Giải pháp đánh giá và quản lý rủi ro an toàn thông tin trong Chính phủ điện tử

Tóm tắt—Bài báo này trình bày kết quả nghiên cứu xây dựng giải pháp đánh giá và quản lý rủi ro an toàn hệ thống thông tin trong Chính phủ điện tử. Trong bài toán này, chúng tôi tập chung vào xây dựng (i) quy trình đánh giá, quản lý rủi ro an toàn thông tin (ATTT), và (ii) hệ thống phần mềm UET.SRA (Security Risk Assessment System) hỗ trợ đánh giá, quản lý rủi ro theo quy trình đã xây dựng. Việc quản lý và đánh giá rủi ro ATTT được kết hợp theo các tiêu chuẩn trong nước và quốc tế bao gồm các quy trình trong ISO/IEC 27005:2011 và NIST SP 800-39, nhưng được tuỳ biến để phù hợp với thực tiễn của các cơ quan chính phủ. Hệ thống phần mềm UET.SRA đánh giá rủi ro ATTT dựa theo phương pháp kiểm tra các lỗ hổng và sự phơi nhiễm phổ biến (Common Vulnerabilities and Exposures – CVE); việc ước lượng rủi ro định lượng theo Hệ thống chấm điểm lỗ hổng phổ biến (Common Vulnerability Scoring System - CVSS) và Dự án mở về bảo mật ứng dụng web (Open Web Application Security Project - OWASP). Ngoài ra, UET.SRA còn cung cấp chức năng phân tích, phát hiện các lỗ hổng, các đoạn mã độc trong mã nguồn ứng dụng Web sử dụng công nghệ học sâu (deep learning). Kết quả thử nghiệm giải pháp UET.SRA tại Bộ Tài nguyên và Môi trường (TN&MT) bước đầu đã minh chứng được ý nghĩa thực tiễn và cho phép quản lý được các rủi ro ATTT đối với một số hệ thống trọng yếu của Bộ TN&MT. Abstract—This article presents the results of building a solution to access and manage security risks for the e-Government information system. We focus on building a process and software system UET.SRA to manage and assess security risks. The process was developed using a combination of international and domestic standards including ISO/IEC 27005:2011 and NIST SP 800-39, but customized to match the practice of government agencies. UET.SRA evaluates security risks based on CVEs vulnerability testing; quantitative risk based on CVSS and OWASP standards. In addition, UET.SRA also provides the function of detecting vulnerabilities and webshell in the source code of web applications using deep learning algorithms. The experimental results of UET.SRA at the Ministry of Natural Resources and Environment have initially demonstrated practical effectiveness in managing security risks for a number of critical systems.

Web Application Penetration Testing Using SQL Injection Attack

A web application is a very important requirement in the information and digitalization era. With the increasing use of the internet and the growing number of web applications, every web application requires an adequate security level to store information safely and avoid cyber attacks. Web applications go through rapid development phases with short turnaround times, challenging to eliminate vulnerabilities. The vulnerability on the web application can be analyzed using the penetration testing method. This research uses penetration testing with the black-box method to test web application security based on the list of most attacks on the Open Web Application Security Project (OWASP), namely SQL Injection. SQL injection allows attackers to obtain unrestricted access to the databases and potentially collecting sensitive information from databases. This research randomly tested several websites such as government, schools, and other commercial websites with several techniques of SQL injection attack. Testing was carried out on ten websites randomly by looking for gaps to test security using the SQL injection attack. The results of testing conducted 80% of the websites tested have a weakness against SQL injection attacks. Based on this research, SQL injection is still the most prevalent threat for web applications. Further research can explain detailed information about SQL injection with specific techniques and how to prevent this attack.

