Keamanan Blog by Frenavit Putra

Blog Security
Mari amankan Blog Kita
Oleh :
Frenavit Putra

Sayaadalah?
Nama : Frenavit KusmanSetia Putra
NamaBeken : Frenavit Putra & Bodrex
Alamat : Ds. Beratwetan. Gedeg. Mojokerto
AlamatSementara : GebangWetan 23 B, Sby
No Telp : 085 648 506 364
Blog : http://frenavit.com
Email : mail[at]frenavit[dot]com
Frenavit Putra
@frenavit
@frenavit
@frenavitputra
frenavit

Securty Blog itu..
Blog
=
Rumah
Internet

Ancamanterhadap Blog
Pembobolan Account (Brute Force)
SQL Injection
Cross-site Scripting (XSS)
SpamingKomentar
Deface
DOS Attack (Denial of Service)

Brute force adalahprosesuntukmengetahui password dan user name seseorangdenganmenggunakanmetode trial and error.
Brute forcemenggunakansebuahpendekatan yang lempang(straightforward) untukmemecahkansuatumasalah, biasanyadidasarkanpadapernyataanmasalah(problem statement) dandefinisikonsep yang dilibatkan.
Algoritmabrute forcememecahkanmasalahdengansangatsederhana, langsungdandengancara yang jelas(obvious way).
Brute Force

Acount Blog mudahdiboboldikarenakan 2 faktor, faktor internal daneksternal.
Internal :
Penggunaan Username dan Password yang mudahditebak
Adanya “Bug” pada OS Hosting atau CMS yang kitapakai
Pembobolan Account (1)

Eksternal:
Phising
Phising (pengelabuhan) adalahsuatubentukpenipuan yang dicirikandenganpercobaanuntukmendapatkaninformasi, seperti password dan username, denganmenyamarsebagaiorangataubisnis yang terpercayadalamsebuahkomunikasielektronikresmi, seperti email ataupesaninstan, banner.

Sniffing
Sniffing atau “penyadapanpaket” adalahsebuahkegiatanuntukmenyadapsetiappaket data yang adadidalamsebuahjaringan, baikjaringan internet atau LAN.
Internet
Sniffer

SQL Injection adalahsebuahteknikpenyerangan yang memanfaatkansebuah“celah”keamanan yang adadalamlapisan database sebuahaplikasi.
Celah Database yang dimaksuddiatastersebutadalahsebuahcelah yang ketikaseorangpenggunamemasukkanisiankarakterkedalam form input yang manatidakada filter secarabenardarikarakter-karakterbebas yang adadi SQL.
Beberapakarakterbebas : ‘/”[]^,. dll
SQL Injection

XSSatauCross Site Scriptingadalahteknik yang digunakanuntukmenambahkandanmenanamkan script padasebuah website atau blog yang akandieksekusioleh user lain pada browser user lain tersebut.
XSSatauCross Site Scripting umumnyamenggunakanHTML/JavaScript, ataubahkanVBScript, ActiveX, Java, Flash, dllyang diinputkanmelalui input form sepertikolomkomentarpada Blog
Cross Site Scripting (1)

Cross Site Scripting (2)
Cara cekapakahbisadilakukan Cross Site Scripting Blog kita:
Silahkanmasukkan tag script via form komen, misal : <script>alert(‘sayacakep');</script>
Jikaternyatakeluar alert “sayacakep” ketikahalamandi refresh makabisadipastikan Blog kitabisadilakuan Cross Site Scripting.
Cross Site Scripting
Redirect

SpamingKomentar
Spamming Komentar(komentarsampah) adalahpengirimankomentarsecaraotomatis yang dilakukanoknumkebeberapa Blog sekaligus. Komentar Spam dikirimdengantujuanuntumempromosikansebuah site atauproduktertentu.
Untukdapatdikatagorikanmenjadi spam, sebuahkomentarmuncultidakdimintadantermasukbulk.
Tidakdiminta. Berartibahwakitatidaksecaraeksplisitmemintauntukmenerimakomentar yang tidakberhubungandenganartikeldi blog kita.
Bulkberartibahwakomentartersebutsamaatauhampirsamadengan yang dikirimkebanyak blog lain.

