Penguatan SSH dan Praktik Terbaik Audit

Langkah penguatan keamanan SSH yang paling berdampak adalah menetapkan PasswordAuthentication no di /etc/ssh/sshd_config. Hal ini memaksa semua pengguna melakukan autentikasi dengan kunci publik, sehingga menghilangkan risiko kata sandi yang lemah atau digunakan ulang serta serangan coba-coba berulang. Pastikan setidaknya satu kunci yang diotorisasi telah dipasang sebelum menonaktifkan autentikasi kata sandi agar Anda tidak terkunci di luar sistem.

Arahan AllowUsers dan AllowGroups membatasi akses SSH ke pengguna tertentu atau anggota grup tertentu. Misalnya, AllowGroups sshusers hanya mengizinkan anggota grup sshusers. Hal ini memberikan pertahanan berlapis: meskipun penyerang mengetahui nama pengguna dan memperoleh kredensial, akses SSH tetap ditolak kecuali akun tersebut diizinkan secara eksplisit.

Mengubah SSH dari port 22 ke port bernomor tinggi merupakan bentuk penyamaran, bukan keamanan. Namun, langkah ini secara signifikan mengurangi kebisingan dalam catatan dari pemindai otomatis yang menargetkan port 22. Dengan demikian, catatan lebih mudah dianalisis untuk menemukan ancaman yang sebenarnya. Selalu pertahankan aturan firewall sebagai kendali akses utama; penyamaran port hanya merupakan langkah tambahan.

Menetapkan PermitRootLogin no mencegah autentikasi root langsung melalui SSH. Penyerang yang menargetkan root sudah memiliki nama pengguna yang pasti valid dan hak istimewa tanpa batas jika berhasil. Pengaturan yang direkomendasikan adalah PermitRootLogin prohibit-password, yang mengizinkan masuk sebagai root hanya dengan autentikasi kunci publik, memblokir serangan coba-coba berulang berbasis kata sandi terhadap root sekaligus mempertahankan akses darurat.

MaxAuthTries 3 membatasi jumlah percobaan autentikasi per koneksi menjadi tiga. Setelah tiga kegagalan, server memutus koneksi. Hal ini memperlambat upaya coba-coba berulang. Jika digabungkan dengan penundaan eksponensial dari fail2ban atau SSHGuard, yang melarang alamat IP untuk sementara setelah terjadi kegagalan berulang, serangan coba-coba berulang menjadi tidak layak secara komputasi.

LoginGraceTime menentukan berapa lama server menunggu autentikasi yang berhasil sebelum memutus koneksi. Nilai bawaannya adalah 120 detik; menguranginya menjadi 20 detik mencegah upaya coba-coba berulang yang berlangsung lambat dan mengurangi penggunaan sumber daya oleh koneksi yang belum terautentikasi. ClientAliveInterval dan ClientAliveCountMax mengendalikan pemeriksaan kesehatan koneksi untuk memutus sesi yang menganggur atau sudah mati.

Konfigurasi SSH modern sebaiknya membatasi algoritma hanya pada pilihan yang kuat dan modern. Di sshd_config, tetapkan Ciphers ke chacha20-poly1305@openssh.com,aes256-gcm@openssh.com, tetapkan MACs ke hmac-sha2-256-etm@openssh.com, dan tetapkan KexAlgorithms ke curve25519-sha256. Hal ini menghilangkan algoritma lama seperti arcfour, DES, dan MAC berbasis MD5 yang mungkin masih tersedia untuk kompatibilitas mundur.

fail2ban memantau catatan autentikasi dan melarang alamat IP yang melampaui ambang batas percobaan masuk yang gagal. Setelah sejumlah kegagalan yang dapat dikonfigurasi dalam jangka waktu tertentu, fail2ban menambahkan aturan iptables untuk menjatuhkan paket berikutnya dari alamat IP tersebut. Respons otomatis ini membuat serangan coba-coba berulang menjadi tidak praktis tanpa memerlukan intervensi manual.

Alat ssh-audit terhubung ke server SSH dan mengevaluasi konfigurasinya: algoritma pertukaran kunci, jenis kunci host, algoritma sandi, dan MAC yang ditawarkannya, serta menandai opsi yang sudah usang atau lemah. Menjalankan ssh-audit terhadap server Anda sebelum dan sesudah penguatan keamanan memberikan penilaian objektif sebelum dan sesudah perubahan serta mengidentifikasi celah konfigurasi.

Peristiwa autentikasi SSH dicatat melalui syslog. Di Linux, /var/log/auth.log (Debian) atau /var/log/secure (RHEL) mencatat setiap masuk yang berhasil dan gagal, lengkap dengan cap waktu, nama pengguna, IP sumber, dan sidik jari kunci yang digunakan. Mengirimkan catatan ini ke SIEM terpusat memungkinkan pendeteksian pola akses yang tidak biasa, seperti masuk dari negara yang tidak terduga atau pada jam yang tidak biasa.

sshd_config yang diperkuat menggabungkan: PasswordAuthentication no, PermitRootLogin prohibit-password, MaxAuthTries 3, LoginGraceTime 20, AllowGroups sshusers, Ciphers dan MAC yang dibatasi, X11Forwarding no, serta AllowTcpForwarding no (kecuali pembuatan terowongan diperlukan). Setiap arahan menghilangkan vektor serangan tertentu, dan secara bersama-sama membentuk konfigurasi keamanan SSH dengan pertahanan berlapis.

Daftar periksa penguatan keamanan SSH: nonaktifkan autentikasi kata sandi, batasi ke AllowGroups/AllowUsers, nonaktifkan masuk sebagai root atau batasi hanya ke kunci, tetapkan MaxAuthTries 3, kurangi LoginGraceTime, batasi algoritma hanya pada sandi modern, terapkan fail2ban atau SSHGuard, jalankan ssh-audit untuk penilaian objektif, dan pusatkan catatan untuk mendeteksi anomali.