Praktik Keamanan Domain Pribadi: Dari Serangan Pemindaian hingga Strategi Perlindungan
Categories:
Pendahuluan
Di era internet, keamanan domain telah menjadi persoalan yang perlu diperhatikan oleh setiap pengguna internet. Setiap hari, ada banyak sekali alat otomatis yang memindai setiap sudut internet untuk mencari kemungkinan kerentanan. Banyak orang mengira hanya perusahaan besar yang menjadi sasaran serangan, tetapi kenyataannya, karena biaya serangan yang semakin rendah dan alat yang semakin mudah diakses, layanan apa pun yang terekspos di internet dapat menjadi sasaran. Keamanan domain tidak hanya berkaitan dengan privasi pribadi dan perlindungan data, tetapi juga merupakan landasan untuk menjaga layanan jaringan tetap berjalan dengan stabil. Seiring terus berkembangnya ancaman keamanan jaringan, membangun sistem perlindungan keamanan domain yang menyeluruh menjadi semakin penting. Inilah juga alasan kami terus memperhatikan dan berbagi pengalaman praktik keamanan.
Analisis Kasus Nyata
Contoh Serangan Pemindaian
Sebuah situs web kecil untuk pameran yang saya deploy di Cloudflare, meskipun hanya memiliki dua URL yang valid:
tetap terus mengalami serangan pemindaian.
Saat situs web baru diluncurkan, semua URL lainnya mengembalikan 404. Pada hari yang sama, host dari Hong Kong mulai melakukan pemindaian. IP sumbernya terus berganti setiap hari, tetapi sebagian besar berasal dari Hong Kong. Karena sebagian pengguna berasal dari IP Hong Kong, wilayah tersebut tidak dapat langsung diblokir. Kasus ini menunjukkan otomatisasi dan sifat berkelanjutan serangan jaringan, sekaligus mengingatkan kita bahwa strategi perlindungan keamanan domain yang sistematis perlu dibangun.
Semua URL di atas merupakan upaya dengan berbagai tujuan. Worker saya hanya menangani / dan /logs-collector. Upaya yang terus-menerus ini pada dasarnya bertujuan mencari kerentanan. Upaya serangan ini tidak hanya menghabiskan kuota permintaan gratis Cloudflare, tetapi juga mencemari data log dan mengganggu pemantauan sistem.
Namun, pemindaian seperti ini menghabiskan kuota permintaan gratis CF dan mencemari log saya, jadi hal ini juga tidak bagus.
Kemudian saya mengatur agar semua permintaan lainnya mengembalikan 200, dengan menambahkan pesan Host on Cloudflare Worker, don't waste your time.
Setelah perubahan tersebut, jumlah pemindaian berkurang. Meskipun hubungan sebab-akibatnya tidak dapat dipastikan, cara ini memang menyampaikan sinyal yang jelas.
Jika layanan yang berjalan di host milik sendiri terus-menerus dipindai seperti ini, sementara pembaruan keamanan layanan tidak segera dilakukan, cepat atau lambat kerentanannya akan ditemukan melalui pemindaian dan layanan tersebut akan disusupi. Inilah alasan kami menekankan pentingnya keamanan domain: bukan hanya soal berhasil atau tidaknya satu serangan, tetapi juga kondisi keamanan sistem dalam jangka panjang.
Bagi penyerang, serangan semacam ini berarti mencoba terus-menerus setiap hari pada waktu yang ditentukan. Jika berhasil membobol satu saja, itu sudah cukup. Serangan ini sebagian besar otomatis, sehingga biaya perangkat dan waktu pun rendah. Hal ini juga menjelaskan mengapa serangan jaringan begitu umum: bagi penyerang, kegiatan ini berbiaya rendah dan berpotensi menghasilkan keuntungan besar.
