Sistem Pencegahan Intrusi (IPS) bawaan Cloud Firewall secara proaktif mendeteksi dan memblokir lalu lintas berbahaya akibat serangan, eksploitasi kerentanan, serangan brute-force, cacing, program penambangan, trojan, dan serangan DoS secara real-time. Fitur ini melindungi sistem informasi perusahaan dan arsitektur jaringan di cloud dari ancaman siber, mencegah akses tidak sah atau kebocoran data, serta menghindari kerusakan atau kegagalan sistem dan aplikasi bisnis Anda.
Serangan siber berbasis cloud umum
Di lingkungan cloud, perusahaan sering kali men-deploy sistem bisnis kritis yang terpapar ke internet publik atau memfasilitasi komunikasi jaringan internal, termasuk lingkungan pengembangan, lingkungan produksi, dan platform data. Sistem-sistem ini menghadapi berbagai ancaman keamanan siber. Penyerang dapat mengeksploitasi saluran jaringan ini untuk melancarkan intrusi atau mendapatkan akses tidak sah, menyebabkan pelanggaran data, kehabisan sumber daya server, atau gangguan layanan.
Jenis-jenis umum serangan siber meliputi:
-
Serangan malware: Penyerang mengelabui pengguna agar mengunduh perangkat lunak berbahaya seperti virus, cacing, atau trojan untuk menginfeksi server cloud, sehingga mereka dapat membangun kontrol persisten atau bergerak lateral di seluruh jaringan.
-
Pemindaian port dan serangan brute-force: Penyerang menggunakan alat otomatis untuk memindai port terbuka, lalu mencoba mendapatkan kredensial login sistem dengan serangan brute-force. Setelah berhasil membobol, mereka biasanya men-deploy backdoor trojan, program penambangan, atau ransomware.
-
Serangan kerentanan aplikasi web: Termasuk Injeksi SQL, skrip lintas situs (XSS), pemalsuan permintaan lintas situs (CSRF), dan eksekusi kode jarak jauh (RCE). Penyerang mengeksploitasi celah aplikasi untuk mencuri data, merusak konten, atau mendapatkan hak istimewa sistem.
-
Serangan kerentanan protokol Lapisan 4: Serangan ini menargetkan kerentanan pada tumpukan protokol lapisan transport (seperti TCP/UDP) dan dapat menyebabkan denial of service atau peningkatan hak istimewa.
-
Serangan database: Serangan ini menargetkan akses tidak sah atau konfigurasi yang salah pada layanan database seperti Redis dan MySQL untuk mencuri data atau menyuntikkan perintah berbahaya.
-
Eksekusi perintah dan reverse shell: Penyerang mengeksploitasi kerentanan sistem atau aplikasi untuk mengeksekusi perintah arbitrer atau membuat koneksi keluar balik (reverse shell) guna melewati pertahanan perimeter dan mencapai kendali jarak jauh.
Untuk mengatasi risiko ini secara efektif, perusahaan harus menerapkan strategi defense-in-depth. Ini mencakup mengaktifkan Cloud Firewall, memperkuat konfigurasi keamanan jaringan, dan segera memperbaiki kerentanan untuk memastikan keamanan dan ketersediaan sistem bisnis.
Kemampuan IPS Cloud Firewall
Cloud Firewall Alibaba Cloud mengintegrasikan sistem pencegahan intrusi (IPS) yang menggunakan inspeksi lalu lintas real-time, pembenahan virtual, perlindungan ancaman arah keluar, korelasi intelijen ancaman, dan model analisis cerdas untuk mengamankan beban kerja cloud Anda secara efisien dan tepat.
Kemampuan inti meliputi:
-
Pemblokiran eksploitasi kerentanan: Dengan lebih dari 5.000 aturan pertahanan dasar dan patch virtual bawaan, Cloud Firewall dapat dengan cepat memblokir eksploitasi kerentanan yang dikenal, secara signifikan mempersempit jendela serangan.
