Investigasi Forensika Pada Log Web Server untuk Menemukan Bukti Digital Terkait dengan Serangan Menggunakan Metode Hidden Markov Models

Transkripsi

1 Invesigasi Forensia Pada Log Web erver unu Menemuan Bui Digial Terai dengan erangan Menggunaan Meode Hidden Marov Models Triawan Adi Cahyano Magiser Teni Informaia Faulas Tenologi Indusri UII leman, Yogyaara Yudi Prayudi Magiser Teni Informaia Faulas Tenologi Indusri UII leman, Yogyaara Absrac Log merupaan suau file yang berisi daa aau informasi mengenai dafar indaan, ejadian, dan aivias yang elah erjadi di dalam suau sisem. Informasi ersebu aan berguna apabila sisem mengalami egagalan sehingga aan dapa dicari penyebabnya berdasaran log file yang erdapa pada sisem ersebu. Namun, penggalian informasi yang relevan dari daa yang erai dengan serangan pada log file iu menjadi ugas yang suli bagi seorang adminisraor sisem. Dari beberapa daa log file yang ada, belum enu daa log ersebu sesuai dengan daa log yang diinginan dan dicari. uau sisem yang omples memilii beberapa daa log file, namun yang saa ini sering dipaai, salah saunya adalah log file yang erdapa pada web server, arena pada era saa ini, duungan apliasi berbasis web ian maju eapi berbanding erbali dengan faor eamanan yang dimilii apliasi web ersebu. aa ini, erdapa beberapa peranga luna yang digunaan unu melauan analisa log seperi ID (inrusion deecion sysem), dan program berbasis signaure lain, yang dapa digunaan unu menemuan serangan erhadap apliasi berbasis web pada log web server. Dari beberapa peranga luna yang ada, ada beberapa fiur yang mesinya harus diperbaharui erai dengan emampuan peranga luna agar dapa melaca eberadaan pelau berdasaran ip address log yang ersimpan, saisi berdasaran alama IP yang ersimpan pada log, dan visualisasi ampilan log, agar log file yang dianggap sebagai log si penyerang dapa diampilan sehingga memudahan adminisraor sisem dalam mencari log yang erai dengan serangan dari seian banyanya log yang ersimpan pada sisem. Berdasaran ide ersebu, peranga luna yang aan dibua, diharapan dapa meningaan ualias dan informasi isi dari daa log yang diberian, meringas, dan menghasilan oupu yang dapa dibaca dengan mudah oleh adminisraor sisem. Peneliian ini menerapan meode hidden marov models unu mendeesi serangan erhadap apliasi berbasis web emudian hasilnya mampu menganalisa dan melauan perhiungan saisi sera eni pembelajaran yang diperoleh dari daa pada log web server. elanjunya menggunaan daa domain name sysem (DN) blaclis dan informasi GeoIP unu mengidenifiasi idenias penyerang yang poensial. Keywords Invesigasi Forensia, Log Web erver, Hidden Marov Models I. PENDAHULUAN Pada era saa ini, web server dan apliasi berbasis web merupaan arge serangan yang popular bagi alangan pereas. elain emudahan dalam mengases, eersediaan resource onen apliasi melalui jaringan (inerne) membua pereas memilii banya wau unu melauan analisis dan serangan erhadap resource arge serangan. Web server merupaan sebuah apliasi yang erdapa pada server yang melayani perminaan HTTP aau HTTP dari browser dan mengirimannya embali dalam benu halaman-halaman web [1]. Daa seiap pengunjung yang mengiriman perminaan aau eia mengases apliasi berbasis web aan disimpan pada suau file yang dinamaan log dalam hal ini yang erdapa pada web server. Daa pengunjung yang erdapa pada log web server aan sanga bermanfaa apabila naninya erdapa suau permasalahan yang erjadi erhadap web server ersebu, misalnya asus pereasan apliasi web (deface). Dengan memerisa sau per sau seiap caaan yang ersimpan pada log, maa daa-daa seorang pereas aan dieahui. Daa pereas ersebu, dapa dieahui salah sau caranya adalah dengan meliha dari alama IP yang dipaai unu mengases web server. Namun, caaan yang ersimpan dalam log, enunya berisi caaan seluruh pengunjung yang mengases web server ersebu, aan menjadi ida efisien apabila meode pencarian daa iu diperisa sau per sau dari banyanya daa yang ersimpan. Berdasaran permasalahan ersebu, ada beberapa peranga luna yang dapa digunaan unu melauan idenifiasi pelau erai dengan serangan e log web server dianaranya ID (Inrusion Deecion ysem). Apliasi ID yang populer saa ini adalah nor. nor dapa melauan deesi adanya penyusupan erhadap log web server dengan cara menganalisis daa log dan menyesuaian dengan signaure yang dimilii oleh nor ersebu. Dalam melauan idenifiasi, snor hanya dapa melauan analisis log, eapi ida dapa melauan proses-proses pemilihan log yang aan dipaai dan diampilan epada penggunanya, sehingga apabila daa-daa log yang ersimpan ida sesuai forma log Yogyaara, 21 Juni 2014 I-15 IN:

2 sandard aau bahan rusa maa daa ersebu sudah ida laya unu dilauan idenifiasi. Beraian dengan hal ersebu, melalui peneliian ini diharapan mampu unu membua dan mengembangan ools unu melauan analisa erhadap daa log erai serangan yang eruju e apliasi berbasis web. Analisa yang dilauan yani melalui log file yang ersimpan pada web server emudian aan dicari daa log seiap pengunjung yang mengases resource yang erdapa pada web server, sehingga dapa diidenifiasi pengunjung yang melauan aivias browsing secara umum dan pengunjung yang melauan aivias dengan masud unu melauan serangan (anomaly deecion). Banyanya daa log ersebu, aan menyebaban record yang erdapa pada log file menjadi semain banya. Dengan semain banyanya daa log, erdapa record pada log yang ida erai dengan proses serangan, record ersebu disebu dengan false alarm. Unu mengurangi false alarm yang disebaban banyanya daa log, maa aan dilauan filering dan saisi erhadap log menggunaan meode hidden marov models. Hidden marov models merupaan perluasan dari ranai marov dimana sae aau ondisinya ida dapa diamai secara langsung (ersembunyi) eapi hanya dapa diobservasi melalui suau himpunan pengamaan lain [5]. Unu melauan invesigasi forensia erhadap pelau ejahaan (aacer) yang menyerang resource maa ools yang naninya dibua, aan diinegrasian dengan daase geolocaion berdasaran loasi geografis penyerang yang diperoleh dari alama IP (walaupun mungin ida aura) yang ersimpan pada record log [11]. Daa log asli yang ersimpan pada web server aan dilauan proses pelaihan daa, pengujian daa, pembenuan daase emudian dilauan proses idenifiasi erai aivias pengguna yang mengases resource sera idenifiasi halaman dan sruur direori pah yang diases dan proses ahir dari eranga onsep ersebu adalah invesigasi forensia dengan menampilan ampilan mapping berdasaran IP geolocaion dan berdasaran daa DN blaclis [2]. II. METODE PENELITIAN Tahapan yang dilauan dalam peneliian ini adalah a) Mempelajari enang Hidden Marov Models b) Mempelajari penggunaan Hidden Marov Models dalam mendeesi serangan erhadap log web server. c) Mengerjaan conoh masalah yang erdapa pada log web server menggunaan Hidden Marov Models dimulai dari idenifiasi araer url parameer yang erdapa pada log web server, pemilihan daa (raining daa), pengujian daa (daa esing), analisa daa (analysis daa) dan esimpulan (summary). III. HIDDEN MARKOV MODEL Penggunaan Hidden