LEVEL : NEWBIE
Materi ini bakal ngejelasin beberapa prinsip-prinsip fundamental dari information security. Framework yang dipake buat ngelindungin data dan sistem ke elemen-elemen dari apa sebenernya yang bikin data secure.
Ukuran-ukuran, framework dan protokol yang didiskusiin di materi ini semua cuma mainin peran kecil dalam “Defence in Depth.”
Defence in Depth itu penggunaan banyak layer keamanan yang beragam ke sistem dan data organisasi dengan harapan banyak layer bakal nyediain redundansi di perimeter keamanan organisasi.
CIA Triad itu model keamanan informasi yang dipake sebagai pertimbangan pas bikin security policy. Model ini punya sejarah panjang banget, mulai dari dipake tahun 1998.
Sejarah ini ada karena keamanan informasi (information security) itu ga cuma mulai dan/atau selesai di cybersecurity doang, tapi malah lebih luas, kaya skenario pengarsipan, penyimpanan record, dll.
Terdiri dari tiga bagian: Confidentiality, Integrity dan Availability (CIA), model ini udah cepet banget jadi standar industri sekarang ini. Model ini harusnya ngebantu nentuin nilai data yang dipake, dan ujung-ujungnya, perhatian yang dibutuhin dari bisnis.
CIA Triad itu beda kaya model tradisional yang punya bagian-bagian sendiri; malah, ini siklus yang terus muter. Walaupun tiga elemen di CIA Triad bisa dibilang tumpang tindih, kalo satu aja elemen ga terpenuhi, dua lainnya jadi ga guna (mirip kaya segitiga api). Kalo security policy ga jawab tiga bagian ini, jarang banget jadi security policy yang efektif.
Walaupun tiga elemen CIA Triad bisa dibilang udah jelas sendiri, yuk kita bahas ini dan kontekstualisasiin ke cybersecurity.
Confidentiality
Elemen ini itu perlindungan data dari akses dan penyalahgunaan yang ga sah. Organisasi pasti selalu punya beberapa bentuk data sensitif yang disimpen di sistem mereka. Nyediain confidentiality itu berarti ngelindungin data ini dari pihak-pihak yang ga seharusnya dapet akses.
Banyak contoh di dunia nyata buat ini, kaya misalnya, record karyawan dan dokumen akuntansi bakal dianggap sensitif. Confidentiality bakal disediain dalam artian cuma administrator HR yang bakal akses record karyawan, di mana pemeriksaan latar belakang dan kontrol akses ketat dipake. Record akuntansi kurang valuable (dan karena itu kurang sensitif), jadi kontrol akses ga seketat itu bakal dipake buat dokumen-dokumen ini. Atau, misalnya, pemerintah pake sistem rating klasifikasi sensitivitas (top-secret, classified, unclassified).
Integrity
Elemen integrity di CIA Triad itu kondisi di mana informasi dijaga tetep akurat dan konsisten kecuali perubahan yang sah dibikin. Mungkin aja informasi berubah gara-gara akses dan penggunaan yang ceroboh, error di sistem informasi, atau akses dan penggunaan yang ga sah. Di CIA Triad, integrity dijaga pas informasi tetep ga berubah selama penyimpanan, transmisi, dan penggunaan yang ga ngelibatin modifikasi informasi. Langkah-langkah harus dilakuin buat mastiin data ga bisa diubah sama orang yang ga sah (misalnya, dalam kasus breach of confidentiality).
Banyak pertahanan buat mastiin integrity bisa dipasang. Kontrol akses dan autentikasi yang ketat bisa ngebantu nyegah user yang sah dari bikin perubahan yang ga sah. Verifikasi hash dan digital signature bisa ngebantu mastiin transaksi itu autentik dan file ga dimodifikasi atau rusak.
Availability
Biar data berguna, data itu harus available dan bisa diakses sama user.
Kekhawatiran utama di CIA Triad itu informasi harus available pas user yang sah butuh akses.
Availability sering banget jadi patokan kunci buat organisasi. Misalnya, punya uptime 99.99% di website atau sistem mereka (ini ditetapin di Service Level Agreements). Pas sistem ga available, seringnya ngerusak reputasi organisasi dan kehilangan finansial. Availability dicapai lewat kombinasi banyak elemen, termasuk:
- Punya hardware yang reliable dan dites dengan baik buat server teknologi informasi mereka (kaya server yang punya reputasi bagus)
- Punya teknologi dan layanan redundant buat jaga-jaga kalo primary-nya gagal
- Implementasi protokol keamanan yang mumpuni buat ngelindungin teknologi dan layanan dari serangan
Penting banget buat ngatur dan nentuin level-level akses yang beda ke sistem teknologi informasi yang dibutuhin orang-orang. Level akses yang dikasih ke orang-orang ditentuin sama dua faktor utama:
- Peran/fungsi orang itu di organisasi
- Seberapa sensitif informasi yang disimpen di sistem
Dua konsep penting dipake buat ngasih dan ngatur hak akses orang-orang: Privileged Identity Management (PIM) dan Privileged Access Management (atau PAM aja biar pendek).
