Ebook Syafi - Edit Bab

Tajuk Bab

Urutan

Jenis

Kandungan HTML

<h1 id="bab-9-keselamatan-homelab">Bab 9: Keselamatan Homelab</h1>
Jangan skip bab ni. Serius.
Saya tahu, bila anda baru excited nak setup homelab, keselamatan bukan benda pertama yang anda fikir. “Ala, homelab je, siapa nak hack?” Percayalah, internet tidak peduli sama ada server itu milik Google atau milik anda di bilik tidur. Bot-bot jahat scan IP secara automatik 24/7. Saya pernah setup server baru dan dalam masa 10 minit dah nampak percubaan brute force SSH dalam log.
Apa yang anda akan belajar:
<ul>
<li>Lapisan keselamatan asas yang WAJIB ada dalam homelab</li>
<li>Cara kuatkan firewall, host, aplikasi, dan akses jauh secara praktikal</li>
<li>Urutan keselamatan yang paling penting untuk beginner — apa yang patut buat dulu</li>
</ul>
<blockquote>
Nota Beginner: Keselamatan yang baik tidak semestinya kompleks. Selalunya ia bermula dengan kurang buka port, kurang guna default setting, dan lebih disiplin dalam update. Empat perkara je dulu: update, firewall, kata laluan kuat, backup.
</blockquote>
<h3 id="laluan-paling-mudah-untuk-beginner">Laluan Paling Mudah untuk Beginner</h3>
Kalau anda rasa overwhelmed dengan semua maklumat keselamatan ni, fokus pada empat perkara ni dulu:
<ul>
<li>Update sistem secara konsisten</li>
<li>Guna kata laluan yang kuat (bukan <code>admin123</code>!)</li>
<li>Aktifkan firewall</li>
<li>Sediakan backup</li>
</ul>
Elakkan buka port ke internet kalau belum benar-benar faham kesannya. Kalau perlu akses dari luar, utamakan VPN berbanding Port Forward untuk banyak service.
<h2 id="langkah-1-gambaran-besar-kenapa-keselamatan-penting">Langkah 1: Gambaran Besar — Kenapa Keselamatan Penting?</h2>
Keselamatan bukan ciri tambahan yang boleh anda “pasang kemudian.” Ia adalah sebahagian daripada reka bentuk homelab dari hari pertama.
Bayangkan scenario ni: seseorang dapat akses ke homelab anda. Mereka boleh akses NAS anda (semua fail peribadi), guna server anda untuk mining crypto (bil elektrik naik mendadak), atau lebih teruk — guna rangkaian anda sebagai launching pad untuk serangan ke tempat lain.
Sebab itu, kita ambil pendekatan yang praktikal dan berlapis. Kalau satu lapisan gagal, lapisan lain masih melindungi.
<figure><svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 800 500" width="800" height="500">
 <rect width="800" height="500" fill="#f8f9fa" rx="10"/>
 <text x="400" y="35" font-family="Arial" font-size="18" font-weight="bold" fill="#2d3436" text-anchor="middle">Lapisan Keselamatan Homelab</text>

<rect x="40" y="55" width="720" height="420" rx="12" fill="none" stroke="#d63031" stroke-width="3" stroke-dasharray="10,5"/>
 <rect x="42" y="48" width="180" height="20" fill="#f8f9fa"/>
 <text x="50" y="63" font-family="Arial" font-size="12" font-weight="bold" fill="#d63031">Lapisan 1: Perimeter</text>
 <text x="680" y="85" font-family="Arial" font-size="10" fill="#636e72" text-anchor="end">Firewall, IDS/IPS, Geo-blocking</text>

<rect x="80" y="100" width="640" height="350" rx="10" fill="none" stroke="#e17055" stroke-width="2.5" stroke-dasharray="8,4"/>
 <rect x="82" y="93" width="175" height="20" fill="#f8f9fa"/>
 <text x="90" y="108" font-family="Arial" font-size="12" font-weight="bold" fill="#e17055">Lapisan 2: Rangkaian</text>
 <text x="640" y="125" font-family="Arial" font-size="10" fill="#636e72" text-anchor="end">VLAN, Segmentasi, VPN</text>

