penetration test

penetration test

uji penetrasi pentest  adalah metode mengevaluasi keamanan dari suatu sistem komputer atau jaringandengan mensimulasikan serangan dari luar berbahaya (yang tidak memiliki sarana berwenang mengakses sistem organisasi) dan dalam berbahaya (yang memiliki beberapa tingkat berwenang akses). Proses ini melibatkan analisis aktif dari sistem untuk setiap kerentanan potensial yang dapat hasil dari miskin atau konfigurasi sistem yang tidak benar, baik dikenal dan tidak dikenal hardware atau software kekurangan, atau kelemahan operasional dalam proses atau penanggulangan teknis. Analisis ini dilakukan dari posisi penyerang potensial dan dapat melibatkan eksploitasi aktif dari kerentanan keamanan.

Tes penetrasi sangat berharga karena beberapa alasan:

1.   Menentukan kelayakan set tertentu dari vektor serangan

2.   Mengidentifikasi berisiko tinggi kerentanan yang dihasilkan dari kombinasi rendah-risiko kerentanan dieksploitasi dalam urutan tertentu

3.   Mengidentifikasi kerentanan yang mungkin sulit atau tidak mungkin untuk mendeteksi dengan jaringan otomatis atau aplikasi perangkat lunak kerentanan pemindaian

4.   Menilai besarnya potensi bisnis dan dampak operasional serangan sukses

5.   Pengujian kemampuan pembela jaringan untuk berhasil mendeteksi dan merespon serangan

6.   Memberikan bukti untuk mendukung peningkatan investasi dalam aparat keamanan dan teknologi

Tes penetrasi adalah komponen penuh audit keamanan .  Sebagai contoh, Industri Kartu Pembayaran Standar Keamanan Data(PCI DSS), dan standar keamanan dan audit, membutuhkan pengujian penetrasi baik tahunan dan berkelanjutan (setelah perubahan sistem) .

Isi   [ sembunyikan ]  ·         1 Kotak hitam vs kotak putih ·         2 Dasar Pemikiran ·         3 Resiko ·         4 Metodologi ·         5 Standar dan sertifikasi ·         6 aplikasi Web pengujian penetrasi ·         7 Lihat juga ·         8 Referensi ·         9 Pranala luar

Kotak hitam vs kotak putih

Uji penetrasi dapat dilakukan dalam beberapa cara. Perbedaan yang paling umum adalah jumlah pengetahuan tentang rincian pelaksanaan sistem sedang diuji yang tersedia untuk penguji. pengujian kotak hitam tidak menganggap pengetahuan sebelumnya dari infrastruktur yang akan diuji. Para penguji harus terlebih dahulu menentukan lokasi dan luasnya sistem sebelum memulai analisis mereka. Di ujung lain dari spektrum, pengujian kotak putih memberikan penguji dengan pengetahuan lengkap tentang infrastruktur yang akan diuji, sering termasuk diagram jaringan, source code, dan informasi pengalamatan IP. Ada juga beberapa variasi di antara, sering dikenal sebagai tes kotak abu-abu . Uji penetrasi juga dapat digambarkan sebagai "pengungkapan penuh" (kotak putih), "pengungkapan parsial" (abu-abu box), atau "buta" (kotak hitam) tes berdasarkan jumlah informasi yang diberikan kepada pihak pengujian. 

Manfaat relatif dari pendekatan ini diperdebatkan. Pengujian kotak hitam mensimulasikan serangan dari seseorang yang belum terbiasa dengan sistem. Pengujian kotak putih mensimulasikan apa yang mungkin terjadi selama "pekerjaan orang dalam" atau setelah "kebocoran" informasi sensitif, di mana penyerang memiliki akses ke kode sumber, layout jaringan, dan mungkin bahkan beberapa password.

Layanan yang ditawarkan oleh perusahaan pengujian penetrasi span kisaran yang sama, dari hasil scan sederhana dari sebuah organisasi alamat IP ruang untuk port terbuka dan spanduk identifikasi audit penuh kode sumber untuk aplikasi.

