Catatan Kaki Teknologi Informasi

Bandwidth merupakan barang yang mahal. Untuk saat ini kisaran 64 kps dihargai sekitar 4 jt perbulan. Permasalahnnya bandwith 64 kbits itu bukan nilai yang besar. Rata-rata yang didapat pelanggan adalah 64 1:2. Artinya 1 jalur 64 kbits digunakan untuk 2 pelanggan sekaligus.

Sudah bandwidthnya dibatasi terkadang pula disisi user ada yang bertingkah seenaknya. Merasa ada koneksi internet gratis, beberapa user mulai menggunakannya untuk membuka situs-situs tertentu atau mengkoleksi file-file tertentu. Tentu saja alokasi bandwidth yang tersedia semakin menyusut.

Yang merasakan adalah golongan user yang biasa-biasa saja (bukan mania internet), mereka hanya bisa mengelus dada.

Untuk mengatasi hal diatas, agar setiap user mendapat bandwidth yang cukup, pada IPCOP menggunakan aplikasi squid proxy server.

Konfigurasi Squid dapat dilihat pada file Squid.conf, Disini saya akan membahas tentang bagaimana cara kerja file Squid

ada beberapa tag konfigurasi untuk di squid.conf, yaitu :

1. delay_pools <jumlah>
menyatakan berapa banyak bagian/pool yang akan dibuat
misal delay_pools 2

2. delay_class <bagian tipe/class>
menentukan klas/tipe pembagian bandwith dari setiap pool. 1 pool hanya boleh memiliki 1 clas, tidak lebih atau kurang.
bagian merupakan nomer urut dari jumlah pool didelay pool, jadi ada 1 s/d n bagian dimana n merupakan angka jumlah pada delay_pools
tipe merupakan tipe class delay yang dipakai.

Secara umum tipe menyatakan bagaimana cara membagi bandwidth, ada 3 tipe:

tipe/class keterangan
1 semua bandwidth yang ada akan dibagi sama rata untuk semua user squid

ex ada bandwidth 128 dan semua bandwith dipakai untuk browsing
2 membatasi pemakaian bandwith dari total bandwidth yang ada, dan bandwith yang diperuntukan squid akan dibagi semua user dengan sama rata.

ex ada bandwidth 128 dimana 28 kbit dipakai untuk email dan sisanya (128-28) 100 kbit dipakai untuk browsing
3 membatasi pemakaian bandwidth dari total bandwidth yang ada, setiap network class C akan mendapat bandwidth sama besar, setiap user pernetwork akan mendapat bandwidth yang sama besar dari total bandwidth per network

ex: bandwidth tersedia 512 kb, untuk browsing disediakan bandwidth 384 kb, sisanya untuk aktifitas lain.

Di jaringan tersebut ada 3 departement dengan network yang berbeda misal lab (192.168.1.0/24), manajer(192.168.2.0/24), sales(192.168.3.0/24).
nah misah oleh admin di set bahwa pernetwork mendapat jatah 128 kb/s.
maka user di sales akan mendapat pembagian bandwidth sama besar dari total 128 kb/s.
maka user di lab akan mendapat pembagian bandwidth sama besar dari total 128 kb/s.
maka user di manajer akan mendapat pembagian bandwidth sama besar dari total 128 kb/s.

misal:

delay_class 1 2 # pool 1 memakai clas tipe 2
delay_class 2 3 # pool 2 memakai clas tipe 3

#

delay_access <bagian acl>
Memberi batasan siapa saja yang boleh mempergunakan delay pools ini.
Penting untuk diingat sebaiknya setelah menetukan batasan jangan lupa di akhiri dengan deny all.
misal:

delay_access 1 allow manajer
delay_access 1 deny all
delay_access 2 allow sales
delay_access 2 deny all

# delay_parameters
Ini adalah bagian terpenting dari delay pools memberikan aturan main setiap delay pools yang dibentuk.
delay parameter mempunyai format yang disesuaikan dengan tipe/class yang dipakai.
Tapi disetiap tipe yang dipakai ada 1 format baku yaitu restore/max.

restore menunjukkan maksimum kecepatan data yang dapat dilewatkan bila harga max sudah terlampaui, dalam satuan bytes/second

max menunjukkan besar-nya file atau bucket yang dapat dilewatkan tanpa melalui proses delay. dalam satuan bytes.
Yang perlu diperhatikan dari satuan diatas adalah harga restore dimana kita sering menerima/menyewa/membeli bandwidth dari provider dalam satuan bits/second bukan bytes/second. Sedangkan satuan kecepatan yang ditunjukkan oleh Microsoft pada saat mendonlot file adalah bytes/sec.
Sedangkan satuan dari harga max sudah sesuai dengan kebiasaan sehari-hari, dimana kita memberi besaran bytes pada file-file.
1 byte = 8 bit.

SpesialCase: -1/-1 berarti unlimited atau tidak dibatasi pada nilai restore/max

ex: 1000/64000 harga restore sama dengan 8000 bits/sec atau 8 kbits/sec.
Yang artinya user akan mendapat donlot brustable selama file yang akan dibuka lebih kecil dari 64 kbytes, jadi kecepatan bisa diatas 8 kbit/sec.
Bila ternyata file yang dibuka melebihi 64 bytes, maka proses limitasi akan segera dimulai dengan membatasi kecepatan maksimal 8 kbits/s.

class 1
delay_parameters <#pool individual>
ex: delay_parameters 1 1000/64000
Berarti semua network akan mendapat bandwidth yang sama di pool no 1.
Sebesar 1 kbytes/sec (8 kbits/sec), dengan burstable file 64 kb.
class 2
delay_parameters <#pool agregate individual>
ex: delay_parameters 1 32000/32000 1000/64000
Berarti squid akan memakai bandwidth maksimum (32000*8) 256kbits dari semua bandwidth.
Bila terdapat lebih dari 1 network class C, maka total yang dihabiskan tetap 256 kbit/sec
dan tiap user akan mendapat bandwidth maksimum 1 kbytes/sec (8 kbits/sec), dengan burstable file 64 kb.
class 3
delay_parameters <#pool agregate network individual>
ex: delay_parameters 1 32000/32000 8000/8000 1000/64000
Berarti squid akan memakai bandwidth maksimum (32000*8) 256kbits dari semua bandwidth.
Bila terdapat lebih dari 1 network class C, maka setiap network akan dipaksa maksimum sebesar (8000*8) 64 kbits/sec
dan tiap user pada satu network akan mendapat bandwidth maksimum 1 kbytes/sec (8 kbits/sec), dengan burstable file 64 kb.

Contoh 1

dalam 1 network dengan penggunaan bandwidth total tidak dibatasi terdapat beberapa komputer dengan klasifikasi sebagai berikut

* admin, server dengan bandwidth unlimited
* staff dengan bandwidth 1,5 kbytes/sec, bila file yang diakses melebihi 64Kbte
* umum dengan bandwidth 1 kbytes/sec, bila file yang diakses melebihi 32 Kbyte

acl all src 0.0.0.0/0.0.0.0
acl admin src 192.168.1.250/255.255.255.255
acl server src 192.168.1.251/255.255.255.255
acl umum src 192.168.1.0/255.255.255.0
acl staff src 192.168.1.1 192.168.1.111 192.168.1.2 192.168.1.4 192.168.1.71

delay_pools 3

delay_class 1 1
delay_parameters 1 -1/-1
delay_access 1 allow admin
delay_access 1 allow server
delay_access 1 deny all

delay_class 2 1
delay_parameters 2 1500/64000
delay_access 2 allow staf
delay_access 2 deny all

delay_class 3 1
delay_parameters 3 1000/32000
delay_access 3 allow umum
delay_access 3 deny all

Cara mencobanya paling mudah adalah dengan menggunakan donlot manajer semacam DAP, GetRight maka akan terlihat bandwidth sudah dibatasi.
Contoh 2

Delay pools juga dapat digunakan untuk membatasi donlot file untuk extensi tertentu.
Gunakan ACL url_regex untuk mengatasi hal ini.
Contoh dibawah digunakan untuk membatasi donlot file multimedia hingga 1 kByte/sec.

acl multimedia url_regex -i \.mp3$ \.rm$ \.mpg$ \.mpeg$ \.avi$ \.dat$
delay_pools 1
delay_class 1 1
delay_parameters 1 1000/16000
delay_access 1 allow multimedia
delay_access 1 deny ALL

Contoh 3

Bagaimana caranya membuat delay pools untuk membatasi download di siang hari untuk 15 klient sedangkan malam harinya lost asumsi jamnya ( 10:00 - 21:00)

acl LTIME time SMTWHFA 10:00-21:00

acl download url_regex -i ftp \.exe$ \.mp3$ \.mp4$ \.tar.gz$ \.gz$ \.tar.bz2$ \.rpm$ \.zip$ \.rar$
acl download url_regex -i \.avi$ \.mpg$ \.mpeg$ \.rm$ \.iso$ \.wav$ \.mov$ \.dat$ \.mpe$ \.mid$
acl download url_regex -i \.midi$ \.rmi$ \.wma$ \.wmv$ \.ogg$ \.ogm$ \.m1v$ \.mp2$ \.mpa$ \.wax$
acl download url_regex -i \.m3u$ \.asx$ \.wpl$ \.wmx$ \.dvr-ms$ \.snd$ \.au$ \.aif$ \.asf$ \.m2v$
acl download url_regex -i \.m2p$ \.ts$ \.tp$ \.trp$ \.div$ \.divx$ \.mod$ \.vob$ \.aob$ \.dts$
acl download url_regex -i \.ac3$ \.cda$ \.vro$ \.deb$

delay_pools 1

delay_class 1 1
delay_parameters 1 3000/3000
delay_access 1 allow download TIME
delay_access 1 deny all

