Linux Security Hardening: Panduan Mengamankan Server Linux

Linux hardening adalah proses memperkecil permukaan serangan server Linux dengan mematikan yang tidak perlu, memperketat akses, dan menjaga sistem tetap mutakhir. Panduan ini merangkum langkah dasar yang berlaku di sebagian besar distribusi, dengan contoh perintah untuk Ubuntu dan Debian. Praktikkan dahulu di server uji milik Anda sebelum menyentuh sistem produksi.

Apa Itu Linux Hardening dan Mengapa Penting?

Hardening bertumpu pada tiga prinsip: kurangi apa yang terpapar, beri hak akses seminimal mungkin, dan lapisi pertahanan agar satu kegagalan tidak berarti kompromi total. Prinsip hak akses minimal dijelaskan lebih jauh di artikel tentang CIA Triad dan least privilege.

Alasan praktisnya kuat. Laporan Verizon Data Breach Investigations Report 2026 yang terbit 19 Mei 2026 mencatat bahwa eksploitasi kerentanan menjadi pintu masuk pelanggaran paling umum, 31 persen dari kasus, untuk pertama kalinya dalam 19 tahun laporan itu. Menurut ringkasan Help Net Security, waktu median untuk menambal kerentanan naik dari 32 menjadi 43 hari. Server yang jarang diperbarui dan membuka banyak layanan adalah sasaran yang paling mudah.

Linux Hardening Dasar: Pembaruan, Layanan, dan Akun

Perbarui sistem dan aktifkan pembaruan keamanan otomatis

Mulailah dengan sudo apt update && sudo apt upgrade. Lalu pastikan pembaruan keamanan berjalan otomatis. Menurut dokumentasi server Ubuntu, paket unattended-upgrades bisa dipasang dengan sudo apt install unattended-upgrades, pengaturan harian ada di /etc/apt/apt.conf.d/20auto-upgrades, dan Anda dapat mensimulasikannya tanpa mengubah apa pun:

sudo unattended-upgrade -v --dry-run

Daftar layanan yang mendengarkan koneksi

Periksa port apa saja yang terbuka di server Anda:

sudo ss -tlnp

Opsi -t menampilkan TCP, -l hanya soket yang mendengarkan, -n menampilkan nomor port, dan -p menampilkan prosesnya. Setiap layanan yang tidak Anda butuhkan sebaiknya dihentikan dan dinonaktifkan, misalnya dengan sudo systemctl disable --now nama-layanan, lalu dicopot jika memang tidak dipakai.

Akun dan hak akses

Pakai akun biasa dengan sudo untuk administrasi, hapus atau kunci akun yang tidak lagi dipakai, dan jangan membagikan satu akun untuk banyak orang. File sensitif seperti kunci privat SSH sebaiknya hanya bisa dibaca pemiliknya (chmod 600).

Mengamankan Akses SSH

SSH adalah pintu utama server Anda, sehingga paling sering ditebak secara otomatis. Dokumentasi OpenSSH (sshd_config) menyebut PasswordAuthentication bernilai yes secara bawaan, PermitRootLogin bernilai prohibit-password, dan MaxAuthTries bernilai 6. Langkah aman: gunakan kunci SSH, lalu matikan login password.

Pertama, pasang kunci publik Anda dan pastikan login dengan kunci berhasil. Setelah itu buat berkas konfigurasi tambahan, misalnya /etc/ssh/sshd_config.d/01-hardening.conf:

PasswordAuthentication no
PermitRootLogin no
MaxAuthTries 3
AllowUsers admin

Ganti admin dengan nama pengguna Anda. Perhatikan satu jebakan: sshd memakai nilai pertama yang ditemukan untuk setiap opsi, jadi berkas yang urutannya lebih awal menang atas yang lebih akhir. Karena itu berkas di atas diberi awalan 01. Uji sintaks dengan sudo sshd -t, muat ulang layanan, lalu periksa nilai yang benar-benar berlaku:

sudo sshd -T | grep -E "passwordauthentication|permitrootlogin"

Biarkan sesi SSH lama tetap terbuka sampai Anda berhasil login dengan sesi baru. Dengan begitu, kesalahan konfigurasi tidak mengunci Anda di luar server.