Marov Models (HMM) unu pembuaan jenis apliasi meninga pesa di era saa ini. Beberapa asus yang seringali dijadian permasalahan menggunaan HMM adalah predisi cuaca dan predisi pasar saham [9]. Dari permasalahan ersebu, analisa menggunaan HMM elah erbui menjadi ala yang ampuh [5]. Peneliian ini aan membahas mengenai idenifiasi erai serangan dengan melauan analisa erhadap daa log web server menggunaan HMM, sehingga naninya dapa melindungi apliasi berbasis web dari serangan aau esploiasi erai dengan inpu validaion flaws. Beberapa langah-langah proses hidden marov models pada peneliian ini dianaranya : idenifiasi log web server, fase raining, fase esing, fase analisis, dan doumenasi. A. Idenifiasi Log Web erver Aivias apa saja yang dilauan oleh pengguna sisem aan selalu dicaa oleh sisem e dalam benu file log. Banyanya aivias yang dilauan pengguna sisem aan menyulian proses pencarian daa erenu yang erdapa pada log eruama daa yang erai dengan serangan e log web server. Idenifiasi log web server yani melauan pengecean erhadap inegrias log web server. eorang pereas emunginan aan mencoba unu mengubah daa log agar susah dilaca saa proses invesigasi forensi. Pada web server apache (hpd), sering ali ida memanfaaan meanisme perlindungan erhadap log file dalam mode onfigurasi defaul. Oleh arena iu, proses idenifiasi log dibua unu memerisa log agar dapa mendeesi amper daa. Deesi amper daa erhadap log dibua dengan menerapan algorima Grubbs oulier es [3]. G = X max s n - X... (1) G merupaan masimum delay yang diemuan pada log. merupaan nilai masimum X max X merupaan raa-raa arimaia merupaan sandar deviasi delay wau reques yang s n ersimpan pada log. Tabel I merupaan daase hasil perhiungan imesamp, anara wau eia record log erahir diases (las dae) dengan anggal saa ini (curren dae). TABEL I. DATAET PERHITUNGAN TIMETAMP N Nilai 0,1, 0,075, 0,05, 0,025, 0,01 merupaan nilai riial dari grubss es. Yogyaara, 21 Juni 2014 I-16 IN:

3 Kalulasi = 0,6400-0,6062 / 0,0166 = 2.04 Dari hasil ersebu maa bandingan dengan yang erdapa pada abel dimana nilai N = 7, nilainya 1,94. edangan berdasaran nilai Gcalc > Gcriical maa dapa diaaan bahwa daa ersebu mempunyai imesamp yang beraian sehingga dapa dipasian bahwa ida ada amper daa yang erjadi pada record log yang diidenifiasi. B. Fase Training Fase raining merupaan fase yang dilauan unu membangun dan melaih ensembles HMM pada seiap query URL parameer dari suau apliasi web. Hal ini dilauan unu memproses masuan yang naninya aan dipelajari dari daa raining dan emudian aan dibandingan dengan daa esing. Pada fase raining ini, proses pembelajaran dan beberapa jumlah masuan daa aan diubah. eiap huruf aan diubah dengan araer A dan seiap digi aan diubah dengan araer N, sedangan araer lainnya aan eap disimpan. eiap clien hanya diperbolehan beronribusi seali per apliasi web unu generae daa raining unu menghindari perubahan pada daase. Nilai-nilai yang diambahan e fase raining ini aan diaur jia ode respon HTTP 2xx/3xx eramai, sehingga iu aan menunjuan operasi normal. Training HMM merupaan fase ompuasi yang inensif, pada peneliian ini menggunaan masimal 150 observasi, sedangan observasi minimum yang dibuuhan pada deesi berbasis HMM adalah 40. Proses raining HMM ensembles menggunaan algorima baum-welch, sedangan rumus unu hmm : (A,B,π) adalah sebagai beriu [3]: a = ij b = ij b ( j) T W =1a iaijb ( ( ) ( ) j O T W =1a (i) b (i) W O( )= v j a (i) b (i) T W =1a (i) b (i) (2) Dimana A merupaan mari ransisi, a Î A B