Kesalahan Konfigurasi Keamanan dan Layanan yang Terbuka

Salah konfigurasi keamanan adalah salah satu kerentanan web yang paling umum (OWASP Top 10 #5). Hal ini terjadi ketika pengaturan keamanan dibiarkan pada bawaan yang tidak aman, tidak lengkap, atau dikonfigurasi dengan tidak semestinya di lapisan mana pun dalam tumpukan.

Banyak perangkat dan perangkat lunak disertai kredensial bawaan (admin/admin, admin/password). Penyerang memindai kredensial ini secara sistematis. Selalu ubah kredensial bawaan segera setelah penerapan. Alat seperti Shodan mengindeks perangkat dengan kredensial masuk bawaan yang terekspos ke internet.

Setiap port terbuka adalah permukaan serangan. Prinsip paparan minimum: nonaktifkan semua layanan yang tidak diperlukan, tutup port yang tidak digunakan, dan jalankan hanya yang dibutuhkan. Audit dengan:

Peladen web yang menampilkan daftar direktori mengungkap struktur berkas, berkas cadangan, berkas konfigurasi, dan kode sumber. Nonaktifkan di nginx/Apache:

Pesan galat terperinci di lingkungan produksi mengungkap pelacakan tumpukan, skema basis data, jalur berkas, dan versi perangkat lunak. Penyerang menggunakannya untuk pengintaian. Catat galat di sisi peladen; tampilkan pesan umum kepada pengguna.

Panel admin (phpMyAdmin, Jenkins, dasbor Kubernetes, Grafana) tidak boleh diekspos ke internet tanpa autentikasi dan pembatasan IP. Penyerang secara khusus memindai /admin, /phpmyadmin, :8080/manage, dan sebagainya.

Bucket S3 publik dan kontainer penyimpanan cloud telah mengekspos sejumlah besar data sensitif. Selalu:

• Atur bucket agar privat secara bawaan
• Aktifkan kebijakan bucket yang memblokir akses publik
• Gunakan Manajemen Postur Keamanan Cloud (CSPM) untuk mengaudit secara berkelanjutan

Tajuk keamanan yang hilang membuat aplikasi terekspos. Periksa:

• Strict-Transport-Security (HSTS)
• Content-Security-Policy
• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY

Alat: securityheaders.com

Menjalankan pustaka, kerangka kerja, atau versi OS yang usang dan memiliki CVE yang diketahui merupakan salah konfigurasi. Penyerang menggunakan pemindai kerentanan untuk mengidentifikasi versi yang tepat dan mencocokkannya dengan eksploitasi publik. Manajemen pembaruan dan pemindaian dependensi sangat penting.

Menetapkan Access-Control-Allow-Origin: * pada API sensitif memungkinkan situs mana pun membuat permintaan lintas asal yang terautentikasi. Cerminkan tajuk Origin hanya untuk asal yang secara eksplisit dipercaya. Jangan pernah menggunakan karakter pengganti pada titik akhir yang terautentikasi.

Kunci API, kata sandi, dan kunci privat yang dikomit ke repositori kode sumber merupakan salah konfigurasi kritis. Rahasia tersebut sering ditemukan dalam pencarian GitHub. Gunakan variabel lingkungan, pengelola rahasia (Vault, AWS Secrets Manager), dan kait prakomit untuk mencegah komit yang tidak disengaja.

Salah konfigurasi keamanan mencakup kredensial bawaan, port terbuka, antarmuka admin yang terekspos, pencantuman direktori, galat yang terlalu rinci, penyimpanan cloud publik, tajuk keamanan yang hilang, perangkat lunak usang, dan rahasia dalam kode. Pertahanan: panduan penguatan, pemindaian konfigurasi otomatis (CSPM, Lynis), dan daftar periksa prapenerapan.