-
Pembenahan virtual: Untuk sistem bisnis yang memiliki kerentanan belum diperbaiki, Cloud Firewall menyediakan kebijakan perlindungan dalam waktu tiga jam, tanpa mengharuskan Anda menginstal patch sistem atau restart layanan. Kemampuan ini membantu mengurangi risiko dari kerentanan berisiko tinggi dan kerentanan 0-day.
-
Perlindungan lalu lintas berbahaya arah keluar: Mendeteksi dan memblokir komunikasi dari host yang telah dikompromikan ke server C&C berbahaya, koneksi penambangan kripto arah keluar, dan eksfiltrasi data abnormal. Ini mencegah penyebaran ancaman internal dan kebocoran informasi sensitif.
-
Korelasi intelijen ancaman: Memanfaatkan sistem kesadaran keamanan global Alibaba Cloud untuk menyinkronkan intelijen ancaman berkepercayaan tinggi secara real-time. Ini mencakup alamat IP dan nama domain berbahaya, alamat server C&C, serta sumber pemindaian dan serangan brute-force. Hal ini memungkinkan perlindungan yang dinamis dan tepat.
-
Deteksi ancaman cerdas: Menggunakan model pembelajaran mesin yang dibangun dari volume besar sampel serangan dan data perilaku yang dikumpulkan oleh Alibaba Cloud untuk meningkatkan deteksi dan respons terhadap ancaman yang tidak dikenal serta pola serangan baru.
Dengan kemampuan ini, IPS Cloud Firewall memberikan keamanan jaringan dan lapisan aplikasi yang proaktif, berkelanjutan, dan otomatis tanpa mengganggu operasi bisnis.
Untuk lalu lintas outbound di batas internet, fitur pencegahan intrusi Cloud Firewall mendukung TLS inspection untuk mendekripsi dan menginspeksi lalu lintas terenkripsi. Untuk lalu lintas inbound, kami merekomendasikan penggunaan Web Application Firewall.
Kemampuan intelijen ancaman
Alibaba Cloud menghasilkan intelijen ancaman melalui fusi data multidimensi dan analisis cerdas untuk memastikan intelijen tersebut sangat andal.
Sumber data
-
Peristiwa serangan di seluruh cloud: Menangkap lalu lintas dan sampel serangan secara real-time dari sensor yang ditempatkan di cloud publik dan jaringan mitra.
-
Log lalu lintas keamanan anonim dalam jumlah besar: Menganalisis lalu lintas jaringan yang telah disanitasi untuk mengekstraksi pola serangan dan koneksi berbahaya.
-
Intelijen ancaman open-source global: Mengintegrasikan dan memverifikasi intelijen open-source (OSINT) dari organisasi industri otoritatif dan komunitas keamanan.
-
Berbagi intelijen mitra: Pertukaran data tepercaya dengan penyedia layanan, vendor cloud computing, dan organisasi keamanan lainnya.
Metode generasi dan standar identifikasi
-
Analisis korelasi multidimensi: Membangun graf ancaman lengkap dengan mengorelasikan informasi seperti alamat IP, domain, URL, hash file, dan teknik serangan untuk mengurangi false positive.
-
Mesin analisis cerdas
-
Model big data dan pembelajaran mesin: Menggunakan model analisis perilaku dan deteksi anomali untuk secara otomatis mengidentifikasi pola berbahaya mencurigakan dan keluarga ancaman baru dari dataset besar.
-
Sistem aturan ahli: Menerapkan aturan deteksi tepat yang disempurnakan oleh pakar keamanan untuk mencocokkan jenis ancaman yang dikenal secara cepat dan akurat.
-
Skor reputasi dinamis: Menghitung skor reputasi dinamis untuk setiap indikator ancaman berdasarkan faktor seperti riwayat aktivitas, cakupan distribusi, jenis ancaman, dan tingkat kepercayaan.
