ﺑﺴﻢﷲﺍﻠﺮﺤﻤﻦﺍﻠﺮﺤﻴﻢ
1. Jelaskan arsitektur system Web.
2. Sebutkan macam-macam cara yang dapat dilakukan untuk menjaga keamanan web.
3. JelaskancarakerjaCGI
Jawaban :
1. Arsitektur sistem Web :
◦Server
Web server merupakan software yang memberikan layanan data yang berfungsi menerima permintaan HTTP atau HTTPS dari klien yang dikenal dengan browser web dan mengirimkan kembali hasilnya dalam bentuk halaman - halaman web yang umumnya berbentuk dokumen HTML.
Macam – macam Web Server :
1.Apache Tomcat
2.Microsoft windows Server 2003 Internet Information Services (IIS)
3.Lighttpd
4.Sun Java System Web Server
5.Xitami Web Server
6.Zeus Web Server
Namun web yang terkenal dan yang sering digunakan adalah Apache dan Microsoft Internet Information Service (IIS).
o Web Server Apache
Apache merupakan web server yang paling banyak dipergunakan di Internet. Program ini pertama kali didesain untuk sistem operasi lingkungan UNIX. Namun demikian, pada beberapa versi berikutnya Apache mengeluarkan programnya yang dapat dijalankan di Windows NT. Apache mempunyai program pendukung yang cukup banyak. Hal ini memberikan layanan yang cukup lengkap bagi penggunanya. Beberapa dukungan Apache :
1. Kontrol Akses.
Kontrol ini dapat dijalankan berdasarkan nama host atau nomor IP
2. CGI (Common Gateway Interface)
Yang paling terkenal untuk digunakan adalah perl (Practical Extraction and Report Language), didukung oleh Apache dengan menempatkannya sebagai modul (mod_perl)
3. PHP (Personal Home Page/PHP Hypertext Processor);
Program dengan metode semacam CGI, yang memproses teks dan bekerja di server. Apache mendukung PHP dengan menempatkannya sebagai salah satu modulnya (mod_php). Hal ini membuat kinerja PHP menjadi lebih baik
4. SSI (Server Side Includes)
Web server Apache mempunyai kelebihan dari beberapa pertimbangan di atas :
1. Apache termasuk dalam kategori freeware.
2. Apache mudah sekali proses instalasinya jika dibanding web server lainnya seperti NCSA, IIS, dan lain-lain.
3. Mampu beroperasi pada berbagai platform sistem operasi.
4. Mudah mengatur konfigurasinya. Apache mempunyai hanya empat file konfigurasi.
5. Mudah dalam menambahkan peripheral lainnya ke dalam platform web servernya.
Fasilitas atau ciri khas dari web server Apache adalah :
1. Dapat dijadikan pengganti bagi NCSA web server.
2. Perbaikan terhadap kerusakan dan error pada NCSA 1.3 dan 1.4.
3. Apache merespon web client sangat cepat jauh melebihi NCSA.
4. Mampu di kompilasi sesuai dengan spesifikasi HTTP yang sekarang.
5. Apache menyediakan feature untuk multihomed dan virtual server.
6. Kita dapat menetapkan respon error yang akan dikirim web server dengan menggunakan file atau skrip.
7. Server apache dapat otomatis berkomunikasi dengan client browsernya untuk menampilkan tampilan terbaik pada client browsernya. Web server Apache secara otomatis menjalankan file index.html, halaman utamanya, untuk ditampilkan secara otomatis pada clientnya.
8. Web server Apache mempunyai level-level pengamanan.
9. Apache mempunyai komponen dasar terbanyak di antara web server lain.
10. Ditinjau dari segi sejarah perkembangan dan prospeknya, Apache web server mempunyai prospek yang cerah. Apache berasal dari web server NCSA yang kemudian dikembangkan karena NCSA masih mempunyai kekurangan di bidang kompatibilitasnya dengan sistim operasi lain. Sampai saat ini, web server Apache terus dikembangkan oleh tim dari apache.org.
11. Performasi dan konsumsi sumber daya dari web server Apache tidak terlalu banyak, hanya sekitar 20 MB untuk file-file dasarnya dan setiap daemonnya hanya memerlukan sekitar 950 KB memory per child.
