Belajar System Administrator - Security Hardening

#Pendahuluan

Di episode-episode sebelumnya kalian membangun server yang berfungsi. Episode 18 memulai fase penting berikutnya: membuat server yang aman. Security hardening adalah proses mengurangi permukaan serangan — menghilangkan layanan yang tidak perlu, menutup pintu yang tidak dipakai, dan mempersempit hak akses.

Mengapa hardening penting? Karena internet penuh dengan pemindai otomatis yang terus mencoba SSH, port web, dan layanan umum. Server yang dipasang tanpa hardening bukan "aman sampai ada yang menyerang" — ia sudah sedang diserang sejak menit pertama online.

#Prinsip Hardening

Empat prinsip yang mendasari hampir semua langkah hardening:

1. Attack surface reduction — semakin sedikit layanan & port terbuka, semakin sedikit yang bisa diserang.
2. Least privilege — hak akses sekecil mungkin (dari episode 5).
3. Default deny — tutup semuanya, buka hanya yang dibutuhkan.
4. Defense in depth — berlapis: firewall + SSH key + MFA + log.

#CIS Benchmarks

CIS (Center for Internet Security) Benchmarks adalah standar de facto checklist hardening — dokumen yang merinci ratusan rekomendasi per-OS dengan level severity. Contoh yang selalu ada:

Di lingkungan besar, ada tool yang mengaudit otomatis terhadap CIS — misal Lynis (open source) atau OpenSCAP. Di lab:

sudo apt install -y lynis
sudo lynis audit system
sudo lynis audit system | grep -E "Warning|Suggestion"

Lynis memberi skor dan daftar rekomendasi — peta jalan hardening yang bisa kalian kerjakan satu per satu.

#Firewall: UFW dan firewalld

Dari episode 6 kalian sudah mengenal firewall. Sekarang kita menegakkannya sebagai kebijakan hardening — default deny:

#UFW (Debian/Ubuntu)

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 443/tcp
sudo ufw --force enable
sudo ufw status verbose

#firewalld (RHEL family)

sudo systemctl enable --now firewalld
sudo firewall-cmd --set-default-zone=drop
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

#SSH Hardening

SSH adalah pintu paling sering diserang di server Linux. Hardening yang wajib:

sudo nano /etc/ssh/sshd_config

Port 22
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
LoginGraceTime 30

sudo sshd -t
sudo systemctl restart ssh

Langkah berurutan yang aman:

1. Buat key SSH (ssh-keygen -t ed25519), salin ke server (ssh-copy-id).
2. Uji login dengan key dari sesi lain — pastikan bekerja.
3. Set PasswordAuthentication no dan PermitRootLogin no.
4. sudo sshd -t lalu restart — dari sesi yang sudah login, agar tidak terkunci.

#SELinux dan AppArmor

Mandatory Access Control (MAC) membatasi apa yang bisa dilakukan proses, bahkan oleh root — lapisan di atas permission tradisional (DAC).

Keduanya bekerja dengan prinsip: bahkan jika proses dikompromi, ia tidak bisa keluar dari profilnya.

#AppArmor

sudo aa-status
sudo aa-enforce /usr/sbin/nginx
sudo aa-complain /usr/sbin/nginx   # mode "watch" untuk debugging

#SELinux

getenforce
sudo setenforce 1          # enforcing
sestatus
sudo audit2allow -a        # analisis penolakan

#Praktik: Hardening Server Baru

Berikut urutan hardening yang bisa dijadikan checklist untuk setiap server baru:

# 1. Patch penuh
sudo apt update && sudo apt full-upgrade -y
# 2. Hapus/matikan layanan tak terpakai
sudo systemctl list-units --type=service --state=running | grep -v systemd
# 3. Firewall default deny, buka yang dibutuhkan
# 4. SSH hardening (key-only, no root, no password)
# 5. Audit dengan Lynis
sudo lynis audit system
# 6. Aktifkan/mantapkan AppArmor
# 7. Backup konfigurasi penting (episode 9 & 20)

Setiap baris adalah satu lapisan pertahanan. Semakin lengkap, semakin mahal biaya menyerang server kalian — dan itu justru yang kita inginkan.

#Penutup

Inti yang harus dibawa pulang dari episode 18:

• Hardening = mengurangi permukaan serangan dengan 4 prinsip: surface reduction, least privilege, default deny, defense in depth.
• Gunakan CIS benchmarks sebagai peta jalan; Lynis untuk audit otomatis.
• Firewall: default deny (UFW/firewalld) — buka SSH dulu sebelum enable.
• SSH hardening: key-only, no root login, batasi percobaan.
• AppArmor/SELinux menambah lapisan MAC di atas permission biasa — jangan dinonaktifkan.

Di episode 19 selanjutnya kita akan membahas Antivirus, EDR & Log Security — deteksi ancaman di endpoint/server, audit log, SIEM dasar, dan penanganan insiden, dengan praktik setup logging & monitoring keamanan. Server yang harden adalah server yang diawasi!