Belajar Security Analyst - Network Analysis (IDS/IPS, PCAP)

#Pendahuluan

Setelah di episode 5 kita mempelajari detection engineering dan Sigma rules, pada episode ini kita masuk ke network analysis — disiplin memantau dan menganalisis traffic jaringan untuk mendeteksi serangan. Network adalah jalur utama komunikasi, dan attacker harus melewatinya untuk mencapai target.

Mengapa network analysis penting? Karena endpoint bisa dikompromikan, log bisa dimanipulasi, tapi traffic jaringan sulit dihapus tanpa meninggalkan jejak. Network analysis memberikan visibilitas yang tidak bisa digantikan oleh log endpoint saja.

#IDS/IPS: Snort & Suricata

#Apa Itu IDS dan IPS?

Snort adalah IDS/IPS open-source paling tua dan paling banyak digunakan. Suricata adalah alternatif modern dengan performa multi-threaded yang lebih baik.

#Snort Rules

Contoh Snort rule

# Deteksi nmap TCP connect scan
alert tcp any any -> $HOME_NET any (msg:"Nmap TCP Connect Scan"; flags:S,12; threshold:type both,track by_src, count 300, seconds 60; sid:1000001; rev:1;)
 
# Deteksi SQL injection attempt
alert tcp any any -> $HTTP_SERVERS 80 (msg:"SQL Injection Attempt"; content:"SELECT"; nocase; content:"FROM"; nocase; sid:1000002; rev:1;)

#Suricata Rules

# Deteksi DNS tunneling
alert dns any any -> any any (msg:"DNS Tunneling Detected"; dns.query; content:"|09|upload|03|com"; nocase; threshold:type threshold, track by_src, count 50, seconds 60; sid:2000001; rev:1;)

#Wireshark & PCAP Analysis

Wireshark adalah tool analisis paket paling powerful — kalian bisa melihat setiap byte yang mengalir di jaringan.

#Fundamental PCAP Analysis

Tangkap paket dengan tcpdump

# Tangkap traffic HTTP
tcpdump -i eth0 -w capture.pcap port 80
 
# Tangkap traffic DNS
tcpdump -i eth0 -w dns.pcap port 53
 
# Tangkap traffic dari IP spesifik
tcpdump -i eth0 -w target.pcap host 192.168.1.100

#Wireshark Display Filters

# HTTP traffic
http.request.method == "POST"
 
# DNS queries ke domain mencurigakan
dns.qry.name contains "malware-c2.com"
 
# TCP flags SYN (port scanning)
tcp.flags.syn == 1 and tcp.flags.ack == 0
 
# Error packets
tcp.analysis.flags
 
# Follow TCP Stream
tcp.stream eq 5

#Analisis Sample

Ketika menganalisis PCAP, ikuti langkah ini:

1. Identifikasi流量 — protokol apa yang dominan
2. Filter anomali — packet yang tidak biasa
3. Follow streams — rekonstruksi komunikasi lengkap
4. Extract artifacts — file, URLs, credentials

#Zeek (Bro)

Zeek (sebelumnya Bro) adalah network analysis framework yang menghasilkan log metadata jaringan.

Install dan jalankan Zeek

sudo apt install zeek
zeek -i eth0

Zeek menghasilkan beberapa log penting:

Analisis conn.log Zeek

# Cari koneksi ke port mencurigakan
cat conn.log | awk '{print $5}' | sort | uniq -c | sort -rn | head
 
# Cari DNS queries unik
cat dns.log | awk '{print $9}' | sort | uniq

#Network Security Monitoring Workflow

#Penutup

Inti yang harus dibawa pulang:

• IDS/IPS (Snort/Suricata) adalah garis pertahanan pertama di network layer.
• Wireshark adalah tool analisis PCAP paling powerful untuk investigasi mendalam.
• Zeek menghasilkan metadata jaringan yang kaya untuk analisis.
• Network analysis memberikan visibilitas yang tidak bisa digantikan oleh endpoint log saja.

Di episode 7 selanjutnya kita akan membahas endpoint security — EDR/XDR, hunt on endpoint, dan telemetry endpoint. Jika network adalah jalur komunikasi, endpoint adalah tempat attacker benar-benar melakukan aksinya.