Pengerasan OS: Penambalan, Konfigurasi Dasar, dan Tolok Ukur CIS

Penguatan OS adalah proses mengurangi permukaan serangan sistem operasi dengan menghapus fitur yang tidak diperlukan, menerapkan konfigurasi keamanan, dan menjaga sistem tetap diperbarui dengan Patch. Sistem operasi yang baru dipasang tidak aman secara bawaan — sistem tersebut memprioritaskan kemudahan penggunaan dengan mengaktifkan layanan dan fitur yang mungkin diinginkan banyak pengguna, tetapi tidak diperlukan oleh sebagian besar server perusahaan. Setiap layanan yang diaktifkan, port yang terbuka, dan kredensial bawaan merupakan titik masuk potensial bagi penyerang. Penguatan secara sistematis menutup titik-titik masuk ini sebelum sistem digunakan dalam produksi.

Manajemen Patch adalah proses mengidentifikasi, menguji, dan menerapkan pembaruan perangkat lunak yang memperbaiki kerentanan keamanan. Sistem yang tidak diperbarui dengan Patch merupakan salah satu target yang paling mudah dieksploitasi — banyak kebocoran besar (Equifax 2017, WannaCry 2017) mengeksploitasi kerentanan yang telah diketahui dan sebenarnya sudah memiliki Patch, tetapi tidak diterapkan oleh organisasi. Proses manajemen Patch yang matang menetapkan: identifikasi Patch (berlangganan advis vendor, umpan CVE), klasifikasi tingkat kekritisan (Emergency/Critical/High/Medium), tenggat pengujian (Patch kritis dalam 48–72 jam menurut banyak kerangka kerja), dan verifikasi penerapan.

Setiap layanan yang berjalan merupakan vektor serangan potensial. Penguatan OS dimulai dengan audit layanan: buat daftar semua layanan yang berjalan, identifikasi tujuannya, dan nonaktifkan layanan yang tidak diperlukan untuk peran sistem tersebut. Di Windows Server, peran seperti Print Spooler, Remote Registry, dan LLMNR sering dinonaktifkan pada server yang tidak memerlukannya. Di Linux, layanan seperti rpcbind, cups (pencetakan), dan avahi (mDNS) biasanya menjadi kandidat untuk dinonaktifkan. Prinsipnya adalah: jika tidak diperlukan, nonaktifkan.

Perangkat lunak yang terpasang tetapi tidak digunakan menimbulkan risiko yang tidak perlu. Setiap paket dapat menimbulkan kerentanan — bahkan perangkat lunak yang terpelihara dengan baik memiliki CVE. Penguatan OS mencakup: menghapus runtime bahasa pemrograman yang tidak diperlukan aplikasi (Python, Perl, Ruby pada server web), menghapus alat pengembangan (kompilator, debugger pada sistem produksi), dan menghapus paket aplikasi bawaan yang disertakan dalam citra OS (server FTP, klien telnet, agen SNMP). Citra kontainer harus menggunakan citra dasar minimal (Alpine, scratch, distroless) karena alasan yang sama.

Account bawaan dengan nama pengguna dan Password yang telah diketahui merupakan salah satu hal pertama yang dicoba oleh penyerang. Langkah penguatan: Disable Account Administrator bawaan (Windows) dan ganti namanya jika penonaktifan tidak memungkinkan; ganti nama Account root atau batasi Logon SSH root (Linux); ubah semua Password bawaan pada perangkat, basis data, dan aplikasi sebelum digunakan di lingkungan produksi; hapus Account guest; serta Disable Account layanan yang tidak memerlukan Logon interaktif. Alat scan seperti Nessus akan menandai kredensial bawaan sebagai temuan kritis.

Izin sistem berkas yang aman menerapkan Privilege minimum pada OS. Proses server web tidak boleh memiliki akses tulis ke direktori yang dilayaninya. Account aplikasi tidak boleh memiliki akses baca ke berkas konfigurasi yang berisi kredensial. Di Linux, binaries setuid dan setgid harus diaudit karena berjalan dengan Privilege yang ditingkatkan, siapa pun yang menjalankannya. Di Windows, izin NTFS dan audit DACL memastikan bahwa direktori sensitif (sarang SAM, salinan shadow, penyimpanan kredensial) hanya dapat diakses oleh proses yang diotorisasi.

