Segmentasi, Segregasi dan Multiplexing

Jika seorang peretas mampu memasuki komputer di salah satu jaringan, besar kemungkinan dia dapat memasuki komputer lain dalam tingkat jaringan yang sama atau bahkan yang lebih tinggi. Celah ini dapat membuat peretas yang berniat jahat lebih mudah dalam melakukan hal-hal yang tidak diinginkan. Segmentasi dan segregasi jaringan adalah upaya mitigasi untuk mengurangi resiko terjadinya hal seperti ini. Upaya ini dapat dilakukan di beberapa layer TCP/IP dengan berbagai cara tergantung dari kebutuhan dan struktur perusahaan.

Secara umum, intrusi dunia maya dilakukan dalam tiga tahap [1], yakni

1. Pengintaian terhadap sistem yang akan diserang untuk pemilihan target,
2. Pencarian dan pengaksesan informasi sensitif, serta
3. Pengkompresan serta pengenkripsian informasi tersebut menggunakan metode pengarsipan seperti RAR/ZIP.

Tahap kedua intrusi tersebut, yakni pencarian dan pengaksesan informasi sensitif umumnya dilakukan penyerang setelah ia mendapat akses legal pada salah satu sistem jaringan milik organisasi yang ingin ia serang. Dari sistem jaringan yang telah ia masuki tersebut, ia akan berpindah-pindah pada sistem jaringan lain hingga menemukan dan mendapatkan akses terhadap informasi sensitif yang ia butuhkan. Salah satu proses mitigasi untuk mengatasi tahap intrusi ini ialah dengan melakukan segmentasi dan segregasi jaringan organisasi tersebut secara keseluruhan.

Segmentasi jaringan ialah proses partisi sistem jaringan secara keseluruhan menjadi sub-sub sistem jaringan. Sementara itu, segregasi jaringan merupakan proses yang mengatur hak komunikasi antar sub sistem jaringan tersebut, serta hak akses atas sebuah perangkat komputasi. Kedua proses ini bekerja saling melengkapi dan memiliki tujuan akhir untuk meminimalisir metode dan level akses terhadap suatu informasi sensitif hanya untuk personiil dan situasi yang membutuhkannya [2], sembari memastikan seluruh operasi lain dapat berjalan tanpa gangguan. Proses segmentasi dan segregasi jaringan ini dapat dilakukan melalui beragam teknik tergantung pada struktur organisasi.

Karena keefektifannya, segmentasi dan segregasi jaringan termasuk ke dalam 35 besar (posisi 7) strategi mitigasi terhadap serangan dunia maya, seperti gambar di atas. Segmentasi – segregasi jaringan umumnya dapat mengatasi secara efektif intrusi tahap kedua, namun di sisi lain strategi ini membutuhkan biaya awal dan perawatan yang cukup besar, terutama saat instalasi awal [3]. Kekurangan lainnya ialah strategi ini membutuhkan integrasi dengan strategi lain untuk dapat mendeteksi serangan yang terjadi.

Segmentasi dan segregasi jaringan mencakup jaringan komunikasi secara menyeluruh sehingga pengimplementasiannya dapat dilakukan melalui berbagai teknik. Secara umum, strategi ini dapat mengendalikan dua ranah utama, yakni

• Kendali jaringan terutama pada layer data link dan network OSI, seperti gambar di atas. Kendali jaringan dapat dilakukan menggunakan switches, virtual LAN,  enclave, data diode,  firewall, router, dan lainnya.
• Kendali data melalui proses file permission, information rights management, manajemen konten seperti penggunaan Microsoft SharePoint.

Dalam pelaksanaannya, ada dua pendekatan utama yang umum dilakukan dalam melakukan segmentasi dan segregasi jaringan, yakni

1. Segmentasi jaringan, sehingga sistem kunci terlindungi dari jaringan organisasi keseluruhan. Pada pendekatan ini, ada beberapa hal yang perlu diperhitungkan, seperti minimalisir akses server yang sensitif hanya pada host dan port yang berkepentingan, pengaplikasian data diode dari jaringan dengan level sensitivitas yanglebih tinggi menuju yang lebih rendah, whitelist layer aplikasi agar hanya konten yang diperlukan yang dapat berpindah antar zona jaringan.
2. Segregasi layanan yang berrisiko tinggi dari jaringan organisasi keseluruhan. Pendekatan ini umumnya dilakukan apabila sebagian besar sistem jaringan yang terdapat dalam organisasi mengandung informasi sensitif. Pada kondisi ini, segmentasi jaringan ataupun segregasi informasi-informasi sensitif akan menghabiskan biaya besar, sehingga organisasi sebaiknya mencegah intrusi dengan segregasi aplikasi yang memiliki risiko tinggi, seperti web browser dan email. Segregasi aplikasi-aplikasi ini dilakukan pada seluruh jaringan internet di kantor tersebut.

