Investigating Web Attack: Latihan Soal

LATIHAN SOAL

  1. Sebut dan jelaskan perbedaan spesifikasi teknis web server (Apache, nginx, dan IIS web server) terutama dilihat dari kemampuan logging dan kebutuhan resource-nya!
  2. Lakukan uji coba pentest attack (httpdos, dos) terhadap sebuah website tertentu, kemudian extract-lah data web log dari web server tersebut!
    • Pilih salah satu dari Apache, nginx, atau IIS.
    • Web server bisa pinjam ke yang sudah punya hosting.
    • Atau gunakan localhost.
  3. Tuliskan saran yang harus dijalankan oleh pengelola atau admin web tersebut untuk dapat mencegah serangan dan prosedur untuk membuat report berdasarkan web log dari web server tersebut!
No.
Timestamp
IP Address
Status HTTP
Halaman yang Diakses
Keterangan
           

JAWABAN

1. Perbedaan spesifikasi teknis web server Apache, nginx, dan IIS web server dilihat dari kemampuan logging dan kebutuhan resource-nya:

~~~ General ~~~

a. Apache

Apache merupakan web server yang paling banyak dipergunakan di internet. Program ini pertama kali didesain untuk sistem operasi di lingkungan UNIX. Namun demikian, pada beberapa versi berikutnya Apache mengeluarkan programnya yang dapat dijalankan di Windows NT. Apache mempunyai program pendukung yang cukup banyak. Hal ini memberikan layanan yang cukup lengkap bagi penggunanya. Beberapa dukungan Apache:

  • Kontrol akses
Kontrol ini dapat dijalankan berdasarkan nama host atau alamat IP.
  • CGI (Common Gateway Interface)
Yang paling terkenal untuk digunakan adalah PERL (Practical Extraction and Report Language), didukung oleh Apache dengan menempatkannya sebagai modul (mod_perl).
  • PHP (Personal Home Page/PHP Hypertext Preprocessor)
Program dengan metode semacam CGI, yang memproses teks dan bekerja di server. Apache mendukung PHP dengan menempatkannya sebagai salah satu modulnya (mod_php). Hal ini membuat kinerja PHP menjadi lebih baik.
  • SSI (Server Side Includes)
Kemampuan untuk memasukkan satu atau lebih file ke dalam sebuah halaman web dari web server.

Kelebihan:

  • Open Source.
  • Proses instalasi mudah.
  • Mampu beroperasi pada berbagai platform sistem operasi.
  • Performa dan konsumsi sumber daya tidak terlalu banyak, hanya sekitar 20 MB untuk file-file dasarnya dan setiap daemon-nya hanya memerlukan sekitar 950 KB memory per child.
  • Mendukung transaksi yang aman (secure transaction) menggunakan SSL (Secure Socket Layer).
  • Mendukung third party berupa modul-modul tambahan.

Kekurangan:

  • Tidak bisa mengatur load seperti IIS sehingga akan terus mem-fork proses baru sampai dalam batas yang diizinkan sistem operasi. Akan memudahkan penyerang karena RAM akan cepat habis.
  • Mudah diserang oleh DoS (pada Apache versi 1.3 dan versi 2 sampai versi 2.0.36).
  • Apache tidak memproses karakter kutip dalam string Referer dan User-Agent yang dikirimkan oleh client. Ini berarti Client dapat memformulasi inputnya secara hati-hati untuk merusak format baris log akses.

b. nginx

Nginx dengan cepat memberikan konten statis dengan penggunaan sumber daya sistem yang efisien. Nginx dapat menyebarkan konten dinamis HTTP di jaringan menggunakan FastCGI handler untuk script, dan dapat berfungsi sebagai perangkat lunak yang mampu menjadi penyeimbang beban (load balancer). Nginx menggunakan asynchronous-event, yaitu pendekatan untuk menangani permintaan yang diprediksi memberikan kinerja yang lebih rendah dari beban, kontras dengan model web server Apache yang menggunakan proses yang berorientasi pada pendekatan penanganan permintaan (request-response).

Fitur yang ada pada web server Nginx:

  • Menyeimbangkan beban (load balancing).
  • Mendukung SSL (Secure Socket Layer).
  • Mendukung server virtual berbasis nama host maupun alamat IP.
  • Memiliki kemampuan untuk menangani lebih dari 10.000 koneksi simultan.
  • Logging yang dapat dikustomisasi (custom logging).
  • SSI (Server Side Includes)

Kelebihan:

  • Kekuatan dan performa yang tinggi sehingga menjadikannya web server yang stabil.
  • Penggunaan sumber daya (resource) yang digunakan pada web server ini jauh lebih sedikit. Untuk melayani hosting bisa lebih kuat dan lebih banyak dibandingkan web server lain, contohnya Litespeed.

Kekurangan:

  • Kadang kala ada masalah pada saat melakukan konfigurasi .htaccess dan itu semua bergantung pada aturan konfigurasi yang ditetapkan oleh web master-nya sendiri.

c. IIS

Internet Information Service (IIS) adalah komponen yang dapat digunakan untuk mengelola web, File Transfer Protocol (FTP), Gopher, dan NNTP. Komponen IIS terdapat pada sistem operasi Windows NT, Windows 2000, Windows XP, Windows 7, dan Windows Server 2003. Pada Windows 98, supaya dapat mengelola web diperlukan komponen Personal Web Server (PWS) walaupun tidak terdapat fasilitas untuk FTP. PWS ini juga merupakan bagian dari IIS.

Komponen pendukung IIS antara lain:

  • Protokol jaringan TCP/IP.
  • Domain Name System (DNS).
  • Software untuk membuat situs web, salah satunya Microsoft FrontPage.

Kelebihan:

  • Performanya yang tinggi, stabil, dan memiliki banyak fitur.
  • Mudah dikonfigurasi.
  • Menggunakan hanya sedikit sumber daya (resource) pada server.
  • Tidak bergantung kepada thread untuk melayani client.

Kekurangan:

  • Belum support IPv6.
  • Update/patch versi terbarunya lama keluar.

~~~ Kemampuan Logging ~~~

a. Apache

Terdiri dari 2 file log, yaitu:

  • access.log
Berisi aktivitas client dalam mengakses halaman web pada web server Apache.
  • error.log
Berisi pesan error yang terjadi pada web server Apache.

Log pada web server Apache menyediakan informasi mengenai aktivitas web application, seperti:

  • Alamat IP client
  • Identifikasi mesin client
  • User ID client
  • Waktu
  • Baris permintaan (request) dari client
  • Kode status (status code)
  • Ukuran objek yang dikembalikan pada client

Sedangkan format log pada web server Apache adalah sebagai berikut:

  • LogFormat “%h %l %u %t \”%r\” %>s %b” common
  • CustomLog “logs/access_log” common

b. nginx

Terdiri dari 2 file log, yaitu:

  • error.log

Nginx menuliskan informasi mengenai aktivitas yang muncul pada web servernya dalam berbagai tingkatan level ke dalam error log. Bagian error_log mengatur logging ke dalam file-file tertentu, standar error, maupun syslog. Selain itu, error_log mengatur tingkatan level pesan paling minimum yang dpaat dituliskan ke log. Secara default, file log error ini terletak di logs/error.log (absolute path bergantung pada sistem operasi dan instalasinya), dan semua pesan dengan tingkatan level di atas yang sudah di-set akan di-log.

Contoh konfigurasi:

error_log logs/error.log warn;

Dalam kasus ini, pesan dengan tingkatan level “warn” di-set menjadi minimum, sehingga menyebabkan pesan dengan tingkatan level “warn” dan di atas “warn” akan di-log, yaitu “error”, “crit”, “alert”, and “emerg”.

  • access.log

Nginx menuliskan informasi mengenai permintaan client pada log access setelah permintaan tersebut diproses oleh server. Secara default, file log access ini terletak di logs/access.log, dan informasi yang tertulis di log menggunakan format kombinasi yang telah diatur oleh server. Berikut adalah contoh file log access yang mendefiniskan format log yang menggunakan format kombinasi dari server dengan nilai yang menunukkan rasio kompresi gzip pada penanganan permintaan. Format berikut kemudian diaplikasikan pada server virtual yang menggunakan kompresi.

http {
    log_format compression '$remote_addr - $remote_user [$time_local] '
                           '"$request" $status $body_bytes_sent '
                           '"$http_referer" "$http_user_agent" "$gzip_ratio"';
    server {
        gzip on;
        access_log /spool/logs/nginx-access.log compression;
        ...
    }
}

c. IIS

Log pada web server IIS menyediakan informasi yang berguna terkait aktivitas bermacam web application. Informasi tersebut berupa:

  • Waktu koneksi (connection time)
  • Alamat IP
  • Akun pengguna (user account)
  • Halaman yang diakses (browsing page)
  • Action

Format log pada web server IIS merupakan format yang sudah fix dan tidak dapat dikustomisasi dan berbasis format teks ASCII. Termasuk di dalam format log IIS adalah hal-hal mendasar, seperti alamat IP client, username, tanggal & waktu, layanan, nama server & alamat IP-nya, tipe permintaan (request type), target operasi, dan lain-lain.

Contoh:

