Ketika kita membuka sebuah halaman website, sebenarnya ada proses apa saja dibalik terbukanya halaman website tersebut? Pertanyaan itulah yang akan mengarahkan kita kepada salah satu pengetahuan tentang information gathering yang biasanya digunakan oleh para penyusup untuk memasuki sistem suatu website. Seperti yang sudah kami jelaskan pada tulisan sebelumnya bahwa information gathering adalah suatu proses penting yang tidak akan dilewatkan oleh para penyusup untuk dilakukan sehingga mereka bisa mendapatkan lebih banyak informasi tentang sistem yang menjadi target. Sistem target yang akan dibahas dalam tulisan ini adalah sebuah website.

Sebelum kami membahas lebih jauh tentang informasi apa yang dicari oleh para penyusup terhadap suatu website melalui HTTP Protocol Basic, ada baiknya anda mengetahui beberapa istilah dibawah ini.

HTTP adalah sebuah protokol dimana adanya pertukaran pesan antara client dan server. Pesan ini terdiri dari dua bagian utama yaitu “Header” dan “Message Body“. Yang disebut dengan Header adalah seperti tampak pada Gambar 1, sedangkan yang disebut dengan Message Body adalah sorce code yang membentuk halaman website yang sedang dibuka.

HTTP Protocol dibagi menjadi dua yaitu :
a. HTTP Request

Gambar 1. HTTP Request  Header  dari www.google.com

Ini adalah apa yang terjadi ketika kita membuka browser dan mengetikkan url www.google.com, maka request HTTP ke www.google.com dimulai, apa yang anda lihat pada gambar di atas adalah Header atau yang di sebut HTTP Request Headers. Koneksi ke www.google.com pada port 80 dimulai sebelum mengirimkan perintah HTTP ke web server .

Ketika kita melakukan permintaan untuk membuka website www.google.com ada beberapa bagian yg diperlukan, yaitu :

a.1. Request Method
Ini adalah jenis permintaan yang juga dikenal sebagai HTTP Verb. Tipe Request Method adalah :
GET : verb ini digunakan untuk meminta resource yang spesifik, misalnya : ada sebuah website yang meminta anda untuk memasukkan nama anda dan kemudian klik submit, maka pernyataan GET akan terlihat seperti ini :

GET /page.php?name=indri HTTP/1.1
POST : verb ini digunakan untuk mengirimkan data ke bentuk html dan argumen berada di body request.
PUT : dapat digunakan untuk mengupload file ke server
DELETE : digunakan untuk menghapus resource / file tertentu dari web server
OPTIONS : digunakan untuk query web server tentang verb yang digunakan.

a.2. Host Header
HTTP Headers memiliki struktur sebagai berikut :

Header-name: Header-value

Host header mengijinkan web server untuk host beberapa website pada alamat IP sama. ini berarti anda harus menentukan website yang anda inginkan di host header.
contoh : http://www.google.com

a.3. Protocol
Ini adalah versi HTTP protokol dari browser dalam berkomunikasi dengan web server (HTTP/1.1).

a.4. Path
Ini adalah alamat file yang anda minta, contoh : /downloads/index.php

a.5. Host Value
Contoh jika anda ingin menuju ke host : www.google.com host value + path akan menjadi rangkaian URL yang anda minta.

a.6. Accept Header
Ini digunakan oleh browser untuk menentukan jenis dokumen yang diharapkan sebagai hasil dari permintaan anda.

a.7. Host user agent
User agent menampilkan versi browser, sistem operasi dan bahasa untuk remote web server. semua web browser memiliki user agent untuk identifikasi mereka sendiri. ini adalah bagaimana website mengenali jenis browser yang digunakan.
contoh :

user-agent : Mozilla/5.0 (windows; U; Windows NT 6.1; it; rv:1.9.2.2) Gecko/20100316 Firefox/3.6.2 GTBDFffGTB7.0

a.8. Header Connection
Perbedaan antara HTTP/1.1 dengan HTTP/1.0, yaitu penggunaan hubungan persistent / kuat.

• HTTP/1.0 membuka satu koneksi untuk tiap permintaan URI, header = Connection: close.
• HTTP/1.1 dapat menggunakan sebuah koneksi TCP untuk beberapa permintaan URI (persistent), header = Connection: Keep-Alive

b. HTTP Response
Menanggapi Permintaan HTTP, web server akan merespon dengan sumber daya yang diminta sebelumnya oleh sejumlah Headers. Header ini akan digunakan oleh browser web untuk menafsirkan isi yang ada dalam Respon content.

