Jurnal Pengembangan Teknologi Informasi dan Ilmu Komputer e-ISSN: 2548-964X

Vol. 5, No. 4, April 2021, hlm. 1329-1333 [Link]

Deteksi Serangan DDoS Pada Jaringan Berbasis SDN Dengan Klasifikasi

Random Forest
Muhammad Khairullah Harto1, Achmad Basuki2

Program Studi Teknik Informatika, Fakultas Ilmu Komputer, Universitas Brawijaya

Email: 1mkharto@[Link], 2abazh@[Link]

Abstrak
Seiring dengan berkembangnya teknologi jaringan, semakin berkembang pula ancaman yang terkait
dengan jaringan, salah satunya adalah DDoS (Distributed Denial of Service). Infrastruktur jaringan
yang semakin maju dan terjangkau membuat DDoS semakin banyak terjadi. Dari tahun ke tahun, ada
peningkatan jumlah kasus serangan DDoS yang signifikan. Oleh karena itu, kajian terhadap berbagai
algoritme untuk melakukan klasifikasi data dalam jaringan yang merupakan DDoS dalam masih perlu
dilakukan. Jaringan SDN dipilih karena memiliki implementasi yang sederhana dan tidak memerlukan
banyak sumber daya karena informasi tentang topologi jaringan serta controller yang akan dibangun
menggunakan Ryu. Metode yang digunakan adalah algoritme Random Forest sebagai metode untuk
mengklasifikasikan serangan DDoS. Setelah dilakukan penelitian, peneliti menemukan bahwa
Random Forest bekerja dengan baik dalam melakukan deteksi terhadap serangan DDoS. Akurasi yang
cukup tinggi sekitar 90% dengan waktu deteksi rata-rata 0,3 detik.
Kata kunci: deteksi, DDoS, SDN, Random Forest
Abstract
Along with the development of network technology, threats related to the network are also growing,
one of which is DDoS (Distributed Denial of Service). The increasingly advanced and affordable
network infrastructure makes DDoS happen more and more. From year to year, there is a significant
increase in the number of DDoS attack cases. Therefore, it is still necessary to study various
algorithms for classifying data in networks that constitute deep DDoS. The SDN network was chosen
because it has a simple implementation and does not require a lot of resources because of the
information about the network topology and the controller that will be built using Ryu. The method
used is the Random Forest algorithm as a method for classifying DDoS attacks. After conducting the
research, the researchers found that Random Forest performed well in detecting DDoS attacks. The
accuracy is quite high around 90% with an average detection time of 0.3 seconds.
Keywords: detection, DDoS, SDN, Random Forest

membuat botnet/ zombies semakin subur.

1. PENDAHULUAN Daya hancur yang dihasilkan pun juga
DDoS (Distributed Denial of Service) semakin kuat dengan MTU (Maximum
merupakan masalah lama dalam jaringan Transmission Unit) yang semakin besar
yang terus menjamur dan berkembang. (Osterweil, et al., 2019). DDoS sendiri
Dilansir dari halaman media digital IT merupakan serangan terhadap keamanan
“infosecurity” , jumlah kasus DDoS pada jaringan yang bertujuan untuk
kuartal pertama tahun 2019 meningkat melumpuhkan jaringan target dengan cara
sebanyak 84% dari kuartal keempat tahun mengirimkan banyak paket secara bertubi-
2018 (Hill, 2019). DDoS pun terus tubi dengan ukuran yang besar (Zargar, et
berevolusi dari waktu ke waktu. Evolusi al., 2013).
DDos sendiri terjadi pula karena Dalam penanganan DDoS umumnya
perkembangan infrastruktur jaringan yang diperlukan dua langkah dasar, identifikasi

Fakultas Ilmu Komputer

Universitas Brawijaya 1329
Jurnal Pengembangan Teknologi Informasi dan Ilmu Komputer 1330