Deface/Defacingataucyber grafitysecaraumumdiartikansebagaiaktifitasmenodaiataumerubahubahisisuatuhalaman web dengankalimat, image atau link tertentu yang tidakadasangkutpautnyadenganmisi web tersebut .
Deface

DoS Attacks (denial-of-service attacks) adalahseranganterhadapsebuahkomputeratau server didalamjaringan internet dengancaramenghabiskansumber (resource) yang dimilikiolehkomputertersebutsampaikomputertersebuttidakdapatmenjalankanfungsinyadenganbenarsehinggasecaratidaklangsungmencegahpengguna lain untukmemperolehakseslayanandarikomputer yang diserangtersebut.
DoS Attacks

DoS Attacks Skema

KemungkinanAncamanKeamanan Blog

Solusi??

Ganti Username “Admin”, Hal inidigunakanuntukmenghindari Brute Force yang dilakukan Hacker.
GunakankombinasiHuruf, angka, danspesialkarakteruntuk username dan password Blog yang powerfull.
Ganti Username dan Password secaraBerkala.
Amankan Blog

Gunakan password yang kuat.
Segera update CMD danPluginswordpresskeversiterbaru.
Sembunyikanhalaman Login Standard (http://site.com/wp-admin) denganurllain.
Menyembunyikanversiwordpress
Pindahkan File wp-config.php.
Gunakan Secret Keys.
RubahWordPress table prefix.
.htaccesslockdown
Buat file .htaccess di dalam folder wp-admin.
SembunyikanPlugin yang defaultnyaterletakpada http://site.com/wp-content/plugins.
Amankan Blog Wordpress

Menggunakan Password yang Kuat
Hindarimenggunakantgllahir.
Janganmengandungkata yang adadi Username.
Terdapatkombinasiantaraangka, huruf, dankarakter. Kombinasikanjugadenganhurufbesarkecil.
Gunakan Password generator.
MudahdiIngat

Update CMS danPluginsWordpress
Update Engine CMS WordpressdanPluginswordpress yang itagunakanmutlak “wajib” dilakukankarena update keversiterbaruakanmenutupcelah (bug) yang adadiversi lama.

MenyembunyikanHalaman Login Standard
Tujuanuntukmenyembunyikanhalaman Login wordpress standard (http://site.com/wp-admin) dilakukanuntukmenghindariadanya Brute Force.
Untukmenyembunyikanhalaman Login inibisamenggunakanPlugins Stealth Login

UntukmenyembunyikanVersiWordpressdapatdilakukandengan 2 cara, yaitu :
Menambahkan script berikutdi functions.php.
function hide_wp_vers()
{
return '';
}
add_filter('the_generator',' hide_wp_vers');
MenggunakanPlugins Secure Wordpress
MenyembunyikanVersiWordpress

Pindahkan File wp-config.php
Wp-configmerupakan file yang mengonfigurasi database setting (database username dan password), table prefix, secret keys, bahasa, dan ABSPATH. Tanpa file ini, WordPresstidakakanberfungsi. File inidapatdisimpandiluar root direktoriWordPress. Caranyapindahkan file wp-config.php satu level diatas root direktoriWordPress. WordPresssecaraotomatisakanmencari file inibilatidakmenemukannyadi root direktorinya.

Gunakan Secret Key
Secret Keys dibuatuntuklebihmenjamininformasi yang tersimpanpada cookies terenkripsisecaralebihbaik. Caranyagunakan online generator padahttp://api.wordpress.org/secret-key/1.1/. Di sanaakanterlihat 4 Secret Keys yang secaraacakterbentuk. Copy Secret Keys tersebutkemudianbuka file wp-config.php dan paste keposisidimanakeempat Secret Keys inidiletakkan.

Ubah Table Prefix
Standard Table Perfix
Table Perfixmodif
‘wp_’
$table_prefix
BilakitamenggantinyasetelahmenginstallWordPress, kitabisamemanfaatkanplugin WP Security Scan atautabel prefix changer. Janganlupa back up terlebihdahulusebelummelakukannya.

