Model TCP/IP dan Port Umum

Model OSI (Interkoneksi Sistem Terbuka) membagi komunikasi jaringan menjadi tujuh lapisan: Physical, Data Link, Network, Transport, Session, Presentation, dan Application. Setiap lapisan memiliki tujuan khusus dan hanya berkomunikasi dengan lapisan yang berada tepat di atas dan di bawahnya. Kontrol keamanan dapat diterapkan pada lapisan mana pun, sehingga pemahaman terhadap model ini membantu Anda mengidentifikasi lokasi pengoperasian serangan atau pertahanan tertentu. Mnemonik Please Do Not Throw Sausage Pizza Away membantu Anda mengingat lapisan dari bawah ke atas.

Model TCP/IP (juga disebut model DoD) memadatkan lapisan OSI menjadi empat lapisan: Network Access (lapisan OSI 1–2), Internet (lapisan OSI 3), Transport (lapisan OSI 4), dan Application (lapisan OSI 5–7). Sebagian besar analisis jaringan dan keamanan di dunia nyata menggunakan terminologi TCP/IP. Memahami pemetaan antara kedua model tersebut sangat penting untuk Security+ karena pertanyaan ujian dapat merujuk pada salah satunya saat menjelaskan lokasi pengoperasian serangan atau kontrol.

Alamat IP mengidentifikasi perangkat secara unik di jaringan. IPv4 menggunakan alamat 32-bit yang ditulis dalam notasi desimal bertitik (misalnya, 192.168.1.10), sedangkan IPv6 menggunakan alamat 128-bit. Masker subnet menentukan bagian alamat yang mengidentifikasi jaringan dan bagian yang mengidentifikasi host. Notasi CIDR (misalnya, /24) menyatakan masker subnet secara ringkas. Profesional keamanan menggunakan subnet untuk mensegmentasi jaringan dan membatasi aliran lalu lintas di antara zona kepercayaan.

Sebelum data dipertukarkan melalui TCP, jabat tangan tiga arah membangun koneksi: client mengirim SYN, server membalas dengan SYN-ACK, lalu client menyelesaikan proses dengan ACK. Penyerang mengeksploitasi urutan ini dalam serangan DoS SYN flood dengan mengirim banyak paket SYN tanpa menyelesaikan jabat tangan, sehingga menghabiskan sumber daya server. Memahami perilaku jabat tangan yang normal membantu analis menemukan anomali dalam tangkapan paket dan catatan SIEM.

UDP (User Datagram Protocol) adalah protokol transportasi tanpa koneksi yang mengirimkan paket tanpa membangun sesi terlebih dahulu. UDP lebih cepat, tetapi kurang andal dibandingkan TCP karena tidak ada pengakuan atau pengiriman ulang. Layanan seperti DNS, DHCP, NTP, dan SNMP menggunakan UDP karena latensi rendah lebih penting daripada jaminan pengiriman. Implikasi keamanannya mencakup serangan amplifikasi berbasis UDP, ketika permintaan kecil menghasilkan respons besar yang membanjiri korban.

Port yang umum dikenal (0-1023) dicadangkan untuk layanan umum dan ditetapkan oleh IANA. Menghafalkan port-port yang paling penting sangat diperlukan untuk ujian Security+. Port 22 adalah SSH, port 443 adalah HTTPS, port 80 adalah HTTP, port 25 adalah SMTP, dan port 53 adalah DNS. Mengetahui port yang digunakan suatu layanan membantu analis membedakan lalu lintas yang sah dari serangan serta menulis aturan firewall yang akurat.

Port terdaftar (1024-49151) digunakan oleh aplikasi yang memerlukan port konsisten, tetapi bukan port istimewa. Contohnya adalah 3389 (RDP), 3306 (MySQL), 1433 (MSSQL), dan 8080 (HTTP alternatif). Port Dinamis (sementara) (49152-65535) ditetapkan sementara oleh OS untuk koneksi dari sisi client. Penyerang terkadang menjalankan layanan berbahaya pada port bernomor tinggi untuk menghindari aturan firewall yang hanya memblokir port yang umum dikenal.

ICMP (Internet Control Message Protocol) digunakan untuk diagnostik dan pelaporan kesalahan. Perintah ping menggunakan Echo Request/Reply ICMP untuk menguji keterjangkauan. Meskipun bermanfaat, ICMP dapat dieksploitasi: ping sweep menemukan host yang aktif, pesan pengalihan ICMP dapat memanipulasi tabel perutean, dan kanal terselubung dapat membuat data melewati payload ICMP. Banyak organisasi memblokir ICMP di perimeter, tetapi mengizinkannya secara internal untuk pemecahan masalah.

ARP (Address Resolution Protocol) memetakan alamat IP ke alamat MAC pada segmen jaringan lokal. Saat sebuah host ingin mengirim lalu lintas ke 192.168.1.1, host tersebut menyiarkan permintaan ARP yang menanyakan, 'Siapa yang memiliki 192.168.1.1?' Pemiliknya kemudian menjawab dengan alamat MAC-nya. ARP tidak memiliki autentikasi sehingga rentan terhadap pemalsuan ARP (juga disebut peracunan ARP), ketika penyerang mengirimkan balasan ARP palsu untuk mengalihkan lalu lintas melalui mesinnya dan melakukan serangan man-in-the-middle.

DNS (Domain Name System) menerjemahkan nama host yang mudah dibaca manusia (www.example.com) menjadi alamat IP. Kueri DNS melewati hierarki: client mengajukan kueri ke penyelesai rekursif, yang kemudian mengajukan kueri ke server root, lalu server TLD, dan terakhir nameserver berwenang. Implikasi keamanannya signifikan: peracunan cache DNS menyisipkan catatan palsu, tunneling DNS menyandikan data dalam kueri untuk mengekfiltrasi data atau menjangkau server C2, dan typosquatting mendaftarkan domain yang mirip untuk menipu pengguna melalui phishing.

Dua alat penting untuk menganalisis lalu lintas TCP/IP adalah Wireshark dan Nmap. Wireshark adalah penganalisis paket yang memungkinkan Anda memeriksa frame satu per satu, memfilter berdasarkan protokol, dan mengikuti aliran TCP untuk merekonstruksi sesi. Nmap adalah pemindai jaringan yang mengidentifikasi host aktif, port terbuka, layanan yang berjalan, dan versi OS. Bersama-sama, keduanya memberi profesional keamanan visibilitas terhadap apa yang sebenarnya melintasi jaringan, sehingga memungkinkan deteksi anomali dan konfirmasi bahwa aturan firewall berfungsi sebagaimana mestinya.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa model OSI dan TCP/IP menjelaskan lapisan jaringan tempat kontrol keamanan beroperasi, port yang umum dikenal (0-1023) mengidentifikasi layanan umum dan harus dihafalkan untuk ujian, serta protokol seperti ARP, DNS, dan ICMP masing-masing memiliki risiko keamanan unik, termasuk pemalsuan, peracunan cache, dan tunneling. Selanjutnya, kita akan membahas firewall dan cara firewall menyaring lalu lintas jaringan.