Honeypot

Universitas Budi Luhur Jakarta May 31, 2014

Menganalisis perilaku Malware berbasis Web melalui klien Honeypots
2
Presentation to Universitas Budi Luhur | Mkom XK
http://freerangestock.com/details.php?gid=
&sgid=&pid=1521
ABDUL ROJAK
1311600058
ARRY PATRIA SURYA
101160082
MOHAMMAD ICHLAS
1311600215
Keamanan Sistem dan Jaringan Komputer
HAFIZAR
1211600505
3
Presentation to Universitas Budi Luhur | Mkom XK
3 Apa itu Honeypot ?
4
Presentation to Universitas Budi Luhur | Mkom XK
http://photodune.net/item/office/1544745
Definisi
Honeypot
adalah security resource
yang sengaja dibuat untuk
diselidiki, diserang, atau
dikompromikan. Pada
umumnya Honeypot berupa
komputer, data, atau situs
jaringan yang terlihat seperti
bagian dari jaringan, tapi
sebenarnya terisolasi dan
dimonitor. Jika dilihat dari
kacamata hacker yang akan
menyerang, Honeypot
terlihat seperti layaknya
system yang patut untuk
diserang.
5
Presentation to Universitas Budi Luhur | Mkom XK
Honeypot
Pada umumnya Honeypot berupa komputer, data, atau situs
jaringan yang terlihat seperti bagian dari jaringan, tapi sebenarnya
terisolasi dan dimonitor. Jika dilihat dari kacamata hacker yang
akan menyerang, Honeypot terlihat seperti layaknya system yang
patut untuk diserang.
Honeypot didesain dengan harapan bahwa ia akan diperiksa,
diserang , dan dieksploitasi. Tidak peduli apa resource-nya (apakah
router, script, penjara, atau system production yang sebenarnya).
Apa yang menjadi perhatian adalah nilai dari resource yang
tersimpan pada sistem ketika diserang. Jika system tidak diserang,
maka ia hanya memiliki sedikit nilai atau bahkan tidak memiliki nilai
sedikitpun. Ini merupakan kebalikan dari kebanyakan system
production dimana ia tidak boleh diperiksa atau diserang.
6
Presentation to Universitas Budi Luhur | Mkom XK
Honeypot
7
Presentation to Universitas Budi Luhur | Mkom XK
7 Ada 2 Jenis Honeypot ?
8
Presentation to Universitas Budi Luhur | Mkom XK
Jenis Honeypot
Research Honeypot
adalah honeypot yang didesain untuk
mendapatkan informasi mengenai
aktivitas aktivitas dari komunitas
penyerang atau penyusup. Research
honeypot tidak memberikan suatu nilai
tambah secara langsung kepada suatu
organisasi, melainkan digunakan
sebagai alat untuk meneliti ancaman -
ancaman keamanan yang mungkin
dihadapi dan bagaimana cara untuk
melindungi diri dari ancaman tersebut.
seperti siapakah yang melakukan
penyerangan, bagaimana mereka
mengorganisasikan diri mereka, tool apa
yang mereka gunakan untuk menyerang
system, dan dimana mereka
mendapatkan tools tersebut.
Production Honeypot
adalah untuk membantu mengurangi
resiko keamanan jaringan pada sebuah
organisasi. Production honeypot
memberikan suatu nilai tambah bagi
keamanan jaringan dari suatu
organisasi atau untuk law enforcement
(pelaksana hukum) dari teknologi
honeypot. Tanggung jawabnya adalah
untuk berhadapan dengan orang jahat.
Organisasi komersial sering
menggunakan production honeypot
untuk mengurangi resiko serangan.
Production honeypot biasanya lebih
mudah dibangun dan dideploy daripada
research honeypot karena
membutuhkan fungsionalitas yang lebih
sedikit.
9
Presentation to Universitas Budi Luhur | Mkom XK
Kesimpulan Jenis Honeypot
Jika production honeypot
bertindak seperti pelaksana
hukum, maka research
honeypot bertindak sebagai
counterintelligence yang
mengumpulkan informasi
orang jahat.
