Tutorial Cyber Security Dasar

WHITE HAT HACKER (Ethical Hacker):
- Bekerja secara legal dengan izin target
- Menemukan celah untuk kemudian diperbaiki
- Bekerja sebagai penetration tester, security researcher
- Contoh: bug bounty hunter, CISO, security consultant

GREY HAT HACKER:
- Kadang melanggar hukum tanpa niat jahat
- Bisa temukan celah tanpa izin lalu laporkan
- Posisi etika tidak jelas

BLACK HAT HACKER (Cracker):
- Menyerang sistem tanpa izin untuk keuntungan pribadi
- Mencuri data, merusak sistem, atau memeras korban
- Tindakan ilegal dan bisa dipidana

SCRIPT KIDDIE:
- Pemula yang pakai tools orang lain tanpa memahaminya
- Tidak punya kemampuan teknis mendalam

STATE-SPONSORED HACKER:
- Didukung pemerintah suatu negara
- Target: infrastruktur negara lain, spionase

HACKTIVIST:
- Menyerang demi tujuan politik atau sosial
- Contoh: Anonymous

DEFINISI:
Hanya pihak yang memiliki otorisasi yang dapat membaca data.

ANCAMAN TERHADAP CONFIDENTIALITY:
- Eavesdropping (menyadap komunikasi)
- Man-in-the-Middle Attack
- Data breach / kebocoran data
- Phishing untuk mencuri kredensial
- Insider threat (orang dalam)

CARA MENJAGA:
- Enkripsi data (AES, RSA, TLS)
- Access Control (siapa boleh akses apa)
- Multi-Factor Authentication (MFA)
- Principle of Least Privilege
- VPN untuk komunikasi sensitif

CONTOH NYATA:
- Password di-hash sebelum disimpan di database
- HTTPS mengenkripsi data antara browser dan server
- File sensitif hanya bisa dibuka dengan password

DEFINISI:
Data hanya bisa dimodifikasi oleh pihak yang berwenang,
dan setiap modifikasi dapat terdeteksi.

ANCAMAN TERHADAP INTEGRITY:
- Tampering (mengubah data dalam transit)
- SQL Injection (memanipulasi database)
- Malware yang memodifikasi file
- Man-in-the-Middle yang mengubah pesan

CARA MENJAGA:
- Hash Function (MD5, SHA-256) — verifikasi data tidak berubah
- Digital Signature — membuktikan keaslian pengirim
- Checksum — deteksi perubahan file
- Version Control — melacak setiap perubahan
- Audit Logs — catat semua aktivitas

CONTOH NYATA:
- Saat download software, cek SHA256 hash-nya
- Tanda tangan digital pada email bisnis
- Blockchain menjamin integritas transaksi

DEFINISI:
Sistem dan data harus selalu tersedia dan dapat diakses
oleh pengguna yang berwenang kapan pun dibutuhkan.

ANCAMAN TERHADAP AVAILABILITY:
- DoS / DDoS Attack (membanjiri server)
- Ransomware (mengenkripsi file, minta tebusan)
- Hardware failure
- Bencana alam
- Kesalahan konfigurasi

CARA MENJAGA:
- Redundancy (backup server, failover)
- Load Balancing — distribusi trafik
- DDoS Protection (Cloudflare, AWS Shield)
- Regular Backup — backup data secara berkala
- Disaster Recovery Plan
- Uptime Monitoring

CONTOH NYATA:
- Bank punya backup datacenter di lokasi berbeda
- CDN memastikan website tetap cepat saat trafik tinggi
- RAID storage agar data tetap ada jika 1 disk rusak

AUTHENTICATION (Autentikasi) — "Siapa kamu?"
Proses verifikasi identitas pengguna.
- Something you know: password, PIN
- Something you have: token, kartu
- Something you are: sidik jari, wajah
- MFA menggabungkan 2+ faktor di atas

AUTHORIZATION (Otorisasi) — "Apa yang boleh kamu lakukan?"
Setelah terautentikasi, apa yang boleh diakses?
- Role-Based Access Control (RBAC)
- Principle of Least Privilege (PoLP)
- Access Control List (ACL)

