Tinjauan Pustaka
penelitian ini, maka perlu dilakukan tinjauan pustaka mengenai implementasi
security auditor dengan CIS Benchmark yaitu:
Tabel 2. 1 Penelitian sebelumnya
No Penulis Judul Objek Teknologi
1 Dika Priska
Serangan siber adalah sebuah tindakan yang bersifat ofensif yang dilakukan
oleh negara, individu, kelompok, atau organisasi yang menargetkan sebuah sistem
informasi, infrastruktur, jaringan komputer, dan/atau perangkat komputer pribadi
untuk melakukan tindakan berbahaya seperti mencuri data pribadi tanpa
sepengetahuan, melakukan pemalsuan data, atau membocorkan data yang bersifat
rahasia atau melakukan perusakan pada sebuah sistem sehingga tidak berjalan
sebagai mana mestinya.
Data yang dihimpun oleh Pusopskamsinas BSSN, hingga 12 April 2020
telah terjadi 25 serangan siber menggunakan latar belakang isu pandemi Covid-19,
dimana terdapat 17 serangan dengan target secara global dan 8 serangan yang
menargetkan suatu negara. Pada bulan Januari dan Februari masing-masing terjadi
satu serangan siber yang menggunakan latar belakang isu pandemi Covid-19,
serangan tersebut berjenis Malicious Email Phising. Pada bulan Maret terjadi
serangan paling banyak, mencapai 22 serangan siber yang menggunakan latar
belakang isu pandemi Covid-19, serangan tersebut dengan berbagai jenis serangan
diantaranya Trojan HawkEye Reborn, Blackwater malware, BlackNET RAT,
DanaBot Banking Trojan, Spynote RAT, ransomware Netwalker, Cerberus Banking
Trojan, malware Ursnif, Adobot Spyware, Trojan Downloader Metasploit,
Projectspy Spyware, Anubis Banking Trojan, Adware, Hidden Ad (Android),
AhMyth Spyware, Metasploit, Xerxes Bot, dan Covid19 Tracker Apps. Pada bulan
April hanya terjadi satu serangan siber yang menggunakan latar belakang isu
10
pandemi Covid-19, serangan tersebut berjenis Malicious Zoom. Pada tanggal 1
April 2020 tercatat serangan siber yang menggunakan latar belakang isu pandemi
Covid-19 terhadap Aplikasi Zoom secara global dimana aplikasi ini telah disisipi
Malicious Zoom yang menggunakan pengkodean yang berisi modul metasploit,
adware, dan juga hiddenad/hiddad. (BSSN, 2020)
2.2.2 Sistem Manajemen Keamanan Informasi
Keamanan Informasi di dunia maya atau kemanan siber (bahasa inggris :
cyber security) adalah teknologi, proses dan praktik yang dirancang untuk
melindungi jaringan, komputer, program dan data dari serangan, kerusakan atau
akses yang tidak sah. Cyber security juga disebut sebagai upaya untuk melindungi
informasi dari adanya cyber attack. (Phintraco, 2019)
Sistem Manajemen Keamanan Informasi adalah suatu sistem manajemen
yang berhubungan dengan penerapan keamanan informasi di suatu organisasi yang
meliputi kegiatan perancangan, penerapan, dan pemeliharan suatu rangkaian
terpadu proses dan sistem untuk secara efektif mengelola keamanan informasi
khususnya kerahasian, integritas, dan ketersediaan aset informasi sekaligus
meminimalisasi risiko yang menyertainya.
Agar kerangka kerja keamanan siber lebih mudah dipahami, kita pisahkan
menjadi tiga kategori, antara lain :
1. Control Framework (kerangka kerja kendali)
Kerangka kerja dalam lingkup kategori ini contohnya adalah NIST 800-
53 dan CIS Control (CSC). Saat suatu organisasi mau menerapkan sistem
manajemen keamanan informasi biasanya kondisi organisasi relatif belum
11
matang dari perspektif tata kelola dan keamanan TI. Langka mudah yang
diambil umumnya adalah melakukan penentuan basic set of controls untuk
diterapkan. Control framework untuk melakukan hal-hal sebagai berikut :
Melaksanakan proses identifikasi set control yang akan menjadi
baseline.
kapabilitas teknis.
TI.
Kerangka kerja atau framework yang dimasukkan dalam kategori ini
sebagai contoh adalah ISO 27001 dan NIST Cybersecurity Framework.
