Jawaban:
JAWABAN
1.
Siklus cyber kill
chain dibagi menjadi 7 tahap diantaranya :
1. RECONNAISSANCE
Reconnaissance
merupakan tahap pertama dari intrusi yang paling sering dilakukan. Terdapat
berbagai macam teknik untuk melakukan reconnaissance, yang paling umum
reconnaissance ini dikelompokkan kedalam 2 tipe yakni Aktif dan Pasif. Reconnaissance
secara aktif akan melibatkan attacker untuk menyentuh atau terhubung langsung
dengan target serangan guna mendapatkan informasi yang lebih lengkap dan
spesifik misal seperti informasi kerentanan atau vulnerability pada sistem
target. Reconnaissance jenis ini merupakan yang paling mudah dideteksi karena
biasanya menggunakan tools otomatis yang sudah ada seperti Nmap. Berbeda dengan
tipe aktif, tipe pasif tidak melibatkan target serangan secara langsung.
Informasi yang dibutuhkan untuk melakukan serangan pada tahap ini didapatkan
biasanya dari pihak ketiga seperti mesin pencari, media sosial, dan beberapa
website penyedia informasi. Informasi yang didapatkan biasanya berupa alamat
email, nomor telepon, akun media sosial, informasi lowongan pekerjaan, termasuk
juga teknologi yang dipakai pada sebuah organisasi atau perusahaan. Informasi
ini kemudian diolah sedemikian rupa oleh attacker untuk melancarkan serangan
yang memang secara spesifik dikhususkan untuk organisasi tersebut.
2. WEAPONIZATION
Tergantung
dari jumlah dan kualitas informasi yang berhasil didapatkan dari proses
reconnaissance, attacker akan mulai menyusun skenario serangan yang paling
cocok terhadap targetnya, dan tahap ini disebut weaponization.
3. DELIVERY
Skenario
yang telah disiapkan sebelumnya pada fase weaponization kemudian dijalankan
pada fase delivery. Payload ataupun exploit yang telah dipilih sebelumnya akan
dikemas sedemikian hingga dan dikirmkan ke target dengan berbagai cara misal
saja seperti lewat email, usb flash-drive yang sengaja dijatuhkan didekat
lokasi target, atau melalui website yang telah disusupi payload dan mengarahkan
target untuk mengunjungi website tersebut. Berbagai teknik delivery ini akan
tergantung dari jenis informasi apa yang didapat pada fase reconnaissance dan
skenario serangannya. Attacker yang berpengalaman biasanya memiliki lebih dari
1 skenario untuk mengantisipasi jika skenario yang lain gagal. Fase delivery
menjadi tahap pertama dari sebuah intrusi yang akan terjadi. Reconnaissance dan
weaponization masih bisa diibaratkan sebagai tahap persiapan sebelum
benar-benar melakukan intrusi yang sebenarnya.
4. EXPLOITATION
Exploitation
adalah tahapan selanjutnya setelah exploit atau payload berhasil dikirimkan, diterima
dan dijalankan oleh target. Exploit akan dijalankan dan mengeksploitasi
vulnerability yang ada pada target menyebabkan perangkatnya ter-compromise.
Exploit ini bisa diberikan langsung pada tahap delivery ataupun hanya berupa
dropper dimana exploit yang sesungguhnya akan didownload dari internet saat
dropper tersebut dijalankan oleh target. Jenis exploit yang biasa dipakai oleh
attacker adalah exploit umum yang sudah banyak beredar di internet yang dapat
mengeksploitasi vulnerability yang telah diketahui dan dipublikasikan untuk
umum.
5. INSTALLATION
Instalasi
dari Remote Access Trojan (RAT) dan backdoor pada target membuat attacker
memiliki akses berkelanjutan pada sistem target untuk melancarkan serangan
lanjutan ataupun mengincar target lainnya. Attacker yang terlatih dan
berpengalaman akan dengan mudah menyembunyikan RAT dan backdoor yang
diinstallnya untuk menghindari deteksi, RAT dan backdoor jenis ini biasanya
merupakan varian yang telah dimodifikasi.
6. COMMAND
AND CONTROL (C2)
Command
and Control (C2) dipakai oleh attacker untuk mengontrol sistem target yang
telah ter-compromise secara penuh. C2 ini bisa diimplementasikan pada berbagai
protokol tergantung dari kemampuan attacker, C2 yang umum adalah via protokol
yang tidak terenkripsi seperti HTTP, DNS, ICMP, dan IRC. Beberapa attacker yang
terlatih akan memakai jalur komunikasi terenkripsi untuk menghindari
pendeteksian seperti HTTPS dan SSH.
7. ACTIONS
ON OBJECTIVES
Setiap
attacker pasti memiliki tujuan saat melancarkan serangannya, entah itu hanya
untuk melatih kemampuan dan mencoba-coba atau yang lebih serius lagi seperti
pencurian informasi dan cyberterrorism. Pada tahap ini attacker sudah memegang
kendali penuh atas target sistem, disini attacker bebas melakukan tujuan awal
melakukan penyerangan. Jika attacker sudah selesai menjalankan tujuan awal
dalam melancarkan serangannya, selanjutnya ada tahap exfiltration dimana
attacker harus menghapus jejaknya setelah melakukan penyerangan terhadap sistem
target tersebut.
2.
Virus
Virus adalah bentuk
malware yang mampu menyalin dirinya sendiri dan menyebar ke komputer lain.
Virus sering menyebar ke komputer lain dengan melampirkan diri ke berbagai
program dan mengeksekusi kode ketika pengguna meluncurkan salah satu program
yang terinfeksi. Virus juga dapat menyebar melalui file skrip, dokumen, dan
kerentanan skrip lintas situs di aplikasi web. Virus dapat digunakan untuk
mencuri informasi, membahayakan komputer dan jaringan host, membuat botnet,
mencuri uang, membuat iklan, dan banyak lagi.
