Author: hapsaritilawah

Stack FAMP (seperti stack LAMP pada Linux) adalah sekumpulan perangkat lunak sumber terbuka yang pada umumnya diinstal bersama untuk mendukung situs web dan aplikasi web pada server FreeBSD. FAMP adalah akronim dari FreeBSD (sistem operasi), Apache (server web), MySQL (server basis data), dan PHP (untuk memproses konten PHP dinamis). Sebelum menginstal WordPress, kita harus menginstal FAMP terlebih dahulu.

Langkah #1 — Menginstal Apache

Untuk menginstal Apache 2.4 menggunakan pkg, jalankan perintah berikut:

$ sudo pkg install apache24

Untuk mengaktifkan Apache sebagai sebuah servis, tambahkan apache24_enable="YES" pada berkas /etc/rc.conf. Kita dapat menggunakan perintah berikut untuk melakukannya:

$ sudo echo 'apache24_enable="YES"' >> /etc/rc.conf

Sekarang mulai jalankan Apache:

$ sudo service apache24 start

Kita dapat memverifikasi apakah Apache sudah berjalan dengan mengunjungi alamat IP publik server kita dalam peramban web lynx. Kita akan melihat halaman web FreeBSD Apache yang default, berkata “It Works!”.

$ sudo pkg install lynx
$ lynx 172.16.109.128

Langkah #2 — Menginstal MySQL

Untuk menginstal MySQL 5.6 menggunakan pkg, jalankan perintah berikut:

$ sudo pkg install mysql56-server

Untuk mengaktifkan MySQL sebagai sebuah servis, tambahkan mysql_enable="YES" pada berkas /etc/rc.conf. Kita dapat menggunakan perintah berikut untuk melakukannya:

$ sudo echo 'mysql_enable="YES"' >> /etc/rc.conf

Sekarang mulai jalankan MySQL:

$ sudo service mysql-server start

Setelah basis data MySQL berjalan, jalankan naskah keamanan berikut untuk menghapus beberapa default yang berbahaya dan sedikit membatasi akses kepada sistem basis data kita:

$ sudo mysql_secure_installation

Langkah #3 — Menginstal PHP

Untuk menginstal PHP 5.6 menggunakan pkg, jalankan perintah berikut:

$ sudo pkg install mod_php56 php56-mysql php56-mysqli

Sekarang salin contoh berkas konfigurasi PHP menggunakan perintah berikut:

$ sudo cp /usr/local/etc/php.ini-production /usr/local/etc/php.ini

Sekarang jalankan perintah rehash untuk membangkitkan kembali informasi cache sistem mengenai berkas eksekutabel yang terinstal:

$ rehash

Langkah #4 — Konfigurasi Apache dengan modul PHP

Sebelum Apache dapat memproses halaman PHP, kita harus mengkonfigurasikannya menggunakan mod_php. Buka berkas konfigurasi Apache:

$ sudo vi /usr/local/etc/apache24/httpd.conf

Pertama, kita konfigurasikan Apache untuk membuka berkas index.php secara default. Lihat baris DirectoryIndex index.html dan ubah baris tersebut dengan menambahkan index.php di depan index.html, seperti berikut ini:

Kemudian kita konfigurasikan Apache untuk memproses berkas PHP yang diminta dengan prosesor PHP. Tambahkan baris-baris berikut di akhir berkas:

Sekarang hidupkan kembali Apache:

$ sudo service apache24 restart

Langkah #5 — Uji pemrosesan PHP

Untuk menguji apakah sistem sudah dikonfigurasikan dengan benar untuk memproses PHP, kita dapat membuat naskah PHP yang sangat sederhana. Misalkan kita membuat naskah index.php. Agar Apache dapat mencari berkas dan menyajikannya dengan benar, berkas index.php harus disimpan dalam direktori spesifik–DocumentRoot–dimana Apache akan mencari berkas ketika pengguna mengakses server web. Lokasi DocumentRoot dispesifikasikan dalam berkas konfigurasi Apache yang kita modifikasi sebelumnya (/usr/local/etc/apache24/httpd.conf). Secara default, DocumentRoot ditetapkan pada /usr/local/www/apache24/data. Kita dapat membuat berkas index.php dalam direktori tersebut seperti berikut:

$ sudo echo ''  >> /usr/local/www/apache24/data/index.php

Sekarang kita dapat melakukan pengujian dengan mengunjungi alamat berikut:

$ lynx 172.16.109.128/index.php

atau

$ lynx 172.16.109.128

Langkah #6 — Siapkan basis data MySQL

WordPress menggunakan basis data relasional seperti MySQL untuk mengelola dan menyimpan informasi situs dan pengguna. Pada langkah ini, kita akan menyiapkan basis data dan pengguna MySQL untuk digunakan pada WordPress.

