LAN Security(Chapter 8)

Kemananan LAN

Rama Bagus S.P.         15511/XII TKJ B
Rizqi Apriandi             15514/XII TKJ B

Panduan LAN

Hal ini sering sulit untuk membedakan mana server individu berakhir dan jaringan dimulai.

Beberapa NOS dapat dikonfigurasi sehingga pengguna akhir masuk ke domain untuk mengakses

sumber daya jaringan. Untuk NOS lainnya, pengguna masuk ke server. Dalam kasus yang terakhir,

server adalah jaringan. Akibatnya, banyak dari apa yang dibahas di Bab 7 mengenai keamanan sistem

juga dapat dikaitkan dengan keamanan LAN / WAN. Pastinya diskusi yang mencakup panduan untuk

password dapat diterapkan secara langsung ke otentikasi jaringan. Sebaliknya, banyak dari apa yang

akan dibahas dalam bab ini juga dapat diterapkan pada keamanan sistem.

Kontrol & User Access

Membuat akun dan menugaskan kata sandi hanyalah bagian kecil yang memberi seseorang akses

ke jaringan. Seorang administrator jaringan juga harus menentukan parameter akun lainnya seperti

ketika pengguna akhir dapat mengakses jaringan, kelompok pengguna mana yang terkait dengannya,

file apa yang dapat diaksesnya, dan keterbatasan sumber daya jaringan dan server.

Login serentak

Pertimbangan harus diberikan untuk membatasi masuk bersamaan untuk pengguna akhir.

Dengan kata lain, pengguna tidak boleh diizinkan masuk secara bersamaan. Begitu pengguna akhir

masuk ke jaringan, mereka seharusnya tidak dapat masuk ke tempat lain tanpa terlebih dahulu keluar

dari tempat mereka masuk. Satu-satunya pengecualian pada peraturan ini adalah administrator LAN

dan cadangannya. Sementara saya menyadari bahwa hal ini dapat menyebabkan masalah operasional

bagi beberapa pengguna, namun ada beberapa alasan untuk membatasi masuknya akun secara

bersamaan. Pertama, menghemat sumber daya jaringan, seperti memori dan lisensi.

Hal ini juga dapat mencegah penggunaan akun yang tidak sah, selama pengguna masuk. Hal ini juga

mencegah pengguna lupa log out. Bila Anda mengizinkan masuk secara serentak, pengguna akhir

sering kehilangan jejak saat mereka masuk dan lupa untuk masuk ke mana saja. Pengguna dapat

membiarkan dirinya masuk ke jaringan di workstation bahkan tanpa menyadarinya. Mereka membuka

jendela kerentanan terhadap jaringan dan diri mereka sendiri saat mereka meninggalkan akun yang

masuk.

Salah satu solusi untuk masalah ini adalah menerapkan proses yang secara otomatis mematikan

pengguna yang tidak aktif. Ada juga sistem yang membekukan workstation atau mengunci keyboard

pada sesi tidak aktif, setelah jangka waktu tertentu. Untuk melepaskan kunci keyboard pengguna

harus memasukkan password.

Sistem operasi tertentu memberikan beberapa kemampuan terbatas untuk mengunci sistem yang

tidak aktif. Misalnya, screen saver MS Windows bisa dikonfigurasi sehingga membutuhkan password.

Ini bukan solusi yang paling aman, tapi bisa lebih baik daripada tidak sama sekali. Kelemahan utama

dari solusi ini adalah tidak ada kemampuan bagi administrator sistem untuk mengganti proteksi

password. Paket pihak ketiga biasanya menawarkan solusi yang lebih baik. Ada sistem yang tersedia

untuk sebagian besar jaringan atau sistem operasi komputer. Sistem untuk workstation klien / server

biasanya beroperasi sangat berbeda dari yang dirancang untuk sesi terminal.

Dengan workstation proses berjalan di memori. Bila tidak ada aktivitas untuk jangka waktu tertentu,

proses dapat menjalankan program time-out yang memerlukan kata sandi pengguna yang berwenang

untuk mengaktifkan kembali workstation. Bila menggunakan sesi terminal untuk sistem operasi

seperti Unix atau VMS, proses time-out biasanya merupakan bagian dari sistem menu, atau mungkin

beroperasi pada tingkat aplikasi. Akibatnya, jika Anda tidak berada dalam sistem menu atau aplikasi

tertentu, namun berfungsi pada tingkat sistem operasi, proses time-out tidak akan bekerja.

Ada program yang tersedia yang berjalan di Unix, VMS, dan sistem operasi midrange lainnya yang

mencari proses pengguna menganggur di tingkat sistem operasi dan "membunuh" mereka. Program

dirancang untuk menghentikan proses yang telah menganggur selama jangka waktu tertentu. Namun,

organisasi berisiko mengetuk pengguna akhir saat mereka menggunakan salah satu program ini.

Tersedia Disk Space

Penting untuk membatasi jumlah ruang disk yang dialokasikan ke setiap pengguna akhir.

Memberi pengguna ruang disk tak terbatas mungkin akan memerlukan pembelian kapasitas disk

tambahan. Saya telah melihat situasi di mana pengguna menabrak server karena akun mereka tidak

membatasi jumlah ruang disk yang diizinkan pengguna. Dalam satu contoh, pengguna menjalankan

laporan yang memuat file besar ke disk. Hasilnya adalah semua ruang yang tersedia dikonsumsi, dan

server jatuh. Pengguna juga harus didorong untuk membersihkan direktori mereka secara teratur.

