{ "meta": { "id": "csf_asas_academy_v1", "judul": "Cyber Security Fundamental ASAS — Academy Bank", "sekolah": "SMK Yasmida Ambarawa", "mapel": "Cyber Security Fundamental (ASAS)", "versi": "1.0.0", "format": "abdurrozak.academydb.v1", "linked_quiz_db": "quiz-db.json", "topik_kanonik": [ "AAA & Non-Repudiation", "Ancaman & Serangan Siber", "Aset, Threat, Vulnerability, Risk", "CIA Triad", "Cyber Security vs Info Security", "Dasar Jaringan (OSI/TCP-IP)", "Etika, Hukum & Regulasi (UU ITE/PDP)", "IP Address & Subnetting", "Keamanan Akun Digital (IAM/MFA)", "Kriptografi (Simetris/Asimetris/Hash)", "Literasi Digital & Jejak Digital", "Pengenalan Cyber Security", "Perintah CLI (Linux)", "Prasyarat Teknis (Hardware/OS)", "Security Awareness & Social Engineering", "Tata Kelola (PPTD/Klasifikasi/Risk)" ], "jumlah_soal": 25, "jumlah_essay": 5, "updated_at": "2026-09-13" }, "questions": [ { "id": "A01", "nomor": 1, "topik": "IP Address & Subnetting", "topik_sumber": "IP Address & Subnetting", "stimulus": "Seorang admin jaringan sekolah diminta merancang subnet untuk laboratorium komputer berisi 50 PC. Subnet harus cukup menampung semua host namun tidak boros ruang IP.", "pertanyaan": "Subnet mask yang paling tepat untuk lab tersebut adalah ....", "opsi": [ "/30 (255.255.255.252) - hanya 2 host usable", "/27 (255.255.255.224) - hanya 30 host usable", "/26 (255.255.255.192) - 62 host usable, cukup untuk 50 PC", "/24 (255.255.255.0) - 254 host usable, boros", "/16 (255.255.0.0) - 65534 host, sangat boros" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "/30 hanya 2 host usable - jauh kurang dari kebutuhan 50 PC.", "/27 hanya 30 host usable - masih kurang dari 50 PC yang dibutuhkan.", "/26 = 62 host usable (64 alamat - 2 network+broadcast) - cukup untuk 50 PC dengan sedikit buffer, tidak boros. Prinsip subnetting: cari 2^x terkecil yang >= N+2.", "/24 = 254 host usable - lebih dari cukup tapi boros berlebih untuk 50 PC, menghabiskan ruang IP.", "/16 sangat boros - hanya cocok untuk jaringan besar perusahaan, bukan lab sekolah." ], "engine": { "n": 1, "t": "IP Address & Subnetting", "s": "Seorang admin jaringan sekolah diminta merancang subnet untuk laboratorium komputer berisi 50 PC. Subnet harus cukup menampung semua host namun tidak boros ruang IP.", "q": "Subnet mask yang paling tepat untuk lab tersebut adalah ....", "o": [ "/30 (255.255.255.252) - hanya 2 host usable", "/27 (255.255.255.224) - hanya 30 host usable", "/26 (255.255.255.192) - 62 host usable, cukup untuk 50 PC", "/24 (255.255.255.0) - 254 host usable, boros", "/16 (255.255.0.0) - 65534 host, sangat boros" ], "a": "C", "w": [ "/30 hanya 2 host usable - jauh kurang dari kebutuhan 50 PC.", "/27 hanya 30 host usable - masih kurang dari 50 PC yang dibutuhkan.", "/26 = 62 host usable (64 alamat - 2 network+broadcast) - cukup untuk 50 PC dengan sedikit buffer, tidak boros. Prinsip subnetting: cari 2^x terkecil yang >= N+2.", "/24 = 254 host usable - lebih dari cukup tapi boros berlebih untuk 50 PC, menghabiskan ruang IP.", "/16 sangat boros - hanya cocok untuk jaringan besar perusahaan, bukan lab sekolah." ] }, "aktif": true }, { "id": "A02", "nomor": 2, "topik": "Perintah CLI (Linux)", "topik_sumber": "Perintah CLI (Linux)", "stimulus": "Seorang siswa TKJ ingin memeriksa file konfigurasi sistem Linux dan menemukan bahwa file /etc/shadow memiliki permission yang sangat ketat dibandingkan /etc/passwd.", "pertanyaan": "Alasan file /etc/shadow harus memiliki permission r-------- (root only) adalah ....", "opsi": [ "/etc/shadow hanya berisi info user biasa seperti UID dan shell", "/etc/shadow menyimpan HASH password pengguna sehingga jika bisa dibaca publik, password bisa diekstrak dan di-crack", "/etc/shadow berisi konfigurasi network dan harus dirahasiakan", "/etc/shadow adalah file log aktivitas login yang harus dijaga", "/etc/shadow menyimpan sertifikat TLS dan kunci privat server" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "/etc/shadow BUKAN berisi info user biasa - itu ada di /etc/passwd (UID, shell, home dir).", "/etc/shadow menyimpan HASH password. Jika bisa dibaca publik, tools seperti john/Hashcat bisa mengekstrak dan men-crack offline. Permission root-only (400) = perlindungan wajib.", "/etc/shadow tidak ada hubungannya dengan konfigurasi network - itu ranah /etc/network/ atau /etc/sysconfig/.", "/etc/shadow bukan file log - log login ada di /var/log/auth.log atau /var/log/secure.", "/etc/shadow tidak menyimpan sertifikat TLS - sertifikat ada di /etc/ssl/ atau /etc/letsencrypt/." ], "engine": { "n": 2, "t": "Perintah CLI (Linux)", "s": "Seorang siswa TKJ ingin memeriksa file konfigurasi sistem Linux dan menemukan bahwa file /etc/shadow memiliki permission yang sangat ketat dibandingkan /etc/passwd.", "q": "Alasan file /etc/shadow harus memiliki permission r-------- (root only) adalah ....", "o": [ "/etc/shadow hanya berisi info user biasa seperti UID dan shell", "/etc/shadow menyimpan HASH password pengguna sehingga jika bisa dibaca publik, password bisa diekstrak dan di-crack", "/etc/shadow berisi konfigurasi network dan harus dirahasiakan", "/etc/shadow adalah file log aktivitas login yang harus dijaga", "/etc/shadow menyimpan sertifikat TLS dan kunci privat server" ], "a": "B", "w": [ "/etc/shadow BUKAN berisi info user biasa - itu ada di /etc/passwd (UID, shell, home dir).", "/etc/shadow menyimpan HASH password. Jika bisa dibaca publik, tools seperti john/Hashcat bisa mengekstrak dan men-crack offline. Permission root-only (400) = perlindungan wajib.", "/etc/shadow tidak ada hubungannya dengan konfigurasi network - itu ranah /etc/network/ atau /etc/sysconfig/.", "/etc/shadow bukan file log - log login ada di /var/log/auth.log atau /var/log/secure.", "/etc/shadow tidak menyimpan sertifikat TLS - sertifikat ada di /etc/ssl/ atau /etc/letsencrypt/." ] }, "aktif": true }, { "id": "A03", "nomor": 3, "topik": "Dasar Jaringan (OSI/TCP-IP)", "topik_sumber": "Dasar Jaringan (OSI/TCP-IP)", "stimulus": "Seorang siswa menganalisis serangan SQL injection yang mengeksploitasi input form pada halaman web. Ia ingin memetakan serangan tersebut ke model OSI untuk memahami layer yang menjadi target.", "pertanyaan": "Protokol HTTP dan serangan SQL injection beroperasi pada layer ....", "opsi": [ "Layer 1 (Physical) - kabel & sinyal radio", "Layer 2 (Data Link) - MAC address & ARP", "Layer 3 (Network) - IP & routing", "Layer 4 (Transport) - TCP & UDP", "Layer 7 (Application) - HTTP, DNS, SMTP" ], "kunci_index": "E", "kunci_teks": null, "analisis": [ "Layer 1 Physical berisi kabel, fiber, radio - bukan protokol aplikasi.", "Layer 2 Data Link berisi Ethernet, ARP, MAC - bukan HTTP.", "Layer 3 Network berisi IP, ICMP - HTTP berjalan di atas ini tapi tidak di layer ini.", "Layer 4 Transport berisi TCP/UDP - HTTP menggunakan TCP sebagai transport, tapi HTTP sendiri ada di layer atas.", "Layer 7 Application = protokol end-user yang berinteraksi langsung dengan aplikasi: HTTP, DNS, SMTP. SQL injection mengeksploitasi input form HTTP = serangan Application Layer." ], "engine": { "n": 3, "t": "Dasar Jaringan (OSI/TCP-IP)", "s": "Seorang siswa menganalisis serangan SQL injection yang mengeksploitasi input form pada halaman web. Ia ingin memetakan serangan tersebut ke model OSI untuk memahami layer yang menjadi target.", "q": "Protokol HTTP dan serangan SQL injection beroperasi pada layer ....", "o": [ "Layer 1 (Physical) - kabel & sinyal radio", "Layer 2 (Data Link) - MAC address & ARP", "Layer 3 (Network) - IP & routing", "Layer 4 (Transport) - TCP & UDP", "Layer 7 (Application) - HTTP, DNS, SMTP" ], "a": "E", "w": [ "Layer 1 Physical berisi kabel, fiber, radio - bukan protokol aplikasi.", "Layer 2 Data Link berisi Ethernet, ARP, MAC - bukan HTTP.", "Layer 3 Network berisi IP, ICMP - HTTP berjalan di atas ini tapi tidak di layer ini.", "Layer 4 Transport berisi TCP/UDP - HTTP menggunakan TCP sebagai transport, tapi HTTP sendiri ada di layer atas.", "Layer 7 Application = protokol end-user yang berinteraksi langsung dengan aplikasi: HTTP, DNS, SMTP. SQL injection mengeksploitasi input form HTTP = serangan Application Layer." ] }, "aktif": true }, { "id": "A04", "nomor": 4, "topik": "Pengenalan Cyber Security", "topik_sumber": "Pengenalan Cyber Security", "stimulus": "Sebuah sekolah menyimpan data siswa, nilai, akun guru, dan dokumen administrasi pada server yang terhubung ke internet. Kepala sekolah ingin menentukan prioritas utama dalam penerapan Cyber Security.", "pertanyaan": "Tindakan yang paling tepat adalah ....", "opsi": [ "Membeli komputer dengan spesifikasi paling tinggi", "Menghapus seluruh data lama dari server", "Mengidentifikasi aset, ancaman, kerentanan, dan risiko sebelum menentukan kontrol keamanan", "Memblokir seluruh akses internet sekolah", "Mengganti semua akun pengguna setiap hari" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "Spesifikasi tinggi hanya memengaruhi kecepatan kerja komputer, bukan keamanan. Perangkat mahal pun tetap rentan tanpa kontrol keamanan yang tepat.", "Data lama bisa jadi aset penting yang masih dibutuhkan. Menghapusnya justru menghilangkan informasi dan tidak menutup celah keamanan sama sekali.", "Penerapan Cyber Security yang tepat dimulai dengan pendekatan berbasis risiko: identifikasi aset - ancaman (threat) - kerentanan (vulnerability) - risiko, baru menentukan kontrol keamanan yang tepat sasaran dan efisien.", "Memblokir seluruh internet bersifat ekstrem dan tidak proporsional; justru menghambat pembelajaran serta kebutuhan administrasi sekolah.", "Tidak praktis, mengganggu operasional harian, dan tidak menyelesaikan akar masalah keamanan." ], "engine": { "n": 4, "t": "Pengenalan Cyber Security", "s": "Sebuah sekolah menyimpan data siswa, nilai, akun guru, dan dokumen administrasi pada server yang terhubung ke internet. Kepala sekolah ingin menentukan prioritas utama dalam penerapan Cyber Security.", "q": "Tindakan yang paling tepat adalah ....", "o": [ "Membeli komputer dengan spesifikasi paling tinggi", "Menghapus seluruh data lama dari server", "Mengidentifikasi aset, ancaman, kerentanan, dan risiko sebelum menentukan kontrol keamanan", "Memblokir seluruh akses internet sekolah", "Mengganti semua akun pengguna setiap hari" ], "a": "C", "w": [ "Spesifikasi tinggi hanya memengaruhi kecepatan kerja komputer, bukan keamanan. Perangkat mahal pun tetap rentan tanpa kontrol keamanan yang tepat.", "Data lama bisa jadi aset penting yang masih dibutuhkan. Menghapusnya justru menghilangkan informasi dan tidak menutup celah keamanan sama sekali.", "Penerapan Cyber Security yang tepat dimulai dengan pendekatan berbasis risiko: identifikasi aset - ancaman (threat) - kerentanan (vulnerability) - risiko, baru menentukan kontrol keamanan yang tepat sasaran dan efisien.", "Memblokir seluruh internet bersifat ekstrem dan tidak proporsional; justru menghambat pembelajaran serta kebutuhan administrasi sekolah.", "Tidak praktis, mengganggu operasional harian, dan tidak menyelesaikan akar masalah keamanan." ] }, "aktif": true }, { "id": "A05", "nomor": 5, "topik": "Cyber Security vs Info Security", "topik_sumber": "Cyber Security vs Info Security", "stimulus": "Sebuah dokumen rahasia sekolah dicetak dan disimpan di lemari terkunci