12. Mendukung transaksi yang aman (secure transaction) menggunakan SSL (secure socket layer).
13. Mempunyai dukungan teknis melalui web.
14. Mempunyai kompatibilitas platform yang tinggi.
15. Mendukung third party berupa modul-modul tambahan.
o Web Server Litespeed
Litespeed web server merupakan teknologi baru yang diciptakan untuk menggantikan Apache Web Server di masa mendatang. Litespeed menurut hasil riset mempunyai kelebihan yaitu 50% lebih cepat dalam memproses PHP dan lebih cepat 6x dibandingkan Apache Web Server.
beberapa kelebihan Litespeed Web server:
* Performa PHP mampu meningkat 50%
* Mampu melebihi performa Apache hingga 6x lebih cepat
* Pembatasan validasi HTTP request
* Anti DDoS
* Pencegahan System Overloading
* Recover dari kegagalan secara langsung dan otomatis
* Kompatibel dengan Cpanel, Plesk dan direct admin
* Dukungan kompatibilitas dengan mod_security request filtering
* Kompatibel dengan Apache .htaccess
o Web Server Nginx
Nginx dengan cepat memberikan konten statis dengan penggunaan efisien sumber daya sistem.Hal ini dapat menyebarkan dinamis HTTP konten di jaringan menggunakan FastCGI handler untuk script , dan dapat berfungsi sebagai perangkat lunak yang sangat mampu penyeimbang beban. Nginx menggunakan asynchronous -event pendekatan untuk menangani permintaan yang diprediksi memberikan kinerja yang lebih bawah beban, kontras dengan Apache HTTP server model yang menggunakan berulir atau proses yang berorientasi pada pendekatan-permintaan penanganan.
§ Fitur
§ Handling of static files, index files, and auto-indexing
§ Reverse proxy with caching
§ Load balancing
§ Fault tolerance
§ SSL support
§ FastCGI support with caching
§ Name- and IP-based virtual servers
§ FLV streaming
§ MP4 streaming, using the MP4 streaming module
§ Web page access authentication
§ gzip compression
§ Ability to handle more than 10000 simultaneous connections
§ URL rewriting
§ Custom logging
§ Server-side includes
§ Web Server IIS
Internet Information Service (IIS) adalah komponen yang dapat digunakan untuk mengelola web, File Transfer Protocol (FTP), Ghoper, dan NNTP. Komponen IIS terdapat pada sistem operasi Windows NT ,Windows 2000, Windows XP, 7 dan Windows Server 2003. Pada Windows 98, supaya dapat mengelola Web diperlukan komponen Personal Web Server (PWS) walaupun tidak terdapat fasilitas untuk FTP. PWS juga merupakan bagian dari IIS. Komponen PWS terdapat pada CD master Windows 98 dan terletak pada direktori \add-ons\pws. Instalasi PWS dapat dilakukan dari <Drive CD ROOM>:\ADD-ONS|PWS|SETUP.
Komponen pendukung IIS antara lain :
1. Protocol jaringan TCP/IP.
2. Domain Name System (DNS).
3. Direkomendasikan untuk menggunakan format NTFS demi keamanan.
4. Software untuk membuat situs web, salah satunya Microsoft FrontPage.
◦Client
Adalah sebuah aplikasi yang berkomunikasi dengan web server, menggunakan Hypertext Transfer Protocol (HTTP). Hypertext Transfer Protocol adalah protokol di belakang World Wide Web. Dengan setiap transaksi web, HTTP dipanggil. HTTP adalah di balik setiap permintaan untuk dokumen web atau grafis, setiap klik dari link hypertext, dan setiap penyerahan formulir. Web adalah tentang penyebaran informasi melalui Internet, dan HTTP adalah protokol yang digunakan untuk melakukannya.