Saya menyadari bahwa biaya komparatif untuk disk drive terus turun ke tempat biaya per megabyte

bersifat nominal, namun disk drive masih perlu dicadangkan. Proses itu memerlukan waktu dan

personil, yang dapat meningkatkan biaya operasional Anda. Mengapa perlu menambahkan file back up

yang mahal tanpa perlu kapan mereka bisa dengan mudah dihapus?

Pembatasan ke Lokasi atau Workstation

Pertimbangan harus diberikan untuk membatasi, ke workstation tertentu, pengguna akhir yang diberi

wewenang untuk memasuki transaksi sensitif atau yang melakukan pekerjaan yang sangat sensitif dan

/ atau rahasia. Sebaiknya cari stasiun di area terlarang. Tentunya, akses ke server itu sendiri harus

dibatasi ke administrator LAN dan backupnya.

Batasan Waktu / Hari

Pertimbangan harus diberikan untuk membatasi akses pengguna akhir hanya jam kerja, terutama bagi

karyawan yang diberi wewenang untuk mengakses dan menggunakan data sensitif dan / atau rahasia.

Jika seorang karyawan biasanya tidak bekerja di malam hari dan pada akhir pekan, maka kemampuan

untuk mengakses jaringan harus dibatasi untuk jangka waktu tersebut. Sebagian besar setiap sistem

operasi dan NOS memiliki kemampuan untuk membatasi akses akun ke periode waktu tertentu.

Akses ke Direktori dan Hak Wali Amanat

Pengguna hanya boleh diberi hak akses ke direktori yang mereka butuhkan untuk berfungsi. Jika

pengguna membutuhkan akses sementara ke direktori, hak akses harus dihapus saat tidak lagi

dibutuhkan. Pengguna hanya boleh diberi hak wali amanat yang mereka butuhkan untuk melakukan

pekerjaan mereka. Begitu hak tidak lagi dibutuhkan, lepaskan segera. Hak perwalian harus diaudit

secara berkala.

Atribut File

Atribut akses file, seperti membaca, menulis, mengeksekusi, dan menghapus, harus diberikan

berdasarkan kebutuhan. Selain itu, file yang berisi informasi rahasia atau sensitif harus dibatasi pada

jumlah pengguna minimum. Atribut file untuk file executable harus dibatasi. Pengguna akhir hanya

boleh membaca akses ke file yang dibutuhkan untuk berfungsi. Perhatian khusus harus diberikan pada

sistem operasi yang dapat dijalankan. Jika atribut file untuk file executable tidak dibatasi, file eksekusi

dapat dimodifikasi. Dengan atribut file yang didefinisikan secara longgar, file eksekusi penting dapat

diubah atau diganti dengan program kuda Trojan.

Hak Istimewa lainnya

Perintah jaringan dan file executable harus dibatasi untuk administrator, auditor, dan petugas

keamanan. Dengan sistem operasi tertentu, seperti Windows NT, pertimbangkan untuk mengubah

nama akun administrator menjadi sesuatu yang lain. Dengan cara tersebut hacker potensial tidak akan

mengetahui nama akun istimewa tersebut.

Salah satu hal yang paling diperhatikan oleh kebanyakan administrator sistem adalah hacker

mendapatkan akses administratif istimewa ke sistem melalui jaringan. Akun istimewa seperti

administrator untuk NT atau root untuk Unix tidak boleh masuk melalui jaringan. Akses jaringan ke

akun administratif dapat dibatasi dengan cara yang berbeda untuk sistem operasi yang berbeda.

Beberapa sistem operasi menawarkan fleksibilitas yang luar biasa untuk mengendalikan akses akun

istimewa.

Sebagai contoh, AIX, versi IBM UNIX, menawarkan beberapa fleksibilitas terbaik yang pernah saya

lihat dibangun ke dalam sistem operasi. Desain AIX membuatnya sangat mudah bahkan bagi

administrator pemula untuk mencegah hacker mendapatkan akses ke akun "root" UNIX. Hal ini

dilakukan melalui utilitas AIX System Management Interface Tool (SMIT). SMIT memungkinkan

pengguna untuk melakukan perintah administrasi dan manajemen sistem tanpa harus mengetahui

sintaks command line. Dengan menggunakan antarmuka SMIT, yang merupakan hirarki menu,

informasi dimasukkan ke dalam beberapa pilihan. Dialog kemudian mengeksekusi sebuah shell script

untuk melakukan fungsi manajemen sistem. Dengan SMIT, organisasi dapat menetapkan atribut yang

mengendalikan lingkungan untuk akun tertentu saat masuk ke sistem. Misalnya, pengguna SMIT dapat

membatasi kemampuan akun ke rlogin atau su. Mereka juga dapat mencegah seseorang memperoleh

akses melalui jaringan ke akun tertentu, seperti root, dengan membatasi kemampuan untuk masuk ke

akun root ke perangkat tertentu. Menggunakan utilitas SMIT adalah mungkin untuk membatasi akun

root ke perangkat tty tertentu. Perangkat tty memerlukan koneksi fisik yang sebenarnya ke port serial

pada sistem. Langkah-langkah untuk membatasi akun root digambarkan sebagai berikut:

1.      Masuk ke SMIT dengan mengetikkan perintah "SMIT."

2.      Pilih opsi "security & users".

3.      Kemudian pilih opsi "users".

4.      Selanjutnya pilih "change / show characteristic of a user."

5.      Anda kemudian harus memberikan nama akun. Masukkan nama akun "root".

6.      Daftar menu selanjutnya akan menampilkan atribut akun root. Panah bawah daftar sampai

       Anda mencapai atribut yang valid ttys. Di lapangan ke kanan Anda akan memasukkan tty yang

       valid untuk akun root. Misalnya, "/ dev / tty0, / dev / tty1" bisa dimasukkan di lapangan. Itu

       akan mengharuskan siapa saja yang ingin masuk ke akun root untuk menggunakan tty0 atau

       tty1.

