BAB 4 HASIL PENELITIAN
Pada bab ini akan dijelaskan mengenai deskripsi data yang telah diterima oleh kedua honeypot yaitu Dionaea dan Glastopf dan analisa data. Data tersebut diperoleh setelah kedua honeypot tersebut berjalan selama 7 hari pada tanggal 16 November 2011 – 22 November 2011. Kedua honeypot tersebut menggunakan ip publik sehingga traffic yang masuk ke dalam honeypot berasal dari seluruh dunia dan traffic yang masuk ke dalam Dionaea belum tentu sama dengan traffic yang masuk ke Glastopf. Data tersebut diambil dengan melihat data yang muncul pada tampilan web interface dari honeypot tersebut yaitu Carniwwwhore dan GlasIF.
4.1 Hasil Penelitian Berikut adalah hasil penelitian yang diperoleh dari kedua honeypot: 4.1.1 Dionaea Dionaea adalah low-interaction honeypot yang fungsi utamanya mendapat copy dari malware. Dionaea menarik serangan dengan cara menyediakan bug yang biasa dicari oleh para penyerang untuk dapat menyusupkan malware. Dionaea menggunakan Carniwwwhore sebagai web interface sehingga serangan yang diterima Dionaea dapat dilihat dengan mudah. 4.1.1.1 Tampilan web interface Dionaea Berikut adalah beberapa tampilan dari Carniwwwhore: 38
39
Gambar 4.1 Overview Carniwwwhore
Gambar 4.1 adalah gambar tampilan utama Carniwwwhore (web interface Dionaea). Pada gambar di atas dapat dilihat jumlah serangan/malware yang diterima selama 7 hari. Pada sumbu x dapat dilihat tanggal harinya dan pada sumbu y dapat dilihat jumlah serangan yang didapat. Di sebelah kiri ada menu Dionaea untuk melihat lebih detail tentang serangan yang didapat Dionaea.
40
Gambar 4.2 Tampilan jumlah serangan per hari Dionaea
Pada gambar 4.2 dapat dilihat jumlah serangan per hari. Di sebelah kiri terdapat menu seperti protocols (melihat protokol yang digunakan), transports (tcp/udp), attacks (melihat serangan lebih detail), hosts (melihat ip penyerang), dan ports (port yang digunakan).
41
Gambar 4.3 Tampilan serangan Dionaea
Gambar 4.3 adalah tampilan menu attacks pada Dionaea. Pada menu ini dapat dilihat detail serangan yang dilakukan seperti waktu, ip penyerang, protokol dan port yang digunakan.
4.1.1.2 Data Dionaea Setelah Dionaea dijalankan selama 7 hari pada tanggal 16 November 2011 – 22 November 2011, diperoleh data serangan yang dikelompokan berdasarkan waktu, negara penyerang, dan port yang diserang.
42
•
Serangan berdasarkan waktu
Gambar 4.4 Grafik jumlah penyerang terhadap waktu
Pada tabel di atas dapat dilihat serangan terhadap waktu selama 7 hari. Dalam 1 hari dibagi menjadi 3 waktu yaitu pagi (pukul 04:00-12:00 WIB), siang (pukul 12:0020:00 WIB), dan malam (pukul 20:00-4:00 WIB). Dari segi waktu selama 7 hari dalam WIB, dapat dilihat serangan paling banyak terjadi pada malam hari lalu siang hari dan yang paling sedikit pada pagi hari. Hal ini disebabkan karena banyak attacker yang menjalankan serangannya dengan menggunakan bot berasal dari Negara yang beda waktunya jauh dengan Indonesia sehingga di negeri penyerang masih siang hari sedangkan di Indonesia sudah malam hari. Seperti diketahui bahwa pada siang hari aktifitas manusia paling banyak terjadi. •
Serangan berdasarkan negara penyerang
43
Selain jumlah serangan yang diterima oleh Dionaea, kita juga dapat melihat ip penyerang. Jika ip penyerang tersebut dikelompokan berdasarkan negara asal ip tersebut maka didapat negara yang paling sering melakukan serangan pada diagram dibawah ini.