Dasar Pemikiran

Sebuah tes penetrasi harus dilakukan pada setiap sistem komputer yang akan digunakan dalam lingkungan yang tidak bersahabat, khususnya dalam internet situs dihadapi, sebelum digunakan. Ini memberikan tingkat jaminan praktis bahwa setiap pengguna jahattidak akan mampu menembus sistem. 

Kotak hitam pengujian penetrasi berguna dalam kasus-kasus di mana tester mengasumsikan peran seorang hacker luar dan mencoba untuk menyusup ke sistem tanpa pengetahuan yang memadai tentang hal itu. 

Resiko

Pengujian penetrasi dapat menjadi teknik yang sangat berharga untuk setiap program keamanan informasi organisasi. Dasar kotak pengujian penetrasi putih sering dilakukan sebagai proses murah sepenuhnya otomatis. Namun, kotak hitam pengujian penetrasi adalah kegiatan padat karya dan membutuhkan keahlian untuk meminimalkan risiko ke sistem target. Minimal, hal itu mungkin memperlambat respon jaringan organisasi waktu karena pemindaian jaringan dan pemindaian kerentanan. Selain itu, ada kemungkinan bahwa sistem dapat rusak dalam proses pengujian penetrasi dan dapat diberikan bisa dioperasi, meskipun manfaat organisasi dalam mengetahui bahwa sistem bisa saja diberikan bisa dioperasi oleh penyusup. Meskipun risiko ini diminimalisir dengan menggunakan penguji penetrasi yang berpengalaman, tidak pernah dapat sepenuhnya dihilangkan.

Metodologi

Keamanan Open Source Pengujian manual Metodologi adalah metodologi peer-review untuk melakukan tes keamanan dan metrik. Uji kasus OSSTMM dibagi menjadi lima saluran yang secara kolektif tes: informasi dan data kontrol, tingkat kesadaran personil keamanan, penipuan dan rekayasa sosial tingkat kontrol, komputer dan jaringan telekomunikasi , perangkat nirkabel, perangkat mobile,keamanan fisik kontrol akses, proses keamanan, dan lokasi fisik seperti bangunan, batas-batas, dan pangkalan militer.

OSSTMM berfokus pada rincian teknis dari apa yang item harus diuji, apa yang harus dilakukan sebelum, selama, dan setelah tes keamanan, dan bagaimana mengukur hasil. OSSTMM juga dikenal dengan Aturan keterlibatan yang menentukan untuk kedua tester dan klien bagaimana tes perlu untuk benar menjalankan mulai dari menyangkal iklan palsu dari penguji untuk bagaimana klien dapat mengharapkan untuk menerima laporan tersebut. Tes baru untuk praktik terbaik internasional, hukum, regulasi, dan masalah etika secara teratur ditambahkan dan diperbaharui. 

Sistem Informasi Keamanan Penilaian Framework (ISSAF) adalah peer review kerangka kerja terstruktur dari Grup Sistem Keamanan Informasi Terbuka yang mengkategorikan informasi penilaian sistem keamanan ke berbagai domain dan rincian kriteria spesifik evaluasi atau pengujian untuk masing-masing domain. Hal ini bertujuan untuk memberikan masukan lapangan pada penilaian keamanan yang mencerminkan skenario kehidupan nyata. The ISSAF terutama harus digunakan untuk memenuhi keamanan organisasi persyaratan penilaian dan tambahan dapat digunakan sebagai referensi untuk memenuhi kebutuhan informasi keamanan lainnya. Ini mencakup segi penting dari proses keamanan, dan penilaian mereka dan pengerasan untuk mendapatkan gambaran yang lengkap dari kerentanan yang mungkin ada. ISSAF, bagaimanapun, masih dalam masa pertumbuhan.

Standar dan sertifikasi

Proses melakukan tes penetrasi dapat mengungkapkan informasi sensitif mengenai organisasi. Ini adalah alasan inilah perusahaan keamanan kebanyakan berhati-hati untuk menunjukkan bahwa mereka tidak mempekerjakan mantan black hat hacker dan bahwa semua karyawan mematuhi kode etik yang ketat. Ada sertifikasi profesional dan pemerintah beberapa yang menunjukkan perusahaan kepercayaan dan kesesuaian dengan praktik industri terbaik. 

