Blog teknis maupun non-teknis berkaitan dengan Cybersecurity. Untuk meningkatkan kapabilitas cybersecurity Indonesia - Medium

Cyberkarta - Medium

<h3>Part 1 : Integrasi Wazuh dan CTI. Instalasi MISP Threat Intelligence</h3>
MISP adalah open source threat intelligence yang dapat diinstall secara on premise. MISP dpat dijadikan sebagai sumber informasi tambahan untuk pengayaan informasi untuk Wazuh agar dapat berfungsi sebagai XDR. System requirements untuk MISP adalah sebagai berikut :
<ul>
<li>2 CPU</li>
<li>4GB RAM</li>
<li>150 GB Storage</li>
</ul>
Instalasi menggunakan docker, namun harus menggunakan package dari dockerhub. Jika instalasi dari apt resources (untuk Ubuntu) kemungkinan akan mendapatkan error saat build images. Jadi pertama-tama install dulu docker engines dengan langkah-langkah berikut.
Install docker engine dari dockerhub
<pre>for pkg in docker.io docker-doc docker-compose podman-docker containerd runc; do apt-get remove $pkg; done</pre>
<pre># Add Docker's official GPG key: apt-get update apt-get install ca-certificates curl install -m 0755 -d /etc/apt/keyrings sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc sudo chmod a+r /etc/apt/keyrings/docker.asc</pre>
<pre># Add the repository to Apt sources: echo \\ "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] &lt;https://download.docker.com/linux/debian&gt; \\ $(. /etc/os-release &amp;&amp; echo "$VERSION_CODENAME") stable" | \\ tee /etc/apt/sources.list.d/docker.list &gt; /dev/null apt-get update</pre>
<pre>sudo apt-get install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin</pre>
Setelah docker engine siap, kita bisa melanjutkan ke instalasi MISP. Langkah-langkahnya adalah sebagai berikut.
Clone repositori MISP
<pre>git clone &lt;https://github.com/MISP/misp-docker&gt; &amp;&amp; cd misp-docker</pre>
Ubah parameter di .env
<pre>cp template.env .env nano .env</pre>
<pre>## ubah bagian ini MISP_BASEURL=https://&lt;misp-ip-address&gt;</pre>
MISP base url ini harus tepat karena tampilan dari UI MISP bergantung dari path yang ditentukan di sini.
Pada docker compose, service misp, hanya expose https
<pre>nano docker-compose.yml</pre>
<pre>## ubah ports</pre>
<pre> #"80":"80" "443":"443"</pre>
Build image
<pre>docker compose build</pre>
Up image
<pre>docker compose up -d</pre>
Follow logs dengan menggunakan command
<pre>docker logs &lt;ID&gt; --follow</pre>
Setelah muncul log berupa MISP is live now, user can login, buka UI MISP
<pre>https://base_url_MISP</pre>
Login menggunakan credential default yaitu username: <a href="mailto:admin@admin.test">admin@admin.test</a> dan password: admin. Segera ganti password dengan password yang lebih kuat.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*XD1apFjt8zo4yk24o4_uCA.png"><figcaption>change password menu</figcaption></figure>Ambil feeds dari <a href="https://github.com/MISP/MISP/blob/2.4/app/files/feed-metadata/defaults.json">sini</a> untuk memasukkan sumber data. Copy raw value lalu pase di Sync Actions &gt; Feeds &gt; Import Feeds from JSON.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*jH3dpChUwWP1BMuuIL3eNw.png"></figure>Akan muncul pada List Feeds daftar sumber data
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*4Cnn6kIj5XhbCpp8WJuwxQ.png"></figure>Centang lalu klik Enable feeds untuk mengaktifkan sumber data, lalu klik fetch and store all feed data untuk mendownload data yang disediakan setiap sumber feeds.
Kita bisa melihat data yang diambil dari feeds pada Event Actions.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*kFG5D7-6cZwCMYapCrPl1g.png"></figure>Dan dapat melihat attributes yang muncul untuk setiap events di List Attributes.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*3exWVNzi-ImrK7ijOrWtNQ.png"></figure>List attributes ini yang akan dijadikan lookup value oleh Wazuh untuk pencarian IoC.
Agar Wazuh bisa otomatis lookup, butuh Authkey untuk akses API. Buat Authkey untuk akses API MISP, lokasi di Administration &gt; List Auth Keys &gt; Add Authentication Key
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*HbQRbXSA2XIhmfCVtHVwPA.png"></figure>Centang read-only jika ingin membatasi akses.
Tes API.
<pre>curl -k --header "Authorization: &lt;API-key&gt;" \ --header "Accept: application/json" \ --header "Content-Type: application/json" \ https://&lt;MISP-IP&gt;/attributes/restSearch/value:bayuskylabs.com</pre>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*z7KpqwVYGVc-7i2Sl7ec7g.png"></figure>Jika attributes kosong berarti tidak ada security event terkait dengan lookup value di MISP.
Jadwalkan untuk siknronisasi feeds setiap tengah malam, supaya bisa feeds selalu up to date datanya.
<pre>00 0 * * * /usr/bin/curl -XPOST --insecure --header "Authorization: **YOUR_API_KEY**" --header "Accept: application/json" --header "Content-Type: application/json" https://**YOUR_MISP_ADDRESS**/feeds/fetchFromAllFeeds</pre>
MISP instance sudah siap dijadikan sumber data untuk Wazuh. Akan berlanjut ke Part 2 untuk mengkoneksikan Wazuh dengan MISP.
Untuk Integrasi dan pemanfaatan MISP ini juga saya bahas di Course Wazuh 2 di Cyberkarta : <a href="https://www.cyberkarta.com/kelas/Production-Ready-SIEM-dan-SOC-Menggunakan-Wazuh-dan-Graylog">Production Ready SIEM dan SOC Menggunakan Wazuh dan Graylog (cyberkarta.com)</a> Bagi yang ingin mendalami CTI, akan ada live course tentang CTI di Cyberkarta. Stay tuned.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=639efd9f43e7" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/part-1-integrasi-siem-dan-cti-instalasi-misp-threat-intelligence-639efd9f43e7">Part 1 : Integrasi SIEM dan CTI. Instalasi MISP Threat Intelligence</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Part 1 : Integrasi SIEM dan CTI. Instalasi MISP Threat Intelligence

12 Juni 2024, Wazuh melakukan rilis versi terbarunya, yaitu Wazuh versi 4.8.0. Terdapat banyak revamp dan reposition untuk tampilan Wazuh supaya lebih mudah mengelompokkan security events. Artikel ini akan membahas instalasi dan quick look untuk Versi terbaru Wazuh.
Requirements
System requirements untuk Wazuh 4.8.0 masih sama dengan versi sebelumnya yaitu untuk testing menggunakan minimal resource sebagai berikut:
<ul>
<li>2 core CPU/vCPU</li>
<li>4GB RAM</li>
<li>50GB Storage</li>
</ul>
Saya melakukan testing instalasi di 2 lokasi: idcloudhost dan local VM (VirtualBox). Untuk langkah instalasi ini masih sama dengan versi sebelmnya, saya akan bahas menjadi 2 yaitu quickstart dan assissted installation.
Quickstart
Metode Quickstart ini adalah metode instalasi one liner dengan listen IP di 127.0.0.1 di Wazuh Manager dan Wazuh Indexer. Sementara Wazuh dashboard menggunakan IP 0.0.0.0 yang artinya menerima semua koneksi. Tinggal copy paste saja dengan catatan jalankan ini pada akun yang memiliki privilege root.
<pre>curl -sO https://packages.wazuh.com/4.8/wazuh-install.sh &amp;&amp; sudo bash ./wazuh-install.sh -</pre>
Setelah selesai, akan muncul username dan password untukAkses Wazuh Dashboard.
Assisted Installation
Assisted installation menggunakan Wazuh Install Script dari wazuh untuk meginstal setiap komponen Wazuh. Langkah-langkahnya adalah sebagai berikut:
<ul><li>Download file konfigurasi dan installer</li></ul>
<pre>curl -sO https://packages.wazuh.com/4.8/wazuh-install.sh curl -sO https://packages.wazuh.com/4.8/config.yml</pre>
<ul><li>Modifikasi config.yml</li></ul>
<pre>nodes: # Wazuh indexer nodes indexer: - name: node-1 ip: "192.168.1.9" #- name: node-2 # ip: "&lt;indexer-node-ip&gt;" #- name: node-3 # ip: "&lt;indexer-node-ip&gt;" # Wazuh server nodes # If there is more than one Wazuh server # node, each one must have a node_type server: - name: wazuh-1 ip: "192.168.1.9" # node_type: master #- name: wazuh-2 # ip: "&lt;wazuh-manager-ip&gt;" # node_type: worker #- name: wazuh-3 # ip: "&lt;wazuh-manager-ip&gt;" # node_type: worker # Wazuh dashboard nodes dashboard: - name: dashboard ip: "192.168.1.9"</pre>
IP 192.168.1.9 adalah IP VM untuk wazuh manager.
<ul><li>Generate config file</li></ul>
<pre>bash wazuh-install.sh --generate-config-files</pre>
<ul><li>Instalasi Wazuh Indexer</li></ul>
<pre>bash wazuh-install.sh --wazuh-indexer node-1</pre>
<ul><li>Start Cluster</li></ul>
<pre>bash wazuh-install.sh --start-cluster</pre>
<ul><li>Instalasi Wazuh Server</li></ul>
<pre>bash wazuh-install.sh --wazuh-server wazuh-1</pre>
<ul><li>Instalasi Wazuh Dashboard</li></ul>
<pre>bash wazuh-install.sh --wazuh-dashboard dashboard</pre>
<ul><li>Akses Wazuh Interface di https://192.168.1.9</li></ul>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*KYr745_KZLSUegOFOAz6FA.png"><figcaption>Tampilan Dashboard Utama</figcaption></figure>Quick Look
Tampilan Wazuh lebih fresh karena Wazuh melakukan refactor dan regrouping terhadapa user interfacse-nya. Bagian Security Events, berpindah menjadi Threat Hunting
<figure><img alt="" src="https://cdn-images-1.medium.com/max/588/1*T2Gz4_r6kFRf8lm2OAvKQg.png"><figcaption>Threat Hunting</figcaption></figure>Sidebar pun berubah. Sebelumnya sidebar wazuh menunjukkan aplikasi di dalamnya, seperti Opensearch dan Wazuh, sekarang sudah dikelompokkan menjadi beberapa event group. Jadi Wazuh menu yang tadinya ada di top menu, sekarang menjadi satu di dalam sidebar. Ini memudahkan untuk melakukan management karena semua menjadi satu lokasi sidebar. Oh iya untuk sidebar ini juga t
<figure><img alt="" src="https://cdn-images-1.medium.com/max/522/1*4yiQ85gGPWJBEgdf669xnQ.png"></figure>Di bagian Compliance, Wazuh menambahkan TSC sebagai sarana untuk SOC Compliance Ready.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/905/1*L95RJJIZtyiv_hKGDAw19Q.png"></figure>Demikian adalah proses instalasi dan quick look untuk Wazuh versi 4.8.0. Semoga dengan artikel ini, pembaca menjadi paham dan tidak bingung ketika posisi menu favoritnya berubah. Untuk release notes lengkap ada di <a href="https://documentation.wazuh.com/current/release-notes/release-4-8-0.html">4.8.0 Release notes — 12 June 2024–4.x · Wazuh documentation</a>
Selamat ngoprek dan mencoba.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=19e39e476842" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/new-wazuh-4-8-0-installation-and-quick-look-19e39e476842">NEW! Wazuh 4.8.0 Installation and Quick Look</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