Gambar 4.5 Diagram negara yang sering menyerang
Dari data negara yang paling banyak melakukan serangan, terdapat negara dengan 5 urutan teratas yaitu Rusia (28%), Brasil (14%), Taiwan (12%), Jepang (8%), dan Jerman (4%). Negara seperti Rusia (GMT+3), Jerman (GMT+1), jarak waktunya jauh dibanding Indonesia sehingga jumlah serangan paling banyak terjadi pada malam hari (pukul 20:00-04:00 WIB) yaitu 150.629 (Rusia) dan 20.650 (Jerman). Hal ini dikarenakan pada saat waktu malam hari (sesuai pengelompokan kita) maka di waktu Rusia dan Jerman berada pada waktu manusia mulai beraktifitas (siang hari) sehingga
44
kapasitas serangan lebih besar pada waktu ini. Pada Brasil (GMT-3) yang memiliki beda waktu sangat jauh dari Indonesia menunjukkan serangan paling banyak pada pagi hari yaitu 65.321 serangan karena pada pukul 4:00 WIB maka di waktu di Brasil adalah menjelang malam sehingga serangan masih tinggi terjadi. Perbedaan waktu yang sangat jauh inilah yang membuat serangan dari negara Brasil juga banyak terjadi pada malam hari yaitu 52.854 serangan. Pada Taiwan (GMT+8) dan Jepang (GMT+9) yang beda waktunya sedikit dengan Indonesia maka serangan paling banyak terjadi pada siang hari yaitu 61.613 (Taiwan) dan 33.694 (Jepang). •
Serangan berdasarkan port yang diserang Dionaea membuka semua services yang ada sehingga data yang didapat sangat
banyak. Kita juga dapat mengetahui nomor port yang diserang. Berikut adalah diagram yang menggambarkan port yang sering diserang dalam seminggu:
Gambar 4.6 Diagram port yang banyak diserang
45
Dari gambar di atas dapat dilihat port 445 sering diserang (1.048.300 serangan) karena port ini digunakan untuk file sharing seperti printer sharing. Hal ini yang menyebabkan port ini paling rentan untuk dimasukkan worm. World Wide Web (www) merupakan bagian dari Internet yang paling populer, sehingga serangan kedua paling banyak pada port 80 yaitu 7915 serangan. Serangan ketiga paling banyak pada port 1433 yang digunakan oleh MSSQL. Seperti yang diketahui mssql adalah database yang cukup rentan untuk diserang seperti serangan buffer overflow sehingga jika seorang attacker mengirim terlalu banyak data, kemungkinan terjadi “overflow” pada ukuran tertentu dan akan menulis data disekitar area buffer komputer. Buffer Overflow ini mungkin saja malicious user menjalankan perintah kewenangan pada remote system. Port lainnya adalah port 5060 dan 5061 yang sering digunakan untuk layanan voice dan media melalui internet, lalu port 3306 yang digunakan oleh mysql, port 21 untuk transfer data dan port lainnya.
4.1.2
Glastopf Glastopf adalah honeypot yang bertujuan untuk menangkap serangan/request
yang ditujukan ke web aplikasi. Glastopf menggunakan fitur google dork list untuk menarik serangan. Glastopf menggunakan GlasIF sebagai web interface untuk melihat serangan yang telah diterima. 4.1.2.1 Tampilan web interface Glastopf Berikut adalah beberapa tampilan dari GlasIF:
46
Gambar 4.7 Dashboard GlasIF
Pada gambar 4.7 dapat dilihat tampilan dashboard dari GlasIF. Pada tampilan nii dapat dilihat jumlah serangan per hari dan per jam. Selain itu dapat juga dilihat lima ip yang paling banyak melakukan serangan, lima ip yang terakhir menyerang, dan lima file terakhir yang berhasil dimasukkan. Di atas terdapat beberapa menu seperti raw data
47
untuk melihat log serangan, search untuk mencari serangan tertentu, dan admin untuk mengubah user dan password GlasIF.
Gambar 4.8 Log Glastopf
Gambar 4.8 adalah tampilan menu raw data. Pada gambar ini dapat dilihat log serangan yang terjadi seperti waktu, ip penyerang dan target, dan request yang dilakukan.
4.1.2.2 Data Glastopf Pada data yang diterima Glastopf dapat dilihat host penyerang dan request yang dilakukan. Berikut adalah tabel data serangan yang diterima oleh Glastopf setelah dijalankan selama 7 hari pada tanggal 16 November 2011 – 22 November 2011: Attacker
Destination
Time
Request
Negara
xxx.43.187.5
203.xxx.119.40
16/11/20
/phpmyadmin/
Indonesia
11
48 109.xxx.213.
proxyjudge2.xxx
17/11/20
http://proxyjudge2.xxx.net/faste
134
.net
11
nv
61.250.80.xx
203.xxx.119.40
17/11/20
/user/soapCaller.bs
x xxx.14.129.1
11 www.weibo.com
00 188.xxx.163.