Gambar 2. HTTP Response pada www.google.com

b.1. Cache headers
Header Cache memungkinkan Browser dan Server untuk bertukar informasi tentang cache content. Cache contents menghemat bandwidth karena mencegah browser untuk meminta content yang tidak dimodifikasi ketika sumber daya yang sama akan digunakan.

b.2. Server header
Header Server berisi banner dari Web Server. Apache dan IIS adalah web server umum. Google menggunakan sebuah banner web server custom yang disebut sebagai “GWS” (Google Web Server).

b.3. Via header
Via Header hadir ketika sambungan telah melalui proxy. Proxy adalah web server khusus untuk pengiriman cache content agar lebih cepat

b.4. Content
Ini adalah content dari resource yang diminta. Konten dapat menjadi halaman web html, dokumen atau file binery. Jenis konten terkandung dalam header Content-type

2. Arti penting Information Gathering di HTTP Protrocol

Untuk membuka suatu website dibutuhkan Request Method, jika kita bisa mengetahui Request Method apa saja yang digunakan untuk membuka halaman suatu website, maka besar sekali kemungkinan penyusup dapat memanfaatkannya. Contohnya, jika penyusup mengetahui bahwa request method yang di ijinkan adalah “OPTIONS”, maka penyusup bisa mengetahui seluruh Request Method yang di ijinkan di halaman tersebut selain “OPTIONS”, seperti tampak pada Gambar 3.

Gambar 3. Request Method yang di ijinkan di halaman website

Lalu bagaimana cara penyusup bisa mengetahui Request Method yang di ijinkan ? Sebut saja sebuah tool yang bernama Burp Suite, dengan Burp Suite penyusup hanya perlu memasukkan alamat URL dari suatu halaman website, maka penyusup tersebut dapat mengetahui Request Method yang di ijinkan di halaman web tersebut.
Pada Gambar 3, terlihat Request Method yang di ijinkan di antaranya ada “TRACE”, dengan menggunakan Request Method “TRACE”, penyusup dapat meng- capture cookies dari client yang aktif (dampaknya sama dengan serangan XSS).

Server Header juga merupakan informasi penting yang dibutuhkan oleh penyusup. Jika beruntung mendapatkan banner dari web server lengkap dengan versinya maka penyusup dapat memanfaatkan informasi tersebut untuk mencari kelemahan, salah satu nya jika versi dari banner tersebut masih menggunakan versi lama atau belum di patch maka berpeluang untuk di serang dengan menggunakan metode DoS.

3. Solusi Pencegahan
Dari penjelasan di atas, kita bisa mengetahui bagaimana cara seorang penyusup bisa melakukan serangan pada system website kita. Sebenarnya, penyusup dapat melakukan serangan apabila penyusup telah memiliki informasi yang lengkap. Jika seorang pengaman data telah mengetahui hal itu, maka solusi yang bisa dilakukan adalah menutup segala kemungkinan agar penyusup tidak mendapatkan informasi yang dibutuhkan.
Untuk kasus HTTP Protocol ini, informasi yang sangat dibutuhkan oleh penyusup adalah mengetahui Request Method yang di ijinkan, terutama “OPTIONS” dan banner dari web server.
Pertanyaan selanjutnya, bagaimana cara menutup Request Method “OPTIONS” dan banner dari web server tersebut?

Untuk menutup Request Method “OPTIONS” adalah :
Misalnya halaman web yang digunakan untuk menyimpan file images, Request Method “OPTIONS” terbuka. Anggap saja tempat untuk menyimpan file images itu ada di directory “C:/xampp/htdocs/dvwa/dvwa/images/”, maka langkah-langkah nya adalah seperti dibawah ini.

Berikut ini setting di httpd.conf yang merupakan vulnerability misconfiguration.

Untuk solusi nya, bisa dilakukan sedikit perubahan terhadap setting nya di file tersebut.

Untuk menutup informasi banner dari web server bisa dilakukan dengan merubah konfigurasi “ServerSignature On” menjadi “ServerSignature Off” pada file httpd.conf.

4. Informasi untuk pembaca
Tulisan ini dibuat untuk membantu tugas dari para pengaman data, bukan untuk membantu tugas dari para penyusup
Mohon maaf, apabila teknik-teknik detil untuk penyusup tidak dibahas pada tulisan ini.

Penulis:
- Indri (indri.cantik@gmail.com)
- Mark (mark.rizal@gmail.com)

Related posts:

1. [umum] Pengenalan Keamanan Sistem IT
2. HTML5 Web Socket
3. 3 Hal Penting Dalam Optimasi Web

mendesain list dengan CSS3

Mendesain sebuah list untuk sebuah website memang harus penuh trik. Banyak cara untuk menjadikan sebuah list menjadi lebih keren dan enak dilihat. Orang bebas menggunakan teknik yang mana. Pada tulisan ini akan saya ulas teknik mendesain list menggunakan CSS3.

Pada contoh kali ini ada beberapa elemen CSS3 yang saya gunakan, diantaranya transform:rotate(360deg) untuk memutar elemen, box-shadow untuk memberikan bayangan pada obyek, border-radius untuk membuat lengkungan, transition:all .3s ease-out untuk memperhalus gerakan, dan content:counter(li); counter-increment:li; untuk membuat penomoran. Mari langsung praktek saja!

Script HTML

Buatlah sebuah file bernama index.html dan masukkan script di bawah ini.

