Bab 2 Tinjauan Pustaka 2.1 Penelitian Sebelumnya Salah satu bidang variabel dalam IP header yang dapat dikorelasikan dengan probabilitas dinamis adalah bidang 8 bit Timeto-Live (TTL). Hal ini digunakan untuk melacak jumlah hop berjalan dan untuk membatasi jumlah hop sebuah paket dapat melakukan perjalanan di Internet sehingga mencegah paket data dapat diteruskan oleh router tanpa batas waktu. Nilai TTL adalah decremented oleh satu per satu setiap hop selama proses routing. Telah diamati bahwa di Internet saat ini, jumlah maksimum hop ada 32 hops, dalam praktiknya cukup bagi paket untuk mencapai tujuan. Jadi, secara umum nilai TTL diinisialisasi dengan nilai 32 ketika IP header sedang dikonstruksi, meskipun dapat diatur antara angka 1 dan 255. Bagian TTL memberikan perkiraan yang baik tentang seberapa jauh paket telah melakukan perjalanan dan dapat dikorelasikan
dengan
probabilitas
penandaan.
Probabilitas
penandaan p dibentuk dengan Persamaan 2.1. p = 0.51- (1 / TTL)
(2.1)
Nilai konstan dipilih sebagai 0,51 karena nilai TTL diasumsikan berkisar dari 1 sampai 32. Dalam kasus khusus di mana TTL adalah satu, p diatur ke nilai 0,01.
7
8
Marking prosedure at router R for each packet P { TTLV: =get TTL value in IP header if TTLV == 1 { q:= 0.01 } else { q:= 0.51 - (1/TTLV) } let u be a random number from [0,1] if ( u <= q ) { P.distance: =0 P.edge: = h(R) { else { if (P.distance==0) { P.edge:=P.edge XOR h(R) } P.distance: = P.distance + 1; } Gambar 2.1 Prosedur Penandaan Berbasis TTL (Devasundaram, 2006)
Gambar 2.1 menunjukkan prosedur penandaan berbasis TTL. Bilangan acak yang dihasilkan antara nol dan satu. Jika jumlah yang dihasilkan kurang dari atau sama dengan perhitungan probabilitas penandaan maka paket di-set untuk penandaan oleh router (Devasundaram, 2006).
9
2.2 Tinjauan tentang Protocol TCP/IP Sebelum membahas tentang DoS attack dan PPM akan dibahas protokol TCP/IP secara ringkas. 2.2.1 Protokol Stack Protokol stack adalah implementasi dari rangkaian protokol jaringan komputer. TCP/IP (Transmission Control Protocol/Internet Protocol) adalah standar komunikasi data yang digunakan oleh komunitas Internet dalam proses tukar-menukar data dari satu komputer ke komputer lain di dalam jaringan Internet.
Gambar 2.2 OSI Layers dan protokol TCP/IP (Dostalek dan Kabelova, 2006)
10
Gambar 2.2 menunjukkan protokol TCP/IP dan OSI layers. TCP/IP menggunakan empat layers sementara OSI menggunakan tujuh layers. TCP/IP dan OSI adalah sistem yang berbeda satu sama lain secara signifikan, meskipun mempunyai fungsi yang sama pada lapisan jaringan dan transportasi. Penulisan ini akan membahas protokol TCP/IP secara ringkas.
Gambar 2.3 Hubungan antar Protokol TCP/IP (Panwar dkk, 2004)
Gambar 2.3 menunjukkan hubungan antar protokol di lapisan yang berbeda. Penjelasan tentang protokol TCP/IP akan dibahas di bawah ini. Protokol TCP/IP memiliki empat layer, yaitu : 1.
Physical layer (Network Interface Layer) Pada lapisan ini, didefinisikan bagaimana penyaluran data
dalam bentuk frame-frame data pada media fisik. Media fisiknya dapat berupa ethernet, token ring, kabel, serat optik, frame relay atau gelombang radio.
11
2.
Network Layer (Internet Layer) Lapisan ini bertugas untuk menjamin agar suatu paket yang
dikirimkan dapat menemukan tujuannya. Lapisan ini memiliki peranan penting terutama dalam mewujudkan internetworking yang meliputi wilayah luas (worldwide internet). Pada layer ini terdapat tiga macam protokol, yaitu IP (Internet Protocol), ARP (Address Resolution Protocol), ICMP (Internet Control Message Protocol). Beberapa tugas penting pada network layer adalah : - Pengalamatan (addressing), yakni melengkapi setiap paket data dengan alamat internet atau yang dikenal dengan internet protocol address (IP address) sehingga jaringan TCP/IP independent dari jenis media, sistem operasi, dan komputer yang digunakan. - Routing, yakni menentukan rute kemana paket data akan dikirim agar mencapai tujuan yang diinginkan. Routerrouter
pada
jaringan
TCP/IP-lah
yang
menentukan
penyampaian paket data dari pengirim ke penerima. 3.
Transport Layer Berisi protokol yang bertanggung jawab untuk mengadakan
komunikasi antara dua komputer. Kedua protokol tersebut adalah : - User Datagram Protocol (UDP), protokol process-toprocess yang menambahkan hanya alamat port, check-sum error control, dan panjang informasi data dari lapisan di atasnya. - Transmission
Control Protocol
(TCP), menyediakan
layanan penuh lapisan transport untuk aplikasi.
12
4.
