Pertahanan di dunia cyber akan sangat
mengandalkan sensor pendeteksi penyusup yang biasa di kenal sebagai
Intrusion Detection System (IDS) seperti di terangkan di Artikel tentang IDS.
Ada beberapa IDS open source yang bisa kita gunakan untuk mendeteksi
penyusup, salah satu yang paling populer adalah snort. Teknik instalasi
snort telah di jelaskan dengan detail di artikel instalasi snort.
Kecanggihan snort yang berpenampilan
sangat sederhana karena memang hanya CLI, akan tampak cemerlang pada
saat kita operasikan sebagai pendeteksi penyusup atau dalam bahasa
keren-nya Intrusion Detection System (IDS). Pada kesempatan ini, akan di
jelaskan snort untuk mendeteksi penyusup.
Pada gambar di atas, di perlihatkan
konfigurasi snort yang di operasikan untuk medeteksi penyusup. Snort
bisa di operasikan sebagai sebuah mesin secara independen / berdiri
sendiri, atau di pasang di titik-titik strategis di jaringan untuk
menangkap paket yang berseliweran.
Kira-kira cara berfikir snort seperti
anti-virus di komputer menganalisa file, snort menganalisa paket yang
lewat dan di bandingkan dengan referensi serangan yang ada. Semua
konfigurasi snort ada di /etc/snort. Secara umum snort akan membaca
minimal 2 file penting, yaitu, snort.conf yang berisi konfigurasi snort,
dan classification.config, yang berisi klassifikasi pelanggaran yang
terjadi. Snort.conf yang akan menentukan bagaimana pola pendeteksian
penyusup / serangan dilakukan. Daftar catatan pola serangan ada di
folder /etc/snort/rules. Isi file classification, bisa dilihat pada
gambar terlampir.
Berbasis pada snort.conf dan rules
yang ada, maka snort akan mencatat alert yang ada di file alert dan juga
akan merekam semua traffic yang dia dengar di snort.log yang nantinya
bisa digunakan untuk kebutuhan forensik jaringan.
Konfigurasi snort.conf default
biasanya mencukup untuk operasi sederhana. Mungkin yang justru akan
banyak di ubah adalah file di bawah rules. Khususnya
/etc/snort/rules/local.rules yang akan mencerminkan trap untuk jenis
serangan tertentu.
Jika semua sudah di konfigurasi dengan
benar maka untuk mengoperasikan snort sebagai IDS sebetulnya sangat
mirip dengan snort untuk merekam / me-log traffic jaringan, hanya kita
menambahkan switch -D untuk membuat snort sebagai daemon / server,
misalnya menggunakan perintah "snort -c /etc/snort/snort.conf -l
/var/log/snort/ -D". Untuk memastikan bahwa snort telah berjalan dengan
baik, bisa ketik "ps ax" dan pastikan ada snort di keluarannya seperti
tampak pada gambar.
SUMBER : c.uctalks.ucweb.com (Kang Onno)
0 Komentar
Penulisan markup di komentar