bab i pendahuluan

BAB I
PENDAHULUAN
1.1. Latar Belakang Masalah
Latar belakang penelitian ini dimulai dari banyaknya kejadian serangan
yang sering terjadi di Internet. Serangan tersebut diantaranya adalah SYN Flood,
IP Spoofing, serangan DoS (Denial of Service), serangan UDP Flood, serangan
Ping Flood, serangan Teardrop, Land Attack, Smurf Attack, Fraggle Attack
(Jingna, 2012). Serangan DoS merupakan salah satu jenis serangan pada jaringan
komputer yang melakukan eksploitasi koneksi jaringan yang mengakibatkan
sistem operasi pada server tersebut kehabisan sumber daya. Hal tersebut
mengakibatkan server tidak mampu melayani permintan user yang sah bahkan
menyebabkan jaringan menjadi down (Kak, 2013).
Berdasarkan serangan yang sering terjadi dalam jaringan Internet
tersebut, maka perlu penelitian forensik untuk membantu mengelompokkan log
sehingga informasi penyerang dapat segera diketahui. Forensik digital merupakan
ilmu yang berhubungan dengan proses recovery dan penyelidikan bahan yang
ditemukan dalam data digital, hal ini sering dilakukan sebagai bagian dari
investigasi kriminal (Anstee, 2012), (NISTa, 2012) (NISTb, 2012), dimana ruang
lingkup dari data digital terdiri dari sistem komputer, media penyimpanan,
dokumen elektronik, atau bahkan urutan paket data yang dikirimkan di seluruh
jaringan komputer. Sedangkan forensik jaringan merupakan bagian dari forensik
digital yang berfokus pada pemantauan dan analisis lalulintas data yang ada dalam
jaringan. Jenis data yang ditangani pada forensik jaringan berupa data dinamis.
Hal itu berbeda dengan yang ada pada forensik digital, di mana datanya bersifat
statis (Hunt, 2012).
1
2
Penelitian tentang forensik berkaitan dengan data yang ditemukan di
dalam lalulintas jaringan. Forensik jaringan menganalisis lalulintas data melalui
firewall atau sistem deteksi penyusup pada perangkat jaringan seperti router.
Tujuannya adalah untuk melakukan traceback ke sumber serangan sehingga
identitas penyerang dapat diketahui (Pilli, 2010). Selain itu forensik jaringan
mempunyai tujuan mengumpulkan, mengidentifikasi dan menganalisis dokumen
dari beberapa proses dan pengiriman data digital. Aktifitas ini mempunyai tujuan
untuk mendapatkan informasi atau fakta-fakta yang berhubungan dengan
penyerang (Palmer, 2001).
Forensik jaringan dapat didefinisikan sebagai proses merekam dan
menganalisis peristiwa pada jaringan untuk menemukan sumber serangan. Selain
itu peran pemantauan lalulintas data dalam jaringan adalah untuk mengidentifikasi
adanya anomali paket data untuk ditindaklanjuti dengan cara direkam dan
dianalisis (Ranum, 2013). Seringkali terjadi kasus penyerangan pada jaringan yang
dilakukan dengan berbagai cara dan teknologi, tidak terkecuali penyerangan juga
ditujukan pada Internet Service Provider (ISP). Oleh karena itu diperlukan adanya
forensik jaringan (Perry, 2006).
Forensik jaringan dapat dikembangkan menggunakan teknologi data
mining yang bertujuan untuk menemukan pola serangan berdasarkan data dalam
jumlah besar (Bhat, 2010). Data mining adalah proses menemukan beberapa pola
tersembunyi dan informasi dari sejumlah data yang tersimpan pada basisdata
(Phridviraj, 2014). Proses forensik jaringan khususnya yang dilakukan
menggunakan Internet saat ini mengalami peningkatan yang pesat. Untuk
membantu
memudahkan proses
forensik
jaringan
Internet
maka
perlu
dikembangkan sebuah alternatif solusi dalam bentuk framework untuk
mempermudah penemuan informasi penyerang. Framework yang dikembangkan
dalam penelitian ini mencakup secara keseluruhan tahapan yang terjadi dalam
proses forensik. Proses forensik secara keseluruhan diawali dari masukan yang
3
berupa log yang didapatkan dari hasil proses penangkapan dan perekaman yang
terjadi dalam lalulintas jaringan. Setelah informasi log diperoleh dan disimpan
dalam basisdata maka log tersebut akan diproses menggunakan teknik clustering
untuk dapat menghasilkan informasi penyerang yang dibutuhkan oleh pengguna
dalam hal ini penyidik. Proses analisis dan pengelolaan log membutuhkan aplikasi
tambahan yang dapat membantu mengimplementasikan framework tersebut.
