Security Concepts and Policy

1.      Mekanisme kebijakan Keamanan ( Policy Mechanism)

Mekanisme keamanan adalah mekanisme yang digunakan untuk menerapkan aturan-aturan yang telah ditetapkan dalam kebijakan keamanan (security policy).

Mekanisme Keamanan dibagi 3 bagian :

·         Prevention (pencegahan)

Prevention (pencegahan) : Mekanisme pencegahan keamanan komputer (prevention), adalah mekanisme yang mencegah timbulnya pelanggaran keamanan, misal dengan membatasi akses secara fisik atas object pada sistem atau penggunaan akses kontrol berdasarkan enkripsi utnuk mencegah user yang tidak berwenang mengakses objek.

·         Detection (pendeteksion)

Detection (pendeteksian) : Mekanisme pendeteksian keamanan komputer (detection), digunakan untuk mendeteksi pelanggaran keamanan.

·         Recovery (pemulihan)

Recovery (pemulihan) : Mekanisme pemulihan (recovery) adalah mekanisme yang digunakan untuk memperbaiki sistem agar kembali pada keadaan semula sebelum terjadi pelanggaran kemanan tersebut.

2.      Prinsip Hak Istimewa Keamanan (Privilege Principles Security)

Principle of least privilege adalah memberi wewenang kepada user atau proses untuk melakukan pekerjaan yang sesuai dengan haknya. Prinsip paling istimewa secara luas diakui sebagai suatu pertimbangan desain penting dalam meningkatkan perlindungan data dan fungsionalitas dari kesalahan ( toleransi kesalahan ) dan perilaku berbahaya ( keamanan komputer ).

Manfaat prinsip meliputi:

• Lebih baik stabilitas sistem. Ketika kode dibatasi dalam lingkup perubahan dapat membuat ke sistem, lebih mudah untuk menguji kemungkinan tindakan dan interaksi dengan aplikasi lain. Dalam prakteknya misalnya, aplikasi yang berjalan dengan hak terbatas tidak akan memiliki akses untuk melakukan operasi yang bisa crash mesin, atau mempengaruhi aplikasi lain yang berjalan pada sistem yang sama.
• Lebih baik sistem keamanan. Ketika kode terbatas dalam seluruh sistem tindakan itu mungkin melakukan, kerentanan dalam satu aplikasi tidak dapat digunakan untuk mengeksploitasi seluruh mesin. Sebagai contoh, Microsoft menyatakan "Menjalankan dalam mode user biasa memberikan pelanggan perlindungan meningkat terhadap sengaja sistem tingkat kerusakan yang disebabkan oleh" menghancurkan serangan "dan malware, seperti kit root, spyware, dan virus tidak terdeteksi".
• Kemudahan penyebaran. Secara umum, aplikasi lebih sedikit hak istimewa seorang membutuhkan mudah untuk menyebarkan dalam lingkungan yang lebih besar. Hal ini biasanya hasil dari dua manfaat pertama, aplikasi yang menginstal driver perangkat atau membutuhkan hak akses keamanan tinggi biasanya memiliki langkah-langkah tambahan yang terlibat dalam penyebaran mereka, misalnya pada Windows solusi tanpa driver perangkat dapat dijalankan langsung dengan instalasi, sedangkan driver perangkat harus diinstal secara terpisah menggunakan layanan installer Windows untuk memberikan hak istimewa pengemudi tinggi.

3.      Manajemen Hak Istimewa Keamanan (Privilege Management)

Permission adalah hak perijinan/kewenangan yang diberikan kepada pengguna (roles) pada suatu modul yang terpasang pada Drupal.  Kewenangan ini biasanya berupa hak untuk melihat, membuat, mengedit, menghapus atau mengkonfigurasi suatu fungsi dari modul. Tiap-tiap modul memiliki permission yang berbeda-beda jumlah dan kegunaannya.  Permission merupakan salah satu dari kekuatan Drupal untuk itu Anda wajib menguasai filosofi dari permission ini.

Roles adalah kelompok pengguna yang memiliki permissions (hak akses/perijinan) yang sama terhadap suatu konten atau modul. Roles merupakan fungsi yang sangat penting dan utama dalam Drupal karena dengan adanya roles situs kita akan memiliki hirarki, alur kerja dan kolaborasi antar pengguna dan konten menjadi rapi, terstruktur dan tidak tumpang tindih. Dengan adanya roles juga meningkatkan sistem keamanan situs yang kita buat.

Role dapat dilihat dari beberapa sudut padang:

1.        Pengelompokkan berdasarkan organisasi. Cara pandangan klasik ini di hasilkan dengan membuat beberapa role agar didapat role secara keseluruhan.

2.        Pengelompokkan berdasarkan hubungan relatif. Role seorang user ditentukan berdasarkan obyek apa saja yang berhubungan dengan user tersebut. Misalnya role seorang manajer dapat diberikan berdasarkan apa saja yang dikerjakan oleh manajer tersebut misalnya, proyek, teknologi, atau staff.

3.        Pengelompokkan berdasarkan kemudahan. Hal ini merupakan cara pandang klasik dimana otorisasi dapat diubah secara fleksibel.

4.        Pengelompokkan berdasarkan dari seleksi. Pengelompokkan ini dilakukan dengan sesuai dengan kapabilitas atau sesuai dengan proses alur kerja.

4.      Accountability

Accountability adalah pertanggung jawaban atas hak akses yang telah digunakan oleh user yang masuk saat menggunakan sistem berupa proses pengaitan seseorang dengan layanan keamanan sehingga sistem operasi terlaksana secara efektif.

