INVESTIGASI FORENSIKA PADA LOG WEB SERVER UNTUK MENEMUKAN BUKTI DIGITAL TERKAIT DENGAN SERANGAN MENGGUNAKAN METODE HIDDEN MARKOV MODELS

Transkripsi

1 INVESTIGASI FORENSIKA PADA LOG WEB SERVER UNTUK MENEMUKAN BUKTI DIGITAL TERKAIT DENGAN SERANGAN MENGGUNAKAN METODE HIDDEN MARKOV MODELS Triawan Adi Cahyano 1 Magiser Teni Informaia Faulas Tenologi Indusri UII Sleman, Yogyaara masriawan@gmail.com Yudi Prayudi 2 Magiser Teni Informaia Faulas Tenologi Indusri UII Sleman, Yogyaara prayudi@uii.ac.id Absrac Log merupaan suau file yang berisi daa aau informasi mengenai dafar indaan, ejadian, dan aivias yang elah erjadi di dalam suau sisem. Informasi ersebu aan berguna apabila sisem mengalami egagalan sehingga aan dapa dicari penyebabnya berdasaran log file yang erdapa pada sisem ersebu. Namun, penggalian informasi yang relevan dari daa-daa yang erdapa pada log file iu menjadi ugas yang suli bagi seorang adminisraor sisem. Dari beberapa daa log file yang ada, belum enu daa log ersebu sesuai dengan daa log yang diinginan dan dicari. Suau sisem yang omples memilii beberapa daa log file, namun yang saa ini sering dipaai, salah saunya adalah log file yang erdapa pada web server, arena pada era saa ini, duungan apliasi berbasis web ian maju eapi berbanding erbali dengan faor eamanan yang dimilii apliasi web ersebu. Saa ini, sudah erdapa beberapa peranga luna yang digunaan unu melauan analisa log seperi IDS (inrusion deecion sysem), dan program berbasis signaure lain, dapa membanu dalam menemuan serangan erhadap apliasi berbasis web pada log web server. Dari beberapa peranga luna yang ada, ada beberapa fiur yang mesinya harus diperbaharui erai dengan emampuan peranga luna agar dapa melaca eberadaan pelau berdasaran ip address log yang ersimpan, saisi berdasaran alama ip address yang ersimpan pada log, dan visualisasi ampilan log, agar log file yang dianggap sebagai log si penyerang dapa diampilan sehingga memudahan adminisraor sisem dalam mencari log yang erai dari seian banyanya log yang ersimpan pada sisem. Berdasaran ide ersebu, peranga luna yang aan dibua, diharapan dapa meningaan ualias dan informasi isi dari daa log yang diberian, meringas, dan menghasilan oupu yang dapa dibaca manusia. Peneliian ini menerapan meode hidden marov models unu mendeesi serangan erhadap apliasi berbasis web emudian hasilnya mampu menganalisa dan melauan perhiungan saisi sera eni pembelajaran yang diperoleh dari daa pada log web server. Selanjunya menggunaan daa DNS (domain name sysem) Blaclis dan informasi GeoIP unu mengidenifiasi idenias penyerang yang poensial. Keywords Invesigasi Forensia, Log Web Server, Hidden Marov Models I. PENDAHULUAN Pada era saa ini, web server dan apliasi berbasis web merupaan arge serangan yang populer bagi alangan pereas. Selain emudahan dalam mengases, eersediaan resource onen apliasi melalui jaringan (inerne) membua pereas memilii banya wau unu melauan analisis dan serangan erhadap resource arge serangan. Web server merupaan sebuah apliasi yang erdapa pada server yang melayani perminaan HTTP aau HTTPS dari browser dan mengirimannya embali dalam benu halamanhalaman web [1]. Daa-daa seiap pengunjung yang mengiriman perminaan aau eia mengases apliasi berbasis web aan disimpan pada suau file yang dinamaan log dalam hal ini yang erdapa pada web server. Daa pengunjung yang erdapa pada log web server aan sanga bermanfaa apabila naninya erdapa suau permasalahan yang erjadi