NEW! Wazuh 4.8.0 Installation and Quick Look

Melanjutkan tulisan saya di <a href="https://medium.com/@bayusangkaya/integrasi-wazuh-alert-dengan-telegram-bot-dc162e3aa3">Integrasi Wazuh Alert dengan Telegram Bot | by Bayu Sangkaya | Medium</a>, artikel kali ini saya akan merapikan dan memformat notifikasi menggunakan metode Markdown formatting.
Jika melihat notifikasi telegram seperti ini, tentu akan menyulitkan membacanya bukan?
<figure><img alt="" src="https://cdn-images-1.medium.com/max/632/1*vRRdhTKhKjVjDkfmAfx7Hg.png"></figure>Webhook dari telegram dapat kita tambahkan dengan formatting Markdown, sehingga alert dari Wazuh pun akan lebih tertata dan enak dibaca. Mari kita mulai.
Kita buat dulu fungsi untuk membuat pesan berisi informasi alert yang akan dikirimkan. Fungsi ini isinya adalah mengambil informasi alert lalu menyusun pesan dalam format Markdown.
<pre>def create_message(alert_json): # Get alert information, use empty string if field didn't exist title = alert_json['rule']['description'] if 'description' in alert_json['rule'] else '' description = alert_json['full_log'] if 'full_log' in alert_json else '' description.replace("\\n", "\n") alert_level = alert_json['rule']['level'] if 'level' in alert_json['rule'] else '' group_array = ', '.join(alert_json['rule']['groups']) if 'groups' in alert_json['rule'] else '' groups=group_array.replace("_"," ") #replace underscore with space, otherwise it will produce a parsing error message rule_id = alert_json['rule']['id'] if 'rule' in alert_json else '' agent_name = alert_json['agent']['name'] if 'name' in alert_json['agent'] else '' agent_id = alert_json['agent']['id'] if 'id' in alert_json['agent'] else '' agent_ip = alert_json['agent']['ip'] if 'ip' in alert_json['agent'] else '' src_ip = alert_json['data']['srcip'] if 'srcip' in alert_json['data'] else '' # Format message with markdown msg_content = f'*{title}*\n\n' msg_content += f'_{description}_\n\n' msg_content += f'*Groups:* {groups}\n' if len(groups) &gt; 0 else '' msg_content += f'*Source IP:* {src_ip}\n' if len(src_ip) &gt; 0 else '' msg_content += f'*Rule:* {rule_id} (Level {alert_level})\n\n' msg_content += f'*Agent:* {agent_name} ({agent_id})\n' if len(agent_name) &gt; 0 else '' msg_content += f'*Agent IP:* {agent_ip}' if len(agent_ip) &gt; 0 else '' msg_data = {} msg_data['chat_id'] = CHAT_ID msg_data['text'] = msg_content msg_data['parse_mode'] = 'markdown' # Debug information with open('/var/ossec/logs/integrations.log', 'a') as f: f.write(f'MSG: {msg_data}\n') return json.dumps(msg_data) </pre>
Output dari funsgi ini adalah arraymsg_data yang berisi Chat ID, Text, dan Parsing mode. Ketiga hal tersebut menjadi parameter dalam POST message melalui webhook Telegram. Sehingga saat dikirimkan, pesan sudah berformat Markdown. Hasil pesannya adalah seperti ini:
<figure><img alt="" src="https://cdn-images-1.medium.com/max/668/1*gnvSSLOr1HHLkFXyN6zAuw.png"></figure>Jika text tertata seperti itu, tentu saja akan lebih mudah dibaca bukan?
Source code full bisa dilihat di bawah ini.
<pre>#!/usr/bin/env python import sys import json import requests from requests.auth import HTTPBasicAuth import hashlib #CHAT_ID="-xxxx" --- change with your chat id CHAT_ID="-xxxxx" def create_message(alert_json): # Get alert information, use empty string if field didn't exist title = alert_json['rule']['description'] if 'description' in alert_json['rule'] else '' description = alert_json['full_log'] if 'full_log' in alert_json else '' description.replace("\\n", "\n") alert_level = alert_json['rule']['level'] if 'level' in alert_json['rule'] else '' group_array = ', '.join(alert_json['rule']['groups']) if 'groups' in alert_json['rule'] else '' groups=group_array.replace("_"," ") #replace underscore with space, otherwise it will produce a parsing error message rule_id = alert_json['rule']['id'] if 'rule' in alert_json else '' agent_name = alert_json['agent']['name'] if 'name' in alert_json['agent'] else '' agent_id = alert_json['agent']['id'] if 'id' in alert_json['agent'] else '' agent_ip = alert_json['agent']['ip'] if 'ip' in alert_json['agent'] else '' src_ip = alert_json['data']['srcip'] if 'srcip' in alert_json['data'] else '' # Format message with markdown msg_content = f'*{title}*\n\n' msg_content += f'_{description}_\n\n' msg_content += f'*Groups:* {groups}\n' if len(groups) &gt; 0 else '' msg_content += f'*Source IP:* {src_ip}\n' if len(src_ip) &gt; 0 else '' msg_content += f'*Rule:* {rule_id} (Level {alert_level})\n\n' msg_content += f'*Agent:* {agent_name} ({agent_id})\n' if len(agent_name) &gt; 0 else '' msg_content += f'*Agent IP:* {agent_ip}' if len(agent_ip) &gt; 0 else '' msg_data = {} msg_data['chat_id'] = CHAT_ID msg_data['text'] = msg_content msg_data['parse_mode'] = 'markdown' #Debug information with open('/var/ossec/logs/integrations.log', 'a') as f: f.write(f'MSG: {msg_data}\n') return json.dumps(msg_data) alert_file = open(sys.argv[1]) hook_url = sys.argv[3] # Read the alert file alert_json = json.loads(alert_file.read()) alert_file.close() # Send the request msg_data = create_message(alert_json) headers = {'content-type': 'application/json', 'Accept-Charset': 'UTF-8'} response = requests.post(hook_url, headers=headers, data=msg_data) print("telegram : ",msg_data) #Debug information with open('/var/ossec/logs/integrations.log', 'a') as f: f.write(f'telegram response: {response}\n') sys.exit(0)</pre>
Selamat ngoprek.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=feccbe68b0b8" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/merapikan-notifikasi-telegram-dari-wazuh-alert-feccbe68b0b8">Merapikan notifikasi Telegram dari Wazuh Alert</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Merapikan notifikasi Telegram dari Wazuh Alert