Contoh 4

Bagaimana caranya membuat delay pools untuk membatasi download di siang hari dengan speed … dan malam hari dengan speed …, abis si bozz malem-nya mau pakai buat dolot.
Jadi pengennya pas malam bw buat user makin kecil, bukan malah di loss

acl JAM_KANTOR time SMTWHFA 07:00-18:00

delay_pools 2 delay_class 1 2
delay_parameters 1 24000/32000 -1/-1
delay_access 1 allow riset JAM_KANTOR
delay_access 1 deny all

delay_class 1 2
delay_parameters 2 8000/8000 -1/-1
delay_access 2 allow riset !JAM_KANTOR
delay_access 2 deny all

Contoh 5

Ada bandwidth besar, 1mbps.
Ingin membatasi yang donlot file besar di atas 5mbyte, di beri speed 32kbps.
Misal bila ada 3 user yang donlot, tiap-tiap user akan mendapat bw maximal 32kbps.

acl user src 192.168.1.0/24

delay_pools 1
delay_class 1 2
delay_parameters 1 40000/10000000 4000/5000000
delay_access 1 allow user download
delay_access 1 deny ALL

Contoh 6

Tentang YouTube, ntuk memaksa caching terhadap youtube ( sesuai wiki.squid-cache.org )

acl youtube dstdomain -i .youtube.com
acl striming url_regex -i get_video\?video_id videodownload\?
cache allow youtube
cache allow striming

dan harap di ingat untuk posisi tsb di atas sebaiknya diletakkan sebelum hierarchy_stoplist
kemudian bisa di gabung ke delay_pool juga

delay_class 2 3
delay_access 2 allow warnet striming
delay_access 2 deny all
delay_parameters 2 -1/-1 -1/-1 3000/200000

hasilnya :

Connection: 0×7f1da510
FD 149, read 555, wrote 6508975
FD desc: http://ash-v97.ash.youtube.com/get_vide XF72VCyt5M
in: buf 0×7fe65000, offset 0, size 4096
peer: 192.168.0.111:3317
me: 127.0.0.1:3127
nrequests: 1
defer: n 0, until 0
uri http://ash-v97.ash.youtube.com/get_vide XF72VCyt5M
log_type TCP_MISS
out.offset 6508872, out.size 6508975
req_sz 555
entry 0×7d24e240/599CDB16D8D8DCB1395E960CD807BD8B
old_entry 0×0/N/A
start 1193286572.113589 (2131.525289 seconds ago)
username -
delay_pool 2 <= terkena delay

untuk delay_pool saya tidak menggunakan domain youtube.com, karena ternyata untuk url streaming nya sebagian hanya menggunakan ip address biasa, sehingga menggunakan regex spt di atas saya rasa lebih efektif.
silakan di eksperimen sendiri untuk regex nya, bisa dg menganalisa access.log atau kalau yg gampang menggunakan sqstat spt yg pernah di post di thread sebelah.

Sekarang saya akan melompat sedikit pada Langkah kelima. Yaitu mencari titik lemah, ternyata walaupun IPCOP telah di set sebagai satu satunya Proxy yang harus dilewati, ternyata Masih saja ada user yang bisa menggunakan Proxy Ekternal, sehingga dia bisa membypass Proxy IPCOP, efeknya tentu saja dia bisa keluar dari pembatasan yang IPCOP sudah tentukan, dan lebih repot lagi kalau proxy eksternal tersebut memberikan bandwith yang lebih besar dari pada proxy IPCOP, sehingga user lain mengalami kelambatan koneksi.

Lantas bagaimana cara mengatasinya ?

Untuk bisa enak dimengertinya, begini, kita anggap ada User yang menggunakan Proxy EKsternal dengan alamat IP 125.160.17.33 port 8080

Kita masuk ke Console Web ke IPCop via browser, kemudian masuk ke menu Status >> Connection

Dari Menu connection IPCop kelihatan bahwa setiap koneksi paket yang terjadi antara jaringan lokal dengan jaringan luar (internet) yang disajikan secara berurutan mulai dari original source IP:port Original Dest. IP:Port Expected Source IP:port Expected Dest. IP:Port

Koneksi tersebut dilengkapi pula dengan warna yang berbeda yang menunjukkan node atau mesin yang dilalui koneksi tersebut. Warna hijau adalah LAN atau komputer client, Merah adalah internet atau server tujuan di internet, kuning merupakan mesin DMZ, Biru adalah komputer client yang konek via wifi, hitam adalah proxy IPCop sendiri, serta terakhir ungu yang mewakili koneksi VPN.

Sebuah koneksi http yang normal dari jaringan lokal (via kabel biasa) ke internet, oleh IPCop pada kolom connection ditampilkan sbb:

1. Original source IP:port akan ditampilkan sebagai LAN dengan warna hijau.
2. Original Dest. IP:Port merupakan tujuannya yang asli di Internet beserta port, sehingga berwarna merah. Kolom ini sebenarnya hanyalah pernyataan tentang tujuan paket saja bukan mewakili mesin yang dilaluinya.
3. Expected Source IP:port seharusnya adalah proxy IPCop sendiri, karena setiap request dari client (LAN) pada port 80 ke internet (koneksi http biasaya memakai port ini) akan melewati proxy IPCOP. Sehingga kolom ini seharusnya berwarna hitam.
4. Expected Dest. IP:port merupakan client lokal tujuan (setelah dari internet) akan ditampilkan kembali sebagai LAN dengan warna hijau. Kenapa kok langsung ke LAN? Bukan IPCop atau hitam? warna hitam dalam hal ini menunjukkan proxy-nya IPCop bukan IPCop secara umum, karena koneksi dari internet tersebut telah dianggap aman sehingga ia tidak melewati proxy IPCop.

Sehingga urutan warna yang benar pada koneksi http yang normal adalah HIJAU-MERAH-HITAM-HIJAU sebagaimana gambar berikut.

Jadi jika ada user yang menggunakan proxy eksternal seperti pada kasus di atas, maka koneksi http-nya akan berurutan (dalam warna: hijau-merah-merah-hitam) seperti gambar berikut:

Dari gambar diatas kita dapat melihat bahwa koneksi dari sebuah client LAN dengan IP 192.168.2.103 (berwarna hijau pada kolom pertama) menuju ke internet ber-IP 125.160.17.33 pada port 8080 (kolom kedua merah) dilakukan secara langsung ke IP dan port tujuan(kolom ketiga berwarna merah). Mestinya ia harus melalui proxy IPCop kita (sehingga kolom ketiga mestinya berwarna hitam). Kemudian ketika paket datang kembali ia malah menuju IPCop (kolom keempat hitam), karena IPCop merasa tidak mengenali paket tersebut sehingga perlu ia tahu.

Dari sini juga kita bisa tahu bahwa koneksi seperti yang ditunjukkan pada gambar diatas adalah koneksi http yang mem-bypass proxy IPCop dari pemakaian port-nya yang 8080, dimana port 8080 adalah port yang jamak digunakan oleh proxy.

Nah jika kita menemui urutan koneksi HIJAU-MERAH-MERAH-HITAM seperti di atas, kita boleh curiga bahwa client tersebut mem-bypass proxy kita dengan memakai proxy lain.

Namun yang perlu diingat, bukan berarti semua koneksi dengan urutan warna seperti di atas adalah koneksi http yang mencurangi proxy kita. Seperti koneksi yang ditunjukkan oleh 2 gambar berikut;

Bagaimana saya tahu bahwa koneksi tersebut tidak memakai proxy eksternal?

Ada dua penjelasan;

1. Port tujuan 5050 digunakan oleh Yahoo messenger (artinya koneksi chatting bukan http)
2. IP tujuan 69.147.84.126 yang jika diperiksa di www.domainwhitepages.com memastikan bahwa IP tersebut milik yahoo.

Terus bagaimana dengan koneksi berikut?

Yang ini kita cukup lihat dari port tujuan 443, dimana port 443 digunakan untuk koneksi secure http (https) bukan http

Pada protokol TCP dan UDP yang digunakan dalam jaringan komputer, sebuah port bukanlah sebuah lubang, namun deret nomer tertentu yang ada pada header sebuah paket data, dimana nomor tersebut diasosiasikan kepada suatu proses atau service tertentu yang sedang berjalan di komputer.

Berikut daftar port yang digunakan secara standar.

Port 20 dan 21 yang digunakan oleh File Transfer Protocol (FTP).

Port 22 digunakan oleh Secure Shell (SSH).

Port 23 digunakan oleh Telnet.

Port 25 digunakan oleh Simple Mail Transfer Protocol (SMTP).

Port 53 digunakan oleh DNS.

Port 69 digunakan oleh Trivial File Transfer Protocol (TFTP).

Port 80 digunakan oleh HTTP.

Port 110 digunakan oleh POP3.

Port 143 digunakan oleh IMAP.