Worm
Cacing computer (worm)
adalah salah satu jenis malware yang paling umum. Mereka menyebar melalui
jaringan komputer dengan mengeksploitasi kerentanan sistem operasi. Worm
biasanya menyebabkan kerusakan pada jaringan host mereka dengan mengkonsumsi
bandwidth dan server web yang terlalu banyak. Cacing komputer dapat
diklasifikasikan sebagai jenis virus komputer, tetapi ada beberapa
karakteristik yang membedakan cacing komputer dari virus biasa. Perbedaan utama
adalah bahwa cacing komputer memiliki kemampuan untuk mereplikasi diri dan
menyebar secara independen sementara virus bergantung pada aktivitas manusia
untuk menyebar (menjalankan program, membuka file, dll). Cacing sering menyebar
dengan mengirim email massal dengan lampiran yang terinfeksi ke kontak pengguna
Trojan
Trojan horse, umumnya dikenal sebagai
"Trojan," adalah jenis malware yang menyamar sebagai file atau
program normal untuk mengelabui pengguna agar mengunduh dan menginstal malware.
Trojan dapat memberikan akses remote berbahaya kepada komputer yang terinfeksi.
Setelah penyerang memiliki akses ke komputer yang terinfeksi, adalah mungkin
bagi penyerang untuk mencuri data (login, data keuangan, bahkan uang
elektronik), menginstal lebih banyak malware, memodifikasi file, memantau
aktivitas pengguna (layar menonton, keylogging, dll), gunakan komputer dalam
botnet, dan menganonimkan aktivitas internet oleh penyerang.
3. Arsitektur Dual-Homed HostArsitektur Dual-home host dibuat disekitar komputer dual-homed host, yaitu komputer yang memiliki paling sedikit dua interface jaringan. Untuk mengimplementasikan tipe arsitektur dual-homed host, fungsi routing pada host ini di non-aktifkan. Sistem di dalam firewall dapat berkomunikasi dengan dual-homed host dan sistem di luar firewall dapat berkomunikasi dengan dual-homed host, tetapi kedua sistem ini tidak dapat berkomunikasi secara langsung. Dual-homed host dapat menyediakan service hanya dengan menyediakan proxy pada host tersebut, atau dengan membiarkan user melakukan logging secara langsung pada dual-homed host.
Arsitektur screened host menyediakan service dari sebuah host pada jaringan internal dengan menggunakan router yang terpisah. Pada arsitektur ini, pengamanan utama dilakukan dengan packet filtering. Bastion host berada dalam jaringan internal. Packet filtering pada screening router dikonfigurasi sehingga hanya bastion host yang dapat melakukan koneksi ke Internet (misalnya mengantarkan mail yang datang) dan hanya tipe-tipe koneksi tertentu yang diperbolehkan. Tiap sistem eksternal yang mencoba untuk mengakses sistem internal harus berhubungan dengan host ini terlebih dulu. Bastion host diperlukan untuk tingkat keamanan yang tinggi
Arsitektur screened subnet menambahkan sebuah layer pengaman tambahan pada arsitekture screened host, yaitu dengan menambahkan sebuah jaringan perimeter yang lebih mengisolasi jaringan internal dari jaringan Internet. Jaringan perimeter mengisolasi bastion host sehingga tidak langsung terhubung ke jaringan internal. Arsitektur screened subnet yang paling sederhana memiliki dua buah screening router, yang masing-masing terhubung ke jaringan perimeter. Router pertama terletak di antara jaringan perimeter dan jaringan internal, dan router kedua terletak di antara jaringan perimeter dan jaringan eksternal (biasanya Internet). Untuk menembus jaringan internal dengan tipe arsitektur screened subnet, seorang intruder harus melewati dua buah router tersebut sehingga jaringan internal akan relatif lebih aman.
4. Masquerade / masquerading adalah suatu cara untuk menghubungkan ip local menuju ke jaringan internet (Wide Area Network) melalui perantara IP Public. Sedangkan NAT (Network Address Translation) bertugas yang melakukan perubahan (Translation) dari sebuah paket data yang merubah IP Address Private menjadi IP Address Public dengan opsi yang dapat dipilih pada action masquerade maka otomatis IP Address Private akan menjadi IP Address Public. Jadi maksud dari masquerade NAT disini adalah salah satu bentuk translasi alamat jaringan (NAT), yang memungkinkan bagi komputer-komputer yang terhubung dalam jaringan lokal yang menggunakan alamat IP private untuk berkomunikasi ke internet melalui firewall. Alamat IP yang digunakan untuk menyusun jaringan lokal umumnya menggunakan alamat IP Private. Alamat IP ini tidak diroutingkan oleh jaringan publik, sehingga komputer yang ada pada jaringan lokal tidak dapat langsung berhubungan dengan internet. Hubungan antara komputer pada jaringan lokal dengan jaringan publik dilakukan dengan cara menyamarkan alamat IP Privat dengan alamat IP yang dipunyai oleh kartu jaringan dengan alamat IP Public. Proses penyamaran alamat IP Private menjadi alamat IP Public ini disebut dengan IP MASQUERADE. Dengan cara yang diterapkan oleh konsep IP MASQUERADE, semua komputer pada jaringan lokal ketika berhubungan dengan jaringan publik seperti mempunyai alamat IP kartu jaringan yang punya alamat IP Public.
5. a. iptables -t nat
–A postrouting –o eth0 –j masquerade
b. iptables –A input –p
tcp --dport 22 -j accept
iptables –A input –p tcp --dport 80 -j
accept
iptables –A input –p tcp --dport any -j
drop
Komentar
Posting Komentar