192.168.100.150, -, 03/6/11, 8:45:30, W3SVC2, SERVER, 172.15.10.30, 4210, 125, 3524, 100, 0, GET, /dollerlogo.gif, -,

~~~ Kebutuhan Resource ~~~

a. Apache

Performansi dan konsumsi sumber daya (resource) dari web server Apache tidak terlalu banyak, hanya sebesar 20 MB untuk file-file dasarnya, dan setiap daemon-nya hanya memerlukan sebesar 950 KB memory per child.

b. nginx

Nginx adalah web server yang fokus pada konkurensi tinggi, kinerja, dan penggunaan sumber daya memori dan CPU yang rendah. Nginx adalah alternatif yang populer setelah Apache, sehingga banyak orang memiliki pengalaman dan pengujian yang signifikan pada Nginx. Nginx hemat sumber daya dan relatif mampu menangani high load. Nginx dapat menangani sekitar 40% lebih banyak lalu lintas dalam waktu yang 300% lebih sedikit. Hal ini membuat Nginx sekitar 4,2 kali lebih cepat dari Apache.

c. IIS

  • Memory
RAM yang dibutuhkan bergantung pada banyak faktor, termasuk juga di dalamnya kebutuhan akan layanan yang lain, ukuran file konten yang sering diakses, dan kebutuhan RAM untuk web application. Pada banyak instalasi, direkomendasikan untuk menggunakan 1 GB RAM. High-volume server harus memiliki minimum 2 – 4 GB RAM. Lebih banyak RAM akan menyebabkan lebih banyak file untuk di-cache, sehingga mengurangi permintaan pada disk. Untuk semua instalasi IIS, ukuran file paging sistem operasi setidaknya sama dengan RAM server.
  • CPU
CPU memproses instruksi yang diterima oleh komputer. Clock speed CPU dan ukuran data bus seberapa cepat informasi berpindah di antara CPU, RAM, dan system buses. Konten statis, seperti HTML and file gambar tidak membutuhkan kinerja prosesor yang tinggi, dan konfigurasi standar yang direkomendasikan telah mencukupi. Clock speed yang lebih cepat dan banyak prosesor meningkatkan performa web server, khususnya untuk website dengan konten dinamis. Windows 32-bit berjalan pada Intel x86 atau hardware yang kompatibel. Windows 64-bit berjalan pada prosesor x64 milik AMD dan Intel, termasuk AMD64 and Intel Extended Memory 64 Technology (Intel EM64T). IIS menyediakan pengukuran performa yang solid pada prosesor Intel Xeon, AMD Opteron, dan AMD Athlon. CPU yang telah disebutkan tersebut bagus untuk IIS server standar. Peningkatan performa yang signifikan dapat diperoleh dengan cache prosesor yang besar.
  • SMP
IIS mendukung symmetric multiprocessors (SMPs) dan dapat menggunakan prosesor tambahan untuk meningkatkan performa. Penggunaan songle processor sudah mencukupi jika sistem hanya menjalankan IIS saja dan tidak tidak menangani konten dinamis atau enkripsi. Selalu gunakan banyak prosesor jika ada layanan lain yang berjalan selain IIS, seperti Microsoft SQL Server atau Microsoft Exchange Server.
  • Disk drives
Jumlah kapasitas penyimpanan data yang dibutuhkan bergantung sepenuhnya pada ukuran file konten dan jumlah situs (site) yang didukung. Diperlukan disk space yang cukup untuk menyimpan semua data, termasuk workspace, system files, dan virtual memory. I/O throughput juga memegang peranan yang sama pentingnya dengan kapasitas disk. Bagaimanapun disk I/O jarang menyebabkan bottleneck pada websites di jaringan internet, berbeda halnya dengan bandwidth limits throughput. Situs dengan high bandwidth harus mempertimbangkan solusi RAID menggunakan using kabel UTP atau perangkat Small Computer System Interface (SCSI) berbasis fiber channel.

2. Uji coba attack (httpdos, dos) terhadap sebuah website tertentu:

a. Identify the target

  • ping 119.82.227.66

b. Perform attack menggunakan:

  • 4 laptop ter-install tools untuk HTTP DoS:
  • Attack dilakukan pada tanggal 9 Desember 2015 menggunakan tools HTTP DoS berikut:
    • DoSHTTP 2.5
      • Target URL  : http://monggopinarak.com
      • User-Agent : Mozilla/6.0
      • Sockets       : 500
      • Requests     : Continuous

      • Klik tombol Verify URL, maka akan muncul window hasil verifikasi URL.

      • Tutup window hasil verifikasi URL. Klik tombol Start Flood untuk memulai serangan. Serangan akan berjalan seperti tampak pada gambar berikut:

      • Hasilnya adalah sebagai berikut:

    • SwitchBlade 4.0.1
      • Attack Type : Slow headers / Slow POST / SSL renegotiation (pilih salah satu)
      • URL : http://monggopinarak.com
      • Connections : 4000
      • User-Agent : Mozilla/4.0
      • Centang pada opsi Diagnostics.

      • Klik tombol Run Attack untuk memulai serangan. Serangan akan berjalan seperti tampak pada gambar berikut:

      • Hasilnya adalah sebagai berikut:

c. Analisis:

  • Target adalah website http://monggopinarak.com dengan IP address 119.82.227.66.
  • IP address penyerang adalah 112.215.36.142 – 112.215.36.142, 182.253.163.1, 202.162.43.91, dan 114.121.234.203.
  • Scan website dengan online tool dari https://sitecheck.sucuri.net untuk mengetahui web server yang digunakan oleh website tersebut.

  • Langkah-langkah pengambilan log Apache dari server melalui fasilitas Spanel dari pihak webhosting:
    • Login ke Spanel yang telah disediakan oleh pihak webhosting.
    • Pilih menu File File Manager untuk mengetahui folder apa saja yang ada di dalam website http://monggopinarak.com.

    • Klik folder sites/.

    • Klik folder monggopinarak.com/.

    • Klik folder syslog/.

    • Klik pada judul kolom Modified untuk melakukan pengurutan (sorting) file menurut waktu pembuatan/modifikasi-nya.

    • File log telah diurutkan menurut waktu pembuatan/modifikasi-nya. Download file access.log bernama http_access.2015-12-09.log karena attack dilakukan pada tanggal 9 Desember 2015. Simpan file log Apache di komputer.

    • Logout dari Spanel.
  • Langkah-langkah menganalisis log Apache:
    • Install aplikasi untuk menganalisis log Apache di komputer, yaitu Apache Logs Viewer. File instalasi dapat di-download dari http://www.apacheviewer.com/download/.
    • Jalankan aplikasi Apache Logs Viewer.
    • Buka file log Apache menggunakan Apache Logs Viewer melalui menu File Add Access Log. Browse file log Apache yang telah di-download dari Spanel dan klik tombol Open.

    • Pilih opsi format tampilan Combined sebagai berikut. Klik tombol OK.

    • Filter file berdasarkan alamat IP penyerang. Caranya adalah dengan mengisikan alamat IP di form isian filter IP Address pada bagian atas menu.
      • Laptop 1 : 112.215.36.142 – 112.215.36.145
        • Cukup ketikkan 112.215.36. pada form isian dan pilih opsi Include pada tombol drop-down di samping filter IP Address, kemudian klik tombol Apply Filter untuk memfilter file log berdasarkan alamat IP).

        • Hasilnya akan muncul semua alamat IP yang mengandung string 112.215.36. pada kolom IP Address sebagai berikut:

        • Klik tombol Clear Filter di sebelah tombol Apply Filter untuk menghilangkan filter pada file log.
      • Laptop 2 : 182.253.163.1
        • Ketikkan 182.253.163.1 pada form isian dan pilih opsi Include pada tombol drop-down di samping filter IP Address, kemudian klik tombol Apply Filter untuk memfilter file log berdasarkan alamat IP.

        • Hasilnya akan muncul semua alamat IP yang mengandung string 182.253.163.1 pada kolom IP Address sebagai berikut:

        • Klik tombol Clear Filter di sebelah tombol Apply Filter untuk menghilangkan filter pada file log.
      • Laptop 3 : 202.162.43.91
        • Ketikkan 202.162.43.91 pada form isian dan pilih opsi Include pada tombol drop-down di samping filter IP Address, kemudian klik tombol Apply Filter untuk memfilter file log berdasarkan alamat IP.

        • Hasilnya akan muncul semua alamat IP yang mengandung string 202.162.43.91 pada kolom IP Address sebagai berikut:

        • Klik tombol Clear Filter di sebelah tombol Apply Filter untuk menghilangkan filter pada file log.
      • Laptop 4 : 114.121.234.203
        • Ketikkan 114.121.234.203 pada form isian dan pilih opsi Include pada tombol drop-down di samping filter IP Address, kemudian klik tombol Apply Filter untuk memfilter file log berdasarkan alamat IP.

        • Hasilnya akan muncul semua alamat IP yang mengandung string 114.121.234.203 pada kolom IP Address sebagai berikut:

        • Klik tombol Clear Filter di sebelah tombol Apply Filter untuk menghilangkan filter pada file log.
      • Dari tampilan filter IP Address tersebut dapat diketahui bahwa banyak sekali baris yang muncul hanya dari 1 alamat IP saja. Baris-baris tersebut merupakan hasil request yang dicatatkan oleh server ke dalam log.
      • Karakteristik yang menandakan serangan HTTP DoS dari baris-baris tersebut jika diamati adalah sebagai berikut:
        • Request berupa GET/HTTP1.1 atau POST/HTTP1.1 tergantung dari serangannya, dan halaman yang di-request (referer) biasanya berupa halaman home dari website yang di-attack, yaitu http://monggopinarak.com atau bahkan tidak terdeteksi sama sekali dan diberi tanda “-“.
        • Frekuensi kemunculan baris dengan GET/HTTP1.1 atau POST/HTTP1.1 adalah sangat sering, padahal hanya berasal dari 1 alamat IP.
        • Kode status HTTP untuk serangan dengan 1 alamat IP akan sama, misalnya kode berikut:
          • 103 (Resume Request) : Kode ini berarti server dapat melanjutkan proses request POST.
          • 200 (OK) : Kode ini menunjukkan bahwa request HTTP telah sukses diproses oleh server.
          • 304 (Not Modified) : Kode ini menunjukkan bahwa sumber (resource) tidak mengalami modifikasi sejak request terakhir.
          • 404 (Not Found) : Kode ini berarti server tidak menemukan resource yang diminta oleh request HTTP.
          • 500 (Internal Server Error) : Kode ini menunjukkan bahwa telah terjadi error yang tidak sesuai dengan pesan error yang lain.

     

3. Saran yang harus dijalankan oleh pengelola atau admin web untuk mencegah serangan dan prosedur untuk membuat report berdasarkan web log dari web server:

a. Saran untuk mencegah serangan

  • Deteksi serangan
    • Melakukan pengecekan website secara berkala untuk melihat apakah ada trafik yang berjalan tidak seperti biasanya.
    • Sering melakukan pengecekan statistik web dan mengamati tampilan grafik ketika website berjalan normal, berapa pengunjung per hari, per minggu, dan seterusnya. Sehingga jika ada anomali yang menunjukkan serangan DoS seperti terlihat dari statistik pengunjung yang meningkat sangat jauh dari biasanya, maka dapat segera diketahui dan ditindaklanjuti.
    • Login ke web server dan melakukan pemeriksaan koneksi yang aktif menggunakan perintah “netstat -an” pada Windows Server. Amati jika ada banyak sekali koneksi yang berstatus TIME_WAIT, maka dapat dicurigai bahwa koneksi tersebut merupakan hasil dari serangan DoS.
    • Melakuan pengecekan file log untuk melihat adanya aktivitas yang mencurigakan. Pada serangan DoS, akan muncul banyak baris dengan alamat IP yang sama dan mengakses halaman web yang sama pula.
  • Mitigasi serangan
    • Menggunakan mod_reqtimeout

Sejak Apache HTTP Server versi 2.2.15, mod_reqtimeout secara default sudah dimasukkan. mod_reqtimeout dapat digunakan untuk mengatur timeout untuk menerima HTTP request header dan HTTP request body dari client. Jika client gagal mengirimkan data header atau body dalam waktu yang telah ditentukan, status error 408 REQUEST TIME OUT dikirimkan oleh server.

Contoh konfigurasi:

<IfModule mod_reqtimeout.c>
RequestReadTimeout header=20-40,MinRate=500 body=20,MinRate=500
</IfModule>

Konfigurasi di atas memperbolehkan data header dikirimkan oleh client dalam waktu sampai 20 detik. Jika client mengirimkan data header 500 Bytes per second, server akan memperbolehkan maksimum 40 detik untuk data header selesai dikirimkan.
Sebagai tambahan, konfigurasi server memperbolehkan client untuk mengirimkan data body dalam waktu sampai 20 detik. Selama client mengirimkan data header 500 Bytes per second, server akan menunggu sampai 40 detik untuk request body selesai dikirimkan.

    • Menggunakan mod_qos

mod_qos adalah modul Quality of Service (QoS) untuk Apache HTTP Server yang memperbolehkan implementasi mekanisme kontrol yang dapat menyediakan level prioritas yang berbeda untuk masing-masing permintaan HTTP.

Contoh konfigurasi:

<IfModule mod_qos.c>
# handle connections from up to 100000 different IPs
QS_ClientEntries 100000
# allow only 50 connections per IP
QS_SrvMaxConnPerIP 50
# limit maximum number of active TCP connections limited to 256
MaxClients 256
# disables keep-alive when 180 (70%) TCP connections are occupied
QS_SrvMaxConnClose 180
# minimum request/response speed (deny slow clients blocking the server, keeping connections open without requesting anything
QS_SrvMinDataRate 150 1200
</IfModule>

Konfigurasi tersebut melacak hingga 100.000 koneksi dan membatasi server dengan maksimum 256 koneksi. Sebagai tambahan, konfigurasi server membatasi setiap alamat IP dengan maksimum 50 koneksi dan menonaktifkan HTTP KeepAlive ketika 180 koneksi digunakan (70% dari total koneksi). Konfigurasi server juga membutuhkan minimum 150 Bytes per second per connection, dan membatasi koneksi menjadi 1.200 Bytes per second ketika MaxClients tercapai.

    • Menggunakan mod_security

mod_security adalah Web Application Firewall (WAF) open source yang dapat digunakan pada Apache HTTP server. mod_security bekerja dengan pengaturan yang diaplikasikan untuk menjalankan fungsi tertentu.Contoh konfigurasi:

SecRule RESPONSE_STATUS "@streq 408" "phase:5,t:none,nolog,pass,
setvar:ip.slow_dos_counter=+1, expirevar:ip.slow_dos_counter=60, id:'1234123456'"
SecRule IP:SLOW_DOS_COUNTER "@gt 5" "phase:1,t:none,log,drop,
msg:'Client Connection Dropped due to high number of slow DoS alerts', id:'1234123457'"

Aturan pada konfgurasi tersebut mengidentifikasi kapan Apache HTTP server memicu kode status 408 dan melacak berapa kali hal ini terjadi sembari menyimpan data dalam media penyimpanan berbasis IP sehingga dapat berubungan dengan request. Jika event ini telah terjadi lebih dari 5 kali dalam 60 detik, request di dalamnya yang terkait dengan alamat IP tersebut akan di-drop oleh mod_security dalam jangka waktu 5 menit.

    • Menggunakan firewall

Firewall dapat diatur pada server bergantung dengan jenis sistem operasinya. Contoh pada Linux dapat menggunakan iptables, sedangkan pada Windows Server menggunakan Windows Firewall. Firewall digunakan untuk mengatur action terhadap trafik yang datang ke, pergi dari, maupun melewati server. Action yang dilakukan untuk menangani trafik-trafik tersebut dapat berupa ACCEPT, REJECT, maupun DROP.

    • Memasang load balancer

Load balancer terdiri dari 3 jenis, yaitu link load balancer untuk menyeimbangkan beban pada link internet, server load balancer untuk menyeimbangkan beban pada server, dan application load balancer untuk menyeimbangkan beban pada level aplikasi. Load balancer yang dapat diaplikasikan untuk mitigasi serangan HTTP DoS adalah berupa server load balancer untuk menangani request halaman web pada lebih dari 1 web server, sehingga beban pada sebuah web server tidak terlalu berat.

