Pertemuan 8 Database Security

 Pertemuan 8 Database Security

1. Mendefinisikan Database Security

    Database atau basis data adalah kumpulan data yang disimpan dikomputer menggunakan aplikasi yang disebut sistem manajemen database.DataBase Management System (DBMS)adalah aplikasi yang memungkinkan orang lain mencari data yang disimpan untuk menemukan informasi tertentu.Tujuan dari DBMS adalah untuk memberikan pengguna sarana untuk memanipulasi,menganalisis,menyimpan,dan mengambil informasi.

Keamanan database adalah seperangkat prosedur, standar, kebijakan, dan alat yang digunakan untuk melindungi data dari pencurian,penyalahgunaan,dan gangguan, aktivitas, dan serangan yang tidak diinginkan. Keamanan database berkaitan dengan izin dan akses ke struktur data dan data yang terkandung di dalamnya. Alat yang digunakan untuk mengamankan database biasanya disertakan dan dikonfigurasi didalam paket perangkat lunak database yang diinstal, tetapi kemampuan paket ini berbeda-beda menurut vendor(misalnya,Oracle,MySQL,MicrosoftSQL Server).

Risiko keamanan untuk sistem basis data meliputi yaitu:

A. Aktivitas yang tidak sah atau tidak diinginkan atau penyalahgunaan oleh pengguna database resmi, administrator database,atau manajer jaringan/sistem, oleh pengguna atau peretas yang tidak sah (misalnya akses yangtidak tepat ke data sensitif, metadata atau fungsi dalam database, atau perubahan yang tidak pantas pada program database, struktur atau konfigurasi keamanan).

B. Infeksi malware yang menyebabkan terjadinya seperti akses tidak sah,kebocoran atau pengungkapan data pribadi atau hak milik, penghapusan atau kerusakan pada data atau program,gangguan atau penolakan akses resmike database, serangan pada sistem lain, dan kegagalan layanan database yang tidak terduga.

C. Beban yang berlebih, kendala dalam kinerja, dan adanya masalah kapasitas yang mengakibatkan ketidakmampuan pengguna yang berwenang untuk menggunakan database sebagaimana dimaksud

D. Kerusakan fisik yang terjadi pada server database yang disebabkan oleh kebakaran atau banjir di ruang komputer, panas berlebih, petir, tumpahan cairan yang tidak disengaja, pelepasan muatan listrik statis, kerusakan elektronik / kegagalan peralatan, dan keusangan.

E. Cacat desain dan bug yang terjadi dalam pemrograman dalam database dan program serta sistem terkait, menciptakan berbagai kerentanan keamanan (misalnya eskalasi hak istimewa yang tidak sah), kehilangan dan kerusakan data, penurunan kinerja, dll.

F. Kerusakan dan kehilangan data yang disebabkan oleh masuknya data atau perintah yang tidak valid, kesalahan dalam proses database atau administrasi sistem, sabotase / kerusakan kriminal, dll.

2. Memahami Resiko pada Database Security

     Keamanan database adalah suatu cara untuk melindungi database dari ancaman, baik dalam bentuk kesengajaan atau pun bukan. Ancaman adalah segala situasi atau kejadian baik secara sengaja maupun tidak yang bersifat merugikan dan memengaruhi sistem. Keamanan database tidak hanya berkenaan dengan data yang ada pada database saja, tetapi juga meliputi bagian lain dari sistem database, yang tentunya dapat memengaruhi database tersebut. Hal ini berarti keamanan database mencakup perangkat keras, perangkat lunak, dan data.

a. Tujuan Keamanan Database

1) Secrecy/Confidentiality: Informasi tidak boleh diungkapkan kepada pengguna yang tidak sah. Sebagai contoh, Siswa seharusnya tidak diperbolehkan untuk memeriksa nilai siswa lainnya.·

2) Integrity: Hanya pengguna berwenang yang diizinkan untuk memodifikasi data. Sebagai contoh, guru mata pelajaran lain mungkin diperbolehkan untuk melihat nilai, namun tidak diperbolehkan (jelas) untuk memodifikasi mereka.·

3) Availability: Pengguna yang terdaftar tidak boleh ditolak akses. Sebagai contoh, seorang instruktur yang ingin mengubah kelas harus diizinkan untuk melakukannya encryptech-database-security.

b. Ancaman Pada Database

Ancaman terhadap database meliputi theft (pencurian) dan fraud (penipuan). Jika kedua ancaman tersebut terjadi pada sebuah perusahaan, maka perusahaan akan mengalami :

1) Loss Of Confidentiality (Kehilangan kerahasiaan). Hilangnya kerahasiaan perusahaan akan menyebabkan hilangnya daya saing

2) Loss of Privacy (Kehilangan Privacy), dapat menyebabkan tindakan illegal untuk melawan organisasi.