Maka Berhati-hatilah dengan Si Honeypot
10
Presentation to Universitas Budi Luhur | Mkom XK
Kegunaan Honeypot
1. Oleh administrator jaringan, untuk mempelajari bagaimana
penyerang masuk ke jaringan komputer, dengan memantau
metode penyerang dan eksploitasi ketika mereka
membahayakan sistem Honeypot.
2. Untuk mengumpulkan kode berbahaya dikenal dan tidak
dikenal untuk analisis oleh para profesional keamanan dan
perusahaan untuk merilis patch atau mempelajari metode
serangan baru yang digunakan.
3. Sebagai sasaran empuk bagi para penyerang untuk
berkompromi. Oleh karena itu, akan menarik perhatian
penyerang sekaligus menjaga mata mereka jauh dari server
jaringan, yang merupakan target sulit, sedangkan
administrator jaringan diberitahu tentang serangan dan
mampu mempertahankannya.
11
Presentation to Universitas Budi Luhur | Mkom XK
Adapun penggunaan dari honeypot untuk
beberapa kelompok / organisasi yaitu :
Organisasi Penggunaan
Perusahaan
Melakukan pendeteksian /
pencegahan penyusupan
Militer
Menerapkannya dalam
perang
teknologi/cyberwarfare
Universitas Melakukan riset
Lembaga Penelitian Melakukan riset
Dinas Intelijen Melakukan counter intelijen
Penegak Hukum
Memperoleh aktivitas
criminal
12
Presentation to Universitas Budi Luhur | Mkom XK
Menurut Internet Security Threat laporan 2011 oleh
Symantec [138], menunjukkan jumlah kerentanan
Tahun Jumlah total kerentanan
2008 5,562
2009 4,814
2010 6,253
2011 4,989
Total Serangan 4 Tahun 21,618
13
Presentation to Universitas Budi Luhur | Mkom XK
13
Pada umumnya ada 2 serangan Berbasis
Web ?
14
Presentation to Universitas Budi Luhur | Mkom XK
Serangan berbasis WEB
Serangan dari sisi client
Berikut penyerang mengancam
aplikasi klien dalam lingkungan
pengguna. Contoh aplikasi client
adalah: browser web, pemutar
media (WinZip atau RealPlayer) dan
Microsoft office.
Penyerang lebih suka serangan
client-side dalam beberapa tahun
terakhir karena serangan server-
side telah dibuat sulit oleh
peningkatan berbagai langkah-
langkah keamanan, seperti Firewall
dan IDS. Oleh karena itu,
penyerang (blackhats) tertarik pada
serangan client-side karena
kurangnya langkah-langkah
keamanan.

Serangan dari sisi server
Server menyediakan beberapa
layanan, seperti server Apache
HTTP, yang berisi kerentanan yang
menyebabkan serangan pada
layanan tersebut, termasuk
kemungkinan pengambilalihan
seluruh server. OWASP laporan
[139] menyediakan 10 serangan
keamanan web, 8 dari 10 serangan
atas adalah serangan server
seperti injeksi SQL di mana ia
dikompromikan database SQL
untuk mengakses data yang tidak
sah.
15
Presentation to Universitas Budi Luhur | Mkom XK
Keuntungan Menggunakan Honeypot
Mengumpulkan dan penebangan bernilai tinggi data untuk tim keamanan dan
pemilik jaringan karena mereka mengungkapkan lalu lintas dari penyerang.
Beberapa positif palsu dan negatif palsu dibandingkan dengan firewall atau
Intrusion Detection System (IDS)
nilai tinggi dari data untuk menghindari upaya yang diperlukan untuk
menganalisis file log dari keamanan lainnya techniques.
