Firewall

Pengertian

    Firewall atau tembok-api adalah sebuah sistem atau perangkat yang mengizinkan lalu lintas jaringan yang dianggap aman untuk melaluinya dan mencegah lalu lintas yang tidak aman. Umumnya firewall diterapkan dalam sebuah mesin terdedikasi, yang berjalan pada pintu gerbang ( Gateway ) antara jaringan lokal dan jaringan lainnya. Tembok-api umumnya juga digunakan untuk mengontrol akses terhadap siapa saja yang memiliki akses terhadap jaringan pribadi dari pihak luar

Jenis-Jenis Firewall

1. Personal Firewall

    Personal firewall merupakan firewall yang dimanfaatkan oleh individu atau perseorangan yang dimanfaatkan untuk melindungi komputernya dari berbagai serangan luar yang bisa menyerang dan mengambil data. Biasanya firewall ini akan berbentuk sebuah perangkat lunak atau software yang sebelumnya sudah terbundel di dalam sistem operasi. Selain itu, firewall ini juga bisa berupa sebuah aplikasi  yang harus diinstal terlebih dahulu sebelum pengguna tersebut memasangnya untuk digunakan sebagai benteng.

Beberapa manfaat yang diperoleh dari penggunaan personal firewall adalah pengguna

bisa terhindar dari spamming, spyware, atau juga virus yang bisa masuk kapan saja ke

dalam komputer tanpa sepengetahuan kita.

2. Network Firewall

    Seperti namanya, Network Firewall merupakan sebuah keamanan yang digunakan di dalam sebuah jaringan komputer. Terdapat berbagai macam network firewall yang saat ini beredar di luar sana. Beberapa contoh dari network firewall yang terkenal antara lain: ISA Server, IP Tables, Cisco ASA, Cisco PIX, dan lain sebagainya. Kesemua jenis dari network firewall ini pada dasarnya memiliki satu fungsi yang sama, yakni untuk melindungi sebuah jaringan komputer dari berbagai kejahatan dunia maya yang bisa kapan saja masuk dan mencuri data penting.

Fungsi Firewall

Secara fundamental, firewall dapat melakukan hal-hal berikut :

• Mengatur dan Mengontrol lalu lintas jaringan
• Melakukan autentikasi terhadap akses
• Melindungi sumber daya dalam jaringan private
• Mencatat semua kejadian, dan melakukan kepada administrator

Mengatur dan Mengontrol lalu lintas jaringan

    Fungsi pertama yang dapat dilakukan oleh Firewall adalah harus dapat mengatur dan mengontrol lalu lintas jaringan yang diizinkan untuk mengakses jaringan private atau komputer yang dilindungi oleh firewall

Proses Inspeksi Paket

    Inspeksi Paket  (packet inspection) merupakan proses yang dilakukan oleh firewall untuk "menghadang" dan memproses data dalam sebuah paket untuk menentukan bahwa paket tersebut diizinkan atau ditolak, berdasarkan Kebijakan akses (access policy) yang diterapkan oleh seorang administrator. Inspeksi Paket dilakukan dengan melihat elemen-elemen berikut 

• Alamat IP dari komputer sumber
• Port sumber pada komputer sumber
• Alamat IP dari komputer tujuan
• Port tujuan data pada komputer tujuan
• Protokol IP
• Informasi header-header yang disimpan dalam paket

Arsitektur Firewall

1. Dual-Homed Host

    Arsitektur firewall yang pertama dinamakan sebagai arsitektur dual-homed host. Artinya, arsitektur yang satu ini harus terdapat setidaknya interface jaringan sebanyak 2.

Untuk bisa mengaktifkan arsitektur ini, maka router yang ada di dalam jaringan komputer tersebut harus dinon-aktifkan terlebih dahulu. Selain itu, sistem komputer nantinya dapat melakukan komunikasi dengan dual-homed host dan juga sistem yang ada di luar firewall. Namun, kedua sistem ini tidak bisa melakukan komunikasi langsung.