di ruang kepegawaian. Dokumen tersebut tidak pernah diubah ke bentuk digital dan tidak pernah dikirim melalui internet.", "pertanyaan": "Pernyataan yang paling tepat mengenai keamanan dokumen tersebut adalah ....", "opsi": [ "Dokumen tersebut tidak memerlukan keamanan karena bukan digital", "Hanya Cyber Security yang dapat melindungi dokumen tersebut", "Information Security tetap diperlukan meskipun informasi tidak berbentuk digital", "Cyber Security dan Information Security memiliki arti yang sepenuhnya sama", "Dokumen fisik tidak dapat mengalami kebocoran informasi" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "Dokumen fisik tetap bisa dicuri/disalin/difoto - tetap butuh keamanan.", "Cyber Security HANYA untuk ranah digital. Dokumen fisik di lemari bukan ranah cyber.", "Information Security mencakup informasi SEGALA bentuk (kertas, verbal, digital). Dokumen kertas tetap butuh InfoSec: lemari terkunci, akses terbatas, shredder, NDA.", "InfoSec tidak sama dengan CyberSec. Hubungan: InfoSec superset IT Sec superset Cyber Sec. CyberSec adalah subset yang fokus ranah internet.", "Dokumen fisik JUSTRU sering bocor - bisa dicuri, difoto, disalin tanpa sepengetahuan pemilik." ], "engine": { "n": 5, "t": "Cyber Security vs Info Security", "s": "Sebuah dokumen rahasia sekolah dicetak dan disimpan di lemari terkunci di ruang kepegawaian. Dokumen tersebut tidak pernah diubah ke bentuk digital dan tidak pernah dikirim melalui internet.", "q": "Pernyataan yang paling tepat mengenai keamanan dokumen tersebut adalah ....", "o": [ "Dokumen tersebut tidak memerlukan keamanan karena bukan digital", "Hanya Cyber Security yang dapat melindungi dokumen tersebut", "Information Security tetap diperlukan meskipun informasi tidak berbentuk digital", "Cyber Security dan Information Security memiliki arti yang sepenuhnya sama", "Dokumen fisik tidak dapat mengalami kebocoran informasi" ], "a": "C", "w": [ "Dokumen fisik tetap bisa dicuri/disalin/difoto - tetap butuh keamanan.", "Cyber Security HANYA untuk ranah digital. Dokumen fisik di lemari bukan ranah cyber.", "Information Security mencakup informasi SEGALA bentuk (kertas, verbal, digital). Dokumen kertas tetap butuh InfoSec: lemari terkunci, akses terbatas, shredder, NDA.", "InfoSec tidak sama dengan CyberSec. Hubungan: InfoSec superset IT Sec superset Cyber Sec. CyberSec adalah subset yang fokus ranah internet.", "Dokumen fisik JUSTRU sering bocor - bisa dicuri, difoto, disalin tanpa sepengetahuan pemilik." ] }, "aktif": true }, { "id": "A06", "nomor": 6, "topik": "Aset, Threat, Vulnerability, Risk", "topik_sumber": "Aset, Threat, Vulnerability, Risk", "stimulus": "Website sekolah memiliki akun administrator dengan password sederhana yang mudah ditebak. Seorang penyerang mencoba menebak password tersebut dengan teknik brute force untuk mendapatkan akses ke panel admin.", "pertanyaan": "Pasangan Threat dan Vulnerability yang tepat pada skenario tersebut adalah ....", "opsi": [ "Threat: Password sederhana; Vulnerability: Penyerang", "Threat: Website; Vulnerability: Administrator", "Threat: Penyerang; Vulnerability: Password sederhana", "Threat: Risiko; Vulnerability: Aset", "Threat: Internet; Vulnerability: Browser" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "TERTUKAR! Password sederhana adalah celah (vulnerability), bukan pelaku (threat). Penyerang adalah threat, bukan vulnerability.", "Website adalah ASET (yang dilindungi), bukan threat. Administrator adalah orang, bukan vulnerability.", "BENAR: Penyerang = pelaku ancaman (THREAT - aktor yang mengancam). Password sederhana = celah yang dieksploitasi (VULNERABILITY - kelemahan).", "Risiko adalah HASIL pertemuan threat+vulnerability pada aset - bukan jenis ancaman atau celah. Aset = yang dilindungi.", "Internet adalah media/saluran, bukan threat. Browser adalah software klien, bukan vulnerability." ], "engine": { "n": 6, "t": "Aset, Threat, Vulnerability, Risk", "s": "Website sekolah memiliki akun administrator dengan password sederhana yang mudah ditebak. Seorang penyerang mencoba menebak password tersebut dengan teknik brute force untuk mendapatkan akses ke panel admin.", "q": "Pasangan Threat dan Vulnerability yang tepat pada skenario tersebut adalah ....", "o": [ "Threat: Password sederhana; Vulnerability: Penyerang", "Threat: Website; Vulnerability: Administrator", "Threat: Penyerang; Vulnerability: Password sederhana", "Threat: Risiko; Vulnerability: Aset", "Threat: Internet; Vulnerability: Browser" ], "a": "C", "w": [ "TERTUKAR! Password sederhana adalah celah (vulnerability), bukan pelaku (threat). Penyerang adalah threat, bukan vulnerability.", "Website adalah ASET (yang dilindungi), bukan threat. Administrator adalah orang, bukan vulnerability.", "BENAR: Penyerang = pelaku ancaman (THREAT - aktor yang mengancam). Password sederhana = celah yang dieksploitasi (VULNERABILITY - kelemahan).", "Risiko adalah HASIL pertemuan threat+vulnerability pada aset - bukan jenis ancaman atau celah. Aset = yang dilindungi.", "Internet adalah media/saluran, bukan threat. Browser adalah software klien, bukan vulnerability." ] }, "aktif": true }, { "id": "A07", "nomor": 7, "topik": "Literasi Digital & Jejak Digital", "topik_sumber": "Literasi Digital & Jejak Digital", "stimulus": "Seorang siswa mengunggah foto liburan keluarga ke media sosial. Foto tersebut memperlihatkan rumahnya, plat nomor kendaraan, papan nama jalan di depan rumah, dan metadata GPS masih aktif (EXIF).", "pertanyaan": "Risiko paling serius dari tindakan tersebut adalah ....", "opsi": [ "Foto menjadi tidak estetis karena terlalu banyak objek", "Koneksi internet melambat saat upload", "Mempermudah doxing, pelacakan lokasi rumah, dan potensi pencurian identitas", "Penyimpanan ponsel menjadi penuh", "Akun media sosial otomatis diblokir oleh admin" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "Estetika foto tidak relevan dengan keamanan - bukan risiko serius.", "Lambat saat upload adalah masalah teknis sesaat, bukan risiko keamanan.", "Oversharing info sensitif (lokasi rumah, plat, jalan) + GPS metadata = paket lengkap untuk doxing/stalking/pencurian identitas. Penyerang bisa cari alamat lengkap dari papan nama + koordinat GPS.", "Penyimpanan penuh bukan masalah keamanan - foto kecil tidak memengaruhi kapasitas signifikan.", "Tidak ada aturan medsos yang otomatis memblokir akun karena upload foto pribadi - justru medsos mendorong sharing." ], "engine": { "n": 7, "t": "Literasi Digital & Jejak Digital", "s": "Seorang siswa mengunggah foto liburan keluarga ke media sosial. Foto tersebut memperlihatkan rumahnya, plat nomor kendaraan, papan nama jalan di depan rumah, dan metadata GPS masih aktif (EXIF).", "q": "Risiko paling serius dari tindakan tersebut adalah ....", "o": [ "Foto menjadi tidak estetis karena terlalu banyak objek", "Koneksi internet melambat saat upload", "Mempermudah doxing, pelacakan lokasi rumah, dan potensi pencurian identitas", "Penyimpanan ponsel menjadi penuh", "Akun media sosial otomatis diblokir oleh admin" ], "a": "C", "w": [ "Estetika foto tidak relevan dengan keamanan - bukan risiko serius.", "Lambat saat upload adalah masalah teknis sesaat, bukan risiko keamanan.", "Oversharing info sensitif (lokasi rumah, plat, jalan) + GPS metadata = paket lengkap untuk doxing/stalking/pencurian identitas. Penyerang bisa cari alamat lengkap dari papan nama + koordinat GPS.", "Penyimpanan penuh bukan masalah keamanan - foto kecil tidak memengaruhi kapasitas signifikan.", "Tidak ada aturan medsos yang otomatis memblokir akun karena upload foto pribadi - justru medsos mendorong sharing." ] }, "aktif": true }, { "id": "A08", "nomor": 8, "topik": "Literasi Digital & Jejak Digital", "topik_sumber": "Literasi Digital & Jejak Digital", "stimulus": "Seorang siswa ingin memverifikasi kebenaran berita viral yang menyatakan 'sekolah akan ditutup minggu depan karena wabah'. Ia menerima berita tersebut dari forward WhatsApp tanpa sumber resmi.", "pertanyaan": "Langkah paling tepat untuk memverifikasi informasi tersebut adalah ....", "opsi": [ "Segera meneruskan ke teman-teman agar semua waspada", "Mempercayai berita karena diteruskan oleh keluarga", "Cek sumber asli di website sekolah resmi dan/atau cekfakta.com, bandingkan dengan media kredibel", "Mengabaikan semua forward WhatsApp selamanya", "Membalas ke pengirim dengan pertanyaan 'benarkah ini?'" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "Meneruskan tanpa verifikasi = menyebarkan disinformasi. Keluarga bisa juga tertipu.", "Sumber keluarga TIDAK menjamin kebenaran - justru forward WhatsApp sering kali hoaks.", "Verifikasi 5W+1H: cek sumber asli (website resmi sekolah), cek di platform cekfakta (turnbackhoax.id, cekfakta.com), bandingkan dengan media kredibel (Kompas, Detik). Ini langkah literasi digital yang benar.", "Mengabaikan SEMUA forward = reaksi berlebihan. Banyak forward sah (pengumuman resmi). Yang benar: verifikasi dulu.", "Membalas pengirim tidak menambah informasi - pengirim mungkin juga tidak tahu sumber aslinya." ], "engine": { "n": 8, "t": "Literasi Digital & Jejak Digital", "s": "Seorang siswa ingin memverifikasi kebenaran berita viral yang menyatakan 'sekolah akan ditutup minggu depan karena wabah'. Ia menerima berita tersebut dari forward WhatsApp tanpa sumber resmi.", "q": "Langkah paling tepat untuk memverifikasi informasi tersebut adalah ....", "o": [ "Segera meneruskan ke teman-teman agar semua waspada", "Mempercayai berita karena diteruskan oleh keluarga", "Cek sumber asli di website sekolah resmi dan/atau cekfakta.com, bandingkan dengan media kredibel", "Mengabaikan semua forward WhatsApp selamanya", "Membalas ke pengirim dengan pertanyaan 'benarkah ini?'" ], "a": "C", "w": [ "Meneruskan tanpa verifikasi = menyebarkan disinformasi. Keluarga bisa juga tertipu.", "Sumber keluarga TIDAK menjamin kebenaran - justru forward WhatsApp sering kali hoaks.", "Verifikasi 5W+1H: cek sumber asli (website resmi sekolah), cek di platform cekfakta (turnbackhoax.id, cekfakta.com), bandingkan dengan media kredibel (Kompas, Detik). Ini langkah literasi digital yang benar.", "Mengabaikan SEMUA forward = reaksi berlebihan. Banyak forward sah (pengumuman resmi). Yang benar: verifikasi dulu.", "Membalas pengirim tidak menambah informasi - pengirim mungkin juga tidak tahu sumber aslinya." ] }, "aktif": true }, { "id": "A09", "nomor": 9, "topik": "Security Awareness & Social Engineering", "topik_sumber": "Security Awareness & Social Engineering", "stimulus": "Seorang siswa menerima email dari 'tim support sekolah' yang menyatakan akunnya akan ditutup dalam 2 jam jika tidak segera klik tautan dan masukkan password. Email ditujukan 'Yth. Pengguna Terhormat' dengan domain pengirim yang berbeda dari domain resmi sekolah.", "pertanyaan": "Tindakan dengan security mindset yang paling tepat adalah ....", "opsi": [ "Segera klik tautan dan masukkan password agar akun tidak ditutup", "Meneruskan email kepada semua teman untuk berhati-hati", "Verifikasi melalui kanal resmi (langsung ke admin sekolah, tidak klik tautan), dan laporkan email sebagai phishing", "Membalas email dengan mengirimkan password lama", "Mengabaikan seluruh email dari sekolah selamanya" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "Segera