1
BAB I
PENDAHULUAN
1.1 Latar BelakangKemajuan teknologi internet membawa dampak positif untuk berbagai industri, perkembangan ini dapat membantu pertumbuhan industri, tetapi dengan transfer semua proses ke internet, tentu saja, ini menimbulkan kerentanan keamanan [1]. Dalam beberapa tahun terakhir serangan cyber semakin masif, berdasarkan data yang dikeluarkan oleh Microsoft Security Intelligence Reports [2] menyebutkan bahwa di kawasan Asia, Indonesia menempati posisi kedua negara dengan korban serangan terbanyak sebesar 21,4%, dari laporan tersebut juga diketahui beberapa sektor yang sering menjadi target serangan antara lain sektor pemerintahan dan penyedia layanan internet ISP menjadi yang terbanyak sebagai target serangan, disusul sektor akademik kemudian sektor lain termasuk e-commerce, dan juga perusahaan yang mengandalkan dan memiliki layanan internet. Hal ini merupakan masalah penting dalam keamanan data dan informasi, karena informasi dan data sangat penting bagi perusahaan untuk menjaga aset mereka dan data pengguna tentunya. Perusahaan dan organisasi harus menjamin kerahasiaan, integritas dan ketersediaan data, dengan kata lain, data harus disimpan, dikelola dan dipelihara dengan baik untuk melindunginya dari akses yang tidak sah.
Ada beberapa cara untuk menanggulangi serangan cyber, salah satunya adalah dengan menggunakan Intrusion Detection System (IDS). IDS merupakan salah satu komponen keamanan jaringan yang melindungi data dan informasi keamanan, dengan memantau lalu lintas pada paket data untuk mendeteksi intrusi [3]. IDS berfungsi untuk melindungi sistem komputer dengan mendeteksi dan mendiagnosis semua aktivitas berupa pelanggaran integritas sistem maupun hak akses [4]. Secara garis besar IDS dapat dibedakan berdasar tipe deteksi dan berdasar peletakannya, berdasar tipe deteksi IDS terdiri dari dua tipe yaitu deteksi berbasis signature dan berbasis anomaly, sedangkan berdasar penempatannya IDS
2
dibagi menjadi dua yaitu IDS berbasis network dan IDS berbasis host [5]. Pada IDS berbasis signature, proses pendeteksian serangan berdasar pada signature database, pada prinsipnya, melakukan deteksi paket data dalam lalu lintas jaringan, menganalisis paket data yang tidak cocok dengan signature atau database yang sudah ada [5]. Sedangkan IDS berbasis anomali melakukan pendeteksian serangan berdasarkan pada profil yang dibuat pada suatu sistem berupa normal dan abnormal (anomaly). Pada IDS berbasis jaringan, penempatan IDS berada pada gerbang lalu lintas jaringan, sedangkan IDS berbasis host, penempatan IDS berada pada host tertentu pada jaringan [5]. Proses pendeteksian serangan yang dilakukan oleh IDS bekerja dengan memantau setiap kejadian yang terjadi pada sebuah sistem komputer atau jaringan komputer dan menganalisisnya untuk memberi tanda atas setiap kemungkinan serangan yang mungkin terjadi, seperti pelanggaran atau ancaman terhadap kebijakan keamanan sistem komputer (privacy policy), yang ditangani dengan menggunakan kebijakan keamanan komputer [5].
IDS sebagai sistem pendeteksi intrusi memegang peranan penting dalam keamanan jaringan, deteksi yang akurat serta kesalahan alarm sekecil mungkin akan membantu sistem dalam menjaga keamanan suatu jaringan, karena serangan terhadap jaringan sekecil apapun bentuknya akan berakibat fatal karena menyangkut dengan data data penting kelangsungan hidup perusahaan sehingga diperlukan adanya Intrusion Detection System yang akurat dengan tingkat kesalahan alarm sekecil mungkin sehingga dapat melindungi jaringan dengan maksimal.
Salah satu metode yang diterapkan oleh peneliti bidang IDS untuk dapat memaksimalkan tingkat deteksi dan meminimalkan waktu deteksi yaitu melakukan implementasi metode Automated Generation Rules. Automated generation rules merupakan metode yang digunakan untuk melakukan pembuatan rules dari data yang ada, baik berupa data log dari honeypot hasil percobaan maupun data dari dataset yang tersedia.
