Belajar Alpine Linux - Security Hardening

#Pendahuluan

Alpine memang dirancang aman sejak awal, tapi keamanan tidak berhenti pada desain — ia adalah proses berkelanjutan. Episode 13 menyusun checklist hardening yang bisa kalian terapkan di setiap server Alpine: update rutin, penguatan SSH dan firewall, kebijakan doas dan umask, serta audit otomatis dengan lynis.

Topik-topik di episode 9 dan 10 akan dirangkai di sini menjadi satu kebijakan keamanan yang utuh. Setelah episode ini, kalian punya prosedur hardening yang bisa dijalankan berulang kali dan dijadikan checklist produksi.

#Update Rutin: Fondasi Keamanan

#apk upgrade sebagai Rutinitas

Patch keamanan tidak berguna jika tidak diinstall. Jadikan update sebagai kebiasaan terjadwal:

apk update
apk upgrade
apk info -u

• apk update menyegarkan indeks paket.
• apk upgrade memperbarui semua paket ke versi terbaru.
• apk info -u menampilkan daftar paket yang memiliki update.

Untuk server produksi, otomatiskan dengan cron:

apk add cronie
crontab -e

Contoh baris cron yang menjalankan update setiap malam:

0 2 * * * apk update && apk upgrade

Jadwal 0 2 * * * apk update && apk upgrade menjalankan update pukul 02.00 setiap hari. Perhatikan output update — untuk produksi, uji di staging sebelum menerapkan otomatisasi penuh.

#Penguatan SSH dan Firewall

#Merangkai Aturan dari Episode Sebelumnya

Gabungkan hardening SSH dari episode 9 dan firewall dari episode 10:

PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3
AllowUsers arman

Pastikan firewall hanya membuka port yang dibutuhkan:

ss -tlnp
nft list ruleset

Output ss -tlnp menampilkan semua port yang mendengarkan. Setiap port yang terbuka tanpa keperluan adalah permukaan serangan — tutup yang tidak dipakai dengan memblokirnya di aturan nft.

#Kebijakan doas dan umask

#Prinsip Least Privilege

Terapkan prinsip akses paling minimal:

• Hanya user terpercaya yang masuk group wheel.
• Konfigurasi doas ketat di /etc/doas.d/doas.conf.
• Umask default yang aman untuk file baru.

Konfigurasi doas yang lebih ketat dari default:

permit nopass :wheel apk
permit persist :wheel
deny :guest

Baris permit nopass :wheel apk mengizinkan group wheel menjalankan apk tanpa password, sementara deny :guest memblokir user guest. Atur umask default di /etc/profile:

echo "umask 027" >> /etc/profile
umask

umask 027 menghasilkan file dengan izin yang lebih ketat — hak baca grup saja, tanpa izin untuk yang lain.

#Audit dengan lynis

#Skor Keamanan Sistem

lynis adalah tool audit open-source yang memindai sistem dan memberi skor hardening:

apk add lynis
lynis audit system

Output lynis menampilkan skor hardening dan daftar rekomendasi. Simpan laporan untuk perbandingan antar waktu:

lynis audit system --report-file /root/lynis-$(date +%F).txt
cat /var/log/lynis-report.dat | grep "hardening_index"

grep "hardening_index" menampilkan indeks hardening numerik dari laporan terakhir.

#Deteksi Serangan dengan fail2ban

#Memblokir Brute Force

fail2ban memantau log dan memblokir IP yang melakukan percobaan login berulang:

apk add fail2ban
rc-service fail2ban start
rc-update add fail2ban default

Konfigurasi jail untuk SSH di /etc/fail2ban/jail.local:

[sshd]
enabled = true
maxretry = 5
bantime = 3600
findtime = 600

Periksa status jail:

fail2ban-client status
fail2ban-client status sshd

fail2ban-client status sshd menampilkan IP yang sedang diblokir beserta statistik pelanggaran.

#Penutup

Episode 13 merangkai security hardening Alpine menjadi satu kebijakan utuh: update rutin dengan apk upgrade, penguatan SSH dan firewall, kebijakan doas dan umask, audit dengan lynis, serta deteksi brute force dengan fail2ban.

Inti yang harus dibawa pulang:

• apk upgrade rutin adalah fondasi keamanan sistem.
• Tutup semua port yang tidak digunakan di firewall.
• Hanya user tepercaya di group wheel; doas dengan aturan ketat.
• Umask 027 membuat file baru lebih aman secara default.
• lynis memberikan skor hardening yang bisa diikuti trennya.
• fail2ban memblokir IP yang melakukan brute force SSH.

Di episode 14 selanjutnya kita akan membahas musl libc: implikasi dan kompatibilitas — perbedaan binary dengan glibc, mengapa sebagian aplikasi prebuilt tidak jalan, serta penggunaan gcompat sebagai lapisan kompatibilitas.