Belajar Active Directory - Active Directory Security Best Practices

#Pendahuluan

Di episode 11 sebelumnya kita membangun pertahanan password yang lebih halus lewat Fine-Grained Password Policies — sekarang saatnya menarik kamera lebih jauh dan melihat Active Directory sebagai satu sistem keamanan utuh. Episode ini adalah peta jalan pengamanan AD di level produksi: bukan sekadar "buat password kuat", tapi bagaimana memastikan siapa yang boleh memegang kunci apa, bagaimana kunci itu dilindungi, dan bagaimana kita tahu kalau ada yang menyalahgunakannya.

Bayangkan AD sebagai sebuah bank. Ada tiga lapisan: ruang vault tempat semua uang dan surat berharga disimpan, ruang back office tempat para teller memproses transaksi, dan area layanan pelanggan tempat nasabah bertemu staf. Memberi staf layanan pelanggan kunci vault adalah bencana yang menunggu waktu. Memberi teller akses ke sistem nasabah juga bukan ide bagus. Prinsip yang sama berlaku di AD — dan inilah yang akan kita susun dalam episode ini.

#Least Privilege: Prinsip Kunci dari Segala Keamanan

Least privilege berarti setiap akun hanya memiliki izin minimum yang diperlukan untuk menjalankan tugasnya — tidak lebih. Ini bukan sekadar prinsip etis, melainkan perhitungan risiko: setiap hak berlebih adalah permukaan serangan yang bisa dieksploitasi.

Mengapa ini fundamental? Karena kompromi di AD hampir selalu berawal dari satu akun yang kebetulan punya lebih banyak hak dari yang dibutuhkan. Sebuah akun service yang dipakai untuk menjalankan aplikasi web tidak pernah butuh keanggotaan di Domain Admins. User helpdesk yang tugasnya cuma reset password tidak pernah butuh kontrol penuh atas semua OU.

Dalam praktiknya, least privilege di AD berarti:

• Akun manusia diberi akses berdasarkan peran, bukan berdasarkan posisi atau senioritas.
• Akun service dibuat khusus per aplikasi, dengan izin hanya pada resource yang dibutuhkan.
• Separation of duties — pemisahan tugas — memastikan tidak ada satu orang yang bisa melakukan dua langkah berbahaya sekaligus. Misalnya, orang yang menyetujui perubahan tidak sama dengan orang yang menerapkan perubahan.

#Tiered Administration: Model Admin Berlapis

Least privilege memerlukan struktur. Microsoft menyediakan model resmi yang disebut Tiered Administration atau model Tier 0/1/2. Tujuannya: memastikan kompromi di satu lapisan tidak otomatis menjadi kompromi seluruh domain.

Logika di baliknya sederhana: administrator tidak boleh logon ke perangkat dari tier yang lebih rendah. Admin Tier 0 yang login ke workstation user adalah jembatan emas bagi penyerang — dari satu komputer user, penyerang bisa mencuri kredensial admin Tier 0. Itulah mengapa model ini menuntut pemisahan akun admin dari akun harian, dan idealnya memakai PAW (Privileged Access Workstations) — komputer khusus yang hanya dipakai untuk administrasi.

Aturan emas implementasinya:

• Jangan pernah memakai akun admin untuk hal sehari-hari seperti email atau browsing.
• Pisahkan akun per tier: satu akun Tier 2 untuk kerja harian, satu akun Tier 0 yang hanya dipakai untuk tugas domain.
• Batasi dari mana akun admin boleh logon — idealnya hanya dari PAW.

#Protected Users: Baju Besi untuk Akun Istimewa

Setelah model tier terbentuk, langkah berikutnya adalah memasukkan akun istimewa ke kelompok Protected Users. Kelompok ini (tersedia sejak Windows Server 2012 R2) menerapkan serangkaian pembatasan otomatis yang menyulitkan penyerang:

• NTLM di-nonaktifkan — akun ini tidak bisa diautentikasi lewat NTLM, memblokir pass-the-hash dan relay.
• Enkripsi Kerberos dibatasi — hanya AES yang boleh dipakai; DES dan RC4 yang lemah ditolak.
• Tidak ada Kerberos delegation — kredensial tidak bisa "dipinjam" oleh layanan lain.
• Credential caching dibatasi — kredensial tidak disimpan di memori atau cache, sehingga lebih sulit di-dump dari LSASS.
• Umur tiket diperpendek — tiket Kerberos kedaluwarsa lebih cepat, memangkas jendela serangan.

Mengapa semua ini penting? Karena teknik penyerang modern — Mimikatz, credential dumping, pass-the-hash — hampir semuanya bergantung pada kredensial yang bisa dicuri dan dipakai ulang. Protected Users memutus jalur itu di sumbernya.

Add-ADGroupMember -Identity "Protected Users" -Members "adm.sysadmin","adm.dcadmin"

Verifikasi keanggotaan dengan Get-ADGroupMember:

Get-ADGroupMember -Identity "Protected Users" | Select-Object SamAccountName, Name

#Fine-Grained Password: Lapisan Policy Per Kelompok

Password policy bawaan AD hanya satu untuk seluruh domain — kaku dan sering melahirkan kompromi (policy kuat dipakai di semua tempat, user jadi memberontak menulis password di sticky note). Dari episode 11 kalian sudah tahu solusinya: PSO (Password Settings Objects) yang memungkinkan policy berbeda untuk kelompok berbeda.

