6
BAB II
LANDASAN TEORI
2.1 Honeypot
Honeypot merupakan sebuah program bertujuan untuk memancing peretas yang menyerupai sebuah layanan atau service pada suatu komputer, sistem operasi atau bahkan menyerupai sebuah jaringan[10]. Honeypot mengamati dan mencatat setiap tindakan yang dilakukan oleh peretas pada layanan palsu yang dijalankan oleh honeypot seperti percobaan memasuki akses honeypot tersebut, keystroke, file dan folder yang diakses maupun dirubah, dan program yang dijalankan oleh peretas pada honeypot. Meski honeypot memberikan akses kepada peretas akan tetapi honeypot tidak mempunyai informasi atau data berharga melainkan data atau informasi tersebut palsu, maka dari itu jika terdapat suatu aktifitas pada honeypot maka dapat dipastikan aktifitas tersebut berasal dari peretas yang menyerang honeypot. Honeypot diklasifikasikan menjadi beberapa bagian beradasarkan kategori berikut:
a. Berdasarkan Penggunaan
Production Honeypot
Honeypot diimplementasikan pada perusahaan atau organisasi dengan tujuan meminimalisir resiko untuk diretas dan meningkatkan keamanan dari organisasi atau perusahaan tersebut.
Research Honeypot
Research Honeypot digunakan untuk meneliti serangan yang dihadapi sebuah organisasi agar kedepannya mereka bisa menanggulangi serangan yang serupa. Berbeda dari Production Honeypot, Research digunakan oleh organisasi seperti universitas, militer, atau organisasi yang mengkhususkan meneliti kejahatan cyber
b. Berdasarkan Interaksi dengan Peretas
Low Interaction Honeypot
Honeypot yang mempunyai karakteristik yakni minim atau sedikitnya interaksi dengan peratas. Honeypot ini mudah untuk diimplementasikan
7
tetapi data yang didapatkan sangat terbatas karena minimnya interaksi dari peretas
High Interaction Honeypot
Berbeda dengan Honeypot sebelumnya, honeypot ini menggunakan sistem operasi asli sebagai umpan. Honeypot ini susah untuk diimplementasikan karena banyak tool yang harus dipasang agar bisa berjalan dengan benar dan mampu berinteraksi dengan peretas, dengan begitu informasi yang didapat dari peretas cukup banyak mulai dari menemukan serangan, kelemahan pada sistem itu sendiri hingga virus atau exploit yang belum pernah ditemukan. Karena itu Honeypot ini cocok untuk riset keamanan jaringan
Medium Interaction Honeypot
Merupakan gabungan dari keunggulan dari low interaction honeypot dan high interaction honeypot. Honeypot ini tidak menggunakan sistem operasi maupun layanan asli melainkan hanya simulasi tetapi dapat memberikan interaksi yang cukup agar peretas terkecoh untuk menyerangnya, kemudian honeypot akan menyimpan serangan tersebut yang nanti akan diteliti lebih lanjut. Honeypot ini biasanya disebut homemade honeypot yang bertujuan untuk memenuhi kebutuhan khusus dari suatu perusahaan atau organisasi
c. Berdasarkan Hardware yang digunakan
Physical Honeypot
Merupakan honeypot yang berjalan pada mesin dan sistem operasi asli dan terhubung ke sebuah jaringan yang bisa diakses menggunakan satu IP address.
Virtual Honeypot
Honeypot yang diimplementasikan pada sebuah mesin yang bertugas menjalankan beberapa atau banyak honeypot sekaligus.
