Praktik Reconnaissance dan IDS: pemindaian dengan Nmap, instalasi dan konfigurasi Snort

Tujuan pembelajaran

Sesuai RPS TL455 pertemuan 15, setelah lab ini kamu mampu melakukan pemindaian port dan membangun sistem IDS dengan Snort. Bingkai lab: mengikuti Lab Exercise 13.01 (Installing Ubuntu and Snort), 13.02 (Snort Sniffer Mode), 13.03 (Snort Packet Logger Mode), 13.04 (Snort Network Intrusion Detection System Mode), dan 16.01 (Port Scanning with Nmap) dari Lab Manual (2021), dengan konsep Bab 13 dan Bab 16 buku sebagai jangkar teori. Prosedur yang tidak ada di Lab Manual dinyatakan eksplisit di bawah.

Catatan keamanan dan legal (wajib dibaca): Nmap di lab ini hanya diarahkan ke VM target milikmu di jaringan privat yang kamu buat sendiri. Lab 16.01 memuat tiga kasus nyata orang yang memindai jaringan orang lain dan menanggung konsekuensinya (dakwaan CFAA 1999, hukuman biaya forensik 2003, dan biaya hukum bertahun-tahun); di Indonesia pemindaian tanpa izin berpotensi melanggar UU ITE. Aturan sederhananya: kalau mesinnya bukan milikmu atau tidak ada izin tertulis, jangan dipindai. Snort dan aturannya bebas dipasang: yang ditentukan hukum adalah lalu lintas yang kamu hasilkan.

Alat dan Persiapan

• ▸VMware Workstation Player (pertemuan 2) dan VM Kali Linux kali-lab.
• ▸VM Ubuntu baru untuk target: ikuti Langkah 1 Lab 13.01 (unduh ISO Ubuntu LTS dari ubuntu.com, buat VM, pilih Bridged sesuai lab; untuk keamanan lab pribadi, ganti ke Host-only dinyatakan eksplisit di langkah 1 bila konektivitas internet tak diperlukan).
• ▸Jaringan privat yang menghubungkan Kali dan Ubuntu (mode jaringan VM yang sama), akses sudo di keduanya.
• ▸Catat IP tiap VM (ip a); contoh di modul ini memakai 192.168.56.10 untuk Kali dan 192.168.56.20 untuk target: sesuaikan dengan labmu.

Langkah Pekerjaan

1. Instal Ubuntu dan Snort (Lab 13.01). Selesaikan instalasi Ubuntu, buka terminal (Ctrl+Alt+T), lalu:

sudo apt update
sudo apt upgrade
sudo apt install wireshark      # jawab Yes saat ditanya non-superusers boleh capture
sudo apt install snort

Saat layar Configuring Snort muncul: OK, lalu di kolom antarmuka ganti eth0 menjadi nama antarmuka milikmu (di Ubuntu VM umumnya ens33; cek dengan ip a). Galat Invalid Interface yang muncul dua kali adalah bug installer yang dicatat Lab 13.01: tekan OK terus, instalasi tetap tuntas.

1. Kenali tiga wajah Snort: mode sniffer (Lab 13.02). Mode paling sederhana: tampilkan paket ke konsol, seperti Wireshark di terminal. Dari Kali, jalankan ping ke target di jendela lain agar ada trafik:

sudo snort -v          # header Layer 3 (dan port Layer 4 untuk TCP/UDP)
sudo snort -vd         # tambah data lapisan atas (payload)
sudo snort -vde        # tambah header Layer 2 (MAC)

Stop dengan Ctrl+C dan baca ringkasannya: berapa paket diproses, per protokol apa saja. Catatan lab yang penting: -v itu lambat; untuk kerja IDS jangan pakai verbose, gunakan mode NIDS di langkah 4 (man page Snort, dikutip Lab 13.02).

1. Mode packet logger (Lab 13.03). Alih-alih menampilkan, rekam ke berkas:

sudo snort -l .
ls
sudo wireshark snort.log.<angka>

-l menentukan direktori log (tanpa -l, bawaannya /var/log/snort). Buka hasilnya di Wireshark dan filter icmp: ping yang kamu jalankan tampil sebagai paket terekam. Ini mode jembatan: satu alat, dua peran (mengintai dan mencatat) sebelum benar-benar menjadi IDS.

1. Mode NIDS dan aturan pertamamu (Lab 13.04). Buat konfigurasi minimal /etc/snort/snort2.conf (dengan sudo gedit): setel ipvar HOME_NET ke jaringan labmu (mis. 192.168.56.0/24), tambahkan baris preprocessor bawaan dan include classification.config serta include $RULE_PATH/local.rules persis seperti Lab 13.04. Lalu tulis satu aturan di /etc/snort/rules/local.rules:

alert icmp any any -> $HOME_NET any (msg:"ICMP detected!"; sid:1000052; rev:1; classtype:icmp-event;)

Anatomi aturan Snort: header (aksi, protokol, IP:port sumber, arah ->, IP:port tujuan) menjawab "siapa"; options dalam kurung menjawab "apa": msg (isi alarm), sid (identitas aturan: di bawah 1.000.000 milik Snort bawaan, 1.000.000 ke atas untuk aturan buatanmu), rev (revisi), classtype (kategori). Aksi yang tersedia: alert, log, pass, drop, reject, sdrop: tiga terakhir menandakan mode IPS (Lab 13.04). Jalankan mode NIDS:

sudo snort -T -c /etc/snort/snort2.conf    # uji konfigurasi: harus "successfully validated"
sudo snort -A console -A fast -c /etc/snort/snort2.conf -i ens33

Ping dari Kali ke target: konsol mengalirkan delapan alert (empat echo request plus empat echo reply). Periksa juga /var/log/snort/alert: versi fast satu baris per alert, versi full menambahkan header lengkap (Lab 13.04). Buka log paketnya di Wireshark seperti langkah 3.

