modul 19-20 network security
Post on 23-Jun-2015
298 Views
Preview:
DESCRIPTION
TRANSCRIPT
Network Security
1
Network Security
2
Introduction
Apa yang dapat terjadi?
� …ketika komputer anda (y) sedang menerima atau menunggu pesan (m) dari pengirim (x)
m
?
3
m
Internet
x y
Message Loss
� A dapat menggagalkan pengiriman m dari x ke y
m
A
4
m
x y
Message Interception
� A dapat mengkopi m ketika melewatinya
m
m
m
A
5
m
x y
m
Message Modification
� A dapat memodifikasi atau mengubah pesan yang asli m menjadi m’
m m’
A
6
m
x y
m’
Message Insertion
� A dapat mengirimkan m seolah-olah m tersebut dikirimkan oleh x
m
src: xdst: yA
7
x y
m
Message Replay
�A dapat membalas pesan m yang sebelumnya dikirimkan oleh x dan diterima oleh y
m
m
A
8
x y
m
Denial-of-Service Attack
� A dapat mengirimkan jumlah data yang banyak ke y untuk mencegah m sampai ke y
m
A
9
x y
m… … … … ……
?????
Type of Attacks
�Passive attacks– Traffic analysis– Message interception
�Active attacks– Message loss– Message modification– Message insertion– Message replay
10
– Denial-of-Service attack
� Serangan terhadap keamanan dapat dilakukan dengan menggunakan software atau hardware, atau dengan alat lain.
� Beberapa program umum:
– Tools and toolkits: program yang secara otomatis menyelidiki kelemahan keamanan dan menyerang sistem.
Security Threats: Methods of Execution (1)
11
– Back doors and trap doors: membuka (kode, firewall, dll) dengan sengaja untuk mendapatkan hak akses individual tanpa melalui proses autentikasi dan autorisasi yang normal.
– Logic bombs: kode yang disisipkan pada software yang tidak aktif sampai sesuatu mengaktifkannya untuk melakukan serangan.
� Beberapa contoh program tambahan:
– Virus: executable code yang disisipkan pada kode atau data lain, dieksekusi ketika kode atau data yang disisipi digunakan, dan melancarkan serangan.
– Worm: program yang relatif independent yang melakukan perjalanan dari satu mesin melalui koneksi jaringan untuk melancarkan serangan.
Security Threats: Methods of Execution (2)
12
– Trojan horse: program yang melakukan fungsi tersembunyi yang menyerang sistem.
– Bacteria or rabbit program: program yang merusak dan mereplikasi diri secara eksponensial untuk menggunakan network resource.
� Program-program di atas dapat bekerja bersamaan.
The Needs for Security
� Confidentialy : hanya pengirim dan penerima saja yang mengetahui isi data
- Sender � enskripsi data- Receiver � dekripsi data
� Authentication : Pengirim dan penerima ingin mengkonfirmasikan masing-masing identitas
13
� Message Intregity and non Repudiation : pengirim dan penerima ingin memastikan bahwa data tidak berubah (pada saat pengiriman atau sesudahnya), dan dapat membuktikan bahwa si pengirim memang mengirimkan data tersebut
� Access and Availability : layanan harus dapat diakses dan tersedia oleh pengguna yang berhak
� Jaringan yang aman tidak datang begitu saja
– Membuat perencanaan keamanan
– Berdasarkan perencanaan tersebut, aturan keamanan harus dibuat
– Untuk mendukung aturan tersebut, mekanisme keamanan harus jalankan sesuai pada tempatnya
Security Planning, Policies, and Mechanisms (1)
14
harus jalankan sesuai pada tempatnya
� Tidak bisa hanya dilakukan sekali saja
– Perencanaan keamanan harus dikaji ulang dan direvisi
– Aturan keamanan dievaluasi dan diperbaharui
– Mekanisme keamanan harus di perbaharui, diganti dengan teknologi baru yang tersedia
Perencanaan keamanan didasarkan atas:
� Penentuan kebutuhan keamanan yang diperlukan
� Penentuan jenis ancaman keamanan
� Mengidentifikasi siapa saja yang dapat dipercaya
Aturan keamanan dikembangkan melalui informasi
Security Planning, Policies, and Mechanisms (2)
15
� Aturan keamanan dikembangkan melalui informasi di atas, maka diperlukan spesifikasi yang se detail mungkin
Aturan keamanan harus dapat menjamin tingkat keamanan yang sesuai dengan aktivitas jaringan, dengan cara:
� Memperjelas apa yang harus dilindungi dan mengapa� Secara jelas menyatakan pertanggungjawaban atas penyediaan
perlindungan tersebut� Memperjelas apa saja yang diperbolehkan dan tidak diperbolehkan
Security Planning, Policies, and Mechanisms (3)
16
� Memperjelas apa saja yang diperbolehkan dan tidak diperbolehkan oleh para pengguna
� Menyediakan landasan bagaimana menterjemahkan dan mendefinisikan suatu konflik pada aturan berikutnya
Mekanisme keamanan diimplementasikan untuk menjamin bahwa aturan keamanan dilaksanakan dengan benar
� Mekanisme dapat didasarkan atas individu, software dan hardware perangkat keras
Security Planning, Policies, and Mechanisms (4)
17
� Pemilihan mekanisme yang tepat tidak mudah– Dapatkah mekanisme tersebut dipercaya?
� Penentuan jika mekanisme telah sepenuhnya diimplementasikan, aturan keamanan yang diinginkan akan lebih sulit– Dapat dibuktikan, tetapi sangat kompleks dan memakan
banyak waktu
Network Security
18
CryptographyPrinciples
Cryptography Definitions (1)
� Encryption (enkripsi) merupakan suatu proses dimana pesan (disebut plaintext) ditransformasikan menjadi pesan lain (disebut ciphertext) menggunakan fungsi matematik dan password enkripsi khusus disebut kunci (key).