b. Prosedur pembuatan report berdasarkan web log dari web server:

  • Dari hasil analisis pada no. 2(c) dapat diketahui bahwa banyak baris di dalam log yang menunjukkan request yang sama, padahal datangnya dari 1 alamat IP.
  • Untuk itulah diperlukan prosedur pembuatan report yang berisi statistik web server beserta summary dari log yang berisi timestamp, IP address, status HTTP, halalamn yang diakses, dan keterangan.
  • Report statistik web server:
    • Login ke Spanel.
    • Pilih menu Tools Server statistics

    • Pilih modul apache dan pilih Number of Apache processes (total) pada grafik yang disediakan. Kemudian klik tombol Combine graphs.

    • Perhatikan grafik Daily dan Weekly.

      • Grafik Daily

      Grafik Daily tersebut menunjukkan bahwa pada hari Rabu, 9 Desember 2015, web server menangani trafik yang tinggi dibandingkan dengan waktu yang lain.
      • Grafik Weekly

      Grafik Weekly tersebut menunjukkan bahwa pada tanggal 9 Desember 2015 saat terjadinya serangan HTTP DoS, juga terjadi lonjakan trafik yang ditangani oleh web server dibandingkan dengan tanggal 3 – 6 Desember 2015.
  • Report file log Apache dalam format berikut:
No.
Timestamp
IP Address
Status HTTP
Halaman yang Diakses
Keterangan
  • Jalankan Apache Logs Viewer.
    • Buka file log Apache http_access.2015-12-09.log yang telah di-download dari Spanel.
    • Pilih menu File Export List. Dengan adanya menu ini, maka file log Apache yang masih berekstensi .log akan di-export menjadi file .csv. Simpan file .csv ke komputer dengan cara ketikkan nama file dan klik tombol Save.

    • Buka file .csv tersebut dengan Microsoft Excel, edit dan atur kolom sesuai format report, serta tambahkan filter pada kolom IP Address untuk mengurutkan baris log berdasarkan alamat IP (pilih alamat IP penyerang), dan pilih opsi Sort A to Z. Kemudian klik tombol OK.

    • Hasil akan nampak seperti berikut:

    • Berikut adalah file .csv-nya:

    • Berikut adalah report sesuai format yang diminta:

    • Yang perlu diperhatikan adalah pada kolom Timestamp, jam pada server menunjukkan +00.00, maka untuk mengkonversinya menjadi GMT +7 diperlukan penambahan +07.00 pada timestamp tersebut.

Investigating Web Attack

Investigating web attack.. Hah? Attack yg deterjen ituh? Ada varian baru? Pfiuuh.. Bukan lah, gak ada hubungannya. Lha terus apaan dong? Ini niih, lagi mau belajarin serangan yg bisa mengancam server ato halaman web. Berikut juga cara menginvestigasinya.

Wiih, ngeri.. Emang apa aja macam serangannya?

1. XSS (Cross Site Scripting)

Salah satu jenis serangan injeksi code (code injection attack). XSS dilakukan oleh penyerang dengan cara memasukkan kode HTML atau client script code lainnya ke suatu situs. Serangan ini akan seolah-olah datang dari situs tersebut. Akibat serangan ini antara lain penyerang dapat mem-bypass keamanan di sisi klien, mendapatkan informasi sensitif, atau menyimpan aplikasi berbahaya.

Sumber: Wikipedia

Alasan kependekan yang digunakan XSS bukan CSS karena CSS sudah digunakan untuk Cascade Style Sheet.

2. SQL Injection

Teknik yang menyalahgunakan sebuah celah keamanan yang terjadi dalam lapisan basis data sebuah aplikasi. Celah ini terjadi ketika masukan pengguna tidak disaring secara benar dari karakter-karakter pelolos bentukan string yang diimbuhkan dalam pernyataan SQL atau masukan pengguna tidak bertipe kuat dan karenanya dijalankan tidak sesuai harapan. Ini sebenarnya adalah sebuah contoh dari kategori celah keamanan yang lebih umum, yang dapat terjadi setiap kali sebuah bahasa pemrograman atau script diimbuhkan di dalam bahasa yang lain.

Sumber: Wikipedia

3. Parameter Tampering

Teknik yang didasarkan pada manipulasi parameter yang dipertukarkan antara client dan server untuk mengubah data aplikasi, seperti kredensial, izin pengguna, harga & kuantitas produk, dll. Biasanya, informasi ini disimpan dalam cookie, form yang tersembunyi, atau string permintaan URL, dan digunakan untuk meningkatkan fungsionalitas dan kontrol aplikasi.

Sumber: OWASP

Cookie = sepotong kecil data yang dibuat dan disimpan di browser pengguna yang melacak informasi penting mengenai informasi sesi mereka untuk situs tertentu

4. Cookie Poisoning

Teknik memanipulasi atau memalsukan cookie untuk tujuan melewati langkah-langkah keamanan atau mengirim informasi palsu ke sebuah server. Penyerang yang menggunakan cookie poisoning dapat memperoleh akses yang tidak sah ke akun pengguna di situs tertentu yang dibuat oleh cookie, atau berpotensi menipu server untuk menerima versi baru dari cookie asli dengan nilai yang dimodifikasi.

Sumber: Radware

5. Buffer Overflow

Buffer overflow adalah kesalahan umum yang dibuat oleh pengembang perangkat lunak yang dapat digunakan oleh penyerang untuk mendapatkan akses ke sistem komputer. Buffer sendiri adalah bagian berurutan dari memori yang kemungkinan berisi apapun, dari array bilangan bulat ke string karakter. 

Dalam buffer overflow, data yang lebih banyak dialokasikan ke buffer dengan panjang tetap dari yang dapat diakomodasi oleh buffer itu sendiri. Kelebihan (overflow) data tersebut menempati ruang memori yang berdekatan, menimpa atau merusak data yang sudah ada di sana. Kerusakan sistem adalah hasil yang umum, tetapi buffer overflow juga menghadirkan peluang bagi penyerang untuk menjalankan kode atau menggunakan kesalahan pengkodean ini untuk memulai tindakan jahat.

Sumber: Veracode

Terus, kalo semisal sebuah website terkena serangan ataupun memang terjadi kesalahn teknis ato konfugrasi, maka ketika diakses, website tersebut akan memunculkan error. Error yg muncul pada halaman web yang diakses tersebut, juga akan muncul pada web log. Error-error yang dapat terjadi antara lain:

  • Error 403 : Forbidden
  • Error 404 : Not Found
  • Error 500 : Internal Server Error
  • Error 502 : Bad Gateway

Selain web log, terdapat juga application log yg terdiri dari semua event yg dicatat oleh program. Event ini ditentukan oleh si pembuat program. Misalnya:

  • Client request & server response
  • Account information
  • Usage information
  • Significant operational actions

Contohnya pada format file log IIS (web server pada Windows Server) yg merekam aktivitas aplikasi web seperti:

  • Connection time
  • IP address
  • User account
  • Browsing pages
  • Actions

Terus balik lagi ke pembahasan forensiknya. Cara untuk menginvestigasi serangan pada web gimana? OK, simak berikut ini ya..

  1. Menganalisis web server, FTP, dan log-log pada sistem lokal untuk mengkonfirmasi adanya serangan web.
  2. Mengecek informasi file log dengan meneliti timestamp, IP address, kode status HTTP, dan sumber yg di-request oleh client.
  3. Mengidentifikasi sifat serangan, misalnya apakah dia DDoS (Distributed Denial of Service) atau yg lainnya.
  4. Melokalisir sumber serangan (titik mana yg pertama kali diserang).
  5. Menggunakan firewall dan IDS (Intrusion & Detection System) untuk mengetahui dari mana serangan berasal.
  6. Memblok serangan.
  7. Jika sudah mengidentifikasi mesin tertentu yg terkena serangan, nonaktifkan mesin tsb dari jaringan sampai mesin tsb dibersihkan dari serangan dan dapat berfungsi dgn normal seperti sedia kala.
  8. Jika serangan teridentifikasi dari luar jaringan, segera blok akses ke jaringan dari IP address luar tsb.
  9. Memulai investigasi serangan dari IP address yg dicurigai tsb.

Berikut adalah beberapa checklist dasar untuk keamanan web:

  • Cek kekuatan password (weak or strong). Biasanya digunakan minimal karakter, dengan kombinasi karakter berupa huruf kecil, kapital, angka, dan simbol.
  • Validasi login menggunakan enkripsi SSL (Secure Socket Layer).
  • Memblok atau menutup port yg tidak digunakan.

Sekian pembahasan, sekarang saatnya.. *drum roll, tarak dung ces*

LATIHAN SOAL

Latihan soal dapat dilihat di sini.

OK, segitu dulu ya.. Semoga bermanfaat. Insya Allah dilanjutin lagi.. ?

Terima kasih.

SUMBER

 

Email Forensics: Latihan Soal

LATIHAN SOAL

  1. Sebut dan jelaskan tahapan-tahapan investigasi forensik email sesuai modul CHFI! Berikan contoh masing-masing tahapannya!
  2. Sebutkan beberapa tools yang sering digunakan untuk forensik email!
  3. Lakukan investigasi email menggunakan beberapa web pendukung forensik email! Buatlah studi kasusnya!

JAWABAN

1. Tahapan-tahapan forensik email sesuai modul CHFI beserta contohnya:

a. Mendapatkan surat izin penggeledahan (search warrant)

  • Investigator harus memiliki izin untuk melakukan investigasi. Dalam hal ini, investigator hanya bisa melakukan investigasi pada barang-barang yang telah diizinkan untuk diinvestigasi, menyita komputer dan akun email yang diduga terlibat dalam tindak kejahatan.
  • Contoh: Mendapatkan search warrant untuk menyita akun email yang dicurigai terlibat dalam suatu kasus kejahatan. Akun email dapat disita dengan mengganti password email tersebut. Password yang ada sekarang dapat ditanyakan langsung kepada korban maupun didapatkan dari server email.

b. Mendapatkan bit-by-bit image dari informasi email

  • Melakukan imaging bit-by-bit untuk memperoleh informasi dari email tersebut. Imaging yang dilakukan haruslah menyeluruh meliputi folder, pengaturan, dan konfigurasi yang ada untuk penyelidikan lebih lanjut.
  • Enkripsi image menggunakan MD5 hashing untuk menjaga integritas barang bukti.
  • Contoh: Membuat image dari semua folder, pengaturan, dan konfigurasi terakhir akun email ke dalam removable disk menggunakan tools seperti Safe Back.

c. Memeriksa header email

  • Melakukan pemeriksaan terhadap header yang terdapat pada email. Dalam kegiatan ini, investigator melakukan upaya untuk menemukan header email melalui berbagai baris perintah, klien berbasis web dan GUI (Graphical User Interface).
  • Membuka header email dan menyalinnya ke dalam dokumen teks.
  • Contoh: Header email mengandung informasi yang penting, seperti waktu pengiriman email (message sent time), unique ID number, dan IP address dari server pengirim.

d. Menganalisis header email

  • Mengumpulkan barang bukti dari header email yang mendukung proses investigasi untuk melacak pelaku.
  • Contoh: Barang bukti yang diperoleh dari header email dapat berupa return path, alamat email penerima (recipient’s email address), tipe layanan pengiriman email (type of sending email service), IP address server pengirim, nama email server, unique message number, tanggal dan waktu email dikirim, dan informasi file yang dilampirkan (attachment file).

e. Melacak dari mana email berasal

  • Melakukan pelacakan terhadap email yang asli untuk mengetahui dari mana email tersebut berasal. Investigator menggunakan tools untuk melacak pengirim email dan IP address Langkah pertama adalah dengan memeriksa informasi pada header email.
  • Header akan menunjukkan mail server asal (originating mail server).
  • Mendapatkan file log dari originating mail server untuk mengetahui siapa yang mengirimkan email dengan menggunakan surat perintah pengadilan melalui penegak hukum maupun pengaduan yang diajukan melalui pengacara.
  • Contoh: Setelah didapatkan originating mail server-nya, perlu diketahui juga mengenai informasi domain dari server tersebut. Informasi mengenai registrasi domain internet dapat dilihat melalui www.arin.net, www.internic.com, www.freeality.com.

f. Mengakuisisi arsip email (email archive)

  • Pengarsipan email merupakan pendekatan sistematis untuk menyimpan dan melindungi data yang terkandung di dalam email, sehingga data tersebut dapat diakses dengan cepat di kemudian hari.
  • Terdapat 2 jenis arsip email, yaitu local archive dan server storage archive.
  • Contoh: Local archive yang memiliki format arsip independen dari mail server. Misalnya:
    • .PST
    • .DBX
    • .MBX
  • Contoh: Server storage archive berupa arsip yang memiliki tempat penyimpanan untuk semua klien yang ada pada server. Misalnya:
    • MS Exchange ~> .STM, .EDB
    • Lotus Notes    ~> .NSF, .ID
    • GroupWise     ~> .DB

g. Melakukan pemulihan (recovery) terhadap email yang telah dihapus (deleted email)

  • Recovery dari deleted email bervariasi tergantung email client yang digunakan.
  • Contoh: Eudora Mail
    • Pesan yang dihapus dilabeli “tagged for deletion” dan tidak terlihat lagi di dalam mailbox.
    • Namun pesan yang dilabeli “tagged for deletion” masih ada di dalam folder Trash sampai folder Trash tersebut dikosongkan.
  • Contoh: Outlook PST
    • Data diambil dari bagian arsip yang aktif kemudian dipindah ke recycle bin.
    • Jika recycle bin dikosongkan, data tersebut akan berpindah ke unallocated space dari arsip email untuk beberapa waktu lamanya, biasanya dalam hitungan minggu.
    • Proses recovery data ini bervariasi lamanya tergantung dari ukuran arsip email-nya.

2. Tools yang sering digunakan untuk forensik email:

a. Stellar Phoenix Deleted Email Recovery

  • Memulihkan email dengan format PST dan DBX yang dihapus secara permanen.
  • Software ini memulihkan item PST, seperti file .pst, .eml dan .msg, serta email DBX, seperti file .dbx dan .eml.

b. Recover My Email

Software untuk email recovery yang digunakan untuk memulihkan deleted email dari file .PST (Outlook) aau file .DBX (Outlook Express).

c. Outlook Express Recovery

Memulihkan email dan item lain dari file .DBX yang rusak atau corrupt pada Outlook Express versi 5.0 ke atas.

d. Zmeil

Software untuk memulihkan pesan email yang terhapus secara tidak sengaja atau pesan dari database email yang corrupt, disebabkan oleh permasalahan pada software atau catu daya yang digunakan.

e. Quick Recovery for MS Outlook

  • Memperbaiki dan memulihkan data file MS Outlook yang rusak atau corrupt.
  • Mendapatkan email dari file .PST yang rusak atau corrupt.
  • Memperbaiki file .PST yang corrupt dan memulihkan semua MS Outlook item, seperti Calendar, Tasks, Notes, Contacts, Journals, dan lain-lain.

f. Email Detective

Tool yang digunakan pada beberapa investigasi dan pemulihan data.

g. Email trace – Email Tracking

Membantu pelacakan terhadap pengirim email dan IP address pengirim tersebut.

h. R-Mail

  • Memulihkan email Outlook yang tidak sengaja terhapus, kontak, catatan, task, dan item
  • Memperbaiki file .PST yang rusak di mana folder dan data Outlook disimpan.

i. FINALeMAIL

  • Memulihkan file database email dan melacak keberadaan email yang hilang yang tidak memiliki informasi lokasi data yang tekait dengan email tersebut.
  • Memulihkan pesan email dan attachment yang dihapus dari folder Deleted Items pada MS Outlook Express, Netscape Mail, Eudora.
  • Memulihkan keseluruhan file database

j. eMailTrackerPro

Menganalisis header email dan menyediakan IP address mesin yang mengirimkan email tersebut.

k. Forensic Tool Kit (FTK)

  • Menganalisis email Outlook, Outlook Express, AOL, Netscape, Yahoo, Earthlink, Eudora, Hotmail, MSN.
  • Fitur menampilkan, mencari, dan mengekspor pesan email dan attachment-nya.