2. Screened Host

    Arsitektur firewall yang kedua dinamakan sebagai arsitektur screened host. Fungsi dari arsitektur yang satu ini adalah menyediakan layanan yang berasal dari jaringan host untuk kemudian diberikan kepada jaringan lokal atau internal dengan cara menggunakan router yang diatur terpisah. Cara melakukan pengamanan dengan menggunakan screened host adalah dengan memanfaatkan paket filtering.

3. Screened Subnet

    Arsitektur screened subnet merupakan arsitektur dari firewall yang juga akan kami bahas. Fungsinya adalah untuk menambahkan layer pengaman sebagai tambahan yang terdapat di dalam screened host. Bagaimana caranya? Caranya adalah menambahkan sebuah jaringan parameter agar lebih mudah untuk mengisolasi pada jaringan internal.

    Jaringan parimeter ini nantinya akan mengisolasi bastion host sehingga membuatnya tidak langsung bersentuhan dengan jaringan internal. Arsitektur tipe ini juga terkenal yang paling sederhana karena hanya memiliki dua screening router yang kesemuanya sudah terkoneksi ke jaringan parameter. Posisi router pertama berada di antara jaringa internal dan jaringan parameter. Sementara router kedua lokasinya berada di antara jaringan eksternal atau yang juga dinamakan dengan internet dan jaringan parameter. Itulah penjelasan mengenai karakteristik firewall beserta arsitekturnya dalam jaringan

yang perlu diketahui.

Firewall Based OSI Layers

    Berdasarkan jenisnya memiliki beberapa fungsi yang berbeda, namun tujuannya sama yakni sebagai

proteksi. Untuk lebih jelasnya sebagai berikut:

1. Packet Filter Firewall

    Cara kerja packet filter firewall yakni melakukan perbandingan antara alamat sumber paket data 

dengan kebijakan akses dalam access control list firewall, dalam hal ini memakai router, jadi router memiliki peranan penting apakan akan meneruskan atau memutuskan paket data yang akan masuk ke

jaringan privat.

2. Circuit Level Gateway

    Cara kerja circuit level gateway yakni memakai komponen dalam sebuah proxy server sehingga beroperasi di level yang lebih tinggi dalam tingkatan 7 OSI layer (baca: fungsi 7 OSI layer) daripada packet filter firewall. Paket firewall ini membuat sirkuit virtual (virtual circuit) bagi pengguna dan sumber daya dalam menjalankan aktifitasnya, sehingga alamat IP dari pengguna tidak dapat dilihat oleh

pengguna luar, yang terlihat adalah alamat IP firewall.

3. Application Level Gateway

    Cara kerja application level gateway yakni dengan melakukan autentikasi kepada pengguna sebelum mengizinkan akses menuju jaringan. Setelah diizinkan masuk jaringan, paket firewall ini memakai auditing dan pencatatan aktifitas pengguna atas kebijakan security yang diterapkan.

4. Firewall Statefull

    Cara kerja firewall stateful ini bisa dibilang kompleks kombinasi dari packet filter firewall, circuit level gateway, NAT firewall, dan proxy firewall kedalam satu sistem. Firewall ini hanya tersedia pada Cisco

PIX.

Firewall Policies

    Firewall Policies adalah kebijakan firewall yang memungkinkan Anda untuk memblokir atau mengizinkan jenis lalu lintas jaringan tertentu yang tidak ditentukan dalam policy exception (pengecualian kebijakan).

Firewall policies juga menentukan fitur firewall mana yang diaktifkan atau dinonaktifkan.

Anda dapat menetapkan policy atau kebijakan untuk satu atau beberapa profil firewall.

Dengan integrasi direktori aktif dan administrasi yang berbasis peran, setiap peran pengguna, tergantung pada izin, dapat membuat, mengonfigurasi, atau menghapus kebijakan untuk domain tertentu dan lain sebagainya.

