Shellshock bug, mengapa Anda harus peduli?

Shellshock bug, mengapa Anda harus peduli?
Andre, 2015-21-01
For insights on Shellshock mitigation in English, please see "Shellshock: Keep Calm and Mitigate" by Lori MacVittie:
https://devcentral.f5.com/articles/shellshock-keep-calm-and-mitigate.
Shellshock merupakan celah terburuk selama satu dekade yang menimpa internet; menurut para ahli keamanan IT ;
dan kerentanan ini tidak hanya mengintai pengguna enterprise tetapi juga end-user yang menggunakan perangkat
pintar.
Coba bayangkan jika seseorang memiliki kemampuan untuk mengambil alih kontrol suatu sistem komputer secara
remote / dari jarak jauh, dan memanipulasi semua hal yang terdapat di dalamnya. Dengan memiliki kontrol penuh, orang
tersebut tidak hanya akan mampu mematikan sistem IT yang dikontrolnya, tetapi juga bisa melakukan apapun terhadap
informasi, data, serta aplikasi yang terdapat di dalam sistem tersebut. Alangkah buruknya, jika hal ini menimpa industri
keuangan seperti bank dan institusi keuangan lainnya. Aksi pengambilalihan kendali sistem keuangan tentunya bisa
berakibat fatal terhadap perusahaan maupun nasabah mereka, dimana pelaku tersebut juga bisa mengambil alih kontrol
perangkat mobile para nasabah, mencuri data mereka, hingga melakukan berbagai transaksi tanpa disadari oleh nasabah
tersebut.
Contoh di atas mungkin belum terjadi di Indonesia saat ini, tetapi hal tersebut meruapakan ancaman keamanan yang
dimungkinkan terjadi karena adanya Shellshock bug. Ancaman diatas adalah ancaman nyata karena itu regulator
keuangan di Amerika sedang gencar-gencarnya menyarankan bank dan institusi keuangan di negara tersebut agar
secepatnya menambal celah keamanan sistem mereka, untuk meminimalkan dan mengatasi efek dari Shellshock. Perlu
diketahui oleh semua orang, mulai dari pengguna enterprise hingga pengguna personal, bahwa ancaman keamanan ini
tidak hanya berpotensi menyerang sektor keuangan, tetapi juga bisa berpengaruh ke hampir semua perangkat dan
sistem yang terhubung dengan internet. Mengapa ‘Shellshock bug’ ini bisa sangat berbahaya?
Shellshock bug adalah celah keamanan yang baru ditemukan dan terdapat di hampir seluruh komputer dan perangkat di
dunia yang berbasis Linux; OS berbasis Linux, Android, hingga Mac OS X rentan terhadap eksploitasi celah keamanan
ini. Celah keamanan ini juga bisa berdampak ke platform lain, seperti contohnya Windows, Bash shell; salah satu jenis
program penerjemah baris perintah agar bisa dimengerti dan dijalankan oleh sistem operasi;
Siapapun bisa menjadi target eksploitasi dari celah keamanan ini, bahkan pengguna awam-pun bisa terkena dampaknya
jika mengakses suatu website yang sistem keamanannya sudah dieksploitasi hacker menggunakan Shellshock bug.
Shellshock disebut-sebut sebagai bug / celah keamanan terburuk selama satu dekade. Parahnya celah keamanan ini
sebenarnya sudah ada sejak lebih dari dua dekade. Karena sudah ada sejak lama, maka jutaan sistem; mulai dari
perangkat pintar, komputer, dan server yang terdapat di institusi pemerintahan, militer, enterprise, hingga end-user;
rentan terhadap celah keamanan ini.
Menurut U.S. Vulnerability Data-base skala tingkat keparahan dampak dari Shellshock bug ini mencapai nilai 10 dari
10; artinya sangat parah. Shellshock bug bahkan jauh lebih parah dari Heartbleed; suatu celah keamanan lainnya yang
juga ditemukan beberapa saat lalu. Mengapa demikian? Karena jika hackers mengeksploitasi Heartbleed, mereka ‘hanya’
bisa memata-matai informasi dan data di dalam sistem yang mereka serang, sedangkan jika mengeksploitasi Shellshock
bug, hacker akan mampu mengambil alih kontrol dari sistem tersebut. Lebih membahayakan lagi, celah keamanan ini
dapat dieksploitasi dengan relatif mudah; hanya membutuhkan tiga baris kode yang sederhana untuk dimasukkan ke
dalam shell sistem yang menjadi target.
Banyak vendor OS / sistem operasi yang sedang mengerjakan patch untuk menambal celah keamanan tersebut. Patch
sistem tersebut tentu saja akan semakin banyak bermunculan dengan cepat, tetapi kita (dan tentu saja sang penyerang)
tahu bahwa butuh waktu yang tidak sedikit untuk menerapkan patch tersebut ke dalam suatu sistem operasi. Sebelum
menerapkan patch baru, vendor operasi sistem harus mensertifikasi hingga melakukan beberapa penyesuaian ke dalam
sistem operasi mereka. Selagi menunggu patch untuk sistem operasi, kita sebagai pengguna tidak bisa diam saja
menunggu serangan ini terjadi terhadap sistem kita. Kita harus bertindak segera untuk menemukan solusinya.
Bagi pengguna end-user, sangat disayangkan karena mau tidak mau mereka harus menunggu vendor sistem mereka
untuk memberikan update / patch yang bisa menambal celah sistem keamanan tersebut, namun pengguna enterprise
menunggu serangan ini terjadi terhadap sistem kita. Kita harus bertindak segera untuk menemukan solusinya.
Bagi pengguna end-user, sangat disayangkan karena mau tidak mau mereka harus menunggu vendor sistem mereka
untuk memberikan update / patch yang bisa menambal celah sistem keamanan tersebut, namun pengguna enterprise
lebih beruntung karena saat ini sudah tersedia berbagai pilihan untuk menanggulangi eksploitasi Shellshock bug melalui
melalui aplikasi web.
Agar bisa menanggulangi serangan melalui aplikasi web, enterprise membutuhkan Web Application Firewalls (WAF).
WAF; contohnya BIG-IP ASM dari F5 Networks yang mendukung berbagai custom signature; bisa langsung digunakan
untuk menghalang serangan ini. WAF dari F5 sudah ahli dalam mengidentifikasi upaya-upaya yang dilakukan oleh
penyerang untuk menghindari deteksi keamanan, contohnya adalah penyandian dan penyusupan huruf-huruf tertentu.
Hal terpenting bagi para pengguna, mulai dari pengguna end-user hingga enterprise, adalah mengetahui adanya celah
keamanan ini sehingga bisa lebih waspada. Karena segala sesuatu sudah semakin terhubung dengan internet / jaringan,
maka sudah sepatutnya keamanan menjadi prioritas utama bagi pengguna.
F5 Networks, Inc. | 401 Elliot Avenue West, Seattle, WA 98119 | 888-882-4447 | f5.com
F5 Networks, Inc.
Corporate Headquarters
[email protected]
F5 Networks
Asia-Pacific
[email protected]
F5 Networks Ltd.
Europe/Middle-East/Africa
[email protected]
F5 Networks
Japan K.K.
[email protected]
©2016 F5 Networks, Inc. All rights reserved. F5, F5 Networks, and the F5 logo are trademarks of F5 Networks, Inc. in the U.S. and in certain other countries. Other F5
trademarks are identified at f5.com. Any other products, services, or company names referenced herein may be trademarks of their respective owners with no
endorsement or affiliation, express or implied, claimed by F5. CS04-00015 0113