.htaccess lockdown
Cara iniakanmelindungiwp-admin direktorimelalui .htaccess. Cara inibekerjadenganmengunciaksesterhadapwp-admin melalui IP address. Jadi, hanya IP address tertentu yang dapatmengakseswp-admin kita. Dan hampirtidakmungkinorang lain dengan IP address yang berbedabisamengakseswp-admin. Kode yang harusdibuatpada file .htaccess
AuthUserFile /dev/null
AuthGroupFile/dev/null
AuthName“Access Control”
AuthTypeBasic
order deny,allow
deny from all
#IP address to Whitelist
allow from xxx.xxx.xxx.xxx
Isidenganip
yang dikehendaki login

Buat file .htaccess di dalam folder wp-admin
# BEGIN WordPress
RewriteEngineOn
RewriteBase/
RewriteCond%{REQUEST_FILENAME} !-f
RewriteCond%{REQUEST_FILENAME} !-d
RewriteRule. /index.php [L]
# END WordPress

Sembunyikan Plugin
Kenapaharusdisembunyikan? Jikatidakdisembunyikan, bisadimanfaatkanpara hacker/cracker bilaada 404 error page. Caranyabuat file .htaccessdantempatkandi folder /wp-content/pluginsdengankodesepertiini :
# BEGIN WordPress
RewriteEngineOn
RewriteBase/
RewriteCond%{REQUEST_FILENAME} !-f
RewriteCond%{REQUEST_FILENAME} !-d
RewriteRule. /index.php [L]
# Prevents directory listing
IndexIgnore*
# END WordPress

Cara LainSembunyikan Plugin
Cara lain untukmenyembunyikanpluginsyaitudenganmembuat file index.html yang isinyakosongkemudian upload kewp-content/plugin. Ataucara lain untukmembuat file .htaccessuntukmelindungidirektoriwp-admin, wp-includes, dll.
Bagi yang menggunakan hosting dengan CPANEL, bisamemanfaatkanfasilitas Leech Protect dariCpaneltempatanda hosting wordpress.

Plugins Wordpress untuk kemanan Blog (1)
Limit Login Attempts
Plugininidapatmelakukanblokterhadap user selama 20 menitsetelahsalahmemasukan password sebanyak 4 kali (dapatdiubah manual). Hal inimenjadijalanterbaikuntukmengatasiseranganberupa Brute Force.
Download plugin limit login attempts dihttp://wordpress.org/extend/plugins/limit-login-attempts/

WP Security Scan
Plugininimenawarkanbeberapafiturgandasepertifile permission, menyembunyikanversiwordpress, database securitydanproteksiterhadap admin. Pluginini, jugadapatmelakukan scanning terhadapdirektory web danmemberi report menganai file permission yang seharusnya.
Download pluginwp security scan dihttp://wordpress.org/extend/plugins/wp-security-scan/

Sabre
Fungsiplugininidapatmenghentikanpendaftaranpenggunapalsu yang dilakukanoleh bots. PluginSabredapatmenambahkangambarverifikasiatauujimatematikauntukprosesregistrasi agar dapatmemastikanpengguna yang sudahterdaftartidakpalsu.

Semisecure Login
Plugininibergunauntukmeningkatkankeamanandariproses login denganmenggunakankuncipublikuntukmengenkripsipassword padasisiklien.

Secure WordPress
Plugininiakanmenjagadenganamaninstalasiwordpresskitadengansedikitfungsibantuan. Diadapatmenyembunyikaninformasimengenaiversiinstalasiwordpresskitayaitudengan:
Menghapuskesalahan-informasipadahalaman login
Menambahkan indeks.html ke-direktoriplugin (virtual)
Menghapus Really Simple Discovery
Menghapuswp-versi, kecualididaerah-admin
Menghapustema-update informasibagi non-admin
Menghapus Windows Live Writer
Menambahkan string untukdigunakan WP Scanner
Menghapusintimemperbaruiinformasiuntuk non-admin
Menghapusplugin-update informasibagi non-admin

Kesimpulan
Banyakcarauntukmengamankan Blog kita, namuncaratersebuttidakkekaldansempurnaselamanya. Cara mengamankan yang paling sempurnaadalahdenganselaluwaspadadanberjaga-jaga.

Sekian
&
Terimakasih

Keamanan Blog by Frenavit Putra

by Frenavit Putra on May 13, 2011

Accessibility

Categories

Tags

Upload Details

Usage Rights

1 Embed 25

Statistics

Keamanan Blog by Frenavit Putra — Presentation Transcript