CyberOps Associate Modul 25 Network Security Data
1 like302 views
Modul ini membahas tentang berbagai jenis data keamanan jaringan yang digunakan dalam pemantauan keamanan, termasuk data peringatan, sesi, transaksi, tangkapan paket, dan statistik. Selain itu, dijelaskan juga mengenai log perangkat akhir, syslog, serta penggunaan SIEM untuk pelaporan dan analisis keamanan. Berbagai alat dan protokol seperti TCPDump dan NetFlow juga dijelaskan sebagai bagian dari pengumpulan data dan analisis keamanan jaringan.
CyberOps Associate Modul 25 Network Security Data
- 1. Module 25: Network Security Data CyberOps Associate v1.0
- 2. Modul 25: Data Keamanan Jaringan CyberOps Associate v1.0
- 3. 3 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Tujuan Modul Judul Modul : Data Keamanan Jaringan Tujuan Modul : Menjelaskan tentang jenis data keamanan jaringan yang digunakan dalam pemantauan keamanan. Judul Topik Tujuan Topik Jenis Data Keamanan Menjelaskan jenis data yang digunakan dalam pemantauan keamanan. Catatan (Log) Perangkat Akhir Menjelaskan elemen file catatan (log) perangkat akhir (end devices) Catatan (Log) Jaringan Menjelaskan elemen file catatan (log) perangkat jaringan.
- 4. 4 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 25.1 Jenis Data Keamanan
- 5. 5 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Data Keamanan Jaringan Data Peringatan (Alert Data) • Data peringatan terdiri dari pesan yang dihasilkan oleh intrusion prevention systems (IPS) atau intrusion detection systems (IDS) sebagai respon terhadap lalu lintas yang melanggar aturan atau yang sesuai dengan signature eksploit yang telah dikenal. • Network IDS (NIDS), seperti Snort, telah dilengkapi dengan pengaturan untuk eksploit yang sudah dikenal. • Peringatan yang dihasilkan Snort dibuat untuk mudah dibaca dan dicari oleh aplikasi Sguil dan Squert, yang merupakan bagian dari paket Security Onion dari tool NSM. Console Sguil Menampilkan Alert Test dari Snort IDS
- 6. 6 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Data Keamanan Jaringan Data Sesi dan Transaksi • Data sesi adalah rekaman percakapan antara dua titik akhir jaringan. • Termasuk lima tupel alamat IP sumber dan tujuan, nomor port sumber dan tujuan, dan kode IP untuk protokol yang digunakan. • Data tentang sesi mencakup ID sesi, jumlah data yang ditransfer menurut sumber dan tujuan, serta informasi terkait durasi sesi. • Gambar tersebut menunjukkan keluaran parsial untuk tiga sesi HTTP dari catatan koneksi Zeek. NB: Tupel – urutan seperti daftar yang tidak bisa dirubah
- 7. 7 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Data Keamanan Jaringan Data Sesi dan Transaksi (Lanjutan) • Data transaksi terdiri dari pesan yang dipertukarkan selama sesi jaringan. • Transaksi ini dapat dilihat di transkrip tangkapan paket. • Transaksi yang mewakili permintaan dan balasan akan dicatat dalam log akses di server atau oleh NIDS seperti Zeek. • Sesi mungkin termasuk mengunduh konten dari server web, seperti yang ditunjukkan pada gambar.
- 8. 8 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Data Keamanan Jaringan Tangkapan Paket Penuh (Full Packet Captures) • Tangkapan Paket Penuh adalah data jaringan yang paling detail yang umumnya dikumpulkan. • Ini berisi konten percakapan yang sebenarnya, seperti teks pesan email, HTML di halaman web, dan file yang keluar masuk jaringan. • Konten yang diekstrak dapat dipulihkan (recovered) dari penangkapan paket penuh dan dianalisis untuk malware atau perilaku pengguna yang melanggar kebijakan bisnis dan keamanan. • Gambar ini menunjukkan antarmuka untuk komponen Monitor Analisis Jaringan dari sistem Infrastruktur Cisco Prime, yang dapat menampilkan full packet capture.