3
Snort merupakan sistem deteksi intrusi, yang mencoba untuk mendeteksi aktivitas berbahaya seperti serangan penolakan layanan, itu adalah jaringan sumber pencegahan intrusi dan deteksi sistem terbuka [6]. Snort merupakan IDS berbasis aturan, yang menggabungkan signature, protokol dan inspeksi metode anomali. terdiri dari Packet Decoder, Pre-prosesor, Detection Engine, Logging dan Alerting, dan Modul Output [6].
Banyak penelitian yang berfokus pada IDS, terutama penelitian tentang IDS berbasis signature menggunakan berbagai metode, dan juga menggunakan beberapa algoritme, seperti algoritme machine learning dan data mining [7], diharapkan dengan banyaknya penelitian menggunakan berbagai metode dan algoritme yang lebih bervariasi dapat meningkatkan performa IDS agar bisa meminimalisir berbagai serangan yang semakin meningkat.
Dalam beberapa penelitian metode anomali yang menggunakan beberapa algoritme Machine Learning, baik supervised dan unsupervised memiliki performa yang baik dalam mendeteksi serangan pada IDS, akan tetapi sampai saat ini penggunaan metode anomali ini belum banyak diterapkan dalam industri keamanan, dikarenakan metode anomali ini masih berupa produk penelitian yang masih meninggalkan banyak permasalahan pada penggunaanya [8]. Metode anomali menghasilkan tingkat false negative yang sangat tinggi, sehingga cenderung menyulitkan administrator IDS dalam mengelola server IDS. Di sisi lain penggunaan metode signature yang sudah lama diterapkan dalam industri keamanan belum mampu secara maksimal melakukan deteksi semua serangan yang ada. Akan tetapi beberapa penelitian sudah mampu menghadirkan beberapa metode yang cukup mampu mendeteksi serangan yang sulit, antara lain penggunaan preprocessor berbasis anomaly dan juga penggunaan metode pembuatan rules secara otomatis [9].
Penelitian IDS dengan menggunakan metode signature juga banyak ditemui, beberapa mengimplementasikan metode yang digunakan pada metode anomali yaitu pelatihan pada IDS. Jika dalam metode anomali, IDS dilatih untuk dapat mengenali serangan baru dengan menggunakan dataset yang telah banyak
4
tersedia, maka begitu juga dengan IDS dengan metode signature menggunakan data pelatihan baik berupa dataset maupun data serangan yang khusus digunakan untuk melatih IDS. Dataset yang digunakan untuk pelatihan IDS berbasis signature berupa file pcap dan tcpdump. Sedangkan pelatihan menggunakan data serangan khusus dilakukan menggunakan serangan secara langsung ke server atau menggunakan honeypot untuk mencatat serangan yang terjadi.
Beberapa penelitian yang menggunakan metode signature menggunakan pelatihan menggunakan honeypot sebagai server palsu untuk dapat mencatat kegiatan penyerang sehingga dapat diketahui dan dilakukan pembuatan rules bagi IDS untuk dapat mendeteksi serangan oleh penyerang sebelum terlalu jauh mengambil alih sistem. Beberapa penelitian menggunakan Automated Generation Rules pada Snort dilakukan, akan tetapi masih ada beberapa masalah yang ditemui, mulai dari keakuratan rules yang dibuat dan tingkat deteksi serangan.
Pada saat ini ada beberapa penelitian tentang IDS Snort berbasis signature yang menggunakan pendekatan Automated Rule Generation berbasis log dari honeypot antara lain Sing, Jumar et all [10] yang melakukan pengembangan honeypot berbasis honeyd menggunakan algoritme Apriori yang digunakan untuk melakukan generasi aturan Snort. Albert Sagala [11] melakukan penilitian untuk melakukan otomatisasi pembuatan aturan pada Snort menggunakan honeypot. Fallahi, Sami et all [12], mengusulkan otomatisasi generasi untuk pembuatan aturan pada Snort dengan menggunakan log serangan dataset ISCX 2012 dengan algoritme Ripper dan C5.0. Lee, Kim et all [13], melakukan penelitian IDS menggunakan algoritme Latent Dirichlet Allocation (LDA) untuk melakukan generasi sebuah aturan pada Snort dengan cara melakukan ekstraksi trafik http. Jiang, Liu et [14] melakukan penelitian tentang otomatisasi rules Snort menggunakan sistem honeynet dengan pencocokan kesamaan. Kao, Chang et all [15] melakukan penelitian pembuatan rules secara otomatis menggunakan log trafik botnet dan pemilahan trafik web browsing. Sistem yang ada saat ini masih ada beberapa kekurangan diantara nya yaitu efektivitas rules yang dibuat serta performa rules. Hal ini dikarenakan perbedaan dalam masukan dari pembuatan
5
rules yang digunakan, ada beberapa penelitian yang melakukan pembuatan rules dari semua data pada log tanpa melakukan pemrosesan, sedangkan penelitan yang lain melakukan pemrosesan yang terlalu ketat dengan hanya menyisakan beberapa atribut saja, penelitian ini bertujuan untuk meningkatkan deteksi IDS dengan metode Automated Generation Rules dengan cara meningkatkan efektivitas pembuatan rules yang bertujuan untuk nelakukan pemrosesan data pada log untuk mendapatkan hasil rules yang efektif dari data log honeypot.
