Web Server

KEAMANAN WEB SERVER

Web Server adalah sebuah aplikasi server yang berfungsi menerima permintaan HTTP atau HTTPS dari klien yang dikenal dengan web browser dan mengirimkan kembali hasilnya dalam bentuk halaman-halaman web yang umumnya berbentuk dokumen HTML. Salah satu server web yang terkenal di linux adalah Apache. Apache merupakan server web antar platform yang dapat berjalan di beberapa platform seperti linux dan windows. Web Server juga merupakan sebuah komputer yang menyediakan layanan untuk internet. Server disebut juga dengan host. Agar anda dapat memasukkan web yang anda rancang ke dalam internet, maka anda harus memiliki ruangan terlebih dahulu dalam internet, dan ruangan ini disediakan oleh server. Itulah yang disebut Web Server.

Cara kerja web server:

Cara kerja dari web server buka sebuah halaman website, yang biasanya berupa URL http://www.wikipedia.org/home.htm. Kita akan mengetikkan URL tersebut di peramban atau browser kemudian menekan tombol enter,  tanpa kita ketahui proses yang terjadi di belakang layar atau di dalam browser itu sendiri, maka akan muncullah halaman website di layar monitor komputerkita. Proses yang akan terjadi pada browser adalah browser akan membentuk koneksi dengan web server, meminta halaman website dan menerimanya. Web server kemudian mengecek permintaan tersebut apakah tersedia atau tidak.

Apabila tersedia, maka web server akan mengirimkan data kepada browser. Apabila permintaan tidak ditemukan atau terjadi error maka web server akan mengirimkan pesan error kepada browser. Pembentukan koneksi, permintaan data, penerimaan data dari browser ke web server diatur dalam sebuah kode RFC2616. RFC2616 mencantumkan status web server dalam bentuk kombinasi tiga angka yang memiliki arti berbeda-beda. Status ini muncul di peramban saat kita mengakses web server tertentu. Status-status dari web server tersebut adalah :

100 : Continue

101 : Switching protocols

200 : OK

201 : Created

202 : Accepted

203 : Non-authoritative information

204 : No Content

205 : Reset Content

206 : Partial Content

300 : Multiple choices

301 : Moved permanently

302 : Found

303 : See other

304 : Not modified

305 : Use proxy

307 : temporary redirect

400 : Bad request

401 : Unauthorized

402 : Payment required

403 : Forbidden

404 : Not found

405 : Method not allowed

406 : Not acceptable

Berikut jenis-jenis Web server:

 Ø  Apache Web server - the HTTP web server
 Ø  Apache Tomcat
 Ø  Microsoft Windows server 2003 Internet Information Service (IIS)
 Ø  Light HTTP
 Ø  Jigsaw
 Ø  Sun java system web server
 Ø  Xitami web server
 Ø  Zerus web server

Ancaman Web Server:

Ancaman keamanan secara spesifik terhadap Web server umumnya  terbagi

menjadi beberapa kategori:

1. Entitas  malicious dapat mengeksploitasi  bug perangkat lunak dalam Web server, sistem operasi web server, atau  active content untuk memperoleh akses ilegal ke dalam Web server.

2. Serangan  Denial of Service (DoS) yang diarahkan pada Web server atau infrastruktur jaringan pendukungnya, sehingga dapat menolak atau menghalangi para pengguna sah yang akan

memanfaatkan layanannya.

3. Informasi sensitif pada Web server yang memungkinkan untuk dibaca atau dimodifikasi tanpa otorisasi.

4. Informasi sensitif di database penyangga yang digunakan untuk mendukung elemen  interaktif dari suatu aplikasi Web memungkinkan untuk dibobol melalui serangan  commandinjection, misalnya injeksi  Structured Query Language [SQL], injeksi  Lightweight Directory Access Protocol [LDAP],  cross-site scripting [XSS].

5. Informasi sensitif yang ditransmisikan tanpa dienkripsi antara Web server dan Browser yang  dapat disadap dan terbaca dengan jelas.

