Cara Mengetahui Server Terkena Serangan DDoS dan Tandanya

Server yang tiba-tiba lambat, sulit diakses, atau mengalami timeout belum tentu terkena serangan DDoS. Kondisi tersebut juga dapat terjadi karena lonjakan pengguna yang normal, aplikasi bermasalah, network bottleneck, konfigurasi yang tidak tepat, atau kapasitas infrastruktur yang tidak lagi mencukupi.

Lantas, cara tahu server kena serangan DDoS bagaimana? Indikasinya dapat dilihat dengan menggabungkan beberapa metrik, seperti traffic, request rate, bandwidth, penggunaan CPU dan memory, latency, error rate, serta availability layanan.

CISA dan FBI menyebut network latency yang meningkat, performa aplikasi yang melambat, penggunaan CPU dan memory yang tinggi, traffic jaringan yang tidak normal, serta website yang tidak dapat diakses sebagai beberapa indikator yang dapat muncul ketika terjadi DDoS.

Namun, satu gejala saja tidak cukup untuk memastikan serangan. Tim IT perlu membandingkan kondisi saat gangguan dengan baseline normal dan menganalisis pola traffic maupun log untuk mengetahui penyebab sebenarnya.

Apa Itu Serangan DDoS pada Server?

Distributed Denial-of-Service atau DDoS adalah serangan yang bertujuan mengganggu ketersediaan suatu layanan dengan membanjiri target menggunakan traffic, paket, atau request dalam jumlah tertentu dari banyak sumber. Kementerian Komunikasi dan Digital menjelaskan bahwa serangan DDoS dapat membanjiri server atau jaringan dengan lalu lintas sehingga layanan tidak tersedia bagi pengguna yang sah.

DDoS dapat menyasar beberapa lapisan infrastruktur. Serangan pada layer jaringan dan transportasi, misalnya, dapat berupa SYN flood atau UDP flood. Sementara itu, serangan pada application layer dapat membanjiri aplikasi dengan HTTP request. Cloudflare saat ini mengelompokkan perlindungan DDoS antara lain pada layer 3/4 dan layer 7, dengan berbagai jenis attack vector yang berbeda.

Karena karakteristik serangan berbeda-beda, tidak semua DDoS selalu terlihat sebagai lonjakan bandwidth yang sangat besar. Serangan low and slow, misalnya, dapat menggunakan volume request yang relatif rendah tetapi berlangsung perlahan untuk menghabiskan resource aplikasi.

Baca Juga: 5 Alasan Netmonk Jadi Aplikasi Monitoring Server Terbaik untuk IT

Tanda Server Terkena Serangan DDoS

Beberapa perubahan berikut dapat menjadi tanda awal adanya serangan. Namun, indikator tersebut perlu dilihat secara bersamaan karena masing-masing juga dapat disebabkan oleh gangguan nonkeamanan.

Traffic atau Request Naik Secara Tidak Wajar

Lonjakan traffic merupakan salah satu indikator yang paling mudah terlihat. Server dapat menerima peningkatan jumlah paket atau request dalam waktu singkat sehingga bandwidth maupun resource menjadi lebih terbebani.

Namun, traffic tinggi tidak otomatis berarti DDoS. Kampanye digital, konten viral, promosi, peluncuran produk, atau peningkatan jumlah pengguna juga dapat menyebabkan lonjakan yang sah.

Karena itu, bandingkan traffic dengan pola historis. Jika terjadi peningkatan yang jauh berbeda dari baseline dan tidak ada aktivitas bisnis yang dapat menjelaskannya, pemeriksaan lebih lanjut diperlukan.

Bandwidth Mendekati atau Melewati Kapasitas

Ketika volume traffic meningkat, penggunaan bandwidth dapat ikut melonjak. Jika kapasitas koneksi terbatas, kondisi tersebut dapat menyebabkan layanan lain ikut terganggu.

Pantau perubahan bandwidth berdasarkan waktu dan bandingkan dengan kondisi normal. Perhatikan pula apakah kenaikan bandwidth terjadi bersamaan dengan peningkatan packet rate, request rate, error, atau penurunan availability.

Besarnya traffic juga dapat sangat bervariasi. Sebagai contoh, Komdigi melaporkan bahwa Lembaga Penjamin Simpanan (LPS) menghadapi serangan DDoS pada 2025 yang pada puncaknya mencapai 34 juta serangan per detik dengan traffic sekitar 960 Gbps. Serangan tersebut berasal dari puluhan juta alamat IP dari berbagai negara.