ACCOUNTING (Akuntabilitas) — "Apa yang sudah kamu lakukan?"
Pencatatan semua aktivitas pengguna.
- Audit logs
- Activity monitoring
- Forensic trail

VIRUS:
- Menempel pada file/program lain
- Menyebar saat file yang terinfeksi dijalankan
- Bisa merusak atau menghapus data

WORM:
- Menyebar sendiri tanpa perlu file host
- Memanfaatkan celah jaringan
- Bisa habiskan bandwidth dan resource

TROJAN:
- Menyamar sebagai program yang berguna
- Membuka backdoor untuk penyerang
- Tidak menyebar sendiri

RANSOMWARE:
- Mengenkripsi semua file korban
- Minta tebusan untuk kunci dekripsi
- Contoh: WannaCry, LockBit, REvil

SPYWARE:
- Memata-matai aktivitas pengguna
- Merekam keystroke, screenshot, webcam
- Sering untuk mencuri password/data

ADWARE:
- Menampilkan iklan tanpa izin
- Sering bundled dengan software gratis

ROOTKIT:
- Menyembunyikan dirinya di sistem
- Sangat sulit dideteksi dan dihapus
- Beri akses root/admin ke penyerang

KEYLOGGER:
- Merekam setiap tombol yang ditekan
- Mencuri password, nomor kartu kredit, dll

PHISHING:
- Email/pesan palsu seolah dari sumber terpercaya
- Tujuan: mencuri kredensial, data kartu kredit
- Contoh: "Akun Anda akan diblokir, klik di sini"

SPEAR PHISHING:
- Phishing yang ditargetkan ke individu spesifik
- Memakai informasi personal korban agar lebih meyakinkan
- Lebih berbahaya dari phishing biasa

SMISHING (SMS Phishing):
- Phishing via SMS
- Contoh: "Paket Anda tertahan, bayar biaya di link ini"

VISHING (Voice Phishing):
- Phishing via telepon
- Penyerang berpura-pura jadi bank, polisi, atau IT support

PRETEXTING:
- Menciptakan skenario palsu untuk dapat informasi
- Contoh: pura-pura jadi pegawai IT untuk minta password

BAITING:
- Meninggalkan USB/media yang terinfeksi di tempat umum
- Berharap korban menemukannya dan menancapkannya ke PC

TAILGATING:
- Masuk area terlarang dengan mengikuti orang yang berwenang
- Serangan fisik bukan digital

CARA MENCEGAH:
✓ Selalu verifikasi identitas pengirim/penelepon
✓ Jangan klik link dari email mencurigakan
✓ Jangan bagikan password ke siapapun, termasuk IT
✓ Periksa URL sebelum login (bukan lookalike domain)
✓ Aktifkan MFA di semua akun penting

MAN-IN-THE-MIDDLE (MitM):
- Penyerang menyisip di antara dua pihak yang berkomunikasi
- Bisa menyadap atau memodifikasi data
- Pencegahan: HTTPS, VPN, certificate pinning

DENIAL OF SERVICE (DoS) / DDoS:
- Membanjiri server dengan trafik palsu
- Server kelelahan dan tidak bisa melayani pengguna asli
- DDoS = dilakukan dari banyak komputer sekaligus
- Pencegahan: rate limiting, CDN, firewall, DDoS protection

MAN-IN-THE-BROWSER:
- Malware di browser mengintersep transaksi
- Korban melihat tampilan normal, tapi data diubah
- Berbahaya untuk transaksi perbankan

ARP POISONING:
- Memanipulasi tabel ARP di jaringan lokal
- Redirect trafik jaringan ke komputer penyerang
- Sering dipakai untuk MitM di jaringan lokal

DNS SPOOFING:
- Memanipulasi jawaban DNS
- Korban diarahkan ke website palsu meski URL benar
- Pencegahan: DNSSEC, DoH (DNS over HTTPS)

