Cara Mengamankan Server Windows dan Linux dari Serangan Ransomware

Pengantar

Ransomware merupakan salah satu ancaman keamanan yang perlu diperhatikan ketika mengelola server yang terhubung ke Internet. Serangan ini dapat mengenkripsi file, mengganggu layanan, hingga membuat data tidak dapat digunakan tanpa proses pemulihan yang tepat.

Server Windows maupun Linux dapat menjadi target ransomware. Pada lingkungan server, risiko serangan dapat semakin besar apabila layanan remote atau file sharing dibuka ke Internet tanpa pembatasan yang memadai.

Beberapa layanan yang perlu mendapat perhatian khusus adalah SMB, RDP, dan SSH. SMB digunakan untuk berbagi file dalam jaringan, RDP digunakan untuk mengakses Windows Server secara remote, sedangkan SSH merupakan layanan utama untuk mengelola server Linux dari jarak jauh.

Namun, mengamankan server dari ransomware tidak cukup hanya dengan menutup beberapa port tersebut. Administrator juga perlu melakukan pembaruan sistem, membatasi hak akses, mengaktifkan firewall, memantau aktivitas server, serta menyiapkan backup yang aman.

Dengan melakukan hardening secara berlapis, risiko server menjadi titik masuk ransomware maupun dampak serangan dapat dikurangi.

Keamanan Server Windows dari Ransomware

Membatasi Akses SMB
Jika server tidak digunakan sebagai file server atau tidak membutuhkan SMB dari Internet, batasi akses SMB, terutama port TCP 445.

Cek rule firewall terkait SMB:
```
Get-NetFirewallRule | Where-Object {$_.DisplayName -like "*SMB*"} | Select-Object DisplayName, Enabled, Direction, Action
```
Cek apakah port 445 sedang digunakan:
```
Get-NetTCPConnection -LocalPort 445 -ErrorAction SilentlyContinue
```
Jika SMB hanya digunakan untuk jaringan internal, batasi akses berdasarkan IP atau subnet:
```
New-NetFirewallRule `
-DisplayName "Allow SMB Internal Only" `
-Direction Inbound `
-Protocol TCP `
-LocalPort 445 `
-RemoteAddress 192.168.1.0/24 `
-Action Allow
```
Catatan:
Sesuaikan subnet dengan jaringan internal. Hindari membuka port 445 ke seluruh Internet.

Mengamankan RDP
RDP menggunakan port 3389 untuk akses remote ke Windows Server. Jika diperlukan, batasi akses hanya dari IP administrator.

Cek apakah RDP sedang aktif:

Get-NetTCPConnection -LocalPort 3389 -ErrorAction SilentlyContinue

Contoh rule untuk membatasi akses RDP:

New-NetFirewallRule `
-DisplayName "Allow RDP From Admin IP" `
-Direction Inbound `
-Protocol TCP `
-LocalPort 3389 `
-RemoteAddress 203.0.113.10 `
-Action Allow

Periksa rule RDP yang sudah ada:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" |
Select-Object DisplayName, Enabled, Direction, Action

Jika RDP tidak diperlukan, nonaktifkan:

Set-ItemProperty `
"HKLM:\System\CurrentControlSet\Control\Terminal Server" `
-Name fDenyTSConnections `
-Value 1

Peringatan:
Pastikan akses alternatif seperti VNC tersedia sebelum menonaktifkan RDP.

Memastikan Windows Defender dan Firewall Aktif
Pastikan perlindungan antivirus dan firewall Windows berjalan dengan baik.

Cek Windows Defender:
```
Get-MpComputerStatus
```
Perhatikan status AntivirusEnabled dan RealTimeProtectionEnabled.

Cek status Windows Firewall:
```
Get-NetFirewallProfile |
Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction
```
Untuk melihat port yang sedang listen:
```
Get-NetTCPConnection -State Listen |
Sort-Object LocalPort |
Select-Object LocalAddress, LocalPort, OwningProcess
```
Identifikasi layanan yang menggunakan port tersebut sebelum menutup aksesnya.
Melakukan Update dan Membatasi Hak Administrator
Lakukan security update secara berkala dan batasi penggunaan akun Administrator hanya untuk kebutuhan yang diperlukan.

Periksa akun lokal:
```
Get-LocalUser
```
Periksa anggota grup Administrator:
```
Get-LocalGroupMember -Group "Administrators"
```
Hapus atau nonaktifkan akun yang sudah tidak diperlukan dan gunakan hak akses paling rendah sesuai kebutuhan.

Keamanan Server Linux dari Ransomware

Mengamankan SSH
SSH digunakan untuk administrasi server Linux dan secara default menggunakan TCP port 22.