Awalnya, dua konsep ini bisa keliatan kaya tumpang tindih; tapi, sebenernya beda satu sama lain. PIM dipake buat nerjemahin peran user di organisasi jadi peran akses di sistem. Nah kalo PAM itu manajemen dari privilege yang peran akses sistem punya, dan lain-lain.
Yang penting pas ngomongin privilege dan kontrol akses itu prinsip least privilege. Simpelnya, user harus dikasih privilege paling minim, dan cuma yang bener-bener dibutuhin buat mereka ngerjain tugas. Orang lain harus bisa percaya sama apa yang orang-orang tulis.
Kaya yang udah gua sebutin sebelumnya, PAM itu bukan cuma ngasih akses doang. PAM juga termasuk mastiin security policy jalan kaya manajemen password, policy audit, dan ngecilin attack surface sistem.
Sebelum bahas model keamanan lebih jauh, yuk kita inget lagi tiga elemen dari CIA Triad: Confidentiality, Integrity dan Availability. Kita udah pernah ngejelasin elemen-elemen ini dan pentingnya kaya apa. Tapi, ada cara formal buat mastiin itu semua tercapai.
Menurut security model, sistem atau teknologi apapun yang nyimpen informasi itu disebut information system, dan ini cara kita bakal nyebut sistem dan perangkat di task ini.
Ini dia beberapa model keamanan yang populer dan efektif yang dipake buat mastiin tiga elemen CIA Triad tercapai.
Model Bell-La Padula
Model Bell-La Padula dipake buat mastiin confidentiality. Model ini punya beberapa asumsi, mirip struktur hierarki organisasi yang dipake di dalamnya, di mana tanggung jawab/peran tiap orang udah jelas banget.
Cara kerja model ini itu dengan ngasih akses ke bagian-bagian data (yang disebut objects) berdasarkan prinsip strictly need to know. Model ini pake aturan “no write down, no read up”.
| Kelebihan | Kekurangan |
|---|---|
| Policy di model ini bisa direplikasi ke hierarki organisasi di dunia nyata (dan sebaliknya) | Walaupun user ga punya akses ke object, mereka bakal tau keberadaannya – jadi ga confidential dalam aspek itu. |
| Simpel buat diimplementasiin dan dipahamin, dan udah terbukti sukses. | Model ini ngandelin kepercayaan yang gede banget di dalam organisasi. |
Model Bell LaPadula itu populer di organisasi kaya pemerintahan dan militer. Soalnya, orang-orang di organisasi model begini biasanya udah pada di-vetting dulu. Vetting itu macem proses saringan, buat ngecek latar belakang pelamar, biar tau nih orang ada risiko buat organisasi apa nggak. Makanya, yang udah lolos vetting ya dianggap udah amanah, bisa dipercaya – nah model ini pas banget dah buat yang gitu-gituan.
Model Biba
Model Biba ini nih, bisa dibilang ya, semacem kembarannya Model Bell-La Padula, tapi spesial buat jaga integrity-nya CIA triad.
Model ini punya aturan khusus buat objects (data) sama subjects (user), gampangnya gini dah: “no write up, no read down“. Maksudnya aturan ini, subjects boleh banget bikin atau nulis konten ke objects yang levelnya sama atau di bawah dia, tapi cuma boleh baca isi objects yang levelnya lebih tinggi dari si subject.
Nih, biar lebih jelas, kita liat aja perbandingan kelebihan sama kekurangan model ini di tabel bawah:
| Kelebihan | Kekurangan |
|---|---|
| Model ini mah gampang banget diimplementasiin. | Ntar level akses sama objects jadi bejibun. Kalo kontrol keamanannya dipasang, suka ada aja yang kelewat saking banyaknya. |
| Mantapnya, model ini bisa ngatasi kekurangan Model Bell-La Padula, urusan confidentiality sama data integrity kelar semua. | Kadang malah bikin ribet urusan bisnis. Misal nih, dokter jadi gak bisa baca catatan perawat di rumah sakit, gara-gara model beginian. |
Model Biba ini kepake di organisasi atau situasi yang ngeprioritasin integrity dibandingin confidentiality. Contohnya nih, di pengembangan software, developer mungkin cuma dikasih akses ke kode yang emang mereka butuhin buat kerjaan mereka. Mereka bisa jadi ga perlu akses ke informasi penting kaya database, dan lain-lain.
