Security Architecture by rzu11221

VIEWS: 125 PAGES: 17

									  Security
Architecture
     Budi Rahardjo
    budi@indocisc.com
 http://budi.insan.co.id
  Hotel Aryaduta - 24 Mei 2006
                  Definisi?
   Ada banyak definisi mengenai “security
    architecture”
   Bergantung kepada sumber yang
    digunakan




Mei 2006        Security Architecture - Budi Rahardjo   2
     Security Architecture adalah
   Application security
   Network security
          Cisco SAFE
          Microsoft Technet papers
   Access control
          CISSP books
          Role Based Access Control (RBAC) books
   Security framework
   Security activities

Mei 2006                 Security Architecture - Budi Rahardjo   3
                      Definisi
   Jadi security architecture kami definisikan
    sebagai

    Kumpulan dari komponen (fungsional) security,
    hubungan antara komponen tersebut, dan
    kegiatan (operasional, prosedur) untuk
    mengamankan sumber daya yang dimiliki oleh
    perusahaan



Mei 2006          Security Architecture - Budi Rahardjo   4
       Komponen Security Architecture

   Centralized                           Monitoring
    Resources                             Security Operation
   Identity Management
                                          Secure intranet
   Authorization
                                          Secure Internet
   Access Control
   Policy Management                     Physical Security




Mei 2006         Security Architecture - Budi Rahardjo          5
           Centralized Resources
   Sumber daya yang kritikal sebaiknya
    tersentralisasi secara fisik
       mudah dalam pengelolaan (data center &
        DRC)
       efisien dalam biaya.

       menghindari duplikasi sumber daya manusia,

       server harus diletakkan di sebuah ruangan
        yang memiliki lingkungan (environment) yang
        berkualitas yang tinggi

Mei 2006           Security Architecture - Budi Rahardjo   6
                Identity Management
   Membuat satu identitas
          melakukan sinkronisasi identitas antar
           aplikasi
             what you have
             what you know

             who you are




Mei 2006                Security Architecture - Budi Rahardjo   7
                Policy Management
   Kebijakan seringkali                         Policy lifecycle
    tidak dikelola                                    Development
   Policy                                            Implementation
          Apa yang perlu                             Maintenance
           diproteksi                                 Disposal
          Siapa boleh
           melakukan apa




Mei 2006                Security Architecture - Budi Rahardjo           8
                  Authorization
     General Access Control                        Tidak semua
              Model                                 pengguna memiliki
                                                    akses yang sama
                                                   Otorisasi
                                                    (authorization)
                                                    merupakan
                                                    mekanisme untuk
                                                    mengijinkan siapa
                                                    untuk mengakses
                                                    sumber daya yang
                                                    mana.

Mei 2006             Security Architecture - Budi Rahardjo              9
             Access Control
   Access control                        Sifat dari access
    merupakan                              control sangat
    mekanisme                              spesifik terhadap
    pembatasan akses                       sumber daya atau
    yang paling dekat                      perangkat yang
    dengan sumber daya.                    digunakan.




Mei 2006         Security Architecture - Budi Rahardjo         10
           Security Operation
   Penyediaan program anti virus, patches
   Menerima pelaporan tentang masalah
    yang terkait dengan keamanan melalui
    sebuah help desk (IRT)
   Infrastruktur pendukung: command
    center



Mei 2006        Security Architecture - Budi Rahardjo   11
               Monitoring System
                                                Centralized Log
           D   M   M      A                      Management
           E   E   A      U                          Logging
           F   A   N      T
           I   S   A      O                          Monitoring
           N
           E
               U
               R
                   G
                   E
                          M
                          A
                                                     Analysis
               E          T
                          E




Mei 2006               Security Architecture - Budi Rahardjo       12
               Secure Intranet
   Segmentasi LAN
       fisik
       berbasis routing

       dipisahkan dengan firewall

       VLAN




Mei 2006            Security Architecture - Budi Rahardjo   13
      Secure Internet & Extranet
   Perimeter Defense                            Extranet
          Bagian yang terhubung                      Akses dari luar harus
           ke luar harus                               aman
           dipisahkan                                 VPN
          DMZ




Mei 2006                Security Architecture - Budi Rahardjo                  14
              Physical Sceurity
   Sering diabaikan!
   Makna physical security
       Akses ke akses ke lingkungan perkantoran
        dan gedung;
       akses ke ruangan tertentu di dalam sebuah
        gedung (misalnya akses ke data center);
       akses ke perangkat (misalnya server) di
        dalam data center;
       akses ke workstation beserta peripheralnya.

Mei 2006            Security Architecture - Budi Rahardjo   15
   Item                  Keterangan
   Centralized              Sentralisasi sumber daya teknologi informasi secara fisik
   Resources                Tujuan:
                                pengelolaan lebih mudah
                                lebih efisien dalam biaya

   Identity management      “Siapa anda?”
                            “Apa saja yang dapat anda akses?”
   Policy Management        Pemeliharaan policy agar selalu sesuai dengan kebutuhan
                             perusahaan.
   Authorization            Mekanisme untuk mengatur: “siapa mengakses sumber daya apa”
   Access Control           Pembatasan akses dengan sumber daya.
                            Contoh: ACL (Access Control List)
   Security Operation       Penanganan masalah-masalah security sehari-hari.
   Monitoring System        Pencatatan aktifitas yang memanfaatkan teknologi informasi
   Secure Intranet          Keamanan pada jaringan penghubung setiap unit di dalam
                             perusahaan.
   Secure Internet dan      Internet merupakan medan atau lingkungan yang rawan terhadap
   Extranet                  penyerangan. Jadi, secure internet merupakan sebuah keharusan.
   Physical Security        Keamanan infrastruktur teknologi informasi secara fisik

Mei 2006                          Security Architecture - Budi Rahardjo                       16
                  Penutup
   Adanya sebuah panduan arsitektur dapat
    membuat penerapan security menjadi
    lebih terstruktur
   Akan ada beberapa “arsitektur” security
   Mari kita diskusikan dan kembangkan




Mei 2006        Security Architecture - Budi Rahardjo   17

								
To top