IP Tables

    iptables adalah suatu tools dalam sistem operasi linux yang berfungsi sebagai alat untuk melakukan filter (penyaringan) terhadap (traffic) lalulintas data. Secara sederhana digambarkan sebagai pengatur lalulintas data. Dengan iptables inilah kita akan mengatur semua lalulintas dalam komputer kita, baik yang masuk ke komputer, keluar dari komputer, ataupun traffic yang sekedar melewati komputer kita.

Beberapa table yang dimiliki IPTABLES

Ada 3 tables dalam iptables:

1. Filter: tabel default yang ada pada iptables. Di sini bisa ditentukan apakah paket akan di- DROP, LOG, ACCEPT, atau REJECT.
2. NAT: tabel ini digunakan untuk fungsi NAT, redirect, dan redirect port. NAT adalah Network Address Translation (penggantian field alamat asal atau alamat tujuan dari paket).
3. Mangle: berfungsi sebagai penghalus proses pengaturan paket. Contohnya adalah TTL, TOS, dan MARK.

Pada table Filter, terdapat 3 jenis Chain:

INPUT

Mengatur paket data yang memasuki firewall dari arah intranet maupun internet. kita bisa mengelolakomputer mana saja yang bisa mengakses firewall. misal: hanya komputer IP 192.168.1.100 yang bisa SSHke firewall dan yang lain tidak boleh.

OUTPUT

Mengatur paket data yang keluar dari firewall ke arah intranet maupun internet. Biasanya output tidak diset,karena bisa membatasi kemampuan firewall itu sendiri.

FORWARD

Mengatur paket data yang melintasi firewall dari arah internet ke intranet maupun sebaliknya. Policy forward paling banyak dipakai saat ini untuk mengatur koneksi internet berdasarkan port, mac address dan alamat IP Selain aturan (policy) firewall iptables juga mempunyai parameter yang disebut dengan TARGET, yaitu status yang menentukkan koneksi di iptables diizinkan lewat atau tidak.

Ada 3 jenis NAT:

1. FORWARD: Route pacet akan di-FORWARD tanpa diproses lanjut di local.
2. OUTPUT: Route pacet keluar dari sistem local.
3. POSTROUTING: Chain yang digunakan untuk keperluan perlakuan sesudah paket masuk route. Biasanya dipakai untuk proses NAT.

Apa yang membedakan Mangle dengan table yang lain?

Yang membedakan Mangle dengan table yang lain adalah membuat paket-paket Anda ditandai satu per satu. Tujuannya adalah agar paket tersebut mempunyai ciri khas, sehingga paket tersebut dapat diolah lebih lanjut sesuai dengan policy yang akan Anda terapkan.

Tabel Mangle memiliki kemampuan untuk menggunakan semua chain yang ada dalam IPTables seperti INPUT, OUTPUT, PREROUTING, dan sebagainya. Dengan menggunakan tabel ini, Anda bisa melakukan banyak hal, seperti misalnya melakukan pengubahan routing sesuai dengan kebijakan Anda, atau memberikan perlakuan khusus pada salah satu jenis paket atau yang sering disebut dengan istilah QoS, dan masih banyak lagi. Maka dari itu, Mangle banyak digunakan bersama dengan program lain untuk melayani pemprioritasan sebuah aplikasi.

Target-target pada mangle table adalah:

1. Target TOS digunakan untuk set atau merubah tipe dari servis dari paket. Hal ini bisa digunakan untuk membuat aturan-aturan dalam jaringan berdasarkan bagaimana paket dirouting dan sebagainya.
2. Target TTL digunakan untuk mengubah TTL (Time To Live) dari sebuah paket.Terget ini sebaiknya dipakai ketika kita menginginkan paket tersebut dibuang oleh Internet Service Providers.
3. Target MARK digunakan oleh untuk mengeset flag pada suatu paket. Flag ini dapat dikenali oleh program iproute2 untuk melakukan routing paket yang berbeda sesuai dengan flag apa yang dimiliki. Flag tersebut juga bisa digunakan untuk menentukan bandwidth limit dan queueing.

