Belajar Chef - Chef InSpec (Compliance)

#Pendahuluan

Di episode 10 kalian sudah mengenal Policyfile dan bagaimana Policyfile.lock.json menjamin reproduksibilitas penuh untuk setiap rilis. Kalian tahu cara mendefinisikan run list dan cookbook secara deklaratif, lalu merilisnya ke policy group seperti staging dan production tanpa memutasi cookbook di server. Infrastruktur kini bisa dibangun ulang dengan identik, tetapi belum ada yang menjawab satu pertanyaan penting: apakah konfigurasi yang sudah dirilis benar-benar aman dan patuh pada standar?

Menjalankan chef-client bisa memastikan state yang diinginkan tercapai, tetapi tidak menjamin tidak ada penyimpangan setelahnya. Sebuah file konfigurasi bisa diubah, service bisa dihentikan, atau port bisa terbuka. Untuk mendeteksi penyimpangan ini, kalian butuh Chef InSpec, mesin pengujian compliance berbasis kode.

Episode 11 ini akan membahas cara menulis profil dan kontrol InSpec dengan describe blocks, resource package, service, file, dan command, menjalankan inspec exec untuk memindai node, serta workflow compliance dengan profil ala CIS dan STIG dan integrasi hasilnya dengan Chef Automate.

#Profil dan Kontrol

Profil InSpec adalah kumpulan kontrol yang mendeskripsikan kondisi keamanan yang harus dipenuhi oleh sebuah sistem. Kontrol adalah satu pengujian dengan identitas unik dan deskripsi. Struktur profil dihasilkan dengan perintah:

inspec init profile baseline

Perintah ini membuat struktur berikut:

baseline/
├── README.md
├── attributes/          # atribut profil (opsional)
├── controls/
│   └── example.rb       # file kontrol utama
└── inspec.yml           # metadata profil

File inspec.yml adalah metadata profil: nama, versi, maintainer, dan platform yang didukung.

#Kontrol dan Describe Blocks

Kontrol ditulis dalam Ruby di dalam controls/. Setiap kontrol memiliki deskripsi singkat, tag untuk pelacakan, dan satu atau lebih blok describe do. InSpec mengeksekusi describe do lalu melaporkan hasilnya sebagai kontrol yang lulus atau gagal.

control 'cis-1-1' do
  impact 0.7
  title 'Set sudoers file permissions'
  desc 'sudoers file harus dimiliki oleh root dan mode 0440'
  tag cci: 'CCI-000225'
  tag cis: '1.1'
 
  describe file('/etc/sudoers') do
    it { should exist }
    it { should be_owned_by 'root' }
    it { should be_grouped_into 'root' }
    it { should be_mode 0440 }
  end
end

Kontrol di atas menguji keberadaan file /etc/sudoers, kepemilikan root, dan permission 0440. impact menunjukkan tingkat keparahan antara 0 dan 1, sementara tag menghubungkan kontrol dengan referensi eksternal seperti CIS Control Version.

#Resource Inti InSpec

InSpec menyediakan resource bawaan untuk menguji berbagai aspek sistem. Empat yang paling sering dipakai:

describe file('/etc/ssh/sshd_config') do
  it { should be_file }
  it { should be_owned_by 'root' }
  it { should be_mode 0644 }
  its('content') { should match 'PermitRootLogin no' }
end

describe package('nginx') do
  it { should be_installed }
  its('version') { should match /1\.2[0-9]/ }
end

describe service('nginx') do
  it { should be_enabled }
  it { should be_running }
end

describe command('openssl version') do
  its('stdout') { should match /OpenSSL 3/ }
  its('exit_status') { should eq 0 }
end

Resource command menjalankan perintah di sistem target dan menguji output, exit status, serta stderr-nya. Ini paling berguna saat tidak ada resource spesifik untuk hal yang ingin diuji.

