IDS (Intrusion Detection System)

IDS (Intrusion Detection System)

Intrusion Detection System adalah sebuah sistem yang dapat digunakan untuk mendeteksi aktivitas yang mencurigakan dalam sebuah sistem atau jaringan. IDS dapat melakukan inspeksi terhadap lalu lintas inbound dan outbound dalam sebuah sistem atau jaringan, melakukan analisis dan mencari bukti dari percobaan penyusupan.

Komponen IDS

IDS terbentuk dari beberapa komponen berikut :

• Sensor atau Agent, berfungsi memantau kegiatan.
• Management Server, perangkat yang berfungsi menerima dan mengelola informasi dari Sensor atau Agent.
• Database Server, tempat menyimpan informasi yang di catat oleh Sensor, Agent, maupun hasil analisa Management Server.
• Console, merupakan program yang menyediakan interface ke user dan administrator IDS. Beberapa Console digunakan untuk mengkonfigurasi Sensor atau Agent dan juga digunakan untuk memantau.

Jenis IDS

• Network IDS, memeriksa setiap paket yang memasuki jaringan untuk mengetahui adanya anomali dan data yang bermasalah. NIDS pada dasarnya dirancang untuk mengidentifikasi anomali pada level perangkat jaringan berupa switch, router dan host. NIDS mengaudit informasi yang terkandung dalam paket data, mencatat informasi paket bermasalah (mailicious).

• Host IDS, dapat diinstal pada sistem sebuah perangkat host berupa PC hingga server. Mekanisme ini biasanya mencakup audit untuk peristiwa yang terjadi pada host tertentu. IDS menganalisis perilaku masing-masing sistem.

• Pemantauan File Log, memonitor file log yang dibuat oleh layanan jaringan. IDS mencari melalui log dan mengidentifikasi kejadian yang mencurigakan. Sistem mencari pola dalam file log untuk mengidentifikasi adanya gangguan . Mekanisme ini biasanya program yang mem-parsing file log setelah suatu peristiwa telah terjadi, seperti upaya login yang gagal
• File integrity Checking (Pemeriksaan integritas file), Mekanisme yang dilakukan oleh IDS jenis  ini adalah dengan cara memeriksa file. Memantau file untuk menentukan apakah penyusup sudah memodifikasi file tersebut. IDS jenis ini contohnya Tripwire melalui sistem SIV (System Integrity Verifier). 

Cara Mendeteksi Adanya Aktivitas Penyusupan

Sebuah penyusupan dapat terdeteksi dengan 3 cara, yakni :

• Mendeteksi berbasis Signature, pengenalan signature dikenal juga sebagai deteksi penyalahgunaan (misuse detection).  Metode ini mencoba mengidentifikasi suatu kejadian yang menunjukkan penyalahgunaan sistem dengan model penyusupan yang sebelumnya sudah tersedia dalam sebuah database yang berisi cara-cara serangan dan penyusupan yang sering dilakukan oleh penyerang untuk membuat keputusan ada atau tidaknya penyusupan. Metode ini efektif bila IDS mendeteksi ancaman yang sudah dikenali, untuk jenis serangan baru metode ini kurang efektif.
• Mendeteksi berbasis Anomali, jenis ini melibatkan pola lalu lintas yang mungkin merupakan sebuah serangan yang sedang dilakukan oleh penyerang. Umumnya, dilakukan dengan menggunakan teknik statistik untuk membandingkan lalu lintas yang sedang dipantau dengan lalu lintas normal yang biasa terjadi.
• Mendeteksi Anomali Protokol, menyerupai anomaly-based, yaitu membandingkan profil yang sudah ada dengan kegiatan yang sedang berlangsung untuk mengidentifikasi penyimpangan. Namun, tidak seperti Anomaly-Based Detection yang menggunakan profil host, Stateful Protocol Analysis menggunakan profil yang lebih luas yang dapat merinci bagaimana sebuah protokol dapat digunakan atau tidak. 

Respon Terhadap adanya Insiden

• Ketika insiden terjadi, IDS merespon insiden yang ada dengan memberikan peringatan kepada administrator lewat peringatan (alarm), sifat dari peringatan tersebut, terdiri dari  :
• True Positive : Ketika terdapat upaya penyusupan terhadap target dan IDS berhasil mendeteksi aktivitas penyusupan tersebut dengan membangkitan peringatan (alarm).
•  True Negative : Ketika tidak terdapat aktivitas penyusupan terhadap target dan IDS juga tidak membangkitan peringatan (alarm) .
• False Positive : Ketika tidak terdapat aktivitas penyusupan terhadap target tapi IDS membangkitkan peringatan (alarm) yang menandai adanya penyusupan.
• False Negative : Ketika tidak terdapat aktivitas penyusupan terhadap target tetapi IDS tidak dapat mendeteksi adanya aktivitas tersebut.

Intrusion Prevention System

Saat ini berkembang teknologi IPS (Intrusion Prevention System), teknologi yang mengkombinasikan kemampuan filtering dari Firewall dan kedalaman inspeksi paket data dari Intrusion Detection System (IDS).

Produk IDS/IPS

Contoh sistem IDS antara lain : Snort , Bro dan lain lain. Saat ini umumnya IDS sudah terdapat pula di perangkat UTM (Unified Threat Management) seperti produk dari Sonicwall, Astaro, dan sebagainya.

Contoh pemasangan IDS/IPS pada topologi Jaringan