adalah mari observasi, b Î B π adalah 1 yang merupaan inisial disribusi awal HMM (dipilih secara aca) W = 1, Î [ 1K] merupaan inverse probabilias dari P periraan model uruan raining. Variabel α, β merupaan hasil dari prosedur forwardbacward. C. Fase Tesing Peneliian ini menggunaan algorima vierbi unu menguji uruan masuan. Algorima vierbi aan menghiung uruan paling mungin dari ondisi yang ersembunyi erhadap uruan probabilias. Dalam asus ini, emunginan erjadinya nilai perminaan URL yang diberian aan dihiung. Jia URL berisi beberapa pasang parameer aau nilai, maa auran minimum aan dierapan. Prosedur yang digunaan unu melauan deesi diunjuan sebagai beriu [6] : Algorima HMM-based Anomaly Deecion 1. for all requess i do 2. if samples per web applicaion j 3. hreshold hen 4. for all URL query parameers do 5. for all ensembles l do 6. p j 7. end for 8. end for p = Vierbi decode(, j hmm ) 9. if min(... jn) hreshold hen j reurn rue 11. end if 12. end if 13. end for Jia uruan masuan berisi simbol yang ida erdapa pada fase raining maa probabilias aan menjadi valid dan menurun secara signifian, sehingga aan menandai requess sebagai suau serangan [3]. D. Fase Analisis Unu melauan analisa serangan erai dengan daadaa log web server, peneliian ini aan menglasifian session web yang mencurigaan yang dilauan oleh manusia dan yang berupa bo oomais (ools) [4]. Dengan menggunaan eni dari fase raining dan esing yang naninya digunaan unu menguur dan mengevaluasi serangan yang erdeesi apaah berhasil aau gagal, emudian edua lasifiasi sesi dan uanifiasi serangan aan membanu unu menyusun doumenasi. Dari file log, daadaa mempunyai dua nilai yang diirim dari web server e clien yaiu nilai ode respon HTTP dan jumlah bye response. Respon aau 'saus' ode ersebu dijelasan pada Tabel II. TABEL II. REPON KODE LOG WEB ERVER aus Keerangan 401,403 Unsuccessful.hacess login 404 Unsuccessful saic cgi-bin scanner 408,503 lowloris denial of service aemp 414 Unsuccessful buffer overflow aemp 500 erver -side error Fase idenifiasi, raining dan esing merupaan uruan yang dibangun agar dapa menghasilan pelaihan yang represenaive sehingga daase ahir unu log web server yang erai dengan serangan dapa dipredisi dan disajian dengan benar. Daa ersebu buan hanya berisi mengenai log uruan proses serangan melainan juga erdapa daa log uruan ases halaman eapi yang erai dengan serangan. Daa log web server yang dipaai menggunaan saniizer log yang diperoleh dari honeyne projec [7]. Gambar 1 merupaan flowchar unu mempredisi pengases onen web menggunaan HMM. Yogyaara, 21 Juni 2014 I-17 IN:

4 E. Doumenasi Doumenasi merupaan laporan erai dengan pencarian daa-daa yang erdapa pada log web server. Laporan-laporan yang erdapa pada peneliian ini dapa digenerae dalam benu hml, json, xml, dan csv. Beriu ini merupaan conoh analisa log web server: Gambar 2 Analisa log web server edangan hasil oupu repor-nya adalah sebagai beriu: Gambar 1 Flowchar HMM Peneliian ini meneapan variabel aca unu eadaan ransisi probabilias disribusi A dan pengamaan probabilias emisi simbol disribusi B menggunaan algorima Baum Welch. Algorima Baum Welch dipaai unu melaih dan mendapaan model yang opimum dari parameer A dan B. Kemudian unu memulihan ondisi ersembunyi dari daase yang sudah dienuan variabel aca nya, digunaan algorima Vierbi. Hasil percobaan yang erdapa pada peneliian ini erdapa pada able 3. Tabel 3 menjelasan hasil dari model saisi berdasaran fase raining dan esing sehingga hasilnya dapa mempredisi