IDS
(Intrusion Detection System) adalah sebuah sistem (dapat berupa perangkat keras
maupun perangkat lunak) yang melakukan pengawasan terhadap traffic
jaringan dan pengawasan terhadap kegiatan-kegiatan yang mencurigakan didalam
sebuah sistem jaringan, IDS dapat melakukan inspeksi terhadap lalu lintas
inbound dan outbound dalam sebuah sistem atau jaringan, melakukan
analisis dan mencari bukti dari percobaan intrusi (penyusupan). Jika ditemukan
kegiatan-kegiatan yang mencurigakan berhubungan dengan traffic jaringan maka
IDS akan memberikan peringatan kepada sistem atau administrator jaringan. Dalam
banyak kasus IDS juga merespon terhadap traffic yang tidak normal/ anomali
melalui aksi pemblokiran seorang user atau alamat IP (Internet Protocol).
Ada
IDS yang bekerja dengan cara mendeteksi berdasarkan pada pencarian ciri-ciri
khusus dari percobaan yang sering dilakukan. Cara ini hampir sama dengan cara
kerja perangkat lunak antivirus dalam mendeteksi dan melindungi sistem terhadap
ancaman. Kemudian ada juga IDS yang bekerja dengan cara mendeteksi berdasarkan
pada pembandingan pola traffic normal yang ada dan kemudian mencari
ketidaknormalan traffic yang ada. Ada IDS yang fungsinya hanya sebagai pengawas
dan pemberi peringatan ketika terjadi serangan dan ada juga IDS yang bekerja
tidak hanya sebagai pengawas dan pemberi peringatan melainkan juga dapat
melakukan sebuah kegiatan yang merespon adanya percobaan serangan terhadap
sistem jaringan dan komputer.
A. Jenis-jenis
IDS
·
NIDS (Network Intrusion Detection
System)
IDS
jenis ini ditempatkan disebuah tempat/ titik yang strategis atau sebuah titik
didalam sebuah jaringan untuk melakukan pengawasan terhadap traffic yang menuju
dan berasal dari semua alat-alat (devices) dalam jaringan. Idealnya semua
traffic yang berasal dari luar dan dalam jaringan di lakukan di scan, namun
cara ini dapat menyebabkan bottleneck yang mengganggu kecepatan akses di
seluruh jaringan.
·
HIDS (Host Intrusion Detection System)
IDS
jenis ini berjalan pada host yang berdiri sendiri atau perlengkapan dalam
sebuah jaringan. Sebuah HIDS melakukan pengawasan terhadap paket-paket yang
berasal dari dalam maupun dari luar hanya pada satu alat saja dan kemudian
memberi peringatan kepada user atau administrator sistem jaringan akan adanya
kegiatan-kegiatan yang mencurigakan yang terdeteksi oleh HIDS.
a. SignatureBased
IDS yang berbasis pada
signature akan melakukan pengawasan terhadap paket-paket dalam jaringan dan
melakukan pembandingan terhadap paket-paket tersebut dengan basis data
signature yang dimiliki oleh sistem IDS ini atau atribut yang dimiliki oleh
percobaan serangan yang pernah diketahui. Cara ini hampir sama dengan cara
kerja aplikasi antivirus dalam melakukan deteksi terhadap malware. Intinya
adalah akan terjadi keterlambatan antara terdeteksinya sebuah serangan di
internet dengan signature yang digunakan untuk melakukan deteksi yang
diimplementasikan didalam basis data IDS yang digunakan. Jadi bisa saja basis
data signature yang digunakan dalam sistem IDS ini tidak mampu mendeteksi
adanya sebuah percobaan serangan terhadap jaringan karena informasi jenis serangan
ini tidak terdapat dalam basis data signature sistem IDS ini. Selama waktu
keterlambatan tersebut sistem IDS tidak dapat mendeteksi adanya jenis serangan
baru.
