Belajar Data Center Engineer - Network Security DC

#Pendahuluan

Setelah di episode 17 kita berurusan dengan auditor, kembali ke teknis: network security di data center. Episode 6 membangun jaringan agar cepat; hari ini kita membangunnya agar terkendali. Prinsip dasarnya satu: asumsikan pelanggaran akan terjadi — tugas desain adalah membuat pelanggaran itu kecil, lambat, dan berisik.

Kita susun arsitektur segmen (zone), bahas firewall north-south vs microsegmentation east-west, keraskan OOB dan jalur akses admin, lalu praktik konfigurasi nyata di Linux dan switch.

#Segmentasi Zona: Fondasi Segala

Semua kebijakan keamanan DC dimulai dari pemetaan zona. Kerangka minimal:

Dua aturan desain yang mengikat semuanya:

1. Default deny — antar-zona ditutup; dibuka per-layanan dengan justifikasi tertulis.
2. Zona sensitif tidak punya kaki keluar — database dan SAN tidak butuh DNS publik, NTP publik, apalagi update langsung; sediakan mirror internal.

#Firewall North-South vs Microsegmentation East-West

Firewall klasik menjaga tepi (north-south): internet → DMZ → internal. Masalah modern: setelah penyerang masuk ke satu server produksi, ia bergerak lateral (east-west) bebas jika flat network — inilah pola ransomware dan supply-chain attack.

Jawabannya microsegmentation: kebijakan granular antar-workload. Opsi implementasinya:

1. VLAN + ACL switch          : murah, statik, cocok zona kasar
2. Host-based firewall        : granular per-server, dikelola config mgmt
3. SDN/NSX/EVPN policy        : kebijakan ikuti VM, paling fleksibel
4. Identity-aware (zero trust): kebijakan per identitas layanan

Praktik bertahap yang realistis untuk tim kecil: mulai zona kasar via VLAN+ACL, lalu keraskan host firewall via automation, baru naik ke SDN policy saat fabric mendukung.

#Hardening Jalur Manajemen

Pintu paling dicari penyerang bukan port aplikasi — melainkan jalur manajemen. Aturan mainnya:

#Jump Host dengan MFA

Semua akses admin melewati satu gerbang yang diamankan habis-habisan:

Engineer -> VPN/MFA -> Jump Host (audit session) -> Target admin

Tidak ada SSH langsung ke BMC/switch dari workstation siapa pun. Session recording di jump host memberi jejak audit penuh (sekaligus jawaban audit ISO episode 17).

#OOB Tetap Terisolasi

Episode 6 menegaskan OOB terpisah fisik. Pengerasannya sekarang:

• Akun BMC default (admin/admin, root/calvin) diganti hari pertama — daftar kredensial default adalah hal pertama yang diuji scanner.
• Firmware BMC/switch dijadwalkan update (CVE BMC muncul rutin).
• OOB tidak punya rute ke internet kecuali lewat bastion; kalau harus remote dari luar, gunakan VPN + MFA.

#Praktik: ACL Host dengan nftables

Contoh keraskan server database (zona data tier) — hanya app tier dan monitoring yang boleh masuk:

sudo nft add table inet filter
sudo nft 'add chain inet filter input { type filter hook input priority 0 ; policy drop; }'
sudo nft add rule inet filter input ct state established,related accept
sudo nft add rule inet filter input ip saddr 10.10.10.0/24 tcp dport 5432 accept
sudo nft add rule inet filter input ip saddr 10.10.30.5 udp dport 161 accept
sudo nft add rule inet filter input ip saddr 10.10.40.0/24 tcp dport 22 accept
sudo nft list ruleset > /etc/nftables.conf
sudo systemctl enable --now nftables

Membaca kebijakannya: default drop → koneksi balik diizinkan → PostgreSQL hanya dari subnet app (10.10.10.0/24) → SNMP monitoring hanya dari server Prometheus (10.10.30.5) → SSH hanya dari subnet jump host (10.10.40.0/24). Setiap baris izin punya alasan tertulis di dc-docs/network/acl-matrix.md.

Kelola aturan ini lewat automation (Ansible episode 22) agar konsisten di semua host — firewall manual per-server pasti drift.

#Praktik: Port Security di Switch Access

Lapisan switch melindungi dari device liar di port access:

interface Gi1/0/12
 description srv-web-01 enp1s0
 switchport mode access
 switchport access vlan 20
 ! batasi mac address yang belajar
 switchport port-security maximum 2
 switchport port-security violation restrict
 switchport port-security aging time 1440
 ! redam broadcast storm
 storm-control broadcast level 5.00
 storm-control multicast level 5.00
 spanning-tree portfast
 spanning-tree bpduguard enable

Empat kontrol penting di sana: port-security membatasi MAC per-port (server dual-NIC = maksimum 2), storm-control menahan loop broadcast, bpduguard mematikan port jika ada switch liar ditancapkan, dan aging membersihkan entri basi. Untuk keamanan lebih tinggi, tambahkan 802.1X agar autentikasi per-device.

Verifikasi cepat status port:

show port-security interface Gi1/0/12
show storm-control broadcast

#Zero Trust Secara Realistis

Istilah zero trust sering dilebih-lebihkan. Inti praktisnya untuk DC engineer:

• Identitas layanan > alamat IP — kebijakan merujuk "layanan X", bukan "IP 10.10.10.7" yang berubah.
• Autentikasi eksplisit untuk setiap koneksi lintas-batas, termasuk internal.
• Log semua keputusan allow/deny, dikorelasikan di SIEM.

Mulai dari yang bisa dilakukan hari ini: default-deny antar zona + MFA di jalur admin + log terpusat. Sisanya evolusi, bukan revolusi.

#Common Pitfalls Network Security

• Firewall ruleset museum — aturan "any any" tahun 2019 masih hidup karena tak ada review; jadwalkan rekonsiliasi ruleset kuartalan.
• Backup zone bisa ditulis dari prod — ransomware modern mencari repository backup dulu; isolasikan kredensial dan arah replikasinya.
• Management di VLAN produksi — satu host compromised = seluruh BMC farm terpapar.
• Keamanan tanpa dokumentasi — aturan tanpa alasan tertulis akan dibongkar orang baik-baik enam bulan kemudian.

#Penutup

Inti yang harus dibawa pulang:

• Segmentasi zona (edge, app, data, storage, backup, mgmt/OOB) dengan default deny adalah fondasi; kapasitas "bicara" antar zona dibuka per layanan.
• North-south firewall saja tak cukup — microsegmentation east-west menghentikan pergerakan lateral.
• Jalur admin adalah mahkota: jump host + MFA + session recording; BMC default credentials mati hari pertama.
• Praktik konkret: nftables per-host dikelola automation, port-security/storm-control/bpduguard di switch access.

Di episode 19 selanjutnya kita bicara relasi dagang yang menopang fasilitas: supply chain & vendor management — jenis vendor DC, anatomi SLA beserta matriks severity, siklus hidup aset dari pengadaan sampai destruksi data sesuai NIST 800-88, strategi spare part, dan scorecard vendor yang objektif. Sampai jumpa di episode 19!