Masuk ke akun administratif MySQL (root) dengan menggunakan perintah ini:

# mysql -u root -p

Buat basis data MySQL dengan menggunakan kueri SQL berikut:

CREATE DATABASE wordpress;

Buat pengguna baru dengan kueri SQL berikut:

CREATE USER wordpressuser@localhost IDENTIFIED BY 'password';

Sekarang berikan izin akses pengguna ke basis data dengan menggunakan kueri SQL berikut:

GRANT ALL PRIVILEGES ON wordpress.* TO wordpressuser@localhost;
FLUSH PRIVILEGES;
exit

Langkah #7 — Unduh WordPress

Unduh berkas WordPress pada direktori home dengan menggunakan perintah berikut:

$ cd ~
fetch http://wordpress.org/latest.tar.gz

Ekstraksi arsip dengan perintah berikut:

$ tar xvf latest.tar.gz

Hasil ekstraksi ada pada direktori bernama wordpress dalam direktori home.

Untuk menghapus arsip WordPress gunakan perintah:

$ rm latest.tar.gz

Langkah #8 — Konfigurasi WordPress

Pertama-tama, masuk ke direktori wordpress:

$ cd ~/wordpress

Agar konfigurasi lebih mudah, kita akan menggunakan contoh konfigurasi yang disediakan WordPress, wp-config-sample.php. Salin contoh ke wp-config.php:

$ cp wp-config-sample.php wp-config.php

Lakukan modifikasi DB_NAME, DB_USER, dan DB_PASSWORD pada berkas konfigurasi:

$ vi wp-config.php

Langkah #9 — Salin berkas-berkas pada DocumentRoot Apache

Setelah aplikasi WordPress kita terkoneksi dengan basis data, kita harus menyalin berkas-berkas WordPress ke direktori DocumentRoot Apache:

$ sudo cp -rp ~/wordpress/* /usr/local/www/apache24/data/

Sekarang ubah kepemilikan berkas-berkas WordPress ke pengguna dan grup www:

$ sudo chown -R www:www /usr/local/www/apache24/data/*

Langkah #10 — Jalankan instalasi WordPress

Sekarang kita kunjungi alamat IP publik kita pada peramban web sebagai berikut:

$ lynx 172.16.109.128

Referensi:

1. https://www.digitalocean.com/community/tutorials/how-to-install-an-apache-mysql-and-php-famp-stack-on-freebsd-10-1
2. http://www.freebsdmadeeasy.com/tutorials/web-server/install-php-5-for-web-hosting.php
3. https://www.digitalocean.com/community/tutorials/how-to-install-wordpress-with-apache-on-freebsd-10-1

Pada artikel bagian kelima ini, akan dibahas teknik-teknik dasar untuk melakukan langkah keenam yaitu langkah menguji keamanan sistem dengan menggunakan nmap dan nessus.

Nmap

Nmap (“Network Mapper”) adalah kakas open source untuk eksplorasi jaringan dan audit keamanan. Nmap menggunakan paket-paket IP sedemikian sehingga dapat menentukan host apa saja yang tersedia dalam jaringan, servis (nama aplikasi dan versinya) apa saja yang disediakan host tersebut, OS apa (dan versinya) yang dijalankan, tipe packet filter/firewall apa yang digunakan, dan sekian banyak karakteristik lainnya. Nmap dapat diinstal melalui package atau melalui port security/nmap.

