PT. Hawk Teknologi Solusi

Silahkan Cari Disini

Jumat, 31 Juli 2009

ISP dan Keamanan Jaringan Internet

Saat ini Internet sudah mulai menjadi gaya hidup yang tanpa disadari diperlukan oleh hampir seluruh lapisan masyarakat seiring dengan kemajuan teknologi baik hardware maupun software.
Dengan fenomena layanan Facebook, Blog, Email dan Instant Messaging yang dapat diakses melalui berbagai macam gadget maka layanan Internet bukan lagi monopoli orang yang mampu menggunakan komputer dengan 101 tombol saja tetapi hampir semua lapisan masyarakat dapat mengakses layanan Internet dengan sangat mudah.

Internet Service Provider yang merupakan gerbang bagi para pengguna Internet saat ini menghadapi tantangan untuk dapat tetap memberikan layanan Internet yang berkualitas, terjangkau dan aman bagi penggunanya.

Bicara tentang keamanan Internet tidak terlepas dari Sistem Keamanan Jaringan Komputer yang sangat komplek dan banyak lapisan walaupun dapat di rangkum dalam tiga hal besar saja yaitu:

Confidentiality (kerahasiaan data)
Integrity (Integritas / keutuhan / keaslian, termasuk pengaturan hak akses)
Availability (Ketersediaan layanan)

selain itu bicara tentang keamanan jaringan komputer mau tidak mau tunduk terhadap model segitiga yang memiliki tiga sisi:

sisi kemanan
sisi kenyamanan/kemudahan
sisi fungsi

dimana ketiga sisi tersebut saling bertolak belakang, artinya mengutamakan salah satu berarti mengurangi yang lainnya dengan demikian yang dapat dicapai adalah mencari komposisi yang paling dapat diterima oleh pengguna, dengan demikian menurut saya visi keamanan di ISP adalah:

Menciptakan Internet yang aman, nyaman dan berfungsi dengan baik

visi diatas sangat sederhana tetapi untuk mencapi hal tersebut terus terang tidak mudah dan butuh banyak pemikiran pertimbangan dan pemahaman dari semua stake holder sbb:

1. Pengguna Internet
2. Internet Service Provider (ISP) termasuk Network Access Provider
3. Content Provider termasuk penyelenggara e-Bussines/e-Commerce dan infrastruktur pendukungnya yaitu: Bank, penerbit Certified Authorization (CA) dan logistik.
4. Penyelenggara Jaringan
5. Pemerintah

tentunya tidak semua aspek dapat diakomodir oleh ISP, karena sejatinya ISP minimal memiliki layanan standar sbb:

1. DNS server / nameserver sebagai sarana resolve domain ke IP atau sebaliknya
2. Email server sebagai outgoing dan atau incoming server
3. Proxy server sebagai perantara akses web sekaligus sebagai cache dan filtering konten pada lapisan aplikasi
4. Webhosting sebagai sarana untuk mempublikasikan halaman web
5. RADIUS Server sebagai Authentication Authorization Accounting (AAA) untuk Billing Server
6. Routing Alamat IP agar user/pengguna dapat mengkakses layanan-layanan tersebut melalui protocol TCP/IP yang dihubungkan satu dengan lainnya secara terbuka atau dengan kata lain jaringan Publik (Internet)
7. Sistem Monitoring dan manajemen Jaringan

Dengan demikian bagian keamanan yang harus di akomodir oleh ISP setidaknya adalah:
1. Menyediakan Nameserver yang handal dan aman yang bebas dari dns poisoning / spoofing
2. Menyediakan Email server yang mampu menyaring email sampah (Spam), virus dan mallware lainnya
3. Menyediakan Proxy Server yang mampu menyaring pishing dan membatasi konten-konten mallware lainnya.
4. Menyediakan Webhosting yang aman yang tidak menyimpan kode-kode jahat seperti pishing, virus, trojan, mallware dan konten-konten yang mengandung unsur SARA (Suku Agama Ras)
5. Menyediakan RADIUS Server yang handal, aman dan tidak merugikan pelanggan baik secara finansial maupun secara kerahasiaan username password pelanggan tersebut.
6. Menyediakan sistem routing paket TCP/IP yang handal, aman dan terbebas dari serangan: Spoofing, Distributed Denial of Service, Worm dll.
7. Memiliki sistem monitoring dan manajemen jaringan untuk dapat menganalisa dan mengatasi permasalahan jika terjadi hal-hal yang disebut diatas.

adapun layanan-layanan lainnya selain tujuh hal yang disebutkan diatas lebih sebagai tanggung jawab pengelola konten baik itu bagi ISP yang memiliki konten, maupun institusi yang menyediakan konten bagi pengguna Internet termasuk: E-Banking/Bank, Pengelola E-Business/E-Commerce, E-Learning/Kampus, E-Goverment/Pemerintah, Pengelola Portal dll.

Sedangkan untuk Warnet sejatinya adalah mini ISP yang menyediakan/menyewakan sarana bagi pengguna Internet yang tidak mengakses Internet dari perangkat pribadinya.

Dalam hal terjadinya cybercrime ISP berperan untuk membantu perangkat hukum melakukan investigasi dan mencari bukti-bukti digital yang sekiranya dapat menjadi petunjuk dan bukti di pengadilan sesuai dengan perundang-undangan yang berlaku.

Bentuk barang bukti dan petunjuk bisa berupa analisa header email, logfile aplikasi server-server yang telah disebutkan diatas dan analisa traffic.

Khusus untuk analisa traffic tidaklah bijaksana untuk menganalisa semua taffic data secara paket pada lapisan 3 dan 4 (network layer dan transport layer) secara terus menerus karena akan mengganggu fungsi dan kenyamanan dari layanan Internet itu sendiri, adapun yang dapat dilakukan adalah analisa paket secara langsung pada saat insident keamanan terjadi atau biasa disebut sniffing. analoginya adalah jika tiap hari semua kendaraan di jalan raya diperiksa stnk dan kesesuaiannya dengan nomor mesin dan nomor rangka dan sim pengendaranya maka yang ada adalah kemacetan di sepanjang jalan sehingga kenyamanan dan fungsi dari kendaraan itu menjadi tidak ada artinya lagi, yang lumrah terjadi adalah pada saat terjadi laporan kehilangan mobil atau kasus penculikan atau kasus-kasus pidana lainnya termasuk kasus teroris yang terjadi belum lama ini terjadi maka jajaran kepolisian melakukan razia di titik rawan terhadap kendaraan bermotor tersebut bukan?

Kesimpulan:
Untuk menciptakan layanan Internet yang aman, nyaman dan berfungsi sebagaimana mestinya diperlukan kerja sama semua pihak dan pemahaman yang benar terhadap aspek-aspek keamanan jaringan Internet tersebut baik secara teknis maupun non-teknis.

masukan/saran dan pendapat dari berbagai pihak sangat diperlukan untuk mencapai visi tersebut.

Wasalam
Harijanto Pribadi
Kabid. Internet Security APJII periode 2009 - 2012