Belajar IoT Engineer - IoT Network Security

#Pendahuluan

Di episode 11 kita mengamankan perangkatnya sendiri. Episode ini kita mengamankan jaringan tempat perangkat berdiam — karena satu perangkat yang diretas tidak boleh menjadi pintu masuk ke seluruh organisasi. Botnet Mirai membuktikan bahaya ini: jutaan kamera IoT yang diretas digunakan untuk menjatuhkan situs web raksasa.

Prinsip yang harus kalian bawa sepanjang karier: jangan pernah percaya perangkat IoT. Anggap setiap perangkat sudah atau akan dikompromikan — lalu desain jaringan sehingga kerusakannya terbatas.

#Segmentasi Jaringan: Batasi Blast Radius

Segmentasi membagi jaringan menjadi bagian-bagian terisolasi. Perangkat IoT ditempatkan di VLAN IoT khusus yang terisolasi dari komputer kantor dan server.

VLAN 10 (Kantor)  ─┐
VLAN 20 (Server)  ─┼── Router/firewall (firewall rules antar VLAN)
VLAN 30 (IoT)     ─┘

Aturan segmentasi yang wajib:

Bayangkan VLAN seperti kompartemen di kapal: jika satu kompartemen bocor, kapal tidak tenggelam.

#Praktik: Mengamankan Router dengan Firewall

Di jaringan rumah/lab, aturan firewall di router bisa membatasi perangkat IoT:

# 1. IoT boleh keluar ke internet (via gateway)
allow src VLAN30 → internet dst-port 8883 (MQTT TLS)
allow src VLAN30 → internet dst-port 443  (HTTPS)
 
# 2. IoT tidak boleh masuk ke jaringan kantor
deny  src VLAN30 → dst VLAN10 any
deny  src VLAN30 → dst VLAN20 any
 
# 3. IoT tidak boleh akses internet lain (kecuali update OTA)
deny  src VLAN30 → internet any
allow src VLAN30 → ota-server.example.com dst-port 443

Aturan ini menerapkan least privilege: perangkat hanya bisa melakukan persis yang dibutuhkannya — dan tidak lebih.

#mTLS: Otentikasi Dua Arah

Pada TLS biasa, hanya client yang memverifikasi server (mis. browser memverifikasi https://). Pada mTLS (mutual TLS), dua arah: server juga memverifikasi client memakai sertifikat client.

TLS biasa:  Client verifikasi cert server
mTLS:      Client verifikasi cert server
           + Server verifikasi cert client

mTLS adalah standar untuk IoT cloud: perangkat membawa sertifikat (episode 7), cloud memverifikasi identitasnya sebelum menerima data. Ini mengapa di episode 7 kita meng-upload tiga sertifikat — CA, cert device, dan private key: itulah pembentuk mTLS di AWS IoT.

openssl s_client -connect xxxxxxx-ats.iot.ap-southeast-1.amazonaws.com:8883 \
  -cert device.pem.crt -key device.private.key \
  -CAfile root-ca.pem -verify_return_error

Jika koneksi berhasil tanpa error, mTLS berfungsi — server dan perangkat saling memverifikasi.

#Protokol dan Layanan yang Aman

Periksa setiap layanan di jaringan IoT:

Aturan emas: jika tidak wajib terbuka, tutup. Setiap port terbuka adalah permukaan serangan. Perangkat dengan port debug (telnet, serial) yang dibiarkan aktif adalah undangan.

#Zero Trust untuk IoT

Zero Trust berarti: jangan percaya apa pun secara default — verifikasi setiap permintaan, dari siapa pun dan di mana pun.

1. Identitas: setiap perangkat punya identitas unik (sertifikat)
2. Verifikasi: setiap koneksi diverifikasi (mTLS)
3. Least privilege: akses minimal per perangkat (policy)
4. Micro-segmentation: perangkat tidak bisa bicara bebas
5. Continuous monitoring: perilaku anomali dideteksi

Praktisnya: perangkat hanya bisa publish ke topiknya sendiri, hanya bisa bicara ke gateway, dan setiap anomali — volume tidak wajar, waktu tak lazim — memicu alert.

#Praktik: Audit Jaringan IoT

Lakukan audit berkala jaringan tempat perangkat kalian:

nmap -sV 192.168.30.0/24

Periksa output: layanan apa yang terbuka di tiap perangkat? Adakah port yang tidak seharusnya ada? Serahkan daftar ini sebagai dasar aturan firewall.

#Kesalahan Umum

1. Semua perangkat di satu jaringan — perangkat IoT diretas = seluruh kantor terjangkau.
2. IoT boleh akses internet bebas — perangkat bisa jadi bagian botnet tanpa terdeteksi.
3. Hanya TLS satu arah — cloud tidak memverifikasi siapa yang mengirim; identitas perangkat hilang.
4. Layanan lama dibiarkan (telnet, MQTT plaintext) — permukaan serangan yang tidak perlu.
5. Tanpa monitoring anomali — serangan baru ketahuan setelah kerusakan terjadi.
6. Mengandalkan "perangkat kecil, tidak ada yang menyerang" — justru perangkat kecil yang direkrut jadi botnet.

#Penutup

Inti yang harus dibawa pulang:

• Anggap semua perangkat IoT sudah tidak aman — desain jaringan agar kerusakan terbatas.
• Segmentasi: VLAN IoT terpisah + firewall rules antar VLAN.
• mTLS memverifikasi perangkat dan server dua arah — standar IoT cloud.
• Tutup semua layanan yang tidak wajib; HTTPS/TLS 1.2+ di mana pun.
• Terapkan zero trust: identitas, verifikasi, least privilege, micro-segmentation, monitoring.

Di episode 19 selanjutnya, kita akan memverifikasi "siapa perangkat ini" secara mendalam: device identity & PKI — sertifikat, secure element/HSM, dan provisioning perangkat tanpa sentuh (zero-touch) — plus praktik mengelola identitas perangkat di produksi. Setiap perangkat akan punya paspor digital!