Perbedaan IDS dan IPS dalam Keamanan Jaringan

Perbedaan IDS vs IPS terletak pada tindakannya: IDS (Intrusion Detection System) mendeteksi dan memberi peringatan, sedangkan IPS (Intrusion Prevention System) mendeteksi lalu berusaha menghentikan ancaman itu. Keduanya sering disebut bersama sebagai IDPS dan menjadi lapisan penting setelah firewall. Artikel ini menjelaskan cara kerja, jenis, kelebihan, dan kapan Anda memilih salah satunya.

Apa Itu IDS dan IPS?

Panduan NIST SP 800-94 mendefinisikan intrusion detection sebagai proses memantau peristiwa pada sistem atau jaringan dan menganalisisnya untuk mencari tanda insiden, yaitu pelanggaran atau ancaman pelanggaran terhadap kebijakan keamanan. Intrusion prevention adalah proses yang sama ditambah upaya menghentikan insiden yang terdeteksi. Penyebab insiden beragam: malware, pihak luar yang mencoba masuk, atau pengguna sah yang menyalahgunakan haknya. NIST juga mengingatkan bahwa tidak semua insiden berniat jahat; salah mengetik alamat sistem pun dapat memicunya.

Perbedaan IDS dan IPS

Secara ringkas:

• Respons. IDS mencatat dan mengirim alert ke administrator, lalu manusia memutuskan langkah berikutnya. IPS dapat bertindak otomatis, misalnya memutus koneksi atau memblokir sumber serangan.
• Penempatan. IDS lazim dipasang pasif untuk mengamati salinan lalu lintas. IPS umumnya dipasang inline sehingga lalu lintas melewatinya dan dapat dihentikan.
• Dampak ke operasional. IDS tidak mengganggu lalu lintas sah. IPS yang salah konfigurasi dapat memblokir lalu lintas sah dan menimbulkan gangguan layanan.
• Kebutuhan tim. IDS menuntut analis yang menindaklanjuti alert. IPS mengurangi beban respons manual, tetapi menuntut penyetelan yang teliti.

NIST menggambarkan tindakan pencegahan IPS dalam tiga kelompok: menghentikan serangan itu sendiri (misalnya memutus koneksi atau sesi), mengubah lingkungan keamanan (misalnya mengatur ulang firewall), dan mengubah isi serangan. Banyak produk menyediakan kedua mode, sehingga perbedaan IDS dan IPS sering hanya soal pengaturan.

Cara Kerja IDS dan IPS: Metode Deteksi

NIST menyebut tiga metodologi deteksi utama, dan sebagian besar produk menggabungkan beberapa di antaranya.

Signature-based

Membandingkan peristiwa dengan pola ancaman yang sudah dikenal. Metode ini sangat efektif untuk ancaman yang telah diketahui, tetapi kurang efektif untuk ancaman baru, varian yang sedikit dimodifikasi, atau ancaman yang disamarkan dengan teknik penghindaran.

Anomaly-based

Membandingkan aktivitas dengan profil perilaku normal pengguna, host, koneksi, atau aplikasi. Metode ini dapat menandai sesuatu yang belum pernah terlihat, tetapi cenderung menghasilkan banyak false positive bila aktivitas sah menyimpang dari profil.

Stateful protocol analysis

Membandingkan peristiwa dengan profil aktivitas protokol yang dianggap wajar menurut vendor, sehingga penyimpangan dari perilaku protokol standar dapat dikenali.

Jenis-Jenis IDPS

NIST membagi teknologi ini menjadi empat jenis berdasarkan peristiwa yang dipantau:

1. Network-based memantau lalu lintas pada segmen atau perangkat jaringan tertentu dan menganalisis aktivitas protokol jaringan dan aplikasi.
2. Wireless memantau lalu lintas nirkabel untuk mengenali aktivitas mencurigakan pada protokol nirkabel itu sendiri.
3. Network behavior analysis (NBA) mengamati aliran lalu lintas yang janggal, seperti pola serangan DDoS, sebagian malware, dan pelanggaran kebijakan.
4. Host-based memantau karakteristik dan peristiwa pada satu host. Contoh produk terbuka di kelas ini dibahas di OSSEC, sedangkan untuk jaringan ada Snort.

