Log Server Firewall
A. Pengrtian Loglist Firewall
Loglist server firewall yaitu mendata semua ajaran data , data yang masuk pada level aplikasi di server .
B. Analisis Laporan Hasil Kerja Server Firewall
Pada tahap pengujian sistem keamanan yang telah dibangun, disini saya akan menjelaskan mengenai hasil laporan pengujian PC Router sebagai Firewall memakai 2 aplikasi, yaitu :
1. NMap
2. Hping3
Saya akan menjelaskannya satu persatu :
1. Nmap (Network Mapper)
Nmap dipakai untuk melaksanakan port scan/port sweep yang bertujuan untuk mengumpulkan informasi/reconnaissance terhadap komputer sasaran yaitu layanan apa saja yang disediakan oleh komputer sasaran atau web server Private Cloud.
Pada pengujian sistem keamanannya dilakukan dua kali percobaan (percobaan 1 dan 2) yang masing-masing percobaan memakai fitur Nmap TCP Connect () Scan, yang dimana scan ini mengirim paket TCP utuh (SYNSYN_ACK-ACK) pada komputer sasaran lalu periksa hasil data log sistem keamanan terhadap scan tersebut. Untuk sanggup melaksanakan Nmap TCP Connect () Scan, ketikkan perintah berikut pada terminal: Nmap –sT 192.168.10
2. Hping3
Hping3 dipakai untuk melaksanakan serangan DOS (Denial Of Service) yang berupa ICMP Flood yang dimana bertujuan untuk membanjiri komputer sasaran dengan paket ICMP_ECHO_REQUEST yang berjumlah sangat banyak sehingga sanggup menghabiskan resource (CPU Usage) yang dimiliki komputer target.
Untuk pengujian sistem keamanannya dilakukan dua kali percobaan ICMP Flood yang masing-masing dilakukan selama 30 detik terhadap webserver cloud dan periksa hasil data log sistem keamanan serta dampak yang dihasilkan pada web server, dalam hal ini CPU Usage web server cloud. Untuk sanggup melakuan ICMP Flood memakai Hping3, ketikkan perintah berikut pada terminal:
hping3 –p 80 --flood –-icmp 192.168.1.10
Agar proses analisa data log dari setiap keadaan pengujian lebih efisien dan gampang dianalisa, maka untuk setiap pengujian file log akan dihapus lalu dibentuk kembali, serta log daemon serta sistem keamanan yang dipakai direstart. Ini supaya dalam setiap pengujian paket yang di-log oleh Iptables/Psad sanggup berjumlah sampai ribuan paket sehingga sanggup menjadikan kesulitan dalam menganalisa data log dari setiap keadaan pengujian pada PC Router. Serta sampel log yang diambil yakni paket yang berada di urutan terakhir supaya lebih memudahkan serta efisien dalam menganalisa paket tersebut.
Paket yang di log merupakan paket yang mempunyai prefix sebagaimana berikut :
“INVALID PKT “ Paket yang termasuk/memiliki prefix ini yakni paket yang tidak sesuai/invalid dengan state yang ada. Artinya tidak termasuk kedalam koneksi apapun yang berjalan/ada pada server.
“SPOOFED IP “ Paket yang mempunyai prefix ini yakni paket yang berasal dari LAN 1 yang mempunyai alamat sumber sama dengan alamat IP dari LAN 2.
“DROP PKT “ Paket yang mempunyai prefix ini yakni paket yang tidak sesuai dengan rules yang ada pada firewall.
“ICMP FLOOD “ Paket yang mempunyai prefix ini yakni paket yang terdeteksi sebagai paket DOS ICMP Flood.
B. Pengujian PC Router sebagai Firewall
Pada pengujian PC Router sebagai Firewall, fitur keamanan firewall yang dipakai yaitu Iptables. Dimana firewall Iptables sudah terkonfigurasi dan diatur paket-paket apa saja kah yang diijinkan masuk kedalam jaringan/web server dan mana yang tidak (rules and policy). Paket yang tidak sesuai dengan rules/policy yang diterapkan akan di log dan data log tersebut akan dianalisis.
1. Pengujian Menggunakan Nmap
Digunakan Nmap TCP Connect Scan () untuk melaksanakan port scan/sweep terhadap web server cloud dan melihat jadinya apakah firewall berfungsi dengan baik. Berikut merupakan hasil tampilan dari Nmap dikala firewall diterapkan.
gambar 4.2
Pada tampilan hasil scan Nmap pada gambar diatas (Gambar 4.2), didapatkan hasil bahwa Nmap telah melaksanakan Port Scan pada web server selama 17,48 detik dan layanan (service) yang ada pada web server cloud yakni untuk http (port 80), https (port 443) dan DNS (port 53). Tetapi yang dalam keadaan terbuka (open/tersedia pada web server tersebut) yakni layanan untuk http dan https (port 80 dan 443), sedangkan untuk layanan DNS (port 53), walaupun pada web server ada layanan untuk DNS tetapi web server tidak menyediakannya untuk client alasannya yakni dalam keadaan tertutup (closed).