6. Informasi pada Web server yang dapat diubah untuk tujuan jahat. Defacement (penggantian tampilan) situs Web merupakan contoh yang umumnya dilaporkan untuk ancaman ini.

7. Entitas  malicious  yang berhasil mendapatkan akses ilegal Pedoman Keamanan Web Server | 2 terhadap sumber daya di tempat lain dalam jaringan organisasi melalui suatu serangan terhadap Web server.

8. Entitas  malicious  yang menyerang organisasi inernal setelah membobol suatu  host Web server. Serangan tersebut dapat dilancarkan secara langsung,  misalnya dari  host yang bobol terhadap suatu server internal atau secara tidak langsung misalnya dengan menempatkan konten  malicious pada Web server yang bobol yang berusaha mengeksploitasi kerawanan dalam browser Web dari para pengguna yang mengunjungi situs tersebut.

9. Server yang dapat digunakan sebagai suatu titik distribusi perangkat serangan, pornografi, atau  lunak yang dicopy secara ilegal.

Tipe Serangan Tak Langsung terhadap  Web server bertujuan mendapatkan informasi dari para penggunanya. Serangan tidak langsung ini dapat berbentuk:

1. Phishing, dimana para penyerang menggunakan  social engineering (rekayasa sosial) untuk memperdaya para pengguna agar melakukan logging ke suatu situs palsu.

2. Pharming, dimana server DNS atau  file host para pengguna dibobol sehingga para pengguna diarahkan ke suatu situs malicious pengganti situs yang sah.Pedoman Keamanan Web Server | 3 Dokumen ini dimaksudkan untuk memberikan asistensi pada organisasi dalam instalasi, melakukan  konfigurasi, dan  mengelola Web server yang aman.

Lima langkah dasar yang dibutuhkan untuk memelihara keamanan OS dasar:

1. Merencanakan instalasi dan penyebaran OS  host dan komponen lain untuk Web server

2. Melakukan patch dan update OS host seperlunya

3. Memperkuat secara fisik dan mengkonfigurasikan OS  hostuntuk mengatasi keamanan secukupnya

4. Menginstal dan mengkonfigurasikan tambahan kontrol-kontrol keamanan, jika dibutuhkan

5. Menguji OS  host untuk memastikan bahwa keempat langkah sebelumnya cukup mengatasi seluruh  pokok persoalan keamanan.

Beberapa rekomendasi penanggulangan yang dapat dilakukan antara lain adalah

1. Organisasi sebaiknya merencanakan dengan cermat, termasukmasalah penentuan  personil dan keterampilan yang dibutuhkan dalam mengamankan suatu Web server .Hal-hal yang perlu diperhatikan dalam suatu perencanaan untuk menghasilkan tindakan yang efektif adalah sebagai berikut :

a) Personil yang dibutuhkan, misalnya, para administrator Web server dan sistem, Webmaster, administrator jaringan, pejabat keamanan sistem informasi [ISSO] dan lain-lain.

b) Keterampilan dan pelatihan yang dibutuhkan oleh personil yang ditugaskan.

c) Persyaratan individu, yaitu spesifikasi yang disyaratkan dari tipe personil tertentu dan kelompok kerja yang dibentuk untuk menangani aspek keamanan.

2. Organisasi sebaiknya mengimplementasikan praktek dan kontrol manajemen keamanan yang tepat ketika memelihara dan mengoperasikan suatu Web server yang aman.Untuk memastikan keamanan dari suatu Web server dan infrastruktur jaringan pendukung, hal-hal berikut semestinya diimplementasikan:

a) Kebijakan keamanan sistem informasi lingkup organisasi

b) Kontrol dan manajemen konfigurasi/perubahan

c) Penilaian dan manajemen resiko

d) Konfigurasi perangkat lunak yang distandarkan yang memenuhi kebijakan keamanan sistem informasiPedoman Keamanan Web Server | 4

e) Kesadaran dan pelatihan keamanan

f) Rencana contingency, kontinuitas operasi, dan perencanaan pemulihan bencana

g) Sertifikasi dan akreditasi.