� Decryption (dekripsi) merupakan kebalikan dari enkripsi: mentransformasikan pesan ciphertext kembali ke pesan
19
mentransformasikan pesan ciphertext kembali ke pesan originalnya (plaintext) dengan menggunakan fungsi matematik dan suatu key.
� Fungsi matematik dan key yang digunakan untuk enkripsi dan dekripsi bisa jadi sama, atau berbeda.
Cryptography Definitions (2)
plaintext plaintextciphertext
KA
encryptionalgorithm
decryption algorithm
Alice’s encryptionkey
Bob’s decryptionkey
KB
20
� Symmetric key cryptography:
key enkripsi dan dekripsi identik, jadi key tersebut harus dirahasiakan. (Pendekatan ini disebut juga secret key cryptography)
� Public key cryptography:
key yang berbeda untuk enkripsi dan dekripsi (yang satu public, yang lain private).
Symmetric Key Cryptography
� Kunci yang sama dalam enkripsi dan dekripsi informasi.
� Fungsi enkripsi tidak perlu dirahasiakan, tetapi keyyang digunakan harus dirahasiakan.
� Fungsi enkripsi dan dekripsi yang digunakan dapat sama atau berbeda.
� Contoh:– ROT13: Algoritma rotasi yang sangat sederhana
21
– ROT13: Algoritma rotasi yang sangat sederhana– Caesar cipher: Algoritma rotasi lain yang lebih baik– crypt: Original Unix encryption program– DES: Data Encryption Standard– AES: Advanced Encryption Standard– Skipjack: dikembangkan oleh U.S. National
Security Agency
plaintextciphertext
KA-B
encryptionalgorithm
decryption algorithm
A-B
KA-B
plaintextmessage, m
K (m)A-B
K (m)A-B
m = K ( )A-B
Symmetric Key Cryptography: Key Issues
22
Symmetric key cryptography: Bob dan Alice membagi key yang sama (symmetric) : K
• Misalnya, key mengetahui pola pertukaran dalam monoalphabetic substitution cipher.
• Question: Bagaimana Bob dan Alice menyepakati key value?
• Even Better Question: Bagaimana key yang disetujui didistribusikan kepada Bob dan Alice dengan aman?
A-B
DES: Data Encryption Standard
• US encryption standard [NIST 1993]
• 56-bit symmetric key, 64-bit plaintext input
• Seberapa amankah DES?
– DES Challenge: 56-bit-key-encrypted phrase (“Strong cryptography makes the world a safer place”) decrypted (brute force) in 4 months.
– The most recent Challenge III (1999) took only a little over 22
Symmetric Key Cryptography: DES
23
– The most recent Challenge III (1999) took only a little over 22 hours.
– No known “backdoor” decryption approach.
• Menjadikan DES lebih aman:
– Use three keys sequentially (3DES) on each datum.
– Use cipher-block chaining.
• New-ish (November 2001) standard symmetric key NIST (National Institute of Standards and Technology), menggantikan DES.
• Memproses data dengan 128 bit blocks.
Symmetric Key Cryptography: AES
24
• 128, 192, atau 256 bit key.
• Dekripsi Brute force (mencoba setiap key) memakan waktu 1 detik dengan DES, akan memakan waktu 149 trilliun tahun dengan AES.
Public Key Cryptography (1)
Public key cryptography
Symmetric key cryptography• Mengharuskan pengirim dan penerima mengetahui secret
key.
• Question: bagaimana mereka dapat menyepakati keyuntuk pertama kalinya?
25
Public key cryptography
• Pendekatan yang berbeda [Diffie-Hellman76, RSA78].
• Pengirim dan penerima tidak saling berbagi secret key.
• Public encryption key diketahui semua.
• Private decryption key hanya diketahui pemiliknya.
Public Key Cryptography (2)
• Keys dibuat berpasangan.
– Public key diregistrasikan secara publik sehingga semua mengetahuinya, dan private key hanya diketahui pemiliknya.
– Setiap key dapat mendekripsi apa yang dienkripsi oleh yang lain, tapi tidak bisa mendekripsi apa yang dienkripsi oleh dirinya sendiri. (Oleh karena itu, metode ini disebut assymetric cryptography).
26
• Parameter pembuatan key:
– Korespondensi satu-ke-satu, jika satu key dapat mendekripsi pesan, pasti pesan tersebut telah dienkripsi oleh yang lain.
– Sangat sulit, untuk mengetahui private key melalui public key.
Public Key Cryptography (3)
Bob’s publickey
K B
+
Bob’s privatekey
K B
-
27
plaintextmessage, m
ciphertextencryptionalgorithm
decryption algorithm
plaintextmessageK (m)
B
+
m = K (K (m))B
+B
-
Public Key Cryptography (4)
Alice’s privatekey
K A
-
Alice’s publickey
K A
+
28
plaintextmessage, m
ciphertextencryptionalgorithm
decryption algorithm
plaintextmessageK (m)
A
-
m = K (K (m))A
-A
+
Public Key Cryptography (5)
Ilustrasi perhitungan:
K (K (m)) = mBB
- +K (K (m))
AA+ -
=
29
Menggunakan public key dulu,diikuti
dengan private key
menggunakan private key
dulu,diikuti dengan public key
Hasilnya SAMA !!
Public Key Encryption Algorithms
• Diffie-Hellman: pendekatan public key yang pertama.
• RSA: sistem public key yang paling dikenal, dikembangkan oleh Rivest, Shamir, dan Adleman.
30
dikembangkan oleh Rivest, Shamir, dan Adleman.
