Deteksi dan Pencegahan Penyusupan

Selamat datang di pelajaran terakhir tentang keamanan server! Kita telah membahas firewall dan audit, yang sangat penting untuk pencegahan. Namun, bagaimana jika penyerang yang gigih mencoba melewati pertahanan tersebut?

Pelajaran ini memperkenalkan Intrusion Detection Systems (IDS) dan Intrusion Prevention Systems (IPS). Alat-alat ini menyediakan lapisan tambahan pertahanan aktif untuk membantu Anda mendeteksi dan menghentikan aktivitas berbahaya di server.

Intrusion Detection System (IDS) ibarat petugas keamanan yang terus-menerus mengawasi aktivitas mencurigakan. IDS memantau lalu lintas jaringan atau log sistem server Anda untuk mencari pola yang menunjukkan adanya serangan.

• Pemantauan Pasif: IDS mendeteksi ancaman dan memberi tahu Anda.
• Tidak Memblokir: IDS tidak secara aktif memblokir atau mencegah penyusupan. Tugasnya hanya memberikan pemberitahuan.
• Contoh: Alat seperti Snort atau Suricata dapat berfungsi sebagai IDS berbasis jaringan dengan menganalisis data masuk dan keluar.

Intrusion Prevention System (IPS) mengembangkan konsep IDS lebih jauh. Alih-alih hanya memberikan peringatan, IPS secara aktif bertindak untuk menghentikan ancaman yang terdeteksi.

• Perlindungan Aktif: IPS dapat secara otomatis memblokir alamat IP berbahaya, mengakhiri koneksi mencurigakan, atau menolak paket berbahaya.
• Fokus Pencegahan: Tujuannya adalah mencegah penyusupan berhasil secara waktu nyata.
• Fail2Ban: Contoh populer IPS berbasis host yang akan kita bahas hari ini.

Fail2Ban adalah IPS berbasis host sumber terbuka yang andal. Fail2Ban bekerja dengan memindai berkas log (seperti log SSH, server web, atau server surel) untuk mencari upaya masuk yang gagal berulang kali atau pola mencurigakan lainnya.

Saat mendeteksi terlalu banyak upaya gagal dari satu alamat IP dalam waktu tertentu, Fail2Ban secara otomatis memperbarui aturan firewall server Anda untuk memblokir alamat IP tersebut sementara atau permanen.

Fail2Ban bekerja dengan menggunakan tiga konsep utama:

• Penyaring: Ini adalah ekspresi reguler yang menentukan pola yang harus dicari dalam berkas log (misalnya, 'failed password for root').
• Jail: Jail menggabungkan penyaring dengan tindakan. Jail menentukan berkas log yang dipantau, penyaring yang digunakan, dan tindakan yang dijalankan saat kondisi penyaring terpenuhi.
• Tindakan: Ini adalah perintah yang dijalankan saat suatu IP diblokir, biasanya dengan mengubah aturan firewall (seperti iptables atau ufw) untuk memblokir IP sumber.

Fail2Ban tersedia di repositori bawaan sebagian besar distribusi Linux. Mari kita memasangnya pada sistem berbasis Debian (seperti Ubuntu).

Pertama, perbarui daftar paket Anda, lalu pasang paket fail2ban:

Berkas konfigurasi utama Fail2Ban adalah /etc/fail2ban/jail.conf. Namun, Anda harus tidak pernah mengedit berkas ini secara langsung karena berkas tersebut dapat tertimpa saat pembaruan.

Sebagai gantinya, buat salinan bernama /etc/fail2ban/jail.local dan lakukan perubahan di sana. Berkas ini menimpa pengaturan dalam jail.conf.

Berikut beberapa pengaturan global penting yang dapat Anda konfigurasi dalam jail.local:

• bantime: Durasi sebuah IP diblokir (misalnya, 10m selama 10 menit).
• findtime: Jangka waktu saat upaya gagal dihitung (misalnya, 10m).
• maxretry: Jumlah upaya gagal sebelum sebuah IP diblokir (misalnya, 5).

Salah satu penggunaan Fail2Ban yang paling umum adalah melindungi SSH dari serangan brute force. Dalam berkas /etc/fail2ban/jail.local, Anda akan menemukan bagian untuk berbagai layanan yang disebut 'jail'.

Untuk mengaktifkan jail SSH, biasanya Anda hanya perlu menetapkan enabled = true di bawah bagian [sshd]. Anda juga dapat menyesuaikan nilai bantime, findtime, dan maxretry.

Setelah mengedit, mulai ulang Fail2Ban agar perubahan berlaku:

Setelah mengonfigurasi dan menjalankan Fail2Ban, Anda mungkin ingin memeriksa statusnya dan melihat apakah Fail2Ban sedang aktif memblokir IP. Anda dapat menggunakan perintah fail2ban-client untuk keperluan ini.

Untuk memeriksa status Fail2Ban secara keseluruhan:

Anda telah mengonfigurasi Fail2Ban untuk melindungi layanan SSH. Anda menetapkan maxretry = 3 dan bantime = 1h.

Seorang penyerang mencoba masuk melalui SSH:

1. Upaya masuk gagal pada 10:00:00
2. Upaya masuk gagal pada 10:00:30
3. Upaya masuk gagal pada 10:01:00
4. Upaya masuk gagal pada 10:01:30

Dengan asumsi findtime ditetapkan selama 10 menit, apa yang terjadi pada alamat IP penyerang?

Kerja bagus! Anda telah mempelajari cara menambahkan lapisan pertahanan aktif ke server Anda:

• IDS (Intrusion Detection System) mendeteksi dan memberi peringatan tentang aktivitas mencurigakan.
• IPS (Intrusion Prevention System) mendeteksi, memberi peringatan, dan secara aktif memblokir ancaman.
• Fail2Ban adalah IPS berbasis host yang memindai log untuk mencari pola berbahaya dan memblokir alamat IP yang melakukan pelanggaran dengan memperbarui aturan firewall.
• Anda telah mempelajari cara memasang Fail2Ban, mengonfigurasi pengaturan global dalam jail.local, mengaktifkan jail tertentu (seperti SSH), dan memantau statusnya.

Menerapkan Fail2Ban secara signifikan meningkatkan ketahanan server Anda terhadap serangan brute force dan ancaman otomatis lainnya. Teruslah berlatih agar dapat membangun sistem yang benar-benar tangguh dan aman!