7.      Setelah Anda masuk ke dalam perangkat tty yang Anda inginkan untuk membatasi login root,

       Anda menekan F10 untuk keluar.

Saya menjalani latihan daftar perintah ini bukan dalam upaya untuk mengajar Anda AIX, tapi untuk

menunjukkan betapa sederhananya dapat menyelesaikan tugas itu. Dengan membatasi akun root

dengan cara ini, walaupun seseorang memiliki akses ke kata sandi root, dia tidak dapat masuk ke akun

root jika dia tidak memiliki akses fisik ke perangkat tty tertentu. Seseorang pasti tidak bisa login

melalui koneksi jaringan. Membatasi akun root ke perangkat tty tertentu juga mencegah seseorang

menggunakan perintah "su" untuk beralih ke akun root. Salah satu hal yang sangat bagus tentang

konfigurasi ini adalah jika Anda mencoba masuk ke akun root melalui jaringan, Anda tidak

mendapatkan pesan kesalahan deskriptif yang menjelaskan mengapa Anda tidak dapat melakukannya.

Ini hanya tampak seolah-olah Anda memasukkan kata sandi yang salah.

Dengan Windows NT Anda tidak memiliki cukup banyak fleksibilitas, namun proses membatasi akses

jaringan ke akun administratif lebih mudah. Gambar 8.1 menunjukkan layar Kebijakan Hak Pengguna

Windows NT yang dapat ditemukan di bawah menu User Manager. Layar ini memungkinkan Anda

mengontrol apakah akun dapat mengakses sistem melalui jaringan.

Gambar 8.1: akun administrator Windows NT.

Gambar 8.1 menampilkan jendela pop-up Kebijakan Hak Pengguna, yang menunjukkan bahwa

"mengakses komputer ini dari jaringan" ditampilkan di kotak "kanan" dan akun administratif disorot.

Untuk membatasi kemampuan masuk ke akun administratif melalui jaringan, cukup sorot akun

administratif dan klik tombol "hapus". Gambar 8.2 menunjukkan layar setelah mengklik tombol hapus.

Seperti yang bisa Anda lihat, akun administratif tidak lagi memiliki hak kebijakan untuk mengakses

sistem melalui jaringan.

Sekarang ada tradeoff disini antara kenyamanan dan keamanan. Misalnya, dengan UNIX, membatasi

akses root ke perangkat tty tertentu berarti Anda harus memiliki koneksi serial ke perangkat tersebut.

Ini juga bisa menjadi ketidaknyamanan jika Anda tidak berada di salah satu perangkat yang ditentukan

dan Anda perlu mendapatkan akses root ke sistem Anda. Dengan Windows NT, yang melarang akun

administrator mengakses sistem melalui jaringan berarti Anda harus memiliki akses fisik ke server

untuk mengelola sistem. Namun, kenyataan bahwa tidak ada orang lain yang bisa mendapatkan akses

istimewa ke sistem, tanpa memiliki akses fisik ke perangkat tertentu atau sistem spesifik itu, adalah

tindakan pengamanan yang sesuai dengan ketidaknyamanannya.

Dengan beberapa sistem operasi atau lingkungan bisnis, yang melarang akses jaringan ke akun

administratif bukanlah pilihan praktis. Membatasi akses dengan cara ini tidak mungkin dilakukan

jika sistem tersebar di wilayah geografis yang luas dan jaraknya dikelola dari lokasi pusat. Namun, ada

tingkat keamanan yang tinggi yang disediakan dengan membatasi kemampuan untuk mengelola

sistem atau server dari jarak jauh melalui jaringan. Artinya, bahkan mereka yang mengetahui

administrator, supervisor, atau root password, tidak bisa login kecuali mereka memiliki akses fisik ke

sistem.

Hapus Akun Tidak Aktif

Organisasi harus meninjau akun pengguna jaringan secara reguler dan menghapus akun yang tidak lagi

diperlukan. Akun untuk pengguna atau karyawan tidak lagi dengan organisasi harus dihapus.

Perusahaan juga harus menghapus akun tidak aktif, menghapus atau menonaktifkan akun pengguna

yang belum diakses dalam tiga sampai enam bulan terakhir. Hacker sering mencoba mengeksploitasi

akun yang tidak aktif untuk memulai masuk awal ke sistem atau sebagai sarana untuk mendapatkan

akses ke jaringan lagi. Mereka tahu bahwa mereka dapat mengubah akun yang tidak aktif, dengan

mengubah kata sandinya, misalnya, tanpa takut akan perubahan yang terdeteksi oleh pengguna akun.

Selain itu, akun tamu harus dihapus dan anonim FTP harus dinonaktifkan. Dengan NT atau Netware,

organisasi harus berhati-hati terhadap hak akses yang mereka berikan ke akun tamu yang terpasang di

LAN mereka. Saat server pertama kali dibesarkan, hapus akun tamu dari grup semua orang dan buat

tugas wali amanat khusus ke akun tamu. Akun tamu seharusnya tidak memiliki hak istimewa yang

sama seperti akun normal.

