Investigating Network Intrusion and Computer Forensic Budi Rahardjo budi@insan.co.id http://budi.insan.co.id one day seminar on security solution organized by Telkom Professional Development Center 7 April 2008

BR - Net Intrusion & Computer Forensic Pentingnya Jaringan Dahulu komputer (server, sistem) standalone, namun sekarang semua terhubung ke jaringan Jaringan (network) merupakan cara masuk ke sistem (server) Itulah sebabnya jaringan perlu diamankan dan dipantau April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic Pengamanan Sistem Preventif Sebelum terjadinya serangan Contoh perangkat pengamanan: pagar, firewall Reaktif Setelah penyusup berhasil masuk Contoh perangkat pengamanan: CCTV, Intrusion Detection System (IDS), Intrusion Prevention System (IPS) April 2008 BR - Net Intrusion & Computer Forensic

Pengamanan Berlapis IDS/IPS detect intrusions Customer (with authentication device) core applications Internet application gateway Firewal protect access to web server Web server(s) Firewall protect access to SQL April 2008 BR - Net Intrusion & Computer Forensic

Mendeteksi Penyusupan Dilakukan dengan menggunakan IDS Jenis IDS Network-based IDS Host-based IDS Sensor dipasang di titik tertentu Aturan (rules) dibuat sesuai dengan definisi dari “penyusupan” yang kita buat Misal, definisikan anomali di jaringan April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic Hasil IDS Menunjukkan “penyusupan” atau pelanggaran aturan (rules) Harus dipilah lagi untuk menghindari false positives Menjadi jejak untuk melakukan investigasi lebih lanjut April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic Memahami Paket Perlu dikembangkan kemampuan untuk memahami paket root# tcpdump -n -i lo0 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on lo0, link-type NULL (BSD loopback), capture size 96 bytes 03:46:22.758381 IP 127.0.0.1 > 127.0.0.1: ICMP echo request, id 204, seq 0, length 64 03:46:22.758450 IP 127.0.0.1 > 127.0.0.1: ICMP echo reply, id 204, seq 0, length 64 03:46:23.758607 IP 127.0.0.1 > 127.0.0.1: ICMP echo request, id 204, seq 1, length 64 03:46:23.758674 IP 127.0.0.1 > 127.0.0.1: ICMP echo reply, id 204, seq 1, length 64 Latihan lain: cari 3-way handshaking di TCP/IP April 2008 BR - Net Intrusion & Computer Forensic

Latihan, latihan, latihan Perlu banyak berlatih untuk memahami dan mendapatkan sense dari traffic yang ada Banyak (networking) tools dan data yang bisa digunakan April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic Packet Capture / Dump tcpdump, wireshark, tshark Tangkap paket dan simpan dalam berkas Ada koleksi packet dump (dari berbagai kegiatan, seminar, kumpulan hacker) tcpreplay Memainkan ulang paket di jaringan Dan lain-lain April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic etherape April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic Sumber Data Lainnya Kadang data dari IDS belum cukup untuk menarik kesimpulan mengenai penyusupan Dibutuhkan sumber data lainnya Log dari perangkat jaringan lainnya (router) Log dari server yang ditargetkan, misal data syslog, log web server Catatan di komputer penyusup (bila bisa diperoleh) Catatan daftar hadir … dan lain-lain April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic Analisis Melakukan korelasi terhadap berbagai data Membuat time line beserta fakta Kadang sulit sinkronisasi waktu (itulah manfaatnya ntp) Membuat beberapa skenario Melakukan analisis Mengambil (beberapa) kesimpulan April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic Langkah Berikutnya Penyusup masuk ke/melalui jaringan untuk mentargetkan sebuah server (komputer) Penyusup menggunakan komputer untuk melakukan kegiatannya Ada banyak data dari komputer yang dapat dimanfaatkan untuk membangun kasus penyidikan April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic ... is the art and science of applying computer science to aid the legal process. Although plenty of science is attributable to computer forensics, most successful investigators possess a nose for investigations and for solving puzzles, which is where the art comes in. Chris L.T. Brown, Computer Evidence Collection and Preservation, 2006 April 2008 BR - Net Intrusion & Computer Forensic

Penyidikan di Komputer Menggunakan data yang tersedia di komputer Harddisk Memory Masalah Data digital mudah berubah (volatile) dan hilang Penyidikan dapat mengubah data (misal time stamp, content) April 2008 BR - Net Intrusion & Computer Forensic

Penyidikan di Komputer Keuntungan Data digital mudah diduplikasi Log bisa dicatat secara tersebar Adanya data tercecer (misal delete file sebetulnya masih ada berkasnya hanya daftar di direktori yang hilang) April 2008 BR - Net Intrusion & Computer Forensic 16

BR - Net Intrusion & Computer Forensic Cloning Disk Salah satu kegiatan investigasi Membuat duplikasi disk (cloning) Investigasi dilakukan pada disk duplikat sehingga tidak merusak data aslinya Harus dapat dipastikan bahwa duplikat sama persis seperti aslinya Status hukum? April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic Software Forensic Secara teknis ada beberapa tools yang dapat digunakan: Encase Helix, http://www.e-fense.com/helix/ April 2008 BR - Net Intrusion & Computer Forensic

Data Yang Lazim Digunakan Catatan berkas log dari aplikasi Direktori sementara (temporary directory) Registry April 2008 BR - Net Intrusion & Computer Forensic 19

BR - Net Intrusion & Computer Forensic Status Hukum Harus berhati-hati dalam melakukan penyidikan karena bisa jadi barang bukti menjadi tercemar Adanya berbagai sumber data dapat mendukung kesimpulan dari penyidikan Penegak hukum harus diberi wawasan (dan skill) teknologi agar lebih arif dalam menegakkan hukum April 2008 BR - Net Intrusion & Computer Forensic

BR - Net Intrusion & Computer Forensic Lain-lain Kadang perlu dibuat jebakan (honeypot) untuk menangkap penyusup Adanya kesulitan kordinasi untuk mendapatkan data (beda pengelola, lintas negara, dll.) April 2008 BR - Net Intrusion & Computer Forensic 21

BR - Net Intrusion & Computer Forensic Penutup Melakukan investigasi penyusupan (melalui jaringan) dan computer forensic merupakan sebuah bidang yang relatif baru Masih dibutuhkan waktu agar ilmunya menjadi lebih matang Masih dibutuhkan banyak SDM yang menguasai bidang ilmu ini April 2008 BR - Net Intrusion & Computer Forensic