COMMAND PROTOCOL OPERATIONS INITIALIZING INTRUSION DETECTION SYSTEM Sebuah Pengenalan oleh Budi Rahardjo

Presentasi berjudul: "COMMAND PROTOCOL OPERATIONS INITIALIZING INTRUSION DETECTION SYSTEM Sebuah Pengenalan oleh Budi Rahardjo"— Transcript presentasi:

1

2 COMMAND PROTOCOL OPERATIONS INITIALIZING INTRUSION DETECTION SYSTEM Sebuah Pengenalan oleh Budi Rahardjo budi@indocisc.com

3 COMMAND PROTOCOL OPERATIONS INITIALIZING Apa itu IDS? Sistem untuk mendeteksi adanya “ intrusion ” yang dilakukan oleh “ intruder ” Mirip seperti alarm

4 COMMAND PROTOCOL OPERATIONS INITIALIZING Intrusion Didefinisikan sebagai kegiatan yang bersifat anomaly, incorrect, inappropriate yang terjadi di jaringan atau di host

5 COMMAND PROTOCOL OPERATIONS INITIALIZING Jenis IDS Network-based memantau anomali di jaringan, misal melihat adanya network scanning Host-based memantau anomali di host, misal memonitor logfile, process, file owenership, mode

6 COMMAND PROTOCOL OPERATIONS INITIALIZING Anomali Traffic / aktivitas yang tidak sesuai dgn policy: - akses dari/ke host yang terlarang - memiliki content terlarang (virus) - menjalankan program terlarang (web directory traversal: GET../..; cmd.exe )

7 COMMAND PROTOCOL OPERATIONS INITIALIZING IDS yang populer snort (open source) http://www.snort.org http://www.snort.org Sourcefire (versi komersial) http://www.sourcefire.com http://www.sourcefire.com ISS RealSecure & BlackICE http://www.iss.net http://www.iss.net Axent http://www.axent.com http://www.axent.com Cisco IDS (dahulu NetRanger) Tripwire, swatch, dll.

8 COMMAND PROTOCOL OPERATIONS INITIALIZING snort Open source IDS host-based network-based packet sniffer implementasi di UNIX & Windows Beroperasi berdasarkan “rules”

9 COMMAND PROTOCOL OPERATIONS INITIALIZING Contoh log snort The log begins from: Mar 9 09:11:05 The log ends at: Mar 9 12:22:24 Total events: 161 Signatures recorded: 6 Source IP recorded: 12 Destination IP recorded: 44 # of attacks from to method =========================================== 61 202.138.228.73 202.138.228.74 IDS135-CVE-1999-0265-MISC-ICMPRedirectHost 31 192.168.1.51 192.168.1.11 ICMP Destination Unreachable {ICMP} 5 202.110.192.93 202.138.228.74 spp_http_decode: ISS Unicode

10 COMMAND PROTOCOL OPERATIONS INITIALIZING Snort add-ons: demarc

11 COMMAND PROTOCOL OPERATIONS INITIALIZING Masalah Serangan baru memiliki signature yang baru sehingga daftar signature harus selalu diupdate Network semakin cepat (giga) sehingga menyulitkan untuk menganalisa setiap paket Jumlah host makin banyak: distributed IDS Terlalu banyak laporan (false alarm)

12 COMMAND PROTOCOL OPERATIONS INITIALIZING Penutup IDS merupakan sebuah komponen utama dari pengamanan sebuah jaringan (situs) IDS masih membutuhkan pengembangan untuk mencapai maturity

13 COMMAND PROTOCOL OPERATIONS INITIALIZING Bahan Bacaan Northcutt, Stephen "Network Intrusion Detection“, New Riders, 1999 Situs incidents www.incidents.org www.incidents.org Intrusion detection FAQ http://www.sans.org/newlook/resources/ID FAQ/ID_FAQ.htm http://www.sans.org/newlook/resources/ID FAQ/ID_FAQ.htm IDS product query http://www.nwfusion.com/bg/intrude2/intr ude2result.jsp?_tablename=intrude2 http://www.nwfusion.com/bg/intrude2/intr ude2result.jsp?_tablename=intrude2