terdapat pada manusia. Atau dengan kata lain Social Engineering adalah suatu teknik memperoleh data/informasi rahasia dengan cara mengeksploitasi kelemahan manusia. Contohnya kelemahan manusia yang dimaksud misalnya :
  • Rasa Takut – jika seorang pegawai atau karyawan dimintai data atau informasi dari atasannya, polisi, atau penegak hukum yang lain, biasanya yang bersangkutan akan langsung memberikan tanpa merasa sungkan;
  •  Rasa Percaya – jika seorang individu dimintai data atau informasi dari teman baik, rekan sejawat, sanak saudara, atau sekretaris, biasanya yang bersangkutan akan langsung memberikannya tanpa harus merasa curiga; dan
  • Rasa Ingin Menolong – jika seseorang dimintai data atau informasi dari orang yang sedang tertimpa musibah, dalam kesedihan yang mendalam, menjadi korban bencana, atau berada dalam duka, biasanya yang bersangkutan akan langsung memberikan data atau informasi yang diinginkan tanpa bertanya lebih dahulu.

Tipe Social Engineering

Pada dasarnya teknik Social Engineering dapat dibagi menjadi dua jenis, yaitu: berbasis interaksi sosial dan berbasis interaksi komputer.
  • Berbasis Interaksi Sosial (melalui telepon)
Skenario 1 (Kedok sebagai User Penting)
Seorang penipu menelpon help desk bagian divisi teknologi informasi dan mengatakan hal sebagai berikut “Halo, di sini pak Abraham, Direktur Keuangan. Saya mau log in tapi lupa password saya. Boleh tolong beritahu sekarang agar saya dapat segera bekerja?”. Karena takut – dan merasa sedikit tersanjung karena untuk pertama kalinya dapat berbicara dan mendengar  suara  Direktur  Keuangan  perusahaannya  yang  bersangkutan  langsung memberikan password yang dimaksud tanpa rasa curiga sedikitpun. Si penipu bisa tahu nama Direktur Keuangannya adalah Abraham karena melihat dari situs perusahaan.

Skenario 2 (Kedok sebagai User yang Sah)
Dengan mengaku sebagai rekan kerja dari departemen yang  berbeda, seorang  wanita menelepon staf junior teknologi informasi sambil berkata “Halo, ini Iwan ya? Wan, ini Septi dari Divisi Marketing, dulu kita satu grup waktu outing kantor di Cisarua. Bisa tolong bantu reset password-ku tidak? Dirubah saja menjadi tanggal lahirku. Aku takut ada orang yang tahu passwordku, sementara saat ini aku di luar kantor dan tidak bisa merubahnya. Bisa bantu ya?”. Sang junior yang tahu persis setahun yang lalu merasa berjumpa Septi dalam acara kantor langsung melakukan yang diminta rekan sekerjanya tersebut tanpa melakukan cek dan ricek. Sementara kriminal yang mengaku sebagai Septi mengetahui nama-nama terkait dari majalah dinding “Aktivitas” yang dipajang di lobby perusahaan – dan nomor telepon Iwan diketahuinya dari Satpam dan/atau receptionist.

Skenario 3 (Kedok sebagai M itra Vendor)
Dalam hal ini penjahat yang mengaku sebagai mitra vendor menelepon bagian operasional teknologi informasi dengan mengajak berbicara hal-hal yang bersifat teknis sebagai berikut: “Pak Aryo, saya Ronald dari PT Teknik Alih Daya Abadi, yang membantu outsource file CRM perusahaan Bapak. Hari ini kami ingin Bapak mencoba modul baru kami secara cuma- cuma. Boleh saya tahu username dan password Bapak agar dapat saya bantu instalasi dari tempat saya? Nanti kalau sudah terinstal, Bapak dapat mencoba fitur-fitur dan fasilitas canggih dari program CRM versi terbaru.” Merasa mendapatkan kesempatan, kepercayaan, dan penghargaan, yang bersangkutan langsung memberikan username dan passwordnya kepada si penjahat tanpa merasa curiga sedikitpun. Sekali lagi sang penjahat bisa tahu nama- nama yang bersangkutan melalui berita-berita di koran dan majalah mengenai produk/jasa PT Teknik Alih Daya Abadi dan nama-nama klien utamanya.

