Research Article FORBIS: Forensics Business Information System Journal Published online on: https://journal.
id/index.
php/forbis 1 .
Januari 2024
ANALISIS PERBANDINGAN TEKNIK SIGNATURE-BASED DAN
ANOMALY-BASED DETECTION PADA SNORT DAN ZEEK
DALAM MENCEGAH INTRUSI JARINGAN
Ferry Ananda Febian 1*.
Djumhadi2.
Wahyu Nur Alimyaningtias 3
1,2,3
Fakultas Ilmu Komputer.
Universitas Mulia email: 1ferryananda@students.
id, 2djumhadi@universitasmulia.
nasruddin@universitasmulia.
Correspondence ARTICLE INFO Article History Received : 29 November 2023 Revised : 13 Agustus 2024 Accepted : 18 Agustus 2024 Available online : 18 Agustus 2024 Keywords:
IDS.
Snort.
Zeek.
Signature-Based.
Anomaly-Based ABSTRACK Intrusion detection system (IDS) is a system used to detect abnormal activity on a network.
IDS can use various detection techniques, including signature-based and anomaly-based techniques.
Signature-based techniques use known patterns to detect unwanted activities, while anomaly-based techniques use rules that can help identify activities that do not match predefined patterns.
This research aims to analyze the performance comparison of signaturebased and anomaly-based detection techniques on Snort and Zeek in preventing intrusion.
Snort and Zeek were chosen as the object of research because both are popular IDS and have complete detection The results show that signature-based techniques are more effective in detecting intrusion on the network compared to anomalybased techniques.
However, anomaly-based techniques are better at handling intrusions that are not detected by signature-based The performance of the signature-based technique on Snort is better than that of Zeek, while the anomaly-based detection technique on Zeek is better than that of Snort.
The conclusion of this research shows that both detection techniques have their own advantages and disadvantages, so it is necessary to analyze network conditions and security needs to determine the right detection ABSTRAK Intrusion detection system (IDS) merupakan sistem yang digunakan untuk mendeteksi aktivitas tidak normal pada jaringan.
IDS dapat menggunakan berbagai teknik deteksi, di antaranya teknik signaturebased dan anomaly-based.
Teknik signature-based menggunakan pola-pola yang telah diketahui untuk mendeteksi aktivitas yang tidak diinginkan, sedangkan teknik anomaly-based menggunakan aturanaturan yang dapat membantu mengidentifikasi aktivitas yang tidak sesuai dengan pola yang telah ditentukan sebelumnya.
Penelitian ini bertujuan untuk menganalisis perbandingan kinerja teknik signaturebased dan anomaly-based detection pada Snort dan Zeek dalam mencegah intrusion.
Snort dan Zeek dipilih sebagai objek penelitian karena keduanya merupakan IDS yang populer dan memiliki fitur Page | 8 Research Article FORBIS: Forensics Business Information System Journal Published online on: https://journal.
id/index.
php/forbis 1 .
Januari 2024 deteksi yang lengkap.
Hasil penelitian menunjukkan bahwa teknik signature-based lebih efektif dalam mendeteksi intrusion pada jaringan dibandingkan dengan teknik anomaly-based.
Namun, teknik anomaly-based lebih baik dalam menangani intrusion yang tidak terdeteksi oleh teknik signature-based.
Kinerja teknik signature-based pada Snort lebih baik dibandingkan dengan Zeek, sedangkan teknik anomaly-based detection pada Zeek lebih baik dibandingkan dengan Snort.
Pendahuluan Seiring dengan semakin luasnya penggunaan teknologi informasi dalam berbagai aspek kehidupan bermasyarakat, serangan keamanan pada sistem informasi semakin sering terjadi.
Salah satu jenis serangan yang paling umum adalah serangan pada layer jaringan yang perlindungan seperti kurangnya perangkat lunak keamanan, kebijakan yang tidak ketat dan kurangnya pemahaman untuk mengenali tandatanda serangan.
Hal ini menunjukkan pentingnya penerapan sistem deteksi intrusi untuk mencegah serangan yang merugikan pengguna dan organisasi yang terkait.
Sistem deteksi intrusi yang diimplementasikan dalam penelitian ini adalah dengan penerapan teknik Signature-based dan Anomaly Based dengan menggunakan tools deteksi intrusi yaitu Snort dan Zeek.
Penelitian ini berfokus pada mengindikasikan adanya kebutuhan untuk melindungi sistem jaringan dari serangan dan ancaman yang dapat mengakibatkan kerugian dan pelanggaran keamanan.
Metode Penelitian Metode penelitian yang digunakan adalah penelitian eksperimental yang dilakukan dengan cara membandingkan hasil pengujian dari masing-masing teknik deteksi intrusi.
Langkah-langkah dalam metode penelitian adalah sebagai berikut:
A Pengumpulan data: Data yang digunakan dalam penelitian ini berasal dari hasil pengujian pada sistem jaringan yang telah disiapkan dengan mengaplikasikan teknik signaturePage | 9 based detection dan anomaly-based detection pada Snort dan Zeek.
A Pengolahan data: Data yang telah terkumpul kemudian diolah dan kuantitatif untuk membandingkan efektivitas dari masing-masing teknik deteksi intrusi.