Kapan Memilih IDS, IPS, atau Keduanya?

Tidak ada jawaban tunggal, tetapi beberapa pertimbangan membantu:

• Mulai dengan mode deteksi. NIST menyarankan menguji kemampuan deteksi dan menyetelnya sebelum mengaktifkan tindakan pencegahan, supaya risiko memblokir lalu lintas sah berkurang. Pada penerapan awal, mengaktifkan sensor dengan fitur pencegahan dimatikan adalah praktik yang masuk akal.
• Pakai IPS di titik yang jelas. Misalnya di perbatasan jaringan untuk ancaman yang sudah pasti, setelah penyetelan matang.
• Pertahankan IDS untuk visibilitas. Segmen internal sering lebih cocok dipantau pasif untuk mencari pergerakan yang tidak wajar.
• Siapkan analis dan prosedur. Alert tanpa orang yang menanganinya tidak ada gunanya. Keluarannya biasanya dikirim ke SIEM untuk dikorelasikan dengan log lain.

Keterbatasan yang perlu dipahami

NIST menegaskan bahwa tidak ada IDPS yang sepenuhnya akurat. Semuanya menghasilkan false positive (peringatan untuk aktivitas sah) dan false negative (ancaman yang terlewat). Menurunkan satu biasanya menaikkan yang lain, sehingga penyetelan (tuning) berkelanjutan dan pembaruan signature rutin sangat penting.

Hubungan dengan Firewall

Firewall menegakkan aturan akses berdasarkan alamat, port, dan protokol, sedangkan IDPS menganalisis pola aktivitas untuk menemukan perilaku yang tidak wajar. Salah satu kegunaan IDPS yang dicatat NIST adalah menemukan masalah kebijakan, misalnya lalu lintas yang seharusnya diblokir firewall tetapi lolos karena salah konfigurasi. Pelajari dasarnya di apa itu firewall.

Contoh Skenario Penggunaan

Bayangkan sebuah perusahaan menaruh IDS pasif di segmen server internal. Pada suatu malam, sensor mencatat sebuah server yang tiba-tiba mengirim lalu lintas dalam volume tidak biasa ke banyak alamat internal. Alert masuk ke SIEM dan analis menyelidikinya sebelum ada kerusakan. Di perbatasan internet, perusahaan yang sama memasang IPS inline untuk memblokir pola serangan yang sudah pasti dikenali. Kombinasi ini memberi visibilitas di dalam dan pencegahan otomatis di luar, dengan tingkat risiko operasional yang berbeda di setiap titik.

Baca juga: Apa Itu Wireshark? Fungsi dan Cara Menganalisis Lalu Lintas Jaringan.

Pertanyaan yang Sering Diajukan

Mana yang lebih baik, IDS atau IPS?

Tergantung kebutuhan. IPS memberi perlindungan aktif, tetapi berisiko memblokir lalu lintas sah. IDS lebih aman bagi operasional dan cocok untuk visibilitas, namun bergantung pada respons manusia.

Apakah IPS menggantikan firewall?

Tidak. Keduanya saling melengkapi. Firewall mengatur akses, IPS menganalisis dan menghentikan pola serangan.

Apakah IDS dapat mendeteksi serangan baru yang belum dikenal?

Metode berbasis signature kurang efektif untuk ancaman yang belum dikenal. Metode berbasis anomali dapat membantu, dengan konsekuensi lebih banyak false positive.

Apakah boleh mencoba IDS atau IPS di jaringan kampus atau kantor?

Hanya dengan izin pengelola jaringan. Mengamati lalu lintas jaringan milik pihak lain tanpa izin dapat melanggar hukum, termasuk UU ITE. Untuk belajar, gunakan lab milik sendiri.

Kesimpulan

IDS memberi visibilitas dan peringatan, IPS menambah kemampuan menghentikan ancaman secara otomatis. Pilihan terbaik sering berupa kombinasi: mulai dari deteksi, setel dengan cermat, lalu aktifkan pencegahan di titik yang tepat. Untuk membangun kemampuan mengelola alat-alat ini, Anda dapat melihat kursus di Linuxhackingid.