Belajar Artix Linux - Security & Hardening

#Pendahuluan

Firewall yang bagus baru satu lapis. Episode 14 membawa kalian ke hardening menyeluruh: kebijakan akses dengan sudo/doas, pengamanan SSH dengan key-only, verifikasi firewall, kebiasaan update rutin, serta audit otomatis dengan lynis dan rkhunter.

Hardening bukan peristiwa sekali jadi, melainkan proses berkelanjutan. Setiap layanan yang ditambahkan, setiap user yang dibuat, dan setiap paket yang diupdate memengaruhi profil keamanan sistem. Mari kita bangun kebiasaan yang benar sejak awal.

#Policy Akses: sudo dan doas

#Konfigurasi sudo yang Ketat

Sudo sudah diatur di episode 7 untuk grup wheel. Hardening dimulai dengan membatasi siapa yang boleh menjadi admin. Edit /etc/sudoers dengan visudo dan sesuaikan agar root login non-interaktif ditolak:

root ALL=(ALL) ALL
%wheel ALL=(ALL) ALL

Perluas policy kalau ada tim yang butuh akses terbatas. Selalu gunakan visudo — ia memvalidasi sintaks sebelum menyimpan, mencegah kalian terkunci dari hak admin.

#doas: Alternatif Minimal

doas dari OpenBSD jauh lebih kecil dan sederhana. Install dan konfigurasi di /etc/doas.conf:

sudo pacman -S opendoas
sudo bash -c 'echo "permit persist :wheel" > /etc/doas.conf'

Baris permit persist :wheel mengizinkan grup wheel memakai doas tanpa password selama durasi tertentu. Ganti semua kebiasaan sudo dengan doas untuk sistem yang ingin sesedikit mungkin dependensi.

#SSH Hardening

#Key-Only Authentication

Langkah paling berdampak: matikan login password dan aktifkan key-only. Pertama, install key publik ke server:

ssh-copy-id -i ~/.ssh/id_ed25519.pub devnull@203.0.113.50

ssh-copy-id menambahkan public key ke ~/.ssh/authorized_keys. Setelah key bekerja, ubah konfigurasi /etc/ssh/sshd_config:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3

PasswordAuthentication no mematikan login berbasis password sepenuhnya. Sebelum memutuskan koneksi, uji di terminal terpisah dengan key kalian agar tidak terkunci.

#Terapkan dan Verifikasi

Restart service SSH lalu verifikasi dari klien:

sudo rc-service sshd restart
ssh devnull@203.0.113.50

Jika koneksi berhasil tanpa meminta password, konfigurasi key-only sudah berlaku. Perhatikan bahwa perubahan pada sshd_config tidak berlaku sampai service di-restart.

#Verifikasi Firewall dan Update Rutin

#Cek Aturan Aktif

Firewall dari episode 13 harus diverifikasi secara berkala. Cek aturan nftables dan status UFW jika dipakai:

sudo nft list ruleset | head
sudo ufw status verbose

sudo nft list ruleset menampilkan aturan yang sedang berlaku. Jika kedua perintah tidak menampilkan apa pun, kemungkinan service firewall mati — segera perbaiki.

#Update Rutin sebagai Tembok Pertama

Mayoritas serangan mengeksploitasi kerentanan yang sudah diperbaiki. Update rutin adalah salah satu tindakan keamanan paling efektif:

sudo pacman -Syu

Biasakan menjalankan pacman -Syu minimal mingguan. Untuk server, pertimbangkan membacanya lewat cron atau timer agar tidak terlupa — episode 16 membahas prosedur update yang aman secara detail.

#Audit dengan lynis

#Menjalankan Audit

Lynis memeriksa ratusan aspek keamanan sistem dan memberi skor. Install dan jalankan:

sudo pacman -S lynis
sudo lynis audit system

sudo lynis audit system menjalankan audit menyeluruh dan menampilkan temuan di akhir. Perhatikan bagian Suggestions dan Warnings — itulah daftar prioritas perbaikan kalian.

#Membaca Laporan

Laporan lengkap disimpan di /var/log/lynis-report.dat. Lihat skor hardening dan daftar perbaikan:

sudo lynis show hardening-index

Output lynis show hardening-index menampilkan skor keamanan saat ini. Setelah menerapkan saran perbaikan, audit ulang untuk melihat skor naik.

#rkhunter dan Review Service

#rkhunter: Deteksi Rootkit

Rkhunter memindai tanda-tanda rootkit dan file yang berubah. Untuk pemakaian sekali-kali:

sudo pacman -S rkhunter
sudo rkhunter --update
sudo rkhunter --check --skip-keypress

Perintah rkhunter --check memeriksa sistem terhadap database tanda tangan. Baca output dan perhatikan baris berlabel Warning untuk investigasi lebih lanjut.

#Review Service yang Berjalan

Kebiasaan yang sering terlewat: meninjau service yang berjalan. Semakin sedikit service, semakin kecil permukaan serangan. Daftarkan dan nonaktifkan yang tidak dipakai:

rc-status
rc-update show

rc-update show menampilkan semua service di semua runlevel. Pertanyakan setiap service: apakah dibutuhkan? Jika tidak, hapus dari runlevel dengan rc-update del.

#Penutup

Episode 14 memupuk kebiasaan hardening: policy sudo/doas yang ketat, SSH key-only, verifikasi firewall, update rutin, serta audit berkala dengan lynis dan rkhunter.

Inti yang harus dibawa pulang:

• Batasi akses admin lewat /etc/sudoers atau /etc/doas.conf.
• SSH key-only dengan PasswordAuthentication no dan PermitRootLogin no.
• Verifikasi firewall aktif secara berkala.
• Update rutin pacman -Syu menutup kerentanan yang diketahui.
• Lynis memberi skor hardening dan daftar prioritas perbaikan.
• Tinjau service aktif; nonaktifkan yang tidak dibutuhkan.

Di episode 15 selanjutnya kita akan membahas AUR dan AURIS — yay dan paru, struktur PKGBUILD, makepkg sebagai sandbox build, serta repository AURIS untuk init-script aplikasi AUR di Artix.