Dan disisi lain, kelemahan menggunakan Honeypots adalah:
Risiko mengorbankan sistem, yang menyebabkan serangan terhadap sistem lain
pada jaringan atau di luar itu. The Honeypot adalah sasaran empuk bagi para
penyerang dan karena itu mereka dapat fokus pada mengorbankan sistem dan
ini akan mengakibatkan serangan baru ke jaringan dan internet.
Kebutuhan orang yang sangat terampil dan banyak waktu untuk mengoperasikan
dan menganalisis pekerjaan data.Our beroperasi tanpa menggunakan orang-
orang yang sangat terampil dan mampu menganalisis data yang dikumpulkan
dari Honeypot secara otomatis dengan menggunakan model tiga kami, mesin
negara, clustering dan prediksi.
Pendekatan Honeypot mencakup dua jenis utama: Honeypots pasif dan aktif
Honeypots (Client Honeypots).
16
Presentation to Universitas Budi Luhur | Mkom XK
Active Honeypots (Client Honeypots)
Honeypot yang aktif adalah konsep baru dan
sangat berbeda dari Honeypot pasif. Alih-alih
membangun Honeypot dan pasif menunggu
penyerang, aktif Honeypot akan pergi dan
mencari penyerang. Klien Honeypot bertindak
sebagai klien dan berinteraksi dengan server
untuk mempelajarinya dan menentukan apakah
serangan telah terjadi atau belum.
17
Presentation to Universitas Budi Luhur | Mkom XK
Arsitektur Client Honeypot
Arsitektur Client Honeypot dibagi menjadi tiga bagian utama:
1. Sistem Antrian
2. Klien
3. Mesin Analisis.


18
Presentation to Universitas Budi Luhur | Mkom XK
Sistem Antrian
Bertanggung jawab untuk menciptakan daftar server untuk klien untuk
berinteraksi dengan. Ada beberapa teknik yang digunakan untuk membuat
daftar server:
1. Mesin Pencari
2. Daftar Hitam
3. Mengumpulkan link dari pesan phishing dan spam
4. Typosquatting domain : yposquatting mengacu pada kesalahan dalam
nama domain seperti goole.com bukan google.com, nama domain
nyata
5. Pemantauan instant messaging : Pemantauan pesan instan: layanan
pesan paling instan seperti MSN Messenger menderita spam. Malware
menginfeksi korban dan mengirimkan URL jahat ke daftar kontak
mereka. Oleh karena itu, kita dapat memantau layanan ini dan
mengumpulkan URL jahat untuk pemindaian dan menganalisis.
19
Presentation to Universitas Budi Luhur | Mkom XK
Klien
Klien adalah komponen yang mampu membuat
permintaan dan berinteraksi dengan server dikumpulkan
oleh sistem antrian.
20
Presentation to Universitas Budi Luhur | Mkom XK
Klien
Klien adalah komponen yang mampu membuat
permintaan dan berinteraksi dengan server dikumpulkan
oleh sistem antrian.
21
Presentation to Universitas Budi Luhur | Mkom XK
Mesin Analisis
Mesin analisis bertanggung jawab untuk memeriksa
keadaan sistem Honeypot klien untuk menentukan
apakah serangan telah terjadi atau tidak. Gambar 2-3
menunjukkan arsitektur client honeypot.
22
Presentation to Universitas Budi Luhur | Mkom XK
22 Klasifikasi Honeypot terdiri dari 3 level, yaitu :
23
Presentation to Universitas Budi Luhur | Mkom XK
Low Interaction Honeypot
Low-Interaction Honeypot merupakan yang paling
mudah diinstal dan dipelihara karena desainnya yang
sederhana dan fungsionalitas dasar. Normalnya
teknologi ini hanya meniru berbagai macam service.
Contohnya, honeypot dapat meniru server Unix dengan
beberapa service yang berjalan, seperti Telnet dan FTP.
Penyerang dapat melakukan Telnet ke honeypot,
mendapatkan identitas system operasi, dan bahkan
mendapatkan prompt login.