REPLAY ATTACK:
- Menangkap data komunikasi lalu mengirim ulang
- Contoh: menangkap token login lalu dipakai lagi
- Pencegahan: timestamp, nonce, session token

BRUTE FORCE:
- Mencoba semua kombinasi karakter satu per satu
- Lambat tapi pasti berhasil jika cukup waktu
- Pencegahan: password panjang, rate limiting, lockout

DICTIONARY ATTACK:
- Mencoba daftar kata umum (wordlist)
- Jauh lebih cepat dari brute force murni
- Pencegahan: jangan pakai kata umum sebagai password

CREDENTIAL STUFFING:
- Memakai kombinasi username:password yang bocor
- Berharap korban pakai password yang sama di banyak situs
- Pencegahan: password unik di setiap situs

RAINBOW TABLE ATTACK:
- Database precomputed hash untuk crack password
- Sangat cepat untuk hash tanpa salt
- Pencegahan: salting sebelum hashing

PASSWORD SPRAYING:
- Satu password umum dicoba ke banyak akun
- Menghindari lockout karena tidak banyak percobaan per akun
- Contoh: mencoba "Password123!" ke ribuan akun

CIRI PASSWORD YANG KUAT:
✓ Minimal 12 karakter
✓ Kombinasi huruf besar, kecil, angka, simbol
✓ Tidak mengandung info pribadi
✓ Berbeda di setiap situs
✓ Gunakan Password Manager (Bitwarden, 1Password)

LAYER 7 — APPLICATION:
- Ancaman: XSS, SQL Injection, CSRF, phishing
- Perlindungan: WAF (Web Application Firewall), input validation

LAYER 6 — PRESENTATION:
- Ancaman: SSL stripping, enkripsi lemah
- Perlindungan: TLS 1.3, strong cipher suites

LAYER 5 — SESSION:
- Ancaman: session hijacking, replay attack
- Perlindungan: secure session tokens, HTTPS

LAYER 4 — TRANSPORT:
- Ancaman: TCP SYN flood, port scanning
- Perlindungan: firewall, rate limiting

LAYER 3 — NETWORK:
- Ancaman: IP spoofing, routing attack
- Perlindungan: IPSec, ingress/egress filtering

LAYER 2 — DATA LINK:
- Ancaman: ARP poisoning, MAC spoofing
- Perlindungan: Dynamic ARP Inspection, port security

LAYER 1 — PHYSICAL:
- Ancaman: wiretapping, hardware tampering
- Perlindungan: physical security, locked server rooms

APA ITU FIREWALL?
Sistem keamanan yang memantau dan mengontrol trafik
jaringan berdasarkan aturan (rules) yang ditetapkan.

JENIS FIREWALL:

1. Packet Filtering Firewall:
   - Memeriksa setiap paket (IP, port, protokol)
   - Sederhana dan cepat
   - Tidak bisa lihat isi konten

2. Stateful Inspection Firewall:
   - Melacak state koneksi (bukan hanya paket)
   - Lebih cerdas dari packet filtering
   - Bisa deteksi serangan berdasarkan pola

3. Application Layer Firewall (WAF):
   - Memahami protokol aplikasi (HTTP, FTP, DNS)
   - Bisa blokir serangan spesifik (SQL Injection, XSS)
   - Lebih lambat tapi lebih akurat

4. Next-Generation Firewall (NGFW):
   - Gabungan semua jenis di atas
   - Deep Packet Inspection (DPI)
   - Intrusion Prevention System (IPS)
   - Application awareness

CONTOH ATURAN FIREWALL:
ALLOW  TCP 80   (HTTP masuk)
ALLOW  TCP 443  (HTTPS masuk)
ALLOW  TCP 22   (SSH dari IP admin saja)
DENY   ALL      (blokir semua selain di atas)

APA ITU VPN?
Teknologi yang membuat koneksi terenkripsi (tunnel)
melalui jaringan publik (internet).