(IE, Netscape, Mozilla, opera, kfm, arena, amaya, lynx)
◦Terhubung melalui jaringan
2. Macam-macam cara yang dapat dilakukan untuk menjaga keamanan web.
1) Manajemen Keamanan Situs Web
Melakukan manajemen keamanan situs web adalah serangkaian tindakan pengamanan tidak terbatas pada pembuatan atau penetapan prosedur-prosedur penggunaan/akses bagi staf atau kontraktor dalam rangka meminimalkan resiko keamanan, antara lain:
a. Menjamin keutuhan dan ketersediaan konten dan infrastruktur
b. Menjamin pengoperasian yang benar dan aman atas Situs Web, seperti kendali/kontrol atas server dan tidak meninggalkan sistem manajemen konten dalam keadaan tidak terjaga;
c. Menjamin perlindungan keutuhan informasi elektronik dan program komputer yang digunakan;
d. Mencegah kerusakan aset dan terhentinya aktifitas bisnis dan manajemen organisasi;
e. Melindungi keutuhan dan kerahasiaan data/informasi baik yang dikirimkan via situs maupun yang tersimpan dalam infrastruktur Situs Web.
2) Standar Sistem Keamanan
a. Keberadaan sistem keamanan setidaknya memperhatikan beberapa aspek antara lain sebagai berikut;
Aspek Fisik dan Lingkungan Keamanan, yang mencakup proteksi perangkat dan informasi dari kerusakan fisik dengan cara mengontrol akses terhadap informasi dan perangkat, termasuk penentuan lokasi dan pengenalan siapa saja yang terkoneksi kedalam sistem.
Aspek Manajemen Operasi dan Komunikasi serta Manajemen Keberlanjutan Bisnis yang meliputi antara lain:
§ manajemen/tata kelola yang semestinya dan pengoperasian yang aman terhadap fasilitas pengolahan informasi selama dilakukannya kegiatan harian dan menjaga sedapat mungkin agar aktivitas bisnis atau penyelenggaraan layanan publik tidak terhenti sekiranya terjadinya gangguan atau kerusakan terhadap sistem.
§ Pembagian dan/atau pemisahan tugas dan kewenangan, dan
§ Pemantau ketersediaan baik performa maupun kapasitasnya, serta keakuratan dan kemutakhiran data, dan kerahasiaannya.
Aspek Teknis: Standar teknis keamanan paling tidak memperhatikan 3 tingkatan pertahanan yakni:
§ Tingkatan Sistem Operasi (OS Level);
§ Tingkatan Web Server,
§ Tingkatan Aplikasi Web (Web Aplication Level).
Aspek Legal: Desain dan Penyelenggaraan Situs Web serta pengadaan komponen-komponen dari Situs Web harus diperoleh dan diselenggarakan secara sah.. Para Administrator atau Penyelenggara Situs Web diharapkan berkonsultasi dan/atau berkoordinasi dengan ahli hukum baik inhouse ataupun professional untuk meminta opini hukum agar penyimpanan informasi yang sensitif dan data personal milik seseorang tidak salah secara hukum. Pada prinsipnya hukum melindungi kerahasiaan informasi yang sensitif dan informasi individual, yang mencakup tidak hanya tindakan perolehan dan penggunaan saja melainkan juga bagaimana kewajiban standar penyimpanan ataupun pengumuman informasi kepada pihak ketiga. Pada intinya, hukum akan melihat apakah perolehan informasi telah dilakukan secara sah (lawful obtained) dan penanganannya sebagaimana-mestinya (treated fairly). Terhadap perolehan dan penggunaan data personal yang tidak sebagaimana mestinya akan menuai gugatan si pemilik informasi dan kemungkinan ancaman pidana.
Akses Kontrol: Mengendalikan akses kedalam informasi dan sistem informasi berdasarkan kebutuhan aktifitas bisnis dan keamanan, menentukan siapa-siapa saja yang berhak mengakses (3rd party, sys admin, content author), dan Proses Pemantauan dan Pengkajian Kembali terhadap Akses secara berkala.
Keamanan situs ditentukan oleh konfigurasi yang benar dan aman, antara lain sebagai berikut:
§ Penentuan Aplikasi web server yang sesuai dengan interoprabilitas atau kompatibilitas sistem yang telah ada
§ Penentuan Sistem operasi komputer dari web server;
§ Penataan Jaringan Komputer Lokal dari web server;
§ Sistem aplikasi pendukung yang berada di dalam web server
§ Otorisasi nama domain dari jaringan web server;
§ Kendali akses jarak jauh terhadap web-server (Remote web server) seperti penggunaan FTP dan server extensions lainnya;
§ Keamanan fisik dan personel;
§ Verifikasi regular terhadap kehandalan sistem.
3) Beberapa Langkah-Langkah Umum Yang Dapat Direkomendasikan dalam menjaga dan berupaya memberikan pengamanan pada web di internet
§ Buat dan tetapkan kebijakan pengamanan dengan jelas (SOP)
§ Sebaiknya gunakan satu komputer khusus untuk setiap fungsi server secara spesifik dan dedicated (contoh: account server, web-server, database-server, email server, dll.) dan tempatkan pada wilayah yang aman (contoh: Demilitered Zone/DMZ ).
§ Lakukan konfigurasi sistem jaringan dengan benar dan aman.
§ Mutakhirkan sistem operasi dan komponen-komponennya secara berkala sesuai jaminan dukungan produk (support product) dari vendor dan senantiasa melakukan instalasi program pelengkap terakhir
§ Membersihkan informasi-informasi yang merupakan sampah dan/atau informasi yang sudah melampaui masa retensi
§ Membuat sistem pengaman (firewall) untuk jaringan komputer, dan Intrusion Prevention Sistem (IPS), Web Application Firewall.
§ Pembatasan script yang dapat ditampilkan pada program penelusur (browser)
§ Lakukan pendidikan dan pelatihan kepada staf yang ditugaskan dan bertanggung jawab
§ Membagi tugas-tugas pekerjaan dari beberapa server
§ Membuat sistem pencatatan pengaman (log files) agar dapat mendeteksi penyusupan
§ Menjaga keotentikan data
§ Menjaga asset dan manajemen
§ Menjaga kelancaran aktifitas layanan publik meskipun sistem tidak berfungsi (down)
§ Mengingatkan pengguna untuk minimum menggunakan 6 alphanumeric sebagai password dan diubah secara berkala
§ Pastikan hanya orang-orang tertentu sesuai dengan kewenangannya yang dapat mengakses server dan mereka memiliki privilege yang penting untuk menjalankan tugas-tugas mereka
§ Tempatkan pengaman (firewall) diantara web server dengan Internet untuk memblokade traffic yang tidak diharapkan
§ Pantau terus security bulletins yang terkait dengan Sistem Operasi yang anda gunakan
§ Pastikan anda telah mengklasifikasi informasi yang sensitif untuk organisasi anda dan buatlah bahwa informasi tersebut tetap tidak akan tertampil meskipun ada kesalahan ataupun kegagalan sistem.
§ Kunci nama domain untuk mencegah pembajakan nama domain oleh pihak ketiga
§ Gunakan server yang terpisah dalam menjalankan HTTPS protokol dimana informasi personal ditransmisikan dan yakinkan bahwa nama server sesuai dengan sertifika SSL yang digunakan
§ Implementasikan sistem pendeteksi penyusupan (intrusion detection sistem) yang secara aktif memonitor setiap tindakan penggunaan dan mengidentifikasi upaya-upaya penerobosan sistem keamanan.
§ Lindungi semua potensi atau celah kelemahan sistem dengan cara meng-update paket antivirus yang anda gunakan secara berkala.
§ Gunakan fitur image confirmation untuk melengkapi kode akses guna menghindari upaya penelusuran password.
4) Beberapa Langkah-langkah Pelengkap Keamanan Yang Direkomendasikan
§ Pada dasarnya setiap program komputer menyimpan potensi kesalahan pemrograman (bug) yang baru akan diketahui dibelakang hari. Umumnya setiap vendor akan selalu memperbaiki sistemnya berdasarkan komentar dan/atau temuan permasalahan dari penggunanya dan mereka telah mempersiapkan paket-paket program yang menyempurnakan kelemahan tersebut (patches). Upayakan untuk selalu mengupdate paket-paket perbaikan tersebut secara berkala, ikuti cara instalasinya dan perhatikan baik-baik kelemahan apa yang telah ditutup dengan keberadaan paket tersebut dengan patch-patch.
§ Pada saat melakukan konfigurasi pada web server, yakinkan bahwa pengaturan terhadap kendali akses (akses kontrols) telah disiapkan secara baik untuk semua direktori termasuk root direktori dari web, antara lain Pastikan bahwa struktur direktori web hanya dapat dimodifikasi oleh web-server administrator Akses kepada halaman web hanya diperkenankan untuk membaca informasi sebagaimana adanya, meskipun pengguna web mungkin akan meminta izin untuk memasukkan scripts atau program agar informasi yang dimintanya menjadi lebih dinamis
§ Pengguna Web tidak dapat melihat daftar direktori dalam web-server
§ Jangan berikan akses bagi pengguna untuk melihat konfigurasi file dalam web-server
§ Tidak ada level yang lebih tinggi dari administrator dan tidak ada struktur direktori diatas root dalam struktur direktori dari web-server
§ Hindarkan semua konten yang tidak perlu, dan jangan aktifkan program atau mekanisme yang tidak diperlukan
§ Hapus semua halaman yang salah karena akan menampilkan informasi yang tidak patut
§ Terkait dengan akses kontrol dan privilege, jangan buat akses kontrol melebihi kewenangan atau hak privilege kepada pengguna web karena akan dapat disalahgunakan.
§ Terkait dengan sistem pencatatan akses (Logging), perlu diperhatikan sebagai berikut:
Aktifkan sistem pencatatan kegiatan akses (log) pada web-server yang dapat melihat aktivitas-aktivitas yang dilakukan pengguna dan melihat upaya-upaya untuk menjalan suatu script yang tidak ada pada web-server. Log harus dapat menampilkan informasi tentang koneksi yang dilakukan kepada web-server, kewenangan pengguna, tampilan pesan kesalahan, dan informasi yang lain yang dapat dipergunakan untuk melakukan penelusuran sekiranya terjadi akses illegal.
Logs harus secara otomatis menyimpan dan mengupdate datanya dan mengirimkan data tersebut kepada central management server. Hal ini dapat membuat tambahan pekerjaan bagi para penyelusup untuk menghilangkan data tersebut pada lokal log files.
Sistem pencatatan akses akan lebih baik jika dilengkapi sistem pendeteksi gangguan penyusupan (Intrusion Detection Sistem).
§ Intrusion Prevention Sistem Untuk mencegah gangguan terhadap web server, dapat digunakan perangkat tambahan antara lain sebagai berikut :
a) Firewall
b) IPS (Intrusion Prevention System)
c) Web aplication firewall
d) Digital Certificate
Terkait dengan Scripts and fungsi ekstensi Server, perlu diperhatikan beberapa langkah berikut:
1. Hapus semua contoh scripts yang terpasang pada server;
2. Non-aktifkan semua fitur tambahan yang mengakibatkan suatu script dapat dijalankan kecuali apabila hal tersebut memang dibutuhkan
3. Jangan menggunakan perintah level sistem operasi pada webserver ;
4. Periksa semua script yang digunakan pada web-server, pastikan bahwa input hanya untuk tipe yang diharapkan dan panjang data yang sesuai, selain itu hanya menampilkan pesan error. Harus juga diperhatikan bahwa spesial karakter dan nilai kosong diperlakukan secara layak. Jangan dimungkinkan pengguna dapat keluar dari perintah dalam level sistem operasi shell.
5. Sebaiknya simpan semua scripts dalam direktori yang sama dan jangan diperkenankan untuk menjalankan script yang berada di luar direktori ini.
3. PERL/CGI
Salah satu protokol gateway yang pertama diciptakan, dan tersukses, untuk menghubungkan web server dan aplikasi adalah Common Gateway Interface, atau CGI.
cara kerja CGI:
1.
2. Jika ada permintaan terhadap aplikasi dari klien, web server akan membaca skrip dan menjalankan program.
3. Web server memberi program ini masukan (termasuk masukan yang diberikan klien) dari masukan standar (stdin) serta beberapa environment variable.
4. Web server menunggu program berjalan hingga selesai lalu menangkap keluaran standar program (stdout).
Keluaran inilah yang diberikan ke klien.
Postingan
