Thursday, September 8, 2011

Pengenalan Ethical Hacking 2

Hacktivisme
(Sambungan dari...)
Hacktivisme
Mengacu pada gagasan hacking dengan atau untuk alasan tertentu. Terdiri dari hacker dengan agenda sosial atau politik. Bertujuan mengirim pesan melalui kegiatan hacking mereka dan memperoleh visibilitas untuk tujuan mereka. Target umum meliputi instansi pemerintah, perusahaan multinasional, atau badan lain yang dianggap buruk/salah oleh suatu kelompok atau individu. Ini masih sebuah fakta, bagaimanapun juga mendapatkan akses tidak sah adalah kejahatan, tidak peduli apapun niatnya.

Kelas-kelas Hacker
Black Hat
• Individu dengan kemampuan komputasi yang luar biasa, beralih pada kegiatan berbahaya atau merusak. Juga dikenal sebagai cracker.
White Hat
• Individu mengakui ketrampilan hacker tersebut dan menggunakan mereka untuk tujuan pertahanan. Juga dikenal sebagai analis keamanan.
Gray Hat
• Individu yang bekerja baik ofensif dan defensif pada berbagai waktu.
Suicide Hacker
• Individu yang bertujuan untuk menjatuhkan infrastruktur penting untuk sebuah "alasan" dan jangan khawatir mereka akan menghadapi 30 tahun penjara atas tindakannya.

Kelas-kelas Ethical Hacker
Mantan Black Hat
• Memperbaiki cracker
• Pengalaman pertama kali
• Sedikit kredibilitas yang dirasakan

White Hat
• Konsultan keamanan yang independen (mungkin kelompok juga)
• Diklaim lebih berpengetahuan mengenai kegiatan black hat

Konsultan Perusahaan
• Bagian dari perusahaan TIK
• Kredensial yang baik

Apa yang dilakukan Ethical Hacker?
"Jika kamu mengetahui musuhmu dan dirimu, kamu tidak perlu takut hasil dari 100 pertempuran." – Sun Tzu, Art of War

Hacker beretika mencoba menjawab pertanyaan-pertanyaan berikut:
• Apa yang dapat penyusup lihat pada sistem target? (fase Reconnaissance dan Scanning)
• Apa yang bisa penyusup lakukan dengan informasi itu? (fase Gaining Access dan Maintaining Access)
• Apakah target mendapat pemberitahuan upaya penyusup atau kesuksesannya? (fase Reconnaissance dan Covering Track)

Jika disewa oleh suatu organisasi, seorang hacker beretika bertanya kepada organisasi apa yang harus dilindungi, terhadap siapa, dan apa sumber daya yang bersedia untuk mendapatkan perlindungan.

Dapatkah hacking beretika?
Hacker
• Mengacu pada seseorang yang suka belajar detail dari sistem komputer dan mengasah kemampuannya.
Cracker
• Mengacu pada seseorang yang menggunakan kemampuan hacking untuk tujuan ofensif
Hacking
• Menjelaskan perkembangan yang cepat dari program-program baru atau reverse engineering dari perangkat lunak yang sudah ada untuk membuat kode lebih baik dan lebih efisien.
Ethical Hacker
• Mengacu kepada profesional keamanan yang menerapkan keahlian hacking mereka untuk tujuan defensif.

Cara menjadi ethical hacker
Untuk menjadi hakcer yang beretika, Anda harus memenuhi persyaratan sebagai berikut:
Harus memiliki ketrampilan pemrograman dan menguasai jaringan komputer.
Harus akrab dengan penelitian vulnerability.
Harus memiliki penguasaan dalam teknik hacking yang berbeda.
Harus siap untuk mengikuti kode etik yang ketat

Profil keahlian ethical hacker
Seorang ahli yang mahir terhadap teknis komputer.
Memiliki pengetahuan mendalam tentang platform target, seperti Windows, Unix, dan Linux.
Memiliki pengetahuan yang cukup mulai dari jaringan, perangkat keras yang berhubungan, dan perangkat lunak.
Pengetahuan tentang bidang keamanan dan isu-isu terkait.
Dengan kata lain, Anda harus memiliki "teknis tinggi" untuk memulai serangan yang canggih.

Apa itu penelitian vulnerability?
Menemukan vulnerability dan merancang kelemahan yang akan membuka sistem operasi dan aplikasi untuk menyerang atau disalahgunakan. Mencakup studi dinamis produk dan teknologi dan penilaian berlangsung dari hacking underground. Inovasi yang relevan dirilis dalam bentuk peringatan dan dikirim dalam perbaikan produk untuk sistem keamanan. Dapat diklasifikasikan berdasarkan:
• Tingkat keparahan (rendah, sedang dan tinggi)
• Jangkauan ekploitasi (lokal atau remote)

Mengapa hacker butuh penelitian vulnerability?
Untuk mengidentifikasi dan memperbaiki vulnerability yang ada di jaringan.
Untuk melindungi jaringan dari serangan penyusup.
Untuk mendapatkan informasi yang membantu mencegah masalah keamanan.
Untuk mengumpulkan informasi tentang virus.
Untuk menemukan kelemahan dalam jaringan dan mengingatkan administrator jaringan sebelum terjadinya serangan.
Untuk mengetahui bagaimana memulihkan diri dari serangan jaringan.

