CMS Security: Biaya Pengembangan CMS

Biaya pengembangan terkadang dapat dengan cepat berada di luar kendali, hal tersebut sering kali menyebabkan prioritas security diturunkan menjadi sesuatu yang baik jika ada. Saat mempersiapkan untuk membangun suatu situs, atau menggunakan developer pihak ketiga untuk mengembangkan situs anda, mendekati segala usaha dan upaya dalam pengembangan situs akan memberikan keuntungan yang lebih baik. Situs anda akan lebih bertahan dari serangan jika anda berencana untuk memperkuat security situs anda.
Memperhitungkan biaya untuk mem-back up system (termasuk semua perlengkapan / peralatan dan waktu yang dibutuhkan). Jika anda membutuhkan fungsi atau peralatan security yang spesifik, siapkan/definisikan hal tersebut di awal, atau minta pada web developer untuk menyediakan dengan biaya yang cukup akurat.
Biaya lain yang mungkin perlu disediakan adalah untuk audit code jika software anda dibuat oleh developer lain. Hal ini dilakukan dengan menyewa/membayar software developer lain (selain developer yang mengembangkan software anda) yang melakukan review code. Hal-hal yang perlu diperhatikan oleh auditor dapat beragam, dan area yang perlu untuk diperhatikan adalah:

• SQL Injection vulnerabilities.
• Cross Site Scripting (XSS) vulnerabilities.
• Remote file vulnerabilities.
• Backdors.
• Trojan Code.
• Debug Code.

Mungkin untuk beberapa kasus hal ini tidak menjadi suatu masalah, namun jika software yang dibuat di develop secara custom, akan lebih baik jika anda menyewa software developer lain untuk melakukan review code.

Tags:

CMS Security: Biaya Pengembangan CMS

By admin → Thursday, November 1, 2012

CMS Security: Memilih CMS

1.       CMS Dengan Security Terbaik

CMS yang beredar di dunia saat ini memiliki dua jenis lisensi, yakni berbayar dan open source. Keamanan merupakan hal yang lumrah ditanyakan oleh user saat memilih aplikasi atau pun sistem berbasis open source. Sistem berbasis open source masih banyak dipilih oleh common user hingga perusahaan ber-skala kecil untuk menekan pengeluaran. Namun, layaknya pedang bermata dua, sistem berbasis open source memilik isisi lain yang merugikan yakni masalah keamanannya.

CMS berbasis open source bukan berarti memiliki tingkat keamanan yang sangatrendah. Namun, apabila ditemukan celah dalam keamanannya, penanganannya harus menunggu solusi dari komunitas pengguna, yang biasanya akan memakan waktu. Lain halnya dengan CMS berlisensi yang didukung penuh oleh perusahaan pengembang CMS tersebut, dimana user dijanjikan bantuan penuh saat ditemukan celah dalam keamanannya.

Merupakan suatu pertanyaan yang sering dilontarkan, “CMS apa yang menawarkan security yang paling baik?”, pada dasarnya suatu CMS aman sampai pada suatu saat anda menginstal CMS tersebut online. Dari data yang dikumpulkan di situs SalvusAlerting.com di antara Drupal, Jomla!, Wordpress, atau Plone, yang memiliki kelemahan paling sedikitdalam sisi security merupakan Plone, namun bukan berarti Plone merupakan CMS yang paling aman, Hal tersebut hanya menekankan bahwa Plone merupakan CMS dengan kelemahan security paling sedikit yang dapat ditemukan.

Ancaman keamanan yang biasanya menyerang website berbasis CMS diantaranya melalui SQL Injection, Variable Manipulation, dan lain-lain.

Dalam mengelola website berbasis CMS, sedikitnya ada tiga hal yang keamanannya harus dijadikan perhatian, yakni pengelolaan konten, template, dan user. Serangan yang berhubungan dengan konten contohnya penghapusan konten dari laman website secara sembarang atau mempublikasikan konten yang tidak sesuai dengan norma dan perundang-undangan. Di lain pihak, serangan kepada template dapat berupa modifikasi template yang menyebabkan tampilan website tidak beraturan. Yang terakhir adalah serangan terhadap user berupa pencurian password, penambahan user tanpa izin, maupun penyalah gunaan peran dan otorisasi user.

2.       Faktor-Faktor yang Perlu Dipertimbangkan Dari Sudut Pandang Bisnis

Karena secara keseluruhan suatu CMS tidak ada yang sempurna, oleh karena itu diperlukan 4 buah pertimbangan yang mungkin dibutuhkan untuk memilih CMS yang akan digunakan.

• Supportability

Perlu dipertimbangkan apakah anda atau ada ada diantara staff anda yang dapat menggunakan dan memaintenance CMS tersebut? Jika ada user yang menanyakan menanyakan sesuatu tentang web anda seputar CMS, bisa kan anda menjawab pertanyaan tersebut? Apakah anda mengetahui bagaimana cara menambahkan kontent pada CMS tersebut? Dari waktu ke waktu, CMS-CMS tersebut akan membutuhkan update, add-ons, dan banyak lagi tambahan yang dibutuhkan untuk menutupi security, fitur dan lain sebagainya.