<ol>
<li><a href="">Nasi Goreng Kambing</a></li>
<li><a href="">Bestik Lidah Kuah Segar</a></li>
<li><a href="">Aneka Masakan Soto</a>
<ol>
<li><a href="">Soto Sokaraja</a></li>
<li><a href="">Soto Seger Mbok Giyem Solo</a></li>
<li><a href="">Soto Tangkar Pipi Sapi</a></li>
<li><a href="">Soto Sulung</a></li>
<li><a href="">Soto Kadipiro</a></li>
</ol>
</li>
<li><a href="">Sirloin Hot Plate</a></li>
<li><a href="">Gado-Gado</a></li>
</ol>

Script CSS

Kemudian masukkan script CSS ini untuk memberikan style pada list yang telah dibuat di HTML. Script CSS bisa dimasukkan secara internal di file index.html atau bisa juga dipanggil dengan cara ekternal dalam file yang terpisah.

body{
background:#333 url(wood.png) repeat;
color:#FFF;
font: 15px arial, sans-serif;
}
.wrapper{
width:500px;
margin:0 auto;
top:50%;
bottom:50%;
}
ol{
counter-reset: li;
list-style: none;
*list-style: decimal;
padding: 0;
margin-bottom: 4em;
text-shadow: 0 1px 0 rgba(255,255,255,.5);
}

ol ol{
margin: 0 0 0 2em;
}
.list-keren a{
position: relative;
display: block;
padding: .6em .4em .6em 2em;
*padding: .4em;
margin: .5em 0;
background: #333;
color: #FFF;
text-decoration: none;
-moz-border-radius: .3em;
-webkit-border-radius: .3em;
border-radius: .3em;
box-shadow:1px 1px 1px #000000 inset;
-moz-box-shadow:1px 1px 1px #000000 inset;
-webkit-box-shadow:1px 1px 1px #000000 inset;
-webkit-transition: all .3s ease-out;
-moz-transition: all .3s ease-out;
-ms-transition: all .3s ease-out;
-o-transition: all .3s ease-out;
transition: all .3s ease-out;
}

.list-keren a:hover{
background: #222;
box-shadow:1px 1px 1px #000000 inset;
-moz-box-shadow:1px 1px 1px #000000 inset;
-webkit-box-shadow:1px 1px 1px #000000 inset;
}

.list-keren a:hover:before{
-moz-transform: rotate(360deg);
-webkit-transform: rotate(360deg);
-moz-transform: rotate(360deg);
-ms-transform: rotate(360deg);
-o-transform: rotate(360deg);
transform: rotate(360deg);
}

.list-keren a:before{
content: counter(li);
counter-increment: li;
position: absolute;
left: -1.3em;
top: 50%;
margin-top: -1.3em;
background: #333;
height: 2em;
width: 2em;
line-height: 2em;
border: 0.3em solid #F79C09;
text-align: center;
font-weight: bold;
-moz-border-radius: 2em;
-webkit-border-radius: 2em;
border-radius: 2em;
-webkit-transition: all .3s ease-out;
-moz-transition: all .3s ease-out;
-ms-transition: all .3s ease-out;
-o-transition: all .3s ease-out;
transition: all .3s ease-out;
box-shadow:1px 1px 2px #000 inset;
-moz-box-shadow:1px 1px 2px #000 inset;
-webkit-box-shadow:1px 1px 2px #000 inset;
}
small a{text-decoration:none; color:#fff;font-weight:bold;}
small a:hover{text-decoration:underline;}

Nah,  kalau langkah memasang kode di atas berjalan dengan lancar maka hasilnya langsung bisa dilihat di browser.

Browser Support

Teknik ini telah sukses dicoba di browser Firefox 12. Untuk browser Chrome 19 lancar hanya saja animasi CSS3 yang rotate(360deg) belum bisa jalan.

Referensi Bacaan

http://www.w3.org/TR/CSS21/generate.html#counters

Untuk lebih jelasnya silahkan lihat demo yang sudah saya sertakan. Semoga bermanfaat

Related posts:

1. Membuat Form Pendaftaran “Multi-Step” Dengan CSS3 & jQuery
2. CSS: Konsep Triangle Border dan Speech Bubble
3. Membuat Menu Cantik dengan CSS3 Generator

Google Drive dari Play Store -- Sebelum dan Sesudah

Ya, tampilan di atas adalah screenshoot dari aplikasi Google Drive pada ponsel Android yang sudah ada di Play Store. Ini bukan aplikasi yang “fresh from the oven”, kan? Karena sejatinya Google Drive ini hanya memperbaharui produk Google sebelumnya, Google Docs.

Pun dengan aplikasi web-nya, datang-datang sudah disuguhi tampilan khas dari Google Docs dan file-file saya langsung membuat saya tidak lupa diri..

Saya belum berpikiran bahwa Google Drive ini adalah pesaing Dropbox karena “pandangan pertama” sudah jatuh kepada, “Ah,, ini hanya update dan penambahan fitur desktop dari Google Docs”. Namun bisa saja pikiran saya tentang ini salah besar.

Belum mencoba apakah Google Drive bisa difungsikan sebagai repository yang dipadukan dengan GIT seperti pada artikel Git+Dropbox, 7 Langkah Backup Repository Privat. Karena Google Drive sendiri juga baru saja launching dan artikel ini bersifat intipan..

