Dokumen tersebut membahas tentang pengantar cloud computing, cara kerjanya, model implementasi, jenis layanan, keamanannya seperti ancaman infrastruktur, informasi, kontrol akses, serta manajemen identitas dan kontrol akses yang penting dalam lingkungan cloud computing."

1. Course
Chapter 3
by
Dimas Sasongko, S.Kom., M.Eng.
26 Agustus 2021

2. Outline Pembelajaran
• Pengenalan Singkat Cloud Computing
• Cloud Computing Security
• Ancaman keamanan pada Cloud Computing
• Identity Management and Access Control
25/08/2021
KMMI – Cyber Security course 2

3. PENGENALAN SINGKAT CLOUD COMPUTING
25/08/2021
KMMI – Cyber Security course 3

4. Pendahuluan Cloud Computing
Cloud Computing atau dalam
terjemahan Bahasa Indonesia
sering disebut dengan komputasi
awan merupakan salah satu contoh
perkembangan teknologi informasi.
Cloud Computing merupakan
transformasi teknologi informasi
dan komunikasi dari komputer
berbasis klien atau server. Cloud
Computing menawarkan layanan
kepada pelanggan untuk bekerja
melalui internet, yang berarti
bahwa komputasi awan berarti
menyimpan dan mengakses data
dan program melalui internet
daripada hard disk komputer
25/08/2021 KMMI – Cyber Security course 4

5. Cara Kerja Cloud Computing
25/08/2021 KMMI – Cyber Security course 5

6. Karakteristik Cloud Computing
•On Demand Self Service
•Broadband Network Access
•Resource Pooling
•Rapid Elasticity
•Measured Service
25/08/2021
KMMI – Cyber Security course 6

7. Model Implementasi Cloud Computing
Model implementasi Cloud
Computing adalah deskripsi
environment bagaimana dan di
mana aplikasi dan infrastruktur
Cloud Computing secara fisik
dibangun hingga sampai kepada
pengguna atau pelanggannya.
Ada empat model utama dalam
implementasi Cloud Computing,
yaitu Private Cloud, Community
Cloud, Public Cloud, dan Hybrid
Cloud.
25/08/2021 KMMI – Cyber Security course 7

8. Jenis Layanan Cloud Computing
Layanan cloud memiliki tiga karakteristik
khusus yang membedakannya dari hosting
tradisional yaitu Software as a Service
(SaaS), Platform as a Service (PaaS), dan
Infrastructure as a Service (IaaS). Layanan
ini dijual berdasarkan permintaan, yang
biasanya per menit atau per jam dan
bersifat elastis, user boleh memiliki
berapapun layanan yang diinginkan sesuai
waktu yang diberikan, dan layanan ini
dikelolah penuh oleh provider (pelanggan
hanya perlu komputer dan akses Internet).
Inovasi-inovasi yang signifikan dalam hal
virtualisasi dan distributed computing,
termasuk juga peningkatan akses ke
Internet berkecepatan tinggi dan perbaikan
ekonomi, telah meningkatkan ketertarikan
orang kepada cloud computing.
25/08/2021 KMMI – Cyber Security course 8

9. Cloud Computing Security
25/08/2021
KMMI – Cyber Security course 9

10. Pendahuluan
• Bagi sebuah perusahaan, berbagi infrastruktur di lingkungan komputasi
awan seperti seseorang yang pergi ke suatu tempat umum dengan
barang-barang berharga. Orang lain dengan niat yang salah dapat kapan
saja menargetkan barang-barang berharga itu. Demikian pula,
memindahkan file atau data sensitif dari batas keamanan jaringan
perusahaan sendiri, dalam komputasi awan, juga menyebabkan masalah
keamanan. Oleh karena itu, penerapan manajemen identitas yang kuat
dan mekanisme kontrol akses penting dalam lingkungan cloud.
• Ketika konsumen layanan TI, baik itu individu atau organisasi,
bermigrasi ke komputasi awan, terutama di layanan awan publik;
sebagian besar infrastruktur komputasi bergerak ke dalam kendali
penyedia layanan cloud pihak ketiga. Mengalihkan data sensitif
konsumen ke dalam kendali penyedia cloud pihak ketiga meningkatkan
dan memperumit lanskap risiko karena outsourcing mempersulit
konsumen untuk menjaga kerahasiaan dan integritas informasi sensitif.
25/08/2021
KMMI – Cyber Security course 10

