COMMAND PROTOCOL OPERATIONS INITIALIZING INTRUSION DETECTION SYSTEM Sebuah Pengenalan oleh Budi Rahardjo

COMMAND PROTOCOL OPERATIONS INITIALIZING Apa itu IDS? Sistem untuk mendeteksi adanya “ intrusion ” yang dilakukan oleh “ intruder ” Mirip seperti alarm

COMMAND PROTOCOL OPERATIONS INITIALIZING Intrusion Didefinisikan sebagai kegiatan yang bersifat anomaly, incorrect, inappropriate yang terjadi di jaringan atau di host

COMMAND PROTOCOL OPERATIONS INITIALIZING Jenis IDS Network-based memantau anomali di jaringan, misal melihat adanya network scanning Host-based memantau anomali di host, misal memonitor logfile, process, file owenership, mode

COMMAND PROTOCOL OPERATIONS INITIALIZING Anomali Traffic / aktivitas yang tidak sesuai dgn policy: - akses dari/ke host yang terlarang - memiliki content terlarang (virus) - menjalankan program terlarang (web directory traversal: GET../..; cmd.exe )

COMMAND PROTOCOL OPERATIONS INITIALIZING IDS yang populer snort (open source) Sourcefire (versi komersial) ISS RealSecure & BlackICE Axent Cisco IDS (dahulu NetRanger) Tripwire, swatch, dll.

COMMAND PROTOCOL OPERATIONS INITIALIZING snort Open source IDS host-based network-based packet sniffer implementasi di UNIX & Windows Beroperasi berdasarkan “rules”

COMMAND PROTOCOL OPERATIONS INITIALIZING Contoh log snort The log begins from: Mar 9 09:11:05 The log ends at: Mar 9 12:22:24 Total events: 161 Signatures recorded: 6 Source IP recorded: 12 Destination IP recorded: 44 # of attacks from to method =========================================== IDS135-CVE MISC-ICMPRedirectHost ICMP Destination Unreachable {ICMP} spp_http_decode: ISS Unicode

COMMAND PROTOCOL OPERATIONS INITIALIZING Snort add-ons: demarc

COMMAND PROTOCOL OPERATIONS INITIALIZING Masalah Serangan baru memiliki signature yang baru sehingga daftar signature harus selalu diupdate Network semakin cepat (giga) sehingga menyulitkan untuk menganalisa setiap paket Jumlah host makin banyak: distributed IDS Terlalu banyak laporan (false alarm)

COMMAND PROTOCOL OPERATIONS INITIALIZING Penutup IDS merupakan sebuah komponen utama dari pengamanan sebuah jaringan (situs) IDS masih membutuhkan pengembangan untuk mencapai maturity

COMMAND PROTOCOL OPERATIONS INITIALIZING Bahan Bacaan Northcutt, Stephen "Network Intrusion Detection“, New Riders, 1999 Situs incidents Intrusion detection FAQ FAQ/ID_FAQ.htm FAQ/ID_FAQ.htm IDS product query ude2result.jsp?_tablename=intrude2 ude2result.jsp?_tablename=intrude2