 Skema Tiger  adalah bukan untuk skema bagi yang menawarkan tiga sertifikasi: Keamanan Tester Associate (AST), Anggota Tim Keamanan Berkualitas (QSTM) dan Tester Keamanan Senior (SST). The SST secara teknis setara dengan LIHAT Team Leader dan QSTM secara teknis setara dengan sertifikasi Team LIHAT Anggota.  Skema Tiger mengesahkan individu, bukan perusahaan.Skema Tiger juga menawarkan sertifikasi untuk praktisi komputer forensik yang berkaitan dengan Kesiapan Forensik, Tema Manajemen Kejahatan, Praktisi Forensik dan Analis Lunak Berbahaya. Skema Tiger adalah skema-satunya di Inggris yang memiliki semua ketetapan yang terakreditasi dan kualitas diaudit oleh University of Glamorgan .

The Assurance Informasi Sertifikasi Review Board (IACRB) mengelola sertifikasi penetrasi pengujian dikenal sebagai Tester Penetrasi Bersertifikat (CPT). CPT mensyaratkan bahwa calon ujian lulus ujian pilihan ganda tradisional, serta lulus ujian praktis yang membutuhkan kandidat untuk melakukan tes penetrasi terhadap server dalam lingkungan mesin virtual. 

SANS menyediakan berbagai arena keamanan komputer pelatihan yang mengarah ke sejumlah kualifikasi SANS. Pada tahun 1999, SANS Giac didirikan, Sertifikasi Informasi Global Assurance, yang menurut SANS telah dilakukan oleh lebih dari 20.000 anggota sampai saat ini. Tiga dari sertifikasi Giac adalah penetrasi pengujian khusus: Tester Bersertifikat Penetrasi Giac (GPEN) sertifikasi; Aplikasi Web Penetrasi Tester Giac (GWAPT) sertifikasi, dan Peneliti Exploit Giac dan Penetrasi Tester Lanjutan (GXPN) sertifikasi 

Keamanan Serangan menawarkan sertifikasi Ethical Hacking ( Serangan Keamanan Certified Professional ) - pelatihan spin off dari distribusi Pengujian Penetrasi BackTrack. The OSCP adalah kehidupan nyata penetrasi sertifikasi pengujian, membutuhkan pemegang untuk berhasil menyerang dan menembus mesin hidup berbagai lingkungan laboratorium yang aman. Setelah menyelesaikan kursus siswa menjadi layak untuk mengambil tantangan sertifikasi, yang harus diselesaikan dalam waktu dua puluh empat jam. Dokumentasi harus mencakup prosedur yang digunakan dan bukti penetrasi sukses termasuk file penanda khusus.

Didukung pemerintah pengujian juga ada di AS dengan standar seperti NSA Metodologi Evaluasi Infrastruktur (IEM).

Dewan Penguji Terdaftar Keamanan Etis  (CREST) ​​menyediakan tiga sertifikasi: Tester CREST Terdaftar dan dua CREST kualifikasi Tester Bersertifikat, satu untuk infrastruktur dan satu untuk pengujian aplikasi. 

International Council of E-Commerce konsultan menyatakan individu dalam keterampilan keamanan e-bisnis dan berbagai informasi. Ini termasuk Hacker Bersertifikat Etis saja, Komputer Hacking Program Forensik Penyidik, program Penetrasi Tester Berlisensi dan berbagai program lainnya, yang tersedia secara luas di seluruh dunia.