<figure><img alt="" src="https://cdn-images-1.medium.com/max/962/1*SDCrXXG7my4CmACVVYXilw.png"><figcaption>Virtualbox Networking</figcaption></figure>Wazuh merupakan platform cybersecurity yang gratis dan opensource, sehingga kita bisa mempelajarinya dengan mudah melalui virtualisasi. Platform virtualisasi (hypervisor) untuk desktop client yang populer ada 2: Virtualbox dan VMWare. Virtualbox akan paling umum digunakan, hal juga karena Virtualbox merupakan software virtualisasi yang gratis.
Jaringan LAN dalam Virtualisasi di dalam hypervisor juga dilakukan secara virtual. Namun jaringan ini sangat berpengaruh terhadap komunikasi antar VM, VM dengan host, ataupun VM ke internet. Dalam Virtualbox terdapat beberapa mode networking yang bisa dipilih, yang paling sering dipakai adalah mode NAT (default), Bridge, dan Host-only.
Dalam praktik Wazuh, VM yang digunakan harus memiliki IP Address yang tetap dan tidak berubah. Hal ini dikarenakan komunikasi antar komponen Wazuh diamankan menggunakan SSL dengan IP Address sebagai pengenalnya. Jika IP Address VM berubah, makan komunikasi antar komponen Wazuh, maupun Wazuh server dengan Wazuh agent akan terganggu dan harus dilakukan penyesuaian ulang. Sealin itu, Wazuh dashboard dan SSH juga harus bisa diakses dari Host. Dengan prasyarat seperti itu, maka mode networking untuk Wazuh Lab harus memenuhi persyaratan berikut.
<ol>
<li>VM harus bisa terhubung dengan internet untuk instalasi Wazuh</li>
<li>VM harus bisa terhubung dengan Host PC untuk instalasi dan dashboard</li>
<li>VM harus bisa menghubungi VM lainnya untuk test monitoring.</li>
</ol>
Mode networking yang bisa memenuhi ketiga syarat tersebut dalah sebagai berikut.
<h4>Bridge</h4>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1023/1*hfpp1PcawLYuX1mnDGFH3w.png"><figcaption>Mode Bridge</figcaption></figure>Mode network Bridge akan memberikan VM IP address yang satu segmen dengan Host dan keduanya tetap bisa terhubung dengan internet. Hal ini memudahkan pengaturan karena tanpa pengaturan tambahan pun Host PC dengan Wazuh server bisa saling komunikasi. Hanya saja mode Bridge itu mendapatkan IP dari DHCP server yang didapat oleh Host PC. Jadi ketika Host PC berpindah lokasi atau segmen, maka VM yang menggunakan mode Bridge pun akan berubah IP Addressnya dan membutuhkan pengaturan ulang.
Selain itu, mode Bridge juga akan membuat VM ter-ekspos ke Jaringan di mana Host PC berada, sehingga dianggap kurang aman. Namun Bridge tetap bisa digunakan untuk pembuatan Lab jika dan hanya jika Host PC memang bersifat statis dan tidak berpindah tempat sehingga baik Host PC maupun VM mendapatkan IP Address dalam satu segmen. Selain itu juga untuk menggunakan bridge harus dipastikan dulu bahwa penggunaan jaringan berada di jaringan privat untuk meminimalisir kemungkinan VM terekspos ke pengguna lainnya.
NAT + Host-only
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*aMaKltoa2IGIFokICkvkYw.png"><figcaption>NAT + Host-only networking</figcaption></figure>NAT mode merupakan network default untuk VM Virtualbox. Melalui NAT, setiap VM bisa terhubung ke internet, namun tidak bisa mendapatkan koneksi antar VM maupun VM dengan Host. Namun NAT menawarkan isolasi yang baik terhadap pengguna di luar Host PC. Untuk mengatasi kekurangan tersebut, akan lebih baik jika menggunakan 1 virtual ethernet lagi yang terhubung melalui jaringan Host-only.
Jaringan Host-only ini hanya bisa digunakan untuk komunikasi antar VM maupun VM dengan host. Pilihan ini merupakan pilihan yang paling aman dan menyeluruh. Aman karena VM tidak terekspos ke pengguna lain di mana Host PC berada karena berbeda segmen sama sekali dengan Host PC, namun tetapsemua persyaratan network untuk Lab Praktikum Wazuh bisa tercapai. Pengaturan Host only cukup mudah, tinggal mengaktifkan satu ethernet lagi untuk mode host only agar dapat dilakukan SSH maupun copy-paste perintah melalui Terminal SSH.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/713/1*cpFEtyTCvIFHF3vy05W_3A.png"><figcaption>NAT Mode</figcaption></figure><figure><img alt="" src="https://cdn-images-1.medium.com/max/713/1*-QE2-ocxlWbdQAwDhJXGzw.png"><figcaption>Host-only mode</figcaption></figure>Selain kedua hal tersebut, pastikan juga antara Wazuh server dan wazuh agent bisa terhubung melalui port 1515 (untuk enrollment agent) dan 1514 (untuk pelaporan antara agent dan server). Silakan pilih mode networking yang sesuai dengan kondisi lab yang anda miliki. Selamat ngoprek.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=b49f9f5de989" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/memilih-network-mode-pada-virtualbox-untuk-pembuatan-lab-wazuh-b49f9f5de989">Memilih Network Mode pada VirtualBox untuk Pembuatan Lab Wazuh</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Memilih Network Mode pada VirtualBox untuk Pembuatan Lab Wazuh

<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*g_OYbEXQBWwpcBuS2b828g.jpeg"></figure>Ketika pertama kali terjun dalam dunia cyber security, biasanya akan dihadapkan banyak istilah baru beserta tools yang termasuk di dalamnya. Tentu saja hal baru ini bisa saja membuat mereka yang baru terjun merasa bingung, apalagi istilah dan toolsnya mirip-mirip. Artikel kali ini akan membahas mengenai perbedaan dalam istilah-istilah tersebut. Yuk kita bahas satu per satu.
<h4>Intrusion Detection System (IDS)</h4>
IDS berfungsi sebagai penjaga atau detector di jaringan, berfungsi untuk memantau aktivitas dan mencari tanda-tanda intrusi. Saat mendeteksi aktivitas mencurigakan, IDS akan memberi tahu atau meberikan alert kepada SOC team, agar dapat diinvestigasi lebih lanjut. IDS tidak secara langsung menghentikan serangan, tetapi memberikan informasi valuable untuk mencegah serangan di masa depan.
IDS dapat dibagi menjadi dua jenis: Network-based IDS (NIDS) yang memonitor lalu lintas jaringan, dan Host-based IDS (HIDS) yang memonitor aktivitas di dalam sistem atau perangkat.
Contoh:
<ul>
<li>
Snort dan Suricata: Salah satu contoh IDS yang populer dan bersifat open-source, digunakan untuk mendeteksi serangan berbasis jaringan.</li>
<li>
OSSEC: Merupakan HIDS yang bersifat open-source dan mampu mendeteksi ancaman pada sistem.</li>
<li>
Wazuh: Merupakan HIDS berbasis ossec rules ditambah dengan analysisd untuk mendeteksi ancaman pada sistem.</li>
</ul>
<h4>Intrusion Prevention System (IPS)</h4>
IPS bekerja sama dengan IDS, tetapi dengan kemampuan tambahan untuk mencegah serangan secara langsung. Saat IPS mendeteksi aktivitas berbahaya, IPS dapat memblokir traffic atau menutup port yang terkena dampak. Hal ini membantu mencegah kerusakan yang disebabkan oleh serangan siber.
IPS bekerja secara real-time untuk menghentikan atau memblokir aktivitas berbahaya dengan memodifikasi aturan firewall, mengisolasi bagian tertentu dari jaringan, atau menghentikan proses yang mencurigakan.
Contoh:
<ul>
<li>
Cisco FirePOWER: Merupakan contoh IPS yang dapat mengidentifikasi dan mencegah berbagai jenis ancaman.</li>
<li>
McAfee Network Security Platform: Menyediakan perlindungan IPS dengan kemampuan deteksi dan pencegahan ancaman tingkat lanjut.</li>
<li>
Wazuh: Memiliki fungsi active response yang dapat digunakan untuk action ketika ada ancaman.</li>
</ul>
<h4>Security Information and Event Management (SIEM)</h4>
SIEM bertindak sebagai pusat intelijen untuk keamanan siber atau SOC. SIEM mengumpulkan data dari berbagai sumber, seperti log jaringan, log endpoint, dan log aplikasi. Selanjutnya SIEM menganalisisnya untuk mencari pola dan anomali yang menunjukkan aktivitas berbahaya. SIEM dapat membantu Anda mengidentifikasi serangan di tahap awal dan menyelidikinya dengan lebih cepat.
SIEM membantu dalam deteksi ancaman dengan mengkorelasikan data dari berbagai sumber dan memberikan wawasan serta analisis mendalam mengenai pola serangan. SIEM juga memainkan peran penting dalam kepatuhan (compliance) dengan regulasi keamanan.
Contoh:
<ul>
<li>
Splunk: Platform SIEM yang kuat dengan kemampuan analisis data besar dan korelasi kejadian.</li>
<li>
IBM QRadar: SIEM yang terkenal dengan fitur analisis ancaman dan manajemen insiden.</li>
<li>
Wazuh: Megumpulkan seluruh log melalui agent yang terinstall dalam endpoint.</li>
</ul>
<h4>Endpoint Detection and Response (EDR)</h4>
EDR berfokus pada perlindungan endpoint Anda, seperti laptop, desktop, dan server. EDR memonitor aktivitas endpoint untuk mencari tanda-tanda malware, ransomware, dan serangan lainnya. Saat EDR mendeteksi ancaman, EDR dapat melakukan tindakan seperti mengisolasi endpoint yang terinfeksi, menghentikan proses berbahaya, dan menghapus malware.
EDR fokus pada pemantauan dan deteksi ancaman pada endpoint (seperti komputer, laptop, dan perangkat mobile). EDR biasanya menyediakan fitur seperti analisis perilaku, deteksi anomali, dan forensik digital.
Contoh:
<ul>
<li>
CrowdStrike Falcon: Solusi EDR yang terkenal dengan kemampuan deteksi dan respon ancaman secara real-time.</li>
<li>
SentinelOne: Menyediakan alat EDR dengan analisis perilaku yang kuat dan visibilitas yang mendalam.</li>
</ul>
<h4>Extended Detection and Response (XDR)</h4>
XDR adalah solusi keamanan siber terbaru yang mengintegrasikan kemampuan IDS, IPS, SIEM, dan EDR. XDR memberikan pandangan yang lebih luas tentang aktivitas keamanan di seluruh jaringan dan endpoint Anda. Hal ini memungkinkan Anda untuk mendeteksi dan merespons ancaman dengan lebih cepat dan efektif, bahkan di lingkungan yang kompleks dan hybrid.
XDR bertujuan untuk memberikan visibilitas yang lebih luas dan mendalam serta koordinasi yang lebih baik dalam merespon ancaman yang kompleks. XDR menyatukan berbagai alat keamanan (seperti EDR, NDR, SIEM, dan lainnya) ke dalam satu platform terpadu untuk meningkatkan efisiensi dan efektivitas deteksi dan respon ancaman.
Contoh:
<ul>
<li>
Palo Alto Networks Cortex XDR: Platform XDR yang mengintegrasikan data dari berbagai sumber untuk deteksi dan respon yang lebih baik.</li>
<li>
Trend Micro XDR: Menyediakan visibilitas lintas endpoint, email, server, cloud workloads, dan jaringan untuk meningkatkan deteksi dan respon ancaman.</li>
<li>
Wazuh XDR: Wazuh bisa diintegrasikan dengan pihak ketiga untuk memperkaya informasi yang digunakan untuk analysis. Contohnya dengan MISP ataupun Virustotal.</li>
</ul>
Dengan memahami perbedaan, fungsi, dan contoh dari IDS, IPS, SIEM, EDR, dan XDR, organisasi dapat memilih solusi yang paling sesuai untuk kebutuhan keamanan sibernya dan melindungi aset digitalnya dari berbagai ancaman yang terus berkembang.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=e9be0fc62ef0" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/mengenal-perbedaan-ids-ips-siem-edr-dan-xdr-dalam-dunia-cybersecurity-e9be0fc62ef0">Mengenal Perbedaan IDS, IPS, SIEM, EDR, dan XDR dalam Dunia Cybersecurity</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Mengenal Perbedaan IDS, IPS, SIEM, EDR, dan XDR dalam Dunia Cybersecurity