<rect x="120" y="145" width="560" height="280" rx="8" fill="none" stroke="#fdcb6e" stroke-width="2" stroke-dasharray="6,3"/>
 <rect x="122" y="138" width="140" height="20" fill="#f8f9fa"/>
 <text x="130" y="153" font-family="Arial" font-size="12" font-weight="bold" fill="#e17055">Lapisan 3: Hos</text>
 <text x="600" y="168" font-family="Arial" font-size="10" fill="#636e72" text-anchor="end">Kemas kini, Fail2ban, SELinux</text>

<rect x="160" y="190" width="480" height="210" rx="6" fill="none" stroke="#00b894" stroke-width="2"/>
 <rect x="162" y="183" width="155" height="20" fill="#f8f9fa"/>
 <text x="170" y="198" font-family="Arial" font-size="12" font-weight="bold" fill="#00b894">Lapisan 4: Aplikasi</text>

<rect x="180" y="215" width="130" height="70" rx="6" fill="#74b9ff" stroke="#0984e3" stroke-width="1.5"/>
 <text x="245" y="240" font-family="Arial" font-size="11" font-weight="bold" fill="#fff" text-anchor="middle">Pengesahan</text>
 <text x="245" y="258" font-family="Arial" font-size="9" fill="#dfe6e9" text-anchor="middle">2FA / SSO</text>
 <text x="245" y="273" font-family="Arial" font-size="9" fill="#dfe6e9" text-anchor="middle">Authelia/Keycloak</text>

<rect x="325" y="215" width="130" height="70" rx="6" fill="#a29bfe" stroke="#6c5ce7" stroke-width="1.5"/>
 <text x="390" y="240" font-family="Arial" font-size="11" font-weight="bold" fill="#fff" text-anchor="middle">Enkripsi</text>
 <text x="390" y="258" font-family="Arial" font-size="9" fill="#dfe6e9" text-anchor="middle">SSL/TLS</text>
 <text x="390" y="273" font-family="Arial" font-size="9" fill="#dfe6e9" text-anchor="middle">Let's Encrypt</text>

<rect x="470" y="215" width="150" height="70" rx="6" fill="#55efc4" stroke="#00b894" stroke-width="1.5"/>
 <text x="545" y="240" font-family="Arial" font-size="11" font-weight="bold" fill="#2d3436" text-anchor="middle">Kata Laluan</text>
 <text x="545" y="258" font-family="Arial" font-size="9" fill="#2d3436" text-anchor="middle">Vaultwarden</text>
 <text x="545" y="273" font-family="Arial" font-size="9" fill="#2d3436" text-anchor="middle">Pengurus Kata Laluan</text>

<rect x="180" y="300" width="130" height="70" rx="6" fill="#fd79a8" stroke="#e84393" stroke-width="1.5"/>
 <text x="245" y="325" font-family="Arial" font-size="11" font-weight="bold" fill="#fff" text-anchor="middle">DNS Selamat</text>
 <text x="245" y="343" font-family="Arial" font-size="9" fill="#dfe6e9" text-anchor="middle">Pi-hole + DoH</text>
 <text x="245" y="358" font-family="Arial" font-size="9" fill="#dfe6e9" text-anchor="middle">Sekat Iklan/Malware</text>

<rect x="325" y="300" width="130" height="70" rx="6" fill="#ffeaa7" stroke="#fdcb6e" stroke-width="1.5"/>
 <text x="390" y="325" font-family="Arial" font-size="11" font-weight="bold" fill="#2d3436" text-anchor="middle">Pemantauan</text>
 <text x="390" y="343" font-family="Arial" font-size="9" fill="#636e72" text-anchor="middle">CrowdSec</text>
 <text x="390" y="358" font-family="Arial" font-size="9" fill="#636e72" text-anchor="middle">Wazuh / OSSEC</text>