#Menjalankan Scan dengan inspec exec

Untuk memindai sistem, gunakan inspec exec dengan profil dan target:

inspec exec baseline
inspec exec baseline -t ssh://deploy@203.0.113.30 -i ~/.ssh/id_ed25519

Perintah pertama memindai mesin lokal, sedangkan yang kedua menghubungi mesin remote lewat SSH memakai kunci privat. Hasil scan menampilkan jumlah kontrol yang lulus, gagal, dan tidak berlaku, beserta detail tiap kontrol yang gagal. Untuk menegaskan bahwa scan harus berhenti dengan exit code gagal saat ada kontrol yang tidak lulus, gunakan inspec exec baseline --fail-if 'failed > 0':

inspec exec baseline --fail-if 'failed > 0' --reporter cli json:/tmp/scan.json

Opsi --reporter cli json:/tmp/scan.json menulis hasil scan dalam dua format sekaligus: ringkasan di terminal dan detail lengkap dalam JSON. File JSON inilah yang nanti dikirim ke Chef Automate.

#Workflow Compliance dengan CIS dan STIG

Profil compliance produksi biasanya mengikuti standar publik seperti CIS Benchmarks atau STIG (Security Technical Implementation Guide), dan Chef menyediakan profil resmi yang bisa dipakai sebagai titik awal:

inspec supermarket profile cis-ubuntu-22.04
inspec exec cis-ubuntu-22.04 -t ssh://deploy@203.0.113.30

Untuk kebutuhan internal, warisi profil standar lalu perkuat dengan kontrol tambahan:

name: corporate-baseline
version: 0.1.0
depends:
  - name: cis-ubuntu-22.04
    url: https://supermarket.chef.io/profiles/cis-ubuntu-22.04

Profil warisan dipakai lewat tag include_controls di kontrol utama, memungkinkan kalian menambahkan kontrol kustom di atas standar nasional. Alur kerja yang disarankan: cek compliance di staging setelah setiap rilis policy, lalu hanya promosi ke production jika scan staging lulus semua kontrol wajib.

#Integrasi dengan Chef Automate

Chef Automate adalah platform yang menampilkan hasil scan InSpec dalam dashboard compliance. Alur integrasinya: node memakai resource chef_automate atau agent scan-jobs menjalankan inspec exec secara berkala, lalu mengirim hasilnya sebagai JSON ke Automate via endpoint data collection. Automate kemudian menampilkan skor compliance per node, per profil, dan per kontrol dalam bentuk grafik, sehingga kesehatan node, status run chef-client, dan hasil compliance tampil di satu layar.

Untuk mengirim hasil scan secara langsung dari profil InSpec ke Automate, jalankan scan dengan reporter automate:

inspec exec baseline \
  --reporter automate \
  --inspec-opt automate-url https://automate.example.com \
  --inspec-opt token $AUTOMATE_TOKEN

Pastikan token yang dipakai adalah token API dengan izin compliance scanning. Setelah terkirim, dashboard Automate menampilkan tren skor seiring waktu, sehingga penyimpangan yang terjadi setelah rilis bisa terlihat dan ditindaklanjuti.

#Penutup

Pada episode 11 ini kalian sudah belajar menulis profil dan kontrol InSpec dengan describe blocks, memakai resource package, service, file, dan command untuk menguji berbagai aspek sistem, serta menjalankan scan dengan inspec exec baik secara lokal maupun remote. Kalian juga sudah memahami workflow compliance dengan profil CIS dan STIG beserta integrasi hasil scan ke Chef Automate.

Inti yang harus dibawa pulang:

• Profil InSpec adalah kumpulan kontrol, dan kontrol adalah pengujian tunggal dengan identitas dan impact.
• Describe blocks menampung pernyataan it yang menilai resource seperti file, package, service, dan command.
• Inspec exec memindai target lokal atau remote dan mendukung banyak format reporter termasuk JSON.
• Profil CIS dan STIG bisa diwarisi dan diperkuat untuk memenuhi standar keamanan nasional.
• Chef Automate menggabungkan hasil scan compliance dengan status run chef-client dalam satu dashboard.

Di episode 12 berikutnya kita akan membahas Chef Automate secara utuh: dashboard compliance dan visibilitas node, kesehatan node, status run cookbook, pipeline compliance untuk CI/CD, serta peran data collection service dalam platform Automate. Sampai jumpa.