 “Kartu
Lebaran? Buat apa beli kartu lebaran? Kamu seperti
GaTek (gagap teknologi) aja, kan kita bisa pakai e-mail
untuk kirim ucapan selamat lebaran,” begitulah
komentar seorang teman sewaktu saya membeli karu lebaran
tahun lalu. Memang e-mail, selain SMS, saat ini menjadi
media yang umum dipakai untuk silaturahmi pada momen-momen
seperti Lebaran, Natal dan Tahun baru. Bahkan ucapan
selamat Lebaran yang dikirim lewat e-mail lebih bervariasi
dengan adanya animasi dan sisipan musik.
Tetapi, ini juga momen yang tidak disia-siakan oleh para
pengacau keamanan untuk melancarkan aksinya dengan menyebarkan
virus, program trojan, dsb. Beberapa programmer virus
bahkan sengaja menunggu momen liburan Natal untuk meluncurkan “album” barunya
seperti virus Navidad (yang berarti Natal dalam bahasa
Spanyol), atau W32.Music.A.Worm.
Kenapa pada hari raya?
Alasannya sederhana saja. Pertama, pada momen hari
raya seperti Lebaran dan Natal, biasanya orang diliput
suasana silaturahmi, dan keakraban sehingga tidak
curiga terhadap e-mail yang bertujuan “baik”.
Kedua, liburan pada hari raya biasanya lama dan sifatnya
massal.
Tahun 2003 ini saja, pemerintah menetapkan 9 hari libur
untuk Lebaran, sehingga kemungkinan ada orang yang
duduk di depan komputer untuk mengawasi pengacau keamanan
sangat kecil. Kalau saja Mr. Shimomura tidak kebetulan
mampir ke kantor temannya dalam perjalannya untuk bermain
ski di Lake Tahoe untuk merayakan Natal dan Tahun Baru,
mungkin Mr. Kevin Mitnick yang dinobatkan sebagai bapak
para hacker, tidak pernah tertangkap sampai sekarang.
Serangan apa saja yang mungkin muncul pada liburan
hari raya?
Virus hanya salah satunya. Pengacau-pengacau lainnya
juga tidak kalah berminatnya pada momen seperti ini.
Pengambil-alihan nama domain banyak terjadi pada saat
liburan panjang dengan memanfaatkan kelemahan sistem
yang hanya mengandalkan konfirmasi lewat e-mail untuk
perubahan informasi suatu nama domain.
Kejadian pencurian akses, spamming, denial of service
attack, mengubah tampilan web juga memberikan kontribusi
yang tidak sedikit pada momen seperti ini. Mereka bebas
bergerak karena merasa yakin tidak ada yang me-monitor.
Apakah perusahaan di Indonesia cukup beralasan untuk
dijadikan target?
Kalau kita mencari berita pada search engine dengan
keyword “Indonesia” dua tahun yang lalu
tidaklah sebanyak sekarang. Kejadian-kejadian seperti
bom bali, bom hotel Marriot, berita tentang Hambali
maupun Al Ghozi, menambah terekposnya Indonesia di
dunia internasional. Hal ini juga diperkirakan akan
memicu para hackers luar untuk “mengetahui” Indonesia
secara lebih mendalam, termasuk hari-hari libur di
Indonesia. Kegiatan para hackers ini sering diawali
dari motif rasa ingin tahunya dan sekedar iseng. Tetapi,
biasanya, sering kebablasan menjadi motif lainnya,
jika melihat targetnya begitu menarik untuk diutak-atik.
Kejadian politik dan kejadian lainnya di dalam negeri
dapat menjadi pemicu serangan para hackers ke Indonesia.
Seperti pada saat periode jajak pendapat di Timor-Timur,
beberapa situs pemerintah diubah tampilannya oleh hacker
yang mengklaim dari Portugal.
Apa yang perlu disiapkan agar kita tenang pada saat
mudik lebaran?
Jarang ada orang pengganti untuk melakukan tugas administrasi
keamanan informasi pada saat kita liburan Lebaran atau
Natal. Jikapun ada, biasanya hanya operator/helpdesk
yang terbatas untuk fungsi monitoring saja. Karena
itu persiapan perlu dilakukan bagi para administrator
agar liburan menjadi lebih tenang.
Di bawah ini adalah tips yang dapat dipakai dalam persiapan
menjelang liburan panjang :
Back-up. Back-up secara penuh terhadap data maupun sistem perlu dilakukan sebagai
bagian dari tindakan untuk mengantisipasi recovery jika terjadi ganguan keamanan
pada saat liburan.
Pastikan hanya layanan (services) yang diperlukan saja yang aktif. Jadi misalkan
jika server kita diperuntukkan hanya untuk layanan web maka layanan web saja
yang aktif. Beberapa orang masih terlalu mengandalkan semata-mata pada Firewall,
sehingga mereka tidak terlalu peduli dengan layanan-layanan yang aktif pada
server mereka. Langkah ini untuk mengurangi ancaman keamanan yang datang dari
dalam, yang biasanya tidak dilindungi oleh firewall maupun sebagai proteksi
tambahan jikalau terjadi salah konfigurasi pada Firewall.