Port 443 digunakan oleh Secure HTTP (HTTPS)

Port 1863 digunakan oleh MSN Messenger

Port 5000-5001 digunakan oleh Yahoo Messenger -voice chat

Port 5050 digunakan oleh Yahoo Messenger chat

Port 5100 digunakan oleh Yahoo Messenger webcams

Port 5190 digunakan oleh AIM (AOL Instant Messenger)

Port 6881-6999 digunakan oleh BitTorrent

Port-port yang digunakan proxy

Banyak Proxy yang menggunakan port 8080 dan 3128. Selain itu beberapa juga menggunakan port 80, 3124, 3127, 3124, 1080, dan 808. Namun sebenarnya proxy dapat menggunakan port apa saja asal port tersebut digunakan oleh aplikasi lain.

Nah setelah kita dapat mengetahui client mana yang memakai proxy eksternal, terus bagaimana cara mem-bloknya?

Untuk itu kita setidaknya membutuhkan 2 data yaitu IP proxy eksternal dan port yang dipakai. Pada kasus saya diatas, saya sudah mendapatkan IP proxy yang dimaksud (125.160.17.33) dan juga port-nya (8080). Sekarang saatnya kita blok via iptables

1. Masuk ke IPCOP pake putty

2. Ketikkan iptables -I FORWARD -p tcp -d 125.160.17.33 dport 8080 -j REJECT

3. Selesai sudah, Beresss!!

Tapi masalahnya bagaimana jika user ini bandel, soalnya Rule ini tidak akan disimpan oleh Iptables . Artinya, setiap kali IPCop reboot, perintah tersebut hilang, sehingga kita musti mengetikkannya kembali jika dibutuhkan. Agar tersimpan permanen, simpan rule tadi di file /etc/rc.d/rc.firewall.local. caranya;

1. Login ke IPCop via winscp

2. Buka file rc.firewall.local di /etc/rc.d

3. Tepat di bawah baris ## add your start rules here tambahkan rule

iptables -I FORWARD -p tcp -d 125.160.17.33 dport 8080 -j REJECT

4. Simpan dan tutup

5. Untuk proxy dan port lain yang ditemukan, silahkan tambahkan dibawah rule pertama, cukup ganti IP dan port-nya.

Ok.. cukup segitu aja… dan sebenarnya masih banyak lagi lubang lubang yang akan kita temukan untuk kemudian kita perlu tambal…

Kita melangkah ke tahap selanjutnya yaitu instalasi Firewall berbasis Linux, yaitu dengan menggunakan IPCop.

Sebelumnya saya ingatkan pembaca hendaknya memahami dulu Satpam Jaringan Bagian ketiga, karena dengan begitu, maka penguasaan Strategi Sekuriti Jaringan akan bisa lebih baik, karena tujuan disini adalah pembelajaran bagi pembaca agar menjadi seorang Satpam Jaringan yang handal.

Agar memudahkan pemahaman kita, maka saya buat dengan Skenario sebagai berikut :

Anda di tugaskan untuk menginstalasi IPCOP buat Jaringan Komputer Kantor, dimana semua komputernya ada sekitar 10 Komputer. Koneksi internet menggunakan telkom speedy, dimana Modem tersebut punya IP Standard yaitu 192.168.1.1.

Spek Minimum Komputer yang digunakan untuk diinstal adalah Pentium 1 hardisk 4 gb memori 128 mb

Mempunyai 2 kartu jaringan di satu PC untuk ipcop, dimana Interface Red untuk Modem Speedy dan Interface Green untuk LAN

Bisa dilihat di gambar ini skemanya

Download IpCop Image

Download terlebih dahulu File Image Ipcop yang berekstension iso di http://www.ipcop.org/download.php pilih link Latest installation CD yang terakhir

Setelah selesai di download, kita akan memburning File Iso hasil download tersebut ke CD.

1. Download dan Install Software Infra Recorder di http://infrarecorder.sourceforge.net/ yaitu software gratis untuk memburning Image File ke CD.
2. Masukkan CD kosong ke CD RW Drive dan pilih Do nothing atau Cancel jika kotak dialog autorun muncul.
3. Buka Infra Recorder dan klik ‘Write Image’ button pada tampilan utama. Atau bisa juga memilih ‘Actions’ menu, lalu ‘Burn image’.
4. Pilih Ipcop image file yang telah di download tadi, lalu klik ‘Open’. Pilih OK.

Setelah selesai, maka berarti CD Instalasi IPCOP telah selesai di buat. Langkah selanjutnya Masukkan CD IpCop ini ke Komputer yang akan diinstall sebagai Firewall Server.

Install IPCOP

Lakukan booting dari CD, hingga muncul tampilan seperti pada gambar. Distro ini sangat kecil, seharusnya proses booting awal ini tidak memakan waktu lama, jika terjadi demikian kemungkinan terjadi masalah dalam proses booting. Setelah muncul tampilan seperti pada gambar, ada beberapa pilihan instalasi, namun untuk proses instal yang masih baru, tinggal kita tekan ENTER untuk memulai proses instalasi

Pilih bahasa yang digunakan untuk peose instalasi (standarnya English), lalu tekan tombol OK hingga muncul tampilan pada gambar berisi pilihan media instalasi, jika kita menggunakan CD, pilih CDROM/USB Key untuk meia instalasinya. Proses instalasi akan berjalan secara otomatis.

Jika instalasi ini merupakan fresh instal (baru), pilih lah SKIP untuk proses restore, karena tidak ada yang perlu di restore

Tahap selanjutnya adalah pemilihan network cards atau NIC. IPCop dapat melakukan probe terhadap NIC kita secara otomatis atau dapat kita pilih secara manual. Sebaiknya gunakan NIC yang terregistrasi oleh IPCop untuk mempermudah proses instalasi driver NIC ini.

Masukkan IP Address yang akan digunakan oleh interface GREEN (misalnya 192.168.0.1). setelah memasukkan IP Address untuk interface tersebut, selanjutnya muncul tampilan untuk setting DHCP address untuk interface GREEN, setelah proses save IPCop akan menginformasikan bahwa proses setup telah berhasil dan akan dilanjutkan ke tahap selanjutnya.

Pilihlah keyboard layout, timezone dan masukkan hostname dan nama domain untuk IPCop firewall yang akan digunakan

Jika kita menggunakan koneksi internet ISDN, kita bisa konfigurasi disini atau jika tidak, bisa kita disable untuk koneksi ISDN ini.

Tahap selanjutnya adalah setup network. Pada menu instalasi Network Configuration Type dan pilihlah tipe konfigurasi sesuai network kita. Misalnya untuk 2 NIC bisa kita pilih tipe konfigurasi GREEN+RED jika koneksi internet kita menggunakan broadband internet yang koneksi dari ISP ke firewall/router kita menggunakan RJ45.

Pilih Drivers and Card Assignment untuk setup interface RED. Pastikan driver untuk interface RED ini sesuai, biasanya dilakukan probe secara otomatis dan akan muncul driver NIC yang belum dialokasikan. Alokasikan untuk interface RED.

Masuklah ke menu Address Settings dan pilih RED Interface. Pilih tipe koneksi internet yang digunakan, ada beberapa pilihan karena kita menggunakan Speedy yang IPnya dinamik maka pilih DHCP.

Jika di network GREEN kita ingin menggunakan DHCP, bisa kita lakukan setup di menu DHCP Server Configuration. Jangan menekan tombol escape pada menu ini, karena step selanjutnya adalah proses setup password untuk akses ke IPCop

Terakhir adalah proses setup password untuk akses ke sistem. Setup password untuk user root (untuk akses secara fisik dan akses SSH ke IPCop), password admin (untuk web interface) dan password backup (untuk akses proses backup). Setelah proses ini, proses instalasi IPCop telah berhasil dilakukan.

Untuk mengakses IPCop yang telah kita install, bukalah address http://:81, misalnya http://192.168.0.1:81.

Update IPCop dengan Addon

Setelah kita install, IPCop masih dalam keadaan standar, untuk Melengkapi Fitur Fitur keamanan maka kita perlu menginstall AddOn, terdapat banyak addon atau plugin tambahan IPCop yang dikembangkan oleh banyak developer, meskipun bukan bagian dari project IPCop sendiri, seperti Advanced Proxy, URL Filter, QoS, email virus checking dan lain lain.

Beberapa daftar addon yang umum digunakan antara lain :
1. Advanced Proxy
2. URL Filter
3. Update Xcelerator
4. Timelimit
5. Block Out Traffic
6. Layer7 Filter
7. P2P Block
8. Layer7 Protocol Blocker
9. QoS

Untuk menginstall AddOn itu, pertama kita harus mendownload terlebih dahulu Addon tersebut, lalu kita upload dari komputer client kita ke Komputer yang sudah kita IpCOP tersebut, dengan memakai tools FTP Client WinSCP, baru untuk kita bisa menginstall lewat Command Line pada IPCOP atau juga bisa lewat SSH Client Putty.