Organisasi mile2 menyatakan individu dalam keamanan informasi, khususnya dalam pengujian penetrasi, menawarkan Pengujian Penetrasi Insinyur Bersertifikat (CPTE) sertifikat. Baru-baru ini, Kevin Henry, yang telah menulis materi resmi untuk kedua (ISC) ²dan ISACA, menulis edisi terbaru yang diterbitkan oleh ITGo

hacking,penetration test,viruse and worms

pengertian hacking Hacking, hacking, dan hacking. Setiap orang yang mendengar kata ini "Hacking" pasti berpikiran bahwa kegiatan ini suatu kegiatan yang ILEGAL, menurut saya ada juga yang LEGAL. Banyak sekali definisi mengenai Hacking itu sendiri. Dari suatu aktifitas penyusupan ke sebuah sistem komputer atau jaringan dengan tujuan untuk merusak sistem tersebut, menerobos program komputer milik orang, ngutak atik sesuatu, memecahkan masalah software maupun hardware, mengakses server kemudian mengacak-acak website yang ada di server itu, dan masih banyak lagi.

Hacking adalah kegiatan menerobos program komputer milik orang/pihak lain.

Hacker adalah orang yang gemar ngoprek komputer, memiliki keahlian membuat dan membaca program tertentu, dan terobsesi mengamati keamanan (security)-nya. Hacker memiliki wajah ganda; ada yang budiman ada yang pencoleng.

Hacker Budiman memberi tahu kepada programer yang komputernya diterobos, akan adanya kelemahan-kelemahan pada program yang dibuat, sehingga bisa “bocor”, agar segera diperbaiki. Sedangkan, hacker pencoleng, menerobos program orang lain untuk merusak dan mencuri datanya.Banyak sekali definisi mengenai Hacking itu sendiri. Dari suatu aktifitas penyusupan ke sebuah sistem komputer atau jaringan dengan tujuan untuk merusak sistem tersebut, menerobos program komputer milik orang, ngutak atik sesuatu, memecahkan masalah software maupun hardware, mengakses server kemudian mengacak-acak website yang ada di server itu, dan masih banyak lagi.

CARDING

Carding adalah berbelanja menggunakan nomor dan identitas kartu kredit orang lain, yang diperoleh secara ilegal, biasanya dengan mencuri data di internet. Sebutan pelakunya adalah Carder. Sebutan lain untuk kejahatan jenis ini adalah cyberfroud alias penipuan di dunia maya. Menurut riset Clear Commerce Inc, perusahaan teknologi informasi yang berbasis di Texas – AS , Indonesia memiliki carder terbanyak kedua di dunia setelah Ukrania. Sebanyak 20 persen transaksi melalui internet dari Indonesia adalah hasil carding. Akibatnya, banyak situs belanja online yang memblokir IP atau internet protocol (alamat komputer internet) asal Indonesia. Kalau kita belanja online, formulir pembelian online shop tidak mencantumkan nama negara Indonesia. Artinya konsumen Indonesia tidak diperbolehkan belanja di situs itu. Menurut pengamatan ICT Watch, lembaga yang mengamati dunia internet di Indonesia, para carder kini beroperasi semakin jauh, dengan melakukan penipuan melalui ruang-ruang chatting di mIRC. Caranya para carder menawarkan barang-barang seolah-olah hasil carding-nya dengan harga murah di channel. Misalnya, laptop dijual seharga Rp 1.000.000. Setelah ada yang berminat, carder meminta pembeli mengirim uang ke rekeningnya. Uang didapat, tapi barang tak pernah dikirimkan.

CRACKING

Cracking adalah hacking untuk tujuan jahat. Sebutan untuk cracker adalah hacker bertopi hitam (black hat hacker). Berbeda dengan carder yang hanya mengintip kartu kredit, cracker mengintip simpanan para nasabah di berbagai bank atau pusat data sensitif lainnya untuk keuntungan diri sendiri. Meski sama-sama menerobos keamanan komputer orang lain, hacker lebih fokus pada prosesnya. Sedangkan cracker lebih fokus untuk menikmati hasilnya.

 Banyak Web Malaysia Masih Belum Bisa Digunakan Setelah Sekian Lama “Dikerjai” Hacker Indonesia

Meningkatnya ketegangan Indonesia dan Malaysia juga ikut meningkatkan ketegangan para hacker Indonesia. Intensifnya serangan para hacker Indonesia ternyata juga merepotkan para admin web Malaysia yang terkena serangan. Banyak web-web yang di hack bertuliskan under constriction.

