Website Pemerintah gampang di rusak

Kenapa Website Pemerintah Mudah Sekali Di Rusak?
Kategori: Artikel
Apa sih hacker ?
Hacker adalah seseorang yang mengerti sebuah sistem, bagaimana caranya sistem tersebut bekerja, dan mengetahui jawaban dari pertanyaan seperti ini : ” Jika saya menambahkan, meng edit, atau menghapus bagian….. , maka yang terjadi adalah…..
Pertanyaannya: Kenapa website/situs pemerintah gampang di deface (pengrusakan)?.
Mari Kita telilti dari sisi Defacer& Webmaster:
Defacer , setiap hari selalu mencari celah keamanan website agar bisa di deface, melakukan penelitian terhadap sourcecode yang ada, melihat update vulnerability dari website-website security yang ada di jagad raya. Berdiskusi diforum untuk menemukan dan memecahkan sesuatu yang tidak bisa dipecahkan. Hal inilahyang biasanya hampir tidak pernah dilakukan oleh Webmaster & Administrator . Defacer, bisa saja terdiri dari banyak orang yang berbeda-beda dan berasal dari lokasi dimana saja di dunia ini, misalkan: Indonesia,Turki, Brazil, India, Tunisia, dst. Oleh sebab itu bisa kita golongkan bahwa defacer merupakan sebuah kumpulan orang banyak.
Administrator / Webmaster : biasanya terdiri dari beberapaorang saja, mungkin terdiri dari1-3 orang saja. Administrator /Webmaster bertugas untuk mengatur dan mengurus website. Namun, entah kenapa kebanyakan webmaster & administrator website pemerintah Indonesia kebanyakan menggunakan layanan instant public (hosting,opensource cms, dsb), alangkahbaiknya bila situs-situs pemerintah memiliki suatu badan tersendiri yang mengurusi hal ini
(dalam bayangan).
Dari penjelasan di atas, terdapat beberapa kelebihan Defacer (Pengrusak) daripada Webmaster:
1. Defacer unggul dalam jumlah, karena defacer bisasiapa saja di dunia ini.
2. Defacer bergerak setiap hari mengikuti perkembangan security.
3. Defacer mencoba dan melakukan research (penelitian) terdahap kelemahan-kelemahan di website/situs setiap saat.
Inilah beberapa alasan mengapawebsite pemerintah mudah di deface / di rusak:
1. Penggunaan CMS yang free(gratis) dan opensource tanpa adanya modification. Sehingga keseluruhan konfigurasi menggunakan default konfigurasi, hal ini memudahkan para defacer untuk menemukan informasifile, directory, source, database, user, connection,dsb.
2. Tidak ter updatenya source code atau tidak menggunakan versi terakhir dari CMS. Hal ini sangat rentan, karena security issue terus berkembang seiring masuknya laporan dan bugtrack terhadap source, kebanyakan hal inilah yang menjadi sebab website mudah dideface.
3. Tidak pernah ada researchyang mendalam dan detail mengenai CMS sebelum digunakan & di implementasikan. Sehingga pemahaman dan pengetahuan dari webmaster hanya dari sisi administrasinya saja, tidak sampai ke level pemahamansourcecode.
4. Tidak adanya audit trail yang memberikan informasi lengkap mengenai penambahan, pengurangan,perubahan yang terjadi di website baik source, file, directory, dsb. Sehingga kesulitan untuk menemukan, memperbaiki dan menghapus backdoor yang sudah masuk di website.
5. Jarang melakukan pengecekan terhadap security update, jarang mengunjungi dan mengikuti perkembangan yang ada disitus-situs security dijagad maya. Sehingga website sudah keduluan di deface oleh defacer sebelum dilakukan update dan patcholeh webmaster.
6. Kurangnya security awareness (kepedulian sekuritas) dari masing-masing personil webmaster& administrator. Sehingga kewaspadaan terhadap celah-celah keamanan cukup minim, kadangkala setelah website terinstall dibiarkan begitu saja. Kurangnya training dan kesadaran akan keamanan website seperti ini akan menjadikan website layaknya sebuah istana yang tak punya benteng.
Bagi Para Webmaster / Administrator website pemerintah, ada beberapa saran yang mungkin bermanfaat untuk dapat di Terapkan:
1. Wajib untuk mengikuti perkembangan sourcecode dari sourcecode website yang digunakan, backuplah website dan database sebelum melakukan update.
2. Kebanyakan defacer telah memasang backdoor ketikatelah berhasil melakukan deface pada website, hal inidimungkinkan agar dapat melakukan deface ulang terhadap website. diwajib untuk memeriksa perubahan folder, file, database dan source terakhir dari website.
3. Pelajarilah lebih dalam mengenai dasar-dasar hacking dan antisipasinya (RFI, LFI, CSRF, SQL Injection,XSS, Exploit, Dsb) karena artikel ini sudah banyak bertebaran di Internet. Semakin banyak tahu & mengerti tentang sebuah kelemahan website dari dasar-dasar hacking, makaakan semakin banyak tahu pula bagaimana cara mengatasinya.
4. Sering-seringlah berdiskusi di forum dan milist yang berkaitan dengan perangkat serta aplikasi yang mensupport website anda, baik dari sisi operating system, tempat hosting, bugtrack milist, developer milist, dsb. Hal inibertujuan agar informasi vulnerability dapat dipatch lebih cepat sebelum defacerberaksi.
5. Hardening website dan sourcecode wajib dilakukan,misalkan jangan menggunakan default configuration, aturlah sedemikian rupa configuration website dengan memperhatikan: permission, access level, indexing, database connection, database configuration, password dan user management.
6. Gunakanlah tambahan plugin / component yang tepat, sehingga dapat meminimalisasi terjadinya kegiatan defacing dari Pihak ke-3. Pastikan hasil review & ranking plugin bereputasi baik dan sudah di verified oleh penyedia CMS yang bersangkutan.
7. Lakukanlah penetration testing terhadap website, baik secara lokal maupun langsung di website. Banyaktools penetration testing yang bisa digunakan: Nexus,Acunetix, dsb. Tapi yang paling bagus dan lebih cepat adalah, copy source dan database website, Install di local computer, kemudian lakukanlah penetration testing. Updatelah website bila ditemukan vulnerability.
8. Backdoor, baik (php, asp, perl, phyton) dikenali dengan baik oleh beberapaAntivirus, ada bisa dibersihkan dengan melakukan scanning terhadap sourcecode website secara local. Apabila tidak dikenali, terpaksa anda harus mencari secara manual.