- 9. 9 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Data Keamanan Jaringan Data statistik • Data statistik adalah traffic jaringan yang dibuat melalui analisis bentuk data jaringan lainnya. • Statistik dapat digunakan untuk mengkarakterisasi jumlah normal variasi dalam pola lalu lintas jaringan untuk mengidentifikasi kondisi jaringan yang secara signifikan berada di luar rentang tersebut. • Contoh tool NSM yang menggunakan analisis statistik adalah Cisco Cognitive Threat Analytics. • Ia dapat menemukan aktivitas berbahaya yang telah melewati kontrol keamanan atau memasuki jaringan melalui saluran yang tidak terpantau (termasuk media removable) dan beroperasi di dalam lingkungan organisasi. • Gambar tersebut menunjukkan arsitektur untuk Cisco Cognitive Threat Analytics.
- 10. 10 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 25.2 Catatan (Log) Perangkat Akhir
- 11. 11 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Perangkat Akhir Log Host • Host-based intrusion detection systems (HIDS) berjalan di masing-masing host. • Banyak perlindungan berbasis host mengirimkan log ke server manajemen log terpusat yang dapat dicari dari lokasi pusat menggunakan tool NSM. • Log host Microsoft Windows dapat dilihat secara lokal melalui Event Viewer. Event Viewer menyimpan empat jenis log: • Application logs - berisi peristiwa yang dicatat oleh berbagai aplikasi. • System logs - termasuk kejadian yang berkaitan dengan pengoperasian driver, proses, dan perangkat keras. • Setup logs - mencatat informasi tentang penginstalan perangkat lunak, termasuk pembaruan Windows. • Security Logs - merekam peristiwa yang terkait dengan keamanan, seperti upaya masuk dan operasi yang terkait dengan pengelolaan dan akses file atau objek. • Command-line logs - Penyerang yang telah memperoleh akses ke sistem, dan beberapa jenis malware, menjalankan perintah dari command-line interface (CLI) tidak melalui GUI. Pencatatan eksekusi command line akan memberikan visibilitas ke jenis insiden ini.
- 12. 12 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Perangkat Akhir Log Host (Lanjutan) Tabel menjelaskan arti dari lima jenis peristiwa log host Windows. Jenis Event Deskripsi Error Peristiwa yang menunjukkan masalah yang signifikan seperti hilangnya data atau fungsionalitas. Misalnya, jika layanan gagal selama proses startup, kesalahan tersebut akan dicatat. Warning Peristiwa yang belum tentu signifikan tetapi menunjukkan kemungkinan masalah yang akan terjadi di masa depan. Misalnya, saat ruang disk hampir habis, peringatan tersebut akan dicatat. Jika sebuah aplikasi pulih dari suatu peristiwa tanpa kehilangan fungsionalitas atau data, ia dapat diklasifikasikan sebagai peristiwa peringatan. Information Menjelaskan keberhasilan pengoperasian aplikasi, driver, atau layanan. Misalnya, ketika driver jaringan berhasil dimuat, akan dicatat sebagai peristiwa informasi. Perhatikan bahwa secara umum aplikasi desktop tidak pantas mencatat peristiwa setiap kali dimulai. Success Audit Peristiwa yang merekam keberhasilan upaya audit akses keamanan. Misalnya, upaya pengguna yang berhasil masuk ke sistem, peristiwa tersebut termasuk audit yang berhasil. Failure Audit Peristiwa yang merekam upaya akses keamanan yang gagal diaudit. Misalnya, jika pengguna mencoba mengakses drive jaringan dan gagal, upaya tersebut dicatat sebagai peristiwa audit yang gagal.
- 13. 13 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Perangkat Akhir Syslog • Syslog menyertakan spesifikasi untuk format pesan, struktur aplikasi client-server, dan protokol jaringan. Ini adalah protokol client/server. • Berbagai jenis perangkat jaringan dapat dikonfigurasi untuk menggunakan standar syslog untuk mencatat setiap peristiwa (event) ke server syslog terpusat. • Format lengkap pesan Syslog memiliki tiga bagian berbeda: PRI (priority), HEADER, MSG (message text). • PRI terdiri dari dua elemen, Fasilitas dan Tingkat Keparahan (severity) pesan, yang keduanya merupakan nilai integer. • Fasilitas terdiri dari sumber-sumber yang menghasilkan pesan, seperti sistem, proses, atau aplikasi. • Tingkat Keparahan adalah nilai dari 0-7 yang menentukan tingkat keparahan pesan.