klik = masuk jebakan phishing. Email ini punya 3 red flag: urgensi (2 jam), salam generik ('Pengguna'), domain asing.", "Meneruskan = menyebarkan phishing ke teman - justru membahayakan mereka.", "Verifikasi out-of-band (kanal berbeda dari email) = prinsip 'verify before trust'. Tiga red flag: urgensi, salam generik, domain asing. Institusi resmi TIDAK PERNAH minta password via tautan.", "Membalas dengan password = menyerahkan kredensial ke penyerang secara sukarela.", "Mengabaikan SEMUA email sekolah = reaksi paranoia yang berlebihan. Email tetap dipakai dengan hati-hati + verifikasi." ], "engine": { "n": 9, "t": "Security Awareness & Social Engineering", "s": "Seorang siswa menerima email dari 'tim support sekolah' yang menyatakan akunnya akan ditutup dalam 2 jam jika tidak segera klik tautan dan masukkan password. Email ditujukan 'Yth. Pengguna Terhormat' dengan domain pengirim yang berbeda dari domain resmi sekolah.", "q": "Tindakan dengan security mindset yang paling tepat adalah ....", "o": [ "Segera klik tautan dan masukkan password agar akun tidak ditutup", "Meneruskan email kepada semua teman untuk berhati-hati", "Verifikasi melalui kanal resmi (langsung ke admin sekolah, tidak klik tautan), dan laporkan email sebagai phishing", "Membalas email dengan mengirimkan password lama", "Mengabaikan seluruh email dari sekolah selamanya" ], "a": "C", "w": [ "Segera klik = masuk jebakan phishing. Email ini punya 3 red flag: urgensi (2 jam), salam generik ('Pengguna'), domain asing.", "Meneruskan = menyebarkan phishing ke teman - justru membahayakan mereka.", "Verifikasi out-of-band (kanal berbeda dari email) = prinsip 'verify before trust'. Tiga red flag: urgensi, salam generik, domain asing. Institusi resmi TIDAK PERNAH minta password via tautan.", "Membalas dengan password = menyerahkan kredensial ke penyerang secara sukarela.", "Mengabaikan SEMUA email sekolah = reaksi paranoia yang berlebihan. Email tetap dipakai dengan hati-hati + verifikasi." ] }, "aktif": true }, { "id": "A10", "nomor": 10, "topik": "Security Awareness & Social Engineering", "topik_sumber": "Security Awareness & Social Engineering", "stimulus": "Seorang pegawai menerima telepon dari seseorang yang mengaku dari vendor IT. Penelepon meminta pegawai membacakan OTP yang baru saja dikirim ke ponselnya, dengan alasan 'verifikasi pemeliharaan sistem'.", "pertanyaan": "Jenis serangan dan tindakan yang tepat adalah ....", "opsi": [ "Brute Force - ganti password dengan lebih kompleks", "Vishing (voice phishing) - jangan berbagi OTP, verifikasi via kanal resmi vendor", "DDoS - matikan server", "Malware - install antivirus", "Defacement - ubah tampilan website" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "Brute Force = menebak password. Tidak cocok - di sini penyerang meminta OTP lewat telepon, bukan menebak.", "Vishing (voice phishing) = penipuan via telepon untuk minta info sensitif (OTP, password). OTP TIDAK BOLEH dibagikan ke siapa pun - vendor IT asli tidak pernah minta OTP. Verifikasi via kanal resmi.", "DDoS = membanjiri server trafik. Tidak ada hubungannya dengan skenario telepon.", "Malware = software jahat. Skenario ini bukan infeksi software, tapi manipulasi psikologis via telepon.", "Defacement = ubah tampilan web. Tidak relevan dengan telepon minta OTP." ], "engine": { "n": 10, "t": "Security Awareness & Social Engineering", "s": "Seorang pegawai menerima telepon dari seseorang yang mengaku dari vendor IT. Penelepon meminta pegawai membacakan OTP yang baru saja dikirim ke ponselnya, dengan alasan 'verifikasi pemeliharaan sistem'.", "q": "Jenis serangan dan tindakan yang tepat adalah ....", "o": [ "Brute Force - ganti password dengan lebih kompleks", "Vishing (voice phishing) - jangan berbagi OTP, verifikasi via kanal resmi vendor", "DDoS - matikan server", "Malware - install antivirus", "Defacement - ubah tampilan website" ], "a": "B", "w": [ "Brute Force = menebak password. Tidak cocok - di sini penyerang meminta OTP lewat telepon, bukan menebak.", "Vishing (voice phishing) = penipuan via telepon untuk minta info sensitif (OTP, password). OTP TIDAK BOLEH dibagikan ke siapa pun - vendor IT asli tidak pernah minta OTP. Verifikasi via kanal resmi.", "DDoS = membanjiri server trafik. Tidak ada hubungannya dengan skenario telepon.", "Malware = software jahat. Skenario ini bukan infeksi software, tapi manipulasi psikologis via telepon.", "Defacement = ubah tampilan web. Tidak relevan dengan telepon minta OTP." ] }, "aktif": true }, { "id": "A11", "nomor": 11, "topik": "Security Awareness & Social Engineering", "topik_sumber": "Security Awareness & Social Engineering", "stimulus": "Seorang siswa menemukan USB flashdisk di parkiran sekolah dengan tulisan 'Gaji Guru 2026'. Ia penasaran dan ingin mencolokkannya ke komputer lab untuk melihat isinya.", "pertanyaan": "Risiko dan tindakan yang tepat adalah ....", "opsi": [ "Tidak ada risiko - USB tidak bisa membawa malware", "Risiko Baiting (umpan) - USB berisi malware; serahkan ke guru IT, jangan colok ke komputer utama", "Risiko DDoS - USB akan membanjiri jaringan", "Risiko Phishing - USB akan mengirim email palsu", "Risiko Defacement - USB akan mengubah tampilan desktop" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "USB JUSTRU media klasik malware - autorun atau file seolah-olah dokumen bisa menginfeksi sistem.", "Baiting = teknik social engineering dengan umpan fisik (USB berlabel menarik). USB bisa berisi malware/backdoor. Tindakan tepat: serahkan ke guru IT untuk inspeksi di VM terisolasi.", "DDoS = serangan trafik jaringan, tidak di-trigger oleh USB.", "Phishing = penipuan via email/situs palsu - USB bukan media phishing.", "Defacement = ubah tampilan web - USB tidak otomatis deface desktop." ], "engine": { "n": 11, "t": "Security Awareness & Social Engineering", "s": "Seorang siswa menemukan USB flashdisk di parkiran sekolah dengan tulisan 'Gaji Guru 2026'. Ia penasaran dan ingin mencolokkannya ke komputer lab untuk melihat isinya.", "q": "Risiko dan tindakan yang tepat adalah ....", "o": [ "Tidak ada risiko - USB tidak bisa membawa malware", "Risiko Baiting (umpan) - USB berisi malware; serahkan ke guru IT, jangan colok ke komputer utama", "Risiko DDoS - USB akan membanjiri jaringan", "Risiko Phishing - USB akan mengirim email palsu", "Risiko Defacement - USB akan mengubah tampilan desktop" ], "a": "B", "w": [ "USB JUSTRU media klasik malware - autorun atau file seolah-olah dokumen bisa menginfeksi sistem.", "Baiting = teknik social engineering dengan umpan fisik (USB berlabel menarik). USB bisa berisi malware/backdoor. Tindakan tepat: serahkan ke guru IT untuk inspeksi di VM terisolasi.", "DDoS = serangan trafik jaringan, tidak di-trigger oleh USB.", "Phishing = penipuan via email/situs palsu - USB bukan media phishing.", "Defacement = ubah tampilan web - USB tidak otomatis deface desktop." ] }, "aktif": true }, { "id": "A12", "nomor": 12, "topik": "Etika, Hukum & Regulasi (UU ITE/PDP)", "topik_sumber": "Etika, Hukum & Regulasi (UU ITE/PDP)", "stimulus": "Seorang siswa menemukan celah SQL injection pada website resmi sekolah yang memungkinkan akses ke database nilai. Ia ingin melaporkan temuan tersebut tanpa melanggar hukum.", "pertanyaan": "Tindakan yang sesuai etika dan UU ITE adalah ....", "opsi": [ "Langsung mengeksploitasi celah untuk membuktikan, lalu bagikan ke teman", "Menjual informasi celah ke pihak ketiga untuk imbalan", "Membuat laporan tertulis (PoC non-destructive) dan kirim ke pihak sekolah/admin IT tanpa eksploitasi", "Mempublikasikan celah di media sosial agar sekolah segera memperbaiki", "Mengabaikan celah karena bukan tanggung jawabnya" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "Eksploitasi tanpa izin = Pasal 30 UU ITE (akses ilegal), 6-12 tahun penjara. Niat baik tidak menghapus ilegalitas.", "Menjual info celah = pidana penuh (pasal 30 + pasal pencurian data).", "Responsible Disclosure: PoC non-destructive (bukti tanpa merusak) + lapor ke vendor (sekolah) lebih dulu → tunggu waktu reasonable (90 hari) → baru publikasi setelah patch. Safe harbor melindungi peneliti etis.", "Publikasi sebelum patch = berbahaya - penyerang lain bisa exploit sebelum perbaikan. Tidak etis dan bisa dianggap negligent.", "Mengabaikan celah serius = etis debatable - jika risiko besar ke banyak orang, sebaiknya dilaporkan." ], "engine": { "n": 12, "t": "Etika, Hukum & Regulasi (UU ITE/PDP)", "s": "Seorang siswa menemukan celah SQL injection pada website resmi sekolah yang memungkinkan akses ke database nilai. Ia ingin melaporkan temuan tersebut tanpa melanggar hukum.", "q": "Tindakan yang sesuai etika dan UU ITE adalah ....", "o": [ "Langsung mengeksploitasi celah untuk membuktikan, lalu bagikan ke teman", "Menjual informasi celah ke pihak ketiga untuk imbalan", "Membuat laporan tertulis (PoC non-destructive) dan kirim ke pihak sekolah/admin IT tanpa eksploitasi", "Mempublikasikan celah di media sosial agar sekolah segera memperbaiki", "Mengabaikan celah karena bukan tanggung jawabnya" ], "a": "C", "w": [ "Eksploitasi tanpa izin = Pasal 30 UU ITE (akses ilegal), 6-12 tahun penjara. Niat baik tidak menghapus ilegalitas.", "Menjual info celah = pidana penuh (pasal 30 + pasal pencurian data).", "Responsible Disclosure: PoC non-destructive (bukti tanpa merusak) + lapor ke vendor (sekolah) lebih dulu → tunggu waktu reasonable (90 hari) → baru publikasi setelah patch. Safe harbor melindungi peneliti etis.", "Publikasi sebelum patch = berbahaya - penyerang lain bisa exploit sebelum perbaikan. Tidak etis dan bisa dianggap negligent.", "Mengabaikan celah serius = etis debatable - jika risiko besar ke banyak orang, sebaiknya dilaporkan." ] }, "aktif": true }, { "id": "A13", "nomor": 13, "topik": "Etika, Hukum & Regulasi (UU ITE/PDP)", "topik_sumber": "Etika, Hukum & Regulasi (UU ITE/PDP)", "stimulus": "UU ITE mengatur berbagai bentuk cybercrime di Indonesia. Seorang mahasiswa membuat akun palsu di media sosial untuk menghina dosen tertentu dengan tuduhan palsu yang merusak reputasi.", "pertanyaan": "Pasal UU ITE yang paling tepat dilanggar adalah ....", "opsi": [ "Pasal 27(1) tentang SARA", "Pasal 27(3) tentang penghinaan dan/atau pencemaran nama baik", "Pasal 30 tentang akses ilegal", "Pasal 35 tentang perusakan data", "Pasal 28(2) tentang ancaman kekerasan" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "Pasal 27(1) khusus SARA (Suku, Agama, Ras, Antargolongan). Skenario ini penghinaan personal, bukan SARA.", "Pasal 27(3) UU ITE mengatur penghinaan dan/atau pencemaran nama baik secara elektronik. Membuat akun palsu + tuduhan palsu = pencemaran nama baik. Ancaman 6 tahun / 1 miliar.", "Pasal 30 tentang akses ilegal (hacking tanpa izin) - tidak cocok karena skenario tentang konten, bukan akses.", "Pasal 35 tentang perusakan/pemindahan data ilegal - tidak ada unsur perusakan data.", "Pasal 28(2) tentang ancaman kekerasan - tidak ada ancaman kekerasan dalam skenario." ], "engine": { "n": 13, "t": "Etika, Hukum & Regulasi (UU ITE/PDP)", "s": "UU ITE mengatur berbagai bentuk cybercrime di Indonesia. Seorang mahasiswa membuat akun palsu di media sosial untuk menghina dosen tertentu dengan tuduhan palsu yang merusak reputasi.", "q": "Pasal UU ITE yang