Security Web

Seperti kita ketahui, World Wide Web merupakan system pertukaran informasi melalui internet. Web dibangun melalui program yang dinamakan Web Server, yaitu inti dari organisasi internet, yang digunakan untuk berkomunikasi dan bertukar informasi yang murah dengan peluang-peluang dan transaksi-transaksi dengan pelanggan. Pada awalnya web dikembangkan sebagai sebuah system bagi para ahli fisika untuk keperluan riset. Tetapi seiring dengan zaman kegunaan web semakin luas dan dapat mencakup semua bagian dari kehidupan manusia, termasuk bisnis, pemerintahan, pendidikan keagamaan, social dan budaya, dan bahkan untuk kepentingan individual.

Sehingga tidak heran jika ada orang-orang yang suka mengambil keuntungan dari web yang bukan punyanya. Oleh karena itu keamanan suatu website atau web security systems merupakan salah satu prioritas yang sangat utama bagi seorang webmaster. Karena selain data-data penting dalam website dapat diambil seorang hacker dan bahkan dapat mengacak-acak tampilan website(deface) tersebut. Selain itu web security juga dapat berfungsi untuk melindungi kesalahan-kesalahan dalam konfigurasi web server, dll.

Ada beberapa cara menjaga keamanan web dari serangan

v Sniffing (capture message)

suatu serangan yang merekam atau menangkap data/message yang lewat melalui jaringan. Serangan jenis ini tidak dapat dihindari

Tools sniff : snort, tcpdump, ettercap

Pencegahan : Gunakan VPN (IPsec)

Gunakan enkripsi dalam proses transfer message atau data (via HTTPS)

v Trapper web (web penjebak)

adalah passive attack yang memanfaatkan kecerobohan pengguna web application, dengan cara membuat website jebakan guna mendapatkan informasi dari pengguna yang terjebak.

Contoh : www.klikbca.com , menjadi www.kilkbca.com

Pencegahan : Pemilik website resmi/valid membeli semua domain yang mirip

Sosialisasi pada pengguna

v Denial of Service Attack

DoS adalah suatu serangan pada engine(web server) yang memiliki vulnerability (kelemahan) dengan cara membanjiri engine tersebut dengan request sehingga engine tersebut tidak dapat lagi melayani request dari client lain, sampai pada kondisi crash bahkan down.

Tools : dapat ditemukan diberbagai website security, atau gunakan search engine

Info vulnerability Anda dapat mengecek di web : http://cve.mitre.org/cve/

Pencegahan : upgrade atau patch engine dengan versi perbaikan, atau gunakan Firewall HTTP seperti untuk Apache HTTPD gunakan mod_security, mod_proxy

v Buffer OverFlow

Adalah suatu serangan yang menyerang engine(web server) yang memiliki vulnerability (kelemahan) dalam masalah alokasi memori (buffer) dengan cara memaksakan malicious code agar dieksekusi oleh engine(web server) untuk memperoleh akses root shell.

Tools : dapat ditemukan diberbagai website security, atau gunakan search engine

Info vulnerability Anda dapat mengecek di web : http://cve.mitre.org/cve/

Pencegahan : upgrade atau patch engine dengan versi perbaikan. Jalankan engine dalam mode chroot(root jail)

v SQL injection

Adalah serangan yang memanfaatkan kelemahan coding aplikasi web sehingga penyerang dapat menginjeksi SQL command katakanlah kedalam form login dengan maksud memperoleh akses ke web tersebut.

Pencegahan : Buatlah kode program yang menerapkan validasi, dan pencegahan manipulasi query SQL

Firewall HTTP (mod_security)

Intrussion Detection System

v Cross Site Scripting (XSS or CSS)

Adalah suatu teknik serangan yang mempengaruhi kelemahan(vulnerability) dalam coding aplikasi web untuk memungkinkan penyerang mengirimkan malicious content dari client dan mengumpulkan beberapa data-data dari korban.

Pencegahan : Karakter-karakter berbahaya harus difilter dari input aplikasi web.Filter harus diterapkan untuk nilai ASCII and HEX.

Firewall HTTP (mod_security)

Intrussion Detection System

v Session Hijacking

Adalah suatu serangan yang memanfaatkan nilai cookies dan token session milik user atau client lain yang dicuri atau ditangkap lewat sniffer. Tujuannya agar si penyerang dapat mengakses halamanhalaman web yang sifatnya private yang biasanya perlu proses login (authentication)

Tools : sniffer seperti ettercap, dan GET command

Pencegahan : Gunakan VPN (IPsec)

Gunakan enkripsi dalam proses transfer message atau data (via HTTPS)

v Directory Traversal

Adalah suatu serangan yang mengeksploitasi engine (web server) yang memungkinkan penyerang mengakses direktori yang dibatasi dan mengeksekusi command diluar direktori root web server

Pencegahan : Gunakan versi web server yang terbaru yang menutupi kelemahan directory traversal

Gunakan Firewall HTTP seperti mod_security

v Authentication hacking

Authentication memainkan peran penting dalam security aplikasi web. Authentication Hacking adalah suatu serangan yang mencoba login ke suatu aplikasi web dengan menggunakan tool atau script yang melakukan percobaan-percobaan login dengan account user yang umum terdapat pada sistem (misal root, guest, Administrator) sampai berhasil. Teknik ini sering disebut brute force attack

Pencegahan : gunakan validasi login menggunakan image