Berikut merupakan hasil data log Iptables terhadap port scan yang dilakukan oleh Nmap.
gambar 4.3
Pada tampilan Gambar 4.3 diatas, didapatkan hasil bahwa Iptables telah melaksanakan log berjumlah 2006 paket yang dimana paket-paket tersebut berasal dari port scan yang dilakukan oleh Nmap yang sebelumnya (Gambar 4.2). Paket tersebut di log dan drop oleh Iptables alasannya yakni tidak sesuai dengan rules dan policy yang diterapkan pada firewall. Hasil analisa ini didapat dari Prefix paket yang dilog tersebut yaitu “DROP PKT”, menyerupai yang digambarkan pada Gambar 4.3 diatas dan detil isi paket pada Gambar 4.4.
gambar 4.4
Pada Gambar 4.4 diatas merupakan sampel paket yang di-log oleh Iptables. Isi sampel paket tersebut berupa nilai-nilai yang ada pada TCP/IP header yang dimiliki oleh paket tersebut. Untuk klarifikasi detil mengenai sampel paket log Iptables menyerupai yang digambarkan pada Gambar 4.4 akan dijelaskan di bab lampiran.
Ketika dilakukan scan nmap kembali kepada web server private cloud, paket yang di-log oleh Iptables bertambah dari yang asalnya 2006 paket, menjadi 4012 paket. Dengan kata lain, setiap nmap TCP Connect Scan Iptables sanggup melaksanakan log paket 1990-2020 paket.
2. Pengujian memakai Hping3
Untuk melaksanakan serangan DOS, dipakai tools hping3 yang dimana tipe DOS yang dilakukan yakni ICMP Flood. Ketikkan perintah berikut pada terminal dan perhatikan hasil nya pada server dan data log sistem keamanan dikala firewall Iptables diterapkan
gambar 4.5
Dari Gambar 4.5 diatas didapatkan hasil bahwa selama 30 detik, hping3 mengirimkan paket ICMP_ECHO_REQUEST kepada web server sebanyak 4381686 paket dan paket tersebut 100% Loss. Ini alasannya yakni hping3 dalam melaksanakan ICMP Flood, hanya mengirimkan paket yang berisi ICMP_ECHO_REQUEST saja kepada web server tanpa menghiraukan jawaban dari web server cloud tersebut (ICMP_ECHO_REPLY) atas usul Attacker tersebut. Ini didapatkan dari Gambar 4.5 tersebut yang dimana ada keterangan 0 packets received. Berikut merupakan hasil log dari Iptables terhadap ICMP Flood yang dilakukan.
gambar 4.6
Pada gambar 4.6 tersebut, dijelaskan bahwa Iptables telah melaksanakan paket log pada ICMP Flood tersebut sebanyak 64 paket. Yang dimana sebagian besar paket tersebut mempunyai log prefix “ICMP Flood”. Ini artinya Iptables telah mendeteksi suatu serangan DOS berupa ICMP Flood dan lalu paket ICMP tersebut di log dan drop oleh Iptables. Pada Gambar 4.6 dan 4.5 didapatkan hasil bahwa hping3 telah melaksanakan ICMP Flood dengan mengirimkan paket sebanyak 4381686 paket, tetapi paket yang di-log oleh Iptables hanya berjumlah 64 paket. Terjadinya perbedaan jumlah paket yang dikirim dan di-log oleh firewall ini alasannya yakni keterbatasan kemampuan seberapa cepat Iptables menghasilkan sebuah pesan log. Dengan kata lain, alasannya yakni Iptables menulis pesan log terlebih dahulu kepada sebuah Ring Buffer di dalam kernel, sehingga apabila traffic rate yang terjadi sangat cepat untuk menjadikan penulisan ulang pesan yang ada pada Ring Buffer, sebelum pesan yang usang ditulis pada file log yang dipakai (/var/log/hasil-log.log), maka pesan tersebut akan hilang sebelum dikirim ke file log yang dipakai alasannya yakni tertimpa pesan log yang baru.
Analisa ini didapat dengan cara melihat waktu log Iptables, bahwa rata-rata Iptables dalam 1 detik hanya sanggup melaksanakan log paket sejumlah 2-4 paket, dan apabila dalam 30 detik maka Iptables hanya sanggup melaksanakan log paket rata-rata sekitar sebanyak 60-80 paket. Sedangkan hping3 selama 30 detik menghasilkan sebanyak 4381686 paket, dan apabila dihitung hping3 dalam 1 detik menghasilkan/mengirimkan sebanyak 146056 paket. Sehingga terjadi perbedaan yang begitu besar antara pihak yang hanya mengirimkan paket yaitu Attacker PC dengan pihak yang mendapatkan paket yaitu PC Router. Akibatnya yakni perbedaan jumlah paket yang di log oleh Iptables dengan paket yang dihasilkan oleh hping3. Berikut merupakan pengaruh/dampak yang terjadi pada CPU Usage web server private cloud terhadap serangan ICMP Flood tersebut.
gambar 4.7
Pada Gambar 4.7 diatas didapatkan bahwa dikala ICMP Flood dilakukan terhadap web server private cloud, web server tidak terpengaruh terhadap serangan tersebut. Ini dibuktikan dengan CPU Usage web server yang bernilai 0- 1%.
Ketika dilakukan serangan ICMP Flood kembali, jumlah paket yang di-log oleh Iptables bertambah dari yang sebelumnya berjumlah 64 paket menjadi 130 paket. Sehingga setiap pengujian memakai ICMP Flood pada web server, dalam 30 detik Iptables bisa melaksanakan log terhadap serangan tersebut sebanyak 60-80 paket.
Quis :
1. Bagaimana ciri-ciri paket yang telah di log ?
2. Apa yang dimaksud loglist firewall ?
3. Bagaimana cara melaksanakan melakukan Nmap TCP Connect () Scan ?
4. Bagaimana cara melakuan ICMP Flood memakai Hping3 ?
5. Apa yang dimaksud dengan DROP PKT ?
SEMOGA BERMANFAAT 😊😊
Komentar
Posting Komentar