Download FTP dan SSH Client

WinSCP Client

Putty Client

Setelah Tools Client di atas sudah kita download, maka Langkah-langkah menginstall Addonnya pada dasarnya sama, dengan asumsi bahwa yang di maksud dengan package_name.tar.gz adalah nama Addonnya

Untuk melakukan instalasi addon pada IPCop, lakukan langkah-langkah berikut :

1. download addon dalam paket binari (tgz, tar, tar.gz, etc)
2. copy “package_name.tar.gz” ke direktori pilihan kita ( e.g. to “/tmp”, gunakan WinSCP or SCP [ port 222! ] )
3. login ke konsol atau menggunakan koneksi konsol ( via Putty or SSH [ port 222! ] )
4. login sebagai “root”
5. pindah ke direktori dimana kita menyimpan “package_name.tar.gz” (ketik”cd /tmp” )
6. extract file tersebut ( ketik tar xvfz package_name.tar.gz )
7. pindah ke direktori instalasi ( ketik, biasanya “cd package_name” )
8. untuk proses instalasi addon tersebut, ketik ./install -i ( to uninstall type ./install -u )

Contoh menginstall AddOn ipcop

Ada dua addon yang wajib untuk di install pada IPCOP yang masih “perawan” yaitu Advanced Proxy Server dan URL Filter

1. Install Advanced Proxy Server

“Advanced Proxy Server” add-on merupakan add-on “IPCop” untuk web proxy service dengan fitur yang lebih lengkap dibandingkan standar web proxy yang sudah tertanam di IPCop.

Fitur-fitur tambahan selain standar web proxy IPCop antara lain :
1. Full GUI integration
Web akses kompatible dengan IPCop dan mudah untuk navigasinya
2. User authentication
Memiliki model authentication yang beragam (menggunakan local user auth, identd, LDAP, Windows authentication dan RADIUS authentication)
3. Advanced access control
Hak akses bisa kita atur berdasarkan “IP address”, MAC address, Time based, MIME type filter atau berdasarkan software browser di client.

Instalasi Advanced Proxy Server

• Download file ipcop-advproxy-3.0.0.tar.gz disini langsung
• Copy ipcop-advproxy-3.0.0.tar.gz ke direktori tujuan kita ( misalnya ke direktori /tmp, gunakan WinSCP [ port 222 ] )
• Login ke konsol atau menggunakan Putty SSH [ port 222 ]
• Login sebagai root
• Pindah ke direktori dimana kita menyimpan ipcop-advproxy-3.0.0.tar.gz ( ketik cd /tmp )
• Extract file tersebut ( ketik tar xvfz ipcop-advproxy-3.0.0.tar.gz )
• Pindah ke direktori instalasi ( ketik cd ipcop-advproxy )
• Untuk proses instalasi addon tersebut, ketik ./install

Setelah proses instalasi, Advanced Proxy Server akan menggantikan menu “Web Proxy” standar.

2. Install URL Filter

URL Filter merupakan modul IPCop yang paling banyak berperan dalam melakukan filtering domain, URL atau files yang tidak diinginkan. Dikembangkan dengan menggunakan SquidGuard yang sudah terkenal keampuhannya.

Berikut adalah langkah instalasi URL Filter untuk IPCop (copas saja command-nya untuk mempermudah).

Instalasi Advanced URL Filter

• Download file ipcop-urlfilter-1.9.3.tar.gz disini langsung
• Copy ipcop-urlfilter-1.9.3.tar.gz ke direktori tujuan kita ( misalnya ke direktori /tmp, gunakan WinSCP [ port 222 ] )
• Login ke konsol atau menggunakan Putty SSH [ port 222 ]
• Login sebagai root
• Pindah ke direktori dimana kita menyimpan ipcop-urlfilter-1.9.3.tar.gz ( ketik cd /tmp )
• Extract file tersebut ( ketik tar xvfz ipcop-urlfilter-1.9.3.tar.gz )
• Pindah ke direktori instalasi ( ketik cd ipcop-urlfilter )
• Untuk proses instalasi addon tersebut, ketik ./install

Demikianlah Cara menginstalasi IPCOP, jika anda berhasil menyelesaikan tahapan ini berarti secara tidak langsung Anda sudah berhasil mengimplementasi 2 langkah dari lima langkah strategi Sekuriti Jaringan. Nanti kita akan membahas langkah selanjutnya..

NB..

Sering-sering mengupdate Link Link yang berbahaya, masukkan dalam List URL Filter. Berikut adalah situs paling kotor di dunia, di situs tersebut banyak terdapat bermacam-macam virus yang menyebabkan hp/pc anda rusak.

1. 17ebook.com
2. aladel.net
3. bpwhamburgorchardpark.org
4. clicnews.com
5. dfwdiesel.net
6. divineenterprises.net
7. fantasticfilms.ru
8. gardensrestaurantandcatering.com
9. ginedis.com
10. gncr.org
11. hdvideoforums.org
12. hihanin.com
13. kingfamilyphotoalbum.com
14. likaraoke.com
15. mactep.org
16. magic4you.nu
17. marbling.pe
18. krnacjalneg.info
19. pronline.ru
20. purplehoodie.com
21. qsng.cn
22. seksburada.net
23. sportsmansclub.net
24. stock888.cn
25. tathli.com
26. teamclouds.com
27. texaswhitetailfever.com
28. wadefamilytree.org
29. xnescat.info
30. yt118.com

Kemudian ini daftar Website proxy yang cukup berbahaya, karena bisa digunakan untuk membypass Proxy IPCOp, sehingga link ini harus di masukkan di URL Filter agar tidak bisa di akses..

 http://phasebook.in/
 http://hidemyass.com/
 http://www.unblocked.org/
 http://www.invisiblesurfing.com/
 http://www.armyproxy.com/
 http://www.proxymafia.net/
 http://anonymouse.org/
 http://notyourip.com/
 http://ninjaproxy.com/
 http://www.unblockglobal.com/
 http://www.dontyouknow.info/
 http://www.yourpcsucks.com/
 http://www.unblock7.com/
 http://hidemyass.com/
 http://youhide.com/
 http://www.unblockmyfriends.com/
 http://alfrahost.com/
 http://www.go.kraze.info
 http://mayorquimby.info/
 http://armyofdarkness.info/
 https://www.utopianpal.com/
 http://hidezone.pl/
 http://armyofdarkness.info/
 http://noblockschool.info/
 http://www.clickmode.com/
 http://www.network-gateway.info/
 http://thesameip.com/youtube-proxy/
 http://filterbash.info/
 http://goodproxies.info/
 http://schooltounblock.com/
 http://proxymillionpage.com/
 http://kurohost.com/
 http://www.unblockfacebook.me/
 http://www.wormhole-one.net/
 http://0000opengate2.net/
 http://urlsitecloack.com/
 http://bimhost.com/
 http://www.antispam-firewall.info/
 http://lionelhutz.info/
 http://johnnytightlips.info/
 http://fbtu.com/
 http://www.anonyms.org/
 http://unblockingmyspace.info/
 http://lolssl.com/
 http://collegelive.info/
 http://filterblock.info/
 http://www.hiddenpool.info/
 http://suckblocked.info/
 http://awsomesurf.info
 http://bramkaproxy.org
 http://noobel.com/
 http://zysz.com/
 http://commence.info/
 http://junk.name/
 http://fagj.com/
 http://cenq.com/
 http://tvf-extras.com/
 http://w-a.info/
 http://wlyo.com/
 http://zatd.com/
 http://heuo.com/
 http://53631.com/
 http://jvn.in/
 http://proxybooster.cn/
 http://www.osyt.com/index.php
 http://hiddenjack.com/
 http://d82.net/
 http://commence.info/
 http://zum.in/
 http://bullpop.com/
 http://hruy.com/
 http://dpuu.com/
 http://heuo.com/
 http://pvf.in/
 http://kha.in/
 http://advetise.info/
 http://skibob.info/
 http://toplinks.in/
 http://www.pk-salon.com/
 http://lnoy.com/
 http://www.gozend.info/
 http://www.notrailsurf.com/
 http://wlyo.com/
 http://heuo.com/
 http://ikww.com/
 http://easysurfing.cn/
 http://unblocknseek.info/
 http://www.magnoliaway.info/
 http://unblocknsurf.info/
 http://newbbbpro.info/
 http://www.mauveway.info/
 http://junk.name/
 http://www.olivineway.info/
 http://www.puceway.info/
 http://www.whiteway.info/
 http://www.thistleway.info/
 http://www.ngilang.com/
 http://rwvy.com/
 http://coyr.com/
 http://h-4.org
 http://musik.name
 http://asne.info/
 http://lnoy.com/
 http://eksw.com/
 http://www.thaicuisine.mobi/
 http://jumpingdoor.com/
 http://www.surfnow.info/
 https://obei.info/?origin=obei.info
 http://0blox.info
 http://sleex.info/
 http://macromagic.info/

Setelah kita bahas 5 langkah pengamanan Jaringan pada bagian Kedua Kita melangkah ke topik yang lebih serius dan agak berat (Pusing Mode On) tentang Satpam Jaringan, Kita mulai dengan asumsi bahwa anda adalah orang yang mempunyai pengetahuan terbatas tentang Jaringan Komputer tapi ingin segera menjadi seorang Satpam Jaringan yang handal.

Langkah pertama adalah Anda harus benar benar Konsep TCP IP, bukan dengan hapalan tapi dengan pemahaman. Kenapa ? Karena TCP/IP merupakan protokol yang telah diterapkan pada hampir semua hardware dan sistem operasi. TCP IP telah di terapkan pada OS Novel Netware, Mainframe IBM, Sistem digital VMS, Server Microsoft Windows NT, Workstation UNIX, LinuX, FreeBSD dan Personal komputer DOS.

