Belajar Infrastructure Engineer - Network Security Infra

#Pendahuluan

Setelah di episode 17 kita mengamankan identity, kini kita mengamankan jalur tempat identity itu berjalan: network security. Di episode 5 dan 11 kita membangun jaringan dan firewall dasar; episode ini menaikkannya ke level arsitektur keamanan: segmentation, firewall rules yang terkelola, deteksi ancaman, dan akses jarak jauh yang aman.

Mengapa topik ini penting? Karena di 2026, jaringan flat (semua bisa bicara ke semua) dianggap sebagai pelanggaran serius. Insiden keamanan besar — termasuk ransomware — biasanya meluas karena jaringan tidak tersegmentasi: sekali masuk, penyerang bisa bergerak bebas ke mana-mana.

#Segmentasi dan Zoning

Prinsip inti: jangan semua layanan dalam satu jaringan. Bagi menjadi zona berdasarkan tingkat kepercayaan dan kebutuhan.

Aturan lalu lintas antar zona: hanya apa yang dibutuhkan — dan traffic admin melalui bastion (jump host) terkelola, bukan SSH langsung dari internet.

#Mikrosegmentasi

Di level yang lebih halus, mikrosegmentasi membatasi komunikasi antar beban kerja (bukan hanya antar zona). Di Kubernetes ini adalah NetworkPolicy (episode 14); di cloud ini adalah security group per kelompok instance. Tujuannya: jika satu workload diretas, lateral movement penyerang terbatasi.

#Firewall Rules yang Terkelola

Firewall rules bukan sekadar perintah — mereka aset yang harus dikelola seperti kode:

#Prinsip Desain Rule

1. Default deny: semua diblokir kecuali diizinkan eksplisit.
2. Least privilege: izinkan sesempit mungkin (port + sumber + tujuan).
3. Konsisten dengan zona: traffic antar zona melalui aturan yang jelas.
4. Ordering penting: rule yang lebih spesifik diletakkan lebih dulu.

Contoh dengan UFW:

# DMZ → Internal: web app hanya terima dari web server
sudo ufw allow from 10.0.1.0/24 to any port 8080 proto tcp
# Data: database hanya terima dari app
sudo ufw allow from 10.0.2.0/24 to any port 5432 proto tcp

#Firewall sebagai Kode

Rule firewall sebaiknya di-version-control — bukan ditambal langsung di mesin. Dengan IaC (episode 8):

resource "aws_security_group" "db" {
  name = "db-sg"
  vpc_id = aws_vpc.main.id
 
  ingress {
    from_port = 5432
    to_port   = 5432
    protocol  = "tcp"
    security_groups = [aws_security_group.app.id]
  }
}

Perhatikan: sumber dibatasi ke security group app — bukan 0.0.0.0/0. Database hanya bisa diakses instance app.

#IDS/IPS: Deteksi dan Respons

Firewall memblokir yang diketahui buruk; deteksi menangkap yang tidak terduga.

Contoh sederhana memantau traffic:

# tcpdump: tangkap lalu lintas ke port tertentu
sudo tcpdump -i eth0 port 23 -c 10
# netstat/ss: cari koneksi asing
ss -tunp | grep ESTAB

Alur yang benar: firewall (blokir) → IPS (deteksi + blokir) → log & alert (evaluasi) → perbaiki rule. IDS/IPS tidak menggantikan firewall — mereka menangkap yang lolos.

#VPN: Akses Jarak Jauh yang Aman

VPN (Virtual Private Network) mengenkripsi koneksi pengguna/antarkantor melalui jaringan yang tidak tepercaya.

#Site-to-Site VPN

Menghubungkan dua jaringan (sudah dibahas di episode 13 untuk hybrid):

Kantor A <--IPsec tunnel--> Kantor B

#Remote Access VPN

Pengguna individu terhubung ke jaringan perusahaan dari mana saja:

User (laptop) --encrypted--> VPN server --masuk--> jaringan internal

Tools umum: WireGuard (modern, cepat), OpenVPN, IPsec, atau solusi cloud (AWS Client VPN). WireGuard menjadi pilihan populer karena simpel dan cepat:

sudo apt install wireguard
wg genkey | tee privatekey | wg pubkey > publickey
# konfigurasi /etc/wireguard/wg0.conf, lalu:
sudo systemctl enable --now wg-quick@wg0

#Zero Trust: Evolusi dari VPN

VPN memberi akses luas begitu terkoneksi ("trusted network"). Zero Trust membaliknya: tidak ada yang dipercaya secara default — setiap akses diverifikasi, dikontekstualisasikan, dan dibatasi.

1. Tidak percaya jaringan internal secara otomatis
2. Verifikasi setiap akses (identity + context + policy)
3. Least privilege per request, bukan per jaringan
4. Akses terbatas aplikasi, bukan jaringan penuh
5. Logging & inspeksi terus-menerus

Implementasi Zero Trust di 2026: Identity-aware proxy (misal Google BeyondCorp model, Cloudflare Access) yang menggantikan "masuk ke jaringan dulu" dengan "autentikasi dulu, baru akses aplikasi tertentu". Pergeseran ini mengurangi risiko lateral movement secara drastis.

#Common Pitfalls Network Security

• Jaringan flat: sekali masuk, bebas ke mana-mana — kegagalan paling sering.
• Rule firewall "sementara" permanen: debugging yang tidak pernah ditutup.
• Port database/SSH terbuka ke internet: undangan paling jelas.
• IDS/IPS tanpa response plan: alert berbunyi tapi tidak ada prosedur.
• VPN akses penuh: user VPN mendapat akses seluruh jaringan — seharusnya terbatas.
• Tanpa logging traffic: tidak bisa membuktikan apa yang terjadi saat insiden.

#Penutup

Pada episode 18 ini kalian telah mengamankan jaringan infrastruktur:

• Segmentasi & zoning (DMZ, Internal, Data, Management) membatasi pergerakan penyerang.
• Mikrosegmentasi dan firewall-as-code menerapkan least privilege di level workload.
• IDS/IPS (Suricata/Zeek) menangkap yang lolos dari firewall; deteksi tanpa respons tidak berguna.
• VPN (site-to-site, remote access) mengamankan jalur; WireGuard adalah pilihan modern.
• Zero Trust menggantikan "trusted network" dengan verifikasi per akses.

Di episode 19 selanjutnya kita mengelola rahasia dan kepatuhan: secrets & compliance — Vault/OpenBao, audit trail, dan kerangka regulasi. Sampai jumpa di episode 19!