CARA KERJA:
1. Client terhubung ke VPN server
2. Semua trafik dienkripsi di tunnel
3. Server VPN meneruskan trafik ke internet
4. Website melihat IP VPN, bukan IP asli

MANFAAT VPN:
✓ Enkripsi data di jaringan publik (WiFi kafe, bandara)
✓ Menyembunyikan IP asli dan lokasi
✓ Bypass geo-restriction
✓ Remote access ke jaringan kantor

PROTOKOL VPN POPULER:
- OpenVPN: open source, sangat aman, lambat
- WireGuard: modern, cepat, aman
- IPSec/IKEv2: stabil, bagus untuk mobile
- L2TP/IPSec: lebih lama, sedikit lebih lambat

JENIS VPN:
- Remote Access VPN: individu terhubung ke jaringan kantor
- Site-to-Site VPN: menghubungkan dua jaringan kantor berbeda
- SSL/TLS VPN: berbasis browser, tidak perlu client khusus

PERINGATAN:
VPN bukan keamanan mutlak — VPN menyembunyikan trafik
dari ISP dan jaringan lokal, tapi provider VPN tetap bisa
melihat aktivitas Anda. Pilih provider no-log terpercaya.

IDS (Intrusion Detection System):
- Memantau trafik dan MENDETEKSI aktivitas mencurigakan
- Hanya memberi PERINGATAN, tidak memblokir
- Seperti alarm pencuri

IPS (Intrusion Prevention System):
- Memantau trafik dan MEMBLOKIR ancaman secara aktif
- Mencegah serangan secara real-time
- Seperti satpam yang langsung bertindak

JENIS BERDASARKAN LOKASI:
- NIDS/NIPS: berbasis jaringan (monitor semua trafik)
- HIDS/HIPS: berbasis host (monitor aktivitas 1 komputer)

METODE DETEKSI:
1. Signature-based:
   - Mencocokkan trafik dengan database pola serangan
   - Cepat, akurat untuk ancaman yang sudah dikenal
   - Tidak bisa deteksi ancaman baru (zero-day)

2. Anomaly-based:
   - Belajar pola normal, laporkan penyimpangan
   - Bisa deteksi ancaman baru
   - Tingkat false positive lebih tinggi

3. Stateful Protocol Analysis:
   - Membandingkan perilaku protokol dengan standar
   - Deteksi penyalahgunaan protokol

TOOLS POPULER:
- Snort (open source IDS/IPS)
- Suricata (high performance IDS/IPS)
- Zeek (network monitoring)

TERMINOLOGI DASAR:
- Plaintext    : Data asli yang belum dienkripsi
- Ciphertext   : Data setelah dienkripsi
- Encryption   : Proses mengubah plaintext → ciphertext
- Decryption   : Proses mengubah ciphertext → plaintext
- Key          : Nilai rahasia yang digunakan untuk enkripsi/dekripsi
- Algorithm    : Metode matematis untuk enkripsi

JENIS KRIPTOGRAFI:

1. SYMMETRIC ENCRYPTION (Kunci Simetris):
   - Kunci yang sama untuk enkripsi dan dekripsi
   - Cepat, cocok untuk data besar
   - Masalah: bagaimana berbagi kunci dengan aman?
   - Contoh: AES, DES, 3DES, ChaCha20

2. ASYMMETRIC ENCRYPTION (Kunci Asimetris):
   - Dua kunci: Public Key dan Private Key
   - Enkripsi pakai Public Key, dekripsi pakai Private Key
   - Lebih lambat tapi solusi masalah distribusi kunci
   - Contoh: RSA, ECC, ElGamal

3. HASH FUNCTION:
   - Satu arah — tidak bisa dikembalikan
   - Input apapun → output panjang tetap
   - Perubahan kecil pada input = output sangat berbeda
   - Contoh: SHA-256, SHA-3, bcrypt, Argon2

CONTOH OUTPUT SHA-256:
Input: "halo"
Hash:  2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824

Input: "Halo"  (beda huruf kapital)
Hash:  28026f4eb6694de74e2ce3eb9a73cdfc6da6fe52eb5699d285e2fb91b22fbd01

Keduanya SANGAT berbeda meski input hampir sama.
(Ini disebut "avalanche effect")

