Dewa Ashen - MTL - Chapter 840

Bab 840 – Pembaruan Larut Malam

Awalnya saya pikir sudah empat hari berlalu, dan leher kaku seharusnya sudah sedikit membaik, jadi saya tidak minum Ibuprofen. Akibatnya, setelah efek Ibuprofen hilang, saya mendapati leher saya masih sakit seperti sebelumnya, dan Ibuprofen yang baru baru berefek satu atau dua jam kemudian. Karena itu, pembaruan akan sedikit lebih lambat hari ini, mungkin sekitar pukul satu atau dua pagi, dan saya akan memperbarui bab ini saat itu.

……

Abstrak: Tren penggunaan kerentanan keamanan siber untuk serangan siber yang terorganisir dan bertujuan semakin terlihat jelas. Di satu sisi, jendela waktu respons untuk tanggap darurat semakin menyempit, sementara di sisi lain, pengetahuan tentang ancaman, keterampilan profesional, dan kemahiran yang dibutuhkan untuk tanggap darurat terus meningkat. Makalah ini mengusulkan proses dan langkah-langkah respons yang ringkas bagi operator jaringan sebagai pihak pembela untuk melakukan tanggap darurat, memberikan referensi praktis bagi unit-unit terkait.

Kata kunci: Keamanan siber, infrastruktur informasi kritis, serangan dan latihan pertahanan

1 Pendahuluan

Seiring meningkatnya pentingnya teknologi informasi dalam pembangunan masyarakat, dunia maya telah menjadi medan pertempuran baru bagi kekuatan-kekuatan besar. Latihan serangan dan pertahanan keamanan jaringan merupakan sarana penting untuk menguji perlindungan keamanan siber terhadap infrastruktur informasi kritis dan meningkatkan tingkat respons darurat operator jaringan. Dengan mendorong peningkatan kemampuan perlindungan keamanan jaringan melalui metode pertempuran dan konfrontasi yang sebenarnya, latihan-latihan ini memiliki arti penting. Makalah ini, dari perspektif operator jaringan, menguraikan bagaimana para pembela melakukan pekerjaan selama latihan tersebut, menggunakan latihan serangan dan pertahanan langsung terhadap situs web pemerintah sebagai contoh, untuk memberikan pengalaman respons organisasi bagi unit-unit terkait.

2 Isi Latihan

Suatu unit tertentu mengorganisir sejumlah tim penyerang yang terdiri dari para profesional keamanan siber untuk melakukan uji serangan keamanan lima hari berturut-turut pada situs web resmi dan sistem bisnis lembaga tingkat kedua di wilayah yurisdiksinya, untuk memverifikasi efektivitas kemampuan perlindungan keamanan sistem target. Setiap hari, laporan diserahkan pada waktu yang telah ditentukan di platform latihan terpadu oleh pihak pertahanan. Unit tempat penulis bernaung, sebagai unit operasi situs web dan sistem bisnis target, perlu memastikan keamanan fisik, keamanan operasional, dan keamanan data sistem informasi target untuk meminimalkan kerugian akibat keadaan darurat keamanan siber.

3 Struktur Organisasi

Sebuah Pusat Komando Pertahanan dibentuk, dengan kepala eksekutif keamanan siber sebagai panglima tertinggi, dan anggotanya terdiri dari para pemimpin dari departemen keamanan siber dan operasi sistem bisnis. Pusat komando tersebut dibagi menjadi Kelompok Kerja Pertahanan, Tim Pemantauan dan Analisis, dan Tim Penilaian dan Penanganan, dengan total 20 orang.

3.1 Pusat Komando Pertahanan

Koordinasi keseluruhan pekerjaan pertahanan latihan dikelola, bertanggung jawab atas komando, organisasi, koordinasi, dan pengendalian proses latihan pertahanan serangan sistem informasi; mengeluarkan instruksi otorisasi penutupan sistem, pemulihan operasi penting, dan pelaporan informasi eksternal; serta melaporkan kemajuan latihan dan laporan ringkasan untuk memastikan latihan mencapai tujuan yang diharapkan.