dan filtering. Identifikasi dilakukan secara bahan voting. Jumlah decision tree yang
manual atau dengan bantuan IDS (Intrusion digenerate akan dibatasi berdasarkan
Detection System) maupun IPS (Intrusion kinerja baik berdasarkan metrik maupun
prevention System). Tujuannya adalah waktu, untuk memaksimalkan kecepatan
untuk menentukan atau mengidentifikasi pengambilan keputusan. Kinerja
kapan anomali terjadi dan asal anomali berdasarkan metrik meliputi akurasi,
tersebut. Identifikasi yang dilakukan oleh presisi, recall dan f1-score, yang
IDS maupun IPS sangat membantu dalam mengetahui apakah hasil deteksi sudah
penerapan tindakan untuk mengurangi sesuai sasaran. Sedangkan kinerja
dampak dari serangan. Selain itu, karena berdasarkan waktu adalah waktu yang
DDoS memiliki banyak varian, IDS dibutuhkan sistem untuk mendeteksi
maupun IPS mampu mengenali pola yang apakah lalu lintas yang sedang berjalan
tidak dapat dikenali dengan mudah oleh adalah serangan atau bukan. Hasil dari
mata manusia. Kombinasi dari IDS ataupun kinerja metrik dan waktu pengambilan
IPS dengan firewall merupakan arsitektur keputusan akan menentukan jumlah optimal
network security yang umum digunakan dari decision tree yang dibutuhkan dalam
pada keamanan jaringan. Penggunaan Random Forest, dimana kinerja secara
firewall sangat tergantung dari konfigurasi metrik bernilai mendekati sempurna dengan
administrator, sehingga administrator waktu pengambilan keputusan yang tidak
memegang penuh kendali. Tapi jika terlalu lama.
dikonfigurasi dengan filter yang terlalu
ketat, maka aktivitas normal bisa terhambat. 2. Landasan Kepustakaan
Jika dikonfigurasikan terlalu longgar, maka 2.1 Distributed Denial of Service (DDoS)
anomali pun juga akan sering terjadi. Oleh
karena itu firewall biasanya disandingkan DDoS adalah sekumpulan serangan Denial
dengan IDS ataupun IPS dalam praktiknya. of Service yang memiliki lebih dari satu alamat
IDS ataupun IPS akan memberikan traceback. Biasanya serangan DDoS
guideline untuk melakukan konfigurasi menggunakan entitas botnet/zombies. Cara
pada firewall. Namun perlu diketahui juga, kerja nya adalah dengan mengirimkan paket
data secara terus menerus dengan sasaran satu
bahwa IDS ataupun IPS tetap rentan
alamat yang sama. Paket yang digunakan
terhadap kesalahan. Pembaharuan berkala biasanya adalah fragment TCP (TCP syn flood),
perlu dilakukan untuk mengurangi ICMP (ping to death) dan UDP (UDP flood
kesalahan dalam proses identifikasi attack). Tujuan dari serangan ini adalah
(Hussain, 2018). membuat sistem yang diserang kehabisan
Berdasarkan paparan di atas, penelitian sumber daya sehingga kewalahan tidak mampu
ini mengusulkan mekanisme deteksi melayani request reguler (S.T Zargar, et al.,
terhadap DDoS. Mekanisme yang akan 2013)
diajukan, memanfaatkan lingkungan
jaringan SDN dengan menggunakan 2.2 Intrusion Detection System (IDS)
Random Forest. Random Forest dipilih
Secara analogi intrusion detection system
karena dalam melakukan klasifikasi DDoS
(IDS) adalah 'alarm pencuri' (atau lebih
atribut yang digunakan oleh penyerang tepatnya alarm intrusi) dalam keamanan
memiliki berbagai macam variasi, hal ini komputer, intrusion prevention system (IPS)
bertujuan untuk menghindari proses adalah satpamnya dan firewall adalah
deteksi. Variasi tersebut menciptakan area gerbangnya. Data yang masuk akan dilakukan
abu-abu, dimana serangan yang terjadi sulit seleksi awal oleh firewall, dengan aturan yang
dibedakan antara serangan atau bukan. sudah didefinisikan. Ketika sistem firewall
Random Forest menggunakan sistem telah tertembus oleh serangan, IDS akan
election, dimana setiap nilai data return memberikan pemberitahuan ke user atau sistem
decision tree yang digenerate akan menjadi pencegahan untuk menghalau serangan
tersebut. Tugas IDS hanya melakukan

Fakultas Ilmu Komputer, Universitas Brawijaya

Jurnal Pengembangan Teknologi Informasi dan Ilmu Komputer 1331

pemberitahuan informasi ketika system dijebol

saja (V Jaganesh, et al., 2015).

