Ebook Syafi - Edit Bab

Tajuk Bab

Urutan

Jenis

Kandungan HTML

<h1 id="bab-9-keselamatan-lanjutan-dan-amalan-terbaik">Bab 9: Keselamatan Lanjutan dan Amalan Terbaik</h1>
<figure><svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 820 470" width="820" height="470">
 <defs>
 <linearGradient id="sc-bg" x1="0%" y1="0%" x2="100%" y2="100%">
 <stop offset="0%" style="stop-color:#f8fafc"/>
 <stop offset="100%" style="stop-color:#fff1f2"/>
 </linearGradient>
 <filter id="sc-shadow">
 <feDropShadow dx="0" dy="8" stdDeviation="10" flood-color="#0f172a" flood-opacity="0.13"/>
 </filter>
 </defs>
 <rect width="820" height="470" rx="18" fill="url(#sc-bg)"/>
 <text x="410" y="36" font-family="Arial, Helvetica, sans-serif" font-size="20" font-weight="bold" fill="#1e293b" text-anchor="middle">Kitaran Keselamatan Homelab</text>
 <text x="410" y="58" font-family="Arial, Helvetica, sans-serif" font-size="11" fill="#64748b" text-anchor="middle">Keselamatan ialah kitaran hardening, pemantauan, backup, dan respons insiden</text>
 <g stroke="#94a3b8" stroke-width="4" fill="none" stroke-linecap="round">
 <path d="M410 105 C540 105 655 190 655 235"/>
 <path d="M655 235 C655 330 520 385 410 385"/>
 <path d="M410 385 C270 385 165 300 165 235"/>
 <path d="M165 235 C165 150 265 105 410 105"/>
 </g>
 <g filter="url(#sc-shadow)">
 <rect x="330" y="88" width="160" height="64" rx="18" fill="#1d4ed8"/>
 <text x="410" y="116" font-family="Arial, Helvetica, sans-serif" font-size="16" font-weight="bold" fill="#ffffff" text-anchor="middle">Hardening</text>
 <text x="410" y="136" font-family="Arial, Helvetica, sans-serif" font-size="11" fill="#dbeafe" text-anchor="middle">SSH, UFW, sysctl, AppArmor</text>
 </g>
 <g filter="url(#sc-shadow)">
 <rect x="560" y="203" width="170" height="64" rx="18" fill="#0f766e"/>
 <text x="645" y="231" font-family="Arial, Helvetica, sans-serif" font-size="16" font-weight="bold" fill="#ffffff" text-anchor="middle">Pemantauan</text>
 <text x="645" y="251" font-family="Arial, Helvetica, sans-serif" font-size="11" fill="#ccfbf1" text-anchor="middle">Lynis, Wazuh, log, alert</text>
 </g>
 <g filter="url(#sc-shadow)">
 <rect x="325" y="345" width="170" height="64" rx="18" fill="#ea580c"/>
 <text x="410" y="373" font-family="Arial, Helvetica, sans-serif" font-size="16" font-weight="bold" fill="#ffffff" text-anchor="middle">Backup</text>
 <text x="410" y="393" font-family="Arial, Helvetica, sans-serif" font-size="11" fill="#ffedd5" text-anchor="middle">Restic, config backup, verify restore</text>
 </g>
 <g filter="url(#sc-shadow)">
 <rect x="90" y="203" width="190" height="64" rx="18" fill="#dc2626"/>
 <text x="185" y="231" font-family="Arial, Helvetica, sans-serif" font-size="16" font-weight="bold" fill="#ffffff" text-anchor="middle">Respons Insiden</text>
 <text x="185" y="251" font-family="Arial, Helvetica, sans-serif" font-size="11" fill="#fee2e2" text-anchor="middle">Asingkan, nilai, pulih, dokumentasi</text>
 </g>
 <g filter="url(#sc-shadow)">
 <circle cx="410" cy="236" r="56" fill="#334155"/>
 <text x="410" y="230" font-family="Arial, Helvetica, sans-serif" font-size="16" font-weight="bold" fill="#ffffff" text-anchor="middle">Kurangkan</text>
 <text x="410" y="250" font-family="Arial, Helvetica, sans-serif" font-size="16" font-weight="bold" fill="#ffffff" text-anchor="middle">risiko</text>
 </g>
</svg>
<figcaption>Kitaran keselamatan homelab</figcaption></figure>
Okay, kalau anda dah sampai bab ni, maknanya anda dah buat asas keselamatan dari bab sebelumnya. Bagus! Sekarang kita nak naik level satu tahap lagi.