CPU dan Memory Server Mengalami Beban Tinggi

DDoS pada layer aplikasi dapat membuat server harus memproses request dalam jumlah besar sehingga CPU atau memory meningkat. Meski demikian, resource yang tinggi bukan bukti spesifik adanya DDoS.

Bug aplikasi, query database yang berat, proses background, peningkatan pengguna, atau konfigurasi yang tidak optimal juga dapat menghasilkan gejala serupa. Karena itu, penggunaan CPU dan memory sebaiknya dianalisis bersama traffic dan aktivitas aplikasi.

Latency dan Response Time Meningkat

Ketika jaringan atau server mengalami beban tinggi, waktu yang diperlukan untuk merespons request dapat meningkat. Pengguna mungkin merasakan website lebih lambat, halaman gagal dimuat, atau aplikasi membutuhkan waktu lebih lama untuk merespons.

CISA memasukkan network latency dan performa jaringan yang melambat sebagai salah satu indikator yang perlu diperhatikan ketika organisasi mencurigai DDoS.

Timeout, Error, dan Availability Memburuk

Jika kapasitas server atau jaringan tidak mampu menangani traffic yang masuk, timeout dan error dapat meningkat. Pada kondisi yang lebih berat, website atau aplikasi bahkan tidak dapat diakses.

Metrik seperti uptime, availability, HTTP response code, error rate, dan response time dapat membantu menentukan kapan gangguan dimulai dan layanan mana yang terdampak.

Pola Traffic dan Request Berubah

Jangan hanya melihat jumlah traffic. Pola request juga penting untuk dianalisis. Tim IT dapat memeriksa sumber traffic, request rate, endpoint yang paling banyak diakses, protocol, port, user-agent, serta karakteristik request lainnya.

Sistem mitigasi modern juga menganalisis parameter seperti source IP, source port, destination port, protocol, packet rate, HTTP header, URL path, HTTP method, dan request rate untuk mengenali pola serangan.

Baca Juga: Rekomendasi Monitoring Server Real-time dengan Netmonk

Cara Mengetahui Server Terkena Serangan DDoS

Setelah menemukan beberapa gejala, langkah berikutnya adalah memastikan apakah gangguan memang mengarah pada DDoS atau disebabkan masalah lain.

1. Tentukan Baseline Normal

Bandingkan kondisi saat terjadi gangguan dengan pola normal server dan jaringan. Data yang dapat dibandingkan antara lain traffic, bandwidth, CPU, memory, request rate, latency, error rate, dan availability.

Baseline penting karena setiap lingkungan memiliki karakteristik berbeda. Traffic yang dianggap sangat tinggi untuk satu server belum tentu abnormal untuk server lainnya.

2. Cari Korelasi Antar-Metrik

Perhatikan apakah beberapa perubahan terjadi pada waktu yang berdekatan.

Misalnya, request rate meningkat tajam, kemudian penggunaan CPU naik, response time memburuk, error bertambah, dan availability turun. Korelasi seperti ini memberikan konteks yang lebih kuat daripada hanya melihat CPU mencapai angka tertentu.

3. Periksa Log dan Pola Request

Access log, application log, firewall log, serta network traffic log dapat membantu mengidentifikasi pola yang tidak terlihat dari dashboard monitoring.

Periksa endpoint yang menjadi sasaran, jumlah request, sumber koneksi, protocol, port, dan jenis error. Jangan langsung memblokir traffic hanya berdasarkan satu karakteristik karena traffic yang sah juga dapat berasal dari banyak alamat IP.

4. Pastikan Tidak Ada Penyebab Lain

Sebelum menyimpulkan DDoS, periksa kemungkinan lain seperti gangguan ISP, network congestion, server overload, aplikasi error, database bermasalah, perubahan konfigurasi, atau lonjakan pengguna yang memang valid.

CISA juga menyarankan organisasi yang mencurigai DDoS untuk menghubungi ISP karena gangguan dapat berasal dari jaringan provider atau menjadikan organisasi sebagai korban tidak langsung.

5. Gunakan Sistem Deteksi dan Mitigasi

Untuk organisasi dengan kebutuhan availability tinggi, deteksi manual sebaiknya dilengkapi sistem monitoring dan proteksi yang dapat memberikan alert atau melakukan mitigasi secara otomatis.

Sistem DDoS modern dapat menganalisis traffic dan menghasilkan pola atau fingerprint serangan untuk menentukan traffic yang perlu diblokir, di-rate limit, atau ditantang tanpa harus memblokir seluruh pengguna.