PENGGUNAAN HASH:
1. Menyimpan password di database
   - Jangan simpan password as-is!
   - Simpan hash-nya: bcrypt("password123") → $2b$12$...
   - Saat login: hash input user, cocokkan dengan DB

2. Verifikasi integritas file
   - Situs download sering cantumkan SHA256 file
   - Setelah download, hitung hash → cocokkan
   - Jika beda = file korup atau diganti

3. Digital signature
   - Hash dokumen, enkripsi hash dengan private key
   - Penerima dekripsi dengan public key, cocokkan hash

PERBEDAAN HASH UNTUK PASSWORD:
- MD5, SHA-1, SHA-256: JANGAN untuk password (terlalu cepat)
- bcrypt, Argon2, scrypt: GUNAKAN ini (sengaja lambat)
- Lambat = brute force membutuhkan waktu sangat lama

HTTP vs HTTPS:
- HTTP  : Data dikirim dalam plaintext — mudah disadap
- HTTPS : Data dienkripsi dengan TLS — aman dari penyadapan

CARA KERJA TLS HANDSHAKE (diringkas):
1. Client → Server: "Halo, saya support cipher X, Y, Z"
2. Server → Client: "Pakai cipher X, ini sertifikat SSL saya"
3. Client verifikasi sertifikat ke Certificate Authority (CA)
4. Client buat session key, enkripsi dengan public key server
5. Server dekripsi session key dengan private key-nya
6. Sekarang keduanya punya session key yang sama
7. Semua komunikasi selanjutnya dienkripsi dengan session key

SERTIFIKAT SSL/TLS:
- Dikeluarkan oleh Certificate Authority (CA) terpercaya
- Membuktikan domain benar-benar dimiliki oleh pihak tersebut
- Browser simpan daftar CA terpercaya
- Jika sertifikat tidak valid → browser tampilkan peringatan

JENIS SERTIFIKAT:
- DV (Domain Validated): hanya verifikasi kepemilikan domain
- OV (Organization Validated): verifikasi organisasi juga
- EV (Extended Validation): verifikasi paling ketat, tampilkan nama org di browser

TLS VERSI:
- TLS 1.0, 1.1: sudah deprecated (tidak aman)
- TLS 1.2: masih digunakan, cukup aman
- TLS 1.3: terbaru, paling aman dan cepat ✓

CARA KERJA SQL INJECTION:
Penyerang menyisipkan kode SQL berbahaya ke input form
yang kemudian dieksekusi oleh database.

CONTOH RENTAN:
// Kode PHP yang BERBAHAYA:
$username = $_POST['username'];
$query = "SELECT * FROM users WHERE username = '$username'";

// Jika penyerang isi: admin' --
// Query menjadi:
SELECT * FROM users WHERE username = 'admin' --'
// Bagian setelah -- diabaikan → login tanpa password!

// Input lain: ' OR '1'='1
// Query: SELECT * FROM users WHERE username = '' OR '1'='1'
// Selalu true → ambil semua data!

DAMPAK:
- Bypass autentikasi
- Baca/ubah/hapus semua data di database
- Dalam kasus tertentu, eksekusi perintah sistem

PENCEGAHAN:
✓ Prepared Statements / Parameterized Queries
✓ Stored Procedures
✓ Input validation dan sanitasi
✓ Principle of Least Privilege untuk akun DB
✓ WAF (Web Application Firewall)

CONTOH AMAN (Prepared Statement):
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$username]);

APA ITU XSS?
Penyerang menyisipkan script berbahaya ke halaman web
yang kemudian dijalankan di browser korban.