Aplication Layer Application Layer dalam TCP adalah kombinasi lapisan-
lapisan session, presentations dan application pada OSI. Lapisan ini mendefinisikan aplikasi-aplikasi yang dijalankan pada jaringan. Beberapa protokol yang telah dikembangkan pada lapisan ini yaitu: SMTP (Simple Mail Transfer Protocol) untuk pengiriman electronic mail, FTP (File Transfer Protocol) untuk transfer file, HTTP (Hyper Text Transfer Protocol) untuk aplikasi berbasis web atau WWW (Worl Wide Web), NNTP (Network News Transfer Protocol) untuk distribusi news group.
2.2.2 Internet Protokol a.
IP Address IP address dibentuk oleh sekumpulan bilangan biner
sepanjang 32 bit, yang dibagi atas empat bagian. Setiap bagian panjangnya 8 bit. IP address merupakan identifikasi setiap host pada jaringan Internet sehingga tidak boleh ada host lain (yang tergabung ke Internet) menggunakan IP address yang sama. Dilihat dari keperluan jaringan, IP address dapat dibagi menjadi dua kelompok, yaitu private IP address dan public IP address. Private IP address digunakan untuk jaringan local (LAN). Sedangkan public IP address digunakan untuk jaringan public (Internet). Umumnya header mempunyai 20 bytes. Tetapi, header dapat juga berisi entries yang lebih panjang. Pada header IP ada field berisi informasi Internet address, IP address asal dan tujuan dari paket data. IP datagram ditunjukkan pada Gambar 2.4.
13
Gambar 2.4 IP Datagram (Dostalek dan Kabelova, 2006)
b.
ICMP (Internet Control Message Protocol) ICMP (Internet Control Message Protocol) adalah salah satu
protokol utama dari protokol Internet. ICMP utamanya digunakan oleh sistem operasi komputer jaringan untuk mengirim pesan kesalahan. Sebagai contoh, bila komputer tujuan tidak bisa dijangkau maka ICMP akan mengirim pesan “Destination unreachable”. ICMP berbeda tujuan dengan TCP dan UDP. ICMP tidak digunakan secara langsung oleh aplikasi jaringan milik pengguna. Salah satu pengecualian adalah aplikasi ping yang mengirim pesan ICMP Echo Request (dan menerima Echo Reply) untuk menentukan apakah komputer tujuan dapat dijangkau dan berapa lama paket yang dikirimkan dibalas oleh komputer tujuan.
14
Gambar 2.5 Paket ICMP (Dostalek dan Kabelova, 2006)
Gambar 2.5 menunjukkan struktur paket ICMP. Panjang header paket ICMP selalu 8 byte. Empat byte pertama selalu memiliki arti yang sama, dan isinya dari 4 byte yang tersisa tergantung pada jenis paket ICMP. Empat byte pertama dari header selalu berisi jenis pesan, kode pesan, dan sebuah checksum 16 bit. Format pesan tergantung pada nilai dari type field. Field code kemudian menetapkan masalah yang sedang ditandai oleh ICMP.
2.2.3 Transport Protokol Transmission Control Protocol (TCP) dan User Datagram Protocol (UDP) merupakan dua protokol terpenting dalam layer
15
Transport. Keduanya digunakan oleh berbagai aplikasi TCP/IP. Pada subbab ini akan dibahas secara ringkas kedua protokol tersebut. a.
TCP (Transmission Control Protocol) TCP (Transmission Control Protocol) merupakan protokol yang
bersifat connection oriented karena sebelum proses transmisi data terjadi, dua aplikasi TCP harus
melakukan pertukaran kontrol
informasi (handshaking). TCP juga bersifat reliable karena menerapkan fitur deteksi kesalahan dan retransmisi apabila ada data yang rusak, sehingga keutuhan data dapat terjamin.
Gambar 2.6 TCP Header (Dostalek dan Kabelova, 2006)
Gambar 2.6 menunjukkan TCP header. Panjang TCP header adalah 20 bytes dan diikuti dengan item opsional. Item opsional terdiri dari tipe item opsional, panjang item opsional, dan nilainya. Protokol TCP bertanggung jawab untuk mengirimkan data dari sumber ke tujuan dengan benar. TCP dapat mendeteksi kesalahan atau hilangnya data dan melakukan pengiriman kembali sampai data diterima dengan lengkap. TCP selalu meminta konfirmasi setiap kali
16
data dikirim, untuk memastikan apakah data telah sampai di tempat tujuan. Kemudian TCP akan mengirimkan data berikutnya atau melakukan pengiriman ulang (retransmisi) apabila data sebelumnya tidak sampai atau rusak. Data yang dikirim dan diterima kemudian diatur berdasarkan nomor urut. Protokol TCP sangat cocok digunakan untuk koneksi yang membutuhkan kehandalan tinggi, seperti aplikasi telnet, SSH, FTP, HTTP.
b.
UDP (User Datagram Protocol) UDP merupakan protokol yang bersifat connectionless. Artinya,
saat
melakukan
pengiriman
data
tidak
dilakukan
proses
handshaking, tidak ada sequencing datagram, dan tidak ada jaminan bahwa paket data (datagram) yang dikirim akan tiba dengan selamat. UDP juga tidak menyediakan fitur koreksi kesalahan. UDP hanya menyediakan fasilitas multiplexing aplikasi (via nomor port) dan deteksi kesalahan (via checksum) yang tersedia pada header dan muatan. Deteksi kesalahan pada UDP hanya bersifat opsional. Transmisi data yang realible, dilakukan ditingkat aplikasi. Tidak bisa dikerjakan ditingkat protokol UDP.