Analisis Ancaman Keamanan
Karakteristik Penyerang
Operasi lintas negara merupakan karakteristik umum serangan jaringan. Penyerang mengerahkan infrastruktur serangan di berbagai wilayah untuk mengurangi kemungkinan dimintai pertanggungjawaban. Penggunaan alat otomatis secara luas sangat menurunkan biaya serangan. Alat pemindaian port seperti Nmap dan Masscan telah menjadi perlengkapan standar para penyerang. Serangan biasanya berkelanjutan dan biayanya sangat rendah. Penyerang memiliki banyak perangkat yang telah disusupi dan dapat sering mengganti alamat IP untuk menghindari pemblokiran. Serangan biasanya dilakukan pada larut malam atau hari libur, ketika pemantauan dan respons mungkin lebih lemah.
Metode Serangan Umum
Pemindaian port merupakan langkah pertama penyerang. Mereka memindai port terbuka secara massal untuk mengidentifikasi layanan umum seperti SSH, RDP, MySQL, dan sebagainya. Pemindaian kerentanan menargetkan perangkat lunak usang dengan kerentanan yang telah diketahui, serta mengidentifikasi permukaan serangan potensial melalui pola path dan nama file. Selain itu, penyerang juga akan menyusun berbagai input sendiri dan mencoba memperoleh hak akses sistem melalui kerentanan validasi input.
Praktik Keamanan
Perlindungan keamanan domain perlu menggunakan strategi yang berbeda sesuai dengan jenis layanan. Layanan untuk penggunaan pribadi dan layanan publik sebaiknya menggunakan skema perlindungan yang sama sekali berbeda.
flowchart TD
A[Penerapan layanan domain] e1@--> B{Menentukan jenis layanan}
B e2@-->|Layanan pribadi| C[Pilih solusi VPN]
B e3@-->|Layanan publik| D[Pilih layanan keamanan edge]
C e4@--> E[Siapkan DNS intranet]
C e5@--> F[Deploy Tailscale atau ZeroTier]
C e6@--> G[Konfigurasikan akses melalui IP tetap intranet]
D e7@--> H[Pilih Cloudflare]
D e8@--> I[Pilih Aliyun ESA]
D e9@--> J[Konfigurasikan perlindungan WAF dan DDoS]
E e10@--> K[Layanan sepenuhnya tersembunyi]
F e11@--> K
G e12@--> K
H e13@--> L[IP asli tersembunyi]
I e14@--> L
J e15@--> L
classDef start fill:#E3F2FD,stroke:#1565C0,stroke-width:1px,color:#0D47A1;
classDef decision fill:#FFF8E1,stroke:#EF6C00,stroke-width:1px,color:#E65100;
classDef action fill:#E8F5E9,stroke:#2E7D32,stroke-width:1px,color:#1B5E20;
classDef result fill:#F3E5F5,stroke:#6A1B9A,stroke-width:1px,color:#4A148C;
classDef animate stroke:#EF6C00,stroke-width:2px,stroke-dasharray: 9\,5,stroke-dashoffset: 900,animation: dash 25s linear infinite;
class A start;
class B decision;
class e1,e2,e3,e4,e5,e6,e7,e8,e9,e10,e11,e12,e13,e14,e15 animate;
class C,D,E,F,G,H,I,J action;
class K,L result;Gunakan VPN, Bukan Reverse Proxy
Kebanyakan orang tidak segera memperbarui perangkat lunak. Strategi terbaik adalah tidak mengekspos domain sendiri. Serangan pemindaian dapat menyusun prefix maupun suffix, dan berbagai subdomain akan dicoba. Subdomain yang paling sering menjadi sasaran pemindaian mencakup nas, home, dev, test, blog, work, webdav, frp, proxy, dan sebagainya. Untuk melakukan serangan otomatis, penyerang menyiapkan kamus nama subdomain dan mengujinya secara otomatis. Nama-nama umum ini akan dipindai terlebih dahulu, jadi menghindari penggunaan nama subdomain yang mudah ditebak merupakan langkah perlindungan dasar.
