2041 Jurnal Teknik Informatika dan Sistem Informasi                  ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933

## Analisa Kerentanan Pada Vulnerable Docker
Menggunakan Scanner Openvas Dan Docker Scan Dengan Acuan Standar NIST 800-115
Tika Astriani 1 , Avon Budiyono 2 , Adityas Widjajarto 3 1,2,3 Jurusan Sistem Informasi, Fakultas Rekayasa Industri Universitas Telkom, Bandung e-mail: * 1 tikaastriani@student.telkomuniversity.co.id, 2 avonbudi@telkomuniversity.co.id,
3 adtwjrt@telkomuniversity.co.id

## Abstrak
Upaya dalam mengukur sebuah kerentanan pada aplikasi dapat dilakukan dengan cara pemindaian,  upaya  ini  berguna  untuk  menemukan  suatu  risiko  kerentanan  sehingga  bisa mendapatkan strategi yang tepat untuk mengecilkan atau menghilangan risiko tersebut. Dalam tugas  akhir  ini,  dilakukan  analisisa  kerentanan  pada  docker  menggunakan    vulnerability scanner  open  source  dengan  acuan  standar  NIST  800-155.  Penelitian  ini  menggunakan OpenVAS dan Docker Scan sebagai Vulnerability Scanner yang memiliki database kerentanan yang cukup lengkap serta hasil scanning yang mudah untuk dipahami. Dalam analisa ini,dapat di  deteksi  dan  di  analisa  macam-macam  serangan  yang  bisa  di  lakukan  oleh  attacter  dalam melakukan penyerangan. Didapatkan dari hasil profil Analisa risiko serta menunjukkan bahwa WordPress  User  IDs    and  User  Names  Disclosure  memiliki  resiko  tersbesar  atas  serangan cyber.
Kata kunci — Docker,NIST,OpenVAS,Vulnerability

## Abstract
Efforts to measure vulnerabilities in applications can be done by scanning. This effort is useful for finding a risk vulnerability to be appropriate to minimize or eliminate the risk. In this final  project,  a  vulnerability  analysis  is  carried  out  on  Docker  using  an  open-source vulnerability  scanner  with  the  NIST  800-155  standard.  This  study  uses  OpenVAS  and  Docker Scan as Vulnerability Scanners that have a fairly complete database of vulnerabilities and scan results that are easily accessible. This analysis can be detected and analyzed the various types of attacks that attackers can carry out in carrying out attacks. Obtained from the risk analysis profile results and shows that WordPress User ID and User Name Disclosure have the greatest risk of cyberattacks.
Keywords — Docker,NIST,OpenVAS,Vulnerability