Bab ni akan cover hardening yang lebih mendalam, audit keselamatan, SSL dalaman, dan yang paling penting — apa nak buat kalau homelab anda benar-benar kena hack. Saya harap anda tak perlukan bahagian incident response tu, tapi lebih baik sedia payung sebelum hujan.
Apa yang anda akan belajar:
<ul>
<li>Amalan Linux Hardening, audit, SSL dalaman, dan incident response</li>
<li>Cara naik taraf tahap keselamatan tanpa ganggu operasi homelab</li>
<li>Cara tambah kawalan keselamatan lanjutan secara terancang</li>
</ul>
<blockquote>
Nota Beginner: Hardening yang terlalu agresif boleh menyebabkan anda lock diri sendiri. Dalam homelab, keselamatan perlu seimbang dengan kebolehselenggaraan. Jangan sampai server anda “terlalu selamat” sehingga anda sendiri tak boleh masuk!
</blockquote>
<h3 id="laluan-paling-mudah-untuk-beginner">Laluan Paling Mudah untuk Beginner</h3>
<ul>
<li>Hardening hanya berguna kalau anda masih boleh masuk semula ke server selepas ubah config.</li>
<li>WAJIB simpan akses konsol atau IPMI sebelum ubah SSH, firewall, atau user policy.</li>
<li>Pilih satu amalan hardening, uji, dokumentasikan, kemudian baru teruskan ke yang seterusnya. Satu masa satu perubahan.</li>
</ul>
<h2 id="langkah-1-pengerasan-linux-linux-hardening">Langkah 1: Pengerasan Linux (Linux Hardening)</h2>
<h3 id="pengerasan-ssh">Pengerasan SSH</h3>
SSH adalah sasaran utama penyerang. Saya pernah tengok log server yang baru online 5 minit — dah ada ratusan percubaan brute force. Jadi, pastikan SSH anda dikonfigurasikan dengan selamat:
<div class="sourceCode" id="cb1"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb1-1" aria-hidden="true" tabindex="-1"></a># /etc/ssh/sshd_config - Konfigurasi disyorkan
<a href="#cb1-2" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-3" aria-hidden="true" tabindex="-1"></a># Lumpuhkan log masuk root
<a href="#cb1-4" aria-hidden="true" tabindex="-1"></a>PermitRootLogin no
<a href="#cb1-5" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-6" aria-hidden="true" tabindex="-1"></a># Hanya benarkan pengesahan kunci
<a href="#cb1-7" aria-hidden="true" tabindex="-1"></a>PasswordAuthentication no
<a href="#cb1-8" aria-hidden="true" tabindex="-1"></a>PubkeyAuthentication yes
<a href="#cb1-9" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-10" aria-hidden="true" tabindex="-1"></a># Tukar port SSH (keselamatan melalui kekaburan)
<a href="#cb1-11" aria-hidden="true" tabindex="-1"></a>Port 2222
<a href="#cb1-12" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-13" aria-hidden="true" tabindex="-1"></a># Hadkan pengguna yang boleh log masuk
<a href="#cb1-14" aria-hidden="true" tabindex="-1"></a>AllowUsers admin
<a href="#cb1-15" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-16" aria-hidden="true" tabindex="-1"></a># Tetapkan masa tamat
<a href="#cb1-17" aria-hidden="true" tabindex="-1"></a>ClientAliveInterval 300
<a href="#cb1-18" aria-hidden="true" tabindex="-1"></a>ClientAliveCountMax 2
<a href="#cb1-19" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-20" aria-hidden="true" tabindex="-1"></a># Lumpuhkan pemajuan X11
<a href="#cb1-21" aria-hidden="true" tabindex="-1"></a>X11Forwarding no
<a href="#cb1-22" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-23" aria-hidden="true" tabindex="-1"></a># Lumpuhkan pemajuan TCP (melainkan perlu)
<a href="#cb1-24" aria-hidden="true" tabindex="-1"></a>AllowTcpForwarding no
