dari dalam dan luar jaringan.

Snort dapat digunakan pada flatform sistem operasi

linux, BSD, Solaris, Windows, dan sistem operasi lainnya.Di situs resminya
www.snort.org menyediakan layanan untuk update rule dan signature, mailing list,
forum diskusi, komunitas project dan layanan lain yang memudahkan user untuk
mendapatkan informasi.

Gambar 2.1 Snort.org

(Sumber : www.snort.org, diakses pada 07 Nopember 2009)
Snort dapat dioperasikan dalam tiga mode :
1. paket sniffer : untuk melihat paket yang lewat di jaringan.
2.

paket logger : untuk mencatat semua paket yang lewat dijaringan untuk
dianalisis di kemudian hari.

3.

NIDS deteksi penyusup pada jaringan : pada mode ini Snort akan berfungsi
untuk mendeteksi serangan yang dilakukan melalui jaringan komputer.

2.5.1 Komponen-komponen Snort

1. Rule Snort
Rule snort merupakan database yang berisi pola-pola serangan berupa
signature jenis-jenis serangan. rule snort IDS ini, harus diupdate secara rutin
agar ketika ada suatu teknik serangan yang baru, serangan tersebut dapat
terdeteksi. Rule snort dapat didownload di www.snort.org.
Sebagai contoh rule pada Snort sebagai berikut :

Gambar 2.2 Contoh Rules pada Snort

Dari rule-rule seperti gambar 2.2 Snort menentukan apakah sebuah
paket data dianggap sebagai penyusupan/serangan atau bukan, paket data
dibandingkan dengan rule IDS, jika terdapat dalam rule, maka paket data

tersebut dianggap sebagai penyusupan/serangan dan demikian juga

sebaliknya
jika tidak ada dalam rule maka dianggap bukan penyusupan/serangan.
2. Snort Engine
Snort Engine merupakan program yang berjalan sebagai daemon proses
yang
selalu

bekerja

untuk

membaca

paket

data

dan

kemudian

membandingkannya
dengan rule snort. Dalam sistem Linux, untuk mendeteksi apakah snort
engine
dalam keadaan aktif atau tidak dengan melihat prosesnya seperti
contoh

di

bawah ini:
[root@localhost rules] # ps aux| grep snort
root 3060 0.0 1.3 9188 820 ?

S Jun03 0:04 [snort]

Contoh diatas menunjukkan bahwa snort engine dalam keadaan aktif

dengan proses ID 3060 dan dijalankan oleh user "root"
3. Alert
Alert merupakan catatan serangan pada deteksi penyusupan. Jika snort
engine menghukumi paket data yang lewat sebagai serangan, maka snort
engine akan mengirimkan alert berupa log file. Untuk kebutuhan
analisa, alert dapat disimpan di dalam database, sebagai contoh
ACID (Analysis Console for Intrusion Databases) sebagai modul
tambahan pada Snort.
Contoh alert sebagai berikut:
[**] [1:499:3] ICMP Large ICMP Packet
[Classification:
Potentially Bad Traffic]
20:15:14. 895348

[**]

[Priority: 2] 05/09-

10.1.4.113 -> 10.1.3.126 ICMP TTL:128 TOS:0x0 ID:6316

IpLen:20 DgmLen:65528 Type:8 Code:0 ID:512 Seq:3072
ECHO
[Xref => http://www.whitehats.com/info/IDS246]

Contoh alert di atas merupakan alert ketika terdapat paket data dalam
ukuran
besar dari IP Address
sebagai

10.1.4.113 ke 10.1.3.126 yang dianggap

serangan oleh Snort karena pola paket data tersebut terdapat dalam rule
snort.
Hubungan ketiga komponen IDS dijelaskan dalam gambar berikut :
Paket Data
Snort Engine

Alert

Rule Database

Gambar 2.3 Komponen Snort IDS

2.5.2 Perintah - Perintah Snort
a) Mode Sniffer beberapa contoh perintah yang digunakan
adalah

# snort -v
#
snort
-vd
#
snort
-vde
Dengan menambahkan beberapa switch -v, -d, -e akan menghasilkan
beberapa keluaran yang berbeda, yaitu :
-v, untuk melihat header TCP/IP paket yang lewat.
-d, untuk melihat isi paket.
-e, untuk melihat header link layer paket seperti ethernet header.
b) Mode Logger di gunakan untuk melihat paket di kemudian hari
karena paket
yang lewat sedemikian cepat di layar terutama jika kita menggunakan

ethernet
berkecepatan 100Mbps, layar anda akan scrolling dengan cepat sekali
susah
untuk melihat paket yang di inginkan, perintah yang digunakan antara
lain :
# snort -vde -l /var/log
c) Mode NIDS, mode operasi Snort yang paling rumit adalah sebagai
pendeteksi
penyusup (intrusion detection) dijaringan yang kita gunakan. Perintah
yang
digunakan adalah :
# snort -d -h 192.168.10.1/16 /var/log/snort -c /etc/snort/snort.conf
d) Untuk melihat alert secara realtime dapat digunakan
perintah
# tail -f /var/log/snort/alert
2.6 Firewall