Belajar DragonFlyBSD - Security Features & Hardening

#Pendahuluan

Di episode 14 sebelumnya kalian sudah melindungi lapisan enkripsi transport dengan TLS dan sertifikat. Tapi pertahanan yang baik tidak berhenti di satu pintu — ia menyelimuti seluruh bangunan. Episode ini tentang memperkuat seluruh sistem: mengatur parameter kernel lewat sysctl, memanfaatkan mitigasi eksploitasi, dan memantau aktivitas agar anomali terlihat sejak dini.

Bayangkan rumah yang sudah punya pintu kuat (SSH) dan jendela terkunci (TLS). Hardening adalah menyelesaikan sisanya: memasang sensor gerak (monitoring), mengacak tata letak kamar (ASLR), dan mematikan peralatan yang tidak dipakai. Tidak ada satu langkah yang ajaib — yang membuat rumah aman adalah banyak lapisan kecil yang berlapis.

#sysctl Security Settings

#Melihat Parameter

sysctl adalah jendela dan setir kernel. Semua parameter keamanan yang bisa diubah runtime dibaca dengan:

Lihat parameter keamanan kernel

sysctl kern.securelevel
sysctl -a | grep -i sec

kern.securelevel adalah level keamanan kernel: semakin tinggi, semakin banyak operasi yang dikunci dari modifikasi runtime. Beberapa parameter yang sering di-hardening:

Parameter	Pengaturan Aman	Efek
`kern.securelevel`	1	Mengunci perubahan waktu, mount, dan file penting
`net.inet.ip.forwarding`	0	Mematikan IP forwarding jika bukan router
`net.inet.tcp.cc.algorithm`	sesuai load	Algoritma congestion control
`vfs.usermount`	0	Mencegah user mount filesystem

#Menerapkan sysctl Permanen

Parameter yang diubah via sysctl hanya berlaku sampai reboot. Untuk permanen, tulis di /etc/sysctl.conf:

Contoh /etc/sysctl.conf

kern.securelevel=1
net.inet.ip.forwarding=0
vfs.usermount=0

Lalu terapkan tanpa reboot:

Terapkan sysctl.conf

sysctl -f /etc/sysctl.conf

#Mitigasi PaX-Like & ASLR

DragonFlyBSD membawa mitigasi eksploitasi kelas kernel — semangat yang sama dengan proyek PaX di Linux. Yang paling terlihat adalah ASLR (Address Space Layout Randomization): alamat memori proses diacak setiap kali program dijalankan, sehingga eksploitasi yang bergantung pada alamat tetap (seperti ROP) menjadi jauh lebih sulit.

Memeriksa status ASLR dan mitigasi terkait:

Cek mitigasi ASLR

sysctl kern.aslr.enable
sysctl kern.random_vectoring_enable

Parameter seperti kern.aslr.enable mengendalikan pengacakan alamat untuk proses baru. Bersama dengan stack protection dan W^X yang aktif di compiler default, DragonFlyBSD memberi pertahanan exploit yang solid tanpa perlu konfigurasi tambahan dari administrator.

Info

Mitigasi kernel bukan pengganti kebersihan aplikasi — ia adalah jaring pengaman. Utamakan tetap memperbarui package (pkg upgrade), mematikan layanan yang tidak dipakai, dan menerapkan least privilege. Mitigasi bekerja paling baik ketika tidak perlu dipakai.

#Best Practices Hardening

Berikut checklist hardening yang langsung bisa diterapkan:

Matikan layanan yang tidak dipakai: service <nama> stop lalu set _enable="NO" di rc.conf.
Terapkan firewall deny-by-default (episode 12) dan SSH hardening (episode 13).
Batasi akses file sensitif: chmod 600 /etc/ssh/ssh_host_ed25519_key.
Perbarui sistem rutin: pkg upgrade dan binary update base system.
Pantau cron dan log — tidak ada tugas rahasia yang harus berjalan tanpa jejak.
Set kern.securelevel=1 setelah sistem stabil.

#Monitoring Keamanan

#tcpdump

tcpdump menangkap paket jaringan — alat paling penting untuk menyelidiki perilaku mencurigakan:

Tangkap lalu lintas SSH

tcpdump -i em0 port 22
tcpdump -i em0 -n 'icmp and dst 192.168.1.10'

Baris pertama menampilkan seluruh lalu lintas port 22; baris kedua menyaring ICMP menuju alamat tertentu. Untuk analisis lebih dalam, tulis capture ke file lalu buka dengan Wireshark:

Simpan capture untuk analisis

tcpdump -i em0 -w /tmp/capture.pcap

#netstat

netstat menampilkan koneksi jaringan — siapa yang terhubung dan ke mana:

Lihat koneksi aktif

netstat -an
netstat -an | grep ESTABLISHED

-a semua soket, -n tanpa resolusi nama. Koneksi ESTABLISHED yang tidak dikenal adalah petunjuk awal intrusi. Perhatikan juga daftar port yang terbuka (LISTEN) — pastikan hanya layanan yang kalian kenal.

#systat

systat adalah dashboard real-time kinerja sistem:

Dashboard sistem

systat -vmstat
systat -netstat
systat -ip

-vmstat menampilkan CPU dan memori, -netstat lalu lintas jaringan, -ip statistik IP. Untuk pemantauan keamanan, kombinasi tcpdump (paket mencurigakan), netstat (koneksi tak dikenal), dan systat (anomali beban) memberikan gambaran yang hampir lengkap.

#Penutup

Di episode 15 ini kalian telah memperkuat DragonFlyBSD secara menyeluruh: mengatur sysctl security settings dengan kern.securelevel, menerapkan mitigasi PaX-like dan ASLR, menerapkan best practices hardening, serta memantau keamanan dengan tcpdump, netstat, dan systat.

Inti yang harus dibawa pulang:

sysctl membaca dan mengubah parameter kernel; tulis persist di /etc/sysctl.conf.
kern.securelevel adalah level keamanan kernel — naikkan setelah sistem stabil.
ASLR dan mitigasi PaX-like mengacak alamat memori dan menghambat eksploitasi.
Hardening = update rutin + layanan minimal + firewall + least privilege.
tcpdump untuk paket, netstat -an untuk koneksi, systat -vmstat untuk beban sistem.

Di episode 16 selanjutnya kita masuk ke jaringan tingkat lanjut: advanced networking & routing. Kalian akan menjalankan routing dinamis dengan bird, melihat NAT64, tunneling, serta menyusun setup production bridge dan VLAN yang andal.