PORTSENTRY

PortSentry adalah sebuah perangkat lunak yang dirancang untuk mendeteksi adanya port scanning & merespons secara aktif jika ada port scanning. Port scan adalah proses scanning berbagai aplikasi servis yang dijalankan di server internet. Port scan adalah langkah paling awal sebelum sebuah serangan di lakukan. Cara kerja portsentry dengan melakukan melihat computer yang melakukan scan dan secara aktif akan memblokir mesin penyerang agar tidak dapat masuk & melakukan transaksi dengan Server kita.

            Beberapa fitur utama dari Portsentry :

• berjalan di atas soket TCP & UDP untuk mendeteksi scan port ke sistem kita.
• mendeteksi steath scan, seperti SYN/half-open, FIN,NULL,X-MASS.
• portsentry akan bereaksi secara real-time (langsung) dengan cara memblokir IP address si penyerang
• hal ini dilakukan dengan menggunakan ipchains/ipfwadm dan memasukan ke file /etc/host.deny secara otomatis oleh TCP Wrapper.
• portsentry mempunyai mekanisme untuk mengingat mesin/host mana yang pernah connect ke dia. dengan cara itu, hanya mesin / host yang terlalu sering melakukan sambungan (karena melakukan scanning) yang akan di blokir.
• portsentry akan melaporkan semua pelanggaran melalui syslog dan mengindikasikan nama system, waktu serangan, ip mesin penyerang, TCP / UDP port tempat serangan dilakukan, jika hal ini di integrasikan dengan logcheck maka administrator system akan memperoleh laporan melalui e-mail.

Dengan adanya berbagai fitur di atas maka system yang kita gunakan tampaknya seperti hilang dari pandangan penyerang. Hal ini biasanya cukup membuat kecut nyali penyerang.

Penggunaan portsentry sendiri sangat mudah sekali, bahkan untuk penggunaan biasa saja praktis semua instalasi default tidak perlu di ubah apa-apa dapat angsung digunakan.

yang mungkit perlu di tune-up sedikit adalah file konfigurasi portsentry yang semuanya berlokasi di /etc/portsentry secara default. Untuk mengedit file konfigurasi tersebut anda membutuhkan privilige sebagai root. Beberapa hal yang mungkin perlu di set adalah :

• File /etc/portsentry/portsentry.conf merupakan konfigurasi utama portsentry. Disini secara bertahap diset port mana saja yang perlu di monitor, respons apa yang harus dilakukan ke mesin yang melakukan portscan, mekanisme menghilangkan mesin dari routing table, masukan ke host.deny, proses setting sangat mudah hanya dengan membuka/menutup tanda pagar (#) saja.
• pada file/etc/portsentry/portsentry.ignore.static masukan semua IP address di Lan yang harus selalu di abaikan oleh portsentry. Artinya memasukkan IP address ke sini, agar tidak terblokir secara tidak sengaja.
• pada file /etc/default/portsentry kita dapat menset mode deteksi yang dilakukan portsentry. Semakin baik mode deteksi yang dipilih (advanced stealth TCP/UP scanning). biasanya portsentry akan semakin sensitif & semakin rewel karena sedikit-sedikit akan memblokir mesin.

Langkah percobaan:

1. apt-get install portsentry
2. edit file : gedit /etc/portsentry/portsentry.conf
3. edit file /etc/portsentry/portsentry.ignore.static
   lalu ini dengan IP yang tidak terblokir, misal :
   #format : /
   #misalnya : konfigurasi IP di ROuter initrd@vmlinuz.unixminix.com
   #eth0 : 202.212.77.99/30
   #eth1 : 192.168.1.1/24 ## Maka Daftar Host-nya menjadi : ## Exclude all local interface 192.168.1.1/31 127.0.0.1
   #exclude default gateway 202.212.77.98 ##exclude nameserver 202.212.77.1 ##
   catatan: jiika tidak mencantumkan nilai mask_length-nya # maka diasumsikan bernilai 32 bits. #jadi 192.168.1.1 sama dengan 192.168.1.1/32
4. edit file /etc/default/portsentry
   TCP_MODE="arcp"
   UDP_MODE="audp"
5. buka port sebanyak mungkin untuk persiapan portsentry.
6. insialisasi Daemon
   #/etc/init.d/portsentry restart
7. jika sudah jalan. jalankan # tail -f /var/log/syslog, akan keluar hasil spt berikut : Nov 20 09:35:27 localhost portsentry[2192]: adminalert: portsentry is now active and listening.
8. Pada komputer lain jalankan nmap pada komputer yang diinstal portsentry (PC target) apa yang terjadi.
   a. pada pc1, dengan IP address 192.168.1.4
       -pertama mengaktifkan portsentry terlebih dahulu kemudian reboot komputer
       -#nmap -sT -v no_IP_komputer_portsentry
   maka akan muncul tampil error saat proses scan ke PC klien karena pada PC klien telah mengaktifkan portsentry.
       -kemudian coba ping IP address PC klien
   maka setelah di ping hasilnya destination host unreachable atau tidak dapat tersambung.
   b. pada PC 2, dengan IP address 192.168.1.16
       -Pertama mengaktifkan portsentry terlebih dahulu kemudian reboot komputer.
       -# nmap -sT -v no_IP_komputer_portsentry
   maka akan muncul tampilan error saat proses scan ke PC klien karena pada PC klien telah mengaktifkan portsentry.
   
   kemudian coba ping IP address PC klien
   maka setelah diping hasilnya Destination Host Unreachable atau tidak dapat tersambung.
9. cek ip yang terblokir di PC target
   # gedit /etc/hosts.deny
   jika berhasil, akan muncul alamat IP yang diblokir oleh portsentry sebagai berikut
10. cek informasi fil epada HISTORY_FILE seperti di step 2.
11. selanjutnya tutup/matikan service portsentry dan jalankan nmap lagi

Nama : HELMI AL AMIN ARIIN

Nim : 141420129

Kelas : IF6IB

Dosen : Suryayusra, M.Kom

Universitas Binadarma

web : www.binadarma.ac.id