A Interpretasi hasil: Hasil pengujian yang diinterpretasikan untuk menentukan teknik deteksi intrusi mana yang lebih efektif dalam mencegah serangan pada Penelitian ini menggunakan pendekatan kuantitatif dengan mengumpulkan data melalui pengujian pada sistem jaringan yang telah Langkah-langkah dalam metode analisis data penelitian ini adalah sebagai berikut:
A Pengumpulan Data: Langkah pertama mengumpulkan data dari beberapa sumber yang dapat mencakup log jaringan, aliran lalu lintas jaringan, file konfigurasi snort dan zeek, serta setiap perangkat keras atau lunak yang terlibat dalam pengujian.
Data ini dikelompokkan dan disimpan dalam format yang mudah diakses dan A Preprocessing Data: Data kemudian diproses dan dibersihkan dari noise atau data yang tidak relevan.
Hal ini mencakup penghapusan duplikat, penghapusan data yang tidak valid, dan Research Article FORBIS: Forensics Business Information System Journal Published online on: https://journal.
id/index.
php/forbis A A A Pemilihan Fitur: Fitur yang perlu dipilih untuk menganalisis data.
Fitur ini terkait dengan tujuan dari penelitian, dan dapat membantu menggambarkan dan membedakan antara serangan dan lalu lintas normal.
Pemodelan Data: Data kemudian dimodelkan dengan teknik signaturebased dan anomaly-based detection.
Signature-based detection mencari pola sebelumnya, sedangkan anomalybased detection mencari perilaku yang tidak biasa atau tidak wajar.
Evaluasi Model: Setelah model dibangun, evaluasi model dilakukan untuk menilai keefektifannya dalam Evaluasi penggunaan metrik seperti Akurasi (CR).
Presisi (PR), dan False Positive Rate (FPR).
Hasil dan Pembahasan Berikut adalah hasil pengujian dengan melakukan 16 kali serangan (Nmap.
ARP Spoofing.
Sniff Network.
DOS Flood.
Ping Host.
SSL Connectio.
pada server Debian, log serangan dikumpulkan dari tools intrusi Snort dan Zeek.
Januari 2024 Tabel 1.
Hasil deteksi berbasis signature pada Snort Pada tabel 1 memperlihatkan nilai persentase matriks evaluasi Snort dengan metode Signature-Based, memperlihatkan tingkat True Negative yang tinggi dengan nilai 83,33%.
Gambar 2.
Matriks Evaluasi Zeek dengan Metode Signature-Based Pada gambar matriks evaluasi Zeek dengan metode Signature-Based, terlihat bahwa tingkat true positive dan true negative lebih tinggi dibanding false positive dan false negative.
Tabel 2.
Hasil deteksi berbasis signature pada Zeek Gambar 1.
Matriks Evaluasi Snort dengan Metode Signature-Based Pada gambar 1 memperlihatkan grafik matriks evaluasi yang dihasilkan oleh Snort dengan metode deteksi Signature-Based.
Page | 9 Tabel 2 adalah nilai persentase dari hasil deteksi berbasis signature pada Zeek.
Research Article FORBIS: Forensics Business Information System Journal Published online on: https://journal.
id/index.
php/forbis Tabel 3.
Rata-rata hasil deteksi berbasis signatureasis signature pada Zeek 1 .
Januari 2024 Tabel 5.
Hasil deteksi berbasis anomaly pada Snort Nilai rata-rata deteksi berbasis signature diambil dengan menjumlahkan hasil deteksi Snort dan Zeek.
Tabel 4.
Parameter Performa Deteksi Sistem signaturebased Gambar 4.
Matriks Evaluasi Zeek dengan Metode Anomaly-Based Pada gambar matriks evaluasi Zeek dengan metode Anomaly-Based, terlihat bahwa tingkat true positive dan true negative lebih tinggi dibanding false positive dan false negative.
Parameter dan hasil performa deteksi sistem signature-based.
Tabel 6.
Hasil deteksi berbasis anomaly pada Zeek Tabel 7.
Rata-rata hasil deteksi berbasis anomaly Gambar 3.
Matriks Evaluasi Snort dengan Metode Anomaly-Based Pada gambar matriks evaluasi Snort dengan metode Anomaly-Based, terlihat bahwa tingkat false positive dan false negative lebih tinggi dibanding teknik deteksi Signature-Based.
Page | 10 Nilai rata-rata deteksi berbasis anomaly diambil dengan menjumlahkan hasil deteksi Snort dan Zeek.
Research Article FORBIS: Forensics Business Information System Journal Published online on: https://journal.
id/index.
php/forbis Tabel 8.
Parameter Performa Deteksi Sistem anomalybased Setelah menggunakan teknik signature dan anomali, membandingkan efektivitas teknik deteksi signature dan anomali pada Snort dan Zeek.
Hasil analisis digunakan untuk menentukan teknik yang lebih efektif dalam mencegah intrusi pada jaringan.
menganalisis perilaku sistem, dan sering menghasilkan banyak false positive daripada teknik deteksi signature-based.
signature-based cocok diimplementasikan ketika terdapat ancaman yang sudah dikenal dengan baik dan telah diklasifikasikan Selain itu, penelitian ini memiliki beberapa kekurangan, diantaranya pengujian serangan yang kurang banyak, peneliti hanya menggunakan enam jenis serangan sehingga Peneliti menggunakan lingkungan kontainerisasi, oleh karena itu hasil penelitian bisa saja berbeda dengan kondisi sebenarnya pada server production Referensi