3.2 Kelompok Kerja Pertahanan

Bertanggung jawab atas tugas-tugas spesifik latihan simulasi keadaan darurat sistem informasi; membangun dan memelihara lingkungan untuk pemantauan dan penanganan terpusat selama latihan; menganalisis dan mengevaluasi dampak keadaan darurat sistem informasi terhadap bisnis; mengumpulkan dan menganalisis data, informasi, dan catatan selama penanganan keadaan darurat sistem informasi; melaporkan kemajuan dan status perkembangan latihan kepada pusat komando; bertanggung jawab untuk memimpin rangkuman dan analisis harian insiden keamanan; menyusun, menyaring, dan mengirimkan laporan dari sisi pertahanan.

3.3 Tim Pemantauan dan Analisis

Bertanggung jawab atas pemantauan akses sistem bisnis dan pemantauan situasi keamanan siber selama latihan serangan dan pertahanan, mendeteksi dan mengidentifikasi serangan jaringan, mencatat proses pemantauan, dan mengeluarkan peringatan serangan kepada Tim Penilaian dan Penanganan; menambal kerentanan yang ada dalam sistem bisnis tepat waktu, dan melakukan pekerjaan pematian dan pemulihan sistem bisnis.

3.4 Tim Penilaian dan Pembuangan

Selama tahap persiapan latihan, bertanggung jawab untuk memperbaiki risiko keamanan siber yang ditemukan dan menerapkan berbagai langkah perlindungan keamanan. Selama tahap praktik latihan, membersihkan lalu lintas serangan jaringan untuk memastikan ketersediaan sistem bisnis; secara fleksibel dan aktif mengerahkan sumber daya teknis sesuai kebutuhan untuk menyelesaikan analisis dan penilaian teknis, konfrontasi serangan secara real-time, respons darurat, dan tugas-tugas lainnya.

4. Pelaksanaan Latihan

Berdasarkan pengalaman latihan sebelumnya, pertahanan skala kecil harus melakukan pekerjaan terkait dalam tiga tahap: sebelum, selama, dan setelah latihan.