Single Sign-On

Saat ini, setiap pagi saya memasukkan beberapa nama pengguna dan kata sandi untuk mendapatkan

akses ke berbagai jaringan, sistem, dan aplikasi yang saya butuhkan untuk melakukan pekerjaan saya.

Saya memiliki kata sandi untuk domain NT, kata sandi untuk server Novell, berbagai kata kunci untuk

sistem UNIX yang berbeda, kata sandi untuk e-mail, dan kata sandi untuk berbagai aplikasi.

Bab 7 membahas panduan untuk membuat kata sandi. Pedoman tersebut juga berlaku untuk

pembuatan password untuk password jaringan. Namun, memiliki begitu banyak kata sandi dapat

membingungkan pengguna akhir dan, seperti yang telah kita diskusikan, sebenarnya dapat

menciptakan kerentanan, karena satu-satunya cara pengguna akhir dapat mengingat kata kunci

adalah dengan menuliskannya. Salah satu alternatif untuk menggunakan beberapa kata sandi adalah

penggunaan single sign-on (SSO).

Dengan pengguna sistem SSO hanya diminta untuk mengotentikasi diri mereka satu kali. Setelah

pengguna mengotentikasi sistem SSO mereka, manajemen dan akses ke sumber daya jaringan lainnya,

seperti server, file, dan aplikasi.

SSO dapat dicapai dengan menggunakan beberapa pendekatan yang berbeda. Kita sudah membahas

satu sistem semacam itu secara rinci: Kerberos. Dengan pengguna Kerberos mengotentikasi diri

mereka sekali, dan akses ke semua sumber daya jaringan dikendalikan oleh server Kerberos, yang

mengeluarkan tiket atau token. Pendekatan lain terhadap SSO yang telah kita bahas adalah

menggunakan infrastruktur kunci publik yang menggunakan sertifikat digital untuk mengotentikasi

pengguna akhir dan menentukan akses jaringan. Pendekatan lainnya termasuk metadirectories atau

distributed computing environment (DCEs).

Landasan untuk metadirectories berakar pada protokol akses direktori ringan (LDAP). LDAP adalah

versi "ringan" atau tipis dari protokol akses direktori X.500.

Metadirectories dapat digunakan untuk menyinkronkan password dan atribut pengguna di antara

direktori NOS yang berbeda. DCE adalah spesifikasi berbasis Open Systems Foundation (OSF) berbasis

OSI yang membahas keamanan sistem terdistribusi di lingkungan multivendor. Hal ini mirip dengan

Kerberos dan dirancang untuk mempermudah mengotentikasi pengguna di antara sistem vendor yang

berbeda. Metadirectories, LDAP, dan DCE dibahas secara rinci nanti di bab ini.

Beberapa sistem SSO menggunakan caching password, screen scraping, atau scripting interface, yang

bertentangan dengan sistem berbasis token seperti Kerberos. Pendekatan caching password

menyimpan kata sandi dan meneruskannya dari satu antarmuka aplikasi ke aplikasi berikutnya.

Pendekatan skrap layar menggunakan karakter yang seharusnya ditampilkan di layar terminal.

Program screenshot masuk dalam karakter yang akan diketik oleh pengguna akhir di terminal.

Mereka, pada dasarnya, mensimulasikan aksi pengetikan pengguna akhir. Antarmuka skrip berfungsi

dengan cara yang sama seperti gesekan layar.

Sistem SSO dapat memungkinkan pengguna untuk memusatkan akses dan administrasi bagi pengguna

akhir, sistem, dan aplikasi. Hal ini tentu lebih efisien daripada harus menambahkan pengguna baru ke

dalam setiap sistem dan / atau aplikasi individual. SSO juga menyederhanakan proses otentikasi untuk

pengguna akhir. Pengguna akhir hanya harus mengotentikasi diri mereka sekali untuk mengakses

semua sumber daya yang tersedia bagi mereka. Proses otentikasi dapat menggunakan kombinasi

dari tiga skema dasar: sesuatu yang Anda ketahui, sesuatu yang Anda miliki, atau sesuatu yang Anda

miliki.

Namun, SSO bisa memiliki kekurangan. Jika autentikasi dikompromikan (yaitu, sandi dicuri), maka

semua sumber yang tersedia bagi pengguna akhir rentan. Selain itu, Anda harus sadar apakah ada

backup ke SSO jika sistem sedang down. Jika Anda ingat, dengan Kerberos, jika server Kerberos sedang

down maka sumber daya jaringan tidak tersedia.

Ada beberapa sistem SSO yang ada di pasaran yang bisa Anda pilih. Ada sistem yang tersedia untuk

IBM, Novell, Axent, dan Computer Associates hanya untuk beberapa nama. Ada banyak orang lain di

luar sana dan mereka semua menggunakan pendekatan yang berbeda dan menekankan aspek SSO

yang berbeda. Beberapa menekankan administrasi pusat; Yang lain menekankan keamanan,

sementara yang lain lagi menekankan penyederhanaan proses bagi pengguna akhir. Jika Anda tertarik

dengan sistem SSO, saya sarankan Anda melakukan banyak penelitian sebelum menerapkannya.

Manajemen Jaringan Berbasis Kebijakan

Salah satu alat untuk dipertimbangkan jika Anda ingin menggunakan kemampuan sign-on tunggal

adalah pendekatan manajemen berbasis kebijakan. Pendekatan pengelolaan jaringan berbasis

kebijakan menjadi semakin populer bagi organisasi dengan jaringan menengah hingga besar. Hal ini

terutama berlaku dengan rilis terbaru Windows 2000 dengan Active Directory Services (ADS).