Dalam konteks keamanan, ini bukan sekadar kenyamanan — ini alat strategis. Akun service dan admin mendapat PSO terketat, akun karyawan biasa mendapat kebijakan seimbang, dan akun service machine mendapat pengecualian yang memang dibutuhkannya. Satu domain, banyak level kekuatan.

#Matikan NTLM: Kurangi Permukaan Serangan

NTLM adalah protokol autentikasi warisan yang dirancang pada era Windows NT — jauh sebelum ancaman pass-the-hash dan relay attacks menjadi tren. Setiap kali sebuah sistem masih memakai NTLM, kredensial kalian melewati jalur yang bisa disalahgunakan. Detail lengkapnya akan kita bedah di episode 14, tapi satu prinsip berlaku sejak sekarang: NTLM hanya boleh hidup jika benar-benar dibutuhkan, dan sebaiknya ditembus audit sebelum dimatikan.

#LAPS: Password Administrator Lokal yang Berotasi

Coba tanya diri kalian: apakah seluruh komputer di jaringan memakai password lokal admin yang sama? Jika ya, kalian sedang duduk di atas bom waktu — satu komputer yang disusupi berarti password admin lokal bocor, dan password yang sama itu membuka pintu ke semua komputer lain.

LAPS (Local Administrator Password Solution) adalah solusi Microsoft untuk masalah ini: setiap komputer diberi password admin lokal unik dan acak, dirotasi secara berkala, dan disimpan terenkripsi di atribut AD. Admin hanya mengambilnya saat benar-benar butuh.

Get-LapsADPassword -Identity "SRV-WEB01" -AsPlainText

Perhatikan prinsipnya: password tidak lagi dikirim ke semua karyawan lewat email — ia tersimpan di AD, hanya diambil saat dibutuhkan, dan setiap pengambilan bisa diaudit.

#Security Auditing: Mata yang Selalu Terjaga

Keamanan tanpa audit adalah klaim tanpa bukti. Auditing adalah kemampuan mencatat peristiwa penting di domain sehingga kalian tahu apa yang terjadi, kapan, dan oleh siapa. Ini bukan hanya untuk kepentingan investigasi — keberadaan audit sendiri bersifat deterrent: orang berpikir dua kali sebelum berbuat curang jika tahu semua tercatat.

Kategori audit yang wajib diaktifkan di lingkungan produksi:

• Account logon events — siapa login, berhasil atau gagal.
• Account management — pembuatan, penghapusan, dan perubahan akun/group.
• Directory service access — akses ke objek AD tertentu (untuk memantau objek sensitif).
• Policy change — perubahan kebijakan keamanan dan GPO.
• Privilege use — penggunaan hak istimewa seperti SeDebugPrivilege.

Salah satu cara cepat menyalakan audit kategori utama adalah lewat auditpol /set untuk mengaktifkan audit, misalnya:

auditpol /set /subcategory:"Logon/Logoff" /success:enable /failure:enable
auditpol /get /subcategory:"Logon/Logoff"

Sumber gold-standard-nya adalah Advanced Audit Policy yang jauh lebih granular daripada basic audit policy, dan bisa dikelola lewat GPO. Peristiwa yang tercatat inilah yang kelak menjadi bahan SIEM dan monitoring keamanan di episode 23.

#Credential Guard: Lindungi Kredensial di Memori

Serangan paling berbahaya terhadap AD justru terjadi di level endpoint: penyerang yang sudah masuk ke satu komputer berusaha mencuri kredensial dari proses LSASS (Local Security Authority Subsystem Service) — tempat Windows menyimpan kredensial login. Teknik ini yang dipakai Mimikatz untuk mengekstrak hash dan tiket.

Windows Defender Credential Guard menangkalnya dengan menyembunyikan bagian sensitif LSASS ke dalam lingkungan terisolasi berbasis virtualisasi (Virtualization-Based Security). Kredensial yang tersimpan tidak lagi bisa dibaca oleh proses biasa — bahkan oleh admin lokal sekalipun.

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Persyaratan praktis: hardware modern dengan virtualization support dan firmware terkunci, Windows 10/11 Enterprise atau Windows Server terbaru. Sebagai trade-off, beberapa skenario legacy seperti NTLMv2 pada mesin tertentu atau third-party driver bisa terganggu — uji di lingkungan staging sebelum disebar luas.

#Penutup

Pada episode ini kita telah menyusun pertahanan AD secara berlapis: least privilege sebagai prinsip dasar, model tier 0/1/2 untuk memisahkan tingkat kewenangan, Protected Users untuk membatasi akun istimewa, PSO untuk policy password granular, penonaktifan NTLM untuk menutup jalur autentikasi warisan, LAPS untuk memutus penggunaan password lokal yang sama, auditing untuk pengawasan, serta Credential Guard untuk melindungi kredensial di memori.

Inti dari episode ini: keamanan AD bukan satu fitur, melainkan tumpukan lapisan — dan setiap lapisan yang hilang memperbesar peluang penyerang menemukan celah. Mulailah dari yang paling berdampak: pisahkan akun admin, masukkan ke Protected Users, dan hidupkan auditing.

Di episode 13 selanjutnya, kita masuk ke jantung autentikasi AD: Kerberos — protokol tiket yang menjadi tulang punggung setiap logon di domain. Kita akan membedah bagaimana KDC menerbitkan TGT, bagaimana service ticket bekerja, dan mengapa sistem tiket ini jauh lebih aman daripada NTLM. Pastikan tetap semangat!