b. AnomalyBased
IDS jenis ini akan
mengawasi traffic dalam jaringan dan melakukan perbandingan traffic yang
terjadi dengan rata-rata traffic yang ada (stabil). Sistem akan melakukan
identifikasi apa yang dimaksud dengan jaringan “normal” dalam jaringan
tersebut, berapa banyak bandwidth yang biasanya digunakan di jaringan tersebut,
protolkol apa yang digunakan, port-port dan alat-alat apa saja yang biasanya
saling berhubungan satu sama lain didalam jaringan tersebut, dan memberi
peringatan kepada administrator ketika dideteksi ada yang tidak normal, atau
secara signifikan berbeda dari kebiasaan yang ada.
c. PassiveIDS
IDS jenis ini hanya
berfungsi sebagai pendeteksi dan pemberi peringatan. Ketika traffic yang
mencurigakan atau membahayakan terdeteksi oleh IDS maka IDS akan membangkitkan
sistem pemberi peringatan yang dimiliki dan dikirimkan ke administrator atau
user dan selanjutnya terserah kepada administrator apa tindakan yang akan
dilakukan terhadap hasil laporan IDS.
d. ReactiveIDS
IDS jenis ini tidak
hanya melakukan deteksi terhadap traffic yang mencurigakan dan membahayakan
kemudian memberi peringatan kepada administrator tetapi juga mengambil tindakan
proaktif untuk merespon terhadap serangan yang ada. Biasanya dengan
melakukan pemblokiran terhadap traffic jaringan selanjutnya dari alamat IP
sumber atau user jika alamat IP sumber atau user tersebut mencoba
melakukan serangan lagi terhadap sistem jaringan di waktu selanjutnya.
B. Implementasi
IDS
Salah satu contoh
penerapan IDS di dunia nyata adalah dengan menerapkan sistem IDS yang bersifat
open source dan gratis. Contohnya SNORT. Aplikasi Snort tersedia dalam beberapa
macam platform dan sistem operasi termasuk Linux dan Window$. Snort memiliki
banyak pemakai di jaringan karena selain gratis, Snort juga dilengkapi dengan
support system di internet sehingga dapat dilakukan updating signature terhadap
Snort yang ada sehingga dapat melakukan deteksi terhadap jenis serangan terbaru
di internet.
IDS tidak dapat bekerja sendiri jika digunakan untuk mengamankan sebuah jaringan. IDS harus digunakan bersama-sama dengan firewall. Ada garis batas yang tegas antara firewall dan IDS.
IDS tidak dapat bekerja sendiri jika digunakan untuk mengamankan sebuah jaringan. IDS harus digunakan bersama-sama dengan firewall. Ada garis batas yang tegas antara firewall dan IDS.
C. Cara
kerja IDS
Ada beberapa cara
bagaimana IDS bekerja. Cara yang paling populer adalah dengan menggunakan
pendeteksian berbasis signature (seperti halnya yang dilakukan oleh beberapa
antivirus), yang melibatkan pencocokan lalu lintas jaringan dengan basis data
yang berisi cara-cara serangan dan penyusupan yang sering dilakukan oleh
penyerang. Sama seperti halnya antivirus, jenis ini membutuhkan pembaruan
terhadap basis data signature IDS yang bersangkutan.
Metode selanjutnya
adalah dengan mendeteksi adanya anomali, yang disebut sebagai Anomaly-based
IDS. Jenis ini melibatkan pola lalu lintas yang mungkin merupakan sebuah
serangan yang sedang dilakukan oleh penyerang. Umumnya, dilakukan dengan
menggunakan teknik statistik untuk membandingkan lalu lintas yang sedang
dipantau dengan lalu lintas normal yang biasa terjadi. Metode ini menawarkan
kelebihan dibandingkan signature-based IDS, yakni ia dapat mendeteksi bentuk
serangan yang baru dan belum terdapat di dalam basis data signature IDS.
Kelemahannya, adalah jenis ini sering mengeluarkan pesan false positive.