- 14. 14 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Perangkat Akhir Syslog (Lanjutan) Fasilitas • Kode fasilitas antara 15 dan 23 (local0-local7) tidak diberi kata kunci atau nama. • Mereka dapat diberikan arti yang berbeda tergantung pada konteks penggunaannya. Selain itu, berbagai sistem operasi telah ditemukan menggunakan fasilitas 9 dan 15 untuk pesan jam. Keparahan (Severity) Nilai Keparahan 0 Keadaan darurat: sistem tidak dapat digunakan 1 Waspada: tindakan harus segera diambil 2 Kritis: kondisi kritis yang harus segera diperbaiki dan mengindikasikan kegagalan pada suatu sistem 3 Kesalahan: kegagalan yang tidak mendesak, harus diselesaikan dalam waktu tertentu 4 Peringatan: kesalahan saat ini tidak ada; Namun, kesalahan akan terjadi di masa mendatang jika kondisi tersebut tidak diatasi 5 Memperhatikan: sebuah peristiwa yang bukan merupakan kesalahan, namun dianggap tidak biasa. Tidak membutuhkan tindakan segera. 6 Informasi: pesan yang dikeluarkan terkait pengoperasian normal 7 Debug: pesan yang menarik bagi pengembang
- 15. 15 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Perangkat Akhir Syslog (Lanjutan) Prioritas • Nilai Priority (PRI) dihitung dengan mengalikan nilai Fasilitas dengan 8, lalu menambahkannya ke nilai Keparahan, seperti yang ditunjukkan di bawah ini Priority = (Facility * 8) + Severity (Prioritas = (Fasilitas * 8) + Keparahan) • Nilai Priority adalah nilai pertama dalam sebuah paket dan terjadi di antara tanda kurung siku <>.
- 16. 16 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Perangkat Akhir Log Server • Log server adalah sumber data penting untuk pemantauan keamanan jaringan. • Log server proxy DNS yang mendokumentasikan semua pertanyaan dan respons DNS yang terjadi di jaringan sangat penting. • Dua file log penting adalah log akses server web Apache dan log akses Microsoft Internet Information Server (IIS). Catatan Akses Apache Catatan Akses IIS
- 17. 17 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Perangkat Akhir SIEM dan Koleksi Log Security Information and Event Management (SIEM) digunakan di banyak organisasi untuk menyediakan pelaporan real-time dan analisis peristiwa keamanan jangka panjang, seperti yang ditunjukkan pada gambar. Masukan dan Keluaran SIEM
- 18. 18 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Akhiri Log Perangkat SIEM dan Koleksi Log (Lanjutan) SIEM menggabungkan fungsi penting alat SEM dan SIM untuk memberikan tampilan jaringan perusahaan (enterprise) menggunakan beberapa fungsi berikut ini: • Koleksi log - Catatan kejadian dari sumber seluruh organisasi, menyediakan informasi forensik penting dan bantuan untuk menangani persyaratan pelaporan kepatuhan. • Normalisasi - Memetakan pesan log dari sistem yang berbeda ke dalam model data umum, memungkinkan organisasi untuk menghubungkan dan menganalisis peristiwa terkait, meskipun peristiwa tersebut awalnya dicatat dalam format sumber yang berbeda. • Korelasi - Menghubungkan log dan kejadian dari sistem atau aplikasi yang berbeda, mempercepat deteksi dan reaksi terhadap ancaman keamanan. • Pengumpulan (Aggregation) - Mengurangi volume data kejadian dengan menggabungkan rekaman kejadian ganda. • Pelaporan - Menyajikan data kejadian gabungan dan yang terkait dalam pemantauan waktu nyata dan ringkasan jangka panjang, termasuk dasbor grafis interaktif. • Kepatuhan (Compliance) - Pelaporan untuk memenuhi persyaratan berbagai peraturan kepatuhan.