<a href="#cb1-25" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-26" aria-hidden="true" tabindex="-1"></a># Gunakan protokol 2 sahaja
<a href="#cb1-27" aria-hidden="true" tabindex="-1"></a>Protocol 2
<a href="#cb1-28" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-29" aria-hidden="true" tabindex="-1"></a># Hadkan percubaan pengesahan
<a href="#cb1-30" aria-hidden="true" tabindex="-1"></a>MaxAuthTries 3
<a href="#cb1-31" aria-hidden="true" tabindex="-1"></a>
<a href="#cb1-32" aria-hidden="true" tabindex="-1"></a># Lumpuhkan kata laluan kosong
<a href="#cb1-33" aria-hidden="true" tabindex="-1"></a>PermitEmptyPasswords no</code></pre></div>
<div class="sourceCode" id="cb2"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb2-1" aria-hidden="true" tabindex="-1"></a># Mulakan semula SSH
<a href="#cb2-2" aria-hidden="true" tabindex="-1"></a>sudo systemctl restart sshd
<a href="#cb2-3" aria-hidden="true" tabindex="-1"></a>
<a href="#cb2-4" aria-hidden="true" tabindex="-1"></a># PENTING: Pastikan anda mempunyai akses konsol (IPMI/KVM)
<a href="#cb2-5" aria-hidden="true" tabindex="-1"></a># sebelum menukar konfigurasi SSH, sekiranya anda terkunci!</code></pre></div>
<blockquote>
Nota Beginner: Sebelum restart SSH, buka satu terminal lain dan pastikan anda boleh SSH dengan setting baru. Jangan tutup terminal lama dulu! Kalau setting baru ada masalah, anda masih ada terminal lama yang connected.
</blockquote>
<h3 id="konfigurasi-firewall-mendalam-ufw">Konfigurasi Firewall Mendalam (UFW)</h3>
UFW (Uncomplicated Firewall) memang betul-betul uncomplicated. Tapi jangan pandang rendah — ia sangat berkesan:
<div class="sourceCode" id="cb3"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb3-1" aria-hidden="true" tabindex="-1"></a># Tetapan lalai
<a href="#cb3-2" aria-hidden="true" tabindex="-1"></a>sudo ufw default deny incoming
<a href="#cb3-3" aria-hidden="true" tabindex="-1"></a>sudo ufw default allow outgoing
<a href="#cb3-4" aria-hidden="true" tabindex="-1"></a>sudo ufw default deny routed
<a href="#cb3-5" aria-hidden="true" tabindex="-1"></a>
<a href="#cb3-6" aria-hidden="true" tabindex="-1"></a># Benarkan perkhidmatan tertentu sahaja
<a href="#cb3-7" aria-hidden="true" tabindex="-1"></a>sudo ufw allow from 10.0.0.0/24 to any port 22 # SSH dari LAN sahaja
<a href="#cb3-8" aria-hidden="true" tabindex="-1"></a>sudo ufw allow from 10.0.0.0/24 to any port 8006 # Proxmox dari LAN sahaja
<a href="#cb3-9" aria-hidden="true" tabindex="-1"></a>sudo ufw allow 80/tcp # HTTP (untuk Let's Encrypt)
<a href="#cb3-10" aria-hidden="true" tabindex="-1"></a>sudo ufw allow 443/tcp # HTTPS
<a href="#cb3-11" aria-hidden="true" tabindex="-1"></a>
<a href="#cb3-12" aria-hidden="true" tabindex="-1"></a># Hadkan kadar (rate limiting) untuk SSH
<a href="#cb3-13" aria-hidden="true" tabindex="-1"></a>sudo ufw limit ssh
<a href="#cb3-14" aria-hidden="true" tabindex="-1"></a>
<a href="#cb3-15" aria-hidden="true" tabindex="-1"></a># Aktifkan logging
<a href="#cb3-16" aria-hidden="true" tabindex="-1"></a>sudo ufw logging on
<a href="#cb3-17" aria-hidden="true" tabindex="-1"></a>
<a href="#cb3-18" aria-hidden="true" tabindex="-1"></a># Aktifkan firewall
<a href="#cb3-19" aria-hidden="true" tabindex="-1"></a>sudo ufw enable
<a href="#cb3-20" aria-hidden="true" tabindex="-1"></a>
<a href="#cb3-21" aria-hidden="true" tabindex="-1"></a># Semak status