Umumnya program framework digunakan untuk hal-hal sebagaimana
berikut :
yang ada dalam organisasi
komprehensif
Menyederhanakan proses komunikasi dengan para pemimpin
bisnis
12
standar Sistem Manajemen Keamanan Informasi yang menitikberatkan
pada pengembangan program keamanan, termasuk di dalamnya konteks
organisasi, kepemimpinan, perencanana, support, dokumentasi, operasi,
penilaian kinerja, dan peningkatan berkelanjutan.
3. Risk Framework (Kerangka kerja risiko).
Dalam kategori ini termasuk di dalamnya framework: NIST 800-39,
800-37, 800-30, ISO 27005, dan FAIR. Risk framework memungkinkan
kita dalam memastikan bahwa program keamanan informasi telah dikelola
dengan cara yang bermanfaat bagi stakeholder organisasi dan membantu
dalam menentukan bagaimana cara memprioritaskan aktivitas keamanan.
Risk framework digunakan untuk melakukan hal-hal sebagaimana berikut
dibawah ini :
dan mengelola risiko
Melaksanakan proses identifikasi, pengukuran, dan kuantifikasi
risiko
NIST SP 800-37 (menjelaskan resiko terkait informasi yang berasal dari
federasi), and NIST SP 800-30 (menjelaskan terkait denda yang didapat dari
13
standar internasional yang disupport oleh dua organisasi yang fokus pada
keamanan informasi. (Netsolutionhosting, 2020)
2.2.3 ISO 27001
ISO 27001 adalah standar sistem manajemen yang di terbitkan oleh ISO
(International Organization for Standardization) yang bekerja sama dengan IEC
(International Electrotechnical Commission) yang berfokus kepada sistem
keamanan informasi. Standar ini menggunakan pendekatan manajemen yang
berbasis kontrol berdasarkan analisis risiko. Standar ini banyak diterapkan terutama
bagi perusahaan/organisasi yang menganggap bahwa informasi merupakan aset
perusahaan yang harus dilindungi.(Qyusi Global Indonesia, 2016)
Selanjutnya ISO/IEC 27001 dijelaskan sebagai salah satu metode dengan
standard keamanan informasi yang diterbitkan International Organization for
Standarization dan International Electrotecnical Comission. ISO 27001 juga
didefinisikan sebagai dokumen standar Sistem Manajemen Keamanan Informasi
(SKMI) atau Information Security Management System, biasa disebut ISMS, yang
memberikan gambaran secara umum mengenai apa saja yang harus dilakukan oleh
sebuah institusi dalam usaha mereka untuk mengevaluasi, mengimplementasikan,
dan memelihara keamanan informasi berdasarkan “best practice” dalam
pengamanan informasi.
untuk membantu para pengguna komputer guna membuat sistem mereka lebih
aman (Jr & Schell, 2007). Organisasi ini dibentuk pada Oktober 2000. Misinya
adalah untuk. Organisasi ini berkantor pusat di East Greenbush, New York, dengan
anggota termasuk perusahaan besar, lembaga pemerintah, dan lembaga akademik
(Cisecurity, n.d.).
CIS Sercuirty adalah sebuah metoda yang dikembangkan oleh CIS, yang
memiliki misi untuk identifikasi, pengembangan, validasi, promosi, dan
mempertahankan solusi terbaik untuk pertahanan cyber, membangun mindset
masyarakat untuk meningkatkan lingkungan terpercaya di dunia maya.
CIS Security memiliki program pada lingkungan-lingkungan :
CIS Control
CIS Benchmark
CIS Communities
CIS Cybermarket
CIS Control adalah data yang berisi daftar tindakan defensive berprioritas
tinggi dan sangat efektif yang memberikan titik awal “harus dilakukan, lakukan
pertama” untuk setiap perusahaan yang ingin meningkatkan pertahanan dunia maya
mereka. CIS Control ini ditindaklanjuti untuk pertahanan dunia maya ini
diformulasikan oleh sekelompok pakar TI menggunakan informasi yang
dikumpulkan dari serangan aktual dan pertahanan efektif. CIS Control memberikan
15
panduan khusus dan jalur yang jelas bagi organisasi untuk mencapai tujuan dan
sasaran yang dijelaskan oleh berbagai kerangka hukum, peraturan, dan
kebijakan.(ManageEngine, n.d.)
keamanan siber, sedangkan ISO 27001 adalah sistem manajemen yang
membutuhkan kontrol ini, tetapi memerlukan lapisan manajemen untuk
mendukung kontrol teknis ini. CIS Control tidak memiliki lapisan manajemen ini.