JENIS XSS:

1. Reflected XSS:
   - Script dikirim via URL parameter
   - Tidak disimpan di server
   - Korban harus klik link berbahaya
   - URL: https://site.com/search?q=<script>alert(1)</script>

2. Stored XSS (Persistent):
   - Script disimpan di database (comment, profil, dll)
   - Setiap pengunjung halaman terserang
   - Lebih berbahaya dari reflected

3. DOM-based XSS:
   - Manipulasi DOM di sisi client
   - Tidak melibatkan server sama sekali

DAMPAK XSS:
- Mencuri session cookie → account takeover
- Redirect ke phishing site
- Keylogging, screenshot browser korban
- Defacement halaman web

PENCEGAHAN:
✓ Output encoding (HTML encode semua output ke browser)
✓ Content Security Policy (CSP) header
✓ HTTPOnly flag pada cookie
✓ Input validation
✓ Gunakan framework yang auto-escape (React, Angular)

A01 - Broken Access Control
     Pengguna bisa akses data/fungsi yang seharusnya terlarang
     Pencegahan: enforce access control di server side

A02 - Cryptographic Failures
     Data sensitif tidak dienkripsi atau enkripsi lemah
     Pencegahan: TLS, enkripsi data at rest, hash password kuat

A03 - Injection (SQL, Command, LDAP, dll)
     Input tidak divalidasi, dieksekusi sebagai perintah
     Pencegahan: prepared statements, input validation

A04 - Insecure Design
     Arsitektur sistem tidak dirancang dengan keamanan
     Pencegahan: threat modeling, secure design patterns

A05 - Security Misconfiguration
     Konfigurasi default tidak diubah, fitur tidak perlu aktif
     Pencegahan: hardening, config review, patch management

A06 - Vulnerable & Outdated Components
     Library/framework dengan celah keamanan
     Pencegahan: update rutin, Software Composition Analysis

A07 - Identification & Authentication Failures
     Autentikasi lemah, session tidak aman
     Pencegahan: MFA, strong password policy, secure sessions

A08 - Software & Data Integrity Failures
     Tidak verifikasi integritas update/library
     Pencegahan: digital signature, secure CI/CD pipeline

A09 - Security Logging & Monitoring Failures
     Tidak ada log yang cukup untuk deteksi insiden
     Pencegahan: comprehensive logging, alerting, SIEM

A10 - Server-Side Request Forgery (SSRF)
     Server melakukan request ke lokasi yang dimanipulasi penyerang
     Pencegahan: whitelist URL yang diizinkan, block internal IP

# Scan host tunggal
nmap 192.168.1.1

# Scan subnet
nmap 192.168.1.0/24

# Scan port tertentu
nmap -p 80,443,22 192.168.1.1

# Scan semua port (1-65535)
nmap -p- 192.168.1.1

# Deteksi OS dan versi service
nmap -O -sV 192.168.1.1

# Scan agresif (OS, versi, script, traceroute)
nmap -A 192.168.1.1

# Scan dengan output ke file
nmap -oN hasil.txt 192.168.1.1

# Scan tersembunyi (SYN scan)
nmap -sS 192.168.1.1

INFORMASI YANG DIDAPAT:
- Port mana yang terbuka
- Service apa yang berjalan di port tersebut
- Versi software yang digunakan
- Sistem operasi target

PERINGATAN: Hanya gunakan di jaringan/sistem yang Anda miliki
atau memiliki izin eksplisit untuk diuji!

Burp Suite adalah platform untuk security testing aplikasi web.

FITUR UTAMA:

1. PROXY:
   - Intersep dan modifikasi request/response HTTP
   - Lihat semua data yang dikirim browser ke server
   - Ubah parameter sebelum diteruskan ke server

2. REPEATER:
   - Kirim ulang request yang sudah dimodifikasi
   - Cocok untuk manual testing (SQL Injection, XSS)

3. INTRUDER:
   - Otomatisasi serangan berbasis wordlist
   - Brute force, fuzzing, enumerasi

4. SCANNER (versi Pro):
   - Scan otomatis kerentanan web
   - Deteksi SQL Injection, XSS, SSRF, dll

5. DECODER:
   - Encode/decode Base64, URL, HTML, dll

6. COMPARER:
   - Bandingkan dua response untuk temukan perbedaan

SETUP:
1. Download Burp Suite Community (gratis)
2. Set browser proxy ke 127.0.0.1:8080
3. Install CA certificate Burp ke browser
4. Mulai intercept trafik HTTPS

LATIHAN LEGAL: gunakan DVWA, WebGoat, HackTheBox, TryHackMe

Kali Linux adalah distro Linux khusus untuk penetration testing.
Sudah terinstall 600+ tools security.