Sehingga tugas administrator menjadi lebih rumit, dengan harus memilah-milah
mana yang merupakan serangan yang sebenarnya dari banyaknya laporan false positive
yang muncul.
Teknik lainnya yang
digunakan adalah dengan memantau berkas-berkas sistem operasi, yakni dengan
cara melihat apakah ada percobaan untuk mengubah beberapa berkas sistem
operasi, utamanya berkas log. Teknik ini seringnya diimplementasikan di dalam
HIDS, selain tentunya melakukan pemindaian terhadap log sistem untuk memantau
apakah terjadi kejadian yang tidak biasa.
D. Kelebihan
dan kekurangan IDS
a.
Kelebihan
·
Dapat mendeteksi “external hackers” dan
serangan jaringan internal.
·
Dapat disesuaikan dengan mudah dalam
menyediakan perlindungan untuk keseluruhan jaringan.
·
Dapat dikelola secara terpusat dalam
menangani serangan yang tersebar dan bersama-sama.
·
Menyediakan pertahanan pada bagian
dalam.
·
Menyediakan layer tambahan untuk perlindungan.
·
IDS memonitor Internet untuk mendeteksi
serangan.
·
IDS membantu organisasi utnuk
mengembangkan dan menerapkan kebijakan keamanan yang efektif.
·
IDS memungkinkan anggota
non-technical untuk melakukan pengelolaan keamanan menyeluruh.
·
Adanya pemeriksaan integritas data dan
laporan perubahan pada file data.
·
IDS melacak aktivitas pengguna
dari saat masuk hingga saat keluar.
·
IDS menyederhanakan sistem sumber
informasi yang kompleks.
·
IDS memberikan integritas yang besar
bagi infrastruktur keamanan lainnya
b.
Kekurangan
·
Lebih bereaksi pada serangan daripada
mencegahnya.
·
Menghasilkan data yang besar untuk
dianalisis.
·
Rentan terhadap serangan yang “rendah
dan lambat”.
·
Tidak dapat menangani trafik jaringan
yang terenkripsi.
·
IDS hanya melindungi dari karakteristik
yang dikenal.
·
IDS tidak turut bagian dalam kebijakan
keamanan yang efektif, karena dia harus diset terlebih dahulu.
·
IDS tidak menyediakan penanganan
kecelakaan.
·
IDS tidak mengidentifikasikan asal
serangan.
·
IDS hanya seakurat informasi yang
menjadi dasarnya.
·
Network-based IDS rentan terhadap
“overload”.
·
Network-based IDS dapat menyalahartikan
hasil dari transaksi yang mencurigakan.
·
Paket terfragmantasi dapat bersifat
problematis
E. Contoh
program IDS
a.
chkwtmp
Program
yang melakukan pengecekan terhadap entry kosong. dalam arti wtmp mencatat
sesuatu tapi isinya kosong.
b.
tcplogd
Program
yang mendeteksi stealth scan. stealth scan adalah scanning yang dilakukan tanpa
harus membuat sebuah sesi tcp. sebuah koneksi tcp dapat terbentuk jika klien
mengirimkan paket dan server mengirimkan kembali paketnya dengan urutan
tertentu, secara terus menerus sehingga sesi tcp dapat berjalan. stealth scan
memutuskan koneksi tcp sebelum klien menrima kembali jawaban dari server. scanning
model ini biasanya tidak terdeteksi oleh log umum di linux.
c.
hostsentry
Program
yang mendeteksi login anomali. anomlai disini termasuk perilaku aneh (bizzare
behaviour), anomali waktu (time anomalies), dan anomali lokal (local
anomalies).
d.
Snort
program
IDS yang bekerja pada umumnya pada sistem operasi Linux, namun banyak pula
versi yang dapat digunakan di beragam platform [5]. Snort pada umumnya merujuk
kepada intrusion detection system yang sifatnya lightweight atau ringan karena
diperuntukkan bagi jaringan kecil. Snort sangat fleksibel karena arsitekturnya
yang berbasis rule.
Sumber :
Komentar
Posting Komentar