-
-
Analisis dan verifikasi manual: Untuk ancaman bernilai tinggi atau kompleks, analis keamanan kami melakukan tinjauan akhir untuk memastikan intelijen tersebut akurat dan andal.
Kategori inti intelijen ancaman
Intelijen ancaman Alibaba Cloud disusun berdasarkan elemen kunci interaksi jaringan dan dibagi menjadi tiga kategori: intelijen ancaman IP, intelijen ancaman domain, dan intelijen ancaman URL. Intelijen ancaman IP selanjutnya dibagi menjadi intelijen ancaman arah keluar dan arah masuk berdasarkan arah lalu lintas.
Intelijen ancaman IP arah keluar
-
Target pencocokan: Alamat IP tujuan yang diakses secara proaktif oleh jaringan internal.
-
Nilai inti: Mendeteksi apakah host internal telah dikompromikan (misalnya, terinfeksi backdoor trojan atau menjadi bagian jaringan bot) atau terdapat aktivitas arah keluar yang tidak sesuai atau berbahaya (seperti mengakses pool penambangan atau server C&C).
-
Jenis dan deskripsi:
Jenis
Deskripsi
Tor node
Mencocokkan alamat IP yang dikenal sebagai node exit, entry, atau relay jaringan Tor. Akses dari host internal dapat mengindikasikan upaya anonimisasi komunikasi untuk menyembunyikan aktivitas berbahaya seperti pencurian data atau command and control.
Mining
Mencocokkan alamat IP yang digunakan untuk komunikasi trojan penambangan mata uang kripto atau alamat IP pool penambangan publik/tersembunyi. Akses ke alamat IP tersebut mengindikasikan sistem mungkin terinfeksi program penambangan yang mengonsumsi daya komputasi.
C&C
Mencocokkan alamat IP server C&C untuk malware seperti jaringan bot, trojan akses jarak jauh, dan ransomware. Host yang dikompromikan mengakses alamat IP ini untuk menerima perintah serangan atau mengirim kembali data.
APT
Mencocokkan alamat IP infrastruktur yang dimiliki atau digunakan oleh kelompok Ancaman Persisten Lanjutan (APT). Akses ke alamat IP tersebut sangat mengindikasikan serangan bertarget dan canggih.
Reverse shell
Mencocokkan alamat IP yang teramati menerima koneksi reverse shell. Host internal yang mengakses alamat IP tersebut mungkin sedang mencoba membangun saluran kendali balik yang melewati firewall.
Phishing
Mencocokkan alamat IP server backend yang digunakan untuk meng-host website phishing. Mengakses alamat IP tersebut mungkin berarti pengguna telah mengklik tautan phishing dan terhubung ke server penipuan.
Sumber unduhan berbahaya
Mencocokkan alamat IP server yang digunakan untuk mendistribusikan malware seperti virus, trojan, dan spyware. Akses ke alamat IP tersebut mungkin mengindikasikan unduhan atau pembaruan muatan berbahaya.
Intelijen ancaman IP arah masuk
-
Target pencocokan: Alamat IP sumber yang digunakan jaringan eksternal untuk mengakses aset internal secara proaktif.
-
Nilai inti: Mendeteksi dan memberikan peringatan real-time tentang serangan eksternal yang menargetkan perimeter jaringan, server, dan sistem aplikasi Anda.
-
Jenis dan deskripsi:
Jenis
Deskripsi
Scanning
Mencocokkan alamat IP yang menunjukkan perilaku pengintaian seperti pemindaian port, probing layanan, dan pemetaan jaringan. Ini merupakan aktivitas persiapan khas sebelum serangan.
Brute-force attack
Mencocokkan alamat IP yang meluncurkan banyak percobaan login terhadap layanan seperti SSH, RDP, FTP, database, dan portal login web.
Vulnerability exploit
Mencocokkan alamat IP yang meluncurkan serangan yang mengeksploitasi kerentanan yang dikenal, seperti Apache Log4j2 dan EternalBlue. Karakteristiknya termasuk mengirim muatan serangan spesifik atau traffic rantai eksploitasi.