• DSA: Digital Signature Algorithm, dikembangkan oleh U.S. National Security Agency (NSA).
Symmetric vs. Public Key Cryptography
� Metode yang teraman?
– Dengan key dan algoritma yang sesuai, kedua metode cukup aman.
� Metode yang paling nyaman digunakan?
– Untuk menggunakan symmetric cryptography, kedua pihak harus mengetahui secret key, hal ini dapat mengakibatkan ketidaknyamanan.
– Untuk menggunakan public key cryptography, hanya
31
– Untuk menggunakan public key cryptography, hanya membutuhkan public key untuk berkomunikasi dengan yang lain, sehingga menjadi lebih nyaman.
� Performansi yang lebih baik?
– Enkripsi dan dekripsi banyak informasi dengan public key cryptography jauh lebih lambat dibandingkan dengan symmetric cryptography
Hybrid Secret-Public Key Cryptography (1)
� Idealnya, akan lebih baik jika dapat menggabungkan kelebihan dari symmetric dan public key cryptography dan menghindari kelemahannya.– Kita menginginkan efisiensi dari symmetric
cryptography digabungkan dengan kemudahan dalam penggunaan dan keyamanan dari public key cryptography.
� Ketika terdapat dua pihak yang ingin berkomunikasi secara aman, public key cryptography digunakan untuk
32
secara aman, public key cryptography digunakan untuk pertukaran random session key pada symmetric cryptography.– Karena session key telah terenkripsi, kita dapat yakin
akan keamanan dan autentikasinya.– Mudah dalam distribusi dan peggunaan key.
Hybrid Secret-Public Key Cryptography (2)
� Dalam berkomunikasi, symmetric cryptography digunakan berikut dengan session key-nya.
– Karena hanya kedua pihak saja yang mengetahui session key, maka informasi akan aman.
– Karena secret key cryptography digunakan, maka lebih efisien.
� Ketika komunikasi selesai, kedua pihak menghapus session
33
� Ketika komunikasi selesai, kedua pihak menghapus session key. Jika akan melangsungkan komunikasi lagi, proses di atas diulang dari awal untuk mendapatkan session key yang baru.
� Pendekatan ini digunakan padaPretty Good Privacy (PGP) dan lainnya.
Network Security
34
Authentication
Authentication
� Autentikasi merupakan suatu proses bagaimana membuktikan identitas satu individu ke individu yang lainnya
� Terdapat tiga cara utama dalam autentikasi suatu individu:– Something you own: Kunci, security card, dll– Something you know: password, cryptographic key, dll– Something you are: sesuatu yang mengidentifikasikan diri anda
(bentuk wajah, sidik jari, suara, dll
35
(bentuk wajah, sidik jari, suara, dll� Dalam jaringan komputer, kita membutuhkan protokol autentikasi pada
saat komunikasi ketika bukti langsung tidak dapat diberikan.
Authentication Approach
�Public Key Cryptography�Symmetric Key Cryptography�Hybrid Key Cryptography
36
Network Security
37
Message Integrity
Message Checksums
� Checksum merupakan suatu fungsi yang mengkalkulasi data untuk menentukan apakah data tersebut telah dimodifikasi atau rusak
� Checksums terlalu sederhana, mudah untuk memodifikasi data dengan cara yang sama seperti checksum mengubah data asli
� Karena checksums sendiri tidak terproteksi, maka checksums
38
� Karena checksums sendiri tidak terproteksi, maka checksums dapat diubah setelah data terlebih dulu dimodifikasi
� Checksums, mudah untuk dikalkulasi dan menawarkan pengecekan integritas data yang sederhana
Message Sequence Numbers
� Bentuk dasar lain dari pengecekan integritas yaitu sequence number, yang memberikan posisi suatu data relatif terhadap aliran data yang besar
� Sequence numbers dapat digunakan untuk mendeteksi apakah data telah sisipkan data lain atau dihapus
� Karena sequence numbers dapat diubah seperti checksums, sequence numbers hanya menyediakan proteksi minal dari integritas data
39
Message Digests
� Pada dasarnya, message digest merupakan checkums yang dihasilkan oleh cryptography
� Biasanya dihasilkan dalam bentuk hashcode dari funsi satu arah yang sukar untuk diprediksi
- Suatu message digest x dan hash function H, dengan sukar untuk diprediksi dalam mencari pesan m dimana H(m) = x
40
� Fungsi ini menggunakan keseluruhan inputan dan menguranginya ke dalam nilai yang kecil dari panjang data yang, biasanya panjangnya 128 sampai 512 bits
Message Digests
� Karena modifikasi data inputan juga mengubah message digest, sukar untuk memprediksi data dan menemukan digest yang sama
� Meskipun demikian, tidak ada yang mencegah modifikasi dari digest yang juga akan mengubah data inputan
� Solusinya menggunakan digest yang terenkripsi, dikenal juga dengan message authentication code yang menyediakan suatu kunci atau password terhadap fungsi digest
41
� Contoh : Digital Signature
• MD5 hash function widely used (RFC 1321)– Computes 128-bit message digest in 4-step process. – Given an arbitrary 128-bit string x, it appears to be quite difficult
to construct message m whose MD5 hash is equal to x.• SHA-1 is also used.
– US standard [NIST, FIPS PUB 180-1]
Message Digests: Hash Function Algorithms
42
– US standard [NIST, FIPS PUB 180-1]– 160-bit message digest.
large message
mH: Hashfunction H(m)
digitalBob’s
Bob mengirimkan digitally signed message:
Alice memverifikasi signature dan integritas dari digitally signed message yang dikirimkan:
KB(H(m))-
encrypted msg digest
large
Signed Message Digests as Digital Signatures
43
digitalsignature(encrypt)
Bob’s private
key K B-
+ KB(H(m))-
encrypted msg digest
large message
m
H: Hashfunction
H(m)
digitalsignature(decrypt)
H(m)
Bob’s public
key K B+
equal?