Skenario 4 (Kedok sebagai Konsultan Audit)
Kali ini seorang penipu menelpon Manajer Teknologi Informasi dengan menggunakan pendekatan sebagai berikut: “Selamat pagi Pak Basuki, nama saya Roni Setiadi, auditor teknologi informasi eksternal yang ditunjuk perusahaan untuk melakukan validasi prosedur. Sebagai seorang Manajer Teknologi Informasi, boleh saya tahu bagaimana cara Bapak melindungi website perusahaan agar tidak terkena serangan defacement dari hacker?”. Merasa tertantang kompetensinya, dengan panjang lebar yang bersangkutan cerita mengenai struktur keamanan website yang diimplementasikan perusahaannya. Tentu saja sang kriminal tertawa dan sangat senang sekali mendengarkan bocoran kelemahan ini, sehingga mempermudah yang bersangkutan dalam melakukan serangan.

Skenario 5 (Kedok sebagai Penegak Hukum)
Contoh terakhir ini adalah peristiwa klasik yang sering terjadi dan dipergunakan sebagai pendekatan penjahat kepada calon korbannya: “Selamat sore Pak, kami dari Kepolisian yang bekerjasama dengan Tim Insiden Keamanan Internet Nasional. Hasil monitoring kami memperlihatkan sedang ada serangan menuju server anda dari luar negeri. Kami bermaksud untuk melindunginya. Bisa tolong diberikan perincian kepada kami mengenai topologi dan spesifikasi jaringan anda secara detail?”. Tentu saja yang bersangkutan biasanya langsung memberikan informasi penting tersebut karena merasa takut untuk menanyakan keabsahan atau keaslian identitas penelpon.

ardyutomo25.blogspot.com



  • menggunakan komputer atau piranti elektronik/digital lain sebagai alat bantu

Skenario 1 (Teknik Phishing – melalui Email)
Strategi ini adalah yang paling banyak dilakukan di negara berkembang seperti Indonesia. Biasanya si penjahat menyamar sebagai pegawai atau karyawan sah yang merepresentasikan bank. Email yang dimaksud berbunyi misalnya sebagai berikut:
Pelanggan Yth. Sehubungan sedang dilakukannya upgrade sistem teknologi informasi di bank ini, maka agar anda tetap mendapatkan pelayanan perbankan yang prima, mohon disampaikan kepada kami nomor rekening, username, dan password anda untuk kami perbaharui. Agar aman, lakukanlah dengan cara me-reply electronic mail ini. Terima kasih atas perhatian dan koordinasi anda sebagai pelanggan setia kami.
Wassalam,
Manajer Teknologi Informasi

Bagaimana caranya si penjahat tahu alamat email yang bersangkutan? Banyak cara yang dapat diambil, seperti: melakukan searching di internet, mendapatkan keterangan dari kartu nama, melihatnya dari anggota mailing list, dan lain sebagainya.

Skenario 2 (Teknik Phishing – melalui SMS)
Pengguna telepon genggam di Indonesia naik secara pesat. Sudah lebih dari 100 juta nomor terjual pada akhir tahun 2008. Pelaku kriminal kerap memanfaatkan fitur-fitur yang ada pada telepon genggam atau sejenisnya untuk melakukan social engineering seperti yang terlihat pada contoh S M S berikut ini:

Selamat. Anda baru saja memenangkan hadiah sebesar Rp 25,000,000 dari Bank X yang bekerjasama dengan provider telekomunikasi Y. Agar kami dapat segera mentransfer uang tunai kemenangan ke rekening bank anda, mohon diinformasikan user name dan passoword internet bank anda kepada kami. Sekali lagi kami atas nama Manajemen Bank X mengucapkan selamat atas kemenangan anda…

Skenario 3 (Teknik Phishing – melalui Pop Up Windows)
Ketika seseorang sedang berselancar di internet, tiba-tiba muncul sebuah “pop up window”
yang bertuliskan sebagai berikut:

Komputer anda telah terjangkiti virus yang sangat berbahaya. Untuk membersihkannya, tekanlah tombol BERSIH KAN di bawah ini.”

Tentu saja para awam tanpa pikir panjang langsung menekan tombol BERSIHKAN yang akibatnya justru sebaliknya, dimana penjahat berhasil mengambil alih komputer terkait yang dapat dimasukkan virus atau program mata-mata lainnya.

