Network Monitoring

Pendahuluan

Network monitoring adalah proses pemantauan lalu lintas jaringan, perangkat, dan protokol untuk memastikan ketersediaan, performa, dan keamanan infrastruktur jaringan. Cakupannya meliputi traffic analysis, packet capture, bandwidth monitoring, dan flow analytics.

Traffic Analysis

Traffic analysis memberikan visibilitas terhadap pola komunikasi jaringan, protokol yang digunakan, dan volume data antar host.

NetFlow - Teknologi Cisco yang mengekspor metadata sesi lalu lintas (flow) ke collector. NetFlow versi 5 (fixed format) dan versi 9 (template-based) mencatat: source/destination IP, port, protokol, jumlah paket, dan byte. Data ini digunakan untuk analisis bandwidth, deteksi anomaly traffic, dan identifikasi komunikasi mencurigakan.

sFlow - Standar sampling-based (RFC 3176) yang mengambil sampel paket acak (biasanya 1:4096 atau 1:8192) sehingga cocok untuk jaringan berkecepatan tinggi (10Gbps+). sFlow memberikan statistik real-time dengan overhead minimal, ideal untuk monitoring traffic burst dan deteksi DDoS skala besar.

IPFIX (IP Flow Information Export) - Evolusi NetFlow versi 10 yang distandarisasi oleh IETF (RFC 7011-7015). IPFIX mendukung template kustom, enterprise-specific fields, dan interoperabilitas antar vendor. Lebih fleksibel daripada NetFlow v9 dan merupakan standar terbuka.

Packet Capture

Packet capture menangkap paket mentah untuk analisis forensik mendalam.

tcpdump - CLI tool analisis paket berbasis libpcap. Sintaks filter BPF (Berkeley Packet Filter) seperti tcpdump -i eth0 host 10.0.0.1 and port 443. Output dapat disimpan dalam format PCAP/PCAPNG untuk analisis offline. Ringan dan ada di hampir semua sistem Linux.

Wireshark - GUI tool analisis paket dengan kemampuan dekripsi TLS (jika kunci tersedia), reassembly stream TCP, dan ribuan dissector protokol. Fitur: follow TCP/UDP stream, export objects (HTTP, SMB), dan display filter bahasa yang intuitif.

Zeek (dulu Bro) - Network Security Monitoring (NSM) framework yang mengubah packet capture menjadi log terstruktur. Zeek tidak mendeteksi secara real-time seperti IDS, melainkan menghasilkan log koneksi, DNS, HTTP, SSL, FTP, dan protokol lainnya. Contoh: conn.log mencatat setiap koneksi TCP/UDP/ICMP dengan durasi, bytes, dan state.

Suricata - IDS/IPS engine yang juga melakukan packet capture dan file extraction. Suricata menggunakan multi-threading untuk performa tinggi, mendukung rule signature (sama dengan Snort), dan dapat mengekspor metadata flow ke Elasticsearch.

Bandwidth Monitoring

MRTG (Multi Router Traffic Grapher) - Tool legacy berbasis SNMP yang mengambil counter traffic dari router dan menghasilkan grafik harian, mingguan, bulanan. Menggunakan RRDtool untuk penyimpanan time-series round-robin.

Cacti - Evolusi MRTG dengan GUI berbasis web, dukungan SNMP multi-device, dan template graph yang dapat dikustomisasi. Cacti juga menggunakan RRDtool untuk visualisasi data historis bandwidth.

PRTG Network Monitor - Solusi all-in-one komersial dengan sensor siap pakai (SNMP, NetFlow, WMI, HTTP, Ping). PRTG menyediakan auto-discovery perangkat dan alerting berbasis threshold.

Flow Analytics, DNS dan DHCP Monitoring

Flow analytics menggabungkan data NetFlow/sFlow/IPFIX dengan konteks keamanan. Tools seperti ElastiFlow (open-source flow collector on Elastic stack) dan ntopng menyediakan visualisasi top talkers, aplikasi berbasis port, dan deteksi anomaly.

DNS monitoring - Memonitor query DNS untuk mendeteksi domain mencurigakan (DGA, tunneling, C2 communication). Tools seperti dnstop dan DNSstat menampilkan statistik query per domain, tipe record, dan source IP. Log BIND atau Unbound bisa di-stream ke centralized logging.

DHCP monitoring - Melacak lease IP, identifikasi rogue DHCP server, dan mapping IP-MAC historis. Informasi ini penting untuk investigasi insiden - menghubungkan IP pelaku ke host fisik.

Network Baselining

Network baselining adalah proses menetapkan profil lalu lintas normal sebagai referensi. Metrik baseline meliputi: throughput rata-rata, protokol dominan, waktu puncak, dan pola koneksi. Perubahan signifikan dari baseline - seperti lonjakan traffic ke IP asing - memicu alert. Baselining periodik (mingguan/bulanan) memastikan deteksi anomaly tetap relevan seiring perubahan jaringan.