KI: PRAKTEK 5: Intrusion Detection Dasar

Tujuan

Setelah praktikum ini, mahasiswa mampu mendeteksi serangan sederhana di jaringan, memahami jenis alert IDS, dan menafsirkan makna teknis di balik alert, bukan hanya membaca log secara pasif.

Yang dilatih bukan hanya “menjalankan tool”, tetapi cara berpikir security analyst:

• Apa yang normal?
• Apa yang mencurigakan?
• Kenapa ini dianggap serangan?

Konsep Inti (Wajib Dipahami)

1. Apa itu Intrusion Detection System (IDS)

IDS adalah sistem yang mengamati trafik atau log, lalu memberi peringatan (alert) ketika menemukan pola yang dianggap berbahaya.

IDS ≠ Firewall
Firewall mencegah, IDS mendeteksi.

2. Signature-based vs Anomaly-based Detection

Signature-based Detection

Mencocokkan trafik dengan pola serangan yang sudah dikenal.

Contoh:

• Request HTTP mengandung /etc/passwd
• Scan port berurutan
• Payload mengandung shellcode

Kelebihan

• Akurat
• Sedikit false positive

Kekurangan

• Tidak bisa mendeteksi serangan baru (zero-day)

Anomaly-based Detection

Mencari perilaku yang menyimpang dari kebiasaan normal.

Contoh:

• 1000 request dalam 1 detik
• Login gagal berulang
• Pola waktu akses tidak wajar

Kelebihan

• Bisa mendeteksi serangan baru
• Cocok untuk unknown attack

Kekurangan

• Banyak false positive
• Perlu baseline yang baik

Di dunia nyata, IDS modern menggabungkan dua pendekatan ini.

Tools yang Digunakan (Open Source)

Kita akan menggunakan dua pendekatan nyata:

• Snort → contoh signature-based IDS
• Python Log Parser → simulasi anomaly-based IDS

Semua dijalankan di:

• Ubuntu Linux 24.04
• Tanpa software proprietary

BAGIAN A — IDS Signature-Based dengan Snort

Step 1 — Instalasi Snort (Ubuntu 24.04)

sudo apt update
sudo apt install -y snort

Saat instalasi:

• Pilih interface jaringan (misalnya eth0 atau ens33)
• HOME_NET → isi dengan jaringan lokal, contoh:

192.168.1.0/24

Verifikasi:

snort -V

Step 2 — Menjalankan Snort dalam Mode IDS

Gunakan mode console agar alert langsung terlihat:

sudo snort -A console -q -c /etc/snort/snort.conf -i eth0

Keterangan:

-A console → tampilkan alert di terminal
-q → quiet mode
-c → file konfigurasi
-i → interface jaringan

Step 3 — Membuat Rule IDS Sederhana (Signature)

Buka file rule lokal:

sudo nano /etc/snort/rules/local.rules

Tambahkan rule berikut:

alert icmp any any -> any any (msg:"ICMP Ping Detected"; sid:1000001; rev:1;)

Reload Snort:

sudo systemctl restart snort

Step 4 — Simulasi Serangan Sederhana (Ping Flood)

Dari mesin lain (atau VM kedua):

ping -c 5 IP_TARGET

Hasil yang Diharapkan

Snort akan menampilkan alert:
[**] ICMP Ping Detected [**]

Interpretasi

• IDS mendeteksi trafik ICMP
• Bukan serangan fatal, tapi indikasi reconnaissance

Step 5 — Simulasi Serangan Port Scanning

Install nmap:

sudo apt install -y nmap

Lakukan scan:

nmap -sS IP_TARGET

Snort akan memunculkan alert scanning jika rule aktif.

Output Snort

• Alert di terminal
• Log di /var/log/snort/alert

Contoh log:

[1:1000001:1] ICMP Ping Detected

BAGIAN B — IDS Sederhana dengan Python (Anomaly-Based)

Sekarang kita tidak pakai signature, tapi analisis perilaku log.

Tujuan

Mendeteksi:

• Terlalu banyak request
• Pola akses tidak normal
• Brute-force login

Step 1 — Contoh Log yang Dianalisis

Misalnya log web server (access.log):

192.168.1.10 - - [20/Jan/2026:10:00:01] "GET /login HTTP/1.1" 200
192.168.1.10 - - [20/Jan/2026:10:00:02] "GET /login HTTP/1.1" 401
192.168.1.10 - - [20/Jan/2026:10:00:03] "GET /login HTTP/1.1" 401
192.168.1.10 - - [20/Jan/2026:10:00:04] "GET /login HTTP/1.1" 401

Step 2 — Script Python IDS Sederhana

Buat file ids_log_parser.py:

from collections import defaultdict

THRESHOLD = 3
ip_counter = defaultdict(int)

with open("access.log", "r") as log:
    for line in log:
        ip = line.split()[0]
        ip_counter[ip] += 1

for ip, count in ip_counter.items():
    if count > THRESHOLD:
        print(f"[ALERT] Suspicious activity from {ip} ({count} requests)")

Jalankan:

python3 ids_log_parser.py

Interpretasi Output=

[ALERT] Suspicious activity from 192.168.1.10 (4 requests)

Maknanya:

• IP melakukan request berulang
• Bisa indikasi brute-force, bot, atau scanner

=Diskusi Keamanan (Penting)

• Apakah ini serangan pasti? → Tidak
• Apakah ini indikasi awal? → Ya
• Apakah perlu investigasi lanjut? → Wajib

IDS tidak mengambil keputusan, IDS memberi sinyal.
Manusialah yang memutuskan.

Output Praktikum (Yang Dikumpulkan)

Mahasiswa wajib menyerahkan:

• Log alert Snort
• Output script Python
• Interpretasi singkat, menjawab:
  • Serangan apa?
  • Bukti teknisnya?
  • Dampak jika tidak terdeteksi?

Kesimpulan

• Security bukan tentang tool
• IDS bukan alat ajaib
• Yang penting adalah:
  • Visibility
  • Log
  • Reasoning

Jika kamu bisa menjelaskan KENAPA sebuah alert muncul, berarti kamu sudah berpikir seperti security engineer.

Pranala Menarik

• Keamanan Informasi: Kuliah