Security : Auditing Operating Systems and Network

BAB I

PENDAHULUAN

1.1              LATAR BELAKANG

Kebutuhan akan pengambilan sebuah keputusan yang cepat dan akurat, persaingan yang ketat, serta pertumbuhan dunia usaha menuntut dukungan penggunaan tekhnologi mutakhir yang kuat dan handal. Dalam konteks ini keberhasilan organisasi akan sangat dipengaruhi oleh kemampuan dalam memanfaatkan teknologi informasi secara optimal. Sukses auditor internal sangat tergantung kepada kemampuan menyumbang nilai terhadap organisasi melalui pemanfaatan tekhnologi informasi secara efektif.

1.2              RUMUSAN MASALAH

Rumusan masalah dalam makalah sehingga pemakalah dapat menulis dan menyelesaikan makalah ini yaitu:

1.          Apa yang dimaksud dengan Operating System?

2.          Apa tujuan, keamanan, dan ancaman terhadap Operating System?

3.          Bagaimana mengendalikan system jaringan?

1.3              PEMBATASAN MASALAH

Dalam penyusunan makalah ini akan kami kemukakan pembatasan masalahnya. Adapun masalah yang kami bahas dalam makalah ini adalah

1.      Pengertian dari Audit Teknologi Sistem Informasi.

2.      Konsep, proses, teknik, dan regulasi dari Audit Teknologi Sistem Informasi.

3.      Standar dan kerangka kerja Audit Teknologi Sistem Informasi.

4.      Konsep dari manajemen resiko terhadap Audit Teknologi Sistem Informasi.

BAB II

PEMBAHASAN

2.1       Security : Auditing Operating Systems and Network

Operating System: program kontrol komputer, yang mengedalikan “users” dan aplikasi dalam berbagi dan mengakses sumber daya komputer umum, seperti processors, main memory, database, dan printer.                       

2.1.1    Tujuan OS:

1.      Menerjemahkan bahasa pemrograman tingkat tinggi kedalam bahasa yang dapat dieksekusi komputer. Modul yang melakukan ini disebut compilers dan interpreters

2.      Mengalokasikan sumber daya kepada users, workgroups, dan aplikasi.

3.      Mengelola tugas penjadwalan pekerjaan dan multiprograming, sesuai prioritas dan kebutuhan akan resource yang tersedia.

2.1.2    5 Syarat kendali fundamental OS:

1.        OS mampu melindungi diri dari users, berupa kendali, hal-hal yang merusakk OS, yang menyebabkan OS berhenti bekerja atau menyebabkan kerusakan data

2.        Melindungi users terhadap users lainnya, sehingga tidak dapat saling mengakses, menghancurkan, atau merusak data atau program.

3.        Melindungi users terhadap dirinya sendiri, misalnya module atau aplikasi yang saling merusak.

4.        Melindungi diri sendiri dari OS itu sendiri, seperti modul-modul individual yang mungkin dapat saling merusak.

5.        Dilindungi dari lingkungan, seperti hilangnya sumber tenaga maupun bencana lainnya, termasuk bentuk perlindungan setelah kejadian dimana OS dapat pulih kembali.

2.1.3    Keamanan OS

Berupa kebijakan, prosedur, dan kendali yang menetukan siapa saja yang dapat mengakses OS, resource (file, program, printer, dll) yang dapat mereka gunakan, dan tindakan apa yang dapat dilakukan.

Komponen Keamanan OS:

1.      Prosedur Log-On

2.      Access Token

3.      Access Control List

4.      Discretionary Access Privileges

Ancaman Terhadap OS

1.      Penyalahgunaan wewenang akses

2.      Individu (eksternal maupun eksternal) yang memanfaatkan kelemahan keamanan

3.      Individu yang baik sengaja maupun tidak, memasukkan virus atau program merusak lainnya kedalam OS

Audit Tests terhadap OS:

1.      Controlling Access Previleges: Auditor harus memvirifikasi bahwa pemberian access previleges sesuai dengan kebutuhan akan pemisahan fungsi dan kebijakan organisasi

2.      Password Control: Memastikan bahwa password terlindungi dengan baik, baik dari kelalaian pengguna (lupa, Post-it syndrome, password yang sederhana) maupun model sekurity password. Password yang dapat digunakan kembali (Reuseable password) haruslah sulit ditebak serta bentuk kesalahan user dalam memasukkan password harus dikelola dengan baik, misalnya tidak memberitahukan user kesalahan password yang dibuat, apakah ID atau passwordnya. Selain itu, batasan kesalahan log-on juga harus diatur. Password sekali pakai (One-Time Password) lebih terlindungi karena walaupun dapat diretas, password tidak dapat digunakan kembali setelah melewati waktu tertentu. Keamanannya juga berlapis karena masih terdapat PIN.