  • Memulihkan email yang terhapus keseluruhan maupun sebagian (deleted & partially deleted email).

l. Paraben’s Email Examiner

  • Memeriksa format email, seperti America Online (AOL), Outlook Exchange (PST), Eudora, dan lain-lain.
  • Memulihkan pesan dan folder yang terhapus.

m. Paraben’s Network E-mail Examiner

Memeriksa penyimpanan email MS Exchange (.EDB), Lotus Notes (.NSF), dan GroupWise.

n. Net

  • Membantu komunitas internet untuk melaporkan dan mengontrol penyalahgunaan jaringan (network abuse) maupun user yang menyalahgunakannya (abusive user).
  • Layanan blacklist maupun spam analysis tidak termasuk di dalamnya.
  • Sekali terdaftar, ketika kita mengirimkan email ke [email protected], di mana domain-name adalah nama domain dari sumber atau junk email yang melakukan tindakan abusive, maka sistem akan otomatis mengirimkan email berisi pesan kita kepada best reporting address(es) milik domain tersebut.

o. Mail Detective Tool

  • Aplikasi monitoring yang didesain untuk mengontrol penggunaan email di jaringan perusahaan.
  • Menganalisis file log dari email server dan menyediakan laporan detail mengenai email pribadi dan email bisnis yang datang ke dan pergi dari jaringan perusahaan, beserta distribusi trafik oleh user dan alamat email.

3. Investigasi email menggunakan beberapa web pendukung forensik email:

a. Studi kasus: Penipuan melalui email (scam email)

Studi kasus yang diambil adalah mengenai scam email yang termasuk ke dalam tindak kejahatan lewat media email.

b. Contoh kasus: Penipuan panggilan kerja melalui email (job scam)

Job scam adalah termasuk ke dalam kategori scam email. Terdapat contoh kasus pada Desember 2012 di mana korban yang tertipu lowongan kerja yang diposkan oleh pelaku, mengirimkan sejumlah uang untuk biaya pemesanan tiket dan transportasi pada saat menghadiri tes penerimaan kerja. Kasus diambil dari:

http://m.beritakotaonline.com/5265/lagi-polisi-ungkap-kasus-cyber-crime-di-makassar/

Pelaku mengiklankan lowongan kerja PT. Adaro Indonesia di http://lowongan-kerja.tokobagus.com/hrd-rekrutmen/lowongan-kerja-adaro-indonesia-14669270.html pada awal Desember 2012. Dan pada tanggal 22 Desember 2012, korban yang masih berstatus pencari kerja mengirimkan surat lamaran kerja, CV, dan pasfoto berwarna ke email [email protected] milik pelaku. Pelaku membalas email dari korban tersebut dengan mengirimkan surat yang isinya panggilan seleksi rekruitmen karyawan yang seakan-akan benar jika surat panggilan tersebut berasal dari PT. Adaro Indonesia. Di dalam surat tersebut dicantumkan waktu tes, syarat-syarat yang harus dipenuhi oleh korban, tahapan & jadwal seleksi, serta nama-nama peserta yang berhak untuk mengikuti tes wawancara PT. Adaro Indonesia.

Di dalam email juga tercantum nama travel agent yaitu OXI TOUR & TRAVEL untuk melakukan reservasi pemesanan tiket serta mobilisasi (penjemputan peserta di bandara menuju ke tempat pelaksanaan tes) dengan penanggung jawab FIRMANSYAH (082341055575).

Selanjutnya korban kemudian menghubungi nomor HP milik Firmansyah dan diangkat oleh pelaku yang mengaku karyawan OXI TOUR & TRAVEL yang mengurus masalah tiket maupun mobilisasi peserta tes. PT. Adaro Indonesia telah bekerja sama dengan OXI TOUR & TRAVEL dalam hal transportasi terhadap peserta yang lulus seleksi penerimaan karyawan. Korban pun kemudian mengirimkan nama lengkap dan alamat email untuk pemesanan tiket melalui SMS ke nomor HP 082341055575 sesuai dengan yang diminta oleh pelaku. Adapun alamat e-mail korban adalah [email protected].

Setelah korban mengirim nama lengkap dan alamat email pribadi, korban kemudian mendapat balasan SMS dari nomor yang sama yang berisi total biaya dan nomor rekening. Isi SMS-nya adalah “Total biaya pembayaran IDR 2.000.000,-. Silakan transfer via BANK BNI no.rek: 0272477663 a/n: MUHAMMAD FARID”. Selanjutnya korban pun mentransfer uang sebesar Rp. 2.000.000,00 (dua juta rupiah) untuk pembelian tiket. Setelah mentransfer uang, korban kembali menghubungi Firmansyah untuk menanyakan kepastian pengiriman tiketnya, namun dijawab oleh tersangka jika kode aktivasi tiket telah hangus. Timbul kecurigaan pada korban setelah tahu jika aktivasinya dilakukan dengan menu transfer. Sehingga pada hari itu juga, Minggu tanggal 23 Desember 2012 korban langsung melaporkan kejadian tersebut di SPKT Polda Sulsel.

c. Simulasi kasus

  • Nama PT fiktif       : PT. Orada Indonesia
  • Travel agent fiktif : Asia Travel Center Indonesia à disebutkan dalam lampiran email
  • Email pelaku         : [email protected]
  • Email korban        : [email protected]
  • Pelaku mengirimkan surat panggilan tes penerimaan kerja PT. Orada kepada korban. Korban tertipu dengan mengirimkan sejumlah uang untuk biaya pemesanan tiket dan transportasi pada saat menghadiri tes penerimaan kerja. Sadar telah ditipu, korban pun melaporkan kasusnya ke polisi.
  • Polisi menurunkan anggota unit cyber crime-nya untuk menginvestigasi kasus penipuan yang melibatkan media email ini. Objek investigasi berupa email pelaku yang dikirimkan kepada korban.
  • Email pelaku diinvestigasi menggunakan beberapa web yang mendukung forensik email, yaitu:

d. Investigasi kasus

Simulasi kasus tersebut melibatkan email sebagai media komunikasi. Langkah yang dilakukan adalah dengan memeriksa header dari email yang dikirimkan oleh pelaku kepada korban.

  • Korban menggunakan email dari provider Yahoo, yaitu [email protected]. Login ke Yahoomail dan buka email yang dikirimkan oleh pelaku.
  • Klik pada tombol drop-down More dan klik opsi View Full Header.

  • Pilih teks header pesan (message header text) dan salin ke teks editor kemudian simpan file tersebut.

  • Sign-out email.
  • Berikut adalah isi header email pelaku.

 

From "HRD PT. Orada Indonesia" Wed Nov 25 06:16:06 2015
X-Apparently-To: [email protected]; Wed, 25 Nov 2015 06:16:10 +0000
Return-Path: <[email protected]>
Received-SPF: pass (domain of gmail.com designates 209.85.215.65 as permitted sender)
 YXJrYW4gaGFzaWwgZXZhbHVhc2kgdGltIHNlbGVrc2kgdGVyaGFkYXAgbGFt
 YXJhbiBrZXJqYSBTYXVkYXJhIHlhbmcga2FtaSB0ZXJpbWEsIGRlbmdhbiBp
 bmkga2FtaSBzYW1wYWlrYW4gYmFod2EgYmVya2FzIGxhbWFyYW4gU2F1ZGFy
 YSBtZW1lbnVoaSBwZXJzeWFyYXRhbiB5YW5nIGRpdGV0YXBrYW4gdW50dWsg
 ZGFwYXQgbWVuZ2lrdXRpIHRlcyByZWtydXRtZW4gY2Fsb24gawEwAQEBAQNt
 dWx0aXBhcnQvYWx0ZXJuYXRpdmUDAzMCA3RleHQvcGxhaW4DAzACA3RleHQv
 aHRtbAMDMgJTdXJhdCBVbmRhbmdhbiBUZXMgUFQuIE9yYWRhIEluZG9uZXNp
 YS5wZGYDYXBwbGljYXRpb24vcGRmAwMw
X-YMailISG: FcUdav0WLDs41WMGaRLBPxGSj101x767DFB0QhS_tSpBmcaO
 o3uzh27qAEX2SC9OQIrc.W18hulNJ7BF8Txxfl8hV9c_QvXEpDXD.aq5wdLV
 U5BHgrraNippjRQeedql9ng4Fr4ly04JkDod33mN3TX_bpsTYRADtwXuRlS1
 EAGssOmJaUGHMhZ8RwmFf8gv5lfbphhbRnswN5e9dU5o8OE5pA8c_yzplg_n
 wHM2_k3_9Aa6dZu5leKP3trcTgexMyFPdmPvaYhp8R.AEQCq47VJLaXYnaWf
 o.dO3nG7iWGDEg4pSmSyN.0sEtxjCS3ANK1ViryetCH8BavrlyuhMDT07gvD
 Q.RkI6_qe3nZulLIx4tw7dbbil58LJgG1SHGyM6pihsXmL7pgF4Mm3yxU2kn
 Q7PDcNuuAMyHfLgSzyxREkkfjQWanv6dnWj8EjlbGhllWkvf6ZITghSY8.kH
 QiE8VuF2_kCT9wQUHk.jGsZTT2Ow3MSoP.qqpr82AiCC8qTc90VjmWQxh6l1
 6hup058ZmEYB7J7e3TLbkXIJT2udJMByE76AfGI2Mt1H0hc7mxHGRewBl9NC
 cAXjMPx5ZTxoxAL04GX63NlYBWzoVLad.pASWubrel7SR1ZiS6pfLo_0iiAV
 dzoVGZVylwbISXtaG0btWRfcXBdXdxXJrsTuN61bN9Fw4s4wjT5b0w1qOL9H
 LD8yj_0Vs9rtn3VVVwDlYNge3zEXYRLErYgVt9o3YJ1V93ciQhnd5tHO1bEo
 AD_XPu_MMm77qTHFrkkkt3yHKIdsOOU.26GDKwb7xoX84zEY6iCJYiEPgf_.
 B21YH8cm61U0BAR4DrxJzgVLx9pQPIj76llmst5MGKub_kUkTVFLzdLNyfOO
 00rd_eYpZTMQH6NZUar2JotkCkPT7.wICrHoBkxWaArJaIwvbIWCYtTLjLn5
 5ZhrkPZixvypDb0dGAGgIgcMkR2EzbnZ2FF44OF04Pr_dZz0M2OFWptEXXzg
 Yc.VfCtFvgv5EC2TuC97nTNwzBAZhsqeftH0zWhZExA2zo5GLkr7FA_MKTG8
 WRwzEvQk07esNbFg44q5soQ76XpMr0zkJp56M9gqrV3QQNWj.ygn3fqNDUtr
 XehHHx0ysh6t8NoGLcW2oSfTjEH7g_.qL2ZeXoqHYlYtuV3x1yYC_T6K9f.n
 eDmDnUAeu9dpPXvovgtnaxNWaz5fHD0NfITxMAE7CWqYP6EH5zBXijULp1sy
 B0dn7l_7tnwr4uTki0gj_o._o9wdgnp.AER3CHSsFZoon2QZ.Sjt2YSIZALC
 aYAH9aGk5vMsSxTV7BYpvkdUx7ZYXOydVlDrZpjHWakt8w9FvK5T3ETo6Nlv
 NIqFZgXcZzkgfYhiVDRe.Jzq9OWuVscK5IlgT4kR4xLv.bC.7xrFq3P45mez
 gQgSAVNEdmHQLFKCZonNxgjO8I297SijNRmPn5Km2Adrdf2NpJTeC269_4Gf
 rhtvG9l9jMGzynebqCURpLgns6cYHOzwIIM-
X-Originating-IP: [209.85.215.65]
Authentication-Results: mta1523.mail.ne1.yahoo.com from=gmail.com; domainkeys=neutral (no sig); from=gmail.com; dkim=pass (ok)
Received: from 127.0.0.1 (EHLO mail-lf0-f65.google.com) (209.85.215.65)
 by mta1523.mail.ne1.yahoo.com with SMTPS; Wed, 25 Nov 2015 06:16:09 +0000
Received: by lfs39 with SMTP id 39so4246787lfs.3
 for <[email protected]>; Tue, 24 Nov 2015 22:16:07 -0800 (PST)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
 d=gmail.com; s=20120113;
 h=mime-version:date:message-id:subject:from:to:content-type;
 bh=f6Xid5fFZl8bQuJdMXsdQa5uSFU3DVH1YLvXZK/P7Zs=;
 b=eLuYjxhteyVa452CB99jfYTY6ijZj+yaYNH35ieync6c8WglJuCEJmR3hAZJRYZKcU
 04wyYRBdqB5dzAl3FrGN6uyKoja4rQGBcvOmRwdRjblTfzDl9S7qbMxTsg7k5Q5SsmtA
 nUqpGSq2daKtR8IeWLp143FGYkBWqkyQ0fr2S7rOvRB0qwPWeh2E7BeYAaSwHKhrKSG
 8rmV1hCVfdivEjEsdFFNo2vntQWVHZTFDcSp6RfwkzeLuT/v0YrSK2UgMUebAmGPP7T5
 c7wpc23zSDII+V5HoCPAqRMa3tVCjuHnepCXdZUTqEf07f570ooL0iPKNmV4bG6AzCTQ
 OsYg==
MIME-Version: 1.0
X-Received: by 10.112.99.4 with SMTP id em4mr14329080lbb.87.1448432166908;
 Tue, 24 Nov 2015 22:16:06 -0800 (PST)
Received: by 10.25.214.106 with HTTP; Tue, 24 Nov 2015 22:16:06 -0800 (PST)
Date: Wed, 25 Nov 2015 13:16:06 +0700
Message-ID: <CAFv=qGF+58K65NPO+4=M8HNgQ9SjVq0iWTmO4ZnFuxREY6wTjA@mail.gmail.com>
Subject: Panggilan Tes Rekrutmen PT. Orada Indonesia
From: "HRD PT. Orada Indonesia" <[email protected]>
To: [email protected]
Content-Type: multipart/mixed; boundary=001a11340c9acacdae052557642d
Content-Length: 360642

 

  • Menganalisis header email pelaku.
    • From                  : [email protected]
    • Sender              : HRD PT. Orada Indonesia
    • To                       : [email protected]
    • Date                   : Wed, 25 Nov 2015 13:16:06 +0700
    • Subject              : Panggilan Tes Rekrutmen PT. Orada Indonesia
    • Originating-IP : 85.215.65
    • Received           : pass (domain of gmail.com designates 209.85.215.65 as permitted sender)
    • Message-ID     : <CAFv=qGF+58K65NPO+4=M8HNgQ9SjVq0iWTmO4ZnFuxREY6wTjA@mail.gmail.com>
  • Selanjutnya dilakukan validasi terhadap alamat email pelaku apakah alamat email tersebut benar-benar valid. Untuk mengecek validitas email, buka situs web http://centralops.net dan pilih menu Email Dossier. Isikan alamat email secara lengkap dan benar, kemudian klik tombol go. Hasil yang muncul akan menunjukkan apakah alamat email yang dimasukkan tadivalid atau tidak. Untuk alamat email [email protected] berikut adalah hasil pengecakan validitasnya:

  • Kemudian lakukan pengecekan terhadap originating IP address. Pengecekan ini dapat dilakukan dengan menggunakan online toolis. Buka situs web https://who.is dan isikan IP address yang telah ditemukan pada header email, kemudian klik tombol kaca pembesar (search).

  • Hasil yang muncul nantinya dapat menunjukkan alamat geografis dari penyedia layanan email (email provider) yang digunakan. Untuk IP address 209.85.215.65 adalah milik Google, Inc. dan alamat geografisnya adalah di 1600 Amphitheatre Parkway, Mountain View, California (CA), US. Oleh karena berada di US, maka domain registrant-nya mengikuti milik ARIN (American Registry for Internet Number).

  • Investigator dapat juga melakukan trace back email pelaku untuk mendapatkan informasi berupa email pengirim dan IP address-nya menggunakan situs web http://www.cyberforensics.in/OnlineEmailTracer/index.aspx. Salin header email ke dalam form yang tersedia kemudian klik tombol Start Tracing.

  • Hasil yang muncul adalah berupa IP address dan domain registrant dari IP address tersebut, yaitu sebagai berikut:

  • Dan berikut adalah hasil tracing perjalanan email pelaku untuk sampai ke tujuan (path trace).

  • Selain itu, masih ada tambahan informasi berupa domain registrant dari IP addres email tersebut.

  • Setelah mengetahui informasi tersebut, ada baiknya bagi investigator untuk mengecek juga siapakah email provider dari domain email yang digunakan oleh pelaku dan apakah domain tersebut tidak bermasalah untuk diakses. Hal ini dapat dilakukan menggunakan online tool mxtoolbox.com. Buka situs web http://mxtoolbox.com/ kemudian isikan nama domain dari email milik pelaku. Klik tombol MX Lookup untuk memprosesnya. Hasil yang muncul menunjukkan bahwa domain gmail.com yang digunakan oleh pelaku untuk mengirimkan email kepada korban adalah menggunakan email provider Google.

  • Selain itu, mxtoolbox.com juga dapat digunakan untuk menemukan permasalahan pada domain email. Klik tombol Find Problems. Hasilnya akan muncul sebagai berikut.

  • Untuk melihat detail informasinya, cukup klik pada tombol Errors, Warning, atau Passed.
  • Jadi, kesimpulannya adalah email pelaku menggunakan domain gmail.com yang merupakan domain milik Google dengan IP address-nya adalah 209.85.215.65 berada di US sehingga mengikuti domain registrant ARIN.
  • Langkah selanjutnya yang dapat dilakukan oleh investigator adalah dengan menghubungi pihak email provider gmail.com untuk berkoordinasi agar investigator bisa mendapatkan informasi lebih lanjut mengenai pelaku lewat akun yang digunakannya, yaitu [email protected].

Email Forensics

Hey hey hey.. Apa kabar semua? Udah lama bgt gak apdet blog, due to kemalasan yg melanda. Huhuhuhu.. Baiknya jangan ditiru ya.. Baiklah.. Kalo di postingan terakhir membahas tentang Wireless Forensics, kali ini pembahasannya adalah mengenai Email Forensics. Berbeda dengan Wireless Forensics yg memang punya kategori sendiri di blog ini (Network Forensics ~> Wireless Forensics), Email Forensics ini masuk ke tema pembahasan di kategori Internet Forensics (Network Forensics ~> Internet Forensics).

Bismillah.. Langsung aja ya, kita bahas tentang email..

DEFINISI EMAIL

Email adalah singkatan dari electronic mail atau surat elektronik. Surat elektronik dipertukarkan (dikirim dan diterima) menggunakan media elektronik yang terhubung melalui koneksi jaringan, dalam hal ini adalah internet. Awalnya email digunakan untuk bertukar pesan elektronik yang berbasis file teks, namun dengan perkembangan teknologi, email lebih atraktif terhadap penggunanya, tidak hanya dapat mengirim file teks, tapi juga dapat mengirim file audio, video, foto, dan ektensi file lainnya (Chhabra & Bajwa, 2015).

Menurut penelitian Pasupatheeswaran pada 2008, email terdiri dari dua bagian, yaitu header dan body. Bagian header membawa informasi yang dibutuhkan untuk routing email, baris subjek, dan timestamps, sedangkan body terdiri dari pesan atau data yang hendak disampaikan pada penerima. Namun, dalam artikel

dinyatakan bahwa secara umum sebuah email terdiri dari 3 bagian besar, yaitu:

  • Bagian header
    • Subjek atau topik email
    • Tanggal dan hari
    • Alamat email yang dituju
    • Nama lengkap dan alamat email pengirim
  • Bagian body
    • Artikel dari pengirim
    • Kutipan dari artikel yang terdahulu yang diacu pada isi email saat ini
  • Bagian footer