Jenis Social Engineering Lainnya
Karena sifatnya yang sangat “manusiawi” dan memanfaatkan interaksi sosial, teknik-teknik memperoleh informasi rahasia berkembang secara sangat variatif. Beberapa contoh adalah sebagai berikut:
  • Ketika seseorang memasukkan password di AT M  atau di PC, yang bersangkutan “mengintip” dari belakang bahu sang korban, sehingga karakter passwordnya dapat terlihat;
  • Mengaduk-ngaduk tong sampah tempat pembuangan kertas atau dokumen kerja perusahaan untuk mendapatkan sejumlah informasi penting atau rahasia lainnya;
  • Menyamar menjadi  “office boy” untuk dapat masuk  bekerja ke dalam kantor manajemen atau pimpinan puncak perusahaan guna mencari informasi rahasia;
  • ikut masuk ke dalam ruangan melalui pintu keamanan dengan cara “menguntit” individu atau mereka yang memiliki akses legal;
  • Mengatakan secara meyakinkan bahwa yang bersangkutan terlupa membawa I D-Card yang berfungsi sebagai kunci akses sehingga diberikan bantuan oleh satpam;
  • Membantu  membawakan  dokumen  atau tas  atau  notebook  dari  pimpinan  dan manajemen dimana pada saat lalai yang bersangkutan dapat memperoleh sejumlah informasi berharga;
  • Melalui chatting di dunia maya, si penjahat mengajak ngobrol calon korban sambil pelan-pelan berusaha menguak sejumlah informasi berharga darinya;
  • Dengan menggunakan situs social networking – seperti facebook, myspace, friendster, dsb. – melakukan diskursus dan komunikasi yang pelan-pelan mengarah pada proses “penelanjangan” informasi rahasia;

Target Korban Social Engineering
Statistik memperlihatkan, bahwa ada 4 (empat) kelompok individu di perusahaan yang kerap menjadi korban tindakan social engineering, yaitu:
  • Receptionist dan/atau Help Desk sebuah perusahaan, karena merupakan pintu masuk ke dalam organisasi yang relatif memiliki data/informasi lengkap mengenai personel yang bekerja dalam lingkungan dimaksud;
  • Pendukung teknis dari divisi teknologi informasi – khususnya yang melayani pimpinan dan manajemen perusahaan, karena mereka biasanya memegang kunci akses penting ke data dan informasi rahasia, berharga, dan strategis;
  • Administrator sistem dan pengguna komputer, karena mereka memiliki otoritas untuk mengelola manajemen password dan account semua pengguna teknologi informasi di perusahaan;
  • Mitra kerja atau vendor perusahaan yang menjadi target, karena mereka adalah pihak yang menyediakan berbagai teknologi beserta fitur dan kapabilitasnya yang dipergunakan oleh segenap manajemen dan karyawan perusahaan; dan
  • Karyawan baru yang masih belum begitu paham mengenai prosedur standar keamanan informasi di perusahaan.

Solusi Menghindari Resiko
Setelah mengetahui isu social engineering di atas, timbul pertanyaan mengenai bagaimana cara menghindarinya. Berdasarkan sejumlah pengalaman, berikut adalah hal-hal yang biasa disarankan kepada mereka yang merupakan pemangku kepentingan aset-aset informasi penting perusahaan, yaitu:
  • Selalu hati-hati dan mawas diri dalam melakukan interaksi di dunia nyata maupun di dunia maya. Tidak  ada salahnya perilaku  “ekstra hati-hati” diterapkan  di  sini mengingat informasi merupakan aset sangat berharga yang dimiliki oleh organisasi atau perusahaan;
  • Organisasi  atau  perusahaan  mengeluarkan  sebuah  buku  saku  berisi  panduan mengamankan informasi yang mudah dimengerti dan diterapkan oleh pegawainya, untuk mengurangi insiden-insiden yang tidak diinginkan;
  • Belajar dari buku, seminar, televisi, internet, maupun pengalaman orang lain agar terhindar dari berbagai penipuan dengan menggunakan modus social engineering;
  • Pelatihan dan sosialisasi dari perusahaan ke karyawan dan unit-unit terkait mengenai pentingnya mengelola keamanan informasi melalui berbagai cara dan kiat;
  • Memasukkan unsur-unsur keamanan informasi dalam standar prosedur operasional sehari-hari – misalnya “clear table and monitor policy” - untuk memastikan semua pegawai melaksanakannya; dan lain sebagainya.

Selain usaha yang dilakukan individu tersebut, perusahaan atau organisasi yang bersangkutan perlu pula melakukan sejumlah usaha, seperti:
  • Melakukan analisa kerawanan sistem keamanan informasi yang ada di perusahaannya.(baca: vulnerability analysis);
  • Mencoba melakukan uji coba ketangguhan keamanan dengan cara melakukan “penetration test”;
  • Mengembangkan kebijakan, peraturan, prosedur, proses, mekanisme, dan standar yang harus dipatuhi seluruh pemangku kepentingan dalam wilayah organisasi;
  • Menjalin kerjasama dengan pihak ketiga seperti vendor, ahli keamanan informasi, institusi penanganan insiden, dan lain sebagainya untuk menyelenggarakan berbagai program dan aktivitas bersama yang mempromosikan kebiasaan perduli pada keamanan informasi;
  • Membuat standar klasifikasi aset informasi berdasarkan tingkat kerahasiaan dan nilainya;
  • Melakukan audit secara berkala dan berkesinambungan terhadap infrastruktur dan suprastruktur perusahaan dalam menjalankan keamanan inforamsi; dan lain sebagainya.
READMORE....!!
Selengkapnya >> Social Engineering

Tuesday 18 September 2012

OTIK 4 Tahun 2012 Fakultas Sains dan Teknologi UIN SUSKA Riau

OTIK 4 Tahun 2012 Fakultas Sains dan Teknologi UIN SUSKA Riau



UIN SUSKA RIAU kembali mengadakan OTIK 4 Tahun 2012 Fakultas Sains dan Teknologi UIN SUSKA Riau. Setelah sukses mengadakan OTIK pada tahun 2011 (tema : Pemanfaatan TIK untuk membangun Masyarakat Berpengetahuan/Knowledge Society) kini tema yang dipilih dalam OTIK 4 Tahun 2012 Fakultas Sains dan Teknologi UIN SUSKA Riau adalah Generasi Kreatif. Peserta yang akan mengikuti OTIK 4 Tahun 2012 Fakultas Sains dan Teknologi UIN SUSKA Riau dikategorikan ke dalam 2 kategori yaitu :

a) Pelajar SMU/SMK/MA/sederajat
b) Mahasiswa D1/D2/D3/D4/ dan S1.

Adapun jenis perlombaan pada OTIK 4 Tahun 2012 Fakultas Sains dan Teknologi UIN SUSKA Riau yaitu :

a.    Kategori Pelajar SMU/ SMK/ MA/ Sederajat:
1)    Lomba Animasi Kreatif
2)    Lomba Desain Web
3)    Lomba Robotika

b.    Kategori Mahasiswa D1/ D2/ D3/ D4/ dan S1:
1)    Lomba Karya Inovasi Aplikasi Mobile
2)    Lomba Solusi Jaringan Enterprise
3)    Lomba perancangan Blog dan Konten


Untuk info lebih lanjut, silahkan klik :
a. www.otik4.uin-suska.a.c.id
b. www.uin-suska.ac.id
c. www.fst.uin-suska.ac.id

Aturan dan penilaian dapat di unduh disini. atau hubungi saya di pekanbaru_ku@yahoo.com

ardyutomo25.blogspot.com


Namun, untuk Lomba perancangan Blog dan Konten, saya akan memberikan sedikit bocoran. peraturan Lomba perancangan Blog dan Konten pada OTIK 4 Tahun 2012 Fakultas Sains dan Teknologi UIN SUSKA Riau ialah
  1. Peserta menulis sebuah artikel review OTIK 4.
  2.  Peserta boleh menggunakan blog gratisan (blogspot,blogger,dll).
  3.  Artikel yang di daftarkan dalam review bersifat Unik atau belum pernah dipublikasikan.
  4.  Artikel yang ketahuan kopas, akan di diskualifikasi
  5.  Artikel yang didaftarkan wajib menggunakan bahasa indonesia.
  6.  Setiap peserta boleh mendaftarkan lebih dari 1 blog tetapi hanya mempunyai hak mendapatkan 1 hadiah.
  7.  Peserta tidak boleh menggunakan judul blog, domain dan subdomain yang mengandung keyword review "OTIK 4 Tahun 2012 Fakultas Sains dan Teknologi UIN SUSKA Riau"

Demikian review dari saya mengenai  OTIK 4 Tahun 2012 Fakultas Sains dan Teknologi UIN SUSKA Riau. Have a nice day!



Baca juga :
[1] UIN SUSKA RIAU masuk 50 Universitas Top di Indonesia
[2] Teknologi bertenaga air
[3] Peserta SNMPTN termuda 2011
[4] Konsep terbaik kendaraan roda tiga


READMORE....!!

Aplikasi Android Kalkulator Diskon Sederhana

Aplikasi Android Kalkulator Diskon Sederhana


hmm...postingan kali ini akan membahas Aplikasi Android Kalkulator Diskon Sederhana. Aplikasi ini saya buat untuk memenuhi tugas Mobile Application Development di jurusan saya. Pertama-tama mari kita rancang desain tampilan aplikasi dengan menngklik activity_main.xml. disini saya mengamsumsikan bahwa anda telah mampu membuat project android baru (lihat postingan Tutorial Android Hello World)

activity_main.xml


kemudian kita beralih ke class MainActivity.java



dan ketika di Run, beginilah hasilnya :




Demikian Tutorial Aplikasi Android Kalkulator Diskon Sederhana dari saya. Nantikan tutorial selanjutnya yah





READMORE....!!

Monday 17 September 2012

Tutorial Android Hello World

Tutorial Android Hello World

Tutorial Android Hello World tentu sudah banyak menjamur di internet. Namun, saya akan mencoba mengulasnya dengan kata-kata saya sendiri (ceileehhh). oke, kita langsung aja membuat project baru dengan menekan Ctrl + N  atau dengan mengklik menu File-New-Other. Maka tampilannya akan sebagai berikut :

ardyutomo25.blogspot.com


Kemudian Pilih Android Application Project dan tekan tombol Next. Maka tampilannya akan seperti berikut :
ardyutomo25.blogspot.com

Isikan helloworld di Applicaation Name. maka secara otomatis package name dan project name. namun, ini hanya terjadi di versi SDK terbaru. di SDK versi lama, kita perlu menuliskan satu persatu application name, project name dan package name. Kemudian, pilih SDK yang digunakan dan batasan minimum SDK yang digunakan. tekan Next.

ardyutomo25.blogspot.com

Gambar diatas hanya terdapat padaSDK versi terbaru. Anda dapat langsung menekan tombol Next.

ardyutomo25.blogspot.com
Anda dapat menekan tombol Next/Finish

ardyutomo25.blogspot.com

Anda dapat membuat nama activity dan nama layout sesuai keinginan anda. Bila sudah, tekan Next. maka akan muncul tampilan seperti berikut ini :

ardyutomo25.blogspot.com

gambar di atas merupakan hirarki dari aplikasi yang akan kita buat. Pertama, mari kita desain tampilan aplikasi dengan memilih activity_main.xml

ardyutomo25.blogspot.com
Gambar diatas adalah tampilan default ketika suatu aplikasi baru kita buat. untuk membuat program hello world, kita tidak perlu merubah apapun. sintaks android:text="@string/hello_world" yang terdapat pada widget TextView merujuk pada file strings yang terdapat pada res/values. untuk mengetahui apa itu widget silahkan baca istilah penting dalam android. Bila file strings di klik 2x maka hasilnya :


ardyutomo25.blogspot.com


kita dapat mengedit file strings ini sesuai kebutuhan. kemudian mari kita berpindah ke class MainActivity.java

ardyutomo25.blogspot.com

tampilan default class MainActivity.java. kita dapat merubah coding di file ini. namun, untuk program hello world kita tidak perlu merubah apapun. klik Run (Ctrl+F11) untuk melihat hasilnya.

Untuk membuat text di android, dapat menggunakan bantuan string seperti pada contoh diatas atau dengan menuliskan secara langsung seperti pada contoh berikut :

ardyutomo25.blogspot.com
Dan hasilnya ketika di Run

ardyutomo25.blogspot.com




Demikianlah Tutorial Android Hello World dari saya. Nantikan tutorial android selanjutnya yah ^^




READMORE....!!
◄ Newer Post Older Post ►
 

Copyright 2011 the colours of life is proudly powered by blogger.com | Design by BLog Bamz Published by Template Blogger