3) Loss of Integrity (Kehilangan Integritas), menyebabkan data menjadi invalid atau rusak di dipertanyakan kejelasan sebuah data yang di kelola organisasi.

4) Loss of Availibility (Kehilangan Ketersediaan), artinya data atau sistem tidak dapat diakses sehingga mempengaruhi kinerja finansial perusahaan.

3. Meningkatkan Keamanan Pada Database Security

    Secara garis besar keamanan database dikategorikan sebagai berikut:

a. Keamanan Server

    Perlindungan Server adalah suatu proses pembatasan akses yang sebenarnya pada database dalam server itu sendiri. Menurut Blake Wiedman ini adalah suatu sisi keamanan yang sangat penting dan harus direncanakan secara hati-hati. Ide dasarnya adalah kita tidak dapat mengakses apa yang

kita tidak dapat lihat. Database bukanlah suatu web server, koneksi yang tidak dikenali tidak akan diijinkan.

b. Trusted IP Access

     Setiap server harus dapat mengkonfigurasikan alamat IP yang diperbolehkan mengakses dirinya. Anda tidak boleh mengijinkan semua orang untuk mengakses server. Jika server melayani suatu web server maka hanya alamat web server itu saja yang dapat mengakses server database tersebut. Jika server database melayani jaringan internal maka hanya alamat jaringanlah yang boleh menghubungi server. 

c. Koneksi Database

    Saat ini semakin banyaknya aplikasi dinamis menjadi sangat menggoda untuk melakukan akses yang cepat bahkan update yang langsung tanpa authentifikasi. Jangan pernah berpikir demikian, ini hanya untuk seorang pemalas. Jika Anda ingin mengijinkan pemakai dapat mengubah database melalui web page, pastikan Anda memvalidasi semua masukan untuk memastikan bahwa inputan benar, terjamin dan aman.

d. Kontrol Akses Table

Kontrol akses table ini adalah salah satu bentuk keamanan database yang sering diabaikan, karena cukup sulit penerapannya. Penggunaan control akses table yang benar dibutuhkan kolaborasi antara sistem administrator dengan pengembang database.

4. Memahami Data Base Management System

Database Management Systems (DBMS) adalah aplikasi yang menyediakan pengguna sarana untuk memanipulasi, menganalisis, dan meminta data. Hampir semua DBMS yang ada saat ini dikembangkan untuk digunakan dengan database relasional. Aplikasi ini dikenal sebagai Relational Database Management Systems (RDBMSs)

Ada beberapa sistem manajemen basis data relasional yang ada saat ini, yaitu :

A. Oracle, adalah RDBMS yang dikembangkan oleh Oracle Corporation pada akhir 1970-an. Memegang 52% dari pasar DBMS pada tahun 2009, itu tetap menjadi salah satu server database paling populer. Oracle terkenal portabel, kemampuannya untuk berjalan di hampir semua sistem operasi, dan peran dominannya dalam menyediakan solusi yang diandalkan bisnis untuk mencapai kompetensi inti mereka. Database Oracle menawarkan sejumlah solusi penyimpanan, dan dapat ditemukan menjaga bisnis penting data seperti sumber daya manusia, penagihan, dan catatan keuangan di seluruh dunia.

B. Mysql, adalah RDBMS yang dikembangkan oleh Sun Microsystems. Menampilkan pertumbuhan yang luar biasa setiap tahun dan terkenal dengan kecepatannya, MySQL adalah server database open-source paling populer saat ini. Istilah open source mengacu pada perangkat lunak yang telah ditulis untuk didistribusikan untuk digunakan dan diunduh secara gratis. Selain biaya, aplikasi sumber terbuka memberikan keuntungan kustomisasi.

