A Methodology for Testing Intrusion Detection Systems

Title

A Methodology for Testing Intrusion Detection Systems

Authors

Nicholas J. Puketza, Kui Zhang, Mandy Chung, Biswanath Mukherjee, and Ronald A. Olsson.

Abstract

IDS (Intrusion Detection System) adalahsebuahsistem yang melakukanpengawasanterhadaptrafficjaringandanpengawasanterhadapkegiatan-kegiatan yang mencurigakandidalamsebuahsistemjaringan[1].Jenis-jenis IDS adabermacam-macam, tetapiteknik IDS mana yang paling tepatuntukditerapkandalamsuatusistemdiperlukansuatuteknikpengetesan IDS.Makalahinimembahasmengenaimetodologipengetesan IDS.

Introduction

Ada banyakalasanmengapasuatukomputerdalamjaringanmemerlukansuatulingkungan yang aman.Akan tetapi, kebanyakanlingkungankomputertersebutbelumamanterhadapbanyaknyaintrusi.Kompleksitasperangkatlunakmenjadisalahsatupenyebabnya.Penyebablainnyaadalahsemakinmeningkatnyakebutuhankonektifitasjaringan, yang memungkinkanadanyapenetrasieksternaldaripihak yang tidakdiinginkan.

Ada duapendekatan yang digunakanoleh IDS untukmendeteksitindakan intrusive, yaitudeteksi anomaly dandeteksiterhadappenyalahgunaan.

Pendekatandeteksi anomaly bekerjadenganmengawasi traffic dalamjaringandanmelakukanperbandingan traffic yang terjadidengan rata-rata traffic yang stabil.Sistemakanmelakukanidentifikasiapa yang dimaksuddenganjaringan “normal” [2]dalamjaringantersebut, berapabanyak bandwidth yang biasanyadigunakan di jaringantersebut, protocol apa yang digunakan, port-port danalat-alatapasaja yang biasanyasalingberhubungansatusama lain didalamjaringantersebut, dan member peringatankepada administrator ketikadideteksiada yang tidak “normal”, atausecarasignifikanberbedadarikebiasaan yang ada.

Sedangkanpendekatandeteksiterhadappenyalahgunaanbekerjadenganmengawasiadanyaindikasiterhadapteknik yang bersifatmenyalahgunakanterhadapjaringankomputer[3].

Methods and Materials

Karenabanyaknyajenis-jenisintrusi yang adadalamjaringan, makalahinimemberikansuatumetodologipengetesanberdasarkansimulasiterhadapkomputer yang didalamnyasedangterjadisuatuintrusi.

Dalampenelitianinidigunakanpaket UNIX [4]untuk men-simulasipengguna. Paket UNIX tersebutmenerapkanTcl (Tool command language) [5].

Berikutadalahlangkah-langkahpenerapanmetodologipengetesanterhadap IDS [6] :

• Broad Detection Range :untuksetiapintrusi yang muncul, IDS harusmampumembedakanantarakeadaan normal dengankeadaan yang telahterjangkitiolehintrusi.

Dilakukandengancara :
-        Menciptakansuatuskripintrusi
-        Sebanyakmungkinmengeliminasiaktivitaskomputasi yang tidakberhubungandenganlingkunganpengetesan
-        Memulai IDS
-        Menjalankanskripintrusi.

• Economy in Resource Usage : IDS harusmampuberfungsitanpamenghabiskanbanyaksumberdaya, sepertikebutuhanmemory, waktukomputasidanruang disk.

Dilakukandengancara :
-        Mengeliminasiaktivitas yang tidakberhubungandenganlingkunganpengetesan
-        Memulai IDS
-        Menjalankanskrippengujianuntukmengukurperiodewaktu
-        Menghitung total ruang disk yang digunakanoleh IDS untukmenyimpansession yang terkaitdenganskrip.

• Resilience to Stress : IDS harusmampubekerja, bahkandalamkondisisistem yang sangatpenuhdengantekanan.

Diantaranya :
-        Smokescreen Noise
Adalahaktivitaskomputer yang bukanbagiandarisuatuintrusisecaralangsung. Penyusupmenyamarkansuatuintrusi  kedalamcommand program yang normal.
-        Background Noise
Adalahnoise yang disebabkanolehaktivitaspenggunanyasendiri. Misalnya, suatuintrusimungkinterjadisaat jam kerja, dimanabanyakpengguna yang mengakseskedalamsistemkomputer.
-        High-Volume Sessions
Jika monitor IDS mengamatisetiapcommanddarisesipengguna yang munculatauterkaitdalamjumlahataudalamvolumebesar.
-        Intensity
Adalahpengecekanapakah IDS dipengaruhiolehsession, dimanasessiontersebutdibangkitkanolehbanyakaktivitas yang dilaksanakansecarabersamaan.
-        Load
Adalahpengecekanterhadapefekdariloadataubeban yang dialamiolehhost CPU yang digunakansebagai monitor IDS.

Results

Dari hasilevaluasidiketahuibahwametodologipengujian yang diterapkan, bisamenghasilkaninformasi-informasipentingberkaitandengan IDS dankemampuan yang menyertainya.Selainitu, bisajugadiketahuikelemahan IDS dankelemahandarikonfigurasi IDS itusendiri.

References

[1]   B. Mukherjee, L.T. Heberlein, and K.N. Levitt, “Network Intrusion Detection,” IEEE Network, vol. 8, no. 3, pp. 26-41, May/ June 1994.

[2]   D.E. Denning, “An Intrusion-Detection Model,” IEEE Trans. Software  Eng., vol. 13, no. 2, pp. 222-232, Feb. 1987.

[3]   S. Kumar and E.H. Spafiord, “A Software Architecture to Support Misuse Intrusion Detection,” Technical Report CSD-TR-95-009, Purdue Univ., Mar. 17,1995.

[4]   D. Libes, Exploring Expect: A Tcl-Based Toolkit for Automating  Interactive Programs. O’Reilly & Associates, 1994.

[5]   J.K. Ousterhout, Tcl and the Tk Toolkit.Addison-Wesley, 1994.

[6]   S. Kumar and E.H. Spafford, “An Application of Pattern Matching in Intrusion Detection,” Technical Report CSD-TR-94-013, Purdue Univ., June 17,1994.