keamanan database

1. Andi Dwi Riyanto, M.Kom

2. Keamananmerupakansuatuproteksiterhadappengrusakandata danpemakaiandata olehpemakaiyang tidakpunyakewenangan.
UntukmenjagakeamananBasis Data dgn:
1.PenentuanperangkatlunakData Base Server yang handal.
2.PemberianOtoritaskepadauser manasajayang berhakmengakses, sertamemanipulasidata-data yang ada.
Andi Dwi Riyanto, M.Kom

3. Andi Dwi Riyanto, M.Kom

4. 1.Tidakdisengaja, jenisnya:
a.kerusakanselamaprosestransaksi
b.anomaliyang disebabkanolehaksesdatabase yang konkuren
c.anomaliyang disebabkanolehpendistribuasiandata padabeberapakomputer
d.logikaerror yang mengancamkemampuantransaksiuntukmempertahankankonsistensidatabase.
2.Disengaja, jenisnya:
a.Pengambilandata / pembacaandata olehpihakyang tidakberwenang.
b.Pengubahandata olehpihakyang tidakberwenang.
c.Penghapusandata olehpihakyang tidakberwenang.
Andi Dwi Riyanto, M.Kom

5. 1.Fisikallokasi-lokasidimanaterdapatsistemkomputerharuslahamansecarafisikterhadapseranganperusak.
2.Manusiawewenangpemakaiharusdilakukandenganberhati-hatiuntukmengurangikemungkinanadanyamanipulasiolehpemakaiyang berwenang
3.SistemOperasiKelemahanpadaSO inimemungkinkanpengaksesandata olehpihaktakberwenang, karenahampirseluruhjaringansistemdatabase menggunakanaksesjarakjauh.
4.SistemDatabase Pengaturanhakpemakaiyang baik.
Andi Dwi Riyanto, M.Kom

6. Andi Dwi Riyanto, M.Kom

7. 1. Otorisasi:
a.PemberianWewenangatauhakistimewa(priviledge) untukmengaksessistematauobyekdatabase
b.Kendaliotorisasi(=kontrolakses) dapatdibangunpadaperangkatlunakdengan2 fungsi:
c.Mengendalikansistematauobyekyang dapatdiakses
d.Mengendalikanbagaimanapenggunamenggunakannya
e.Sistemadministrasiyang bertanggungjawabuntukmemberikanhakaksesdenganmembuataccount pengguna.
Andi Dwi Riyanto, M.Kom

8. 2. TabelView :
Merupakanmetodepembatasanbagipenggunauntukmendapatkanmodel database yang sesuaidengankebutuhanperorangan. Metodeinidapatmenyembunyikandata yang tidakdigunakanatautidakperludilihatolehpengguna.
ContohpadaDatabase relasional, untukpengamanandilakukanbeberapalevel :
a.Relasipenggunadiperbolehkanatautidakdiperbolehkanmengakseslangsungsuaturelasi
b.View penggunadiperbolehkanatautidakdiperbolehkanmengaksesdata yang terapatpadaview
c.Read Authorization penggunadiperbolehkanmembacadata, tetapitidakdapatmemodifikasi.
d.Insert Authorization penggunadiperbolehkanmenambahdata baru, tetapitidakdapatmemodifikasidata yang sudahada.
e.Update Authorization penggunadiperbolehkanmemodifikasidata, tetapitidakdapatmenghapusdata.
f.Delete Authorization penggunadiperbolehkanmenghapusdata.
Andi Dwi Riyanto, M.Kom

9. UntukModifikasidata terdapatotorisasitambahan:
a.Index Authorization penggunadiperbolehkanmembuatdanmenghapusindex data.
b.Resource Authorization penggunadiperbolehkanmembuatrelasi-relasibaru.
c.Alteration Authorization penggunadiperbolehkanmenambah/menghapusatributsuaturelasi.
d.Drop Authorization penggunadiperbolehkanmenghapusrelasiyang sudahada.
Andi Dwi Riyanto, M.Kom