3.      Pengendalian terhadap program yang berbahaya dan merusak: pengendalian ini dapat berupa keamanan yang tangguh maupun prosedur administrasi yang baik. Beberapa bentuk audit terhadap pengendalian ini adalah: mengetahui tingkat pemahaman personel terhadap virus dan sejenisnya serta cara penyebarannya; memastikan bahwa software yang digunakan telah diuji sebelumnya dalam sistem yang terpisah serta diperoleh dari sumber yang dipercaya; memastikan bahwa antivirus/sekuriti yang digunakan adalah versi terbaru dan update.

2.1.4    Kendali Atas Jejak Audit Sistem: Catatan atas aktivias sistem, aplikasi, dan pengguna.

1.      Keystroke Monitoring (keystroke: tombol pada keyboard)

2.      Event Monitoring

2.1.5    Tujuan Jejak Audit:

-          Mendeteksi Akses yang tidak sah

-          Merekonstruksi kejadian

-          Menjaga akuntabilitas pengguna

2.1.6    Tujuan audit terhadap jejak audit: memastikan bahwa jejak audit cukup memadai untuk mencegah atau mendeteksi penyalahgunaan, merekonstruksi kejadian, dan merencanakan alokasi sumber daya. Beberapa hal yang harus dilakukan adalah dengan menguji apakah log (jejak audit) ini dapat diakses oleh user yang tidak sah, apakah catatan dibuat secara berkala, apakah catatan merepresentasi aktivitas secara lengkap.

2.2      MENGAUDIT JARINGAN

2.2.1    Intranet /Jaringan Lokal (LAN) Risk:

o   sniffing:  mencegat arus informasi

o   Akses ilegal ke Database

o   Penyalahgunaan Prefileged Access

Keengganan untuk mengusut: perusahaan, atas alasan menjaga nama baik, terkadang enggan untuk mengusut kasus pembobolan sistem dan informasi mereka.

2.2.2    Internet Risk:

-          IP Spoofing: penyamaran/meniru IP atau identitas komputer user untuk memperoleh akses atau melakukan sesuatu tanpa ingin diketahui identitasnya (jejaknya). Umumnya dilakukan dengan menyamar sebagai komputer yang ditelah dikenal oleh korban.

-          Serangan yang mematikan layanan (Denial of Service Attack “DOS”):

·        SYN Flood Attack -  Memanfaatkan Paket SYNchronize-ACKnowledge (SYN-ACK), penyerang memulai koneksi kepada server, kemudian dibalas dengan SYN. Penyerang sebagai receiving server tidak akan membalas dengan ACK sehingga server organisasi menjadi sibuk dengan paket yang tidak dapat ditindaklanjuti dan tidak dapat memproses paket yang lain (dari kostumer/clien sebenarnya). Firewall dapat saja mem-blokir alamat yang melakukan Flood Attack, tetapi apabila dikombinasikan dengan IP spoofing, maka akan menjadi lebih sulit karena penyerang akan terus dianggap sebagai alamat yang berbeda.

·        Smurf Attack: melibatkan Perperator (sebagai penyerang), intermediary, dan victim. Ping (sejenis sonar dalam jaringan untuk menguji koneksi) dikirimkan oleh perperator (yang menyamar (IP Spoofing) sebagai victim) kepada intermediary. Intermediary yang jumlahnya banyak dan berada pada subnetwork dari victim, mengirimkan kembali pantulan ping kepada victim. Hal ini membebani lalu lintan data victim dan dapat membuatnya tidak dapat digunakan sebagaimana seharusnya.

