Keamanan Jaringan (TCPDump)

TCPDUMP

tcpdump merupakan salah satu aplikasi packet analyzer yang berfungsi untuk memantau dan menangkap traffic jaringan yang melewati interface host yang menjalankan tcpdump. Tcpdump sering digunakan oleh Network Administrator untuk melakukan troubleshooting terhadap traffic jaringan dan Security Analyst untuk melakukan analisa terhadap traffic yang digunakan oleh malware.

sumber gambar: licdn.com

Library libpcap digunakan oleh tcpdump untuk menangkap traffic pada jaringan, Selain di linux, tcpdump juga dapat berjalan pada sistem operasi lainnya seperti windows, bsd, macOS, dan android, pada sistem operasi windows tcpdump dikenal dengan sebutan windump.
tcpdump tidak melakukan modifikasi terhadap paket yang diterima, oleh karena itu analisis terhadap paket sepenuhnya berada ditangan seorang analyst.

Penggunaan

Protocol
Selain mendukung protokol tcp, tcpdump juga mendukung berbagai macam jenis protokol lainnya untuk melakukan filtering, filtering protokol yang dapat digunakan adalah: fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp dan udp. Jika tidak melakukan filter traffic berdasarkan protokol maka tcpdump akan menampilkan semua jenis protokol yang diterima.
Berikut contoh penggunaan filter protokol udp:
tcpdump -n udp
Direction
Tcpdump juga dapat melakukan filtering berdasarkan arah traffic, baik traffic yang diterima atau yang mengarah ke host lain. filtering arah traffic yang dapat digunakan adalah: src, dst, src and dst, dan src or dst. Jika tidak melakukan filter arah traffic, secara default yang digunakan adalah src or dst.
Berikut contoh penggunaan filter yang menampilkan semua traffic berasal dari host tertentu:
tcpdump -n src host 192.168.254.138
Host
Filtering pada tcpdump juga dapat berdasarkan port, range port dan segmen jaringan. Filtering yang dapat digunakan adalah: net, port, host, portrange. Jika tidak ada filter host yang digunakan secara default adalah host
Berikut contoh penggunaan filter berdasarkan port https:
tcpdump -n port 443
Logical Operation
Tcpdump mendukung filter berdasarkan operator logis. Operator logis yang dapat digunakan adalah: and, or, not. Operator not mempunyai prioritas lebih tinggi, operator and dan not mempunyai prioritas sama, alur filter dibaca dari kiri ke kanan.
Berikut contoh penggunaan filter yang menampilkan semua port kecuali https:
tcpdump -n not port 443
Save Packet
tcpdump memungkinkan untuk menyimpan traffic yang diterima oleh tcpdump kedalam sebuah file yang memungkinkan untuk dianalisa lebih lanjut. Traffic yang diterima oleh tcpdump disimpan dalam format pcap. Pcap ini dapat dianalisa menggunakan program packet analyzer lainnya seperti wireshark, snort, networkminer, dan bro.
Berikut contoh pemnatauan traffic dan menyimpannya kesebuah file bernama test.pcap:
tcpdump -n -w test.pcap

Contoh Kasus

Beberapa opsi dalam tcpdump dapat digunakan secara bersamaan, berikut beberapa contoh kasus yang dapat diselesaikan dengan bantuan tcpdump
1. Pada saat melakukan troubleshoot seorang administrator ingin memastikan apakah host (10.10.8.4) telah mengirimkan log ke syslog server (172.16.7.2 port 514).

netsec:/home# tcpdump -n dst host 172.16.7.2 and port 514
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
20:26:29.417475 IP 10.10.8.4.48950 > 172.16.7.2.514: SYSLOG local0.error, length: 87
20:26:29.418754 IP 10.10.8.4.48950 > 172.16.7.2.514: SYSLOG local0.error, length: 87
20:26:30.170554 IP 10.10.8.4.48950 > 172.16.7.2.514: SYSLOG mail.info, length: 107
20:26:30.170617 IP 10.10.8.4.48950 > 172.16.7.2.514: SYSLOG mail.info, length: 107
20:26:30.180588 IP 10.10.8.4.48950 > 172.16.7.2.514: SYSLOG mail.info, length: 129
20:26:30.180622 IP 10.10.8.4.48950 > 172.16.7.2.514: SYSLOG mail.info, length: 110
20:26:30.180629 IP 10.10.8.4.48950 > 172.16.7.2.514: SYSLOG mail.info, length: 129
20:26:30.180640 IP 10.10.8.4.48950 > 172.16.7.2.514: SYSLOG mail.info, length: 110
^C
8 packets captured
9 packets received by filter
0 packets dropped by kernel

Dari hasil tcpdump diatas dapat dilihat bahwa host 10.10.8.4 telah berhasil mengirimkan lognya ke host 172.16.7.2
2. Seorang analyst ingin melakukan pengecekan apakah host yang terinfeksi malware masih mengirim traffic https ke IP 216.58.221.78

netsec:/home# tcpdump -n dst host 118.98.110.54 and port 443 -w malware
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
^C
45 packets captured
46 packets received by filter
0 packets dropped by kernel

Dari hasil tcpdump diatas dapat dilihat bahwa paket jaringan yang mengarah ke port https (443) masih ada