paling tepat dilanggar adalah ....", "o": [ "Pasal 27(1) tentang SARA", "Pasal 27(3) tentang penghinaan dan/atau pencemaran nama baik", "Pasal 30 tentang akses ilegal", "Pasal 35 tentang perusakan data", "Pasal 28(2) tentang ancaman kekerasan" ], "a": "B", "w": [ "Pasal 27(1) khusus SARA (Suku, Agama, Ras, Antargolongan). Skenario ini penghinaan personal, bukan SARA.", "Pasal 27(3) UU ITE mengatur penghinaan dan/atau pencemaran nama baik secara elektronik. Membuat akun palsu + tuduhan palsu = pencemaran nama baik. Ancaman 6 tahun / 1 miliar.", "Pasal 30 tentang akses ilegal (hacking tanpa izin) - tidak cocok karena skenario tentang konten, bukan akses.", "Pasal 35 tentang perusakan/pemindahan data ilegal - tidak ada unsur perusakan data.", "Pasal 28(2) tentang ancaman kekerasan - tidak ada ancaman kekerasan dalam skenario." ] }, "aktif": true }, { "id": "A14", "nomor": 14, "topik": "Etika, Hukum & Regulasi (UU ITE/PDP)", "topik_sumber": "Etika, Hukum & Regulasi (UU ITE/PDP)", "stimulus": "Sebuah perusahaan e-commerce mengalami kebocoran data 10 juta pengguna (nama, email, telepon, alamat). Perusahaan tidak memiliki Data Protection Officer (DPO) dan tidak melaporkan insiden ke otoritas.", "pertanyaan": "Pelanggaran UU PDP No. 27/2022 yang terjadi adalah ....", "opsi": [ "Tidak ada pelanggaran - kebocoran data adalah force majeure", "Hanya pelanggaran kode etik internal, bukan UU", "Tidak menunjuk DPO (wajib untuk pengendali besar) dan gagal melaporkan insiden dalam 72 jam ke otoritas", "Pelanggaran UU ITE Pasal 27 tentang SARA", "Pelanggaran UU Hak Cipta tentang database" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "Kebocoran data BUKAN force majeure - UU PDP menuntut kontrol teknis+organisasi yang cukup.", "UU PDP No. 27/2022 adalah UU, bukan sekadar kode etik. Pelanggaran = sanksi hukum nyata.", "UU PDP wajibkan: DPO untuk pengendali data besar + lapor insiden dalam 3x24 jam ke otoritas + hak subjek data (notif kebocoran). Denda hingga 2% omzet tahunan.", "UU ITE Pasal 27 SARA tidak relevan - ini bukan masalah SARA tapi perlindungan data.", "UU Hak Cipta mengatur karya cipta - database pelanggan bukan objek hak cipta." ], "engine": { "n": 14, "t": "Etika, Hukum & Regulasi (UU ITE/PDP)", "s": "Sebuah perusahaan e-commerce mengalami kebocoran data 10 juta pengguna (nama, email, telepon, alamat). Perusahaan tidak memiliki Data Protection Officer (DPO) dan tidak melaporkan insiden ke otoritas.", "q": "Pelanggaran UU PDP No. 27/2022 yang terjadi adalah ....", "o": [ "Tidak ada pelanggaran - kebocoran data adalah force majeure", "Hanya pelanggaran kode etik internal, bukan UU", "Tidak menunjuk DPO (wajib untuk pengendali besar) dan gagal melaporkan insiden dalam 72 jam ke otoritas", "Pelanggaran UU ITE Pasal 27 tentang SARA", "Pelanggaran UU Hak Cipta tentang database" ], "a": "C", "w": [ "Kebocoran data BUKAN force majeure - UU PDP menuntut kontrol teknis+organisasi yang cukup.", "UU PDP No. 27/2022 adalah UU, bukan sekadar kode etik. Pelanggaran = sanksi hukum nyata.", "UU PDP wajibkan: DPO untuk pengendali data besar + lapor insiden dalam 3x24 jam ke otoritas + hak subjek data (notif kebocoran). Denda hingga 2% omzet tahunan.", "UU ITE Pasal 27 SARA tidak relevan - ini bukan masalah SARA tapi perlindungan data.", "UU Hak Cipta mengatur karya cipta - database pelanggan bukan objek hak cipta." ] }, "aktif": true }, { "id": "A15", "nomor": 15, "topik": "Kriptografi (Simetris/Asimetris/Hash)", "topik_sumber": "Kriptografi (Simetris/Asimetris/Hash)", "stimulus": "Seorang pengembang website menyimpan password pengguna di database. Ia memilih antara plaintext, MD5, atau bcrypt (algoritma hash modern dengan salt).", "pertanyaan": "Pilihan yang paling aman dan alasannya adalah ....", "opsi": [ "Plaintext - agar mudah dikirim ulang saat lupa password", "MD5 - cepat dan cukup populer", "Bcrypt dengan salt - lambat secara sengaja & menambah data acak per password, sehingga tahan rainbow table dan brute force", "Tidak perlu simpan password - biarkan user login berkali-kali tanpa simpan", "Enkripsi simetris AES - agar bisa didekripsi bila lupa" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "Plaintext = bahaya ekstrem. Jika DB bocor, SEMUA password terbuka. 'Forgot password' harusnya reset (link), bukan kirim password lama.", "MD5 sudah collision broken (2004) - dua input berbeda bisa hasilkan hash sama. Cepat = mudah brute force.", "Bcrypt sengaja lambat (cost factor) untuk hambat brute force; salt membuat tiap password unik walau input sama → tahan rainbow table. Ini standar industri modern.", "Tidak simpan password = sistem tidak bisa verifikasi login. Mustahil diimplementasikan.", "AES reversible = bisa didekripsi bila kunci bocor. Password HARUS one-way (hash), bukan reversible." ], "engine": { "n": 15, "t": "Kriptografi (Simetris/Asimetris/Hash)", "s": "Seorang pengembang website menyimpan password pengguna di database. Ia memilih antara plaintext, MD5, atau bcrypt (algoritma hash modern dengan salt).", "q": "Pilihan yang paling aman dan alasannya adalah ....", "o": [ "Plaintext - agar mudah dikirim ulang saat lupa password", "MD5 - cepat dan cukup populer", "Bcrypt dengan salt - lambat secara sengaja & menambah data acak per password, sehingga tahan rainbow table dan brute force", "Tidak perlu simpan password - biarkan user login berkali-kali tanpa simpan", "Enkripsi simetris AES - agar bisa didekripsi bila lupa" ], "a": "C", "w": [ "Plaintext = bahaya ekstrem. Jika DB bocor, SEMUA password terbuka. 'Forgot password' harusnya reset (link), bukan kirim password lama.", "MD5 sudah collision broken (2004) - dua input berbeda bisa hasilkan hash sama. Cepat = mudah brute force.", "Bcrypt sengaja lambat (cost factor) untuk hambat brute force; salt membuat tiap password unik walau input sama → tahan rainbow table. Ini standar industri modern.", "Tidak simpan password = sistem tidak bisa verifikasi login. Mustahil diimplementasikan.", "AES reversible = bisa didekripsi bila kunci bocor. Password HARUS one-way (hash), bukan reversible." ] }, "aktif": true }, { "id": "A16", "nomor": 16, "topik": "Kriptografi (Simetris/Asimetris/Hash)", "topik_sumber": "Kriptografi (Simetris/Asimetris/Hash)", "stimulus": "Seseorang mengirim file penting ke rekan. Ia ingin memastikan file tidak dimodifikasi selama transmisi dan rekan bisa memverifikasi bahwa file benar-benar dari pengirim (autentik + non-repudiation).", "pertanyaan": "Mekanisme yang paling tepat adalah ....", "opsi": [ "Enkripsi simetris dengan AES", "Hash function SHA-256 saja", "Digital signature: hash file dienkripsi dengan private key pengirim", "Password ZIP untuk file", "Mengirim file via HTTPS saja" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "AES simetris menjaga confidentiality (kerahasiaan) tapi TIDAK autentik. Siapa pun yang punya kunci bisa seolah-olah jadi pengirim.", "Hash SHA-256 menjaga integrity (bisa deteksi perubahan) tapi TIDAK autentik - siapa pun bisa hitung hash, tidak ada identitas pengirim.", "Digital signature = hash file dienkripsi dengan PRIVATE key pengirim. Rekan verifikasi dengan PUBLIC key. Memberikan: integrity + authentication + non-repudiation (pengirim tak bisa sangkal).", "Password ZIP = sekadar confidentiality lemah (ZIP encryption klasik mudah di-brute). Tidak autentik.", "HTTPS menjaga transmisi tapi TIDAK menjamin identitas pengirim pesan (apalagi file spesifik)." ], "engine": { "n": 16, "t": "Kriptografi (Simetris/Asimetris/Hash)", "s": "Seseorang mengirim file penting ke rekan. Ia ingin memastikan file tidak dimodifikasi selama transmisi dan rekan bisa memverifikasi bahwa file benar-benar dari pengirim (autentik + non-repudiation).", "q": "Mekanisme yang paling tepat adalah ....", "o": [ "Enkripsi simetris dengan AES", "Hash function SHA-256 saja", "Digital signature: hash file dienkripsi dengan private key pengirim", "Password ZIP untuk file", "Mengirim file via HTTPS saja" ], "a": "C", "w": [ "AES simetris menjaga confidentiality (kerahasiaan) tapi TIDAK autentik. Siapa pun yang punya kunci bisa seolah-olah jadi pengirim.", "Hash SHA-256 menjaga integrity (bisa deteksi perubahan) tapi TIDAK autentik - siapa pun bisa hitung hash, tidak ada identitas pengirim.", "Digital signature = hash file dienkripsi dengan PRIVATE key pengirim. Rekan verifikasi dengan PUBLIC key. Memberikan: integrity + authentication + non-repudiation (pengirim tak bisa sangkal).", "Password ZIP = sekadar confidentiality lemah (ZIP encryption klasik mudah di-brute). Tidak autentik.", "HTTPS menjaga transmisi tapi TIDAK menjamin identitas pengirim pesan (apalagi file spesifik)." ] }, "aktif": true }, { "id": "A17", "nomor": 17, "topik": "Kriptografi (Simetris/Asimetris/Hash)", "topik_sumber": "Kriptografi (Simetris/Asimetris/Hash)", "stimulus": "Seorang siswa mempelajari sejarah kriptografi dan menemukan prinsip Kerckhoffs (1883) yang menjadi fondasi kriptografi modern.", "pertanyaan": "Prinsip Kerckhoffs menyatakan bahwa keamanan sistem kriptografi harus bergantung pada ....", "opsi": [ "Kerahasiaan algoritma yang digunakan", "Kerahasiaan kunci, bukan kerahasiaan algoritma", "Kompleksitas matematis algoritma", "Panjang pesan yang dienkripsi", "Jumlah iterasi enkripsi" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "Algoritma rahasia = 'security through obscurity' yang SUDAH TERBUKTI lemah. Bila algoritma bocor, sistem runtuh total.", "Prinsip Kerckhoffs: keamanan kripto HARUS bergantung pada kerahasiaan KUNCI, bukan algoritma. Algoritma boleh publik - justru transparansi = teruji banyak pakar. AES, RSA, SHA semua publik.", "Kompleksitas matematis penting tapi BUKAN jaminan keamanan - algoritma kompleks bisa punya bug tersembunyi.", "Panjang pesan tidak memengaruhi keamanan kriptografi - pesan pendek/panjang sama-sama aman bila algoritma+key kuat.", "Jumlah iterasi (round) penting untuk algoritma tertentu, tapi bukan inti prinsip - inti adalah kerahasiaan kunci." ], "engine": { "n": 17, "t": "Kriptografi (Simetris/Asimetris/Hash)", "s": "Seorang siswa mempelajari sejarah kriptografi dan menemukan prinsip Kerckhoffs (1883) yang menjadi fondasi kriptografi modern.", "q": "Prinsip Kerckhoffs menyatakan bahwa keamanan sistem kriptografi harus bergantung pada ....", "o": [ "Kerahasiaan algoritma yang digunakan", "Kerahasiaan kunci, bukan kerahasiaan algoritma", "Kompleksitas matematis algoritma", "Panjang pesan yang dienkripsi", "Jumlah iterasi enkripsi" ], "a": "B", "w": [ "Algoritma rahasia = 'security through obscurity' yang SUDAH TERBUKTI lemah. Bila algoritma bocor, sistem runtuh total.", "Prinsip Kerckhoffs: keamanan kripto HARUS bergantung pada kerahasiaan KUNCI, bukan algoritma. Algoritma boleh publik - justru transparansi = teruji banyak pakar. AES, RSA, SHA semua publik.", "Kompleksitas matematis penting tapi BUKAN jaminan keamanan - algoritma kompleks bisa punya bug tersembunyi.", "Panjang pesan tidak memengaruhi keamanan kriptografi - pesan pendek/panjang sama-sama aman bila algoritma+key kuat.", "Jumlah iterasi (round) penting untuk algoritma tertentu, tapi bukan inti prinsip - inti adalah kerahasiaan kunci." ] }, "aktif": true }, { "id": "A18", "nomor": 18, "topik": "Ancaman & Serangan Siber", "topik_sumber": "Ancaman & Serangan