Network Security
44
Key Distribution and Certification
Key Distribution Problems
Symmetric key problem:• How do two entities
establish shared secret key over network?
Solution:
Public key problem:• When Alice obtains
Bob’s public key (from web site, e-mail, diskette), how does she know it is Bob’s public
45
Solution:• trusted key distribution
center (KDC) acting as intermediary between entities
know it is Bob’s public key, not Trudy’s?
Solution:• trusted certification
authority (CA)
Key Distribution Centers (KDCs)
• Alice, Bob membutuhkan symmetric key.• KDC: server menyimpan secret key yang berbeda-beda setiap user
yang terdaftar (banyak users).• Alice, Bob mengetahui symmetric keys mereka, KA-KDC and KB-KDC ,
untuk berkomunikasi dengan KDC.
KDC
46
KB-KDC
KX-KDC
KY-KDC
KZ-KDC
KP-KDC
KB-KDC
KA-KDC
KA-KDC
KP-KDC
KDC
KB-KDC
Certification Authorities
Bob’s public
key K B+
Bob’s identifying
digitalsignature(encrypt)
CA private
key K CA-
K B+
certificate for Bob’s public key,
signed by CA
47
• Certification Authority (CA): memiliki public key mengacu pada pihak khusus, E.
• E (orang, router) mendaftarkan public key mereka dengan CA– E menyediakan “proof of identity” ke CA. – CA membuat sertifikat yang mengacu pada E dengan public key-nya– Certificate yang berisi public key E’s secara digital di tanda tangani oleh
CA – yang menyatakan “ini adalah public key E”
identifying information
key CAsigned by CA
Certification Authorities
Bagaimana alice mendapatkan authority’s public key?– Assume they are published in a trusted, public, and well-
known place. But, how can you really trust this?– Pre-configure trusted Certificate Authorities into the software
requiring them. (For example, web browsers come pre-configured to recognize many authorities, and have the facilities to add or accept new ones as necessary.)
48
How can you really trust a Certificate Authority?– In many domains, these authorities are run, licensed, or
regulated by governments or government-appointed bodies.– Ultimately it is up to the individual receiving a certificate to
judge whether they accept it or not. Keep in mind, though, that refusing to accept an authority means that you cannot communicate securely with other individuals that use it!
Standards for Certificate Authorities
• The International Telecommunication Union (ITU) specifies an authentication service and specific syntax for certificates in X.509.
• In RFC 1422, the IETF describes CA-based key management for secure Internet e-mail and other applications.– This is compatible with X.509.– But, it also goes further, by establishing procedures and
49
conventions for a key management architecture.• Because of the industry push for a solid Public Key Infrastructure (PKI),
expect more standardization in the future!
Network Security
50
Access Control: Firewalls
Mengisolasi jaringan internal dari jaringan eksternal yang lebih besar, mengijinkan beberapa paket melewatinya dan memblok yang lainnya
firewall
Firewalls
51
administerednetwork
externalnetwork
firewall
� Mencegah serangan denial of service:– SYN flooding: penyerang attacker mengirimkan koneksi TCP
dalam jumlah besar, sehingga koneksi yang lain gagal � Mencegah modifikasi/akses pada data internal
– Penyerang mengganti isi suatu homepage dengan yang lain� Mengijinkan akses tertentu ke dalam jaringan (user/host yang
Firewalls: Why?
52
� Mengijinkan akses tertentu ke dalam jaringan (user/host yang terautentikasi)
� Mencegah serangan dari internal jaringan pada sistem yang penting:– Sistem (data penting, data perusahaan, dll) dapat
disembunyikan oleh firewall untuk mencegah serangan dari dalam
Firewalls: Policies
• Terdapat dua pendekatan dalam konfigurasi aturan firewall• Default Permit:
– Menentukan kondisi data yang akan diblok; host atau protokol mana saja yang tidak tercakup dalam kondisi tersebut maka secara default akan masuk
– Simpler to use, easy to configure, and more dangerous.• Default Deny:
53
• Default Deny:– Protokol khusus diijinkan masuk dan host dapat melakukan
pengiriman data atau menerima data; selain itu ditolak– Cenderung lebih aman
Firewall Components: Gates/Gateways
� Menentukan secara khusus suatu program, perangkat, atau komputer pada daerah kerja firewall yang dapat menerima dan mengatur koneksi dari atau menuju jaringan eksternal
� Untuk keamanan, pengguna seharusnya tidak memiliki akses (account) pada komputer gateway
� Beberapa jenis program dapat berjalan di gateway:– Network client software seperti telnet, ftp dan netscape.
54
– Network client software seperti telnet, ftp dan netscape. Pengguna mendapatkan akses ke gateway dengan menggunakan software tersebut. (Tidak direkomendasikan!)
– Proxy servers meneruskan data melewati firewall dari jaringan internal menuju jaringan eksternal
– Network servers untuk menerima e-mail, pelayanan halaman situs (web server) dan lain-lain
Limitations of Firewalls
� IP spoofing: suatu firewall tidak dapat mengetahui apakah data benar-benar datang dari sumber yang bersangkutan, jadi serangan masih dapat masuk
� Jika beberapa aplikasi membutuhkan pelayanan yang khusus, maka masing-masing memiliki gateway tersendiri
� Software klien harus mengetahui
� Filter biasanya menggunakan aturan semua atau tidak sama sekali untuk paket UDP
� Tradeoff: degree of communication with outside world, level of security
� Semakin banyak pengecualian atau pengkhususan yang diperlukan oleh firewall, maka semakin sukar untuk
55
� Software klien harus mengetahui bagaimana berkomunikasi dengan gateway– Contoh, para pengguna
mengkonfigurasi alamat IP dari proxy pada web browser mereka
firewall, maka semakin sukar untuk dikonfigurasi dan berjalan dengan sesuai
� Banyak situs yang dilindungi oleh firewall masih dapat diserang, jadi apakah firewall merupakan solusinya?