Jadi jelas bagi Satpam Jaringan, pemahaman TCP/IP merupakan dasar dari segalanya, tanpa mempelajari TCP/IP kemungkinan kita tidak dapat melangkah ke tahap berikutnya. Jadi kita tidak bisa menyepelekan pentingnya mempelajari TCP/IP, banyak mereka mengaku dirinya Paham Jaringan Komputer tetapi tidak mengerti sama sekali apa itu TCP/IP.

Seorang Satpam Jaringan bukan hanya bisa menginstall dan mengupdate Anti Virus atau Firewall Personal. Seorang Satpam Jaringan adalah seorang White Hacker yaitu orang yg haus akan pengetahuan, bukan haus akan penghancuran. Untuk menjadi White Hacker dibutuhkan kerja keras, semangat, motivasi yg tinggi serta pemahaman seluk-beluk internet itu sendiri, tanpa hal-hal tersebut mustahil anda dapat menjadi seorang White Hacker yang tangguh.

Anda bisa baca tentang Dasar Dasar TCP/IP di http://asrul.blogdetik.com/dasar-dasar-t…

Tentang IP Versi 6 http://asrul.blogdetik.com/mengenal-ip-v…

Tentang Network Address Translation http://asrul.blogdetik.com/mari-mengenal…

Tentang Aplikasi Internet http://asrul.blogdetik.com/aplikasi-inte…

Tentang Peer to Peer http://asrul.blogdetik.com/peer-to-peer/

Lalu tentang Ethernet http://asrul.blogdetik.com/ethernet/

Semua Artikel itu harus benar benar Anda baca dan pahami !!

Langkah kedua adalah kita belajar menginstalasi Firewall berbasis Linux bukan berbasis Windows, kenapa ? Karena Linux adalah Open Source, lebih transparan, lebih canggih, lebih komplit, lebih menantang, jadi lebih pintar, menjadi bisa berbagi pengalaman di komunitas.

Firewall yang tergantung pada sistem operasi umumnya berupa software, misalnya: SunOS/Solaris (Solstice-1, CheckPoint) WinNT (Altavista, Borderware), Novell (Intranetware), HP-UX (Borderware, CheckPoint), UnixWare (CyberGuard), IBM AIX (CheckPoint). Di sisi lain, jenis yang independen berupa blackbox hardware, misalnya: SunScreen (Sun Microsystem), Instant Internet (Bay Networks), BigFire (NASTechnology), Cisco PIX (Cisco System), Gauntlet (TIS). Dan yang paling banyak dipakai adalah Firewall yang cukup banyak dipakai adalah ISA Server buatan Microsoft, ISA Server berjalan diatas Operating System seperti Windows Server yang berfungsi untuk Sekuriti internet dan Management User dengan feauture yang lengkap, Berupa Bandwith management (ISA Server 2006 tidak ada), Proxy Server, Firewall Policy dan lainya. Dari sekian banyak fitur yang ditawarkan atau dapat diterapkan di ISA Server,feature yang paling populer di Isa server adalah Block Access Domains website dan Aplikasi messenger termasuk situs porno.

Firewall berbasis Linux yang akan kita pelajari adalah IPcop, karena menyediakan fitur simple-to-manage firewall appliance berbasis perangkat keras PC. IPCOP juga merupakan suatu stateful firewall dibuat berdasarkan pada Linux netfilter framework.

IPCOP sangat simple, dan memiliki fitur user-managed unpuk mekanisme update securyty-nya. Bahkan cenderung mudah dipahami untuk yang para pemula, dan handal untuk yang sudah berpengalaman.

Pengembangan IPcop terus berlanjut hingga saat ini sudah mencapai seri rilis 1.4.x. Sekarang sudah dirilis versi 1.4.21 dibulan July 2008. saat ini sedang dikembangkan IPcop Version 2.0.

Walaupun bukan bagian dari komunitas resmi, banyak sekali yang memberikan kontribusi bagi pengembangan IPcop. Pada umumnya mereka membuat modul-modul tambahan yang di kenal sebagai Add-ons. Addons ini memberikan tambahan kemampuan IPCop menjadi lebih handal, beberapa addons yang paling sering digunakan adalah QoS untuk bandwidth management, Advanced Proxy dan Url Filter untuk proxy dan filter akses, E-mail Virus scanner, OpenVPN, dan banyak lagi. Akan kita bahas mengenai addons ini secara terpisah.

“The Bad Packet Stop Here” merupakan slogan yang diusung untuk menjadikan IPCop sebagai firewall yang handal.

Versi terakhir IPcop saat ini adalah versi 1.4.20, yang merupakan rilis terbaru pada saat penulisan.

Web Interface
Pada umumnya Firewall berbasis Linux mempunyai Interface Command Line yang tentunya butuh banyak latihan bagi Admin agar mampu menguasainya. Antar muka Command Line tidaklah dirancang untuk melakukan perintah umum agar bisa sederhana dan mudah dilakukan. IPCOP sendiri telah menyediakan Web Interface sehingga firewall yang sangat mudah dikonfigurasi.

Saya akan jelaskan cara mengatur IPCop dan karena itu akan menghabiskan banyak waktu di dalam antarmuka. Oleh karena itu sangat beruntung bahwa antarmuka IPCOP cukup mudah digunakan dan sangat intuitif. Para pengembang IPCOP telah memutuskan untuk menggunakan antarmuka berbasis di situs yang dibangun ke dalam sistem dengan konsekuensi yang bagi kebanyakan orang, antarmuka yang akrab lingkungan karena sangat memudahkan orang menseting firewall lewat web.

Hanya menggunakan website sebagai Graphical User Interface (GUI) tidak cukup.
Antarmuka masih harus ditetapkan sehingga mudah untuk mengetahui dan mengakses semua fungsi umum.
Sebagian besar fungsi IPCOP terdiri dari Form sederhana, yang merupakan efektif dan mudah mengelola antarmuka.
IPCop tidak unik dalam menggunakan seperti sebuah antarmuka.
Banyak perangkat seperti router kabel SOHO yang dibuat oleh Linksys, DrayTek, dan D-Link memiliki setup yang sama, dan banyak produk high-end dari peralatan Cisco untuk switch HP ProCurve melakukan lebih baik, tapi beberapa ini mengandung semua fitur dan kemudahan penggunaan yang disediakan oleh IPCop.

Network Interface
IPCOP menyediakan sampai empat interface jaringan, masing-masing yang biasanya terhubung ke jaringan yang terpisah. Ini adalah jumlah yang cukup untuk penyebaran IPCop kebanyakan karena jarang memiliki banyak jaringan konvergen pada satu titik dalam jaringan berukuran kecil dan menengah, tetapi IPCop dapat menampung koneksi ke jaringan lebih dari ini melalui penggunaan dari Virtual Private Network (VPN). Keempat jaringan yang tersedia diberikan mengidentifikasi warna untuk kemudahan administrasi.

RED Network Interface
Network ini adalah interface internet atau untrusted network. Pada dasarnya yang dilindungi oleh IPCop adalah network GREEN, BLUE dn ORANGE dari traffic yang berasal dari network RED.

GREEN Network Interface
Interface ini hanya terhubung ke komputer yang dilindungi oleh IPCop. Atau lebih dikenal dengan istilah local network. Traffic ke interface ini diarahkan lewat LAN card yang terpasang di IPCop firewall.

BLUE Network Interface
Interface ini adalah interface pilihan (digunakan jika dibutuhkan) yang dapat digunakan untuk koneksi perangkat wireless di network yang berbeda dari local network. Komputer dibawah interface ini tidak dapat terhubung dengan komputer yang berada di interface GREEN kecuali dikontrol menggunakan pinholes atau via koneksi VPN. Traffic ke interface ini juga diarahkan lewat LAN card yang terpasang di IPCop firewall.

ORANGE Network Interface
Interface ini juga merupakan interface pilihan yang digunakan untuk menempatkan server yang boleh diakses oleh network yang berbeda. Komputer dibawah interface ini tidak dapat terhubung dengan komputer yang berada di interface GREEN atau BLUE kecuali dikontrol menggunakan DMZ pinholes. Traffic ke interface ini juga diarahkan lewat LAN card yang terpasang di IPCop firewall.

Tipe Konfigurasi Network IPCop
Tipe konfigurasi dasar yang digunakan adalah RED/GREEN, dimana IPCop melindungi internal network (GREEN) dari internet. Jika kita memiliki wireless access point, kita dapat menghubungkannya ke interface BLUE dan mengkonfigurasi IPCop untuk membatasi akses di wireless LAN tersebut. Jika kita memiliki beberapa server yang diperbolehkan diakses via internet, dpat kita letakkan di untrusted DMZ pada interface ORANGE.
Interface RED dapat dihubungkan dengan modem atau NIC, terdapat delapan Tipe Konfigurasi Network, yaitu:

GREEN (RED adalah modem/ISDN)
GREEN + RED (RED adalah Ethernet)
GREEN + ORANGE + RED (RED adalah Ethernet)
GREEN + ORANGE (RED adalah modem/ISDN)
GREEN + BLUE + RED (RED adalah Ethernet)
GREEN + BLUE (RED adalah modem/ISDN)
GREEN + BLUE + ORANGE + RED (RED adalah Ethernet)
GREEN + BLUE + ORANGE (RED adalah modem/ISDN)

Kebutuhan Network Interface Card

Model sekuriti IPCop didalam network GREEN adalah fully trusted dan request dari network ini, entah dari user atau dari komputer yang terinfeksi virus, trojan horse atau malware adalah sah dan diperbolehkan lewat oleh IPCop.
Dalam fitur baru pada IPCop 1.4.21 , terdapat Intrusion Detection System (IDS) untuk seluruh interface. Hal ini agar Admin bisa mendeteksi kondisi internal network jika terdapat indikasi infeksi virus atau malware.