SIMULASI

Pada bagian ini akan disimulasikan salah satu teknik segmentasi jaringan

Berikut adalah contoh implementasi network segregation menggunakan firewall. Firewall dipilih karena dapat mudah digunakan untuk simulasi. Peralatan yang digunakan pada simulasi ini adalah :

1. Laptop Windows 7 (2 buah)
2. Switch D-Link 8 port (1 buah)
3. Kabel ethernet (3 buah)

Laptop windows A dan B diibaratkan sebuah jaringan dalam suatu perusahaan. A diibartkan sebagai entitas high-level dan B di entitas lower-level. Sesuai contoh teknik segregasi, A dapat mengakses komputer B, namun B tidak dapat mengakses komputer A. Dalam simulasi ini, pengaksesan yang dimaksud hanya sekedar ping (ICMPv4).

Setelah komputer dihubungkan, IP komputer A adalah 192.168.10.9 dan IP komputer B adalah 192.168.10.31. Sebelum firewall dikonfigurasi, ping antar komputer mendapat reply. Untuk itu, firewall perlu dikonfigurasi terlebih dahulu. Buka menu firewall dengan mengarahkan ke control panel -> system and security -> windows firewall -> advanced settings. Windows seperti ini akan terbuka.

Salah satu definisi penting disini adalah Inbound dan Outbound Rules. Keduanya mengatur tentang konfigurasi firewall terhadap data/koneksi dari luar. Perbedaannya terletak pada arah jalur koneksi. Inbound mengatur tentang jalur koneksi ke dalam komputer pengguna, sedangkan outbound mengatur jalur koneksi ke luar komputer pengguna.

Ketika melakukan ping, komputer mengirimkan pesan ICMP Echo dan mendapat pesan ICMP echo reply sebagai respon. Untuk mem-block ping, firewall harus tidak membolehkan adanya ICMP echo masuk ke sistem. Hal ini dapat diatur pada firewall.

Di simulasi ini, firewall yang dikonfigurasikan adalah firewall A. Jika ingin menonaktikan respon ping dari seluruh komputer lain, cukup mencari “File and Printer Sharing (Echo Request – ICMPv4-In)”, klik kanan, lalu pilih disable rule.

Jika ingin melakukan beberapa pengaturan, seperti blok dari IP/port tertentu, klik kanan di kolom inbound rules, lalu pilih new rule. Kotak seperti ini akan muncul:

Pengguna kemudian dapat melakukan beberapa kustomisasi sendiri untuk port/ip atau hal-hal lain.

Perlu diingat bahwa teknik segregasi via firewall dalam simulasi ini tidak cukup baik, karena menggunakan metode blacklist. Menurut teknik segregasi, metode whitelist lebih baik daripada blacklist.

INSIDEN

Insiden terkait pernah dilaporkan NSA sebagai bentuk penyerangan tipe ARP [4]. Tahap ketiga atau lateral movement berhubungan dengan topik artikel ini. Ketika sampai pada tahap ketiha, APT bergeak secara lateral kedalam jaringan. Yang berbahaya adalah ketika akses pertama dari pergerakan lateral berasa dari komputer yang memiliki akses user yang tinggi. Hal ini akan memudahkan pergerakan lateral ke jaringan lain serta memuluskan pergerakan ke tahap selanjutnya.

Untuk mendapatkan akses entry point ini, penyerang menggunakan teknik social engineering. Penyerang pertama-tama mengincar akses credential dari pengguna tingkat tinggi (domain admin/service accounts). Penyerang kemudian melakukan ‘privillege escalation’ kepada non-administrative user dalam sistem yang ditargetkan, kemudian berpindah untuk mendapatkan akses yang target dengan kunci akses yang lebih tinggi, yang meliputi orang IT ataupun non-IT.

Selama tahap ketiga, jika penyerang merasa dirinya belum terdeteksi, dia akan berada dalam mode ‘stealth’ untuk beberapa lama. Jika dia merasa ada resiko terdeteksi, dia akan bergerak lebih cepat dan menyelesaikan tugas pada tingkat ketiga. Tingkat ini adalah fasa paling rumit dalam penyerangan.

Tujuan dari tahap ketiga ini adalah untuk mendapat akses ke poin kunci agregasi atau server sebanyak mungkin. Untuk itu, mitigasi dengan teknik segmentasi dan segregasi sangat penting dilakukan agar kasus seperti ini tidak terulang atau minimal mempersulit penyerangan.

