chapter 3 security part i auditing operating systems and networks
TRANSCRIPT
Auditing Operating SystemsSistem operasi adalah program pengendalian komputer. Hal ini memungkinkan pengguna dan aplikasi mereka untuk berbagi dan mengakses sumber daya komputer umum, seperti prosesor, memori utama, database, dan printer. Jika integritas sistem operasi terganggu, kontrol dalam aplikasi akuntansi individu juga dapat dielakkan atau dinetralkan. Karena sistem operasi umum bagi semua pengguna, semakin besar fasilitas komputer, semakin besar skala kerusakan potensial. Dengan demikian, dengan komunitas pengguna terus berkembang berbagi lebih banyak dan lebih banyak sumber daya komputer, sistem operasi keamanan menjadi isu pengendalian internal penting.
Operating System Security
keamanan sistem operasi melibatkan kebijakan, prosedur, dan kontrol yang menentukan siapa yang dapat mengakses sistem operasi, yang sumber (file, program, printer) mereka dapat menggunakan, dan tindakan apa yang mereka dapat mengambil. Komponen keamanan berikut ditemukan dalam sistem aman operasi: log-on prosedur, token akses, daftar kontrol akses, dan hak akses discretionary.
Log-on Procedure
Sebuah prosedur log-on formal baris pertama sistem operasi pertahanan terhadap akses yang tidak sah. Ketika pengguna memulai proses, ia disajikan dengan kotak dialog yang meminta ID dan password pengguna. Sistem ini membandingkan ID dan password untuk database pengguna yang valid.
Access Token
Jika log-on upaya ini berhasil, sistem operasi menciptakan akses token yang berisi informasi penting tentang pengguna, termasuk user ID, password, kelompok pengguna, dan hak istimewa yang diberikan kepada pengguna. Informasi dalam token akses digunakan untuk menyetujui semua tindakan upaya pengguna selama sesi.
Access Control List
Daftar kontrol akses yang ditugaskan untuk setiap sumber daya IT (direktori komputer, data file, program, atau printer), yang mengontrol akses ke sumber daya. Daftar ini berisi informasi yang mendefinisikan hak akses untuk semua pengguna yang valid dari sumber daya. Ketika pengguna mencoba untuk mengakses sumber daya, sistem membandingkan atau ID dan hak istimewa yang terkandung dalam token akses dengan yang tercantum dalam daftar kontrol akses. Jika ada pertandingan, pengguna diberikan akses.
Discretionary Access Privileges
Administrator sistem pusat biasanya menentukan siapa yang diberikan akses ke sumber daya yang spesifik dan mempertahankan daftar kontrol akses. Dalam sistem terdistribusi, namun, pengguna akhir dapat mengontrol sumber daya (sendiri). pemilik sumber daya dalam pengaturan ini dapat diberikan hak akses discretionary, yang memungkinkan mereka untuk memberikan hak akses kepada pengguna lain.
Threats to Operating System Integrity
Operasi tujuan pengendalian sistem tidak dapat dicapai karena kelemahan dalam sistem operasi yang dieksploitasi baik sengaja atau tidak sengaja. ancaman disengaja termasuk kegagalan hardware yang menyebabkan sistem operasi crash. Kesalahan dalam program aplikasi pengguna, yang sistem operasi tidak dapat menafsirkan, juga menyebabkan operasi kegagalan sistem
Operating System Controls and Audit Tests
Jika integritas sistem operasi terganggu, kontrol dalam aplikasi akuntansi individu yang berdampak pelaporan keuangan juga dapat dikompromikan. Untuk alasan ini, desain dan penilaian dari sistem operasi kontrol keamanan yang SOX masalah kepatuhan.
Password Control
Sandi adalah kode rahasia pengguna memasukkan untuk mendapatkan akses ke sistem, aplikasi, file data, atau server jaringan. Jika pengguna tidak dapat memberikan password yang benar, sistem operasi harus menolak akses. Meskipun password dapat memberikan tingkat keamanan, ketika dikenakan pada pengguna nonsecurity-minded, prosedur password dapat mengakibatkan pengguna akhir perilaku yang benar-benar circumvents keamanan.
Controlling Against Malicious and Destructive Programs
Ancaman dari program yang merusak dapat dikurangi secara melalui kombinasi kontrol teknologi dan prosedur administrasi. Contoh-contoh berikut relevan dengan sebagian besar sistem operasi.• Pembelian perangkat lunak hanya dari vendor terkemuka dan hanya menerima produk-produk yang di asli, paket pabrik-disegel mereka.• Isu kebijakan entitas-lebar yang berkaitan dengan penggunaan perangkat lunak yang tidak sah atau salinan (bajakan) ilegal hak cipta perangkat lunak• Periksa semua upgrade ke software vendor untuk virus sebelum mereka diimplementasikan. • Periksa semua perangkat lunak publik-domain untuk infeksi virus sebelum menggunakan.
Audit Objective Relating to Virusesand Other Destructive Programs
Kunci untuk kontrol virus komputer adalah pencegahan melalui ketaatan kebijakan organisasi dan prosedur yang menjaga terhadap infeksi virus. Tujuan auditor adalah untuk memverifikasi bahwa kebijakan dan prosedur manajemen yang efektif di tempat untuk mencegah pengenalan dan penyebaran program yang merusak, termasuk virus, worm, pintu belakang, bom logika, dan trojan horse
System Audit Trail Controls
audit sistem adalah log yang merekam aktivitas di sistem, aplikasi, dan tingkat pengguna. Sistem operasi memungkinkan manajemen untuk memilih tingkat audit untuk dicatat dalam log. Manajemen perlu memutuskan di mana untuk mengatur ambang batas antara informasi dan fakta-fakta yang tidak relevan. Kebijakan audit yang efektif akan menangkap semua peristiwa penting tanpa mengacaukan log dengan aktivitas sepele. jejak audit biasanya terdiri dari dua jenis log audit: (1) log rinci keystrokes individu dan (2) event berorientasi log.
System Audit Trail Controls
pemantauan keystroke melibatkan merekam baik key-strokes pengguna dan respon sistem. Bentuk log dapat di-gunakan setelah fakta untuk merekonstruksi detail acara atau sebagai kontrol real-time untuk mencegah intrusi yang tidak sah