Pada bagian empat kita akan bahas Cara Instalasi IPCOP, Install Update dan Maintenancenya.

Melanjutkan dari Bagian Pertama, saya akan menguraikan lagi lebih jelas tentang Lima langkah yang sudah saya sebutkan sebelumnya.

Pertama, Hak Akses

Hak akses adalah hak yang diberikan kepada user untuk mengakses sistem. Dalam strategi sekuriti, setiap objek dalam sistem (user, administrator, software, sistem itu sendiri, dlsb) harus diberikan hanya hak akses yang berguna untuk menunjang fungsi kerja dari objek tersebut saja ( hak akses seminimum mungkin ).  Dengan demikian, aksi objek terhadap sistem dapat dibatasi sehingga objek tidak akan melakukan hal-hal yang membahayakan sekuriti jaringan komputer. Hak akses minimum akan membuat para penyusup dari Internet tidak dapat berbuat banyak saat berhasil menembus sebuah user account pada sistem jaringan komputer. Selain itu, hak akses minimum juga mengurangi bahaya musuh dalam selimut yang mengancam sistem dari dalam.

Kerugian yang ada pada strategi hak akses ini adalah keterbatasan akses yang dimiliki user sehingga dapat menimbulkan ketidaknyamanan pada saat user sedang menjalankan tugasnya. Penyelesaian masalah ini bergantung kepada dua hal yaitu segi perangkat dan segi administrator jaringan dan keduanya saling terikat. Seorang administrator jaringan harus pandai-pandai menyiasati rancangan hak akses yang akan diberikan kepada user agar kebutuhan user dapat terpenuhi tanpa harus mengorbankan tingkat sekuriti. Bila perangkat yang dijalankan memiliki keluwesan dalam hal setting, hal ini akan memudahkan tugas administrator. Bila tidak, administrator harus memutar otak untuk menyiasatinya. Namun bila usaha tersebut telah maksimal dan hasilnya tetap tidak seperti yang diharapkan, ada dua pilihan yang bisa dilakukan yaitu mengganti perangkat atau memberikan pengertian kepada user akan keterbatasan yang ada.

Kedua, Tentang Lapisan Sekuriti dan sistem satu jalur masuk

Lapisan sekuriti adalah seberapa banyak mekanisme sekuriti yang akan digunakan dan tingkatannya, dengan kata lain kita tidak bisa mempertaruhkan seluruh sekuriti jaringan komputer pada satu mekanisme sekuriti saja. Bila satu mekanisme itu gagal melindungi sistem, habislah semua. Oleh karena itu, mekanisme sekuriti harus dibuat lebih dari satu mekanisme. Selain itu, mekanisme-mekanisme tersebut dipasang secara bertingkat/berlapis. Mekanisme sekuriti dapat berupa network security, host/server security, dan human security, dapat pula dikombinasikan sesuai dengan keperluan.

Dalam jaringan komputer, network security dapat dibangun dengan beberapa lapisan. Sebagai contoh, kita bisa membangun firewall dengan dua sub-mekanisme yaitu packet filtering dan proxy system. Mekanisme packet filtering pun dapat dipilah-pilah lagi menjadi beberapa bagian, seperti filtering berdasarkan layanan dan protokol. Setelah lapisan pertama di atas, kita dapat pula membangun lapisan mekanisme selanjutnya. Contohnya, kita bisa menerapkan mekanisme autentifikasi pada setiap paket yang diterima.

Host/server yang memberikan layanan keluar maupun kedalam menjadi titik penting dalam sekuriti jaringan komputer. Pada host security, komponen pada host/server tersebut terutama perangkat lunak perlu dikonfigurasi dengan hati-hati. Layanan Internet seperti SMTP, NFS, Web Service, FTP, dlsb. hanya boleh memberikan layanan sesuai dengan yang direncanakan (features yang tidak utama tidak usah ditampilkan). Sebelum kita tahu pasti tingkat keamanan dari sebuah features dalam software, sebaiknya tidak kita gunakan. Jika kita terpaksa menggunakan features tersebut, kita harus melakukan monitoring yang intensif terhadap segi tersebut.

Human security menyangkut user dan administrator jaringan itu sendiri. Kita dapat memberikan pengarahan tentang sekuriti kepada user dan menanamkan sikap hati-hati ke dalam diri setiap user. Ada baiknya pula bila user-user juga ikut berpartisipasi dalam menjaga dan meningkatkan sekuriti jaringan komputer karena mereka juga bagian dari sistem itu sendiri. Para administrator pun seharusnya lebih berhati-hati dalam bertugas sebab di tangan mereka sekuriti jaringan komputer diletakkan.

Strategi satu jalur masuk adalah cara membuat hanya satu jalan masuk menuju jaringan komputer yang kita miliki. Dengan demikian, hanya satu jalan yang perlu kita awasi dengan penuh dan ketat.

Inti dari strategi ini adalah pengawasan terpusat. Kita bisa mencurahkan sebagian besar daya pengawasan ke titik tersebut sehingga penyusup akan kesulitan menembus jalur tersebut. Jika kita ingin menerapkan strategi ini sepenuhnya, usahakan tidak ada jalur masuk lain selain yang akan kita awasi ketat.

Kelemahan strategi ini adalah bila jalur masuk tersebut berhasil ditembus oleh para penyusup, ia akan langsung mengobrak-abrik jaringan komputer kita. Resiko ini dapat dikurangi dengan membuat pertahanan jalur menjadi berlapis-lapis sehingga memaksa para penyusup untuk menghentikan aksinya.

Untuk mengantisipasi hal tersebut maka perlu dibuatnya Stub sub-network, yaitu sub-jaringan komputer yang hanya memiliki satu jalur keluar masuk sub-jaringan tersebut. Strategi ini digunakan untuk mengisolasi sub-jaringan komputer yang benar-benar memerlukan perlindungan maksimal. Jalur keluar-masuk sub-jaringan tersebut diawasi dengan lebih ketat daripada strategi satu jalur masuk. Contohnya, data-data rahasia perusahaan yang tersimpan dalam sebuah komputer perlu diakses secara langsung oleh beberapa bagian tertentu. Solusinya tentu saja jaringan komputer. Tetapi salah satu bagian tersebut memerlukan hubungan ke jaringan komputer perusahaan yang telah terhubung ke Internet tanpa harus pindah komputer. Nah, di sinilah strategi stub sub-network diperlukan. Jaringan pengakses data rahasia dirancang hanya memiliki satu jalur masuk melalui komputer yang memiliki akses Internet tersebut. Pengawasan lalu lintas data yang melalui komputer tersebut harus dipantau dengan baik dan dapat pula diberlakukan sistem packet filtering pada komputer tersebut.

Ketiga, tentang pemanfaatan Keanekaragaman Software dan hardware

Perangkat lunak dan keras yang ada saat ini memiliki bermacam konfigurasi dan keunggulan. Kita bisa memanfaatkan keanekaragaman perangkat-perangkat ini dalam membangun jaringan komputer kita sesuai dengan kebutuhan. Dengan adanya keanekaragaman perangkat ini, bila terjadi penyusupan terhadap sebuah komputer, ia membutuhkan usaha yang lain untuk menembus komputer yang berbeda. Sebelum kita menggunakan perangkat terutama perangkat lunak, ada baiknya bila kita juga mengetahui sejauh mana tingkat sekuriti yang disediakan oleh perangkat tersebut. Dengan begitu, kita akan memiliki data yang lengkap untuk menentukan kombinasi rancangan sekuriti jaringan komputer kita.

Keempat, Enkripsi Data dan Digital Signature

Salah satu strategi yang paling sering digunakan dalam sekuriti jaringan adalah enkripsi data dan digital signature. Digital signature menggunakan prinsip seperti tanda tangan manusia pada lembar dokumen dan dilakukan secara digital. Ia menyatakan keabsahan si pengirim data bahwa data yang dikirimkan benar-benar berasal dari si pengirim. Pada saat ini, enkripsi data dapat dilakukan di perangkat lunak maupun di perangkat keras. Berbagai jenis metoda enkripsi data pada tingkat aplikasi telah dikembangkan seperti RSA, MD-5, IDEA, SAFER, Skipjack, Blowfish, dlsb. Dengan strategi ini, transfer data dari dan ke jaringan komputer berlangsung secara konfidensial.

Kelima, Mencari Titik Lemah

Sebagaimana bidang sekuriti umumnya, jaringan komputer tidak terlepas dari titik-titik lemah. Titik ini akan lebih banyak tumbuh apabila jaringan komputer yang ada dikoordinir oleh lebih dari satu orang. Jaringan komputer yang besar umumnya berkembang dari jaringan-jaringan komputer yang lebih kecil yang kemudian menggabungkan diri. Selain itu, kadangkala seorang administrator akan mengalami kesulitan bila mengelola sebuah jaringan komputer skala besar seorang diri. Untuk itu, diperlukan koordinasi yang baik antar tiap administrator agar setiap jaringan yang mereka kelola terjamin sekuritinya.

