Cara Install dan Konfigurasi Suricata IDS/IPS di Ubuntu 24.04

Pengantar

Keamanan server merupakan salah satu aspek penting yang perlu diperhatikan, terutama apabila server digunakan untuk menjalankan website, aplikasi, database, maupun berbagai layanan penting lainnya. Selain menerapkan firewall dan rutin memperbarui sistem, administrator juga perlu memiliki mekanisme untuk mendeteksi aktivitas mencurigakan yang terjadi pada jaringan secara real-time.

Salah satu solusi yang banyak digunakan adalah Suricata, sebuah perangkat lunak open source yang dapat berfungsi sebagai Intrusion Detection System (IDS) maupun Intrusion Prevention System (IPS). Suricata mampu menganalisis lalu lintas jaringan, mendeteksi pola serangan berdasarkan signature, serta menghasilkan log yang dapat digunakan untuk pemantauan, audit, dan investigasi keamanan.

Pada artikel ini, Anda akan mempelajari cara menginstal dan mengonfigurasi Suricata IDS/IPS di Ubuntu 24.04, mulai dari proses instalasi, konfigurasi dasar, memperbarui rule, hingga melakukan pengujian untuk memastikan Suricata dapat digunakan sebagai sistem pendeteksi ancaman pada server.

Apa Itu Suricata?

Suricata merupakan mesin pendeteksi ancaman jaringan (Network Threat Detection Engine) yang dikembangkan oleh Open Information Security Foundation (OISF). Aplikasi ini dirancang untuk memantau lalu lintas jaringan secara real-time dan mendeteksi berbagai jenis serangan berdasarkan rule atau signature yang digunakan.

Berbeda dengan firewall yang berfungsi mengatur lalu lintas jaringan berdasarkan aturan tertentu, Suricata mampu melakukan Deep Packet Inspection (DPI). Dengan kemampuan ini, Suricata dapat mengenali berbagai ancaman seperti port scanning, brute force, malware, exploit, hingga aktivitas jaringan yang tidak normal.

Beberapa keunggulan Suricata antara lain:

Open source dan gratis digunakan.
Mendukung mode Intrusion Detection System (IDS) maupun Intrusion Prevention System (IPS).
Memiliki performa tinggi dengan dukungan multi-threading.
Mendukung berbagai protokol jaringan seperti HTTP, HTTPS, DNS, FTP, SSH, SMTP, dan lainnya.
Dapat diintegrasikan dengan SIEM seperti Wazuh, ELK Stack, maupun Splunk.

Dengan berbagai fitur tersebut, Suricata menjadi salah satu solusi yang banyak digunakan untuk meningkatkan keamanan jaringan pada server, VPS, maupun lingkungan enterprise.

Memahami Perbedaan IDS dan IPS

Sebelum melakukan instalasi, ada baiknya memahami dua mode kerja yang didukung oleh Suricata, yaitu Intrusion Detection System (IDS) dan Intrusion Prevention System (IPS).

Mode IDS (Intrusion Detection System)

Pada mode IDS, Suricata hanya memantau lalu lintas jaringan. Apabila ditemukan aktivitas yang sesuai dengan rule serangan, Suricata akan menghasilkan alert atau log tanpa memblokir koneksi tersebut.

Mode ini cocok digunakan untuk proses monitoring, audit keamanan, maupun tahap awal implementasi karena tidak mengganggu layanan yang sedang berjalan.

Mode IPS (Intrusion Prevention System)

Pada mode IPS, Suricata tidak hanya mendeteksi ancaman, tetapi juga dapat memblokir paket yang dianggap berbahaya sebelum mencapai aplikasi atau layanan di server.

Untuk menjalankan fungsi ini, Suricata umumnya diintegrasikan dengan Linux Netfilter melalui NFQUEUE sehingga lalu lintas jaringan dapat difilter secara langsung.

Keterangan:
Pada tutorial ini, Suricata akan dijalankan dalam mode IDS. Mode ini lebih aman untuk tahap awal karena hanya melakukan pemantauan tanpa memblokir lalu lintas jaringan.