Firewall dan Pencegahan Brute Force

Firewall menutup semua yang tidak Anda izinkan. Di Ubuntu, UFW nonaktif secara bawaan. Izinkan SSH sebelum mengaktifkannya, kalau tidak Anda memutus sesi sendiri:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

Tambahkan hanya port layanan yang memang Anda jalankan, misalnya 80 dan 443 untuk web. Pelajari cara kerjanya di artikel tentang firewall. Sebagai lapisan tambahan, Fail2ban memblokir alamat IP yang berulang kali gagal login; penjelasannya ada di artikel tentang Fail2ban.

Logging, Audit, dan Standar Acuan

Hardening tanpa pemantauan hanya separuh pekerjaan. Tinjau log autentikasi secara berkala dan simpan salinannya di luar server agar tidak ikut terhapus jika server dikompromikan. Untuk audit otomatis, Lynis adalah alat sumber terbuka berlisensi GPL yang menjalankan ratusan pemeriksaan keamanan dan merujuk panduan seperti CIS Benchmarks dan NIST:

sudo lynis audit system

Hasilnya berupa daftar temuan dan saran, yang perlu Anda tinjau sendiri dan tidak diterapkan buta. Sebagai acuan konfigurasi yang lebih formal, CIS Benchmarks menyediakan rekomendasi untuk banyak distribusi, termasuk Ubuntu, Debian, Red Hat Enterprise Linux, Rocky Linux, dan SUSE, sebagaimana tercantum di situs CIS. Simpan catatan setiap perubahan agar mudah ditelusuri dan dibatalkan.

Cadangan dan pemulihan

Semua langkah di atas tidak berguna jika server hilang dan Anda tidak punya salinan data. Buat cadangan terjadwal, simpan sebagian di lokasi terpisah dari server, dan uji pemulihannya secara berkala. Cadangan yang tidak pernah dicoba dipulihkan baru terbukti rusak ketika Anda paling membutuhkannya. Catat juga konfigurasi server sebagai kode atau dokumen agar server pengganti bisa dibangun cepat dengan pengaturan hardening yang sama.

Pertanyaan yang Sering Diajukan

Apa langkah linux hardening yang paling penting dilakukan lebih dulu?

Pembaruan rutin, akses SSH berbasis kunci, dan firewall yang menolak semua koneksi masuk kecuali yang Anda butuhkan. Tiga langkah ini menutup jalur serangan yang paling sering dicoba.

Apakah mematikan login password SSH aman?

Aman, asalkan login dengan kunci sudah diuji lebih dulu dan Anda punya jalur pemulihan, seperti konsol dari penyedia hosting. Jangan menutup sesi lama sebelum sesi baru terbukti berhasil.

Apakah hardening cukup untuk membuat server kebal?

Tidak. Hardening memperkecil risiko, bukan menghilangkannya. Anda tetap perlu pemantauan, cadangan yang diuji pulih, dan rencana respons insiden.

Seberapa sering hardening perlu ditinjau ulang?

Tinjau setidaknya setiap kali ada perubahan besar pada server, seperti layanan baru atau pembaruan versi sistem operasi, dan jadwalkan audit berkala. Konfigurasi yang aman hari ini bisa menjadi usang ketika layanan bertambah.

Kesimpulan

Hardening adalah kebiasaan, bukan proyek sekali jalan: perbarui, kurangi layanan, perketat SSH, pasang firewall, lalu audit secara berkala. Jika Anda ingin tim Anda terlatih mengamankan server dengan praktik langsung, Linuxhackingid menyediakan pelatihan untuk tim.