Itulah lima langkah yang biasa digunakan dalam sekuriti jaringan komputer. Dalam pengkajian dan penerapannya, sebaiknya kita tidak percaya sepenuhnya terhadap strategi dan mekanisme yang kita buat. Intinya, kita harus selalu melakukan evaluasi terhadap sekuriti sistem yang kita buat atau kelola. Seiring dengan berkembangnya teknik-teknik penyusupan dan belum ditemukannya kelemahan-kelemahan dalam sekuriti sistem yang telah ada, kita harus selalu dalam keadaan siap dan waspada menghadapi aksi-aksi di luar dugaan.

Kalau kita mau melangkah ke hal yang lebih praktis, pasti anda akan bilang “Bagaimana cara melakukan lima langkah tersebut, sedangkan kemampuan pengetahuan IT Sekuriti saya sendiri masih terbatas.?”

Nah kita akan membahasnya di bagian ketiga

Apa itu Satpam Jaringan?, secara jelasnya adalah Satuan pengaman untuk Jaringan Komputer Perusahaan apalagi yang terhubung dengan jaringan Internet. Lantas apakah itu perlu bukankah sudah ada Anti Virus yang telah diinstall?
Anti Virus memang salah satunya tapi itu saja tidaklah cukup, Sebelum pembicaraan kita jadi ngelantur kemana - mana saya akan bahas latar belakang perlunya Satpam Jaringan.

Apa itu dunia Internet ?

Internet sekarang adalah Sebuah kenyataan komunitas antara DUNIA FISIK dan DUNIA ABSTRAKSI yang telah menghubungkan 1.4 miliar orang di dalamnya.
Internet juga menyimpan nilai bisnis perdagangan Triliunan Dolar dan setiap harinya selama 24 Jam terjadi transaksi bisnis.

Dengan begitu Internet kini adalah sebuah Pasar yang menjanjikan tetapi juga punya nilai resiko yang besar pula.

Di dalam Internet banyak kita mendapat Informasi, Ini terdiri dari data penting dan fakta (berita,laporan, statistik, transaksi, log, dll)
Data ini dapat membuat persepsi ke pasar (publik,politik, gambar, pemasaran, dll)
Data Ini bisa juga merupakan aset berharga (uang, dokumen, password kode, rahasia, dll) Atau Data Ini juga adalah bahan baku pengetahuan (strategi, rencana,intelijen, dll)

Pada akhirnya Internet telah menjelma menjadi Sebuah jaringan raksasa, jaringan di mana orang saling tukar informasi melalui berbagai informasi yang berbeda berbasis digital dengan berbagai cara, yaitu Lewat email, Mailing List, Website, chatting, NewsGroup, Blog. Dengan Internet juga bisa melakukan proses yang semula di lakukan di dunia nyata memakan waktu lebih lama tapi di Internet bisa lebih singkat, misalnya E-commerce, E-marketing, E-goverment.

Tapi karena Internet adalah media terbuka maka resiko ancaman pencurian informasi pun mulai bermunculan. Kecenderungan ini secara data statistik terus meningkat dari waktu ke waktu.

Motif pencurian informasi pun bervariasi dari yang cuman iseng hingga tujuan kriminal.

Jika ini terjadi dapat menyebabkan kerugian ekonomi dan politik dan sulit untuk mengembalikannya kembali.

Ancaman ini bisa datang dari berbagai faktor diantaranya yaitu :

Ancaman dari HAcker
Hacker disini ada beberapa macam yaitu

Black Hats, yaitu individu dengan kemampuan komputasi yang luar biasa, yang mampu mengambil alih sistem komputer atau merusak sistem. Juga dikenal sebagai cracker.

White hats, Biasanya dulu adalah seorang Black Hats menggunakan untuk tujuan pertahanan. Juga dikenal sebagai analis keamanan IT, beberapa bisa di sebut disini adalah Dany Firmansyah yang pernah menjebol situs KPU atau Juny Maimun pendiri Indowebster.

Gray Hats, Yaitu individu yang berkerja pada dua sisi menyerang dan bertahan pada saat yang berbeda, satu contoh bisa saya sebut misalnya Jim geovedi pakar IT Belua.

jenis serangan dari hacker sendiri ada lima macam

1. Serangan Pasif
Termasuk di dalamnya analisa trafik, memonitor komunikasi terbuka, memecah kode trafik yang dienkripsi, menembus informasi untuk proses otentifikasi (misalnya password).
Bagi hacker, menangkap secara pasif data-data di jaringan ini bertujuan mencari celah sebelum menyerang. Serangan pasif bisa memaparkan informasi atau data tanpa sepengetahuan pemiliknya. Contoh serangan pasif ini adalah terpaparnya informasi kartu kredit.

2. Serangan Aktif
Tipe serangan ini berupaya membongkar sistem pengamanan, misalnya dengan memasukan kode-kode berbahaya (malicious code), mencuri atau memodifikasi informasi. Sasaran serangan aktif ini termasuk penyusupan ke jaringan backbone, eksploitasi informasi di tempat transit, penetrasi elektronik, dan menghadang ketika pengguna akan melakukan koneksi jarak jauh.
Serangan aktif ini selain mengakibatkan terpaparnya data, juga denial-of-service, atau modifikasi data.

3. Serangan jarak dekat
Dalam jenis serangan ini, hacker secara fisik berada dekat dari peranti jaringan, sistem atau fasilitas infrastruktur. Serangan ini bertujuan memodifikasi, mengumpulkan atau memblok akses pada informasi. Tipe serangan jarak dekat ini biasanya dilakukan dengan masuk ke lokasi secara tidak sah.

4. Orang dalam
Serangan oleh orang di dalam organisasi ini dibagi menjadi sengaja dan tidak sengaja. Jika dilakukan dengan sengaja, tujuannya untuk mencuri, merusak informasi, menggunakan informasi untuk kejahatan atau memblok akses kepada informasi. Serangan orang dalam yang tidak disengaja lebih disebabkan karena kecerobohan pengguna, tidak ada maksud jahat dalam tipe serangan ini.

5. Serangan distribusi
Tujuan serangan ini adalah memodifikasi peranti keras atau peranti lunak pada saat produksi di pabrik sehingga bisa disalahgunakan di kemudian hari. Dalam serangan ini, hacker sejumlah kode disusupkan ke produk sehingga membuka celah keamanan yang bisa dimanfaatkan untuk tujuan ilegal.

Ancaman dari Script Kiddies
Di sebut seorang script kiddie karena diasumsikan sebagasi seorang anak (kid) yang kurang memiliki kemampuan untuk membuat tools sendiri dan biasanya hanya bertujuan untuk membuat sensasi. Bagaimana pun hal ini dapat menimbulkan banyak masalah bagi para pengguna komputer dan kita yang sering menggunakan internet, biasanya seorang script kiddie mencari target bukan dengan memilih target tetapi lebih mengandalkan hasil scan dari tools yang mendeteksi kelemahan sebuah sistem pada umumnya. Cepat atau lambat tools yang digunakan Seorang script
kiddie akan memberikan hasil scan dari sebuah sistem yang lemah yang nantinya dapat diserang dengan mudah, nah dari dasar itu lah Seorang Script Kiddie menjadi ancaman, siapapun dapat menjadi target selanjutnya karena Script Kiddie tidak menentukan korban tetapi menggunakan hasil scan dari sebuah tools yang mendeteksi kelemahan sebuah sistem.

DI Internet tools tools pendeteksi kelemahan banyak sekali dan bisa di download di internet dan dapat di gunakan dengan mudah walau pun digunakan orang awam sekali pun seperti script ini. Satu yang sangat sederhana yaitu dengan cara menscan
IP/web untuk mencari kelemahan sistem yang dapat di serang dengan mudah, untuk menjadi Seorang script kiddie. Seseorang tidak usah kerja hingga larut malam karena banyak tools yang bekerja secara otomatis jadi bisa kita tinggal beraktivitas dan kita tinggal menunggu hasil scan dari sebuah tool.

Ancaman dari kelemahan sistem Web ataupun Jaringan.
Setiap Web Site ataupun Jaringan pasti punya sisi yang lubang yang bisa dimanfaatkan oleh para peretas sistem, misalkan web site itu berjalan pada Platform Web Server, dan anggaplah kebanyakan Web Server yang di gunakan adalah Apache, ternyata ditemukan lubang pada Apache misalnya disebabkan oleh buffer overflow akibat formulasi panjang URI tertentu atau bug pada logika kode, umumnya telah banyak ditemukan dan dibetulkan. Ini bukan berarti Apache selalu kebal dengan worm. Barangkali saja belum ada orang yang cukup iseng membuat modul yang sebenarnya kuda trojan, untuk disebarluaskan terutama di platform serba biner seperti Windows misalnya. Sepanjang 2008 saja hampir 90 persen serangan hacker memanfaatkan sisi kelemahan yang ditemukan pada sistem operasi dan Web Server.

Dari sebagian keadaan tersebut jelaslah sudah memang perlu adanya sistem sekuriti pada jaringan Komputer yang terhubung dengan Internet, lantas seperti apakah profesi sebagai satpam jaringan itu, sebagai gambaran saya akan memberikan dua kisah yang satu mewakili sisi penjebol Sistem dan yang satu penjaga Sistem.

Pertama kisah tentang Dani Firmansyah Yang menjadi terkenal karena membobol situs Komisi Pemilihan Umum (KPU) hanya untuk mengetes apakah sistem server penghitungan suara betul-betul aman sebagaimana digembar-gemborkan anggota KPU.