SQL injection
Mencocokkan alamat IP yang menyuntikkan kode SQL berbahaya ke parameter aplikasi web dalam upaya memanipulasi database.
Code execution
Mencocokkan alamat IP yang mencoba mengeksekusi perintah atau kode sistem jarak jauh dengan mengeksploitasi kerentanan pada aplikasi web atau layanan.
Webshell
Mencocokkan alamat IP yang mencoba mengunggah file webshell atau berkomunikasi dengan backdoor webshell yang dikenal.
XSS attack
Mencocokkan alamat IP yang meluncurkan serangan skrip lintas situs (XSS) untuk menyuntikkan skrip berbahaya ke halaman web.
Intelijen ancaman domain
-
Target pencocokan: Nama domain yang di-resolve atau diakses oleh host internal.
-
Nilai inti: Penyerang sering kali secara dinamis mengganti alamat IP dengan menggunakan nama domain untuk menghindari pemblokiran. Intelijen domain memberikan cara yang lebih persisten dan efektif untuk mendeteksi akses ke infrastruktur berbahaya berbasis domain.
-
Jenis dan deskripsi:
Jenis
Deskripsi
Dnslog domain
Mencocokkan domain platform logging DNS yang umum digunakan untuk verifikasi serangan atau eksfiltrasi data. Akses abnormal yang tidak diinisiasi pengguna dapat mengindikasikan bahwa kerentanan sistem (seperti blind SQL injection atau eksekusi kode jarak jauh) telah berhasil dieksploitasi, menyebabkan resolusi DNS tidak disengaja dan kebocoran data.
Dark web proxy
Mencocokkan domain proxy web (seperti Tor2web) yang menyediakan akses ke jaringan dark web seperti Tor. Mengakses domain tersebut sering kali merupakan titik awal untuk mengakses layanan dark web.
Sinkhole domain
Mencocokkan domain yang rekaman DNS-nya telah dialihkan ke "sinkhole" (alamat tidak valid) oleh vendor keamanan atau operator karena aktivitas berbahaya atau penyalahgunaan. Upaya akses menunjukkan adanya malware atau kesalahan konfigurasi di jaringan internal.
Mining
Mencocokkan domain pool penambangan atau domain server pembaruan yang dihubungi oleh skrip atau trojan penambangan.
C&C
Mencocokkan domain yang terkait dengan keluarga malware yang menggunakan nama domain alih-alih alamat IP statis untuk server C&C mereka.
APT
Mencocokkan domain eksklusif yang didaftarkan dan digunakan oleh kelompok APT untuk kampanye jangka panjang.
Phishing
Mencocokkan domain website phishing yang menyamar sebagai organisasi sah seperti bank atau platform media sosial.
Sumber unduhan berbahaya
Mencocokkan domain yang digunakan untuk mendistribusikan malware, yang sering disembunyikan oleh layanan pemendek URL atau CDN.
Intelijen ancaman URL
-
Target pencocokan: Alamat web lengkap (URL) yang diakses oleh host internal.
-
Nilai inti: Memungkinkan penargetan tepat terhadap tujuan akses dan membantu mengidentifikasi halaman berbahaya spesifik yang di-host di layanan cloud sah atau alamat IP bersama.
-
Jenis dan deskripsi:
Jenis
Deskripsi
Mining
Mencocokkan URL halaman spesifik yang menyematkan skrip penambangan berbasis web (seperti Coinhive) atau halaman manajemen pool penambangan.
C&C
Mencocokkan path URL spesifik yang berfungsi sebagai panel kendali atau antarmuka pertukaran data untuk trojan atau jaringan bot.
APT
Mencocokkan URL yang digunakan dalam kampanye APT, seperti tautan ke unduhan dokumen yang dipersenjatai atau halaman eksploitasi kerentanan.
