Analisis Celah Keamanan dan Mitigasi Website E-learning Itera Menggunakan Owasp Zed Attack Proxy

Ilham Firman Ashari(1*), Leonard Rizta Anugrah P(2), Nazla Andintya W(3), Siraz Tri Denira(4)

(1) Institut Teknologi Sumatera
(2) Institut Teknologi Sumatera
(3) Institut Teknologi Sumatera
(4) Institut Teknologi Sumatera
(*) Corresponding Author

Abstract

Website kuliah atau E-Learning ITERA merupakan sistem yang mewadahi proses belajar mengajar antara dosen dan mahasiswa. Keamanan informasi dari sistem ini sangat penting mengingat banyaknya data terkait nilai ataupun materi perkuliahan yang ada pada website e-learning ITERA. Default password pada e-learning ITERA sendiri sudah ditetapkan. Kredensial pasti juga sudah ditetapkan setiap pengguna yaitu email ITERA. Percobaan ini bertujuan mengetahui celah keamanan menggunakan reverse brute force attack dengan tools OWASP ZAP. Adapun beberapa serangan yang teridentifikasi sebanyak 9 celah keamanan yaitu Cross-Domain JavaScript Source File Inclusion, Incomplete or No Cache-control Header Set, Cookies without SameSite Attribute, Timestamp Disclosure – Unix, Absence of Anti-CSRF Tokens, X-Content-Type-Options Header Missing, Cookies No HttpOnly Flag, SQL Injection, .htaccess Information Leak, Absence of Anti-CSRF Tokens, Cookies No HttpOnly Flag. Hasil pengujian membuktikan bahwa website e-learning ITERA berhasil diserang dengan metode reverse brute force attack dengan pembuktian terdapat 3 URI dengan kerentanan yang beresiko tinggi dengan serangan SQL Injection setelah dipindai menggunakan OWASP ZAP. Hasil mitigasi untuk risiko ini adalah dengan menggunakan query sql dan filter input ke database. Kerentanan Resiko high memerlukan penanganan secepat mungkin karena memiliki resiko yang sangat signifikan kepada sistem. Kerentanan resiko medium juga perlu ditangani secepatnya karena dapat menyebabkan berbagai data yang seharusnya tidak terlihat oleh pengguna dapat diakses. Begitu pula pada kerentanan resiko low perlu ditangani karena dapat memicu celah – celah keamanan lain yang lebih besar, misalnya pada Absence of Anti CSRF Token dapat memicu serangan berupa brute force.

Keywords

E-learning, OWASP, brute force attack, audit, celah keamanan.

Full Text:

PDF

References

I. F. Ashari, “Analysis and Implementation of Augmented Reality Using Markerless and A-Star Algorithm (Case Study: Gedung Kuliah Umum ITERA),†Comput. Eng. Appl. J., vol. 11, no. 3, pp. 177–190, 2022, doi: 10.18495/comengapp.v11i3.414.

lham F. Ashari, A. Afriansyah, A. Setiawan, and E. D. Nugroho, “Teaching Science with BeSmart E-Learning Technology at SMA Negeri 1 Tanjung Sari, South Lampung,†ABDIMAS J. Pengabdi. Masy., vol. 5, no. 2, 2022.

I. F. Ashari, M. Idris, and M. A. Nasrulah, “Analysis of Combination of Parking System with Face Recognition and QR Code using Histogram of Oriented Gradient Method,†IT J. Res. Dev., vol. 7, no. 1, pp. 94–110, 2022, doi: 10.25299/itjrd.2022.9958.

Andria, “Analisis Celah Keamanan Website Menggunakan Tools WEBPWN3R di Kali Linux,†Gener. J., vol. 4, no. 2, pp. 69–76, 2020.