Persiapan Sebelum Instalasi

Pastikan server telah memenuhi persyaratan berikut sebelum memulai instalasi.

Ubuntu Server 24.04.
User dengan hak akses sudo.
Koneksi internet.
CPU minimal 2 Core.
RAM minimal 2 GB (disarankan 4 GB atau lebih).
Ruang penyimpanan kosong minimal 10 GB.

Install Suricata di Ubuntu 24.04

Install Suricata
Ubuntu 24.04 telah menyediakan paket Suricata pada repository resmi sehingga proses instalasinya cukup mudah.
Perbarui daftar paket, kemudian install Suricata.
```
sudo apt update
sudo apt install suricata -y
```
Setelah instalasi selesai, verifikasi instalasi dengan menjalankan perintah berikut.
```
suricata -V
```
Jika berhasil, akan muncul informasi versi Suricata yang terpasang, misalnya Suricata version 7.x.x.

Anda juga dapat melihat informasi build Suricata menggunakan perintah berikut.
```
suricata --build-info
```
Keterangan:
Informasi build menampilkan fitur yang didukung Suricata, seperti metode packet capture, library yang digunakan, dan modul yang diaktifkan saat proses kompilasi.

Mengaktifkan Service Suricata

Mengaktifkan Layanan Suricata
Aktifkan layanan Suricata agar berjalan otomatis setiap kali server dinyalakan.
```
sudo systemctl enable suricata
```
Selanjutnya, jalankan layanan Suricata.
```
sudo systemctl start suricata
```
Periksa status layanan untuk memastikan Suricata telah berjalan.
```
sudo systemctl status suricata
```
Apabila berhasil, status layanan akan menampilkan informasi Active: active (running).

Mengenal File Konfigurasi Suricata

Membuka File Konfigurasi Suricata
File konfigurasi utama Suricata berada pada lokasi berikut.
```
/etc/suricata/suricata.yaml
```
Sebelum melakukan perubahan, buat cadangan file konfigurasi terlebih dahulu.
```
sudo cp /etc/suricata/suricata.yaml /etc/suricata/suricata.yaml.bak
```
Selanjutnya, buka file konfigurasi menggunakan editor teks.
```
sudo nano /etc/suricata/suricata.yaml
```
Keterangan:
Backup konfigurasi memudahkan proses pemulihan apabila terjadi kesalahan saat mengubah pengaturan Suricata.

Menentukan Interface Jaringan
Cari bagian berikut pada file konfigurasi Suricata.
```
af-packet:
```
Selanjutnya, ubah nilai interface sesuai dengan interface jaringan yang digunakan oleh server.

Contoh:
```
- interface: eth0
```
Apabila server menggunakan nama interface lain, seperti eth0, ens160, atau enp0s3, sesuaikan dengan kondisi server Anda.

Untuk mengetahui nama interface yang tersedia, jalankan perintah berikut.
```
ip a
```

Memperbarui Rule Suricata

Memperbarui Rule Suricata
Setelah instalasi selesai, unduh ruleset terbaru dengan menjalankan perintah berikut.
```
sudo suricata-update
```
Apabila berhasil, Suricata akan mengunduh dan menyimpan rule ke dalam sistem.

Contoh output:
```
Writing rules to /var/lib/suricata/rules/suricata.rules
```
Selanjutnya, restart layanan Suricata.
```
sudo systemctl restart suricata
```
Keterangan:
Pada instalasi baru, langkah ini wajib dilakukan karena file suricata.rules belum tersedia. Jika belum diperbarui, Suricata dapat menampilkan pesan No rule files match the pattern /var/lib/suricata/rules/suricata.rules saat pengujian konfigurasi.

Memastikan Rule Berhasil Dimuat

Memastikan Rule Berhasil Dimuat
Untuk memastikan seluruh rule berhasil dimuat, jalankan perintah berikut.
```
grep "^alert" /var/lib/suricata/rules/suricata.rules | wc -l
```
Contoh output:
```
52102
```
Keterangan:
Angka yang ditampilkan menunjukkan jumlah rule aktif. Jumlahnya dapat berbeda tergantung versi Suricata dan ruleset yang digunakan.