## 1. PENDAHULUAN
teknologi  merupakan  hal  yang  yang  sangat  penting  dalam  kehidupan,  terutama  untuk kelangsungan  dan  kenyamanan  hidup  manusia  [1].  Teknologi  juga  digunakan  untuk mempermuadah  suatu  pekerjaan  guna  memenuhi  kebutuhan  sehari-hari  ,  salah  satunya  yaitu Internet. Di masa pandemi seperti sekarang ini, jaringan internet banyak dimanfaatkan sebagai alat  komunikasi  yang  dapat  mempermudah  seorang  individu  maupun  organisasi  untuk pertukaran  informasi  jarak  jauh  yang  saling  menghubungan  antara  satu  pengguna  dengan pengguna lain.
T
Jatisi ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933 2042
IJCCS Vol. x, No–end_page
Dengan  mengikuti  berkembangnya  zaman,  tentunya  teknologi  juga  semakin berkembang  [2].  Hal  ini  secara  tidak  langsung  juga  menuntut  sebuah  organisasi  dalam memajukan  perkembangan  perusahaanya,  tentunya  hampir  semua  perusahaan  baik  skala  besar maupun  kecil  menggunakan  teknologi  informasi  untuk  meningkatkan  layanan  bisnis  yang  di kelolanya  dalam  meningkatkan  perfoma  perusahaan.Peningkatan  perfoma  yang  baik  bagi perusahaan dibutuhkan suatu teknologi seperti server maupun c o mputer dengan spesifikasi yang bagus,  akan  tetapi  hal  tersebut  yang    menjadi  masalah  bagi  perusahaan  terutama  untuk perusahaan  yang  masih  beskala  kecil  dikarenakan  memerlukan  biaya  yang  besar.  Untuk mengatasi  masalah  itu  dapat  digunakan  teknologi  virtualisasi.  Teknologi  virtualisasi  adalah teknologi  mampu  menciptakan  suatu  perangkat  virtual  seperti  sistem  operasi,  media penyimpanan data dan hardware pada sebuah sistem computer yang sedang berjalan, selain itu teknologi ini dapat mampu menekan biaya   untuk   membeli   infrastruktur yang   diperlukan dan peningkatan   efektivitas   infrastruktur hardware [3].
Salah  satu  jenis  teknologi  virtualisasi  yaitu  virtualisasi  server.  Virtualisasi  server merupakan  sebuah  server  yang  di  bangun  pada  computer  atau  laptop  dengan  menggunakan media machineware [4]. Dalam membangun virtual machine juga membutuhkan resource yang banyak  seperti storage,  memory, maupun bandwidth [4] . Tak  dipungkiri  sangat  diperlukannya efisiensi penggunaan resource hardware jika ingin menjalakan aplikasi yang lebih banyak lagi, hal tersebut dapay diatasi dengan metode containerization. Container dirasa lebih hemat dalam menkonsumsi resource serta menyediakan metode isolation yang juga disediakan oleh teknologi virtualisasi berbasis virtual machine.
Teknologi  terbaru  dari container yang  dikembangkan  oleh  Solommon  Hykes  di dotCloud  adalah  Docker  [5].  Salah  satu platform yang  dibangun  berdasarkan  teknologi container [1].  Docker  sebagai  virtualisasi  kontainer  memiliki  kedudukan  yang  lebih  unggul dibandingkan  dengan  teknologi  virtualisasi container lainnya  [6].  Adanya  sebuah container di docker  memberikan  banyak  kemudahan,  akan  tetapi banyak  hal  yang  harus diperhatikan salah satunya  mengenai  masalah  keamanan/  kerentanan  yang  ada  pada  Docker.  Pencegahan  dalam meningkatkan keamanan sebuah sistem dapat di lakukan dengan melakukan uji kerentanan guna membantu  dalam  proses  identifikasi  kelemahan  pada  sistem  sebelum  adanya  serangan.  Untuk mendeteksi  adanya  kerentanan  dan  melakukan  penangganga  terhadap  kerentanan  yang  sudah teridentifikasi dapat dilakukakan menggunakan Vulnerability scanner.
Pada  penelitian  ini,  dilakukan  analisis  mengenai  kerentanan  pada  Docker  dengan menggunakan software  opensource sebagai vulnerability  scanner dan  standar  NIST  800-115. Pemilihan standar NIST 800-115 di karenakan metodologi mempunyai tahapan yang membantu dalam  melakukan  analisa,tahapan  ini  meliputi  tahap planning,  discovery,  attack, dan Reporting. Selain  itu  dalam  analisa  ini,dapat  di  deteksi  dan  di  analisa  macam-macam  serangan yang bisa di lakukan oleh attacker dalam melakukan penyerangan. Didapatkan  98,6 dari hasil profil  Analisa  risiko  serta  menunjukkan  bahwa WordPress  User  IDs    and  User  Names Disclosure memiliki resiko tersbesar atas serangan cyber.

## 2. METODE PENELITIAN
Metode yang digunakan pada anlisis kerentanan pada Docker adalah standar NIST 800- 115. Pada standar NIST 800-115 terdapat 4 tahapan[7]. yaitu:

## 2.1 Planning
Planning merupakan  tahapan  yang  bertujuan  dalam  menentukan  alur  dan  persiapan untuk melakukan eksploitasi [8]. Pada tahapan ini juga mengidentifikasi apa saja software dan
2043 Jatisi ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933
is short and clear, implies research results (First Author)
hardware yang  akan  digunakan  untuk  menetukan  proses  serta tools yang  digunakan  dalam penelitian ini.

## 2.2 Discovery
Fase Discovery dapat dilakukan setelah tahap planning telah selesai dilaksanakan. Dalam tahapan ini akan dilakukan pencarian informasi serta kerentanan pada vulnerable docker yang akan diuji. Kedua tahapan ini adalah tahapan Information Gathering dan Vulnerability Analysis 2.3 Attack
Attack merupakan  salah  satu  tahapan  dari  metode  NIST  SP  800-115  untuk  melakukan penetrasi  terhadap Vulnerable  Docker yang  diuji  untuk  melihat  kerentanan  yang  ada  dengan melakukan scenario pengambilan  data.  Untuk  memperjelas  metode  yang  digunakan  penulis  , dapat dilihat pada Gambar 1 mengenai Analisis metode yang penelitian