H. S. Pratita, “Analisa Brute Force Attack menggunakan Scanning Aplikasi pada HTTP Attack,†2017, no. 672010194, 2017.

Y. Mulyanto, H. Herfandi, and R. Candra Kirana, “ANALISIS KEAMANAN WIRELESS LOCAL AREA NETWORK (WLAN) TERHADAP SERANGAN BRUTE FORCE DENGAN METODE PENETRATION TESTING (Studi kasus:RS H.LMANAMBAI ABDULKADIR),†J. Inform. Teknol. dan Sains, vol. 4, no. 1, pp. 26–35, 2022, doi: 10.51401/jinteks.v4i1.1528.

J. Simarmata, D. Sasongko, and I. F. Ashari, Sistem Keamanan Data, vol. 5, no. 3. 2022.

I. Gunawan, “Modifikasi Keamanan File dengan Algoritma Hill Cipher Untuk Mengantisipasi Dari Serangan Brute Force,†TECHSI - J. Tek. Inform., vol. 11, no. 2, p. 237, 2019, doi: 10.29103/techsi.v11i2.1272.

I. F. Ashari, A. W. Bhagaskara, J. M. Cakrawarty, and P. R. Winata, “Image Steganography Analysis Using GOST Algorithm and PRNG Based on LSB,†Techno.Com, vol. 21, no. 3, pp. 700–713, 2022, doi: 10.33633/tc.v21i3.6331.

I. F. Ashari, “The Evaluation of Audio Steganography to Embed Image Files Using Encryption and Snappy Compression,†Indones. J. Comput. Sci., vol. 11, no. 2, pp. 318–336, 2022.

Syaifuddin, D. Risqiwati, and E. A. Irawan, “Realtime Pencegahan Serangan Brute Force dan DDOS Pada Ubuntu Server,†Techno.Com, vol. 17, no. 4, pp. 347–354, 2018, doi: 10.33633/tc.v17i4.1766.

R. Komalasari, “Kesadaran Akan Keamanan Penggunaan Username Dan Password,†Tematik, vol. 5, no. 2, pp. 56–67, 2018, doi: 10.38204/tematik.v5i2.265.

Y. Indarta, F. Ranuhardja, and I. F. Ashari, Keamanan Siber Tantangan di Era Revolusi Industri 4.0. 2022.

M. Yunus, “Analisis Kerentanan Aplikasi Berbasis Web Menggunakan Kombinasi Security Tools Project Berdasarkan Framework Owasp Versi 4,†J. Ilm. Inform. Komput., vol. 24, no. 1, pp. 37–48, 2019, doi: 10.35760/ik.2019.v24i1.1988.

I. F. Ashari, M. Alfarizi, M. N. K, and M. A. H, “Vulnerability Analysis and Proven On The neonime. co Website Using OWASP ZAP 4 and XSpear,†J. Teknol. Komput. dan Sist. Inf., vol. 5, no. 2, pp. 75–81, 2022.

B. Ghozali, K. Kusrini, and S. Sudarmawan, “Mendeteksi Kerentanan Keamanan Aplikasi Website Menggunakan Metode Owasp (Open Web Application Security Project) Untuk Penilaian Risk Rating,†Creat. Inf. Technol. J., vol. 4, no. 4, p. 264, 2019, doi: 10.24076/citec.2017v4i4.119.

I. F. Ashari, V. Oktariana, R. G. Sadewo, and S. Damanhuri, “Analysis of Cross Site Request Forgery ( CSRF ) Attacks on West Lampung Regency Websites Using OWASP ZAP Tools,†J. Sisfokom (Sistem Inf. dan Komputer), vol. 11, no. 2, pp. 276–281, 2022.

T. Hidayah and H. Saptono, “Jurnal Informatika Terpadu PENERAPAN HIGH AVAILABILITY WEB SERVER MENGGUNAKAN NGINX DAN MODSECURITY,†J. Inform. Terpadu, vol. 3, no. 2, pp. 95–102, 2017.

DOI: http://dx.doi.org/10.20884/1.dr.2023.19.1.533

Refbacks

  • There are currently no refbacks.