Ruang lingkup: Audit around the
computer
Tahapan Audit Server Web
1.
Melakukan penyamaran identitas Internet
Protocol/IP Spoofing, sebab web server biasanya memiliki aplikasi pendeteksi
kegiatan dan perilaku hacking yang dianggap berbahaya bagi server, dan
secara otomatis melakukan pemblokiran atas Internet Protocol/IP pengakses.
2.
Web Application discovery, melakukan pencarian data aplikasi yang tertanam didalam server
web untuk dipelajari titik lemah dari tiap-tiap aplikasi yang dimiliki server
web kemudian memetakannya.
3.
Memberi saran solusi perbaikan dari
kelemahan yang telah ditemukan.
Aspek Audit Server Web
Aspek-aspek yang dianalisis meliputi:
1.
Site Structure, adalah pemetaan struktur situs web yang terdapat di server web,
seperti susunan folder dan file yang ada didalamnya.
2.
Port Scan, adalah pemetaan Port yang terbuka pada server web.
3.
Network Alerts, adalah pemetaan celah keamanan pada jaringan keluar masuk data
pada server web.
4.
Web Alerts, adalah pemetaan kemungkinan celah keamanan yang ada pada
aplikasi web di server web.
5.
Knowledge Base, adalah pemetaan service yang sedang berjalan pada server
web.
Definisi Web
World Wide Web atau “Web” adalah sebuah system dari keterhubungan, dokumen
hypertext yang berjalan dalam internet. Dengan browser web,
seorang pengguna melihat halaman-halaman web yang berisi teks, gambar,
dan multimedia; dan menghubungkan anatara mereka menggunakan hyperlink. World
Wide Web adalah kombinasi dari empat hal dasar:
1.
Hypertext.
2.
Resource Indentifers.
3.
Model Client-Server.
4.
Markup Language.
Dalam World Wide Web, aplikasi client
menerima informasi, seperti halaman Web atau file komputer lainnya, dari web
server menggunakan URL. Jika aplikasi client tersebut adalah browser
web, maka ia akan menampilkan informasi tersebut pada computer pengguna.
Pengguna kemudian dapat menggunakan hyperlink dalam tiap halaman web untuk
navigasi ke informasi dalam web lainnya. (Wikipedia, 2008)
PERENCANAAN AUDIT SERVER WEB
Perencanaan merupakan suatu sketsa
langkah-langkah awal yang akan dilakukan dalam melakukan
kegiatan audit server web.
1.
Identifikasi
·
Identifikasi Kebutuhan Fungsional
Untuk mengetahui kebutuhan fungsi apa
saja yang harus ada saat melakukan kegiatan audit server web, diperoleh
spesifikasi fungsi sebagai berikut :
1)
Akses internet dengan kecepatan
broadband 512kbps. Pada dasarnya
semakin cepat akses internet yang dimiliki, semakin cepat pula audit
diselesaikan.
2)
Proxy, dengan Koneksi Proxy digunakan
untuk mengganti Internet Protoco /IP sebagai cara untuk menyamarkan
identitas diri saat melakukan analisa celah keamanan server web. adapun proxy
adalah adalah sebuah [peladen [(komputasi)peladen]] (sistem komputer atau
aplikasi) yang bertindak sebagai perantara permintaan dari klien mencari sumber
daya dari server lain. Klien A terhubung ke peladen perantara, meminta beberapa
servis, seperti berkas, koneksi, halaman web, atau sumber daya lainnya, yang
tersedia dari peladen yang berbeda (Wikipedia, 2011).
·
Indentifikasi Kebutuhan Aplikasi
Identifikasi kebutuhan aplikasi
dilakukan untuk mengetahui konten dan media yang digunakan dalam audit server
web.
1)
Indentifikasi Analisa Keamanan Server
Web. Berbagai macam cara untuk menganalisa
server web dan aplikasi didalamnya sehingga dalam penelitian ini menggunakan
beberapa analisa tersebut, yaitu :
a.
Pada aspek Site Stucture,
analisa yang dilakukan adalah analisa Web Scanning
yaitu pada lingkungan aplikasi Web yang ada pada server web. Terbagi menjadi
dua bagian, yaitu :
-
Crawling, adalah teknik menganalisa struktur folder dan file yang tersedia
di aplikasi web.
-
Scanning, adalah teknik menganalisa folder dan file yang ada kemudian
mencari kelemahan keamanan didalam sourcecode.
b.
Pada aspek Port Scan, analisa
yang dilakukan yakni analisa memetakan Port yang terbuka pada server web.
c.
Pada Aspek Network Alert,
analisa yang dilakukan yakni mencatat kelemahan jaringan yang terhubung ke
server web.
d.
Target Finding, adalah sebuah penelusur port yang memungkinkan
Anda untuk mencari server web (port 80, 443) dalam rentang alamat IP
tertentu. Jika web server ditemukan, pemindai juga akan menampilkan header
respon server dan perangkat lunak server.
e.
Sub Domain Scanning, Menggunakan berbagai teknik dan menebak-nebak nama sub domain
umum, Sub domain scanner memungkinkan identifikasi yang cepat dan
mudah ke sub domain aktif.
f.