## 3. HASIL DAN PEMBAHASAN

## 3.1 Planning
Fase Planning merupakan  tahapan  untuk  mencapai  tujuan  untuk  penelitian  yang dipaparkan  sebelumnya,  maka  diperlukannya  pembuatan environment terlebih  dahulu  sebelum melakukan  proses  simulasi  yang  terdiri  dari  perangkat  keras  dan  perangkat  lunak  sebagai langkah awal untuk melakukan analisis walkthrough dari Vulnerable Docker . Environment yang dirancang meliputi VirtualBox sebagai tempat untuk melakukan analisis dengan sistem operasi Kali  Linux  dan Vulnerable  Docker ,  Sehingga  dalam  melakukan  perancangan  sistem membutuhkan beberapa spesifikasi perangkat keras dan spesifikasi perangkat lunak yang berupa alat atau aplikasi pendukung. Pada Tabel 1 merupakan spesifikasi Hardware dan Pada Tabel 2 merupakan Software yang digunakan.
Tabel 1. Spesifikasi Hardware Komponen Informasi Spesifikasi Perangkat Keras (Main OS) Processor Intel® Core™ i7-2620M CP U @ 2.70GHz (4CPUs), ~2.7GHz Memory 8192MB RAM Hard Disk 1TB Gambar 1. Pengujian Vulnerable Docker
Jatisi ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933 2044
IJCCS Vol. x, No–end_page System Type 64-bit Operating System Microsoft Windows 10 Education Tabel 2. Spesifikasi Software Type Software Versi Operating System Kali Linux 2020.3 Asset IT Vulnerable Docker 2017 Attack Tools Nmap 7.91 WpScan 3.8.17 Vulnerability Scanning Tools OpenVAS 21.04.0 DockerScan V0.8.0 Third Party Program Virtual Box 6.1.8 3.2 Discovery Fase Discovery dapat dilakukan setelah tahap planning telah selesai dilaksanakan. Dalam tahapan ini akan dilakukan pencarian informasi serta kerentanan pada Vulnerable Docker yang akan diuji. Kedua tahapan ini adalah tahapan Information Gathering dan Vulnerability Analysis. Dalam  fase Information  Gathering akan  dilakukan  pencarian  informasi  dan pengumpulan  data  terkait yang  akan  digunakan  terhadap  target, data tersebut  berupa Topologi eksperimen  dan IPAddress .  Tologi  eksperimen  digunakan  dalam  simulasi  langkah  pada eksperimen  untuk  mendapatkan suatu kerentanan yang terdapat pada Docker.
Pada  Gambar  2  merupakan  topologi  eksperimennya Platform dan  dijelaskan  mengenai topologi fisisk yang terdiri dari Internet, Main OS , virtual machine (Kali Linux) yang berisikan scanner  opensource , virtual  machine (Ubuntu)  yang  berisikan Vulnerable  Docker .  Internet yang  menghubungan  seluruh operating  system yang  sedang  berjalan.  Ubuntu  yang  terhubung dengan Vulnerable Docker agar  dapat  melakukan  identifikasi Internet  Protocol (IP)  dan  dapat melakukan  eksploitasi  menggunakan tools yang  relevan  untuk  mengetahui  kerentanan  pada Vulnerable  Docker .  Kemudian  pada  Kali  Linux  juga  terhubung  dengan open  source vulnerability scanner OpenVAS sebagai scanner yang bertujuan untuk mendapatkan data hasil kerentanan.Sementara pada Gambar x dijelaskan IP Address yang digunakan pada penelitian.
2045 Jatisi ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933
is short and clear, implies research results (First Author)
Pada Tabel 3 merupakan daftar IP Address yang digunakan pada penelitian ini
Tabel 3. Daftar IP Address Nama Host Default Gateway IP Address Main OS Windows 10 192.168.1.2
192.168.1.1/24 VM 1 Kali Linux (OpenVas) 192.168.1.165/24
192.168.1.66/24 VM 2 Ubuntu (Vulnerable Docker) 192.168.1.66