Output dari Nmap adalah daftar dari target yang di-scan, dengan informasi tambahan tergantung dari opsi yang digunakan. Tabel port berisi nomor port dan protokol,  nama servis, dan state. Nilai-nilai dari state adalah sebagai berikut:

Port scanning dengan Nmap

Nmap mendukung banyak teknik port scanning. Hanya satu teknik yang bisa digunakan pada setiap scan, kecuali scan UDP (-sU) dan tipe scan SCTP (-sY dan -sZ) dapat dikombinasikan dengan satu dari tipe scan TCP. Secara default, nmap melakukan scan dengan teknik TCP SYN.

Berikut ini adalah hasil port scanning yang dilakukan pada server FreeBSD yang sudah dilakukan hardening pada langkah-langkah sebelumnya dan kemudian diinstal WordPress. Dari hasil berikut dapat terlihat bahwa setiap teknik menghasilkan output dan lama scan yang berbeda-beda.

Deteksi versi servis dan versi OS dengan Nmap

Nmap mendukung pendeteksian versi servis yaitu dengan opsi -sV dan pendeteksian versi OS yaitu dengan opsi -O. Opsi -A juga dapat digunakan untuk mendeteksi versi servis (beserta informasi tambahan lainnya) dan versi OS sekaligus.

Berikut ini adalah hasil deteksi versi servis dan versi OS oleh Nmap. Dari hasil berikut dapat terlihat bahwa versi OpenSSH, Apache dan PHP yang terdeteksi oleh Nmap adalah benar. Sedangkan versi FreeBSD yang terdeteksi oleh Nmap adalah salah dan Nmap tidak berhasil mendeteksi versi MySQL.

Nessus

Nessus adalah scanner keamanan yang menelusuri suatu jaringan untuk mencari kerentanan yang diketahui secara umum dan kesalahan konfigurasi yang umum dilakukan. Nessus terdiri dari dua bagian: server dan klien. Server nessusd bertanggung jawab terhadap serangan, sedangkan klien nessus menyediakan antarmuka untuk pengguna. Nessus dapat diinstal melalui package atau melalui port security/nessus.

Pertama, kita buat sebuah pengguna Nessus dengan perintah berikut. Pengguna Nessus digunakan untuk koneksi ke server Nessus.

# nessus-adduser

Sebelum menjalankan daemon Nessus, kita harus membuat sebuah sertifikat SSL lokal dengan menggunakan perintah:

# nessus-mkcert

Sekarang, kita dapat menjalankan daemon Nessus dengan perintah:

# nessusd -D

Berikut ini adalah contoh perintah untuk menjalankan scan Nessus. localhost 1241 merupakan host dan port dari server Nessus. nessuser qwertyuiop merupakan id pengguna Nessus dan kata sandinya. target merupakan nama berkas yang berisi alamat IP target dan result.txt merupakan nama berkas yang akan digunakan untuk menyimpan hasil scan.

# nessus -T txt -qx localhost 1241 nessuser qwertyuiop target result.txt

Hasil scan Nessus menunjukkan bahwa sistem dapat dikatakan aman. Satu-satunya kerentanan yang ada disebabkan oleh Nessus itu sendiri, yaitu karena Nessus yang diinstal belum diregistrasi.

Referensi:

1. https://www.freebsd.org/cgi/man.cgi?query=nmap&manpath=SuSE+Linux/i386+11.3
2. https://ws.edu.isoc.org/workshops/2005/SANOG-VI/ip-services/day1/nessus/nessus-install.html
3. http://hackertarget.com/nessus-scanning-command-line/

Pada artikel bagian keempat ini, akan dibahas teknik-teknik dasar untuk melakukan langkah kelima yaitu langkah menginstal kontrol keamanan tambahan.

Intrusion Detection System (IDS)

FreeBSD menyediakan dukungan untuk sistem IDS dasar. Kakas bawaan mtree dapat digunakan untuk membangkitkan spesifikasi dari konten-konten pada sebuah direktori, seperti /bin, /sbin, /usr/bin, /usr/sbin, /usr/local/bin, /etc, dan /usr/local/etc.

Nilai 3483151339707503 merepresentasikan seed. Nilai ini harus diingat dan tidak dibagikan.
Untuk mensimulasikan perubahan, ubah tanggal modifikasi pada on /bin/cat menggunakan touch dan jalankan lagi perintah verifikasi:

Ada sistem IDS yang lebih canggih, seperti security/aide.