Gabar 2.7 UDP Header (Dostalek, Kabelova, 2006)
17
Gambar 2.7 menunjukkan UDP header yang berisi jumlah kedua sumber dan port tujuan sama dengan TCP. Nomor port dari protokol UDP tidak ada hubungannya dengan nomor port TCP. UDP menggunakan himpunan independent nomor port. Panjang field UDP menunjukkan panjang datagram UDP (panjang header + panjang data). Panjang minimum adalah 8 bytes, sebuah datagram UDP hanya berisi header dan tidak ada data. Layanan yang menggunakan UDP yaitu transmisi audio/video, seperti : VoIP, audio/video streaming. UDP tidak cocok untuk pengiriman paket data berukuran besar karena peluang jumlah paket yang hilang/rusak sangat besar.
2.3 Serangan DoS (Denial of Service) 2.3.1 Definisi DoS (Denial of Service) dan DDoS (Distributed Denial of Service) Denial of Service (DoS) merupakan upaya untuk mencegah pengguna yang sah mengakses layanan yang tersedia (Stallings, 2011). DoS menurunkan kinerja sebuah web site dengan terusmenerus mengulang request ke server. Serangan ini mengakibatkan server korban menjadi sibuk melayani request yang terkirim dan berakhir dengan menghentikan aktivitas atau berhenti dengan sendirinya karena tidak mampu melayani request. DDoS (Distributed Denial of Service) adalah serangan terkordinasi
dari
banyak
sumber
yang
ditujukan
untuk
menghabiskan sumberdaya target sehingga tidak bisa menyediakan layanan bagi pengguna sah (Stallings, 2011). Penyerang menjadikan
18
beberapa komputer yang terhubung dalam jaringan sebagai zombie atau secondary victim untuk melakukan serangan terhadap target. Serangan
DDoS
menggunakan
banyak
komputer
untuk
mengkoordinasi serangan DoS ke satu atau lebih target. Penggunaan teknologi client/server attacker dapat mengefektifkan serangan DoS dengan memanfaatkan sumberdaya dari bagian komputer yang tanpa disadari bertindak sebagai platform serangan.
Gambar 2.8 Skema Serangan DDoS (Stallings, 2011)
Gambar 2.8 merupakan ilustrasi dari serangan yang mengkonsumsi transmisi data sumber daya, berikut langkah-langkah penyerangan (Stallings, 2011) : 1. Penyerang mengambil kendali dari beberapa host melalui Internet, menginstruksikan mesin yang terhubung di dalam jaringan untuk mengirim ICMP ECHO packets ke target dengan alamat palsu ke kelompok host yang bertindak sebagai reflektor, seperti yang dijelaskan selanjutnya.
19
2. Node di situs yang dijadikan sebagai perantara menerima permintaan palsu berganda dan merespon dengan mengirim paket balasan echo ke situs target. 3. Router target dibanjiri oleh paket-paket dari situs yang dijadikan perantara, tanpa meninggalkan kapasitas transmisi data untuk lalu lintas data yang sah.
2.3.2 Jenis Serangan DDoS DDoS mempunyai dua tipe serangan yaitu model AgentHeandler dan model IRC-based.
Gambar 2.9 Jaringan Serangan DDoS (Specht dan Lee, 2003)
Gambar 2.9 menunjukkan jaringan serangan DDoS yang terbagi menjadi dua bagian Agent-Handler dan IRC-Based, masingmasing bagian mempunyai jenis serangan yang berbeda-beda. berikut akan dibahas lebih rinci mengenai kedua model serangan tersebut. 1.
Model Agent-Handler Serangan DDoS model Agent-Handler terdiri atas clients,
handler, dan agents. Client adalah dimana penyerang berkomunikasi
20
dengan sistem serangan DDoS lainnya. Handlers adalah paket-paket software yang terletak diseluruh jaringan Internet yang digunakan oleh client penyerang untuk berkomunikasi dengan agents. Serangan DDoS model Agent-Handler ditunjukkan pada Gambar 2.10.
Gambar 2.10 Serangan DDoS Model Agent-Handler (Specht dan Lee, 2003)
Software agent yang berada dalam sistem dikoordinasi untuk melakukan serangan. Penyerang berkomunikasi dengan sejumlah handler untuk mengidentifikasi agents mana saja yang sedang berjalan, kapan untuk menjadwalkan serangan-serangan, atau kapan untuk meng-upgrade agents. Pemilik dan pengguna sistem tidak mengetahui bahwa sistem mereka turut ambil bagian dalam sebuah serangan DDoS. Penyerang akan mencoba meletakkan software handler pada router yang berhasil dikuasai atau server jaringan yang menangani lalu lintas data dalam jumlah besar. Hal ini membuat lebih sulit untuk mengidentifikasi pesan-pesan antara client dan handler, dan antara handler dan agent. Komunikasi antara penyerang dan handler dan antara handler dan agents dapat melalui protokol TCP, UDP atau ICMP (Specht dan Lee, 2003).
21
Dalam suatu jaringan serangan DDoS, sistem yang telah dimasukkan software agent disebut sebagai korban sekunder. Korban primer adalah sistem yang menjadi target serangan DDoS. Setiap program agent hanya menggunakan beberapa sumberdaya (memori dan bandwith) ketika berpartisipasi dalam sebuah serangan. Akan tetapi, software agent dirancang dengan baik menggunakan sumberdaya dalam jumlah kecil agar para pengguna program sekunder mengalami sedikit perubahan dalam performa sistem mereka. 2.
Model IRC-based IRC adalah sistem chating online multiple user. IRC
mengijinkan para pengguna komputer untuk membuat interkoneksi dua pihak atau lebih dan menulis pesan-pesan secara realtime satu sama lainnya. Arsitektur jaringan IRC terdiri dari sejumlah server IRC yang terdapat di seluruh internet dengan kanal-kanal untuk saling berkomunikasi melalui Internet. Jaringan-jaringan chat IRC mengijinkan para penggunanya untuk membuat kanal-kanal publik, rahasia dan private. Kanal-kanal publik adalah kanal-kanal dimana banyak pengguna dapat chat dan berbagi pesan dan file. Kanal publik mengijinkan pengguna kanal tersebut untuk melihat semua nama-nama IRC dan pesan-pesan user yang ada di dalam kanal tersebut. Kanal-kanal private dan rahasia dibuat oleh pengguna untuk berkomunikasi hanya dengan pengguna lainnya yang telah ditentukan. Baik kanal private ataupun kanal rahasia melindungi nama-nama dan pesan-pesan para penggunanya dari users lainnya yang tidak memiliki akses ke kanal tersebut. Walaupun content dari kanal private tersembunyi, perintah tertentu untuk mencari kanal
22
akan mengijinkan para pengguna yang tidak berada dalam kanal untuk mengidentifikasi keberadaan kanal tersebut sedangkan kanalkanal rahasia lebih sulit untuk dicari kecuali penggunanya adalah pengguna dari kanal tersebut.
Gambar 2.11 Serangan DDoS Model IRC-Based (Specht dan Lee, 2003)
Gambar 2.11 menunjukkan model serangan berbasis
IRC.
Arsitektur serangan DDoS berbasis IRC mirip dengan model serangan DDoS Agent-Handler. Perbedaannya bahwa model IRC tidak menggunakan program handler yang terinstal di sebuah server jaringan, tetapi menggunakan sebuah kanal komunikasi IRC untuk menghubungkan client ke agent-agent. Dengan menggunakan kanal IRC, penyerang yang menggunakan jenis arsitektur serangan DDoS ini mempunyai keuntungan tambahan. Sebagai contoh, penyerang dapat menggunakan port-port IRC yang sah untuk mengirimkan pesan-pesan kepada para agent. Hal ini membuat pelacakan perintah DDoS menjadi lebih sulit. Selain itu sejumlah server IRC cenderung memiliki volume traffic yang besar yang memudahkan penyerang untuk menyembunyikan keberadaannya dari administrator jaringan. Keuntungan lainnya adalah penyerang tidak perlu untuk memelihara
23
sebuah daftar dari agent-agent karena penyerang cukup masuk ke server IRC dan melihat daftar dari semua agent yang ada. Software agent yang terinstal dalam jaringan IRC biasanya berkomunikasi dengan kanal IRC dan memberitahukan penyerang ketika agent berjalan.
2.3.3 Taksonomi Serangan DDoS Ada berbagai macam teknik serangan DDoS. Ada dua kelas utama dari serangan DDoS, yaitu bandwith depletion dan resource depletion attacks.
Gambar 2.12 Taksonomi Serangan DDos (Specht dan Lee, 2003)
Gambar 2.12 menunjukkan taksonomi dari serangan DDoS, yang terbagi menjadi dua bagian, berikut penjelasannya :
24
2.3.3.1
Serangan untuk menguras bandwith (bandwith depletion attacks) Serangan DDoS untuk menguras bandwidth adalah serangan
yang dirancang untuk membanjiri jaringan korban dengan traffic yang tidak diinginkan untuk mencegah
lalu
lintas
yang
sah
mencapai sistem korban (primer). Bandwith Depletion dibagi menjadi dua kelas. Sebagai berikut : a.
Flood attacks Sebuah flood attack melibatkan secondary victim dengan
mengirimkan banyak data pada traffic menuju sistem korban, untuk memenuhi bandwidth pada sistem korban. Besarnya jumlah paket yang dikirim oleh secondary victim ke sistem korban membuat sistem korban menjadi lambat, membuat sistem crash atau memenuhi bandwith. Hal ini mencegah pengguna-pengguna yang sah untuk mengakses sumberdaya-sumberdaya korban. 1) UDP Flood attacks. User Datagram Protocol (UDP) adalah protokol connectionless. Paket data yang dikirimkan melalui UDP tidak membutuhkan handshaking antara
pengirim
dan
penerima, dan sistem penerima hanya akan menerima paket itu dengan diproses. Paket UDP yang dikirim dalam jumlah besar ke sistem korban dapat
menjenuhkan jaringan, menghabiskan
Bandwidth yang tersedia untuk permintaan layanan yang sah ke sistem korban. Dalam serangan DDoS UDP flood, serangan ini
dirancang
untuk
menyerang
korban
secara
acak.
Menyebabkan sistem korban memproses data yang masuk dan mencoba menentukan aplikasi data yang diminta, jika sistem korban tidak berjalan di aplikasi pada port sasaran, maka sistem
25
korban akan mengirimkan sebuah paket ICMP untuk sistem pengiriman menunjukkan pesan "destination port unreachable". DDoS tool penyerang juga akan men-spoof alamat IP address sumber
dari
paket
serangan.
