Mendeteksi Anomali

Mendeteksi anomali berarti menemukan lalu lintas yang menyimpang dari pola dasar suatu jaringan. Anda tidak dapat mengenali kondisi abnormal sebelum mengetahui kondisi normal.

Pelajaran ini membahas pola umum yang mengungkapkan aktivitas berbahaya.

Pemindaian port tampak sebagai satu sumber yang mengakses banyak port pada sebuah host, sering kali dengan paket SYN yang mendapat balasan RST.

Semburan SYN pada port-port berurutan dari satu IP merupakan ciri khas.

Malware sering mengirim sinyal berkala: malware menghubungi server perintah dan kendali pada interval yang teratur. Petunjuknya adalah koneksi dengan ukuran serupa ke tujuan yang sama secara berkala.

Carilah waktu yang sangat teratur, sesuatu yang tidak pernah terjadi pada penjelajahan manusia.

Penerowongan DNS menyelundupkan data di dalam kueri DNS. Cirinya adalah banyak subdomain panjang yang tampak acak di bawah satu domain.

Volume kueri yang tinggi ke satu domain dengan label tersandi patut dicurigai.

Perhatikan protokol pada port yang salah: SSH pada 443, atau TCP mentah saat Anda mengharapkan HTTPS.

Penyerang menyembunyikan lalu lintas pada port umum agar dapat melewati firewall. Deteksi protokol Wireshark membantu menemukan ketidaksesuaian tersebut.

Sebuah workstation yang tiba-tiba mengirim gigabita data ke luar jaringan dapat menandakan eksfiltrasi data.

Gunakan Percakapan pada Statistik dan urutkan berdasarkan byte untuk menemukan host yang mengirim volume tidak biasa ke IP eksternal.

Dalam HTTP, rangkaian teks User-Agent yang aneh atau kosong dapat menandai alat otomatis atau malware yang tidak berusaha menyamarkan dirinya.

Filter agen yang tidak biasa untuk menemukan klien yang dijalankan oleh skrip.

Banyak paket RST atau SYN berulang tanpa penyelesaian dapat menunjukkan pemindaian, pembobolan dengan mencoba banyak kata sandi, atau upaya penolakan layanan.

Lonjakan koneksi setengah terbuka layak diselidiki.

Pada jaringan lokal, perhatikan anomali ARP: dua IP mengklaim MAC yang sama, atau balasan ARP yang datang dengan cepat. Ini menunjukkan serangan perantara atau pemalsuan ARP.

Wireshark menandai ARP dengan alamat duplikat secara otomatis.

Satu paket yang aneh jarang membuktikan serangan. Bangun keyakinan dengan mengkorelasikan beberapa indikator sepanjang waktu dan pada berbagai host.

Satu sinyal berkala ditambah domain yang diketahui berbahaya dan transfer besar merupakan bukti yang kuat; satu indikator saja lemah.

Selain Wireshark, alat seperti Zeek dan Suricata mengubah paket mentah menjadi catatan terstruktur dan peringatan dalam skala besar.

Alat-alat tersebut mengotomatiskan sebagian besar deteksi anomali yang jika tidak, harus Anda lakukan secara manual.

Uji pemahaman Anda tentang deteksi anomali.

Anda telah belajar mendeteksi anomali dalam lalu lintas.

• Pemindaian port: satu sumber, banyak port.
• Sinyal berkala: koneksi C2 dengan waktu yang teratur.
• Penerowongan DNS: subdomain panjang yang acak.
• Perhatikan protokol pada port yang salah, transfer keluar berukuran besar, banjir RST, dan pemalsuan ARP.
• Korelasikan beberapa indikator; gunakan Zeek dan Suricata dalam skala besar.

Berikutnya, Anda akan mengekstrak berkas dan kredensial dari tangkapan.