<rect x="470" y="300" width="150" height="70" rx="6" fill="#636e72" stroke="#2d3436" stroke-width="1.5"/>
 <text x="545" y="325" font-family="Arial" font-size="11" font-weight="bold" fill="#dfe6e9" text-anchor="middle">Sandaran</text>
 <text x="545" y="343" font-family="Arial" font-size="9" fill="#b2bec3" text-anchor="middle">3-2-1 Backup</text>
 <text x="545" y="358" font-family="Arial" font-size="9" fill="#b2bec3" text-anchor="middle">Restic / Borg</text>
</svg>
<figcaption>Lapisan Keselamatan Homelab</figcaption></figure>
<h2 id="langkah-2-bina-model-keselamatan-berlapis">Langkah 2: Bina Model Keselamatan Berlapis</h2>
Konsep ni dipanggil defense in depth — pertahanan secara mendalam. Macam rumah yang ada pagar, kunci pintu, alarm, DAN anjing. Kalau pencuri lepas pagar, masih ada kunci. Kalau lepas kunci, masih ada alarm.
<h3 id="lapisan-1-perimeter-sempadan-rangkaian">Lapisan 1: Perimeter (Sempadan Rangkaian)</h3>
Firewall — Barisan Pertahanan Pertama:
Prinsip utama: Default deny — sekat semua, benarkan yang perlu sahaja. Jangan terbalik!
<pre><code>Peraturan Firewall Asas:
1. Sekat semua trafik masuk (default)
2. Benarkan trafik keluar yang diperlukan
3. Benarkan port tertentu sahaja (SSH, HTTP/S, VPN)
4. Sekat trafik dari negara yang tidak berkaitan (geo-blocking)</code></pre>
IDS/IPS (Intrusion Detection/Prevention System):
Ini macam “CCTV digital” untuk rangkaian anda. Dia detect kalau ada aktiviti mencurigakan:
<div class="sourceCode" id="cb2"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb2-1" aria-hidden="true" tabindex="-1"></a># Suricata pada pfSense/OPNsense
<a href="#cb2-2" aria-hidden="true" tabindex="-1"></a># Navigasi ke: Services → Suricata/Snort
<a href="#cb2-3" aria-hidden="true" tabindex="-1"></a># Aktifkan pada antara muka WAN
<a href="#cb2-4" aria-hidden="true" tabindex="-1"></a># Muat turun set peraturan (ET Open, Snort Community)</code></pre></div>
<blockquote>
Nota Beginner: Kalau anda guna Unifi, router Unifi pun ada basic firewall. Pastikan anda dah configure peraturan asas di situ. Kalau anda guna pfSense atau OPNsense, lagi bagus — lebih banyak kawalan.
</blockquote>
<h3 id="lapisan-2-rangkaian">Lapisan 2: Rangkaian</h3>
Segmentasi VLAN — Asingkan Peranti Mengikut Tahap Kepercayaan:
Bayangkan smart TV anda kena hack. Kalau semua peranti dalam satu rangkaian yang sama, penyerang boleh terus “jump” ke NAS atau server anda. Tapi kalau anda guna VLAN, smart TV tu terkurung dalam segmen IoT dan tak boleh akses server.
<pre><code>VLAN 10 - Pengurusan: Akses admin sahaja
VLAN 20 - Pelayan: VM dan kontena
VLAN 30 - IoT: Peranti pintar (terhad)
VLAN 40 - Tetamu: WiFi tetamu (internet sahaja)</code></pre>
Peraturan antara VLAN:
<pre><code>IoT → Pelayan: SEKAT (kecuali port tertentu)
IoT → Internet: BENARKAN
Tetamu → Semua: SEKAT (kecuali internet)
Pengurusan → Semua: BENARKAN</code></pre>
<h3 id="lapisan-3-host-pelayan">Lapisan 3: Host (Pelayan)</h3>
Kemas kini sistem — Ini benda paling basic tapi ramai yang lupa:
<div class="sourceCode" id="cb5"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb5-1" aria-hidden="true" tabindex="-1"></a># Ubuntu/Debian - kemas kini automatik
<a href="#cb5-2" aria-hidden="true" tabindex="-1"></a>sudo apt install unattended-upgrades -y