Penelitian ini mencoba meningkatkan akurasi dan tingkat efisiensi metode Automated Generated Rules pada Snort. Sebuah peningkatan pada metode Automated Generation Rules dari sistem yang sudah ada untuk mempercepat proses pembuatan rules untuk IDS berbasis signature. Fokus dari pekerjaan ini adalah pada arsitektur IDS berbasis jaringan. Analisis penggunaan Automated Generation Rules ini akan berfokus pada kemampuan pendeteksian serangan pada sistem IDS, maka dalam penelitian ini mengusulkan “PEMBUATAN ATURAN SNORT SEDERHANA MENGGUNAKAN AUTOMATED GENERATION
RULES BERBASIS LOG HONEYPOT UNTUK MENDETEKSI SERANGAN JARINGAN”
1.2 Perumusan masalah
IDS merupakan salah satu komponen yang dapat digunakan untuk meminimalisir suatu serangan yang terjadi dengan melakukan deteksi dini suatu serangan. Sehingga dapat diketahui percobaan penyerangan yang dilakukan. Umumnya pengguna Snort menggunakan rules yang disediakan oleh komunitas sehingga rules pada Snort tidak selalu diperbarui setiap saat, sehingga terkadang beberapa serangan tidak terdeteksi. Tentu hal ini bermasalah ketika terjadi serangan lokal antara waktu tersebut, hal inilah yang menjadi tujuan dengan digunakannya metode Automated Generation Rules.
Metode automated generation rules yang digunakan saat ini, masih sedikit menyisakan kekurangan, yaitu pada metode Automated Generation Rules konvensional akan melakukan generasi pembuatan rules pada semua trafik yang masuk pada log honeypot sehingga jika trafik mencapai ukuran gigabit maka
6
aturan yang akan dihasilkan tentu akan semakin besar. Dengan seiring berkembangnnya aturan yang dihasilkan melalui metode Automated Generation Rules standar akan membuat proses pencocokan pada IDS Snort dalam trafik keluar dan masuk lebih lama. Mekanisme pencocokan bekerja dengan baik dan normal pada data yang sedikit, akan tetapi jika trafik memiliki jumlah paket yang besar dan memiliki aturan yang banyak, maka akan sedikit menghambat kinerja IDS. Selain itu penggunaan resources juga akan berpengaruh dengan besar kecilnya jumlah rules yang digunakan Snort.
Selain metode Automated Generation Rules standar, ada juga penggunaan algoritme pada Automated Generation Rules yaitu menggunakan algoritme Apriori. Bertolak belakang dengan metode Konvensional yang menghasilkan banyak aturan, metode Apriori terlalu ketat dalam membuat aturan sehingga hanya mencatat beberapa trafik saja juga membuat proses deteksi Snort kurang maksimal, banyak trafik yang tidak dimuat pada aturan sehingga akan banyak terjadi false positive. Hal ini dikarenakan penggunaan algoritme Apriori yang mana algoritme tersebut bekerja dengan menghasilkan trafik pada set item yang paling banyak muncul, sehingga aturan Snort yang dibuat hanya yang paling sering mengakses.