Benchmark CIS adalah panduan penguatan gratis yang dikembangkan oleh komunitas untuk OS, aplikasi, dan platform cloud tertentu. Setiap benchmark berisi ratusan rekomendasi konfigurasi khusus, beserta alasannya, langkah remediasi, dan perintah audit. Benchmark CIS menggunakan dua tingkat profil: Tingkat 1 — konfigurasi dasar yang berlaku luas dan tidak membatasi fungsionalitas; Tingkat 2 — konfigurasi lanjutan untuk lingkungan dengan Security tinggi yang mungkin berdampak pada kemudahan penggunaan. Benchmark tersedia untuk Windows Server, Ubuntu/RHEL, macOS, Docker, Kubernetes, AWS, Azure, GCP, peramban, dan basis data.

Dasar Security adalah kumpulan pengaturan konfigurasi terdokumentasi yang harus dipenuhi oleh setiap sistem dalam suatu kategori peran. Dasar ini diterapkan melalui Group Policy Objects (GPOs) di Windows, playbook Ansible, cookbook Chef, atau manifest Puppet di Linux. Alat manajemen konfigurasi memungkinkan deteksi penyimpangan: jika sistem menyimpang dari dasar yang disetujui (misalnya, suatu layanan diaktifkan kembali), peringatan otomatis dan remediasi otomatis dapat mengembalikannya ke kondisi compliant. NIST SP 800-128 memberikan panduan tentang manajemen konfigurasi yang berfokus pada Security untuk sistem federal.

Penguatan bukan hanya soal pencegahan — pencatatan dan pemantauan sama pentingnya. Konfigurasikan policy audit untuk merekam: peristiwa autentikasi (berhasil dan gagal), eskalasi Privilege, akses objek (pembacaan berkas sensitif), pembuatan proses (beserta argumen baris perintah), dan peristiwa koneksi jaringan. Log harus diteruskan ke SIEM terpusat hampir secara real-time agar penyerang lokal dengan hak Administrator tidak dapat menghapus jejak dengan menghapus log peristiwa. Simpan log setidaknya selama 12 bulan sesuai ketentuan sebagian besar kerangka kerja kepatuhan.

Verifikasi manual terhadap benchmark penguatan pada setiap sistem tidak praktis jika dilakukan dalam skala besar. Alat pemindaian kepatuhan mengotomatiskan pemeriksaan ini. OpenSCAP (sumber terbuka) menerapkan konten SCAP pada sistem Linux dan menghasilkan laporan HTML yang menampilkan pemeriksaan yang lulus, gagal, dan tidak berlaku. Nessus menyertakan policy benchmark CIS. Microsoft Security Compliance Toolkit mengevaluasi sistem Windows berdasarkan dasar Microsoft. Alat-alat ini dijalankan secara berkala (mingguan atau bulanan), dan penyimpangan memicu tiket remediasi dalam sistem manajemen perubahan.

Pada domain Windows, Group Policy Objects (GPOs) adalah mekanisme utama untuk menerapkan dan menegakkan dasar Security dalam skala besar. Templat Security (berkas .inf bawaan atau khusus) dapat diimpor ke GPO untuk mengonfigurasi ratusan pengaturan sekaligus: policy Account, policy audit, penetapan hak pengguna, opsi Security, dan nilai registri. Snap-in Security Configuration and Analysis serta alat baris perintah secedit membandingkan pengaturan saat ini dengan templat yang ditentukan dan menghasilkan laporan kepatuhan. GPO diterapkan saat startup dan pada interval berkala, sehingga penyimpangan dari dasar otomatis diperbaiki.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari: penguatan OS mengurangi permukaan serangan dengan menonaktifkan layanan, menghapus perangkat lunak, mengamankan Account, dan menerapkan izin dengan Privilege minimum; manajemen patch menutup kerentanan yang diketahui dengan SLA berdasarkan tingkat kekritisan; dan Benchmark CIS menyediakan panduan konfigurasi Tingkat 1 (dasar) dan Tingkat 2 (lanjutan) yang ditegakkan melalui alat pemindaian kepatuhan otomatis. Selanjutnya kita akan membahas Manajemen Perangkat Seluler dan policy BYOD.