d. Berdasarkan Peran Honeypot
Server Side
Honeypot ini dipasang pada suatu server pada sebuah jaringan, bersifat pasif, dan tidak akan memberikan interaksi apapun kecuali pada saat
8
diserang. Mempunyai keunggulan untuk mendeteksi serangan baru, mengumpulkan malware, dan membantu riset dan analisis
Client Side
Merupakan honeypot aktif dan terpasang pada client yang bertujuan untuk mencari dan mendeteksi server, penyedia layanan atau website berbahaya apabila client lain mencoba untuk mengaksesnya
2.2 Modern Honey Network
Modern Honey Network atau MHN merupakan sistem manajemen yang mampu menjalankan sekumpulan honeypot guna membuat sebuah jaringan pertahanan dan berfungsi secara keseluruhan dalam hitungan menit[7]. MHN dibuat oleh Threatstream (sekarang Anomali) dengan tujuan memberikan solusi berupa software honeypot yang mudah digunakan pada saat honeypot sebagai solusi keamanan jaringan yang disarankan terbatas[5], dan didesain sebagai alternatif gratis untuk solusi saat ini dipasaran yang mampu membantu menambah jumlah produksi honeypot. MHN menggunakan HPFeeds sebagai pusat pengumpulan data dan low-interaction honeypot untuk menjaga keefektifan dan keamanan pada tingkat sekelas perusahaan. MHN bergantung pada tools open source seperti HPFeeds untuk mengumpulkan data dari honeypot yang terpasang, Mnemosyne sebagai pengindeksan data ke MongoDB, dan HoneyMap untuk visualisasi secara real-time.
2.2.1. Desain Modern Honey Network
Arsitektur MHN didesain menjadi empat bagian atau layer, layer pertama yakni layer honeypot berada pada level paling bawah yang bertujuan untuk men-deploy berbagai macam honeypot yang telah disediakan oleh MHN seperti Snort, Suricata, Dionaea, Conpot,Kippo, Amun, Glastopf, Wordpot, ShockPot, p0f dan Elastichoney. MHN menyediakan fungsi unutk menambahkan honeypot baru selain honeypot yang sudah disiapkan, dan MHN juga menyediakan fasilitas untuk men-deploy honeypot pada Raspberry Pi.
Layer kedua adalah layer untuk penerimaan data yang telah dihasilkan oleh honeypot pada layer sebelumnya. Layer kedua mempunyai beberapa
9
software yang berguna mengumpulkkan dan menormalisasikan data seperti HPFeeds berfungsi untuk menerima dan mengumpulkan data dari berbagai honeypot yang telah di-deploy, HPFeed-logger berfungsi untuk menyusun data yang telah dikumpulkan oleh HPFeed dan akan diteruskan ke aplikasi pihak ketiga seperti Splunk,Arcsight dan ELK. Pada layer ini juga terdapat HoneyMap yang berfungsi untuk memvisualisasikan data yang telah terkumpul. Terakhir terdapat Mnemosyne yang berfungsi untuk menormalisasikan dan memberi index kepada data yang didapat dari HPFeeds untuk kemudian disimpan pada MongoDB.
Layer ketiga ialah layer untuk menyimpan dan mengatur data yang telah dikumpulkan oleh HPFeeds dan diolah oleh Mnemosyne dengan menggunakan database MongoDB
Layer keempat ialah layer yang berinteraiksi langsung dengan pengguna.
Layer ini menggunakan MHN Web App dan REST API
Gambar 2.1Arsitektur Modern Honey Network 2.2.2. Sensor
10
Sensor merupakan perangkat yang berperan sebagaihoneypot, IDS, ataupassive scanner yang menghasilkan data mengenai serangan yang diterima, peretas yang menyerang dan vector serangan. Sensor akan merekam semua kegiatan yang ada di dalam honeypot dan memindai malware, virus, worm yang diketahui dan mendeteksi keanehan yang terjadi. MHN menyediakan banyak honeypot untuk dipasang pada sensor seperti Dionaea, Snort, Conpot, Cowrie, Amun, Glastopf, Wordpot, ShockPot, ElasticHoney, p0f, dan Suricata
2.2.3. HPFeeds
HPFeeds merupakan sistem didesain agar dapat mengimplementasikan protokol publikasi terautentikasi yang ringan (lightweight authenticated publish protocol) untuk bertukar data secara langsung yang dikembangkan di dalam HoneyNet Project. HPFeeds menggunakan simple Wire-format agar data yang diterima bisa digunakan dengan menggunakan bahasa pemrograman apapun. Pengguna dapat memilih format data yang akan dikirimkan ke penerima data, sehingga HPFeeds dapat mengumpulkan data dari banyak honeypot, mengubah format, dan mengirimkan data tersebut ke perangkat lunak lain seperti HPFeeds-logger, HPFriends, HoneyMap, dan Mnemosyne yang mana dapat dianalisa dan dibaca oleh pengguna.
