BAB 4 IMPLEMENTASI DAN UJICOBA SISTEM PADA JARINGAN

Transkripsi

1 BAB 4 IMPLEMENTASI DAN UJICOBA SISTEM PADA JARINGAN 4.1 Spesifikasi System Perangkat Keras (Hardware) Persyaratan hardware AlienVault pada dasarnya akan tergantung pada jumlah kejadian per detik dan throughput jaringan yang ingin untuk mengamankan.sebagai persyaratan minimum selalu dianjurkan untuk memiliki minimal 4GB ram. Adapun spesifikasi perangkat yang digunakan dalam membangun server OSSIM ini adalah sebuah komputer rak server dari platform HP yaitu DL 380 G HP Server Proliant seperti pada gambar 4.1. Gambar 4.1 DL 380 G HP Server Proliant Spesifikasi server : IntelR XeonR Processor E5606(2.13GHz/4-core/8MB/80W,DDR3-1066) Memory 4GB (2x2GB) PC R (DDR3-1333) RDIMMs Hard Drive: 500 GB x 2 buah 67

2 68 NC382i Dual Port Multifunction Gigabit Server Adapters Perangkat Lunak (Software) Aplikasi aplikasi yang akan digunakan dalam menjalankan sistem network monitoring ini adalah sebagai berikut: 1. OSSIM AlienVault 2. Modul OSSEC 4.2 Implementasi OSSIM Installasi OSSIM Installasi OSSIM dibagi dalam beberapa tahapan, proses Instalasi OSSIM Gambar 4.2 Installasi OSSIM

3 69 Konfigurasi Bahasa Pemilihan Bahasa yang akan dipakai pada proses installasi OSSIM. Gambar 4.3 Pemilihan Bahasa Konfigurasi Negara Pemilihan Negara Gambar 4.4 Pemilihan Negara

4 70 Konfigurasi Keymap Pemilihan Keymap untuk keyboard Laybout Gambar 4.5 pemilihan Keymap Konfigurasi Network Gambar 4.6 Konfigurasi IP Address Pada bagian ini,akan dilakukan konfigurasi IP jaringan yang akan dipakai didalam management interface OSSIM.Masukkan alamat IP dan klik Continue.

5 71 Gambar 4.7 Konfigurasi NetMask Konfigurasi alamat Netmask yang akan dipakai dalam jaringan. Masukkan Alamat netmask dan klik Continue. Gambar 4.8 Konfigurasi Gateway IP address dari gateway sistem jaringan yang ada. Masukkan alamat IP address gateway dan klik Continue.

6 72 Gambar 4.9 Konfigurasi Name server Name server yang digunakan. Masukkan Name server yang digunakan dan klik Continue.

7 73 Partisi disk Gambar 4.10 Konfigurasi partisi disk Proses dari partisi harddisk yang akan digunakan akan menghilangkan semua data yang sebelumnya ada di dalam harddisk. Pilih Guide:use entire disk dan klik continue. Jika komputer memiliki beberapa disk, pilih disk yang akan diisntal OSSIM AlienVault dan klik Continue

8 74 Konfigurasi user dan passwords Gambar 4.11 Konfigurasi root user password Setelah sistem dasar telah terinstall, installer akan meminta untuk mengkonfigurasi root account, account yang lain daapt dibuat setelah proses installasi telah selesai. Setiap passwords yang akan dibuat minimal karakter adalah 6 karakter dan harus berisi huruf besar dan huruf kecil.