Ketika dani berhasil ditangkap Kepada penyidik, pria yang bekerja sebagai konsultan teknologi informasi (TI) PT Danareksa itu mengaku tertantang dengan pernyataan Ketua Kelompok Kerja TI KPU Chusnul Mar’iyah di sebuah tayangan televisi.

Saat itu, Chusnul mengatakan sistem TI seharga Rp152 miliar itu sangat aman dan tidak akan bisa ditembus hacker. Oleh karena itu, Dani mengetes sistem keamanan server tnp.kpu.go.id dengan cara XSS atau Cross Site Scripting dan SQL Injection.

Hal itu ia kerjakan di kantornya di Gedung PT Danareksa, Ia menjadi semakin penasaran sebab selama sehari penuh sistem website KPU itu benar-benar tidak berhasil ditembus.

Namun, pada percobaan berikutnya, ia bisa masuk ke situs yang berpusat di Pusat Tabulasi Nasional, Hotel Borobudur, Jakarta Pusat. Bukan hanya menembus, tapi juga dapat melakukan up date table nama partai pada pukul 11.24:16 sampai 11.34:27 WIB dengan teknik penyesatan.

Nama ke-24 parpol peserta pemilu kemudian diubah menjadi buah dan hewan. Cara Dani mengubah nama partai dengan melakukan hacking dari IP 202.158.10.117 PT Danareksa.

Ia membuka IP Proxy Anonymous Thailand 208.147.1.1 lalu masuk ke IP tnp.kpu.go.id 203.130.201.134. Namun, ketika tersangka mencoba mengubah hasil perolehan suara dengan mengalikan jumlah suara resmi menjadi kilapan 10, ia gagal.

Dani juga sempat menyesatkan pelacakan petugas dengan seolah-olah ia membobol situs KPU dari Warna Warnet di Jl Kaliurang Km 8, Yogyakarta. Dari penelusuran di Yogyakarta, polisi mendapatkan keterangan pelaku merupakan hacker yang sudah pindah ke Jakarta sejak 1 April 2003.

Walau pada akhirnya Dani ditangkap anggota Satuan Reserse Cyber Crime Polda Metro Jaya di tempat kerjanya di kantor PT Danareksa Jl Merdeka Selatan, Jakarta Pusat. Kapolda mengatakan peristiwa ini adalah kasus kejahatan maya pertama yang berhasil diungkap Satuan Cyber Crime yang belum lama ini terbentuk.

“Sah-sah saja bila ada orang yang memiliki kemampuan seperti keahlian Dani. Tapi kalau masuk ke situs orang tanpa izin pemiliknya, itu jelas melanggar hukum,” jelasnya.

Dalam kasus ini, mahasiswa jurusan Hubungan Internasional Universitas Muhammadiyah Yogyakarta angkatan 1999 itu dituduh melakukan tindak pidana memanipulasi akses ke jaringan telekomunikasi. Perbuatan tersebut merupakan kejahatan karena dapat menimbulkan gangguan fisik dan elektromagnetik terhadap penyelenggaraan telekomunikasi dan menghancurkan atau merusak barang.

Sesuai Pasal 22 jo pasal 38 jo pasal 50 UU RI Nomor 36 Tahun 1999 tentang Telekomunikasi dan subsider Pasal 406 KUHP, ia diancam hukuman penjara selama enam tahun dan atau denda paling banyak Rp600 juta.

Bagi beberapa penyidik Cyber Crime, tertangkapnya Dani membuat mereka dapat mengenal lebih dalam cara-cara hacking. “Saya banyak dapat ilmu baru dari dia,” kata seorang penyidik senang.

Kisah kedua adalah Jim Geovedi seorang lulusan SMA yang tidak bisa kuliah karena terbentur dana, kini pemuda ini bisa mendapat penghasilan puluhan juta rupiah setiap bulannya. Dia kini bekerja sebagai konsultan information security di Bellua Asia Pacific.

Saat menghadapi ujian akhir SMU, orang tua yang selama ini menjadi sandaran hidupnya meninggal dunia. Jim yang diterima di sebuah perguruan tinggi negeri sempat memaksakan diri kuliah, tapi akhirnya putus di tengah jalan. “Meski bisa masuk tanpa jalur tes, tapi setelah dihitung-hitung uang yang tersedia tetap tidak cukup,” ceritanya.

Akhirnya Jim pun hanya nongkrong di rumah sambil menonton saluran MTV. Selama dua hingga tiga bulan dia dihinggapi rasa frustrasi karena tidak tahu harus berbuat apa. Lalu tiba-tiba muncul kesadaran di mana dia harus bisa mengubah diri. Ia merasa tidak boleh terus-menerus berada dalam keadaan yang ‘hilang’.

Jim memulainya dengan berteman, membuat majalah underground dan mengisinya dengan resensi musik dan film. Tapi majalah itu hanya bertahan satu edisi. Setelah itu, dia kembali luntang-lantung. Bahkan sempat tinggal di jalanan.

Sampai pada suatu ketika, datang seorang ‘agen perubahan’. Adik Jim dan temannya mengajak kembali mengisi spiritual dengan cara aktif di kegiatan gereja. Seorang senior yang aktif di Gerakan Mahasiswa Kristen Indonesia kemudian menawarkan pekerjaan, membantu mengetik dokumen-dokumen di komputer.

Ternyata tempat Jim bekerja bertetangga dengan kantor konsultan perencana. Kebetulan, kantor itu kekurangan tenaga. Dari situlah Jim mulai mengobrak-abrik komputer dan internet, sampai akhirnya dia menjadi seorang system engineer di sebuah perusahaan asing.

Pada 2001, bersama teman-temannya Jim mendirikan perusahaan konsultan sendiri. Awalnya bergerak di bidang web development, jasa konsultasi informasi teknologi (IT) untuk perusahaan lain, dan akhirnya menjadi konsultasi IT untuk Pemerintah Daerah Jawa Barat.

Pekerjaan rutin Jim Geovedi teman-temannyalah yang sebenarnya menjaga transaksi keuangan atau lalu lintas informasi penting di Internet supaya tidak bocor. Merekalah “satpam” bagi situs perbankan seperti klikbca.com hingga jaringan e-mail perusahaan.

Tapi, setiap kali ditanya apa pekerjaan dia, Jim Geovedi selalu memberikan jawaban yang agak asing di kuping, yakni information security troublemaker. Menurut Jim, tugas dia memang mendatangkan masalah sekaligus menemukan “biang masalah” bagi para kliennya.

Salah satu caranya adalah menguji apakah suatu sistem bisa diterobos atau tidak. Setelah tugas Jim selesai, akan ada banyak tambahan pekerjaan bagi bagian teknologi informasi atau administrator jaringan sang klien untuk memperbaikinya. “Biasanya saya menemukan banyak lubang pada sistem mereka yang bisa ditembus dan perlu ditambal,” katanya.

Komputerlah yang menyedot perhatian dan menariknya dari jalan. Berhari-hari dia bisa tenggelam dalam “kekhusyukan” mengoprek komputer dan sistem jaringan. “Paling sehari tidur cuma beberapa menit,” katanya. Kalau lapar, gampang, “Tinggal tepuk tangan, tunjuk jari, mi goreng datang 10-15 menit kemudian,” katanya sembari terbahak.

Sebagai latihan dan sekaligus menguji kemampuan, dia menyelusup ke dalam jaringan milik perusahaan yang terpampang di Internet. Jika berhasil menembus, kata Jim, biasanya dia cuma tinggal dalam sistem tanpa berbuat apa-apa. Tapi, untuk yang satu ini, dia enggan berbagi banyak cerita. “Itu informasi yang tak bisa dibagi,” ujarnya.

Namun kegiatan ilegal itu sudah lama dia tinggalkan. Sekarang, dengan bekal kemampuan dan pengalaman dia sebagai peretas, Jim sering disewa perusahaan untuk menguji apakah di sistem komputer mereka ada celah yang gampang disusupi. Kendati menolak menyebut penghasilan, dia sudah terbebas dari urusan perut dan tinggal menikmati hidup. Maklumlah, kliennya sejumlah bank dan perusahaan telekomunikasi papan atas Indonesia.

Mari Belajar menjadi seorang Satpam Jaringan.

Nah sekarang kita melangkah pada hal yang praktis, Kita mulai dengan pertanyaan dengan asumsi anda adalah seorang Satpam Jaringan Profesional, yaitu Jika sebuah perusahaan menyewa anda untuk membangun sistem keamanan jaringan di perusahaan tersebut maka langkah-langkah apa saja yang anda lakukan untuk membuat jaringannya menjadi aman dan terproteksi dengan baik?

Jawabannya ada lima langkah disini :

Pertama, Membatasi Hak Akses user Biasa dan hanya Admin saja yang diberi Akses Penuh.
Kedua, Meningkatkan Lapisan Sekuriti dengan system satu jalur masuk bagi user untuk masuk ke akses Jaringan
Ketiga, Memanfaatkan keanekaragaman software dan hardware untuk meningkatkan keamanan
Keempat, Bila memang diperlukan gunakan enkripsi data dan digital signature.
Kelima, Setelah sistem berjalan, maka tetap kita lakukan pemeriksaan apakah ada sistem yang masih berlubang pada jaringan.

Bersambung ke bagian dua