Study Kasus Mengenai Resiko

Berikut ini adalah kisah cerita seputar bagaimana kita menilai resiko. Resiko terhadap sebuah web server publik yang dioperasikan oleh Kementrian Pertahanan Polandia (http://www.wp.mil.pl/). Pada 3 September 2003 lalu saat perang Iraq, tentara Polandia memegang kendali atas sebuah divisi multinasional di Iraq. Sebuah kelompok hacker yang anti perang Iraq bernama Code Not Bombs tidak senang dengan keterlibatan Polandia dalam perang. Salah satu anggota mereka yang bernama N@te ingin mempermalukan Polandia dengan cara menerbitkan berita palsu di situs Kementrian Pertahanan. N@te menemukan bahwa meskipun www.wp.mil.pl dijalankan dengan Apache, tetapi versi OpenSSL yang dipakai merupan versi lama dan lemah terhadap serangan buffer-overflow. Jika memang keinginan N@te sangat kuat, dia bisa melakukannya. Pihak militer Polandia menghabiskan $10.000 pertahun untuk perawatan website tersebut. Akan tetapi, serangan terhadap nama baik negara akan beberapa kali lebih besar dampaknya.

Berdasarkan cerita di atas, kita akan menghitung persamaan resiko yang ada. Kita diperbolehkan menggunakan skala angka menurut kita sendiri. Pada kasus ini, kita anggap 5 berarti bahaya, sedangkan 1 bisa diabaikan. Berikut ini table perhitungan resiko sesuai dengan cerita di atas dan dengan menggunakan skala angka yang sudah ditentukan.

Faktor	Deskripsi	Nilai perkiraan	Alasan rasional
Threat	N@te, anggota kelompok hacker Code Not Bombs	5	Dia memiliki kemampuan dan keinginan untuk melakukan kerusakan ke website pemerintah Polandia.
Vulnerability	Proses OpenSSL pada www.wp.mil.pl yang belum di patch	5	Vulnerability memungkinkan compromise terhadap root dari remote, sehingga N@te memiliki akses total. Tidak ada tindak lanjut untuk membatasi akses hacker dijalankan.
Asset value	Kurang lebih $10.000	4	Untuk web server, diperkirakan memiliki rating 2 atau 3, karena bertindak sebagai website public relation, tapi kerusakan berupa pencemaran nama baik negara Polandia bernilai lebih tinggi.
Risk	Hilangnya integritas dan kendali administrator terhadap website www.wp.mil.pl	100	Risk = threat x vulnerability x asset value 100 = 5 x 5 x 4

Apa web server milik Polandia aman? Untuk menjawab pertanyaan ini, kita haru kembali mengingat definisi dari security: Security adalah proses menjaga resiko yang dirasakan tetap pada tingkatan yang dapat diterima. Pertama kita asumsikan militer Polandia merasa tidak ada orang yang dapat merusak web server mereka. Jika administrator yakin bahwa ancaman terhadap www.wp.mil.pl adalah nol, maka resiko kerugian yang mereka rasakan adalah nol. Pihak militer Polandia memperkirakan web server milik mereka sangat aman.

Persepsi adalah kunci untuk memahami security. Beberapa orang akan tertawa ketika diberitahu, "Dunia telah berubah pada 11 September, 2001." Jika pengamat menganggap ancaman kecil, maka resiko yang dirasakan kecil dan perasaan aman akan tinggi. Peristiwa 11 September merubah sebagian besar persepsi masyarakat terhadap ancaman, dengan demikian merubah persamaan resiko milik mereka. Bagi siapapun yang berada di komunitas intelejen, dunia tidak berubah pada 11 September. Komunitas intelejen sudah mengetahui adanya ribuan potensi pelaku kejahatan dan sudah menghabiskan waktu bertahun-tahun untuk menvegah mereka melakukan kerusakan.

Sekarang kita asumsikan pihak militer Polandia mewaspadai adanya kelompok hacker yang membenci keterlibatan Polandia di Iraq. Ketika threat sudah diidentifikasikan, adanya celah-celah keamanan (vulnerability) jadi lebih diperhatikan. Threat adalah kunci terhadap security, namun sebagian besar orang berkonsentrasi pada vulnerability. Para peneliti mengumumkan ribuan vulnerability perangkat lunak setiap tahunnya, tapi mungkin hanya beberapa orang yang memanfaatkannya untuk eksploitasi. Mengenali pihak-pihak yang memiliki kemampuan dan kemauan untuk melakukan kerusakan lebih penting daripada mencoba memperbaiki seluruh vulnerability yang ada pada software.