Namun inilah beberapa layanan yang ditawarkan Google Drive:

• User diberikan modal sebesar 5GB secara gratis. Upgrade kapasitas sebesar 25 GB dikenakan biaya $2.49/bulan, 100GB  $4.99/bulan, atau 1TB $49.99/bulan.
• File berupa dokumen (Office) tidak dihitung besarannya. Atau file-file tersebut tidak akan mengikis kuota penyimpanan.
• Drive memiliki kemampuan untuk membuka kurang lebih 30 tipe file secara native di browser. (Adobe Photoshop, Illustrator dan video HD)

Lalu, apa kesan pertama Anda mengenai Google Drive ini? Berkesan atau terlalu jauh dari ekspetasi?

Related posts:

1. Blogspot Luncurkan Tampilan Blog Versi Mobile
2. Opera 11: Fitur baru Extensions dan Tab Stacking
3. Kesan Pertama Pakai Google Plus (Google+)

Untuk mengganti tipe tabel (Engine) MyISAM ke InnoDB bisa ditempuh dengan berbagai macam cara, bisa menggunakan PHP untuk programming yang terhubung ke MYSQL, Bash, Python, dll.

Di Tips ini, saya merasa tertantang untuk menggunakan Native SQL Procedure, selain kita tidak perlu instalasi bahasa pemrograman server-side, sistem logic untuk mengganti tipe tabel berjalan di MySQL secara native dengan asumisi proses penggantian akan relatif lebih cepat.

Berikut SQL Script untuk membuat prosedurnya.

Sebelumnya, silahkan masuk ke MySQL dengan perintah “mysql -u<userdb> -p<passworddb> -h<hostdb> <namadatabase>” di console/terminal Anda.

Jika Anda sudah masuk, ditandai dengan adanya “mysql>” cursor, berarti Anda sudah siap untuk tahapan di bawah ini.

DROP PROCEDURE IF EXISTS alter_all_tables;
DELIMITER $$
CREATE PROCEDURE alter_all_tables()
BEGIN
DECLARE done INT DEFAULT FALSE;
DECLARE tblname VARCHAR(255);
DECLARE cur1 CURSOR FOR SELECT table_name FROM information_schema.tables;

OPEN cur1;

read_loop: LOOP
FETCH cur1 INTO tblname;
IF done THEN
LEAVE read_loop;
END IF;
SET @table_name = tblname;
SET @sql_text = CONCAT('ALTER TABLE `namadatabase`', '.' , @table_name, ' ENGINE=InnoDB;');

PREPARE stmt FROM @sql_text;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
END LOOP;

CLOSE cur1;
END$$
DELIMITER ;

Setelah itu, panggil procedure alter_all_tables dengan cara berikut:

CALL alter_all_tables();

Selesai, Selamat mencoba.

Related posts:

1. Tips Singkat: Menampilkan Jumlah Follower Twitter di WordPress
2. Tips Aman Berinternet di Komputer Publik
3. Tutorial Photoshop: Mengganti Warna Rambut

WHM/Cpanel memang sengaja untuk mengarahkan ke protokol https, tentunya dengan pertimbangan keamanan. Namun jika budget kita terbatas, mungkin langkah awal bisa dengan mematikan terlebih dahulu fungsi redirect tersebut.

Caranya adalah:

1. Login ke WHM
2. Klik tautan Tweak Settings
3. Klik tab Security
4. Pilih radiobutton Off dipertanyaan Require SSL?
5. Selesai

Screenshot 2097

Related posts:

1. Tips Aman Berinternet di Komputer Publik
2. Membangun Aplikasi Android Menggunakan Phonegap – Bagian I
3. Tips Singkat: Menampilkan Jumlah Follower Twitter di WordPress

Ada dua parameter dalam FitText.js, yaitu The Compressor dan Min-MaxFont. The Compressor adalah sebuah parameter untuk mengatur efek responsif teks ini akan bekerja dengan nilai standar adalah 1. MinFont dan MaxFont untuk mengatur ukuran terkecil dan terbesar sebuah teks ketika responsif berjalan.

Untuk menggunakan FitText.js ini jangan lupa untuk mendeklarasikan atau memanggil file jQuery agar berjalan dengan lancar.

<script src="http://ajax.googleapis.com/ajax/libs/jquery/1/jquery.min.js"></script>

Kemudian baru memanggil FitText.js dan mendeklarasikan parameternya sesuai kebutuhan. Dalam tulisan kali ini saya contohkan responsif dalam sebuah judul dan paragraf.

<script src="jquery.fittext.js"></script>
<script type="text/javascript">
$("#judul").fitText(1.5);
$("#paragraf").fitText(2.5, { minFontSize: 7, maxFontSize: '15px' });
</script>

Pada kode HTML-nya, masukkan div id yang telah dideklarasikan di javascript sebelumnya.

<h1 id="judul">Belajar Menggunakan FitText.js</h1>
<p id="paragraf">Halaman ini adalah salah satu contoh untuk implementasi FitText.js....dst </p>

Kalau langkah-langkah di atas telah dilewati dengan lancar. Maka otomatis FitText.js akan berjalan dengan baik. Untuk lebih jelasnya, silahkan lihat demo yang telah saya siapkan di bawah ini. Selamat mencoba dan semoga bermanfaat.