Phishing
Mencocokkan URL halaman phishing yang sangat realistis yang digunakan untuk mencuri kredensial akun atau informasi pembayaran.
Sumber unduhan berbahaya
Mencocokkan tautan unduhan yang mengarah langsung ke file executable berbahaya (seperti .exe dan .dll), skrip, atau dokumen.
Cara Kerja IPS Cloud Firewall
Cloud Firewall diterapkan dalam jaringan cloud dalam mode seri. Cloud Firewall melindungi lalu lintas dari dan ke Internet, lalu lintas yang melewati gerbang NAT, lalu lintas antar virtual private cloud (VPC) di jaringan internal, serta lalu lintas antara cloud dan pusat data lokal. Gambar berikut menunjukkan arsitektur jaringannya.
Cloud Firewall memantau seluruh lalu lintas jaringan yang melewatinya, menyaring lalu lintas tersebut menggunakan mesin IPS dan mesin ACL Cloud Firewall, lalu meneruskan lalu lintas normal.
Cloud Firewall menggunakan mesin deep packet inspection (DPI) untuk mendeteksi dan mengidentifikasi lalu lintas jaringan, mengenali protokol, serta mengurai paket. Untuk serangan IPS dan intelijen ancaman, Cloud Firewall melakukan penyaringan aliran dan paket. Jika lalu lintas sesuai dengan mode mesin ancaman yang dikonfigurasi (Monitor Mode, Block Mode - Loose, Block Mode - Medium, atau Block Mode - Strict) dan memicu aturan IPS, Cloud Firewall akan menjatuhkan atau mengizinkan paket berbahaya tersebut berdasarkan aksi aturan tersebut. Hal ini memungkinkan peringatan dan pemblokiran serangan secara real-time.
Jenis serangan yang didukung oleh Cloud Firewall
Untuk informasi selengkapnya tentang cara mengonfigurasi mode mesin deteksi ancaman, lihat konfigurasi IPS.
Attack type |
Attack hazard |
Suggestion |
Suspicious connection |
Penyerang dapat menggunakan scanner untuk memindai port terbuka pada server. Jika server memiliki port database yang tidak sah atau layanan dengan kata sandi lemah, kehilangan data atau kebocoran data dapat terjadi. Misalnya, akses tidak sah ke Redis merupakan risiko umum. Jika pengaturan keamanan database Redis tidak dikonfigurasi dengan benar, penyerang dapat memperoleh data sensitif atau merusak database melalui akses tidak sah tersebut. |
Jika Anda memiliki sejumlah aplikasi non-web, seperti aplikasi MySQL dan SQL Server yang mengaktifkan port 80, 443, atau 8080, perhatikan apakah aturan untuk perilaku seperti shellcode dan operasi sensitif terpicu. Aturan tersebut juga merupakan metode serangan yang ditujukan untuk aplikasi non-web. Jika Anda tidak memiliki aplikasi non-web tersebut, kami menyarankan Anda mengaktifkan Block Mode - Strict. |
Command execution |
Jika penyerang mengeksekusi perintah berbahaya, konsekuensi serius dapat terjadi. Misalnya, izin kontrol server dapat diambil alih, data sensitif bocor, dan sistem lain diserang. Sebagai contoh, penyerang dapat mengeksploitasi kerentanan Log4j untuk mengeksekusi perintah berbahaya, yang menimbulkan ancaman keamanan. |
Anda dapat menggunakan mode Block Mode - Loose untuk melindungi sebagian besar aplikasi web dari serangan RCE umum maupun tidak umum. Mode ini juga memenuhi kebutuhan perlindungan harian Anda. Serangan RCE merupakan jenis serangan paling berbahaya di antara berbagai jenis serangan. Jika Anda menggunakan mode Block Mode - Medium untuk melindungi dari serangan RCE, Anda harus memperhatikan detail pemicuan aturan untuk setiap modul. Jika bisnis Anda kompleks dan melibatkan banyak aplikasi non-web, kami menyarankan Anda mengaktifkan Block Mode - Strict. |