·        Distributed Denial of Service (DDos): perperator menciptakan bot atau zombie dalam komputer yang terhubung pada jaringan internet (dalam modul, kasusnya adalah IRC). Komputer-komputer yang telah ditanamkan zombie (disebut botnet) dikendalikan oleh perpetaor dengan zombie control program untuk melakukan serangan yang dapat berupa SYN Flood atau smurf attack. Karena jumlahnya berkali lipat, serangan ini lebih berbahaya.

2.2.3    Alasan Melakukan Dos Attack: menghukum organisasi atau sekedar pamer kemampuan. Alasan keuangan juga bisa menjadi alasan, dengan melakukan serangan dan kemudian meminta bayaran untuk menarik serangan tersebut.

2.2.4    Risiko Kegagalan Peralatan: selain risiko diatas, Data juga berisiko untuk terganggu, rusak, atau hancur akibat terganggunya sistem komunikasi antara senders dan receivers. Kerusakan peralatan juga dapat menyebabkan hilangnya database dan program yang tersimpan di server jaringan.

2.3      MENGENDALIKAN JARINGAN

2.3.1    Mengendalikan risiko dari gangguan (subversive threats)

-          Firewall: sistem yang memaksa kendali akses antara dua jaringan, dimana setiap lalu lintas jaringan harus melewati jaringan dan hanya yang diotorisasi yang dapat melewatinya. Firewall harus kebal dari upaya pembobolan baik dari dalam maupun luar.

·        Network-level Firewall: keamanan yang efisien tapi lemah, bekerja dengan menyaring permintaan akses berdasarkan aturan yang telah diprogramkan

·        Application-level Firewall: sistem yang berkerja dengan cara menjalankan perangkat keamanan berupa proxi yang memperbolehkan layanan rutin untuk lewat, tatapi mampu menjalankan fungsi yang canggih seperti otentifikasi users serta menyediakan log transmisi dan alat audit untuk melaporkan aktivitas yang tidak diotorisasi.

Firewall berlapis juga memungkinkan untuk digunakan.

-          Mengendalikan DOS:

·        Smuff Attack: mengabaikan paket dari situs penyerang segera setelah alamatnya diidentifikasi

·        SYN Flood: (1) Firewall akan menolak semua paket yang berasal dari alamat yg tidak teridentifikasi (2) Software keamanan yang mampu mendeteksi pesan yang tidak diikuti paket ACK, dan segera mengembalikan koneksi yang tidak terbalas.

·        DDos: Intrusion Prevention System (IPS) yang menjalankam deep packet inspection (DPI) dan mengevaluasi keseluruhan isi dari paket pesan. Berbeda dengan inspeksi normal, dengan menginspeksi keseluruhan isi lebih dalam, DPI mampu mengidentifikasi dan mengklasifikasikan paket jahat untuk kemudian ditahan dan diarahkan ke tim keamanan.

-          Enkripsi: mengkonversi data menjadi kode rahasia baik dalam penyimpanan maupun transmisi.

·        Private Key Encription vs Public Key Encryption: Sender membutuhkan Public Key receiver untuk meng-encoding dan mengirim pesan, sedangkan Private Key receiver digunakan untuk meng-decoding pesan agar dapat terbaca. (Figure 3.6)

-          Tanda Tangan Digital (Digital Signature): otentifikasi elektronik yang tidak dapat ditiru. Cara kerja (Figure 3.7)

-          Sertifikat Digital (Digital Certificate): memverifikasi identitas pengirim. Digital Certificate dikeluarkan oleh certification authority (CA). Digital Certificate dikirimkan kepada receiver dan dienkrip dengan CA public key untuk memperoleh sender publick key.

-          Penomoran Urutan Pesan (Message Sequence Numbering): untuk menanggulangi pesan yang dihapus, diubah urutannya, atau diduplikasi oleh penggangu, maka nomor urut ditanamkan pada tiap2 pesan.

-          Log Transaksi Pesan (Message Transaction Log): setiap pesan masuk dan keluar, serta upaya akses terhadap pesan dicatat dalam log transaksi pesan. Log tersebut mencatat user ID, waktu akses, dan asal atau nomor telepon dimana akses berasal.

-          Teknik Permintaan Respon (Request-Response Technique):  pesan kendali dari sender dan respon dari penerima dikirim secara periodik, interval yang tersinkronisasi. Pewaktuan pesan bersifat random sehingga sulit diperdaya.