Siber", "stimulus": "Sebuah sekolah menerima email palsu yang menyamar sebagai pesan resmi, meminta pengguna memasukkan username dan password pada halaman login palsu. Beberapa jam kemudian, server sekolah menerima banjir trafik hingga lumpuh.", "pertanyaan": "Dua jenis serangan yang terjadi berturut-turut adalah ....", "opsi": [ "Malware dan Defacement", "Phishing dan DDoS", "Brute Force dan SQL Injection", "MITM dan Ransomware", "Social Engineering dan Virus" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "Malware = software jahat (virus/trojan). Defacement = ubah tampilan web. Tidak cocok dengan skenario email palsu + trafik banjir.", "Phishing = email palsu minta kredensial. DDoS = banjir trafik hingga server lumpuh. Kombinasi umum: phish kredensial admin, lalu DDoS sebagai pengalih perhatian saat eksfiltrasi data.", "Brute Force = menebak password (proses lama). SQLi = suntik SQL. Tidak cocok - skenario email palsu bukan brute force.", "MITM = sadap komunikasi. Ransomware = enkripsi data. Tidak cocok skenario.", "Social Engineering = induk phishing (iya), tapi 'Virus' tidak spesifik dan tidak ada di skenario trafik banjir." ], "engine": { "n": 18, "t": "Ancaman & Serangan Siber", "s": "Sebuah sekolah menerima email palsu yang menyamar sebagai pesan resmi, meminta pengguna memasukkan username dan password pada halaman login palsu. Beberapa jam kemudian, server sekolah menerima banjir trafik hingga lumpuh.", "q": "Dua jenis serangan yang terjadi berturut-turut adalah ....", "o": [ "Malware dan Defacement", "Phishing dan DDoS", "Brute Force dan SQL Injection", "MITM dan Ransomware", "Social Engineering dan Virus" ], "a": "B", "w": [ "Malware = software jahat (virus/trojan). Defacement = ubah tampilan web. Tidak cocok dengan skenario email palsu + trafik banjir.", "Phishing = email palsu minta kredensial. DDoS = banjir trafik hingga server lumpuh. Kombinasi umum: phish kredensial admin, lalu DDoS sebagai pengalih perhatian saat eksfiltrasi data.", "Brute Force = menebak password (proses lama). SQLi = suntik SQL. Tidak cocok - skenario email palsu bukan brute force.", "MITM = sadap komunikasi. Ransomware = enkripsi data. Tidak cocok skenario.", "Social Engineering = induk phishing (iya), tapi 'Virus' tidak spesifik dan tidak ada di skenario trafik banjir." ] }, "aktif": true }, { "id": "A19", "nomor": 19, "topik": "Ancaman & Serangan Siber", "topik_sumber": "Ancaman & Serangan Siber", "stimulus": "Seorang pegawai membuka lampiran email yang tampaknya adalah dokumen invoice resmi. Setelah dibuka, file tersebut diam-diam mengenkripsi seluruh data di server perusahaan dan memunculkan pesan tebusan 5 Bitcoin.", "pertanyaan": "Jenis serangan dan tindakan pencegahan utama yang paling tepat adalah ....", "opsi": [ "Phishing - ganti password", "Ransomware via email attachment - backup 3-2-1 offline + EDR + training waspada lampiran", "DDoS - pasang CDN", "SQL Injection - parameterized query", "Defacement - patch CMS" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "Phishing = penipuan minta info. Lampiran yang mengenkripsi data bukan phishing - itu malware.", "Ransomware = malware enkripsi data + tebusan. Pencegahan utama: backup 3-2-1 OFFLINE (tidak terhubung sistem aktif) - sehingga bisa restore tanpa bayar tebusan. EDR + training waspada lampiran.", "DDoS = trafik banjir. Tidak ada hubungan dengan lampiran email.", "SQLi = suntik SQL di form web. Bukan melalui lampiran email.", "Defacement = ubah tampilan web. Bukan skenario enkripsi data." ], "engine": { "n": 19, "t": "Ancaman & Serangan Siber", "s": "Seorang pegawai membuka lampiran email yang tampaknya adalah dokumen invoice resmi. Setelah dibuka, file tersebut diam-diam mengenkripsi seluruh data di server perusahaan dan memunculkan pesan tebusan 5 Bitcoin.", "q": "Jenis serangan dan tindakan pencegahan utama yang paling tepat adalah ....", "o": [ "Phishing - ganti password", "Ransomware via email attachment - backup 3-2-1 offline + EDR + training waspada lampiran", "DDoS - pasang CDN", "SQL Injection - parameterized query", "Defacement - patch CMS" ], "a": "B", "w": [ "Phishing = penipuan minta info. Lampiran yang mengenkripsi data bukan phishing - itu malware.", "Ransomware = malware enkripsi data + tebusan. Pencegahan utama: backup 3-2-1 OFFLINE (tidak terhubung sistem aktif) - sehingga bisa restore tanpa bayar tebusan. EDR + training waspada lampiran.", "DDoS = trafik banjir. Tidak ada hubungan dengan lampiran email.", "SQLi = suntik SQL di form web. Bukan melalui lampiran email.", "Defacement = ubah tampilan web. Bukan skenario enkripsi data." ] }, "aktif": true }, { "id": "A20", "nomor": 20, "topik": "Ancaman & Serangan Siber", "topik_sumber": "Ancaman & Serangan Siber", "stimulus": "Seorang siswa terhubung ke WiFi publik gratis di kafe tanpa password. Ia login ke akun bank melalui website yang tampaknya HTTPS. Beberapa hari kemudian, saldo m-banking-nya habis.", "pertanyaan": "Jenis serangan yang PALING MUNGKIN terjadi adalah ....", "opsi": [ "DDoS", "MITM (Man-in-the-Middle) / Evil Twin di WiFi publik", "Brute Force ke server bank", "SQL Injection ke database bank", "Defacement website bank" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "DDoS = lumpuhkan server - tidak ada di skenario (bank tetap jalan, saldo hilang).", "MITM di WiFi publik: penyerang bisa intercept trafik, walau HTTPS melindungi payload. Risiko: evil twin (WiFi palsu), SSL strip, session hijack. Pencegahan: VPN, hindari WiFi publik untuk transaksi.", "Brute Force bank = tidak realistis (bank punya rate limit + lockout).", "SQLi bank = serius tapi skenario tidak menunjukkan vektor ini.", "Defacement = ubah tampilan - bukan pencurian saldo." ], "engine": { "n": 20, "t": "Ancaman & Serangan Siber", "s": "Seorang siswa terhubung ke WiFi publik gratis di kafe tanpa password. Ia login ke akun bank melalui website yang tampaknya HTTPS. Beberapa hari kemudian, saldo m-banking-nya habis.", "q": "Jenis serangan yang PALING MUNGKIN terjadi adalah ....", "o": [ "DDoS", "MITM (Man-in-the-Middle) / Evil Twin di WiFi publik", "Brute Force ke server bank", "SQL Injection ke database bank", "Defacement website bank" ], "a": "B", "w": [ "DDoS = lumpuhkan server - tidak ada di skenario (bank tetap jalan, saldo hilang).", "MITM di WiFi publik: penyerang bisa intercept trafik, walau HTTPS melindungi payload. Risiko: evil twin (WiFi palsu), SSL strip, session hijack. Pencegahan: VPN, hindari WiFi publik untuk transaksi.", "Brute Force bank = tidak realistis (bank punya rate limit + lockout).", "SQLi bank = serius tapi skenario tidak menunjukkan vektor ini.", "Defacement = ubah tampilan - bukan pencurian saldo." ] }, "aktif": true }, { "id": "A21", "nomor": 21, "topik": "CIA Triad", "topik_sumber": "CIA Triad", "stimulus": "Sebuah sekolah mengalami dua insiden bersamaan: (1) database nilai siswa diakses oleh pihak tidak berwenang dan tersebar di media sosial; (2) server ujian mengalami kerusakan dan tidak bisa dipakai selama proses ujian berlangsung.", "pertanyaan": "Pilar CIA Triad yang dilanggar secara berurutan adalah ....", "opsi": [ "Confidentiality dan Integrity", "Integrity dan Availability", "Confidentiality dan Availability", "Availability dan Confidentiality", "Integrity dan Confidentiality" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "(1) data diakses tak sah & tersebar = Confidentiality. Tapi (2) server rusak & tak bisa dipakai = Availability. Jadi urutan = C, A. Bukan C, I.", "(1) Bukan Integrity - data TIDAK diubah, hanya diakses/tersebar. (2) Availability dilanggar. Jadi bukan I, A.", "BENAR: (1) data diakses tak sah & tersebar = Confidentiality (DAD: Disclosure). (2) server rusak & tak bisa dipakai = Availability (DAD: Destruction). Urutan: C → A.", "Urutan terbalik - skenario (1) duluan adalah C, bukan A. (2) adalah A, bukan C.", "Integrity tidak dilanggar (data tidak diubah). Confidentiality dilanggar di (1), tapi (2) adalah Availability, bukan Integrity." ], "engine": { "n": 21, "t": "CIA Triad", "s": "Sebuah sekolah mengalami dua insiden bersamaan: (1) database nilai siswa diakses oleh pihak tidak berwenang dan tersebar di media sosial; (2) server ujian mengalami kerusakan dan tidak bisa dipakai selama proses ujian berlangsung.", "q": "Pilar CIA Triad yang dilanggar secara berurutan adalah ....", "o": [ "Confidentiality dan Integrity", "Integrity dan Availability", "Confidentiality dan Availability", "Availability dan Confidentiality", "Integrity dan Confidentiality" ], "a": "C", "w": [ "(1) data diakses tak sah & tersebar = Confidentiality. Tapi (2) server rusak & tak bisa dipakai = Availability. Jadi urutan = C, A. Bukan C, I.", "(1) Bukan Integrity - data TIDAK diubah, hanya diakses/tersebar. (2) Availability dilanggar. Jadi bukan I, A.", "BENAR: (1) data diakses tak sah & tersebar = Confidentiality (DAD: Disclosure). (2) server rusak & tak bisa dipakai = Availability (DAD: Destruction). Urutan: C → A.", "Urutan terbalik - skenario (1) duluan adalah C, bukan A. (2) adalah A, bukan C.", "Integrity tidak dilanggar (data tidak diubah). Confidentiality dilanggar di (1), tapi (2) adalah Availability, bukan Integrity." ] }, "aktif": true }, { "id": "A22", "nomor": 22, "topik": "AAA & Non-Repudiation", "topik_sumber": "AAA & Non-Repudiation", "stimulus": "Sistem informasi sekolah harus memastikan: (1) siapa yang sedang login, (2) apa yang boleh dilakukan pengguna tersebut, (3) catatan aktivitas yang dilakukan, dan (4) bukti transaksi yang tidak dapat disangkal pelakunya.", "pertanyaan": "Kombinasi konsep yang tepat untuk empat tuntutan tersebut adalah ....", "opsi": [ "CIA Triad", "DAD Triad", "PPTD", "AAA (Authentication, Authorization, Accounting) + Non-Repudiation", "Backup + Disaster Recovery" ], "kunci_index": "D", "kunci_teks": null, "analisis": [ "CIA = Confidentiality/Integrity/Availability. Tidak menjawab tuntutan 'siapa login' atau 'bukti tak terbantahkan'.", "DAD = Disclosure/Alteration/Destruction - akibat pelanggaran CIA. Tidak menjawab identifikasi pengguna.", "PPTD = People/Process/Technology/Data - model organisasi, bukan kontrol akses teknis.", "AAA: Authentication (siapa) + Authorization (boleh apa) + Accounting (catat aktivitas). Non-repudiation = bukti tak terbantahkan (via digital signature + log immutable).", "Backup + DR = Availability, bukan kontrol akses/identitas." ], "engine": { "n": 22, "t": "AAA & Non-Repudiation", "s": "Sistem informasi sekolah harus memastikan: (1) siapa yang sedang login, (2) apa yang boleh dilakukan pengguna tersebut, (3) catatan aktivitas yang dilakukan, dan (4) bukti transaksi yang tidak dapat disangkal pelakunya.", "q": "Kombinasi konsep yang tepat untuk empat tuntutan tersebut adalah ....", "o": [ "CIA Triad", "DAD Triad", "PPTD", "AAA (Authentication, Authorization, Accounting) + Non-Repudiation", "Backup + Disaster Recovery" ], "a": "D", "w": [ "CIA = Confidentiality/Integrity/Availability. Tidak menjawab tuntutan 'siapa login' atau 'bukti tak terbantahkan'.", "DAD = Disclosure/Alteration/Destruction - akibat pelanggaran CIA. Tidak menjawab identifikasi pengguna.", "PPTD = People/Process/Technology/Data - model organisasi, bukan kontrol akses teknis.", "AAA: Authentication (siapa) + Authorization (boleh