Belajar Cyber Security - Network Attacks & Packet Analysis
Menyerang dan membaca jaringan di lapisan L2 dan L3: analisis traffic dengan Wireshark dan tcpdump, ARP spoofing, DNS poisoning, man in the middle dengan bettercap Ettercap dan responder, serta DHCP starvation untuk memahami cara penyerang menguasai jaringan internal
#Pendahuluan
Kita sudah menaklukkan fase web security. Sekarang masuk fase network & system attacks: serangan di lapisan jaringan (L2/L3) yang menjadi inti pentest jaringan internal. Jika web attack menyerang aplikasi, network attack menyerang fondasi komunikasi — bagaimana paket dikirim, siapa yang "berbohong" di jaringan.
Mengapa penting? Karena jaringan internal adalah medan tempur setelah berhasil masuk: setelah mendapatkan foothold di satu mesin, penyerang memakai serangan jaringan untuk bergerak lateral (episode 19). Memahami Wireshark/tcpdump dan teknik MITM membuat kalian bisa membaca dan mengendalikan lalu lintas seperti penduduk asli jaringan — bukan tamu yang buta.
#Packet Analysis: Wireshark dan tcpdump
#tcpdump: Rekam Paket dari Terminal
tcpdump menangkap paket di interface. Mulai dari dasar:
sudo tcpdump -i eth0 -nsudo tcpdump -i eth0 -n host 192.168.1.10
sudo tcpdump -i eth0 -n tcp port 80#Wireshark: Analisis Visual
Wireshark menganalisis hasil tangkapan secara visual. Buka file .pcap yang sudah direkam, atau langsung tangkap dari GUI. Filter yang wajib kalian kuasai:
ip.addr == 192.168.1.10
tcp.port == 80
http.request
dns.qry.name contains "example"
tls.handshake.type == 1#Pola Traffic Suspicious
Saat incident response atau pentest, cari pola ini:
- ARP storm: banyak
who-has→ indikasi ARP spoofing. - Retransmission/TCP out-of-order tinggi → indikasi MITM atau jaringan bermasalah.
- DNS query mencurigakan: banyak query ke domain janggal → kemungkinan C2 (command & control).
- Eksfiltrasi : data dikirim dalam potongan kecil ke IP asing.
Tip
Kebiasaan yang sangat berharga: latih tcpdump setiap kali praktik di lab — rekam semua aktivitas serangan kalian sendiri. Hasil tangkapan itu menjadi bukti dan bahan belajar: kalian melihat persis paket yang dikirim exploit kalian, dan membandingkannya dengan traffic normal.
#Serangan L2/L3
#ARP Spoofing
ARP (Address Resolution Protocol) menerjemahkan IP → MAC di jaringan lokal. Karena ARP tidak punya otentikasi, penyerang bisa mengirim ARP palsu yang mengaku sebagai gateway. Semua traffic korban kemudian lewat mesin penyerang — posisi man-in-the-middle:
Verifikasi di lab: arp -a pada korban harus menunjukkan MAC attacker untuk IP gateway.
#DNS Poisoning
Jika penyerang sudah menguasai posisi MITM, langkah berikutnya bisa memalsukan respons DNS: ketika korban meminta bank.com, penyerang mengembalikan IP server palsu. Traffic korban yang "aman" pun bisa diarahkan ke phishing farm. Di dalam perangkat jaringan, ini juga dikenal sebagai DNS spoofing/forgery.
#MITM Tools
Tool utama di lab:
sudo bettercap -eval "set arp.spoof.targets 192.168.1.10; arp.spoof on; net.sniff on"sudo ettercap -T -M arp:remote /192.168.1.10// /192.168.1.1//Responder punya peran khusus: ia menjebak protokol yang tidak aman di jaringan Windows — me-respond ke request LLMNR/NBT-NS dan mencegat hash NTLM untuk di-crack atau dipakai pass-the-hash (episode 18-19):
sudo responder -I eth0#DHCP Starvation
Serangan ketersediaan (availability): penyerang membanjiri server DHCP dengan request dari MAC palsu hingga kumpulan alamat habis, sehingga host baru tidak mendapat IP — bentuk denial of service lokal. Varian lanjutannya: penyerang lalu menjalankan DHCP server rogue yang memberi IP + gateway milik penyerang (dhcp spoofing), membawa semua klien baru ke posisi MITM.
Warning
Semua teknik di episode ini bekerja pada jaringan yang kalian kendalikan. ARP spoofing di jaringan kantor/tetangga tanpa izin adalah kejahatan dan bisa mengganggu layanan seluruh jaringan. Di lab, gunakan segmen terisolasi (host-only) — dan ingat bahwa teknik ini meninggalkan jejak jelas di switch/log, persis seperti yang dipelajari blue team untuk mendeteksinya.
#Mitigasi Ringkas
| Serangan | Mitigasi |
|---|---|
| ARP spoofing | Dynamic ARP Inspection (DAI), port security, enkripsi traffic (TLS) |
| DNS poisoning | DNSSEC, DoH/DoT, validasi server DNS |
| MITM | Enkripsi end-to-end (HTTPS/SSH/VPN), Mutual TLS |
| DHCP starvation/spoofing | DHCP snooping di switch |
#Penutup
Pada episode 16 ini, kalian telah menguasai pembacaan lalu lintas dan serangan jaringan L2/L3.
Inti yang harus dibawa pulang:
- tcpdump/Wireshark: filter dasar dan pola traffic suspicious adalah senjata diagnosis.
- ARP spoofing + DNS poisoning: fondasi MITM di jaringan lokal.
- bettercap/Ettercap untuk MITM; responder untuk menjebak hash NTLM.
- DHCP starvation/spoofing: serangan ketersediaan dan pintu ke MITM.
- Semua latihan di segmen terisolasi — dan enkripsi (TLS/SSH) adalah pertahanan terbaik terhadap MITM.
Di episode 17 selanjutnya kita membahas Linux privilege escalation — SUID/SGID, sudo misconfiguration, cron jobs, capabilities, kernel exploits, dan credential di file, dengan LinPEAS dan manual enumeration untuk naik dari user biasa ke root. Sampai jumpa di episode 17!