Tujuan Pembelajaran 1.1.A: Identifikasi indikator umum taktik rekayasa sosial.

• 1.1.A.1 Serangan rekayasa sosial menggunakan taktik psikologis untuk memanipulasi pengguna agar mengungkapkan informasi sensitif (pencucian informasi), mengunduh file berbahaya, atau mengklik tautan berbahaya. Rekayasa sosial dapat dilakukan secara tatap muka tetapi sering kali dilakukan melalui email, pesan teks, atau pesan media sosial.
• 1.1.A.2 Musuh sering menggunakan taktik psikologis seperti intimidasi dan urgensi untuk mencapai tujuan mereka. Intimidasi adalah ketika musuh mengancam target dengan konsekuensi negatif jika mereka tidak patuh. Urgensi adalah ketika musuh menciptakan alasan mengapa target harus bertindak cepat.

Tujuan Pembelajaran 1.1.B: Jelaskan bagaimana taktik rekayasa sosial mempengaruhi korban untuk melakukan tindakan yang diinginkan.

• 1.1.B.1 Taktik rekayasa sosial mengandalkan prinsip-prinsip psikologis umum yang memengaruhi perilaku manusia.
• 1.1.B.2 Intimidasi memanfaatkan kecenderungan alami manusia untuk menghindari konsekuensi negatif. Dengan menarik perhatian pada kemungkinan konsekuensi negatif, musuh menggunakan ketakutan untuk memicu target agar bertindak.
• 1.1.B.3 Urgensi memanfaatkan respons alami manusia untuk bereaksi cepat terhadap kebutuhan yang mendesak. Ketika target mendeteksi rasa urgensi dalam sebuah pesan, mereka merasa tertekan untuk merespons atau bertindak cepat, yang dapat mencegah mereka meluangkan waktu untuk mempertimbangkan apakah suatu tindakan itu masuk akal atau aman.

Tujuan Pembelajaran 1.1.C: Deskripsikan dampak yang mungkin dialami oleh korban serangan rekayasa sosial.

• 1.1.C.1 Korban dapat memberikan kepada musuh informasi pribadi yang dapat mengarah pada penyamaran, seperti nama, nomor telepon, alamat, tempat kerja, nama hewan peliharaan, atau tanggal lahir. Jenis informasi ini, dan informasi sejenisnya, sering digunakan di situs web sebagai pertanyaan tantangan untuk memverifikasi identitas pengguna.
• 1.1.C.2 Korban dapat memberikan kepada musuh informasi aman seperti kata sandi sekali pakai (OTP) atau kode autentikasi login, yang dapat memungkinkan musuh untuk masuk ke layanan sebagai korban.
• 1.1.C.3 Korban dapat mengunduh malware atau mengklik tautan yang menginstal malware pada perangkat mereka, mencuri informasi dari browser web mereka, atau mengarahkan mereka ke situs web di mana kredensial login mereka dapat ditangkap oleh musuh.

Tujuan Pembelajaran 1.2.A: Identifikasi tanda-tanda umum serangan kata sandi.

• 1.2.A.1 Dalam serangan kata sandi daring, musuh mencoba masuk ke perangkat atau layanan menggunakan kata sandi umum, pola kata sandi umum, atau kata sandi yang dicuri.
• 1.2.A.2 Tanda-tanda serangan kata sandi daring meliputi:
  • Banyak percobaan gagal masuk dalam durasi singkat
  • Percobaan masuk pada waktu yang tidak biasa
  • Percobaan masuk dari perangkat yang tidak dikenal

Tujuan Pembelajaran 1.2.B: Jelaskan bagaimana musuh memanfaatkan autentikasi yang lemah.

• 1.2.B.1 Banyak orang menggunakan pola umum saat membuat kata sandi, seperti:
  • Memulai kata sandi dengan satu atau dua kata, menambahkan angka dua digit (sering melambangkan tahun), dan meletakkan karakter khusus di akhir
  • Memasukkan nama keluarga atau hewan peliharaan dalam kata sandi mereka
  • Memasukkan tanggal yang bermakna pribadi dalam kata sandi mereka
• 1.2.B.2 Penyerang sering menyusun kamus kata sandi yang mungkin berdasarkan informasi pribadi yang dikumpulkan tentang target (misalnya, tanggal lahir, hari jadi, nama hewan peliharaan dan keluarga) dan menggunakan alat otomatis untuk mengirimkan kata sandi potensial.

Tujuan Pembelajaran 1.2.C: Jelaskan cara membuat autentikasi lebih kuat.

• 1.2.C.1 Pengguna harus membuat kata sandi yang panjang, acak, dan unik. Manager kata sandi dapat digunakan untuk menghasilkan dan menyimpan kata sandi yang kuat, atau pengguna dapat membuat frasa sandi panjang dan unik untuk akun mereka.
• 1.2.C.2 Saat membuat kata sandi, pengguna harus menghindari nama, tanggal, atau kata-kata dan angka lain yang memiliki makna pribadi.
• 1.2.C.3 Jika tersedia, pengguna harus mengaktifkan autentikasi multifaktor (MFA), yang akan mengharuskan pengguna memberikan bukti identitas tambahan—seperti kode sekali pakai—selain kata sandi sebagai lapisan keamanan ekstra.

Tujuan Pembelajaran 1.3.A: Identifikasi jenis penyerang yang melakukan serangan siber.

• 1.3.A.1 Penyerang dapat diklasifikasikan berdasarkan tingkat keterampilan mereka.
  • Penyerang berkeahlian rendah mengandalkan alat cyber jahat yang dibuat oleh pihak lain yang dapat dibeli secara online. Alat yang mereka gunakan mengeksploitasi kerentanan yang sudah diketahui.
  • Penyerang berkeahlian tinggi memiliki kapasitas untuk membuat alat cyber jahat baru atau memodifikasi alat yang ada untuk beradaptasi dengan teknik dan alat pertahanan baru. Mereka juga memiliki kapasitas untuk menemukan kerentanan yang tidak terdokumentasi, yang dikenal sebagai zero days.
• 1.3.A.2 Penyerang memiliki berbagai motivasi, termasuk keserakahan, keinginan akan pengakuan, dedikasi pada suatu causes, balas dendam, politik, atau keyakinan.

Tujuan Pembelajaran 1.3.B: Identifikasi jenis serangan siber nirkabel.

• 1.3.B.1 Dalam serangan evil twin, penyerang menetapkan titik akses nirkabel (WAP) mereka sendiri dengan identifikasi set layanan (SSID) yang mirip atau identik dengan jaringan target; jaringan penyerang disebut evil twin. Korban serangan ini bisa memilih untuk tanpa sadar terhubung ke evil twin, memungkinkan penyerang menangkap lalu lintas jaringan mereka. Penyerang tidak dapat membaca lalu lintas yang menggunakan protokol terenkripsi seperti HTTPS.
• 1.3.B.2 Dalam serangan jamming, penyerang membanjiri area dengan sinyal elektromagnetik (EM) yang kuat dalam rentang frekuensi yang sama dengan jaringan nirkabel, yang mencegah lalu lintas sah antara titik akses (AP) dan pengguna. Jenis serangan ini yang mencegah pengguna mengakses sumber daya disebut serangan penolakan layanan (DoS).
• 1.3.B.3 Dalam serangan war driving, penyerang mencoba mendeteksi beacon jaringan nirkabel saat berkendara atau berjalan di sekitar target. Jika sinyal nirkabel terdeteksi, penyerang dapat mengumpulkan informasi tentang jenis jaringan nirkabel yang digunakan dan menemukan area di mana sinyal nirkabel meluas keluar dari bangunan fisik.

Tujuan Pembelajaran 1.3.C: Jelaskan tindakan yang dapat dilakukan individu untuk meningkatkan perlindungan data sensitif saat menggunakan internet dan Wi-Fi.

• 1.3.C.1 Individu harus memverifikasi bahwa nama setiap jaringan nirkabel yang mereka gabung tepat sesuai dengan nama jaringan yang ingin mereka gabung.
• 1.3.C.2 Sebagian besar protokol internet terenkripsi untuk melindungi lalu lintas jaringan. Namun, individu mungkin mempertimbangkan sensitivitas data mereka dalam memilih apakah untuk bergabung dengan jaringan Wi-Fi tak terenkripsi untuk melindungi data rentan seperti kueri DNS.
• 1.3.C.3 Individu mungkin mempertimbangkan penggunaan virtual private network (VPN), yang mengenkripsi semua lalu lintas mereka ke sistem operator VPN. Meskipun tindakan ini mencegah penyedia layanan melihat lalu lintas, penyedia VPN dapat melihat lalu lintas tersebut.

Tujuan Pembelajaran 1.4.A: Jelaskan bagaimana penyerang menggunakan alat berbasis AI untuk memperkuat serangan siber.

• 1.4.A.1 Penyerang dapat menggunakan alat berbasis AI yang memanfaatkan sampel suara dan gambar seseorang yang sudah ada untuk membuat avatar digital orang tersebut. Penggunaan teknologi ini memungkinkan penyerang untuk menyamar sebagai seseorang melalui telepon atau bahkan dalam panggilan video, yang dapat menyebabkan kerugian finansial atau berbagi informasi sensitif atau pribadi. Seiring semakin banyak organisasi mengadopsi autentikasi berbasis suara, dampak penyamaran suara memiliki potensi dampak yang lebih besar.
• 1.4.A.2 Penyerang dapat menggunakan alat AI generatif, seperti model bahasa besar (LLMs), untuk membuat pesan phishing yang meyakinkan dalam bahasa target apa pun. Karena pesan phishing tradisional terkadang ditulis oleh penutur bukan asli dari bahasa target, bahasa yang tidak alami adalah fitur yang telah digunakan untuk membedakan pesan phishing dari pesan yang sah. Namun, dengan alat AI, penyerang kini dapat merancang pesan phishing dalam bahasa apa pun yang terdengar seolah-olah ditulis oleh penutur asli.
• 1.4.A.3 Penyerang dapat menyusun prompt yang mengekstrak informasi aman atau sensitif dari LLMs. Informasi aman atau sensitif dalam LLMs dapat berasal dari input pengguna dan dataset besar yang digunakan untuk melatih LLMs.
• 1.4.A.4 Penyerang dapat menerbitkan situs web atau memodifikasi situs web yang sudah ada untuk berisi informasi palsu sehingga informasi palsu tersebut akan dimasukkan ke dalam set pelatihan untuk LLMs, menyebabkan LLMs mengulang informasi palsu tersebut.
• 1.4.A.5 Penyerang dapat melakukan rekognisi pada target menggunakan alat berbasis AI yang memindai internet untuk mengumpulkan informasi yang dipublikasikan di media sosial dan situs web publik.
• 1.4.A.6 Penyerang dapat menggunakan alat pemrograman yang ditingkatkan AI untuk membantu mereka menulis malware baru, memodifikasi kode aplikasi yang ada untuk melakukan aktivitas jahat, atau untuk menemukan kerentanan dalam basis kode yang besar.

Tujuan Pembelajaran 1.4.B: Jelaskan cara melindungi diri dari beberapa serangan siber yang diperkuat oleh AI.

• 1.4.B.1 Rahasia bersama yang diketahui oleh teman dekat dan keluarga yang dapat digunakan untuk memverifikasi identitas satu sama lain harus ditetapkan. Kata atau frasa rahasia yang hanya diketahui oleh dua pihak dapat digunakan untuk mengautentikasi identitas dalam situasi berisiko tinggi.
• 1.4.B.2 Autentikasi multifaktor (MFA) harus diaktifkan. Jika seorang penjahat meniru suara target untuk mengakses sistem dengan autentikasi suara, mewajibkan faktor autentikasi kedua dapat mencegah penjahat mendapatkan akses ke akun.
• 1.4.B.3 Data pribadi atau sensitif tidak boleh dimasukkan ke dalam alat apa pun yang digerakkan oleh AI, seperti chatbot atau asisten virtual. Beberapa alat yang digerakkan oleh AI memberikan umpan balik input pengguna kembali ke model untuk menyediakan pelatihan berkelanjutan. Penjahat dapat mengekstrak data yang telah disertakan pengguna dalam prompt.
• 1.4.B.4 Output dari alat yang digerakkan oleh AI harus dievaluasi dengan hati-hati. Verifikasi informasi dari alat yang digerakkan oleh AI menggunakan sumber yang tepercaya, stabil, dan berbasis non-AI.

Tujuan Pembelajaran 1.5.A: Jelaskan bagaimana pertahanan siber dapat memanfaatkan alat yang digerakkan oleh AI untuk melindungi jaringan, aplikasi, dan data.

• 1.5.A.1 Alat AI dapat meninjau konfigurasi keamanan saat ini, seperti aturan firewall dan kontrol akses, serta merekomendasikan opsi yang lebih aman. Rekomendasi harus selalu diperiksa oleh teknisi keamanan yang berpengetahuan sebelum diterapkan.
• 1.5.A.2 Alat yang digerakkan oleh AI dapat menganalisis kode aplikasi untuk mengidentifikasi kerentanan dan merekomendasikan mitigasi. Rekomendasi harus selalu ditinjau oleh programmer yang berpengetahuan sebelum diterapkan.
• 1.5.A.3 Alat yang digerakkan oleh AI dapat menyarankan aturan untuk sistem deteksi otomatis. Aturan deteksi harus selalu ditinjau oleh insinyur deteksi yang berpengetahuan sebelum ditambahkan ke sistem.

Tujuan Pembelajaran 1.5.B: Jelaskan bagaimana alat yang digerakkan oleh AI memungkinkan deteksi ancaman dan respons yang lebih cepat dan akurat.

• 1.5.B.1 Dari jutaan peristiwa digital yang terjadi pada jaringan setiap hari, beberapa kemungkinan mewakili penjahat yang melakukan aktivitas jahat. Manusia tidak dapat memeriksa semua peristiwa tersebut dengan cermat untuk mengidentifikasi aktivitas jahat.
• 1.5.B.2 Alat yang digerakkan oleh AI dapat dilatih untuk secara cepat menganalisis peristiwa digital dan mengurutkan peristiwa yang mungkin merupakan aktivitas jahat dari yang bersifat tidak berbahaya.
• 1.5.B.3 Alat yang digerakkan oleh AI dapat diprogram untuk memberi tahu personel keamanan siber manusia ketika aktivitas jahat yang mungkin terdeteksi atau untuk mengambil tindakan korektif tertentu berdasarkan jenis aktivitas jahat yang terdeteksi.
• 1.5.B.4 Alat yang digerakkan oleh AI memungkinkan tim deteksi dan respons ancaman untuk menangkap aktivitas jahat dan campur tangan dengan cepat untuk mencegah kerugian, kerusakan, kehancuran, dan kerusakan pada infrastruktur digital dan data.

Tujuan Pembelajaran 2.2.A: Identifikasi serangan fisik yang umum.

• 2.2.A.1 Musuh sering menggunakan rekayasa sosial saat melakukan serangan fisik.
• 2.2.A.2 Piggybacking adalah nama untuk serangan di mana musuh menggunakan rekayasa sosial untuk memanipulasi individu berwenang agar memberikan akses kepada musuh ke area terbatas. Taktik piggybacking yang umum meliputi membawa barang besar untuk mendorong orang berwenang membuka pintu, berpura-pura menjadi individu berwenang yang lupa token aksesnya, atau berpura-pura menjadi teknisi pemeliharaan yang perlu masuk ke area tertentu untuk melakukan inspeksi atau perbaikan.
• 2.2.A.3 Tailgating adalah nama untuk serangan di mana musuh mendapatkan akses tak berwenang ke area terbatas dengan mengikuti ketat di belakang individu berwenang tanpa disadari atau diketahui oleh individu tersebut.
• 2.2.A.4 Shoulder surfing adalah nama untuk serangan di mana musuh mengamati pengguna yang mengakses informasi sensitif sehingga musuh dapat menggunakannya nanti. Terkadang musuh menggunakan kamera untuk merekam target yang mengakses informasi sensitif untuk analisis di kemudian hari.
• 2.2.A.5 Dumpster diving adalah nama untuk serangan di mana musuh menggali sampah fisik target untuk mencari informasi yang dapat digunakan untuk membantu musuh mencapai tujuannya.
• 2.2.A.6 Card cloning adalah nama untuk serangan di mana musuh membuat salinan kartu akses pengguna berwenang agar mereka dapat mengakses semua sumber daya yang diizinkan bagi pengguna tersebut.

Tujuan Pembelajaran 2.2.B: Jelaskan bagaimana ancaman dapat mengeksploitasi kerentanan fisik umum untuk menyebabkan kerugian, kerusakan, gangguan, atau kehancuran aset.

• 2.2.B.1 Ancaman mencakup musuh manusia yang bertujuan menyebabkan harm atau gangguan serta bencana alam. Bencana alam dapat menyebabkan kerusakan fisik atau kehancuran pada komputer dan data serta gangguan layanan digital yang disediakan oleh komputer.
• 2.2.B.2 Kerentanan adalah kelemahan atau cacat yang dapat memungkinkan aset diretas. Kompromi yang umum meliputi:
  • Akses tak berwenang ke data sensitif atau ruang fisik terbatas
  • Gangguan layanan
  • Pencurian atau penghancuran sumber daya digital atau fisik
  • Modifikasi data tak berwenang
• 2.2.B.3 Ketika musuh memutus daya ke sebuah perangkat, perangkat dan layanan apa pun yang disediakannya menjadi tidak tersedia. Untuk memutus daya, musuh dapat merusak sekring atau pemutus sirkuit dalam kotak listrik, mencabut atau memotong kabel listrik, atau merusak sistem distribusi daya seperti gardu induk dan trafo.
• 2.2.B.4 Ketika musuh mendapatkan akses ke area yang berisi informasi sensitif, mereka dapat mencuri atau menyalin informasi sensitif tersebut.
• 2.2.B.5 Ketika musuh mendapatkan akses fisik ke perangkat dan port-nya, mereka dapat menyambungkan keylogger atau drive eksternal yang berisi malware, yang dapat memungkinkan mereka mengumpulkan data dari pengguna atau bahkan mengambil alih kendali perangkat. Dengan akses fisik langsung, musuh juga dapat menghancurkan perangkat secara fisik, menjadikan perangkat itu sendiri, data apa pun yang tersimpan di dalamnya, dan layanan apa pun yang disediakannya tidak tersedia.

Tujuan Pembelajaran 2.2.C: Perkirakan dan dokumentasikan risiko dari kerentanan fisik.

• 2.2.C.1 Akses fisik ke perangkat dapat memungkinkan musuh melewati banyak kontrol teknis dan lapisan keamanan.
• 2.2.C.2 Risiko tinggi dari kerentanan fisik muncul ketika informasi atau sistem sensitif terekspos di ruang fisik tanpa akses yang cukup dibatasi dan terkendali.
  • Contoh ilustratif untuk 2.2.C.2:
    • Sebuah server yang menyimpan data pelanggan berada di ruangan tanpa kunci yang diakses melalui lorong yang tidak dipantau.
• 2.2.C.3 Risiko sedang dari kerentanan fisik muncul ketika bagian organisasi yang tidak kritis atau tidak sensitif dibiarkan tidak terlindungi sedemikian rupa sehingga dapat berfungsi sebagai pijakan bagi penjahat siber untuk mendapatkan akses awal ke sumber daya lain.
  • Contoh ilustratif untuk 2.2.C.3:
    • Kantor memiliki area resepsionis yang melampaui batasnya akses dikendalikan; resepsionis memiliki komputer yang terhubung ke jaringan nirkabel internal kantor dan komputer tersebut memiliki port USB yang terekspos.
• 2.2.C.4 Risiko rendah dari kerentanan fisik muncul ketika aset yang rentan memiliki nilai rendah dan kerentanannya tidak mungkin dieksploitasi.
  • Contoh ilustratif untuk 2.2.C.4:
    • Karyawan di kantor yang memerlukan kartu akses memiliki laptop yang mereka tinggalkan di meja tanpa pengawas saat mereka semua pergi makan siang bersama. Laptop-laptop tersebut tidak berisi informasi sensitif, tetapi tidak ada kabel yang mengikat perangkat ke meja.

Tujuan Pembelajaran 2.3.A: Identifikasi kontrol manajerial terkait keamanan fisik.

• 2.3.A.1 Organisasi harus menyelenggarakan pelatihan kesadaran keamanan karyawan untuk mengedukasi karyawan tentang bagaimana mereka dapat berkontribusi pada keamanan organisasi dengan cara:
  • Mendeteksi upaya rekayasa sosial seperti phishing
  • Tidak memasukkan orang lain ke area terbatas menggunakan kartu akses
  • Mencegah pencurian perangkat
• 2.3.A.2 Organisasi harus memiliki kebijakan keamanan workstation yang menjelaskan langkah-langkah yang diperlukan untuk melindungi tempat kerja fisik. Kebijakan ini mungkin memiliki tingkat keamanan workstation berdasarkan jenis data yang ditangani di workstation. Kebijakan workstation sering kali mewajibkan:
  • Mengunci perangkat sebelum meninggalkan workstation tanpa pengawasan untuk mencegah akses tidak sah
  • Membersihkan dokumen sensitif dari workstation sebelum meninggalkannya tanpa pengawasan (kadang-kadang disebut kebijakan meja bersih)
  • Menggunakan filter layar privasi atau penghalang fisik lainnya untuk mencegah orang lain melihat informasi di layar
  • Menyambungkan perangkat ke pelindung lonjakan listrik atau catu daya tak terputus (UPS)

Tujuan Pembelajaran 2.3.B: Tentukan strategi mitigasi risiko dari kerentanan fisik.

• 2.3.B.1 Untuk menentukan kontrol yang relevan, seorang pertahanan siber mempertimbangkan bagaimana penjahat siber dapat memanfaatkan kerentanan untuk menyerang sistem dan bagaimana mencegah, mendeteksi, atau memperbaiki serangan tersebut.
• 2.3.B.2 Memasang kontrol fisik seperti pagar, gerbang, dan tiang bollard di sekitar gedung dapat deterrent penjahat siber dari mencoba mengakses gedung organisasi secara fisik.
• 2.3.B.3 Kunci pada pintu, kabinet server, dan komputer dapat mencegah perangkat diakses atau dicuri.
• 2.3.B.4 Pembaca kartu dapat mencatat kartu akses karyawan mana yang digunakan untuk mengakses berbagai pintu masuk pada waktu tertentu dan menolak akses untuk kartu yang tidak berwenang.
• 2.3.B.5 Vestibul kendali akses dan tuas putar dapat mencegah seseorang yang berwenang secara sengaja atau tidak sengaja memasukkan orang yang tidak berwenang ke area terbatas.
• 2.3.B.6 Organisasi dapat menonaktifkan port USB untuk mencegah drive eksternal memuat malware ke dalam komputer.
• 2.3.B.7 Catu daya tak terputus (UPS) menyediakan sumber cadangan daya untuk perangkat jika terjadi pemadaman listrik. Organisasi juga dapat menggunakan generator listrik untuk menyediakan daya dalam skala lebih besar ke gedung atau serangkaian perangkat kritis.
• 2.3.B.8 Organisasi memprioritaskan mitigasi risiko berdasarkan tingkat keparahan risiko dan biaya mitigasi yang direkomendasikan.

Tujuan Pembelajaran 2.4.A: Identifikasi cara-cara kontrol keamanan dapat mendeteksi serangan fisik.

• 2.4.A.1 Kamera dapat merekam aktivitas jahat penjahat siber secara visual. Sinyal kamera harus direkam dan dipantau untuk efek maksimal. Rekaman dapat sangat membantu dalam investigasi pasca-insiden.
• 2.4.A.2 Petugas keamanan dapat memantau aktivitas di suatu area dan merespons aktivitas mencurigai setelah terdeteksi.
• 2.4.A.3 Sensor gerakan dapat memberi peringatan kepada keamanan mengenai pergerakan di suatu area.
• 2.4.A.4 Karyawan yang bekerja di ruang fisik sering kali menjadi yang pertama menyadari kehadiran orang yang tidak berwenang dan dapat memberi peringatan kepada keamanan.

Tujuan Pembelajaran 2.4.B: Tentukan penempatan kontrol keamanan yang efektif untuk mendeteksi serangan fisik.

• 2.4.B.1 Saat memasang kamera, perlu dipertimbangkan cakupan visual, sudut pandang, dan kemampuan untuk dimanipulasi oleh penjahat siber. Pertimbangan juga harus diberikan pada apa yang dapat ditangkap kamera di area tertentu dilakukan oleh penjahat siber dan bagaimana informasi tersebut akan bermanfaat. Titik masuk dan keluar sering dipantau oleh kamera.
• 2.4.B.2 Sensor gerakan harus ditempatkan di area dengan lalu lintas yang tidak terduga, seperti ruang server, atau area di mana bahan sensitif disimpan dan sedikit orang yang memiliki akses. Sensor gerakan di area dengan lalu lintas tinggi menciptakan banyak alarm palsu, membuat alarm tersebut kurang mungkin diambil serius ketika terjadi insiden keamanan nyata.
• 2.4.B.3 Kunci harus dipasang pada semua pintu masuk ke area yang berisi informasi atau sistem sensitif. Untuk area dengan informasi atau sistem yang sangat sensitif, organisasi dapat menggunakan vestibul kendali akses di titik masuk untuk mencegah penggunaan kartu berganda (piggybacking) atau mengikuti seseorang (tailgating).
• 2.4.B.4 Petugas keamanan dapat bersifat diam atau patroli. Petugas yang diam dapat memberikan perlindungan konstan untuk area, pintu masuk, atau benda bernilai tinggi tertentu. Petugas patroli lebih sulit direncanakan oleh penjahat dan dapat menciptakan tekanan waktu bagi penjahat. Menempatkan petugas yang diam di tempat-tempat yang menyempitkan arus lalu lintas (misalnya gerbang masuk, pintu utama atau lobi, dan pintu masuk ke area akses yang lebih aman) dapat sangat efektif, sementara petugas patroli lebih cocok untuk perimeter dan area eksterior.

Tujuan Pembelajaran 2.4.C: Terapkan teknik deteksi untuk mengidentifikasi serangan fisik.

• 2.4.C.1 Kamera menyediakan pemantauan visual dan rekaman visual dari aktivitas dalam ruang yang ditentukan. Kamera dapat dipasangkan dengan perangkat lunak pengenalan wajah yang dapat memberikan peringatan ketika individu tidak berwenang memasuki area terkendali. Setelah pelanggaran fisik terdeteksi, pihak pertahanan dapat menggunakan rekaman kamera langsung dan terekam untuk melacak jalur dan tindakan penjahat.
• 2.4.C.2 Detektor gerakan bekerja paling baik jika dipasangkan dengan kamera. Ketika peringatan keamanan muncul karena aktivasi detektor gerakan, pihak pertahanan dapat menggunakan kamera untuk memeriksa ruang secara visual dan memverifikasi pelanggaran keamanan fisik.
• 2.4.C.3 Ketika karyawan diharuskan menggunakan kartu elektronik untuk membuka pintu ke area terbatas, sensor dapat mencatat berapa lama pintu terbuka. Saat meninjau log masuk untuk pintu tersebut, potensi piggybacking atau tailgating dapat dideteksi dengan pintu yang terbuka lebih lama dari biasanya.

Tujuan Pembelajaran 3.1.A: Identifikasi serangan jaringan umum.

• 3.1.A.1 Protokol resolusi alamat (ARP) digunakan oleh gerbang default pada jaringan untuk membuat tabel yang pasangan alamat internet protocol (IP) dengan alamat kontrol akses media (MAC). Serangan penyusupan ARP (ARP poisoning) adalah ketika penjahat mengirim paket ARP palsu ke gerbang default untuk memodifikasi tabel sehingga perangkat penjahat menerima lalu lintas yang ditujukan kepada target dengan menghubungkan alamat IP target ke alamat MAC penjahat. Memalsukan alamat MAC disebut MAC spoofing. Ini adalah contoh serangan on-path (atau serangan man-in-the-middle), yaitu ketika penjahat mengganggu aliran data antara dua pihak, menangkap data kedua pihak, dan menyalin atau mengubah data sebelum mengirimkannya kembali. Kedua pihak merasa berkomunikasi langsung satu sama lain, tetapi sebenarnya mereka masing-masing berkomunikasi dengan penjahat yang secara rahasia menyadap pesan mereka.
• 3.1.A.2 Serangan MAC flooding terjadi ketika penjahat mengirimkan banyak bingkai Ethernet ke saklar target, masing-masing dengan alamat MAC yang berbeda. Hal ini dapat memaksa saklar masuk ke mode broadcast, dan penjahat kemudian dapat mengumpulkan semua bingkai di jaringan (karena sedang disiarakan), yang dapat memungkinkan penjahat mengakses informasi sensitif. Ini adalah contoh penyadapan (eavesdropping atau sniffing), yaitu ketika penjahat menangkap data saat transit dan dapat merekam serta menyalin data tersebut.
• 3.1.A.3 Serangan penyusupan DNS (DNS poisoning) terjadi ketika penjahat berpura-pura menjadi server nama otoritatif (NS) dan menanamkan catatan DNS palsu pada server DNS untuk mengalihkan lalu lintas browser ke situs web jahat yang dirancang untuk mencuri kredensial. Ini adalah contoh perolehan kredensial (credential harvesting), yaitu ketika penjahat menetapkan situs login palsu yang terlihat seperti situs asli. Pengguna yang tidak curiga memasukkan kredensial asli mereka, yang kemudian ditangkap dan digunakan oleh penjahat.
• 3.1.A.4 Serangan smurf mencoba membanjiri jaringan dengan permintaan Internet Control Message Protocol (ICMP). Ini adalah jenis serangan penolakan layanan (DoS), yang membuat sistem atau sumber daya tidak tersedia bagi pengguna berwenang. Selama serangan smurf, penjahat mengirimkan banyak permintaan ICMP dengan alamat korban ke alamat broadcast jaringan. Gerbang jaringan kemudian mengirimkan permintaan ini ke semua perangkat di jaringan. Setiap perangkat di jaringan membalas ke alamat korban, menciptakan banjir lalu lintas yang dapat memblokir pesan sah. Ketika beberapa perangkat menyerang target yang sama secara bersamaan, hal itu disebut serangan penolakan layanan terdistribusi (DDoS).

Tujuan Pembelajaran 3.1.B: Jelaskan bagaimana penjahat dapat mengeksploitasi kerentanan jaringan untuk mencuri, mengganggu, atau menghancurkan komunikasi jaringan.

• 3.1.B.1 Penjahat dapat mengirimkan lalu lintas berbahaya ke dalam jaringan untuk membanjirinya guna menciptakan DoS, memetakan struktur internal jaringan, atau memalsukan perangkat sah. Jaringan tanpa firewall, atau dengan firewall yang dikonfigurasi tidak benar, rentan terhadap jenis serangan ini.
• 3.1.B.2 Penjahat yang telah membobol sebuah perangkat sering kali mencoba memanfaatkan akses mereka untuk membobol perangkat lain di jaringan area lokal (LAN).
• 3.1.B.3 Penjahat yang secara fisik tersambung ke port data dapat mendapatkan akses ke LAN melalui port saklar kecuali keamanan port diaktifkan. Hal ini memungkinkan penjahat untuk meluncurkan serangan DoS atau melakukan serangan MAC flooding atau MAC spoofing.
• 3.1.B.4 Penjahat yang berdiri di luar ruang yang aman secara fisik dapat menangkap sinyal dan bingkai beacon dari titik akses nirkabel yang menyiarakan sinyal keluar dari ruang fisik. Hal ini memungkinkan mereka untuk mengumpulkan informasi tentang jaringan nirkabel dan mencoba melakukan penyadapan serta serangan kriptografi padanya.
• 3.1.B.5 Penjahat dapat mencoba bergabung dengan jaringan untuk meluncurkan serangan dari dalam jaringan. Jaringan yang tidak mengautentikasi perangkat dan pengguna memudahkan penjahat untuk bergabung.
• 3.1.B.6 Jika terdapat port jaringan terbuka, penyerang dapat menyambungkan titik akses nirkabel ke port tersebut sehingga menciptakan titik akses jahat (rogue access point). Penyerang dapat menggunakan titik akses jahat ini untuk mengakses jaringan internal secara nirkabel (mungkin bahkan dari luar ruang fisik). Hal ini memungkinkan penyerang memiliki akses langsung ke LAN, melewati firewall apa pun.
• 3.1.B.7 Penyerang dapat mencoba memecahkan enkripsi nirkabel dan menyadap, mencuri, atau membahayakan data pada sebuah jaringan.

Tujuan Pembelajaran 3.1.C: Menilai dan mendokumentasikan risiko dari kerentanan jaringan.

• 3.1.C.1 Kerentanan pada jaringan dapat menyebabkan penyerang mampu menyadap dan mengubah data yang sedang ditransmisikan, melancarkan serangan DoS, atau bergerak lateral di dalam jaringan untuk mendapatkan akses ke sistem yang lebih sensitif atau kritis. Kerentanan jaringan dapat menjadi risiko terhadap kerahasiaan, integritas, dan ketersediaan.
• 3.1.C.2 Terdapat pemindai kerentanan otomatis yang dapat memeriksa jaringan, perangkat, dan aplikasi untuk menemukan kerentanan yang diketahui. Pemindai ini menghasilkan laporan yang sering kali mencakup kerentanan yang terdeteksi, tingkat keparahannya, serta rekomendasi mitigasi.
• 3.1.C.3 Memanfaatkan kerentanan jaringan dengan sukses seringkali memerlukan kemampuan teknis dan pengetahuan yang tingkat lanjut. Hal ini dapat memengaruhi kemungkinan eksploitasi.
• 3.1.C.4 Risiko tinggi dari kerentanan jaringan memungkinkan penyerang dengan mudah memberikan dampak signifikan dengan cara menangkap lalu lintas jaringan, melakukan penyamaran perangkat sah di jaringan, atau melancarkan serangan DoS.
  • Contoh ilustratif untuk 3.1.C.4:
    • Sebuah organisasi memiliki satu jaringan internal tanpa segmentasi yang dapat diakses melalui jaringan nirkabel dengan enkripsi lemah, dan di jaringan tersebut terdapat server yang menjalankan aplikasi web milik mereka sendiri.
• 3.1.C.5 Risiko sedang dari kerentanan jaringan bisa meliputi kerentanan yang mungkin memberikan kemampuan kepada penyerang untuk mendapatkan informasi tentang sistem atau perangkat di dalam jaringan.
  • Contoh ilustratif untuk 3.1.C.5:
    • Firewall eksternal suatu organisasi tidak dikonfigurasi untuk memblokir lalu lintas ICMP eksternal.
• 3.1.C.6 Risiko rendah dari kerentanan jaringan mencakup kerentanan yang sulit dieksploitasi dan kemungkinan besar akan berdampak negatif minimal bagi suatu organisasi.
  • Contoh ilustratif untuk 3.1.C.6:
    • Suatu organisasi memiliki titik akses nirkabel yang menyiarkan bingkai beacon, yang berisi identifikasi set layanan jaringan (SSID) dan protokol enkripsi nirkabel.

Tujuan Pembelajaran 3.2.A: Mengidentifikasi kontrol manajerial terkait keamanan jaringan.

• 3.2.A.1 Kebijakan keamanan router akan menetapkan standar konfigurasi minimum untuk router di jaringan organisasi dan mungkin mencakup:
  • Larangan akun pengguna lokal (Semua login router harus menggunakan server autentikasi yang disetujui.)
  • Nonaktifkan layanan yang tidak perlu (misalnya Telnet)
  • Memerlukan firewall (Suatu organisasi mungkin memilih perangkat firewall terpisah dari router.)
• 3.2.A.2 Kebijakan keamanan switch akan menetapkan standar konfigurasi minimum untuk switch di jaringan organisasi dan mungkin mencakup:
  • Larangan akun pengguna lokal (Semua login switch harus menggunakan server autentikasi yang disetujui.)
  • Memerlukan keamanan port untuk diaktifkan.
  • Menggunakan filter MAC
• 3.2.A.3 Kebijakan virtual private network (VPN) akan merinci persyaratan keamanan minimum untuk karyawan yang menggunakan VPN untuk mengakses jaringan internal organisasi, dan mungkin mencakup:
  • Daftar peran dalam organisasi yang diizinkan menggunakan VPN untuk mengakses jaringan internal organisasi
  • Persyaratan autentikasi untuk karyawan yang menggunakan VPN (misalnya, sistem kunci publik/privat atau MFA)
  • Larangan penggunaan split tunneling (juga disebut dual tunneling)
• 3.2.A.4 Kebijakan keamanan nirkabel akan menetapkan persyaratan keamanan minimum untuk jaringan nirkabel di dalam organisasi dan mungkin mencakup:
  • Memerlukan pengguna untuk berotentikasi ke jaringan nirkabel melalui protokol autentikasi ekstensible (EAP) yang terhubung ke server autentikasi yang disetujui
  • Memerlukan semua lalu lintas nirkabel dienkripsi menggunakan enkripsi AES dengan panjang kunci minimum
  • Menonaktifkan bingkai beacon pada titik akses nirkabel

Tujuan Pembelajaran 3.2.B: Mengkonfigurasi fitur keamanan jaringan nirkabel.

• 3.2.B.1 Organisasi dapat menonaktifkan penyiaran bingkai beacon pada titik akses nirkabel (WAP) agar lebih sulit bagi penyerang untuk menemukan jaringan nirkabel mereka dan mempelajari sifat dasarnya.
• 3.2.B.2 Organisasi dapat mengontrol arah penyiaran dan kekuatan sinyal WAP agar sinyalnya tidak melampaui ruang fisik yang seharusnya diliputi oleh titik akses tersebut.
• 3.2.B.3 Organisasi harus mengaktifkan protokol enkripsi nirkabel yang kuat untuk memastikan bingkai nirkabel tidak dapat dibaca oleh penyerang yang mungkin menyingkapnya.
  • Protokol enkripsi nirkabel WEP, WPS, dan WPA asli memiliki kerentanan yang diketahui dan tidak aman.
  • WPA3 saat ini adalah algoritma enkripsi nirkabel terkuat.
• 3.2.B.4 Organisasi dapat mengaktifkan filter MAC untuk mencegah perangkat tidak berizin mengakses jaringan, dan mereka dapat mewajibkan pengguna untuk berotentikasi saat bergabung dengan jaringan.

Tujuan Pembelajaran 3.3.A: Mengidentifikasi teknik untuk melakukan segmentasi jaringan.

• 3.3.A.1 Zona firewall dan aturan dapat digunakan untuk membuat subnet yang disaring (juga dikenal sebagai zone tanpa senjata, atau DMZ)—sebuah segmen jaringan yang berada di antara jaringan publik eksternal seperti internet dan jaringan internal pribadi. Subnet yang disaring biasanya merupakan zona keamanan yang lebih rendah daripada jaringan internal pribadi, dan biasanya menampung sumber daya organisasi yang berhadapan dengan publik, memisahkannya dari jaringan internal.
• 3.3.A.2 Subnetting dapat digunakan untuk membuat subnet berbeda berdasarkan pengalamatan IP. Jika perangkat diretas oleh penjahat siber, subnet dapat membatasi pelanggaran keamanan agar mengurangi jumlah perangkat yang terekspos.
• 3.3.A.3 Switch dapat digunakan untuk membuat VLAN, yang secara logis memisahkan perangkat yang terhubung secara fisik ke switch pusat.

Tujuan Pembelajaran 3.3.B: Jelaskan mengapa segmentasi jaringan dapat meningkatkan keamanan jaringan.

• 3.3.B.1 Segmentasi jaringan merujuk pada proses pembagian jaringan menjadi segmen atau subnetwork (subnet) yang lebih kecil dan terisolasi.
• 3.3.B.2 Membagi jaringan menjadi subnet yang lebih kecil mengisolasi lalu lintas jaringan, yang dapat mencegah serangan pada satu subnet berdampak pada perangkat di subnet lain.
• 3.3.B.3 Segmentasi jaringan memungkinkan penerapan kebijakan dan kontrol keamanan yang berbeda pada bagian jaringan yang berbeda, sehingga memungkinkan terbentuknya zona keamanan tinggi dan zona keamanan rendah.
• 3.3.B.4 Keamanan port pada switch dapat mencegah pembanjiran MAC dengan membatasi jumlah alamat yang dapat dialokasikan ke setiap port switch tunggal.

Tujuan Pembelajaran 3.4.A: Identifikasi jenis-jenis firewall berbasis jaringan.

• 3.4.A.1 Firewall digunakan untuk mengizinkan atau menolak lalu lintas jaringan masuk atau keluar dari sebuah jaringan. Firewall itu sendiri adalah perangkat lunak yang dapat di-hosting pada perangkat mandiri atau terintegrasi ke dalam perangkat jaringan lain, seperti router.
• 3.4.A.2 Firewall tanpa keadaan (stateless) memfilter lalu lintas berdasarkan informasi dalam header paket, seperti alamat IP, port, dan protokol.
• 3.4.A.3 Firewall dengan keadaan (stateful) (juga dikenal sebagai penyaringan paket dinamis) melacak keadaan koneksi jaringan yang melewati firewall dan dapat memfilter sesuai dengan aturan terkait koneksi selain penyaringan yang dilakukan oleh firewall tanpa keadaan. Hal ini memungkinkan kontrol yang lebih besar atas konten yang diizinkan masuk dan keluar dari jaringan.
• 3.4.A.4 Firewall generasi berikutnya (NGFW) memiliki kemampuan firewall stateless dan stateful yang umum serta fitur lanjutan tambahan, seperti pencegahan intrusi, inspeksi paket mendalam, dan penyaringan berdasarkan jenis aplikasi.

Tujuan Pembelajaran 3.4.B: Jelaskan bagaimana firewall menggunakan daftar kontrol akses untuk mengizinkan atau menolak lalu lintas yang masuk atau keluar dari jaringan.

• 3.4.B.1 Administrator jaringan membuat serangkaian aturan, yang disebut daftar kontrol akses (ACL), yang digunakan oleh firewall untuk mengizinkan atau menolak lalu lintas jaringan masuk dan keluar.
• 3.4.B.2 Aturan ACL diperiksa secara berurutan dan aturan pertama yang sesuai dengan kriteria akan dieksekusi untuk data tertentu.
• 3.4.B.3 ACL típik akan menentukan arah lalu lintas (masuk atau keluar), kriteria untuk difilter (alamat IP, port logis, layanan, atau aplikasi), dan tindakan yang diambil (mengizinkan atau menolak).

Tujuan Pembelajaran 3.4.C: Tentukkan penempatan efektif firewall dalam jaringan.

• 3.4.C.1 Setiap segmen jaringan harus memiliki firewall untuk mengatur aliran data masuk dan keluar dari segmen tersebut.
• 3.4.C.2 Segmen jaringan mungkin memiliki kebutuhan keamanan yang berbeda berdasarkan data dan layanan di dalamnya. Tingkat keamanan untuk setiap firewall dapat diatur secara independen.
• 3.4.C.3 Setiap titik ingress dan egress data antara jaringan internal dan internet publik harus memiliki firewall.

Tujuan Pembelajaran 3.4.D: Konfigurasi firewall untuk mengelola aliran lalu lintas jaringan.

• 3.4.D.1 Kebutuhan firewall akan menentukan jenis lalu lintas dari sumber mana atau ke tujuan mana yang harus diizinkan atau ditolak.
• 3.4.D.2 Aturan khusus untuk firewall dapat mengizinkan atau menolak lalu lintas masuk atau keluar berdasarkan port sumber atau tujuan, alamat IP, layanan, protokol, atau aplikasi.
  • Contoh ilustratif untuk 3.4.D.2:
    • Izinkan TCP port 22 masuk dari SEMUA; (aturan ini akan mengizinkan semua lalu lintas TCP masuk dengan port tujuan 22, yang merupakan port yang ditentukan untuk protokol SSH)
    • Tolak TCP port 80 masuk dari 192.168.1.0/24; (aturan ini akan menolak lalu lintas TCP masuk dengan port tujuan 80 dari alamat IP dalam rentang 192.168.1.0-192.168.1.255)
• 3.4.D.3 Aturan diterapkan secara berurutan, dan mengubah urutan sekumpulan aturan dapat mengubah lalu lintas mana yang diizinkan atau ditolak. Pertimbangan harus diberikan kepada prioritas penyaringan saat menetapkan urutan aturan.
  • Contoh ilustratif untuk 3.4.D.3:
    • Serangkaian aturan ini akan mengizinkan lalu lintas SSH dan menolak lalu lintas TCP masuk lainnya
    • Aturan 1: IZINKAN TCP port 22 masuk dari SEMUA;
    • Aturan 2: TOLAK TCP masuk SEMUA dari SEMUA;
    • Membalik urutan aturan tersebut akan menolak semua lalu lintas TCP masuk termasuk lalu lintas SSH.

Tujuan Pembelajaran 3.5.A: Identifikasi jenis alat keamanan otomatis yang digunakan untuk mendeteksi serangan jaringan.

• 3.5.A.1 Alat deteksi otomatis menganalisis data yang dikumpulkan dari jaringan dan perangkat organisasi, seperti switch dan router, server, firewall, dan komputer pengguna. Data ini sering kali dikumpulkan dalam file log.
• 3.5.A.2 Sistem deteksi intrusi jaringan (NIDS) adalah alat otomatis yang menganalisis data untuk menentukan apakah aktivitas jahat sedang terjadi di jaringan. Ketika serangan terdeteksi, sistem akan menghasilkan peringatan.
• 3.5.A.3 Sistem pencegahan intrusi jaringan (NIPS) adalah alat otomatis yang, seperti IDS, menganalisis data untuk menentukan apakah aktivitas berbahaya sedang terjadi di sebuah jaringan. NIPS juga dapat memitigasi atau menghentikan serangan dengan menutup port, memblokir alamat IP atau MAC tertentu, atau menolak protokol spesifik.
• 3.5.A.4 Sistem manajemen informasi dan peristiwa keamanan (SIEM) mengumpulkan dan menganalisis data dari berbagai sumber (termasuk firewall, NIDS/NIPS, log perangkat, dan log aplikasi) untuk mendeteksi pola yang mungkin mengindikasikan serangan siber dan memberikan peringatan jika potensi serangan terdeteksi. Analis keamanan menyelidiki peringatan tersebut untuk menentukan apakah itu merupakan ancaman nyata dan mengikuti prosedur operasi standar untuk menyelesaikan atau menaikkan tingkat prioritas peringatan.

Tujuan Pembelajaran 3.5.B: Jelaskan bagaimana organisasi dapat memanfaatkan kecerdasan buatan (AI) untuk meningkatkan pendeteksian dan respons terhadap ancaman.

• 3.5.B.1 Komputer mencatat setiap tindakan yang dilakukan pengguna. Firewall, IDS, IPS, dan sensor jaringan lainnya mencatat seluruh lalu lintas yang melewati berbagai titik dalam jaringan. Jaringan organisasi berukuran sedang mencatat jutaan (atau bahkan puluhan juta) poin data per hari. Bahkan tim manusia yang besar pun tidak mampu menganalisis jumlah data如此之多。
• 3.5.B.2 Tim pendeteksian ancaman membuat algoritma AI untuk menganalisis sejumlah besar data dan mengklasifikasikan pola data sebagai berbahaya atau normal.
• 3.5.B.3 Model AI untuk pendeteksian ancaman didasarkan pada perhitungan probabilitas; mereka melaporkan persentase untuk menunjukkan kemungkinan bahwa sesuatu bersifat berbahaya.
• 3.5.B.4 Organisasi menetapkan ambang batas sendiri untuk persentase kemungkinan ancaman yang akan menghasilkan peringatan. Jika ambang batas ditetapkan terlalu tinggi, serangan nyata mungkin tidak terdeteksi; jika ambang batas terlalu rendah, tim keamanan akan kewalahan dengan peringatan palsu.

Tujuan Pembelajaran 3.5.C: Tentukan metode deteksi jaringan.

• 3.5.C.1 Volume lalu lintas jaringan adalah kriteria untuk menentukan metode deteksi. Deteksi berbasis tanda lebih efisien untuk jaringan dengan volume lalu lintas tinggi. Deteksi berbasis tanda membandingkan data deteksi dengan basis data indikator kompromi yang diketahui (IoCs), yang disebut tanda. Basis data tanda harus diperbarui dengan IoCs untuk serangan terbaru. Deteksi berbasis tanda berjalan lebih cepat daripada deteksi berbasis anomali.
• 3.5.C.2 Konsistensi pola lalu lintas jaringan adalah kriteria untuk menentukan metode deteksi. Deteksi berbasis anomali paling efektif pada jaringan dengan pola lalu lintas yang konsisten. Deteksi berbasis anomali membandingkan data deteksi dengan baseline aktivitas yang tercatat. Baseline harus dicatat pada sistem yang tidak terjamah untuk menetapkan jenis dan volume data yang diharapkan. Deteksi berbasis anomali memicu peringatan atau tindakan ketika jenis atau volume data di luar rentang toleransi tertentu dicatat. Deteksi berbasis anomali mengandalkan pola yang konsisten dalam lalu lintas jaringan untuk mendeteksi pola lalu lintas yang tidak biasa.
• 3.5.C.3 Tingkat sensitivitas atau tingkat kritis jaringan adalah kriteria untuk menentukan metode deteksi. Jaringan dengan data atau layanan yang lebih sensitif atau kritis kemungkinan akan mempertimbangkan pendekatan hibrida. Deteksi hibrida menggabungkan deteksi berbasis tanda dan berbasis anomali. Deteksi hibrida lebih mahal daripada menggunakan deteksi berbasis tanda atau berbasis anomali saja, dan model deteksi hibrida menghasilkan lebih banyak peringatan.
• 3.5.C.4 Kemungkinan serangan baru pada jaringan adalah kriteria untuk menentukan metode deteksi. Deteksi berbasis tanda tidak dapat mendeteksi serangan baru. Ketika organisasi curiga bahwa penjahat siber kemungkinan akan mencoba serangan baru pada jaringan, deteksi berbasis anomali menjadi metode pilihan jika biaya deteksi hibrida sangat mahal.

Tujuan Pembelajaran 3.5.D: Evaluasi dampak dari metode deteksi jaringan.

• 3.5.D.1 Kecepatan deteksi adalah faktor dalam mengevaluasi dampak dari metode deteksi jaringan. Deteksi yang lebih cepat memungkinkan respons yang lebih cepat. Metode deteksi berbasis tanda lebih cepat daripada metode deteksi berbasis anomali, terutama pada jaringan dengan volume lalu lintas tinggi.
• 3.5.D.2 Biaya adalah faktor dalam mengevaluasi dampak dari metode deteksi jaringan. Alat deteksi dan biaya berkelanjutan harus sesuai dengan anggaran. Sistem deteksi berbasis anomali memerlukan perangkat keras yang lebih mahal untuk beroperasi dibandingkan berbasis tanda. Deteksi hibrida adalah opsi paling mahal karena menggabungkan kedua metode berbasis anomali dan berbasis tanda.
• 3.5.D.3 Tingkat positif palsu adalah faktor dalam mengevaluasi dampak dari metode deteksi jaringan. Deteksi berbasis tanda memiliki hampir nol positif palsu. Deteksi berbasis anomali atau hibrida akan memiliki tingkat positif palsu yang lebih tinggi. Dampak dari tingkat positif palsu yang tinggi meliputi:
  • Waktu dan sumber daya dihabiskan untuk menyelidiki peringatan atas aktivitas yang bukan berbahaya.
  • Kelelahan peringatan adalah kondisi yang terjadi ketika penangan mendapat terbiasa dengan positif palsu dan menganggap peringatan kurang serius karena mereka berasumsi peringatan adalah positif palsu sebelum menyelidikinya.
• 3.5.D.4 Tingkat negatif palsu adalah faktor dalam mengevaluasi dampak dari metode deteksi jaringan. Negatif palsu terjadi ketika penjahat siber dapat melewati sistem deteksi. Sistem deteksi berbasis tanda lebih mudah dilewati daripada sistem berbasis anomali atau hibrida. Negatif palsu dapat menyebabkan penjahat siber menimbulkan kerugian, kerusakan, gangguan, atau kehancuran pada data dan sistem.

Tujuan Pembelajaran 3.5.E: Terapkan teknik deteksi untuk mengidentifikasi indikator serangan jaringan dengan menganalisis file log.

• 3.5.E.1 Serangan Evil-twin dapat dideteksi dengan melakukan pemindaian secara berkala terhadap pengenal layanan (SSIDs) yang terlihat mencurigakan atau mirip dengan SSIDs lokal yang sah. Triangulasi sinyal dapat digunakan untuk melokalisasi dan menonaktifkan titik akses yang memancarkan jaringan evil-twin.
• 3.5.E.2 Serangan Jamming dapat dideteksi dengan mengenali bahwa tidak ada perangkat nirkabel dalam ruang fisik tertentu yang mampu terhubung ke jaringan nirkabel dan dengan melakukan pemindaian terhadap kebisingan elektromagnetik (EM) pada rentang nirkabel.
• 3.5.E.3 Serangan ARP poisoning dapat dideteksi dengan memantau lalu lintas jaringan untuk pesan ARP yang tidak biasa (terutama paket ARP dengan alamat MAC ganda) dan memeriksa tabel ARP pada gerbang default.
• 3.5.E.4 Serangan MAC flooding dapat dideteksi dengan memantau lalu lintas jaringan untuk lonjakan frame Ethernet dengan alamat MAC yang tidak terduga dan memeriksa tabel alamat MAC pada switch.
• 3.5.E.5 Serangan DNS poisoning sulit dideteksi. Namun, jika situs web organisasi mengalami penurunan lalu lintas secara tiba-tiba dan tak terjelaskan, catatan DNS harus diperiksa sebagai potensi penyebabnya.
• 3.5.E.6 Serangan Smurf dapat dideteksi dengan mengawasi lalu lintas jaringan untuk peningkatan mendadak permintaan ICMP yang dikirim ke alamat broadcast jaringan.
• 3.5.E.7 IoC berbasis jaringan ditemukan saat menganalisis lalu lintas jaringan, sering kali dalam bentuk file tangkapan paket. Indikator dapat ditemukan pada alamat IP sumber dan tujuan, port, dan protokol. Hal ini dapat mencakup:
  • Koneksi ke alamat IP jahat yang diketahui
  • Pemindaian jaringan yang tidak sah
  • Lonjakan atau penurunan lalu lintas jaringan yang tidak biasa
  • Ketidakcocokan lalu lintas port-aplikasi

Tujuan Pembelajaran 4.1.A: Identifikasi jenis-jenis perangkat komputasi.

• 4.1.A.1 Komputer server adalah perangkat yang menyediakan satu atau lebih layanan kepada komputer lain (misalnya, DNS, DHCP, FTP). Anya komputer dapat menjadi server, dan dalam lingkungan perusahaan server biasanya memiliki daya pemrosesan dan penyimpanan lebih besar daripada komputer pribadi.
• 4.1.A.2 Komputer pribadi adalah perangkat yang dirancang untuk digunakan oleh satu orang untuk keperluan kerja atau rekreasi (misalnya, pengolah kata, desain grafis, menjelajah web, dan produksi atau penayangan media). Ini termasuk komputer desktop, laptop, dan notebook.
• 4.1.A.3 Komputer genggam (juga disebut komputer mobile atau appliance informasi) lebih kecil dari komputer pribadi dan beroperasi menggunakan daya baterai. Ini termasuk tablet, smartphone, dan teknologi wearables seperti jam tangan pintar.
• 4.1.A.4 Komputer tertanam adalah perangkat yang merupakan bagian dari mesin. Perangkat tertanam memiliki set instruksi khusus untuk berinteraksi dengan komponen khusus mesin tempat mereka tertanam. Komputer tertendam cenderung lebih lambat dan lebih murah daripada komputer lainnya dan memiliki penyimpanan minimal.
• 4.1.A.5 Perangkat sehari-hari dengan komputer tertanam sering disebut perangkat Internet of Things (IoT). Komputer tertanam ditemukan dalam transportasi (misalnya, mobil, kereta, dan pesawat), perangkat yang mengoperasikan infrastruktur kritis (misalnya, mengoperasikan sakelar sirkuit di gardu listrik dan pompa di pabrik pengolahan air), peralatan medis (misalnya, pompa infus, scanner MRI, pacemaker, dan pompa insulin), serta perangkat sehari-hari seperti mesin cuci, pembuat kopi, dan termostat.

Tujuan Pembelajaran 4.1.B: Identifikasi jenis malware yang digunakan dalam serangan siber.

• 4.1.B.1 Malware adalah perangkat lunak berbahaya yang dapat merusak atau menghancurkan sebuah perangkat atau jaringan, atau memungkinkan penjahat mengakses perangkat dan data di dalamnya.
• 4.1.B.2 Malware sering digunakan sebagai alat untuk menyelesaikan sebagian rencana penjahat untuk mencapai tujuan akhir mereka. Ada banyak jenis malware, seperti:
  • Virus adalah malware yang harus diaktifkan oleh pengguna yang menjalankan atau membuka sebuah file.
  • Cacing menyebar dari satu komputer ke komputer lain tanpa interaksi manusia.
  • Trojan adalah malware yang tertanam dalam perangkat lunak lain yang tampak tidak berbahaya. Remote access trojans (RATs) memberikan akses jarak jauh kepada penjahat ke sistem target.
  • Ransomware mengenkripsi file perangkat, mencegah pengguna mengakses file di perangkat tersebut. Ransomware biasanya menampilkan layar kepada pengguna yang menuntut pembayaran dan menjanjikan untuk memberikan kunci dekripsi untuk file mereka jika pengguna membayar dalam jangka waktu tetap.
  • Spyware melacak tindakan pengguna di komputer dan mengirim informasi kembali kepada penjahat.
  • Keylogger adalah perangkat lunak atau perangkat keras yang mencatat ketikan pengguna dan mengirim informasi kembali kepada penjahat. Penjahat sering kali dapat mengekstrak nama pengguna dan kata sandi dari data keylogger.
  • Logic bomb diatur untuk memicu efeknya hanya ketika serangkaian kondisi tertentu terpenuhi; kondisinya dapat mencakup waktu dan tanggal, jenis atau versi sistem operasi tertentu, karakter set yang digunakan komputer, dll.
  • Rootkit adalah malware canggih yang masuk ke sistem operasi komputer target dan dapat mengendalikan hampir setiap aspek sistem, termasuk membuat rootkit itu sendiri tidak terlihat untuk deteksi.
• 4.1.B.3 Meskipun sebagian besar malware berupa file atau kumpulan file, malware tanpa file adalah kode berbahaya yang hidup di RAM dan menggunakan program sah yang sudah terinstal di perangkat untuk meretasnya.

Tujuan Pembelajaran 4.1.C: Jelaskan bagaimana penjahat dapat mengeksploitasi kerentanan perangkat umum untuk menyebabkan kerugian, kerusakan, gangguan, atau kehancuran.

• 4.1.C.1 Penyerang dapat membuat eksploitasi untuk kerentanan yang diketahui dalam perangkat lunak (termasuk sistem operasi). Perangkat dengan perangkat lunak yang belum diperbaiki rentan terhadap eksploitasi ini, yang dapat memungkinkan penyerang untuk mematikan sistem, melihat tindakan pengguna, mengaktifkan atau menonaktifkan berbagai layanan atau komponen pada perangkat (misalnya, mengaktifkan webcam atau mikrofon), atau bahkan mengambil alih kendali atas perangkat untuk issued perintah mereka sendiri termasuk perintah untuk mencuri atau menghancurkan informasi pada perangkat.
• 4.1.C.2 Penyerang dapat memanfaatkan persyaratan autentikasi yang lemah dengan menebak kata sandi pengguna atau menggunakan rekayasa sosial untuk mendapatkan pengguna agar mengungkapkan kata sandi mereka.
• 4.1.C.3 Ketika sistem tidak memiliki kata sandi pada basic input output system (BIOS) atau unified extensible firmware interface (UEFI), seorang penyerang dapat memb boot komputer ke mode khusus (misalnya, "recovery mode") yang memberikan mereka tingkat hak akses yang lebih tinggi. Tanpa perlindungan BIOS atau UEFI, penyerang dapat memuat sistem operasi mereka sendiri ke perangkat dari drive eksternal dan menggunakan alat khusus untuk mengubah atau membuat profil pengguna, termasuk mengubah kata sandi pengguna.
• 4.1.C.4 Penyerang dapat memuat malware ke dalam drive eksternal, dan jika autorun diaktifkan, maka perangkat akan menjalankan malware saat drive eksternal disambungkan.
• 4.1.C.5 Penyerang dapat memanfaatkan port terbuka untuk terhubung ke sebuah perangkat.
• 4.1.C.6 Penyerang dapat mengirimkan data berbahaya ke perangkat untuk mengganggu atau mencoba mengambil alih kendali atasnya. Perangkat yang tidak memiliki firewall (atau firewall yang dikonfigurasi secara salah) tidak dapat menyaring data berbahaya ini.
• 4.1.C.7 Penyerang sering kali mencoba memasang malware pada perangkat untuk mengganggu atau mengendalikannya. Perangkat yang kekurangan perangkat lunak anti-malware lebih rentan terhadap jenis serangan ini.

Tujuan Pembelajaran 4.1.D: Menilai dan mendokumentasikan risiko dari kerentanan perangkat.

• 4.1.D.1 Risiko dari kerentanan perangkat dapat berasal dari akses tidak sah atau malware yang memungkinkan penyerang untuk menyamar sebagai pengguna berwenang, mengendalikan perangkat secara jarak jauh, mengenkripsi drive perangkat untuk meminta tebusan data, atau menghapus memori perangkat, menghancurkan data atau membuat perangkat tidak dapat berfungsi. Tingkat risiko bervariasi tergantung pada tingkat kritikalitas perangkat, layanan yang disediakan perangkat, atau data yang disimpan.
• 4.1.D.2 Risiko tinggi dari kerentanan perangkat melibatkan potensi kompromi data sensitif atau operasi kritis.
  • Contoh ilustratif untuk 4.1.D.2:
    • Sebuah organisasi belum menginstal pembaruan terbaru untuk server email mereka yang mencakup perbaikan untuk kerentanan kritis yang diketahui.
• 4.1.D.3 Risiko sedang dari kerentanan perangkat dapat timbul dari persyaratan autentikasi yang lemah atau dari kerentanan yang kurang mungkin dieksploitasi.
  • Contoh ilustratif untuk 4.1.D.3:
    • Sebuah instalasi pengolahan air memiliki sistem tertanam yang mengontrol pompa. Pompa dapat diakses dari jarak jauh melalui nama pengguna dan kata sandi untuk manajemen jarak jauh bagi instalasi tersebut, tetapi perangkat tidak memerlukan autentikasi multi-faktor (MFA).
• 4.1.D.4 Risiko rendah dari kerentanan perangkat biasanya terkait dengan kerentanan yang, jika dieksploitasi, akan memiliki dampak kecil.
  • Contoh ilustratif untuk 4.1.D.4:
    • Laptop seorang karyawan memiliki port telnet 23 terbuka.

Tujuan Pembelajaran 4.2.A: Jelaskan mengapa hash (juga disebut output hash, checksum, message digest, atau digest) digunakan untuk menyimpan kata sandi.

• 4.2.A.1 Fungsi hash kriptografi (juga disebut fungsi message digest) adalah algoritma matematika yang mengambil data biner dengan panjang sembarang, memprosesnya sesuai dengan serangkaian instruksi, dan menghasilkan string biner dengan panjang tetap yang disebut hash (atau checksum atau message digest). Hash kriptografi yang dikenal meliputi:
  • MD5
  • SHA-1, SHA-256, SHA-512 (SHA singkatan dari Secure Hash Algorithm)
  • NTHash
  • RIPEMD-160
• 4.2.A.2 Hash n-bit memiliki $2^n$ kemungkinan output. Jumlah input adalah tak terhingga, sehingga pasti dua input yang berbeda akan menghasilkan hash yang sama. Ini disebut tabrakan (collision).
• 4.2.A.3 Fungsi hash kriptografi memiliki sifat-sifat berikut:
  • Hash tahan terhadap tabrakan; sulit untuk menemukan dua input yang berbeda ke fungsi hash yang sama yang menghasilkan output yang sama.
  • Hash memiliki ketahanan pragambar (pre-image resistance); diberikan sebuah hash, mustahil untuk mengetahui input yang menghasilkan hash tersebut.
  • Hash dapat diulang; input yang sama akan selalu menghasilkan hash yang sama.
  • Hash memiliki panjang tetap; panjang dalam bit dari hash untuk fungsi hash tertentu adalah konstan terlepas dari ukuran input.
• 4.2.A.4 Penyerang mencoba meretas fungsi hashing dengan memaksakan tabrakan pada outputnya. Jika algoritma yang efisien ada untuk memaksakan tabrakan untuk fungsi hash tertentu, maka fungsi hash tersebut akan ditinggalkan (tidak lagi digunakan dalam pengaturan aman). MD5 dan SHA1 adalah contoh fungsi hash yang telah ditinggalkan.
• 4.2.A.5 Layanan autentikasi berbasis kata sandi tidak boleh menyimpan kata sandi dalam bentuk teks biasa, sehingga jika penyerang mendapatkan akses ke direktori pengguna:kata sandi, mereka tidak akan langsung tahu kata sandi semua pengguna. Sebaliknya, kata sandi pengguna harus di-hash dan hash disimpan dalam basis data. Ketika pengguna memasukkan kata sandi mereka, itu di-hash, dan hash dibandingkan dengan hash yang tersimpan di file. Jika hash cocok, maka pengguna terautentikasi.
• 4.2.A.6 Jika dua pengguna memiliki kata sandi yang sama, maka hash mereka akan identik di direktori user:password. Untuk mencegahnya, beberapa bit acak (disebut salt) di-hash bersama dengan kata sandi pengguna untuk menghasilkan hash. Setiap salt pengguna unik, sehingga meskipun dua pengguna memiliki kata sandi yang sama, mereka akan memiliki hash kata sandi yang berbeda karena memiliki salt yang berbeda.

Tujuan Pembelajaran 4.2.B: Jelaskan bagaimana serangan kata sandi mengeksploitasi kerentanan.

• 4.2.B.1 Jika seorang penjahat dapat meretas kata sandi pengguna sah, dan organisasi pengguna tersebut tidak mengaktifkan MFA atau perlindungan autentikasi lainnya, maka penjahat dapat bertindak dalam organisasi tersebut dengan semua akses dan hak yang tersedia bagi pengguna.
• 4.2.B.2 Serangan kata sandi dapat diklasifikasikan sebagai daring (online) atau luring (offline).
  • Serangan kata sandi daring mencoba kombinasi user:password di portal autentikasi aktif.
  • Serangan kata sandi luring telah menangkap basis data user:password dan dapat menjalankan serangan kata sandi terhadap basis data tersebut di komputer mereka sendiri. Metode ini melewati perlindungan penguncian akun apa pun yang mungkin diterapkan.
• 4.2.B.3 Banyak pengguna menggunakan kembali kata sandi yang sama (atau variasi dari kata sandi yang sama) untuk semua layanan dan akun mereka, trotz peringatan untuk tidak melakukannya. Ketika basis data pengguna organisasi dicuri, nama pengguna, email, dan kata sandi dijual kepada penjahat atau dipublikasikan secara online. Penjahat sering kali memulai upaya peretasan akun dengan mencoba kredensial yang dicuri atau bocor untuk individu target.
• 4.2.B.4 Banyak pengguna menetapkan kata sandi yang mudah ditebak, dan penjahat akan mencoba menebak kata sandi umum untuk akun pengguna. Password spraying adalah serangan di mana penjahat mencoba satu kata sandi umum terhadap banyak akun pengguna yang berbeda.
• 4.2.B.5 Beberapa layanan dan perangkat (misalnya, switch, router, dan perangkat IoT) dikonfigurasi sebelumnya dengan pengguna dan kata sandi administratif default. Credential stuffing adalah serangan di mana penjahat mencoba mendapatkan akses ke layanan atau perangkat ini menggunakan kredensial default umum atau kredensial akun yang telah dicuri.
• 4.2.B.6 Serangan kata sandi luring menggunakan alat hash-cracking otomatis untuk meng-hash kemungkinan kata sandi dan membandingkannya dengan hash yang ditangkap. Meskipun hash tidak dapat dibalik, penjahat dapat menggunakan alat ini untuk meng-hash banyak kata sandi potensial dan membandingkannya dengan hash target. Jika penjahat menemukan hash yang cocok, mereka dapat menggunakan kata sandi yang menghasilkan hash tersebut untuk masuk ke akun pengguna. Serangan luring mencakup:
  • Serangan brute force, di mana penjahat menggunakan alat otomatis untuk menguji semua kata sandi potensial yang bisa dimiliki pengguna
  • Serangan dictionary, di mana penjahat menggunakan alat otomatis untuk menguji daftar kata sandi umum
• 4.2.B.7 Serangan rainbow table menggunakan daftar kata sandi umum untuk menghasilkan tabel rainbow. Tabel rainbow adalah tabel yang berisi setiap kata sandi potensial dan hash-nya. Tabel kemudian diurutkan berdasarkan hash, dan penjahat menggunakan alat otomatis untuk mencari daftar hash untuk hash yang ditangkap. Jika hash cocok, maka penjahat telah menemukan kata sandi yang menghasilkan hash yang sama, dan kata sandi tersebut akan memungkinkan penjahat masuk ke akun pengguna.

Tujuan Pembelajaran 4.2.C: Tentukan jenis autentikasi yang digunakan untuk memverifikasi identitas pengguna.

• 4.2.C.1 Mekanisme autentikasi adalah kontrol teknis yang memverifikasi identitas pengguna untuk memastikan hanya pengguna berwenang yang mengakses sistem. Bukti yang diberikan pengguna untuk mengidentifikasi diri mereka disebut faktor. Faktor autentikasi umum meliputi:
  • Sesuatu yang diketahui pengguna (faktor pengetahuan)
  • Sesuatu yang dimiliki pengguna (faktor kepemilikan)
  • Sesuatu yang melekat pada pengguna (faktor biometrik)
  • Di mana pengguna berada (faktor lokasi)
• 4.2.C.2 Faktor pengetahuan dapat berupa kata sandi, PIN, atau jawaban atas pertanyaan tantangan yang dipilih sebelumnya. Agar faktor pengetahuan efektif, hal itu harus sesuatu yang sulit ditebak oleh penjahat; namun, faktor pengetahuan yang sulit ditebak oleh penjahat juga bisa lebih sulit diingat oleh pengguna.
• 4.2.C.3 Faktor kepemilikan adalah objek yang dimiliki pengguna yang unik baginya, seperti kartu akses, kartu bank, ponsel, atau token autentikasi. Semakin sulit bagi penjahat untuk mendapatkan objek tersebut (atau salinannya), semakin aman faktor kepemilikan tersebut.
• 4.2.C.4 Faktor biometrik mengukur fitur tubuh manusia dan dapat mencakup sidik jari, cetakan telapak tangan, pengenalan wajah, pemindaian iris atau retina, atau identifikasi suara. Faktor biometrik sulit direplikasi oleh penjahat karena bersifat unik pada individu.
• 4.2.C.5 Faktor lokasi menggunakan informasi tentang sinyal Wi-Fi, data GPS, pengaturan zona waktu, dan bahkan informasi alamat IP untuk membuat penentuan mengenai lokasi. Aturan dapat ditetapkan untuk mengizinkan atau menolak akses berdasarkan faktor lokasi.
• 4.2.C.6 Autentikasi multifaktor (MFA) adalah ketika sistem menggunakan lebih dari satu faktor untuk mengautentikasi pengguna. MFA lebih aman daripada autentikasi satu faktor karena memerlukan pengguna untuk menyediakan setidaknya dua faktor autentikasi yang terpisah.

Tujuan Pembelajaran 4.2.D: Konfigurasi pengaturan login untuk membuat perangkat lebih aman.

• 4.2.D.1 Memerlukan kompleksitas dalam kata sandi adalah pengaturan login yang dapat dikonfigurasi. Saat diaktifkan, pengguna yang menetapkan kata sandi baru harus memasukkan setidaknya satu karakter dari setiap himpunan karakter. Kata sandi dengan karakter dari setiap himpunan karakter jauh lebih sulit ditembus oleh penjahat dibandingkan kata sandi yang menggunakan karakter dari hanya satu atau dua himpunan karakter. Himpunan karakter utama yang sering diminta adalah:
  • Huruf kapital (A–Z)
  • Huruf kecil (a–z)
  • Angka numerik (0–9)
  • Karakter khusus (!"#$%&’()*+,-./:;<=>?@ [ \ ] ^_`{|}~)
• 4.2.D.2 Memerlukan panjang minimum kata sandi adalah pengaturan masuk yang dapat dikonfigurasi. Hal ini berarti pengguna harus memiliki setidaknya sejumlah karakter tertentu dalam kata sandi mereka. Semakin panjang dan kompleks sebuah kata sandi, semakin lama waktu yang dibutuhkan alat digital untuk meretas kata sandi tersebut.
• 4.2.D.3 Memerlukan usia maksimum kata sandi adalah pengaturan masuk yang dapat dikonfigurasi. Saat dikonfigurasi, pengguna akan menerima prompt untuk mengganti kata sandi mereka sejumlah hari setelah penggantian kata sandi terakhir, biasanya setiap 90 atau 120 hari. Jika kata sandi pengguna telah diretas, menggantinya dapat mencegah penjahat mendapatkan akses ke akun pengguna. Namun, beberapa standar nasional merekomendasikan agar organisasi tidak mewajibkan pengguna mengubah kata sandi mereka pada interval yang telah ditentukan sebelumnya untuk mencegah pengguna mengembangkan pola kata sandi (misalnya, PasswordFall2028).
• 4.2.D.4 Memerlukan sistem untuk menyimpan sejumlah kata sandi pengguna sebelumnya adalah pengaturan masuk yang dapat dikonfigurasi. Ini mencegah pengguna menggunakan kembali kata sandi yang sama. Banyak organisasi menyimpan hash kata sandi pengguna sebelumnya sebanyak 5–10 kali untuk mencegah penggunaan kembali.
• 4.2.D.5 Memerlukan periode penguncian setelah sejumlah percobaan masuk yang tidak valid adalah pengaturan masuk yang dapat dikonfigurasi. Ini mencegah penjahat secara terus-menerus mencoba password yang salah secara acak. Banyak organisasi mengunci akun pengguna setelah 3–5 percobaan masuk yang tidak valid. Durasi periode penguncian bervariasi.

Tujuan Pembelajaran 4.3.A: Identifikasi kontrol manajerial terkait keamanan perangkat.

• 4.3.A.1 Kebijakan penggunaan yang dapat diterima akan menggambarkan rentang aktivitas yang diperbolehkan, dilarang, atau diwajibkan oleh pengguna pada perangkat yang dimiliki organisasi dan mungkin mencakup:
  • Melarang pengguna mengakses situs web tertentu atau jenis situs web (misalnya media sosial atau permainan)
  • Mewajibkan pengguna menjaga perangkat lunak tetap diperbarui
  • Mengizinkan pengguna menghubungkan perangkat periferal
  • Melarang pengguna menghubungkan drive eksternal atau media
• 4.3.A.2 Kebijakan kata sandi akan merinci persyaratan untuk kata sandi pengguna dalam organisasi dan mungkin mencakup:
  • Panjang minimum atau maksimum kata sandi
  • Jumlah waktu minimum atau maksimum yang mungkin digunakan pengguna untuk mempertahankan kata sandi yang sama
  • Larangan penggunaan kembali kata sandi
  • Aturan untuk penyusunan kata sandi (misalnya, tidak ada kata kamus dan persyaratan set karakter)
  • Saran untuk menggunakan alat manajemen kata sandi yang aman daripada menulis kata sandi
• 4.3.A.3 Kebijakan instalasi perangkat lunak akan menjelaskan apa (jika ada) perangkat lunak yang diizinkan pengguna instalasikan pada perangkat mereka dan biasanya juga proses bagi pengguna untuk meminta perangkat lunak khusus yang mungkin mereka butuhkan untuk menjalankan peran mereka, dan dapat mencakup:
  • Larangan bagi pengguna menginstal perangkat lunak pada perangkat mereka
  • Proses bagi pengguna untuk meminta perangkat lunak baru yang diperlukan untuk peran mereka
  • Daftar perangkat lunak yang disetujui untuk pengguna

Tujuan Pembelajaran 4.3.B: Jelaskan bagaimana perangkat lunak anti-malware dapat membuat perangkat lebih aman.

• 4.3.B.1 Perangkat lunak anti-malware (terkadang disebut perangkat lunak antivirus) memiliki alat untuk karantina dan menghapus malware yang dapat merusak, mengintai, atau menghancurkan sistem. Malware berisi indikator yang membuatnya terdeteksi; indikator-indikator ini disebut tanda tangan.
• 4.3.B.2 Perangkat lunak anti-malware memiliki database tanda tangan malware. Secara berkala memindai file-file pada perangkat dan memeriksa apakah ada file yang cocok dengan salah satu tanda tangan di databasenya. Jika ada kecocokan, perangkat lunak akan mengkarantina dan menghapus file-file berbahaya tersebut.

Tujuan Pembelajaran 4.3.C: Jelaskan mengapa menjaga pembaruan sistem operasi dan perangkat lunak perangkat membuat perangkat lebih aman.

• 4.3.C.1 Ketika kerentanan dalam sistem operasi dan perangkat lunak ditemukan, vendor atau organisasi yang mempertahankan perangkat lunak sistem operasi akan memperbaikinya dan mengirimkan pembaruan. Pembaruan kecil disebut patch (penambalan).
• 4.3.C.2 Memastikan bahwa sistem operasi dan aplikasi perangkat lunak komputer diperbarui ke versi terbaru mencegah penjahat memanfaatkan kerentanan yang diketahui.

Tujuan Pembelajaran 4.3.D: Konfigurasi firewall berbasis host.

• 4.3.D.1 Firewall berbasis host mengizinkan atau menolak lalu lintas masuk atau keluar dari satu perangkat tunggal. Ini memberikan lapisan keamanan tambahan jika host terhubung ke jaringan yang telah diretas.
• 4.3.D.2 Firewall berbasis host adalah perangkat lunak yang berjalan pada perangkat dan mengikuti serangkaian aturan (ACL) seperti firewall berbasis jaringan. Aturan firewall diterapkan secara berurutan, menerapkan aturan pertama yang cocok.
• 4.3.D.3 Firewall berbasis host juga dapat memblokir jenis lalu lintas keluar yang ditentukan. Firewall berbasis host harus selalu memblokir port atau layanan yang tidak diperlukan untuk perangkat tertentu.
  • Contoh ilustratif untuk 4.3.D.3:
    • Firewall berbasis host dikonfigurasi untuk memblokir lalu lintas FTP keluar. Ini mencegah penjahat dengan akses jarak jauh ke host menggunakan FTP untuk mengekstraksi file ke server penjahat.
• 4.3.D.4 Aturan untuk firewall berbasis host dapat mengizinkan atau menolak lalu lintas berdasarkan port sumber atau tujuan, alamat IP, layanan, protokol, atau aplikasi.

Tujuan Pembelajaran 4.4.A: Jelaskan cara mendeteksi serangan terhadap perangkat.

• 4.4.A.1 Proses dan pengaturan sistem, percobaan masuk, percobaan unduhan file, dan tindakan pengguna dicatat oleh sistem komputasi. Catatan-catatan ini dapat digunakan untuk merekonstruksi keadaan yang mengarah pada dan selama insiden siber.
• 4.4.A.2 Indikator kompromi (IoC) adalah bukti bahwa seorang penyerang telah merebut kendali perangkat atau jaringan.
• 4.4.A.3 Log autentikasi (atau log auth) mencatat setiap upaya masuk ke dalam sistem. Analisis terhadap log autentikasi dapat mengungkap serangan yang dicoba.
• 4.4.A.4 IoC berbasis host ditemukan saat menganalisis log dan pengaturan konfigurasi. Indikator, seperti berikut ini, dapat ditemukan di log autentikasi, log aktivitas pengguna, dan file konfigurasi sistem:
  • File tidak biasa yang dibuat atau dimodifikasi
  • Proses atau layanan yang tidak terduga
  • Perubahan pada pengaturan konfigurasi sistem tanpa otorisasi
  • Instalasi atau pembaruan perangkat lunak tanpa otorisasi
• 4.4.A.5 IoC berbasis file ditemukan saat menganalisis file pada sebuah perangkat. Indikator biasanya ditemukan pada file eksekutabel dan dapat mencakup:
  • File yang hash-nya cocok dengan malware yang diketahui
  • Nama file yang diketahui dibuat oleh program malware tertentu
  • Jalur file yang dikaitkan dengan aktivitas berbahaya
• 4.4.A.6 IoC berbasis perilaku ditemukan saat menganalisis log. Indikator dapat ditemukan di log autentikasi dan log akses dan dapat mencakup:
  • Banyak upaya masuk yang gagal
  • Waktu atau lokasi masuk yang tidak biasa
  • Upaya untuk mengakses data sensitif tanpa otorisasi
  • Upaya untuk meningkatkan hak istimewa pengguna pada sistem

Tujuan Pembelajaran 4.4.B: Tentukan kontrol untuk mendeteksi serangan terhadap sebuah perangkat.

• 4.4.B.1 Performa merupakan kriteria untuk menentukan metode deteksi. Alat deteksi menggunakan memori sistem dan daya pemrosesan dan dapat memengaruhi performa perangkat. Alat deteksi berbasis anomali menggunakan lebih banyak sumber daya sistem dibandingkan alat berbasis tanda tangan. Deteksi berbasis tanda tangan merupakan pilihan yang lebih baik untuk perangkat dengan sumber daya sistem yang kurang kuat. Banyak perangkat tertanam tidak memiliki cukup sumber daya sistem untuk menjalankan alat deteksi apa pun pada perangkat tersebut.
• 4.4.B.2 Biaya merupakan kriteria untuk menentukan metode deteksi. Organisasi yang membeli perangkat lunak deteksi perlu mempertimbangkan biaya pembelian lisensi perangkat lunak yang cukup untuk jumlah perangkat yang perlu mereka pantau. Beberapa organisasi berlangganan layanan deteksi dan respons titik akhir (EDR) dari penyedia pihak ketiga. Meskipun layanan ini mahal, layanan ini menyediakan pendekatan holistik dan terpadu untuk deteksi ancaman bagi perangkat organisasi; layanan ini biasanya mencakup platform peringatan terpusat untuk memantau kemungkinan serangan pada perangkat.
• 4.4.B.3 Sensitivitas atau tingkat kritisitas perangkat merupakan kriteria untuk menentukan metode deteksi. Perangkat yang menyimpan atau memproses informasi sensitif atau menyediakan layanan kritis lebih mungkin menjadi sasaran penyerang dan mendapat manfaat dari model deteksi hibrida untuk menawarkan perlindungan maksimal, jika memungkinkan.

Tujuan Pembelajaran 4.4.C: Evaluasikan dampak dari metode deteksi perangkat.

• 4.4.C.1 Kecepatan dan performa merupakan faktor dalam mengevaluasi dampak dari metode deteksi. Secara umum, deteksi berbasis tanda tangan lebih cepat daripada deteksi berbasis anomali, dan efek tersebut semakin terasa pada perangkat, yang sering kali tidak memiliki daya pemrosesan yang cukup untuk menjalankan alat deteksi berbasis anomali secara efektif. Menerapkan alat deteksi yang membutuhkan sumber daya besar pada perangkat dapat menurunkan performa perangkat.
• 4.4.C.2 Fase serangan merupakan faktor dalam mengevaluasi dampak dari metode deteksi. Untuk melakukan tindakan pada sebuah perangkat, penyerang harus terlebih dahulu melewati kombinasi kontrol keamanan fisik- atau jaring-lapisan protektif, deterrent, dan detective. Mendeteksi dan menghentikan serangan pada level perangkat dapat mencegah penyerang mengakses data sensitif atau mengganggu layanan kritis.
• 4.4.C.3 Positif palsu versus kemudahan melompati deteksi merupakan faktor dalam mengevaluasi dampak dari metode deteksi. Sebagian besar alat deteksi pada level perangkat berbasis tanda tangan, dan deteksi berbasis tanda tangan memiliki tingkat positif palsu yang rendah. Namun, deteksi berbasis tanda tangan lebih mudah dilompati oleh penyerang.

Tujuan Pembelajaran 4.4.D: Terapkan teknik deteksi untuk mengidentifikasi indikator serangan kata sandi dengan menganalisis file log.

• 4.4.D.1 Serangan kata sandi online dapat dideteksi dalam log autentikasi. Satu pengguna yang mencoba banyak kata sandi yang salah merupakan indikator serangan kata sandi online. Jika basis data hash kata sandi:user telah diretas, semua kata sandi pengguna dalam basis data tersebut harus dianggap tidak aman dan semua pengguna harus dipaksa untuk mengatur ulang kata sandi mereka.
• 4.4.D.2 Jika seorang pengguna yang berwenang masuk dari lokasi atau alamat IP yang berbeda dari yang diharapkan, atau pada waktu yang berbeda dari normal, hal ini dapat menjadi indikator bahwa kata sandi pengguna telah diretas.
• 4.4.D.3 Indikator dari penyemprotan kata sandi adalah banyak pengguna yang mencoba masuk dalam hitungan detik satu sama lain dari satu alamat IP atau dari alamat IP yang tidak biasa.
• 4.4.D.4 Indikator dari pengisian kredensial adalah serangkaian kombinasi default user:password yang dicoba pada sebuah perangkat secara berurutan dengan cepat, seringkali dari alamat IP yang sama.
• 4.4.D.5 Serangan kata sandi offline tidak dapat dideteksi, karena serangan terjadi di komputer penyerang.

Tujuan Pembelajaran 5.1.A: Jelaskan bagaimana penyerang dapat mengeksploitasi kerentanan aplikasi dan file untuk menyebabkan kerugian, kerusakan, gangguan, atau kehancuran.

• 5.1.A.1 Penyerang dapat membaca semua file yang tidak dienkripsi jika mereka memiliki akses ke perangkat atau drive yang menyimpan file tersebut.
• 5.1.A.2 Komputer memiliki pengguna standar dan pengguna administratif. Pengguna administratif memiliki akses untuk mengontrol pengaturan sistem dan biasanya dapat mengakses semua file atau aplikasi pada sistem. Jika pengguna biasa diberikan hak akses administratif pada komputer, dan penjahat siber berhasil meretas akun pengguna, maka penjahat tersebut akan memiliki hak akses yang ditingkatkan pada sistem.
• 5.1.A.3 Ketika pengaturan kontrol akses dikonfigurasi dengan lemah, banyak pengguna sering kali memiliki izin untuk melihat dan terkadang bahkan mengedit file pada sistem. Penjahat siber dapat memanfaatkan pengaturan kontrol akses yang lemah untuk mencuri atau menghancurkan file, atau mengganggu sebuah aplikasi.

Tujuan Pembelajaran 5.1.B: Jelaskan bagaimana serangan aplikasi mengeksploitasi kerentanan.