- 19. 19 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Akhiri Log Perangkat SIEM dan Koleksi Log (Lanjutan) • SIEM yang populer adalah Splunk, yang dibuat oleh mitra Cisco. • Gambar tersebut menunjukkan Dasbor Ancaman Splunk. Splunk banyak digunakan di SOC. • Karena kurangnya profesional keamanan siber yang dapat memantau dan menganalisis data keamanan dalam jumlah besar, maka dibutuhkan alat yang dapat mengintegrasikan berbagai vendor ke dalam satu platform. • Platform keamanan terintegrasi SIEM dan SOAR dapat menyatukan berbagai teknologi keamanan ke dalam tim terpadu. Splunk Threat Dashboard
- 20. 20 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 25.3 Log Jaringan
- 21. 21 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Tcpdump • tcpdump adalah command line tool - packet analyzer yang sangat populer. • Dapat menampilkan tangkapan paket secara real time, juga dapat menyimpan tangkapan paket ke file. • Menangkap protokol paket dan data konten secara rinci. • Wireshark adalah GUI yang dibangun di atas fungsionalitas tcpdump. • Struktur penangkapan tcpdump dapat bervariasi tergantung pada protokol yang diambil dan bidang yang diminta.
- 22. 22 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan NetFlow • NetFlow adalah protokol yang dikembangkan oleh Cisco sebagai alat untuk troubleshooting jaringan dan accounting berbasis sesi. • NetFlow menyediakan satu set layanan penting untuk aplikasi IP, termasuk accounting lalu lintas jaringan, billing jaringan berbasis penggunaan, perencanaan jaringan, keamanan, kemampuan pemantauan Denial-of-Service, dan pemantauan jaringan. • Memberikan informasi tentang aplikasi dan pengguna jaringan, waktu puncak penggunaan, dan traffic routing. • Mencatat informasi tentang aliran paket termasuk metadata. Cisco mengembangkan NetFlow kemudian mengizinkannya digunakan sebagai dasar untuk standar IETF yang disebut IPFIX. • Informasi NetFlow dapat dilihat dengan alat seperti nfdump. • nfdump menyediakan command line utility untuk melihat data NetFlow dari nfcapd capture daemon atau collector.
- 23. 23 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan NetFlow (Lanjutan) • Contoh rekaman dasar aliran NetFlow, dalam dua format berbeda, ditunjukkan pada gambar. • Tersedia banyak atribut aliran. Terdapat beberapa ratus registri IANA dari entitas IPFIX, dengan 128 yang pertama adalah yang paling umum. • NetFlow adalah alat yang berguna dalam analisis insiden keamanan jaringan. Dapat digunakan untuk membangun timeline kompromi, memahami perilaku host individu, atau untuk melacak pergerakan penyerang atau exploit dari host ke host dalam jaringan.
- 24. 24 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Visibilitas dan Kontrol Aplikasi • Sistem Cisco Application Visibility and Control (AVC) menggabungkan beberapa teknologi untuk mengenali, menganalisis, dan mengontrol lebih dari 1000 aplikasi. • Termasuk suara dan video, email, file sharing, gaming, peer-to-peer (P2P), dan aplikasi berbasis cloud. • AVC menggunakan Cisco next-generation network-based application recognition version 2 (NBAR2), juga dikenal sebagai NBAR next-generation, untuk menemukan dan mengklasifikasikan aplikasi yang digunakan di jaringan. • Mesin pengenalan (recognition) aplikasi NBAR2 mendukung lebih dari 1000 aplikasi jaringan.
- 25. 25 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Visibilitas dan Kontrol Aplikasi (Lanjutan) Application Recognition Identifikasi aplikasi menggunakan data L3 hingga L7. 1000+ aplikasi • Cloud services • Cisco WebEx • YouTube • Skype • P2P NBAR2 Metrics Collection Mengumpulkan metrik untuk diekspor ke tool manajemen • Bandwidth usage • Response time • Latency • Packet loss • Jitter • P2P Netflow9 Flexible Netflow IPFIX Management and Reporting Menyediakan jaringan, mengumpulkan data, dan melaporkan kinerja aplikasi • Pembuatan laporan (Report generation) • Manajemen Kebijakan (Policy Management) Cisco Prime, Software Pihak Ketiga Lainnya Control Kontrol penggunaan aplikasi untuk memaksimalkan kinerja jaringan • Aplikasi Prioritas • Penerapan bandwidth aplikasi QoS
- 26. 26 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Visibilitas dan Kontrol Aplikasi (Lanjutan) Port Monitoring vs. Application Monitoring Sistem manajemen dan pelaporan menganalisis dan menyajikan data analisis aplikasi ke dalam laporan dasbor untuk digunakan oleh personel network monitoring. Penggunaan aplikasi juga dapat dikontrol melalui kualitas klasifikasi layanan dan kebijakan berdasarkan informasi AVC.