    • Signature pengirim email
    • Kutipan artikel/email terdahulu
    • Signature tambahan dari provider internet

SEJARAH EMAIL

Email pertama kali dirancang oleh seorang ilmuwan bernama Raymond Tomlinson dari BBN Technologies (Saleh, 2006) yang merupakan perusahaan yang disewa oleh Departemen Pertahanan Amerika Serikat (DoD – Department of Defense) untuk membangun internet pertama di dunia. Jika berbicara tentang sejarah email, maka tidak akan terlepas dari sejarah ARPANET yang akan menjadi cikal bakal dari internet yang dapat dinikmati saat ini.

ARPANET (Advanced Research Project Agency Network) merupakan jaringan komputer yang dibuat oleh ARPA (Advanced Research Project Agency) dari Departemen Pertahanan Amerika pada tahun 1969 sebagai sebuah sistem jaringan komunikasi untuk keperluan militer. Keberadaan email jauh lebih dulu dibandingkan ARPANET, tepatnya pada tahun 1965, email sudah diimplementasikan menggunakan kumpulan mainframe yang terbentuk sebagai jaringan.

Raymond menulis sebuah program transfer file yang disebut CPYNET yang digunakan untuk mentransfer file melalui ARPANET. Program CPYNET digunakan untuk SNDMSG (Send Message) yang merupakan program untuk mengirim pesan antar dua user yang berbeda di komputer yang sama. Dengan menggabungkan program CPYNET dan SNDMSG, Ray berpikir bahwa pesan akan terkirim tidak hanya pada satu komputer saja, melainkan dapat dikirimkan kepada beberapa user dan beberapa komputer. Raymond terus melakukan eksperimen dan berhasil pada tahun 1971 dengan percobaan pengiriman email dari komputer Raymond ke komputer yang berada di sebelahnya dengan jarak 1 meter. Untuk dapat mengirim pesan ke beberapa komputer, Raymond mempelajari struktur keyboard komputer dan memilih karakter “@” sebagai petunjuk alamat pengguna email. Simbol “@” dieja “at” yang merupakan kosakata dalam bahasa Inggris yang memiliki arti “di” yang berfungsi untuk mengidentifikasi alamat penerima dan jaringan yang digunakan.

CARA KERJA EMAIL

Sistem email terdiri dari dua komponen utama yang berperan penting dalam proses pengiriman dan penerimaan email, yaitu Mail User Agent (MUA) dan Mail Transfer Agent (MTA). MUA merupakan komponen yang digunakan oleh user untuk menerima, menjawab, dan menulis pesan, sedangkan MTA berfungsi untuk menghantarkan email yang hendak dikirim, biasanya dikenal dengan sebutan mailer (Wahyudi, 2008).

Untuk lebih jelasnya, perhatikan gambar berikut:

  • Tahap A : Pengirim (sender) menulis dan mengirimkan pesan email
  • Tahap B : Mesin MTA pengirim merutekan pesan email
  • Tahap C : Email masuk ke jaringan perusahaan
  • Tahap D : Email masuk dalam daftar antrean
  • Tahap E : Email dihantarkan dari MTA (server email) pengirim menuju MTA penerima melintasi router-router internet
  • Tahap F : Pesan email masuk pemeriksaan firewall, filter spam dan virus sebelum masuk ke MTA penerima
  • Setelah lolos pemeriksaan firewall, maka email akan disampaikan ke mailbox penerima yang dituju.

Email biasanya banyak menggunakan format ASCII (American Standard Code for Information Interchange) untuk standar teks, sehingga dapat dibaca oleh semua komputer. Teks ASCII biasanya direpresentasikan pada nama-nama dan nilai-nilai field pada header. Sedangkan untuk nilai-nilai non-ASCII akan direpresentasikan menggunakan standar MIME (Multipurpose Internet Mail Extension), yaitu standar protokol untuk mempermudah pengiriman berkas melalui lampiran (attachment) seperti format gambar, video, audio, file doc, dan sebagainya.

ANATOMI EMAIL

Yuk, kita bahas mengenai email’s anatomy *sok2an ikutan Grey’s Anatomy gitu..* 😀 Kita ambil contoh dari alamat email [email protected] ya..

Berikut rinciannya:

  • hoiriyah  : nama pengguna (username) yang ingin dituju dalam mail server
  • uii.ac.id   : nama mail server tujuan (mail server tempat pengguna yang dituju) dengan rincian sebagai berikut
    • students : subdomain, biasanya merujuk kepada suatu komputer dalam lingkungan pemilik domain
    • uii             : nama domain, biasanya menunjukkan nama perusahaan, instansi, organisasi, atau pemerintahan
    • ac             : second level domain, menunjukkan bahwa domain termasuk kategori institusi pendidikan (academic)
    • id              : top level domain, menunjukkan bahwa domain terdaftar di otoritas domain Indonesia (id)

Nah, udah paham kan mengenai penggunaan email ini? Bermanfaat banget ya, tapi gak jarang juga dimanfaatkan untuk melakukan tindak kejahatan *jeng jeng jeng..* Mau tahu apa tempe kejahatan apa saja yg bisa dilakukan dengan menggunakan media email?

1. Spamming

Spamming adalah pesan komersial yang tidak diminta (bulk email). Penjahat yang mengirim spam disebut spammer. Karena pengiriman email sangat murah, spammer dapat mengirim ribuan email sekaligus setiap hari melintasi jaringan internet. Dampak dari spamming adalah dapat menyebabkan overload pada komputer yang sibuk.

2. Email worm

Menggunakan email sebagai jalan untuk menggandakan dirinya ke banyak komputer. Kombinasi spam dan worm dapat sangat mengganggu para pengguna email.

3. Email spoofing

Email spoofing merupakan bagian dari bentuk pemalsuan. Pesan email yang dikirimkan, dengan sengaja dipalsukan supaya tampak seolah-olah dari alamat email yang terpercaya atau dikenal. Spoofing seringkali ditempuh dengan mengubah header email.

4. Email bombing

Email bombing adalah usaha mentransfer email dalam jumlah ekstra besar ke sebuah target alamat email, sehingga account email korban mengalami crash atau tidak dapat digunakan lagi.

Nah, dengan adanya tindak kejahatan menggunakan email tsb, maka dibutuhkan juga tindakan investigasi forensik terhadap email, atau bisa kita sebut Email Forensics.

EMAIL FORENSICS

Banday (2011) dalam penelitiannya menyatakan bahwa:

Email forensics mengacu pada studi tentang sumber dan isi email sebagai alat bukti untuk mengidentifikasi pengirim email yang sebenarnya dan penerima email, tanggal & waktu ketika email ditransmisikan, serta detail record tentang transaksi email.

Sedangkan menurut Karsono (2012):

Email forensics adalah suatu tindakan pengamanan, pengecekan, serta penelusuran terhadap email palsu atau terhadap bukti-bukti kejahatan yang menggunakan email.

Pengertian email forensik juga disampaikan oleh Devendran (2015) bahwa:

Pemeriksaan dan pengungkapan informasi penting yang terdapat pada email merupakan aktivitas e-mail forensics.

Tahapan-tahapan dalam email forensics:

  1. Mendapatkan surat izin penggeledahan (search warrant)
  2. Mendapatkan bit-by-bit image dari informasi email
  3. Memeriksa header email
  4. Menganalisis header email
  5. Melacak dari mana email berasal
  6. Mengakuisisi arsip email (email archive)
  7. Melakukan pemulihan (recovery) terhadap email yang telah dihapus (deleted email)

Jenis-jenis investigasi email forensics:

1. Header Analysis

Header analysis merupakan analisis yang dilakukan pada metadata header email, di mana metadata tersebut mengandung informasi tentang pengirim dan/atau jalur yang dilalui oleh pesan selama dalam perjalanan menuju alamat email yang dituju.

2. Bait Tactic

Investigasi email yang menggunakan bait tactic dengan http <img src> menandai sumber gambar pada beberapa komputer yang kemudian dimonitor oleh investigator dengan mengirim pesan pada si pengirim di bawah investigasi alamat email yang sebenarnya. Investigator akan mengirim email jebakan pada si penipu, jika email tersebut dibuka, maka IP address dari si penipu akan terekam dan dapat dilacak. Investigator dapat menggunakan embedded java applet atau active X object yang digunakan dalam mengirim pesan jebakan. Keduanya dapat mengekstrak IP address dari komputer penerima beserta emailnya kepada investigator.

3. Server Investigation

Dalam investigasi ini, pesan yang terkirim dan log server akan disalin (di-copy) untuk keperluan investigasi, untuk mengidentifikasi sumber email itu sendiri. Log server yang sudah di-copy akan dipelajari untuk melacak alamat komputer yang membuat transaksi menggunakan email. Namun, data log server yang di-copy bersifat terbatas pada suatu periode.

4. Network Investigation

Log yang berada pada alat-alat jaringan seperti router, switch, dan firewall dapat digunakan untuk menginvestigasi sumber email.

5. Software Embedded Indentifiers

Dalam membuat pesan, pengirim kemungkinan memasukkan beberapa informasi tentang pengirim email, file, atau dokumen yang dilampirkan menggunakan software email. Informasi ini bisa terdapat pada header atau di dalam konten MIME, yang bisa saja merupakan informasi vital yang dapat dijadikan barang bukti. Investigasi ini dapat menunjukkan nama file PST (Microsoft Outlook), Windows logon, username, MAC address yang terdapat pada komputer client yang digunakan untuk mengirim email.

6. Sender Mailer Fingerprints

Identifikasi dari software yang menangani email pada server bisa diungkapkan dari halaman received header dan identifikasi software yang menangani email pada client bisa diketahui dengan menggunakan set header yang berbeda, seperti “X-mailer” atau sejenisnya. Header ini menjelaskan tentang aplikasi yang digunakan dan versi yang digunakan oleh client untuk mengirim pesan. Informasi tentang komputer client dapat membantu investigator menemukan rencana yang efektif dan membuktikan dengan tepat.

Sekian pembahasan, sekarang saatnya.. *drum roll, tarak dung ces*

LATIHAN SOAL

Latihan soal dapat dilihat di sini.

OK, segitu dulu ya.. Semoga bermanfaat. Insya Allah dilanjutin lagi.. 🙂

Terima kasih.

SPECIAL THANKS TO:

  • Hoiriyah. (2016). Investigasi forensik pada email spoofing dengan menggunakan metode header analysis. Universitas Islam Indonesia, Yogyakarta, Indonesia.

SUMBER

Network Forensics: Latihan Soal

LATIHAN SOAL

  1. Carilah studi kasus kejahatan komputer yang dilakukan menggunakan jaringan komputer di Indonesia!
  2. Sebutkan langkah-langkah yang harus dilakukan untuk menginvestigasi kasus tersebut!
  3. Simulasikan menggunakan beberapa tools yang ada di buku “Computer Forensics: Investigating Network Intrusion & Cybercrime”!

JAWABAN

1. Studi kasus kejahatan komputer yang dilakukan menggunakan jaringan komputer di Indonesia:

  • Studi kasus kejahatan melalui jaringan komputer di Indonesia yang diangkat dalam tugas ini adalah mengenai DDoS (Distributed Denial of Service) attack yang menimpa situs (website) go.id pada tahun 2013.
  • DDoS attack merupakan jenis serangan terhadap sebuah komputer atau server di dalam jaringan internet dengan cara menghabiskan sumber (resource) yang dimiliki oleh komputer tersebut sampai komputer tersebut tidak dapat menjalankan fungsinya dengan benar, sehingga secara tidak langsung mencegah pengguna lain untuk memperoleh akses layanan dari komputer yang diserang tersebut.
  • Berikut ini adalah berita yang memuat informasi mengenai DDoS attack yang menargetkan serangan ke website milik Polri.

2. Langkah-langkah yang harus dilakukan untuk menginvestigasi kasus DoS atau DDoS attack terhadap layanan web (web server) adalah sebagai berikut:

  • Menganalisis log pada web server, FTP, dan local system untuk mengkonfirmasi adanya serangan web.
  • Mengecek file untuk mendapatkan informasi yang berkaitan dengan waktu (timestamp), IP address, kode status HTTP, dan sumber yang diminta (requested resources).
  • Mengidentifikasi sifat serangan, apakah target serangan adalah DDoS attack ataukah hanya ditujukan ke satu target saja. Apakah penyerang berusaha mematikan jaringan secara keseluruhan ataukah hanya berusaha menyusup ke satu mesin saja.
  • Melokalisir sumber.
  • Menggunakan firewall dan log IDS untuk mengetahui dari mana serangan berasal. Hal ini dapat membantu mengidentifikasi apakah serangan berasal dari komputer yang terinfeksi (compromised host) di dalam jaringan internal ataukah dari jaringan luar.
  • Memblok serangan. Saat serangan sudah diketahui dari mana asalnya, maka lakukan blocking untuk serangan tersebut.
  • Jika telah diketahui adanya host yang terkena serangan, nonaktifkan host tersebut dari jaringan sampai host tersebut “bersih” dari serangan yang mengenainya, kemudian kembalikan host tersebut ke layanan/fungsinya semula.
  • Jika serangan dilakukan dari jaringan luar, lakukan blocking akses IP address jaringan luar tersebut ke dalam jaringan internal.
  • Melakukan investigasi terhadap serangan yang dilakukan, dimulai dari IP address penyerang yang telah diketahui.

3. Simulasi kasus DDoS attack menggunakan tools yang ada di buku “Computer Forensics: Investigating Network Intrusion & Cybercrime”:

Oleh karena keterbatasan spesifikasi server dan jumlah perangkat yang tersedia, simulasi yang dilakukan adalah berupa DoS attack saja.

a. Spesifikasi komputer yang digunakan dalam skenario kasus adalah sebagai berikut:

  • Komputer yang melakukan DoS attack (penyerang)
    • Operating System (OS) : Windows 7
    • IP address                        : 192.168.1.130
    • MAC address                   : 00-15-af-be-db-6f
    • Tools                                  : LOIC dan ping
  • Komputer target:
    • Operating System (OS) : Kali Linux
    • IP address                        : 192.168.1.131
    • MAC address                   : 00:0c:29:02:fc:1b
    • Service                              : http (TCP port 80)
    • Website                             : http://amplopdigital.com/wordpress

b. Skenario DoS attack akan dibagi menjadi 2 sesi, yaitu sebelum ada attack dan setelah ada attack.

  • Skenario sebelum ada DoS attack:
    • Komputer penyerang melakukan aktivitas browsing menggunakan web browser Mozilla Firefox ke alamat http://amplopdigital.com/wordpress.
    • Hasilnya adalah website dapat dibuka dengan lancar.

  • Skenario DoS attack:
    • Komputer penyerang melakukan aktivitas browsing ke alamat http://amplopdigital.com/wordpress sembari melakukan DoS attack menggunakan menggunakan tools LOIC dan ping.
    • Tool LOIC diset sebagai berikut:
      • IP address : 192.168.1.131                  ~> Lock on
      • Port             : 80
      • Method       : HTTP
      • Klik tombol Imma Chargin Mah Lazer.

    • Ping dilakukan menggunakan command prompt (CMD) pada Windows untuk membanjiri server dengan paket data yang besar (ping flood) dengan beban 65500 secara terus-menerus.

  • Komputer target melakukan capture paket data menggunakan:
    • Wireshark
    • tcpdump : tcpdump -vv -x -X -I eth0 ‘port 80’ > http80.log

  • Dan melakukan pengecekan terhadap jumlah koneksi ke arah port 80 (HTTP) dengan perintah berikut:

netstat -plan|grep :80|awk {‘print $5’}|cut -d: -f 1|sort|uniq -c|sort -nk 1

  • Hasilnya adalah sebagai berikut:
    • Koneksi ke port 80 (HTTP) jumlahnya sangat besar, padahal datangnya hanya dari 1 IP address yaitu 192.168.1.130 (komputer penyerang).
    • Koneksi ke website semakin melambat. Pada status bar di bagian atas menunjukkan bahwa website yang diakses terus-menerus connecting. Hal ini berlangsung cukup lama.