4.1 Sebelum Latihan Serangan dan Pertahanan

Bentuk tim pendukung komprehensif sebelum latihan serangan dan pertahanan. Dari perspektif teknologi keamanan, bangun sistem pemantauan dan peringatan dini, dan dari perspektif prosedur keamanan, bangun mekanisme pemberitahuan, peringatan dini, dan umpan balik penanganan. Lakukan penilaian risiko terperinci dan penguatan keamanan untuk sistem informasi dalam lingkup perlindungan, kembangkan “Rencana Pelaksanaan Latihan Serangan dan Pertahanan Keamanan Jaringan,” dan tingkatkan kesadaran keamanan informasi di antara personel terkait. 4.1.1 Reorganisasi Aset. Lakukan reorganisasi aset informasi, terutama termasuk tetapi tidak terbatas pada: reorganisasi sistem aplikasi internet yang dirilis secara eksternal; reorganisasi jalur keluar internet dan perangkat serta langkah-langkah keamanan yang digunakan di sana; reorganisasi struktur jaringan (topologi jaringan); reorganisasi struktur topologi antara sistem informasi kritis atau yang sangat terlindungi dan server sistem aplikasi; reorganisasi peralatan keamanan jaringan dan status perlindungan; reorganisasi situasi akses SSLVPN dan IPSecVPN. 4.1.2 Penilaian Risiko. Pakar penjaminan keamanan melakukan penilaian risiko keamanan berdasarkan hasil reorganisasi aset informasi. Pakar penjaminan keamanan dapat menggunakan kuesioner penelitian, wawancara personel, teknologi keamanan (pengujian penetrasi, pemindaian kerentanan, inspeksi dasar, dll.) melalui alat keamanan atau metode manual untuk melakukan penilaian risiko keamanan dalam dimensi seperti risiko keamanan jaringan, risiko keamanan aplikasi, risiko keamanan host, risiko keamanan terminal, dan risiko keamanan data. Bagian spesifik dapat merujuk pada hal berikut. (1) Penilaian Risiko Keamanan Jaringan: Penilaian risiko arsitektur jaringan, menggunakan metode manual dan alat untuk menggali lebih dalam ancaman dan risiko yang ada di jaringan saat ini dari perspektif teknis, kebijakan, dan manajemen. Penilaian risiko kerentanan keamanan dan dasar keamanan, menggunakan alat pemindaian untuk memindai dan memeriksa perangkat jaringan secara menyeluruh. Penilaian risiko kata sandi lemah, melarang keras kata sandi lemah dan kata sandi kosong untuk semua akun. Penilaian risiko akun dan izin, memeriksa akun dan izin administrator, menutup akun yang tidak perlu, dan membatalkan izin akun yang tidak wajar; memastikan kekuatan kata sandi memenuhi persyaratan dasar keamanan. Penilaian risiko daftar putih login jarak jauh, membatasi secara ketat alamat IP yang dapat dikelola dari jarak jauh, dan menonaktifkan Telnet untuk manajemen jarak jauh. Penilaian risiko pencadangan konfigurasi, memastikan semua konfigurasi perangkat jaringan memiliki cadangan dan mengkonfirmasi bahwa cadangan tersebut valid dan dapat dipulihkan. (2) Penilaian Risiko Keamanan Aplikasi: Penilaian risiko otentikasi identitas, mengevaluasi pengaturan dan konfigurasi penggunaan fungsi identifikasi dan otentikasi identitas sistem aplikasi, menangani berbagai situasi login pengguna seperti kegagalan login, waktu habis koneksi login, dll. Penilaian risiko kontrol akses, mengevaluasi pengaturan fungsi kontrol akses sistem aplikasi, seperti kebijakan kontrol akses, pengaturan izin, dll. Penilaian risiko audit keamanan, mengevaluasi konfigurasi audit keamanan sistem aplikasi, seperti cakupan, item dan konten yang tercatat, dll. Penilaian risiko paparan aset, mensimulasikan peretas untuk mengumpulkan informasi dan memperoleh informasi aset terperinci (nama program, versi), membuka port berbahaya, backend manajemen bisnis, dll. Penilaian risiko kerentanan aplikasi, termasuk layanan Web seperti Apache, WebSphere, Tomcat, IIS, dan mendeteksi patch yang hilang atau kerentanan versi pada program lain seperti SSH, FTP, dll. Pengujian penetrasi, menggunakan metode pengujian yang tepat untuk mengidentifikasi kerentanan keamanan di area seperti sertifikasi dan otorisasi sistem, tinjauan kode, dll., untuk target pengujian dan menunjukkan potensi kerugian yang disebabkan oleh eksploitasi kerentanan ini, memberikan langkah-langkah peningkatan atau penguatan spesifik untuk menghindari atau mencegah ancaman, risiko, atau kerentanan tersebut. (3) Penilaian Risiko Keamanan Host: Penilaian risiko WebShell, melakukan inspeksi backdoor WebShell pada sistem yang menyediakan layanan Web, memverifikasi keamanan server, dan memastikan penghapusan backdoor yang mungkin tertinggal dari serangan sebelumnya. Penilaian risiko file berbahaya, menggunakan alat deteksi worm trojan zombie profesional untuk memeriksa sistem operasi terhadap file berbahaya, dan melakukan analisis perilaku pada file