<a href="#cb5-3" aria-hidden="true" tabindex="-1"></a>sudo dpkg-reconfigure -plow unattended-upgrades
<a href="#cb5-4" aria-hidden="true" tabindex="-1"></a>
<a href="#cb5-5" aria-hidden="true" tabindex="-1"></a># Konfigurasi /etc/apt/apt.conf.d/50unattended-upgrades
<a href="#cb5-6" aria-hidden="true" tabindex="-1"></a>Unattended-Upgrade::Allowed-Origins {
<a href="#cb5-7" aria-hidden="true" tabindex="-1"></a> "${distro_id}:${distro_codename}-security";
<a href="#cb5-8" aria-hidden="true" tabindex="-1"></a> "${distro_id}:${distro_codename}-updates";
<a href="#cb5-9" aria-hidden="true" tabindex="-1"></a>};
<a href="#cb5-10" aria-hidden="true" tabindex="-1"></a>Unattended-Upgrade::Automatic-Reboot "true";
<a href="#cb5-11" aria-hidden="true" tabindex="-1"></a>Unattended-Upgrade::Automatic-Reboot-Time "04:00";</code></pre></div>
Fail2ban — Perlindungan brute force:
Fail2ban memantau log dan automatik ban IP yang cuba login berulang kali. Ini wajib ada kalau SSH anda terbuka:
<div class="sourceCode" id="cb6"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb6-1" aria-hidden="true" tabindex="-1"></a># Pasang Fail2ban
<a href="#cb6-2" aria-hidden="true" tabindex="-1"></a>sudo apt install fail2ban -y
<a href="#cb6-3" aria-hidden="true" tabindex="-1"></a>
<a href="#cb6-4" aria-hidden="true" tabindex="-1"></a># Konfigurasi /etc/fail2ban/jail.local</code></pre></div>
<div class="sourceCode" id="cb7"><pre class="sourceCode ini"><code class="sourceCode ini"><a href="#cb7-1" aria-hidden="true" tabindex="-1"></a>[DEFAULT]
<a href="#cb7-2" aria-hidden="true" tabindex="-1"></a>bantime = 1h
<a href="#cb7-3" aria-hidden="true" tabindex="-1"></a>findtime = 10m
<a href="#cb7-4" aria-hidden="true" tabindex="-1"></a>maxretry = 5
<a href="#cb7-5" aria-hidden="true" tabindex="-1"></a>
<a href="#cb7-6" aria-hidden="true" tabindex="-1"></a>[sshd]
<a href="#cb7-7" aria-hidden="true" tabindex="-1"></a>enabled = true
<a href="#cb7-8" aria-hidden="true" tabindex="-1"></a>port = ssh
<a href="#cb7-9" aria-hidden="true" tabindex="-1"></a>filter = sshd
<a href="#cb7-10" aria-hidden="true" tabindex="-1"></a>logpath = /var/log/auth.log
<a href="#cb7-11" aria-hidden="true" tabindex="-1"></a>maxretry = 3
<a href="#cb7-12" aria-hidden="true" tabindex="-1"></a>bantime = 24h</code></pre></div>
<div class="sourceCode" id="cb8"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb8-1" aria-hidden="true" tabindex="-1"></a># Mulakan Fail2ban
<a href="#cb8-2" aria-hidden="true" tabindex="-1"></a>sudo systemctl enable fail2ban
<a href="#cb8-3" aria-hidden="true" tabindex="-1"></a>sudo systemctl start fail2ban
<a href="#cb8-4" aria-hidden="true" tabindex="-1"></a>
<a href="#cb8-5" aria-hidden="true" tabindex="-1"></a># Periksa status — anda akan nampak berapa IP yang dah kena ban
<a href="#cb8-6" aria-hidden="true" tabindex="-1"></a>sudo fail2ban-client status sshd</code></pre></div>
CrowdSec — Alternatif moden kepada Fail2ban:
CrowdSec ni macam Fail2ban tapi dengan “kecerdasan kolektif.” Kalau satu IP jahat kena detect oleh pengguna CrowdSec lain di seluruh dunia, IP tu akan disekat untuk anda juga. Macam community-powered security:
<div class="sourceCode" id="cb9"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb9-1" aria-hidden="true" tabindex="-1"></a># Pasang CrowdSec
<a href="#cb9-2" aria-hidden="true" tabindex="-1"></a>curl -s https://install.crowdsec.net | sudo bash
<a href="#cb9-3" aria-hidden="true" tabindex="-1"></a>sudo apt install crowdsec crowdsec-firewall-bouncer-iptables -y
<a href="#cb9-4" aria-hidden="true" tabindex="-1"></a>
<a href="#cb9-5" aria-hidden="true" tabindex="-1"></a># CrowdSec menggunakan kecerdasan kolektif -
<a href="#cb9-6" aria-hidden="true" tabindex="-1"></a># ia berkongsi IP berniat jahat dengan komuniti</code></pre></div>
<h3 id="lapisan-4-aplikasi">Lapisan 4: Aplikasi</h3>
Pengesahan berbilang faktor (2FA/MFA):
2FA ni macam kunci tambahan. Walaupun seseorang tahu password anda, mereka masih tak boleh masuk tanpa kod dari telefon anda. Aktifkan 2FA di mana sahaja yang mungkin:
<ul>
<li>Proxmox (TOTP)</li>
<li>Nextcloud (TOTP)</li>
<li>Gitea (TOTP)</li>
<li>Vaultwarden (TOTP)</li>
<li>SSH (menggunakan Google Authenticator PAM)</li>
</ul>
Konfigurasi 2FA untuk SSH:
<div class="sourceCode" id="cb10"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb10-1" aria-hidden="true" tabindex="-1"></a># Pasang Google Authenticator
<a href="#cb10-2" aria-hidden="true" tabindex="-1"></a>sudo apt install libpam-google-authenticator -y
<a href="#cb10-3" aria-hidden="true" tabindex="-1"></a>
<a href="#cb10-4" aria-hidden="true" tabindex="-1"></a># Jalankan setup
<a href="#cb10-5" aria-hidden="true" tabindex="-1"></a>google-authenticator
<a href="#cb10-6" aria-hidden="true" tabindex="-1"></a>
<a href="#cb10-7" aria-hidden="true" tabindex="-1"></a># Edit /etc/pam.d/sshd - tambah:
<a href="#cb10-8" aria-hidden="true" tabindex="-1"></a>auth required pam_google_authenticator.so
<a href="#cb10-9" aria-hidden="true" tabindex="-1"></a>
<a href="#cb10-10" aria-hidden="true" tabindex="-1"></a># Edit /etc/ssh/sshd_config:
<a href="#cb10-11" aria-hidden="true" tabindex="-1"></a>ChallengeResponseAuthentication yes
<a href="#cb10-12" aria-hidden="true" tabindex="-1"></a>AuthenticationMethods publickey,keyboard-interactive
<a href="#cb10-13" aria-hidden="true" tabindex="-1"></a>
<a href="#cb10-14" aria-hidden="true" tabindex="-1"></a># Mulakan semula SSH
<a href="#cb10-15" aria-hidden="true" tabindex="-1"></a>sudo systemctl restart sshd</code></pre></div>
<blockquote>
Nota Beginner: Sebelum aktifkan 2FA untuk SSH, pastikan anda ada akses lain ke server (contoh: akses konsol Proxmox atau IPMI). Kalau tak, dan 2FA ada masalah, anda boleh terkunci dari server sendiri!
</blockquote>
<h2 id="langkah-3-pengurusan-kata-laluan">Langkah 3: Pengurusan Kata Laluan</h2>
<h3 id="vaultwarden">Vaultwarden</h3>
“Saya guna password yang sama untuk semua service” — kalau ini anda, tolong berhenti sekarang.
Vaultwarden adalah pelaksanaan pelayan Bitwarden yang ringan. Ia membolehkan anda mengurus semua kata laluan dengan selamat, dan anda boleh host sendiri dalam homelab.
Amalan terbaik kata laluan:
<ol type="1">
<li>Gunakan kata laluan unik untuk setiap perkhidmatan — setiap satu!</li>
<li>Minimum 16 aksara</li>
<li>Gunakan penjana kata laluan (jangan cipta sendiri, manusia tak pandai buat random)</li>
<li>Aktifkan 2FA untuk vault anda</li>
<li>Backup vault secara berkala — kalau Vaultwarden down, anda masih ada akses</li>
</ol>
