Jasa Hardening Server Linux & Windows Sesuai Risiko Nyata

Langkah hardening yang kami terapkan

Kami mengerjakan daftar periksa yang sama pada setiap server agar tidak ada langkah yang terlewat karena lupa:

• Penguncian SSH: autentikasi berbasis kunci, penonaktifan login root langsung, dan penggantian port bila diperlukan.
• Penyusunan aturan firewall yang hanya membuka port yang benar-benar dipakai.
• Pemasangan perlindungan terhadap upaya masuk paksa seperti fail2ban.
• Penonaktifan layanan dan paket yang tidak digunakan.
• Pengetatan hak akses berkas dan direktori sensitif.
• Pengaktifan pembaruan keamanan otomatis untuk paket kritis.
• Pemasangan pemantauan integritas berkas dan pengumpulan log terpusat.
• Penerapan tolok ukur keamanan seperti CIS Benchmark sesuai kebutuhan.

Audit kerentanan dan penambalan

Selain memperketat konfigurasi, kami memindai paket terpasang untuk menemukan versi yang memiliki kerentanan diketahui. Hasilnya disusun berdasarkan tingkat keparahan dan kemudahan dieksploitasi, bukan sekadar daftar panjang tanpa prioritas.

Penambalan dijalankan bertahap: paket kritis lebih dulu, diikuti sisanya pada jendela pemeliharaan. Untuk paket yang berisiko mengganggu aplikasi, pengujian dilakukan di lingkungan terpisah sebelum diterapkan ke produksi.

Keseimbangan antara keamanan dan kenyamanan kerja

Hardening yang berlebihan membuat tim internal kesulitan bekerja, dan biasanya berakhir dengan seseorang mematikan pengamanannya diam-diam. Itu justru lebih berbahaya daripada tidak melakukan hardening sama sekali.

Karena itu kami menyesuaikan tingkat pengetatan dengan cara kerja tim Anda, mendokumentasikan setiap perubahan, dan menyediakan prosedur resmi bila ada kebutuhan akses khusus — sehingga tidak ada yang perlu mencari jalan pintas.

Keamanan SSH server sebagai prioritas pertama

SSH adalah pintu utama dan sasaran paling sering. Karena itu keamanan SSH server dikerjakan lebih dulu sebelum apa pun: autentikasi berbasis kunci diaktifkan, autentikasi kata sandi dimatikan sepenuhnya, dan login root secara langsung ditutup sehingga setiap tindakan administratif tercatat atas nama pengguna tertentu.

Setelah itu daftar pengguna yang berhak masuk dibatasi eksplisit lewat direktif AllowUsers, dan bila memungkinkan akses SSH hanya dibuka dari alamat tertentu atau melalui VPN. Mengganti port bukan bagian penting dari ini — ia hanya mengurangi kebisingan log, bukan menghentikan pemindai yang serius.

Kombinasi kunci SSH tanpa kata sandi ditambah pembatasan pengguna sudah menutup hampir seluruh upaya masuk paksa. Sisanya ditangani lapisan berikutnya.

Konfigurasi firewall Linux yang benar-benar menutup

Pekerjaan konfigurasi firewall Linux berangkat dari prinsip menolak semuanya lebih dulu, lalu membuka hanya yang memang dipakai. Urutannya penting: kalau kebijakan bawaan dibiarkan mengizinkan dan hanya beberapa port ditutup, satu layanan baru yang dipasang besok akan langsung terbuka ke internet tanpa ada yang menyadarinya.

Yang paling sering ditemukan terbuka padahal tidak seharusnya: basis data yang mendengarkan di semua antarmuka, panel administrasi yang diakses langsung dari internet, dan port pengelolaan seperti Redis atau Elasticsearch yang bawaan konfigurasinya memang tidak berpengaman.

Untuk server dengan beberapa layanan, kami memisahkan aturan per sumber: publik hanya boleh menyentuh port aplikasi, sementara akses pengelolaan dibatasi ke alamat kantor atau VPN.

Fail2ban brute force dan pembatasan laju

Meski kata sandi sudah dimatikan pada SSH, upaya masuk paksa tetap datang ke lapisan lain: panel administrasi, formulir login aplikasi, dan mail server. Perlindungan fail2ban brute force memantau log dan memblokir alamat yang berulang kali gagal, dengan durasi yang meningkat setiap pelanggaran berikutnya.

Yang perlu disetel hati-hati adalah ambangnya. Terlalu ketat, dan pengguna yang salah kata sandi tiga kali akan ikut terblokir bersama seluruh kantornya karena berbagi satu alamat IP publik. Kami memisahkan aturan untuk layanan internal dan layanan publik, serta memasukkan alamat kantor Anda ke daftar putih.

CIS Benchmark server dan audit kerentanan server

CIS Benchmark server adalah daftar periksa terperinci untuk memperketat sistem operasi — ratusan butir, dari izin berkas sampai parameter kernel. Menerapkan seluruhnya tanpa pertimbangan akan menyulitkan operasional; sebagian butir dirancang untuk lingkungan yang jauh lebih ketat daripada kebutuhan Anda.

Yang kami lakukan adalah menilai server terhadap tolok ukur itu, lalu menerapkan butir yang risikonya nyata dan mencatat alasan butir yang sengaja dilewati. Catatan itu berguna saat audit: pemeriksa lebih menerima penyimpangan yang beralasan daripada penyimpangan yang tidak diketahui.

Berjalan berdampingan dengannya, audit kerentanan server memindai versi paket terpasang terhadap basis data kerentanan yang diketahui. Hasilnya disusun berdasarkan seberapa mudah dieksploitasi dan seberapa terbuka layanannya — bukan sekadar daftar panjang berlabel kritis.