Selanjutnya aplikasi bantu berbasis web tersebut selanjutnya disebut dengan
NFAT (Network Forensic Analysis Tools). Aplikasi NFAT ini terintegrasi dalam
framework yang diusulkan dalam penelitian ini. Aplikasi NFAT dalam membantu
menemukan informasi penyerang membutuhkan proses analisis yang rumit. Untuk
mengurangi kerumitan dalam mengolah data maka dalam penelitian ini
memanfaatkan teknik clustering.
Teknik clustering merupakan salah satu metode yang dapat digunakan
untuk membantu mempermudah dalam mengidentifikasi serangan pada jaringan
(Liao, 2012). Clustering akan membagi data ke dalam beberapa cluster dimana
data dalam satu cluster mempunyai karakteristik yang sama (Berkhin, 2002) serta
mempunyai persamaan yang esensial (Molina, 2002). Pemilihan teknik clustering
dalam penelitian ini dikarenakan karakteristik log yang berisi informasi penyerang
mempunyai ukuran yang besar, sehingga pengelompokan informasi log
diperlukan untuk mempermudah mengetahui informasi penyerang yang terjadi
dalam jaringan Internet. Teknik clustering dapat diimplementasikan menggunakan
algoritma k-means.
Algoritma k-means merupakan salah satu algoritma clustering yang paling
populer dan banyak digunakan dalam dunia industri (Berkhin, 2002). Metode
k-means mengelompokkan objek ke dalam suatu cluster, nilai keanggotaan
cluster dihitung centroid dari setiap cluster dengan mencari jarak antara setiap
data dengan masing-masing centroidnya. Jika suatu data memiliki jarak terdekat
4
suatu centroid dari suatu cluster maka data tersebut menjadi angggota dari
cluster tersebut (Abbas, 2008).
Serangan yang terjadi dalam jaringan Internet secara umum dapat
disimpan dalam sebuah log yang memiliki format data tertentu. Informasi
lalulintas data dalam jaringan disimpan dalam log, yang bertujuan untuk
membantu administrator mengetahui apa yang terjadi di jaringan serta dapat
membantu proses penelusuran serangan yang terjadi (Larsen, 2003). Log dari
lalulintas data yang ada dalam jaringan tersebut nantinya berfungsi untuk
membantu menemukan informasi penyerang. Log tersebut disimpan dalam format
asli berbentuk file teks serta disimpan dalam basisdata. Log memiliki ukuran yang
besar, oleh karena itu perlu dilakukan beberapa tindakan untuk mempermudah
proses penyimpanan dan pencarian informasi dalam basisdata tersebut.
Peningkatan hasil penyimpanan dan pencarian basisdata diperlukan untuk
mempercepat penemuan informasi penyerang melalui proses forensik Internet.
Log dalam penelitian ini dihasilkan oleh tools tcpdump. Hasil output tcpdump
disimpan ke dalam file teks dan basisdata. File teks akan digunakan untuk
melakukan proses verifikasi dalam tahapan akhir penelitian ini. Sedangkan log
yang disimpan dalam basisdata akan dilakukan menggunakan teknik partisi
basisdata. Teknik partisi memungkinkan proses distribusi secara merata di seluruh
node dan masing-masing memiliki simpul terpisah dari yang lain (Moll, 2012).