erhadap web server ersebu, misalnya asus pereasan apliasi web (deface). Dengan memerisa sau per sau seiap caaan yang ersimpan pada log, maa daa-daa seorang pereas aan dieahui. Daa pereas ersebu, dapa dieahui salah sau caranya adalah dengan meliha dari IP Address yang dipaai unu mengases web server. Namun, caaan yang ersimpan dalam log, enunya berisi caaan seluruh pengunjung yang mengases web server ersebu, aan menjadi ida efisien apabila mencari daa-daa iu diperisa sau per sau dari banyanya daa yang ersimpan. Berdasaran permasalahan ersebu, ada beberapa peranga luna yang dapa digunaan unu melauan idenifiasi idenias pelau erai dengan serangan e log web server dianaranya IDS (Inrusion Deecion Sysem). Apliasi IDS yang populer saa ini adalah Snor. Snor dapa melauan deesi adanya penyusupan erhadap log web server dengan cara menganalisis daa log dan menyesuaian dengan signaure yang dimilii oleh Snor ersebu. Dalam melauan idenifiasi, snor hanya dapa melauan analisis log, eapi ida dapa melauan proses-proses pemilihan log yang aan dipaai dan diampilan epada penggunanya, sehingga apabila daa-daa log yang ersimpan ida sesuai forma log sandard aau bahan rusa maa daa ersebu sudah ida laya unu dilauan idenifiasi. Beraian dengan hal ersebu, melalui peneliian ini diharapan mampu unu membua dan mengembangan ools unu melauan analisa erhadap daa-daa log erai serangan yang eruju e apliasi berbasis web. Analisa yang dilauan yani melalui file log yang ersimpan pada web server

2 emudian aan dicari daa log seiap pengunjung yang mengases resource yang erdapa pada web server, sehingga dapa diidenifiasi pengunjung yang melauan aivias browsing secara umum dan pengunjung yang melauan aivias dengan masud unu melauan serangan (anomaly deecion). Banyanya daa log eruama caaan aivias pengguna bai yang melauan browsing maupun pengguna dengan ujuan lain, aan menyebaban record yang erdapa pada file log menjadi semain banya. Dengan semain banyanya daa log, erdapa record pada log yang ida erai dengan proses serangan, record ersebu disebu dengan false alarm. Unu mengurangi false alarm yang disebaban banyanya daa log, maa aan dilauan filering dan saisi erhadap log menggunaan meode hidden marov models. Hidden marov models merupaan perluasan dari ranai marov dimana sae aau ondisinya ida dapa diamai secara langsung (ersembunyi) eapi hanya dapa diobservasi melalui suau himpunan pengamaan lain [5]. Unu melauan invesigasi forensia erhadap pelau ejahaan (aacer) yang menyerang resource maa ools yang naninya dibua, aan diinegrasian dengan daase geolocaion berdasaran loasi geografis penyerang yang diperoleh dari alama IP (walaupun mungin ida aura) yang ersimpan pada record log. Daa-daa log asli yang ersimpan pada web server aan dilauan proses daa raining, daa esing, pembenuan daase emudian dilauan proses idenifiasi erai aivias pengguna yang mengases resource sera idenifiasi halaman dan sruur direori pah yang diases dan proses ahir dari eranga onsep ersebu adalah invesigasi forensia dengan menampilan ampilan mapping berdasaran IP geolocaion dan berdasaran daa-daa DNS blaclis. II. METODE PENELITIAN Tahapan yang dilauan dalam peneliian ini adalah a) Mempelajari enang Hidden Marov Models b) Mempelajari penggunaan Hidden Marov Models dalam mendeesi serangan erhadap log web server. c) Mengerjaan conoh masalah yang erdapa pada log web server menggunaan hidden marov models dimulai dari idenifiasi araer url parameer yang