2.3 Algoritme Random Forest 3. METODOLOGI

Random Forest pada dasarnya adalah Cara kerja dari sistem yang akan
sekumpulan decision tree yang melakukan dibangun bisa dilihat pada gambar 1.
seleksi untuk satu kasus, lalu untuk menentukan Dataset dimasukkan yang kemudian akan
hasilnya setiap decision tree dalam random dibuat menjadi model Random Forest.
forest akan melakukan voting berdasarkan nilai Kemudian sistem akan merekan lalu lintas
return dari masing-masing tree (Tin Kam Ho, yang terjadi dan akan diuji berdasarkan
1995). Dengan adanya voting, nilai return akan
permodelan yang sudah dibuat.
jauh lebih akurat karena dapat menyentuh data
yang ambigu.
Berdasarkan data training yang sudah
direkam terlebih dahulu, dibentuk beberapa
pohon keputusan. Setiap pohon akan
melakukan klasifikasi untuk data baru. Hasil
klasifikasi kemudian dihimpun dan dihitung
berdasarkan hasilnya. Hasil terbanyak akan
menjadi kelas dari data tersebut (A. Liaw, et
al.,2002).
2.5 SDN
Software Defined Network (SDN) adalan
paradigma baru dalam membangun suatu
jaringan komputer. SDN memberikan harapan
baru untuk merubah keterbatasan dari
infrastruktur jaringan yang ada. Dalam susunan
infrastrukturnya, SDN memiliki beberapa
perbedaan dengan jaringan onvensional.
Pertama, SDN mengurai integrasi vertikal
dengan memisahkan pusat kontrol (control
plane) dan perangkat forwarding (Data Plane).
Kedua, pemisahan ini switch pada jaringan
hanya berperan sebagai forwarding device saja
dan pengontrol logika direpresentasikan sebagai
logically centralized controller(Diego Kreutz, et
al., 2014).
Selain dari sisi arsitekturnya, dari sisi
menajemennya juga berbeda. Jika router
menggunakan router OS sebagai pusat
manajemen, kini user bisa memprogram sendiri
bagaimana jaringan tersebut beroperasi.
Controller yang programmable dapat diubah Gambar 1 Diagram Alir Sistem
dan dimodifikasi sendiri oleh pengembang Dalam perancangan sistem deteksi
melalui middle box. Tidak terbatas pada rules
dengan metode menggunakan Software
dan flow table saja, controller juga dapat
diprogram untuk melakukan monitoring Defined Network dan Open Flow
jaringan dimana ia beroperasi (Izzat Alsmadi, et sebagai controller. Penelitian ini akan
al.,2015). mengimplementasikan arsitektur SDN
dengan satu buah server yang telah
terkonfigurasi dan bersedia untuk
melayani client, satu controller SDN
dan tiga SDN switch yang nantinya

Fakultas Ilmu Komputer, Universitas Brawijaya

 Jurnal Pengembangan Teknologi Informasi dan Ilmu Komputer 1332

akan mengarahkan request dari client dan seterusnya, kinerja sudah mendekati
menuju ke server. Untuk detail dan sempurna dan false rate yang dihasilkan nyaris
bentuk topologi, dapat dilihat pada tidak ada. Untuk melihat dinamika kinerja dari
gambar 2. sistem, bisa dilihat pada grafik pada gambar 2.

Gambar 3. Grafik kinerja berdasarkan f1_score

Gambar 2 Desain topologi
Pada gambar 3, grafik menunjukan
perbedaan kinerja pada sistem berdasarkan
Untuk dataset yang digunakan sebagai f1_score-nya. Perbedaan dari 5 pohon ke 10
data latih, menggunakan dataset dari pohon, ada lompatan kinerja yang lumayan
Universitas Muhammadiyah yang dihimpun besar, sedangkan dari 10 ke 15, lompatan kecil.
oleh Oxicusa Gugi Housman pada tahun Setelah 15 tree, grafik kinerja landai tanpa ada
2020. Data tersebut nantinya akan dilatih penurunan kinerja. Sehingga dapat disimpulkan
untuk membuat pemodelan Random Forest puncak dari kinerja tercapai pada jumlah
yang digunakan untuk proses klasifikasi. n_estimator adalah 15, penambahan
n_estimator lebih dari itu tidak akan memberi
4. HASIL PENGUJIAN DAN ANALISIS penambahan atau pengurangan kinerja
Pengujian dilakukan dengan proses 4.2 Analisis kinerja berdasarkan waktu
meliputi pengujian kinerja metrik berdarkan
jumlah pohon keputusan (n_estimator) yang Tabel 2 Kinerja Random Forest berdasarkan
dibuat dan waktu pengambilan keputusan waktu
berdasarkan jumlah pohon keputusan. n_estimator Time*
5 103
4.1 Analisis kinerja metrik berdasarkan 10 193
jumlah pohon keputusan 15 281
Tabel 1 Kinerja Random Forest dalam 20 370
25 465
mengidentifikasi DDoS Average 282.4
n_estima Akurasi Presisi Recall F1_score False *)dalam milisecond(ms)
tor rate
5 67% 0.53 0.67 0.57 0.33
10 97% 0.97 0.97 0.97 0.03
15 100% 1 1 1 0
20 100% 1 1 1 0
25 100% 1 1 1 0
Average 92.8% 0.9 0.928 0.908 0.072

