SNORT
November 01, 2018
Snort: Deskripsi, Fitur, dan Deskripsi Penggunaan Snort
Snort adalah sebuah software ringkas yang sangat berguna untuk mengamati aktivitasdalam suatu jaringan komputer. Snort dapat digunakan sebagai suatu Network IntrusionDetection System (NIDS) yang berskala ringan (lightweight), dan software inimenggunakan sistem peraturan-peraturan (rules system) yang relatif mudah dipelajariuntuk melakukan deteksi dan pencatatan (logging) terhadap berbagai macam seranganterhadap jaringan komputer. Dengan membuat berbagai rules untuk mendeteksi ciri-cirikhas (signature) dari berbagai macam serangan, maka Snort dapat mendeteksi danmelakukan logging terhadap serangan-serangan tersebut. Software ini bersifatopensource berdasarkan GNU General Public License [GNU89], sehingga bolehdigunakan dengan bebas secara gratis, dan kode sumber (source code) untuk Snort jugabisa didapatkan dan dimodifikasi sendiri bila perlu. Snort pada awalnya dibuat untuk sistem operasi (operating system) berdasarkan Unix, tetapi versi Windows juga sudahdibuat sehingga sekarang ini Snort bersifat cross-platform.Snort sendiri merupakan software yang masih berbasis command-line, sehingga cukupmerepotkan bagi pengguna yang sudah terbiasa dalam lingkungan Graphical UserInterface (GUI). Oleh karena itu, ada beberapa software pihak ketiga yang memberikanGUI untuk Snort, misalnya IDScenter untuk Microsoft Windows, dan Acid yangberbasis PHP sehingga bisa diakses melalui web browser.
Berbagai Fitur Snort
•
Karena Snort bersifat opensource, maka penggunaannya betul-betul gratis. Olehkarena itu, Snort merupakan pilihan yang sangat baik sebagai NIDS ringan yangcost-effective dalam suatu organisasi yang kecil jika organisasi tersebut tidak mampu menggunakan NIDS commercial yang harganya paling sedikit ribuandolar US. Dari sisi harga, jelas tidak ada NIDS lain yang mampu mengalahkanSnort.
•
Karena Snort bersifat opensource, maka penggunaannya betul-betul bebassehingga dapat diterapkan dalam lingkungan apa saja. Kode sumbernya pun bisadidapatkan sehingga Snort boleh secara bebas dimodifikasi sendiri sesuaikeperluan. Selain itu, karena snort merupakan software yang bebas, maka telahterbentuk suatu komunitas Snort yang membantu memberikan berbagai macamdukungan untuk penggunaan, pengembangan, penyempurnaan, dan perawatansoftware Snort itu.
•
Snort memiliki bahasa pembuatan rules yang relatif mudah dipelajari danfleksibel. Ini berarti bahwa pengguna dapat dengan mudah dan cepat membuatberbagai rules baru untuk mendeteksi tipe-tipe serangan yang baru. Selain itu,berbagai rules khusus dapat dibuat untuk segala macam situasi
•
Snort sudah memiliki sebuah database untuk berbagai macam rules, dandatabase ini secara aktif terus dikembangkan oleh komunitas Snort sehinggatipe-tipe serangan yang baru dapat dideteksi dan dicatat.
•
Jika organisasi membutuhkan dukungan teknis untuk Snort yang profesional,maka ada beberapa pihak komersial yang menawarkan dukungan untuk Snort,misalnya SiliconDefense.Com.
•
Snort merupakan software yang ringkas dan padat, sehingga tidak memakanbanyak resources tetapi cukup canggih dan fleksibel untuk digunakan sebagaisalah satu bagian dari NIDS yang terpadu (Integrated NIDS). Selain itu, karenaSnort bersifat lightweight, maka penerapannya juga mudah dan cepat.
•
Snort dapat melakukan logging langsung ke sistem database, misalnya keMySQL, PostGRE SQL, dan MS SQL.
•
Snort sebagai NIDS dapat menyembunyikan dirinya dalam jaringan komputersehingga keberadaannya tidak bisa terdeteksi oleh komputer mana pun. Inidisebut sebagai stealth mode.
•
Snort memiliki 3 mode pengoperasian, yaitu:1.
Sniffer Mode
: Dalam mode ini, Snort bertindak sebagai software snifferyang dapat melihat semua paket yang lewat dalam jaringan komputer dimana Snort diletakkan. Fungsi snort dalam sniffer mode ini sama sepertiyang ada di software Iris. Dalam mode ini, berbagai paket hanya ditampilkandi layar monitor secara real time.2.
Packet Logger Mode
: Dalam mode ini, selain melihat semua paket yanglewat dalam jaringan komputer, Snort juga dapat mencatat atau melakukanlogging terhadap berbagai paket tersebut ke disk. Dengan kata lain, Snortmembuat copy dari paket-paket yang lewat dan menyimpan copy tersebut didisk sehingga pengguna Snort dapat melakukan analisis terhadap lalu lintas jaringan atau untuk keperluan lainnya.3.
Network Intrusion Detection Mode
: Dalam mode yang paling rumit danfleksibel ini, Snort bertindak sebagai NIDS yang dapat mendeteksi danmelakukan logging terhadap berbagai macam serangan terhadap jaringankomputer berdasarkan rules system yang telah ditetapkan oleh penggunaSnort. Rules system di Snort akan mendeteksi serangan-serangan tersebutberdasarkan ciri-ciri khas (signature) dari serangan tersebut.