-          Call-Back Device: otentifikasi sebelum koneksi terjadi, dimana sistem akan memutus dan membalas permintaan koneksi dengan menghubungi caller melalui koneksi baru.

2.3.2    Tujuan Audit yang berhubungan dengan Subversive Threats: menjamin keamanan dan keabsahan transaksi financial dengan menentukan apakah network kontrol:

1.      Mendeteksi dan mencegah akses ilegal baik dari dalam maupun dari luar

2.      Setiap data yang berhasil dicuri menjadi tidak berguna

3.      Secara layak menjamin integritas dan keamanan fisik dari data yang terkoneksi ke jaringan

Beberapa contoh upaya audit terhadap Subversive Threads:

o   menilai kemampuan firewall

o   menguji kemampuan IPS dengan DPI

o   Mereview kebijakan administratif penggunaan data encription key

o   Mereview log transaksi pesan, apakah semua pesan sampai tujuan

o   Menguji call-back feature

2.3.3    Mengendalikan Risiko dari Kegagalan Peralatan:

o   Line Errors: rusaknya data (bit structure) kerena gangguan dari saluran komunikasi.

o   Echo Check: receiver mengembalikan pesan kepada sender untuk dibandingkan.

o   Parity Check: penambahan ekstra bit dalam pesan. Jumlah parity bit (1 maupun 0) haruslah sama dari saat dikirim dengan saat diterima. Hanya saja, terkadang, gangguan dapat mengubah bit secara simultan, sehingga error tidak terdeteksi. Antara Vertical Parity Bit dan Horizontal Parity Bit, Horizontal cenderung lebih dapat diandalkan. (Figure 3.8)

2.4       ELECTRONIC DATA INTERCHANGE (EDI)

2.4.1    EDI: supplier dan customer sebagai trading partner membentuk perjanjian dimana: pertukaran informasi yang dapat diproses dengan computer antar perusahaan dalam format standar. Dalam EDI, transaksi diproses secara otomatis, bahkan dalam EDI murni, keterlibatan manusai dalam otoriasi transaksi ditiadakan. Bentuk EDI (Figure 3.9) dan EDI yang menggunakan Value-Added Network (Figure 3.10)

 Salah satu format EDI yang digunakan di Amerika adalah American National Standards Institute (ANSI) X.12 Format. Sedangkan standar yang digunakan secara internasional adalah EDI for Administration, Commerce, and Transport (EDIFACT) format.

2.4.2    Keuntungan EDI:

o   Data Keying: mengurangi kebutuhan entri data

o   Error Reduction: mengurangi kesalahan interpretasi dan klasifikasi manusia, dan kehilangan dokumen

o   Pengurangan kertas

o   Mengurangi biaya pengiriman dokumen

o   Otomatisasi Prosedur

o   Pengurangan persedian

      

Financial EDI: menggunakan Electronic Funds Transfer (EFT) lebih kompleks daripada EDI pada pembelian dan penjualan. Bentuknya adalah sebagai berikut (Figure 3.13)

EDI pembeli menerima tagihan pemebelian dan secara otomatis menyetujui pembayaran. Pada tanggal pembayaran, sistem pembeli secara otomatis membuat EFT kepada bank sumber (OBK). OBK mentransfer dana dari rekening pembeli kepada Bank Penampungan (ACH). ACH kemudian mentransfer dana tersebut kepada RBK, yaitu rekening penjual.

Masalah dapat muncul karena cek transfer dana biasanya untuk pembayaran beberapa tagihan, atau hanya sebagian, perbedaan persetujuan harga, kerusakan barang, atau pengiriman yang belum diselesaikan. Permasalahan ini biasanya diselesaikan dengan pesan melekat.

2.4.3    EDI Control:

1.      VAN dibekali dengan proses validasi ID dan password yang memachingkan antara vendor dengan file pelanggan.

2.      Translation Software akan memvalidasi trading partner’s ID dan password dengan file validasi di database perusahaan

3.      Sebelum memproses, software aplikasi lawan transaksi mereferensikan file pelanggan dan vendor yang valid untuk memvalidasi transaksi.