Beberapa web yang sudah lama terkena serangan masih banyak yang bertuliskan under constriction dan bahkan masih banyak yang menampilkan tampilan yang dibuat para hacker.

Sebagai contoh http://maelogistic.com.my/ dan http://pocostudio.org/ , web ini telah “dikerjain” hacker yang menyebut dirinya “GembeL.Cyber” sejak beberapa bulan yang lalu. Pada web ini masih bertuliskan “INDONESIA ARMY” dengan bendera Indonesia yang berkibar. Tak ketinggalan juga lagu Indonesia Raya terdengar saat alamat web itu dibuka.

Ada pula website Malaysia sejak 2008 tidak kunjung bisa dibuka dan tertulis “Harap Maaf, Sistem dalam process pembaikpulih pengkalan data. Harap maklum.” Situs-situs adalah http://malaysiaskills.kkr.gov.my/ dan http://pancommonwealth2008.kkr.gov.my/.

Peperangan semakin panas ketika bebasnya Manohara, kembali lagi “GembeL.Cyber” mengerjai beberapa situs Malaysia yaitu http://amssolution.com.my/ dan http://uumtvchannel.com.my/. Sebelum kedua web tersebut diganti tulisan under constriction oleh pengelolanya, “GembeL.Cyber” sempat menuliskan kata kata berikut :

Dedicated To : Manohara Odelia Pinot?Kami Tidak Rela?Wanita INDONESIA?Disekap Dan Dianiaya Oleh Kalian..!!

:ThanKs To:?| byz999 | controlaltdel | kaRMa666 | nG4p4KCyb3R | lintah_cyber |chikmonk | SPY KIT | MetroPoliX | DJ4iL | D3RRYL_O1O1 | PHO3NIX H4XOR | Bl4ck_H4t | vires jatimcrew

Sumber : http://kabarit.com/2009/06/banyak-web-malaysia-masih-belum-bisa-digunakan-setelah-sekian-lama-%E2%80%9Cdikerjai%E2%80%9D-hacker-indonesia/

 A. Pada kasus ini cracker termasuk dalam golongan Criminal Minded Cracker

 B.  Kode-kode etik yang dilanggar pada kasus ini yaitu :

                1. Mampu mengakses komputer tak terbatas dan totalitas

                2.  Tidak percaya pada otoritas atau memperluas desentralisasi

    3.  Tidak memakai identitas palsu

    4.  Hacking adalah senjata mayoritas dalam perang melawan pelanggaran batas teknologi

         computer

    5.  Komputer dapat mengubah hidup menjadi lebih baik

Sebagian besar  cracker yang ada pada kasus diatas umumnya dapat digolongkan pada      Developed Kiddie dikarenakan pada kasus ini mereka hanya mendeface tampilan luar / interface pada website Malaysia dan tidak menimbulkan masalah yang serius untuk website walau ada beberapa website yang diserang database nya yang menyebabkan data-data yang dihack pada masa itu tidak dapat direcover/diback-up.

contoh kasus hacking dan Hacker

1.     Pada tahun 1983,

2.     pertama kalinya FBI menangkap kelompok kriminal komputer The 414s(414 merupakan kode area lokal mereka) yang berbasis di Milwaukee AS. Kelompok yang kemudian disebut hacker tersebut melakukan pembobolan 60 buah komputer, dari komputer milik Pusat Kanker Memorial Sloan-Kettering hingga komputer milik Laboratorium Nasional Los Alamos. Salah seorang dari antara pelaku tersebut mendapatkan kekebalan karena testimonialnya, sedangkan 5 pelaku lainnya mendapatkan hukuman masa percobaan.

2. Digigumi (Grup Digital) adalah sebuah kelompok yang mengkhususkan diri bergerak dalam bidang game dan komputer dengan menggunakan teknik teknik hexadecimal untuk mengubah teks yang terdapat di dalam game. Contohnya : game Chrono Trigger berbahasa Inggris dapat diubah menjadi bahasa Indonesia. Oleh karena itu, status Digigumi adalah hacker, namun bukan sebagai perusak.