Untuk layanan pribadi, disarankan menggunakan teknologi VPN sebagai pengganti reverse proxy agar layanan sepenuhnya tersembunyi di intranet. Anda dapat menyiapkan server DNS di jaringan lokal, misalnya AdGuard Home, lalu mengonfigurasi resolusi domain di sana agar semua perangkat di intranet mengakses melalui IP tetap. AdGuard Home tidak hanya menyediakan layanan DNS, tetapi juga memiliki fitur pemblokiran iklan dan kontrol orang tua, sehingga menjadi pilihan ideal untuk lingkungan jaringan rumah. DDNS juga dapat menggunakan API AdGuard Home. Karena berada di lingkungan jaringan lokal, domain dapat dipilih sesuka hati tanpa dibatasi aturan domain publik. Keunggulan cara ini adalah layanan sama sekali tidak terekspos di internet publik, sehingga risiko serangan pemindaian dapat dihindari.
Gunakan Layanan Keamanan Edge
Untuk layanan yang harus dapat diakses melalui internet publik, layanan keamanan edge adalah pilihan terbaik. Cloudflare menyediakan layanan keamanan edge terdepan di dunia. Sebelum pengembang individu menemukan proyek dengan nilai komersial nyata, versi gratisnya sudah lebih dari cukup. ESA dari Aliyun di Tiongkok juga merupakan pilihan yang bagus. Pengguna baru dapat mencobanya secara gratis selama 3 bulan. Biaya normalnya adalah 10 yuan per bulan untuk satu domain utama, dengan batas trafik 50 GB. Dibandingkan layanan Cloudflare yang sepenuhnya gratis, keunggulan utama ESA adalah kecepatan akses yang lebih baik di Tiongkok daratan.
Layanan keamanan umumnya berharga cukup tinggi, tetapi jika tidak menggunakan perlindungan, kerugian akibat serangan bisa jauh lebih besar. Jika membayar untuk perlindungan, Anda akan melihat pengeluaran tetap langsung setiap hari. Layanan keamanan edge dapat dianggap sebagai semacam asuransi: sangat murah dan bernilai tinggi, contoh nyata menyerahkan urusan profesional kepada ahlinya.
Tujuan utama layanan keamanan edge adalah menyembunyikan IP asli. Pengguna mengakses node edge, lalu node edge memutuskan apakah akan meneruskan permintaan ke IP asli. Pada dasarnya, layanan ini adalah reverse proxy yang berada di depan, dengan fitur cache, WAF, CDN, perlindungan DDoS, dan sebagainya. Karena ada pihak ketiga di antara pengguna dan layanan, pengalaman pengguna mungkin menurun dalam kondisi tertentu. Saya menggunakan Cloudflare dan ESA. Kesimpulannya, pengalaman sebagian pengguna terbaik sedikit menurun, tetapi pengalaman pengguna di lebih banyak wilayah meningkat. Secara keseluruhan, layanan ini tetap merupakan investasi yang sangat layak.
Kesimpulan
Keamanan domain merupakan pekerjaan sistematis yang memerlukan strategi perlindungan berbeda sesuai dengan jenis layanan. Untuk layanan pribadi, utamakan solusi VPN. Tailscale dan ZeroTier merupakan pilihan yang matang dan andal. Jika membutuhkan layanan DNS, Anda dapat menyiapkan AdGuard Home di intranet. Layanan ini menyediakan solusi DNS lengkap, termasuk pemblokiran iklan dan kontrol orang tua. Untuk kebutuhan akses internet publik, Anda dapat menggunakan AdGuard Private untuk menyediakan layanan resolusi DNS terenkripsi.
Untuk layanan publik yang perlu diakses oleh masyarakat umum, sebaiknya gunakan lapisan layanan keamanan edge. Cloudflare menyediakan perlindungan keamanan gratis terdepan di dunia dan cocok untuk sebagian besar pengembang individu. Jika kecepatan akses di Tiongkok daratan sangat penting, Anda dapat memilih ESA dari Aliyun. Layanan ini memiliki lebih banyak node di dalam negeri dan dapat memberikan pengalaman lokal yang lebih baik.
Apa pun solusi yang dipilih, yang terpenting adalah membangun kesadaran akan keamanan domain dan mengambil langkah perlindungan secara proaktif, bukan menunggu serangan terjadi. Tidak ada solusi ajaib dalam keamanan jaringan; solusi terbaik adalah yang paling sesuai dengan kebutuhan Anda.