Memperkuat Perlindungan Server SSH

Server SSH yang terhubung ke internet terus-menerus menjadi sasaran serangan otomatis. Pengaturan bawaan membiarkan beberapa celah terbuka yang diselidiki bot tanpa henti.

Memperkuat keamanan berarti memperketat konfigurasi sisi server sehingga meskipun penyerang menemukan server Anda, mereka tidak dapat masuk dengan cara brute force.

Perilaku SSH di sisi server dikendalikan oleh /etc/ssh/sshd_config. Berkas ini berbeda dari konfigurasi klien yang Anda atur sebelumnya (~/.ssh/config).

Selalu edit berkas ini sebagai root dan simpan cadangan sebelum melakukan perubahan.

Akun root adalah hal pertama yang dicoba oleh penyerang. Menonaktifkan masuk langsung sebagai root memaksa mereka menebak nama pengguna yang valid juga.

Tetapkan PermitRootLogin ke no. Administrator harus masuk sebagai pengguna biasa dan menggunakan sudo.

Setelah autentikasi berbasis kunci berfungsi, nonaktifkan kata sandi sepenuhnya. Ini sepenuhnya menggagalkan serangan brute force — tidak ada kata sandi yang dapat ditebak.

Peringatan: pastikan masuk dengan kunci berfungsi sebelum menerapkan perubahan ini, atau Anda mungkin terkunci dan tidak dapat masuk.

Anda dapat memasukkan daftar putih akun yang diizinkan menggunakan SSH secara tepat dengan AllowUsers atau AllowGroups. Siapa pun yang tidak tercantum akan ditolak meskipun memiliki kunci yang valid.

Ini adalah kontrol yang kuat dan sederhana pada server dengan banyak pengguna.

Memindahkan SSH dari port 22 tidak memberikan keamanan yang sebenarnya, tetapi secara drastis mengurangi gangguan dari pemindai otomatis dalam log Anda.

Pilih port yang tidak standar dan ingat untuk membukanya di firewall serta memberi tahu klien Anda tentang port tersebut.

Beberapa direktif mengurangi waktu yang tersedia bagi penyerang:

• MaxAuthTries — jumlah upaya gagal sebelum koneksi diputus
• LoginGraceTime — jumlah detik yang diberikan untuk melakukan autentikasi
• MaxSessions — jumlah sesi bersamaan per koneksi

Setelah mengedit, validasi sintaks dengan sshd -t sebelum memulai ulang layanan — salah ketik dapat menyebabkan layanan gagal dimulai dan membuat Anda terkunci.

Kemudian muat ulang layanan tersebut. Biarkan sesi Anda saat ini tetap terbuka dan uji koneksi baru sebelum menutupnya.

Fail2ban memantau log autentikasi Anda dan memblokir sementara IP yang terlalu sering gagal. Fail2ban menambahkan lapisan firewall dinamis di atas pengaturan sshd.

Instal Fail2ban dan aktifkan penjara SSH; pengaturan bawaan sudah sesuai untuk sebagian besar server.

Pastikan server kini menolak hal-hal yang telah Anda nonaktifkan. Cobalah terhubung dengan keluaran verbose untuk melihat metode autentikasi yang ditawarkan server.

Server yang telah diperkuat seharusnya hanya mengiklankan publickey dan menolak login menggunakan kata sandi serta root.

Jaga keamanan server SSH Anda dari waktu ke waktu:

• Jangan pernah menerapkan PasswordAuthentication no sebelum menguji login dengan kunci
• Pertahankan satu sesi yang tetap terbuka saat mengubah konfigurasi
• Gunakan sshd -t setiap kali melakukan penyuntingan
• Gabungkan penguatan sshd dengan firewall dan Fail2ban

Uji pengetahuan Anda tentang penguatan SSH.

Anda telah memperkuat server SSH melalui /etc/ssh/sshd_config:

• Menonaktifkan login root dan login dengan kata sandi
• Membatasi pengguna yang diizinkan dengan AllowUsers
• Menyesuaikan MaxAuthTries dan LoginGraceTime
• Menambahkan Fail2ban untuk perlindungan dinamis terhadap brute force

Validasi dengan sshd -t dan selalu lakukan pengujian sebelum menutup sesi Anda.