Network Security
56
Attacks and Countermeasures
Internet Security Threats (1)
Mapping:– Sebelum menyerang: misalnya “anda” – mencari tahu
layanan apa saja yang diimplementasikan pada jaringan– Gunakan ping untuk menentukan host yang terdapat pada
jaringan– Port-scanning: mencoba untuk melakukan koneksi TCP
pada setiap port secara berurutan (lihat apa yang terjadi!)
57
pada setiap port secara berurutan (lihat apa yang terjadi!)– nmap (http://www.insecure.org/nmap/) mapper: “network
exploration and security auditing”.
Countermeasures?
Mapping: countermeasures– Menyimpan dan membuat log trafik yang masuk ke jaringan– Mencari aktivitas yang mencurigakan (ex: alamat IP, dan,
port di scan secara terus-menerus). Sekarang banyak peralatan di jaringan yang dapat melakukan hal tersebut secara otomatis (Intrusion detection/prevention)
– Konfigurasi firewall untuk memblok paket ICMP, maka ping
Internet Security Threats (2)
58
– Konfigurasi firewall untuk memblok paket ICMP, maka ping tidak akan dapat bekerja
– Membuat aturan ‘default’ deny pada firewall, jika nomor port telah diblok makan jaringan tidak dapat dipetakan dari luar
Internet Security Threats (3)
Packet sniffing:– Permasalahan bagi media yang melakukan broadcast paket– NIC membaca semua paket yang melewatinya– Dapat membaca semua data yang tidak terenkripsi (ex: passwords)– Contoh: C sniffs paket B
59
A
B
C
src:B dest:A payload
Countermeasures?
Internet Security Threats (4)
Packet sniffing: countermeasures– Semua host pada suatu jaringan menjalankan suatu perangkat lunak yang
memeriksa secara periodik jika interface host dalam kondisi berbahaya– Menjamin bahwa semua host pada jaringan membutuhkan super-user
privileges untuk membuat interface dalam mode berbahaya– Tempatkan satu host setiap segmen dari media broadcast (switched
Ethernet pada hub).
60
– Enkripsi semua data penting (ex: gunakan ssh untuk remote login)
A
B
C
src:B dest:A payload
Internet Security Threats (5)
Traffic analysis:– Penyerang mendapatkan informasi penting tanpa mempelajari isi dari
paket atau sniffing keseluruhan paket– Contoh: C dapat mempelajari pola kerja dari B, ketika B melakukan
transaksi dengan A
61
A
B
C
src:B dest:A payload
Countermeasures?
Internet Security Threats (6)
Traffic analysis: countermeasures– Gunakan suatu bentuk traffic padding. Trafik palsu dimasukkan ke dalam
jaringan untuk menyamarkan trafik yang sesungguhnya– Jika kapasitas jaringan anda besar, kenapa tidak menggunakannya?– Traffic padding dapat membuat penyerang sukar untuk melakukan
serangan, bagaimana anda akan melakukan serangan jika paket tersebut palsu?
62
A
B
C
src:B dest:A payload
Internet Security Threats (7)
IP Spoofing:– Dapat menghasilkan paket “raw” IP langsung dari suatu aplikasi ,
menempatkan suatu nilai pada paket alamat IP sumber– Penerima tidak mengetahui bahwa sumber paket telah di spoofed– Contoh: C berpura-pura menjadi B
63
A
B
C
src:B dest:A payload
Countermeasures?
Internet Security Threats (8)
IP Spoofing: ingress filtering– Routers seharusnya tidak meneruskan paket dengan alamat
sumber yang tidak valid (ex: alamat sumber datagram bukan bagian dari jaringan router)
– Akan tetapi, ingress filtering tidak dapat dilakukan pada semua jaringan
64
A
B
C
src:B dest:A payload
Internet Security Threats (9)
Denial of service (DOS):– Membanjiri paket ke penerima– Distributed DOS (DDOS): membanjiri paket dengan
mengkoordinasikan banyak pengirim– Contoh: C dan remote host SYN-attack A.
65
A
B
C
SYN
SYNSYNSYN
SYN
SYN
SYN
Countermeasures?
Internet Security Threats (10)
Denial of service (DOS): countermeasures– Memfilter paket (ex: SYN) sebelum sampai ke host – traceback sumber flood (kemungkinan ditemukan host yang
tidak berbahanya, perangkat yang dipergunakan)– Gunakan dedicated hardware untuk memfilter jumlah paket
yang banyak atau percobaan koneksi
66
A
B
C
SYN
SYNSYNSYN
SYN
SYN
SYN
Network Security
67
Security in Many Layers
Pretty Good Privacy (PGP) for Secure E-mail
� Standar de-facto enkripsi e-mail
� Menggunakan symmetric key cryptography, public key cryptography, hash function, dan digital signature, sudah dibahas sebelumnya
� Menyediakan kerahasiaan, autentikasi, dan integritas
---BEGIN PGP SIGNED MESSAGE---
Hash: SHA1
Bob:My husband is out of town tonight. Passionately yours, Alice
A PGP signed message:
68
autentikasi, dan integritas
---BEGIN PGP SIGNATURE---Version: PGP 5.0Charset: noconvyhHJRHhGJGhgg/12EpJ+lo8gE4vB3
mqJhFEvZP9t6n7G6m5Gw2---END PGP SIGNATURE---
Secure Sockets Layer (SSL)
� Keamanan pada layer transport � Digunakan diantara Web browsers, servers untuk e-
commerce (https)� Layanan keamanan:
– Server Autentikasi– Enkripsi data
69
– Enkripsi data– Klien autentikasi (opsional)
IPsec: Network Layer Security
� Network-layer secrecy� Network-layer authentication� Two principle protocols:
– Authentication header (AH) protocol– Encapsulation security payload (ESP) protocol
70
Authentication Header (AH) Protocol
� Menyediakan autentikasi, dan integritas data tetapi tidak menyediakan kerahasian data
� Header AH ditempatkan antara header IP dan data
� IP Protocol field: 51
AH header includes:� Connection identifier� Authentication data: source-
signed message digest calculated over original IP datagram.