Dengan mengetahui siapa yang bisa merugikan perusahaan dan bagaimana mereka melakukannya, staff security bisa berkonsentrasi pada vulnerability yang bersifat kritis terlebih dahulu, dan menunda celah keamanan yang kurang critical untuk diperbaiki nanti. Vunerbility mengenai Simple Network Management Protocol (SNMP) yang diterbitkan pada Februari 2002 menerima tanggapan yang luar biasa, karena sebagian besar perangkat jaringan menawarkan menyediakan management melalui SNMP. Namun demikian, tidak diikuti dengan adanya penyebaran eksploitasi terhadap SNMP. Hal ini bisa karena pihak-pihak jahat memilih untuk tidak menulis kode yang mengeksploitasi SNMP, atau bisa juga karena mereka tidak memiliki niatan jahat terhadap target yang menggunakan perangkat SNMP yang memiliki vulnerability. (Kemungkinan lainnya adalah ratusan atau ribuan perangkat SNMP, seperti router, sudah diam-diam berhasil compromise. Router cenderung "berbohong" jika tanpa adanya produk NIDS).

Kontras dengan kejadian pada 2003 ketika banyak ditemukan vulnerability untuk Windows Remote Procedure Call (RPC). Banyak pihak jahat yang menulis kode exploit untuk service Windows RPC selama 2003. Kode otomatis semisal Blaster (salah satu contoh worm) mengeksploitasi Windows RPC dan mengakibatkan kerugian jutaan dolar untuk kerugian produksi dan biaya pembersihan.

Mari pertimbangkan lagi vulnerability OpenSSL pada website milik Polandia. Jika pihak Polandia tidak mewaspadai andanya vulnerability, mereka mungkin memperkirakan keamanan website mereka tinggi. Ketika mereka telah mengetahui adanya vulnerability, mereka segera merubah persepsi mereka dan mengetahui besarnya resiko terhadap server mereka. Kemudian sangat diperlukan adanya tindak lanjut (countermeasure). Countermeasure adalah tahapan-tahapan untuk membatasi kemungkinan adanya insiden atau dampak dari compromise, apabile N@te mebyerang website Polandia. Countermeasure tidak secara langsung berdampak pada risk equation, namun countermeasure tetap memiliki peran penting dalam risk assessment (perkiraan resiko). Menerapkan countermeasure mengurangi rating vulnerability, sedangkan tanpa countermeasure memberikan dampak sebaliknya. Sebagai contoh, melarang akses ke www.wp.mil.pl jika tanpa sertifikat digital mengurangi profile vulnerability dari web server. Hanya mengijinkan akses dari alamat IP tertentu juga memiliki dampak yang sama.

Countermeasure juga bisa diterapkan terhadap threat. Countermeasure bisa digunakan untuk mengurangi kemampuan atau niatan dari pihak penyerang. Andai saja pemerintah Polandia memberikan bantuan dana kepada kelompok Code Not Bombs, N@te mungkin berubah pikiran tentang keterlibatan Polandia di Iraq. Jika Polandia menahan N@te karena kejahatan yang pernah dilakukan sebelumnya, maka kelompok Code Not Bombs telah kehilangan senjata cyber utama mereka.

Bagaimana kita memperkirakan resiko jika tidak ada penyerang? Website pemerintah Polandia bisa di hosting pada sistem 486-class dengan menggunakan hardisk berusia 10 tahun. Usia hardisk bukanlah sebuah ancaman karena hardware lama bukanlah sebuah entiti aktif yang memiliki niatan dan kemampuan. Akan lebih baik jika kita gunakan istilah tidak efisien, yang mana merupakan sebuah cacat karakteristik dari sebuah asset yang bisa menyebabkan kegagalan meskipun tanpa adanya serangan. Kegagalan beroperasi karena tidak efisien bisa dianggap resiko, meski biasanya masalah seperti ini lebih merupakan masalah keandalan.

Materi diambil dari The Tao of Network Security Monitoring: Beyond Intrusion Detection

Tweet