Banyak organisasi merasa semakin sulit untuk mengelola jaringan yang menggabungkan ratusan

bahkan ribuan node yang didistribusikan di wilayah geografis yang luas. Manajemen jaringan berbasis

kebijakan adalah proses menyatukan sifat berbagai sumber daya jaringan di bawah kendali

administratif pusat. Ada beberapa tujuan sistem manajemen berbasis kebijakan. Yang pertama adalah

menyederhanakan proses manajemen jaringan. Lain adalah untuk menjamin keamanan dan integritas

jaringan melalui pengelolaan terpusat dari sumber daya jaringan terdistribusi. Manajemen berbasis

kebijakan juga memperhatikan ketersediaan sumber daya jaringan. Manajemen berbasis kebijakan

memastikan bahwa lalu lintas jaringan kritis menerima sumber daya yang diperlukan. Hal ini dicapai

dengan penggunaan kebijakan yang mengutamakan trafik jaringan, sehingga aplikasi bisnis yang

penting tidak harus bersaing untuk jaringan bandwidth dengan karyawan berselancar di internet

untuk harga saham. Manajemen berbasis kebijakan sering diterapkan untuk tujuan kualitas layanan.

Dari perspektif keamanan, manajemen berbasis kebijakan dapat memberikan kemampuan untuk

mengkonsolidasikan informasi kebijakan untuk sumber daya jaringan. Ini termasuk ACL, kepemilikan,

dan ketersediaan. Salah satu elemen kunci dari manajemen berbasis kebijakan adalah konsep layanan

direktori.

Sebuah direktori dapat dianggap sebagai daftar objek yang lengkap. Dalam bentuknya yang paling

dasar, sebuah direktori adalah gudang informasi tentang objek, seperti akun pengguna, tempat, dan

benda. Implementasi jaringan yang khas berisi sumber daya objek, seperti printer, aplikasi, database,

akun pengguna, dan server. Untuk sebuah jaringan, sebuah direktori pada dasarnya adalah sebuah

database yang menyimpan informasi tentang semua sumber daya jaringan, yang mencakup perangkat

jaringan, pengguna, kelompok, volume, dan kata sandi. Fungsi dasar dari layanan direktori adalah

kemampuan untuk mencari, memberi nama, dan berkomunikasi dengan semua sumber daya jaringan

tersebut. Direktori benar-benar hanya repositori informasi dikombinasikan dengan metode akses dan

layanan terkait. Setiap NOS mengimplementasikan beberapa bentuk layanan direktori. NOS selalu

memiliki beberapa bentuk sistem direktori untuk mengakses dan mengelola sumber daya. Jika tidak,

sumber daya jaringan tidak dapat diakses. Namun, NOS yang berbeda telah menyimpan informasi

direktori dalam berbagai format proprietary. Ini telah menjadi kendala utama bagi berbagai NOS untuk

dapat berbagi informasi layanan direktori.

Pada akhir 1980an, standar X.500 Directory Access Protocol (DAP) dikembangkan dalam upaya untuk

menciptakan dan mengintegrasikan layanan direktori universal. Spesifikasi protokol berbasis OSI

menyediakan aplikasi klien dengan cara mengakses dan menukar informasi direktori. Ini adalah upaya

untuk menggabungkan layanan direktori yang berbeda dan eksklusif. Spesifikasi DCE merupakan hasil

dari X.500. Sayangnya, karena kedua X.500 dan DCE keduanya berbasis OSI, mereka tidak pernah

benar-benar mengalami penerimaan yang luas. Seperti OSI, mereka tidak praktis dan monolitik dalam

pendekatan di sana. Mereka adalah contoh penerapan ide bagus yang buruk.

Perkembangan yang lebih baru adalah LDAP, versi slimmed-down X.500 DAP. LDAP berfokus hanya

pada protokol yang digunakan aplikasi klien untuk mengakses direktori dan tidak menyertakan semua

biaya overhead yang terkait dengan X.500. LDAP mewakili penyebut informasi direktori layanan yang

paling tidak umum. LDAP didukung dalam berbagai aplikasi klien dan menawarkan cara yang umum

untuk mencari informasi dari direktori X.500 atau direktori yang mendukung standar LDAP.

Ada beberapa masalah keamanan dengan versi awal LDAP karena mereka menggunakan mekanisme

otentikasi kata kunci cleartext. Risiko yang terkait dengan kata kunci hapus jelas sudah jelas. LDAP

versi 3 menyertakan ekstensi untuk Transport Layer Security (TLS), yang menentukan skema keamanan

yang memanfaatkan teknologi SSL. Ini mengurangi risiko yang terkait dengan transmisi kata kunci

cleartext.

Ada sejumlah produk jaringan layanan direktori yang ada di pasaran. Ada yang kompatibel dengan

X.500 dan / atau LDAP, dan ada juga yang tidak. Ada yang memudarnya teknologi, dan beberapa

diantaranya adalah bintang yang sedang terbit. Misalnya, ada Talk Street Banyan, Sun's NIS

(Network Information Service), dan implementasi DCE IBM. Ini termasuk kategori produk memudar,

yang menggunakan teknologi lama.