Jika dibandingkan kedua sistem dalam tabel, maka akan terlihat seperti
berikut ini :
Gambar 2. 1 Tabel perbandingan ISO 27001 dan CIS Control
Warna merah memerlukan kajian mendalam agar dapat sesuai dengan ISO
27001 karena CIS Control berfokus pada tindakan defensif yang dapat dilakukan
pada server sedangkan ISO membahas keseluruhan dari manajemen keamanan
informasi. CIS Control tidak dibuat untuk menggantikan kerangka kerja
(framework) yang ada di dunia keamanan cyber seperti NIST, ISO 27001/27002,
PCI DSS, dll. Akan tetapi digunakan sebagai alternatif panduan untuk melakukan
praktik pertahanan terbaik di dunia siber pada tataran organisasi(Prastika et al.,
2018). Dalam melakukan tindakan defensif CIS Control berfokus dengan 20 butir
dari kontrol terhadap manajemen keamanan informasi. Terdapat 3 point penting
17
yaitu Basic CIS Control, Foundational CIS Control dan Organizational CIS
Control, Berikut adalah 20 point kontrol dari CIS Control :
Gambar 2. 2 20 point kontrol dari CIS Control
Kontrol CIS Dasar (Basic CIS Control)
1. Inventarisasi dan Pengendalian Aset Perangkat Keras
2. Inventaris dan Pengendalian Aset Perangkat Lunak
3. Manajemen Kerentanan Berkelanjutan
5. Konfigurasi Aman untuk Perangkat Keras dan Perangkat Lunak pada
Perangkat Seluler, Laptop, Workstation dan Server
6. Pemeliharaan, Pemantauan dan Analisis Log Audit
18
8. Pertahanan Malware
10. Kemampuan Pemulihan Data
dan Switch
15. Kontrol Akses Nirkabel
Kontrol CIS Organisasi (Organizational CIS Control)
17. Terapkan Program Kesadaran Keamanan dan Pelatihan
18. Keamanan Perangkat Lunak Aplikasi
19. Respon dan Manajemen Insiden
20. Tes Penetrasi dan Latihan Tim Merah (CIS Security, n.d.)
2.2.6 CIS Benchmark
CIS Benchmark merupakan garis dasar konfigurasi dan praktik terbaik
untuk mengonfigurasi sistem dengan aman. Setiap rekomendasi panduan merujuk
pada satu atau lebih CIS Control yang dikembangkan untuk membantu organisasi
meningkatkan kemampuan pertahanan dunia maya mereka. CIS Control
memetakan ke banyak standar yang ditetapkan dan kerangka kerja peraturan,
19
termasuk Kerangka Kerja Keamanan Siber (CSF) NIST dan NIST SP 800-53, seri
standar ISO 27000, PCI DSS, HIPAA, dan lainnya. (CIS Security, n.d.)
Dapat diarktikan juga CIS Benchmark adalah sebuah best-pratice yang
diterbitkan oleh Center for Internet Security (CIS) dan didokumentasikan untuk
mengonfigurasi sistem, perangkat lunak, dan jaringan teknologi informasi dengan
aman. CIS Benchmark dikembangkan melalui proses berbasis konsensus unik yang
melibatkan komunitas profesional keamanan siber dan pakar materi pelajaran di
seluruh dunia, yang masing-masing terus mengidentifikasi, menyempurnakan, dan
memvalidasi praktik terbaik keamanan dalam area fokus mereka.
Contoh dokumen dari CIS Benchmark adalah sebagai berikut :
Gambar 2. 3 Isi Dokumen dari CIS Benchmark
20
Dari gambar 2.3 terlihat bahwa dokumen CIS Benchmark berisi penjelasan
terkait script dari setiap audit yang dilakukan pada sebuah sistem dan korelasi apa
yang ingin diaudit agar sesuai dengan kontrol yang sesuai dengan CIS Control,
beserta dengan penilaian berdasarkan CIS Benchmark
2.2.7 PHP
pada sisi server kemudian server yang akan menerjemahkan skrip program,
kemudian hasilnya akan dikirim kepada client yang melakukan permintaan.(Firman
et al., 2016)
PHP adalah salah satu bahasa pemrograman open source yang sangat cocok
atau dikhususkan untuk pengembangan web dan dapat ditanamkan pada sebuah
skripsi HTML. Bahasa PHP dapat dikatakan menggambarkan beberapa bahasa
pemrograman seperti C, Java, dan Perl serta mudah untuk dipelajari.