Jika anda mempunyai server yang digunakan untuk development maupun
uji coba, pastikan mesin tersebut dalam keadaan mati. Umumnya server-server ini tersambung
ke jaringan dan konfigurasi keamanannya sangat lemah, seperti masih mempergunakan
default password dari vendor, tidak diaplikasikan patch. Selain itu, banyak
program contoh dan tools yang biasanya di-install pada server development dan
uji coba; tujuannya untuk mempermudah programmer untuk membuat aplikasinya,
tetapi disisi lain meningkatkan kerentanan keamanan.
Aplikasikan patch keamanan terkini dan lakukan uji penetrasi sekurang-kurangnya
dari luar untuk memastikan tidak ada layanan yang tidak diinginkan yang dapat
diakses dan juga untuk memastikan tidak ada isu kerentanan (vulnerabilities)
pada sistem. Uji penetrasi juga diperlukan untuk mengecek apakah ada sistem
dengan password yang mudah ditebak.
Pastikan bahwa fungsi pemutakhiran (update) database antivirus secara otomatis
aktif pada setiap server.
Non aktifkan akses untuk mitra perusahaan maupun kontraktor yang memang tidak
diperlukan selama liburan.
Jika perusahaan mempunyai modem yang digunakan untuk akses jarak jauh
(remote access), pastikan bahwa jumlah nada dering sebelum modem menjawab cukup
besar,
misalkan saja 3. Hal ini untuk mencegah war-dialing. Mungkin orang tidak peduli
terhadap hal ini, karena berpikir bahwa nomor telepon untuk akses ke modem
mereka tidak disebarluaskan. Tetapi bayangkan jika seseorang mempunyai informasi
nomor telepon suatu perusahaan dari kartu nama maupun dari sumber lainnya,
maka jika kita mencoba menelpon ke 20 nomor sebelum dan 20 nomor sesudah, kemungkinan
menemukan satu diantaranya adalah nomor modem cukup besar. Hal ini dipermudah
lagi dengan adanya program untuk melakukan pengecekan secara otomatis.
Untuk mengurangi keberhasilan brute force attack, suatu serangan yang bertujuan
untuk mendapatkan akses dengan mencoba berbagai macam kombinasi password, ubah
konfigurasi sistem password menjadi lebih ketat. Misalkan saja mengecilkan
jumlah maksimum kesalahan memasukkan password suatu ID sebelum sistem mengunci
ID tersebut (account lockout threshold), misalkan menjadi hanya 2 kali, dan
tingkatkan lama penguncian tersebut (account lock-out duration), misalkan saja
1 jam. Dengan konfigurasi seperti ini, jumlah kombinasi password yang dapat
dicoba selama satu minggu untuk menebak suatu ID maksimum sebanyak 336.
Aktifkan fitur auto-reply e-mail untuk account penting seperti account yang
dipakai untuk korespondensi masalah teknis maupun administrasi yang berhubungan
dengan nama domain.
Jika tidak ada yang mengawasi petugas kebersihan maupun pegawai kontraktor
lainnya selama liburan, lebih baik jangan berikan akses ke ruang penting
seperti ruang server.
Jika memungkinkan, alihkan atau gandakan log dari suatu server ke mesin
lainnya. Tujuannya, agar menyulitkan hacker menghapus log setelah melancarkan aksinya,
ataupun jika berhasil, kita masih mempunyai backup log-nya.
Sebarkan pengumuman kepada karyawan untuk tidak lupa men-download dan
mengaktifkan database antivirus terkini sebelum liburan dan setelah liburan.
Jika tugas pengawasan selama liburan diserahkan kepada operator Jaga, berikan
petunjuk praktis tindakan yang diperlukan jika melihat hal-hal yang membahayakan
keamanan. Misalkan, jika tampilan pada server web diubah oleh pengacau, segera
cabut koneksi network web server-nya tapi mesin jangan dimatikan.
Jika perusahaan mempunyai sistem pencegah intrusi (Intrusion Prevention
System), fitur automatic blocking terhadap intrusion dapat diaktifkan. Tetapi perlu
kehati-hatian dalam penerapannya, sebab jika tidak, dapat menjadi bumerang
bagi perusahaan.
Jangan lupa buat check list terhadap apa-apa yang perlu dilakukan dan juga
buat catatan tentang apa-apa yang telah dilakukan.
Apa yang perlu dilakukan setelah pulang dari mudik
lebaran ?
Bagi administrator, hal pertama yang perlu dilakukan
setelah pulang mudik adalah kembali melihat catatan-catatan
log sistem untuk mengecek apakah ada kejadian gangguan
keamanan yang terjadi. Sedangkan bagi karyawan lainnya,
pastikan database antivirus yang terpasang adalah yang
terkini. Cara yang cukup efektif untuk mengingarkan
karyawan adalah dengan menempelkan pengumuman dengan
ukuran huruf yang cukup besar pada setiap pintu masuk
ruangan.•
Agus Pracoyo • channel manager /
security consultant pada
PT. Indokom Primanusa dengan alamat
e-mail: pracoyo@ipnsecurity.com
Foto-foto: dok. ebizzasia
|