erdapa pada log web server, raining, esing, analysis, dan summary. III. HIDDEN MARKOV MODELS Penggunaan HMM unu pembuaan jenis apliasi meninga pesa di era saa ini. Beberapa asus yang seringali dijadian permasalahan menggunaan hidden marov models adalah predisi cuaca dan predisi pasar saham. Dari permasalahan ersebu, analisa menggunaan HMM elah erbui menjadi ala yang ampuh [5]. Peneliian ini aan membahas mengenai idenifiasi erai serangan dengan melauan analisa erhadap daa-daa log web server menggunaan HMM, sehingga naninya dapa melindungi apliasi berbasis web dari serangan aau esploiasi erai dengan inpu validaion flaws. Beberapa langah-langah proses hidden marov models pada peneliian ini dianaranya : idenifiasi log web server, fase raining, fase esing, fase analisis, dan doumenasi. 1. IDENTIFIKASI LOG WEB SERVER Log web server merupaan sebuah file yang berisi dafar indaan, ejadian dan aivias yang elah erjadi pada web server [8]. Aivias apa saja yang dilauan oleh pengguna sisem aan selalu dicaa oleh sisem e dalam benu file log. Banyanya aivias yang dilauan pengguna sisem aan menyulian proses pencarian daa-daa erenu yang erdapa pada log eruama daa yang erai dengan serangan e log web server. Idenifiasi log web server yani melauan pengecean erhadap inegrias log web server. Seorang aacer emunginan aan mencoba unu mengubah daa-daa log agar susah dilaca saa proses invesigasi forensi. Pada web server apache (hpd), sering ali ida memanfaaan meanisme perlindungan erhadap log file dalam mode onfigurasi defaul. Oleh arena iu, proses idenifiasi log dibua unu memerisa log agar dapa mendeesi amper daa. Deesi amper daa erhadap log dibua dengan menerapan algorima Grubbs oulier es [3]. G G = max σ n merupaan masimum delay yang diemuan pada log. merupaan nilai masimum max σ n merupaan raa-raa arimaia merupaan sandar deviasi delay wau reques yang ersimpan pada log. Beriu ini merupaan daase hasil perhiungan imesamp, anara wau eia record log erahir diases (las dae) dengan anggal saa ini (curren dae). Table 1 Daase Perhiungan Timesamp N

3 Nilai 0,1, 0,075, 0,05, 0,025, 0,01 merupaan nilai criical dari grubss es. Kalulasi = 0,6400-0,6062 / 0,0166 = 2.04 Dari hasil ersebu maa bandingan dengan yang erdapa pada abel dimana nilai N = 7, nilainya 1,94. Sedangan nilai Gcalc > Gcriical maa dapa diaaan bahwa daa ersebu mempunyai imesamp yang beraian sehingga dapa dipasian bahwa ida ada amper daa yang erjadi pada record log yang diidenifiasi. 2. FASE TRAINING Fase raining merupaan fase yang dilauan unu membangun dan melaih ensembles HMM pada seiap query URL parameer dari suau apliasi web. Hal ini dilauan unu memproses masuan yang naninya aan dipelajari dari daa raining dan emudian aan dibandingan dengan daa esing. Pada fase raining ini, proses pembelajaran dan beberapa jumlah masuan daa aan diubah. Seiap huruf aan diubah dengan araer A dan seiap digi aan diubahdengan araer N, sedangan araer lainnya aan eap disimpan. Seiap clien hanya diperbolehan beronribusi seali per apliasi web unu generae daa raining unu menghindari perubahan pada daase. Nilai-nilai yang diambahan e fase raining ini aan diaur jia ode respon HTTP 2xx/3xx eramai, sehingga iu aan menunjuan operasi normal. Training HMM merupaan fase ompuasi yang inensif, pada peneliian ini menggunaan masimal 150 observasi, sedangan observasi minimum yang dibuuhan pada deesi berbasis HMM adalah 40. Proses raining hmm ensembles menggunaan algorima baum-welch, sedangan rumus unu hmm! : (A,B,π) adalah sebagai beriu [3]: a = ij b = ij β ( j) T W =1α iaijb ( () () j O+1 +1 T W =1a (i) β (i) W O()= v j T W =1 α (i) β (i) α (i) β (i) Dimana A merupaan mari ransisi, a A B adalah mari observasi, b B π adalah 1 yang merupaan inisial disribusi awal HMM (dipilih secara aca) W = 1 P, [ 1K] merupaan inverse probabilias dari periraan model uruan raining. Variabel α, β merupaan hasil dari prosedur forwardbacward. 