c. Analisis paket data yang di-capture menggunakan Wireshark adalah sebagai berikut:

  • Filter : http&&ip.src==192.168.1.130

Pada tabel akan muncul paket data dengan source IP address 192.168.1.130 yaitu komputer penyerang, dan destination IP address 192.168.1.131 (komputer target) dengan protocol HTTP (TCP port 80).

  • Klik kanan pada salah 1 baris, pilih Follow TCP Stream.

  • Muncul result window dari perintah Follow TCP Stream. Klik tombol Close.

  • Akan muncul window berisi frame-frame yang merupakan paket data dalam 1 sequence. Terlihat bahwa koneksi dimulai dengan status SYN (synchronize) dan berstatus FIN (finish) yang menandakan bahwa session dari koneksi tersebut telah selesai (session tidak menggantung). Jadi, serangan dengan LOIC menggunakan metode HTTP port 80 akan terus-menerus mengirimkan HTTP request ke komputer target dan tidak membuat session menggantung, atau dengan kata lain session dari HTTP request tersebut finish.

  • Cek pada menu Statistics –> Conversation.

  • Pilih tab TCP.

Terlihat bahwa koneksi TCP dari IP address 192.168.1.130 (komputer penyerang) ke IP address 192.168.1.131 (komputer target) berjumlah 5117.

  • Menghitung transaction per second dari koneksi TCP dalam file capture Wireshark:
    • Lihat durasi waktu dalam melakukan capture. Pilih menu Statistics –> Summary.

    • Cek pada bagian Time –> Elapsed.

Terlihat bahwa durasi waktu untuk capture file ini adalah 3 menit 10 detik. Konversikan ke dalam satuan detik.

(3 menit*60 detik) + 10 detik      = (180 + 10) detik
                                                           = 190 detik

  • Perhitungan TCP transaction per second.

TCP transaction per second         = jumlah TCP connection/durasi waktu capture
                                                             = 5117/190
                                                             = 26,93
                                                             = 27 TCP transaction/second

Jadi dalam 1 detik terjadi koneksi TCP sebanyak 27 transaksi. Jumlah yang cukup besar mengingat hanya berasal dari 1 IP address yaitu 192.168.1.130 yang merupakan IP address komputer penyerang.

d. Analisis paket data yang di-capture menggunakan tcpdump adalah sebagai berikut:

Jika pada Wireshark muncul result window dari perintah Follow TCP Stream, maka pada tcpdump hasilnya muncul sebagai log.

Analisisnya kurang lebih sama dengan file capture Wireshark. Dengan waktu awal capture yaitu 15:41:39 dan waktu ketika proses capture dihentikan yaitu 15:43:08, maka durasi waktu capture adalah 1 menit 29 detik (89 detik) dan dihasilkan file log yang meng-capture 11.079 paket data.

Kesimpulan:

  • Attack dengan tools LOIC (metode HTTP port 80) dan ping flood membuat akses ke komputer target dalam hal ini adalah web server, menjadi lambat. LOIC akan mengirimkan HTTP request secara terus-menerus namun tidak membuat session-nya menggantung.
  • Dalam durasi 190 detik, terjadi TCP connection sebanyak 5117 transaksi dari IP address komputer penyerang (192.168.1.130) ke IP address web server (192.168.1.131), yang berarti ada 27 TCP transaction per second, jumlah yang cukup besar untuk koneksi dari 1 IP address.

 

Wireless Forensics: Latihan Soal

LATIHAN SOAL

  1. Jelaskan tahapan-tahapan investigasi forensik jaringan berbasis wireless! Berikan contohnya!
  2. Lakukan eksperimen deteksi AP menggunakan wifi forensics tools (minimal 5 tools)!
  3. Lakukan eksperimen wifi packet sniffer menggunakan tcpdump untuk paket-paket data ke situs-situs tertentu!

JAWABAN

1. Tahapan investigasi forensik jaringan berbasis wireless:

a. Mendapatkan surat izin penggeledahan (search warrant)

  • Search warrant harus memiliki otorisasi yang tepat dari pihak yang memberikan kewenangan untuk melakukan pemeriksaan peralatan komputer di tempat (on-site), seperti perangkat wireless.
  • Analisis forensik hanya dilakukan pada peralatan yang diizinkan untuk diperiksa.
  • Contoh: Mendapatkan surat izin penggeledahan dari pengadilan.

b. Mengidentifikasi perangkat wireless di TKP

  • Sistem yang terkoneksi ke jaringan wireless menyediakan petunjuk penting untuk pemecahan kasus.
  • Jika perangkat yang terkoneksi ke jaringan wireless dapat dideteksi, investigator harus:
    • Memeriksa jumlah komputer, laptop, atau PDA yang terkoneksi ke Wireless LAN Access Point.
    • Memeriksa IP address dan MAC address menggunakan scanning tools seperti Nmap.
  • Contoh:
    • Mengidentifikasi perangkat wireless yang terkoneksi ke jaringan.
    • Memeriksa lokasi fisik dari perangkat wireless tersebut, seperti lokasi router, Access Point, repeater, laptop, antena, wireless USB network adapter, PDA, PCMCIA/EIAs.

c. Mendokumentasikan TKP dan melakukan pemeliharaan dokumen Chain of Custody

  • Semua perangkat yang terkoneksi ke jaringan wireless harus didokumentasikan.
  • Mengambil gambar (foto) dari barang bukti yang ditemukan.
  • Mendokumentasikan status perangkat selama pengamanan barang bukti.
  • Melakukan pemeliharaan Chain of Custody terhadap dokumen, foto, dan barang bukti.
  • Contoh:
    • Mendokumentasikan laptop dengan mengambil gambar screen laptop, aplikasi yang running, koneksi jaringan, dan lain-lain.
    • Melakukan pemeliharaan Chain of Custody terhadap dokumen, foto, dan barangbukti berupa laptop tersebut.

d. Mendeteksi koneksi wireless

  • Berputar-putar dengan membawa laptop wifi enabled yang ter-install wireless discovery tool dan melakukan mapping jaringan wireless.
  • Untuk menemukan jaringan wireless maka diperlukan perangkat-perangkat berikut:
    • Laptop dengan wifi card.
    • Antena wifi
    • Program wireless discovery.
  • Contoh: Wireless discovery tools di antaranya adalah NetStumbler, inSSIDer, NetSurveyor, Vistumbler, WirelessMon, Kismet, dan lain-lain.

e. Mendeteksi kekuatan sinyal wireless

  • Menggunakan program aplikasi yang dapat melakukan pengukuran dan kalkulasi dari kekuatan sinyal radio atau interferensi di lapangan.
  • Contoh: Penggunaan program aplikasi FSM, produk ZAP Checker, dan melakukan analisis spektrum (spectrum analysis) untuk mengetahui transmisi wifi radio, mengukur amplitudo sinyal radio, dan mengubahnya ke dalam bentuk angka-angka.

f. Melakukan mapping zona wireless & hotspot

  • Mengumpulkan informasi setelah mendeteksi adanya koneksi wireless.
  • Menganalisis informasi yang telah dikumpulkan secara tepat untuk mempersiapkan mapping-nya.
  • Mempersiapkan static map untuk zona wireless & hotspot.
  • Contoh: Penggunaan program aplikasi seperti MS Visio, SmartDraw, EDrawNetDiagram, dan lain-lain untuk melakukan mapping zona wireless & hotspot.

g. Melakukan koneksi ke Wireless Access Point (WAP)

  • Melakukan koneksi langsung dari laptop ke WAP menggunakan kabel.
  • Jika kedua perangkat tersebut DHCP enabled, maka laptop akan otomatis mendapatkan IP address dalam 1 jaringan yang sama dengan WAP.
  • Menjalankan perintah ipconfig pada command prompt untuk melihat IP address default gateway yang biasanya merupakan IP address
  • Login ke IP address WAP tersebut menggunakan web browser.
  • Jika mengetahui merk/brand dari WAP tersebut, cek username dan password default di situs http://www.governmentsecurity.org/articles/default-logins-and-passwords-for-networked-devices.html.
  • Melakukan percobaan login dengan username dan password default yang telah didapatkan dari situs governmentsecurity.com, karena dalam banyak kasus, customer tidak mengganti akun default administrator untuk WAP tersebut.
  • Contoh: Login ke Netgear Wireless Router

h. Melakukan akuisisi dan analisis data wireless

  • Setelah login ke WAP:
    • Melakukan pemeriksaan IP address, device name, dan MAC address dari perangkat yang terkoneksi ke WAP.
    • Melakukan pemeriksaan terhadap settingan LAN TCP/IP.
    • Mendapatkan settingan konfigurasi dan log di dalam WAP.
  • Memeriksa file log pada perangkat wireless yang ditemukan, yaitu analisis registry, log histori koneksi jaringan, log perangkat wireless, footprint perangkat USB.
  • Contoh:
    • Mendapatkan dan menganalisis file log berikut:
      • Log DHCP untuk mengetahui IP address yang di-assign ke MAC address perangkat yang terkoneksi ke WAP tersebut.
      • Log jaringan untuk melihat ada atau tidaknya aktivitas penyusupan (intrusion).
      • Log firewall juga untuk melihat ada atau tidaknya intrusion.
    • Dapat menggunakan tools seperti Firewall Analyzer, Firewall Log Analyzer, dan lain-lain untuk melihat log pada firewall.

i. Membuat laporan

  • Laporan yang dibuat harus memuat:
    • Nama investigator.
    • Daftar barang bukti wireless.
    • Dokumen barang bukti dan hal pendukung lainnya.
    • Daftar tools yang digunakan untuk investigasi.
    • Perangkat dan settingan yang digunakan dalam proses pemeriksaan.
    • Deskripsi yang jelas mengenai langkah-langkah pemeriksaan.
    • Detail mengenai temuan-temuan, seperti informasi file, barang bukti yang internet-related, analisis data dan image.
    • Kesimpulan dari hasil investigasi.
  • Contoh: Membuat laporan untuk investigasi serangan Wireless LAN (WLAN).

2. Deteksi AP menggunakan wifi forensics tools:

a. NetSurveyor

Mengumpulkan informasi mengenai WAP di lingkungan sekitar secara real-time.

  • Download NetSurveyor dari http://nutsaboutnets.com/netsurveyor-wifi-scanner/ dan lakukan instalasi NetSurveyor.
  • Jalankan NetSurveyor dan capture SSID yang di-broadcast oleh WAP. Hasilnya terdapat 4 SSID, yaitu sebagai berikut:
    • PLEMBURAN26 dengan channel 11
    • hotspot dengan channel 6
    • RASELA 2 dengan channel 8
    • UNKNOWN_SSID_9c:c1:72:2c:7f:2e dengan channel 10

b. Vistumbler

Menemukan WAP dan mengumpulkan informasi wireless. Vistumbler mendukung GPS dan live Google Earth tracking.

  • Download Vistumbler dari http://sourceforge.net/projects/vistumbler/ dan lakukan instalasi Vistumbler.
  • Jalankan Vistumbler dan capture SSID yang di-broadcast oleh WAP. Hasilnya terdapat 4 SSID, yaitu sebagai berikut:
    • PLEMBURAN26 dengan status Active
    • hotspot dengan status Dead
    • RASELA 2 dengan status Dead
    • UNKNOWN_SSID_9c:c1:72:2c:7f:2e dengan status Dead

Terlihat Manufacturer dari perangkat yang mem-broadcast SSID-SSID tersebut.

Dan waktu First Active dan Last Updated.

c. inSSIDer

  • Download inSSIDer dari http://inssider.en.softonic.com/download dan lakukan instalasi inSSIDer.
  • Jalankan inSSIDer dan capture SSID yang di-broadcast oleh WAP. Pada saat inSSIDer dijalankan, muncul 1 SSID baru sehingga hasilnya terdapat 5 SSID, yaitu sebagai berikut:
    • PLEMBURAN26 dengan status Active
    • My ASUS dengan status Active
    • hotspot dengan status Active
    • RASELA 2 dengan status Dead
    • UNKNOWN_SSID_9c:c1:72:2c:7f:2e dengan status Dead
  • Yang ter-record menggunakan inSSIDer adalah SSID yang berstatus Active saja, yaitu:
    • PLEMBURAN26 dengan status Active
    • My ASUS dengan status Active
    • hotspot dengan status Active

d. Xirrus Wi-Fi Inspector

  • Download Xirrus Wi-Fi Inspector dari http://www.xirrus.com/free-tools/ dan lakukan instalasi Xirrus Wi-Fi Inspector.
  • Jalankan Xirrus Wi-Fi Inspector dan capture SSID yang di-broadcast oleh WAP. Pada saat Xirrus Wi-Fi Inspector dijalankan, hanya terdapat 1 SSID yang Active, yaitu PLEMBURAN26 dengan channel 11 dan signal -59 dBm.

e. LizardSystems Wifi Scanner

  • Download LizardSystems Wifi Scanner dari http://lizardsystems.com/wi-fi-scanner/ dan lakukan instalasi LizardSystems Wifi Scanner.
  • Jalankan LizardSystems Wifi Scanner dan capture SSID yang di-broadcast oleh WAP. Pada saat LizardSystems Wifi Scanner dijalankan, hasilnya terdapat 3 SSID yang Active, yaitu:
    • PLEMBURAN26 dengan status Active
    • My ASUS dengan status Active
    • hotspot dengan status Active

Kesimpulan:

  • SSID PLEMBURAN26 merupakan SSID yang stabil dengan kekuatan sinyal -59 dBm. Hal ini juga dipengaruhi letak AP yang dekat dengan laptop yang menjalankan program wifi discovery tools.
  • Program yang digunakan berupa NetSurveyor dan Vistumbler dapat me-record SSID yang berstatus Dead. Sedangkan ketiga program lainnya, yaitu inSSIDer, Xirrus Wifi Inspector, dan LizardSystems Wifi Scanner tidak dapat me-record keberadaan SSID yang berstatus Dead tersebut.

3. Wifi packet sniffer menggunakan tcpdump untuk capture paket data ke situs:

a. Spesifikasi komputer yang digunakan dalam skenario packet sniffing menggunakan koneksi wireless ini adalah sebagai berikut:

  • Komputer host yang melakukan pengaksesan situs (browsing):
    • Operating System (OS) : Windows 7 (as host OS)
    • IP address : 192.168.1.130
    • MAC address : 00-15-af-be-db-6f
  • Komputer yang melakukan packet sniffing (sniffer):
  • Virtual Machine (VM) : Yes (as guest OS)
  • Network adapter : bridged DHCP IP address
    • Operating System (OS) : Kali Linux
    • IP address : 192.168.1.131
    • MAC address : 00:0c:29:02:fc:1b

b. Komputer host melakukan aktivitas browsing menggunakan web browser Mozilla Firefox dari Windows 7 ke situs-situs: http://www.kompas.com, http://www.detik.com, dan http://edition.cnn.com.

c. Komputer sniffer yang ada di dalam VM tidak dapat meng-capture paket yang terjadi di komputer host-nya, kecuali paket broadcast dan paket yang menuju ke komputer sniffer, karena network adapter milik komputer sniffer tidak di-assign secara fisik. Oleh karena itu, perlu dilakukan port mirroring menggunakan iptables, sehingga trafik yang ada di komputer host akan di-mirror juga ke komputer sniffer yang ada di dalam VM.

d. Komputer sniffer melakukan capture trafik komputer host yang sedang browsing dan hasil capture di-record ke dalam file log untuk dibaca kemudian.

e. Komputer sniffer selesai melakukan capture trafik komputer host dan menekan tombol Ctrl+C pada terminal untuk menghentikan proses capture. Berikut adalah file browsing.log:

browsing.log

f. Search file tersebut untuk mencari informasi mengenai situs yang diakses, yaitu:

C:\Users\ninkyhade>ping www.kompas.com

Pinging www.kompas.com [202.146.4.100] with 32 bytes of data:
Reply from 202.146.4.100: bytes=32 time=54ms TTL=243
Reply from 202.146.4.100: bytes=32 time=58ms TTL=243
Reply from 202.146.4.100: bytes=32 time=69ms TTL=243
Reply from 202.146.4.100: bytes=32 time=59ms TTL=243

Hasil capture pada file browsing.log

C:\Users\ninkyhade>nslookup www.detik.com

Server:  UnKnown
Address:  192.168.1.1

Non-authoritative answer:
Name:    detik.com
Addresses:  64:ff9b::cbbe:f245
64:ff9c::cbbe:f245
64:ff9b::cbbe:f12b
64:ff9c::cbbe:f12b
203.190.242.69
203.190.241.43            ~> captured IP address

Hasil capture pada file browsing.log

C:\Users\ninkyhade>ping edition.cnn.com

Pinging turner.map.fastly.net [103.245.222.73] with 32 bytes of data:
Reply from 103.245.222.73: bytes=32 time=757ms TTL=55
Reply from 103.245.222.73: bytes=32 time=96ms TTL=55
Reply from 103.245.222.73: bytes=32 time=80ms TTL=55
Reply from 103.245.222.73: bytes=32 time=82ms TTL=55

