Menangkal hacking bagian 1 : Fase Mencari informasi

Pada tulisan saya kemarin, saya menulis tentang tahapan2 atau fase2 dalam sebuah upaya hacking. upaya2 tersebut memang tidak bisa 100% dicegah. tapi tentu saja bisa dipersulit sampai pada kondisi di mana si hacker tadi mengurungkan niatnya atau malah menjadi tergesa2 dan karena kurangnya informasi, mengalami kegagalan dalam menyerang sistem kita.

meskipun banyak sekali variasi psikologis, teknis dan sosial dalam perlindungan serangan ini, pada dasarnya tidaklah terlalu rumit. tentu saja perkembangan ilmu seperti teknik2 hipnotis, hukum yang berlaku dan berkembangan software dan hardware bisa saja mempengaruhi faktor2 ini. tapi pada saat tulisan ini dibuat, mekanisme pertahanan seperti ini sudah termasuk cukup menyulitkan bahkan bisa jadi memberi jalan buntu untuk para hacker tersebut.


Tahap pengumpulan informasi tentunya bisa dibendung dengan cara yang sederhana : memastikan sesedikit mungkin informasi tentang kita diperoleh dan bisa diakses oleh publik. perhatikan contoh kasus dibawah ini :

Seorang hacker ingin membobol email account seorang manager. hacker itu mengambil jalan paling mudah, menggunakan fasilitas "forget password" pada email manager tersebut. pada bagian secret question, email tersebut menanyakan apa makanan favorit si manager ? kemanakah si hacker harus mencari info tersebut ?

cara tercepat adalah mendatangi manager itu, mengancamnya dengan senjata tajam dan meminta paksa password itu. tapi tentu saja. cara itu punya masalahnya sendiri.

Adakah cara yang lebih halus ? tentu saja ada. bahkan caranya mudah sekali. bergabunglah dengan si manager. jadilah temannya di jejaring sosial, baca blognya, periksa situs2 dan forum2 yang sering didatanginnya, dan anda akan terkejut. terkadang jawaban itu tersedia tepat di depan mata kita.

Pencegahannya tentu adalah dengan membatasi berapa banyak informasi pribadi yang kita sebarkan ke publik. baik secara sengaja maupun tidak. hindari atau usahakan memberikan sesedikit mungkin informasi unik tersebut. prinsipnya adalah : jangan tuliskan apapun yang anda tidak ingin musuh / orang2 yang tidak suka dengan anda tahu di media online. anda mungkin saja memakai pseudoname (nickname), tapi itu bukan berarti sama sekali tidak ada keterkaitan antara nickname anda dengan identitas anda yang sesungguhnya.

untuk korporasi, tentu saja masalah ini lebih sulit ditangani. misalnya, dari lowongan pekerjaan yang anda tawarkan di website anda, seorang hacker bisa mencari kelemahan pada sistem dan pertahanan keamanan anda. misalnya, perhatikan iklan ini :

IT TECHNICAL SUPPORT
Requirements:

• Male max 25 years old
• Graduated from reputable University in� Computer Science , major in Computer Engineering.
• Provide support for Users on any Hardware, Network and Operating system (Windows and Linux).
• Good in trouble shooting computers
• Cisco and/or Microsoft Certification is a plus
• At least 2 years of working experience in the related field is required for this position

dari iklan ini kita bisa menyimpulkan, bahwa sistem komputer di perusahaan itu menggunakan windows dan linux. routernya cisco, kemungkinan pekerjaan berhubungan erat dengan computer engineering.

dari data2 ini tentunya ada sedikit informasi yang bisa disimpulkan. digabungkan dengan beberapa pertanyaan pintar pada saat wawancara, dan kunjungan sebagai cleaning service / tukang reparasi

ke kantor anda, dan mungkin informasi yang didapatkan akan sangat mengejutkan kualitas dan kuantitasnya.

berhati2lah pulang dengan google. informasi seperti domain, IP address dan WHOIS bisa jadi modal awal untuk serangan. begitu pula dengan banner grabbing dan teknik2 pasif lainnya.sekali lagi, pastikan tidak ada informasi yang anda tidak ingin saingan anda ketahui berada di internet.

Keamanan terbaik adalah bagaimana anda bisa menjaga rahasia anda tetap rahasia.