Mendeteksi Rootkits

Rootkit adalah perangkat lunak yang tidak berwenang yang berusaha mengambil akses root pada sebuah sistem. Sekalinya rootkit terinstal, maka rootkit akan membuka celah masuk untuk penyerang. Dalam FreeBSD, terdapat kakas bawaan untuk mendeteksi rootkit yaitu security/rkhunter.
Setelah instalasi package atau port ini, sistem dapat diperiksa menggunakan perintah berikut:

# rkhunter -c

Setelah proses selesai, pesan status akan muncul di layar. Pesan ini berisi jumlah berkas yang diperiksa, berkas-berkas yang dicurigai, kemungkinan rootkit, dan sebagainya.

Firewall

FreeBSD mempunyai tiga firewall bawaan: PF, IPFW, dan IPFILTER (yang juga dikenal sebagai IPF). Setiap firewall menggunakan aturan-aturan untuk mengendalikan akses dari paket yang masuk ke dan keluar dari sistem FreeBSD, walaupun ketiganya memiliki pendekatan yang berbeda dan masing-masing memiliki sintaks aturan yang berbeda. Dalam artikel ini, hanya akan dibahas bagaimana menggunakan firewall PF.
Untuk menggunakan PF, tambahkan baris berikut ke /etc/rc.conf dengan perintah berikut:

pf_enable="YES"

Opsi-opsi tambahan (pfctl) dapat digunakan pada PF ketika PF dimulai, yaitu dengan menambahkan baris berikut ke /etc/rc.conf:

pf_flags=""

Secara default, PF membaca aturan-aturan konfigurasi pada /etc/pf.conf dan memodifikasi, menjatuhkan, atau mengizinkan paket-paket yang masuk atau yang keluar berdasarkan pada aturan-aturan atau definisi-definisi yang dispesifikasikan dalam berkas tersebut. FreeBSD menyediakan contoh ruleset yang ada di /usr/share/examples/pf/pf.conf.

Dukungan logging untuk PF disediakan oleh pflog. Untuk mengaktifkan dukungan logging, tambahkan baris berikut ke /etc/rc.conf:

pflog_enable="YES"

Baris-baris berikut dapat juga ditambahkan untuk mengubah lokasi default dari berkas log atau untuk menspesifikasikan flag tambahan untuk digunakan pada pflog ketika pflog dimulai:

pflog_logfile="/var/log/pflog"
pflog_flags=""

Setelah menyimpan perubahan-perubahan yang dibutuhkan, PF dapat dimulai dengan dukungan logging dengan menggunakan perintah berikut:

# service pf start
# service pflog start

Ruleset PF

Berikut adalah contoh aturan-aturan PF yang sederhana untuk webserver:

# Makro
EXT="em0"

# Izinkan semuanya ke/dari localhost
set skip on lo0

# Blok semuanya secara default
block log all

# Izinkan paket masuk untuk protokol ssh (22) dan http (80)
pass in quick on $EXT proto tcp from any to port {22, 80}

# Izinkan semua paket yang keluar
# 'quick' adalah agar PF menggunakan strategi aturan terakhir yang cocok yang menang
pass out quick on $EXT all

Ruleset dapat dimuat dengan perintah:

# pfctl -e ; pfctl -f /etc/pf.conf

Kapanpun dilakukan perubahan pada ruleset, aturan baru harus dimuat agar dapat digunakan:

# pfctl -f /etc/pf.conf

Jika tidak ada kesalahan sintaks, pfctl tidak akan menampilkan pesan apapun selama aturan dimuat. Ruleset juga dapat diuji sebelum dimuat yaitu dengan perintah berikut:

# pfctl -nf /etc/pf.conf

Dalam contoh ruleset di atas, semua paket yang diblok akan ditampilkan dalam pflog0. Kita dapat melihatnya dengan perintah berikut:

tcpdump -v -eni pflog0

Referensi:

1. Stallings, William, dan Lawrie Brown. Computer Security: Principles and Practice. Pearson, edisi ke-2, 2012.
2. https://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/index.html
3. https://forums.freebsd.org/threads/pf-rules-for-webserver-something-missing.10582/

Pada artikel bagian ketiga ini, akan dibahas teknik-teknik dasar untuk melakukan langkah ketiga dan keempat yaitu langkah konfigurasi pengguna, grup, dan otentikasi serta langkah konfigurasi kontrol sumber daya.