<h2 id="langkah-4-enkripsi">Langkah 4: Enkripsi</h2>
<h3 id="ssltls-untuk-semua-perkhidmatan">SSL/TLS untuk Semua Perkhidmatan</h3>
Jangan sesekali akses perkhidmatan homelab melalui HTTP biasa. Walaupun dalam rangkaian dalaman, biasakan guna HTTPS. Kenapa? Sebab data yang travel melalui HTTP boleh dibaca oleh sesiapa sahaja dalam rangkaian yang sama.
Let’s Encrypt dengan Nginx Proxy Manager (cara paling senang):
<ol type="1">
<li>Tambah Proxy Host di Nginx Proxy Manager</li>
<li>Tab SSL → Request new SSL certificate</li>
<li>Pilih Let’s Encrypt</li>
<li>Aktifkan Force SSL</li>
</ol>
Let’s Encrypt dengan Traefik (lebih automated):
<div class="sourceCode" id="cb11"><pre class="sourceCode yaml"><code class="sourceCode yaml"><a href="#cb11-1" aria-hidden="true" tabindex="-1"></a># traefik.yml
<a href="#cb11-2" aria-hidden="true" tabindex="-1"></a>certificatesResolvers:
<a href="#cb11-3" aria-hidden="true" tabindex="-1"></a> letsencrypt:
<a href="#cb11-4" aria-hidden="true" tabindex="-1"></a> acme:
<a href="#cb11-5" aria-hidden="true" tabindex="-1"></a> email: admin@domain-anda.com
<a href="#cb11-6" aria-hidden="true" tabindex="-1"></a> storage: /acme.json
<a href="#cb11-7" aria-hidden="true" tabindex="-1"></a> httpChallenge:
<a href="#cb11-8" aria-hidden="true" tabindex="-1"></a> entryPoint: web
<a href="#cb11-9" aria-hidden="true" tabindex="-1"></a>
<a href="#cb11-10" aria-hidden="true" tabindex="-1"></a>entryPoints:
<a href="#cb11-11" aria-hidden="true" tabindex="-1"></a> web:
<a href="#cb11-12" aria-hidden="true" tabindex="-1"></a> address: ":80"
<a href="#cb11-13" aria-hidden="true" tabindex="-1"></a> http:
<a href="#cb11-14" aria-hidden="true" tabindex="-1"></a> redirections:
<a href="#cb11-15" aria-hidden="true" tabindex="-1"></a> entryPoint:
<a href="#cb11-16" aria-hidden="true" tabindex="-1"></a> to: websecure
<a href="#cb11-17" aria-hidden="true" tabindex="-1"></a> websecure:
<a href="#cb11-18" aria-hidden="true" tabindex="-1"></a> address: ":443"</code></pre></div>
<h3 id="enkripsi-storan">Enkripsi Storan</h3>
Kalau anda risau tentang data fizikal (contoh: laptop dicuri), enkripsi cakera penuh dengan LUKS:
<div class="sourceCode" id="cb12"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb12-1" aria-hidden="true" tabindex="-1"></a># Enkripsi cakera penuh dengan LUKS
<a href="#cb12-2" aria-hidden="true" tabindex="-1"></a>sudo cryptsetup luksFormat /dev/sdb
<a href="#cb12-3" aria-hidden="true" tabindex="-1"></a>sudo cryptsetup open /dev/sdb encrypted-data
<a href="#cb12-4" aria-hidden="true" tabindex="-1"></a>sudo mkfs.ext4 /dev/mapper/encrypted-data</code></pre></div>
<h2 id="langkah-5-pemantauan-keselamatan">Langkah 5: Pemantauan Keselamatan</h2>
<h3 id="wazuh-siem-sumber-terbuka">Wazuh — SIEM Sumber Terbuka</h3>
Wazuh macam “security guard digital” yang sentiasa memantau homelab anda. Ia boleh detect ancaman, pantau integriti fail (ada sesiapa ubah fail config?), dan banyak lagi:
<ul>
<li>Pengesanan ancaman</li>
<li>Pemantauan integriti fail</li>
<li>Penilaian kerentanan</li>
<li>Pematuhan peraturan</li>
</ul>
<div class="sourceCode" id="cb13"><pre class="sourceCode yaml"><code class="sourceCode yaml"><a href="#cb13-1" aria-hidden="true" tabindex="-1"></a># docker-compose.yml untuk Wazuh