berbahaya, mengkonfirmasi keluarga virus dan bahayanya. Penilaian risiko kata sandi lemah, melarang keras kata sandi lemah dan kata sandi kosong untuk semua akun. Penilaian risiko port dan layanan, server hanya membuka port yang terkait dengan layanannya, menutup port dan layanan eksternal yang tidak perlu. Penilaian risiko firewall server, melarang semua akses eksternal aktif secara default, jika perlu, merumuskan kebijakan kontrol akses secara ketat dan menerapkan daftar putih keluar untuk server. Penilaian risiko pemindaian kerentanan sistem, memindai kerentanan pada sistem operasi, basis data, dan aplikasi serta protokol umum. (4) Penilaian Risiko Keamanan Terminal: Penilaian risiko dasar keamanan, melakukan pemeriksaan konfigurasi keamanan dasar pada sistem operasi terminal untuk memastikan keamanan perangkat terminal. Penilaian risiko kata sandi lemah, melarang keras kata sandi lemah dan kata sandi kosong untuk semua akun. Penilaian risiko perangkat lunak antivirus, memeriksa apakah terminal memiliki perangkat lunak antivirus yang terpasang dan apakah kebijakan keamanan diaktifkan. Penilaian risiko koneksi jaringan ilegal, memeriksa apakah terminal memiliki kartu jaringan ganda yang dikonfigurasi atau memiliki hotspot terbuka atau terhubung. Penilaian risiko pembaruan patch, memeriksa status pembaruan patch. (5) Penilaian Risiko Keamanan Data: Penilaian risiko dasar keamanan, melakukan pemeriksaan konfigurasi keamanan dasar pada sistem operasi basis data untuk memastikan keamanan sistem basis data. Penilaian risiko kontrol akses data, menilai akses data dan pengaturan izin. Penilaian risiko pencadangan data, memeriksa kebijakan pencadangan data dan situasi pemulihan bencana. 4.1.3 Penguatan Keamanan. Melalui metode penilaian dan inspeksi, menganalisis kerentanan dan risiko keamanan aset informasi dan sistem informasi kritis, dan memperkuat keamanan secara terarah. Masalah keamanan di tingkat jaringan, seperti perangkat jaringan, perangkat keamanan, dan sistem keamanan, diperkuat oleh Departemen Operasi Jaringan Dasar; Kerentanan dalam sistem aplikasi, kesalahan logika kode, kata sandi administrator yang lemah, kerentanan middleware, dan masalah lain pada lapisan host dan aplikasi diperkuat oleh personel yang bertanggung jawab atas sistem masing-masing, dengan pakar keamanan memberikan panduan dan saran terkait untuk menyelesaikan masalah keamanan teknis yang ditemukan dalam penilaian keamanan, mengoptimalkan konfigurasi keamanan sistem untuk mencegah kelemahan yang disebabkan oleh konfigurasi sistem yang tidak tepat. 4.1.4 Pelatihan Keamanan. Untuk meningkatkan keterampilan keamanan siber personel teknis keamanan dan kesadaran keamanan personel non-teknis, Kelompok Kerja Pertahanan menyesuaikan isi kursus pelatihan, menggunakan buku teks terkait dan skenario kasus nyata, untuk membantu personel terkait memperkuat kesadaran keamanan dan pengetahuan mereka tentang serangan dan pertahanan keamanan informasi, memungkinkan respons yang lebih baik terhadap serangan jaringan selama latihan. Isi utama pelatihan: memberikan pelatihan tentang kesadaran keamanan, dasar-dasar keamanan, komposisi Web, kerentanan umum, peristiwa 0Day populer, proses intrusi, fenomena perangkat lunak berbahaya, dan metode pertahanan untuk personel teknis keamanan dan administrator keamanan; melakukan pelatihan penguatan kesadaran keamanan untuk personel non-teknis dari dimensi keamanan komputer pribadi, keamanan email, keamanan seluler, dan pekerjaan serta kehidupan sehari-hari. 4.1.5 Simulasi Serangan dan Pertahanan. Setelah penguatan keamanan, untuk menguji hasil penguatan keamanan, dan mengevaluasi ketangguhan dan efektivitas sistem perlindungan keamanan, perlu dilakukan simulasi latihan serangan dan pertahanan untuk verifikasi kemampuan keamanan. Perusahaan keamanan dapat diundang untuk mensimulasikan tim penyerang untuk melakukan latihan serangan pada sistem informasi lembaga target dari luar, menguji kapasitas perlindungan sistem target latihan dan kapasitas dukungan kolaboratif tim pertahanan latihan. Metode serangan yang digunakan oleh tim penyerang tidak boleh memengaruhi kelancaran kegiatan bisnis lembaga target, dan dapat mencakup tetapi tidak terbatas pada pengujian penetrasi, serangan kerentanan sistem, serangan phishing/serangan komprehensif APT, serangan rekayasa sosial, dll. 4.1.6 Persiapan Lingkungan. Siapkan peralatan listrik dan jaringan yang diperlukan untuk lingkungan pemantauan dan pembuangan terpusat latihan di lokasi yang sesuai, alokasikan akses jaringan sesuai dengan tugas kerja, pastikan pengoperasian peralatan normal selama latihan serangan dan pertahanan.

4.2 Selama Latihan Serangan dan Pertahanan

Kelompok Kerja Pertahanan memandu Tim Pemantauan dan Analisis serta Tim Penilaian dan Penanganan untuk memaksimalkan pertahanan terhadap serangan jaringan dari penyerang mana pun selama latihan serangan dan pertahanan, sambil memantau situasi serangan pada sistem target secara real-time; jika terjadi insiden keamanan siber, Pusat Komando Pertahanan segera diberitahu untuk melacak situasi latihan, menganalisis dan menilai insiden keamanan untuk membentuk laporan analisis dan penanganan untuk diajukan. 4.2.1 Pemantauan dan Peringatan 7×24 Jam. Tim Pemantauan dan Analisis mencapai pemantauan terpusat terhadap keamanan situs web melalui log akses sistem bisnis, pemantauan keamanan situs web, pusat manajemen keamanan jaringan, dan pemberitahuan serta peringatan dini platform kesadaran situasi keamanan siber. Seseorang yang berdedikasi ditugaskan di cloud untuk melakukan penilaian dan verifikasi insiden keamanan secara real-time pada situs web yang dipantau. Ketika insiden keamanan terjadi, insiden tersebut segera dilaporkan ke Tim Penilaian dan Penanganan di lokasi. Semua tugas pemantauan ditugaskan kepada individu, dan catatan insiden keamanan yang terdeteksi harus disimpan. Pencadangan sistem dan penyimpanan catatan rinci kegagalan untuk diagnosis awal dilakukan. 4.2.2 Analisis Teknis. Selama latihan serangan dan pertahanan, jumlah serangan jaringan meningkat secara eksponensial. Metode deteksi ancaman keamanan tradisional yang berbasis pada daftar hitam, daftar putih, tanda tangan, dan aturan tidak lagi mampu mengatasi ancaman jaringan yang terus meningkat dan tertarget selama latihan. Oleh karena itu, ketika platform pemantauan keamanan internet dan kesadaran situasi keamanan mendeteksi suatu peristiwa keamanan, Tim Pemantauan dan Analisis harus segera menganalisis insiden keamanan, menemukan masalah, dan melacak sumbernya. Setelah memastikan bahwa itu bukan alarm palsu, mereka memberikan umpan balik terperinci tentang jalur serangan, IP penyerang, dll., kepada Tim Penilaian dan Penanganan serta Kelompok Kerja Pertahanan untuk pelaporan. Dengan menggabungkan deskripsi kesalahan dan diagnosis, setelah menemukan masalah keamanan, solusi dikeluarkan sesuai kebutuhan, dan umpan balik diberikan kepada Tim Penilaian dan Penanganan. Masalah yang tidak dapat ditemukan atau dianalisis langsung dilaporkan ke Kelompok Kerja Pertahanan. 4.2.3 Penilaian Pakar dan Konfrontasi Serangan Waktu Nyata. Risiko keamanan terbesar selama latihan serangan dan pertahanan berasal dari tindakan penyerang, terutama serangan yang tertarget dan terus-menerus. Identifikasi dan penahanan dini terhadap serangan yang ditargetkan dan berkelanjutan merupakan cara efektif untuk menghindari risiko eksternal. Periode latihan juga merupakan periode aktif bagi organisasi peretas ilegal. Organisasi peretas dapat menyamar sebagai tim penyerang untuk menargetkan unit pertahanan, sehingga Tim Pemantauan dan Analisis serta Tim Penilaian dan Penanganan harus melakukan penilaian insiden keamanan secara real-time. Sesuai dengan karakteristik kejadian, strategi pertahanan yang sesuai ditambahkan dalam sistem pencegahan intrusi, firewall aplikasi web, dan perangkat keamanan lainnya untuk melakukan konfrontasi serangan secara real-time terhadap insiden serangan ilegal. 4.2.4 Tanggap Darurat dan Pemulihan Bisnis. Kunci keberhasilan tanggap darurat adalah menyelesaikan insiden keamanan yang telah terjadi secara tertib sesuai dengan prosedur yang telah ditetapkan.