2.2.4. Mnemosyne
Mnemosyne adalah perangkat lunak berfungsi untuk menormalkan data yang didapat dari HPFeeds untuk diteruskan menuju databaseMongoDB.
Mnemosyne mempunyai tiga fungsi utama yakni:
Menyediakan layanan tetap untuk HPFeeds
Menormalkan data untuk mengizinkan analisis agnostic pada sensor
Mengirimkan data yang telah dinormalisasikan melalui REST API 2.2.5. Aplikasi Web
MHN menyediakan aplikasi web dirancang oleh Anomali yang berguna untuk mengatur MHN secara grafik. Aplikasi Web ini menyediakan banyak fasilitas diantaranya
Map
11
Tab ini menyediakan informasi mengenai sensor yang kita pasang dan asal serangan secara visual dalam sebuah peta digital secara real-time
Deploy
Tab ini menyediakan cara pengguna untuk men-deploy sensor yang telah dikonfigurasi oleh MHN dengan mudah
Attacks
Tab ini memperlihatkan semua serangan yang diterima oleh semua honeypot. Informasi yang diberikan berupa tanggal, sensor yang diserang, Negara, asal IP, port yang diserang, protocol dan honeypot. Pengguna juga bisa melihat secara spesifik menggunakan parameter yang disediakan oleh MHN
Payloads
Tab ini menyediakan informasi payload yang digunakan oleh peretas.
Informasi yang disediakan yakni prioritas, klasifikasi, dan signature.
Rules
Tab ini digunakan untuk memanajemen Rules Snort yang dipakai pada MHN. Pengguna dapat melihat, memfilter, merubah, menghapus, mengaktifkan, dan menonaktifkan Rules
Sensors
Tab ini memperlihatkan kumpulan sensor yang digunakan dan dideploy oleh MHN. Sensor yang di deploy selain MHN dapat juga ditambahkan pada tab ini menggunakan nama host dan sensor yang memungkinkan untuk menciptakan berbagai macam honeynet
Charts
Tab ini memperlihatkan serangan yang diterima oleh honeypot Kippo dalam bentuk chart. Data yang ditampilkan ialah Top Password, Top User, Top user/password, Top Attacker
Settings
Tab ini memperlihatkan informasi tentang pengguna yang menggunakan MHN. Tab ini juga memperlihatkan daftar pengguna lain dan mengizinkan pengguna untuk menambah dan menghapus pengguna lain dan merubah password
12 2.3 Grafana
Grafana merupakan perangkat lunak visualisasi berbasis open source untuk web browser yang berfokus pada analisa dan monitoring data. Grafana dibuat pada tahun 2014 oleh Torkel Ödegaard yang merupakan improvisasi dari Kibana yang mampu mendukung membaca time-series database[11]. Dibuat dengan tujuan sebagai pemvisualisasi umum, Grafana menawarkan berbagai macam chart yang berguna untuk merepresantasikan data.
Grafana dikembangkan dengan menggunakan bahasa pemrograman Go yang dikembangkan Robert Griesemer, Rob Pike, dan Ken Thompson. Grafana sendiri merupakan perangkat lunak yang serba guna. Grafana mampu memilah data secara real time, mengubah data tersebut menjadi grafik, table dan metric, dan memungkinkan pengguna untuk melakukan editing pada panel agar dapat memvisualisasikan data sesuai dengan keinginan pengguna. Selain itu Grafana juga mampu bekerja dengan sumber data yang berbeda seperti Prometheus, MySQL, Elastiseach dan lainnya.
