Belajar AlmaLinux - Security Compliance & Hardening

#Pendahuluan

Di episode 15 sebelumnya kita membangun fondasi enkripsi dengan TLS dan PKI. Sekarang kita naik satu tingkat: memastikan sistem tidak hanya aman menurut perasaan, tetapi patuh terhadap standar yang bisa diaudit. Bagi organisasi yang menangani data sensitif — keuangan, kesehatan, pemerintahan — kepatuhan ini bukan pilihan, melainkan kewajiban.

Episode ini memperkenalkan OpenSCAP dan baseline keamanan, tool audit, pemantauan integritas, dan antivirus untuk beban kerja tertentu.

#OpenSCAP dan SCAP Profiles

OpenSCAP adalah ekosistem tool untuk otomasi kepatuhan keamanan berbasis standar SCAP (Security Content Automation Protocol). AlmaLinux menyediakan konten keamanan resmi yang bisa dipakai langsung.

sudo dnf5 install -y openscap-scanner scap-security-guide

Package scap-security-guide membawa profil keamanan standar industri. Lihat profil yang tersedia untuk AlmaLinux:

oscap info /usr/share/xml/scap/ssg/content/ssg-almalinux9-ds.xml | head -40

Output menampilkan daftar profil yang siap dipakai, termasuk CIS dan STIG.

#Menjalankan Pemindaian

Jalankan pemindaian kepatuhan terhadap satu profil:

sudo oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_cis \
  --results-arf /tmp/scan-results.xml \
  /usr/share/xml/scap/ssg/content/ssg-almalinux9-ds.xml

Hasilnya tersimpan dalam format ARF (Asset Reporting Format). Untuk laporan yang mudah dibaca manusia:

oscap xccdf generate report /tmp/scan-results.xml -o /tmp/scan-report.html

#Remediasi Otomatis

OpenSCAP bisa memperbaiki temuan secara otomatis, tidak hanya melaporkan:

sudo oscap xccdf eval --remediate \
  --profile xccdf_org.ssgproject.content_profile_cis \
  /usr/share/xml/scap/ssg/content/ssg-almalinux9-ds.xml

#Baseline: CIS Benchmarks dan STIG

Dua kerangka kerja yang paling sering ditemui:

Profil CIS pada scap-security-guide mencakup pengaturan password, audit, SSH, dan banyak lagi. STIG lebih ketat dan wajib bagi sistem yang menangani data pemerintah AS.

#Ansible Playbook: almalinux-hardening

Untuk menerapkan hardening secara konsisten di banyak server, gunakan Ansible. Playbook almalinux-hardening adalah kumpulan otomasi yang menerapkan praktik terbaik AlmaLinux:

sudo dnf5 install -y ansible-core

Playbook Ansible menggunakan variabel yang bisa disesuaikan per environment, dan berjalan di atas SSH — infrastruktur yang sudah kita amankan di episode 14. Pendekatan "hardening as code" ini membuat kebijakan keamanan kalian bisa ditinjau, diuji, dan direproduksi.

#Tool Audit: lynis

lynis adalah tool audit keamanan open source yang menganalisis sistem dan memberi skor:

sudo dnf5 install -y epel-release
sudo dnf5 install -y lynis
sudo lynis audit system

Lynis memeriksa ratusan kontrol keamanan, lalu menampilkan skor dan rekomendasi. Meski bukan pengganti OpenSCAP untuk kepatuhan formal, lynis sangat berguna sebagai pemeriksaan cepat dan narasi edukatif untuk menemukan celah yang terlewat.

#Pemantauan Integritas dengan AIDE

AIDE (Advanced Intrusion Detection Environment) mendeteksi perubahan pada file penting dengan membangun basis data hash:

sudo dnf5 install -y aide

Inisialisasi basis data pertama:

sudo aide --init
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Setelah itu, pemeriksaan rutin akan membandingkan state saat ini dengan basis data:

sudo aide --check

#Antivirus: ClamAV

Untuk beban kerja yang membutuhkan pemindaian malware — misalnya server mail atau file sharing — pasang ClamAV:

sudo dnf5 install -y clamav clamav-update
sudo systemctl enable --now clamd@scan

Perbarui database virus secara berkala:

sudo freshclam
clamscan -r /srv/files

ClamAV opsional di server Linux murni — tetapi penting saat server menerima file dari pengguna eksternal. Kombinasikan dengan AIDE: ClamAV mendeteksi malware yang datang, AIDE mendeteksi perubahan yang tidak sah pada sistem.

#Firewall Baseline

Jangan lupa pondasi yang sudah kita bangun di episode 9:

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --list-all

Firewall yang dibuka hanya service yang diperlukan, zona yang tepat, dan tidak ada port liar adalah bagian pertama dari checklist hardening — dan biasanya juga bagian pertama yang gagal di pemindaian OpenSCAP.

#Kesalahan Umum (Common Pitfalls)

1. Menjalankan --remediate tanpa membaca hasil scan. Remediasi bisa mematikan service — uji di staging dulu.
2. Menganggap satu scan cukup. Kepatuhan adalah proses berkelanjutan; jadwalkan scan rutin, bukan sekali saja.
3. Lupa memindahkan aide.db.new.gz. Basis data yang salah lokasi membuat aide --check gagal dengan hasil yang membingungkan.
4. Mengandalkan satu tool saja. Kombinasikan OpenSCAP (kepatuhan), lynis (audit), AIDE (integritas), dan firewalld (perimeter).
5. Mengabaikan audit log. Semua tool ini sia-sia jika temuan tidak ditindaklanjuti — buat loop review berkala.

#Penutup

Pada episode 16 ini kalian telah membangun sistem yang patuh standar dan terkunci: pemindaian serta remediasi dengan OpenSCAP, pemahaman baseline CIS dan STIG, otomasi hardening dengan Ansible, audit dengan lynis, pemantauan integritas dengan AIDE, dan ClamAV untuk beban kerja tertentu.

Inti yang harus dibawa pulang:

• OpenSCAP mengevaluasi sistem terhadap profil CIS dan STIG; laporan dihasilkan sebagai HTML.
• --remediate memperbaiki temuan otomatis — uji di staging sebelum production.
• Ansible dan playbook almalinux-hardening mengotomatiskan hardening massal.
• lynis memberi audit cepat; AIDE mendeteksi perubahan file via basis data hash.
• ClamAV memindai malware untuk beban kerja yang menerima file eksternal.
• Verifikasi firewall baseline sebelum menutup checklist.

Kepatuhan adalah perjalanan, bukan tujuan sekali jalan. Di episode 17 selanjutnya, kita akan membahas Performance Tuning & Resource Management — profil tuning dengan tuned-adm, batasan resource systemd dengan cgroups v2, dan analisis performa dengan systemd-analyze. Sampai jumpa!