Threat modelling itu proses buat ngecek lagi, benerin, sama ngetes protokol keamanan yang ada di infrastruktur dan layanan teknologi informasi organisasi.
Tahap penting banget dari threat modelling itu nyari tau ancaman-ancaman yang mungkin bakal dihadepin aplikasi atau sistem, celah-celah lemah yang mungkin ada di sistem atau aplikasi.
Proses threat modelling ini mirip banget sama risk assessment yang biasa dilakuin di tempat kerja buat karyawan sama pelanggan. Prinsipnya tetep sama:
- Persiapan
- Identifikasi
- Mitigasi
- Review
Tapi ya, emang prosesnya ribet dan butuh di-review terus-terusan dan didiskusiin sama tim khusus. Threat model yang efektif itu harus punya:
- Threat intelligence
- Identifikasi aset
- Kemampuan mitigasi
- Risk assessment
Biar gampang, ada juga framework kaya STRIDE (Spoofing identity, Tampering with data, Repudiation threats, Information disclosure, Denial of Service dan Elevation of privileges) sama PASTA (Process for Attack Simulation and Threat Analysis). Nih, kita bahas STRIDE lebih detail. STRIDE, yang dibikin sama dua peneliti keamanan dari Microsoft taun 1999, sampe sekarang juga masih kepake banget. STRIDE punya enam prinsip utama, yang udah gua jelasin di tabel di bawah ini:
| Prinsip | Deskripsi |
|---|---|
| Spoofing | Prinsip ini ngeharusin lu buat otentikasi permintaan dan user yang ngakses sistem. Spoofing itu pas pihak jahat nyamar jadi orang lain. Kunci akses (kaya API keys) atau tanda tangan lewat enkripsi ngebantu ngatasin ancaman ini. |
| Tampering | Dengan nyediain langkah-langkah anti-tampering ke sistem atau aplikasi, lu ngebantu nyediain integrity ke data. Data yang diakses harus dijaga tetep utuh dan akurat. Contohnya, toko-toko pake segel di produk makanan. |
| Repudiation | Prinsip ini nentuin penggunaan layanan kaya logging aktivitas buat sistem atau aplikasi buat ngelacak. |
| Information Disclosure | Aplikasi atau layanan yang ngurus informasi banyak user harus dikonfigurasi dengan bener biar cuma nampilin informasi yang relevan buat pemiliknya. |
| Denial of Service | Aplikasi dan layanan pake sumber daya sistem, dua hal ini harus punya langkah-langkah biar penyalahgunaan aplikasi/layanan ga bikin sistem down total. |
| Elevation of Privilege | Ini skenario paling parah buat aplikasi atau layanan. Maksudnya, user bisa naikin otorisasi mereka jadi level yang lebih tinggi, misal jadi administrator. Skenario ini seringnya malah jadi eksploitasi lebih lanjut atau kebocoran informasi. |
Kebobolan keamanan itu namanya insiden. Dan biarpun threat model udah super ketat dan desain sistem udah secure, insiden tetep aja kejadian. Tindakan yang dilakuin buat nyelesaiin dan ngatasin ancaman itu namanya Incident Response (IR), dan ini udah jadi jalur karir sendiri di cybersecurity.
Insiden itu diklasifikasiin pake rating urgensi dan dampak. Urgensi ditentuin sama jenis serangan yang dihadepin, kalo dampak ditentuin sama sistem yang kena dan dampaknya ke operasional bisnis.
Kalo ada insiden, yang turun tangan itu namanya Computer Security Incident Response Team (CSIRT). CSIRT ini tim yang udah dibentuk duluan, isinya karyawan-karyawan yang jago IT dan ngerti banget soal sistem atau insiden yang lagi kejadian. Biar insidennya kelar dengan sukses, biasanya ada langkah-langkah yang disebut enam fase Incident Response, nih daftarnya di tabel bawah ini:
| Aksi | Deskripsi |
|---|---|
| Persiapan | Kita udah punya belum sih resources sama rencana buat ngadepin insiden keamanan? |
| Identifikasi | Ancaman sama aktor ancamannya udah berhasil diidentifikasi dengan bener belum nih biar kita bisa kasih respons yang pas? |
| Penanggulangan | Ancaman/insiden keamanan ini bisa ditanggulangin gak ya biar sistem atau user lain ga kena imbasnya? |
| Pemberantasan | Berantas tuntas ancaman aktifnya. |
| Pemulihan | Lakuin review total sistem yang kena imbasnya biar operasional bisnis bisa balik normal lagi. |
| Pelajaran | Apa nih yang bisa dipelajarin dari insiden ini? Misal, kalo gara-gara email phishing, karyawan harus dilatih lagi biar lebih jago ngenalin email phishing. |