Mekanisme penyimpanan log yang diusulkan menggunakan pendekatan teknik
partisi basisdata secara horisontal sehingga log yang sudah diekstrak, disimpan
kemudian akan dipartisi menjadi beberapa bagian untuk mempermudah proses
penyimpanan dan pencarian informasi yang diperlukan.
Aplikasi berbasis web untuk mendeteksi serangan yang terjadi dalam
Internet selanjutnya akan disebut dengan mesin NFAT (Network Forensic
5
Analysis Tools) dimana dalam penelitian ini akan digunakan sebagai proof of
concept penerapan framework untuk forensik Internet yang diusulkan.
1.2. Rumusan Permasalahan
Berdasarkan hasil kajian literatur, diperlukan adanya framework untuk
forensik Internet yang bertujuan membantu proses penyelidikan kejahatan yang
dilakukan menggunakan jaringan Internet. Oleh karena itu fokus pada penelitian
ini adalah membuat framework tersebut.
Kamus oxford online (2013)
menjelaskan framework sebagai : a basic structure underlying a system, concept,
or text. Konsep framework digunakan pada penelitian untuk menggambarkan
secara utuh ide yang diusulkan. Dalam penelitian ini framework didefinisikan
sebagai desain tahapan untuk melakukan forensik Internet yang didasarkan pada
log sebagai input, teknik clustering dan teknik partisi basisdata sebagai proses dan
hasil validasi diharapkan sebagai output.
Permasalahan penelitian ini dapat dirumuskan sebagai berikut :
1) Apakah
framework
untuk
forensik
Internet
dalam
penelitian
ini
memungkinkan pengguna dalam hal ini penyidik untuk mengetahui informasi
terkait level serangan dan sumber penyerang yang terjadi dalam jaringan
Internet.
2) Apakah teknik clustering yang diusulkan dalam framework untuk forensik
Internet mampu mengelompokkan level serangan dan menunjukkan informasi
penyerang yang terjadi dalam jaringan Internet sehingga dapat memudahkan
proses pencarian informasi terkait penyerang tersebut.
3) Apakah teknik partisi basisdata yang diusulkan sebagai alternatif peningkatan
kinerja penyimpanan dalam framework untuk forensik Internet dapat
mempermudah proses penyimpanan dan pencarian log penyerang yang terjadi
dalam jaringan Internet.
6
4) Apakah mesin NFAT sebagai implementasi framework untuk forensik Internet
dapat menunjukkan dan menginformasikan level serangan serta informasi
penyerang yang terjadi dalam jaringan Internet sehingga memudahkan proses
verifikasi terhadap sumber serangan tersebut.
1.3. Tujuan Penelitian
Berangkat dari banyaknya kejahatan yang terjadi dalam jaringan Internet,
maka penelitian ini bertujuan untuk :
1) Menghasilkan framework untuk forensik Internet dalam bentuk tahapan-
tahapan proses yang harus dilalui pengguna dalam hal ini penyidik supaya
informasi terkait level serangan dan sumber penyerang dapat diketahui
sehingga dapat digunakan untuk mengungkap kejahatan yang dilakukan
menggunakan jaringan Internet.
2) Mengimplementasikan teknik clustering menggunakan algoritma k-means
untuk mengelompokkan log menjadi tiga level serangan yaitu (berbahaya,
agak berbahaya dan tidak berbahaya) dan menunjukkan informasi penyerang
supaya dapat mempermudah proses pencarian informasi sehingga dapat
membantu proses penyelidikan dalam mengungkap kejahatan yang
dilakukan menggunakan jaringan Internet.
3) Mengimplementasikan teknik partisi basisdata secara horisontal untuk
meningkatkan kinerja penyimpanan dan proses pencarian log penyerang
yang terjadi dalam jaringan Internet supaya informasi terkait penyerang
dapat segera diketahui.
4) Menunjukkan dan menginformasikan level serangan serta informasi
penyerang yang terjadi dalam jaringan Internet melalui mesin NFAT
(Network Forensic Analysis Tools) sehingga memudahkan proses verifikasi
terhadap sumber serangan tersebut.