11. Tanggung Jawab Siapa?
Masalah keamanan yang terkait dengan komputasi awan dapat
dilihat dari dua sudut: sebagai kekhawatiran penyedia cloud
(menyediakan SaaS, PaaS atau IaaS) dan kekhawatiran
konsumen layanan. Penyedia harus memastikan keamanan
infrastrukturnya sendiri serta data dan aplikasi klien. Di sisi
lain, konsumen harus memverifikasi dan memastikan bahwa
penyedia telah menggunakan semua langkah keamanan yang
mungkin untuk membuat layanan aman. Pengalaman dan
keahlian penyedia memainkan peran penting dalam konteks
ini.
25/08/2021
KMMI – Cyber Security course 11

12. Pentingnya SLA
Service Level Agreement (SLA) digunakan di industri yang
berbeda untuk membangun hubungan kepercayaan antara
penyedia layanan dan konsumen. SLA merinci kemampuan
tingkat layanan yang dijanjikan oleh penyedia untuk
disampaikan dan persyaratan/harapan yang dinyatakan oleh
konsumen. Rincian ini sangat penting karena dokumen
tersebut menetapkan ikatan hukum bagi kedua belah pihak
dan berfungsi sebagai referensi dalam perselisihan apa pun.
Organisasi harus melibatkan ahli hukum untuk meninjau
dokumen SLA selama negosiasi kontrak dan sebelum membuat
kesepakatan akhir.
25/08/2021
KMMI – Cyber Security course 12

13. Threat, Vulnerability dan Risk
• Kekhawatiran keamanan konvensional seperti ancaman, kerentanan dan risiko juga
bertahan dalam sistem komputasi awan. Ancaman adalah suatu kejadian yang dapat
menimbulkan kerugian pada suatu sistem. Ini dapat merusak keandalan sistem dan
menurunkan kerahasiaan, ketersediaan, atau integritas informasi yang disimpan dalam
sistem. Ancaman bisa berbahaya seperti perubahan data sensitif yang disengaja atau bisa
juga tidak disengaja seperti penghapusan file yang tidak disengaja atau masalah yang
timbul dari perhitungan yang salah.
• Kerentanan mengacu pada beberapa kelemahan atau kekurangan dalam suatu sistem
(perangkat keras, perangkat lunak, atau proses) yang dapat dieksploitasi oleh ancaman
untuk merusak sistem. Ini mengacu pada kelemahan keamanan yang menimbulkan
ancaman bagi sistem yang meningkatkan peluang serangan untuk berhasil. Deteksi dan
penghapusan kelemahan tersebut mengurangi aspek rentan dari sistem yang pada
gilirannya mengurangi dampak ancaman pada sistem.
• Risiko adalah kemampuan ancaman untuk mengeksploitasi kerentanan dan dengan
demikian menyebabkan kerusakan pada sistem. Risiko terjadi ketika ancaman dan
kerentanan tumpang tindih. Ini adalah prospek ancaman untuk terwujud.
25/08/2021
KMMI – Cyber Security course 13

14. Ancaman Cloud Security
25/08/2021
KMMI – Cyber Security course 14

15. Pendahuluan
Banyak di antara ancaman ini bukanlah hal baru dan sudah
ada dengan lingkungan komputasi tradisional. Tetapi model
cloud memiliki masalah sendiri terkait keamanan. Masalah
ancaman keamanan dalam komputasi awan dapat
dikategorikan dalam tiga bagian berikut:
• Ancaman terhadap Infrastruktur
• Ancaman terhadap informasi
• Ancaman terhadap Access Control
25/08/2021
KMMI – Cyber Security course 15

