Belajar Cloud Computing - Cloud Security, Firewall & Web Application Firewall (WAF)

#Pendahuluan

Setelah di episode 13 kita mempercepat pengiriman konten lewat CDN dan memastikan nama domain ter-resolve dengan benar lewat cloud DNS, kali ini kita membahas sisi yang tidak boleh ketinggalan begitu sebuah layanan mulai dilirik publik: keamanan. Aplikasi yang cepat dan tersedia 99,99 persen tetap rapuh jika bisa dibobol lewat satu celah kecil.

Di episode-episode sebelumnya, kalian sudah berkenalan dengan dua lapis keamanan identitas dan jaringan: IAM untuk menentukan siapa yang boleh mengakses apa, dan VPC untuk memisahkan workload secara logika di dalam jaringan privat. Episode 14 ini melengkapi fondasi tersebut dengan tiga lapis berikutnya: firewall di level jaringan dan instance, WAF di level aplikasi, serta enkripsi data di level penyimpanan dan transportasi. Ketiganya adalah blok bangunan yang tidak pernah bisa digantikan oleh aturan IAM yang sempurna.

#Pembahasan Utama

#Defense in Depth: Mengapa Satu Lapis Tidak Cukup

Prinsip pertama yang harus kalian internalisasi adalah defense in depth — pertahanan berlapis. Analogi paling dekat adalah prosedur di bandara: ada pemeriksaan tiket, pemeriksaan imigrasi, X-ray bagasi, dan body scan sebelum penumpang masuk ke pesawat. Satu lapis saja bisa lolos, tetapi empat lapis membuat risiko terdeteksi jauh lebih besar. Begitu pula di cloud: tidak ada satu komponen pun yang sempurna, jadi kalian menumpuknya.

Lapis demi lapis, dari yang terluar sampai ke data itu sendiri:

#Firewall Stateful vs Stateless

Firewall menyaring lalu lintas berdasarkan aturan. Perbedaan terpenting yang harus kalian kuasai adalah stateful vs stateless.

Firewall stateful melacak status koneksi. Begitu ia mengizinkan koneksi keluar dari instance, ia otomatis mengizinkan lalu lintas balik dari arah sebaliknya tanpa perlu aturan eksplisit. Analoginya seperti resepsionis gedung yang mencatat siapa saja yang masuk ke lobi: ia tidak akan menanyai lagi orang yang baru saja keluar dari dalam gedung, karena sudah tercatat di buku tamu.

Firewall stateless mengevaluasi setiap paket secara independen tanpa mengingat koneksi. Artinya, kalian harus menulis aturan dua arah secara eksplisit — untuk paket masuk maupun paket keluar. Analoginya seperti satpam di pintu putar yang menanyakan tujuan setiap orang, sekali lagi, setiap kali mereka lewat.

#Security Group: Rule Contoh dan CLI

Di AWS, Security Group (SG) adalah firewall stateful virtual yang menempel pada instance. Secara default, SG menolak semua lalu lintas masuk dan mengizinkan semua lalu lintas keluar — kalian cukup menulis aturan inbound yang benar-benar dibutuhkan.

Contoh kebutuhan nyata: instance web hanya boleh menerima HTTPS dari internet dan SSH hanya dari IP kantor tim. Aturannya seperti tabel berikut:

Aturan ini bisa dibuat lewat konsol, tetapi cara yang lebih rapi adalah lewat CLI atau IaC (yang akan kalian pelajari di episode 16). Untuk menambahkan aturan SSH dari IP admin:

aws ec2 authorize-security-group-ingress \
  --group-id sg-0a1b2c3d4e5f67890 \
  --protocol tcp --port 22 \
  --cidr 203.0.113.5/32

Ketika kalian menjalankan perintah aws ec2 authorize-security-group-ingress dengan --group-id milik SG kalian, rule baru langsung aktif tanpa perlu restart instance. Perhatikan bahwa perubahan rule berlaku seketika, jadi pastikan aturan sudah benar sebelum dieksekusi di environment production.