<h3>Layanan Kami</h3>
<ul>
<li>
Pelatihan Cybersecurity: <a href="https://cyberkarta.com/">https://cyberkarta.com</a>
</li>
<li>
Penetration Testing: <a href="https://pentest.cyberkarta.com/">https://pentest.cyberkarta.com</a>
</li>
<li>
Monitoring serangan siber? contact us via <a href="mailto:service@cyberkarta.com">service@cyberkarta.com</a>
</li>
<li>
Ada serangan siber? contact us via <a href="mailto:service@cyberkarta.com">service@cyberkarta.com</a>
</li>
</ul>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/0*g2-0ZCNPRUuj5ZLP"><figcaption>Photo by <a href="https://unsplash.com/@cheaousa?utm_source=medium&amp;utm_medium=referral">Ousa Chea</a> on <a href="https://unsplash.com/?utm_source=medium&amp;utm_medium=referral">Unsplash</a></figcaption></figure><h3>Active Directory</h3>
Active Directory (AD) adalah layanan direktori yang dikembangkan oleh Microsoft untuk jaringan domain Windows. AD juga merupakan database dengan jenjang hierarki yang menyimpan informasi objek pada jaringan, contohnya pengguna, komputer, printer, dan grup.
Manfaat Active Directory:
<ul>
<li>
Centralized management: AD menyediakan satu titik kendali untuk mengelola pengguna, komputer, dan objek lain di jaringan. Hal ini dapat menghemat waktu dan tenaga bagi administrator.</li>
<li>
Improved security: AD menyediakan sejumlah fitur keamanan, seperti autentikasi, Role-based Access Control (RBAC), dan audit. Fitur-fitur ini dapat membantu melindungi keamanan jaringan dari percobaan akses ilegal.</li>
<li>
Simplified deployment and management of applications: administrator dapat menggunakan AD untuk mendeploy software ke jaringan active directory.</li>
<li>
Enhanced scalability: AD dapat dikembangkan untuk mendukung jaringan besar dengan ribuan pengguna dan komputer.</li>
</ul>
Komponen pendukung Active Directory
<ul>
<li>
Domain Controller: Domain Controller adalah server yang menjalankan layanan Active Directory. Domain Controller bertanggung jawab untuk menyimpan database Active Directory dan menyediakan layanan autentikasi dan otorisasi.</li>
<li>
Forest: Forest adalah kumpulan domain yang dikelola oleh kumpulan policy dan konfigurasi yang sama.</li>
<li>
Tree: Tree adalah grup domain yang memiliki skema dan policy.</li>
<li>
Schema: Schema adalah kumpulan aturan yang menentukan jenis objek yang dapat disimpan di Active Directory dan atribut yang dapat dimiliki oleh objek tersebut.</li>
<li>
Attribute: Attribute adalah informasi tentang objek di Active Directory.</li>
<li>
Object: Object adalah entitas yang dapat diidentifikasi pada Active Directory. Contoh objek adalah akun pengguna, komputer, printer, dan grup.</li>
</ul>
<h3>Active Directory Lab untuk Pentester</h3>
Active Directory (AD) yang tidak dilindungi dapat menimbulkan ancaman signifikan terhadap keamanan informasi. Tanpa perlindungan yang tepat, AD dapat dengan mudah disusupi, memberikan penyerang akses ke data dan sistem sensitif. Penyerang bisa mendapatkan akses tidak sah ke kredensial pengguna, memungkinkan mereka meniru identitas pengguna dan melakukan lateral movement menuju entitas yang terdaftar pada AD. Bahkan, mereka dapat memasang malware pada domain controller, untuk menciptakan persistence dan mempercepat penyebaran malware.
Diperkirakan, sekitar 90% perusahaan dari Fortune 1000 menggunakan Active Directory (AD). Selain itu banyak perusahaan kelas menengah juga menggunakan layanan AD. Pada beberapa sertifikasi profesional, seperti OSCP, CEH, dan Pentest+, mewajibkan pentester untuk memahami Active Directory. Melihat dari kebutuhan dan risiko keamanan tersebut, sangat disarankan kepada pentester untuk bereksperimen dan menguji keamanan dari AD
Salah satu cara untuk bereksperimen pada Active Directory adalah membuat lab sendiri. Berikut adalah beberapa contoh serangan yang dapat diuji oleh pentester dalam lab AD:
<ul>
<li>Serangan pass-the-hash</li>
<li>Serangan Golden Ticket</li>
<li>Serangan Kerberos</li>
<li>Serangan terhadap grup dan OU</li>
<li>Serangan terhadap objek Active Directory lainnya</li>
</ul>
<h3>Kebutuhan Sistem</h3>
Kebutuhan Hardware:
<ol>
<li>80 GB storage</li>
<li>16 GB RAM</li>
<li>CPU dengan 8 core</li>
</ol>
Kebutuhan Software &amp; Sistem Operasi:
<ol>
<li>Hypervisor dapat menggunakan VMware Workstation Pro 17: <a href="https://www.vmware.com/products/workstation-pro/workstation-pro-evaluation.html">https://www.vmware.com/products/workstation-pro/workstation-pro-evaluation.html</a> atau VirtualBox: <a href="https://www.virtualbox.org/wiki/Downloads">https://www.virtualbox.org/wiki/Downloads</a>
</li>
<li>Windows Server 2022 eval edition: <a href="https://www.microsoft.com/en-us/evalcenter/evaluate-windows-server-2022">https://www.microsoft.com/en-us/evalcenter/evaluate-windows-server-2022</a>
</li>
<li>Windows 10 Enterprise eval edition: <a href="https://www.microsoft.com/en-us/evalcenter/evaluate-windows-10-enterprise">https://www.microsoft.com/en-us/evalcenter/evaluate-windows-10-enterprise</a>
</li>
<li>Kali Linux: <a href="https://www.kali.org/get-kali/#kali-platforms">https://www.kali.org/get-kali/#kali-platforms</a>
</li>
</ol>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/0*n8fkf30csgN8aUX6"><figcaption>Notes: Saat membuat konfigurasi, jangan lupa untuk mencatat username dan password yang digunakan.</figcaption></figure><h3>Menginstall Windows Server 2022</h3>
Penulis memilih menggunakan VMware Workstation Pro 17 untuk melakukan demo instalasi. Hypervisor lain seperti VirtualBox dapat menjadi opsi untuk instalasi.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*zaQh1Edla-61QcG5qrOPyQ.png"><figcaption>Langkah melakukan pre-instalasi Windows Server 2022 pada VMware Workstation.</figcaption></figure><ol>