3. Pada hari Sabtu, 17 April 2004, Dani Firmansyah, konsultan Teknologi Informasi (TI) PT Danareksa di Jakarta berhasil membobol situs milik Komisi Pemilihan Umum (KPU) di http://tnp.kpu.go.id dan mengubah nama-nama partai di dalamnya menjadi nama-nama “unik”, seperti Partai Kolor Ijo, Partai Mbah Jambon, Partai Jambu, dan lain sebagainya. Dani menggunakan teknik SQL Injection(pada dasarnya teknik tersebut adalah dengan cara mengetikkan string atau perintah tertentu di address bar browser) untuk menjebol situs KPU. Kemudian Dani tertangkap pada hari Kamis, 22 April 2004

Uud hacking indonesia

Indonesia telah memiliki undang-undang khusus yang membahas tentang cybercrime, yaitu UU ITE (Informasi dan Transaksi Elektronik). UUITE mengatur berbagai perlindungan hukum atas kegiatan yang memanfaatkan internet sebagai medianya, baik transaksi maupun pemanfaatan informasinya. Pada UU ITE ini juga diatur berbagai ancaman hukuman bagi kejahatan melalui internet.

UU ITE mengakomodir kebutuhan para pelaku bisnis di internet dan masyarakat pada umumnya guna mendapatkan kepastian hukum, dengan diakuinya bukti elektronik dan tanda tangan digital sebagai bukti yang sah di pengadilan.Di dalam UU ITE membahas masalah hacking terutama tentang akses ke komputer orang lain tanpa izin. Hal tersebut diatur dalam pasar 30 dan pasal 46 mengenai hukuman yang akan diterima. Berikut ini isi dari pasal tersebut: 

Â

Pasal 30

1. Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum mengakses Komputer dan/atau Sistem Elektronik milik Orang lain dengan cara apa pun.
2. Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum mengakses Komputer dan/atau Sistem Elektronik dengan cara apa pun dengan tujuan untuk memperoleh Informasi Elektronik dan/atau Dokumen Elektronik.
3. Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum mengakses Komputer dan/atau Sistem Elektronik dengan cara apa pun dengan melanggar, menerobos, melampaui, atau menjebol sistem pengamanan.

Pasal 46

1. Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 30 ayat (1) dipidana dengan pidana penjara paling lama 6 (enam) tahun dan/atau denda paling banyak Rp 600.000.000,00 (enam ratus juta rupiah).
2. Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 30 ayat (2) dipidana dengan pidana penjara paling lama 7 (tujuh) tahun dan/atau denda paling banyak Rp 700.000.000,00 (tujuh ratus juta rupiah).
3. Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 30 ayat (3) dipidana dengan pidana penjara paling lama 8 (delapan) tahun dan/atau denda paling banyak Rp 800.000.000,00 (delapan ratus juta rupiah).

 Sumber http://www.sekolahfadilah.sch.id/index.php/forum/272-ffc2

viruse and worms

Ini adalah jenis malware yang paling\ populer, yakni virus dan worm. Keduanya dikenal dari cara penyebarannya ketimbang perilaku khususnya. Istilah virus komputer digunakan untuk menamai program yang telah menginfeksi file executable. Bila file yang terinfeksi ini dieksekusi (dijalankan), maka ia akan menyebarkan virus yang telah menginfeksinya kepada file executable lainnya.

Virus juga bisa mengandung muatan yang menjalankan tindakan lain yang merusak, seperti menyembunyikan atau bahkan menghapus file-file tertentu.

 worm adalah program yang secara aktif mengirimkan dirinya sendiri dalam sebuah jaringan, termasuk jaringan internet untuk menginfeksi komputer lain.

Sama seperti virus, worm juga bisa mengandung muatan tertentu yang biasanya bersifat merusak. Dari defenisi di atas, kita dapat mengetahui bahwa untuk menyebarkan dirinya, virus membutuhkan intervensi pengguna sedangkan worm dapat melakukannya sendiri.

p