#Web Application Firewall dan Mitigasi DDoS

Firewall jaringan menyaring berdasarkan port dan protokol — ia tidak mengerti isi request HTTP. Di sinilah WAF masuk: firewall yang bekerja di lapisan aplikasi (L7) dan memahami payload HTTP.

Serangan aplikasi paling berbahaya didokumentasikan dalam OWASP Top 10 — daftar risiko aplikasi web yang paling umum dan merusak, termasuk SQL Injection (SQLi), Cross-Site Scripting (XSS), dan broken authentication. WAF modern menyediakan aturan terkelola untuk keluarga serangan ini: request yang mencurigakan diblokir sebelum sampai ke aplikasi, tanpa perlu mengubah kode aplikasi itu sendiri.

Contoh aturan sederhana — membatasi endpoint login agar tidak dibanjiri request dari satu IP:

{
  "Name": "rate-limit-login",
  "Priority": 1,
  "Statement": {
    "RateBasedStatement": {
      "Limit": 2000,
      "AggregateKeyType": "IP"
    }
  },
  "Action": {
    "Block": {}
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "rate-limit-login"
  }
}

DDoS adalah kategori serangan yang berbeda: bukan serangan cerdas pada satu request, melainkan banjir volume yang tujuannya menghabiskan kapasitas layanan. WAF saja tidak cukup menghadapi DDoS skala besar — kalian butuh absorpsi volume: CDN di depan (episode 13), auto-scaling, dan layanan mitigasi khusus seperti AWS Shield, Cloud Armor, atau Azure DDoS Protection.

#Enkripsi Data: At-Rest dan In-Transit

Lapisan terakhir yang sering dilupakan adalah data itu sendiri. Firewall bisa ditembus, namun data yang terenkripsi tetap menjadi tumpukan byte yang tidak terbaca bagi penyerang. Ada dua situasi yang perlu diamankan:

• At-rest — data saat disimpan di disk, bucket, atau database. Cloud mengenkripsi secara default dengan key yang dikelola layanan (managed keys). Untuk kontrol yang lebih ketat — misalnya karena kepatuhan — gunakan customer managed keys lewat KMS: kalian yang menentukan kebijakan rotasi, izin, dan masa pakai key. KMS bekerja dengan teknik envelope encryption: sebuah data key dienkripsi oleh master key, sehingga kalian tidak pernah mengelola satu key untuk setiap objek secara individu.
• In-transit — data saat bergerak antara browser, aplikasi, dan database. Dienkripsi dengan SSL/TLS: browser memverifikasi sertifikat, lalu seluruh traffic terenkripsi. Cloud menyediakan manajemen sertifikat terkelola (ACM, Google-managed certificates, Azure Key Vault) sehingga perpanjangan sertifikat tidak lagi menjadi tugas manual.

#Perbandingan Layanan Keamanan Big 3

Ketiga cloud besar menawarkan layanan yang setara secara konsep, hanya dengan penamaan yang berbeda:

Pemilihan layanan sebaiknya didasarkan pada cloud tempat workload kalian berada, bukan sebaliknya — karena konsep keamanannya identik; yang membedakan hanyalah nama dan cara konfigurasinya. Kemampuan berpindah antar penyedia inilah yang menjadi nilai jual utama kalian di pasar kerja.

#Penutup

Pada episode 14 ini kalian telah membangun tiga lapis pertahanan yang saling melengkapi: firewall — memahami perbedaan stateful dan stateless, menulis rule Security Group, dan menerapkannya lewat CLI; WAF — melindungi aplikasi dari serangan OWASP Top 10 dan ikut menyerap DDoS bersama CDN dan layanan mitigasi; serta enkripsi — melindungi data at-rest dengan KMS dan in-transit dengan TLS. Dengan ketiganya, workload kalian kini cepat, tersedia, dan jauh lebih sulit ditembus.

Namun sistem yang aman sekaligus gelap tanpa mata yang mengawasi: siapa yang tahu ketika CPU instance sudah 95 persen, atau endpoint login mulai error berulang? Jawabannya ada di episode berikutnya: Cloud Observability, Monitoring & Logging — tiga pilar metrik, log, dan trace yang mengubah sistem kalian dari kelihatan baik menjadi terbukti baik.