16. • Ancaman terhadap Infrastruktur: Ancaman keamanan infrastruktur
tingkat aplikasi, tingkat host, atau tingkat jaringan bukanlah masalah
baru yang diperkenalkan oleh cloud. Satu-satunya perbedaan yang
harus dipahami di sini adalah pembagian tanggung jawab yang dimiliki
penyedia dan konsumen, untuk menjaga sistem.
• Ancaman terhadap Informasi: Terlepas dari ancaman konvensional
terhadap informasi, komputasi awan memperkenalkan masalah
keamanan baru karena data konsumen (baik organisasi maupun
individu) tetap berada di bawah kendali penyedia cloud pihak ketiga.
• Ancaman terhadap Kontrol Akses: Karena batas kepercayaan meluas di
luar kendali organisasi sendiri (terutama di cloud publik), manajemen
otentikasi dan otorisasi yang tepat untuk aplikasi di cloud adalah
masalah yang sangat vital untuk keamanan.
25/08/2021
KMMI – Cyber Security course 16

17. Infrastructure Security
Keamanan infrastruktur menjelaskan masalah yang terkait
dengan pengendalian akses ke sumber daya fisik yang
mendukung infrastruktur cloud. Dari sudut pandang
konsumen, meskipun keamanan infrastruktur mungkin
tampak lebih erat terkait dengan vendor infrastruktur sebagai
layanan (IaaS) atau IaaS tetapi platform sebagai layanan (PaaS)
dan perangkat lunak sebagai layanan Lapisan (SaaS) tidak
dapat diabaikan karena mereka juga memiliki beberapa peran
untuk dimainkan dalam mengamankan infrastruktur
komputasi.
25/08/2021
KMMI – Cyber Security course 17

18. Network Level Security
• Risiko keamanan tingkat jaringan ada untuk semua layanan
komputasi awan (misalnya, SaaS, PaaS atau IaaS).
Sebenarnya bukan layanan yang digunakan melainkan jenis
penyebaran cloud (publik, swasta, atau hibrida) yang
menentukan tingkat risiko.
• Memastikan kerahasiaan, integritas, dan ketersediaan data
merupakan tanggung jawab pengaturan keamanan
infrastruktur tingkat jaringan. Risiko kerahasiaan data
umumnya dikurangi dengan menggunakan teknik seperti
enkripsi dan tanda tangan digital tetapi masalah ketersediaan
data di tingkat jaringan menyebabkan lebih banyak kesulitan
dan perlu lebih banyak perhatian untuk dikelola.
25/08/2021
KMMI – Cyber Security course 18

19. Host Level Security
• Untuk konsumen SaaS dan PaaS: Penyedia layanan tidak akan
secara terbuka membagikan detail mengenai platform host mereka
seperti sistem operasi atau mekanisme manajemen keamanan
untuk mengamankan host. Jika tidak, peretas dapat
mengeksploitasi detail tersebut untuk merusak keamanan. Oleh
karena itu, untuk layanan SaaS dan PaaS, penyedia layanan
bertanggung jawab penuh untuk mengamankan host.
• Untuk konsumen IaaS: Tidak seperti PaaS dan SaaS, konsumen
IaaS memiliki tanggung jawab untuk mengamankan host. Penyedia
layanan menggunakan untuk menjaga keamanan sumber daya
fisik melalui abstraksi. Tetapi konsumen IaaS harus berhati-hati
agar tidak ada aplikasi jahat yang mencoba merusaknya.
25/08/2021
KMMI – Cyber Security course 19

20. Application Level Security
• Pada tingkat IaaS, sebagian besar pengguna bertanggung
jawab untuk mengelola dan mengamankan server virtual
tempat mereka bekerja, bersama dengan penyedia.
• Penyedia layanan PaaS bertanggung jawab untuk
mengamankan tumpukan perangkat lunak platform tempat
konsumen menyebarkan atau mengembangkan aplikasi
mereka.
• Dalam model SaaS, merupakan tanggung jawab penyedia
untuk mengelola set lengkap aplikasi yang mereka berikan
kepada konsumen.
25/08/2021
KMMI – Cyber Security course 20

21. Identity Management and Access Control
25/08/2021
KMMI – Cyber Security course 21

22. Identity Management And Access Control
• Identity management and access control (sering disebut
sebagai identification and access management atau IAM)
adalah fungsi utama yang diperlukan untuk sistem komputasi
yang aman.
• Proses IAM untuk mendukung bisnis secara garis besar terdiri
dari aktivitas berikut: Manajemen Identifikasi, Manajemen
Otentikasi, Manajemen Otorisasi, Manajemen akses,
Akuntabilitas, Pemantauan dan audit.
25/08/2021
KMMI – Cyber Security course 22