<li>Memilih ISO yang tepat untuk instalasi Windows Server 2022. Link download terdapat pada bagian Kebutuhan Sistem.</li>
<li>Mengosongkan product key dan mengisi Full Name dari pengguna server. Saya memilih nama DomainController karena server ini akan menjadi Domain Controller (DC) dari Active Directory.</li>
<li>Memilih lokasi virtual disk disimpan. Pastikan virtual disk ini berada pada lokasi yang memang ditujukan untuk penyimpanan.</li>
<li>Menggunakan alokasi disk sebesar 60GB untuk media penyimpanan pada Windows Server tersebut. Angka 60GB ini tidak langsung menggunakan size disk sebesar 60GB, melainkan sekedar angka maksimal penggunaan disk. Pilih juga split installation untuk mempermudah distribusi lab nantinya.</li>
<li>Menonaktifkan opsi “Power on the virtual machine after creation”</li>
</ol>
Virtual machine ini jangan dulu dinyalakan, terdapat beberapa hal yang perlu diperhatikan di sini.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*zigv2urmDzsiSmay0ZrKww.png"><figcaption>Konfigurasi yang dilakukan sebelum menjalankan server.</figcaption></figure><ol>
<li>Menghapus floppy disk agak tidak menimbulkan error pada proses instalasi nantinya.</li>
<li>Menambah RAM menjadi 4096 MB agar mempercepat proses instalasi. RAM dapat diturunkan menjadi 2048 MB apabila proses instalasi sudah selesai.</li>
<li>Menjalankan virtual machine.</li>
</ol>
Setelah virtual machine menyala, tekan keyboard untuk masuk ke dalam halaman instalasi.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*qpKq6Q5KYR-DypzVoj8qBg.png"><figcaption>Langkah instalasi Windows Server 2022 pada hypervisor.</figcaption></figure><ol>
<li>Memilih versi instalasi Windows Server 2022 Standard Evaluation (Desktop).</li>
<li>Membuat partisi untuk instalasi Windows dan System dengan memilih opsi new.</li>
<li>Menginstall Windows Server 2022 pada partisi Primary.</li>
<li>Menunggu hingga proses instalasi selesai.</li>
</ol>
Setelah proses instalasi selesai, Anda akan diminta memasukkan password untuk akun Administrator.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*gpnT-wcCHd3zt5jFtAHRsw.png"><figcaption>Pembuatan password Administrator, proses login, dan penggantian network profile.</figcaption></figure><ol>
<li>Masukkan password yang digunakan untuk akun Administrator. Pastikan Anda mendokumentasikan password ini.</li>
<li>Saat muncul halaman login, tekan CTRL + ALT + DELETE untuk masuk ke dalam halaman login. Terdapat menu pada VMware Workstation untuk mempermudah input tersebut.</li>
<li>Masukkan password dari Administrator.</li>
<li>Apabila terdapat permintaan, pilih private network untuk mempermudah serangan yang dilakukan.</li>
</ol>
Kita juga perlu menginstall VMware Tools untuk mendapatkan full experience dan mendapatkan layar full screen.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*pfWMHuEXGco7oJldw3d1eQ.png"><figcaption>Proses instalasi VMware Tools</figcaption></figure><ol>
<li>Memilih menu VM &gt; Install VMware Tools.
</li>
<li>Terdapat DVD virtual yang masuk ke dalam file explorer. Pilih Setup64 untuk memulai instalasi VMware Tools.</li>
<li>Memilih opsi Typical atau Complete tergantung penggunaan dari lab tersebut. Apabila Anda ingin mendeploy lab ini pada versi VMware lain, pilihlah opsi complete.</li>
</ol>
Disarankan untuk melakukan perubahan hostname sebelum konfigurasi AD. Perubahan nama host setelah konfigurasi AD akan menciptakan trust issue pada jaringan AD.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*YkFCULGTAoYtEY3UYMYgYA.png"><figcaption>Perubahan Domain Disarankan Sebelum Aktivasi AD</figcaption></figure><ol>
<li>Mengganti nama hostname sesuai dengan skenario yang dibuat.</li>
<li>Memilih opsi restart now &amp; Memilih Alasan Restart</li>
</ol>
Selamat, apabila Anda telah melalui step tersebut, Windows Server 2022 sudah berhasil terinstall. Windows Server 2022 ini akan digunakan sebagai domain controller pada Active Directory. Apabila Anda ingin menyesuaikan RAM pada Windows Server ini, dapat dilakukan pada Virtual Machine Settings. Konfigurasi ini bisa dilakukan saat server dalam kondisi mati.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1008/0*Kmqv1UD93L4hGDEB"><figcaption>Proses mengubah penggunaan RAM pada VM Windows Server.</figcaption></figure><h3>Layanan Kami</h3>
<ul>
<li>
Pelatihan Cybersecurity: <a href="https://cyberkarta.com/">https://cyberkarta.com</a>
</li>
<li>
Penetration Testing: <a href="https://pentest.cyberkarta.com/">https://pentest.cyberkarta.com</a>
</li>
<li>
Monitoring serangan siber contact us via <a href="mailto:service@cyberkarta.com">service@cyberkarta.com</a>
</li>
<li>
Ada serangan siber? contact us via <a href="mailto:service@cyberkarta.com">service@cyberkarta.com</a>
</li>
</ul>
<h3>Our Social Media</h3>
Instagram: <a href="https://instagram.com/thecyberkarta">https://instagram.com/thecyberkarta</a>
Youtube: <a href="https://www.youtube.com/@cyberkarta">https://www.youtube.com/@cyberkarta</a>
LinkedIn: <a href="https://www.linkedin.com/company/cyberkarta">https://www.linkedin.com/company/cyberkarta</a>
Twitter/X: <a href="https://twitter.com/cyberkarta">https://twitter.com/cyberkarta</a>
<h3>Next</h3>
Pada Membuat Lab Active Directory Untuk Ethical Hacking (Part 2), kita akan melakukan konfigurasi Domain Controller (DC) pada Windows Server yang terinstall.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=61223d70a0af" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/membuat-lab-active-directory-untuk-ethical-hacking-part-1-61223d70a0af">Membuat Lab Active Directory Untuk Ethical Hacking (Part 1)</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Membuat Lab Active Directory Untuk Ethical Hacking (Part 1)