Cek port dan status SSH:
```
sudo ss -lntp | grep ':22'
sudo systemctl status ssh
sudo systemctl status sshd
```
Gunakan SSH key dan nonaktifkan login password setelah key dipastikan dapat digunakan:
```
sudo nano /etc/ssh/sshd_config
```
```
PasswordAuthentication no
PermitRootLogin no
```
Periksa konfigurasi sebelum restart:
```
sudo sshd -t
```
Jika tidak ada error, restart SSH:
```
sudo systemctl restart ssh
sudo systemctl restart sshd
```
Penting:
Jangan menutup sesi SSH yang sedang aktif sebelum memastikan koneksi baru dapat digunakan.
Membatasi Port Menggunakan Firewall
Ubuntu dan Debian umumnya menggunakan UFW, sedangkan AlmaLinux dan Rocky Linux menggunakan firewalld.

Cek status UFW:
```
sudo ufw status verbose
```
Untuk server web, izinkan HTTP dan HTTPS:
```
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
```
Jika memungkinkan, batasi SSH hanya dari IP administrator:
```
sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
```
Setelah rule dipastikan benar, aktifkan UFW:
```
sudo ufw enable
```
Untuk AlmaLinux atau Rocky Linux, cek firewalld:
```
sudo firewall-cmd --state
sudo firewall-cmd --list-all
```
Buka HTTP dan HTTPS:
```
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
```
Catatan:
Pastikan akses SSH administrator sudah diizinkan sebelum menerapkan konfigurasi firewall.
Update Sistem dan Membatasi Privilege
Lakukan update sistem secara rutin dan nonaktifkan service yang tidak diperlukan.

Ubuntu atau Debian:
```
sudo apt update
sudo apt upgrade
```
AlmaLinux atau Rocky Linux:
```
sudo dnf update
```
Periksa service yang sedang berjalan:
```
systemctl list-units --type=service --state=running
```
Hentikan service yang sudah dipastikan tidak digunakan:
```
sudo systemctl disable --now nama-service
```
Gunakan akun khusus untuk aplikasi dan hindari menjalankan aplikasi sebagai root jika tidak diperlukan.
```
getent passwd
sudo visudo
```
Menggunakan Fail2Ban dan Memeriksa Log
Fail2Ban dapat membantu memblokir IP yang melakukan percobaan login berulang.

Periksa status Fail2Ban:
```
sudo fail2ban-client status
```
Periksa jail SSH:
```
sudo fail2ban-client status sshd
```
Periksa log SSH:
```
sudo journalctl -u ssh
sudo journalctl -u sshd
```
Riwayat login dapat diperiksa dengan:
```
last
```
Perhatikan login dari IP yang tidak dikenal atau percobaan login dalam jumlah besar.

Backup dan Monitoring untuk Mengurangi Dampak Ransomware

Siapkan Backup dan Monitoring
Hardening mengurangi risiko ransomware, tetapi backup tetap diperlukan untuk pemulihan data.
- Terapkan prinsip 3-2-1 backup.
- Gunakan backup immutable jika tersedia.
- Lakukan pengujian restore secara berkala.
- Pantau aktivitas login dan proses server.
- Perhatikan perubahan file atau ekstensi secara massal.
- Periksa penggunaan CPU dan disk yang tidak normal.
- Perhatikan koneksi ke IP yang tidak dikenal.
Respons Saat Terindikasi Ransomware
Jika ditemukan indikasi ransomware, segera lakukan isolasi dan pemeriksaan sebelum proses pemulihan.
- Isolasi server dari jaringan.
- Jangan hubungkan backup ke server yang masih terinfeksi.
- Identifikasi kemungkinan titik masuk.
- Amankan akun yang terdampak.
- Periksa log server.
- Tangani celah keamanan sebelum melakukan restore.

Kesimpulan

Mengamankan server Windows dan Linux dari ransomware perlu dilakukan melalui beberapa lapisan keamanan. Batasi layanan yang dapat diakses dari jaringan, terutama SMB, RDP, dan SSH.

Pada Windows Server, batasi akses SMB pada port 445 dan RDP pada port 3389 menggunakan Windows Defender Firewall. Pada Linux, amankan SSH menggunakan SSH key, firewall, dan penonaktifan login root jika diperlukan.

Lengkapi hardening dengan security update, pembatasan hak akses, penonaktifan service yang tidak diperlukan, monitoring log, serta backup yang terpisah dan dapat dipulihkan.

Dengan menerapkan langkah tersebut secara konsisten, administrator dapat mengurangi attack surface server dan meminimalkan dampak apabila ransomware berhasil masuk.