Malware dan Antivirus ~#Pert 5

 Mengenal Malware dan Anti Virus Atau Anti Malware

Pengertian Malware 

 Suatu insiden yang disebabkan oleh malware. Petunjuk Teknis ini untuk memberikan arahan pelaksanaan kerja yang berhubungan dalam bidang Teknologi Informasi, khusus untuk menagani permasalahan Malware. Malware adalah perangkat lunak berbahaya, perangkat lunak ini bisa digunakan untuk mengganggu pengoperasian komputer, mengumpulkan informasi sensitif, atau mendapatkan akses ke sistem komputer. Bentuk Malware ini dapat muncul dalam bentuk kode dieksekusi (exe), script, konten aktif, dan perangkat lunak lainnya. 'Malware' adalah istilah umum yang digunakan untuk merujuk kepada berbagai bentuk perangkat lunak yang bersikap bermusuhan atau mengganggu. 

    Malware termasuk virus komputer, worm, trojan horse, ransomware, spyware, adware, scareware, dan program berbahaya lainnya. Malware sering menyamar sebagai file biasa, atau tertanam dalam file yang tak berbahaya. 

    Penanganan Malware adalah suatu bentuk usaha mempertahankan diri dalam rangka mengamankan informasi maupun segala hal yang berhubungan dengan pengertian asset maupun resources teknologi informasi. 

dalam pengoperasian sistem pastilah tak luput dari perancangan suatu system anti malware untuk lebih detailnya berikut link penjelasan lebih rincinya 👉Protecting Systems Using Antivirus

Perbedaan Antara Antivirus dan Anti-Malware

    Mungkin perbedaan antara antivirus dan anti-malware tidak begitu signifikan, keduanya memiliki arti yang sama. Baik antivirus atau anti-malware sama-sama perangkat lunak yang diciptakan untuk mendeteksi, melindungi, serta menghapus virus atau malware berbahaya di komputer. Mungkin sebutan antivirus bisa dikatakan agak kuno dan untuk anti-malware sudah menggunakan nama yang lebih modern. Fungsi anti-malware hampir sama bahkan bisa dikatakan tidak ada bedanya dengan antivirus yaitu untuk membasmi perangkat lunak berbahaya di komputer.

LANGKAH PENANGANAN INSIDEN MALWARE 

    Penangan terhadap insiden malware dapat dilakukan dalam beberapa tahap seperti pada gambar berikut,

Tahap Persiapan (Preparation) 

Tahap ini adalah tahap dimana kebijakan, prosedur, teknologi, dan sumber daya manusia harus disiapkan secara matang, dimana akan digunakan pada proses pencegahan dan penanganan terhadap insiden yang diakibatkan oleh berbagai macam malware. Dalam suatu organisasi/institusi, kemampuan melakukan respon yang cepat terhadap suatu insiden, merupakan persiapan yang mendasar bagi penanganan insiden yang disebabkan oleh malware. Langkah-langkah yang harus diambil pada tahap ini adalah 

 

 Penyiapan dokumen-dokumen yang dibutuhkan, yaitu 

i. Dokumen Kebijakan dan Prosedur 

Suatu dokumen kebijakan biasanya menguraikan persyaratan tertentu atau aturan yang harus dipenuhi. Suatu dokumen prosedur adalah dokumen yang memandu pengguna secara teknis dalam proses (langkah demi langkah) tentang cara untuk mencapai persyaratan yang telah ditetapkan dan diuraikan dalam dokumen kebijakan. Beberapa kebijakan, yang sering digunakan untuk membantu dalam mencegah masuknya malware dan menghentikan penyebaran itu adalah,

a. Kebijakan Keamanan: 

    Sebuah kebijakan keamanan adalah dokumen tingkat tinggi dari top manajemen yang menunjukkan pendekatan organisasi terhadap keamanan informasi. Menurut standar ISO 27001 Keamanan Informasi, dokumen harus memberikan arahan dan dukungan dari manajemen untuk keamanan informasi sesuai dengan kebutuhan bisnis, hukum, dan peraturan yang relevan. 6 

b. Kebijakan penggunaan Antivirus: 

    Kebijakan Antivirus adalah kebijakan yang mendefinisikan apa yang harus dan tidak boleh dilakukan dari para pengguna mengenai perangkat lunak antivirus yang mereka gunakan, termasuk bagaimana cara mengelolah perangkat lunak antivirus. Suatu prosedur manual harus mengikuti kebijakan ini, yang bisa membimbing pengguna tentang cara memeriksa versi dan definisi virus baru, dan bagaimana untuk menjaga perangkat lunak agar selalu harus diperbaharui (update). Hal ini juga harus memandu pengguna tentang cara untuk mengidentifikasi apakah antivirus tersebut bekerjabenar atau tidak. 