7
1.4. Manfaat Penelitian
Penelitian ini memberi manfaat bagi area penelitian maupun bagi para
penyidik dan administrator jaringan terkait penemuan informasi penyerang
melalui forensik Internet sebagai berikut :
1) Memberi kontribusi pada area penelitian keamanan jaringan, khususnya pada
forensik Internet, melalui review beberapa penelitian terkini pada area tersebut
kemudian dilanjutkan dengan melakukan pengembangan framework untuk
forensik Internet.
2) Penelitian ini diharapkan mampu memudahkan pengguna dalam hal ini
penyidik untuk melakukan proses forensik khususnya yang terjadi dalam
jaringan Internet, dimana informasi terkait penyerang dapat segera diketahui
untuk ditindaklanjuti sebagai bahan untuk membantu mengungkap serangan
yang terjadi dalam jaringan Internet.
3) Penelitian ini diharapkan dapat meningkatkan kesadaran (awareness) akan
pentingnya keamanan dalam jaringan Internet, khususnya terkait serangan
yang sering terjadi dalam Internet sehingga diharapkan administrator jaringan
dapat mengetahui anomali atau serangan yang terjadi dalam jaringan yang
dikelolanya.
1.5. Batasan Penelitian
Dalam rangka mencapai tujuan yang telah ditetapkan di atas, maka perlu
ditetapkan batasan-batasan masalah dalam penelitian ini, yaitu :
1.
Penelitian ini berfokus untuk menganalisis lalulintas data yang berada dalam
jaringan Internet melalui log. Log yang dihasilkan merupakan hasil output
dari tcpdump, dimana log akan disimpan menjadi file asli dalam bentuk file
teks serta log yang disimpan dalam basisdata. Log tersebut dihasilkan oleh
tools tcpdump yang secara realtime menangkap lalulintas data yang ada
dalam jaringan melalui interface jaringan yang sudah ditentukan.
8
2.
Penelitian ini tidak membahas penurunan kinerja yang di akibatkan oleh
adanya proses capture lalulintas data yang berlangsung secara terus menerus.
Proses penangkapan data dalam hal ini dilakukan mengunakan
tools
tcpdump.
3.
Penelitian ini dalam mengolah log menggunakan teknik clustering dengan
algoritma k-means untuk mengelompokkan level serangan. Berdasarkan level
serangan maka tools ini mengelompokkan log menjadi tiga level serangan
yaitu serangan berbahaya (dangerous attack), serangan agak berbahaya
(rather dangerous attack) dan serangan tidak berbahaya (not dangerous
attack) berdasarkan informasi nomor port dan tcpflag dari paket data yang
ada dalam jaringan.
4.
Penelitian ini mendeteksi serangan yang ada dalam jaringan Internet yang
memanfaatkan protokol TCP, UDP dan ICMP.
5.
Skenario serangan yang digunakan dalam penelitian ini menggunakan jenis
serangan DoS (Denial of Service) menggunakan tools DoSHTTP dan LOIC
(Low Orbit Ion Cannon). Tools tersebut dipilih karena menjadi tools standar
yang digunakan dalam proses pembelajaran ethical hacking (CEH v.7) untuk
membantu proses rekonstruksi jenis serangan DoS.
6.
Penelitian ini memanfaatkan IP header untuk menentukan serangan yang
terjadi dalam jaringan komputer. IP header akan dilakukan identifikasi
berdasarkan panjang (length) dari paket data tersebut. Hasil identifikasi ini
yang akan membedakan paket normal dan paket yang dicurigai melakukan
serangan. Berdasarkan informasi IP header dalam paket data TCP/IP dapat
diidentifikasi bahwa panjang (length) paket normal mempunyai ukuran antara
20 – 60 byte.
7.
Mesin NFAT yang dikembangkan berbasis platform open source, dimana
sistem operasi menggunakan Linux dengan distro Ubuntu, database server
menggunakan MySQL, Framework CakePHP digunakan untuk melakukan
pengembangan aplikasi.