Scanning |
Jika mesin atau perangkat jaringan kelebihan beban akibat pemindaian jaringan, gangguan layanan atau masalah stabilitas dapat terjadi. Akibatnya, sistem mungkin berhenti merespons atau layanan menjadi tidak tersedia. |
Kami menyarankan Anda memeriksa apakah named pipe Server Message Block (SMB) diaktifkan dalam bisnis Anda. Named pipe SMB digunakan untuk fitur seperti berbagi file. Jika Anda tidak perlu menggunakan named pipe SMB dalam bisnis Anda, kami menyarankan Anda menonaktifkannya untuk mengurangi potensi risiko keamanan. Jika Anda perlu menggunakan named pipe SMB, kami menyarankan Anda mengaktifkan Block Mode - Medium atau Block Mode - Strict. |
Information leakage |
Kebocoran informasi dapat menyebabkan pelanggaran hak privasi pribadi serta penggunaan tidak sah atas informasi sensitif, seperti nomor KTP, informasi kontak, dan informasi keuangan. |
Definisi kebocoran informasi dapat berbeda-beda tergantung bisnis Anda. Perhatikan detail pemicuan aturan dalam Block Mode - Medium dan Block Mode - Strict. Kami menyarankan Anda mengaktifkan Monitor Mode untuk memantau detail pemicuan aturan dan memeriksa apakah terjadi false positive dalam satu siklus bisnis, misalnya 24 jam, seminggu, atau sebulan. Jika tidak ada laporan false positive dalam Monitor Mode, artinya lalu lintas normal tidak diidentifikasi sebagai ancaman. Dalam hal ini, Anda dapat mengaktifkan Block Mode - Medium atau Block Mode - Strict. |
DoS attack |
Jika mesin atau perangkat jaringan kelebihan beban akibat serangan DoS, gangguan layanan atau masalah stabilitas dapat terjadi. Akibatnya, sistem mungkin berhenti merespons atau layanan menjadi tidak tersedia. |
Serangan DoS relatif kurang berbahaya. Anda dapat memeriksa apakah layanan Anda terganggu atau terhenti karena penyebab yang tidak diketahui. Jika layanan Anda tidak terpengaruh, Anda dapat mempertahankan pengaturan Block Mode - Loose. Jika bisnis Anda memerlukan tingkat ketersediaan layanan yang tinggi, Anda dapat memilih Block Mode - Medium atau Block Mode - Strict. |
Overflow attack |
Jika mesin atau perangkat jaringan kelebihan beban akibat serangan overflow, gangguan layanan atau masalah stabilitas dapat terjadi. Akibatnya, sistem mungkin berhenti merespons atau layanan menjadi tidak tersedia. |
Serangan overflow terjadi ketika titik input dalam representasi biner tidak dikontrol secara ketat. Dalam kondisi ini, terjadi akses di luar batas saat konfigurasi parameter, dan memicu serangan lain seperti eksekusi perintah dan kebocoran informasi. Saat melindungi dari serangan overflow, perhatikan detail pemicuan serangan aplikasi non-web. Jika bisnis Anda terutama melibatkan aplikasi web, Anda dapat memilih Block Mode - Loose. Jika bisnis Anda melibatkan banyak aplikasi non-web, kami menyarankan Anda memilih Block Mode - Medium atau Block Mode - Strict. |
Web attack |
Serangan web merupakan ancaman keamanan serius. Penyerang dapat memperoleh izin kontrol pada server tertentu dan mencuri data sensitif melalui serangan web. Hal ini dapat menyebabkan gangguan layanan. |