## 3.2 Attack
Attack merupakan  salah  satu  tahapan  dari  metode  NIST  SP  800-115  untuk  melakukan penetrasi  terhadap Vulnerable  Docker yang  diuji  untuk  melihat  kerentanan  yang  ada  dengan melakukan  scenario  pengambilan  data.  Skenario  Pengujian Vulnerability  Scanninng Menggunakan OpenVAS dan Docker Scan merupakan alur  dilalukannya analisis vulnerability pada environtment yang  sudah  dirancang  sebelumnya  dengan  cara  menganalisis vulnerability pada Vulnerable  Docker .  Berdasarkan  Gambar  3  menjelaskan  skenario  pengujian  dalam penelitian ini
Gambar 2. Platform Eksperimen
Jatisi ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933 2046
IJCCS Vol. x, No–end_page
Gambar 3 . Skenario Pengujian
Pada Gambar 3 diketahui bahwa tahapan pertama dengan memasukkan target yang akan di scan selanjutnya  lakukan scanning menggunakan  OpenVAS  dan  Docker  Scan . Selanjutnya akan  mendapatkan  hasil scanning yang  berupa  beberapa vulnerabilities yang  dapat  di  analisis pada  tahap  selanjutnya.  Pada  hasil  analisis  dilakukan  secara  manual  menganalisa  kerentanan yang didapatkan  dan di kategorikan berdasaekan threat level yang dihasilkan.
2047 Jatisi ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933
is short and clear, implies research results (First Author)

## 3.2.2 Hasil Scanning
Berdasarkan  pengujian  yang  dilakukan  pada  Docker  menggunakan tool OpenVAS didapatkan hasil seperti pada Tabel 4.
Tabel 4. Hasil Pengujian Menggunakan OpenVAS
Host Threat Level Total Vulnerable Docker High 0 Medium 5 Low 2 Info 24
Pada  Tabel  4  diketahui  bahwa  hasil  pengujian  dengan  menggunakan  OpenVAS  pada Docker  ditemukan kerentanan dengan risiko level High sebanyak nol, level Medium sebanyak lima, level Low sebanyak dua serta Info sebanyak dua puluh empat.
Hasil scanning menggunakan  Docker  Scan  ditemukan  kerenyanan  dengan  risiko  level High sebanyak nol, level Medium sebanyak lima, level Low sebanyak dua seperti pada Tabel 5
Tabel 5. Hasil Pengujian Menggunakan Docker Scan

## 3.2.1 Analisa Frekuensi Serangan
Setelah  mendapatkan vulnerability dari  Vulnerable  Docker.  Pada  Tabel  6  merupakan daftar frekuensi tools serangan yang digunakan pada walkthrough.
Tabel 6. Analisa Frekuensi Tools Serangan Host Threat Level Total Vulnerable Docker High 0 Medium 6 Low 2 Threat ID Attack Threat Walktrough Score 1 2 3 4 5 Th x1 Port Scanning V V V V V 5 Th x2 Brute Force V V V V V 5 Th x3 SSH Enumeration V V V V V 5 Th x4 WpScan V V V V V 5 Th x5 Sql Injection V 1
Jatisi ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933 2048
IJCCS Vol. x, No–end_page
Tabel  6  menjelaskan  mengenai  frekuensi  dari  masing-masing tools pada  setiap walktrough untuk  melakukan  eksploitasi  pada Vulnerable  Docker yang  dihitung  berdasarkan banyaknya penggunaan tools .
Risiko  adalah  konsekuensi  atau  potensi  kehilangan  serta  akibat  yang  dapat  terjadi  pada suatu proses atau dalam konteks penelitian kali ini yaitu kerentanan dari proses eksploitasi [9] . Tujuan  dari  penilaian  risiko  adalah  untuk  mengindentifikasi  dan  menilai  potensi  ancaman, kerentanan  dan  risiko  dimana  akan  berdampak  terhadap  layanan  dan  operasi  utamanya. Sedangkan  menurut  Stephen  Watts  pada  BMC  formula  perhitungan  resiko[10].  Dapat  di definisikan sebagai :

## Risk = Vulnerability x Threat
Dapat dilihat pada tabel 7, risiko tertinggi didapatkan oleh Vulnerability jenis WordPress User IDs and User Names Disclosure dengan total 116.
Tabel 7. Analisa Risiko No Vulnerability CVSS Threat ID Frequency Risk Total 1. WordPress User IDs  and User Names Disclosure
5.8 Thx1
5 29 116
Thx2 5 29 Thx3 5 29 Thx4 5 29 2. WordPress Multiple Vulnerabilities - July09
5.0 Thx1 5 25 100
Thx2 5 25 Thx3 5 25 Thx4 5 25 3. WordPress / WordPress MU Multiple Vulnerabilities- July09
5.0
Thx1 5 25 75
Thx3 5 25 Thx4 5 25 4. Cleartext Transmission of Sensitive Information via HTTP
4.8
Thx1 5 24 72
Thx2 5 24 Thx3 5 24
2049 Jatisi ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933
is short and clear, implies research results (First Author)
5. SSH Weak Encryption Algorithms Supported 4.3 Thx1 5 21.5
47,3
Thx3 5 21.5 Thx5 1 4.3 6. SSH Weak MAC Algorithms Supported 2.6 Thx1 5 13
28,6
Thx3 5 13 Thx5 1 2.6 7. TCP Timestamp 2.6 Thx1 5 13 26 Thx3 5 13