Pengguna dan Dasar Manajemen Akun

Dalam sistem operasi berbasis UNIX, terdapat tiga jenis akun: akun sistem, akun pengguna, dan akun superuser.

Pengelolaan akun

• Menambah pengguna baru:

  # adduser

  

  adduser secara otomatis memperbarui /etc/passwd dan /etc/group.

• Menghapus pengguna:

  # rmuser username

• Memodifikasi akun pengguna bisa dengan cara: chpass, passwd, atau pw.

Pengelolaan grup

• Menambah grup baru:

  # pw groupadd groupname

• Menambahkan akun user ke sebuah grup baru:

  # pw groupmod groupname -M username

• Menambahkan anggota baru ke dalam sebuah grup:

  # pw groupmod groupname -m username

• Menampilkan keanggotaan grup:

  # pw groupshow groupname
  # id username

  

Mencegah Login

Ada dua metode untuk melumpuhkan akun-akun yang tidak membutuhkan akses login:

1. Mengunci akun

   # pw lock username

2. Mengganti shell menjadi /sbin/nologin

   # chsh -s /usr/sbin/nologin username

Eskalasi Akun yang Diizinkan

Dalam beberapa kasus, administrasi sistem butuh dibagikan dengan pengguna lain. FreeBSD memiliki dua metode untuk menangani hal ini:

1. Membagikan kata sandi root kepada anggota dari grup wheel. Cara untuk melakukan eskalasi akun adalah dengan menggunakan perintah:

   % su

   Untuk mengakhiri eskalasi akun, gunakan perintah:

   # exit

   

2. Menginstal package atau port dari security/sudo (direcomendasikan)
   Aplikasi ini menyediakan audit tambahan, kontrol pengguna yang baik, dan dapat dikonfigurasikan untuk mengunci pengguna dengan menjalankan perintah istimewa tertentu.
   Gunakan visudo untuk mengubah /usr/local/etc/sudoers:

   # visudo
   username ALL=(ALL) access
   %groupname ALL=(ALL) access

   

Perizinan

Untuk melihat daftar direktori dan informasi perizinan berkas, gunakan perintah:

# ls -l 
drwxr-xr-x    4 cliff    user        1024 Jun 18 09:40 WAITRON_EARNINGS
-rw-r--r--    1 cliff    user      767392 Jun  6 14:28 scanlib.tar.gz
^ ^  ^  ^     ^   ^       ^           ^      ^    ^      ^
| |  |  |     |   |       |           |      |    |      |  
| |  |  |     | pemilik  grup     ukuran tanggal jam    nama 
| |  |  |     jumlah tautan ke berkas atau direktori
| |  |  izin untuk dunia
| |  izin untuk anggota grup
| izin untuk pemilik berkas: r = read, w = write, x = execute, - = tidak ada izin
tipe berkas: - = berkas normal, d = direktori, l = tautan simbolik, dan lain-lain

Perizinan dalam UNIX

Perizinan secara simbolik

Contoh:

• blok pengguna dari akses FILE:

  % chmod 700 FILE
  % chmod go= FILE

• hapus izin tulis grup dan “dunia” pada FILE, dan tambah izin eksekusi untuk semua orang:

  % chmod 755 FILE
  % chmod go-w,a+x FILE

File flags untuk menambah keamanan

Sebagai tambahan pada perizinan berkas, FreeBSD mendukung penggunaan file flags. Flag meningkatkan tingkat keamanan dan kontrol atas berkas, tapi tidak atas direktori. Dengan file flags, root bahkan dapat dicegah dari menghapus atau mengubah berkas. Contoh:

• Mengizinkan system undeletable flag pada berkas file1:

  # chflags sunlink file1

• Untuk mematikan system undeletable flag, tambahkan prefiks “no”:

  # chflags nosunlink file1

• Untuk melihat flags dari sebuah berkas:

  # ls -lo file1

Perizinan setuid, setgid, dan sticky

• Untuk menetapkan izin setuid pada sebuah berkas, gunakan chmod dengan prefiks angka empat (4):

  # chmod 4755 suidexample.sh

• Untuk menetapkan izin setgid pada sebuah berkas, gunakan chmod dengan prefiks angka dua (2):