Produk lainnya termasuk Novell Directory Services (NDS), Netscape's Directory Server, dan Microsoft

Active Directory. Ketiga produk ini mendukung spesifikasi LDAP. Netscape saat ini hanya pemain

marjinal dalam perang layanan direktori. Karena itu mungkin sudah terlambat baginya untuk

membangun momentum bagi produknya. NDS, yang paling matang dan mungkin yang paling kuat dari

ketiganya, menyediakan repositori untuk informasi tentang pengguna, kata sandi, grup, server, volume,

dan aplikasi. Dalam banyak hal, Novell menjepit masa depannya sebagai perusahaan di NDS, yang

diadopsi oleh banyak vendor dan merupakan layanan direktori jaringan yang paling banyak

diimplementasikan. Ada versi NDS untuk Netware, Sun Solaris dan varietas Unix dan Linux lainnya,

dan sistem operasi AS / 400 IBM. NDS juga akan berinteraksi dengan Microsoft Active Directory. Selain

itu, Cisco akan mendukung NDS dalam perangkat lunak Sistem Pengoperasian Internetworking (IOS)

untuk router dan switch. Cisco juga berkomitmen untuk mendukung Active Directory Microsoft di

iOS-nya.

Active Directory baru saja dirilis, dan akibatnya, ia memiliki sejumlah bug untuk dikerjakan. Novell

menghadapi masalah yang sama saat pertama kali merilis NDS. Active Directory Microsoft memang

mendukung LDAP. Namun, dengan pengecualian IOS Cisco, belum ada yang terburu-buru oleh vendor

lain untuk mengimplementasikan Active Directory.

Produk yang tercantum di atas sama sekali bukan daftar lengkap dari produk direktori sistem jaringan

yang tersedia. Produk ini menawarkan kemampuan untuk menghubungkan berbagai layanan direktori

secara bersamaan ke tingkat yang berbeda-beda, namun tidak ada yang menawarkan kemampuan

untuk menangani direktori yang berbeda dan terputus dari keseluruhan satu organisasi ke ujung

lainnya. Konsep yang relatif baru muncul dalam beberapa tahun terakhir adalah metadirectory.

Istilah layanan metadirectory mengacu pada kategori alat direktur perusahaan yang mengintegrasikan

direktori terputus yang ada. Metadirectories menyelesaikan hal ini dengan mengatasi masalah teknis

dan proses yang terkait dengan integrasi sistem dan arsitektur yang tidak sama dan tidak terkait.

Sementara Novell dan Microsoft keduanya menggunakan sistem direktori mereka sebagai

metadirectories, mereka sebenarnya adalah "sistem jaringan" saja. Memang benar bahwa mereka

terhubung ke direktori lain melalui LDAP, namun tidak benar-benar sesuai dengan definisi

metadirectory - terutama karena sistem yang saling terkait serupa dan, sementara membahas

masalah teknis, mereka tidak menangani pengelolaan proses.

Daya tarik metadirectori adalah bahwa mereka menawarkan kemampuan untuk berbagi informasi

yang umum bagi semua subdirektori lainnya, terlepas dari platform atau arsitekturnya. Selain

mengurangi biaya pengelolaan, ini juga menjamin integritas data di seluruh perusahaan.

Metadirectory yang ideal memungkinkan administrator melakukan perubahan dalam satu direktori

dan memperbaharui atau menyebarkannya di semua direktori sistem dan aplikasi. Metadirectory

pada akhirnya akan memberikan pendekatan terpusat ini, sementara membiarkan pemilik informasi

mempertahankan kontrol atas direktori mereka sendiri.

Sebagai contoh, ketika sebuah perusahaan yang menggunakan sistem metadirectory mempekerjakan

karyawan baru, informasi untuk karyawan baru tersebut akan dimasukkan ke dalam sistem

manajemen sumber daya manusia (HRMS), dan itu akan menyebar ke layanan direktori lain yang

menciptakan login jaringan, sebuah e -mail account, dan akses ke berbagai aplikasi. Bahkan PBX

organisasi, membangun sistem keamanan, dan alokasi tempat parkir akan disinkronkan oleh

metadirectory; Sebenarnya, semua direktori perusahaan akan disinkronkan. Informasi dimasukkan

secara lokal, namun tingkat akses untuk setiap sistem dikendalikan secara terpusat oleh metadirectory.

Karena sifat hirarkis mereka, direktori sangat efisien dalam memberikan jawaban cepat atas

pertanyaan. Hal ini membuat direktori sesuai dengan skenario manajemen berbasis kebijakan.

Namun, direktori sama sekali bukan satu-satunya pilihan. Struktur database adalah alternatif yang

tepat dalam keadaan tertentu. Arsitektur database memang memiliki keterbatasan skalabilitas yang

melekat. Selain itu, ada keuntungan untuk proses sinkronisasi dengan direktori selama proses replikasi

yang dibutuhkan saat menggunakan database.

Replikasi membutuhkan tingkat keseragaman dan integrasi antar server yang jauh lebih tinggi. Agar

replikasi database menjadi sukses, server juga perlu untuk antarmuka jauh lebih erat. Ini menyiratkan

bahwa tingkat kepercayaan yang lebih tinggi antara server diperlukan, yang dapat memiliki implikasi

keamanan. Sebaliknya, proses sinkronisasi lebih sesuai dengan melakukan ekspor file. Server hanya

membuang file flat.

Salah satu kemungkinan aplikasi untuk layanan direktori akan berada di area pengelolaan keamanan

jaringan dan penyimpanan sertifikat digital. Banyak pengamat melihat layanan direktori secara umum

dan metadirectori khususnya sebagai sarana untuk mengelola infrastruktur kunci publik sebuah

organisasi. Bab 3 membahas manfaat infrastruktur kunci publik X.509. Namun, agar efektif, sertifikat

digital memerlukan proses distribusi. Sebuah metadirectory menawarkan kemampuan ini. Satu

perusahaan, Texas Instruments, saat ini menggunakan direktori X.500 / LDAP untuk menyimpan

sertifikat X.509.