1. Pindai target dengan Nmap dari Kali (Lab 16.01). Pastikan ada layanan nyata di target (pasang web server: sudo apt install apache2) lalu dari Kali:

sudo nmap -sS 192.168.56.20    # SYN scan: setengah sambungan, butuh sudo
nmap -sT 192.168.56.20         # connect scan: jabat tangan penuh, tanpa sudo

Baca hasilnya dengan kamus pertemuan 14: port open (22 ssh, 80 http), closed, atau filtered. Kamera sisi target: saat -sT berjalan, jalankan sudo tail -f /var/log/auth.log atau Wireshark di target: connect scan tercatat, karena jabat tangannya tuntas; SYN scan tidak meninggalkan entri sambungan (Lab 16.01: inilah alasan pemindai diam memilihnya).

1. Biarkan IDS menangkapmu (prosedur di luar Lab Manual, konsep tuning dari Bab 13, hlm. 483-484). Tambahkan aturan deteksi pemindaian di local.rules:

alert tcp any any -> $HOME_NET any (msg:"PEMINDAIAN: SYN scan terdeteksi"; flags:S; detection_filter:track by_src, count 20, seconds 10; sid:1000003; rev:1;)

Uji konfigurasi (-T), jalankan Snort lagi, lalu pindai ulang dari Kali: alert 1000003 menyala mengenali pemindaianmu sendiri. detection_filter menaikkan alarm hanya setelah 20 paket SYN dari asal yang sama dalam 10 detik: pemindai memicunya, peramban biasa tidak. Lakukan tuning mini: naikkan count menjadi 50, jalankan pemindaian kecil dan besar, dan amati beda perilakunya.

1. Tutup dengan laporan. Jawab di laporanmu: (a) apa yang Nmap temukan di target (port dan layanannya), (b) aturan mana yang menyala dan mengapa cocok, (c) bila ini jaringan nyata: tiga langkah pertahanan yang kamu sarankan (perbarui layanan versi tua, tutup port yang tidak perlu, tambah ACL dari pertemuan 6).

Hasil yang Diharapkan

• ▸Ubuntu dan Snort terpasang; tiga mode Snort (sniffer, packet logger, NIDS) teruji satu per satu.
• ▸Aturan ICMP buatanmu menyala: delapan alert per ping, terbaca di konsol dan /var/log/snort/alert.
• ▸Nmap melaporkan port target dengan benar; perbedaan jejak SYN scan dan connect scan teramati.
• ▸Aturan deteksi pemindaian memicu alarm saat Nmap berjalan; ambang tuning mengubah perilakunya.
• ▸Laporan tiga pertanyaan selesai; tidak ada pemindaian keluar dari jaringan lab.

Troubleshooting Umum

• ▸Invalid Interface saat instal Snort: bug installer yang dicatat Lab 13.01: tekan OK, pastikan ens33 (atau nama antarmukamu) tertulis, instalasi tetap selesai.
• ▸Snort gagal validasi (`-T`): kesalahan paling umum ada di baris konfigurasi: HOME_NET belum disetel, atau include rules salah jalur; pesan galat menyebut nomor barisnya.
• ▸Tidak ada alert saat ping/pindai: Snort mendengarkan antarmuka yang salah (-i), atau Kali dan target tidak satu jaringan: cek ip a di kedua VM dan mode jaringannya di hypervisor.
• ▸Nmap menampilkan semua port filtered: firewall target (ufw) menyaring: untuk lab, matikan sementara (sudo ufw status, lalu sesuaikan), atau pahami bahwa itulah wajah "filtered" yang sedang dipelajari.
• ▸Alert berhembus dari trafik biasa: naikkan ambang detection_filter atau persempit header aturan; inilah tuning yang dibahas Bab 13.

Checklist Selesai

• ▸[ ] Semua pemindaian dan trafik hanya di dalam jaringan lab milik sendiri.
• ▸[ ] Snort terpasang; mode sniffer, packet logger, dan NIDS teruji.
• ▸[ ] Aturan ICMP lokal (sid >= 1000000) menyala dan tercatat di log.
• ▸[ ] Nmap -sS dan -sT terjalankan; perbedaan jejaknya dipahami.
• ▸[ ] Aturan deteksi pemindaian menyala saat Nmap berjalan; tuning dicoba.
• ▸[ ] Laporan tiga pertanyaan selesai dan artefak lab dirapikan.