23. IAM in the Cloud
• Manajemen identitas dan kontrol akses memiliki nilai tinggi dalam
komputasi awan. Karena dengan adopsi layanan cloud, batas
kepercayaan organisasi dapat bergerak di luar kendali mereka
sendiri. Batas meluas ke domain penyedia layanan. Hilangnya
kontrol ini menantang keamanan cloud dan jika tidak dikontrol
dengan tepat, hal itu dapat menghalangi adopsi layanan cloud.
Baik penyedia layanan dan konsumen memiliki peran untuk
dimainkan dalam mengendalikan sarana ini.
• Manajemen identitas dalam komputasi awan memerlukan
mekanisme otentikasi, otorisasi, dan kontrol akses yang kuat. Saat
ini, diimplementasikan dengan menggunakan teknologi modern
seperti mengelola biometrik atau kartu pintar, mengatur hak akses
sumber daya oleh pengguna yang berwenang dan mencegah akses
sumber daya oleh entitas yang tidak berwenang.
25/08/2021
KMMI – Cyber Security course 23

24. Exploring Identity Management
Identitas pengguna diperiksa dengan mengautentikasi pengguna
terdaftar saat masuk ke sistem. Ini umumnya dilakukan dengan
menjaga nama pengguna dan kata sandi pengguna. Setiap sistem
atau aplikasi komputasi yang aman menerapkan mekanisme
manajemen identitas. Namun, mempertahankan beberapa nama
pengguna dan kata sandi untuk mengakses aplikasi yang berbeda,
terutama di aplikasi perusahaan, mengurangi produktivitas dan
menghambat adopsi aplikasi. SSO dan Federated Identity (identitas
federasi/organisasi) memecahkan masalah ini dengan
mengintegrasikan aplikasi dan menghilangkan kebutuhan akan
banyak nama pengguna dan sandi tanpa mengorbankan keamanan.
25/08/2021
KMMI – Cyber Security course 24

25. Single Sign-On
Single sign-on (SSO) adalah proses otentikasi pengguna yang
memecahkan masalah log-in berulang untuk mengakses
aplikasi yang berbeda di mana pengguna secara individual
diketahui oleh setiap aplikasi. Ini memungkinkan pengguna
untuk mengakses beberapa aplikasi di mana identitas
pengguna terdaftar dengan masuk hanya sekali. Aplikasi
mungkin milik perusahaan yang berbeda tetapi harus menjadi
bagian dari grup. SSO secara internal mengautentikasi dan
memberi otorisasi kepada pengguna untuk semua aplikasi dan
menghilangkan kebutuhan lebih lanjut untuk memberikan
identitas saat mereka beralih aplikasi selama sesi tertentu.
25/08/2021
KMMI – Cyber Security course 25

26. Federated Identity Management
Federated Identity Management (FIM) memungkinkan penautan
dan distribusi informasi identitas di berbagai aplikasi dalam
batas kepercayaan yang diketahui. Ini adalah semacam
perjanjian yang dapat dibuat di antara beberapa perusahaan
untuk memungkinkan pengguna menggunakan informasi
identifikasi yang sama untuk mendapatkan akses ke aplikasi
semua perusahaan dalam grup. Penggunaan sistem semacam
itu kadang-kadang disebut sebagai federasi identitas.
25/08/2021
KMMI – Cyber Security course 26

27. 25/08/2021
KMMI – Cyber Security course 27

28. Exploring Access Control
Kontrol akses pada dasarnya
adalah prosedur atau
kebijakan yang
memungkinkan, melarang
atau membatasi akses
pengguna ke suatu sistem.
Kontrol akses secara inheren
melekat dengan manajemen
identitas dan diperlukan
untuk mempertahankan
kerahasiaan, integritas dan
ketersediaan data.
25/08/2021 KMMI – Cyber Security course 28

29. SEKIAN
DAN
TERIMA KASIH
Dimas Sasongko
https://sasongko.azurewebsites.net/
25/08/2021 KMMI – Cyber Security course 29