10. 3. Backup data danrecovery :
Backup: prosessecaraperiodikuntukmebuatduplikatdaridatabase danmelakukanlogging file (atauprogram) kemedia penyimpananeksternal.
Recovery :merupakanupayauantukmengembalikanbasis data kekeadaaanyang dianggapbenarsetelahterjadinyasuatukegagalan.
3 JenisPemulihan:
a.Pemulihanterhadapkegagalantransaksi: Kesatuanproseduralamprogram yang dapatmengubah/ memperbaruidata padasejumlahtabel.
b.Pemulihanterhadapkegagalanmedia : Pemulihankarenakegagalanmedia dengancaramengambilataumemuatkembalisalinanbasis data (backup)
c.Pemulihanterhadapkegagalansistem: Karenagangguansistem, hang, listrikterputusalirannya.
Andi Dwi Riyanto, M.Kom

11. TeknikPemulihan:
a.deferedupate/ perubahanyang ditunda: perubahanpadaDB tidakakanberlangsungsampaitransaksiadapadapoindisetujui(COMMIT). Jikaterjadikegagalanmakatidakakanterjadiperubahan, tetapidiperlukanoperasiredo untukmencegahakibatdarikegagalantersebut.
b.Immediate Upadte/ perubahanlangsung: perubahanpadaDB akansegeratanpaharusmenunggusebuahtransaksitersebutdisetujui. JikaterjadikegagalandiperlukanoperasiUNDO untukmelihatapakahadatransaksiyang telahdisetujuisebelumterjadikegagalan.
c.Shadow Paging : menggunakanpage bayanganimanapaaprosesnyaterdiridari2 tabelyang sama, yang satumenjaditabeltransaksidanyang lain digunakansebagaicadangan. Ketikatransaksimulaiberlangsungkeduatabelinisamadanselamaberlangsungtabeltransaksiyang menyimpansemuaperubahankedatabase, tabelbayanganakandigunakanjikaterjadikesalahan. KeuntungannyaadalahtidakmembutuhkanREDO atauUNDO, kelemahannyamembuatterjadinyafragmentasi.
Andi Dwi Riyanto, M.Kom

12. 4. Kesatuandata danEnkripsi:
Enkripsi: keamanandata
Integritas:metodepemeriksaandanvalidasidata (metodeintegrity constrain), yaituberisiaturan-aturanataubatasan-batasanuntuktujuanterlaksananyaintegritasdata.
Konkuren: mekanismeuntukmenjaminbahwatransaksiyang konkurenpadadatabase multi user tidaksalingmengangguoperasinyamasing- masing. Adanyapenjadwalanprosesyang akurat(time stamping).
PenyeranganDatabase
a.Informasisensitifyang tersimpandidalamdatabase dapatterbuka(disclosed) bagiorang-orangyang tidakdiizinkan(unauthorized ).
b.Informasisensitifyang tersimpandidalamdatabase dapatalteredin an unacceptable manner
c.Informasisensitifyang tersimpandidalamdatabase dapatinaccessiblebagiorang-orangyang diizinkan.
d.the underlying operating system may be attacked --most difficult problem
Andi Dwi Riyanto, M.Kom

13. SQL Injection attack merupakansalahsatuteknikdalammelakukanweb hacking untukmenggapaiaksespadasistemdatabase berbasisMicrosoft SQL Server.
Teknikinimemanfaatkankelemahandalambahasapemogramanscripting padaSQL dalammengolahsuatusistemdatabase yang memungkinkanseseorangtanpaaccount dapatmasukdanlolosverifikasidariMS SQL server.
Contoh: Memasukkankarakter‘ OR ‘ ‘= padausername danpassword padasuatusitus.
Andi Dwi Riyanto, M.Kom

14. Untukmengatasihalini, aturagar:
Hanyakaraktertertentuyang bolehdiinput.
Jikaterdeteksiadanyaillegal character, langsungtolakpermintaan.
ContohScript SQL Injection :
' or 1=1 --
' or '' = '
Andi Dwi Riyanto, M.Kom

15. Andi Dwi Riyanto, M.Kom