dari dalam dan luar jaringan.

Snort dapat digunakan pada flatform sistem operasi

linux, BSD, Solaris, Windows, dan sistem operasi lainnya.Di situs resminya
www.snort.org menyediakan layanan untuk update rule dan signature, mailing list,
forum diskusi, komunitas project dan layanan lain yang memudahkan user untuk
mendapatkan informasi.

Gambar 2.1 Snort.org

(Sumber : www.snort.org, diakses pada 07 Nopember 2009)
Snort dapat dioperasikan dalam tiga mode :
1. paket sniffer : untuk melihat paket yang lewat di jaringan.
2. paket logger : untuk mencatat semua paket yang lewat dijaringan untuk
dianalisis di kemudian hari.
3. NIDS deteksi penyusup pada jaringan : pada mode ini Snort akan berfungsi
untuk mendeteksi serangan yang dilakukan melalui jaringan komputer.

2.5.1 Komponen-komponen Snort

1. Rule Snort
Rule snort merupakan database yang berisi pola-pola serangan berupa
signature jenis-jenis serangan. rule snort IDS ini, harus diupdate secara rutin
agar ketika ada suatu teknik serangan yang baru, serangan tersebut dapat
terdeteksi. Rule snort dapat didownload di www.snort.org.
Sebagai contoh rule pada Snort sebagai berikut :

Gambar 2.2 Contoh Rules pada Snort

Dari rule-rule seperti gambar 2.2 Snort menentukan apakah sebuah
paket data dianggap sebagai penyusupan/serangan atau bukan, paket data
dibandingkan dengan rule IDS, jika terdapat dalam rule, maka paket data
 tersebut dianggap sebagai penyusupan/serangan dan demikian juga
sebaliknya
jika tidak ada dalam rule maka dianggap bukan penyusupan/serangan.
2. Snort Engine
Snort Engine merupakan program yang berjalan sebagai daemon proses
yang
selalu bekerja untuk membaca paket data dan kemudian
membandingkannya
dengan rule snort. Dalam sistem Linux, untuk mendeteksi apakah snort
engine
dalam keadaan aktif atau tidak dengan melihat prosesnya seperti contoh
di
bawah ini:
[root@localhost rules] # ps aux| grep snort
root 3060 0.0 1.3 9188 820 ? S Jun03 0:04 [snort]
Contoh diatas menunjukkan bahwa snort engine dalam keadaan aktif
dengan proses ID 3060 dan dijalankan oleh user "root"
3. Alert
Alert merupakan catatan serangan pada deteksi penyusupan. Jika snort
engine menghukumi paket data yang lewat sebagai serangan, maka snort
engine akan mengirimkan alert berupa log file. Untuk kebutuhan
analisa, alert dapat disimpan di dalam database, sebagai contoh ACID
(Analysis Console for Intrusion Databases) sebagai modul tambahan pada
Snort.
Contoh alert sebagai berikut:

[**] [1:499:3] ICMP Large ICMP Packet [**]

[Classification:

Potentially Bad Traffic] [Priority: 2] 05/09-20:15:14.

895348

10.1.4.113 -> 10.1.3.126 ICMP TTL:128 TOS:0x0 ID:6316

IpLen:20 DgmLen:65528 Type:8 Code:0 ID:512 Seq:3072

ECHO

[Xref => http://www.whitehats.com/info/IDS246]

Contoh alert di atas merupakan alert ketika terdapat paket data dalam ukuran
besar dari IP Address 10.1.4.113 ke 10.1.3.126 yang dianggap sebagai
serangan oleh Snort karena pola paket data tersebut terdapat dalam rule snort.

Hubungan ketiga komponen IDS dijelaskan dalam gambar berikut :

Paket Data

Snort Engine Alert

 Rule Database

Gambar 2.3 Komponen Snort IDS

2.5.2 Perintah - Perintah Snort

a) Mode Sniffer beberapa contoh perintah yang digunakan

adalah :
# snort -v
# snort
-vd
# snort
-vde
Dengan menambahkan beberapa switch -v, -d, -e akan menghasilkan
beberapa keluaran yang berbeda, yaitu :
-v, untuk melihat header TCP/IP paket yang lewat.
-d, untuk melihat isi paket.
-e, untuk melihat header link layer paket seperti ethernet header.

b) Mode Logger di gunakan untuk melihat paket di kemudian hari karena

paket
yang lewat sedemikian cepat di layar terutama jika kita menggunakan
ethernet
berkecepatan 100Mbps, layar anda akan scrolling dengan cepat sekali
susah
untuk melihat paket yang di inginkan, perintah yang digunakan antara lain :

# snort -vde -l /var/log

c) Mode NIDS, mode operasi Snort yang paling rumit adalah sebagai
pendeteksi
 penyusup (intrusion detection) dijaringan yang kita gunakan. Perintah
yang
digunakan adalah :

# snort -d -h 192.168.10.1/16 /var/log/snort -c /etc/snort/snort.conf

d) Untuk melihat alert secara realtime dapat digunakan

perintah :

# tail -f /var/log/snort/alert

2.6 Firewall