Target acquisition and information gaterhing

Eksploitasi keamanan
Menurut “Hacking Exposed” metodologi dari penyusup biasanya mengikuti langkah sebagai berikut :

1. Target acquisition and information gaterhing
2. Initial access
3. Privilege escalation
4. Covering tracks

Sebelum melakukan penyerangan, seorang cracker biasanya mencari informasi tentang targetnya. Banyak informasi tentang sebuah sistem yang dapat diperoleh dari Internet. Sebagai contoh, informasi dari DNS (Domain Name System) kadang-kadang terlalu berlebihan sehingga memberikan terlalu banyak informasi kepada orang yang bermaksud jahat. DNS dapat memberikan informasi tentang nama-nama server berserta nomor IP yang dimiliki oleh sebuah perusahaan. Seseorang yang tidak tahu apa-apa, dengan mengetahui domain dari sebuah perusahaan dapat mengetahui informasi yang lebih banyak tentang server-server dari perusahaan tersebut. Paling tidak, informasi tentang name server merupakan informasi awal yang dapat berguna.

Informasi tentang DNS tersedia secara terbuka di Internet dan dapat dicari dengan menggunakan berbagai tools seperti:

1. whois, host, nslookup, dig (tools di sistem UNIX)
2. Sam Spade (tools di sistem Windows)
3. web dari Network Solutions inc. yang menyediakan informasi tentang data-data gTLD (.com, .net, .org, dan seterusnya) melalui webnya di http://www.networksolutions.com

Host, Whois, dig

Berikut ini adalah contoh beberapa session untuk mencari informasi tentang domain dan server-server yang digunakan oleh domain tersebut. Untuk mencari name server, dapat digunakan program “host” dengan option “-t ns”. Sementara itu untuk mencari nomor IP dari sebuah host, langsun gunakan program host tanpa option.

Sebelum melakukan crack, terlebih dahulu kita harus mengetahui mengenai Domain Name System (DNS) . karena dengan mengetaahui DNS maka dapat diperoleh IP target. Setelah mengetahui IP target maka informasi lainnya dapat dicari.

Pada praktek tugas ini, untuk mengetahui informasi DNS dari www.itb.ac.id dan www.detik.com saya mengakses situs www.apjii.or.id  tools  whois database. Kemudian muncul tampilan seperti yang terlihat dibawah ini.

Sistem Keamanan Informasi Lanjut

Aspek sistem kemananan adalah :
1. Confidence / Privacy
2. Integrity
3. Avaliabilty
4. Authentication
5. Non-repudiation
6. Access control

Avaliability adalah ketersediaan informasi yang harus ada ketika dibutuhkan. Avaliability ini yang merupakan sasaran dari Denial of Service Attack (DoS).

“Denial of Service (DoS) attack” merupakan sebuah usaha (dalam bentuk serangan) untuk melumpuhkan sistem yang dijadikan target sehingga sistem tersebut tidak dapat menyediakan servis-servisnya (denial of service) atau tingkat servis menurun dengan drastis. Cara untuk melumpuhkan dapat bermacam-macam dan akibatnyapun dapat beragam. Sistem yang diserang dapat menjadi “bengong” (hang, crash), tidak berfungsi, atau turun kinerjanya (beban CPU tinggi).

Serangan denial of service berbeda dengan kejahatan pencurian data atau kejahatan memonitor informasi yang lalu lalang. Dalam serangan DoS tidak ada yang dicuri. Akan tetapi, serangan DoS dapat mengakibatkan kerugian finansial. Sebagai contoh apabila sistem yang diserang merupakan server yang menangani transaksi “commerce”, maka apabila server tersebut tidak berfungsi, transaksi tidak dapat dilangsungkan. Bayangkan apabila sebuah bank diserang oleh bank saingan dengan melumpuhkan outlet ATM (Anjungan Tunai Mandiri, Automatic Teller Machine) yang dimiliki oleh bank tersebut. Atau sebuah credit card merchant server yang diserang sehingga tidak dapat menerima pembayaran melalui credit card [1].
Metode Serangan DoS
Serangan DoS dapat dilakukan dalam beberapa cara. Lima jenis dasar serangan adalah :
1. Konsumsi sumber daya komputasi, seperti bandwidth, disk space, atau waktu prosesor
2. Gangguan informasi konfigurasi, seperti informasi routing.
3. Gangguan informasi negara, seperti ulang diminta sesi TCP.
4. Gangguan komponen jaringan fisik.
5. Menghalangi media komunikasi antara pengguna yang dimaksudkan dan korban sehingga mereka tidak bisa lagi berkomunikasi secara memadai.


Denial of Service (DoS), khususnya yang terkait dengan input yang tidak semestinya (input yang sangat panjang, input dengan karakter yang aneh-aneh, dan sejenisnya) pada situs situs web tertentu yang ada di Indonesia adalah sebagai berikut.
1. Detik Search
Pada search Enggine detik.com memasukkan keyword yang panjang. Diperoleh pesan “tidak ditemukan dalam dokumen”

2. Majalah Tempo Online
Berbeda dengan Detik Search, pada tempo online (http://ip52-214.cbn.net.id/) muncul pesan error “warning function fopen pada search.php line 69”.



3. Situs Resmi Kabupaten Garut
Pada situs resmi kabupaten garut (http://www.garutkab.go.id/) pada search enggine nya muncul pesan “google error”.



4. Situs Kabupaten Bogor
Pada situs kabupaten bogor (http://eproc.bogorkab.go.id/) memasukkan karakter @ sebanyak banyaknya dan muncul pesan kesalahan.



5. Pada situs ilmuti.com
Pada situs ini dicoba memasukkan banyak karakter pada mesin pencariannya dan muncul pesan.



Situs situs diatas diakses pada tanggal 10 Oktober 2010.

Kesimpulan
Denial of Service (DoS) adalah suatu serangan yang membidik salah satu aspek keamanan yaitu Avaliabilty. Penyerangan Avaliability atau ketersedian informasi dengan DoS pada situs situs diatas sebagian besar telah ditangani dengan baik dengan menambahkan fungsi handle error pada programnya.ini terlihat dari pesan pesan yang dimunculkan ketika keyword yang dimasukan tidak tersedia adapun yang tidak manambahkan hadle error pada penyeleksian masukan pada textfield nya adalah tempo online dengan muncul pesan error bawaa dari program php nya yaitu “fuction fopen failed to open” .