Sementara manajemen berbasis kebijakan bisa memiliki kelebihan juga memiliki risiko. Ketika

Windows 2000 pertama kali dirilis ada banyak perdebatan tentang keamanan Active Directory.

Saat menggunakan Active Directory Services, ada bahaya yang terkait dengan kebijakan yang

didefinisikan secara longgar atau pemberian hak administratif yang luas kepada manajer dan

administrator, yang dapat menyebabkan lubang menganga dalam keamanan jaringan organisasi.

Paling tidak hal itu bisa mengakibatkan potensi paparan informasi rahasia. Karena desain Active

Directory, administrator yang telah dibatasi untuk mengakses objek jaringan tertentu dapat

benar-benar mengambil alih kepemilikan objek yang dibatasi dengan beberapa klik mouse. Tanggapan

Microsoft terhadap kelemahan tersebut adalah untuk merekomendasikan agar beberapa domain

diterapkan dengan Active Directory, yang mengalahkan tujuan penerapan layanan direktori. Sangat

lucu untuk dicatat bahwa tanggapan awal Microsoft terhadap kekurangan itu adalah menyebutnya

"fitur" dari Active Directory. Saya kira memang benar bahwa bug perangkat lunak yang cukup canggih

menjadi fitur.

Namun, Active Directory tidak sendirian dalam mengandung risiko yang terkait dengan kebijakan yang

didefinisikan secara longgar. Bahaya yang sama dikaitkan dengan sistem berbasis kebijakan dan dapat

diakibatkan oleh kebijakan yang kurang terdefinisi atau dilaksanakan dengan baik. Dengan Active

Directory, risikonya diperkuat oleh kekhawatiran bahwa organisasi akan berusaha menerapkannya

dengan hak istimewa seluas yang sama sehingga mereka telah menerapkan domain NT. Domain

Active Directory dan NT adalah dua sistem yang sama sekali berbeda dengan pendekatan keamanan

yang berbeda dan menerapkannya dengan cara yang sama dapat menimbulkan bencana.

Segmentasi Lalu Lintas LAN

Ethernet adalah protokol LAN yang paling sering diimplementasikan. Dengan protokol Ethernet,

perangkat pada segmen jaringan dapat memantau komunikasi antara perangkat lain pada segmen

jaringan yang sama. Bila memungkinkan, organisasi harus menyegmentasikan jaringan mereka untuk

tujuan keamanan dan kinerja. Jaringan segmentasi mencegah paket melewati seluruh jaringan.

Segmentasi jaringan adalah proses memisahkan jaringan besar menjadi beberapa jaringan yang lebih

kecil. Hal ini bisa dilakukan dengan mengelompokkan yang terkait

pengguna bersama di hub atau perangkat jaringan sejenis. Hub adalah perangkat jaringan dengan

beberapa port tempat perangkat jaringan lainnya tersambung. Sebuah hub bertindak sebagai saluran

untuk paket yang bepergian dari satu perangkat ke perangkat lainnya. Ketika sebuah paket tiba di satu

port, port tersebut disalin ke port lain, sehingga semua segmen LAN dapat melihat semua paket.

Ada keuntungan kinerja untuk pendekatan ini, karena paket tetap berada dalam segmen dan tidak

melintasi keseluruhan jaringan. Segmentasi jaringan mengurangi lalu lintas di seluruh jaringan dan

mengurangi jarak fisik yang harus ditempuh paket. Keamanan berasal dari kenyataan bahwa perlu

adanya akses fisik ke segmen untuk mengendus paket segmen tertentu. Tanpa segmentasi jaringan,

semua lalu lintas jaringan tersedia untuk sniffer jaringan.

Sebagai alternatif hub standar, pertimbangkan untuk menggunakan switch Ethernet, yang juga

disebut switching hubs. Switching hub digunakan untuk Ethernet yang diaktifkan. Switched Ethernet

menyediakan throughput yang sama seperti Ethernet standar (10 Mbps) atau Fast Ethernet (100 Mbps)

namun menggunakan apa yang disebut sebagai mikrosegmentasi. Switched Ethernet menetapkan

koneksi khusus virtual antar perangkat. Yang diuntungkan ke Switched Ethernet adalah koneksi khusus

membatasi siapa yang dapat melihat lalu lintas. Ini meningkatkan throughput jaringan, karena paket

hanya diteruskan ke port yang dibutuhkan dan tidak ke semua port. Hal ini dapat dilakukan untuk

mengganti hub Ethernet tradisional dengan switch Ethernet. Trade-off adalah switch Ethernet lebih

mahal daripada hub Ethernet tradisional.

Sistem Honeypot

Salah satu teknik yang digunakan banyak administrator adalah penggunaan sistem "honeypot".

Honeypots adalah umpan atau sistem umpan. Mereka pada dasarnya adalah sistem penipuan yang

berisi layanan palsu, file, dan aplikasi yang dirancang untuk meniru lubang yang terkenal dengan

tujuan menjebak hacker. Mereka dirancang untuk menarik hacker, maka namanya "honeypot."

Honeypot ini dimaksudkan untuk membuat hacker percaya bahwa mereka telah menemukan sistem

yang sebenarnya. Sistem ini dirancang untuk memancing hacker ke jaringan "aman" atau server yang

meniru aplikasi atau informasi penting. Saat si hacker memasuki honeypot, perangkap itu muncul dan

alarmnya terdengar. Agar bisa bekerja dengan baik, sistem harus cukup menarik untuk menempati

hacker cukup lama sehingga administrator keamanan bisa melacak hacker.

Honeypots biasanya digunakan bersamaan dengan IDS. Akibatnya, perusahaan seperti Cisco dan

Network Associates menawarkannya sebagai bagian dari produk IDS mereka. Network Associates

'CyberCop Sting sebenarnya mensimulasikan keseluruhan jaringan dengan beberapa router dan

sistem host. Apa yang tampak seperti keseluruhan jaringan sebenarnya adalah perangkat lunak

yberCop yang berjalan di satu workstation. Perangkat lunak ini dirancang untuk memantau dan

melaporkan aktivitas apapun ke perangkat simulasi pada jaringan fiktif. IDS dibahas secara lebih rinci

di Bab 15. Ada juga program freeware open source, yang dengan tepat menyebutkan Deception

ToolKit, tersedia dari Fred Cohen & Associates di http://www.all.net/dtk/. The Deception ToolKit

membutuhkan kompiler C. Ini juga mengharuskan sistem yang Anda inginkan untuk menjalankannya

juga menjalankan rapper TCPW.

Alamat IP Statis Vs Dynamic Host Configuration Protocol (DHCP)

DHCP memungkinkan administrator jaringan untuk mengelola dan mengotomatisasi penugasan

alamat IP untuk jaringan organisasi secara terpusat. Ini berarti bahwa komputer dengan klien DHCP

dapat secara dinamis mendapatkan alamat IP dari server jauh (server DHCP). Setiap kali Workstation

log ke jaringan itu diberi alamat IP. Alternatif lain adalah dengan menggunakan alamat IP statis yang

telah ditetapkan sebelumnya yang masing-masing sistem dikonfigurasikan secara individual untuk

digunakan. Banyak organisasi yang menerapkan TCP / IP untuk jaringan perusahaan internal juga

menggunakan DHCP untuk penetapan alamat IP dibandingkan dengan menggunakan alamat IP statis.

Hal ini terutama terjadi jika jaringan organisasi memiliki banyak simpul.

Keunggulan utama DHCP termasuk kesederhanaan konfigurasi untuk klien, penetapan alamat IP yang

lebih efisien, dan kemudahan administrasi. Dengan administrator DHCP tidak perlu repot-repot

mengonfigurasi setiap workstation individual dengan berbagai alamat IP, karena DHCP akan

melakukannya secara otomatis saat pengguna akhir memasang booting di jaringan. Karena penugasan

alamat IP bersifat dinamis dan sementara, administrator tidak perlu lagi khawatir untuk melacak

alamat IP yang telah ditetapkan dan alamat IP mana yang tersedia karena sistem pensiunan. Selain itu,

DHCP sangat ideal bila ada lebih banyak node atau sistem daripada alamat IP.

Kelemahan utama DHCP adalah bahwa penugasan alamat IP bersifat sementara. Dari sisi keamanan

ini bisa membuat sistem identifikasi sulit. Saya telah bekerja di lingkungan di mana DHCP bekerja di

jaringan perusahaan. Pada satu organisasi tempat saya bekerja di semua unit bisnis kecuali unit kerja

khusus saya menggunakan DHCP. Unit kerja saya menggunakan alamat IP statis. Kami melakukan ini

untuk menggunakan alamat IP untuk mengendalikan dan memantau akses ke sistem pusat kami.

Menggunakan alamat IP statis memudahkan identifikasi alamat IP asing yang mencoba mengakses

sistem kami. Ketika file log kami menunjukkan bahwa alamat IP yang tidak sah telah mencoba

mengakses sistem kami, kami jarang dapat melacak penyebabnya, karena DHCP dipekerjakan.

Lingkungan adalah jaringan besar dengan puluhan ribu node, dengan banyak subnet tersebar di

wilayah geografis yang sangat luas. Yang terbaik yang bisa kita lakukan adalah mempersempitnya

ke bangunan tertentu atau kadang lantai tertentu di bangunan di fasilitas tertentu.

Saya membahas situasi ini dengan Tim Perlindungan Informasi organisasi, polisi komputer untuk

perusahaan, dan mereka sepakat bahwa DHCP memang menghadirkan beberapa masalah.

Namun, perasaan umum adalah bahwa, dari sudut pandang administratif, kelebihannya jauh melebihi

kerugiannya.

Ada alternatif lain untuk DHCP, seperti Reverse Address Resolution Protocol (RARP) atau Bootstrap

Protocol (BOOTP), yang pada dasarnya berfungsi dengan cara yang sama. Protokol ini hampir tidak

ada di lingkungan perusahaan, namun mungkin Anda merasa mereka bekerja di lingkungan akademis.

Jika Anda bekerja di lingkungan yang menggunakan DHCP di jaringan, Anda perlu

mempertimbangkannya. Hal ini terutama berlaku jika Anda melakukan penyaringan berdasarkan

alamat IP. Penyaringan dapat dilakukan di router, melalui filter protokol seperti TCPWrapper, atau

bahkan pada tingkat aplikasi. Anda bisa menetapkan serangkaian alamat IP ke grup menggunakan

DHCP, jadi jika Anda membatasi akses berdasarkan alamat IP, Anda tidak perlu menggunakan

alamat statis-cukup merencanakannya.

1.