IDS (Intrusion Detection System)

Definisi

Intrusion Detection System (IDS) adalah sistem keamanan yang memonitor lalu lintas jaringan atau aktivitas host untuk mendeteksi aktivitas mencurigakan atau pelanggaran kebijakan keamanan. IDS bersifat passive monitoring - ia hanya memberikan alert saat mendeteksi anomali, tanpa mengambil tindakan blokir secara langsung.

Metode Deteksi

Signature-Based Detection

Mencocokkan lalu lintas dengan pola serangan yang sudah dikenal (signatures). Signature dapat berupa string spesifik dalam payload, urutan byte tertentu, atau pola koneksi yang mencurigakan.

Keunggulan:

• False positive rendah untuk serangan yang sudah dikenal
• Deteksi cepat dan efisien
• Mudah diimplementasikan dan di-maintenance

Kelemahan:

• Tidak dapat mendeteksi zero-day attacks atau varian baru
• Signature harus terus diperbarui
• Mudah dielakkan dengan polymorphism atau obfuscation

Anomaly-Based Detection

Membangun baseline perilaku normal jaringan atau host, lalu mendeteksi penyimpangan dari baseline tersebut menggunakan machine learning, statistik, atau threshold.

Keunggulan:

• Mampu mendeteksi zero-day attacks dan varian baru
• Dapat mendeteksi insider threats dengan pola tidak biasa
• Adaptif terhadap perubahan lingkungan

Kelemahan:

• False positive tinggi (terutama saat baseline learning)
• Kompleksitas implementasi lebih besar
• Rentan terhadap adversarial manipulation pada data training

Klasifikasi Berdasarkan Target

HIDS (Host-based IDS)

Dipasang pada host individual (server, workstation) untuk memonitor:

• System calls dan proses sistem operasi
• Log file (syslog, event log, audit log)
• Integritas file (menggunakan checksum/hash - contoh: OSSEC, Wazuh, AIDE)
• Registry changes (khusus Windows)

Keunggulan: Dapat mendeteksi serangan yang terenkripsi (karena inspeksi terjadi setelah dekripsi di host). Kelemahan: Hanya melindungi satu host; resource consumption pada host.

NIDS (Network-based IDS)

Dipasang pada titik strategis di jaringan untuk menginspeksi lalu lintas jaringan secara real-time.

Keunggulan:

• Melindungi seluruh segmen jaringan dengan satu sensor
• Tanpa agent di host - tidak memengaruhi performa host
• Sulit dideteksi oleh attacker

Kelemahan:

• Tidak bisa menginspeksi lalu lintas terenkripsi (tanpa decryption)
• Rawan evasion dengan fragmentasi paket atau encoding
• Bisa kewalahan pada jaringan throughput tinggi

Tools Populer

Snort

Salah satu NIDS open-source paling populer, dikembangkan oleh Martin Roesch pada 1998. Snort menggunakan rule-based detection dengan sintaks:

alert tcp $EXTERNAL_NET any -> $HOME_NET 80 (msg:"Suspicious GET";
  content:"malicious"; sid:1000001; rev:1;)

Snort mendukung tiga mode: sniffer, packet logger, dan NIDS. Rule set-nya kompatibel dengan komunitas luas dan vendor keamanan.

Suricata

Alternatif modern untuk Snort yang dikembangkan oleh Open Information Security Foundation (OISF). Suricata bersifat multi-threaded, memanfaatkan GPU untuk pattern matching (via Hyperscan atau CUDA), dan mendukung protokol modern termasuk HTTP/2, TLS 1.3, dan file extraction.

Perbedaan utama dengan Snort:

• Multi-threaded - lebih efisien untuk traffic > 10 Gbps
• Auto-protocol detection - tidak perlu konfigurasi port manual
• Dukungan TLS fingerprinting dan JA3 hash
• Rule format: kompatibel dengan Snort rules + Suricata-specific rules

Alert Types dan Response

IDS menghasilkan beberapa jenis alert:

False Positive dan False Negative

False Positive (FP): Lalu lintas normal terdeteksi sebagai serangan.

• Dampak: Alert fatigue - tim keamanan mengabaikan alert nyata karena terlalu banyak noise.
• Mitigasi: Tuning rule, threshold adjustment, whitelist.

False Negative (FN): Serangan nyata tidak terdeteksi.

• Dampak: Serangan berhasil tanpa diketahui - dwell time meningkat.
• Mitigasi: Update signature, implementasi anomaly detection, layered defense.

Penempatan IDS di Jaringan

Penempatan optimal IDS dalam infrastruktur jaringan:

1. Behind firewall (DMZ): Memonitor lalu lintas yang sudah melewati firewall - mendeteksi serangan yang lolos filtering.
2. Internal network segments: Mendeteksi lateral movement dan internal threats.
3. Demilitarized Zone (DMZ): Memonitor serangan terhadap server publik.
4. Cloud egress/ingress points: Memonitor traffic masuk dan keluar cloud environment.
5. Network choke points: Posisi di mana semua lalu lintas terpusat (misal: core switch mirror port / SPAN port).

Best Practice: Gunakan kombinasi HIDS + NIDS untuk deteksi komprehensif. NIDS di perimeter jaringan, HIDS di critical servers. Integrasikan dengan SIEM (Security Information and Event Management) untuk korelasi alert terpusat.