Peralatan penelitian vulnerability
US-CERT (United States Computer Emergency Readiness Team) menerbitkan informasi mengenai berbagai kerentanan dalam "US-CERT Vulnerabilities Notes".
• Mirip dengan peringatan, tetapi berisi sedikit informasi
• Tidak mengandung solusi untuk semua vulnerability
• Berisi vulnerability yang memenuhi kriteria tertentu
• Berisi informasi yang berguna untuk administrator
• Catatan vulnerability dapat dicari dengan beberapa bidang kunci: nama, nomor ID vulnerability, dan nama CVE
• Dapat mengecek dengan katalog CVE (Common Vulnerabilities and Exposures)

Situs-situs penelitian vulnerability
National Vulnerability Database - nvd.nist.gov
SecurityTracker! - www.securitytracker.com
SecuriTeam - www.securiteam.com
Secunia - secunia.com/product/
Hackerstorm - www.hackerstorm.com
HackerWatch - www.hackerwatch.org
SecurityFocus - www.securityfocus.com
SecurityMagazine - www.securitymagazine.com
SC Magazine - www.scmagazine.com
MILWORM

Cara melakukan ethical hacking
Langkah 1: Bicarakan dengan klien Anda yang dibutuhkan saat pengujian.
Langkah 2: Siapkan dokumen NDA (Non-disclosure agreement) dan minta klien untuk menandatanganinya.
Langkah 3: Mempersiapkan sebuah tim hacking beretika dan menyusun jadwal untuk pengujian.
Langkah 4: Melakukan tes.
Langkah 5: Menganalisis hasil dan menyiapkan laporan.
Langkah 6: Memberikan laporan kepada klien.
Catatan: Metodologi pengujian penetrasi mendalam dicakup dalam program LPT (Licensed Penetration Tester) EC Council.

Setiap evaluasi keamanan melibatkan tiga komponen:
Persiapan - Pada fase ini, kontrak resmi ditandatangani yang berisi klausa yang menjaga rahasia serta klausa hukum untuk melindungi hacker beretika terhadap tuntutan apapun yang mungkin terjadi selama fase tindakan. Kontrak tersebut juga menguraikan infrastruktur, kegiatan evaluasi, jadwal waktu, dan sumber daya yang tersedia baginya.

Tindakan - Pada fase ini, laporan evaluasi teknis disusun berdasarkan pengujian vulnerability yang potensial.

Kesimpulan - Pada fase ini, hasil evaluasi dikomunikasikan kepada organisasi atau sponsor dan tindakan korektif diambil jika diperlukan.

Pendekatan ethical hacking
Remote network: Pendekatan ini mencoba untuk mensimulasikan penyusup meluncurkan serangan melalui Internet.
Remote dial-up network: Pendekatan ini mencoba untuk mensimulasikan penyusup meluncurkan serangan terhadap modem klien.
Local network: Pendekatan ini mensimulasikan seorang karyawan dengan akses sah mendapatkan akses yang tidak diperbolehkan melalui jaringan lokal.
Mencuri peralatan: Pendekatan ini mensimulasikan pencurian sumber daya informasi penting, seperti laptop yang diambil dari pemiliknya dengan strategi tertentu dan diberikan kepada hacker beretika.
Social engineering:Pendekatan ini mencoba untuk memeriksa integritas dari karyawan organisasi.
Entri fisikal: Pendekatan ini berusaha untuk secara fisik berkompromi dengan infrastruktur TIK organisasi.

Percobaan ethical hacking
Ada berbagai bentuk pengujian keamanan. Contoh termasuk scanning vulnerability, hacking beretika, dan pengujian penetrasi. Pendekatan untuk pengujian ditunjukkan di bawah ini:
Black Box: Dengan tidak adanya pengetahuan sebelumnya terhadap infrastruktur yang akan diuji.
White Box: Dengan pengetahuan yang lengkap dari infrastruktur jaringan.
Grey Box: Juga dikenal sebagai pengujian internal. Ini akan menguji sejauh mana akses oleh orang dalam dalam jaringan.

Penyampaian ethical hacking
Laporan hacking beretika:
• Rincian hasil kegiatan hacking, pencocokan terhadap jadwal kerja yang diputuskan sebelum tahap tindakan.
• Vulnerability yang rinci dan langkah-langkah pencegahan yang disarankan. Hal ini biasanya dikirimkan dalam format hard copy untuk alasan keamanan.

Masalah yang dipertimbangkan:
Tim, informasi sensitif, klausa menjaga rahasia dalam kontrak hukum (memberi informasi yang tepat kepada orang yang tepat), integritas evaluasi.

Kejahatan komputer dan implikasi
Cyber Security Enhancement Act of 2002 bermandat pernyataan hidup hacker yang ceroboh dapat membahayakan kehidupan orang lain. Survei kejahatan komputer dan keamanan yang dilakukan tahun 2002 oleh CSI/FBI mencatat 90% responden mengakui adanya pelanggaran keamanan, tetapi hanya 34 % yang melaporkan kejahatan kepada badan-badan penegak hukum. FBI memperkirakan antara 85-97% gangguan komputer bahkan tidak terdeteksi.

Yang terjadi kemudian
Meskipun niat Jeffrey jujur​​, tindakannya dianggap ilegal.
Hacking ke dalam jaringan tanpa izin sebelumnya dari pihak terkait dan kejelasan hukum dari pengadilan, dianggap sebagai tindak pidana.

Ringkasan
Keamanan kritis di berbagai sektor dan industri.
Ethical Hacking adalah metodologi untuk mensimulasikan serangan berbahaya tanpa menyebabkan kerusakan.
Hacking melibatkan lima tahap yang berbeda.
Evaluasi keamanan meliputi persiapan, tindakan, dan evaluasi.
Kejahatan cyber ​​dapat dibedakan menjadi dua kategori.
U.S.C. § 1029 dan 1030 membahas tentang kejahatan cyber.

No comments: