Pengantar Keamanan Jaringan: CIA Triad dan tren ancaman global

Tujuan pembelajaran

Sesuai RPS TL455 pertemuan 1, setelah mempelajari materi ini kamu mampu menjelaskan CIA Triad dan tren ancaman siber global. Dua hal itulah yang diuji di akhir modul: kamu bisa mendefinisikan dan memberi contoh tiga pilar CIA, dan kamu bisa menceritakan wajah ancaman siber dunia saat ini beserta aktornya.

Bahan rujukan modul ini: Bab 1 (Introduction and Security Trends) dan bagian awal Bab 2 (General Security Concepts) buku *Principles of Computer Security: CompTIA Security+ and Beyond* (2021).

Pendahuluan: masalah yang mau dipecahkan

Bab 1 buku acuan membuka dengan sebuah fakta: keamanan komputer bukan konsep yang sederhana untuk didefinisikan. Versi paling ringkasnya: sebuah komputer disebut aman ketika ia melakukan apa yang seharusnya ia lakukan, dan hanya itu. Fokusnya lalu bergeser dari mesin ke informasinya: keamanan informasi (information security) berarti informasi terlindungi dari akses dan perubahan tanpa izin, namun tetap tersedia bagi pihak berwenang saat dibutuhkan.

Perhatikan tiga keadaan informasi yang disebut buku: informasi disimpan, diproses, dan ditransfer antar mesin. Ketiganya butuh skema perlindungan berbeda: data di disk, data di memori saat dihitung, dan data di jalan (kabel, Wi-Fi) adalah tiga medan yang tidak sama. Satu istilah pelengkap: information assurance, yaitu bukan cuma melindungi informasi, tapi juga mengetahui seberapa besar perlindungan itu sudah tercapai (misalnya lewat audit dan pengujian).

Konsep inti 1: CIA Triad

Bagian "The CIA of Security" (Bab 1, halaman 28) menyatakan: sejak awal, tujuan keamanan komputer berporos pada tiga hal, disingkat CIA (bukan badan intelijen; tiga kata Inggris: Confidentiality, Integrity, Availability):

• ▸Kerahasiaan (confidentiality): hanya orang yang berwenang yang bisa melihat suatu informasi. Contoh kampus: nilai kamu di SIAKAD tidak boleh terbaca mahasiswa lain. Alat kerjanya: kontrol akses dan enkripsi.
• ▸Integritas (integrity): menyangkut pembuatan dan perubahan data; hanya pihak berwenang yang boleh membuat, mengubah, atau menghapus informasi. Contoh: nilai tidak boleh bisa diedit dari luar proses penilaian yang sah.
• ▸Ketersediaan (availability): data atau sistem tersedia saat pengguna berwenang membutuhkannya. Contoh: server KRS harus hidup tepat saat periode pengisian.

Buku menambahkan dua tujuan yang lahir karena perdagangan lewat jaringan: authentication (autentikasi), memastikan seseorang benar-benar adalah dirinya yang diklaim, dan nonrepudiation (non-pensangkalan), kemampuan membuktikan bahwa sebuah pesan benar-benar dikirim oleh pihak yang disebut, sehingga pengirim tidak bisa menyangkal. Contoh: transaksi e-wallet butuh keduanya, autentikasi PIN dan bukti transaksi yang tidak bisa dibantah.

Konsep inti 2: prinsip-prinsip keamanan

Bab 2 menurunkan prinsip-prinsip klasik dari Saltzer dan Schroeder (delapan prinsip desain keamanan). Tiga yang paling sering kamu pakai:

• ▸Least privilege (hak minimum): subjek (pengguna, aplikasi, proses) hanya diberi hak sesedikit mungkin yang diperlukan tugasnya, tanpa tambahan. Contoh: mahasiswa magang di laboratorium tidak perlu hak admin di server kampus.
• ▸Fail-safe defaults (bawaan gagal-aman): tolak secara bawaan; izin diberikan secara eksplisit. Ketika aturan tidak jelas, jawabannya "tidak".
• ▸Separation of privilege (pemisahan hak): akses ditentukan oleh lebih dari satu syarat, misalnya sandi plus kode dari aplikasi authenticator.

Dua konsep pendamping: defense in depth (pertahanan berlapis; kombinasi keamanan host dan jaringan dianggap perlu oleh para ahli, bukan salah satunya saja) dan pemisahan jaringan berdasarkan tingkat kepercayaan. Prinsip-prinsip ini akan kamu terapkan langsung pada pertemuan 5 dan 6 (SSH, Port Security, ACL).

Konsep inti 3: lanskap ancaman global saat ini

Bab 1 menggambarkan pergeseran besar: ancaman masa lalu cenderung kecil, menyasar satu sasaran, dan sering sekadar mengganggu. Sejak sekitar 2009, lanskap berubah: masuklah kejahatan siber terorganisir dan negara-negara (nation-state) dengan dua tujuan utama, yaitu membuat sistemmu tak bisa dipakai, atau memakai sistemmu untuk keuntungan finansial: mencuri kekayaan intelektual atau data pribadi (PII, personally identifiable information).

Beberapa wujud nyata yang dibahas buku:

• ▸APT (advanced persistent threat): pola serangan baru dengan tiga unsur pada namanya. *Advanced*: memakai teknik canggih, contohnya spear phishing (phishing yang dibuat spesifik untuk satu target) sebagai pintu masuk. *Persistent*: penyerang bermaksud bertahan lama di dalam jaringan. *Threat*: niat merugikan yang terarah.
• ▸Ransomware: bukan ancaman baru secara teori (versi awalnya ada sejak akhir 1990-an), tapi pemakaiannya meledak sejak 2012 hingga menjadi industri kriminal bernilai sekitar satu miliar dolar AS per tahun menurut estimasi buku (2021). Mekanismenya saat ini umumnya enkripsi hibrid: berkas korban dikunci sampai tebusan dibayar. Kasus WannaCry (Mei 2017) menyebar sebagai worm pengenkripsi ke sistem Windows yang belum ditambal: pelajaran utamanya bukan kecanggihan, melainkan pentingnya pembaruan rutin.
• ▸Serangan infrastruktur dan spionase: contoh yang dikutip buku adalah Operation Night Dragon, pencurian data lelang dan data rahasia perusahaan energi lintas negara. Pelajarannya: data "hanya catatan internal" pun bernilai bagi pihak lain.

Konteks Indonesia: bentuk-bentuk di atas mudah dikenali di sekitar kita, dari peringatan phishing layanan e-wallet, tautan palsu "beasiswa kampus", sampai kabar kebocoran data layanan publik. Polanya sama dengan yang dibahas buku: manusia yang dibujuk, sistem yang tidak ditambal, data yang ternyata bernilai.

Konsep inti 4: siapa para aktornya

Bagian "Threats to Security" mengelompokkan sumber ancaman:

• ▸Virus dan worm: program perusak yang menyebar; worm menyebar sendiri lewat jaringan.
• ▸Intruders (penyusup): dari script kiddie (memakai alat buatan orang lain tanpa paham dalamnya) sampai peretas terampil.
• ▸Insiders: pihak dari dalam organisasi yang sudah punya akses sah: berbahaya karena tidak perlu menembus dinding dari luar.
• ▸Organisasi kriminal: beroperasi seperti bisnis, dengan pembagian kerja dan monetisasi hasil curian.
• ▸Nation-state, teroris, dan perang informasi: pemerintah atau kelompok bermotif politik/geopolitik.

Aktor juga dibedakan lewat atribut: lokasi (internal atau eksternal), tingkat kecanggihan, sumber daya/dana, dan intent/motivasi. Latihan berpikir: serangan ransomware terhadap rumah sakit biasanya aktor eksternal, canggih, berdana, bermotif uang; perubahan nilai oleh mahasiswa adalah insider, tidak canggih, bermotif untung pribadi. Pertahanan yang tepat mengikuti profilnya.

Konsep inti 5: target, serangan, dan cara berpikir bertahan

Buku membedakan target spesifik (diserang karena siapa pemiliknya) dan target oportunistik (diserang karena kebetulan rentan: bot yang memindai internet tidak peduli siapa kamu). Konsekuensinya untuk pemula: jangan berpikir "situs kecil tidak akan diserang"; pada target oportunistik, yang dinilai adalah lubangnya, bukan namamu.

Antidotnya disebut buku sebagai minimizing possible avenues of attack: persempit jalur masuk (kurangi layanan yang tidak perlu, tutup port, perbarui perangkat lunak). Untuk melihat serangan lebih awal, buku memperkenalkan cybersecurity kill chain (kerangka Lockheed Martin): serangan berjalan bertahap, dan deteksi pada tahap awal memberi kesempatan memutus rantainya sebelum kerusakan. Dukungannya: threat intelligence (informasi ancaman terkini) dan OSINT (open source intelligence), pengumpulan intelijen dari sumber terbuka. Penutup bab: etika. Semua keterampilan lab di kursus ini dipakai secara defensif pada sistem milik sendiri; itu bukan formalitas, melainkan batas profesi.

Rangkuman

• ▸Keamanan informasi: terlindungi dari akses dan perubahan tanpa izin, tetap tersedia bagi yang berhak; information assurance menambah jaminan bisa mengukurnya.
• ▸CIA Triad: kerahasiaan, integritas, ketersediaan; diperluas dengan autentikasi dan nonrepudiation untuk dunia jaringan.
• ▸Prinsip keamanan: least privilege, fail-safe defaults, separation of privilege, dan defense in depth.
• ▸Lanskap ancaman global: kejahatan terorganisir dan nation-state, APT, ransomware (kasus WannaCry 2017), pencurian PII dan kekayaan intelektual.
• ▸Aktor dibedakan jenis dan atributnya; target bisa spesifik atau oportunistik; jalur serangan dipersempit.
• ▸Kill chain, threat intelligence, OSINT, dan etika adalah perangkat berpikir bertahan.

Glosarium mini

• ▸Information assurance: jaminan dan pengukuran tingkat perlindungan informasi, bukan hanya perlindungannya.
• ▸Nonrepudiation: kemampuan membuktikan pengirim pesan, sehingga ia tidak bisa menyangkal.
• ▸APT (advanced persistent threat): serangan canggih, bertahan lama, dengan sasaran terarah.
• ▸Spear phishing: phishing yang dibuat khusus untuk satu target.
• ▸Ransomware: malware yang mengenkripsi data korban dan meminta tebusan.
• ▸Script kiddie: penyusup pemula yang hanya memakai alat buatan orang lain.
• ▸Insider threat: ancaman dari pihak internal yang memiliki akses sah.
• ▸OSINT (open source intelligence): pengumpulan intelijen dari sumber terbuka.