dari model yang aan dipaai menggunaan HMM. Dengan model HMM, dapa dicari proses yang paling mungin unu mendeai perilau pengguna. Hasil daa pengujian dari log web server yaiu jumlah daa serangan yaiu 53% aau disebu dengan rue posiive sedangan jumlah daa yang diperiraan erai dengan proses serangan yaiu 82% aau disebu false posiive. Gambar 3 Repor file access.log Deail laporan hasil analisa dari file access.log adalah sebagai beriu : Tabel 3 aisi Model dengan HMM Daa e 1 Training daa 6420 Iniial A = [ ; ] Iniial B = [1/643,, 1/643] Daa e 2 Tesing daa 2034 Convergence A = ; Convergence B = ~ TP = 75 FP = 50 TN = 25 Precision = 53% Recall = 82% Gambar 4 Deail Laporan erangan file access.log Yogyaara, 21 Juni 2014 I-18 IN:

5 Prosedur pelacaan dan pemeaan unu mengidenifiasi pengguna inerne berdasaran loasi geografis diperoleh berdasaran alama IP. Alama IP (alama yang dialoasian seiap hari oleh penyedia ases inerne) merupaan suau proses yang dapa dihandalan unu melaca posisi geografis. Beriu ini merupaan salah sau daa ip geolocaion berdasaran daa yang erdapa pada log web server. Gambar 5 IP Geolocaion berdasaran record log IV. KEIMPULAN Berdasaran uraian yang elah diulisan, dapa diambil beberapa esimpulan, yaiu: 1. Meode Hidden Marov Models merupaan solusi yang efeif dalam mengolah daa log erai dengan serangan, dimana proses pemecahan masalahnya dilauan dengan iga ahap dasar yaiu evaluasi permasalahan dengan algorima forward-bacward, membaca permasalahan dengan algorima vierbi, dan mempelajari permasalahan dengan algorima baum-welch. 2. Model HMM dapa mengenali proses aau perilau pengguna yang mengases resource web erenu melalui observasi yang dilauan dari ahap pelaihan, pengujian dan perhiungan saisi yang menghasilan nilai precision = 53% dan recall = 80% yang berari bahwa jumlah daa serangan yang erdapa pada log lebih sedii dibandingan jumlah daa yang dianggap sebagai serangan. 3. Domain Name ysem (DN) blaclis dan IP Geolocaion merupaan fiur yang digunaan unu melauan monioring secara visual erhadap alama IP yang diperoleh eia proses idenifiasi menggunaan Hidden Marov Models. 4. Invesigasi forensia dapa dilauan dengan menguji easlian daa log web server menggunaan algorima grubbs oulier es unu memasian bahwa daa log ersebu ida mengalami modifiasi dengan meliha imesamp log saa ersimpan di web server dengan meliha imesamp log erahir diases. DAFTAR PUTAKA [1] Almgren, Debar, Dacier.2001.A Lighweigh Tool For Deecing Web erver Aacs. Ruschlion. wizerland. [2] C.Wolf, J. Müller, M. Wolf, and D.P.D.J. chwen.2012.webforensi forensische Analyse Von Apache hpd log files. [3] Corona, 2009.HMM-Web: A Framewor for The Deecion of Aacs Agains Web Applicaions. hp://pralab.diee.unica.i/sies/defaul/files/corona_icc 2009.pdf [4] D. Doran and.. Gohale.2011.Web robo deecion echniques: overview and limiaions. Daa Mining and Knowledge Discovery, 22(1): [5] Firdaniza, 2006.Hidden Marov Models. hp://eprins.uny.ac.id/7203/1/m-1 - Firdaniza, Nurul G, Amal.pdf [6] G.D. Forney Jr.1973.The Vierbi Algorihm.Proceedings of he IEEE, 61(3): [7] Honeyne Projec. hp:// ies [8] Kruegel, Vigna, Roberson A Muli-model Approach To The Deecion of Web-based Aac. Elsevier. [9] Munir, Rinaldi Teori Dasar Hidden Marov Models. hp://informaia.sei.ib.ac.id/~rinaldi.munir/probsa/ /Maalah2010/MaalahProbsa pdf [10] alama and Marie.2011.Web erver Logs Preprocessing for Web Inrusions Deecion. CI vol 4 no 4: Canada. [11] ans Whiepapers. hps:// Yogyaara, 21 Juni 2014 I-19 IN: