Network Reconnaissance dan IDS/IPS: pemindaian port, deteksi intrusi berbasis signature

Tujuan pembelajaran

Sesuai RPS TL455 pertemuan 14, setelah mempelajari materi ini kamu mampu menjelaskan teknik reconnaissance dan prinsip deteksi intrusi berbasis signature. Jangkar teori modul ini: Bab 13 (Intrusion Detection Systems and Network Security) dan Bab 16 bagian Network Reconnaissance and Discovery Tools buku *Principles of Computer Security: CompTIA Security+ and Beyond* (2021); keduanya langsung dipraktikkan di pertemuan 15 dengan Nmap dan Snort.

Pendahuluan: alarm itu perlu karena dinding saja tidak cukup

Bab 13 membuka dengan pengakuan jujur tentang firewall: ACL (pertemuan 5) menyaring lalu lintas masuk, tetapi dua masalah tetap ada. Pertama, paket berbahaya tetap lolos: firewall hanya satu lapis dari arsitektur defense in depth. Kedua, trafik berbahaya dari dalam jaringan tidak pernah diperiksa firewall perimeternya, karena sudah berada di dalam (pengantar Bab 13 Lab Manual). Di sinilah IDS (intrusion detection system, sistem deteksi penyusupan) bekerja: ia mengamati aktivitas dan mencoba mengenali yang tidak diinginkan, seperti alarm perumah: tidak menghentikan pencuri, tetapi membuatmu tahu bahwa ada (Bab 13, hlm. 475).

Konsep inti 1: reconnaissance, seni mengintai sebelum menyerang

Reconnaissance (pengintaian) adalah tahap mengumpulkan informasi target sebelum aksi apa pun; Bab 1 menempatkannya di awal kill chain. Dari sudut pandang target, pengintaian dibagi dua:

• ▸Pasif: mengumpulkan informasi tanpa berinteraksi dengan target: membaca situs dan dokumen yang bocor ke mesin pencari, catatan pendaftaran domain (WHOIS), DNS publik. Target tidak tahu ia diintai.
• ▸Aktif: berinteraksi langsung dengan target: ping, traceroute, pemindaian port, enumerasi layanan. Tidak berbahaya seperti eksploitasi, tetapi log target mencatatnya.

Bab 16 (hlm. 615-620) menginventarisasi alat pengintaian yang hidup di setiap sistem:

• ▸tracert/traceroute: melacak rute paket host demi host. tracert (Windows) memakai ICMP; jika ICMP diblok, hasilnya kosong. Linux/macOS: traceroute.
• ▸nslookup/dig: bertanya ke DNS. dig (Linux) dirancang keluaran yang mudah dipakai di skrip; kamu sudah memakainya di pertemuan 11.
• ▸ipconfig/ifconfig/ip: memeriksa dan mengatur antarmuka jaringan; langkah pertama saat ada yang tidak bisa dihubungi.
• ▸ping/pathping: menguji keterjangkauan; pathping menambahkan statistik kehilangan paket per hop.
• ▸netstat: koneksi dan port yang mendengarkan di mesin sendiri (netstat -a semuanya; -at TCP; -an UDP): "pemindaian ke dalam" yang sah.
• ▸arp: membaca cache ARP untuk melihat siapa saja yang satu LAN bersamamu.
• ▸Nmap: standar de facto pemetaan jaringan sejak 1999, karya Gordon Lyon (Bab 16, hlm. 618): penemuan host, pemindaian port, sidik jari OS, deteksi layanan dan versi, antarmuka grafis Zenmap, dan NSE (Nmap Scripting Engine) berbasis Lua untuk mengotomatiskan pengujian.

Konsep inti 2: pemindaian port, inti reconnaissance aktif

Cara trafik masuk ke layanan adalah port: nomor 16-bit di header TCP atau UDP, seperti kotak surat bernomor di satu gedung yang sama alamatnya (analogi Lab 16.01). Port well-known 0-1023 untuk layanan utama (FTP 21, HTTP 80, HTTPS 443, SSH 22), port registered 1024-49151 untuk organisasi tertentu lewat IANA, port dynamic 49152-65535 untuk klien sesuai kebutuhan.

Pemindaian port mengirim paket untuk mengetahui keadaan port. Tiga keadaan yang dikenali (Bab 13, hlm. 504; Lab 16.01):

• ▸open: ada layanan mendengarkan; server menjawab.
• ▸closed: tidak ada layanan; host membalas RST (reset), "maaf, kami tutup".
• ▸filtered: jawaban tidak datang (atau hanya "ICMP unreachable"): firewall menyaring. Firewall tidak membuka atau menutup port; ia menyaring.

Teknik pemindaian menentukan apa yang dikirim dan dibalas (Lab 16.01):

• ▸TCP SYN scan (-sS, bawaan saat pakai sudo): mengirim SYN, dan saat port terbuka membalas SYN-ACK, pengurai langsung membalas RST alih-alih menyelesaikan jabat tangan: sambungan tak pernah terbentuk, sehingga jarang tercatat di log aplikasi target. Butuh hak admin karena Nmap merakit paket mentah.
• ▸TCP connect scan (-sT): jabat tangan tiga arah tuntas pakai socket sistem operasi; tanpa admin, tetapi jelas tercatat di log target: seperti pencuri yang berteriak sambil membuka pintu.
• ▸Null, FIN, Xmas scan (-sN, -sF, -sX): memanfaatkan perilaku RFC 793: port tertutup membalas RST, port terbuka diam; berguna menyelinap melewati sebagian firewall lama.
• ▸ACK scan (-sA): memetakan aturan firewall (jawaban RST berarti unfiltered, diam berarti filtered).
• ▸UDP scan (-sU): lambat dan sulit (port UDP terbuka sering diam saja), tetapi wajib: DNS, DHCP, dan SNMP hidup di UDP.

Status hukumnya tidak abu-abu. Lab 16.01 (hlm. 549-550) mengutip tiga kasus nyata (1999, 2003, 2004): siapa pun yang memindai jaringan orang lain menanggung dakwaan, biaya forensik, atau biaya hukum bertahun-tahun, meski putusannya beragam. Kesimpulan lab manual: jangan pernah memindai mesin yang tidak di bawah kendalimu atau tanpa izin tertulis. Di Indonesia, akses tanpa hak ke sistem elektronik diatur UU ITE; pemindaian tanpa izin bukan hal yang bisa dibayar dengan "hanya mengecek".

Konsep inti 3: IDS, komponen dan model deteksinya

IDS terbagi dua menurut titik pandang (Bab 13, hlm. 475): HIDS (host-based IDS) mengamati satu sistem (log, audit, trafik host itu) tanpa melihat sekitarnya; NIDS (network-based IDS) mengamati lalu lintas jaringan yang dilintasinya tanpa tahu apa yang terjadi di tiap host. Empat komponen logisnya (hlm. 475-476):

1. Traffic collector (sensor): mengumpulkan aktivitas; di NIDS ia bekerja seperti sniffer, menyalin semua paket yang melintas (NIC dalam mode promiscuous).
2. Analysis engine: "otaknya": membandingkan yang terkumpul dengan pola di signature database.
3. Signature database: kumpulan definisi aktivitas mencurigakan yang diketahui; ibarat definisi virus di antivirus (Tech Tip, hlm. 475).
4. User interface dan reporting: alarm, laporan, dan tempat administrator mengambil keputusan.

Alurnya pada skenario di buku (hlm. 476): penyusup memindai seluruh IP organisasi mencari web server: sensor menyalin paketnya, engine mengenali banyak probe dari satu IP luar dalam waktu singkat, mencocokkan dengan signature TCP port scan, dan mengirim alarm ke administrator.

Model deteksinya (hlm. 476-477): model anomaly membangun baseline perilaku "normal" lalu menandai penyimpangan; kekuatannya menemukan serangan yang belum pernah terlihat, kelemahannya false positive tinggi terutama selama masa belajar. Model misuse/signature mencocokkan pola yang diketahui: presisi dan murah, tetapi buta terhadap serangan baru. Varian lain di hlm. 477: behavior-based, signature-based, anomaly-based, dan heuristic (pakai kecerdasan buatan untuk menilai kemungkinan penyusupan). Satu pembeda lagi yang sering keluar di ujian (Tech Tip, hlm. 480): content-based signature mencocokkan isi spesifik (string /etc/passwd dalam sebuah sesi), sedangkan context-based signature menilai pola aktivitas di sekitarnya (port scan).

Apa saja yang NIDS cari (hlm. 480): serangan denial-of-service, port scan atau sweep, muatan berbahaya di payload, vulnerability scanning, trojan/virus/worm, tunneling, dan brute force. Perhatikan: pemindaian port yang kamu pelajari di atas adalah persis salah satu hal yang IDS wajib menangkap.

Konsep inti 4: NIDS vs HIDS, dan IPS

Bab 13 menimbang keduanya secara jujur (hlm. 483-492):

• ▸NIDS kuat: beberapa sensor terpasang baik menutupi seluruh organisasi; biaya penyebaran dan pemeliharaan lebih rendah; melihat gambar besar dan bisa mengorelasikan serangan lintas sistem (hlm. 483-484). NIDS lemah: gagal membaca trafik terenkripsi (SSH, HTTPS) tanpa dekripsi; tidak melihat trafik yang tidak melewati sensor; harus sanggup mengimbangi kecepatan jaringan; dan tidak tahu apa yang terjadi di dalam host (hlm. 484-485).
• ▸NIDS pasif hanya melihat dan melapor; NIDS aktif paling umum mengirim TCP reset untuk memutus sesi mencurigakan, dengan kelemahannya: penyerang tinggal mencoba lagi (hlm. 485).
• ▸HIDS kuat: signature spesifik per sistem operasi dan aplikasi; false positive lebih rendah karena tahu keadaan host (level patch, keberadaan berkas); bisa memeriksa trafik setelah didekripsi di ujungnya (hlm. 488-489). HIDS lemah: harus terpasang di setiap host yang diamati; mahal pemeliharaannya; memakan CPU dan memori host; pandangannya sempit; dan bila hanya mencatat lokal, lognya bisa direbut atau dimatikan penyerang (hlm. 489-492).

Kelanjutan alaminya: IPS (intrusion prevention system) (hlm. 490-491). Bedanya dengan IDS satu kalimat: IDS cukup melihat dan mengklasifikasi; IPS harus mampu melakukan sesuatu: memblokir, menolak, atau mengalihkan trafik secara real time. Karena itu IPS duduk inline di aliran trafik: membuang paket, mengirim reset, mengkarantina IP, dan melakukan rate-based monitoring untuk melawan DoS.

Celah bersama yang diingatkan Bab 13: keduanya lemah terhadap trafik terenkripsi, dan IDS yang tidak di-tuning menghasilkan alarm palsu sampai tak lagi dipercaya.

Konteks Indonesia

Firewall kampus, antivirus terpusat di lab komputer, dan pemantauan jaringan kantor adalah IDS/IPS yang bekerja tanpa menyebut namanya. Pola penempatannya sama dengan teori di atas: sensor di gerbang dan di depan aset penting, HIDS di host kritis. Insiden yang paling sering ditangkap persis materi lab pertemuan 15: port scan dari luar dan login gagal beruntun dari dalam.

Rangkuman

• ▸Reconnaissance adalah pengintaian sebelum serangan: pasif (tanpa menyentuh target) dan aktif (berinteraksi; tercatat log).
• ▸Alat pengintaian bawaan sistem: tracert/traceroute, nslookup/dig, ipconfig/ifconfig/ip, ping/pathping, netstat, arp; Nmap memetakan host, port, layanan, versi, dan OS.
• ▸Port: well-known 0-1023, registered 1024-49151, dynamic 49152-65535; keadaan port: open, closed (RST), filtered (firewall menyaring).
• ▸Teknik scan: SYN scan (setengah sambungan, sunyi, butuh admin), connect scan (tuntas, tercatat), Null/FIN/Xmas (perilaku RFC 793), ACK (memetakan firewall), UDP (DNS/DHCP/SNMP).
• ▸IDS = alarm: HIDS per host, NIDS per jaringan; komponen: sensor, analysis engine, signature database, UI/reporting.
• ▸Model deteksi: signature/misuse (presisi, buta pada yang baru) vs anomaly (menemukan yang baru, false positive tinggi); content-based vs context-based.
• ▸NIDS hemat dan berkorelasi lintas sistem namun buta pada trafik terenkripsi dan yang tidak melintasinya; HIDS membaca trafik terdekripsi di ujung host namun mahal pemeliharaannya.
• ▸IPS inline dan bertindak: drop, reset, throttle; rate-based monitoring lawan DoS.
• ▸Memindai milik orang lain tanpa izin tertulis berisiko hukum nyata (kasus 1999, 2003, 2004 yang dikutip Lab 16.01); Indonesia mengaturnya di UU ITE.

Glosarium mini

• ▸Reconnaissance: tahap pengintaian mengumpulkan informasi target sebelum serangan; bisa pasif (tanpa interaksi) atau aktif (berinteraksi).
• ▸Port: nomor 16-bit di header TCP/UDP yang menunjuk layanan penerima; keadaannya open, closed, atau filtered.
• ▸SYN scan: pemindaian yang mengirim SYN tanpa menyelesaikan jabat tangan; cepat dan jarang tercatat, butuh hak admin.
• ▸IDS: intrusion detection system, alarm yang mengenali aktivitas mencurigakan; HIDS per host, NIDS per jaringan.
• ▸Signature: pola aktivitas berbahaya yang diketahui; inti model deteksi misuse.
• ▸Anomaly detection: model deteksi dari baseline perilaku normal lalu menandai penyimpangan.
• ▸Content-based vs context-based: signature yang mencocokkan isi paket spesifik vs pola aktivitas di sekitarnya.
• ▸IPS: intrusion prevention system, IDS yang duduk inline dan mampu memblokir, menolak, atau menyetel trafik secara real time.