<a href="#cb13-2" aria-hidden="true" tabindex="-1"></a>services:
<a href="#cb13-3" aria-hidden="true" tabindex="-1"></a> wazuh.manager:
<a href="#cb13-4" aria-hidden="true" tabindex="-1"></a> image: wazuh/wazuh-manager:latest
<a href="#cb13-5" aria-hidden="true" tabindex="-1"></a> container_name: wazuh-manager
<a href="#cb13-6" aria-hidden="true" tabindex="-1"></a> ports:
<a href="#cb13-7" aria-hidden="true" tabindex="-1"></a> - "1514:1514"
<a href="#cb13-8" aria-hidden="true" tabindex="-1"></a> - "1515:1515"
<a href="#cb13-9" aria-hidden="true" tabindex="-1"></a> - "514:514/udp"
<a href="#cb13-10" aria-hidden="true" tabindex="-1"></a> - "55000:55000"
<a href="#cb13-11" aria-hidden="true" tabindex="-1"></a> volumes:
<a href="#cb13-12" aria-hidden="true" tabindex="-1"></a> - ./wazuh-data:/var/ossec/data
<a href="#cb13-13" aria-hidden="true" tabindex="-1"></a> restart: unless-stopped</code></pre></div>
<h3 id="log-berpusat">Log Berpusat</h3>
Ini tip yang saya rasa sangat berguna: kumpulkan log dari semua pelayan ke satu lokasi. Bila ada masalah, anda tak perlu SSH ke setiap server satu-satu untuk check log:
<div class="sourceCode" id="cb14"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb14-1" aria-hidden="true" tabindex="-1"></a># Menggunakan rsyslog
<a href="#cb14-2" aria-hidden="true" tabindex="-1"></a># Pada pelayan log (/etc/rsyslog.conf):
<a href="#cb14-3" aria-hidden="true" tabindex="-1"></a>module(load="imudp")
<a href="#cb14-4" aria-hidden="true" tabindex="-1"></a>input(type="imudp" port="514")
<a href="#cb14-5" aria-hidden="true" tabindex="-1"></a>module(load="imtcp")
<a href="#cb14-6" aria-hidden="true" tabindex="-1"></a>input(type="imtcp" port="514")
<a href="#cb14-7" aria-hidden="true" tabindex="-1"></a>
<a href="#cb14-8" aria-hidden="true" tabindex="-1"></a># Pada pelayan klien (/etc/rsyslog.d/50-remote.conf):
<a href="#cb14-9" aria-hidden="true" tabindex="-1"></a>*.* @@10.0.20.30:514</code></pre></div>
<h2 id="langkah-6-dns-selamat">Langkah 6: DNS Selamat</h2>
<h3 id="pi-hole-dns-selamat">Pi-hole + DNS Selamat</h3>
Pi-hole bukan sekadar ad blocker. Ia juga lapisan keselamatan yang berkesan. Dengan Pi-hole, anda boleh sekat:
<ul>
<li>Iklan dan penjejak (privacy!)</li>
<li>Domain malware yang diketahui</li>
<li>Telemetri yang tidak diingini</li>
</ul>
Senarai sekat tambahan untuk perlindungan lebih:
<pre><code># Di Pi-hole → Adlists, tambah:
https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts
https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/pro.txt</code></pre>
<blockquote>
Nota Beginner: Pi-hole ni salah satu projek homelab yang paling “worth it.” Setup sekali, semua peranti dalam rumah anda dilindungi. Malah keluarga anda pun akan perasan sebab iklan kurang.
</blockquote>
<h2 id="langkah-7-vpn-dan-akses-jauh">Langkah 7: VPN dan Akses Jauh</h2>
<h3 id="peraturan-akses-jauh">Peraturan Akses Jauh</h3>
Ini peraturan emas yang saya cadangkan anda ikut:
<ol type="1">
<li>JANGAN dedahkan perkhidmatan terus ke internet — ini kesilapan yang paling biasa</li>
<li>Gunakan VPN (WireGuard) untuk semua akses jauh</li>
<li>Kalau memang perlu, gunakan reverse proxy dengan pengesahan</li>
<li>Hadkan port yang dibuka melalui Port Forward ke tahap minimum</li>
</ol>
