Belajar NAS - Vulnerability & Patch Management

#Pendahuluan

NAS yang aman bukanlah NAS yang sekali dikonfigurasi lalu dilupakan. Episode 15 ini membahas vulnerability dan patch management: bagaimana mengikuti CVE, menjaga sistem selalu ter-update, dan mengurangi permukaan serangan secara berkelanjutan.

Samba, OpenSSH, dan library pendukung adalah komponen yang paling sering menjadi sasaran. CVE baru muncul setiap minggu, dan NAS yang tidak di-patch menjadi target mudah. Kebiasaan update rutin dan audit berkala adalah perbedaan antara NAS yang sehat dan NAS yang terinfeksi.

Di akhir episode ini kalian akan bisa memantau CVE, menjalankan update rutin dengan aman, mengisolasi apps dan service, menjalankan layanan sebagai non-root, meminimasi permukaan serangan, dan melakukan security audit dasar.

#Kesadaran CVE

#Mengikuti CVE untuk Komponen NAS

CVE (Common Vulnerabilities and Exposures) adalah basis data kerentanan publik. Untuk NAS, komponen yang perlu dipantau antara lain Samba, OpenSSH, kernel, dan library terkait. Sumber informasi: situs resmi proyek, mailing list, dan feed keamanan.

Cek versi komponen kritis

samba --version
sshd -V
uname -r

Perintah di atas menampilkan versi Samba, OpenSSH, dan kernel. Catat versi ini lalu bandingkan dengan advisori keamanan terbaru untuk menentukan apakah patch dibutuhkan.

#Samba dan SMB Vulnerability

Samba memiliki riwayat CVE serius, termasuk yang memungkinkan remote code execution dan privilege escalation. Setiap CVE Samba biasanya menyertakan perbaikan yang dirilis di versi minor terbaru. Kuncinya: selalu jalankan versi yang didukung dan segera upgrade saat advisori rilis.

Cek CVE Samba terbaru

curl -s https://www.samba.org/samba/security/ | grep -i "CVE" | head

Perintah curl mengambil halaman advisori keamanan Samba. Membiasakan cek sumber resmi ini jauh lebih akurat daripada mengandalkan rumor.

#Kebiasaan Update Rutin

#Jadwal Update yang Teratur

Update adalah kebiasaan, bukan peristiwa. Tetapkan jadwal: misalnya mingguan untuk patch keamanan dan bulanan untuk update besar. Di TrueNAS SCALE, update sistem bisa dijadwalkan dan memanfaatkan boot environment sehingga aman untuk di-rollback.

Update paket di OMV/Debian

apt update
apt upgrade
apt autoremove

Perintah apt update dan apt upgrade menjaga basis Debian tetap terbaru, dan apt autoremove membersihkan paket yang tidak diperlukan lagi.

#Update dengan Boot Environment

TrueNAS SCALE memakai boot environment: sebelum update, sistem membuat snapshot lingkungan boot. Jika update bermasalah, boot ke environment sebelumnya dalam hitungan detik.

Cek boot environment

beadm list

Perintah beadm list menampilkan daftar boot environment. Adanya environment lama adalah jaring pengaman yang membuat update jauh lebih berani dilakukan.

#Isolasi Apps dan Service

#Apps dalam Isolasi

Aplikasi tambahan sebaiknya berjalan dalam isolasi — container atau jail — agar kerentanan di satu app tidak langsung memberi akses ke sistem utama. TrueNAS SCALE menjalankan apps dalam container; OpenMediaVault memakai Docker lewat plugin.

Lihat container yang berjalan

docker ps

Output docker ps menampilkan container aktif. Pastikan setiap container di-pull dari sumber terpercaya dan versi imajinya dijaga terbaru.

#Batasi Akses Container

Container hanya boleh mengakses dataset yang memang dibutuhkan, bukan seluruh pool. Saat membuat app, mount hanya dataset spesifik dan hindari akses ke direktori sistem.

#Non-Root Service

#Menjalankan Service sebagai User Khusus

Setiap service sebaiknya berjalan dengan user non-privileged. Jika service di-compromise, penyerang tidak langsung mendapat akses root. Ini praktik standar untuk database, web server, dan aplikasi container.

Jalankan proses sebagai user non-root

sudo -u nas-app /usr/local/bin/nas-app

Perintah sudo -u nas-app menjalankan proses atas nama user nas-app. Dalam container, set user pada image atau compose untuk tujuan yang sama.

Jalankan container non-root

services:
  app:
    image: example/app:1.0
    user: "1000:1000"

Manifest di atas menjalankan container dengan UID 1000, bukan root. Pola user: "1000:1000" ini wajib dipertimbangkan untuk setiap container yang kalian deploy.

#Minimasi Permukaan Serangan

#Kurangi Layanan yang Berjalan

Semakin sedikit port dan layanan yang terbuka, semakin kecil permukaan serangan. Matikan layanan yang tidak dipakai: FTP polos, telnet, atau protokol lama. Setiap layanan aktif harus punya alasan.

Cek port terbuka

ss -tlnp

Perintah ss -tlnp menampilkan semua port yang mendengarkan. Bandingkan dengan daftar layanan yang memang dibutuhkan, lalu matikan sisanya.

#Prinsip Lain yang Mendukung

Ubah port SSH? Tidak wajib; yang wajib adalah kunci yang kuat dan firewall.
Nonaktifkan akun yang tidak dipakai.
Aktifkan password policy yang kuat.
Batasi akses SSH hanya untuk key, bukan password.

#Security Audit Berkala

#Melakukan Audit Dasar

Audit keamanan tidak harus mahal. Beberapa langkah sederhana yang rutin dilakukan:

Audit dasar NAS

zpool status
ss -tlnp
last -n 20
journalctl -u ssh -n 20 --no-pager

Perintah last menampilkan riwayat login, dan journalctl -u ssh menunjukkan log SSH. Keduanya adalah titik awal mendeteksi akses mencurigakan.

#Membuat Checklist Audit

Jadwalkan audit berkala (misal bulanan) dengan checklist: update sudah jalan, port terbuka sesuai daftar, tidak ada login aneh, backup berhasil, dan sertifikat belum kadaluarsa. Checklist ini menjadi praktik yang akan diperkuat di episode 16 dan 22.

Tip

Selalu baca catatan rilis sebelum update mayor. Di TrueNAS SCALE, boot environment membuat eksperimen aman, tetapi kebiasaan membaca changelog tetap menyelamatkan kalian dari kejutan perilaku baru.

#Penutup

Di episode 15 ini kalian sudah membangun keamanan berkelanjutan: memantau CVE untuk Samba dan OpenSSH, menjalankan update rutin dengan boot environment, mengisolasi apps dan container, menjalankan service non-root, meminimasi permukaan serangan, dan melakukan audit berkala.

Inti yang harus dibawa pulang:

Pantau CVE untuk komponen kritis dan patch segera.
Tetapkan jadwal update; boot environment membuatnya aman.
Isolasi apps dalam container dengan akses data minimal.
Jalankan service sebagai non-root.
Audit berkala: port, login, log, dan status backup.

Di episode 16 selanjutnya kita akan membahas monitoring dan health checks — dari monitoring SMART, scrub dan status ZFS, alert email, hingga TrueNAS Reporting, TrueCommand, OMV monitoring, Prometheus dengan node_exporter, dan shutdown otomatis lewat UPS dengan NUT. Sistem sudah sehat sekarang, saatnya menjaganya tetap sehat.