Hasil capture pada file browsing.log

Kesimpulan:

  • IP address dan situs yang diakses oleh komputer host dapat ter-capture di dalam file browsing.log.
  • Dalam simulasi ini, komputer sniffer adalah sebuah guest OS di dalam Virtual Machine (VM) yang melakukan packet sniffing dan meng-capture paket yang ada di komputer host menggunakan tool
  • Untuk dapat melakukannya, sebelum tcpdump dijalankan, maka perlu dilakukan port mirroring dengan iptables untuk me-mirror trafik dari komputer host ke network adapter milik komputer sniffer.

Wireless Forensics

Hay hay hay.. Kemaren2 kan postingan-nya tentang Internet Forensics melulu ya.. Nah, di postingan kali ini akan membahas dulu mengenai Wireless Forensics. *biar gak jeles dianya.. 😛 *

Seperti yg telah dibahas di postingan awal tentang Network Forensics, di situ diceritakan bahwa Wireless Forensics merupakan salah satu cabang dari Network Forensics. Jadi, lingkup forensiknya nggak seluas network forensics, *ya iya karena lingkupnya jaringan wireless aja*, tapi sifat informasinya sama, yaitu dinamis dan rentan hilang.

BUAT APA ADA WIRELESS FORENSICS?

Menurut artikel yang ditulis oleh Siles di tahun 2007:

Adopsi teknologi wireless oleh banyak organisasi berpotensi menimbulkan permasalahan dari segi kontrol dan keamanan. Wireless forensics yang muncul sebagai hasil dari adanya teknologi wireless difokuskan untuk menangkap (capture) atau mengumpulkan data barang bukti digital di jaringan nirkabel (wireless network), sehingga pada akhirnya barang bukti digital tersebut dapat dipresentasikan sebagai barang bukti yang valid di pengadilan.

Nah, pasti udah pernah pake produk wireless kan? Apa aja emang macamnya? Ya macem2lah ya.. Ada wifi hotspot, bluetooth, infrared, RFID, NFC, dll. yg memungkinkan antar perangkat yg kita pakai, bisa mengkomunikasikan data tanpa kabel. Jadi disebut nirkabel ato wireless dalam bahasa Inggris-nya.

Tapi, di postingan ini ruang lingkup yg dibahas adalah WLAN (Wireless LAN).

Oleh karena komunikasi datanya nirkabel dan tak kasat mata, *ya iyalah, masa’ bisa lihat binary code 01010101 terbang2 di udara 😀 *, intinya mah lebih susah di-trace dibanding yg pake kabel, maka bisa menimbulkan trouble dari sisi keamanan.

Nah, contoh trouble-nya seperti berikut:

  • War Walking
Attackers berjalan membawa laptop dengan wifi yang enabled untuk mendeteksi adanya jaringan wireless terbuka (open wireless network).
  • War Chalking
Sebuah metode menggambarkan simbol di area publik untuk menyebarkan open wireless network.
  • War Driving
Attackers berkendara membawa laptop dengan wifi yang enabled untuk mendeteksi adanya open wireless network.
  • War Flying
Attackers terbang berkeliling membawa laptop dengan wifi yang enabled untuk mendeteksi adanya jaringan wireless terbuka (open wireless network). *niat banget yak.. mungkin bisa pake drone sih.. 😀 *

Terus, wireless forensics-nya ngapain?

Jadi, wireless forensics ini digunakan untuk meng-capture data barang bukti digital yg seliweran di jaringan wireless, dan tujuannya bisa dijadikan barbuk yg valid di pengadilan. Gitu lhooo..

Terus.. Penasaran gak sama lanjutannya? Yuk kita pelajari bersama..

WIRELESS FORENSICS : NGAPAIN AJA?

Menurut penelitian Kipper pada 2007:

Langkah pertama yang harus dilakukan untuk menemukan barang bukti dalam lingkungan jaringan wireless adalah menemukan peralatan yang mengganggu jaringan wireless tersebut. Dan apakah peralatan tersebut merupakan peralatan yang diotorisasi atau tidak. Banyak perangkat wireless yang dapat mengganggu berjalannya jaringan wireless, tidak hanya terbatas pada perangkat wireless tradisional saja, di mana perangkat tersebut digunakan untuk kepentingan konektivitas, seperti Access Point (AP), network adapter dan repeater, namun juga wireless hard drive, kamera, bahkan ponsel dan PDA (Personal Digital Assistant).

Kismet, Netstumbler, dan Airsnort merupakan beberapa tools yang berguna dalam menangkap trafik wireless. Setelah trafik tersebut dikumpulkan dan diverifikasi, analisis trafik wireless dapat dilakukan menggunakan tools forensik tradisional.

Jadi, langkah awalnya.. Temukan dulu perangkat pengganggu dalam jaringan wireless. Itu kalo emang jaringan wireless-nya bermasalah ya.. Kalo nggak, ya ngapain kita cari2 masalah *emangnya mau tesis, kudu nyari masalah dulu 😀 *.. Eh, tapi2, kalo buat precautions ato jaga2 aja sih gpp.. 😀

Terus jangan dipikir perangkat yg mengganggu jalannya jaringan wireless itu cuman kayak Access Point (AP) aja ya.. Ternyata yg printilan2 kayak network adapter dan smartphone pun bisa jadi orang ketiga di antara kalian pengganggu lho.. Fiuh..

Nah, untuk menemukan si pengganggu itu, bisa dengan cek dulu jaringan wireless apa saja yang tersedia menggunakan wireless discovery tools (seperti Netstumbler, NetSurveyor, Vistumbler, WirelessMon, Kismet, InSSIDer), ato langsung capture trafik wireless (wireless sniffing) dgn tools macem Kismet, Netstumbler, ato Airsnort. Habis itu baru dianalisis pake tools macem Wireshark.

Nah, untuk langkah2 selengkapnya, silakan disimak tulisan berikut ya..

LANGKAH-LANGKAH INVESTIGASI WIRELESS FORENSICS

Langkah-langkah yang dilakukan dalam investigasi forensik di lingkungan wireless adalah sebagai berikut (EC-Council, 2010):

1. Mendapatkan search warrant.

Investigator harus memastikan bahwa search warrant tersebut mencakup pemeriksaan on-site semua komputer dan perangkat wireless terkait kasus. Investigator dapat melakukan analisis hanya pada perangkat yang disebutkan di dalam search warrant tersebut.

2. Identifikasi perangkat wireless.

Investigator harus mengidentifikasi semua perangkat wireless yang terkoneksi ke jaringan. Pengecekan lokasi fisik diperlukan untuk mengidentifikasi wireless hardware seperti wireless router, wireless Access Point, wireless modem, wireless network adapter, repeater, hard drive, dan antena.

3. Dokumentasi tempat kejadian dan pemeliharaan Chain of Custody.

Investigator harus melakukan hal-hal berikut di tempat kejadian:

  • Mendokumentasikan semua perangkat yang terkoneksi ke wireless network.
  • Mengambil foto semua barang bukti.
  • Mendokumentasikan status setiap perangkat ketika melakukan pengamanan barang bukti.
  • Melakukan pemeliharaan Chain of Custody dari dokumen, foto, dan barang bukti.

NB: Point no. 3 ini nanti dibahas di bawah ya..

4. Mendeteksi koneksi wireless.

Investigator dapat mendeteksi koneksi wireless menggunakan tools untuk scanning seperti ClassicStumbler, MacStumbler, iStumbler, Airport Signal, Airfart, dan Kismet.

5. Menentukan kekuatan sinyal wireless.

Investigator dapat menggunakan tool Field Strength Meter (FSM) untuk menentukan kekuatan sinyal wireless.

6. Melakukan pemetaan terhadap zona wireless dan hotspot.

Setelah mendeteksi koneksi wireless dan mendapatkan informasi lain mengenai perangkat wireless yang terlibat di dalam kasus, investigator dapat menganalisis informasi tersebut untuk membuat pemetaan terhadap zona wireless dan hotspot.

7. Melakukan koneksi ke wireless network.

Metode untuk mengakses wireless Access Point adalah sebagai berikut:

  • Koneksi langsung ke wireless Access Point.
  • Mengendus (sniff) trafik di antara wireless Access Point dan perangkat yang terkoneksi ke wireless Access Point
  • Melakukan akuisisi dan analisis data.

Investigator dapat menggunakan tools seperti Wireshark dan tcpdump untuk menangkap trafik wireless. Hal lain yang mungkin perlu dilakukan adalah mendapatkan log DHCP, log firewall, dan log jaringan.

8. Melakukan akuisisi dan analisis data.

Investigator dapat menggunakan tools seperti Wireshark dan tcpdump untuk menangkap trafik wireless. Hal lain yang mungkin perlu dilakukan adalah mendapatkan log DHCP, log firewall, dan log jaringan.

9. Membuat laporan.

Laporan investigasi mencakup hal-hal seperti nama investigator, daftar barang bukti wireless, dokumen barang bukti, daftar tool yang digunakan dalam investigasi, perangkat dan setup yang digunakan dalam pemeriksaan, deskripsi singkat langkah pemeriksaan, detail temuan, dan kesimpulan dari investigasi.

WIRELESS FORENSICS BERKAITAN DENGAN CHAIN OF CUSTODY

Seperti yang disebutkan pada point no. 3 di atas, untuk kepentingan bukti di pengadilan, pasti butuh kan yang namanya rantai kepemilikan barang bukti ato disebut Chain of Custody (CoC) *bukan Clash of Clan, yes? 😉 *. Lengkapnya silakan cek di sini.

Nah, barang bukti yang di-acquire harus didokumentasikan ke dalam CoC. Apa saja yang perlu didokumentasikan?

  • Semua device yang terkoneksi ke jaringan wireless, paling tidak dapatkan NetBIOS name-nya. Misal dengan menggunakan command prompt dan menjalankan command net view.
  • Mengambil foto dari barang bukti yang ditemukan.
  • Mendokumentasikan status perangkat barang bukti ketika disita. Misal, menyala (ON) atau tidak (OFF).

Lalu, jangan lupa untuk melakukan pemeliharaan dokumen CoC, foto-foto yang telah diambil, dan barang bukti itu sendiri.

Sekian pembahasan, sekarang saatnya.. *drum roll, tarak dung ces*

LATIHAN SOAL

Latihan soal dapat dilihat di sini.

OK, sekian dulu ya dari saya.. Smoga bermanfaat buat para pembaca sekalian.. Insya Allah ketemu lagi di postingan selanjutnya..

Terima kasih.

SUMBER

 

 

Log File: Latihan Soal

LATIHAN SOAL

  1. Sebutkan dan jelaskan 3 jenis log yang dapat digunakan dalam proses forensik!
  2. Sebutkan beberapa barang bukti yang dapat dijadikan evidence terkait komukasi data sesuai dengan UU ITE!
  3. Lakukan instalasi windump/tcpdump! Lakukan capture traffic menggunakan software tersebut minimal 15 menit pada posisi download atau ada attack dari temannya! Berikan capture screenshot dan penjelasannya!

JAWABAN

1. 3 jenis log yang dapat digunakan dalam proses forensik:

a. Operating System (OS) Log

Log sistem operasi pada server, workstation, dan perangkat jaringan (networking device), seperti router, switch, dll. Log sistem operasi merupakan log yang paling mudah digunakan untuk mengidentifikasi atau menginvestigasi aktivitas mencurigakan yang berkaitan dengan host tertentu. Dibagi menjadi 2, yaitu:

  • Event Log
Berisi informasi mengenai tindakan operasional yang dilakukan oleh komponen sistem operasi.
  • Audit Log
Berisi informasi kejadian terkait keamanan (security event information), seperti percobaan autentikasi yang sukses/gagal, pengaksesan file, perubahan pada peraturan keamanan (security policy), dan perubahan akun.

b. Application Log

Log aplikasi yang berjalan pada sistem dan server seperti pada email server, database server. Log aplikasi berisi seluruh kejadian (event) yang dicatat oleh program. Event yang dicatatkan ke dalam log aplikasi ditentukan oleh pengembang program/software. Informasi yang biasanya terdapat di dalam log aplikasi adalah sebagai berikut:

  • Permintaan klien (client request) dan respon server (server response)
  • Informasi akun
  • Informasi penggunaan (usage information)
  • Tindakan operasional yang signifikan

c. Security Software Log

Log pada jaringan (network) dan software keamanan berbasis host (host-based security software). Software yang digunakan untuk keperluan pencatatan log jenis ini adalahsebagai berikut:

  • Software anti-malware
  • IDS (Intrusion Detection System) dan IPS (Intrusion Prevention System)
  • Software untuk akses remote
  • Web proxy
  • Software pengaturan celah keamanan (vulnerability management software)
  • Server autentikasi
  • Router
  • Firewall
  • Server karantina jaringan (network quarantine server)

2. Barang bukti yang dapat dijadikan evidence terkait komukasi data sesuai dengan UU ITE:

a. Electronic Data Interchange (EDI)

Metode komunikasi elektronik yang menyediakan standar pertukaran data melalui peralatan elektronik. dengan merujuk kepada standar yang sama, dua atau lebih organisasi bahkan di negara yang berbeda, dapat melakukan pertukaran dokumen secara elektronik, seperti dokumen pemesanan barang (Purchase Order), tagihan (invoice), dan nota pengiriman (shipping notice). EDI dilakukan melalui transmisi jaringan berikut:

  • Jaringan Peer-to-Peer (P2P)
Koneksi langsung antara satu komputer dengan komputer yang lain.
  • Value-Added Network (VAN)
Mengakomodir keterbatasan jaringan P2P, VAN bertindak seperti kantor pos regional yang menerima transaksi, memeriksa informasi pengirim dan tujuan, dan me-routing-kan transaksi tersebut ke penerima terakhir.
  • Internet
Karena banyaknya organisasi yang terlibat dalam penggunaan EDI, maka EDI ditransmisikan melalui internet.

b. Surat elektronik (electronic mail)

Metode pertukaran pesan digital dari satu pengirim pesan kepada satu atau lebih penerima. Electronic mail atau biasa disingkat email, beroperasi melalui internet atau jaringan komputer lainnya.

c. Dokumen elektronik

Informasi Elektronik yang diteruskan atau dikirimkan dan dapat dilihat, ditampilkan, atau didengar melalui komputer atau sistem elektronik lain. Dokumen elektronik meliputi tulisan, suara, gambar, peta, rancangan, foto, huruf, tanda, angka, kode akses, dan simbol.s

d. Nama domain

Alamat internet penyelenggara negara, orang, badan usaha, atau masyarakat, yang dapat digunakan dalam berkomunikasi melalui internet, yang berupa kode atau susunan karakter yang bersifat unik untuk menunjukkan lokasi tertentu dalam internet.

e. Tidak disebutkan penggunaan LOG sebagai barang bukti dalam UU ITE.

3. Skenario capture traffic:

a. Komputer target

  • OS : Kali Linux
  • Aktivitas : download dan capture traffic dengan tcpdump
  • IP address : 192.168.1.131

b. Komputer penyerang

  • OS : Windows 7
  • Aktivitas : menyerang komputer target dengan software LOIC
  • IP address : 192.168.1.130

Langkah-langkah capture traffic:

a. Capture traffic dijalankan sekitar 15 menit (pkl. 09.00 – 09.15 WIB) menggunakan tcpdump yang dijalankan di komputer target yang ber-OS Kali Linux. Hasil capture disimpan di file nfat-eth0.log.

b. Komputer target melakukan aktivitas download file menggunakan aplikasi wget ke https://www.dropbox.com/s/m76ntnhmo8v57dg/CyberJawara2015.zip. Download dilakukan pada pkl. 09.00 WIB.

c. Komputer penyerang ber-OS Windows 7 melakukan attack dengan menggunakan software LOIC. Jalankan LOIC dan isikan informasi IP address target dan metode yang digunakan sebagai berikut:

  • IP           : 192.168.1.131 ~> klik tombol Lock on
  • Method : TCP

Klik tombol IMMA CHARGIN MAH LAZER untuk memulai attack melalui protokol TCP port 80. Attack dilakukan pada pkl. 09.05 WIB dan pada pkl. 09.15 akan di-stop. Berikut adalah screenshot LOIC saat melakukan attack.

Dan berikut adalah screenshot proses download file saat attack berlangsung.

d. Setelah 15 menit atau pada pkl. 09.15 WIB, capture traffic dengan tcpdump dihentikan. Tekan tombol Ctrl+C.

e. Transfer file nfat-eth0.log dari Kali Linux ke Windows 7 untuk lebih memudahkan dalam pembacaan file tersebut. Transfer file dilakukan dengan menggunakan aplikasi winscp. Berikut adalah informasi dari file nfat-eth0.log.

