Mengamankan Server Perusahaan: Urutan Pengerjaan yang Masuk Akal, dari Hari Pertama sampai Rutin Bulanan

Server yang baru dipasang biasanya berada dalam kondisi paling aman sepanjang umurnya: bersih, minimal, dan belum ada yang menambahkan apa-apa “sementara”. Kondisi itu berubah pelan-pelan — port dibuka untuk keperluan integrasi, akun dibuat untuk vendor yang mengerjakan proyek, aplikasi bantu dipasang untuk mempercepat pekerjaan.

Setahun kemudian, tidak ada satu pun keputusan yang salah bila dilihat sendiri-sendiri, tetapi hasil gabungannya adalah server dengan permukaan serang yang jauh lebih luas daripada yang disadari siapa pun. Panduan ini disusun mengikuti urutan itu: apa yang dikerjakan di awal, dan apa yang menjaganya tetap begitu.

Sebelum menambah apa pun, kurangi dulu

Naluri pertama saat bicara keamanan server biasanya menambah — pasang antivirus, pasang alat pemantau, beli lisensi. Padahal pengurangan risiko terbesar di tahap awal justru datang dari mengurangi.

1. 01

   Daftar apa saja yang mendengarkan koneksi

   Periksa port mana yang terbuka dan layanan apa yang berada di baliknya. Di hampir setiap server yang kami periksa, ada satu atau dua layanan yang menyala tanpa ada yang tahu untuk apa — biasanya sisa pemasangan awal atau uji coba yang tidak pernah dibereskan.

2. 02

   Matikan yang tidak dipakai

   Layanan yang tidak berjalan tidak bisa diserang. Ini pengendalian paling murah yang tersedia, dan tidak menuntut lisensi apa pun.

3. 03

   Tutup akses dari internet untuk apa pun yang tidak melayani publik

   Basis data, panel administrasi, dan antarmuka pengelolaan tidak punya alasan untuk bisa dijangkau langsung dari luar. Yang boleh terbuka hanya layanan yang memang dipakai publik.

4. 04

   Hapus akun yang tidak lagi diperlukan

   Akun vendor dari proyek yang sudah selesai, akun uji coba, dan akun bekas staf yang sudah keluar. Ketiganya jenis akun yang tidak diawasi siapa pun karena tidak ada yang merasa memilikinya.

Pisahkan hak akses sejak awal

Prinsipnya sederhana: setiap akun hanya diberi wewenang yang benar-benar diperlukan untuk pekerjaannya. Yang sulit bukan memahaminya, melainkan menjalankannya ketika ada tekanan menyelesaikan sesuatu dengan cepat.

• Jangan pakai akun administrator untuk pekerjaan harian. Termasuk untuk menjalankan aplikasi. Layanan yang berjalan dengan wewenang penuh berarti celah pada layanan itu langsung memberi wewenang penuh pula.
• Beri akun layanan wewenang seperlunya. Akun yang dipakai aplikasi untuk mengakses basis data tidak perlu bisa membuat tabel atau menghapus basis data lain.
• Pisahkan akun per orang, jangan dipakai bersama. Akun bersama membuat log menjadi tidak berguna, karena tidak bisa lagi diketahui siapa yang melakukan apa.
• Tinjau ulang hak akses secara berkala. Wewenang cenderung bertambah dan jarang berkurang; tanpa peninjauan, dalam dua tahun hampir semua orang punya akses ke hampir semua hal.

Butir ketiga sering mendapat perlawanan karena terasa merepotkan. Tapi konsekuensinya baru terasa saat terjadi insiden: dengan akun bersama, pertanyaan “siapa yang mengubah konfigurasi ini” tidak akan pernah bisa dijawab.

Simpan log di tempat lain

Server mencatat banyak hal secara bawaan — upaya masuk, perubahan konfigurasi, galat aplikasi. Persoalannya, catatan itu tersimpan di server yang sama dengan yang dicatatnya.

Bila server itu dikuasai penyerang, membersihkan log adalah salah satu hal pertama yang dikerjakan. Hasilnya, tepat pada saat catatan itu paling dibutuhkan untuk mengetahui apa yang terjadi, catatannya sudah tidak ada.

Yang paling berguna dikirim keluar: catatan autentikasi, catatan perubahan hak akses, dan log firewall. Ketiganya menjawab tiga pertanyaan pertama yang muncul di setiap penelusuran insiden — siapa yang masuk, kapan wewenangnya berubah, dan dari mana koneksinya datang.