KATEGORI TOOLS:
Information Gathering:
  nmap, whois, theHarvester, maltego, recon-ng

Vulnerability Analysis:
  nessus, openvas, nikto, lynis

Web Application:
  burpsuite, sqlmap, wfuzz, dirb, gobuster

Password Attacks:
  hashcat, john, hydra, medusa

Wireless:
  aircrack-ng, wifite, kismet

Exploitation:
  metasploit, beef-xss, searchsploit

Post Exploitation:
  mimikatz, empire, powersploit

Forensics:
  autopsy, volatility, binwalk

CARA MEMULAI:
1. Install Kali di VirtualBox/VMware (jangan di hardware utama)
2. Atau pakai Kali WSL di Windows
3. Latihan di lab virtual (HackTheBox, TryHackMe, DVWA)
4. JANGAN gunakan di jaringan publik tanpa izin

UU NO. 11 TAHUN 2008 (diubah UU No. 19/2016) — UU ITE:

Pasal 30: Akses Ilegal
- Akses komputer/sistem tanpa izin → pidana 6-8 tahun
- Mencuri data dari sistem → pidana 8-10 tahun

Pasal 32: Pengrusakan Data
- Mengubah/merusak/menghapus data tanpa izin
- Pidana penjara 8-10 tahun

Pasal 33: Serangan Sistem
- Menyebabkan gangguan pada sistem
- Pidana penjara 8-10 tahun

Pasal 34: Alat/Perangkat Ilegal
- Memproduksi/menyebarkan tools untuk melanggar pasal di atas
- Pidana penjara 10 tahun

PP NO. 71 TAHUN 2019 — Penyelenggaraan Sistem Elektronik:
- Kewajiban pengamanan sistem elektronik
- Pelaporan insiden keamanan

REGULASI INTERNASIONAL:
- GDPR (Eropa): perlindungan data pribadi
- HIPAA (AS): data kesehatan
- PCI-DSS: data kartu kredit

RESPONSIBLE DISCLOSURE:
Proses melaporkan kerentanan kepada pemilik sistem
secara bertanggung jawab sebelum dipublikasikan.

TAHAPAN:
1. Temukan celah keamanan
2. JANGAN eksploitasi lebih jauh dari yang perlu untuk verifikasi
3. Dokumentasikan temuan dengan detail
4. Hubungi tim security perusahaan (security@company.com)
5. Beri waktu yang wajar untuk memperbaiki (biasanya 90 hari)
6. Jika tidak ditanggapi, baru publikasikan (full disclosure)

BUG BOUNTY PROGRAM:
Perusahaan membayar peneliti keamanan yang menemukan celah.

PLATFORM POPULER:
- HackerOne (hackerone.com)
- Bugcrowd (bugcrowd.com)
- Intigriti (intigriti.com)
- Google Bug Hunter (bughunters.google.com)

REWARD BISA SANGAT BESAR:
- Google: hingga $31,337 per bug
- Facebook: ribuan hingga puluhan ribu USD
- Apple: hingga $1 juta untuk celah kritikal

TIPS MEMULAI BUG BOUNTY:
✓ Mulai dari program dengan scope luas
✓ Pelajari OWASP Top 10 dan common vulns
✓ Latihan di HackTheBox, TryHackMe dulu
✓ Baca laporan bug yang sudah dipublikasikan (HackerOne Hacktivity)

OWASP (panduan keamanan web):
https://owasp.org

NIST Cybersecurity Framework:
https://www.nist.gov/cyberframework

CVE Database (database kerentanan):
https://cve.mitre.org

TryHackMe (belajar hands-on):
https://tryhackme.com

HackTheBox (latihan CTF):
https://hackthebox.com

BSSN (Badan Siber dan Sandi Negara):
https://bssn.go.id

ID-CERT (Computer Emergency Response Team Indonesia):
https://www.cert.or.id