  # chmod 2755 sgidexample.sh

• Sticky bit ditetapkan pada sebuah direktori, berguna untuk mengizinkan penghapusan berkas hanya oleh pemilik berkas. Hal ini berguna untuk mencegah penghapusan berkas dalam direktori publik, seperti /tmp, oleh pengguna yang bukan pemilik berkas. Untuk menetapkan izin ini, gunakan chmod dengan prefiks angka satu (1):

  # chmod 1777 /tmp

  Untuk melihat perizinan sticky bit, gunakan perintah:

  # ls -al / | grep tmp

Access Control Lists (ACL)

Secara default, dukungan ACL dinonaktifkan pada semua partisi atau titik-titik mount. Kita dapat memverifikasikannya dengan melihat tabel mounting:

Misalkan kita ingin mengaktifkan ACL pada partisi /usr. Hal yang pertama dilakukan adalah melakukan unmount partisi tersebut. Unmount hanya bisa dilakukan dalam single-user mode. Perintah untuk langsung boot ke single-user mode adalah:

# shutdown now

Unmount /usr, aktifkan dukungan ACL, dan mount kembali /usr:

Seperti kita lihat, dukungan ACL pada titik mount /usr sekarang sudah aktif. Sekarang reboot ke multi-user mode:

# shutdown -r now

Menggunakan ACL

Untuk melihat informasi ACL pada file.txt, gunakan getfacl:

Seperti kita lihat, belum ada yang istimewa dari perizinan tersebut. Misalkan kita batasi akses membaca untuk semua orang, namun mengizinkan pemilik dan csh untuk membaca:

# setfacl -m u:csh:r,o:: file.txt

Kita dapat melihat efeknya pada daftar perizinan biasa:

Ada tanda tambah (+) pada akhir daftar perizinan. Hal ini mengindikasikan bahwa ASL ditetapkan untuk berkas/direktori tersebut. Sekarang kita verifikasi apakah ACL yang telah ditetapkan sudah benar:

Menghapus ACL

Untuk menghapus seorang pengguna dari daftar, gunakan perintah:

# setfacl -n -x u:csh: file.txt

Izin csh sekarang telah dihapus. Sekarang misalkan kita ingin menonaktifkan ACL dari berkas, gunakan perintah:

# setfacl -bn file.txt

Penegakan Kebijakan Kata Sandi

Dalam FreeBSD, panjang kata sandi, kekuatan kata sandi, dan kompleksitas kata sandi dapat diimplementasikan menggunakan Pluggable Authentication Modules (PAM). Modul ini ditegakkan ketika pengguna mengganti kata sandinya.
Untuk mengkonfigrasikan modul ini, kita harus menjadi superuser dan hapus simbol komentar pada baris yang berisi pam_passwdqc.so dalam /etc/pam.d/passwd. Kemudian, ubah baris tersebut agar sesuai dengan kebijakan kata sandi, misalnya:

password        requisite       pam_passwdqc.so         min=disabled,disabled,disabled,12,10 similar=deny retry=3 enforce=users

min=N0,N1,N2,N3,N4       where N0>N1>N2>N3>N4

• N0 digunakan untuk kata sandi yang terdiri dari karakter-karakter dari satu kelas karakter.
• N1 dan N2 digunakan untuk kata sandi yang terdiri dari karakter-karakter dari dua kelas karakter. N2 digunakan untuk passphrase—passphrase harus terdiri dari kata-kata tertentu.
• N3 dan N4 digunakan untuk kata sandi yang terdiri dari karakter-karakter dari tiga dan empat kelas karakter.
• Kelas karakter: angka, huruf kecil, huruf kapital, dan karakter lain. Ketika menghitung banyaknya kelas karakter, huruf kapital yang digunakan sebagai karakter pertama dan angka yang digunakan sebagai karakter terakhir tidak akan dihitung.