Security Operation Center (SOC), yang sering dibaca “SOK”, adalah lapisan pertahanan utama keamanan siber pada organisasi atau perusahaan. SOC merupakan layanan yang bersifat luas dengan memberikan fitur-fitur berupa event monitoring, event management, dan solusi ancaman siber. Prioritas dari SOC adalah sebagai berikut.
<ol>
<li>Mengidentifikasi ancaman siber yang ada</li>
<li>Menangani isu-isu berkaitan dengan keamanan</li>
<li>Mencegah penyerang siber dapat merusak proses bisnis atau reputasi organisasi/perusahaan.</li>
</ol>
Tanpa adanya SOC, organisasi/perusahaan kekurangan transparansi terhadap ancaman-ancaman siber secara real-time. Hal tersebut menghalangi kemampuan organisasi/perusahaan untuk melindungi keamanan informasi dari risiko serangan siber.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/0*e07AfcPcOsvs5Nug"><figcaption>Photo by <a href="https://unsplash.com/@lukechesser?utm_source=medium&amp;utm_medium=referral">Luke Chesser</a> on <a href="https://unsplash.com/?utm_source=medium&amp;utm_medium=referral">Unsplash</a></figcaption></figure><h3>Implementasi SOC</h3>
Terdapat tiga opsi implementasi SOC, yaitu:
<ol>
<li>
Full outsource. Day-to-day job dari SOC bisa jadi sangat berat bagi organisasi/perusahaan kecil dan menengah, terutama dari sisi biaya dan kompleksitasnya. Full outsource adalah model implementasi SOC dengan menyerahkan seluruh tugas dan tanggung jawab kepada Managed Security Service Provider (MSSP) selaku pihak yang menyediakan layanan.</li>
<li>
Hybrid. Model full outsource memiliki kekurangan di mana organisasi/perusahaan tidak memiliki tim internal security sama sekali. Akibatnya, organisasi/perusahaan akan memiliki pengalaman yang minim untuk menangani insiden siber. Hybrid adalah model implementasi SOC dengan membagi tugas antara tim internal security dan MSSP. Model ini membuat perusahaan juga mendapatkan feedback yang cukup dari insiden serangan siber.</li>
<li>
Full in-house. Model ini cocok apabila organisasi/perusahaan memiliki dana dan kapabilitas yang cukup untuk menangani kompleksitas dari security operation center. Perlu diperhatikan bahwa SOC yang efektif adalah SOC yang beroperasi secara penuh 24/7. Apabila kebutuhan tersebut tidak dapat terpenuhi, ada baiknya untuk menggunakan model Hybrid.</li>
</ol>
<h3>Elemen pada SOC</h3>
Security operation center sendiri memiliki tiga elemen utama yang tidak dapat dipisahkan satu dengan lainnya. Ketiga elemen tersebut adalah people (orang), process (proses), dan technology (teknologi).
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*vI1cceX31e7aHtqO-_62Yw.png"><figcaption>SOC Lifecycle</figcaption></figure><h4>People</h4>
People berkaitan dengan peran dan tanggung jawab orang terhadap keberlangsungan SOC. Peran dan tanggung jawab secara struktural pada SOC biasa dibagi menjadi 4, yaitu:
<ol>
<li>
Tier 1: security analyst merupakan garda terdepan dari security operation center. Security analyst bertugas melakukan monitoring terhadap alert (notifikasi) security yang terdeteksi oleh sistem. Para analyst juga bertugas untuk memastikan keaslian dari alert tersebut. Apabila dibutuhkan, mereka akan mengoper insiden kepada Tier 2. Security analyst ini merupakan job role yang cocok untuk entry level cyber security.</li>
<li>
Tier 2: incident responder merupakan orang-orang yang memiliki keahlian teknis dalam investigasi serangan siber. Incident responder menindaklanjuti tiket yang dihasilkan oleh tier 1 dan melakukan forensik digital untuk menentukan aset mana saja yang terdampak oleh serangan siber. Kemudian, incident responder juga melakukan remidiasi terhadap dampak teknis serangan siber.</li>
<li>
Tier 3: threat hunter merupakan tim yang sangat kompeten dalam melakukan malware reverse engineering dan threat intelligence. Selain itu, mereka juga secara proaktif melakukan langkah pencegahan, contohnya membuat metode deteksi malware dan phishing, serta melakukan investigasi ke dalam dark web untuk mencari potensi ancaman yang dapat terjadi pada organisasi/perusahaan.</li>
<li>
SOC manager bertanggung jawab terhadap keberlanjutan dan ketersediaan resource bagi security operation center. SOC manager juga berperan menjadi contact person organisasi atau pelanggan (jika menggunakan model outsource.</li>
</ol>
<h4>Process</h4>
Security operation center juga melibatkan proses yang terdokumentasi dengan baik untuk merespons ancaman yang datang. Untuk mencapai process yang efektif, SOC dapat memanfaatkan framework dan security requirement, seperti ISO, NIST, PCI, HIPAA, dan sebagainya.
Berikut ini adalah empat proses kritikal pada SOC.
<ol>
<li>
Alert triage. SOC melakukan koleksi, korelasi, dan analisis data log. Analyst juga harus memiliki cara yang efisien untuk menghilangkan noise dan mengidentifikasi insiden siber yang berpotensi merugikan.</li>
<li>
Prioritization. Pada dunia keamanan siber modern, serangan siber terjadi dalam skala yang sangat besar, resiko serangan juga semakin meningkat, dan serangan siber menjadi semakin canggih. Prioritisasi insiden menjadi hal yang sangat krusial untuk diimplemantasikan.</li>
<li>
Remidiation and recovery. Terkadang, eksploitasi yang dilakukan oleh penyerang berdampak permanen terhadap kinerja sistem. Tier 2 dan Tier 3 bertugas mengidentifikasi hal dampak eksploitasi tersebut dan melakukan perbaikan terhadap sistem.</li>
<li>
Post activity and reporting. Proses dokumentasi secara detail terhadap insiden yang terjadi. Reporting juga mengidentifikasi bagian dari pertahanan yang bisa dilalui oleh penyerang. Sehingga, jika terdapat insiden serupa, SOC dapat mengurangi dampak serangan dengan penanganan secara lebih optimal.</li>
</ol>
<h4>Technology</h4>
Kunci teknologi pada SOC modern meliputi intrusion detection/prevention, Security Information and Event Management Systems (SIEM), Data Loss Prevention (DLP) software, serta threat intelligence and vulnerability management platforms.
<ol>
<li>
Intrusion detection/prevention. Next-gen firewall bukan hanya bekerja untuk memblokir koneksi saja, melainkan menjadi alat yang secara proaktif mendeteksi dan mencegah serangan siber.</li>
<li>
SIEM. Proteksi dari firewall bisa saja gagal, oleh karena itu perlu adanya sistem deteksi yang baik. Sistem deteksi ini juga menjadi enabler bagi incident responder untuk melakukan investigasi insiden serangan siber. Namun, log (record) serangan siber tersimpan dalam beberapa tempat berbeda, contohnya firewall, server log, client log, serta log pada perangkat jaringan. SIEM berfungsi sebagai kolektor dan korelator event, sehingga jejak serangan siber dapat diakses dan dianalisis secara terpusat.</li>
<li>
DLP. Untuk mencegah data sensitif terambil alih oleh penyerang, organisasi sering mengimplementasikan Data Loss Prevention (DLP). Fungsinya adalah memberikan alert dan memblokir informasi apabila terdapat percobaan pencurian data, baik melalui email, chat, USB, atau pengiriman melalui web. DLP dapat memitigasi ancaman internal (dari karyawan sendiri) atau penyerang yang sudah berhasil masuk ke dalam jaringan.</li>
<li>
Threat intelligence and vulnerability management platform. Ancaman pada dunia siber terus berkembang, oleh karena itu perlu adanya teknologi untuk mendapatkan data secara real-time berkaitan dengan ancaman dan celah baru yang teridentifikasi. Celah yang teridentifikasi dapat diberikan label berupa nilai bahaya sehingga tim SOC melakukan mitigasi berdasarkan skala prioritas.</li>
</ol>
Dalam implementasinya, teknologi pada SOC dapat di-automasi untuk mendapatkan kinerja yang makin efisien. Security Orchestration Automation and Response (SOAR) merupakan teknologi untuk melakukan integrasi antara detection, threat intelligence, dan response dengan cara berikut ini.
<ul>
<li>Mengkoleksi data alarm dari berbagai komponen sistem.</li>
<li>Menyediakan tools untuk mengevaluasi dan menginvestigasi kasus.</li>
<li>Meng-automasi workflow deteksi dan respons, sehingga proses SOC menjadi semakin efisien dan dapat mengimplementasikan sistem adaptive defense.</li>
<li>Menyediakan pre-defined playbooks untuk meng-automasi proses respons insiden.</li>
</ul>
Kedepannya, teknologi pada SOC akan terintegrasi dengan artificial intelligence dan machine learning untuk melindungi aset kritikal. Namun teknologi seharusnya tidak digunakan sebagai pengganti tim security engineer, melainkan dimanfaatkan sebagai enabler supaya orang-orang pada SOC dapat bekerja semakin efektif dan efisien.
<h3>Referensi</h3>
<ul>
<li>Cisco CyberOps Associate Reading Material.</li>
<li><a href="https://www.darkreading.com/edge-articles/modern-day-socs-people-process-technology">https://www.darkreading.com/edge-articles/modern-day-socs-people-process-technology</a></li>
<li><a href="https://www.avertium.com/blog/in-house-soc-mssp">https://www.avertium.com/blog/in-house-soc-mssp</a></li>
<li><a href="https://www.exabeam.com/security-operations-center/soc-processes-and-best-practices-in-a-devsecops-world/">https://www.exabeam.com/security-operations-center/soc-processes-and-best-practices-in-a-devsecops-world/</a></li>
</ul>
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=928e182dc5ae" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/mengenal-cyber-security-operation-center-soc-pertahanan-utama-serangan-siber-928e182dc5ae">Mengenal Cyber Security Operation Center (SOC), Pertahanan Utama Serangan Siber</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Mengenal Cyber Security Operation Center (SOC), Pertahanan Utama Serangan Siber