9
1.6. Metodologi Penelitian
Metodologi dalam penelitian ini dibagi dalam enam tahapan utama, yaitu
(1) studi literatur, (2) identifikasi kebutuhan, (3) pengembangan framework untuk
forensik Internet, (4) analisis (5) implementasi dan (6) pengujian. Penjelasan tiap
tahapan adalah sebagai berikut :
1) Studi literatur. Tahapan ini dilakukan untuk mengumpulkan informasi dari
penelitian-penelitian yang telah ada dan terkini dalam bidang keamanan
komputer dan forensik jaringan. Literatur didapatkan dari berbagai jurnal
ilmiah dan prosiding International, buku teks dan dokumen. Penelitian ini
difokuskan
pada
area
forensik
Internet
untuk
menunjukkan
dan
menginformasikan level serangan serta informasi penyerang sehingga dapat
membantu mengungkap kejahatan digital yang dilakukan menggunakan
jaringan Internet.
2) Identifikasi kebutuhan. Tahapan ini mengidentifikasi kebutuhan apa saja yang
mempengaruhi forensik Internet. Tahapan ini penting dipahami karena
merupakan langkah awal perumusan framework untuk forensik Internet dalam
penelitian ini. Dalam forensik Internet log merupakan salah satu faktor
penting untuk mengetahui dan menganalisis lalulintas data dalam jaringan
komputer. Pada tahap ini juga dilakukan pengumpulan data dengan cara (1)
memahami literatur, regulasi pemerintah dan dokumen terkait; (2) melakukan
wawancara dengan penyidik selaku pihak yang berwenang yang menangani
kasus kejahatan khususnya cybercrime (3) melakukan observasi dengan
penyidik sehingga proses bisnis forensik dapat lebih mudah dipahami.
3) Pengembangan framework untuk forensik Internet. Berdasarkan studi literatur
dan identifikasi kebutuhan, penelitian ini mengimplementasikan konsep
clustering dan konsep partisi basisdata untuk diintegrasikan dalam framework
untuk forensik Internet. Konsep-konsep yang digunakan dalam penelitian ini
adalah :
10
a) Konsep clustering. Konsep ini digunakan untuk mempermudah proses
pengelompokan data. Data dalam hal ini merupakan log yang berisi
informasi lalulintas data dalam jaringan. Teknik clustering yang
diterapkan menggunakan algoritma k-means untuk mengelompokkan level
serangan. Level serangan dikelompokkan menjadi tiga yaitu serangan
berbahaya, serangan agak berbahaya dan serangan tidak berbahaya.
b) Konsep partisi basisdata. Konsep ini digunakan untuk meningkatkan
kinerja penyimpanan dan pencarian informasi yang disimpan dalam
basisdata. Basisdata yang berisi log akan dipartisi menjadi beberapa
bagian sesuai dengan jumlah bulan dalam satu tahun. Teknik partisi yang
diterapkan menggunakan teknik partisi secara horisontal.
4) Analisis. Analisis dilakukan terhadap kebutuhan forensik Internet, sehingga
dapat dirumuskan kebutuhan sistem untuk mencapai tujuan penelitian. Selain
itu analisis juga dilakukan terhadap proses bisnis yang berlaku secara umum
dalam forensik Internet.
5) Implementasi. Dalam tahapan ini dilakukan perancangan dan pengembangan
mesin NFAT. Prototipe ini dikembangkan berbasis web menggunakan
platform open source dengan alamat http://nfat.uad.ac.id. dengan IP Address :
203.190.115.149. Prototipe ini berfungsi sebagai tools untuk proof of concept
framework untuk forensik Internet yang diusulkan.
6) Pengujian. Tahapan ini merupakan pengujian dan proses verifikasi terhadap
konsep yang diusulkan. Pengujian dilakukan menggunakan skenario
penyerangan yang dilakukan menggunakan simulasi serangan ke dalam
jaringan. Kemudian akan dilakukan verifikasi dengan file log asli dalam
bentuk file teks. Skenario serangan dalam hal ini dilakukan menggunakan
software DosHTTP (HTTP Flood Denial of Service (DoS) Testing Tools dan
LOIC (Low Orbit Ion Cannon).