Sebahian besar kebijakan kata sandi adalah jika kata sandi akan kadaluarsa setelah beberapa hari. Untuk mengatur waktu hidup kata sandi dalam FreeBSD, tetapkan passwordtime untuk kelas login pengguna dalam /etc/login.conf:

#       :passwordtime=90d:\

Misalkan kita ingin waktu hidup kata sandi adalah 90 hari, hapus simbol komentar pada baris tersebut, simpan, dan jalankan:

cap_mkdb /etc/login.conf

Untuk mengatur tanggal kadaluarsa pada pengguna secara individu, gunakan perintah berikut:

# pw usermod -p 30-apr-2015 -n username

Referensi:

1. Stallings, William, dan Lawrie Brown. Computer Security: Principles and Practice. Pearson, edisi ke-2, 2012.
2. https://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/index.html
3. http://freeengineer.org/learnUNIXin10minutes.html
4. http://www.bsdguides.org/2005/working-with-acls/

Pada artikel bagian kedua ini, akan dibahas teknik-teknik dasar untuk melakukan langkah kedua yaitu menonaktifkan servis, aplikasi, dan protokol yang tidak perlu.

Menampilkan daftar port yang terbuka

Untuk menampilkan port apa saja yang terbuka, kita dapat menggunakan netstat:

Contoh tersebut menunjukkan bahwa port TCP 22 (ssh) dan 25 (smtp) mendengar pada mesin, juga syslogd mendengar pada port 514 (UDP).
Jika kita punya sebuah proses yang sedang mendengarkan dan kita tidak yakin proses apa yang membuka port, kita dapat menggunakan sockstat untuk menampilkan daftar socket yang terbuka.

Konfigurasi servis

Gunakan rc.conf untuk mengkonfigurasikan mulainya servis secara default, serta naskah awal package lokal yang bisa ditemukan di /usr/local/etc/rc.d.

Sekarang akan dibahas beberapa servis yang umum digunakan dan bagaimana mengamankannya:

• syslogd
syslogd secara default terhubung dengan UDP 514. Kita dapat mencegah syslogd untuk menggunakan socket jaringan dengan menambahkan baris berikut ke /etc/rc.conf:

  syslogd_flags="-ss"

  

  Hidupkan kembali servis syslogd untuk melihat efeknya:
  

  Verifikasi dengan menggunakan netstat, sekarang syslogd sudah tidak mendengar port UDP 514 lagi:
  

• portmap
portmap digunakan untuk remote procedure calls. Untuk menonaktifkan portmap tambahkan baris berikut ke /etc/rc.conf:

  portmap_enable="NO"

  

• telnetd
  Semua data yang ditransfer melalui sesi telnet adalah dalam bentuk teks polos (termasuk nama pengguna dan kata sandi). Oleh karena itu, servis ini harus dinonaktifkan, caranya adalah dengan mematikan inetd seluruhnya, atau dengan menghapus baris telnetd dari /etc/inetd.conf. Dalam FreeBSD, telnetd secara default memang dinonaktifkan. Secara umum, inetd tidak mendukung satupun aplikasi karena semuanya diberi simbol komentar (#) secara default.
• sshd
  FreeBSD (sejak versi 4.1.1) memiliki dukungan OpenSSH dan sshd sebagai pengganti dari telnetd. Sebagian besar versi OpenSSH terkini menggunakan protokol SSH versi 2. Oleh karena itu, protokol SSH versi 1 harus dinonaktifkan dengan cara menambahkan baris berikut pada /etc/ssh/sshd_config lalu menghidupkan kembali sshd:

  Protocol 2

  

• inetd
inetd didesain untuk mendengarkan koneksi pada socket tertentu. inetd digunakan untuk aplikasi populer seperti telnetd, qpopper dan ftpd. Karena kita tidak menjalankan aplikasi-aplikasi inetd tersebut, matikanlah daemon ini dengan menambahkan baris berikut ke /etc/rc.conf:

  inetd_enable="NO"

  

• ftpd
ftpd harus dinonaktifkan baik dengan mematikan inetd seluruhnya, atau dengan menghapus baris ftpd dari /etc/inetd.conf (sudah secara default).
• smtp
  Sebaiknya kita tidak menjalankan server smtp. Sendmail incoming mail-service harus dinonaktifkan dengan menambahkan baris berikut ke /etc/rc.conf:

  sendmail_enable="NO"

REFERENSI:

1. Stallings, William, dan Lawrie Brown. Computer Security: Principles and Practice. Pearson, edisi ke-2, 2012.
2. https://www.dal.net/?page=Security%20Guidelines