## 4. KESIMPULAN
Berdasarkan  analisis  kerentanan  menggunakan  OpenVas  pada  Vulnerable  docker berdasarkan metode NIST 800-115 dapat disimpulkan sebagai berikut:
Bedasarkan software  open  source OpenVAS  bahwa  di  dapatkan  hasil  7 Vulnerabilty, Sedangkan hasil yang diperoleh menggunakan Docker Scan di dapatkan 8 Vulnerability yang di kategorikan dalam threat level High, Medium dan Low. Dengan di lakukannya klasifikasi hasil dari Vulnerabilty  scanning berdasarkan  frekuensi  penggunaan  tiap walktrough ,  hasil vulnerability dengan  nilai  perhitungan  resiko  tertinggi  sebesar  terdapat  pada WordPress  User IDs and User .

## 5. SARAN
Setelah dilakukannya  analisis,  terdapat  saran  yang  dihasilkan  dalam  penelitan  ii  sebagai berikut:
1. Perlu dilakukannya penelitian lebih spesifik dengan menggunakan software lainnya.
2. Melakukan lebih banyak pengujian menggunakan walkthrough dengan skala lebih luas.
3. Disarankan menggunakan open source vulnerability selain OpenVAS untuk melakukan vulnerability assessment.
4. Melakukan analisa dengan menggunakan selain standar NIST 800-115, seperti PTES ataupun OWASP.
Jatisi ISSN 2407-4322 Vol. 8, No. 4, Desember 2021, Hal. 2041-2050 E- ISSN 2503-2933 2050
IJCCS Vol. x, No–end_page

## DAFTAR PUSTAKA
[1] P.  Web,  2017, “Kecanggihan  Tak  Terbatas  (Juara  3  Lomba  Artikel  TIK  Pustekkom
2016),” pusdatin.kemdikbud , https://pusdatin.kemdikbud.go.id/kecanggihan-tak- terbatas-juara-3-lomba-artikel-pustekkom-2016/ (accessed Jul. 25, 2021).
[2] M.  Ngafifi,  2014, “Kemajuan  Teknologi  dan  Pola  Hidup  Manusia  Dalam  Perspektif Sosial Budaya,” J. Pembang. Pendidik. Fondasi dan Apl. , Vol. 2, No. 1, pp. 33–47, doi: 10.21831/jppfa.v2i1.2616.
[3] A.  Aziz  and  A.  Tarkono,  2016, “Teknologi  Virtualisasi  Openvz  dan  Kernel-Based Virtual Machine sebagai Layanan IaaS pada Jaringan Enterprise,” Multinetics , Vol. 2, No. 1, p. 24, doi: 10.32722/multinetics.Vol. 2.No.1.2016.pp.24-30.
[4] T. Prasandy and W. Adhiwibowo, 2015, “Virtualisasi Server Sederhana Menggunakan Proxmox,” J. Transform. , Vol. 12, No. 2, p. 37, doi: 10.26623/transformatika.v12i2.80.
[5] Y.  K,  2018. “Containerization,  Teknologi  Masa  Depan  Pengganti  Virtualization,” Niagahoser ,  https://www.niagahoster.co.id/blog/docker-tutorial/  (accessed  Jul.  25, 2021).
[6] F.  Adiputra,  2015. “Container  dan  Docker:  Teknik  Vertualisasi  Dalam  Pengelolaan Banyak Aplikasi Web,” J. SimanteC , Vol. 4, No. 3,
[7] NIST 800-115, 2008, “Technical Guide to Information Security Testing and Assessment Recommendations  of  The  National  Institute  of  Standards  and  Technology,”  Nist  Spec. Publ. , vol. 800, pp. 1–80, [Online]. Available: http://books.google.com/books?
[8] A. Methodology, R. Techniques, T. Identification, and N. Port, “NIST SP800-115,” pp. 1–9.
[9] E. Seth Misenar , J , Conrad, 2010. CISSP Study Guide .
[10] S.  Watts,  2020. “IT  Security  Vulnerability  vs  Threat  vs  Risk:  What  are  the Differences?,” https://www.bmc.com/blogs/security-vulnerability-vs-threat-vs-risk- whats-difference/ (accessed Jul. 20, 2021).