Deteksi Penyusupan Sistem Server - Peringatan keras sebelum membaca artikel ini :
1. Artikel ini dimaksudkan untuk bahan pelajaran para admin dan siapa saja yang ingin mengembangkan pengetahuan tentang security khususnya web
2. Gunakan Tutor ini jika dianggap penting untuk mengamankan server anda
Benarkah sistem kita tersusup ? (khususnya pada sistem yang berbasix unix atau linux) sebagai jaringan yang paling banyak dipakai saat ini.
Ada pun langkah-langkah yang dapat kita tempuh adalah sebagai berikut :
1. Periksa file-file log, untuk mencari koneksi dari lokasi yang tidak wajar atau mencari aktivitas yang tidak semestinya ada. Sebagai contoh, periksalah "last log", proses accounting, semua log yang dibuat oleh syslog, dan log-log yang lain yang ada kaitannya dengan keamaan. bila firewall digunakan atau router menulis log ke lokasi yang berbeda dengan compromised system (sistem yang berhasil di-comprimise), jangan lupa untuk memeriksa log-lognya juga. Sebagai catatan, hal ini bukanlah hal yang mudah dan aman untuk dilakukan, kecuali anda melakukan log ke sebuah media yang hanya dapat diisi dengan mode append (sering sekali penyusup mengedit file-file log untuk menyembunyikan aktivitas mereka).
2. Memeriksa file-file setuid dan setgid (terutama file setuid root) pada sistem. Sering sekali penyusup meninggalkan setuid dari /bin/sh atu /bin/time untuk memudahkan bila akan melakukan akses sebagai root di waktu yang akan datang. Perintah find pada unix atau linux dapat digunakan untuk mencari file-file setuid dan segid. Sebagai contoh anda dapat melakukan perintah berikut untuk mencari file-file setuid root dan setgid kmem pada seluruh lokasi didalam sistem :
Contoh pemakaian:
visual:~$ find / -user root -perm -4000 -print
visual:~$ find / -group kmem -perm -2000 -print
Keterangan : dengan contoh seperti diatas akan mencari ke seluruh sistem / directory, termasuk NFS/AFS yang dimount ke dalam file system, namun untuk mencegah hirarki tersebut ada beberapa perintah find yang mendukung option "-xdev" . sebagai contoh :
visual:~$ find / -user root -perm -4000 -print -xdev
Cara lain untuk mencari file-file setuid adalah dengan melakukan perintah ncheck pada tiap-tiap partisi. Sebagai contoh, gunakan perintah berikut ini untuk mencari file-file setuid dan device-device khusus pada partisi /dev/rsd0g:
visual:~$ ncheck -s /dev/rsd0g
3. Memeriksa file-file binary di dalam system untuk memastikan file-file binary tersebut tidak berubah. Seringkali penyusup mengubah program pada sistem unix atau linux, misalnya login, su, nestat, ifconfig, ls, find, du, df, libc, sync. Semua file-file binary yang di referensikan oleh /etc/inetd.conf, dan program-program jaringan yang penting berserta library-library berbentuk objek yang dipakainya. Jangan lupa untuk membandingan dengan file-file aslinya, hati-hati terhadap backupan jangan-jangan sudah terkena/terinfeksi trojan horse, (pakailah program untuk mendeteksi trojan) contoh-contoh programnya cmp atau MD5 (program standar yang dimiliki unix atau linux) atau bisa saja anda mengunakan program lain yang bisa didapatkan di internet.
4. Memeriksa sistem dari akses penggunaan program networking secara ilegal, yang umum disebut dengan packet sniffer. penyusup mungkin menggunakan sniffer untuk menyadap user account dan password.
5. Memeriksa semua file yang dijalankan oleh cron dan at. Seringkali penyusup sengaja meninggalkan pintu belakang (backdoor) pada sistem (bahkan setelah sistem merasa yakin telah menyelesaikan masalah yang terjadi karena sistem di -compromise). Periksa juga semua program/file yang direferensi (baik secara langsung maupun tidak langsung) oleh job-job cron dan at serta file-file job mereka sendiri, yang seharusnya tidak dapat ditulis secara bebas.
6. Memeriksa service-service ilegal (yang sedang berjalan). Perhatikan apakah ada penambahan atau pengubahan secara ilegal pada /etc/inetd.conf, khususnya periksa entri-entri yang mengeksekusi program-program shell (misal nya /bin/sh atau /bin/csh) dan pastikan program-program yang dispefisikasikan di /etc/inetd sudah benar dan tidak diganti oleh trojan horse. Periksa juga service-service legal yang diberi tanda komentar pada service-service tertentu (berarti menjalankan service tertentu), atau mengganti program inetd dengan sebuah program trojan horse.
7. Memeriksa file /etc/passwd pada sistem dan memeriksa juga modifikasi yang terjadi pada file tersebut, khususnya untuk pembuatan account baru, account tanpa password, atau penggubahan UID (terutama UID 0) pada account-account yang ada.
8. Periksa file-file konfigurasi sistem dan jaringan dari entri-entri ilegal, khususnya cari entri degnan tanda plus (+) dab bana host yang tidak diinginkan di file /etc/hosts.equiv ,/etc/hosts.lpd dan semua file-file .rhost (terutama root, uucp, ftp dan account sistem yang lain 0 pada sistem, File-file tersebut seharusnya tidak dapat ditulis secara bebas. Cari file-file yang tidak wajar atau hidden pasa seluruh lokasi di sistem (file-file yang dijalankan menurut prioda waktu tertentu dan umumnya tidak dapat dilihat dengan mengunakan perinah ls), karena file seperti ini dapat digunakan untuk menyembuyikan tool dan informasi (program password cracking, file password dari sistem lain). sebuah teknik yang umum pada sistem Unix ataupun linux adalah meletakan sebuah direktory yang hidden pada user acount dengan nama yang tidak wajar , misalkan ".." atau ".. "(titik2 spasi) atau "..^G" (titik2 ctrl+G). Sekali lagi, perintah find dapat digunakan untuk mencari file hidden tersebut, contoh :
visual:~$ find / -name ".. " - print -xdev
visual:~$ find / -name ".*" - print -xdev | cat -v
demikian juga dengan file-file yang memiliki nama seperti misalnya "xx" dan ".mail" (terlihat seperti file biasa bukan)
9. Memeriksa semua komputer pada jaringan lokal pada saat mencari tanda-tand adanya penyusupan. seringkali bila sebuah host berhasil di-compromise maka komputer lain yang berada didalam jaringan juga. Hal ini benar khususnya bila jaringan menjalankan NIS (Network Information System) atau tiap-tiap host di dalam jaringan saling mempercayai melalui file .rhost dan file /etc/hosts.equiv. periksa juga host-host yang berbagi akses .rhost.
Semoga dengan pelajaran yang kecil ini kita bisa belajar bersama !
20:06
Admin A
