A. PENGERTIAN ACCESS CONTROL, LEAST PRIVILAGE, SUBJEK DAN OBJET
Access control adalah kumpulan metode dan komponen yang dipergunakan untuk melindungi aset informasi. Access control memberikan kemampuan untuk mendikte mana informasi yang bisa dilihat atau dimodifikasi oleh user. Berdasarkan dari wikipedia, akses kontrol adalah sebuah sistem guna membatasi pengguna untuk mengakses suatu ruangan dengan menempatkan sistem perangkat kontrol pada pintu.
Yang harus dipersiapkan dalam perencanaan access control?
⁕ Bagaimana cara membedakan mana informasi yang rahasia atau tidak?
⁕ Metode apakah yang harus diambil untuk mengindentifikasi user yang meminta akses ke informasi yang rahasia?
⁕ Apa cara terbaik untuk memastikan bahwa memang userh yang berhak mampu mengakses informasi yang rahasia?
Least Privilage (batasan hak akses yang paling rendah) adalah konsep yang mengharuskan penggunaa untuk memiliki akses minimal yang diperlukan saja dalam menyelesaikan suatu operasi atau pekerjaan. Filosofi dari least privilage adalah sebuah subyek hanya diberikan hak sesuai dengan keperluannya tidak lebih. Least Privilage membantu menghindari authorization creep yaitu sebuah kondisi dimana subyek memiliki hak akses lebih dari apa sebenernya dibutuhkan.
Subjek merupakan entitas yang aktif karena menginisiasi sebuah permintaan akses, dan Obyek dari akses merupakan bagian yang pasif dari akses.
B. MODEL ACCESS CONTROL
1. Mandatory Access Control (MAC)
Mandatory atau kontrol akses wajib adalah metode membatasi akses ke sumber daya berdasarkan sensitivitas informasi yang berisi sumber daya dan otorisasi pengguna untuk mengakses informasi dengan tingkat sensitivitas tersebut. Kontrol akses didasarkan pada sistem pelabelan keamanan. Pengguna subyek memiliki izin keamanan dan obyek memiliki label keamanan yang berisi klarifikasi data. Model ini digunakan dalam lingkungan dimana klasifikasi informasi dan kerahasiaan sangat penting. Berikut ini klasifikasi data komersil :
Tujuan dari MAC yaitu ;
＊Menjaga Kerahasian dan integritas informasi
＊Mencegah beberapa jenis serangan trojan
＊Mencegah bahwa pengguna dapat merubah atribut keamanan
2. Directional Access Control (DAC)
Directional Access Control mempergunakan identitas dari subyek untuk menentukan apakah permintaan akses tersebut akan dipenuhi atau di tolak. Kontrol akses ini di desain kurang aman daripada mandatory access control tetapi merupakan desain yang paling umum dipergunakan pada berbagai sistem operasi. Ini merupakan desain yang paling umum dipergunakan pada berbagai sistem operasi : memberikan hak akses read, write and execute permisions. Setiap obyek memiliki permissions, yang menentukan user atau group yang bisa melakukan akses terhadap obyek. Directional access control termasuk Identity-based access control dan access control list.
Kontrol akses berbasis identitas :
＊Keputusan untuk akses terhadap obyek berdasarkan userid atau keanggotaan group dari user yang bersangkutan.
＊Pemilik dari obyek yang menentukan user atau group yang mana yang bisa melakukan akses terhadap obyek.
Daftar kontrol akses :
＊Untuk memudahkan administrasi Access Control Lists(ACLs) mengijinkan groups dari obyek, atau groups dari subyek untuk dikontrol bersama-sama.
＊Acces Control Lists dapat memberikan hak akses terhadap group dari subyek atau memberikan hak kepada akses group dari subyek kepada obyek tertentu.
3. Non-discretionary (Role Based Access Control / RBAC)
Non-descretionary ini merupakan desain kontrol akses yang ketiga. Biasanya menggunakan role dari subyek atau kegiatan yang di assigned kepada sebuah subyek, untuk menerima atau menolak akses. Non-discretionary access control disebut juga roled-based acces control atau task base access control. Menggunakan role dari subyek atau kegiatan yang di assigned kepada sebuah subyek, untuk menerima atau menolak akses. Cocok dipakai pada kasus high turnover atau reassginments.
Kontrol akses berbasis kisi :
＊Lattice-based access control adalah salah satu variasi dari desain non-discretionary access control
＊Dengan role atau task, masing-masing hubungan antara subyek dan obyek memiliki beberapa pasang batasan
＊Batasan akses ini yang mendifinisikan peraturan dan kondisi yang mengijinkan mengakses sebuah obyek
Access control model memungkinkan untuk memilah kebijakan keamanan yang kompleks menjadi langkah keamanan yang lebih sederhana dan terkontrol.
＊State Machine Model
State machine sering dipakai untuk real-life entities ketika state yang spesifik dan transisinya ada dan dimengerti. Adanya sebuah transisi yang mengijinkan untuk merubah sebuah obyek yang closed menjadi open obyek.
Merupakan model state machine yang membuat daftar kontrol akses dan label keamanan untuk mengimplementasikan keamanan objek. Model ini menggunakan dua properti dasar untuk mengevalusasi permintaan akses.
Mengatasi masalah integritas data. Model Biba juga dibangun berbasis model state machine dan mendefinisikan state dan transisi yang berfokus pada integritas data, bukan kerahasiaan. Populer dalam dunia bisnis karena fokus utamanya adalah untuk menjamin bahwa subyek yang tidak memiliki otoritas tidak dapat melakukan perubahan terhadap obyek. Adapun properti pada BIBA yaitu ;
＊Model Clark-Wilson
Mengatasi masalah integritas data dengan metode yang berbeda dengan biba untuk aplikasi komersil. Model Clark-Wilson tidak melakukan pemberian akses suatu subjek terhadap obyek, melainkan memblok semua akses terhadap sejumlah kecil program akses yang dikontrol secara ketat. Keseluruhan. Model Clark-Wilson menetapkan beberapa istilah yang perlu dipahami untuk mengikuti alur akses model. Beberapa istilah dalam model clark-wilson ini, diantaranya ;
⁜ Constrained data item (CDI): Semua bagian data yang dilindungi oleh model.
⁜ Unconstrained data item (UDI): Data yang tidak dilindungi oleh model (contoh, input atau output data).
⁜Integrity verification procedure (IVP): Prosedur yang menguji integritas dari suatu bagian data.
＊Model Noninterference
Model kontrol akses merupakan pelengkap bagi model lainnya. Model Noninterference menjamin bahwa perubahan pada suatu tingkat keamanan tidak mengorbankan level keamanan lainnya dan mempengaruhi suatu objek dalam konteks yang lain. Dengan menutup kemungkinan modifikasi terhadap tingkatan keamanan tertentu, model ini dapat memleihara integritas dan kerahasasiaan data. Berikut data klasifikasinya ;
Access control administration merupakan langkah desain akses kontrol. Access control adminisration dapat diimplementasikan secara centralized atau decentralized tergantung kebutuhan dari origanisasi dan sensitivitas informasi.
Kontrol terpusat merupakan pendekatan sangat mudah kaerna obyek hanya dipelihara pada lokasi yag tunggal. Kelemahannya yaitu single point of failure dan masalah performance.\
Contohnya ;
RADIUS (Remote Authentication Dial-In User Service)
＊Validasi user dengan menggunakan list user yang ada di server.
CHAP(Chalenge Handshake Authentication Protocol)
＊Menampilkan tantangan ketika user meminta akses
Kontrol akses terdesentralisasi ialah control meletakkan tanggung jawab dari lebih dekat terhadap obyek sehingga lebih stabil. Ini diimplementasikan dengan memakai security domain yang merupakan bagian sebuah kepercayaan atau koleksi dari obyek dan subyek yang mendefinisikan access rule dan permisions.
Accountability berarti pertanggungjawab atau keadaan untuk dipertanggungjawabkan atau keadaan untuk diminta pertanggungjawaban. Ini berkaitan erat dengan instrumen untuk kegiatan kontrol terutama dalam hal pencapaian hasil. Dengan membuat log dari aktifitas pengontrolan atau sistem audit membantu administrasi. Log aktifitas ini memudahkan administrator sistem untuk memonitor siapa saja yang memakai sistem dan apa yang dilakukannya.
Hasil monitoring :
＊Mengidentifikasi aktifitas yang tidak biasa.
＊Dokumen yang dipakai untuk kemungkinan aksi berikutnya.
＊Menggunakan informasi untuk menentukan aksi yang tidak sepatutnya dimasa yang akan datang
＊Memastikan bahwa user yang ada sudah dilindungi oleh kebijakan keamanan yang ada sekarang.
E. REFERENSI
Pengertian Access Control ; Least Privilage ; Mandatory Access Control
0 komentar:
Post a Comment