c. Kebijakan penggunaan yang diperbolehkan (acceptable use) 

    Kebijakan ini berisi tentang sesuatu yang diperbolehkan atau tidak diperbolehkan, termasuk pemanfaatan semua sumber daya organisasi. Hal ini akan membantu pencegahan terhadap masuknya dan penyebaran dari malware, karena para anggota organisasi akan peduli terhadap tindakannya yang mungkin secara sengaja maupun tidak menimbulkan resiko bagi sumber daya organisasi, kebijakan penggunaan Removable media (flashdisk, CD/DVD), piracy software (gratis/bajakan) 

d. Kebijakan penggunaan Internet 

    Sebuah Kebijakan Penggunaan Internet adalah sebuah kebijakan yang mendefinisikan bagaimana pengguna diarahkan dalam menggunakan akses internet yang disediakan oleh organisasi. Hal ini juga harus menentukan tindakan disiplin apa yang akan dikenakan apabila terjadi pelanggaran. Hal ini membantu mencegah pengguna dari browsing situs yang tidak sah dan mengunduh perangkat 7 lunak dari Internet,yang bias menjadikan pintu masuk malware ke dalam intranet organisasi/institusi 

e. Kebijakan penggunaan Email 

    Kebijakan penggunaan email harus menentukan bagaimana email perusahaan digunakan secara aman. Hal ini harus mencegah pengguna dari menggunakan email perusahaan untuk penggunaan pribadi, termasuk penerbitan dan pendaftaran pada kelompok dan forum di internet. Hal ini akan mengurangi jumlah spam yang diterima oleh mail server organisasi dan juga membantu mengurangi probabilitas pengguna menerima konten berbahaya melalui email mereka. 

f. Kebijakan penggunaan laptop 

    Kebijakan laptop harus menentukan bagaimana pengguna diarahkan untuk mengetahui tindakan apa saja yang bisa dan boleh dilakukan oleh pengguna dalam menggunakan laptopnya. Hal ini juga harus menetapkan langkah apa yang perlu diambil pengguna untuk memastikan keamanan, tidak hanya keamanan fisikdari laptop itu sendiri, tetapi juga dari informasi yang terkandung didalamnya. 

g. Kebijakan melakukan Backup 

    Kebijakan melakukan backup harus mendefinisikan apa, kapan, dan bagaimana informasi harus dibackup. Hal ini harus mendefinisikan secara jelas mengenai jenis informasi dan kapan waktu proses backup harus dilakukan, dan bagaimana cara untuk melakukannya. Backup yang baik kadang-kadang bisa menjadi satu-satunya cara untuk pulih dari kerusakan serius yang disebabkan oleh infeksi malware. 

h. Kebijakan pelaporan dan mekanisme pelacakan insiden 

    Keberhasilan di balik rencana penanganan insiden adalah memiliki mekanisme pelaporan dan pelacakan yang mudah digunakan dan efektif. Pengguna umumnya mengharapkan mekanisme pelaporanyang dapat dengan mudah dipahami dan menangkap insiden dengan informasi sesedikit mungkin. Pengguna juga harus bisa memberikan tingkat prioritas formal yang dapat divalidasi dan diubah, jika diperlukan oleh helpdesk atau tim keamanan pusat. Nama, nomor telepon dan alamat email untuk menghubungi dalam kasus terjadinya suatu aktivitas berbahaya yang dicurigai harus diberikan melalui semua media komunikasi seperti situs intranet perusahaan, buletin dan catatan kecil di sekitar workstation pengguna. 

i. Prosedur dan formulir penanganan insiden 

    Organisasi harus memiliki rencana dan prosedur penanganan insiden yang tepat dan bisa dilakukan di tempat organisasi berada. Organisasi harus menyediakan form yang dapat digunakan untuk mencatat dan merekam semua kejadian secara rinci, selama penanganan insiden pada semua tahapan. 

j. Dokumen tentang audit 

    Catatan dari audit secara berkala pada sistem informasi akan membantu dalam mengungkap setiap aktivitas berbahaya yang ada. Catatan ini dapat mengungkap kegiatan yang dilakukan pengguna pada sistem yang mungkin tidak disadari. Tim audit biasanya terdiri dari personil terlatih yang tahu apa yang harus dicari. 