2. Organisasi sebaiknya memastikan bahwa sistem operasi Web server dipersiapkan, dikonfigurasikan dan dikelola untuk memenuhi persyaratan keamanan dari organisasi  tersebut. Langkah pertama dalam mengamankan suatu Web server adalah mengamankan sistem operasinya. Mengamankan sistem operasi umumnya akan menyertakan langkah-langkah berikut:

a) Melakukan patch dan upgrade sistem operasi

b) Menghilangkan atau me-non-aktifkan aplikasi dan layanan yang tidak diperlukan

c) Mengkonfigurasikan otentikasi pengguna sistem operasi

d) Mengkonfigurasikan pengendalian sumber daya.

e) Menginstalkan dan mengkonfigurasikan kendali keamanan tambahan

f) Melakukan testing keamanan terhadap sistem operasi.

3. Organisasi sebaiknya memastikan bahwa aplikasi Web server diinstal, dikonfigurasi dan dikelola sesuai kebutuhan keamanan organisasi.Mengamankan aplikasi Web server biasanya akan mencakup langkah-langkah berikut:

a) Melakukan patch dan upgrade aplikasi Web server

b) Menghilangkan atau menon-aktifkan layanan, aplikasi dan contoh konten yang tidak perlu

c) Mengkonfigurasikan otentikasi pengguna dan kendali akses Pedoman Keamanan Web Server | 5 Web server

d) Mengkonfigurasikan access control sumber daya Web server

e) Melakukan tes keamanan aplikasi Web server dan konten Web

4. Organisasi sebaiknya mengambil langkah-langkah untukmemastikan bahwa hanya konten  yang layak yang dipublikasikan pada suatu situs Web dan bahwa konten sudah diproteksi dengan baik.Beberapa informasi yang seharusnya tidak dipublikasikan adalah sebagai berikut :

a) Informasi berklasifikasi rahasia dan sangat rahasia

b) Informasi tentang komposisi atau penyiapan material berbahaya atau beracun

c) Informasi sensitif terkait keamanan dalam negeri

d) Catatan medis

e) Usaha perlindungan terhadap keamanan detil fisik dan informasi dari suatu organisasi

f) Detil tentang infrastruktur jaringan dan sistem informasi organisasi (misalnya, jangkauan address, konvensi penamaan, jumlah akses)

g) Informasi yang menspesifikasikan atau mengimplikasikan kerawanan keamanan fisik

h) Detil rencana, peta, diagram, foto udara, gambar arsitektur dari gedung, properti atau instalasi organisasi

i) Informasi sensitif apapun tentang individu, seperti informasi yang dapat mengidentifikasi secara personal (personally identifiable information  [PII]), yang dapat menjadi subyek hukum.Pedoman Keamanan Web Server | 6

5. Organisasi sebaiknya memastikan langkah-langkah tepat yang diambil untuk melindungi konten Web server dari akses atau modifikasi yang tidak sah.Langkah-langkah yang diambil untuk melindungi konten web tersebut antara lain :

a) Menginstal atau mengaktifkan layanan yang memang diperlukan.

b) Menempatkan konten Web pada suatu hard drive atau partisi logik tertentu.

c) Membatasi upload ke direktori yang tidak dapat dibaca oleh Web server.

d) Menentukan suatu direktori tunggal untuk semua script atau program eksternal yang dieksekusi sebagai bagian dari konten Web.

e) Menon-aktifkan penggunaan hard /symbolic link.

f) Menentukan suatu matriks akses konten Web lengkap yang mengidentifikasi folder dan  file mana dalam direktori dokumen Web server yang bebas atau dibatasi aksesnya (dan oleh siapa).

g) Menon-aktifkan listing direktori.

h) Menggunakan otentikasi, tandatangan digital, dan mekanisme kriptografi yang diperlukan

i) Menggunakan  host-based sistem deteksi gangguan (intrusion detection system [IDS]) dan/atau pengecek integritas  file untuk mendeteksi gangguan atau memverifikasi konten Web.

j) Memproteksi setiap server penyangga (misalnya server database, server direktori) dari  serangan injeksi perintah (command injection attack) baik dari Web server maupun server penyangga itu sendiri. Pedoman Keamanan Web Server | 7

6. Organisasi sebaiknya menggunakan  active content secara bijaksana untuk menyeimbangkan antara manfaat yang diperoleh dengan resiko yang menyertainya.

Sebagian besar situs Web pada generasi awal memberikan informasi statis yang diletakkan pada server, umumnya berbentuk dokumen berbasis teks. Dalam perkembangannya, elemen interaktif diperkenalkan kepada para pengguna tentang cara baru berinteraksi dengan suatu situs Web. Sayangnya, elemen interaktif tersebut memperkenalkan kerentanan baru yang terkait dengan Web karena elemen-elemen tersebut melibatkan kode eksekusi dinamis baik pada Web server ataupun klien yang menggunakan input sangat besar, mulai dari parameter  Universal Resource Locator  (URL) hingga konten Hypertext Transfer Protocol (HTTP) POST maupun konten XML berbentuk pesan-pesan layanan Web. Teknologi active contentyang berbeda memiliki kerentanan terkait yang berbeda, dan resikonya harus diseimbangkan dengan manfaatnya.

7. Organisasi harus menggunakan teknologi otentikasi dan enkripsi untuk melindungi data sensitif tertentu.

Seringkali diperlukan teknologi untuk mengidentifikasikan dan membuktikan keaslian para pengguna dengan  privilege yang berbeda untuk mengakses informasi. Beberapa dari teknologi ini berbasiskan fungsi kriptografi yang dapat menyediakan suatu jalur terenkripsi antara klien browser Web dan Web server yang mendukung enkripsi. Sekalipun dengan suatu jalur terenkripsi dan mekanisme otentikasi, mungkin saja para penyerang berupaya mengakses situs melalui suatu serangan brute force.Teknik otentikasi yang tidak tepat dapat menyebabkan para penyerang mengumpulkan username yang sah atau kemungkinan besar mendapatkan akses ke situs Web. Mekanisme otentikasi yang baik dapat pula melindungi terhadap serangan  phishing  dan  pharming. Oleh Pedoman Keamanan Web Server | 8 karena itu, harus dimplementasikan otentikasi dengan tingkatanyang tepat berdasarkan pada sensitifitas para pengguna dan konten Web server.

8. Organisasi sebaiknya mengembangkan keamanan infrastruktur jaringan untuk  membantu melindungi server Web-nya.

Insfrastruktur jaringan (misalnya,  firewall, router, IDS) yang mendukung Web server memainkan suatu peran penting dalam hal keamanan dari Web server. Pada sebagian besar konfigurasi, infrastruktur jaringan akan menjadi garis terdepan pertahanan antara suatu Web server dan Internet. Desain jaringan saja tidak dapat melindungi suatu Web server. Frekuensi, kecanggihan dan ragam serangan Web server yang dilakukan kini mendukung gagasan bahwa keamanan Web server harus diimplementasikan melalui mekanisme proteksi yang berlapis dan terpelihara.

9. Organisasi sebaiknya berkomitmen terhadap proses pemeliharaan keamanan Web server yang dilakukan secara rutin untuk memastikan keamanan berkelanjutan.

Memelihara suatu Web server yang aman memerlukan upaya yang konsisten, sumber daya, dan kewaspadaan dari suatu organisasi. Memelihara keamanan dari suatu Web server biasanya akan melibatkan langkah-langkah berikut:

a) Mengkonfigurasi, memproteksi, dan menganalisa file log

b) Membuat backup informasi kritis secara rutin

c) Menetapkan dan menjalankan prosedur untuk pemulihan dari kebobolan

d) Pengetesan dan penerapan patch secara tepat waktu

e) Pengetesan keamanan secara periodik.