apa) + Accounting (catat aktivitas). Non-repudiation = bukti tak terbantahkan (via digital signature + log immutable).", "Backup + DR = Availability, bukan kontrol akses/identitas." ] }, "aktif": true }, { "id": "A23", "nomor": 23, "topik": "Keamanan Akun Digital (IAM/MFA)", "topik_sumber": "Keamanan Akun Digital (IAM/MFA)", "stimulus": "Seorang siswa menggunakan password 'rahasia123' untuk email, media sosial, dan aplikasi perbankan. Kemudian terjadi kebocoran data pada salah satu situs media sosial yang ia gunakan, sehingga kombinasi email-password-nya tersebar di forum hacker.", "pertanyaan": "Risiko terbesar dan tindakan pencegahan paling tepat adalah ....", "opsi": [ "Komputer menjadi lambat - ganti RAM", "Akun lain (email dan perbankan) berpotensi diambil alih via credential stuffing - gunakan password unik per akun + aktifkan MFA", "Password sulit diingat - catat di notes ponsel", "Kapasitas penyimpanan berkurang - hapus file lama", "Internet tidak stabil - ganti provider" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "Lambat = masalah teknis, tidak ada kaitan dengan keamanan akun.", "Efek domino credential stuffing: 1 breach → penyerang coba kombinasi email-password di ratusan layanan → banyak akun bobol sekaligus. Pencegahan: unik per akun (password manager) + MFA (memblokir 99.9% serangan otomatis walau password bocor).", "Catat password di notes ponsel = bahaya ekstrem - kalau ponsel hilang/terinfeksi, semua akun bobol.", "Kapasitas penyimpanan = tidak relevan dengan keamanan akun.", "Internet tidak stabil = tidak ada kaitan dengan keamanan akun." ], "engine": { "n": 23, "t": "Keamanan Akun Digital (IAM/MFA)", "s": "Seorang siswa menggunakan password 'rahasia123' untuk email, media sosial, dan aplikasi perbankan. Kemudian terjadi kebocoran data pada salah satu situs media sosial yang ia gunakan, sehingga kombinasi email-password-nya tersebar di forum hacker.", "q": "Risiko terbesar dan tindakan pencegahan paling tepat adalah ....", "o": [ "Komputer menjadi lambat - ganti RAM", "Akun lain (email dan perbankan) berpotensi diambil alih via credential stuffing - gunakan password unik per akun + aktifkan MFA", "Password sulit diingat - catat di notes ponsel", "Kapasitas penyimpanan berkurang - hapus file lama", "Internet tidak stabil - ganti provider" ], "a": "B", "w": [ "Lambat = masalah teknis, tidak ada kaitan dengan keamanan akun.", "Efek domino credential stuffing: 1 breach → penyerang coba kombinasi email-password di ratusan layanan → banyak akun bobol sekaligus. Pencegahan: unik per akun (password manager) + MFA (memblokir 99.9% serangan otomatis walau password bocor).", "Catat password di notes ponsel = bahaya ekstrem - kalau ponsel hilang/terinfeksi, semua akun bobol.", "Kapasitas penyimpanan = tidak relevan dengan keamanan akun.", "Internet tidak stabil = tidak ada kaitan dengan keamanan akun." ] }, "aktif": true }, { "id": "A24", "nomor": 24, "topik": "Keamanan Akun Digital (IAM/MFA)", "topik_sumber": "Keamanan Akun Digital (IAM/MFA)", "stimulus": "Seorang admin sekolah ingin memilih metode MFA yang paling tahan terhadap serangan SIM swap untuk akun kritikal (email admin, sistem akademik).", "pertanyaan": "Pilihan paling aman adalah ....", "opsi": [ "OTP via SMS ke nomor ponsel admin", "OTP via email cadangan", "TOTP dari authenticator app (Google/Microsoft Authenticator) atau FIDO2 hardware key (YubiKey)", "Pertanyaan keamanan (nama ibu gadis, sekolah dasar)", "Login dengan akun media sosial" ], "kunci_index": "C", "kunci_teks": null, "analisis": [ "SMS OTP rentan SIM swap - penyerang kloning/ambil alih nomor → terima OTP.", "Email OTP juga rentan - kalau email sendiri berhasil di-hack, OTP juga bocor.", "TOTP app (Google/Microsoft Authenticator) tidak bergantung nomor telepon → tahan SIM swap. FIDO2 hardware key lebih aman lagi (private key di chip terpisah, anti phishing). Standar industri untuk akun kritikal.", "Pertanyaan keamanan = lemah - info (nama ibu, sekolah SD) mudah di-OSINT dari medsos.", "Login dengan akun medsos = trust transfer - kalau medsos bobol, akun admin ikut bobol." ], "engine": { "n": 24, "t": "Keamanan Akun Digital (IAM/MFA)", "s": "Seorang admin sekolah ingin memilih metode MFA yang paling tahan terhadap serangan SIM swap untuk akun kritikal (email admin, sistem akademik).", "q": "Pilihan paling aman adalah ....", "o": [ "OTP via SMS ke nomor ponsel admin", "OTP via email cadangan", "TOTP dari authenticator app (Google/Microsoft Authenticator) atau FIDO2 hardware key (YubiKey)", "Pertanyaan keamanan (nama ibu gadis, sekolah dasar)", "Login dengan akun media sosial" ], "a": "C", "w": [ "SMS OTP rentan SIM swap - penyerang kloning/ambil alih nomor → terima OTP.", "Email OTP juga rentan - kalau email sendiri berhasil di-hack, OTP juga bocor.", "TOTP app (Google/Microsoft Authenticator) tidak bergantung nomor telepon → tahan SIM swap. FIDO2 hardware key lebih aman lagi (private key di chip terpisah, anti phishing). Standar industri untuk akun kritikal.", "Pertanyaan keamanan = lemah - info (nama ibu, sekolah SD) mudah di-OSINT dari medsos.", "Login dengan akun medsos = trust transfer - kalau medsos bobol, akun admin ikut bobol." ] }, "aktif": true }, { "id": "A25", "nomor": 25, "topik": "Keamanan Akun Digital (IAM/MFA)", "topik_sumber": "Keamanan Akun Digital (IAM/MFA)", "stimulus": "Seorang siswa TKJ ingin meningkatkan keamanan akun digitalnya setelah mempelajari Bab 9. Ia memiliki 15+ akun online (email, medsos, m-banking, school, dll) dan kesulitan menghafal password unik untuk masing-masing.", "pertanyaan": "Menggunakan password manager (seperti Bitwarden, 1Password, KeePassXC) memberikan keuntungan utama berikut ....", "opsi": [ "Password disimpan plaintext di cloud sehingga mudah diakses kapan saja", "Hanya perlu hafal 1 master password, sisanya di-generate acak & unik per akun, tersimpan terenkripsi", "Tidak perlu lagi MFA karena password sudah kuat", "Password otomatis dikirim ke server pihak ketiga tanpa enkripsi", "Password yang lama otomatis dihapus dari semua situs" ], "kunci_index": "B", "kunci_teks": null, "analisis": [ "Plaintext di cloud = bahaya ekstrem. Password manager ZERO-KNOWLEDGE - bahkan provider tidak bisa baca password (enkripsi client-side).", "BENAR: 1 master password untuk buka vault; sisanya di-generate acak panjang & unik per akun. Autofill cegah phishing (tidak autofill di domain palsu). Vault tersimpan terenkripsi.", "MFA TETAP wajib! Password manager tidak menggantikan MFA - justru password manager sendiri wajib pakai MFA.", "Tidak ada password manager serius yang kirim password tanpa enkripsi - itu melanggar prinsip dasar keamanan.", "Password lama tidak otomatis dihapus dari situs - user harus ganti manual." ], "engine": { "n": 25, "t": "Keamanan Akun Digital (IAM/MFA)", "s": "Seorang siswa TKJ ingin meningkatkan keamanan akun digitalnya setelah mempelajari Bab 9. Ia memiliki 15+ akun online (email, medsos, m-banking, school, dll) dan kesulitan menghafal password unik untuk masing-masing.", "q": "Menggunakan password manager (seperti Bitwarden, 1Password, KeePassXC) memberikan keuntungan utama berikut ....", "o": [ "Password disimpan plaintext di cloud sehingga mudah diakses kapan saja", "Hanya perlu hafal 1 master password, sisanya di-generate acak & unik per akun, tersimpan terenkripsi", "Tidak perlu lagi MFA karena password sudah kuat", "Password otomatis dikirim ke server pihak ketiga tanpa enkripsi", "Password yang lama otomatis dihapus dari semua situs" ], "a": "B", "w": [ "Plaintext di cloud = bahaya ekstrem. Password manager ZERO-KNOWLEDGE - bahkan provider tidak bisa baca password (enkripsi client-side).", "BENAR: 1 master password untuk buka vault; sisanya di-generate acak panjang & unik per akun. Autofill cegah phishing (tidak autofill di domain palsu). Vault tersimpan terenkripsi.", "MFA TETAP wajib! Password manager tidak menggantikan MFA - justru password manager sendiri wajib pakai MFA.", "Tidak ada password manager serius yang kirim password tanpa enkripsi - itu melanggar prinsip dasar keamanan.", "Password lama tidak otomatis dihapus dari situs - user harus ganti manual." ] }, "aktif": true } ], "essays": [ { "t": "ANALISIS JARINGAN & SUBNETTING (BAB 1)", "q": "Sebuah sekolah SMK Yasmida ingin merancang ulang jaringan lab komputer TKJ. Lab memiliki 50 PC untuk siswa, 2 PC guru, dan 1 server. Sekolah ingin: (1) memisahkan jaringan lab dari jaringan kantor umum, (2) server memiliki subnet sendiri, (3) guru dan siswa di segmentasi terpisah.\n\nAnalisislah:
  1. Subnet mask dan CIDR yang tepat untuk masing-masing segment (siswa, guru, server)
  2. Alasan segmentasi jaringan dari sudut pandang keamanan
  3. Model OSI layer yang menjadi target serangan jika segmentasi tidak dilakukan
  4. Kontrol keamanan tambahan yang disarankan (firewall, VLAN, ACL)
", "a": "
1. SUBNET PER SEGMENT
2. ALASAN SEGMENTASI KEAMANAN
3. MODEL OSI YANG DISERANG
4. KONTROL TAMBAHAN
" }, { "t": "ANALISIS ATVR & LITERASI DIGITAL (BAB 2-3)", "q": "Seorang siswa kelas XII TKJ mengelola blog pribadi dan akun media sosial dengan 2000+ follower. Ia sering posting tutorial teknis, foto coding di kamar, dan check-in lokasi. Dalam 6 bulan terakhir, blog-nya mendapat 3 komentar aneh dari akun tak dikenal yang menanyakan alamat rumah dan jadwal ke sekolah.\n\nAnalisislah:
  1. Aset digital siswa tersebut (bukan hanya akun)
  2. Threat yang mungkin dari 3 komentar aneh tersebut
  3. Vulnerability dari kebiasaan posting siswa
  4. Risk jika kombinasi threat & vulnerability terjadi
  5. Rencana audit jejak digital (self-doxing) untuk siswa tersebut
", "a": "
1. ASET DIGITAL SISWA
2. THREAT DARI KOMENTAR
3. VULNERABILITY KEBIASAAN POSTING
4. RISK KOMBINASI
5. RENCANA AUDIT JEJAK DIGITAL (SELF-DOXING)
  1. Google diri sendiri: search 'nama lengkap', 'nama + sekolah', 'username' - lihat apa yang publik
  2. Cek medsos satu per satu: Instagram, TikTok, X, Facebook, LinkedIn - audit privacy settings per platform
  3. Inspeksi EXIF foto: download foto sendiri, cek metadata dengan Jeffrey's Image Metadata Viewer
  4. Cek username di multiple platform: WhatsMyName.io - apakah akun lama yang lupa hapus masih ada
  5. Cek HaveIBeenPwned: apakah email pernah breach
  6. Audit third-party apps: aplikasi mana yang punya akses ke medsos/email
  7. Rencana pembersihan 30 hari: hapus postingan berlokasi, matikan geotag kamera, ubah privacy settings, hapus akun tak terpakai, ganti password kritis + MFA
" }, { "t": "EVALUASI PHISHING & UU ITE (BAB 4-5)", "q": "Seorang pegawai sekolah menerima email dari 'Kepala Sekolah' (alamat: kepala.sekolah@yasmida-edu.com - beda domain resmi sekolah yang yasmida.sch.id). Email meminta pegawai segera transfer Rp 5.000.000 ke rekening tertentu untuk 'biaya workshop mendesak pegawai terpilih', dengan peringatan: 'JANGAN beritahu pegawai lain - rahasia'.\n\nAnalisislah:
  1. Jenis serangan yang terjadi (sebutkan istilah spesifik)
  2. Tanda-tanda bahaya (red flag) yang terlihat pada email tersebut
  3. Tindakan yang seharusnya dilakukan pegawai sebelum bertindak
  4. Dasar hukum Indonesia yang berlaku bagi penyerang jika tertangkap
  5. Tanggung jawab sekolah (UU PDP) jika data pegawai yang di-phish ikut bocor
", "a": "
1. JENIS SERANGAN

Whaling + BEC (Business Email Compromise) - Spear phishing tertarget ke pegawai dengan menyamar sebagai eksekutif (Kepala Sekolah). Variasi: CEO fraud. Tidak massal, sangat personal.

2. RED FLAG (TANDA BAHAYA)
3. TINDAKAN YANG SEHARUSNYA
  1. BERHENTI: jangan transfer, jangan balas, jangan klik apa pun
  2. VERIFIKASI OUT-OF-BAND: telepon/wa Kepala Sekolah langsung pakai nomor resmi yang diketahui (bukan nomor di email). Atau langsung ke ruang kerja
  3. CEK DOMAIN: bandingkan dengan email resmi sekolah sebelumnya
  4. LAPORKAN ke admin IT: forward sebagai attachment (bukan reply) untuk inspeksi header email
  5. HINDARI forwarding ke pegawai lain - bisa jadi penyebaran phishing
4. DASAR HUKUM INDONESIA
5. TANGGUNG JAWAB SEKOLAH (UU PDP)
" }, { "t": "ANALISIS KRIPTOGRAFI & ANCAMAN SIBER (BAB 6-7)", "q": "Sebuah sekolah mengalami insiden ransomware WannaCry-like: file-file penting (data nilai, dokumen administrasi) terenkripsi dan penyerang meminta tebusan 0.5 Bitcoin. Investigasi awal menemukan: (a) malware masuk via lampiran email phishing yang dibuka pegawai, (b) server tidak di-patch untuk CVE-2017-0144 (EternalBlue), (c) tidak ada backup offline.\n\nAnalisislah:
  1. Vektor serangan (kombinasi teknik yang dipakai)
  2. Mekanisme enkripsi ransomware (jenis kriptografi yang dipakai) - simetris/asimetris?
  3. Mengapa membayar tebusan BUKAN pilihan yang baik
  4. Pencegahan teknis & non-teknis yang seharusnya dilakukan
  5. Indikator kompromi (IoC) yang bisa dipakai untuk deteksi dini di lingkungan serupa
", "a": "
1. VEKTOR SERANGAN
2. MEKANISME ENKRIPSI