Blind SQL Injection, Ideal untuk penguji penetrasi, Blind SQL injection adalah
sebuah teknik ekstraksi basis data bertujuan untuk menganalisis lebih lanjut
dan melaporkan kemungkinan kelemahan injeksi SQL. bekerja dengan cara
menghitung database, tabel, data dump dan juga membaca file tertentu pada
sistem file dari web server jika eksploitasi SQL injection ditemukan.
g.
HTTP Editing, memungkinkan untuk membuat permintaan HTTP dan melakukan debug
HTTP baik permintaan dan tanggapan. Ini juga mencakup sebuah encoding dan
decoding alat untuk encode / decode teks dan URL untuk hash MD5, UTF-7 format
dan banyak format lainnya.
h.
HTTP Fuzzy, Dengan HTTP Fuzzy dapat meluncurkan serangkaian tes fuzzy,
untuk menguji aplikasi web dalam menangani data acak, tidak valid dan tak
terduga. Sebuah contoh akan menjadi URL berikut: http://www.test.com/berita.php?idberita=1 Menggunakan HTTP Fuzzy dapat membuat aturan yang secara
otomatis akan mengganti bagian terakhir dari URL '1 'dengan angka antara 1 dan
999. Hanya hasil yang valid akan dilaporkan. Tingkat otomatisasi ini
memungkinkan untuk dengan cepat menguji hasil dari 1000 query
tanpa harus melakukan satu per satu.
i.
Authentication Tester, adalah melakukan dictionary attack terhadap halaman login
yang menggunakan kedua HTTP (NTLM v1, v2 NTLM, digest) atau bentuk berdasarkan
otentikasi. Biasa menggunakan dua file teks standar (kamus) yang berisi
daftar nama pengguna umum dan password. Dapat pula menambahkan
sendiri kombinasi untuk file-file teks.
2)
Identifikasi Kebutuhan Hardware
Kebutuhan hardware yang
dicantumkan sesuai dengan hardware yang digunakan peneliti dalam melakukan
penelitian ini, yaitu :
a.
Perangkat Laptop AXIOO NEON MNW dengan
spesifikasi Processor Core2Duo 2 GHz, Memory 2GHz, VGA SIS Mirage
3 128Mb
b.
Modem Broadband TPLINK untuk Sambungan
Internet Broadband Telkom Speedy.
INSTRUMEN/ALAT AUDIT
Software yang Digunakan Dalam Audit Server Web
Dalam audit server web ini, digunakan
undaOS sebagai Operating System dengan aplikasi
penunjang yaitu nmap
1. Linux
undaOS
undaOS Sistem
Operasi berbasis Open Source Linux yang dikembangkan oleh Team Pengembang
Sistem Universitas Darwan Ali, yang dikembangkan dari Linux Ubuntu dan Linux
Backtrak. UndaOS dikembangkan untuk tujuan kemudahan bermigrasi dari Sistem
Operasi Windows dan juga memiliki kelebihan dibidang keamanannya terutama dalam
memenuhi keamanan bertransaksi e-commerce dan ebanking.
2. Nmap
Nmap (Network Mapper)
adalah
scanner keamanan yang aslinya ditulis oleh Gordon Lyon (juga dikenal dengan
nama samaran Fyodor Vaskovich) digunakan untuk menemukan host dan
service di jaringan komputer, sehingga menciptakan peta jaringan. (Wikipedia,
2011)
3.
Mozilla
Firefox Web Browser
Mozilla Firefox (aslinya
bernama Phoenix dan kemudian untuk sesaat dikenal sebagai Mozilla
Firebird) adalah penjelajah web antar-platform gratis yang
dikembangkan oleh Yayasan Mozilla dan ratusan sukarelawan. Versi 3.0
dirilis pada 17 Juni 2008 (Wikipedia, 2011).
Server Web
Server web adalah sebuah
perangkat lunak server yang berfungsi menerima permintaan HTTP atau HTTPS dari
klien yang dikenal dengan browser web dan mengirimkan kembali hasilnya
dalam bentuk halaman-halaman web yang umumnya berbentuk dokumen HTML. Server web
yang terkenal diantaranya adalah Apache dan Microsoft Internet
Information Service (IIS). Apache merupakan server web
antarplatform, sedangkan IIS hanya dapat beroperasi di sistem
operasi Windows. Server web juga dapat berarti komputer yang
berfungsi seperti definisi di atas (Wikipedia, 2011).
Komponen Server Web
Ada empat komponen dalam sistem
aplikasi web, yaitu klien yang biasanya web browser, web frontend
server, aplikasi server dan untuk sebagian besar aplikasi, database
server. Diagram berikut memperlihatkan bagaimana komponen bekerja.
Aplikasi server web memiliki semua
aplikasi, yang dapat berupa script, tools atau file binary.
Web server front-end bertindak sebagai antarmuka aplikasi ke dunia
luar, menerima masukan dari klien web melalui form HTML dan HTTP, dan
memberikan output yang dihasilkan oleh aplikasi dalam bentuk halaman
HTML. Secara internal, aplikasi antarmuka dengan database server back-end untuk
melakukan transaksi. Firewall diasumsikan dikonfigurasi ketat, sehingga
apa yang masuk dan keluar dimonitor dan dibatasi.
