Definisi mengenai security menyebutkan adanya resiko, yang mana berarti kemungkinan untuk mengalami kerugian atau kehilangan. Resiko digunakan sebagai ukuran bahaya terhadap sebuah asset. Asset adalah segala sesuatu yang memiliki nilai, contoh dalam konteks security misalnya informasi, hardware, properti intelektual, gengsi, dan reputasi. Resiko harus didefinisikan secara eksplisit, misalnya "resiko adanya compromise terhadap integritas dari database customer kita" atau "resiko adanya denial of service terhadap portal banking kita." Resiko sering diungkapkan dengan risk equation (persamaan resiko), yaitu:
Threat (Ancaman)
Threat adalah seseorang atau pihak-pihak yang memiliki kemampuan dan keinginan untuk mengeksploitasi vulnerability yang ada dalam sebuah asset. Definisi threat semacam ini merupakan definisi yang sudah ada sejak puluhan tahun lalu dan hampir disamakan dengan istilah istilah teroris. Threat bisa terstruktur maupun tidak terstruktur.
Threat terstruktur adalah "musuh-musuh" dengan metodologi formal, sponsor finansial, dan tujuan yang jelas. Beberapa contoh diantaranya adalah mata-mata ekonomi, organisasi kriminal, teroris, agen intelejen asing, dan pihak yang menamakan diri mereka information warriors.
Threat tidak terstruktur tidak memiliki metodologi, finansial, dan tujuan seperti pada kategori terstruktur. Para pelaku biasanya hanya melakukan serangan karena rasa penasaran, atau mungkin hanya script code otomatis berjalan. Threat tidak terstruktur termasuk "cracker musiman", malware yang disebarkan tanpa tujuan yang pasti dan user internal yang tidak berwenang.
Beberapa jenis threat agak sulit untuk diklasifikasikan, tapi cenderung masuk ke threat terstruktur. Mereka mengincar compromise secara sistematis dengan jangka waktu lama dan menjaga agar akses tanpa ijin milik mereka tidak diketahui. Threat tidak terstruktur kurang memperhatikan bahwa aktivitas mereka diawasi dan pada banyak kasus mereka hanya mencari ketenaran dengan cara men-deface website atau mempermalukan korban.
Berikut ini adalah contoh kasus mengenai threat, misalkan threat terhadap Amerika Serikat. Sebuah kelompok jahat mungkin membenci Amerika Serikat, tapi kelompok tersebut hanyalah sebuah ancaman kecil jika tidak memiliki senjata atau akses untuk melakukan kerusakan. Amerika Serikat tidak akan membentuk pasukan khusus untuk menginvestigasi negara superpower.
Sekarang kita tingkatkan dari hanya sekedar kelompok kecil, ke sebuah negara, misalnya Inggris atau Uni Sovyet. Ingris memiliki persenjataan nuklir dengan kapal selam yang mampu menenggelamkan Amerika Serikat, namun karena persahabatan kedua negara, menjadikan Inggris bukanlah ancaman bagi Amerika Serikat. Pada tahun 1980-an, Uni Sovyet dengan persenjataan nuklir yang dimiliki dan keinginan untuk memperluas komunisme, merupakan sebuah ancaman. Uni Sovyet memiliki dua hal, keinginan dan kemampuan untuk mengeksplotasi kelemahan pada sistem pertahanan Amerika Serikat.
Mari berpindah dari keamanan nasional ke dunia cyber. Sebuah kelompok hacker dengan motivasi politis terhadap perusahaan minyak dan memiliki kemampuan untuk membuat tools penyerangan untuk tujuan khusus bisa menjadi ancaman terhadap perusahaan minyak Shell. Sebuah worm otomatis yang dilepaskan oleh pihak yang tidak bertanggung jawab merupakan ancaman terhadap setiap target dari worm tersebut. Seorang anak muda yang berniat meng-hack akun email milik kekasihnya namun tidak memahami komputer bukanlah sebuah ancaman. Dia memiliki niat, tetapi tidak memiliki kemampuan untuk melakukan kerusakan.
Ancaman-ancaman yang ada biasanya dinyatakan dalam threat models, yang mana merupakan deskripsi dari lingkungan tempat asset diperkenalkan. Threat model pada awal internet tidak termasuk hacker perusak. Threat model untuk awal produk Microsoft Windows tidak mencakup koneksi global WAN (Wide Area Network). Penempatan suatu asset diluar threat model dimana asset tersebut didesain bisa menimbulkan ekploitasi. Metode dimana sebuah threat dapat menimbulkan kerusakan terhadap asset disebut exploit. Sebuah exploit bisa didapat secara real time oleh manusia, atau bisa di-coding-kan menjadi tools otomatis. Proses dimana dilakukan penilaian terhadap keinginan dan kemampuan untuk melakukan ancaman disebut threat analysis.
Vulnerability
Vulnerability adalah kelemahan dalam sebuah asset yang dapat menyebabkan ekploitasi. Vulnerability bisa timbul karena desain, implementasi atau penyimpanan yang kurang bagus.
Desain yang jelek merupakan kesalahan dari pembuat asset. Sebuah vendor yang membuat code dengan banyak bug akan menghasilkan produk yang rapuh, penyerang yang cerdas akan mengeksplotasi kelemahan arsitektur dari software tersebut. Implementasi merupakan tanggung jawab dari pelanggan yang menempatkan produk tersebut. Meskipun vendor memang harus menyediakan dokumentasi mengenai penggunaan produk dengan baik dan benar, tetapi tetap saja pelanggan yang menggunakan produk tersebut. Maksud dari Penyimpanan adalah kemampuan untuk mengakses produk, diluar tujuan sesungguhnya dari pembuatan produk. Sebuah software yang dirancang dengan bagus harus dapat melakukan fungsinya sesuai tujuan pembuatan dan tidak boleh lebih dari tujuan pembuatan tersebut. Sebuah web server yang dibuat untuk mempublish website di direktori inetpub/wwwroot harus dapat mencegah user keluar dari direktori tersebut dan mengakses command shell. Keputusan yang dibuat oleh vendor dan pelanggan mempengaruhi penyimpanan.
Asset Value
Asset value merupakan ukuran waktu dan sumber daya yang dibutuhkan untuk mengganti asset atau mengembalikannya ke keadaan semula. Istilah lainnya adalah cost of replacement. Sebuah database server yang menyimpan informasi mengenai kartu kredit pelanggan dianggap memiliki asset value yang lebih tinggi dibanding sebuah workstation yang ada dalam lab ujicoba. Cost bisa juga berupa nilai reputasi, brand atau kepercayaan publik tehadap sebuah organisasi.
Tweet
Terima kasih atas infonya, semoga bermanfaat.
BalasHapus