Pada tabel 1 dapat dilihat masing- masing

kinerja dalam random forest dengan jumlah
pohon keputusan yang berbeda-beda. Ketika
jumlah pohon keputusan hanya 5, tingkat false
rate nya sangat tinggi. Ketika jumlah pohon
keputusan ada 10, kinerja dari sistem meningkat Gambar 4. Grafik kinerja berdasarkan waktu
drastis. False rate yang dihasilkan pun sangat pengambilan keputusan
rendah. Ketika pohon keputusan berjumlah 15
Fakultas Ilmu Komputer, Universitas Brawijaya
Jurnal Pengembangan Teknologi Informasi dan Ilmu Komputer 1333

Waktu pengambilan keputusan sangat 6. DAFTAR PUSTAKA

sensitif dengan jumlah n_estimator. Pada tabel
Alsmadi, I., & Xu, D. 2015. Security of
2 dan gambar 3, dapat dilihat peningkatan
Software Defined Networks: A survey.
waktu pengambilan keputusan terus bertambah
Computers and Security, 53, 79
seiring dengan penambahan n_estimator. Perlu
diketahui, library sklearn yang digunakan untuk Farnaaz, N., & Jabbar, M. A. 2016. Random
melakukan pemodelan, menjalankan Forest Modeling for Network Intrusion
n_estimator secara serial. Sehingga semakin Detection System. Procedia Computer
banyak pohon yang di-generate maka semakin Science, 89, 213–217.
lama juga waktu pengambilan keputusan. Rata- Ho, T. K. 1995. Random decision forests.
rata penambahan waktu untuk setiap 5 Proceedings of the International
n_estimator adalah 90 millisecond(ms). Conference on Document Analysis and
Berdasarkan data-data diatas, peneliti Recognition, ICDAR, 1, 278–282.
menyimpulkan bahwa jumlah optimum pohon Housman, Oxicusa Gugi; Isnaini, Hafida;
yang di-generate adalah 15. Hal ini karena Sumadi, Fauzi Dwi Setiawan 2020.
setelah 15 grafik kinerja landai, tidak ada SDN-DDOS (ICMP,TCP,UDP).
kenaikan ataupun penurunan. Selain itu waktu Mendeley Data. v1.
pengambilan keputusan yang dibutuhkan juga Hussain, A. 2018. Use of Firewall and Ids To
tidak terlalu panjang, masih dibawah 0.5 detik Detect and Prevent Network Attacks.
(500 milidetik). Selain itu jika pohon yang di- International Journal of Technical
generate ditambah lagi, kemungkinan beban Research & Science, 3(IX), 289–292.
kerja yang dihasilkan juga akan bertambah dari
sisi waktu dan sumber daya Jaiganesh, V., & Karthikeyan, M. M. 2015.
Intrusion Detection Systems : A survey
5. Kesimpulan and Analysis of Security Issues. 4(6),
553–556.
Berdasarkan hasil dari penelitian yang
Kreutz, D., Ramos, F. M. V., Verissimo, P. E.,
telah dilakukan dapat ditarik beberapa
Rothenberg, C. E., Azodolmolky, S., &
kesimpulan, yakni:
Uhlig, S. 2015. Software-defined
1. Berdasarkan pengujian yang telah
networking: A comprehensive survey.
dilakukan, kinerja Random forest dalam
Proceedings of the IEEE, 103(1), 14–
melakukan deteksi serangan DDoS dengan
76.
cukup baik. Rata-rata akurasi yang
dihasilkan adalah 92,8% dengan akurasi Liaw, A., & Wiener, M. 2002. Classification
maksimum bisa mencapai 100%. Untuk and regression by randomForest. R
presisi dan recall memiliki rata-rata hasil news, 2(3), 18-22.
0.90 untuk presisi dan 0.93 untuk recall. Osterweil, E., Stavrou, A., & Zhang, L. 2019.
Untuk rata-rata f1_score nya didapatkan 20 Years of DDoS: a Call to Action.
nilai 0.9 dengan false rate 7.2%. Waktu 1(1), 1–11.
pengambilan keputusannya juga terbilang Zargar, S. T., Joshi, J., & Tipper, D. 2013. A
singkat dengan rata-rata 282.4 ms atau survey of defense mechanisms against
sekitar 0.3 detik. distributed denial of service (DDOS)
2. Jumlah optimum pohon yang di-generate flooding attacks. IEEE
adalah 15. Hal ini karena setelah 15 grafik Communications Surveys and
kinerja landai, tidak ada kenaikan ataupun Tutorials, 15(4), 2046–2069.
penurunan. Selain itu waktu pengambilan
keputusan yang dibutuhkan juga tidak
terlalu panjang, 281 ms, 1 ms dibawah
rata-rata. Selain itu dengan jumlah 15
pohon yang di-generate, beban kerja mesin
juga tidak terlalu berat .

Fakultas Ilmu Komputer, Universitas Brawijaya