<a href="#cb3-22" aria-hidden="true" tabindex="-1"></a>sudo ufw status verbose</code></pre></div>
<h3 id="apparmor-dan-selinux">AppArmor dan SELinux</h3>
AppArmor (Ubuntu/Debian) — biasanya dah aktif secara default:
<div class="sourceCode" id="cb4"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb4-1" aria-hidden="true" tabindex="-1"></a># Periksa status AppArmor
<a href="#cb4-2" aria-hidden="true" tabindex="-1"></a>sudo apparmor_status
<a href="#cb4-3" aria-hidden="true" tabindex="-1"></a>
<a href="#cb4-4" aria-hidden="true" tabindex="-1"></a># Senarai profil
<a href="#cb4-5" aria-hidden="true" tabindex="-1"></a>sudo aa-status
<a href="#cb4-6" aria-hidden="true" tabindex="-1"></a>
<a href="#cb4-7" aria-hidden="true" tabindex="-1"></a># AppArmor biasanya sudah aktif pada Ubuntu
<a href="#cb4-8" aria-hidden="true" tabindex="-1"></a># Ia mengehadkan keupayaan aplikasi individu</code></pre></div>
Pengerasan Kernel — Tambahan yang saya cadangkan:
Ini setting sysctl yang boleh kuatkan keselamatan di peringkat kernel. Copy paste je, tapi pastikan anda faham setiap baris:
<div class="sourceCode" id="cb5"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb5-1" aria-hidden="true" tabindex="-1"></a># /etc/sysctl.conf - Pengerasan kernel
<a href="#cb5-2" aria-hidden="true" tabindex="-1"></a>
<a href="#cb5-3" aria-hidden="true" tabindex="-1"></a># Cegah serangan spoofing IP
<a href="#cb5-4" aria-hidden="true" tabindex="-1"></a>net.ipv4.conf.all.rp_filter = 1
<a href="#cb5-5" aria-hidden="true" tabindex="-1"></a>net.ipv4.conf.default.rp_filter = 1
<a href="#cb5-6" aria-hidden="true" tabindex="-1"></a>
<a href="#cb5-7" aria-hidden="true" tabindex="-1"></a># Abaikan permintaan ICMP broadcast
<a href="#cb5-8" aria-hidden="true" tabindex="-1"></a>net.ipv4.icmp_echo_ignore_broadcasts = 1
<a href="#cb5-9" aria-hidden="true" tabindex="-1"></a>
<a href="#cb5-10" aria-hidden="true" tabindex="-1"></a># Lumpuhkan pemajuan IP (melainkan sebagai router)
<a href="#cb5-11" aria-hidden="true" tabindex="-1"></a>net.ipv4.ip_forward = 0
<a href="#cb5-12" aria-hidden="true" tabindex="-1"></a>
<a href="#cb5-13" aria-hidden="true" tabindex="-1"></a># Cegah serangan SYN flood
<a href="#cb5-14" aria-hidden="true" tabindex="-1"></a>net.ipv4.tcp_syncookies = 1
<a href="#cb5-15" aria-hidden="true" tabindex="-1"></a>net.ipv4.tcp_max_syn_backlog = 2048
<a href="#cb5-16" aria-hidden="true" tabindex="-1"></a>
<a href="#cb5-17" aria-hidden="true" tabindex="-1"></a># Log paket martian (paket dengan alamat sumber yang tak masuk akal)
<a href="#cb5-18" aria-hidden="true" tabindex="-1"></a>net.ipv4.conf.all.log_martians = 1
<a href="#cb5-19" aria-hidden="true" tabindex="-1"></a>
<a href="#cb5-20" aria-hidden="true" tabindex="-1"></a># Lumpuhkan redirect ICMP
<a href="#cb5-21" aria-hidden="true" tabindex="-1"></a>net.ipv4.conf.all.accept_redirects = 0
<a href="#cb5-22" aria-hidden="true" tabindex="-1"></a>net.ipv4.conf.all.send_redirects = 0
<a href="#cb5-23" aria-hidden="true" tabindex="-1"></a>
<a href="#cb5-24" aria-hidden="true" tabindex="-1"></a># Aplikasikan tetapan
<a href="#cb5-25" aria-hidden="true" tabindex="-1"></a>sudo sysctl -p</code></pre></div>
<blockquote>
Nota Beginner: Kalau anda guna server sebagai router atau VPN gateway, JANGAN lumpuhkan <code>ip_forward</code>. Anda perlukan ia untuk routing. Setting ni hanya untuk server biasa.