Related posts:

1. Membuat Tampilan Heading Dengan Pseudo-Element CSS
2. Membuat Form Pendaftaran “Multi-Step” Dengan CSS3 & jQuery
3. Membuat Menu Cantik dengan CSS3 Generator

1. Warm Colors (Warna hangat)

warm colors

Warna-warna hangat ini adalah deretan warna dalam sebuah spektrum dengan komposisi warna merah, kuning, pink, oranye, coklat dan warna-warna yang dekat dengan spektrum ini. Karena warm colors ini berhubungan dengan matahari dan api, maka warna-warna hangat ini secara filosofis mewakili panas, ceria, dan gerak. Apabila warna hangat ini ditempatkan dalam sebuah desain bersamaan dengan warna sejuk, maka warna hangat akan mendominasi dan memberikan tekanan visual.

2. Cool Colors (Warna Sejuk)

cool colors

Warna-warna sejuk ini adalah deretan warna dalam sebuah spektrum dengan komposisi warna biru, hijau, ungu dan warna-warna yang dekat dengan spektrum ini. Cool Colors ini berhubungan dengan es dan alam yang permai, maka warna-warna sejuk ini secara filosofis sangat menenangkan dan mengurangi ketegangan. Warna ungu adalah warna yang menjembatani antara Warm Colors dan Cool Colors karena dia terbentuk dan lebih dekat dengan warna merah dan biru. Dalam sebuah desain, warna-warna sejuk ini lebih cenderung menjadi latar belakang sebuah elemen yang lebih besar namun tetap terkesan soft. Sehingga konten yang ada tetap terkesan lebih menonjol.

Related posts:

1. Komposisi Warna Menggunakan Adobe Kuler
2. 7 Hal Yang Perlu Diperhatikan Dalam Mendesain Logo
3. Tutorial Photoshop: Mengganti Warna Rambut

Jika kita berjalan-jalan ke toko buku komputer dan ke situs internet telah banyak orang yang berbagi tentang tips-tips bagaimana cara hacking atau craking suatu website, bagaimana caranya mendapatkan password admin website tertentu atau bagaimana cara mendapatkan password dari ID seseorang di jejaring sosial, dan lain sebagainya. tetapi sangat jarang orang yang ingin berbagi bagaimana cara untuk mengamankan data-data yang ada dalam sistem baik itu aplikasi website, jaringan dan lain sebagainya dari gangguan penyusup (attacker).

Sebelum kita ingin mengamankan sistem kita dari gangguan penyusup (attacker), terlebih dahulu kita harus tau apa yang harus kita amankan dan kenapa? Jawabannya adalah aset, dan kenapa?  Karena jika kehilangan aset, kita bisa kehilangan seluruh bisnis yang dimiliki.

Ketika kita menjadi bagian dari tim keamanan sistem IT, banyak orang yang berimajinasi bahwa kita seperti petugas keamanan yang duduk di pos yang sesekali berpatroli dengan membawa pentungan, atau senapan, dan senter, yang harus berjaga 24 jam, yang baru bertindak melakukan perbaikan keamanan setelah terjadi insiden. Jika anda merupakan bagian dari tim keamanan sistem IT dan anda juga memiliki pola pikir seperti diatas, sebaiknya anda segera merubah pola berpikir anda.

Sebagai seorang petugas keamanan sistem IT kita harus bisa berpikir dalam dua sudut pandang secara bersamaan, salah satu bagian dari otak kita berfikir sebagai petugas keamanan dan bagian yang lain berpikir sebagai pencuri, kenapa harus demikian? Jika kita sudah mengetahui bagaimana pola berpikir dari seorang pencuri dalam hal ini apa yang diinginkan pencuri dari sistem kita, dan strategi apa yang dilakukan untuk mendapatkan itu? Maka kita sebagai petugas keamanan akan lebih mudah melakukan pencegahannya.

Pengertian Aset

Aset adalah sesuatu yang  memiliki nilai untuk organisasi (source : ISO/IEC 27001:2005,3.1)

Menentukan aset organisasi yang harus kita lindungi dari berbagai ancaman yang menyebabkan kerugian bisnis bisa dilakukan dengan dua tahap :

• Menentukan aset berdasarkan kemungkinan ancaman yang disebabkan adanya kerentanan pada aset tersebut :

• Tentukan group aset
• Tentukan spesifik asset
• Tentukan hal hal penting yang tergantung pada aset tersebut dan memiliki nilai bisnis tinggi
• Tentukan ancaman yang  mungkin terjadi terhadap aset tersebut
• Kemudian ancaman tersebut terjadi karena ada kerentanan apa?
• Apa saja dampak yang diakibatkan oleh ancaman yang terjadi karena adanya kerentanan tersebut

• Penilaian resiko aset terhadap ancaman yang disebabkan oleh adanya kerentanan :

• Kemudian lakukan penilaian aset (risk value) karena adanya ancaman tersebut, biasanya nilai  dibagi menjadi 3, yaitu : Low, Medium, High berdasarkan confidentiality, integrity, dan availability.
• Selanjutnya kita juga harus menilai bisnis loss yang disebabkan karena ancaman tersebut, biasanya nilai dibagi menjadi 3, yaitu : Low, Medium, High
• Tentukan nilai impact level nya dengan rumus = aset value dibandingkan dengan nilai bisnis loss. Biasanya nilai dibagi menjadi 3, yaitu : Low, Medium, High
• Tentukan nilai likelihood (kemungkinan terjadi) nya. Biasanya nilai dibagi menjadi 3, yaitu : Low, Medium, High
• Tentukan nilai risk score dengan rumus = impact level dibandingkan dengan likelihood. Biasanya nilai dibagi menjadi 3, yaitu : Low, Medium, High
• Jika hasil risk score adalah medium atau high, maka kita harus membuat kontrol dari tiap kerentanan sehingga resiko yang ada dapat dikurangi.