Instalasi Snort di Windows 2000
1.Sebelum instalasi, harus dipastikan bahwa pengguna telah melakukan login keWindows 2000 sebagai administrator. Jika bukan sebagai administrator, makainstalasi tidak akan bisa selesai karena masalah user privilege.
2.Sebuah driver untuk melakukan penangkapan paket (packet capture driver) harusdiinstal terlebih dahulu di Windows 2000, misalnya WinPCAP atau Packet2k.
3.Setelah itu, lakukan instalasi Snort di folder tertentu, misalnya di C:\Snort
4.Untuk memudahkan pengkonfigurasian dan pengoperasian Snort di lingkunganWindows, maka IDScenter diinstal juga sehingga memberikan antarmuka untuk Snort yang berbasis GUI sehingga lebih mudah dan nyaman untuk digunakan.
5.Setelah instalasi IDScenter selesai, maka jalankan IDScenter sehingga penggunadapat melakukan konfigurasi terhadap Snort dan IDScenter.
6.Klik pada tray icon untuk IDScenter yang ada di sebelah clock di taskbar Windows,dan pilih Settings untuk melakukan konfigurasi.
7.Pada tab General, di Main Configuration, tentukan letak file snort.exe sehinggaIDScenter dapat menjalankannya. Jika Snort diinstal di folder C:\Snort, makasnort.exe akan berada di C:\Snort\bin.
8.Tentukan pula letak logfile yang dibuat oleh Snort. Jika Snort diinstal di folderC:\Snort, maka logfilenya adalah C:\Snort\log\alert.ids.
9.Pada tab IDS Rules, di Snort config, tentukan letak file snort.conf. Jika Snortdiinstal di folder C:\Snort, maka snort.conf ada di C:\Snort\etc. Lakukan perubahanseperlunya di file snort.conf tersebut sesuai kebutuhan.
10.Di Rules/Signatures, tentukan letak file classification.config. Jika Snort diinstal difolder C:\Snort, maka file tersebut ada di C:\Snort\etc.
11.Pilihlah rules-rules yang akan digunakan oleh Snort dalam melakukan deteksi danlogging terhadap berbagai macam serangan terhadap jaringan komputer. Rules-rulestersebut juga dapat diedit di Ruleset Editor yang disediakan oleh IDScenter.
12.Pada tab Log settings, tentukan apa saja yang ingin dicatat atau dilog oleh Snort kedalam file log alert.ids. Berbagai fitur dan option dapat dipilih dari sini.
13.Pada tab Alerts, tentukan metode mana yang akan digunakan oleh IDScenter untuk memberitahu pengguna bahwa telah terjadi serangan terhadap jaringan komputer.Adadua cara:
Melalui logfile alert.ids
Melalui databaseJika ingin menggunakan suara untuk memberitahu pengguna, maka itu pun dapatditentukan di tab ini. Selain itu, IDScenter mendukung berbagai plugin untuk melakukan berbagai macam tindakan jika terjadi serangan, misalnya untuk melakukan blocking/shunning secara otomatis, atau menjalankan suatu programuntuk menanggulangi serangan, dan seterusnya. IDScenter juga dapat mengirimkansuatu pesan email kepada pengguna untuk memberitahu bahwa telah terjadiserangan terhadap jaringan komputer.
14.Setelah semua konfigurasi selesai, klik pada Apply. Jika ada error pada konfigurasi,maka akan muncul pesan error. Jika tidak, berarti konfigurasi telah berhasil.
15.Klik pada Test settings untuk menguji apakah Snort dapat berjalan dengan baik berdasarkan konfigurasi yang telah ditetapkan sebelumnya. Jika Test settingsmenunjukkan bahwa Snort dapat berjalan dengan baik tanpa error, maka konfigurasiselesai dan Snort bisa diaktifkan sebagai NIDS.
16.Aktifkan Snort melalui IDScenter dengan cara mengklik pada Start Snort. Jika adaserangan yang terdeteksi oleh Snort, maka IDScenter akan memberikan alert kepada
pengguna sesuai dengan cara yang telah ditentukan pada waktu konfigurasi. Selainitu, tray icon untuk IDScenter akan berkelip-kelip merah untuk menunjukkan bahwatelah terjadi serangan terhadap jaringan komputer.
Contoh Pembuatan Rules di Snort
Snort menggunakan suatu bahasa deskriptif untuk menentukan rules atau peraturan-peraturan guna pendeteksian berbagai macam serangan terhadap jaringan komputer.Bahasa deskriptif ini relatif mudah dipelajari namun cukup fleksibel dan canggih.Peraturan Snort dibagi menjadi 2 bagian, yaitu rule header dan rule options. Rule headerberisikan tindakan yang harus dilakukan, protokol yang dimonitor, alamat IP asal dantujuan, netmask, serta nomor port asal dan tujuan. Rule options berisikan pesan-pesanyang dimunculkan, serta bagian mana dari paket yang harus diamati untuk menentukanapakah perlu melakukan tindakan atau tidak.Contoh peraturan di Snort adalah sebagai berikut:
alert tcp any any -> 192.168.1.0/24 111 (content:”|00 01 86 a5|”;msg:”mountd access”;)
Yang ada di antara ( ) merupakan rule options, sedangkan bagian sebelumnya adalahrule header. Di rule header di atas, terlihat bahwa Snort harus memberikan alert jika adaaccess menggunakan protokol tcp dari alamat IP mana saja port 24 ke alamat IP manasaja port 111 dengan netmask 192.168.1.0. Netmask digunakan untuk menentukannomor jaringan. Di rule options, ditentukan bahwa Snort akan memberikan pesan“mountd access” jika di dalam paket terdapat isi heksadesimal “00 01 86 a5”
0 comments