Belajar UFW - Logging & Monitoring

#Pendahuluan

Sejauh ini kita sibuk menulis aturan — tapi sebuah firewall yang tidak menghasilkan log adalah kutukan hitam: kalian tidak tahu apa yang ditolak, siapa yang mencoba masuk, atau kapan serangan terjadi. Episode 12 menutup kesenjangan itu: logging & monitoring UFW.

Mengapa ini penting? Karena log adalah jendela ke perilaku jaringan. Dari log UFW kalian bisa melihat port scan yang datang, brute force yang gagal, atau kesalahan konfigurasi sendiri. Log yang benar juga menjadi bahan bakar fail2ban/CrowdSec dari episode 10 — dan sumber data untuk alerting (episode 21).

#Mengaktifkan Logging

Perintah dasar:

sudo ufw logging on

ufw logging on mengaktifkan logging pada level low. Level lengkap:

sudo ufw logging low
sudo ufw logging medium
sudo ufw logging high
sudo ufw logging off

Cek level aktif:

sudo ufw status verbose
 
Status: active
Logging: on (low)

#Di Mana Log Disimpan

#/var/log/ufw.log

Log utama UFW di sistem berbasis syslog:

sudo tail -n 20 /var/log/ufw.log

Contoh baris log:

Aug 16 10:32:04 srv01 kernel: [UFW BLOCK] IN=eth0 OUT= MAC=... SRC=185.220.101.34
DST=203.0.113.5 LEN=60 TOS=0x00 PREC=0x00 TTL=53 ID=58043 PROTO=TCP SPT=38214
DPT=22 WINDOW=64240 RES=0x00 SYN URGP=0

Baca info pentingnya:

• [UFW BLOCK] — aksi: BLOCK (ditolak), ALLOW (diizinkan).
• SRC / DST — IP sumber dan tujuan.
• DPT — port tujuan (di sini 22 = SSH).
• PROTO — protokol (TCP/UDP/ICMP).
• IN=eth0 — interface tempat paket masuk.

#Journald

Di sistem dengan journald (default Ubuntu modern), log UFW juga bisa diakses:

sudo journalctl -k -g UFW --since today

#Mendeteksi Scan dan Brute Force dari Log

#Pola Port Scan

Port scan klasik menyerang banyak port berbeda dari satu IP dalam waktu singkat. Cari dengan:

sudo grep "UFW BLOCK" /var/log/ufw.log | awk '{print $12}' | cut -d= -f2 | sort | uniq -c | sort -rn | head -10

Output yang sehat menunjukkan beberapa IP kecil; IP yang muncul ratusan kali dalam menit menandakan scan.

#Pola Brute Force

Brute force SSH biasanya muncul sebagai DPT=22 berulang dari IP yang sama:

sudo grep "DPT=22" /var/log/ufw.log | awk '{print $12}' | cut -d= -f2 | sort | uniq -c | sort -rn | head -10

Ketika kalian melihat IP mendominasi dengan puluhan upaya, saatnya mempertimbangkan ban manual atau memastikan fail2ban/CrowdSec dari episode 10 bekerja.

#Follow Real-time

Pantau langsung:

sudo tail -f /var/log/ufw.log

#Memblokir IP Mencurigakan dari Log

Setelah menemukan IP penyerang, blokir — baik sementara (dan bersihkan nanti) atau permanen:

sudo ufw deny from 185.220.101.34
sudo ufw status

sudo ufw delete deny from 185.220.101.34

#Audit Ruleset: ufw show

Selain log, UFW punya perintah untuk memeriksa ruleset dari sudut berbeda:

sudo ufw show added

Added user rules (see 'ufw status' for running firewall):
ufw allow 22/tcp
ufw allow 80/tcp
ufw limit 443/tcp

ufw show added menampilkan perintah asli yang kalian ketik — berguna untuk merekonstruksi ruleset dari awal, misalnya untuk dokumentasi (episode 21) atau migrasi ke server lain (episode 16).

Perintah lain yang berguna:

sudo ufw show raw

ufw show raw menampilkan ruleset lengkap (termasuk before/after) dalam format backend — jendela ke apa yang sebenarnya dieksekusi kernel, berguna untuk debugging lanjutan di episode 18.

#Rotasi dan Retensi Log

Log yang tidak dirotasi akan memakan disk. Ubuntu menangani rotasi lewat logrotate secara otomatis. Verifikasi konfigurasi:

cat /etc/logrotate.d/ufw

/var/log/ufw.log
{
  rotate 4
  weekly
  missingok
  notifempty
  compress
}

Artinya: rotasi mingguan, simpan 4 rotasi, kompresi rotasi lama. Jika log kalian sangat padat (level high), pertimbangkan rotate harian.

#Common Pitfalls

1. Level high ditinggalkan menyala: membanjiri disk dan CPU. Kembalikan ke low setelah debugging selesai.
2. Lupa bahwa deny juga bisa di-log: level low hanya mencatat BLOCK; jika kalian butuh tahu siapa yang di-allow, naikkan ke medium.
3. Parsing log tanpa rate-limit awareness: satu serangan bisa menghasilkan ribuan baris dalam detik — selalu agregasi (uniq -c), jangan baca mentah.
4. Memblokir IP tanpa verifikasi: pastikan IP memang menyerang, bukan IP kalian sendiri atau layanan yang dipakai.

#Penutup

Pada episode 12 ini, kalian telah menguasai logging dan monitoring.

Inti yang harus dibawa pulang:

• ufw logging on = level low; tersedia low/medium/high/off.
• Log ada di /var/log/ufw.log dan bisa diakses via journalctl -k -g UFW.
• Baca pola: [UFW BLOCK], SRC, DPT, PROTO untuk deteksi scan/brute force.
• ufw show added merekonstruksi perintah ruleset; ufw show raw menampilkan ruleset backend.
• Rotasi log ditangani logrotate; jaga level low di produksi.

Di episode 13 selanjutnya, kita masuk konfigurasi yang paling dinantikan: Port Forwarding & NAT — menambahkan aturan NAT di /etc/ufw/before.rules, mengubah DEFAULT_FORWARD_POLICY menjadi ACCEPT, mengaktifkan IP forwarding, dan meneruskan port 80/443 ke VM atau container. Sampai jumpa di episode 13!