<h3>How Passwords are Stored and Cracked — The Basics of Using Hashcat</h3>
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/0*MjD7FgElB0rjcuJ6"></figure>Imagine that you are running a social media web service which handles thousands of logins every day. Not the busiest server in the world, but still your customer put their trust on you to handle these requests and store their credentials. There may also customer credit card numbers those are sitting behind the login page.
On the worst day of your company, data breach can still happen, even though your company put high effort to prevent this. As expert said, cybercriminal will merely need one gap to invade your system, while you must patch them all. If this event really occurs, there may only two things that the users think about, is my account affected this data breach? If it so, how far? The data breach itself surely will ruin company’s reputation, but it can be catastrophic if world knows that you store user data in a faulty way, such as storing plain text password. Hiding the truth will not make any better.
At this point, there may be a question, from the user, how do I know whether the web server store my plain text password or hashed one? In most of the case, the answer is you can not know except it is written explicitly in the web or user ask directly to website owner. However, if you forgot the password and the web can give the forgotten password to you, it is the greatest sign that your password is stored in plain. Almost all big company in 2020, store user’s password using its message digest or hash.
To understand better, there is a library in Python called hashlib or you can use online hashing tool, the latter is not recommended on production site because it is safer to compute and store hash with your own resources. Example below is a Python script to compute MD5 hash with any user input. The script contains f string, so it can only run on Python 3.6 or newer.
<blockquote>import hashlib</blockquote>
<blockquote>username = input(“username: “)</blockquote>
<blockquote>password = input(“password: “)</blockquote>
<blockquote>hash_text = hashlib.md5(password.encode()).hexdigest()</blockquote>
<blockquote>print (f’{username}:{hash_text}’)</blockquote>
Run it, and input these:
<blockquote>username: admin</blockquote>
<blockquote>password: admin123</blockquote>
<blockquote>admin:0192023a7bbd73250516f069df18b500</blockquote>
This python script takes 2 user input, username and password, and then compute MD5 hash (in hexadecimal). Finally, it prints username and hashed password. As a precaution, I use MD5 hash to fulfill this demo as it fast to be computed and cracked. Nowadays, MD5 should not be used in production environment, it is way safer to use SHA256 or SHA512.
The password changed in specific way, and it represented in hexadecimal form. If you try different username and password combination, notice that the length of the hash is not changed (that is one of the characteristics).
Example 1:
<blockquote>username: admin</blockquote>
<blockquote>password: 123</blockquote>
<blockquote>admin:202cb962ac59075b964b07152d234b70</blockquote>
Example 2:
<blockquote>username: myaccount</blockquote>
<blockquote>password: SuperLongPasswordThatIDontBothertoRememberIt</blockquote>
<blockquote>myaccount:b246fff4ac99ba02332598a8c6ef4a46</blockquote>
Another trait of hash message is that it one-way function or we can say the hash message cannot be reversed easily. Based on this trait, most server use username and password combination verification as diagram below.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/965/1*ccM5CDz8QnM_xfdn2Rgjqw.png"><figcaption>The well-known method for authenticating user</figcaption></figure>As you can see, especially in password section, a server calculate hash from the user input and then match username and its hashed password in the user database. In this model, it is the only workflow available, as hashed password cannot be reversed to clear-text password.
Within same algorithm, calculating hash message always results in consistent value (if it is not consistent, how do server verify user in the first place). This nature can result in a poor outcome if user use weak or well-known password and reuse it on multiple accounts, however.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/0*zr2Cn_j_qjkW0GFz"></figure><h3>Cracking Password</h3>
Storing passwords in its hash is one-layer security itself, nevertheless cyber criminal will still hunt those because there are ways to recover clear-text password from its hash. The notorious tool today is hashcat.
Hashcat is an application that capable of cracking password by using CPU or GPU. If you decide to use GPU, hashcat can crack password several times faster. You can also differently allocate resource to hashcat in case you want to work with something else with your computer when cracking process is running. Before it begins, you must decide what kind attack you want to do with hashcat.
First of all, the dictionary attack. Dictionary attack is performed by using dictionary file that contains list of words. You may choose the famous rockyou.txt that contains thousands of commonly used passwords. If you are using Kali Linux, you can find it on “/usr/share/wordlists/rockyou.txt”. If you experience a slow speed, you may create customized wordlist for the purpose of testing, or even upgrade your GPU.
Command:
<blockquote>hashcat -O -m0 -a0 -w3 21232f297a57a5a743894a0e4a801fc3 /usr/share/wordlists/rockyou.txt</blockquote>
Result:
21232f297a57a5a743894a0e4a801fc3:admin
Explanation:
-O = optimized kernel option; it makes password cracking much faster, but it only works for short password entry.
-m0 = use module 0 (MD5); hashcat capable of cracking plenty of hash algorithm.
-a0 = use dictionary attack
-w3 = use high workload profile; you can use -w1 to -w4 (the lowest to highest resource consumption) to increase password cracking rates.
By using my RTX 2070, the 21232f297a57a5a743894a0e4a801fc3 hash is cracked instantly and giving admin as the result.
You are able to change hash value 21232f297a57a5a743894a0e4a801fc3 to a file that contains list of hashes to be cracked. The command will be:
<blockquote>hashcat -O -m0 -a0 -w3 password_md5.txt /usr/share/wordlists/rockyou.txt</blockquote>
Sometimes, password is strong, but not strong enough. You can specify a rule by giving -r &lt;rule_location&gt;. For this example, I use different hash and best64 rule (<a href="https://github.com/hashcat/hashcat/blob/master/rules/best64.rule">https://github.com/hashcat/hashcat/blob/master/rules/best64.rule</a>) that already installed with hashcat and located inside rules folder.
Command:
<blockquote>hashcat -O -m0 -a0 -w3 2e6e5a2b38ba905790605c9b101497bc /usr/share/wordlists/rockyou.txt -r rules/best64.rule</blockquote>
Result:
2e6e5a2b38ba905790605c9b101497bc:Admin12
How disappointing if we actually skip that weak password by using merely rockyou.txt wordlist.
Secondly, the brute force attack. Brute force attack tries different character permutation. The more type and number of characters, the longer time is needed.
In this example, I will try to crack 6-digit PIN that stored in MD5, by using brute force attack.
Command:
<blockquote>hashcat -O -m0 -a3 -w3 30eebaf0235367a45abf1f9a106063dc ?d?d?d?d?d?d</blockquote>
Result:
30eebaf0235367a45abf1f9a106063dc:135798
Explanation:
-a3 = use brute force attack
?d = indicate a digit (0–9 number), you can use another character, such as:
?l = indicate a lowercase character (a-z)
?u = indicate an uppercase character (A-Z)
?s = indicate a sign character («space»!”#$%&amp;’()*+,-./:;&lt;=&gt;?@[\]^_`{|}~)
?a = indicate all character (?l?u?d?s)
Six-digit PIN is just a dust for hashcat. It cracked in a matter of seconds.
That’s all for now, hopefully this article can tell the importance of using unique and strong password.
On final note, these mentioned are just two of thousand ways to crack password, there are advanced attacks out there, such as mask attack and rainbow attack that capable of cracking password much more effectively and quickly.
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=11fcd4ca2003" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/how-passwords-are-stored-and-cracked-the-basics-11fcd4ca2003">How Passwords are Stored and Cracked — The Basics</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