9 75 Gambar 4.12 Finish Installation Pada bagian akhir proses installasi akan ditanyakan apakah mau dijalankan atau tidak. Klik yes untuk proses update. Setelah Proses Update selesai,maka akan diminta untuk login. Gambar 4.13 login OSSIM

10 Konfigurasi OSSIM Konfigurasi OSSIm dapat dilakukan di web GUI OSSIM, dan kita login sebagai administrator pada web GUI OSSIM yang dapat di akses melalui local host yaitu IP address dari Server OSSIM. Gambar 4.14 OSSIM alienvault Login Konfigurasi Host Konfigurasi host dilakukan pada menu Assets->Assets->Host.. Host tersebut akan didaftarkan kedalam OSSIM untuk memudahkan administrator dalam melakukan pemantauan dan pengelolaan.pada saat mendaftarkan host,nilai asset dari host perlu didefinisikan,karena nilai dari asset akan menentukan resiko.semakin rentannya host terhadap serangan maka makin tinggi juga nilai asset pada host tersebut.

11 77 Gambar 4.15 Konfigurasi Host Setiap host di AlienVault memiliki properti berikut: Hostname: Label ditugaskan untuk perangkat (Ex: Web server) IP: Alamat IP dalam format IPv4 (Ex: ) FQDN / Alias: nama domain berkualifikasi lengkap (FQDN). Sebuah host dapat memiliki lebih dari satu alias dipisahkan dengan koma. Description: penjelasan singkat, misalnya, peran host dalam jaringan. Nilai Aset: Nilai yang diberikan kepada host dalam jaringan. Sensor: AlienVault Sensor memantau jaringan milik host Pilihan Scan: Aktifkan / Nonaktifkan monitoring Ketersediaan dari host RRD Profil: Profil untuk digunakan dengan Plugin Perilaku menyimpang RRD (Anomali berdasarkan informasi yang diberikan byntop) Ambang C: ambang batas Kompromi

12 78 Ambang A: ambang batas Serangan OS: Sistem Operasi Mac Alamat: identifier unik ditugaskan untuk antarmuka jaringan Mac Penyedia: produsen Kartu jaringan Gambar 4.16 Penambahan Host. Beberapa properti dari Jaringan harus memenuhi persyaratan khusus: Nama: karakter alfanumerik dengan tanpa spasi. Beberapa simbol seperti "-" "_" juga dapat digunakan dalam bidang Hostname. CIDR: alamat IP dan ukuran awalan, yang terakhir merupakan jumlah terkemuka 1 bit routing prefix. Alamat IP sesuai dengan standar IPv4. Hal ini diikuti oleh karakter pemisah, yang garis miring (/) karakter, dan ukuran awalan dinyatakan sebagai angka desimal. (Misalnya: /24) Description: karakter alfanumerik dan spasi. Beberapa simbol seperti "-" "_" juga dapat digunakan. Nilai Aktiva: nilai numerik (0-5) Threshold C: nilai Integer Threshold A: nilai Integer

13 Konfigurasi Network Konfigurasi Jaringan dilakukan pada menu Assets->Assets- >Network bertujuan untuk menentukan jaringan mana saja yang akan dikelola. Proses konfigurasi jaringan perlu mendefinisikan nilai asset. Gambar 4.17 Konfigurasi Network. Jaringan di AlienVault memiliki properti berikut: Nama: Label ditugaskan untuk Jaringan. CIDRS: Rentang Alamat IP yang mendefinisikan jaringan. Description: penjelasan singkat, misalnya, peran bagian host Grup ini. Nilai Aset: Nilai yang diberikan ke jaringan dalam perusahaan itu Sensor: AlienVault Sensor memantau host yang milik Grup Host. Pilihan Scan: Aktifkan / Nonaktifkan monitoring Ketersediaan Grup host (Nagios). Hal ini harus diaktifkan di setiap host termasuk dalam Grup Host. RRD Profil: Profil untuk digunakan dengan Plugin Perilaku menyimpang RRD (Anomali berdasarkan informasi yang diberikan oleh Ntop) Ambang C: ambang batas Kompromi