Serangan web umum mencakup injeksi SQL, serangan XSS, dan file arbitrer yang tercantum dalam Open Web Application Security Project (OWASP) Top 10. Untuk mencegah serangan ini, kami menyarankan Anda melakukan pengujian ketat selama rilis canary dan rilis resmi aturan. Kami juga menyarankan Anda mengaktifkan Block Mode - Medium atau Block Mode - Strict selama operasi dan pemeliharaan rutin. |
Trojan |
Trojan adalah jenis malware yang memberikan akses tidak sah berkelanjutan ke mesin korban. Penyerang dapat mengakses sistem lagi bahkan setelah kerentanan sistem diperbaiki. Penyerang dapat memantau sistem yang telah dikompromikan dalam jangka waktu lama dan mencuri data sensitif menggunakan trojan. Sistem yang dikompromikan oleh trojan dapat menyebabkan tanggung jawab hukum, tuntutan hukum, denda, dan kerusakan reputasi. |
Dalam kebanyakan kasus, enkripsi, obfuscation, dan encoding digunakan dalam komunikasi trojan untuk melewati langkah-langkah perlindungan. Dalam mode Block Mode - Strict, fitur-fitur lemah biasanya digunakan untuk deteksi dan pemblokiran. Dalam operasi harian, kami menyarankan Anda mengaktifkan mode Block Mode - Medium. Kami menyarankan Anda mengaktifkan Block Mode - Medium atau Block Mode - Strict selama operasi dan pemeliharaan rutin. |
Worm |
Worm adalah jenis malware persisten yang memberikan akses tidak sah berkelanjutan ke mesin korban. Penyerang dapat mengakses sistem lagi bahkan setelah kerentanan sistem diperbaiki. Penyerang dapat memantau sistem yang telah dikompromikan dalam jangka waktu lama dan mencuri data sensitif menggunakan worm. Pada saat yang sama, sistem yang dikompromikan oleh worm dapat menyebabkan tanggung jawab hukum, tuntutan hukum, denda, dan kerusakan reputasi. |
Dalam kebanyakan kasus, jenis serangan ini mengkompromikan host. Jika suatu aturan terpicu dalam Monitor Mode, Anda harus menggunakan fitur analisis jejak balik untuk mengidentifikasi sumber serangan dan mengambil tindakan pencegahan yang tepat. Jika tidak ada aturan yang terpicu, host berjalan dengan aman. Dalam hal ini, kami menyarankan Anda mengaktifkan Block Mode - Medium. |
Mining |
Mining adalah perilaku berbahaya yang menghabiskan bandwidth dan daya komputasi mesin, sehingga menyebabkan sistem tersendat dan memengaruhi kinerja sistem. Akibatnya, terjadi masalah seperti aplikasi berjalan lambat dan latensi respons, yang berdampak negatif terhadap efisiensi dan pengalaman pengguna. |
Dalam kebanyakan kasus, jenis serangan ini mengkompromikan host. Jika suatu aturan terpicu dalam Monitor Mode, Anda harus menggunakan fitur analisis jejak balik untuk mengidentifikasi sumber serangan dan mengambil tindakan pencegahan yang tepat. Jika tidak ada aturan yang terpicu, host berjalan dengan aman. Dalam hal ini, kami menyarankan Anda mengaktifkan Block Mode - Medium. |
Reverse shell |
Reverse shell adalah alat serangan yang memberikan akses tidak sah berkelanjutan ke mesin korban. Penyerang dapat mengakses sistem lagi bahkan setelah kerentanan sistem diperbaiki. Penyerang dapat memantau sistem yang telah dikompromikan dalam jangka waktu lama dan mencuri data sensitif menggunakan reverse shell. Pada saat yang sama, sistem yang dikompromikan oleh reverse shell dapat menyebabkan tanggung jawab hukum, tuntutan hukum, denda, dan kerusakan reputasi. |