Jenis-jenis accountability (Stewart, 1989)

5.        Policy Accountability , akuntabilitas atas pilihan pilihan-pilihan kebijakan yang dibuat

6.        Program Accountability, akuntabilitas atas pencapaian tujuan/hasil dan efektifitas yang dicapai

7.        Performance Accountability, akuntabilitas terhadap kinerja atau pelaksanaan tugas sebagai pelayan masyarakat.

8.        Process Accountability, akuntabilitas kuntabilitas atas proses, prosedur atau ukuran yang layak tindakan dalam melaksanakan tindakan-tindakan yang ditetapkan.

9.        Probity and Legal Accountability, akuntabilitas atas penggunaan dana sesuai dengan anggaran yang disetujui undang atau ketaatan terhadap undang-undang yang berlaku.

5.      Arsitektur Keamanan

Arsitektur keamanan dapat didefinisikan sebagai artefak desain yang menggambarkan bagaimana kontrol keamanan (keamanan penanggulangan) yang diposisikan, dan bagaimana mereka berhubungan dengan teknologi informasi secara keseluruhan arsitektur. Kontrol ini memenuhi tujuan untuk menjaga kualitas sistem atribut, di antaranya kerahasiaan, integritas, ketersediaan, akuntabilitas dan jaminan-jaminan. Sebuah arsitektur keamanan adalah rencana yang menunjukkan langkah-langkah keamanan di mana harus ditempatkan. Jika rencana menggambarkan solusi spesifik kemudian, sebelum membangun sebuah rencana, yang akan membuat analisis risiko. Jika rencana umum menggambarkan desain tingkat tinggi (arsitektur referensi) maka rencana harus didasarkan pada analisis ancaman.

6.      Komponen Arsitektur Keamanan

Masalah keamanan (security) yang terkait dengan teknologi informasi mulai mendapat perhatian yang lebih serius dibandingkan sebelumnya. Salah satu penyebab hal ini adalah adanya banyak kasus yang terkait dengan keamanan yang dihadapi oleh perusahaan. Namun ternyata, penanganan masalah keamanan ini masih bersifat reaktif dan tidak terstruktur. Ada keinginan untuk membuat penanganan yang lebih tertata dengan rapi. Istilah yang populer untuk hal ini adalah membuat sebuah arsitektur keamanan (security architecture). Untuk memahami hal ini, mari kita ambil analogi dengan melihat arsitektur bangunan.

Ada banyak orang yang membuat rumah tanpa disertai dengan desain arsitektur yang terdokumentasi dengan baik. Rumah dibuat asal memenuhi kebutuhan fungsional. Di rumah tersebut ada kamar tidur, ruang tamu, dapur, dan kamar mandi. Beberapa waktu kemudian, ternyata tingkat ekonomi pemilik rumah menjadi lebih makmur dan sanggup membeli sebuah mobil. Maka kemudian dibuat garasi yang menempel di bagian samping rumah tersebut. Anak-anak makin besar sehingga membutuhkan kamar sendiri. Maka ditambahkan kamar di bagian belakang. Ternyata kondisi keamanan di sekitar rumah juga memburuk sehingga perlu dipasang pagar. Penambahan ini terus berlangsung dan bersifat asal jadi sehingga berkesan kumuh. Teknologi informasi pasti terdapat arsitektur keamanan memiliki 9 komponen, ialah :

10.     kumpulan sumber daya yang tersentralisasi (centralized resource),

11.     pengelolaan identitas (identity management),

12.     access control,

13.     pengelolaan kebijakan (policy management),

14.     system pemantau (monitoring system),

15.     sistem otorisasi (authorization system),

16.     security operation,

17.     intranet yang aman (secure intranet / LAN), dan

18.     Internet yang aman (secure Internet). 

7.      Thread

Thread adalah sebuah alur kontrol dari sebuah proses. Suatu proses yang multithreaded mengandung beberapa perbedaan alur kontrol dengan ruang alamat yang sama. Keuntungan dari multithreaded meliputi peningkatan respon dari user, pembagian sumber daya proses, ekonomis, dan kemampuan untuk mengambil keuntungan dari arsitektur multiprosesor. User level thread adalah thread yang tampak oleh programmer dan tidak diketahui oleh kernel. User level thread secara tipikal dikelola oleh sebuah library thread di ruang user. Kernel level thread didukung dan dikelola oleh kernel sistem operasi. Secara umum, user level thread lebih cepat dalam pembuatan dan pengelolaan dari pada kernel thread. Ada tiga perbedaan tipe dari model yang berhubungan dengan user dan kernel thread.

·         Model many to one: memetakan beberapa user level thread hanya ke satu buah kernel thread.

·         Model one to one: memetakan setiap user thread ke dalam satu kernel thread. berakhir.

·         Model many to many: mengizinkan pengembang untuk membuat user thread sebanyak mungkin, konkurensi tidak dapat tercapai karena hanya satu thread yang dapat dijadualkan oleh kernel dalam satu waktu.

Java adalah unik karena telah mendukung thread didalam tingkatan bahasanya. Semua program Java sedikitnya terdiri dari kontrol sebuah thread tunggal dan mempermudah membuat kontrol untuk multiple thread dengan program yang sama. JAVA juga menyediakan library berupa API untuk membuat thread, termasuk method untuk suspend dan resume suatu thread, agar thread tidur untuk jangka waktu tertentu dan menghentikan thread yang berjalan. Sebuah java thread juga mempunyai empat kemungkinan keadaan, diantaranya: New, Runnable, Blocked dan Dead. Perbedaan API untuk mengelola thread seringkali mengganti keadaan thread itu sendiri.