Penambalan yang tidak bergantung pada ingatan

Server berbeda dengan laptop: pembaruan otomatis penuh sering tidak bisa diterapkan begitu saja, karena ada layanan yang tidak boleh berhenti mendadak dan aplikasi yang perlu diuji lebih dulu.

Karena itu yang dibutuhkan bukan otomatisasi penuh, melainkan jadwal yang disepakati:

Cara memilih mana yang masuk baris pertama dibahas terpisah di patching dalam keamanan siber — termasuk kenapa skor keparahan saja bukan alat prioritas yang baik.

Cadangan yang dirancang untuk keadaan terburuk

Cadangan server punya satu syarat tambahan dibandingkan cadangan perangkat pribadi: ia harus selamat ketika seluruh domain jatuh.

1. Kredensial sistem cadangan terpisah dari kredensial domain. Bila akun administrator domain juga bisa menghapus cadangan, cadangan itu jatuh bersama domainnya.
2. Ada salinan yang tidak bisa diubah atau dihapus. Media yang dilepas setelah proses selesai, atau penyimpanan dengan kunci tulis-sekali.
3. Pemulihan pernah diuji sampai selesai, bukan sampai berkas terbaca. Yang perlu diketahui adalah berapa jam sampai layanannya benar-benar melayani lagi.

Angka pada butir ketiga itu yang dipakai berbicara dengan manajemen. “Kami punya backup harian” tidak memberi tahu berapa lama operasional akan berhenti; “kami pernah memulihkan basis data utama dalam sembilan jam” memberi tahu keduanya sekaligus. Alasan lengkapnya ada di apa itu ransomware.

Pisahkan jaringannya

Jaringan datar — semua perangkat berada di satu segmen dan bisa saling menjangkau — adalah kondisi yang paling menguntungkan penyerang. Satu komputer staf yang terinfeksi cukup untuk menjangkau server basis data secara langsung.

Pemisahan yang paling dasar dan paling bernilai:

• Server terpisah dari jaringan pengguna. Komputer staf tidak perlu bisa menjangkau server basis data secara langsung; yang perlu adalah aplikasinya.
• Server yang melayani publik terpisah dari server internal. Bila server web jatuh, ia tidak seharusnya bisa langsung menyentuh sistem inti.
• Perangkat tamu dan perangkat pribadi di jaringan sendiri. Tanpa jalur ke sistem internal sama sekali.
• Perangkat operasional khusus di segmen tersendiri. Mesin produksi dan alat medis biasanya tidak bisa ditambal, jadi isolasi adalah pengendalian utamanya.

Pemisahan ini tidak menghentikan serangan, tapi mengubah satu insiden dari “seluruh jaringan terdampak” menjadi “satu segmen terdampak”. Perbedaan itu yang menentukan apakah pemulihannya memakan waktu hari atau minggu.

Rutinitas yang menentukan segalanya

Semua langkah di atas dikerjakan sekali. Yang menentukan keadaan setahun kemudian adalah pekerjaan yang berulang — dan bagian inilah yang paling dulu ambruk ketika tim sedang sibuk.

Hal yang sering terlewat

Tiga hal berikut jarang masuk daftar periksa, padahal cukup sering menjadi jalan masuk:

• Antarmuka pengelolaan perangkat keras. Kartu pengelolaan jarak jauh pada server rak punya alamat dan kata sandi sendiri, terpisah dari sistem operasinya. Kata sandi bawaan yang tidak pernah diganti di sana memberi kendali penuh atas perangkat kerasnya.
• Server virtualisasi. Pengendaliannya sering hanya diterapkan pada mesin virtualnya, sementara lapisan hipervisor yang menampung semuanya luput dari perhatian.
• Salinan basis data untuk pengujian. Sering berisi data produksi yang sebenarnya, tapi ditempatkan di lingkungan dengan pengamanan yang jauh lebih longgar.

Butir terakhir termasuk yang paling berbahaya sekaligus paling mudah dibereskan: salinan untuk pengujian sebaiknya memakai data yang sudah disamarkan, bukan salinan mentah dari produksi.

Penutup

Mengamankan server bukan proyek dengan tanggal selesai. Sebagian besar pekerjaannya justru berupa hal-hal yang tidak terlihat menghasilkan apa-apa: menutup port yang tidak terpakai, mencabut wewenang yang tidak lagi diperlukan, dan memastikan cadangan benar-benar bisa dipulihkan.

Bila ingin memulai hari ini dengan satu hal: buat daftar layanan di server Anda yang bisa dijangkau langsung dari internet. Daftar itu biasanya lebih panjang daripada dugaan, dan memangkasnya adalah pekerjaan dengan hasil terbesar per jam yang dihabiskan.