2.2.8 MySQL
MySQL Merupakan sebuah database server yang free, artinya kita bebas
menggunakan database ini untuk keperluan pribadi atau usaha tanpa harus membeli
atau membayar lisensinya. MySQL pertama kali dirintis oleh seorang programmer
database bernama Michael Widenius. Selain database server, MySQl juga
merupakan program yang dapat mengakses suatu database MySQL yang berposisi
sebagai server, yang berarti program kita berposisi sebagai Client. Jadi MySQL
adalah sebuah database yang dapat digunakan sebagai client mupun
server.(Rahmawita & Fazri, 2018)
MySQL mampu menerima dan mengirimkan data dengan cepat, multi user
serta menggunakan peintah dasar SQL (Structured Query Language), suatu bahasa
permintaan database yang terstruktur. SQL terbagi menjadi tiga bentuk sebagai
berikut:
Merupakan query yang digunakan untuk mendefinisikan data. Contohnya
seperti CREATE, DROP, dan ALTER.
2. DML (Data Manipulation Language)
Merupakan query yang digunakan untuk memanipulasi data. Contohnya
seperti INSERT, UPDATE, dana DELETE.
3. DCL (Data Control Language)
Merupakan query yang digunakan untuk memberikan hak otorisasi
mengakses Database, mengalokasikan space, pendefinisian space, dan
pengauditan penggunaan database. Contohnya seperti GRANT, REVOKE
GRANT, COMMIT, dan ROLLBACK.
Nginx adalah software open-source yang memiliki kinerja tinggi sebagai
server HTTP dan reverse proxy. Nginx dengan cepat memberikan konten statis
dengan penggunaan efisien sumber daya sistem. Hal ini dapat menyebarkan
dinamis HTTP konten di jaringan menggunakan FastCGI handler untuk script, dan
dapat berfungsi sebagai perangkat lunak yang sangat mampu penyeimbang beban.
Nginx dibangun secara modular dan dengan demikian mampu mendukung berbagai
fitur seperti Load Balancing dan Reverse Proxying, Virtual hosts berbasis nama dan
22
IP, Fast CGI, akses langsung ke cache, SSL, Flash Video Streaming dan sejumlah
fitur-fitur standar lainnya. Nginx dapat dijalankan dan tersedia untuk platform
Unix, Linux, varian dari BSD, MacOS X, Solaris, dan Microsoft Windows.(Aziz &
Tampati, 2015)
Dalam penelitian ini penulis menggunakan NGINX sebagai reverse proxy
yang pada penelitian ini berfungsi untuk meneruskan layanan dari docker yang akan
dibuka pada port local dari docker yang kemudian mengkonfigurasi NGINX untuk
membuka ip dari docker tersebut kedalam sebuah virtualhost yang akan dijalankan
pada sebuah subdomain yang mengarah pada IP Publik dari server pool.
2.2.10 Docker
aplikasi-aplikasi terdistribusi. Definisi tersebut membawa pengertian praktis bahwa
Docker merupakan suatu cara memasukkan layanan ke dalam lingkungan terisolasi
bernama container, sehingga layanan tersebut dapat dipaketkan menjadi satu
bersama dengan semua pustaka dan software lain yang dibutuhkan. (Bik, 2017)
Pada penjelasan lain mengatakan bahwa, docker adalah platform perangkat
lunak yang memungkinkan untu membuat, menguji, dan menerapkan aplikasi
dengan cepat. Docker mengemas perangkat lunak ke dalam unit standar yang
disebut kontainer yang memiliki semua yang diperlukan perangkat lunak agar dapat
berfungsi termasuk pustaka, alat sistem, kode, dan waktu proses. Dengan
23
menggunakan Docker, dapat dengan cepat menerapkan dan menskalakan aplikasi
ke lingkungan apa pun dan yakin bahwa kode yang dimiliki akan berjalan. (AWS,
n.d.)
Dapat diartikan juga bahwa docker adalah sebuah virtualisasi yang bersifat
microservices yang memberikan layanan praktis berupa environment sebuah sistem
yang ingin kita buat yang memungkinkan kita untuk melakukan instalasi sebuah
virtualisasi pada sebuah PC/Server yang sifatnya tidak menyeluruh. Misalkan kita
hanya ingin membuat sebuah environment berbasis Apache-PHP maka hanya ada
kedua servis tersebut pada image dan container yang akan dijalankan. Berikut ini
adalah perbedaan dari teknologi container dari Docker dan Virtual Machines pada
umumnya.
Machines(Docker.com, n.d.)