� Next header field: specifies type of data (e.g., TCP, UDP, ICMP).
71
of data (e.g., TCP, UDP, ICMP).� Sequence number to prevent
playback attacks.
IP header data (e.g., TCP, UDP segment)AH header
� Menyediakan kerahasiaan, host autentikasi, dan integritas data
� Packet data dan the ESP trailer terenkripsi
� Next header field terdapat pada ESP trailer.
� Sequence number dan connection identifier terdapat pada ESP header
� IP protocol field: 50.
Encapsulation Security Payload (ESP) Protocol
72
ESP trailer.
IP header TCP/UDP segmentESP
headerESP
trailerESP
authent.
encryptedauthenticated
IPsec: SA and Key Management
� Untuk mengimplementasikan IPsec, diperlukan SA (Security Association) dan key management
� Beberapa protokol lainnya:– Internet Key Exchange (IKE), merupakan protokol key
management untuk IPsec– Internet Security Association and Key Management Protocol
(ISAKMP) menyatakan prosedur dalam konfigurasi SA dan
73
(ISAKMP) menyatakan prosedur dalam konfigurasi SA dan pertukaran kunci
INTRUSION DETECTION & PREVENTION
74
Intrusion Detection
Intrusions
“Any set of actions that attempts to undermine the integrity, confidentiality, or availability of a resource” (R. Heady et al)
- Port scans
- Worms
- Application exploits (buffer overflow)
- Denial of Service
� Meningkat secara pesat
75
� Meningkat secara pesat
� Keterbatasan yang dimiliki oleh Firewall
Intrusion Detection
� Suatu IDS melakukan 3 aksi sebagai berikut:1. Memperoleh data dari sistem monitor
- Network traffic- System logs- System properties (load average, file use, login times, dll)
2. Menganalisa data, mencari bukti dari penyerangan3. Melaporkan bukti penyerangan pada operator (‘alert’)
76
3. Melaporkan bukti penyerangan pada operator (‘alert’)� Bekerja secara real time� Teridentifikasi oleh sistem monitor
- Individual host- Network
� Teridentifikasi oleh data yang diperoleh dan metode deteksinya
� Accuracy - seberapa sering IDS akan melaporkan tanda bahaya jika penyerangan belum terjadi- False positive (false alarm)
� Completeness – seberapa sering IDS gagal melaporkan adanya serangan- False negative (missed detection)
� Performance – waktu yang diperlukan IDS untuk menganalisa dan audit data
IDS Effectiveness
77
data� Timeliness – waktu yang diperlukan IDS untuk memberi peringatan
intrusi (alarm)� Fault tolerance – kemampuan IDS dalam bertahan terhadap intrusi
Network Intrusion Detection
� Suatu network-based IDS (NIDS) berfungsi untuk memonitor suatu subnet
� Perangkat IDS memonitor trafik jaringan di dekat perangkat routing (mis:hub/switch)
� Kemampuan
- Tidak mempengaruhi
78
- Tidak mempengaruhi performansi jaringan
- Dapat disembunyikan
� Konsekuensi
- Lemah terhadap serangan DoS
- Single point failure
Host Intrusion Detection
� Suatu host-based IDS (HIDS) berfungsi untuk memonitor satu perangkat host (server, terminal, firewall, dll)
� Dapat memonitor trafik jaringan yang datang atau suatu operasi pada host
� Berjalan sebagai proses pada host
� Kemampuan
`
Host IDS
79
� Kemampuan
- Dapat memonitor intrusi pada host itu sendiri
� Konsekuensi
- Menggunakan sumber daya yang terdapat pada host itu sendiri
- Untuk sistem yang spesifik, Membutuhkan HIDS yang spesifik pula
Internet
Firewall
Hub/Switch
`
Host IDS
`
Host IDS
Distributed Intrusion Detection
� Suatu distributed-based IDS (DIDS) menggunakan baik NIDS dan HIDS sebagai sensor
� Semua hasil analisa data dikirimkan ke management station
� Disebut juga dengan Hybrid IDS
� Kemampuan
- Daerah yang lebih luas
- Sensor dapat berbagi dan
NIDS
80
- Sensor dapat berbagi dan koordinasi hasil monitor
� Konsekuensi
- Hasil dari sensor dikirimkan melalui jaringan yang berpotensi dapat di intrusi
- Hasil dari sensor mungkin tidak terkirimkan apabila jaringan terbanjiri (flood)
Internet
Firewall
Hub/Switch
`
HIDS
Management
Station
Mechanism
81
Detection Method
� Beberapa tipe penggunaan dari IDS- Pakar riset menggunakan klasifikasi yang abstrak dan umum
- IDS developer menggunakan klasifikasi yang konkrit
- System administrators menggunakan klasifikasi yang khusus digunakan pada sistemnya saja
82
yang khusus digunakan pada sistemnya saja� Beberapa tipe deteksi
- Rule-based (signature) detection- Protocol analysis- Anomaly detection- Specification detection- Policy-based detection
Rule-based Detection
� IDS memiliki suatu database berisi pendeskripsian pola-pola (rules) yang mengindikasikan suatu serangan
- Alarm menyala apabila pola-pola (signature) tersebut terdeteksi pada data audit
- Contoh: Alarm menyala jika terdapat suatu paket TCP berisi GET request untuk 'passwd.txt'
� Kemampuan- Cepat (diberikan suatu set rules sederhana)- Rules dapat diubah dengan mudah
83
- Rules dapat diubah dengan mudah- Mudah mengidetifikasikan intrusi
� Konsekuensi- Lemah terhadap tipe serangan baru- Agar efektif, diperlukan updating yang terus-menerus
� Biasa dikenal dengan misuse detection
Protocol Analysis
� IDS berisi aturan-aturan protokol pada sistem- Alarm akan menyala jika terjadi pelanggaran protokol dalam data audit
- Contoh: Alarm menyala jika respon terhadap koneksi TCP hanya paket RST/ACK atau SYN/ACK
� Kemampuan- Lebih fleksibel dibandingkan rule-based- Dapat mendeteksi tipe baru intrusi
84
- Dapat mendeteksi tipe baru intrusi� Konsekuensi
- Mengasumsikan bahwa semua aplikasi menggunakan standar protokol
- Rumit dan sulit untuk diubah- Deteksi akan terlewati jika intrusi tidak melanggar aturan protokol
Anomaly Detection
� IDS ‘mempelajari' karakteristik sistem ketika beroperasi pada keadaan normal (profiling)
- Alarm akan menyala jika sistem tidak dalam keadaan normal
- Contoh: Alarm menyala jika volume trafik jaringan lebih besar dari nilai tertentu pada waktu yang spesifik
� Kemampuan- Dapat diubah sesuai dengan sistem- Lebih fleksibel dibandingkan rule-based
85
- Lebih fleksibel dibandingkan rule-based- Dapat mendeteksi intrusi tipe baru- Kemungkinan kecil intrusi terlewatkan
� Konsekuensi- Membutuhkan profil yang lengkap dari karakteristik kerja
sistem- Kemungkinan tinggi akan alarm yang salah- Harus diupdate jika sistem berubah
Specification-based Detection
� IDS diberikan deskripsi (specification) keadaan normal sistem- Alarm akan menyala jika sistem tidak dalam keadaan normal
- Contoh: Alarm menyala jika beban CPU lebih besar dari nilai yang terdapat pada deskripsi spesifikasi
� Kemampuan- Dapat diubah sesui dengan sistem- Lebih fleksibel dibandingkan rule-based
86
- Lebih fleksibel dibandingkan rule-based- Dapat mendeteksi intrusi tipe baru- Kemungkinan kecil intrusi terlewatkan
� Konsekuensi- Membutuhkan sintak dalam pendeskripsian sistem- Membutuhkan pengetahuan yang lengkap dari karakteristik kerja sistem
- Harus diupdate jika sistem berubah
Policy-based Detection
� IDS memiliki daftar dari aksi yang diterima dan ditolak (policy)
- Alarm akan menyala jika policy dilanggar
- Contoh: Alarm menyala jika GET request pada HTTP server terhadap file yang tidak diijinkan dilihat oleh pengguna
� Kemampuan
- Dapat diubah sesuai dengan sistem
- Lebih fleksibel dibandingkan rule-based
87
- Lebih fleksibel dibandingkan rule-based
- Dapat mendeteksi intrusi tipe baru
� Konsekuensi
- Membutuhkan policy yang lengkap dari sistem
- Harus diupdate jika policy berubah
Output
� Langsung menghubungi administrator
- Page
- SMS (IARD PNF)
� Disimpan dalam suatu file
- Text file
88
- Text file
- System log
- Binary packet log (tcpdump)
� Disimpan di database
� Ditampilkan pada layar
IDS Examples
� NIDS- Snort - rule-based packet sniffer dengan protocol analysis terbatas dan anomaly detection
- Bro - rule-based dan policy-based packet sniffer� HIDS
- PortSentry - portscan detector- LogSentry - log analyzer- Tripwire - file integrity monitor
89
- Tripwire - file integrity monitor- Rkdet - rootkit detector
� DIDS- Prelude – rule-based packet sniffer, log analyzer, buffer overflow detection
- Osiris - file integrity monitor
Limitations
� Terus-menerus di up to date (signatures, protocols, dll)
� Mengasumsikan jaringan yang terganggu akan dapat mengirimkan alarm
� Akurasi dan kelengkapan tergantung dari konfigurasi IDS oleh administrator
90
IDS oleh administrator
� Seringkali lemah terhadap serangan Denial of Service (DoS)
� Biasanya IDS memberikan tanda peringatan, tapi tidak mencegah atau menghentikan serangan
INTRUSION DETECTION & PREVENTION
91
Intrusion Prevention
Intrusion Prevention
� Banyak intrusi jaringan memerlukan waktu sedikit dalam eksekusi
- Worms- Backdoor exploits
� IDS tidak memberikan cukup waktu bagi administrator untuk merespon intrusi yang telah merusak sistem
92
merusak sistem� Intrusion Prevention System (IPS) di desain untuk
mengidentifikasi potensi serangan dan secara keseluruhan melakukan tindakan untuk menghentikannya (countermeasures)
� IPS merupakan tindak lanjut dari IDS
IPS Types
� Network-based IPS (NIPS); menganalisa trafik jaringan dari serangan
� Beberapa tipe countermeasure
- Session sniping
- Packet filtering
- Packet scrubbing
93
- Packet scrubbing
- IP blocking
- Deception
� Host-based IPS (HIPS); mencegah serangan pada sistem operasi (dangerous system calls, unauthorized file changes)
Session Sniping
� IPS menutup koneksi jaringan terhadap host yang mengirim trafik serangan
- TCP RESET for TCP sessions
- ICMP Host/Network/Port Unreachable for UDP traffic
� Kemampuan
- Mudah diimplementasikan dan digunakan
� Konsekuensi
94
� Konsekuensi
- Dapat dihindari oleh penyerang dengan banyak cara
� Contoh:
- IPtables (Linux Firewall) dapat menolak (REJECT) trafik dari suatu host
- Snort memiliki pilihan respon yang fleksibel, yang memungkinkan untuk melakukan reset ketika terjadi intrusi
Packet Filtering
� IPS membuang (DROP) trafik yang berisi serangan
� Kemampuan
- Menghilangkan trafik serangan dari jaringan
� Konsekuensi
- Kemungkinan hilangnya trafik yang tidak berisi serangan
� Contoh:
- Hogwash membuang paket jika terjadi serangan
95
- Hogwash membuang paket jika terjadi serangan
- Versi terbaru snort memiliki fitur “inline” yang memungkinkan untuk membuang paket ketika terjadi serangan
Packet Filtering Implementation
� Biasanya diimplementasikan pada inline NIDS
- NIDS diposisikan sejalur pada jaringan; bertindak sebagai bridge antar jaringan
- NIDS didesain kembali untuk dapat membuang trafik serangan
`
Host
NIDS
96
serangan
� Gangguan pada inline NIDS akan mengganggu jaringan
� Diimplementasikan juga sebagai “smart” switch
Internet
Firewall
Hub/Switch
`
Host
`
Host
Inline N
Packet Scrubbing
� IPS mengganti isi dari paket serangan dengan data yang tidak berbahaya
� Kemampuan
- Tidak mengindikasikan bahwa IPS mendeteksi intrusi
� Konsekuensi
- Hanya bisa bekerja jika intrusi melibatkan isi paket serangan
Contoh:
97
� Contoh:
- Snort memiliki pilihan “replace” yang mengubah data dari paket serangan ke data lain dengan panjang yang sama
IP Blocking
� IPS mengubah konfigurasi dari firewall lokal, sehingga memungkinkan untuk mem-block trafik serangan dari suatu host
� Kemampuan
- Efektif menghilangkan penyerang dari jaringan
� Konsekuensi
- Kemungkinan terjadi blocking pada host yang bukan penyerang
98
penyerang
� Contoh:
- SnortSAM firewall agent, menerima informasi dari snort rules dan mengubah konfigurasi pada firewall (ex: IPtables)
Deception
� IPS mengirimkan trafik kepada penyerang yang mengindikasikan bahwa penyerangan terhadap suatu host telah berhasil atau koneksi menuju host tidak tersedia
� Kemampuan- Biasanya host khusus (suatu ‘honeypot’) pada jaringan yang mendeteksi serangan dan menjauhkannya dari host lainnya pada jaringan tersebut
- Dapat berupa layanan aplikasi palsu pada host� Konsekuensi
99
� Konsekuensi- Penyerang masih berada di jaringan blocking; dan masih dapat melakukan serangan terhadap host lain
- Kemungkinan implikasi legal� Contoh:
- Deception Toolkit (DTK) mensimulasikan aplikasi pada host
- honeyd membuat host virtual bagi penyerang untuk diserang
IPS Examples
� Packet filtering- Hogwash drop packets that trigger rules- Snort_Inline drop packets that trigger rules- FWSnort convert Snort rules to IPtables rules
� IP blocking- SnortSAM melakukan block alamat IP berdasarkan peringatan dari snort
- PortSentry secara otomatis block alamat IP yang
100
- PortSentry secara otomatis block alamat IP yang melakukan port scan
� Deception- Deception Toolkit (DTK) mensimulasikan aplikasi pada host
- honeyd membuat host virtual bagi penyerang untuk diserang
Risks
� Penyerang dapat memperoleh informasi dari countermeasure- Keberadaan IPS pada jaringan- Tipe dari IPS- Sistem Operasi yang menjalankan IPS
� Penyerang masih dapat berhasil melakukan penyerangan jika terdapat delay yang cukup antara deteksi intrusi dengan countermeasure
� Jika IPS mem-block alamat IP atau trafik, penyerang masih dapat memanipulasi trafik untuk mencegah komunikasi antar host atau antar jaringan
101
jaringan� Should only be used against attacks with certain characteristics
(P. Proctor)- The attack is rare- The attack is catastrophic- The attack cannot be spoofed (to cause another attack)- The attack is positively identifiable as misuse
Conclusion
� Intrusi meningkat dengan cepat dan semakin sulit untuk dideteksi dengan menggunakan metode deteksi tradisional
� IDS mencari tanda-tanda penyerangan pada data di sistem dan melaporkannya pada administrator
� IDS didefinisikan oleh sistem yang dimonitor (host atau network) dan metode deteksinya. Terdapat beberapa metode deteksi, yang dapat deteksi data intrusi maupun data bukan intrusi
� IPS mencari tanda-tanda penyerangan pada data di sistem dan secara menyeluruh melakukan countermeasure. Hal ini merupakan tindak lanjut dari IDS yang hanya melaporkan terjadinya intrusi tetapi tidak
102
lanjut dari IDS yang hanya melaporkan terjadinya intrusi tetapi tidak menghentikannya
� Terdapat beberapa macam countermeasure pada network-based, yang dapat menghentikan trafik serangan atau menghentikan si penyerang
� Implementasi IPS memiliki beberapa resiko dari penggunaan countermeasure
top related