- 27. 27 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Log Filter Konten • Perangkat yang menyediakan pemfilteran konten, seperti Cisco Email Security Appliance (ESA) dan Cisco Web Security Appliance (WSA), menyediakan berbagai fungsi untuk pemantauan keamanan. • Gambar menunjukkan dasbor dari perangkat pemfilteran konten Cisco. Dengan mengklik komponen Overview reports, juga menampilkan detail yang lebih relevan. Pencarian target memberikan informasi yang terfokus.
- 28. 28 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Logging dari Perangkat Cisco • Perangkat keamanan Cisco dapat dikonfigurasi untuk mengirimkan event dan alert ke platform manajemen keamanan menggunakan SNMP atau syslog. • Gambar tersebut menunjukkan pesan syslog yang dihasilkan oleh perangkat Cisco ASA dan pesan syslog yang dihasilkan oleh perangkat Cisco IOS. • Ada dua arti yang digunakan untuk fasilitas istilah dalam pesan syslog Cisco. • Yang pertama adalah kumpulan standar nilai Fasilitas yang ditetapkan oleh standar syslog. • Nilai Fasilitas lainnya ditetapkan oleh Cisco dan terjadi di bagian MSG dari syslog message.
- 29. 29 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Log Proxy • Server proxy, seperti yang digunakan untuk permintaan web dan DNS, berisi log berharga yang merupakan sumber data utama untuk pemantauan keamanan jaringan. • Server proxy meminta sumber daya dan mengembalikannya ke klien dan menghasilkan log dari semua permintaan dan tanggapan. • Log ini kemudian dapat dianalisis untuk menentukan host mana yang membuat permintaan, apakah tujuannya aman atau berpotensi berbahaya, dan juga untuk mendapatkan wawasan tentang jenis sumber daya yang telah diunduh. • Proxy web menyediakan data yang membantu menentukan apakah tanggapan dari web dibuat sebagai tanggapan atas permintaan yang sah atau telah dimanipulasi agar tampak seperti tanggapan tetapi sebenarnya adalah eksploit. • Dimungkinkan juga untuk menggunakan proxy web untuk memeriksa lalu lintas keluar sebagai sarana pencegahan kehilangan data atau data loss prevention (DLP). • DLP melibatkan scanning outgoing traffic untuk mendeteksi apakah data yang meninggalkan web berisi informasi sensitif, penting, atau rahasia.
- 30. 30 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Log Proxy (Lanjutan) Cisco Umbrella • Cisco Umbrella, sebelumnya OpenDNS, menawarkan layanan hosting DNS yang memperluas kemampuan DNS untuk menyertakan peningkatan keamanan. • Cisco Umbrella menerapkan lebih banyak sumber daya untuk mengelola DNS daripada yang mampu dilakukan oleh sebagian besar organisasi. Cisco Umbrella berfungsi sebagai DNS super proxy. • Paket produk keamanan Cisco Umbrella menerapkan kecerdasan ancaman secara real time untuk mengelola akses DNS dan keamanan DNS record. • Contoh log proxy DNS muncul di bawah.
- 31. 31 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Firewall Next-Generation • Firewall NextGen atau Next-Generation memperluas keamanan jaringan di luar alamat IP dan nomor port Layer 4 ke Application Layer dan seterusnya. • Firewall NexGen adalah perangkat canggih yang menyediakan lebih banyak fungsionalitas daripada perangkat keamanan jaringan generasi sebelumnya. • Salah satu fungsinya adalah reporting dashboard dengan fitur interaktif yang memungkinkan menyusun laporan dengan cepat dengan menunjuk dan klik pada informasi yang spesifik tanpa memerlukan SIEM atau korelator event lainnya. • Perangkat NextGen Firewall (NGFW) menggunakan Layanan Firepower untuk menggabungkan beberapa lapisan keamanan ke dalam satu platform. • Layanan Firepower mencakup visibilitas dan kontrol aplikasi, Firepower Next-Generation IPS (NGIPS), pemfilteran URL berbasis reputasi dan kategori, dan Advanced Malware Protection (AMP).