How Passwords are Stored and Cracked — The Basics

Enhanced Interior Gateway Routing Protocol (EIGRP) merupakan Internal Gateway Protocol (IGP) yang memiliki tingkat konvergensi cepat dan membutuhkan network traffic yang kecil. EIGRP adalah salah satu protokol pada distance vector protocol untuk menentukan jalur terbaik. Karena EIGRP bersifat proprietary, routing protocol EIGRP hanya tersedia untuk vendor Cisco saja.
<figure><img alt="Computer network" src="https://cdn-images-1.medium.com/max/1024/0*N9Gp0Z649aKFjDsu"><figcaption>Photo by <a href="https://unsplash.com/@sigmund?utm_source=medium&amp;utm_medium=referral">Sigmund</a> on <a href="https://unsplash.com/?utm_source=medium&amp;utm_medium=referral">Unsplash</a></figcaption></figure>Berbeda dengan Routing Information Protocol (RIP), EIGRP hanya mengirimkan hello message setiap 5 detik sekali, bukan full periodic update. Sehingga, kebutuhan bandwidth untuk menjaga koneksi antar router EIGRP jauh lebih kecil. EIGRP juga menggunakan beberapa parameter, yaitu bandwidth, load, delay, dan reliability untuk mencari jalur routing terbaik.
<h3>Neighbour Discovery and Maintenance</h3>
Untuk mendistribusikan informasi routing melalui jaringan, EIGRP menggunakan non-periodic incremental routing updates. Artinya, router EIGRP hanya melakukan update apabila ada perubahan jalur saja.
Untuk mempertahankan koneksinya, EIGRP mengirimkan hello packet setiap 5 detik sekali (pada jalur dengan bandwidth besar) atau 60 detik sekali (pada jalur dengan bandwidth kecil). Interval hello packet tersebut bahkan bisa dikonfigurasi secara manual per interface dengan menggunakan perintah ip hello-interval eigrp.
Router pengirim hello packet akan mengharapkan balasan dalam interval waktu tertentu. Interval waktu ini disebut dengan hold time. Secara default, nilai hold time adalah 3x nilai hello interval. Apabila tidak ada balasan dari penerima setelah hold time berakhir, maka jalur tersebut dianggap sedang down. Router terdekat kemudian bertugas memberikan update kepada router lainnya. Hold time ini juga bisa dikonfigurasi secara manual dengan menggunakan ip hold-time eigrp.
<h3>Algoritme DUAL</h3>
EIGRP menggunakan Diffused Update Algorithm (DUAL) untuk menghitung jalur terpendek ke tujuan. Dari sifat EIGRP sendiri sebagai distance vector protocol, informasi yang digunakan untuk melakukan kalkulasi best path adalah distance (metric) dan vector (next hop).
Algoritme DUAL sebenarnya dapat menghitung best path dari beberapa parameter, namun untuk menghindari loop pada jaringan, disarankan hanya menggunakan parameter bandwidth dan delay saja. Formula untuk melakukan kalkulasi metric pada EIGRP adalah sebagai berikut.
<blockquote>metric = ([K1 x bandwidth + (K2 x bandwidth) / (256 — load) + K3 x delay] x [K5 / (reliability + K4)]) x 256</blockquote>
Secara default, nilai K adalah sebagai berikut.
<ul>
<li>K1, K3 = 1</li>
<li>K2, K4, K5 = 0</li>
</ul>
Sehingga, didapatkan formula kalkulasi metric yang lebih simpel, yaitu:
<blockquote>metric = [(10.000.000/bandwidth) + total delay] x 256</blockquote>
Contoh kalkulasi metric pada informasi dan topologi berikut ini.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/832/1*D0znrHW8n2z0ArRLxJRuVA.png"><figcaption>Topologi Jaringan EIGRP</figcaption></figure><ul>
<li>
Jalur RT 0 -&gt; RT 1 -&gt; RT 4 (jalur atas) Minimum bandwidth = 10.000 kbps Delay = 200 + 400 = 600 Metric = [(10.000.000/10.000) + 600] x 256 = 409.600</li>
<li>
Jalur RT 0 -&gt; RT 2 -&gt; RT 3 -&gt; RT 4 (jalur bawah) Minimum bandwidth = 10.000 Mbps Delay = 100 + 100 + 100 Metric = [(10.000.000/10.000)+300] x 256 = 332.800</li>
</ul>
Jalur terbaik adalah jalur yang memiliki metric terkecil, sehingga DUAL akan memilih jalur bawah saat mengirimkan paket dari RT 0 ke RT 4.
<h3>Konfigurasi EIGRP</h3>
Pertama-tama, akses ke global configuration mode terlebih dahulu.
<blockquote>enable</blockquote>
<blockquote>configure terminal</blockquote>
Lalu konfigurasi EIGRP dengan langkah berikut.
<blockquote>router eigrp &lt;as-number&gt;</blockquote>
<blockquote>network &lt;alamat-ip-jaringan&gt; [&lt;wild-card-mask&gt;]</blockquote>
<ul>
<li>
As-number (Autonomous System number) merupakan identifier yang unik secara global untuk mendefinisikan IP prefix yang dikelola oleh organisasi. Nilai AS number dimulai dari 1 sampai dengan 65.535.</li>
<li>
Wild-card-mask merupakan representasi lebar alamat jaringan komputer. Wild card mask nilainya berkebalikan dengan subnet mask. Sebagai contoh: 192.168.100.0/24 memiliki alamat jaringan 192.168.100.0 dan wild card mask 0.0.0.255.</li>
</ul>
Berikut ini adalah contoh topologi yang akan dikonfigurasi dengan EIGRP.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/814/1*S4k--QyPHoswXP4aJDKvAA.png"><figcaption>Topologi yang akan Dikonfigurasi</figcaption></figure>Konfigurasi pada RT 0, misalkan AS number yang digunakan adalah 30.
<blockquote>enable</blockquote>
<blockquote>configure terminal</blockquote>
<blockquote>router eigrp 30</blockquote>
<blockquote>network 192.168.100.0 0.0.0.255</blockquote>
<blockquote>network 10.10.1.0 0.0.0.252</blockquote>
Konfigurasi pada RT 1, misalkan AS number yang digunakan adalah 30.
<blockquote>enable</blockquote>
<blockquote>configure terminal</blockquote>
<blockquote>router eigrp 30</blockquote>
<blockquote>network 192.168.200.0 0.0.0.255</blockquote>
<blockquote>network 10.10.1.0 0.0.0.252</blockquote>
<h3>Referensi</h3>
<ul><li><a href="https://www.cisco.com/c/en/us/support/docs/ip/enhanced-interior-gateway-routing-protocol-eigrp/16406-eigrp-toc.html">https://www.cisco.com/c/en/us/support/docs/ip/enhanced-interior-gateway-routing-protocol-eigrp/16406-eigrp-toc.html</a></li></ul>
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=ba798ea02404" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/eigrp-dan-contoh-implementasinya-pada-cisco-ba798ea02404">EIGRP dan Contoh Implementasinya pada Cisco</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

EIGRP dan Contoh Implementasinya pada Cisco

Open Shortest Path First (OSPF) adalah salah satu contoh routing protocol pada Interior Gateway Protocol (IGP). OSPF bersifat non-proprietary, artinya OSPF adalah standar terbuka dan dapat digunakan pada vendor jaringan apa pun. Routing protocol ini didefinisikan pada standard <a href="https://www.ietf.org/rfc/rfc2328.txt">RFC 2328</a>.
<figure><img alt="Computer Networking" src="https://cdn-images-1.medium.com/max/1024/0*EhVjw8VOiKyaGbl6"><figcaption>Photo by <a href="https://unsplash.com/@jordanharrison?utm_source=medium&amp;utm_medium=referral">Jordan Harrison</a> on <a href="https://unsplash.com/?utm_source=medium&amp;utm_medium=referral">Unsplash</a></figcaption></figure><h3>Link-State Protocol</h3>
OSPF adalah link-state protocol, artinya router yang dikonfigurasi dengan OSPF memiliki peta menyeluruh konektivitas pada jaringan. Dengan menggunakan peta konektivitas tersebut, tiap-tiap node pada jaringan secara independen menghitung jarak terpendek untuk mencapai jaringan pada node lainnya.
<h3>Shortest Path First (SPF)</h3>
OSPF menggunakan algoritme Shortest Path First (SPF) untuk mencari jalur terbaik menuju tujuan. Jalur tersebut merupakan jalur yang terpendek berdasarkan perhitungan dengan menggunakan algoritme Djikstra. Berikut ini adalah implementasi dari algoritme Djikstra pada OSPF.
<ol>
<li>OSPF dimulai dengan mengirimkan hello packet kepada router-router terdekat lainnya. Hello packet ini berfungsi untuk mencari router lain yang sudah terkonfigurasi dengan OSPF.</li>
<li>Tiap router tersebut kemudian mengirimkan Link-State Advertisement (LSA) kepada semua router yang tergabung pada area OSPF yang sama. LSA ini berisi state (topologi) dan cost untuk mencapai jaringan yang terkoneksi langsung dengan router tersebut.</li>
<li>Setelah semua router bertukar pesan LSA satu dengan lainnya, tiap-tiap router membuat Link-State Database (LSDB) yang berisi topologi lengkap dari jaringan tersebut.</li>
<li>Dengan data yang sudah tercatat pada LSDB, tiap-tiap router yang tergabung pada area OSPF menghitung cost terkecil untuk mencapai tujuan. cost = 10.000.000 / bandwidth
</li>
<li>Dari hasil perhitungan cost tersebut, router memasukkan jalur dengan cost terendah menuju setiap jaringan yang terdaftar pada OSPF ke dalam tabel routing miliknya.</li>
</ol>
<h3>Konfigurasi OSPF pada Cisco</h3>
Untuk memulai konfigurasi OSPF, masuk ke dalam global configuration mode.
<blockquote>enable</blockquote>
<blockquote>configure terminal</blockquote>
Kemudian tentukan process-id, ip address, wildcard mask, dan area-id.
<blockquote>router ospf &lt;process-id&gt;</blockquote>
<blockquote>network &lt;ip-address&gt; &lt;wild-card-mask&gt; area &lt;area-id&gt;</blockquote>
<ul>
<li>
Process-id adalah identifier berupa angka yang sifatnya unik di dalam router tersebut. Process-id berfungsi membedakan konfigurasi OSPF apabila pada router tersebut dikonfigurasi dengan beberapa OSPF berbeda.</li>
<li>
Ip address yang dimasukkan adalah alamat jaringan yang terkoneksi langsung ke router tersebut. Kemudian tambahkan wildcard mask sebagai representasi dari CIDR prefix. Wildcard mask nilainya berkebalikan dengan subnet mask. Contoh: jaringan 192.168.100.0/24 dituliskan 192.168.100.0 0.0.0.255</li>
<li>
Area-id bersifat unik kepada tiap area pada OSPF. Apabila hanya ada satu area OSPF, Anda bisa menggunakan area 0.</li>
</ul>
Contoh implementasinya adalah pada topologi berikut ini.
<figure><img alt="" src="https://cdn-images-1.medium.com/max/1024/1*cIOG_yh6PyV-xFrDy-gbYA.png"></figure>Konfigurasi pada RT 0.
<blockquote>enable</blockquote>
<blockquote>configure terminal</blockquote>
<blockquote>router ospf 10</blockquote>
<blockquote>network 192.168.100.0 0.0.0.0.255 area 0</blockquote>
<blockquote>network 10.10.1.0 0.0.0.252 area 0</blockquote>
Konfigurasi pada RT 1.
<blockquote>enable</blockquote>
<blockquote>configure terminal</blockquote>
<blockquote>router ospf 10</blockquote>
<blockquote>network 192.168.200.0 0.0.0.0.255 area 0</blockquote>
<blockquote>network 10.10.1.0 0.0.0.252 area 0</blockquote>
<img src="https://medium.com/_/stat?event=post.clientViewed&amp;referrerSource=full_rss&amp;postId=4b07b0ff3fa6" width="1" height="1" alt=""><hr>
<a href="https://medium.com/cyberkarta/ospf-dan-contoh-implementasinya-pada-cisco-4b07b0ff3fa6">OSPF dan Contoh Implementasinya pada Cisco</a> was originally published in <a href="https://medium.com/cyberkarta">Cyberkarta</a> on Medium, where people are continuing the conversation by highlighting and responding to this story.

Blog Cyberkarta