Snort: Sistem Deteksi Intrusi dan Manfaatnya

Snort adalah sistem deteksi intrusi (IDS) dan pencegahan intrusi (IPS) open source yang mencocokkan lalu lintas jaringan dengan aturan untuk menemukan aktivitas berbahaya. Alat ini sudah lama dipakai administrator dan analis keamanan untuk mengawasi jaringan secara langsung. Artikel ini membahas cara kerja Snort, mode operasinya, jenis rule, serta manfaat dan batasannya.

Apa Itu Snort dan Siapa yang Mengembangkannya?

Menurut situs resminya, Snort adalah sistem pencegahan intrusi open source yang mencocokkan paket dengan aturan yang menggambarkan aktivitas jaringan berbahaya, lalu menghasilkan peringatan. Jika dipasang secara inline, Snort juga dapat memblokir paket yang cocok. Alat ini dapat berfungsi sebagai packet sniffer, packet logger, atau sistem IDS/IPS penuh.

Snort dikelola oleh Cisco Talos, dan nama Snort adalah merek dagang terdaftar milik Cisco. Generasi terbaru, Snort 3, menjadi versi yang dipromosikan di situs resmi dengan dokumentasi dan panduan instalasi untuk berbagai sistem operasi. Menurut repositori proyeknya, Snort 3 mendukung pemrosesan paket dengan banyak thread, konfigurasi bersama, dan komponen yang dapat dipasang sebagai plugin.

Bagaimana Cara Kerja Snort?

Secara konseptual, Snort bekerja dalam beberapa tahap. Pertama, paket ditangkap dari antarmuka jaringan. Kedua, paket didekode dan diperiksa oleh modul inspeksi yang memahami protokol seperti HTTP. Ketiga, mesin deteksi membandingkan isi dan karakteristik paket dengan kumpulan rule. Terakhir, jika ada yang cocok, Snort mengambil tindakan sesuai konfigurasi: memberi peringatan, mencatat log, atau menjatuhkan paket pada mode inline.

Mode IDS dan IPS

Pada mode IDS, Snort mengamati salinan lalu lintas dan hanya memberi peringatan, sehingga tidak mengganggu aliran data. Pada mode IPS, Snort dipasang inline di jalur lalu lintas sehingga dapat memblokir paket. Mode inline lebih proaktif, tetapi rule yang terlalu agresif dapat memutus lalu lintas sah. Perbandingan lengkapnya ada di artikel perbedaan IDS dan IPS dalam keamanan jaringan.

Anatomi sebuah rule

Sebuah rule Snort terdiri dari header dan opsi. Header menentukan tindakan, protokol, alamat dan port sumber serta tujuan, dan arah lalu lintas. Opsi di dalam tanda kurung menentukan pesan, pola yang dicari, dan identitas rule. Contoh rule sederhana yang aman untuk lab, yang memberi peringatan ketika ada ping (ICMP) menuju jaringan internal Anda:

alert icmp any any -> $HOME_NET any (msg:"ICMP masuk terdeteksi"; sid:1000001; rev:1;)

Rule buatan sendiri memakai sid di atas 1.000.000 agar tidak bentrok dengan rule resmi. Uji rule hanya pada jaringan lab Anda sendiri.

Di Mana Snort Ditempatkan dalam Jaringan?

Efektivitas Snort sangat ditentukan oleh posisi sensornya. Pada mode IDS, sensor biasanya menerima salinan lalu lintas dari port mirroring atau perangkat tap sehingga tidak berada di jalur data. Pada mode IPS, sensor dipasang inline sehingga lalu lintas harus melewatinya. Titik yang lazim dipantau adalah perbatasan jaringan dengan internet, segmen server penting, dan lalu lintas antar-zona internal.

Pasang sensor di tempat yang melihat lalu lintas bermakna, dan sesuaikan variabel jaringan seperti HOME_NET dengan rentang alamat organisasi Anda, karena rule memakai variabel itu untuk menentukan arah dan sasaran lalu lintas. Salah mengisinya membuat banyak rule tidak pernah cocok atau justru menghasilkan peringatan berlebihan.

Jenis Rule Set Snort

Situs resmi Snort menyebut tiga kelompok rule:

• Community Ruleset: dikembangkan komunitas, dijamin kualitasnya oleh Cisco Talos, dan tersedia gratis untuk semua pengguna.
• Registered Ruleset: tersedia bagi pengguna terdaftar yang memiliki Oinkcode, yaitu pengenal unik akun.
• Subscriber Ruleset: dikembangkan, diuji, dan disetujui Cisco Talos, dan pelanggan menerimanya secara real time saat dirilis.

Ketentuan dan harga langganan dapat berubah, sehingga periksa langsung di snort.org sebelum memutuskan. Apa pun pilihannya, rule perlu diperbarui rutin karena pola ancaman terus berubah.

Manfaat Snort bagi Keamanan Jaringan

Bila dikelola dengan baik, Snort memberi beberapa manfaat nyata:

• Visibilitas: tim melihat apa yang sebenarnya lewat di jaringan, bukan hanya apa yang diizinkan firewall.
• Deteksi pola serangan dan pemindaian: rule dapat mengenali aktivitas seperti pemindaian port atau upaya yang cocok dengan tanda tangan serangan yang diketahui.
• Bukti untuk investigasi: log dan paket yang tercatat membantu analis merekonstruksi insiden. Lihat tahapan lengkapnya di incident response.
• Fleksibilitas: organisasi dapat menulis rule sendiri untuk kebutuhan khusus.
• Biaya lisensi rendah: Community Ruleset tersedia gratis, meski biaya operasional dan tenaga ahli tetap ada.

Snort paling efektif bila dipadukan dengan lapisan lain. Peringatannya dapat dikirim ke platform SIEM agar dikorelasikan dengan log lain, dan bekerja berdampingan dengan firewall yang membatasi akses.

Batasan yang Perlu Dipahami

Snort berbasis tanda tangan, sehingga ancaman baru yang belum punya rule dapat lolos. Lalu lintas terenkripsi tidak dapat diperiksa isinya tanpa dekripsi di titik tertentu. Rule yang kurang disetel menghasilkan banyak positif palsu yang membuat analis kelelahan. Penempatan sensor yang keliru juga membuat Snort melewatkan lalu lintas penting. Karena itu pemasangan Snort perlu perencanaan, penyetelan, dan pemantauan oleh orang yang paham jaringan.

Gunakan Snort hanya pada jaringan yang Anda kelola atau yang pemiliknya telah mengizinkan pemantauan. Menangkap dan menganalisis lalu lintas pihak lain tanpa hak dapat melanggar hukum, termasuk UU ITE.

Pertanyaan yang Sering Diajukan

Apakah Snort gratis?

Perangkat lunaknya open source dan dapat diunduh untuk penggunaan pribadi maupun bisnis. Community Ruleset gratis, sedangkan Subscriber Ruleset adalah layanan langganan dari Cisco.

Apa bedanya Snort sebagai IDS dan IPS?

Sebagai IDS, Snort hanya mendeteksi dan memberi peringatan. Sebagai IPS, Snort dipasang inline dan dapat memblokir lalu lintas yang cocok dengan rule.

Apakah Snort menggantikan firewall?

Tidak. Firewall mengontrol lalu lintas berdasarkan aturan akses, sedangkan Snort memeriksa isi dan pola lalu lintas. Keduanya saling melengkapi.

Di mana mempelajari dasar jaringan sebelum memakai Snort?

Mulailah dari konsep dasar di artikel apa itu network security, lalu praktikkan di lab pribadi.

Kesimpulan

Snort memberi organisasi kemampuan mengawasi lalu lintas jaringan secara aktif dengan rule yang dapat disesuaikan, baik sebagai IDS pengamat maupun IPS yang memblokir. Hasil terbaik datang dari penyetelan rule yang cermat, penempatan sensor yang tepat, dan integrasi dengan alat pemantauan lain. Jika tim Anda perlu meningkatkan kemampuan deteksi dan respons, Linuxhackingid menyediakan pelatihan untuk tim dan korporat yang dapat disesuaikan dengan kebutuhan Anda.