C. Microsoft SQL, Microsoft SQL sering disebut hanya sebagai SQL Server. SQL Server adalah RDBMS yang dikembangkan oleh Microsoft untuk menyediakan platform akses data yang cepat, aman, dan dapat diskalakan. Bahasa kueri utama SQL Server adalah T-SQL dan ANSI SQL. Skalabilitas arsitektur server SQL adalah fiturnya yang paling menarik, karena ia dikembangkan untuk berjalan secara merata di berbagai lingkungan. Dari database yang berjalan di komputer pribadi yang hanya melayani satu pengguna, ke database yang disimpan di sekumpulan server yang melayani beberapa ribu pengguna, SQL Server dapat memenuhi kebutuhan lingkungan Windows apa pun.

Database Connection Manager

Manajer koneksi database melakukan apa yang tersirat dari namanya. Iamengatur koneksi ke server MySQL. Lapisan manajemen koneksi sangat serbaguna, memungkinkan hampir semua klien untuk terhubung ke server MySQL. Aplikasi open-source yang dibangun untuk berjalan di hampir semua platform, MySQL telah menyediakan beberapa cara bagi klien untuk terhubung melalui lapisan manajemen koneksi. Pengembang dapat membuat klien dan antarmuka pemrograman aplikasi (API) di hampir semua bahasa pemrograman modern saat ini (misalnya, C, C ++, Perl, dan PHP), dan klien yang menggunakan Open Database Connectivity (ODBC), Java, dan .net disediakan dukungan melalui antarmuka MySQL.

Database Activity Monitoring (DAM)

Lapisan keamanan lain yang lebih canggih mencakup pemantauan aktivitas basis data waktu nyata, baik dengan menganalisis lalu lintas protokol (SQL) melalui jaringan, atau dengan mengamati aktivitas basis data lokal di setiap server menggunakan agen perangkat lunak, atau keduanya. Penggunaan agen atau native logging diperlukan untuk merekam aktivitas yang dijalankan di server database, yang biasanya mencakup aktivitas administrator database.

Agen mengizinkan informasi ini ditangkap dengan cara yang tidak dapat dinonaktifkan oleh administrator database, yang memiliki kemampuan untuk menonaktifkan atau mengubah log audit asli.

Analisis dapat dilakukan untuk mengidentifikasi eksploitasi yang diketahui atau pelanggaran kebijakan, atau garis dasar dapat diambil seiring waktu untuk membangun pola normal yang digunakan untuk mendeteksi aktivitas anomali yang dapat menjadi indikasi intrusi. Sistem ini dapat menyediakan jejak audit database yang komprehensif selain mekanisme deteksi intrusi, dan beberapa sistem juga dapat memberikan perlindungan dengan menghentikan sesi pengguna dan / atau mengkarantina pengguna yang menunjukkan perilaku yang mencurigakan. Beberapa sistem dirancang untuk mendukung pemisahan tugas (SOD), yang merupakan persyaratan khas auditor. SOD mensyaratkan bahwa administrator database yang biasanya dipantau sebagai bagian dari DAM, tidak dapat menonaktifkan atau mengubah fungsionalitas DAM. 

Program keamanan basis data yang baik mencakup tinjauan rutin hak istimewa yang diberikan ke akun pengguna dan akun yang digunakan oleh proses langsung. Untuk akun individu, sistem otentikasi dua faktor meningkatkan

keamanan tetapi menambah kompleksitas dan biaya. Akun yang digunakan oleh proses otomatis memerlukan kontrol yang sesuai seputar penyimpanan kata sandi seperti enkripsi yang memadai dan kontrol akses untuk mengurangi risiko penyusupan.

Dalam hubungannya dengan program keamanan database yang baik, program pemulihan bencana yang sesuai dapat memastikan bahwa layanan tidak terganggu selama insiden keamanan, atau insiden apa pun yang

mengakibatkan pemadaman lingkungan database utama. Contohnya adalah replikasi untuk database utama ke situs yang terletak di wilayah geografis yang berbeda.

Setelah insiden terjadi, forensik database dapat digunakan untuk menentukan ruang lingkup pelanggaran, dan untuk mengidentifikasi perubahan yang sesuai pada sistem dan proses.