14 80 Ambang A: ambang batas Serangan Gambar 4.18 Penambahan Network. Beberapa properti dari Jaringan harus memenuhi persyaratan khusus: Nama: karakter alfanumerik dengan tanpa spasi. Beberapa simbol seperti "-" "_" juga dapat digunakan dalam Hostname. CIDR: alamat IP dan ukuran awalan, yang terakhir merupakan jumlah terkemuka 1 bit routing prefix. Alamat IP sesuai dengan standar IPv4. Hal ini diikuti oleh karakter pemisah, yang garis miring (/) karakter, dan ukuran awalan dinyatakan sebagai angka desimal. (Misalnya: /24) Description: karakter alfanumerik dan spasi. Beberapa simbol seperti "-" "_" juga dapat digunakan. Nilai Aktiva: nilai numerik (0-5) Threshold C: nilai Integer Threshold A: nilai Integer Konfigurasi OSSEC Konfigurasi HIDS pada OSSIM menggunakan OSSEC : 1. Install OSSEC agent di system yang akan dipantau. 2. Setelah OSSEC agent terinstall, pada bagian web GUI OSSIM masuk ke Analysis -> Detection ->HIDS

15 81 3. Masuk ke menu agent yang terdapat di bagian kanan atas. Gambar 4.19 Agent. 4. Masukkan nama dan ip address dari system yang akan dipantau kemudian klik generate key Gambar 4.20 Generate Key

16 82 Gambar 4.21 key 5. Key yang didapat dimasukkan ke dalam OSSEC agent yang terdapat pada system dan start OSSEC agentnya. Gambar 4.22 OSSEC agent Manager. 6. Jika OSSEC agent sudah berjalan di system nya kembali ke web GUI OSSIM dan lihat apakah agent yang tadi didaftarkan sudah berubah menjadi active

17 83 Gambar4.23 Agent Active Konfigurasi Policy and Actions Konfigurasi dilakukan pada menu intelligence->policy & Actions, pada bagian tersebut terdapat bagian policy dan actions.policy di buat untuk mengatur bagian mana saja yang akan di monitor dan dikelola. Secara default, semua peristiwa tiba ke OSSIM Server diproses oleh SIEM dan Logger.Dalam kasus SIEM, sistem menyediakan intelijen dan data - mining kemampuan ekstra memproses peristiwa dengan melakukan tugas-tugas berikut. Risk assessment: risiko ditugaskan untuk setiap acara memperhitungkan jenis aktivitas dan aset yang terlibat dalam event. Korelasi : Korelasi adalah proses transformasi menjadi berbagai data input ke output elemen data baru. Menggunakan korelasi AlienVault dapat mengubah dua atau lebih peristiwa input ke dalam peristiwa output yang lebih dapat diandalkan. Acara yang dihasilkan selama proses korelasi adalah re - disuntikkan kembali ke AlienVault Server dan diproses dengan cara yang sama seperti jika ini sedang dikirim oleh salah satu kolektor.

18 84 Forwarding : The AlienVault Server dapat dikonfigurasi untuk mengirim peristiwa dan alarm ke Server atas ( Parent Server ) dalam penyebaran multi-level. SQL Storage : Events diproses oleh SIEM disimpan dalam database SQL ( MySQL Database). Policy juga mendefinisikan apa fitur dari SIEM dan Logger akan diaktifkan untuk memproses peristiwa yang cocok dengan aturan kebijakan.aturan Policy diterapkan di Urutan menurun dan ketika ada event yang sesuai dengan Policy, sistem akan berhenti memproses Event itu. Gambar 4.24 Konfigurasi Policy Gambar 4.25 adalah tabel policy yang menampilkan serangkaian tabel, setiap tabel adalah sekelompok Policy. Ini adalah kolum yang ditampilkan dengan masing-masing aturan Policy : Status : Aturan Policy diaktifkan : / Peraturan Policy dinonaktifkan : Order: Posisi di mana aturan kebijakan ini akan dimuat Priority: Prioritas peristiwa Port Group : port tujuan dari event yang akan cocok dengan aturan Policy ini. Plugin Group : Group event yang cocok dengan aturan Policy ini.