Pengujian dilakukan dalam bentuk
eksperimen menggunakan beberapa komputer yang bertindak sebagai
11
penyerang serta sebuah mesin NFAT (Network Forensic Analysis Tools) yang
berfungsi merekam dan menganalisis simulasi serangan DoS (Denial of
Service)
sehingga
proses
rekonstruksi
dan
verifikasi
dapat
mudah
diimplementasikan.
1.7. Sistematika Penelitian
Penulisan disertasi ini dibagi dalam tujuh bab, dengan rincian sebagai
berikut :
1) Bab satu merupakan pembahasan terhadap latar belakang, perumusan
masalah, tujuan, manfaat, batasan penelitian, metodologi penelitian,
sistematika penulisan dan publikasi yang dihasilkan dalam penelitian.
2) Bab dua merupakan tinjauan pustaka mengenai forensik jaringan, teknik
clustering dan teknik partisi basisdata. Bab ini juga merupakan survey literatur
tentang serangan dan tools forensik jaringan yang sudah ada.
3) Bab tiga merupakan landasan teori. Bab ini membahas tentang teori-teori
tentang keamanan komputer, konsep clustering, konsep partisi basisdata serta
konsep pengembangan framework untuk forensik Internet.
4) Bab empat merupakan tahapan pembuatan rancangan framework untuk
forensik Internet yang diusulkan dalam penelitian ini. Pada bab ini dilakukan
identifikasi kebutuhan dan proses bisnis forensik Internet yang akan
dikembangkan.
5) Bab lima merupakan tahapan implementasi. Pada bab ini akan dibahas proses
deteksi serangan dalam jaringan komputer, struktur mesin NFAT dan
arsitektur implementasi mesin NFAT.
6) Bab enam merupakan hasil penelitian dan pengujian terhadap framework
untuk forensik Internet yang diusulkan, tahapan ini berisi proses analisis hasil
proses mesin NFAT dan skenario pengujian mesin NFAT ini.
12
7) Bab tujuh merupakan bagian akhir disertasi yang berisi kesimpulan dan saran
untuk penelitian lebih lanjut.
1.8. Publikasi yang dihasilkan
Penelitian ini telah menghasilkan beberapa publikasi, yaitu :
1) Riadi, I., Istiyanto,J.E., 2009, The Application of Intrusion Detection Systems to
Network Forensics, Seminar International ISSTEC 2009. Paper ini membahas
tentang fungsi IDS terkait yang digunakan dalam forensik jaringan.
2) Riadi, I., Subanar., 2009, Framework On Crime Datamining, Seminar
Internasional IIS 2009. Paper ini membahas tentang teknik data mining yang
dapat digunakan untuk membantu mengidentifikasi kejahatan digital.
3) Riadi, I., Ashari, A., 2009, Rule Based Network Management Using SNMP,
Seminar International IIS 2009. Paper ini membahas tentang pengelolaan
manajemen jaringan berbasis protokol SNMP.
4) Riadi, I., Istiyanto, J.E., Ashari, A., Subanar, 2012, Log Analysis Techniques using
Clustering in Network Forensics, International Journal of Computer Science
and Information Security (IJCSIS), Vol. 10 No. 7 July 2012.
Paper ini
membahas tentang teknik clustering menggunakan algoritma k-means untuk
mengelompokkan jenis serangan menjadi tiga kategori (berbahaya, agak
berbahaya, dan tidak berbahaya) sehingga dapat digunakan membantu
menemukan informasi penyerang yang dilakukan menggunakan Internet.
5) Riadi, I., Istiyanto, J.E., Ashari, A., Subanar, 2013, Internet Forensics Framework
Based-on Clustering, International Journal of Advanced Computer Science
and Applications (IJACSA), Vol 4. No.12. 2013. Paper ini membahas tentang
pemanfaatan framework untuk forensik Internet dengan tujuan mendeteksi
serangan
Denial
of
Service
menggunakan algoritma k-means.
(DoS) menggunakan teknik
clustering