Multiplexing adalah Teknik menggabungkan beberapa sinyal untuk dikirimkan secara bersamaan pada suatu kanal transmisi. Dimana perangkat yang melakukan Multiplexing disebut Multiplexer atau disebut juga dengan istilah Transceiver / Mux. Dan untuk di sisi penerima, gabungan sinyal - sinyal itu akan kembali di pisahkan sesuai dengan tujuan masing – masing. Proses ini disebut dengan Demultiplexing. Receiver atau perangkat yang melakukan Demultiplexing disebut dengan Demultiplexer atau disebut juga dengan istilah Demux.

Tujuan Muliplexing bertujuan meningkatkan effisiensi penggunaan bandwidth / kapasitas saluran transmisi dengan cara berbagi akses bersama.

Jenis Teknik Multiplexing

Teknik Multiplexing yang umum digunakan adalah :

a. Time Division Multiplexing (TDM) :

- Synchronous TDM

- Asynchronous TDM

b. Frequency Division Multiplexing (FDM)

c. Code Division Multiplexing (CDM)

d. Wavelength Division Multiplexing (WDM)

e. Optical code Division Multiplexing (ODM)

Time Division Multiplexing (TDM)

Secara umum TDM menerapkan prinsip pemnggiliran waktu pemakaian saluran transmisi dengan mengalokasikan satu slot waktu (time slot) bagi setiap pemakai saluran (user).

TDM yaitu Terminal atau channel pemakaian bersama-sama kabel yang cepat dengan setiap channel membutuhkan waktu tertentu secara bergiliran (round-robin time-slicing). Biasanya waktu tersebut cukup digunakan untuk menghantar satu bit (kadang-kadang dipanggil bit interleaving) dari setiap channel secara bergiliran atau cukup untuk menghantar satu karakter (kadang-kadang dipanggil character interleaving atau byte interleaving).

Menggunakan metoda character interleaving, multiplexer akan mengambil satu karakter (jajaran bitnya) dari setiap channel secara bergiliran dan meletakkan pada kabel yang dipakai bersama-sama sehingga sampai ke ujung multiplexer untuk dipisahkan kembali melalui port masing-masing. Menggunakan metoda bit interleaving, multiplexer akan mengambil satu bit dari setiap channel secara bergiliran dan meletakkan pada kabel yang dipakai sehingga sampai ke ujung multiplexer untuk dipisahkan kembali melalui port masing-masing.

Jika ada channel yang tidak ada data untuk dihantar, TDM tetap menggunakan waktu untuk channel yang ada (tidak ada data yang dihantar), ini merugikan penggunaan kabel secara maksimun. Kelebihanya adalah karena teknik ini tidak memerlukan guardband jadi bandwidth dapat digunakan sepenuhnya dan perlaksanaan teknik ini tidak sekompleks teknik FDM. 

Frequency Division Multiplexing (FDM)

Prinsip dari FDM adalah pembagian bandwidth saluran transmisi atas sejumlah kanal (dengan lebar pita frekuensi yang sama atau berbeda) dimana masing-masing kanal dialokasikan ke pasangan entitas yang berkomunikasi. Contoh aplikasi FDM ini yang polpuler pada saat ini adalah Jaringan Komunikasi Seluler, seperti GSM ( Global System Mobile) yang dapat menjangkau jarak 100 m s/d 35 km.

Code Division Multiplexing (CDM)

Code Division Multiplexing (CDM) dirancang untuk menanggulangi kelemahankelemahan yang dimiliki oleh teknik multiplexing sebelumnya, yakni TDM dan FDM.. Contoh aplikasinya pada saat ini adalah jaringan komunikasi seluler CDMA (Flexi).

Wavelength Division Multiplexing (WDM).

Teknik multiplexing ini digunakan pada transmisi data melalui serat  optik (optical fiber) dimana sinyal yang ditransmisikan berupa sinar. Pada WDM prinsip yang diterapkan mirip seperti pada FDM, hanya dengan cara pembedaan panjang gelombang (wavelength) sinar. Sejumlah berkas sinar dengan panjang gelombang

berbeda ditransmisikan secara simultan melalui serat optik yang sama (dari jenis Multi mode optical fiber).

Optical code Division Multiplexing.

Prinsip yang digunakan pada ODM serupa dengan CDM, hanya dalam hal ini yang dikode adalah berupa sinyal analog (sinar) dengan pola tertentu. Sejumlah berkas sinar dengan pola sinyal berbeda ditransmisikan melalui serat optik dengan menggunakan prinsip TDM (berupa temporal-spectral signal structure).

sumber : http://ki.stei.itb.ac.id/