Panel merupakan dasar visualisasi pada Grafana, dimana setiap panel merupakan visualisasi dari sebuah atau lebih data. Setiap Panel mempunyai Query Editoryang berguna untuk mengambil data dari sumber data. Grafana menggunakan Query agar bisa berkomunikasi dengan sumber data yang digunakan untuk mendapatkan data yang dinginkan. Query yang digunakan oleh Grafana adalah bahasa query yang digunakan oleh sumber data. Jika sumberdata yang digunakan adalah Prometheus maka bahasa query yang digunakan adalah PromQL (Prometheus Query Language), sebaliknya jika sumber data yang digunakan adalah MySQL maka bahasa query yang digunakan ialah SQL (Structured Query Language).
2.4 Ubuntu
Ubuntu merupakan sistem operasi Linux berbasis Debian yang dikembangkan oleh Canonical Ltd., dan diluncurkan pertama kali pada tanggal 29 Oktober 2004.Ubuntu desktop merupakan Ubuntu yang digunakan untuk komputer pribadi seperti komputer pada rumah, kantor dan lainnya, sedangkan Ubuntu Server merupakan variasi dari Ubuntu yang dikhususkan untuk menjadi
13
server pada jaringan dan penyedia layanan mulai dari website, file sharing hingga keamanan pada jaringan tersebut
2.5 MySQL
MySQL adalah perangkat lunak sistem manajemen database SQL yang multithread dan multi-user. Dikembangkan oleh MySQL AB, perusahaan perangkat lunak yang berbasis di Swedia, MySQL merupakan nama gabungan dari nama anak perempuan salah satu pendiri Michael Widenius dan SQL yang merupakan singakatan dari Structured Query Language. MySQL sendiri merupakan implementasi dari sistem manajemen database relasional atau RDBMS dan turunan dari salah satu konsep utama dalam database yang sudah ada sebelumnya yakitu SQL[12].
MySQL merupakan sistem database yang menggunakan arsitektur client- server[13]. Mysqld yang berada pada server, merupakan program yang sebenarnya melakukan manipulasi data pada MySQL. Untuk memrintahkan mysqld dibutuhkan program yang dapat berkomunikasi dengan menggunakan SQL salah satunya adalah mysql. MySQL merupakan program client dalam satu paket dengan distribusi MySQL. Ketika digunakan MySQL akan menerima perintah SQL dari pengguna, mengirimkannya ke mysqld, kemudian menerima hasilnya.
2.6 Python
Python adalah bahasa pemrograman tingkat tinggi, digunakan pada banyak bidang yang dikembangkan oleh Guido von Rossum pada tahun 1991. Python merupakan salah satu bahasa pemrograman yang interpretative atau dapat melakukan eksekusi sejumlah perintah secara langsung dengan menggunakan metode Object Oriented Programming atau pemrograman yang berorientasi pada obyek. Python berbeda dari bahasa pemrograman yang lain karena python menerapkan code readability atau bahasa yang mudah dipahami oleh pengguna atau pembaca kode tersebut dan kemampuannya untuk mengekspresikan bahasa pemrograman hanya dengan beberapa baris kode saja[14]. Python cenderung kepada pembuatan program lebih jelas untuk program berskala kecil dan juga program berskala besar yang kompleks.
14 2.7 Cron
Cron merupakan perangkat lunak penjadwal pekerjaan berbasis waktu pada sistem operasi berbasis UNIX[15]. Pengguna yang merencanakan melakukan eksekusi program dapat menggunakan cron untuk menjalankan program tersebut secara periodic pada waktu, interval atau tanggal yang telah ditentukan.Cron dijalankan oleh file bernama crontab yang berfungsi untuk memasang, menyimpan dan menghapus daftar tabel yang digunakan untuk menjalankan cron daemon. File Crontab tidak diedit secara langsung layaknya sebuah file melainkan dengan menggunakan perintah crontab –e. Di dalam file Crontab terdapat baris yang merepresentasikan job dengan parameter seperti berikut
Gambar 2.2Format perintah pada file crontab