3. FASE TESTING Peneliian ini menggunaan algorima vierbi unu menguji uruan masuan. Algorima vierbi aan menghiung uruan paling mungin dari ondisi yang ersembunyi erhadap uruan probabilias. Dalam asus ini, emunginan erjadinya nilai perminaan URL yang diberian aan dihiung. Jia URL berisi beberapa pasang parameer aau nilai, maa auran minimum aan dierapan. Prosedur yang digunaan unu melauan deesi diunjuan sebagai beriu [6] : Algorima HMM-based Anomaly Deecion 1. for all requess i do 2. if samples per web applicaion j 3. hreshold hen 4. for all URL query parameers do 5. for all ensembles l do 6. p j 7. end for 8. end for 9. if min( p j reurn rue 11. end if 12. end if 13. end for = Vierbi decode(, j hmm )... jn) hreshold hen Jia uruan masuan berisi simbol yang ida erdapa pada fase raining maa probabilias aan menjadi valid dan menurun secara signifian, sehingga aan menandai requess sebagai suau serangan [3]. 4. FASE ANALISIS Unu melauan analisa serangan erai dengan daa-daa log web server, peneliian ini aan menglasifian session web yang mencurigaan yang dilauan oleh manusi dan yang berupa bo oomais (ools) [4]. Dengan menggunaan eni dari fase raining dan esing yang naninya digunaan unu menguur dan mengevaluasi serangan yang erdeesi apaah berhasil aau gagal, emudian edua lasifiasi sesi dan uanifiasi serangan aan membanu unu menyusun doumenasi. Dari file log, daa-daa mempunyai dua nilai yang diirim dari web server e clien yaiu nilai ode respon HTTP dan jumlah bye response. Respon aau 'saus' ode ersebu dijelasan pada abel beriu: Saus Table 2 Respon Kode Log Web Server Keerangan 401,403 Unsuccessful.hacess login 404 Unsuccessful saic cgi-bin scanner 408,503 Slowloris denial of service aemp 414 Unsuccessful buffer overflow aemp 500 Server -side error Fase idenifiasi, raining dan esing merupaan uruan yang dibangun agar dapa menghasilan pelaihan yang represenaive sehingga daase ahir unu log web server yang erai dengan serangan dapa dipredisi dan disajian dengan benar. Daa-daa

4 ersebu buan hanya berisi mengenai log uruan proses serangan melainan juga erdapa daa-daa log uruan ases halaman eapi dengan nia unu menyerang. Daa log web server yang dipaai menggunaan saniizer log yang diperoleh dari honeyne projec. Beriu ini merupaan gambaran flowchar unu mempredisi pengases onen web menggunaan HMM : Table 4 Saisi Model dengan HMM Daa Se 1 Daa Se 2 Training daa 6420 Tesing daa 2034 Iniial A = [ ; ] Convergence A = ; Iniial B = [1/643,, 1/643] Convergence B = ~ TP = 75 FP = 50 TN = 25 Precision = 53% Recall = 82% 5. DOKUMENTASI Doumenasi merupaan laporan erai dengan pencarian daa-daa yang erdapa pada log web server. Laporan-laporan yang erdapa pada peneliian ini dapa di-generae dalam benu hml, json, xml, dan csv. Beriu ini merupaan conoh analisa log web server : Figure 2 Analisa log web server Sedangan hasil oupu repor-nya adalah sebagai beriu : Figure 1 Flowchar HMM Peneliian ini meneapan variabel aca unu eadaan ransisi probabilias disribusi