1.3 Keaslian penelitian
Penilitian tentang Intrusion Detection System dengan dengan menggunakan pendekatan signature based menggunakan metode Automated Generation Rules pernah dilakukan oleh beberapa peniliti. Salah satunya adalah penilitian yang dilakukan oleh Sing, Kumar et all [10], dalam paper yang dibuat dengan menggunakan metode Automated Generation dengan menggunakan algoritme Apriori, dalam penelitian yang dilakukan menggunakan pendekatan honeypot server untuk mengumpulkan data-data yang dibutuhkan untuk mencegah serangan pada server yang sesungguhnya. Dalam paper tersebut juga digunakan MySQL untuk menyimpan log dari honeypot dan menggunakannya untuk melakukan generasi sebuah rules Snort. Analisis performa algoritme yang dihadirkan pada NIDS hanya melakukan pengujian menggunakan zenmap dan
7
hanya melakukan perulangan, sehingga tidak dapat dilakukan analisis kinerja secara mendalam.
Penilitian yang serupa pernah dilakukan Albert Sagala [11] melakukan penilitian untuk melakukan otomatisasi pembuatan aturan pada Snort menggunakan honeypot. Sistem yang diusulkan menggunakan pendekatan otomatisasi rules menggunakan honeypot, jadi honeypot akan mengumpulkan data, mengirim data ke IDS, dan kemudian IDS akan mengevaluasi dan menghasilkan aturan secara otomatis. Aturan yang telah dibuat akan aktif untuk menyaring paket yang dikirim oleh pengguna di dalam jaringan. Pada sistem yang diusulkan setiap log dari honeypot yang tersimpan akan diambil beberapa informasi dan lalu dikirimkan ke IDS server. Dari semua log yang tercatat akan dikirimkan ke IDS, kemudian dilakukan otomatisasi rules dengan semua data log yang digunakan, hal ini akan berdampak pada jumlah generasi rules baru yang akan dihasilkan.
Penelitian oleh Fallahi, Sami et all [12], mengusulkan otomatisasi generasi untuk pembuatan aturan pada Snort dengan menggunakan log dari serangan yang dilakukan. Serangan yang digunakan pada penelitian ini yaitu menggunakan dataset ISCX 2012 yang memiliki kapasitas sebesar 84.42 gigabyte. Pada penelitian yang dilakukan menerapkan algoritme Ripper dan C5.0. Proses generasi aturan baru Snort yaitu dengan menjalankan dataset yang digunakan, kemudian dilakukan seleksi fitur sehingga tersisa 8 atribut dari dataset. Kemudian setelah melakukan seleksi fitur, mengaplikasikan algoritme pada dataset yang memiliki 8 atribut tadi, setelah itu dihasilkan rules generation dari algoritme yang dijalankan. Setelah itu dilakukan pemilihan rules terbaik, setelah itu baru dilakukan generasi ke dalam format aturan Snort.
Sementara Lee, Kim et all [13], melakukan penelitian IDS menggunakan algoritme Latent Dirichlet Allocation (LDA) untuk melakukan generasi sebuah aturan pada Snort. Sistem yang diusulkan mengklaim bahwa pendekatan yang diusulkan dapat melakukan analisis lalu lintas berbahaya dan dapat melakukan ekstrak signature serangan yang tepat yang akan digunakan untuk aturan IDS.
8
Dalam kinerjanya, pertama melakukan ekstraksi beberapa string signature yang ada pada trafik jaringan. Kemudian, trafik jaringan tersebut diklasifikasikan berdasarkan string signature yang telah diekstraksi, dan string konten utama pada trafik jaringan yang berbahaya diidentifikasi melalui model LDA inferensial. Dari hasil tersebut maka string konten utama yang dijadikan aturan IDS yang dapat mendeteksi lalu lintas berbahaya.
Penelitian yang menggunakan honeypot juga dilakukan oleh Jiang, Liu et all [14], di mana penelitian yang dilakukan untuk membuat aturan Snort menggunakan log dari honeypot dan data mining berdasarkan kesamaan untuk dapat memblokir trafik yang mencurigakan. Pada sistem yang diusulkan mengumpulkan log dari honeypot kemudian dilakukan integrasi pada database NoSQL, kemudian log dari honeypot dibagi menjadi dua yaitu trafik berbahaya dan trafik mencurigakan yang belum diketahui. Trafik yang berbahaya berasal dari host yang diserang pada Honeynet, dan trafik mencurigakan yang belum diketahui berasal dari honeypot yang melakukan penyerangan melakukan probing. Trafik berbahaya yang diketahui digunakan untuk ekstraksi anomali untuk menemukan informasi yang berguna dan secara bersamaan untuk prediksi anomali selama trafik yang mencurigakan tidak diketahui, dan dilakukan dengan pendekatan Association Rules Mining untuk mengidentifikasi set item yang paling sering, yang kemudian digunakan untuk analisis serangan untuk menentukan sebuah aturan. Hasil dari prediksi anomali adalah daftar prediksi, yang berisi peristiwa yang mirip dengan perilaku malware dirinci menurut kesamaan.