Hal
ini
membantu
menyembunyikan identitas korban sekunder dan menjamin bahwa paket-paket dari sistem korban tidak dikirim kembali ke secondary victim, tapi ke komputer lain dengan alamat palsu. 2) ICMP Flood attacks. Paket ICMP (Internet Control Message Protocol) yang dirancang untuk fitur manajemen jaringan seperti lokasi peralatan jaringan dan menentukan jumlah hop atau round-trip-time untuk mendapatkan lokasi sumber ke tujuan.
b.
Serangan amplifikasi Suatu
serangan
amplifikasi
DDoS
bertujuan
untuk
menggunakan fitur alamat IP broadcast yang terdapat pada kebanyakan router untuk menguatkan dan memantulkan serangan.
Gambar 2.13 Serangan Amplification (Specht dan Lee, 2003)
26
Gambar 2.13 menunjukkan serangan amplifikasi. Fitur ini mengijinkan suatu sistem pengirim untuk menentukan sebuah alamat IP broadcast sebagai alamat tujuan dari suatu alamat spesifik. Hal tersebut menginstruksikan router-router yang melayani paket-paket di dalam jaringan untuk menduplikasi paket-paket dan mengirimkan semuanya ke alamat-alamat IP yang ada dalam jangkauan alamat broadcast. Dua jenis serangan amplifikasi, yaitu serangan smurf dan serangan fraggle (Specht dan Lee, 2003) : 1) Dalam serangan DDoS Smurf, penyerang mengirimkan paket ke network amplifier (sistem pendukung pengalamatan broadcast). Dengan alamat pengirim palsu untuk alamat IP korban. Paket menyerang biasanya ICMP ECHO REQUESTs, paket (mirip dengan "ping") permintaan penerima untuk menghasilkan suatu paket ICMP ECHO REPLY. Penguat mengirimkan paket ICMP ECHO REQUEST ke semua sistem dalam rentang alamat
broadcast,
dan
masing-masing
system
akan
mengembalikan ICMP ECHO REPLY ke alamat IP korban. 2) Sebuah serangan DDoS fraggle mirip dengan serangan smurf bahwa penyerang mengirimkan paket ke network amplifier. Perbedaan
fraggle
dari
smurf
terletak
pada
fraggle
menggunakan paket UDP ECHO bukan paket ICMP ECHO. Ada variasi dari serangan fraggle dimana paket-paket UDP ECHO dikirim ke port yang mendukung membangkitkan karakter, dengan alamat pengirim palsu ke layanan korban menciptakan infinite loop.
echo
27
2.3.3.2
Serangan untuk menghabiskan sumberdaya (Resource Depletion Attacks) Suatu serangan yang menghabiskan sumber daya adalah
serangan yang ditujukan pada sebuah server atau proses di sistem korban sehingga sistem tersebut tidak dapat memproses permintaanpermintaan layanan yang sah. a.
Protocol Exploit Attacks Serangan protocol exploit dibagi menjadi dua bagian yaitu
serangan TCP SYN dan serangan PUSH+ACK. 1) Serangan TCP SYN. Transfer Control Protocol (TCP) melakukan proses handshake penuh diantara pengirim dan penerima,
sebelum
paket-paket
data
dikirim.
TCP
Synchronization ditunjukkan pada Gambar 2.14 (a).
(a) TCP Synchronization
(b) TCP Syn Attack
Gambar 2.14 Serangan yang memanfaatkan kelemahan protocol TCP (Specht dan Lee, 2003)
Gambar 2.14 (b) menunjukkan TCP Syn Attack. Sistem penerima dengan
mengirimkan permintaan
sebuah ACK (Acknowledgement)
SYN-nya
sendiri.
Sistem
pengirim
kemudian mengirim kembali ACK-nya dan komunikasi dapat
28
dimulai di antara kedua system, jika sistem penerima dikirimi sebuah paket SYNx tetapi tidak menerima sebuah ACKY+1 untuk SYNy yang dikirim balik ke pengirim,penerima akan mengirim ulang sebuah ACK+ SYN yang baru setelah beberapa saat. Sumber daya prosessor dan memori pada sistem penerima dipesan untuk permintaan TCP SYN tersebut hingga batas waktu (timeout) terjadi. Dalam
suatu
serangan
memerintahkan
TCP
SYN
zombie-zombie
DDoS,
untuk
penyerang
mengirimkan
permintaan-permintaan TCP SYN palsu ke suatu server korban untuk melumpuhkan sumber daya prosessor server. mencegah
server
untuk
merespon
kepada
hal
ini
permintaan-
permintaan yang sah. Serangan TCP SYN mengeksploitasi proses handshake three-way diantara
system pengirim dan
sistem penerima dengan mengirimkan paket-paket TCP SYN dalam jumlah besar ke sistem korban dengan address
alamat
IP
asal yang dipalsukan, sehingga sistem korban
merespon ke suatu sistem yang tidak me-request dengan ACK+SYN. Ketika request SYN diproses dalam jumlah besar oleh sebuah server dan tidak ada satu pun respon ACK+SYN, server akan mulai kehabisan sumber daya prosessor dan memori. 2) Serangan PUSH + ACK mirip dengan serangan TCP SYN dimana tujuannya adalah untuk menguras sumber daya sistem korban. Beberapa agent penyerang mengirimkan paket-paket TCP dengan bit-bit PUSH dan ACK di-set ke satu. Paket-paket ini memerintahkan sistem korban untuk membongkar
semua
29
data di dalam buffer TCP (terlepas dari apakah buffer penuh atau tidak) dan mengirimkan suatu acknowledgement ketika selesai. Apabila proses ini diulang dengan beberapa agent, sistem penerima tidak dapat memproses paket-paket yang masuk dalam jumlah besar dan sistem korban akan crash. b.
Malformed Packet Attacks Suatu serangan Malformed adalah serangan dimana penyerang
memerintahkan zombie-zombie untuk mengirim paket-paket IP yang salah ditujukan ke sistem korban untuk membuat sistem korban crash. Ada dua jenis serangan paket Malformed. Dalam suatu serangan IP address, paket berisi alamat IP asal dan alamat IP tujuan yang sama. Hal ini dapat membingungkan sistem operasi dari sistem korban dan mengakibatkan sistem korban crash. Dalam serangan IP packet options, suatu paket malformed dapat mengacak field-field pilihan di dalam sebuah paket IP dan men-set semua bit Quality of Service (QoS) ke satu agar sistem korban harus menggunakan tambahan waktu pemprosesan untuk menganalisa trafik. Apabila serangan ini diperbanyak dengan menggunakan jumlah agent yang cukup, serangan ini dapat mematikan kemampuan pemprosesan dari sistem korban.
2.3.4 Taksonomi untuk Mengatasi Serangan DDoS Saat ini ada sejumlah solusi tersedia untuk mengurangi efek dari serangan DDoS, tetapi tidak ada metode yang komprehensif untuk melindungi terhadap semua bentuk yang dikenal serangan DDoS. Banyak derivatif serangan DDoS yang terus-menerus
30
dikembangkan oleh penyerang untuk mem-baypass setiap ada penanggulangan baru.
Gambar 2.15 Taksonomi Penanggulangan Serangan DDoS (Specht dan Lee, 2003)
Gambar
2.15
menunjukkan
taksonomi
penanggulangan
serangan DDoS. Pada gambar diatas penanggulangan serangan DDoS dibagi menjadi enam bagian dan dapat diklasifiksikan menjadi dua bagian yaitu sebelum serangan terjadi dan saat serangan terjadi. a. Sebelum serangan DDoS terjadi Sebelum serangan DDoS terjadi penanggulangan dilakukan dengan cara mendeteksi dan menetralisir potensi serangan. Teknik yang digunakan terdiri dari tiga sub kelompok yaitu mendeteksi dan menetralisir handler, mencegah serangan sekunder, dan mencegah potensi serangan.
31
b. Selama serangan DDoS terjadi Saat serangan DDoS terjadi penanggulangan dilakukan dengan cara menghentikan serangan atau membelokkan serangan. Teknik yang digunakan terdiri dari tiga sub kelompok yaitu menghentikan serangan, membelokkan serangan, dan forensik. Penelitian ini menggunakan teknik yang termasuk sub kelompok forensik yaitu IP traceback. IP traceback menyimpan pola lalu lintas data selama serangan DDoS terjadi dengan memberi tanda pada paket (packet marking). Paket yang sudah ditandai tadi kemudian dianalisis untuk menemukan sumber serangan.
2.4 Packet Marking Teknik penandaan paket bergantung pada router sepanjang jalur
serangan
untuk
mengidentifikasi diri.
menandai
paket
dengan
informasi
Router menghasilkan paket tambahan
berdasarkan ICMP atau langsung memasukkan informasi tersebut dalam paket header. 2.4.1 ICMP Packet Marking Ketika router atau host tujuan menginformasikan sesuatu kerusakan pada IP datagram, protokol yang digunakan adalah ICMP. Karakteristik dari ICMP antara lain : - ICMP menggunakan IP - ICMP melaporkan kerusakan
32
- ICMP tidak dapat melaporkan kerusakan dengan menggunakan pesan ICMP, tetapi untuk menghindari pengulangan. - Untuk data yang terfragmentasi, pesan ICMP hanya mengirimkan pesan kerusakan pada fragmentasi pertama. - Pesan ICMP tidak merespon dengan mengirimkan data secara broadcast atau multicast. - ICMP tidak akan merespon kepada IP datagram yang tidak memiliki header IP pengirim. - Pesan ICMP dapat membuat proses kerusakan pada datagram.
Gambar 2.16 ICMP Traceback (Devasundaram, 2006)
Gambar 2.16 menunjukkan ilustrasi penandaan paket yang melewati router dengan IP traceback. Korban menerima tambahan informasi secara tetap dari paket yang datang. Pesan ini berisi sebagian kecil informasi yang menunjukkan dari mana paket datang, kapan paket dikirim, dan membuktikan keaslian paket. Untuk mengurangi overhead dalam penambahan pengiriman paket tersebut maka router akan memberikan satu pesan ICMP traceback untuk setiap 20.000 paket yang melewati router.
2.4.2 IP Header Packet Marking Metode penandaan paket pada IP traceback telah menarik banyak perhatian. Paket data ditandai dengan informasi penting oleh
33
router sepanjang jalan. Korban menggunakan informasi yang tersimpan di dalam IP header untuk merekonstruksi jalur serangan. Dalam metode ini, rekonstruksi jalur serangan bergantung pada banyaknya paket yang telah ditandai dan dikumpulkan oleh korban. Probabilistic Packet Marking memperoleh perhatian yang luas karena mengeluarkan biaya yang rendah dalam hal pemprosesan router dan waktu rekonstruksi. Mengacu pada Gambar 2.4 yang menunjukkan IP datagram yang belum menyimpan informasi penandaan paket. Bagaimana dan dimana IP datagram akan menyimpan informasi penandaan paket terletak pada identification field dalam IP header. Dua fields yang memungkinkan dapat terjadi overloaded pada saat penulisan informasi penandaan paket adalah options field dan identification field. Options field dalam paket IP header digunakan
untuk
menambahkan
informasi
tambahan
untuk
pengolahan tambahan seperti pengujian, debugging, dan keamanan. Namun, penandaan pada options field, menimbulkan beberapa masalah. Penandaan di options field memperbesar ukuran paket, yang dapat menyebabkan paket IP akan terbagi di sepanjang jalan. Options field adalah field yang tidak sesuai digunakan untuk penandaan karena akan menimbulkan masalah saat merekonstruksi jalur serangan karena terdapat kemungkinan bahwa penyerang dapat memodifikasi jalur data dan memalsukan informasi (Devasundaram, 2006).
34
Gambar 2.17 Alur Kerja Probabilistic Packet Marking (Devasundaram, 2006)
Gambar 2.17
menunjukkan proses penandaan paket.
Identification field dalam paket IP header dirancang untuk menyimpan identitas paket yang terbagi. Ini membedakan potongan paket IP dan memungkinkan dapat digabungkan kembali dengan benar pada sisi penerima. Menurut penelitian bahwa kurang dari 0,25% paket di Internet terbagi menjadi beberapa bagian, sehingga mengandalkan pada identification field. Penelitian tersebut merupakan suatu penegasan yang berfungsi sebagai pembenaran bahwa identifikasi field lebih tepat digunakan untuk menyimpan informasi penandaan paket (Davasundaram, 2006). Savage pertama kali menjelaskan dan mengimplementasikan pengambilan sampel probabilistik dengan probabilitas 1/25 untuk menghindari overhead yang berlebihan pada penandaan paket di router. Selanjutnya, setiap paket menyimpan informasi sebagian jalur, bukan jalur lengkap. Menggunakan pendekatan ini bersama
35
dengan teknik kompresi dan bidang tambahan dapat mencegah penipuan
informasi
routing.
Savage
mengusulkan
untuk
menggunakan IP header 16-bit dalam identification field untuk menyimpan informasi router (Devasundaram, 2006).
Gambar 2.18 Overloaded IP Header dari Savage (Devasundaram, 2006)
Gambar
2.18
menunjukkan
overloaded
IP
header.
Identification field terbagi menjadi offset, distance dan edge fragment yang digunkan untuk menyimpan informasi penandaan paket. Pembagian identification field lebih detail dapat dilihat pada Gambar 2.19. Identification field 16 bit dibagi menjadi tiga bagian dengan pembagian Offset 3 bit menyatakan 8 macam fragmen yang mungkin ada, 5 bit menyatakan distance, dan 8 bit menyatakan fragmen edge (Savage, 2000).
Gambar 2.19 Pembagian Identification Field untuk Penandaan Paket (Savage, 2000)
36
Down Song dan Adrian Perrig memodifikasi edgeidentification berbasis PPM dari untuk lebih mengurangi kebutuhan penyimpanan, dengan menyimpan hash dari setiap IP address bukan dari alamat itu router itu sendiri. Pendekatan ini beranggapan korban memiliki peta jaringan lengkap dari semua router upstream. Setelah edge-fragment reassembly, metode ini membandingkan hash IP address yang dihasilkan untuk hash IP address router yang berasal dari peta jaringan. Metode dimodifikasi untuk menjadi lebih efektif terhadap serangan DDoS dari pada metode sebelumnya. (untuk memfasilitasi rekonstruksi jalur serangan). Overloaded IP header dari Song dan Perrig ditunjukkan pada Gambar 2.20.
Gambar 2.20 Overloaded IP Header dari Song dan Perrig (Devasundaram, 2006)
Gambar 2.21 Paket Marking dalam IP Header (Song dan Perrig, 2001)
Gambar 2.21 menunjukkan paket marking dalam IP header, dimana alamat IP router dikodekan dan nilai hash disimpan dalam header. Sskema ini menunjukkan bahwa, 16 bit field identifikasi IP
37
dibagi menjadi distance 5 bit, dan edge 11 bit dengan menggunakan hash.
2.4.3 Algoritma Pada penulisan ini algoritma yang digunakan adalah algoritma Efficient Probabilistic Packet Marking yang merupakan modifikasi dari algoritma Probabilistic Packet Marking. 2.4.3.1 PPM (Probabilistic Packet Marking) Algoritma PPM (Probabilistic Packet Marking) digunakan untuk memecahkan masalah IP traceback. PPM digunakan untuk menemukan peta Internet atau sebuah grafik serangan selama serangan Distributed Denial of Service (DDoS). Algoritma PPM terdiri dari dua prosedur yaitu prosedur penandaan paket dan prosedur rekonstruksi grafik. Dalam prosedur penandaan paket, paket-paket secara acak menyandikan setiap sisi pada grafik serangan dan memperoleh prosedur rekonstruksi grafik, grafik dibangun dari informasi yang dikodekan. a.
