Belajar Samba - Privilege & Mitigasi Ransomware

#Pendahuluan

Episode 14 membuat Samba "keras" terhadap serangan teknis. Episode 15 menghadapi ancaman yang lebih jahat: ransomware — malware yang meng-encrypt semua file yang bisa dituliskannya. Perspektif yang harus kalian pegang: kalau malware berhasil masuk ke komputer user, ia akan memakai credentials user itu untuk menulis ke share Samba. Maka pertahanan terbaik bukan mencegah malware (itu ranah endpoint), melainkan mendesain share yang tidak bisa dirusak bahkan oleh user yang terkompromi. Itulah filosofi seluruh episode ini.

#Protection: Lapisan Pertahanan Berlapis

#Snapshot Immutable: Pertahanan Terakhir

Snapshot read-only (episode 12) adalah senjata paling ampuh: ransomware tidak bisa menghapus file yang tidak bisa ditulis, sekalipun ia memegang credentials admin. Kata kuncinya immutable: di level filesystem, bukan sekadar read-only Samba. Untuk Btrfs, snapshot -r (readonly) plus proteksi ekstra:

sudo btrfs subvolume snapshot -r /srv/data /srv/data/.snapshots/@GMT-2026.08.13-06.00.00
sudo btrfs property set /srv/data/.snapshots/@GMT-2026.08.13-06.00.00 ro true

Yang penting dipahami: ransomware yang jalan sebagai user biasa tidak punya akses admin ke server — ia hanya bisa mengencrypt apa yang bisa ditulis user itu. Snapshot immutable di server tidak tersentuh. Inilah mengapa pemisahan share (di bawah) sangat menentukan: semakin sempit hak tulis user, semakin sedikit yang bisa dirusak.

#Share Read-Only untuk Target Backup

Backup harus ditulis dari sistem yang terpisah, ke lokasi yang tidak bisa dijangkau endpoint. Satu pola kuat: share write-only untuk server backup, read-only untuk semua orang:

[backup]
   path = /srv/backup
   read only = yes
   valid users = @LAB\backup-agent
   write list = backupsvc
   vfs objects = recycle

• read only = yes + write list = backupsvc: hanya service backup (backupsvc) yang boleh menulis — user biasa hanya membaca (mengembalikan file).
• valid users = @LAB\backup-agent: bahkan untuk membaca pun dibatasi group khusus.
• VFS recycle sebagai lapisan ekstra bila terjadi kecelakaan.

#Recycle: Jaring Pengaman Pertama

Recycle dari episode 12 melindungi dari penghapusan — banyak ransomware modern menghapus file dulu atau menghapus isi share sebelum/bersamaan dengan encrypter. Recycle memberi waktu reaksi. Tapi ingat penekanan episode 12: recycle bukan pertahanan utama — ia lapis tercepat, snapshot immutable dan backup offsite adalah yang sesungguhnya menang.

#Pemantauan Akses Mencurigakan

Pola ransomware di jaringan: tulis massal file dalam waktu singkat, rename massal, atau login aneh. Bangun deteksi sederhana:

du -sh /srv/data 2>/dev/null >> /var/log/share-growth.log

Script di atas mencatat ukuran share tiap interval; lonjakan ukuran yang ekstrem (atau perubahan kepemilikan massal) adalah tanda merah. Perkuat dengan log auth_audit episode 14:

sudo grep -c "NT_STATUS_LOGON_FAILURE" /var/log/samba/log.*

Dan cek file yang tiba-tiba berubah ekstensi — pola khas encrypter:

find /srv/data -mmin -30 -name "*.encrypted" 2>/dev/null

#Best Practice: Least Privilege dan Segregasi

#Least Privilege

Prinsip: setiap user mendapat kemampuan minimum untuk bekerja. Praktiknya di Samba:

• Jangan beri valid users = @domain users yang membuka semua share ke semua orang.
• Buat group per departemen (@staf, @finance, @engineering) dan petakan ke share masing-masing.
• Gunakan read only = yes + write list (episode 4) — tulis adalah pengecualian, bukan default.
• Rotasi dan batasi akun admin; admin Samba (root) jangan dipakai untuk akses sehari-hari.

#Segregasi Share

Satu direktori data raksasa adalah mimpi buruk: kesalahan satu user berdampak ke semua. Pisahkan berdasarkan fungsi dan tingkat sensitivitas:

[data]     -> departemen (per group)
[archive]  -> read-only, jarang berubah
[backup]   -> write-only untuk service backup
[incoming] -> drop zone, write-only, dibersihkan berkala

[incoming] layak dicontoh: share drop-zone write-only (valid users kecil, tanpa browse) adalah tempat user menaruh file "mentah" sebelum dipindah admin ke lokasi final. Pola ini mempersempit permukaan yang bisa ditulis — dan setiap permukaan yang bisa ditulis adalah apa yang bisa dirusak ransomware.

#Checklist Respons Insiden

Saat tanda merah muncul (encrypter terdeteksi), urutan tindakan yang disarankan:

1. Isolasi: putus akses share (smbcontrol all pause) dan cabut mesin terinfeksi dari jaringan.
2. Jangan reboot server: snapshot dan log adalah bukti; matikan layanan dengan terkontrol.
3. Identifikasi jendela: cari snapshot terakhir yang bersih sebelum infeksi (episode 12).
4. Pulihkan: mount snapshot immutable, salin file bersih ke lokasi baru.
5. Audit akun: cari credentials mana yang dipakai attacker (log auth_audit), reset dan batasi.
6. Tinjau desain: kenapa user itu punya akses tulis? Perbaiki sebelum kembali online.

sudo smbcontrol all pause
sudo smbcontrol all resume   # setelah yakin aman

#Penutup

Inti yang harus dibawa pulang:

• Snapshot immutable adalah pertahanan utama — ransomware tidak bisa menulis apa yang read-only.
• Share backup: read only = yes + write list untuk service backup saja.
• Recycle melindungi dari penghapusan; deteksi (log, growth monitor) mempercepat respons.
• Least privilege dan segregasi share mempersempit apa yang bisa dirusak.
• Konfigurasi Samba tidak menghentikan ransomware dengan credential sah — desain dan deteksi yang menang.

Di episode 16 selanjutnya kita akan membahas testing & troubleshooting — testparm, smbclient -L, smbstatus, net ads testjoin, samba-tool domain info, log level, serta kasus umum: DNS, time skew, permission, dan SELinux/AppArmor. Saat semuanya berjalan, waktunya belajar memperbaiki saat tidak berjalan!