24
Presentation to Universitas Budi Luhur | Mkom XK
Medium Interaction Honeypot
Medium-interaction honeypot menyediakan kemampuan
interaksi yang lebih bila dibandingkan dengan low-
interaction honeypot namun fungsionalitasnya masih
dibawah high-interaction honeypot. Contohnya,
honeypot dapat dibuat untuk meniru Microsoft IIS web
server termasuk fungsionalitas tambahan yang biasa
terdapat pada dirinya.
IIS web server yang ditiru dapat dirubah sesuai dengan
keiginan penyerang. Ketika koneksi HTTP dibuat oleh
honeypot, ia akan merespon sebagai IIS web server
dan memberikan peluang kepada penyerang.
25
Presentation to Universitas Budi Luhur | Mkom XK
High Interaction Honeypot
High-Interaction Honeypot adalah teknologi
honeyspot yang paling ekstrim. Ia memberikan
informasi yang sangat banyak mengenai
penyerang tapi memerlukan waktu untuk
mendapatkannya. Tujuan dari high-interaction
honeyspot adalah memberikan akses system
operasi yang nyata kepada penyerang dimana
tidak ada batasan yang ditentukan.
26
Presentation to Universitas Budi Luhur | Mkom XK
Beberapa komponen sistem operasi perlu dipantau
saat mengunjungi dan memindai setiap halaman web:
1. Proses akan dipantau selama proses baru yang
dijalankan atau proses standar dibunuh.
2. Registry Windows akan dipantau untuk setiap
ditambahkan, dihapus, atau diubah nilai registri.
3. File system akan dipantau untuk setiap perubahan,
seperti menambah, menghapus atau memodifikasi
file atau folder.
4. TCP dan UDP port akan dipantau untuk mendeteksi
jika ada port dibuka atau ditutup, karena port ini
dapat digunakan sebagai backdoor oleh penyerang.
27
Presentation to Universitas Budi Luhur | Mkom XK
Beberapa High-interaction client tools untuk
komponen sistem operasi yang perlu dicoba :
1. Capture HPC : open source client honeypot interaksi rendah
yang dikembangkan oleh Christian Seifert [89]. Alat ini ditulis
dalam bahasa scripting Ruby. Alat ini menggunakan tiga
komponen yang disebutkan di atas: pertama, menciptakan daftar
website dengan menggunakan mesin pencari Yahoo!; kedua,
website ini diidentifikasi dan halaman download untuk diperiksa;
akhirnya, kode halaman web dianalisis dengan Snort, alat IDS
yang berisi database tanda tangan dari string berbahaya.
2. HoneyMonkey : Alat ini terlihat dangkal seperti HoneyC, tetapi,
alih-alih menggunakan database signature Snort untuk
memeriksa halaman web, mesin anti-virus ClamAV digunakan.
3. UW Spycrawler :Alat ini tersedia di bawah lisensi GPL dan bebas
untuk digunakan. Pendekatan mereka mendeteksi halaman web
yang berbahaya di internet, dengan merangkak dan
mengumpulkan halaman web dari berbagai sumber seperti
mesin pencari atau email spam, dan kemudian memindai mereka
untuk mendeteksi setiap perilaku berbahaya dalam kode
halaman web.
.
28
Presentation to Universitas Budi Luhur | Mkom XK
Kesimpulan
Keamanan computer sudah menjadi hal yang harus
menjadi perhatian. Untuk membuat suatu system
keamanan yang baik, kita harus mampu mengenal
penyerang, jenis serangan yang dilakukan kemudian
mempelajarinya. Dengan menggunakan honeypot, kita
mampu mendapatkan data terkait serangan yang terjadi
pada system. Dari data yang dikumpulkan oleh honeypot,
kita bisa mempelajari teknik dan pola yang digunakan
oleh hacker yang menyerang system kita. Dengan
pengetahuan yang dikumpulkan dari data honeypot, kita
pun dapat pula mempersiapkan diri untuk menghadapi
serangan hacker berikutnya.
29
Presentation to Universitas Budi Luhur | Mkom XK
TERIMA KASIH