Apa tujuan dari penggunaan Chain Prerouting dengan Chain Postrouting?

    Prerouting adalah proses pendefinisian packet yang akan masuk ke dalam tubuh router melalui

interface. Postrouting adalah proses pendefinisian packet yang sudah keluar dari tubuh router

melalui sebuah interface.

Tujuan dari penggunaan Chain Prerouting dengan Chain Postrouting.

SNAT Target

    Target ini berguna untuk melakukan perubahan alamat asal dari paket (Source Network Address Translation). Target ini berlaku untuk tabel nat pada kolom POSTROUTING, dan hanya di sinilah SNAT bisa dilakukan. Jika paket pertama dari sebuah koneksi mengalami SNAT, maka paket-paket berikutnya dalam koneksi tersebut juga akan mengalami hal yang sama.

Contoh :

iptables –t nat –A POSTROUTING –o eth0 –j SNAT –to-source 194.236.50.155-194.236.50.160:1024-32000 DNAT Target

Berkebalikan dengan SNAT, DNAT digunakan untuk melakukan translasi field alamat tujuan (Destination Network Address Translation) pada header dari paket-paket yang memenuhi kriteria match. DNAT hanya bekerja untuk tabel nat pada chain PREROUTING dan OUTPUT atau chain buatan yang dipanggil oleh kedua chain tersebut.

Contoh :

iptables –t nat –A PREROUTING –p tcp –d 15.45.23.67 –dport 80 –j DNAT –to-destination 192.168.0.2 

Dalam penulisan IPTABLES, pada bagian Target, terdapat special property:

1. ACCEPT = berarti membolehkan paket untuk masuk.
2. DROP = akan membuang paket tanpa memberitahu node pengirim.
3. QUEUE = akan mengirim paket ke userspace.
4. RETURN = berati berhenti traverse dari chain ini dan melanjutkan ke rule selanjutnya dari calling chain sebelumnya .

Beda Drop dan Reject :

Drop akan mengabaikan packet yang datang tanpa memberitahu host pengirim, sementara reject mengabaikan packet akan tetapi memberi kabar pada host bahwa packet telah ditolak.

Contoh:

Iptables –A FORWARD –s 0/0 –i eth0 –d 192.168.1.58 –o eth1 –p TCP –sport 1024:65535 –m multiport –dports 80,443 –j ACCEPT

Penjelasan Contoh :

iptables akan memperbolehkan paket dengan spesifikasi di bawah untuk melakukan Forwarding dari eth0 ke eth1:

-source paket bebas

-destination dari paket adalah ip 192.168.1.58

-protokol TCP

-paket datang ke port 1024 sampai dengan 65535

-paket keluar dari port 80 atau 443

DMZ

    Dalam keamanan komputer , DMZ atau zona demiliterisasi (kadang-kadang disebut sebagai jaringan perimeter) adalah fisik atau logis subnetwork yang berisi dan mengekspos layanan eksternal menghadap organisasi ke jaringan biasanya lebih besar dan tidak dipercaya, biasanya Internet. Tujuan dari DMZ adalah menambahkan lapisan tambahan keamanan untuk organisasi jaringan area lokal (LAN); eksternal simpul jaringan dapat mengakses hanya apa yang terkena di DMZ, sedangkan sisanya dari jaringan organisasi yang firewall .

Nama ini berasal dari istilah " zona demiliterisasi ", sebuah daerah antara negara-negara bangsa di mana operasi militer tidak diizinkan.