• Viability

Salah satu pertanyaan yang cuku mendasar, yaitu apakah CMS tersebut akan terus di update, dilakukan bug fix atau akan tetap di maintain patch nya? Jika pengembang menghentikan support nya, apakah anda siap untuk untuk bermigrasi ke system yang baru atau tetap menggunakan system lama dan mengatasi berbagai permasalahan tekniknya sendiri?

• Functionality

Apakah CMS yang anda pilih tersbut memiliki fungsi yang anda butuhkan? Ada baiknya untuk membuat list fungsi-fungsi yang dimiliki CMS dan lakukan cross check dengan fungsi-fungsi yang anda butuhkan untuk menentukan CMS mana yang fungsinya paling sesuai dengan yang anda butuhkan.

• Security

Salah satu hal yang perlu dipertimbangkan, seperti yang sudah sempat disinggung pada sisi supportability, apakah CMS yang dipilih akan terus di update sisi sekuritinya, karena pada dasarnya tidak ada yang aman di dalam dunia internet, akan selalu ada celah, akan tetap dapat dilihat dari penambalan tiap  security CMS dan seberapa cepat penambalan tersebut di lakukan, hal itu dapat dijadikan bahan pertimbangan pula.

Tags:

CMS Security: Memilih CMS

By admin →

Contact

foxyform.com

Tags:

Contact

By admin → Wednesday, October 31, 2012

Cara Menghubungkan Komputer Asli dengan Komputer Palsu (Virtual / Vmware ) via kabel UTP

Hal pertama yang perlu kita siapkan adalah kabel UTP beserta konektor RG-45 yang telah kita crimping. Kabel UTP yang kita gunakan cukup dengan ukuran panjang 5 cm, dan konektor yang kita butuhkan cukup hanya 1 buah saja. Di sisni kita akan menggunakan teknik cross over, jadi pada saat dicrimping urutan kabel yang harus kita pakai adalah seperti berikut:

1.      Orange putih

2.      Orange

3.      Hijau putih

4.      Biru

5.      Biru putih

6.      Hijau

7.      Coklat putih

8.      Coklat

            Kemudian setelah kita crimping konektor tersebut dengan kabelnya, maka langkah selanjutnya adalah menggabungkan 4 kabel diantara 8 kabel yang ada dalam kabel UTP tersebut, tentunya dengan memperhatikan warna kabel yaitu seperti berikut:

1.      Orange putih dengan Hijau putih

2.      Orange dengan Hijau

3.      Hijau putih dengan Orange putih

4.      Biru

5.      Biru putih

6.      Hijau dengan Orange

7.      Coklat putih

8.      Coklat

Yang perlu dihubungkan adalah kabel yang diketik dengan warna merah saja seperti urutan di atas, warna atau kabel yang lainnya dapat diabaikan. Gambarnya dapat dilihat seperti di bawah ini.

Kemudian kita harus mempersiapkan laptop ataupun komputer yang telah terinstal Vmware, saya anggap pembaca sudah mengetahui cara install vmware dan telah menginstal di komputernya masing-masing.

Untuk langkah selanjutnya silahkan hidupkan OS yang telah dipasang pada vmware tersebut, saya menggunakan OS windows server 2003. Bagi yang ingin mencoba dengan OS lain silahkan, intinya kalo windows konfigurasinya juga akan sama.

Dalam gambar dapat dilihat bahwa telah terinstal windows server 2003 pada vmware

Kemudian kita harus mengkonfigurasi IP address pada kedua OS tersebut, pertama kita set IP Local Area Connection untuk windows server 2003 yang ada pada Vmware, caranya sama seperti kita mengeset IP pada windows yang lain. IP Address yang kita berikan adalah 192.168.0.2 dengan subnet mask 255.255.255.0.

Set IP Address Local Area Connection pada

            Tahap selanjutnya, kita juga perlu memberikan IP address pada OS windows 7 yang merupakan OS utama yang terinstal pada laptop (tergantung OS yang digunakan pada laptop anda). IP yang kita berikan harus sesuai dengan class IP yang kita setting pada OS Vmware. IP yang kita berikan adalah 192.162.0.1 dengan subnet mask 255.255.255.0

            Baik setelah sampai tahap ini berarti kita tinggal menguji cobanya. Pasangkan kabel kabel yang telah kita buat tadi ke laptop.

Lakukan pengecekan pada OS windows 7 dengan mengetikkan ping 192.168.0.2 –t pada command promt, maka akan terlihat koneksinya seperti gambar di bawah ini. Hal ini menunjukkan bahwa komputer asli (windows 7) yang beralamat 192.168.0.1 telah terhubung dengan komputer palsu (windows server 2003)  yang beralamat 192.168.0.2 via lan.

            Kemudian lakukan pengecekan koneksi juga dengan mengetikkan ping 192.168.0.1 -t pada windows server 2003 (pada vmware). Yang kita harapkan adalah akan tampil seperti pengecekan koneksi sebelumnya. Namun yang terjadi pada pada saat pengecekan yang saya lakukan adalah Riquest time out.

jika pada pengecekan yang anda lakukan juga mengalami hal demikian, maka jangan dulu pesimis dan jangan memvonis gagal. Kejadian ini hanya disebabkan karena firewall yang ada pada OS utama. Caranya cukup dengan menonaktifkan firewall saja.

Maka secara otomatis koneksi akan berjalan lancar.

            Baik sampai di sini tutorial Menghubungkan Komputer Asli dengan Komputer Palsu (Virtual) via kabel UTP. Untuk tahap selanjutnya bisa anda gunakan pada praktek apa saja tentunya praktek yang berhubungan dengan jaringan, baik itu jaringan client-server, praktek web server, web mail, dsb. Intinya kita sudah sangat menghemat biaya.

Tags: Jaringan → Pemrograman

Cara Menghubungkan Komputer Asli dengan Komputer Palsu (Virtual / Vmware ) via kabel UTP

By admin → Wednesday, October 24, 2012

Cara Hack Website menggunakan Acunetix Web Vulnerability Scanner

Kita sediakan terlebih dahulu tools yang akan kita pakai untuk hack
1. Acunetix Web Vulnerability Scanner (Enterprise Edition)

Acunetix ini banyak di internet, jadi dengan mudah kita dapat men-downloadnya(beserta crack-nya)

Acunetix ini digunakan untuk scanning website yang telah kita tentukan dan kita akan mendapatkan informasi mengenai website tersebut.

2. Oracle VM VirtualBox Manager

Oracle VM VirtualBox Manager adalah aplikasi yang digunakan untuk menjalankan OS Backtrack secara virtual.

3. BackTrack versi 5R1

BackTrack adalah OS yang memiliki banyak tools yang berhubungan dengan hacking jaringan / web / aplikasi.

4. Hydra Tools Pada BackTrack 5R1

Hydra adalah tools yang digunakan untuk melakukan dictionary attack pada login web server tersebut.

Sekarang semua tools sudah tersedia, saatnya hacking time…

Langkah Pertama

1. Kita lakukan scan pada web server : cls.maranatha.edu menggunakan acunetix

Pilih menu File > New > Web Site Scan.

Nanti akan muncul seperti ini :

2.

Tuliskan website urlnya : cls.maranatha.edu

Karena kita tidak tahu server menggunakan teknologi apa, maka pilih teknologi yang umum digunakan, yaitu : PHP, ASP, dan ASP.NET

Pilih NEXT>NEXT>NEXT>FINISH

Lalu Acunetix akan bekerja.

Tunggu sampai dapat hasilnya, cepat/lambat scanning tergantung dari koneksi internet yang kita miliki, semakin cepat koneksi internetnya, semakin cepat pula proses scan akan berjalan.

Setelah proses scan selesai, maka kita akan mendapatkan informasi mengenai server cls.maranatha.edu, seperti ini :

1. Info OS dan Web Server.

2. Info Port yang terbuka. port 22/SSH dan port 80/HTTP

Bila sudah mendapatkan informasi mengenai web tersebut, maka sekarang kita lakukan penyerangan.

Jalankan Virtual Box.

Klik New:

Pilih Other, Other dan klik Next.

Pilih Besarnya memory untuk BackTrack.

Klik Next terus hingga Finish dan Create.

Klik Setting dan seting pada bagian Network pilih “Bridge Adapter”

Pada bagian storage, select empty dan “Choose a virtual cd/disk file”

Pilih .iso BackTrack, dan Open

 Lalu pilih OK dan klik Start

Pada saat “Boot :” tekan Enter saja.

Pilih Default boot

Tulis “startx” lalu Enter

Download Passwordlist dan simpan pada desktop.

Klik Menu pada kiri bawah desktop, pilih Run Command

Nanti akan muncul searchbox pada bagian atas, tuliskan hydra-gtk

 

Tampilan Hydra versi GUI akan seperti ini, masukan IP web cls.maranatha.edu, (lakukanlah ping pada cls.maranatha.edu, maka akan terlihat IP dari web tersebut), pilih port 22 dan protocol ssh dan centang pada Show Attempts

Lalu pada bagian Password, tuliskan username root, karena pada OS semacam linux memiliki user tertinggi adalah “root”, lalu pilih Pasword List dengan paswordlist.txt yang tadi telah di download.

Pada bagian Start, langsung saja klik Start pada bagian bawah kiri, lalu kita akan melihat hasilnya.

Hydra akan melakukan dictionary attack sesuai dengan file password yang berada pada passwordlist.txt.Bila sudah selesai dari awal hingga akhir kata dalam passwordlist.txt tersebut, maka akan terlihat hasilnya, bahwa password berhasil ditemukan atau tidak.Sekian

[Sumber]

Tags: hacking → Keamanan

Cara Hack Website menggunakan Acunetix Web Vulnerability Scanner

By admin → Tuesday, October 23, 2012