Apa yang Perlu Dilakukan Saat Server Diduga Mengalami DDoS?

Ketika beberapa indikator menunjukkan anomali, respons perlu dilakukan secara terukur agar traffic berbahaya dapat ditekan tanpa mengganggu pengguna yang sah.

Identifikasi Layanan yang Terdampak

Tentukan apakah gangguan hanya terjadi pada website, API, server tertentu, jaringan internal, atau beberapa layanan sekaligus. Identifikasi ini membantu menentukan lapisan mitigasi yang diperlukan.

Pantau Kondisi Selama Insiden

Pantau traffic, bandwidth, resource server, latency, error, dan availability selama insiden. Dokumentasikan perubahan sebelum dan sesudah tindakan mitigasi agar efektivitas respons dapat dievaluasi.

Terapkan Rate Limiting dan Filtering

Rate limiting dapat digunakan untuk membatasi jumlah request yang diterima berdasarkan aturan tertentu. Firewall, WAF, CDN, atau layanan mitigasi DDoS juga dapat digunakan sesuai arsitektur dan jenis serangan.

Cloudflare, misalnya, menggunakan mekanisme seperti block, rate limiting, dan challenge untuk menangani pola traffic yang teridentifikasi sebagai serangan.

Koordinasikan dengan Provider

Jika serangan menghabiskan kapasitas jaringan atau membutuhkan tindakan pada sisi upstream, koordinasikan dengan ISP, hosting provider, cloud provider, atau penyedia layanan mitigasi.

Dokumentasikan dan Evaluasi Insiden

Catat waktu mulai dan berakhirnya gangguan, target, pola traffic, dampak terhadap layanan, tindakan mitigasi, serta hasilnya. Dokumentasi tersebut dapat digunakan untuk memperbaiki konfigurasi dan rencana respons berikutnya.

Cara Mendeteksi DDoS Lebih Awal dengan Monitoring

Pencegahan tidak hanya berarti memasang sistem proteksi. Organisasi juga perlu memiliki visibilitas terhadap kondisi jaringan dan server agar perubahan dapat diketahui sebelum berkembang menjadi downtime.

Monitoring yang baik membantu membangun baseline dan memberikan alert ketika penggunaan link, CPU, memory, server, website, atau API melewati threshold yang telah ditentukan.

Netmonk Prime, misalnya, menyediakan tiga modul utama, yaitu Network Monitoring, Web/API Monitoring, dan Server Monitoring. Pada Network Monitoring, pengguna dapat melihat status perangkat, penggunaan link, CPU, RAM, dan storage, sedangkan modul Web/API dapat memantau status serta response time website atau API. Modul Server Monitoring juga menyediakan informasi penggunaan CPU, memory, network, dan status server.

Netmonk juga memiliki fitur alert yang dapat mengirimkan notifikasi ketika perangkat down atau penggunaan resource melewati ambang tertentu. Untuk traffic, Netmonk Prime dapat memantau penggunaan link/port/interface, sementara Netmonk Intelligence menyediakan analisis penggunaan bandwidth dan prediksi trafik berdasarkan data historis.

Perlu dicatat, network monitoring bukan pengganti sistem mitigasi DDoS. Monitoring berfungsi memberikan visibilitas, mendeteksi anomali, dan mempercepat respons. Perlindungan DDoS tetap perlu disesuaikan dengan arsitektur jaringan dan kebutuhan keamanan organisasi.

Kenali DDoS dari Banyak Indikator, Bukan Satu Gejala

Cara tahu server kena serangan DDoS tidak cukup dengan melihat server lambat atau traffic tiba-tiba tinggi. Indikasi yang lebih kuat muncul ketika terdapat kombinasi anomali pada traffic, bandwidth, request rate, CPU, memory, latency, error, dan availability yang berbeda signifikan dari baseline normal.

Pemeriksaan juga perlu mempertimbangkan kemungkinan penyebab lain sebelum insiden dikategorikan sebagai DDoS. Dengan monitoring yang konsisten, tim IT dapat mengetahui perubahan kondisi lebih awal, mengumpulkan data untuk investigasi, dan mengambil tindakan yang lebih tepat ketika terjadi gangguan.

Jika perusahaan membutuhkan visibilitas terhadap kondisi jaringan, server, website, dan API dalam satu sistem monitoring, Netmonk menyediakan solusi monitoring untuk membantu tim IT melakukan pemantauan secara proaktif dan preventif.

Baca Juga: Ini Kelebihan Network Monitoring untuk Perusahaan dari Netmonk