Dalam kebanyakan kasus, jenis serangan ini mengkompromikan host. Jika suatu aturan terpicu dalam Monitor Mode, Anda harus menggunakan fitur analisis jejak balik untuk mengidentifikasi sumber serangan dan mengambil tindakan pencegahan yang tepat. Jika tidak ada aturan yang terpicu, host berjalan dengan aman. Dalam hal ini, kami menyarankan Anda mengaktifkan Block Mode - Medium. Deteksi reverse shell Bash tidak mencakup port 80. Dalam skenario serangan dan pertahanan tipikal, port 80 tidak digunakan untuk operasi reverse shell, dan memantaunya untuk tujuan ini dapat menghasilkan false positive yang memengaruhi lalu lintas bisnis yang sah. |
Others |
Serangan yang digunakan untuk koneksi keluar ilegal dan serangan yang disebabkan oleh koneksi keluar termasuk dalam kategori ini. Serangan yang tidak dapat diklasifikasikan juga termasuk. |
|
Mode mesin deteksi ancaman
Mode mesin deteksi ancaman terdiri dari mode Monitor dan mode Block. Aksi kebijakan perlindungan dasar dan kebijakan pembenahan virtual bervariasi tergantung pada mode mesin deteksi ancaman. Misalnya, jika Anda mengatur mesin deteksi ancaman ke mode Block - Strict, aksi kebijakan perlindungan dasar dan kebijakan pembenahan virtual adalah Block. Daftar berikut menjelaskan mode mesin deteksi ancaman.
Category |
Scenario |
Description |
Example |
|
Monitor | Perlindungan tidak didukung. | Dalam mode Monitor, sistem hanya mencatat serangan dan menghasilkan peringatan untuk serangan tersebut. Namun, sistem mencegat serangan dalam mode Block. | Kerentanan DoS jarak jauh pada Apache Tomcat (CVE-2014-0075), kerentanan SSRF Atlassian Jira (CVE-2019-16097), dan komunikasi perangkat lunak backdoor Godlua | |
Block |
Loose |
Sistem memblokir serangan secara longgar menggunakan aturan yang mencegah tingkat false positive yang tinggi. Tingkat ini cocok untuk bisnis yang mengutamakan minimalisasi false positive. |
Pada tingkat ini, sistem mendeteksi kata kunci dan parameter kunci dari eksploitasi kerentanan dalam paket dan perilaku serangan. Tidak akan dihasilkan false positive. |
Kerentanan RCE pada Apache Struts 2 (CVE-2018-11776), akses tidak sah ke Spark REST API (CVE-2018-11770), dan kerentanan RCE Jenkins (CVE-2018-1000861) |
Medium |
Sistem memblokir serangan secara standar. Tingkat ini cocok untuk operasi dan pemeliharaan harian. |
Pada tingkat ini, sistem menggunakan aturan umum untuk mendeteksi berbagai jenis serangan secara komprehensif berdasarkan berbagai metode deteksi eksploitasi kerentanan. Tingkat ini memberikan tingkat false positive lebih rendah dibandingkan tingkat Loose. |
Kerentanan RCE pada Oracle WebLogic Server (CVE-2020-2551), kerentanan RCE pada Microsoft Windows RDP Client (CVE-2020-1374), dan serangan DoS SMBv1 (CVE-2020-1301) |
|
Strict |
Sistem memblokir serangan secara ketat menggunakan semua aturan. Tingkat ini cocok untuk bisnis yang mengutamakan minimalisasi false negative. Tingkat ini dapat menyebabkan tingkat false positive lebih tinggi dibandingkan tingkat Medium. |
Pada tingkat ini, sistem mendeteksi kerentanan berisiko tinggi, seperti stack overflow dan buffer overflow, yang sebagian besar merupakan kerentanan protokol Layer-4. Sistem mengidentifikasi serangan berdasarkan berbagai metode seperti analisis protokol, pencocokan kata kunci, multiple redirect, dan offset kata kunci. |
Luapan buffer pemrosesan permintaan HTTP Squid Proxy (CVE-2020-8450), kebocoran header panjang nol Nginx yang menyebabkan denial of service (CVE-2019-9516), dan injeksi perintah Oracle WebLogic |
|