Hybrid encryption:

Mengapa hybrid? Simetris cepat untuk data besar, asimetris aman untuk pertukaran kunci tanpa perlu channel aman.

3. MENGAPA JANGAN BAYAR TEBUSAN

Solusi: restore dari backup offline. Tidak ada backup = kerugian permanen (pelajaran terberat).

4. PENCEGAHAN

Teknis:

Non-teknis (People & Process):

5. INDIKATOR KOMPROMI (IoC)

Deteksi dini: SIEM dengan rule alert untuk pattern di atas. Threat intel platform (MISP) untuk share IoC antar organisasi.

" }, { "t": "MERANCANG STRATEGI KEAMANAN SEKOLAH (BAB 8-9, CAPSTONE)", "q": "Sebagai tim keamanan SMK Yasmida, rancang program 'Cyber Hygiene 30 Hari' untuk siswa baru kelas X TKJ. Identifikasi minimal 5 rekomendasi yang mencakup lapisan PPTD + CIA + AAA, lengkap dengan timeline, metrik keberhasilan, dan indikator kegagalan.\n\nKonteks: Sekolah punya 100 siswa baru, 30 PC lab, 5 guru, 1 server akademik, akun Google Workspace sekolah. Saat ini: 60% siswa pakai password sama di semua akun, 30% belum aktifkan MFA, ada 1 kasus phishing yang berhasil di-click minggu lalu.", "a": "
REKOMENDASI 1 - WORKSHOP LITERASI & AWARENESS (PEOPLE)

Timeline: Hari 1-7: workshop 2 jam per kelas + simulasi phishing internal

Materi: 7 red flag phishing, jejak digital, UU ITE dasar, demo phishing email palsu

Metrik sukses: % klik email simulasi turun dari baseline (test awal) → < 10% pada hari 30

Indikator gagal: > 30% masih klik simulasi setelah workshop → perlu refresher & mentoring 1-on-1

REKOMENDASI 2 - KEBIJAKAN PASSWORD & MFA (PROCESS + AAA)

Timeline: Hari 8-15: deploy Bitwarden free untuk siswa, mandate password unik per akun + MFA di Google Workspace

Kebijakan: passphrase 12+ karakter, unik per akun, MFA TOTP (bukan SMS) untuk akun kritikal (email, LMS, akun sekolah)

Metrik sukses: 100% MFA adoption di Google Workspace, rata-rata password strength > 80 bit, 0 password reuse terdeteksi (audit via HaveIBeenPwned)

Indikator gagal: > 5% siswa tidak setup MFA dalam deadline → eskalasi: lock akun sementara sampai MFA aktif

REKOMENDASI 3 - EDR & HARDENING LAB (TECHNOLOGY + CIA)

Timeline: Hari 16-21: install EDR (Microsoft Defender/ClamAV) di 30 PC lab, patch otomatis, disable USB auto-run, secure boot aktif, BIOS password

Hardening: CIS Benchmark Level 1 - nonaktifkan SMBv1, restrict PowerShell, whitelist aplikasi (AppLocker)

Metrik sukses: 0 malware detection pada lab dalam 30 hari, 100% patch terbaru (0 CVE kritis terbuka > 30 hari), 0 unauthorized USB event

Indikator gagal: ada malware detection atau > 5 PC belum patched → emergency patch + scan penuh, investigasi celah kebijakan

REKOMENDASI 4 - KLASIFIKASI DATA & ENKRIPSI (DATA + CIA + UU PDP)

Timeline: Hari 22-26: klasifikasi aset sekolah (Public/Internal/Confidential/Restricted), enkripsi data Confidential+ di server (BitLocker/LUKS), data sensitivity training untuk guru

Klasifikasi contoh:

Metrik sukses: 100% data Confidential+ terenkripsi, 100% guru lulus quiz klasifikasi > 80%, dokumen klasifikasi published

Indikator gagal: ada data Confidential yang tidak terenkripsi ditemukan via audit → remediasi segera, review SOP

REKOMENDASI 5 - AUDIT LOG, MONITORING & INCIDENT RESPONSE (AAA + BCP)

Timeline: Hari 27-30: setup logging Google Workspace Admin + alerts anomali (login dari negara asing, brute force pattern), siapkan IRP (Incident Response Plan) sederhana berbasis PICERL

Kontrol:

Metrik sukses: rata-rata waktu deteksi insiden < 24 jam (MTTD), rata-rata respons < 4 jam (MTTR), 100% log retained 90 hari

Indikator gagal: alert tidak termonitor atau log retention < 30 hari → review SIEM/staffing

REKOMENDASI 6 (BONUS) - BACKUP & DRP (AVAILABILITY)

Backup 3-2-1: 3 copy data nilai, 2 media (NAS lokal + cloud), 1 offline (external HDD disconnect). Uji restore bulanan. RTO < 4 jam, RPO < 24 jam.

REKOMENDASI 7 (BONUS) - ETIKA & KODE ETIK (PEOPLE + PROCESS)

Sosialisasi UU ITE/PDP + kode etik digital sekolah. Siswa tanda tangani acceptable use policy. Quiz etika > 80% lulus.

EVALUASI AKHIR PROGRAM

Post-test dibandingkan pre-test. Target: peningkatan skor rata-rata > 40%. Sertifikat 'Cyber Guardian Yasmida' untuk siswa yang lulus semua metrik. Yang tidak lulus: mentoring lanjutan 30 hari berikutnya.

" } ] }