<h3 id="cadangan-seni-bina-akses">Cadangan Seni Bina Akses</h3>
<pre><code>Internet → Firewall → VPN (WireGuard)
 ↓
 Rangkaian Dalaman
 ↓ ↓ ↓
 Pelayan NAS Peranti</code></pre>
Dengan setup macam ni, semua akses dari luar mesti melalui VPN dulu. Lebih selamat, dan anda tak perlu buka banyak port.
<h2 id="langkah-8-senarai-semak-keselamatan">Langkah 8: Senarai Semak Keselamatan</h2>
Keselamatan bukan benda yang anda “set and forget.” Ia perlu penyelenggaraan berkala. Ini jadual yang saya cadangkan:
<h3 id="senarai-semak-mingguan">Senarai semak mingguan:</h3>
<ul class="task-list">
<li><label><input type="checkbox" />Periksa log Fail2ban/CrowdSec — berapa IP yang kena ban?</label></li>
<li><label><input type="checkbox" />Periksa kemas kini yang tertunda</label></li>
<li><label><input type="checkbox" />Semak papan pemuka pemantauan</label></li>
</ul>
<h3 id="senarai-semak-bulanan">Senarai semak bulanan:</h3>
<ul class="task-list">
<li><label><input type="checkbox" />Kemas kini semua perisian</label></li>
<li><label><input type="checkbox" />Semak peraturan firewall — ada yang tak perlu lagi?</label></li>
<li><label><input type="checkbox" />Uji backup (cuba pulihkan! Backup yang tak pernah diuji bukan backup.)</label></li>
<li><label><input type="checkbox" />Jalankan imbasan kerentanan</label></li>
<li><label><input type="checkbox" />Semak log akses</label></li>
</ul>
<h3 id="senarai-semak-suku-tahunan">Senarai semak suku tahunan:</h3>
<ul class="task-list">
<li><label><input type="checkbox" />Tukar kata laluan kritikal</label></li>
<li><label><input type="checkbox" />Semak kebenaran pengguna</label></li>
<li><label><input type="checkbox" />Kemas kini sijil SSL</label></li>
<li><label><input type="checkbox" />Semak dan kemas kini dokumentasi</label></li>
<li><label><input type="checkbox" />Uji pelan pemulihan bencana</label></li>
</ul>
<h3 id="checklist-siap-bab-ini">Checklist Siap Bab Ini</h3>
<ul class="task-list">
<li><label><input type="checkbox" />Saya sudah senaraikan kawalan keselamatan minimum yang wajib dibuat.</label></li>
<li><label><input type="checkbox" />Saya tahu service mana yang boleh dan tidak boleh dibuka ke internet.</label></li>
<li><label><input type="checkbox" />Saya sudah ada pelan akses jauh yang lebih selamat.</label></li>
</ul>
<h2 id="ringkasan">Ringkasan</h2>
Bab keselamatan ni memang panjang, tapi setiap bahagian ada sebabnya. Jom recap:
<ul>
<li>Model keselamatan berlapis — defense in depth, jangan bergantung pada satu lapisan je</li>
<li>Firewall dan IDS/IPS — barisan pertahanan pertama</li>
<li>Segmentasi rangkaian dengan VLAN — asingkan peranti mengikut kepercayaan</li>
<li>Pengerasan host — Fail2ban/CrowdSec, kemas kini automatik, 2FA</li>
<li>Pengurusan kata laluan — Vaultwarden, kata laluan unik untuk setiap service</li>
<li>Enkripsi — SSL/TLS untuk semua, LUKS untuk storan</li>
<li>Pemantauan keselamatan — Wazuh, log berpusat</li>
<li>Senarai semak berkala — keselamatan adalah proses, bukan destinasi</li>
</ul>
Ingat, anda tak perlu buat semua sekaligus. Mulakan dengan asas (update, firewall, kata laluan kuat, backup), kemudian tambah lapisan demi lapisan. Yang penting, mulakan sekarang.
Seterusnya, kita akan masuk ke topik keselamatan lanjutan untuk anda yang nak pergi lebih jauh.

Batal