Dapat dilihat ukuran file nfat-eth0.log yang mencapai 79.2 MB dengan durasi capture berkisar 15 menit.

f. Buka file nfat-eth0.log menggunakan aplikasi Notepad++.

Analisis file hasil capture traffic menggunakan tcpdump:

Proses download terjadi pada pkl. 09.00 – 09.15 WIB sedangkan proses attack terjadi pada pkl. 09.05 – 09.15 WIB. Terdapat jeda 5 menit dari pkl. 09.00 – 09.05 WIB, yaitu proses download file tanpa ada attack, yang akan dianalisis perbandingannya dengan proses download file saat ada attack yang berlangsung 10 menit dari pkl. 09.05 – 09.15 WIB.

a. Download file tanpa ada attack

  • Waktu : pkl. 09.00 – 09.05 WIB
  • Durasi : 5 menit
  • Screenshot

  • Penjelasan

Komputer yang melakukan aktivitas download file memiliki detail sebagai berikut:

  • IP address      ~> 168.1.131
  • Port                  ~> random karena menggunakan port klien
  • MAC address ~> 00:0c:29:02fc:1b

Download file dilakukan ke:

  • Website           ~> dropbox.com
  • IP address      ~> 22.227.179
  • Port                  ~> 443 (HTTPS)
  • MAC address ~> MAC address modem (yang bertindak sebagai gateway ke internet) yaitu 78:e8:b6:d5:e7:24

Kesimpulan: IP address yang terbaca adalah source IP address komputer yang download file dan destination IP address www.dropbox.com. Source port yang digunakan oleh komputer adalah port yang random, sedangkan destination port www.dropbox.com menggunakan port 443 (HTTPS). Source MAC address komputer dapat terbaca sedangkan destination MAC address yang terbaca adalah MAC address modem yang bertindak sebagai gateway ke internet.

b. Download file saat ada attack

  • Waktu : pkl. 09.05 – 09.15 WIB
  • Durasi : 10 menit
  • Screenshot

  • Penjelasan

Komputer yang melakukan attack memiliki detail sebagai berikut:

  • IP address      ~> 168.1.130
  • Port                  ~> random karena menggunakan port klien
  • MAC address ~> 00:15:af:be:db:6f

Komputer yang diserang memiliki detail sebagai berikut:

  • IP address      ~> 168.1.131
  • Port                  ~> 80 (HTTP)
  • MAC address ~> 00:0c:29:02fc:1b

Kesimpulan: IP address yang terbaca adalah IP address komputer penyerang dan IP address komputer yang diserang. Source port yang digunakan oleh penyerang adalah port yang random dan serangannya menuju ke destination port 80 dari komputer target. MAC address komputer penyerang dan MAC address komputer yang diserang sama-sama dapat terbaca. Attack dari komputer penyerang cukup berdampak pada proses download yang menjadi tersendat-sendat dan akibatnya jarang ter-record di file log tersebut. Dapat dilihat pada gambar di atas bahwa dalam 1 layar screenshot, MAC address modem yaitu 78:e8:b6:d5:e7:24 hanya muncul 2 baris.

Log File

Yak, masih lanjutan dari pembahasan Internet Forensics, postingan kali ini akan membahas mengenai log file. Log file atau file log merupakan tujuan dilakukannya Internet Forensics. Nah, dari file log itulah diharapkan muncul IP address yang dicari.

Ada bermacam-macam file log yang bisa dikumpulkan, tergantung dari perangkat apa yang sedang diselidiki. File log yang dikumpulkan dari computer security log, mengandung informasi mengenai kejadian (events) yang muncul di dalam sistem & jaringan komputer sebuah organisasi. Kategorinya antara lain:

1. Operating System (OS) log

~ Log dari sistem operasi untuk:

  • Server.
  • Perangkat jaringan, seperti router dan switch.

~ OS log ini dapat “dilemparkan” ke sebuah server syslog sehingga tersentralisasi untuk mempermudah pengecekan log dari beberapa perangkat.

2. Application log

~ Seperti web, email, dan database.

~ Contoh pada web application log, dapat di-capture menggunakan windump (Windows) atau tcpdump (Linux).

3. Security software log

~ Log dari:

  • Network-based security software
  • Host-based security software

~ Contohnya pada honeypot (duplikasi sistem agar tahu behavior-nya) dapat digunakan NFAT (Network Forensics Analysis Tool), seperti Xplico.

YANG DIDAPATKAN DARI FILE LOG

1. Timestamp (tanggal, bulan, tahun, waktu/jam)

Terkait dengan timestamp ini, amat penting untuk memastikan jam pada perangkat/sistem bekerja dengan baik. Lebih baiknya lagi, gunakan NTP server yang terpercaya.

2. IP address

LEGALITAS PENGGUNAAN LOG

  1. Dibuat ketika event berlangsung.
  2. Disimpan di sistem yang bersangkutan.
  3. Seseorang yang mengetahui event berlangsung, harus merekam (record) informasinya.
  4. Recording dengan program.
  5. Log harus bisa disimpan secara reguler.
  6. Simpan log untuk dianalisis.

Rule 803 “Federal Rules of Evidence” ~> Records of regularly conducted activity as evidence

LOG MANAGEMENT

Proses & teknik untuk mengumpulkan, menggabungkan, dan menganalisis log-log. Dapat menggunakan centralized logging yaitu log perangkat dari banyak branch, masuk ke sebuah server.

Bisa juga dengan tools untuk monitoring:

  • Nagios
  • Cacti
  • MRTG
  • PRTG
  • Zabbix

Tantangan dalam log management antara lain:

  • Requirement ~> requirements & goals
  • Approach       ~> policies & procedures
  • Training          ~> log management responsibility
  • Security

Sekian pembahasan, sekarang saatnya.. *drum roll, tarak dung ces*

LATIHAN SOAL

Latihan soal dapat dilihat di sini.

OK, segitu dulu ya.. Semoga bermanfaat. Insya Allah dilanjutin lagi.. 🙂

SUMBER

  • Catatan kuliah & latihan soal Internet Forensics – Magister Informatika UII Yogyakarta

DNS Forensics: Latihan Soal

LATIHAN SOAL

  1. Gambarkan dan jelaskan cara kerja DNS lengkap dengan contohnya!
  2. Tuliskan serangan-serangan yang sering terjadi pada DNS! Berikan contohnya!
  3. Tuliskan tahapan-tahapan investigasi serangan pada DNS (forensik DNS)!

JAWABAN

1. Cara kerja DNS server dan contohnya:

a. Hierarki DNS server

Komputer dan perangkat lain di internet menggunakan IP address untuk berkomunikasi. Manusia tidak dapat mengingat banyak sekali IP address di internet, maka digunakanlah nama domain. DNS server bertugas menerjemahkan (resolve) nama domain ke IP address sehingga dapat membawa user ke website tujuannya.

Sebelum masuk ke cara kerja DNS server, perlu diketahui terlebih dahulu mengenai hierarki DNS server. Berikut adalah hierarkinya:

  • Hierarki paling atas adalah “Root”.
  • Di bawah Root terdapat TLD atau “Top-Level Domain”. Dalam TLD juga terdapat country code atau yang disebut sebagai ccTLD (country code TLD), seperti ID untuk Indonesia, UK untuk United Kingdom, US untuk United States, dan lain-lain.
  • Di bawah TLD, terdapat “Second-Level Domain” yang biasanya adalah nama domain dari suatu host. Contoh pada gambar adalah Microsoft.
  • Di bawah Second-Level Domain terdapat “Subdomain”. Subdomain ini tidak ada batasannya.
  • Hierarki paling bawah adalah “Host”, yang merupakan individual machine.

b. Cara kerja DNS server dan contohnya

Contoh alamat web         : senenkliwon.com

Setelah memahami hierarki DNS server, berikut adalah cara kerja DNS server:

  • Ketika user mengetikkan alamat web com pada web browser, web browser melakukan pencarian di dalam cache-nya. Cache adalah media penyimpanan sementara. Jika tidak ditemukan, web browser akan meminta bantuan sistem operasi untuk melakukan pencarian IP address alamat web yang dimaksud.
  • Jika sistem operasi tidak menemukan IP address web com di dalam cache-nya, maka sistem operasi akan meminta bantuan kepada resolver.
  • Resolver biasanya merupakan server di ISP (Internet Service Provider) yang digunakan oleh user. Semua resolver harus mengetahui 1 hal, yaitu di mana menemukan root server. Resolver melakukan pencarian IP address di dalam cache-nya. Jika tidak ditemukan, resolver akan mengontak root server.
  • Root server tidak mengetahui IP address dari senenkliwon.com, dia hanya mengetahui lokasi (IP address) TLD server .COM. Resolver kemudian menyimpan informasi berupa lokasi (IP address) TLD server .COM di dalam cache-nya, sehingga jika nantinya terdapat permintaan alamat web dengan TLD .COM, resolver tidak perlu menghubungi root server lagi.
  • Resolver kemudian menghubungi TLD server .COM, namun TLD server .COM tidak mengetahui IP address dari com, dia hanya mengetahui authoritative name server (beserta IP address-nya) dari web senenkliwon.com, misalnya ns1.cloudflare.com dan ns2.cloudflare.com. Informasi berupa authoritative name server ns1.cloudflare.com dan ns2.cloudflare.com (beserta IP address-nya) tersebut disimpan di dalam cache si resolver.

NOTE:

TLD server mengetahui banyak sekali authoritative name server dengan bantuan dari domain registrar yang menginformasikan nama domain dan authoritative name server-nya ke TLD server, ketika sebuah domain dibeli.

  • Resolver kemudian menghubungi ns1.cloudflare.com. ns1.cloudflare.com kemudian memberikan IP address dari web com, kemudian disimpan oleh resolver di cache-nya.

NOTE:

Biasanya ada lebih dari 1 authoritative name server dari sebuah domain. Misal pada contoh ini adalah ns1.cloudflare.com dan ns2.cloudflare.com yang dapat me-resolve domain apapun yang dikelola oleh senenkliwon.com. Penggunaan lebih dari 1 authoritative name server ini dimaksudkan untuk membagi load pekerjaan dan sebagai backup apabila salah satu authoritative name server bermasalah. Authoritative name server bertugas untuk menjawab DNS query, seperti IP address sebuah website atau IP address mail-nya. Dapat juga diketahui dengan command/tool whois.

  • Resolver memberikan IP address com kepada sistem operasi untuk disimpan di cache-nya dan akan diteruskan kepada web browser. Web bsrowser menghubungi IP address senenkliwon.com dan menampilkan halaman web-nya.

c. Rangkuman

  • Jika IP address web yang diakses tidak ada di dalam cache dari web browser dan sistem operasi, maka resolver akan dikontak.
  • Jika IP address web yang dimaksud tidak ada di dalam cache dari resolver, maka resolver akan menghubungi root server.
  • Root server tidak akan memberikan IP address web tersebut, namun memberikan informasi mengenai TLD server-nya, kemudian disimpan di dalam cache si resolver.
  • TLD server tidak akan memberikan IP address web tersebut, namun memberikan informasi mengenai authoritative name server-nya, kemudian disimpan di dalam cache si resolver.
  • Authoritative name server akan memberikan IP address web tersebut dan disimpan oleh resolver di dalam cache-nya.
  • Resolver memberikan IP address web yang dimaksud kepada sistem operasi untuk disimpan di dalam cache-nya dan diteruskan ke web browser.
  • Web browser menghubungi IP address tersebut dan menampikan halaman web-nya.

Sumber : https://howdns.works

2. Serangan-serangan yang terjadi pada DNS server:

a. Zero-day Attack

Penyerang memanfaatkan celah keamanan yang belum diketahui pada DNS protocol stack atau software dari DNS server itu sendiri, di saat pengembang software tidak memiliki waktu untuk membuat patch dari celah keamanan tersebut.

b. DDos Attack

Serangan yang dilakukan oleh mesin (botnet) yang men-generate banyak sekali permintaan untuk resolve IP address ke DNS server target.

c. Man in the Middle Attack

Mesin (server) yang telah diinfeksi sehingga menjadi berbahaya (malicious) dan melakukan penetrasi ke jaringan, mengambil alih keseluruhan struktur DNS, dan meneruskan DNS request ke website yang berbahaya (malicious website).

d. DNS Poisoning

Serangan yang juga sering terjadi pada DNS server adalah DNS poisoning yang merupakan teknik untuk menipu DNS server agar percaya bahwa DNS server telah menerima informasi yang autentik. Serangan ini berdampak pada penggantian IP address yang sesungguhnya menjadi IP address palsu pada level layanan DNS di mana alamat web dikonversi menjadi IP address.

Contoh DNS poisoning:

  • Intranet DNS Spoofing (Local Network)
Penyerang terkoneksi ke LAN (Local Area Network) dan dapat menyadap paket. Serangan ini bekerja terhadap switch dengan router yang terkena ARP poisoning.
  • Internet DNS Spoofing (Remote Network)
Penyerang menginfeksi target dengan trojan dan mengganti IP address DNS-nya menjadi IP address penyerang.
  • Proxy Server DNS Poisoning
Penyerang mengirimkan trojan ke komputer target dan mengganti settingan alamat proxy pada web browser target menjadi IP address milik si penyerang.
  • DNS Cache Poisoning
Serangan ini melibatkan penggantian atau penambahan record pada cache milik resolver sehingga bila ada DNS query untuk sebuah domain, maka IP address yang akan dikembalikan (DNS response) adalah berupa IP address dari website palsu milik si penyerang. Jika resolver tidak dapat melakukan validasi terhadap DNS response apakah benar datang dari authoritative name server yang sesungguhnya, maka resolver akan menyimpan record yang salah di dalam cache-nya dan akan memberikan kepada user yang melakukan DNS request yang sama.

3. Tahapan investigasi serangan pada DNS (forensik DNS):

Apabila terjadi serangan pada DNS server berupa DNS poisoning, berikut adalah beberapa tahapan untuk melakukan investigasi terhadap serangan tersebut:

a. Jika diketahui bahwa cache DNS server telah corrupt, maka lakukan dump terhadap isi dari cache DNS server untuk memeriksa baris yang tidak seharusnya ada.

b. Pada sistem Linux, gunakan command “ndc dumpdb”.

c. Langkah-langkah investigasi:

  • Jalankan aplikasi packet sniffer, yaitu Wireshark.
  • Capture paket DNS.
  • Identifikasi IP address yang digunakan untuk resolve nama domain.
  • Jika IP address pada langkah sebelumnya bukan merupakan konfigurasi IP address perusahaan (non-company configured IP), maka penyerang menggunakan DNS server yang tidak standar (non-standard DNS server) untuk resolve nama domain.
  • Lakukan investigasi pada IP address yang ditemukan tersebut, siapa yang menggunakannya, dari negara mana, dan lain-lain.
  • Lakukan whois lookup terhadap IP address tersebut. Beberapa tool yang dapat digunakan untuk whois lookup adalah sebagai berikut:

~ https://whois.net/

Whois lookup merupakan online tool dari https://whois.net/ untuk mendapatkan informasi mengenai sebuah website.

~ SmartWhois

Utilitas informasi jaringan yang berguna untuk melihat informasi yang tersedia mengenai IP address, nama host, atau domain. Dan juga menyediakan informasi mengenai negara, provinsi, kota, nama penyedia jaringan, administrator, dan informasi kontak dari technical support-nya.

~ ActiveWhois

Network tool untuk menemukan informasi mengenai IP address atau domain internet, dan juga informasi mengenai negara dan alamat pemilik IP address tersebut.

~ LanWhoIs

Digunakan untuk menemukan informasi mengenai siapa yang melakukan registrasi domain atau situs, di mana, dan kapan, serta informasi mengenai siapa yang bertanggung jawab untuk melakukan support terhadap domain atau situs tersebut.

~ CountryWhois

Utilitas yang digunakan untuk mengidentifikasi lokasi geografis dari sebuah IP address. Mirip dengan SmartWhois yang fokus kegunaannya adalah pada identifikasi IP address ke negara di mana IP address tersebut berada.