203.xxx.119.40
203.xxx.119.40
203.xxx.119.40
203.xxx.119.40
9 173.xxx.101.
http://www.weibo.com/
China
/appConf.htm
Turkey
/phpmyadmin/
Indonesia
18/11/20
/w00tw00t.at.blackhats.romania
Rusia
11
n.anti-sec:)
18/11/20
/phpMyAdmin/scrixxx/setup.ph
11
p
19/11/20
/appConf.htm
18/11/20
18/11/20 11
9 194.63.xxx.7
203.xxx.119.40
59
11
xxx.132.116.
www.google.co
21/11/20
23
m
11
203.xxx.229.
203.xxx.119.40
187 203.xxx.229.
203.xxx.119.40
187 128.xxx.29.1
203.xxx.119.40
99 128.xxx.29.1
Korea
11
74 194.63.xxx.7
Republic of
11
130 180.244.xxx.
17/11/20
Jerman
203.xxx.119.40
Rusia
United States
http://www.google.com/
Ukraine
22/11/20
/w00tw00t.at.blackhats.romania
Hongkong
11
n.anti-sec:)
22/11/20
/phpMyAdmin/scrixxx/setup.ph
11
p
22/11/20
/phpMyAdmin/scrixxx/setup.ph
11
p
22/11/20
/pma/scrixxx/setup.php
Hongkong
Australia
Australia
49 99
11
128.xxx.29.1
203.xxx.119.40
99 128.xxx.29.1
203.xxx.119.40
99
22/11/20
/w00tw00t.at.blackhats.romania
11
n.anti-sec:)
22/11/20
/myadmin/scrixxx/setup.php
Australia
Australia
11
Tabel 4.1 Tabel Serangan Glastopf
Pada Glastopf, yang hanya membuka port 80 dapat dilihat asal ip yang menyerang dan request yang dilakukan. Glastopf dapat menarik serangan dengan menambahkan path atau file yang vulnerable yang sering dicari oleh penyerang di database Glastopf. Path atau file tersebut dapat kita lihat pada http://www.exploitdb.com/ dan menambahkan pada tabel path dalam database sehingga saat penyerang mencari file tersebut maka mereka akan menemukan dan menyerang Glastopf kita. Kita dapat mengidentifikasi data yang diterima Glastopf sebagai serangan jika penyerang menyisipkan file tertentu, meminta dan mengakses file yang tidak diperbolehkan untuk publik, dan me-request path yang kita tambahkan di database. Dari data di atas, dapat dilihat request yang dilakukan biasa mencari vulnerabilities di phpmyadmin dan webserver seperti /phpMyAdmin/scripts/setup.php dari Hongkong, Rusia, dan Australia dan request /w00tw00t.at.blackhats.romanian.anti-sec:) yang biasa dilakukan oleh Rusia dan Hongkong. Serangan lainnya adalah request /user/soapCaller.bs dari Korea. Request ini dilakukan oleh tools yaitu Morfeus F***ing Scanner yaitu scanner yang mencari bug yang terdapat dalam php atau web aplikasi lainnya. soapCaller.bs adalah halaman yang sangat rentan untuk diserang.
50
4.2 Perbandingan dan pencegahan Dari data yang didapat dari kedua honeypot di atas, dapat dilihat bahwa Dionaea dapat mengumpulkan malware yang banyak pada port 80 dalam satu minggu sebanyak 7915. Sedangkan pada Glastopf hanya menerima serangan terhadap web aplikasi sebanyak 16 serangan. Dari data di atas dapat dilihat bahwa kinerja Dionaea lebih sensitif dalam menangkap serangan yang tersebar di internet. Dari data di atas dapat dilihat serangan/tingkah laku para attacker yang sering terjadi yaitu serangan pada port 445 dan mencari bug pada webserver (port 80). Cara yang paling umum adalah menutup port yang sering diserang pada firewall. Untuk serangan pada port 445, dapat dicegah dengan salah satu cara yaitu menutup services file sharing sehingga port tersebut ditutup. Di regedit pada folder berikut : •
HKLM\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
Temukan SMBDeviceEnabled Ganti dengan D=Word 00000000. Untuk serangan yang mengarah pada web aplikasi dapat dilakukan beberapa cara seperti: •
Memblok ip yang mencurigakan di firewall, salah satu contohnya seperti ip pada tabel di atas.
•
Menurut Shreeraj Shah (2004), dapat dicegah dengan menginstal Modsecurity yang merupakan firewall untuk aplikasi web sehingga lebih meningkatkan keamanan terutama utnuk apache.