    Dalam arti militer, DMZ tidak dilihat sebagai milik salah satu pihak yang berbatasan itu. Konsep ini berlaku untuk penggunaan komputasi dari metafora dalam DMZ yang, misalnya, bertindak sebagai gateway ke Internet umum, yang tidak aman seperti jaringan internal, maupun sebagai tidak aman sebagai internet publik.

    Dalam hal ini, host paling rentan terhadap serangan adalah mereka yang memberikan layanan kepada pengguna di luar jaringan area lokal , seperti e-mail , Web dan Domain Name System (DNS) server. Karena peningkatan potensi host ini menderita serangan, mereka ditempatkan dalam subnetwork tertentu untuk melindungi sisa jaringan jika penyusup yang berkompromi salah satu dari mereka berhasil.

    Host di DMZ diizinkan untuk memiliki konektivitas hanya terbatas untuk host tertentu di jaringan internal, sebagai isi dari DMZ tidak aman seperti jaringan internal. Demikian pula komunikasi antara host dalam DMZ dan jaringan eksternal juga dibatasi, untuk membuat DMZ lebih aman dari Internet, dan cocok untuk perumahan layanan ini tujuan khusus. Hal ini memungkinkan host dalam DMZ untuk berkomunikasi dengan kedua jaringan internal dan eksternal, sedangkan intervensi firewall mengontrol lalu lintas antara server DMZ dan klien jaringan internal, dan firewall lain akan melakukan beberapa tingkat kontrol untuk melindungi DMZ dari jaringan eksternal .

    Konfigurasi DMZ memberikan keamanan dari serangan eksternal, tetapi biasanya tidak memiliki bantalan pada serangan internal seperti mengendus komunikasi melalui analisa paket atau spoofing seperti spoofing e-mail .

    Ini juga kebiasaan kadang-kadang baik untuk mengkonfigurasi terpisah Baris Militarized Zone (CMZ), [ rujukan? ] Zona militer yang sangat dipantau terdiri dari sebagian besar Web server (dan server serupa yang antarmuka dengan dunia luar yaitu internet) yang tidak di DMZ tapi berisi informasi sensitif tentang mengakses server dalam LAN (seperti server database). Dalam arsitektur tersebut, DMZ biasanya memiliki aplikasi firewall dan FTP sementara CMZ host server Web. (Database server bisa di CMZ, di LAN, atau dalam VLAN yang terpisah sama sekali).

LAYANAN YANG SERING DIGUNAKAN

Setiap layanan yang disediakan untuk pengguna di jaringan eksternal dapat ditempatkan dalam DMZ. Yang paling umum dari layanan ini adalah:

• Server web
• Mail server
• Server FTP
• VoIP server
• CCTV

Server web yang berkomunikasi dengan database internal memerlukan akses ke database

server , yang tidak dapat diakses publik dan mungkin berisi informasi sensitif. Server web

dapat berkomunikasi dengan database server baik secara langsung atau melalui aplikasi

firewall untuk alasan keamanan.

E-mail pesan dan khususnya database pengguna bersifat rahasia, sehingga mereka biasanya disimpan di server yang tidak dapat diakses dari Internet (setidaknya tidak secara tidak aman), tetapi dapat diakses dari server email yang terhubung ke Internet.

Mail server di dalam DMZ melewati surat masuk ke server email aman / internal. Hal ini juga menangani surat keluar.

MANFAAT DMZ

Untuk keamanan, sesuai dengan standar hukum seperti HIPAA , dan pemantauan alasan, dalam lingkungan bisnis, beberapa perusahaan menginstal server proxy dalam DMZ. Ini memiliki manfaat sebagai berikut:

1. Mewajibkan pengguna internal (biasanya karyawan) untuk menggunakan server proxy untuk akses internet.

2. Mengurangi persyaratan akses bandwidth internet karena beberapa konten web dapat di-cache oleh server proxy.

3. Menyederhanakan pencatatan dan monitoring kegiatan pengguna. terpusat konten web filtering.