3. Mindset (pola pikir) seorang petugas keamanan sistem IT

Seorang penyusup (attacker) biasanya menghabiskan banyak waktu mereka untuk memperoleh informasi dari target. Karena bagi mereka eksploit adalah hal yang bisa dilakukan dalam waktu singkat jika mereka telah mengetahui banyak informasi kerentanan yang dimiliki oleh target dan aset yang dianggap bernilai bisnis tinggi oleh organisasi. Semakin banyak informasi kerentanan yang dimiliki, maka semakin banyak kemungkinan cracker mengambil aset yang bernilai bisnis tinggi tersebut.

Informasi seperti apakah yang diharapkan oleh para penyusup (attacker) itu? informasi yang diharapkan cracker minimal seperti yang digambarkan dibawah ini :

Keamanan Sistem Informasi

Bagaimana mendapatkan informasi seperti gambar diatas? Informasi tersebut dapat diperoleh dari wawancara atau scanning IP Address. Ketika melakukan wawancara atau scanning IP Address kita bisa mendapatkan kerentanan dan bisa menentukan ancaman apa yang kemungkinan dapat membahayakan bisnis, meskipun terkadang kerentanan dan ancaman tersebut baru bisa didapatkan setelah kita melakukan analisa lebih mendalam.

Setelah kita melakukan semua tahapan – tahapan dalam menentukan kerentanan dan ancaman pada aset, dan telah melakukan penilaian resiko terhadap aset, kemudian kita harus mempresentasikan hasil analisa ke manajemen, sebaiknya sertakan juga proof of concept (POC) dari analisa yang telah kita buat. Contoh, ketika kita menyampaikan bahwa pada cookies di web aplikasi kita terdapat kerentanan yang bisa digunakan oleh penyusup (attacker) masuk sampai kedalam database kita, dan mampu melakukan perubahan terhadap data yang tersimpan didalamnya, maka sebaiknya sertakan juga proof of concept dari yang kita sampaikan itu. Ketika menyampaikan proof of concept tersebut tidak disarankan bagi kita untuk mendemokan secara live bagaimana kita mendapatkan kerentanan tersebut, atau bahkan kita tidak boleh mendemokan bagaimana cara masuk ke sistem itu.

Sebagai seorang tim keamanan sistem IT, kita tidak hanya dituntut untuk mendapatkan kerentanan, ancaman, penilaian resiko pada aset yang disertai dengan proof of concept saja, tetapi kita juga dituntut untuk memberikan solusi atau rencana perbaikan sehingga resiko yang ada menjadi bisa diterima oleh manajemen. Solusi atau rencana perbaikan tersebut bisa dibagi menjadi dua, yaitu rencana jangka pendek dan rencana jangka panjang. Rencana jangka pendek dapat diterapkan ketika hal tersebut dapat mengatasi kerentanan yang paling penting (yang memiliki nilai resiko medium dan high) dan dapat dilakukan sesegera mungkin. Sedangkan rencana jangka panjang dapat diterapkan ketika membawa manfaat jangka panjang dan organisasi tidak dapat melakukan dalam waktu 6-12 bulan ke depan sehingga membutuhkan investasi waktu dan dana yang besar.

Penulis:

-        Indri (indri.cantik@gmail.com)

-        Mark (mark.rizal@gmail.com)

Related posts:

1. 3 Hal Penting Dalam Optimasi Web
2. Pengantar SDLC – Agile Development
3. Teknik Pomodoro Untuk Meningkatkan Produktivitas Kerja

Tentang Tutorial ini:

• Tingkat Kesulitan: Pemula
• Durasi: 15 menit
• Materi: Git

Git Branch

Branch adalah duplikasi cabang sehingga perubahan dapat terjadi di kedua cabang secara paralel dan kontrol revisi pada masing-masing cabang terpisah.

Pada ilustrasi di atas, cukup jelas bagaimana alur branch dalam Git. Titik-titik diatas menunjukkan commit yang dilakukan pada setiap revisi. Sedangkan panah ke bawah adalah pembuatan duplikasi berdasarkan posisi commit saat pembuatannya. Panah ke atas adalah Merge, menggabungkan commit tertentu dengan branch lainnya. Tutorial sebelumnya, saya sudah membuat repositori untuk “sitemagz”, secara standar branch “master” menjadi branch utama setiap repositori Git.

git branch # menampilkan daftar branch

Dalam workflow yang saya pakai saat ini, ada dua branch yang selalu ada dalam repositori saya, yaitu branch master dan branch develop. Saya melakukan semua perubahan saat membangun applikasi saya di branch develop sehingga branch master hanya berisi applikasi yang berstatus stabil atau siap dirilis.

# membuat branch "develop", "develop" bisa diganti nama apapun
git branch develop

# berpindah ke branch develop
git checkout develop

Sekarang branch berada di branch develop, saya menambah berkas baru “page.html”. Kemudian saya akan melakukan commit pada branch develop sehingga perubahan akan tercatat.

git add page.html
git commit -m "menambah page.html"

Lalu, apa bedanya branch master dan branch develop? Mari kita lihat perbedaan dengan melihat isi kedua branch tersebut.

Branch Develop

Saya berpindah dari branch develop ke branch master, gambar di bawah ini menunjukkan perbedaan kedua cabang. Berkas page.html yang tadi saya tambahkan tidak ada di branch master sebab berkas tadi adalah milik branch develop.

Branch Master

Gambaran di atas menunjukkan bahwa setiap branch memiliki versi tersendiri dan tidak saling bertumpukan. Dengan asumsi semua perubahan hanya terjadi di branch develop maka versi stabil yang siap untuk diunggah hanya akan ada di branch master.

Kamu bisa dengan bebas menambah atau menghapus branch semudah membuatnya. Misalnya kamu akan menambah fitur baru di aplikasi kamu, cukup dengan membuat branch baru kemudian merge ke branch develop.

git branch -d <nama branch>

Perintah di atas memastikan Git tidak akan menghapus branch jika belum digabungkan ke branch lainnya. Jika ingin menghapus branch tanpa menggabungkan ke branch lain, gunakan perintah di bawah.

git branch -D <nama branch>

Git Merge

Sesuai namanya Git Merge adalah menggabungkan dua branch yang berbeda sehingga setiap branch memiliki versi yang sama. Apa gunanya menggabungkan kedua branch? Tentu saja sesuai workflow yang saya gunakan di atas, merge digunakan saat aplikasi sudah mencapai tahap stabil dan siap dirilis. Branch develop akan digabungkan ke branch master, sehingga kedua branch memiliki versi yang sama.

Untuk melakukan git merge saya akan berpindah ke branch master kemudian menggabungkan branch develop ke branch master.

git checkout master
git merge develop

Jika tidak ada konflik di antara kedua branch maka penggabungan keduanya akan berjalan mulus.

Git Merge

Tips

workflow branch di atas merupakan contoh sederhana yang sesuai digunakan untuk setiap programmer, namun saya menyarankan kamu membaca artikel oleh Vincent Driessen berjudul “A successful Git branching model” yang menjelaskan workflow komplit tentang penggunaan Branch dan Merge sehingga memudahkan alur pemrograman yang efektif.

Sekian dahulu artikel kali ini, nantikan seri berikutnya tentang Git Remote Repository. Jika ada yang ditanyakan, kotak komentar di bawah selalu terbuka untuk menampungnya. Terima kasih.

1. Mulai Menggunakan Git!
2. Git: Fungsi Branch dan Merge

Related posts:

1. Mulai Menggunakan Git!
2. Git+Dropbox, 7 Langkah Backup Repository Privat
3. CSS: Konsep Triangle Border dan Speech Bubble

Industri software pernah mengalami keterpurukan dimana dilaporkan bahwa 80% project software mengalami kegagalan, selain karena over budget juga terlambat dalam waktu delivery nya.

Kenapa Gagal ????

Berikut beberapa alasan utama kenapa project tersebut gagal

• Kurangnya keterlibatan user
• Jeleknya proses pengumpulan requirement
• Jadwal yang nggak realistis
• Kurangnya pengetesan
• Kurangnya change management
• Kurang flexible dan terlalu banyak proses

Lho serius niee metode SDLC tradisional(ex:waterfall) tidak mampu menyelesaikan masalah tersebut ??? ,
mari kita lihat :

• Ketika masalahnya adalah kurangnya keterlibatan user, jadinya product itu akan jauh dari harapan user, lalu bagaimana bisa metode yang mengajarkan mari kita bahas requirement di depan dan sampai ketemu nanti di User Acceptence Test yaaa, akan bisa banyak melibatkan user ???
• Jadwal yang realistis, waktu pengerjaan sudah ditentukan di awal project dan apa yang terjadi ketika ditengah jalan bertemu dengan masalah-masalah yang berat dan tak terprediksi, dengan metode tradisional akan bilang “show must goon”, akhirnya jadwal yang dirasakan oleh team development sudah tidak realistis lagi. Dengan kondisi seperti itu hanya ada 2 jawaban, tepat waktu dengan kualitas product yang jelek atau waktu pengerjaan project jadi molor.
• Kurang nya pengetesan akan berdampak pada kualitas product, pada method waterfall misalnya, dimana tahapan “Testing” itu dilakukan setelah tahapan “Development” maka apa yang akan terjadi jika waktu untuk “Development” molor karena ada suatu masalah???. Akibatnya kadang waktu untuk tahapan “Testing” yang akan menjadi korban dan dampaknya adalah kurang terjaminnya kualitas product.
• Terakhir soal flexibilitas, cara-cara tradisional waterfall misalnya, setiap tahapan sudah ditentukan dengan pasti urutannya. Tahapan berikutnya hanya bisa dilakukan kalau tahapan sebelumnya telah selesai, ya tidak perlu penjelasan panjang karena deskripsi tersebut sudah pasti bertentangan dengan flexibilitas pekerjaan/tahapan proses SDLC

Dan bagaimana Agile bisa menjadi jawaban atas kondisi tersebut ??