- 32. 32 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Firewall Generasi Berikutnya (Lanjutan) Peristiwa NGFW yang umum meliputi: • Connection Event • Intrusion Event • Host or Endpoint Event • Network Discovery Event • Netflow Event Layanan yang Diberikan oleh NGFW
- 33. 33 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Packet Tracer - Jelajahi Implementasi NetFlow Dalam aktivitas Packet Tracer ini, Anda akan melakukan hal berikut: • Menjelajahi implementasi NetFlow.
- 34. 34 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Log Jaringan Packet Tracer - Logging dari Berbagai Sumber Dalam aktivitas Packet Tracer ini, Anda akan melakukan hal berikut: • Gunakan Packet Tracer untuk membandingkan data jaringan yang dihasilkan oleh berbagai sumber termasuk syslog, AAA, dan NetFlow.
- 35. 35 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 25.4 Ringkasan Data Keamanan Jaringan
- 36. 36 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Ringkasan Data Keamanan Jaringan Apa yang Saya Pelajari dalam Modul ini? • Data peringatan terdiri dari pesan yang dihasilkan oleh intrusion prevention systems (IPS) atau intrusion detection systems (IDS) sebagai respons terhadap lalu lintas yang melanggar aturan atau sesuai dengan tanda tangan eksploitasi yang telah diketahui. • Dalam paket Security Onion dari tool NSM, peringatan dibuat oleh Snort dan dapat mudah dibaca dan dicari oleh aplikasi Sguil, Squert, dan Kibana. • Data sesi akan mencakup informasi pengidentifikasi lima tupel seperti alamat IP sumber dan tujuan, nomor port sumber dan tujuan, dan kode IP untuk protokol yang digunakan. • Data tentang sesi biasanya mencakup ID sesi, jumlah data yang ditransfer berdasarkan sumber dan tujuan, dan informasi yang terkait dengan durasi sesi. • Tangkapan paket lengkap berisi konten percakapan data yang sebenarnya, seperti teks pesan email, HTML di halaman web, dan file yang masuk atau keluar dari jaringan. • Data statistik dibuat melalui analisis berbagai bentuk data jaringan.
- 37. 37 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Ringkasan Data Keamanan Jaringan Apa yang Saya Pelajari dalam Modul ini? (Lanjutan.) • Host-based intrusion detection systems (HIDS) berjalan di masing-masing host. • Syslog menyertakan spesifikasi untuk format pesan, struktur aplikasi client-server, dan protokol jaringan. • Log server adalah sumber data penting untuk pemantauan keamanan jaringan. • Log server proxy DNS mendokumentasikan semua pertanyaan dan tanggapan DNS yang terjadi di jaringan. • Log proxy DNS berguna untuk mengidentifikasi host yang mungkin telah mengunjungi situs web berbahaya dan untuk mengidentifikasi eksfiltrasi data DNS serta sambungan malware ke server command-and-control. • SIEM menggabungkan fungsi penting dari security event management (SEM) dan tool security information management (SIM) untuk memberikan pandangan yang komprehensif dari jaringan perusahaan (enterprise) menggunakan pengumpulan log, normalisasi, korelasi, agregasi, pelaporan, dan kepatuhan.
- 38. 38 © 2020 Cisco and/or its affiliates. All rights reserved. Cisco Confidential Ringkasan Data Keamanan Jaringan Apa yang Saya Pelajari dalam Modul ini? (Lanjutan.) • Tcpdump command line tool adalah packet analyzer yang sangat populer. Dapat menampilkan tangkapan paket secara real time, juga dapat menulis tangkapan paket ke file. • NetFlow memberikan informasi berharga tentang aplikasi dan pengguna jaringan, waktu puncak penggunaan (peak usage time), dan traffic routing. • Cisco Application Visibility and Control menggunakan Cisco next-generation network-based application recognition version 2 (NBAR2), juga dikenal sebagai next-generation NBAR. • Perangkat seperti Cisco Email Security Appliance (ESA) dan Cisco Web Security Appliance (WSA), menyediakan berbagai fungsi untuk pemantauan keamanan dengan memanfaatkan filter konten. • Server proxy adalah perangkat yang bertindak sebagai perantara untuk klien jaringan. • Perangkat NextGen Firewall memperluas keamanan jaringan di luar alamat IP dan nomor port Layer 4 ke application layer dan seterusnya.