19 85 Sensor : Sensor atau Sensor yang mengumpulkan event yang cocok dengan policy yang ada. Time Range : Jangka waktu di mana aturan policy ini akan diaktifkan. Sasaran : Server di mana aturan kebijakan ini akan dipasang ( penyebaran Multi-level ) Resend Alarm : Mengaktifkan / Menonaktifkan alarm forwarding ke server atas untuk event yang cocok dengan policy ini. Resend Events : Mengaktifkan / Menonaktifkan peristiwa forwarding ke server atas untuk event yang cocok dengan policy ini. SIEM : Mengaktifkan / Menonaktifkan SIEM untuk event yang cocok dengan policy ini. Membuat Actions Halaman Actions memungkinkan pengguna untuk menentukan respon terhadap serangan atau masalah yang terjadi dalam jaringan. Tindakan terkait dengan aturan policy, sehingga ketika policy cocok semua actions yang terkait dengan policy yang dijalankan. Gambar 4.25 Konfigurasi Actions

20 86 OSSIM mendukung tiga jenis tindakan, mengirim , menjalankan perintah Linux, atau membuat tiket di OSSIM Ticketing System (Incident Tickets).. Gambar 4.26 Pembuatan Actions Konfigurasi sensor OSSIM Sensor adalah komponen yang bertugas mengumpulkan dan normalisasi peristiwa yang dihasilkan oleh sumber data. Beberapa sumber data akan memberi berita event untuk Sensor AlienVault seperti Firewall, Antivirus, AD, database, dan aplikasi lain atau perangkat yang digunakan dalam jaringan sebelum OSSIM ditempatkan. OSSIM dapat memiliki banyak Sensor yang diperlukan, jumlah Sensor pada dasarnya akan tergantung pada jumlah jaringan yang perlu dipantau dan dalam distribusi geografis dari perusahaan yang akan dipantau.

21 87 Configuration->alien vault components Gambar 4.27 Konfigurasi Sensor Dibagian Configuration -> Collection -> Sensor, Aktifkan sensor yang akan dipakai. Gambar 4.28 enable sensor

22 Konfigurasi Notifkasi Konfigurasi dilakukan di bagian menu configuration =>Main=>Advanced=> mail server configuration. Gambar 4.29 Konfigurasi mail server Correlation Directive Bagian Correlation Directive dapat di akses melalui Intelligence => correlation Directives => Directives.Secara default,ossim AlienVault telah menyediakan lebih dari 200 Correlation Directive. Correlation adalah teknik untuk mengolah secara logis sekumpulan event dan menunjukkan dengan tepat beberapa event tersebut penting.

23 89 Gambar 4.30 Correlation Directive Dalam OSSIM,Korelasi logis diimplementasikan dengan menggunakan Correlation directive atau Correlation rule. Correlation Directive menentukan kondisi yang berbeda yang akan dipenuhi oleh event yang masuk. Setiap kali event yang telah terpenuhi kondisinya, sistem akan menghasilkan event baru yang bahkan dapat memenuhi beberapa kondisi lain dalam Correlation directive yang lain. Prioritas direktif. Prioritas akan menjadi nilai numerik dari 0 hingga 5. Semua peristiwa yang dihasilkan dalam direktif yang sama akan memiliki direktif yang sama tetapi mereka mungkin memiliki keandalan yang berbeda karena akan tergantung pada tingkat korelasi pada saat event dihasilkan

24 90 Jika mengatur prioritas ke 0, peristiwa yang dihasilkan dalam directive ini tidak akan pernah menjadi alarm. Jika Anda menetapkan nilai prioritas tinggi, direktif dapat menghasilkan alarm setelah pengelompokan beberapa event. Setiap kali kondisi yang ditetapkan oleh Directive rule cocok, event baru akan menghasilkan nilai realibility value baru, event ini akan memiliki nilai prioritas yang sebelumnya telah ditetapkan pada correlation directives, nilai reliabilitas didefinisikan sendiri dalam aturan korelasi,dan nilai asset host didapat dari nilai yang telah didefinisikan sebelumnya. Gambar 4.31 nilai reliability Risiko event tersebut akan dihitung dengan menggunakan rumus berikut: RISK = (Asset Value*Priority*Reliability)/25 semakin tinggi nilai reliability maka akan semakin tinggi nilai yang dapat dipercaya terhadap rule tersebut. Nilai yang dipercaya disini adalah tingkat kepercayaan atau nilai dari serangan yang muncul. Apabila kita anggap sebuah serangan tertentu memilki nilai yang tinggi dalam merusak sistem jaringan maka nilai reliability juga harus tinggi. Sedangkan penentuan nilai prioritas didefinisikan pada saat melakukan konfigurasi rule pada detektor, OSSIM adalah manajemen tools dimana mengatur detektor-detektor yang ada untuk saling berkolaborasi dalam

25 91 mendeteksi serangan, sehingga penentuan prioritas adalah penentuan dari detektor yang ditunjuk untuk lebih dahulu dipercaya dalam menagani serangan, disamping itu penentuan prioritas juga digunakan ketika mendefinisikan policy. 4.3 Pengujian OSSIM yang telah diinstall memiliki banyak fitur-fitur dalam melakukan monitoring terhadap jaringan. Namun keseluruhan fitur tersebut tidak kami jabarkan sepenuhnya dan hanya fokus kepada beberapa prosedur yaitu monitoring SIEM melalui modul OSSEC pengiriman notifikasi dan pengiriman notifikasi lewat Pengujian Fungsionalitas terhadap notifikasi Percobaan dilakukan pada hari minggu agar tidak menganggu aktivitas kerja kantor pada tanggal 12 january Percobaan dengan mematikan proxy server pada PT.Metalogix infolink persada sehingga dapat dilihat apakah terdeteksi secara langsung oleh HIDS OSSEC yang telah terinstall dan melaporkan ke OSSIM dan notifikasinya dapat di akses pada menu analysis=> Security Event (SIEM) dan dapat melihat notifikasi yang tentang status apa yang terjadi pada agent OSSEC, dan dapat di lihat bahwa server unavailable.ossec dapat mengidentifikasi error yang terjadi dikarenakan OSSEC memiliki rules rules yang mengatur itu semua dan ditampilkan pada OSSIM yang memiliki modul OSSEC. Gambar 4.32 Status server unavailable

26 92 Karena Resiko tersebut hanya 0 maka alarm tidak terpicu dan notifikasi tidak dilakukan karena action tidak terpicu untuk menjalankan perintah. Alarm adalah suatu peristiwa yang memiliki Resiko lebih tinggi dari 1. Alarm adalah jenis khusus dari event karena mungkin lebih dari satu kelompok peristiwa ketika event memicu alarm berdasarkan correlation directives. Perhitungan Nilai Resiko : RISK = (Asset Value*Priority*Reliability)/25 Asset Value =2 Priority = 1 Reliability = 1 Risk = (2*1*1)/25 Risk = 0 Pada pengujian selanjutnya yang dilakukan adalah melakukan testing serangan Bruteforce pada mail server zimbra yang terdapat di PT.Metalogix Infolink Persada untuk menguji bagaimana fungsionalitas notifikasi dan pengiriman notifikasi ke .pengujian di lakukan pada tanggal di PT.Metalogix Infloink Persada. OSSEC dapat mengidentifikasi error yang terjadi dikarenakan OSSEC memiliki rules rules yang mengatur itu semua dan ditampilkan pada OSSIM yang memiliki modul OSSEC. Dari data tersebut membuktikan bahwa OSSIM mendeteksi adanya skenario serangan yang dibuat oleh penulis dan OSSIM dapat menampilkan laporan kejadian serangan secara real time. Selain itu melalui skenario serangan yang dilakukan penulis, OSSIM juga mendeteksi adanya alarm yang berarti resiko yang ada apada event lebih besar atau sama dengan 1. Perhitungan Nilai Resiko : RISK = (Asset Value*Priority*Reliability)/25 Nilai Asset = 2 Nilai Priority = 5 Nilai Reliability =3 Risk = (2*5*3)/25