Prosedur Packet Marking Dalam penerapkan layanan IP Traceback yang harus
dilakukan adalah mengalokasikan ruang yang cukup dalam paket IP header sehingga ruang ini dapat digunakan untuk mencatat jalur yang dilintasi sebuah paket. Misalnya, setiap router, di samping melakukan forwarding paket dan fungsi routing, mencatat atau menambahkan ID-nya sendiri di ruang pra-dialokasikan pada paket header. Dalam analogi ini ketika korban menerima paket yang telah ditandai, korban dapat memeriksa paket header dan mendapatkan
38
secara lengkap informasi jalur yang dilalui paket yang ditandai. Satu masalah besar tentang pendekatan ini adalah bahwa panjang jalur yang dilalui (misalnya, jumlah hop) dari sebuah paket tidak tetap. Sehingga mustahil untuk pra-mengalokasikan diawal untuk jumlah yang cukup dalam ruang paket header. Kesulitan lain teknik pencatatan jalur informasi yang lengkap dari setiap paket ke korban adalah bahwa jika penyerang berpotensi dapat memanipulasi informasi jalur dan mengisinya dalam proses identifikasi router yang palsu di dalam paket header dapat menyesatkan korban. Router mengkodekan informasi dalam tiga field yang menandai serangan paket yaitu awal, akhir, dan jarak. Field awal dan akhir menyimpan alamat IP untuk dua router pada titik akhir tepi yang ditandai. Field jarak mencatat jumlah hop diantara kedua sisi yang ditandai dan lokasi korban (Savage, 2000). Marking prosedure at router R for each packet w let x be a random number from [0..1] if x < Pm then write R into w.start and 0 into w.distance else if w.distance = 0 then write R into w.end increment w.distance
Gambar 2.22 Algoritma Packet Marking (Bhavani dan Reddy, 2010)
Gambar 2.22 menunjukkan algoritma Packet Marking dimana di dalam PPM paket menyimpan informasi pada tepi dalam header IP. Router menentukan bagaimana paket dapat diproses tergantung pada bilangan acak yang dihasilkan. Jika x lebih kecil dari yang
39
telah ditetapkan kemungkinan untuk menandai pm, router memilih untuk memulai pengkodean sebuah sisi. Router menetapkan field awal dari paket yang masuk ke alamat router dan mengatur ulang field jarak ke nol. Jika x lebih besar dari pm, router memilih untuk mengakhiri pengkodean sebuah sisi dengan menetapkan alamat router di bidang akhir. Menurut Algoritma Probabilistic Packet Marking, setiap paket dapat menandai atau menghapus tanda edge field dengan beberapa kemungkinan. Misalkan Pm(d) menyatakan bahwa sebuah sisi ditandai, dan itu adalah (d) hop jauh dari lokasi korban. Rumus PPM ditunjukkan pada Persamaan 2.2 (Bhavani dan Reddy, 2010). Pm(d) = p(1-p)d b.
d≥0
(2.2)
Prosedur rekonstruksi grafik Setelah paket ditandai (marked) oleh router, korban dapat
merekonstruksi jalur serangan untuk mengetahui asal penyerang. Algoritma untuk merekonstruksi jalur diperlihatkan pada Gambar 2.23. let G be a tree with root being victim V ; let edges in G be tuples(start,end,distance); for (each received marked packet w) { if (w.distance==0) then insert edge (w.start,V,0) into G ; Else insert edge (w.start, w.end, w.distance) into G ; } remove any edge (x,y,d) with d ≠ distance from x to V in G ; extract path (Ri…Rj) by enumerating acyclic paths in G ; Gambar 2.23 Algoritma Grafik Rekonstruksi Jalur (Bhavani dan Reddy, 2010)
40
Setelah korban menerima paket, pertama perlu filtering paket yang tanpa tanda (karena korban tidak memuat informasi apapun dalam membuat grafik serangan). Pihak korban menjalankan algoritma konstruksi grafik untuk seluruh paket yang telah ditandai yang
dikumpulkan
kembali
dan
membangun
grafik
yang
menggambarkan serangan.
2.4.3.2 EPPM (Efficient Probabilistic Packet Marking) PPM mempunyai banyak fitur yang diinginkan. Sebagai contoh, router yang jauh dari korban memiliki peluang yang sangat rendah untuk menyampaikan informasi penandaan paket kepada korban. Sebab, informasi dari router sebelumnya (upstream routers) ditimpa oleh router sesudahnya (downstream routers) yang mengakibatkan hilangnya informasi penandaan paket yang ditulis oleh router yang terletak jauh dari korban. Untuk mengatasi masalah di atas, maka algoritma PPM perlu dimodifikasi untuk meningkatkan efektifitasnya. Hasil modifikasi ini disebut Efficient Probabilistic Packet Marking (EPPM). Gambar 2.24 menunjukkan algoritma efficient probabilistic packet marking. EPPM menggunakan field tambahan yang disebut sebagai flag yang membutuhkan salah satu dari nol atau satu. Nilai flag pada awalnya dibuat nol. Jika paket sudah diberi tanda maka flag bernilai satu (Bhavani dan Reddy, 2010).
41
for (each packet w received by the router) { generate a random number x between [0..1]; If (x < Pm and flag=0) then /* router starts marking. flag 0 implies that the packet is not encoded previously */ write router's address into w.start and 0 into w.distance Else { If ( w.distance = 0 ) then write router address into w.end and 1 into flag } /* flag 1 implies that the packet has encoded an edge and no other successive router start encoding */ If (flag = 1) then Increment w.distance by 1 /*w.distance represents the distance of the encoded edge from the victim V */ } } Gambar 2.24 Algoritma Efficient Packet Marking Prosedure (Bhavani dan Reddy, 2010)