Pendekatan Automatic Generation Rules juga pernah dilakukan oleh Kao, Chang et all [15], pada penelitian yang dilakukan pendekatan pembuatan rules secara otomatis menggunakan trafik dari trafik botnet atau malware. Pada sisi input, sistem yang diusulkan terdiri dari trafik botnet atau malware, trafik sehari-hari dari web browsing, rules yang sudah diketahui, rules yang dihasilkan dan rules yang dioptimasi. Pada saat proses deteksi, jika malware atau botnet dapat dideteksi oleh rules yang sudah ada maka otomatis rulse generation dibatalkan, tetapi jika rules yang sudah ada tidak dapat mendeteksinya maka selanjutnya
9
dilanjutkan pada tahap seleksi trafik, untuk meseleksi trafik botnet atau malware. Kemudian dilakukan proses konversi dari trafik ke dalam rules dengan pendekatan dua model kesamaan, yaitu kesamaan konten dan kesamaan URL dari konten. Selanjutnya dilakukan proses verifikasi aturan baru pada Snort, dan pada akhirnya dilakukan optimalisasi pada rules yang telah ada.
1.4 Tujuan Penelitian
Tujuan dari penelitian yang dilakukan dengan IDS berbasis Snort menggunakan metode Automated Generation Rules antara lain yaitu :
Melakukan peningkatkan efisiensi sistem pada IDS dalam melakukan analisis sehingga dapat meminimalisasi penggunaan sumber daya yang dibutuhkan. Dengan cara mengurangi jumlah rules yang dibuat sehingga meminimalisir pembuatan rules yang tidak perlu dan menekan ukuran rules yang dihasilkan.
Melakukan peningkatan akurasi deteksi metode Automated Generation Rules yang sudah ada agar lebih baik dalam melakukan deteksi serangan. Dengan metode yang diusulkan akan dapat membuat rules yang lebih presisi daripada metode sebelumnya yang menggunakan algoritme Apriori, sehingga dapat mendeteksi serangan lebih baik.
Kemudian akan dilakukan pengujian untuk mengetahui hasil rules Snort yang dibuat, dengan melakukan percobaan koneksi pada server honeypot untuk mengetahui tingkat deteksi. Selanjutnya dilakukan pengujian untuk mengetahui efektivitas rules yang dibuat dengan membandingkan waktu deteksi jika dibandingkan dengan rules yang memiliki ukuran yang lebih besar.
1.5 Manfaat Penelitian
Adapun manfaat dengan adanya penelitian membangun model sistem deteksi intrusi yang berbasis Automated Generation Rules pada Snort ini adalah sebagai berikut :
10
1. Sebagai upaya dalam meningkatkan keamanan jaringan internet, sehingga diharapkan dapat meningkatkan keamanan jaringan pada dari serangan yang terjadi pada layanan internet baik bagi perusahaan, pemerintahan, organisasi maupun pendidikan.
2. Sebagai bentuk pengembangan teknologi Intrusion Detection Systems yang berbasis signature yang ada saat ini agar lebih mampu melakukan pendeteksian pada jenis serangan-serangan baru pada jaringan internet. 3. Hasil penelitian baik berupa data, sistem dan laporan penelitian dapat
dijadikan referensi dalam penelitian selanjutnya yang memiliki keamanan jaringan maupun intrusion detection system.
1.6 Batasan Masalah
Kajian dalam pembuatan aturan Snort sederhana menggunakan metode Automated Generation Rules pada Snort ini masih luas, untuk itu penelitian ini berfokus pada pembuatan rules Snort dengan menggunakan log dari honeypot. Selanjutnya penelitian hanya berfokus pada kinerja rules baru yang dihasilkan dari log honeypot dengan menggunakan metode yang diusulkan untuk mendeteksi serangan yang sama. Metode pengujian yang dilakukan yaitu berbasis simulasi. Untuk melakukan pengujian akurasi, dilakukan sebuah simulasi serangan yang dilakukan dari komputer penyerang kepada target serangan yaitu server honeypot, untuk melakukan pengujian efisiensi dilakukan pengujian terhadap Snort menggunakan file pcap yang telah dibuat sebelumnya.