k. Dokumen profil perangkat lunak pada proses bisnis 

    Disarankan untuk memiliki profil dari semua perangkat lunak dan proses-proses yang harus berjalan pada sistem berdasarkan proyek atau departemen. Hal ini dapat membantu dalam identifikasi secara cepat dari keberadaan perangkat lunak atau proses yang tidak diketahui yang mungkin terinfeksi dari malware . 

l. Dokumen pengetahuan 

    Sebuah dokumentasi rinci dari pengetahuan dasar yang baik dan mudah mendapatkannya, dapat menghemat banyak waktu ketika insiden terjadi. Ketika sebuah insiden terjadi, semua dokumentasi mengenai penanganan kejadian harus ditambahkan ke dokumen basis pengetahuan. Jadi jika insiden yang sama terjadi lagi, proses penanganannya akan menjadi lebih cepat karena sudah ada catatan cara penanggulangannya. Hal ini akan menghemat banyak waktu yang akan dikonsumsi dalam analisis ulang insiden tersebut. Sebuah template Root Cause Analysis yang dapat menangkap sebagian besar rincian insiden harus disiapkan dan digunakan. 

ii Penyiapan Teknologi yang akan dipakai

 

    Berbagai infrastruktur teknis & perangkat lunak yang dapat mencegah malware termasuk Antivirus Scanner Online, URL dan emailfilter, Virus Submissions URL, Mesin Uji (mesin nyata dan mesin virtual), utilitas dari sistem operasi dan peralatan Reverse Engineering, harus disiapkan guna penanganan insiden malware 

a. Filter URL dan email : 

    Hampir semua organisasi saat ini terhubung ke internet untuk berbagai tujuan termasuk email. Koneksi ke internet dan email 10 adalah jalan yang paling umum bagi malware untuk memasuki jaringan intranet perusahaan. Entri tersebut harus ditolak pada perimeter jaringan, sehingga setiap lalu lintas berbahaya dapat dihentikan sebelum mereka memasuki jaringan (LAN) perusahaan. Filter URL dapat membantu dalam mencegah pengguna dari mengunduh file dari internet yang mungkin berisi program tersembunyi yang berbahaya. Penyaringan terhadap email juga harus dilakukan untuk menyaring setiap email yang rentan membawa lampiran berbahaya.Terdapat berbagai alat gratis dan komersial untuk penyaringan URL. Squid adalah salah satu yang populer dan stabil, merupakan perangkat lunak open source pada web proxy yang mendukung penyaringan URL. Squid Guard adalah tool dapat digunakan untuk menyederhanakan tugas penyaringan URL. Tool ini adalah plug-in untuk squid yang merupakan kombinasi dari filter, redirector, dan akses kontrol, yang dapat digunakan untuk membuat aturan akses berdasarkan pada waktu, kelompok pengguna, dan URL. Berbagai blacklist juga dapat digunakan untuk melakukan penyaringan URL. 

b. Pembatasan Internet menggunakan daftar 

    Salah satu cara termudah untuk melakukan penyaringan URL yang baik adalah dengan menggunakan daftar (list), terdapat dua jenis daftar yaitu, blacklist dan whitelist. Blacklist adalah daftar, yang berisi semua URL atau situs yang dilarang. Whitelist adalah daftar yang berisi semuaURL atau situs yang diizinkan. Keduanya dapat disebut sebagai 'Web ACL'. Dalam lingkungan terbatas dan aman, dianjurkan untuk menggunakan whitelist. Namun, untuk menciptakan whitelist, pertama semua URL yang dibutuhkan untuk menjalankan bisnis harus di identifikasi. Jika daftar ini terbatas, maka menggunakan whitelist adalah cara terbaik. Tetapi jika pengguna menggunakan internet melalui mesin pencari, maka whitelist tidak dapat diciptakan. Dalam kasus seperti blacklist harus dibuat, daftar ini harus berisi semuaURL yang akan 11 diblokir. Daftar ini pertama kali diperiksa oleh web proxy sebelum diijinkan untuk akses dan jika URL tidak ditemukan dalam daftar, berarti dapat diperbolehkan akses. 

c. Penenonaktifkan perangkat removable 

    Sebagian besar pembuat malware saat ini telah mengembangkan teknik untuk menyalin malware ke perangkat removable dan mereka jalankan segera setelah alat terkoneksi ke sistem. Disarankan untuk menonaktifkan semua perangkat removable, jika tidak keperluan. Hal ini dapat dilakukan dengan melepas kabel koneksi pada motherboard, menonaktifkan port onboard, (USB,Bluetooth, IR) di BIOS dan juga pada tingkat OS dengan memanfaatkan GPO(Group Policy Objects) pada windows dan pembatasan akses dalam Linux. Kadang-kadang menonaktifkan USB port pada tingkat BIOS mungkin tidak tepat, jika sistem menggunakanUSB keyboard dan mouse. Masalah ini dapat diatasi dengan menggunakan pembatasan tingkat OS, terdapat beberapa produk yang diciptakan untuk tujuan ini (seperti Pointsec, Safend, Safeboot), yang memiliki efisiensi dan fitur yang jauh lebih baik daripada metode dengan memblokir seperti yang dibahas atas. 

d. Hash sistem file : 

    Langkah penting lainnya dalam tahap persiapan adalah koleksi hash untuk file-file yang penting, terutama file sistem. Biasanya, jika mesin berperilaku tidak normal atau dicurigai terinfeksi dengan malware, file yang dimodifikasi dapat dideteksi dengan membandingkan hash sistem file dengan hash yang asli. File-file juga dapat diperiksa untuk setiap infeksi malware dengan menggunakan layanan online scan antivirus yang telah dikenal atau dapat pula menyampaikan laporan kepada vendor antivirus untuk dilakukan analisis. 12 

e. Intrusion Detection System berbasis host 

    Salah satu cara mudah untuk memeriksa setiap perubahan pada file system adalah dengan menggunakan Intrusion Detection System(IDS) berbasis host. IDS ini awalnya menghitung nilai hash dari semua file sistem dan menyimpannya didatabase. Hash dari file tersebut berubah setiap kali system melakukan modifikasi pada file. Dengan cara ini setiap perubahan tidak sah dapat diidentifikasi. IDS juga memeriksa setiap proses tersembunyi, mengurai log untuk setiap aktivitas yang mencurigakan. Ada banyak perangkat lunak IDS baik yang free maupun komersial. Perangkat lunak open source seperti Samhain, OSSEC dan Osiris adalah beberapa contoh dari IDS berbasis Host. 

f. Antivirus 

    Organisasi harus memiliki perangkat lunak antivirus yang tersedia dilingkungannya, terutama untuk semua sistem yang memiliki koneksi internet atau perangkat removable (USB , DVDRW drive dll ) yang aktif. Dalam hal ini dianjurkan untuk menggunakan model client-server yang jauh lebih mudah dalam hal pengelolahan. Status kerja dari antivirus pada client, instalasi pada client secara remote, dan pemindaian jarak jauh pada system adalah beberapa keuntungan pada model menggunakan solusi berbasis server. 

g. Deteksi Antivirus 

    Online Ada dua jenis scanner antivirus secara online, masing-masing untuk tujuan yang sedikit berbeda. 

1. Scanner File: Setelah file berbahaya atau malware file yang terinfeksi diidentifikasi, dapat dipindai dengan menggunakan beberapa mesin antivirus yang tersedia secara online. Hal ini akan berguna jika malware tidak dapat diidentifikasi oleh mesin antivirus yang dimiliki. Bisa juga terjadi suatu situs scan online menyediakan scan gratis dengan menggunakan beberapa mesin antivirus, sehingga jika salah satu mesin tidak mengenali, maka mesin yang lain bisa mengenali malware, karena anti virus hanya dapat mendeteksi jenis malware tertentu yang ada pada waktu tertentu. Jika malware terdeteksi oleh salah satu mesin antivirus, maka penanganan insiden menjadi mudah.

2. Sistem Scanner: berguna untuk memindai seluruh sistem dari kehadiran malware. Hal ini berguna, jika sistem benarbenar terinfeksi dan instalasi perangkat lunak tidak memungkinkan. Hal ini dapat dilakukan untuk mengidentifikasi malware atau memeriksa keberhasilan proses pemberantasan. Pada metode ini, mesin antivirus melakukan download yang diikuti oleh file definisi dari virus. Ini akan dilakukan secara otomatis menggunakan ActiveX teknologi. 

h. Virus Submissions URL: 

Jika malware baru terdeteksi namun tidak dapat diidentifikasi atau dihapus, bisa dikirimkan ke laboratorium penelitian antivirus untuk analisis. Jika setidaknya salah satu mesin antivirus pada layanan online mendeteksi malware, maka akan otomatis dikirim ke semua laboratorium penelitian mesin antivirus lain untuk analisis.

i. Virus Removal Tools: 

    Komponen lain yang harus disediakan dalam penanganan insiden malware adalah tool dari berbagai vendor antivirus untuk menghapus malware. Tool penghapus virus bisa lebih efektif, efisien, dan mudah untuk bekerja daripada mesin antivirus. Namun, tool tersebut sebagian besar hanya bekerja terbatas pada satu keluarga malware. McAfee Stringer adalah alat removal untuk suatu kelompok malware

j. Mesin Uji 

    Mesin uji adalah suatu sistem yang idealnya terisolasi, dimana malware diperbolehkan untuk menyerang dan secara bersamaan atau dikemudian akan dianalisis. Perangkat lunak virtual mesin seperti VMWare, MS VPC, Xen bisa digunakan untuk membuat mesin virtual untuk melakukan analisis terhadap malware. Virtual mesin menghemat banyak waktu dalam menciptakan laboratorium uji dan juga dalam mengembalikan sistem ke keadaan sebelum terinfeksi. Namun, memiliki mesin uji secara fisik juga dianjurkan karena sebagian besa malware canggih menggunakan teknik deteksi yang sama seperti pada mesin virtual. Jika malware cukup canggih dan dapat mengidentifikasi mesin virtual, kemungkinan dapat menjadi aktif dan dapat merusak mesin virtual. Hal ini dapat diatasi dengan baik menggunakan “Tweaking mesin virtual” 'atau dengan melakukan patching terhadap malware. Jika langkah-langkah itu gagal, satusatunya pilihan adalah dengan menggunakan mesin fisik. Untuk membuat pekerjaan lebih mudah, sebuah solusi untuk membuat image disk to disk seperti Symantec Ghost akan sangat berguna. Pekerjaan menyiapkan laboratorium dan mengembalikan sistem ke keadaan bersih seperti semula hanya memerlukan waktu beberapa menit dibandingkan dengan waktu kerja yang dibutuhkan dalam menginstal sistem operasi, driver, dan alat-alat utilitasnya

k. Utilitas Sistem Operasi: 

    Ketika wabah malware terjadi, program utilitas dapat digunakan dalam sistem operasi yang lumpuh. Dalam situasi seperti itu, sumber non-terinfeksi bisa sangat membantu. Operasi asli utilitas bersama dengan utilitas pihak ketiga dapat disalin pada media yang hanya memiliki fungsi baca seperti CD-ROM atau DVD-ROM, sehingga tidak terinfeksi ketika dijalankan. Untuk Microsoft Windows, SysInternals host adalah utilitas yang berdaya kuat dan sederhana. Utilitas ini dapat diunduh bebas biaya dan ditambahkan ke "Utilitas Toolkit". Utilitas ini dapat digunakan untuk mengumpulkan sampel untuk analisis malware atau untuk mengidentifikasi, menampung, dan memberantas malware.

l. Reverse Engineering Tools: 

    Untuk analisis malware, juga perlu memiliki tool untuk melakukan reverse engineering dari sampel suatu malware. Alat analisis executable seperti PEInfo, PEiD ExeInfo, BinText bisa memberikan beberapa informasi awal mengenai cara eksekusi dari suatu malware, seperti algoritma pengemasan atau string yang digunakan oleh malware bisa ditemukan. Kemudian berbagai unpackers yang sesuai dapat digunakan untuk membongkar cara eksekusi, dan cara eksekusi yang telah terbongkar dapat dianalisis dengan alat dan teknik pembalikan (reverse). Kadang-kadang, ketika unpackers tidak tersedia atau algoritma yang digunakan tidak diketahui, maka analisis dinamis atau runtime dapat digunakan dengan menggunakan debugger. OllyDbg dan Imunitas Debugger adalah beberapa debugger terbaik yang ada pada saat ini. Softice adalah salah satu debugger alternatif yang bersifat komersial. Beberapa malware juga dilengkapi dengan deteksi rutin debugger, jika debugger terdeteksi hadir, maka malware merusak system operasi yang aktif atau pergi (beberapa mungkin menghancurkan diri) untuk menentang setiap analisis executablenya.

    Banyak alat-alat bantu di SysInternal Suit pada berbagai tahap analisis. Process Explorer, Process Monitor, Berkas Monitor, Registry Monitor,Streaming adalah beberapa alat-alat dalam toolkit yang harus dimiliki oleh setiap insinyur untuk melakukan teknik reverse.

iii Penyiapan Personil (orang)

a. Kesadaran Keamanan : Kesadaran keamanan dapat dianggap sebagai yang paling penting dari semua langkah-langkah persiapan, yang dapat membantu dalam mengidentifikasi dan mencegah sebagian besar masalah yang akan timbul.

Pengaman Sistem Operasi Serangan Aktif/Pasif ~#Pert4