Access Control: agar berjalan dengan lancar, setiap partner harus berbagi akses terhadap data file private yang sebelumnya (dalam cara tradisional) tidak diperbolehkan. Untuk itu, pengaturan mengenai seberapa dalam akses dapat diberikan harus diatur secara jelas. Selain itu, perlindungan juga harus dibuat misalnya data persediaan dan harga dapat dibaca tetapi tidak dapat diubah.

EDI Audit Trail (Jejak Audit): hilangnya penggunaan dokumen menharuskan EDI memiliki control log. (Figure 3.14)

2.4.4    Tujuan Audit Terhadap EDI:

o   menguji terhadap Kendali Otorisasi dan Validasi

o   menguji Access Control

o   menguji kendali Jejak Audit

2.5       PC-BASED ACCOUNTING SYSTEMS

2.5.1    Risiko dan Kendali PC System:

o   Kelemahan OS

o   Access Control yang lemah

o   Pemisahan Tugas yang tidak cukup

o   Multilevel Password Control

o   Risiko kecurian

o   Prosedur Backup yang lemah

o   Risiko terinfeksi Virus

2.5.2    Tujuan Audit yang berhubungan dengan keamanan PC

o   Memastikan bahwa control pada tempatnya untuk melindungi data, program, dan komputer dari akses yang tidak diinginkan, manipulasi, penghancuran, dan pencurian

o   Memastikan pengawasan yang cukup dan adanya prosedur operasional untuk mengkompensasi kurangnya pembagian tugas, programer, dan operator.

o   Memastikan prosedur backup dapat mencegah kehilangan data dan program yang diakibatkan kegagalan sistem, eror, dan sejenisnya.

o   Memastikan bahwa prosedur pemilihan dan perolehan sistem menghasilkan aplikasi yang berkualitas tinggi dan terlindungi dari perubahan yang tidak diinginkan

o   Memastikan bahwa sistem bebas dari virus dan dilindungi secara memadai untuk meminimalkan risiko terindeksi virus atau sejenisnya.

2.5.4    Beberapa prosedur dalam mengaudit keamanan PC

o   Meninjau apakah PC secara fisik terlindungi untuk mengurangi peluang dicuri

o   Memastikan dari bagan organisasi, apakah programer dari sistem akuntansi tidak terlibat sebagai pengguna sistem tersebut. Dalam organisasi yang lebih kecil, pengawasan yang memadai ada untuk mengimbangi kelemahan pembagian tugas tersebut.

o   Auditor mengkonfirmasi apakah transaksi yang diproses, daftar akun yang diupdate, dan total control disiapkan, didistribusikan, dan direkonsiliasi oleh manajemen yang tepat dalam interval rutin dan tepat waktu.

o   Dimana harus diaplikasikan, auditor menentukan bahwa kendali multilevel password digunakan untuk membatasi akses data dan aplikasi sesuai dengan deskripsi pekerjaan.

o   Jika ada, hardisk eksternal dan removeable dilepas dan  disimpan  di tempat yang aman saat tidak digunakan.

o   Dengan menguji sampel backup, auditor memverifikasi apakah prosedur backup dilaksanakan dengan benar. Dengan membandingkan isi data dan tanggal pada tempat backup dengan file asal, auditor dapat mengetahui frekuensi dan kecukupan prosedur backup. Jika menggunakan media backup online, auditor harus memastikan bahwa kontraknya masih berlaku dan sesuai dengan kebutuhan organisasi.

o   Dengan sampel PC, auditor memastikan bahwa paket software komersial diperoleh dari vendor yang terpercaya dan merupakan salinan sah. Proses perolehan sendiri harus mengakomodasi kebutuhan organisasi

o   Antivirus haruslah terinstal pada setiap perangkat komputer dan pengaktivannya merupakan bagian dari prosedur startup saat komputer dinyalakan. Hal ini untuk memastikan bahwa setiap sekmen penting dari hard disk diperiksa sebelum data apapun ditransfer melalui jaringan. Setiap perubahan software (update) harus terlebih dahulu dicek terhadap virus sebelum digunakan. Domain publik discan terhadap virus sebelum digunakan. Dan antivirus versi terkini haruslah tersedia untuk semua user.

BAB III

DAFTAR PUSTAKA

http://dinus.ac.id/repository/docs/ajar/Davis_-_IT_Auditing_-_2011.pdf