Salah satu solusi apabila website/Situs Anda sudah terlanjur dideface (dirusak), cobalah langkah2 berikut:
1. Download source & database yang ada di website untuk backup. Hal ini untuk berjaga-jaga apabila langkah yang kita lakukan gagal, tetapi apabila konfigurasi & file sudah benar dan lengkap dijamin 100% berhasil, terkecuali ada sesuatu yang terlewatkan.
2. Download source CMS versiterbaru dari website penyedia CMS, misalkan: http://www.drupal.org , http://www.joomla.org , http://www.wordpress.org , dsb.
3. Lakukanlah perbaikan database secara lokal, berjaga-jaga apabila backdoor ada di database. Biasanya didalam database ada access user tidak dikenal yang akses levelnyasama dengan Administrator.
4. Install CMS yang tadi sudahdi download di web hosting.Kemudian lakukanlah konfigurasi: database, file permission, directory permission. Janganlah menggunakan default configuration, modifikasilah konfigurasi-konfigurasi yang ada agar lebih powerfull.
5. Kemudian instalasi component: Themes, Plugin, Component, dsb. Gunakanlah yang paling terbaru, atau source baru dari komponen yang akan di Install (Fresh Install Component).
6. Kemudian update database,dengan login ke Database Control Panel (phpMyAdmin,DB Admin, cPanel Database,dsb). Setelah anda melakukan login, maka importlah database.
7. Gantilah username Administrator & Password menggunakan nama yang lebih Unik, jangan menggunakan user (admin, administrator, adm1n, dsb) gunakanlah yang lebih powerful dan susah untuk di tebak untuk menghindaribruteforce, gunakanlah alias untuk menampilkan username administrator di web content.

Artikel by http://anto84.blogdetik.com/kenapa-website-pemerintah-mudah-sekali-di-rusak/

Tinggalkan Komentar Anda

Isikan data di bawah atau klik salah satu ikon untuk log in:

Logo WordPress.com

You are commenting using your WordPress.com account. Logout / Ubah )

Gambar Twitter

You are commenting using your Twitter account. Logout / Ubah )

Foto Facebook

You are commenting using your Facebook account. Logout / Ubah )

Foto Google+

You are commenting using your Google+ account. Logout / Ubah )

Connecting to %s