ANALISIS KERENTANAN KEAMANAN WEBSITE MENGGUNAKAN METODE OWASP (OPEN WEB APPLICATION SECURITY PROJECT) PADA DINAS TENAGA KERJA

Dinas Tenaga Kerja dan Transmigrasi merupakan organisasi perangkat daerah yang memiliki websiste sebagai media yang menampilkan secara interaktif jurnal informasi dan pembangunan daerah, media interaksi antara masyarakat dengan pemerintah. Terjadinya transisi komunikasi secara tradisional ke dalam lingkup aplikasi berbasis website bisa saja dimanfaatkan oleh beberapa pelaku kejahatan dunia maya dengan tujuan mencuri informasi rahasia pengguna dengan tujuan tertentu, maka mendeteksi kerentanan keamanan website adalah hal yang sangat penting Untuk mengetahui tingkat risiko pada sistem informasi harga komoditas utama menggunakan metode Open Web Application Security Project (OWASP) Risk Rating untuk mendeteksi kerentanan keamanan pada aplikasi berbasis website. Penelitian ini menghasilkan 2 faktor untuk memperkirakan Likelihood dan Impact, dari masing-masing faktor terdapat 3 risiko yang ditemukan yaitu risk severity High, risk severity Medium dan risk severity Low. Hasil penilaian risiko ini dapat membantu para pengelola dan pengembang sistem untuk menyadari risiko yang mungkin terjadi sehingga dapat mengambil tindakan untuk mencegah dan mengatasi risiko tersebut.

Penetration Testing pada Website Universitas ARS Menggunakan Open Web Application Security Project (OWASP)

Universitas ARS adalah perguruan tinggi yang memanfaatkan website dalam melakukan kegiatan perkuliahannya. Seluruh informasi yang berkaitan dengan perkuliahan dimuat di website Universitas ARS. Banyak resiko yang akan terjadi apabila web server yang digunakan oleh website Universitas ARS tidak memiliki keamanan yang baik, banyak ancaman dari pihak yang tidak bertanggung jawab memanfaatkan celah keamanan untuk merugikan Universitas ARS. Tujuan penelitian ini adalah melakukan identifikasi kerentanan yang terdapat dalam website Universitas ARS dan melakukan pengujian serta analisis untuk mengetahui kondisi kerentanan website Universitas ARS menggunakan OWASP. Metode penelitian yang digunakan sebagai parameter keamanan website adalah OWASP Top-10 2017. Jumlah subdomain yang diuji adalah 5 subdomain yang teridentifikasi dengan melakukan scanning menggunakan tool TheHarvester diantaranya adalah https://universitas.ars.ac.id, http://mahasiswa.ars.ac.id, https://pmb.ars.ac.id, https://beasiswa.ars.ac.id, dan http://ejurnal.ars.ac.id. Hasil dari penelitian ini adalah ditemukannya kerentanan website Universitas ARS yang berhasil dipindai adalah 13 kerentanan. Dari 13 kerentanan tersebut ada 1 kerentanan yang berada pada tingkat ancaman yang sedang dan 12 berada pada tingkat ancaman yang rendah. Berdasarkan seluruh pengujian kerentanan yang dilakukan dapat disimpulkan bahwa website Universitas ARS memiliki keamanan yang sangat baik, memenuhi ketiga aspek keamanan informasi, memiliki web server dan software sistem informasi akademik yang aman.

Analisis Kualitas Keamanan Sistem Informasi E-Office Berbasis Website Pada STMIK Rosma Dengan Menggunakan OWASP Top 10

STMIK ROSMA Karawang telah menerapkan pengarsipan dokumen surat di kampus, yang mana kesemuanya diatur secara daring (online) menggunakan sistem informasi e-office berbasis web. Sejak tahun 2020, Sistem Informasi e-office beberapa kali mengalami pengembangan dari sisi fitur yaitu fitur booking nomor surat dengan metode multiple insert query maupun data yang disimpan. Data tersebut menyimpan data dokumen surat baik itu surat masuk, surat keputusan, surat keuangan, surat keluar ketua, surat keluar wakil ketua dan surat keluar akademik STMIK ROSMA. Mengingat pentingnya data yang tersimpan maka perlu diterapkan pengujian keamanan dari sistem informasi e-office. Pengujian keamanan tersebut dilakukan untuk mengetahui tingkat kerentanan agar terhindar dari pihak yang tidak bertanggung jawab. Salah satu metode untuk menguji sistem informasi berbasis web adalah metode OWASP (Open Web Application Security Project) TOP 10 yang dikeluarkan oleh owasp.org sebuah organisasi non profit yang berdedikasi pada keamanan aplikasi berbasis web. Hasil pengujian menggunakan OWASP TOP 10 menunjukkan 10 kerentanan yang sering terjadi terhadap sistem informasi berbasis website sehingga perlu dilakukan perbaikan lebih lanjut oleh pihak pengembang sistem informasi e-office STMIK ROSMA.