27 93 Risk =1 Pada saat terjadi serangan maka saat terdeteksi oleh sensor yang ada maka akan di cek apakah sesuai dengan policy yang diatur dan action apa yang akan di berjalan, pada saat itu semua notifikasi alarm akan muncul dan dapat di lihat pada bagian incidents => alarm Gambar 4.33 Alarm Panel Alarm menunjukkan semua alarm yang dihasilkan di OSSIM. Setiap pengguna hanya akan melihat alarm milik host. kolum isi Alarm Nama Alarm : Nama alarm sesuai dengan nama peristiwa yang menghasilkan alarm. Risk Nilai resiko mulai dari 0 sampai dengan 10. Sensor Sensor yang menggumpulkan peristiwa yang menghasilkan alarm. First Event Waktu peristiwa pertama yang diterima sensor alarm. Last Event Waktu peristiwa terkahir yang diterima sensor alarm. Source Sumber IP address yang menghasilkan alarm. Destination Tujuan IP address yang menghasilkan alarm. Status Status dari alarm closed or Open. Tabel 4.1 Penjelasan isi alarm Dari status alarm yang terjadi bisa dengan manual membuat ticket. Tiket baru dapat dibuka dari konsol Alarm (Insiden Alarm), dari Metrik Risiko panel (Dashboard Risiko (Risk Metrik)) dan dari panel anomali (Analysis SIEM (Anomali)). Informasi yang secara otomatis akan ditambahkan ke tiket baru ketika diakses dari panel ini.

28 94 Sistem ticketing ini memungkinkan pengguna di AlienVault untuk bekerja pada masalah yang terdeteksi dengan menggunakan OSSIM. Tiket dapat dibuka secara manual setiap saat, tetapi juga, beberapa komponen di AlienVault dapat membuka tiket otomatis Gambar 4.34 Ticket Gambar 4.35 Isi Ticket Notifikasi yang dikirim kan ke , notifikasi dapat terikirim ke karena pada konfigurasi action saat ada event yang memicu alarm dan terdeteksi berdasarkan policy dan Correlation Directive maka pada bagian action akan mengklasifikasikan bagian mana dan action apa yang akan diambil sesaui dengan yang di konfigurasi yaitu notifikasi pengiriman .

29 95 Gambar 4.36 Gambar Notifikasi Gambar 4.37 Isi notifikasi Waktu dan tanggal pada menunjukkan waktu dan tanggal saat OSSIM mengitimkan notifikasi, yaitu saat terjadinya serangan pada server.apabila terjadi delay pengiriman akibat gangguan SMTP dari ISP, tidak berpengaruh terhadap waktu dan tanggal pengiriman notifikasi oleh OSSIM. Waktu dan Tanggal sesuai dengan saat pengiriman meskipun diterima pada waktu yang berbeda. Pada notifikasi terdapat informasi mengenai kejadian apa yang terjadi pada host. dapat dibuka pada telepon genggam atau laptop yang dapat diterima kapan saja dimana saja oleh network administrator tanpa harus selalu berada di depan komputer.

30 Evaluasi Pada tanggal 9 januari 2014 dan 12 januari 2014 dilakukan pengujian terhadap OSSIM pada PT.Metalogix Infolink Persada.Hasil yang diperoleh dari implementasi tersebut adalah : 1. OSSIM dapat menotifikasi Network Administrator tentang adanya alarm tentang apa yang terjadi pada server melalui OSSIM dapat bekerja selama 24 jam untuk memonitoring server 3. OSSIM dapat melakukan perhitungan resiko untuk menentukan event mana yang penting untuk di notifikasi kepada Network Adminsitrator dalam bentuk .