Agile memang tidak mungkin menjadi jawaban atas semua masalah, namun Agile mempunyai method yang efektif untuk menjawab permasalahan tersebut diatas, dan berikut adalah cara Agile menjawab beberapa masalah tersebut :

Jeleknya pengumpulan requirement ??
Agile menegaskan bahwa sebuah fitur yang diajukan oleh user harus ditulis acceptance test nya terlebih dulu sebelum ditulis code nya. Sebuah requirement / permintaan oleh user didefinisikan sebagai sebuah fitur harus diperjelas dan dilengkapi dulu test case acceptance test nya oleh user, hal ini akan mendorong user untuk lebih detail menjelaskan tentang apa yang mereka minta, user harus berfikir terlebih dahulu tentang yang mereka inginkan sebelum code aplikasi ditulis. Makanya kualitas requirement disini akan menjadi lebih tinggi, lebih jelas, dan memudahkan seorang programmer untuk menulis code nya.

Kurangnya keterlibatan user ??
Dalam Agile, User adalah salah satu komponen team. Dan sebagai anggota team, user bekerja sama dengan team development untuk memastikan kebutuhan yang mereka minta terpenuhi. User memberikan requirement, menyetujui hasil product, dan yang menentukan apakah fitur yang dikerjakan tersebut sudah siap untuk release atau tidak.

Flexibility ??
Agile mengintegrasikan project management ke dalam proses itu sendiri. Fungsi-fungsi project management dibagi ke seluruh team development. Sebuah tema agile lah yang memulai dengan komitmen terhadapa pekerjaan yang diberikan, mereka melakukan negosiasi dengan user, dan mereka yang mengatur dirinya sendiri untuk menyelesaikan fitur-fitur. Selain itu aktifitas yang dilakukan oleh team agile juga tetap menghasilkan data-data pencapaian project, bias dilihat dari burndown chart dan peningkatan velocity dari tiap tahapan/incremental

Jadwal yang tidak realistis ??
Ini adalah hal yang menjadi sebagian masalah besar dalam SDLC, dan bagaimana Agile menyelesaikan masalah jadwal release. Dalam Agile sebuah estimasi penjadwalan adalah proses kolaboratif antara User (Product Owner) dengan Team Development. Pada awal nya User akan memperkirakan estimasi waktu penyelesaian sebuah fitur, kemudian Team Development akan meninjau, menimbang, dan memberikan umpan balik terhadap estimasi tersebut, apakah perlu direvisi atau masih on the track. Begitu seterusnya sampai ditemukan kata sepakat untuk waktu estimasi penyelesaian sebuah fitur. Jadi jadwal bukanlah sebuah hal yang ditentukan sepihak, melainkan hasil kolaborasi 2 belah pihak.

Testing ??
Agile menuntut ketika team development memulai menulis code sebuah fitur, maka mereka juga harus menulis test code, dan test code ini akan selalu dijalankan setiap ada perubahan code fitur. Test code ini selalu dijalankan terus-menerus ketika ada perubahan code fitur. Hal ini berarti  baik code fitur maupun test code harus dikerjakan oleh Team Pengembang, sehingga komitmen dan tanggung jawab test terhadap fitur lebih jelas dan lebih berkualitas.

Kesimpulan :

Agile mungkin tidak menjawab semua permasalahan yang terjadi di dunia pengembangan software, namun ini merupakan sebuah langkah perubahan besar dalam sebuah jalan yang benar. Berdasar Agile Manifesto, Agile lebih mengutamakan proses yang terjadi dalam team, juga memberdayakan semua komponen project management. User sebagai product owner yang harus ikut aktif dalam proses pengembangan, juga Team Development yang selalu berkomitmen terhadap apa yang telah disepakati bersama. Team Development tidak lagi mengenal segmentasi dan perbedaan fungsi, dan mengutamakan kerja sama dalam menyelesaikan fitur yang diminta oleh Product Owner. Dalam Agile tidak ada lagi Project Manager yang paling berkuasa, tidak ada pembagian fungsi, misalnya system architect yang ketika rancangan system nya sudah selesai lalu bisa berkata “aku liburan dulu ya kawan”, juga tidak ada seorang programmer yang selalu disuruh lembur pulang malem dan berangkat pagi. Dalam Agile yang ada adalah sebuah Team, yang berkolaborasi saling mengisi fungsi, sekarang jadi system architect besok melakukan test terhadap fitur dan kadang juga jadi programmer yang menulis code.Semua anggota team berkomitmen dan bertanggung jawab terhadap hal yang sudah disepakati bersama.

So, let’s say “Agile On” ……………..

Related posts:

1. Pengantar SDLC – Agile Development
2. Install Ruby dan Rails 3 Di Ubuntu 10.04 Dengan RVM
3. Mulai Menggunakan Git!