Menguji Konfigurasi Suricata

Menguji Konfigurasi Suricata
Setelah rule berhasil diperbarui, uji konfigurasi Suricata menggunakan perintah berikut.
```
sudo suricata -T -c /etc/suricata/suricata.yaml
```
Apabila konfigurasi sudah benar, akan muncul pesan seperti berikut.
```
Configuration provided was successfully loaded.
```
Keterangan:
Pesan tersebut menunjukkan bahwa file konfigurasi dan seluruh rule berhasil dimuat tanpa error.

Memantau Log Suricata

Melihat Log Suricata
Secara default, Suricata menyimpan seluruh log pada direktori berikut.
```
/var/log/suricata/
```
Beberapa file log yang sering digunakan antara lain:
- fast.log: Menampilkan alert dalam format ringkas.
- eve.json: Menyimpan log dalam format JSON.
- stats.log: Berisi statistik penggunaan Suricata.
- suricata.log: Menyimpan informasi proses layanan Suricata.
Untuk melihat alert secara langsung, jalankan perintah berikut.
```
sudo tail -f /var/log/suricata/fast.log
```
Untuk melihat log dalam format JSON, gunakan perintah berikut.
```
sudo tail -f /var/log/suricata/eve.json
```

Menguji Deteksi Suricata

Menguji Suricata
Untuk memastikan Suricata berjalan dengan baik, lakukan simulasi aktivitas jaringan dari perangkat lain, misalnya menggunakan Nmap.
```
nmap -sS IP_SERVER
```
Selanjutnya, pantau log Suricata menggunakan perintah berikut.
```
sudo tail -f /var/log/suricata/fast.log
```
Catatan:
Pada Ubuntu 24.04 dengan ruleset ET Open, tidak semua pemindaian Nmap akan menghasilkan alert karena beberapa signature dinonaktifkan untuk mengurangi false positive. Jika tidak ada alert, Anda tetap dapat memastikan Suricata berjalan dengan memeriksa status service, menjalankan suricata -T, serta memastikan file suricata.rules dan log Suricata telah berhasil dibuat.

Tips dan Catatan Penting

Perbarui ruleset secara berkala menggunakan sudo suricata-update agar Suricata dapat mendeteksi ancaman terbaru.
Pastikan interface jaringan pada file suricata.yaml telah sesuai dengan interface server.
Uji konfigurasi setiap kali melakukan perubahan menggunakan suricata -T untuk memastikan tidak ada kesalahan.
Pantau file fast.log dan eve.json untuk melihat alert maupun aktivitas jaringan.
Gunakan mode IDS terlebih dahulu sebelum beralih ke IPS agar tidak mengganggu lalu lintas yang sah.
Integrasikan Suricata dengan platform SIEM seperti Wazuh atau ELK Stack untuk mempermudah proses monitoring dan analisis log.

Kesimpulan

Suricata merupakan solusi Intrusion Detection System (IDS) dan Intrusion Prevention System (IPS) open source yang dapat membantu memantau serta mendeteksi berbagai ancaman pada jaringan secara real-time. Dengan dukungan ruleset yang terus diperbarui, Suricata menjadi salah satu pilihan yang tepat untuk meningkatkan keamanan server Linux.

Melalui panduan ini, Anda telah mempelajari cara menginstal dan mengonfigurasi Suricata di Ubuntu 24.04, mulai dari instalasi, konfigurasi dasar, memperbarui rule, hingga melakukan pengujian dan memantau log. Setelah memahami dasar-dasarnya, Anda dapat mengembangkan konfigurasi sesuai kebutuhan, seperti mengaktifkan mode IPS atau mengintegrasikannya dengan platform SIEM seperti Wazuh maupun ELK Stack untuk mempermudah proses monitoring dan analisis keamanan.