• 5.1.B.1 Aplikasi adalah program yang menjalankan instruksi pada komputer; mereka merupakan data yang dapat dieksekusi. Beberapa aplikasi berjalan secara lokal di komputer pengguna, sementara aplikasi lain, seperti aplikasi web, berjalan di server dan diakses oleh pengguna melalui jaringan.
• 5.1.B.2 Banyak aplikasi menerima input pengguna melalui bidang input terbuka di mana pengguna dapat mengetik karakter (misalnya, huruf, angka, tanda baca). Pengembang harus menyertakan pemeriksaan input pengguna dalam aplikasi mereka, seperti memasukkan input numerik ketika diminta jumlah item, untuk memastikan bahwa input pengguna sesuai dengan yang diharapkan; aplikasi harus menolak input di luar parameter yang diharapkan. Proses memverifikasi apakah input pengguna memenuhi kriteria yang diharapkan sebelum memprosesnya disebut validasi data. Aplikasi yang gagal memvalidasi input pengguna rentan terhadap serangan jenis injeksi, di mana penjahat siber menyisipkan string karakter tak terduga di bidang input untuk mengubah perilaku program.
• 5.1.B.3 Structured Query Language (SQL) adalah bahasa pemrograman yang digunakan untuk meminta informasi dari basis data dan melakukan perubahan pada basis data atau entri dalam basis data. Aplikasi yang querying basis data menggunakan input yang tidak divalidasi atau tidak dibersihkan dari pengguna rentan terhadap serangan ini.
• 5.1.B.4 Serangan SQL-injection menempatkan perintah SQL dan karakter kontrol ke dalam bidang input pengguna pada aplikasi, yang dapat menyebabkan pelanggaran kerahasiaan dengan membuat aplikasi mengembalikan lebih banyak informasi daripada seharusnya, atau pelanggaran integritas dengan memodifikasi atau menghapus data dalam basis data.
• 5.1.B.5 Website ditulis menggunakan hypertext markup language (HTML), dan banyak website menggunakan Javascript untuk membuat konten dinamis pada website atau aplikasi web. Karena perintah Javascript berjalan di browser pengguna yang mengunjungi website, perintah-perintah tersebut dapat mengakses data sensitif yang disimpan di browser seperti nama pengguna, kata sandi, dan kunci kriptografi.
• 5.1.B.6 Serangan cross-site scripting (XSS) menyisipkan kode berbahaya ke dalam website yang kemudian dieksekusi oleh browser pengguna. Kode berbahaya dapat tertanam dalam tautan yang diklik pengguna (serangan XSS Tipe I atau Reflected XSS) atau dapat disisipkan ke dalam website melalui bidang komentar, postingan forum, atau log pengunjung, yang akan mempengaruhi setiap pengguna yang mengunjungi website tersebut (serangan XSS Tipe II atau Stored XSS).
• 5.1.B.7 Ketika aplikasi menerima input pengguna, input tersebut ditulis ke dalam buffer. Buffer adalah bagian memori komputer yang ditunjuk dengan ukuran tetap. Jika jumlah data yang dimasukkan pengguna melebihi ukuran buffer, data tersebut dapat meluber ke lokasi memori tetangga dan menimpa bagian lain dari memori komputer.
• 5.1.B.8 Serangan buffer overflow memasukkan lebih banyak data ke dalam memori daripada yang dialokasikan, yang dapat menyebabkan sistem crash atau menjalankan kode di luar jangkauan kebijakan keamanan program, sehingga secara efektif memungkinkan penjahat siber untuk melakukan tindakan tidak sah pada komputer, seperti mengakses, memodifikasi, atau menghapus file.
• 5.1.B.9 File yang menjalankan aplikasi web disimpan dalam direktori pada server. Ketika pengguna mengakses aplikasi web, browser mereka mengirim permintaan GET menggunakan hypertext transfer protocol (HTTP). Permintaan GET mengakses file di suatu tempat di filesystem server.
• 5.1.B.10 Dalam serangan directory traversal, penjahat siber memodifikasi URL dan permintaan GET untuk mencoba mengakses data sensitif (misalnya, nama pengguna dan kata sandi) pada filesystem server.
  • Contoh ilustratif untuk 5.1.B.10:
    • Server web menyimpan gambar untuk website yang dihosting-nya di direktori /var/www/images/. Penjahat siber memodifikasi URL yang meminta gambar menjadi ../../../etc/passwd. Tanda .. memindahkan satu direktori naik dalam filesystem; jadi tiga tanda .. berturut-turut mengembalikan path ke root, dan dari sana penjahat siber mencoba mengakses file passwd yang akan mengembalikan daftar semua nama pengguna berwenang pada perangkat.

Tujuan Pembelajaran 5.1.C: Menilai dan mendokumentasikan risiko dari kerentanan aplikasi dan data.

• 5.1.C.1 Risiko keamanan data dapat melibatkan kompromi kerahasiaan ketika orang tak berwenang dapat mengakses data sensitif, integritas ketika data dapat dimanipulasi atau diubah dari keadaan aslinya, dan ketersediaan ketika data dapat dihancurkan atau dienkripsi untuk mencegah orang lain mengaksesnya.
• 5.1.C.2 Risiko tinggi dari kerentanan data sering melibatkan data yang sangat sensitif (misalnya, data yang diatur oleh undang-undang atau peraturan) yang dapat dikompromikan melalui eksploitasi yang sangat mungkin terjadi.
  • Contoh ilustratif untuk 5.1.C.2:
    • Perusahaan yang mengembangkan mesin jet berikutnya yang akan digunakan oleh Angkatan Udara dalam pesawatnya menyimpan spesifikasi teknis mesin tersebut pada drive tanpa enkripsi.
• 5.1.C.3 Risiko sedang dari kerentanan data sering melibatkan data sensitif yang tidak memiliki enkripsi yang cukup kuat atau kontrol akses yang ketat.
  • Contoh ilustratif untuk 5.1.C.3:
    • Sebuah perusahaan menyimpan PII pelanggannya dalam spreadsheet, dan spreadsheet tersebut dienkripsi menggunakan kunci kecil.
• 5.1.C.4 Risiko rendah dari kerentanan data sering kali melibatkan informasi yang kurang sensitif yang dienkripsi dengan kunci yang lebih pendek atau memiliki kontrol akses yang tidak cukup ketat.
  • Contoh ilustratif untuk 5.1.C.4:
    • CEO sebuah organisasi menyimpan memo pribadinya kepada staf eksekutif pada drive berbagi perusahaan yang tidak terenkripsi dan tidak memiliki kontrol akses.

Tujuan Pembelajaran 5.2.A: Jelaskan bagaimana状态 atau klasifikasi data memengaruhi jenis dan tingkat keamanan yang diterapkan pada data tersebut.

• 5.2.A.1 Organisasi menerapkan kontrol keamanan spesifik untuk mematuhi persyaratan hukum berdasarkan jenis data yang mereka kumpulkan, simpan, proses, dan transmisi.
• 5.2.A.2 Data dapat diklasifikasikan berdasarkan statusnya.
  • Data saat diam (at rest) disimpan pada penguat. Penting untuk melindungi penguat fisik yang menyimpan data dari kerusakan atau pencurian. Data saat diam juga dapat dienkripsi sehingga jika seorang penjahat merampasnya, mereka tidak dapat segera membaca datanya.
  • Data saat transit dikirimkan dari satu perangkat ke perangkat lain. Jika data ditransfer melalui media fisik (misalnya kabel), penting untuk melindungi media tersebut. Data saat transit juga dapat dienkripsi sehingga jika seorang penjahat mengintercept-nya, mereka tidak dapat segera membaca datanya.
  • Data saat digunakan diproses oleh perangkat lunak atau seseorang. Kontrol akses dapat digunakan untuk membatasi siapa atau apa yang memiliki kemampuan untuk menggunakan data dengan cara yang berbeda (misalnya, melihat atau mengedit). Data harus tidak terenkripsi agar dapat digunakan.
• 5.2.A.3 Organisasi sering mengategorikan data sesuai dengan tingkat sensitivitasnya dan memprioritaskan tingkat keamanan yang lebih tinggi untuk informasi yang lebih sensitif.
• 5.2.A.4 Undang-undang dan peraturan dapat mewajibkan jenis data tertentu disimpan, ditransmisi, dan ditangani sesuai dengan aturan spesifik.
  • Informasi identifikasi pribadi (PII) adalah data apa pun yang memungkinkan seseorang diidentifikasi dan mencakup (tetapi tidak terbatas pada): nama, tanda tangan, nomor telepon, alamat, data biometrik (misalnya sidik jari), nomor jaminan sosial, tanggal lahir, dan alamat email. Perlindungan data ini diatur oleh banyak undang-undang tetapi yang paling menonjol adalah The Privacy Act of 1974 dan untuk anak-anak di bawah usia 13 tahun adalah Children’s Online Privacy Protection Act of 1998.
  • Informasi kesehatan terlindungi (PHI) adalah data apa pun yang terkait dengan kesehatan individu, perawatan, pembayaran untuk perawatan kesehatan kapan saja dan mencakup (tetapi tidak terbatas pada): hasil tes, catatan perawatan, rekam rumah sakit, catatan kunjungan dokter, dan catatan pembayaran penyedia kesehatan. Perlindungan PHI termasuk dalam Health Insurance Portability and Accountability Act of 1996.
  • Informasi kartu pembayaran (PCI) adalah data yang dikumpulkan oleh organisasi untuk memproses pembayaran melalui kartu (misalnya kartu kredit) dan mencakup hal-hal berikut: nama, nomor akun, tanggal kedaluwarsa, alamat, dan kode CVV. Perlindungan data ini diatur oleh Payment Card Industry Data Security Standard (PCI-DSS).
• 5.2.A.5 Organisasi yang mengumpulkan data terregulasi akan melabelinya dan memiliki kebijakan yang mematuhi persyaratan hukum atau regulasi untuk penyimpanan, transmisi, dan penanganan data ini secara aman.

Tujuan Pembelajaran 5.2.B: Identifikasi kontrol manajerial yang berkaitan dengan keamanan aplikasi dan data.

• 5.2.B.1 Kebijakan kriptografi akan menjelaskan protokol enkripsi dan parameter kunci yang dapat diterima untuk sebuah organisasi dan mungkin mencakup:
  • Daftar algoritma enkripsi yang disetujui untuk penggunaan tertentu
  • Panjang kunci minimum atau maksimum
  • Persyaratan dan parameter pembangkitan kunci kriptografi
  • Persyaratan penyimpanan kunci kriptografi
• 5.2.B.2 Kebijakan keamanan aplikasi web akan outlining persyaratan dan parameter untuk pengujian dan mitigasi kerentanan aplikasi web dalam sebuah organisasi, dan mungkin mencakup:
  • Parameter kapan sebuah aplikasi tunduk pada penilaian keamanan
  • Timeline untuk perbaikan kerentanan berdasarkan tingkat risiko
  • Parameter tentang bagaimana penilaian keamanan aplikasi harus dilakukan (misalnya, menggunakan alat tertentu atau sesuai dengan framework tertentu)

Tujuan Pembelajaran 5.2.C: Tentukan model kontrol akses yang tepat untuk melindungi aplikasi dan data.

• 5.2.C.1 Kontrol akses menegakkan pengguna atau aplikasi mana (disebut subjek) dapat mengakses, memodifikasi, menambahkan, atau menghapus (disebut operasi) file atau aplikasi mana (disebut objek). Model kontrol akses menggambarkan cara menentukan subjek mana memiliki jenis akses apa ke objek mana.
• 5.2.C.2 Kontrol akses berbasis peran (RBAC) menetapkan setiap subjek ke dalam peran dan mendefinisikan peran mana memiliki jenis akses apa ke objek mana.
  • Contoh ilustratif untuk 5.2.C.2:
    • Contoh peran di sebuah perusahaan bisa jadi "akuntan", dan salah satu jenis objek bisa jadi perangkat lunak penggajian. Akses berbasis peran dapat digunakan untuk memastikan bahwa hanya subjek yang ditugaskan ke peran "akuntan" yang memiliki akses ke objek perangkat lunak penggajian.
• 5.2.C.3 Kontrol akses berbasis aturan (RuBAC) memeriksa serangkaian aturan untuk menentukan jenis akses apa yang seharusnya dimiliki subjek untuk objek tertentu dan kemudian mengizinkan atau menolak jenis akses berdasarkan aturan tersebut. Model kontrol akses ini biasanya berlapis di atas model kontrol akses lainnya.
  • Contoh ilustratif untuk 5.2.C.3:
    • Ada aturan yang melarang subjek (bahkan mereka yang biasanya memiliki akses) untuk mengakses database tertentu (objek) di luar jam kerja lokal. Ketika subjek mencoba mengakses database, meskipun mereka berwenang untuk mengaksesnya, mereka akan ditolak aksesnya jika berada di luar waktu yang ditentukan oleh aturan tersebut.
• 5.2.C.4 Kontrol akses diskresioner (DAC) memberikan subyek individu kemampuan untuk menetapkan jenis akses yang dimiliki subyek lain terhadap objek yang mereka miliki. Dalam model DAC, beberapa subyek ditunjuk sebagai administrator atau super pengguna, dan mereka memiliki kemampuan untuk mengabaikan kontrol akses yang ditetapkan oleh subyek lainnya.
  • Contoh ilustratif untuk 5.2.C.4:
    • Bob membuat sebuah file (sebuah objek) dan memutuskan untuk memberikan Alice izin untuk mengedit file tersebut, memberikan Frank izin hanya untuk melihat file, dan menolak akses bagi semua orang lainnya ke file tersebut sepenuhnya.
• 5.2.C.5 Kontrol akses wajib (MAC) mengikuti aturan ketat mengenai jenis akses apa yang dimiliki setiap tingkat subyek terhadap objek di atas, pada, atau di bawah level mereka. Tingkat subyek dan objek ditentukan oleh administrator eksternal.
• 5.2.C.6 Model Bell-LaPadula adalah model MAC yang sering digunakan oleh pemerintah dan organisasi militer untuk mengontrol keamanan informasi. Model ini memiliki dua sifat penting berikut:
  • i. Sifat Keamanan Sederhana menyatakan bahwa subyek tidak boleh membaca objek yang berada di atas level mereka.
  • ii. Sifat Keamanan * (Star) menyatakan bahwa subyek tidak boleh menulis ke objek di bawah level mereka.
  • Aturan-aturan ini jika digabungkan sering diringkas sebagai "menulis naik, membaca turun" (WURD).
• 5.2.C.7 Prinsip hak minimum adalah gagasan bahwa entitas harus diberikan tepat sebanyak akses yang diperlukan untuk menjalankan fungsinya dan tidak lebih dari itu.

Tujuan Pembelajaran 5.2.D: Konfigurasi pengaturan kontrol akses pada sistem berbasis Linux.

• 5.2.D.1 Otorisasi adalah ketika sebuah entitas diberikan izin untuk memiliki jenis akses tertentu terhadap suatu sumber daya. Kontrol akses diterapkan untuk mengatur pengguna mana yang memiliki jenis akses apa terhadap data mana.
• 5.2.D.2 Terdapat tiga jenis akses ke sebuah file dalam Linux yang dapat diatur, dan selalu datang dalam urutan berikut:
  • i. Akses baca memungkinkan pengguna untuk melihat isi file.
  • ii. Akses tulis memungkinkan pengguna untuk mengubah file.
  • iii. Akses eksekusi memungkinkan pengguna untuk menjalankan file biner seperti program.
  • Ini disingkat rwx, berturut-turut. Jika seorang pengguna hanya memiliki izin baca dan eksekusi (bukan tulis), maka akan ditampilkan sebagai r-x. Simbol - menunjukkan ketiadaan izin tersebut.
• 5.2.D.3 Terdapat tiga entitas default untuk izin yang ditetapkan dan selalu dalam urutan ini: (1) pemilik file, (2) grup file, dan (3) semua pengguna lainnya. Ketiga set ditampilkan tanpa spasi (mis., rwxrwxrwx).
• 5.2.D.4 Untuk melihat pengaturan izin saat ini untuk sebuah file, gunakan perintah ls -l, yang akan menampilkan pengaturan saat ini untuk entitas default. Jika ada simbol + di akhir izin, ini berarti izin lain telah ditetapkan untuk file tersebut dan dapat dilihat dengan perintah getfacl.
• 5.2.D.5 Untuk memodifikasi pengaturan izin untuk sebuah file, gunakan perintah chmod. Perintah ini dapat digunakan dengan metode numerik atau metode simbolik.
• 5.2.D.6 Untuk menggunakan chmod dalam metode numerik, sintaksnya adalah chmod ### filename. Setiap ### mewakili salah satu dari tiga entitas yang disebutkan di atas (pemilik, grup, pengguna non-grup lainnya).

  • pertama = pemilik

  • kedua = grup

  • ketiga = pengguna non-grup lainnya

  • Izin untuk setiap entitas ditentukan dengan menjumlahkan nilai-nilai untuk jenis akses yang akan diberikan:
  • 0 = tidak ada izin
  • 1 = eksekusi
  • 2 = tulis
  • 4 = baca
  • Oleh karena itu, 3 menetapkan izin untuk menulis dan mengeksekusi, 5 menetapkan izin untuk membaca dan mengeksekusi, 6 menetapkan izin untuk membaca dan menulis, dan 7 menetapkan izin untuk membaca, menulis, dan mengeksekusi.
  • Contoh ilustratif untuk 5.2.D.6:
    • Perintah chmod 750 test akan menetapkan izin untuk pemilik menjadi baca, tulis, dan eksekusi, untuk grup menjadi baca dan eksekusi, dan untuk semua orang lain tidak ada akses sama sekali.
    • Perintah chmod 543 test akan menetapkan izin untuk pemilik menjadi baca dan eksekusi, untuk grup hanya baca, dan untuk semua orang lain menjadi tulis dan eksekusi.
    • Perintah chmod 777 test akan menetapkan izin untuk ketiga entitas menjadi baca, tulis, dan eksekusi untuk file test.
• 5.2.D.7 Untuk menggunakan chmod dalam metode simbolik, sintaksnya adalah chmod entity +(atau –) permission filename. Entitasnya adalah pemilik pengguna, grup, dan pengguna non-grup lainnya. Setiap entitas diwakili dengan satu huruf.
  • u = pemilik pengguna
  • g = grup
  • o = lainnya
  • a = semua
  • Izin dapat ditambahkan atau dihapus pada kombinasi entitas apa pun.
  • • = tambahkan izin
  • – = hapus izin
  • Izin yang dapat ditetapkan adalah baca, tulis, dan eksekusi.
  • r = baca
  • w = tulis
  • x = eksekusi
  • Entitas dan izin dapat dikombinasikan dalam satu perintah. Untuk menambahkan izin baca dan eksekusi untuk grup dan pemilik pengguna untuk sebuah file bernama testfile, perintahnya adalah chmod ug+rx testfile.

Tujuan Pembelajaran 5.3.A: Jelaskan bagaimana enkripsi dapat digunakan untuk melindungi file.

• 5.3.A.1 Tujuan kriptografi adalah menyembunyikan informasi. Algoritma kriptografi mendefinisikan proses untuk mengenkripsi dan mendekripsi informasi. Enkripsi adalah proses menyembunyikan informasi, dan dekripsi adalah proses membalikkan enkripsi untuk mengembalikan informasi asli.
• 5.3.A.2 Algoritma enkripsi mendefinisikan proses untuk menggabungkan informasi yang akan dienkripsi dengan kunci yang telah ditentukan sebelumnya. Informasi yang akan dienkripsi disebut plaintext. Output dari algoritma enkripsi disebut ciphertext.
• 5.3.A.3 Jumlah kemungkinan kunci yang dapat digunakan dalam sebuah algoritma enkripsi disebut keyspace. Semakin besar keyspace, semakin lama waktu yang dibutuhkan seorang penyerang untuk menemukan kunci yang benar secara kebetulan acak.
• 5.3.A.4 Algoritma kriptografi diklasifikasikan berdasarkan apakah mereka menggunakan satu kunci atau dua kunci.
  • Algoritma enkripsi simetris menggunakan kunci yang sama untuk mengenkripsi dan mendekripsi informasi.
  • Algoritma enkripsi asimetris menggunakan dua kunci yang berbeda—satu untuk mengenkripsi informasi dan yang lain untuk mendekripsinya.
• 5.3.A.5 Algoritma kriptografi juga diklasifikasikan berdasarkan apakah mereka memproses informasi satu bit pada satu waktu atau dalam blok ukuran tetap.
  • Enkripsi blok menangani informasi dalam blok ukuran tetap yang disebut blok, menghasilkan blok output untuk setiap blok input.
  • Enkripsi stream menangani informasi input secara terus-menerus, menghasilkan output satu elemen pada satu waktu.

Tujuan Pembelajaran 5.3.B: Terapkan algoritma enkripsi simetris untuk mengenkripsi dan mendekripsi data.

• 5.3.B.1 Algoritma enkripsi berbasis komputer beroperasi pada data biner. Algoritma enkripsi simetris yang paling umum adalah Advanced Encryption Standard (AES). Enkripsi AES digunakan untuk mengamankan transmisi Wi-Fi, penjelajahan internet, pengenkripsian file di disk, dan enkripsi tingkat perangkat keras pada prosesor.
• 5.3.B.2 AES adalah cipher blok kunci simetris yang mengenkripsi data dalam blok 128-bit (16 byte). AES dapat operate dengan kunci yang memiliki panjang bervariasi. Kunci yang lebih panjang menghasilkan enkripsi yang lebih aman tetapi memerlukan lebih banyak waktu untuk mengenkripsi dan mendekripsi.
• 5.3.B.3 Enkripsi dan dekripsi simetris dapat dilakukan menggunakan baris perintah (command line), perangkat lunak khusus, atau alat berbasis web.
  • Pada antarmuka baris perintah, pengguna dapat mengenkripsi atau mendekripsi dengan OpenSSL.
  • Perangkat lunak khusus seperti AES Crypt adalah alat open source yang dapat mengenkripsi dan mendekripsi file.
  • Terdapat banyak alat berbasis web untuk mengenkripsi dan mendekripsi file.
• 5.3.B.4 Menggunakan OpenSSL dalam CLI, pengguna dapat mengenkripsi dan mendekripsi file menggunakan perintah berikut (catatan bahwa kunci enkripsi diturunkan dari kata sandi yang diberikan):
  • Untuk mengenkripsi file bernama test dengan AES menggunakan kunci 128-bit, gunakan perintah: openssl enc -aes-128-cbc -e -in test -k password -out test.enc
  • Untuk mendekripsi file terenkripsi menggunakan kunci yang sama, gunakan perintah: openssl enc -aes-128-cbc -d -in test.enc -k password -out text

Tujuan Pembelajaran 5.5.A: Identifikasi prinsip keamanan aplikasi yaitu secure by design dan security by default.

• 5.5.A.1 Secure by design adalah inisiatif yang mendorong perusahaan untuk memasukkan keamanan dalam semua fase pengembangan produk termasuk desain. Ketika organisasi menerapkan secure by design, keamanan merupakan prinsip desain bukan sekadar fitur teknis.
• 5.5.A.2 Secure by design mencakup tiga prinsip desain:
  • i. Perusahaan harus mengambil alih tanggung jawab atas hasil keamanan pelanggan. Perusahaan harus membangun produk yang memenuhi kebutuhan keamanan pelanggannya.
  • ii. Perusahaan harus mengadopsi transparansi radikal dan akuntabilitas. Berbagi berita dan pembaruan produk terkait keamanan dengan cepat meningkatkan keamanan bagi semua pihak.
  • iii. Perusahaan harus membangun struktur organisasi dan kepemimpinan untuk menerapkan secure by design. Perusahaan membutuhkan pemimpin yang berfokus pada keamanan dan memiliki sikap security-first.
• 5.5.A.3 Secure by design mencakup konsep secure by default, yaitu gagasan bahwa fitur keamanan untuk perangkat lunak dan perangkat harus diaktifkan secara default. Perangkat dan perangkat lunak harus aman digunakan sejak awal (out of the box), dengan fitur keamanan sudah aktif.

Tujuan Pembelajaran 5.5.B: Jelaskan bagaimana sanitasi input pengguna melindungi aplikasi.

• 5.5.B.1 Ketika pengguna memasukkan input ke dalam aplikasi, aplikasi biasanya membungkus input tersebut dengan karakter khusus untuk memprosesnya. Karakter yang membungkus input pengguna disebut kontrol karakter dan meliputi tanda kutip tunggal, tanda kutip ganda, dan titik koma.
• 5.5.B.2 Saat membuat program yang menerima input pengguna, programmer harus menggunakan fungsi untuk memverifikasi bahwa input pengguna memenuhi kriteria yang diharapkan dan tidak menyertakan karakter kontrol apa pun yang dapat digunakan untuk memanipulasi sistem. Fungsi verifikasi ini dapat mensanitasi input pengguna dengan menghapus karakter yang berpotensi berbahaya, atau dapat memberikan pesan kesalahan kepada pengguna dan memaksa pengguna untuk menyediakan input lain. Hal ini dapat melindungi terhadap banyak serangan aplikasi, termasuk:
  • Serangan SQL injection
  • Serangan XSS
  • Serangan directory traversal

Tujuan Pembelajaran 5.6.A: Jelaskan cara mendeteksi serangan pada data.

• 5.6.A.1 Perangkat melacak dan mencatat kapan data diakses dan oleh siapa. Proses pencatatan dan pemantauan aktivitas pengguna disebut akuntansi. Analisis log-log ini dapat mengungkap aktivitas jahat ketika penyerang mencoba mengakses, menyalin, memindahkan, atau menghapus data. Aktivitas mencurigakan dapat meliputi:
  • Mengakses file yang tidak biasa diakses
  • Mengakses file atau aplikasi di luar pola normal pengguna (termasuk waktu hari, lokasi, dan tipe perangkat)
  • Upaya untuk menghapus atau menyalin file sensitif
• 5.6.A.2 Honeypot adalah file yang tampak seolah-olah berisi data berharga (misalnya, informasi kartu kredit, PII, kata sandi), tetapi data di dalam file tersebut palsu. Sistem dapat memberi peringatan kepada penjaga jika seseorang mencoba mengakses honeypot. Karena honeypot adalah file palsu, tidak ada alasan sah untuk mengaksesnya, dan setiap upaya akses akan menjadi indikasi aktivitas jahat.
• 5.6.A.3 Fungsi hash kriptografi dapat menghasilkan digest untuk data dan dapat mengungkapkan apakah data telah diubah. Jika sebuah file berubah secara tidak terduga, hal ini bisa menjadi tanda aktivitas jahat.

Tujuan Pembelajaran 5.6.B: Tentukan kontrol untuk mendeteksi serangan terhadap aplikasi atau data.

• 5.6.B.1 Biaya adalah kriteria dalam menentukan kontrol detektif. Kontrol detektif seperti honeypot dan penggunaan nilai hash untuk memeriksa integritas data relatif murah. Beberapa organisasi berinvestasi dalam layanan pencegahan kehilangan data pihak ketiga (DLP), yang memantau akses, penggunaan, dan transmisi data oleh pengguna di seluruh organisasi untuk mendeteksi aktivitas mencurigakan; layanan DLP menyediakan kemampuan deteksi yang kuat dengan biaya lebih tinggi.
• 5.6.B.2 Sensitivitas atau tingkat kritisitas data atau aplikasi adalah kriteria dalam menentukan kontrol detektif. Data atau aplikasi yang lebih sensitif atau kritis lebih mungkin menjadi target penyerang dan harus dipantau lebih ketat.
• 5.6.B.3 Klasifikasi data adalah kriteria dalam menentukan kontrol detektif. Data yang diklasifikasikan sebagai pribadi, pendidikan, kesehatan, atau keuangan sering kali memiliki persyaratan deteksi dan pemantauan berdasarkan hukum atau regulasi.

Tujuan Pembelajaran 5.6.C: Evaluasi dampak metode untuk mendeteksi serangan terhadap aplikasi atau data.

• 5.6.C.1 Agar beroperasi dengan kecepatan efektif, analisis log perlu diperkaya dengan otomatisasi tertentu. Honeypot menawarkan kemampuan deteksi hampir instan.
• 5.6.C.2 Beberapa alat DLP, honeypots, dan analisis log otomatis real-time memberikan peringatan saat serangan sedang berlangsung. Alat-alat ini memungkinkan respons cepat yang dapat menghentikan serangan sebelum menyebabkan kerusakan lebih lanjut. Analisis log retrospektif dan penggunaan hash kriptografi untuk memverifikasi integritas data mengidentifikasi serangan setelah terjadi.
• 5.6.C.3 Negatif palsu dapat terjadi dalam deteksi aplikasi dan serangan data. Fungsi hash kriptografi hanya mendeteksi apakah data telah diubah. Penyerang dapat melihat dan mencuri data tanpa mengubahnya, dan fungsi hash kriptografi tidak akan mendeteksi hal ini. Honeypot tidak dapat mendeteksi penyerang yang tidak mencoba mengaksesnya.

Tujuan Pembelajaran 5.6.D: Identifikasi apakah sebuah file telah diubah dengan memverifikasi hash-nya.

• 5.6.D.1 Fungsi hash kriptografi dapat membantu mengidentifikasi perubahan dalam sebuah file karena sifatnya yang dapat diulang: input yang sama selalu menghasilkan output yang sama untuk fungsi hash tertentu.
• 5.6.D.2 Hash dapat dihitung menggunakan baris perintah di komputer, situs web, atau perangkat lunak khusus.
  • Di Windows Powershell, jika seorang pengguna ingin membuat hash SHA256 untuk file bernama testfile, mereka akan menggunakan perintah: Get-FileHash testfile -Algorithm SHA256
  • Di BASH, hal yang sama dapat dilakukan dengan perintah: sha256sum testfile
  • Di zsh, terminal baris perintah umum pada komputer Apple, hal ini dapat dilakukan dengan perintah: shasum -a 256 testfile
• 5.6.D.3 Sebuah file dapat di-hash dan hasil hash-nya dicatat. Kemudian dapat di-hash lagi nanti, dan hasil hash kedua dapat dibandingkan dengan hasil hash sebelumnya untuk file yang sama. Jika hash file berubah, maka file tersebut telah diubah antara saat hash pertama dan kedua dibuat.

Tujuan Pembelajaran 5.6.E: Terapkan teknik deteksi untuk mengidentifikasi dan melaporkan indikator serangan aplikasi dengan menganalisis file log.

• 5.6.E.1 Serangan SQL injection dapat dideteksi dengan meninjau log aplikasi dan server dari input pengguna untuk kata-kata kontrol SQL dan simbol seperti:
  • Karakter kutip tunggal (') atau ganda (")
  • Kondisi boolean seperti OR 1=1
  • Tanda hubung ganda (yang menunjukkan komentar dalam SQL): --
  • Kata-kata kontrol SQL (selalu huruf kapital) seperti WHERE, IN, FROM
• 5.6.E.2 Serangan XSS dapat dideteksi dengan meninjau input pengguna untuk tag mencurigakan, terutama tag .
• 5.6.E.3 Untuk aplikasi web, buffer overflow dapat dideteksi dengan memeriksa jumlah data yang dikirimkan pengguna ke aplikasi web dalam permintaan mereka. Bidang yang umumnya diperiksa adalah panjang URL, panjang cookie, panjang string query, dan total panjang permintaan. String panjang di bidang mana pun dapat menjadi indikator upaya serangan buffer overflow.
• 5.6.E.4 Serangan traversal direktori dapat dideteksi dengan meninjau log aplikasi dan server. Permintaan HTTP GET yang mencakup path dengan urutan ../ merupakan indikator penyerang yang mencoba melakukan traversal direktori.