A dan pengamaan probabilias emisi simbol disribusi B menggunaan algorima Baum Welch. Algorima Baum Welch dipaai unu melaih dan mendapaan model yang opimum dari parameer A dan B. Kemudian unu memulihan ondisi ersembunyi dari daase yang sudah dienuan variabel aca nya, digunaan algorima Vierbi. Hasil percobaan yang erdapa pada peneliian ini erdapa pada able 3. Tabel 3 menjelasan hasil dari model saisi berdasaran fase raining dan esing sehingga hasilnya dapa mempredisi dari model yang aan dipaai menggunaan HMM. Dengan model HMM, dapa dicari proses yang paling mungin unu mendeai perilau pengguna. Hasil daa pengujian dari log web server yaiu jumlah daa serangan yaiu 53% aau disebu dengan rue posiive sedangan jumlah daa yang diperiraan erai dengan proses serangan yaiu 82% aau disebu false posiive. Figure 3 Repor file access.log Deail laporan hasil analisa dari file access.log adalah sebagai beriu :

5 parameer model sehingga dapa menjelasan uruan daa yang diberian dalam hal ini uruan proses serangan erhadap log web server. V. DAFTAR PUSTAKA [1] Almgren, Debar, Dacier.2001.A Lighweigh Tool For Deecing Web Server Aacs. Ruschlion. Swizerland. Figure 4 Deail Laporan Serangan file access.log Prosedur pelacaan dan pemeaan unu mengidenifiasi pengguna inerne berdasaran loasi geografis diperoleh berdasaran alama IP. Alama IP (alama yang dialoasian seiap hari oleh penyedia ases inerne) merupaan suau proses yang dapa dihandalan unu melaca posisi geografis. Beriu ini merupaan salah sau daa ip geolocaion berdasaran daa yang erdapa pada log web server. [2] C.Wolf, J. Müller, M. Wolf, and D.P.D.J. Schwen.2012.Webforensi forensische Analyse Von Apache hpd log files. [3] Corona, 2009.HMM-Web: A Framewor for The Deecion of Aacs Agains Web Applicaions. hp://pralab.diee.unica.i/sies/defaul/files/coron a_icc2009.pdf [4] D. Doran and S.S. Gohale.2011.Web robo deecion echniques: overview and limiaions. Daa Mining and Knowledge Discovery, 22(1): [5] Firdaniza, 2006.Hidden Marov Models. hp://eprins.uny.ac.id/7203/1/m-1 - Firdaniza, Nurul G, Amal.pdf [6] G.D. Forney Jr.1973.The Vierbi Algorihm.Proceedings of he IEEE, 61(3): Figure 4 IP Geolocaion berdasaran record log IV. KESIMPULAN Berdasaran uraian yang elah diulisan, dapa diambil beberapa esimpulan, yaiu : 1. Invesigasi forensi pasca serangan merupaan dasar bagi adminisraor web server unu melauan proses reonsrusi dan dampa dari gangguan yang diimbulan. 2. Dengan menggunaan algorima grubbs oulier es dapa melauan idenifiasi aau deesi adanya daa ampering, sehingga dapa dieahui log yang masih asli maupun log yang sudah mengalami modifiasi. 3. Model HMM dapa mengenali proses aau perilau pengguna yang mengases resource web erenu melalui observasi yang dilauan dari ahap raining, esing dan perhiungan saisi yang menghasilan nilai precision = 53% dan recall = 80% yang berari bahwa jumlah daa serangan yang erdapa pada log lebih sedii dibandingan jumlah daa yang dianggap sebagai serangan. 4. Model HMM pada peneliian ini unu menemuan probabilisi dalam beberapa [7] Honeyne Projec. hp:// _myseries [8] Kruegel, Vigna, Roberson A Muli-model Approach To The Deecion of Web-based Aac. Elsevier. [9] Munir, Rinaldi Teori Dasar Hidden Marov Models. hp://informaia.sei.ib.ac.id/~rinaldi.munir/pro bsa/ /maalah2010/maalahprobsa pdf [10] Salama and Marie.2011.Web Server Logs Preprocessing for Web Inrusions Deecion. CIS vol 4 no 4: Canada. [11] Sans Whiepapers. hps://