</blockquote>
<h3 id="pengurusan-pengguna-dan-kebenaran">Pengurusan Pengguna dan Kebenaran</h3>
Jangan sesekali guna root untuk kerja harian. Cipta pengguna admin yang berasingan:
<div class="sourceCode" id="cb6"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb6-1" aria-hidden="true" tabindex="-1"></a># Cipta pengguna bukan root untuk pengurusan
<a href="#cb6-2" aria-hidden="true" tabindex="-1"></a>sudo adduser admin
<a href="#cb6-3" aria-hidden="true" tabindex="-1"></a>sudo usermod -aG sudo admin
<a href="#cb6-4" aria-hidden="true" tabindex="-1"></a>
<a href="#cb6-5" aria-hidden="true" tabindex="-1"></a># Tetapkan dasar kata laluan
<a href="#cb6-6" aria-hidden="true" tabindex="-1"></a>sudo apt install libpam-pwquality -y
<a href="#cb6-7" aria-hidden="true" tabindex="-1"></a>
<a href="#cb6-8" aria-hidden="true" tabindex="-1"></a># /etc/security/pwquality.conf
<a href="#cb6-9" aria-hidden="true" tabindex="-1"></a>minlen = 12
<a href="#cb6-10" aria-hidden="true" tabindex="-1"></a>dcredit = -1
<a href="#cb6-11" aria-hidden="true" tabindex="-1"></a>ucredit = -1
<a href="#cb6-12" aria-hidden="true" tabindex="-1"></a>lcredit = -1
<a href="#cb6-13" aria-hidden="true" tabindex="-1"></a>ocredit = -1</code></pre></div>
<h2 id="langkah-2-audit-dan-pematuhan-keselamatan">Langkah 2: Audit dan Pematuhan Keselamatan</h2>
<h3 id="lynis-audit-keselamatan">Lynis — Audit Keselamatan</h3>
Anda dah buat semua hardening tadi, tapi macam mana nak tahu kalau cukup? Lynis akan scan sistem anda dan bagi skor:
<div class="sourceCode" id="cb7"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb7-1" aria-hidden="true" tabindex="-1"></a># Pasang Lynis
<a href="#cb7-2" aria-hidden="true" tabindex="-1"></a>sudo apt install lynis -y
<a href="#cb7-3" aria-hidden="true" tabindex="-1"></a>
<a href="#cb7-4" aria-hidden="true" tabindex="-1"></a># Jalankan audit penuh
<a href="#cb7-5" aria-hidden="true" tabindex="-1"></a>sudo lynis audit system
<a href="#cb7-6" aria-hidden="true" tabindex="-1"></a>
<a href="#cb7-7" aria-hidden="true" tabindex="-1"></a># Contoh output:
<a href="#cb7-8" aria-hidden="true" tabindex="-1"></a># Hardening index : 72 [############## ]
<a href="#cb7-9" aria-hidden="true" tabindex="-1"></a># Tests performed : 256
<a href="#cb7-10" aria-hidden="true" tabindex="-1"></a># Warnings : 3
<a href="#cb7-11" aria-hidden="true" tabindex="-1"></a># Suggestions : 15</code></pre></div>
Saya cadangkan sasarkan skor 70+ untuk permulaan. Jangan obsess nak dapat 100 — tu memang tak realistik untuk homelab.
Kategori yang diperiksa oleh Lynis: - Konfigurasi kernel - Pengurusan pengguna dan kumpulan - Sistem fail dan kebenaran - Perkhidmatan rangkaian - Konfigurasi firewall - Kemas kini perisian - Konfigurasi SSH - Dan banyak lagi
<h3 id="openvas-imbasan-kerentanan">OpenVAS — Imbasan Kerentanan</h3>
OpenVAS (kini Greenbone) mengimbas rangkaian anda untuk kerentanan yang diketahui. Macam “pen test” automatik untuk homelab anda:
<div class="sourceCode" id="cb8"><pre class="sourceCode yaml"><code class="sourceCode yaml"><a href="#cb8-1" aria-hidden="true" tabindex="-1"></a>services:
<a href="#cb8-2" aria-hidden="true" tabindex="-1"></a> openvas:
<a href="#cb8-3" aria-hidden="true" tabindex="-1"></a> image: greenbone/openvas-scanner:latest
<a href="#cb8-4" aria-hidden="true" tabindex="-1"></a> container_name: openvas
<a href="#cb8-5" aria-hidden="true" tabindex="-1"></a> ports:
<a href="#cb8-6" aria-hidden="true" tabindex="-1"></a> - "9392:9392"
<a href="#cb8-7" aria-hidden="true" tabindex="-1"></a> volumes:
<a href="#cb8-8" aria-hidden="true" tabindex="-1"></a> - openvas-data:/var/lib/openvas
<a href="#cb8-9" aria-hidden="true" tabindex="-1"></a> restart: unless-stopped
<a href="#cb8-10" aria-hidden="true" tabindex="-1"></a>
<a href="#cb8-11" aria-hidden="true" tabindex="-1"></a>volumes:
<a href="#cb8-12" aria-hidden="true" tabindex="-1"></a> openvas-data:</code></pre></div>
<blockquote>
Nota Beginner: Jalankan imbasan kerentanan hanya pada rangkaian yang anda miliki. Mengimbas rangkaian tanpa kebenaran adalah menyalahi undang-undang. Dalam homelab, scan rangkaian sendiri je.
</blockquote>
<h2 id="langkah-3-pengurusan-sijil-ssltls">Langkah 3: Pengurusan Sijil SSL/TLS</h2>
<h3 id="memahami-sijil-ssl">Memahami Sijil SSL</h3>
Ini jenis-jenis sijil yang anda perlu tahu:
<pre><code>Jenis Sijil:
1. Self-signed — Percuma, amaran pelayar, untuk dalaman sahaja
2. Let's Encrypt — Percuma, dipercayai, perlu domain awam
3. Wildcard — Satu sijil untuk *.domain.com
4. CA peribadi — Untuk rangkaian dalaman tanpa amaran</code></pre>
<h3 id="mencipta-ca-peribadi">Mencipta CA Peribadi</h3>
Untuk perkhidmatan dalaman yang tidak mempunyai domain awam, anda boleh jadi “CA” sendiri. Semua peranti yang install sijil CA anda akan trust sijil-sijil yang anda keluarkan:
<div class="sourceCode" id="cb10"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb10-1" aria-hidden="true" tabindex="-1"></a># Cipta CA (Certificate Authority) peribadi
<a href="#cb10-2" aria-hidden="true" tabindex="-1"></a>mkdir -p ~/ssl && cd ~/ssl
<a href="#cb10-3" aria-hidden="true" tabindex="-1"></a>
<a href="#cb10-4" aria-hidden="true" tabindex="-1"></a># Cipta kunci peribadi CA
<a href="#cb10-5" aria-hidden="true" tabindex="-1"></a>openssl genrsa -out ca-key.pem 4096
<a href="#cb10-6" aria-hidden="true" tabindex="-1"></a>
<a href="#cb10-7" aria-hidden="true" tabindex="-1"></a># Cipta sijil CA
<a href="#cb10-8" aria-hidden="true" tabindex="-1"></a>openssl req -new -x509 -sha256 -key ca-key.pem \
<a href="#cb10-9" aria-hidden="true" tabindex="-1"></a> -out ca-cert.pem -days 3650 \
<a href="#cb10-10" aria-hidden="true" tabindex="-1"></a> -subj "/CN=Homelab CA/O=Homelab/C=MY"
<a href="#cb10-11" aria-hidden="true" tabindex="-1"></a>
<a href="#cb10-12" aria-hidden="true" tabindex="-1"></a># Cipta sijil untuk perkhidmatan
<a href="#cb10-13" aria-hidden="true" tabindex="-1"></a>openssl genrsa -out server-key.pem 2048
<a href="#cb10-14" aria-hidden="true" tabindex="-1"></a>
<a href="#cb10-15" aria-hidden="true" tabindex="-1"></a>openssl req -new -key server-key.pem \
<a href="#cb10-16" aria-hidden="true" tabindex="-1"></a> -out server.csr \
<a href="#cb10-17" aria-hidden="true" tabindex="-1"></a> -subj "/CN=*.lab.local/O=Homelab/C=MY"
<a href="#cb10-18" aria-hidden="true" tabindex="-1"></a>
<a href="#cb10-19" aria-hidden="true" tabindex="-1"></a># Tanda sijil dengan CA
<a href="#cb10-20" aria-hidden="true" tabindex="-1"></a>openssl x509 -req -sha256 \
<a href="#cb10-21" aria-hidden="true" tabindex="-1"></a> -in server.csr \
<a href="#cb10-22" aria-hidden="true" tabindex="-1"></a> -CA ca-cert.pem -CAkey ca-key.pem \
<a href="#cb10-23" aria-hidden="true" tabindex="-1"></a> -CAcreateserial -out server-cert.pem \
<a href="#cb10-24" aria-hidden="true" tabindex="-1"></a> -days 365 \
<a href="#cb10-25" aria-hidden="true" tabindex="-1"></a> -extfile <(printf "subjectAltName=DNS:*.lab.local,DNS:lab.local")</code></pre></div>
Pasang sijil CA pada peranti supaya tak ada amaran “Not Secure”: - Windows: Import <code>ca-cert.pem</code> ke Trusted Root CAs - macOS: Import ke Keychain → System → Always Trust - Linux: Salin ke <code>/usr/local/share/ca-certificates/</code> → <code>update-ca-certificates</code> - Android/iOS: Import melalui tetapan keselamatan
<blockquote>
Nota Beginner: Proses ni nampak complicated, tapi anda hanya perlu buat sekali. Selepas tu, semua service dalaman anda boleh guna HTTPS tanpa amaran pelayar.
</blockquote>
<h2 id="langkah-4-strategi-backup-keselamatan">Langkah 4: Strategi Backup Keselamatan</h2>
<h3 id="backup-disulitkan">Backup Disulitkan</h3>
Backup pun kena protect. Bayangkan kalau seseorang dapat akses ke backup drive anda — semua data anda terdedah. Restic menyulitkan backup secara lalai, jadi anda dah selamat:
<div class="sourceCode" id="cb11"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb11-1" aria-hidden="true" tabindex="-1"></a># Restic menyulitkan backup secara lalai
<a href="#cb11-2" aria-hidden="true" tabindex="-1"></a># Pastikan kata laluan repositori disimpan dengan selamat
<a href="#cb11-3" aria-hidden="true" tabindex="-1"></a>
<a href="#cb11-4" aria-hidden="true" tabindex="-1"></a>export RESTIC_REPOSITORY="/mnt/backup/encrypted"
<a href="#cb11-5" aria-hidden="true" tabindex="-1"></a>export RESTIC_PASSWORD="kata_laluan_sangat_panjang_dan_rawak"
<a href="#cb11-6" aria-hidden="true" tabindex="-1"></a>
<a href="#cb11-7" aria-hidden="true" tabindex="-1"></a># Cipta repositori
<a href="#cb11-8" aria-hidden="true" tabindex="-1"></a>restic init
<a href="#cb11-9" aria-hidden="true" tabindex="-1"></a>
<a href="#cb11-10" aria-hidden="true" tabindex="-1"></a># Backup
<a href="#cb11-11" aria-hidden="true" tabindex="-1"></a>restic backup /data/penting
<a href="#cb11-12" aria-hidden="true" tabindex="-1"></a>
<a href="#cb11-13" aria-hidden="true" tabindex="-1"></a># Sahkan integriti backup
<a href="#cb11-14" aria-hidden="true" tabindex="-1"></a>restic check</code></pre></div>
<h3 id="backup-konfigurasi-keselamatan">Backup Konfigurasi Keselamatan</h3>
Ini skrip yang saya guna untuk backup semua config keselamatan. Kalau perlu rebuild server, semua setting dah ada:
<div class="sourceCode" id="cb12"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb12-1" aria-hidden="true" tabindex="-1"></a>#!/bin/bash
<a href="#cb12-2" aria-hidden="true" tabindex="-1"></a># backup-security-configs.sh
<a href="#cb12-3" aria-hidden="true" tabindex="-1"></a>BACKUP_DIR="/mnt/backup/security"
<a href="#cb12-4" aria-hidden="true" tabindex="-1"></a>DATE=$(date +%Y%m%d)
<a href="#cb12-5" aria-hidden="true" tabindex="-1"></a>
<a href="#cb12-6" aria-hidden="true" tabindex="-1"></a>mkdir -p "$BACKUP_DIR/$DATE"
<a href="#cb12-7" aria-hidden="true" tabindex="-1"></a>
<a href="#cb12-8" aria-hidden="true" tabindex="-1"></a># Backup konfigurasi penting
<a href="#cb12-9" aria-hidden="true" tabindex="-1"></a>cp /etc/ssh/sshd_config "$BACKUP_DIR/$DATE/"
<a href="#cb12-10" aria-hidden="true" tabindex="-1"></a>cp /etc/fail2ban/jail.local "$BACKUP_DIR/$DATE/"
<a href="#cb12-11" aria-hidden="true" tabindex="-1"></a>cp -r /etc/ufw "$BACKUP_DIR/$DATE/"
<a href="#cb12-12" aria-hidden="true" tabindex="-1"></a>cp /etc/sysctl.conf "$BACKUP_DIR/$DATE/"
<a href="#cb12-13" aria-hidden="true" tabindex="-1"></a>
<a href="#cb12-14" aria-hidden="true" tabindex="-1"></a># Senarai pengguna dan kumpulan
<a href="#cb12-15" aria-hidden="true" tabindex="-1"></a>getent passwd > "$BACKUP_DIR/$DATE/passwd.bak"
<a href="#cb12-16" aria-hidden="true" tabindex="-1"></a>getent group > "$BACKUP_DIR/$DATE/group.bak"
<a href="#cb12-17" aria-hidden="true" tabindex="-1"></a>
<a href="#cb12-18" aria-hidden="true" tabindex="-1"></a># Peraturan firewall
<a href="#cb12-19" aria-hidden="true" tabindex="-1"></a>iptables-save > "$BACKUP_DIR/$DATE/iptables.rules"
<a href="#cb12-20" aria-hidden="true" tabindex="-1"></a>
<a href="#cb12-21" aria-hidden="true" tabindex="-1"></a>echo "Backup keselamatan selesai: $DATE"</code></pre></div>
<h2 id="langkah-5-pelan-tindak-balas-insiden">Langkah 5: Pelan Tindak Balas Insiden</h2>
<h3 id="apabila-homelab-anda-dikompromi">Apabila Homelab Anda Dikompromi</h3>
Saya harap anda tak perlukan bahagian ni. Tapi kalau anda mengesyaki homelab anda telah dikompromi, ikut langkah-langkah ini. Jangan panik — panik buat keputusan jadi lebih teruk.
Langkah 1: Jangan Panik, Dokumentasikan - Tulis apa yang anda perhatikan - Catat masa dan tarikh - Screenshot kalau boleh
Langkah 2: Asingkan — Potong Akses Internet
<div class="sourceCode" id="cb13"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb13-1" aria-hidden="true" tabindex="-1"></a># Putuskan sambungan dari internet (di firewall)
<a href="#cb13-2" aria-hidden="true" tabindex="-1"></a># JANGAN padamkan kuasa — bukti dalam RAM akan hilang</code></pre></div>
Langkah 3: Nilai Kerosakan
<div class="sourceCode" id="cb14"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb14-1" aria-hidden="true" tabindex="-1"></a># Periksa pengguna yang log masuk
<a href="#cb14-2" aria-hidden="true" tabindex="-1"></a>who
<a href="#cb14-3" aria-hidden="true" tabindex="-1"></a>last
<a href="#cb14-4" aria-hidden="true" tabindex="-1"></a>lastlog
<a href="#cb14-5" aria-hidden="true" tabindex="-1"></a>
<a href="#cb14-6" aria-hidden="true" tabindex="-1"></a># Periksa proses mencurigakan
<a href="#cb14-7" aria-hidden="true" tabindex="-1"></a>ps auxf
<a href="#cb14-8" aria-hidden="true" tabindex="-1"></a>netstat -tunapl
<a href="#cb14-9" aria-hidden="true" tabindex="-1"></a>
<a href="#cb14-10" aria-hidden="true" tabindex="-1"></a># Periksa fail yang baru diubah suai
<a href="#cb14-11" aria-hidden="true" tabindex="-1"></a>find / -mtime -1 -type f 2>/dev/null
<a href="#cb14-12" aria-hidden="true" tabindex="-1"></a>
<a href="#cb14-13" aria-hidden="true" tabindex="-1"></a># Periksa crontab untuk semua pengguna
<a href="#cb14-14" aria-hidden="true" tabindex="-1"></a>for user in $(cut -f1 -d: /etc/passwd); do
<a href="#cb14-15" aria-hidden="true" tabindex="-1"></a> crontab -l -u "$user" 2>/dev/null
<a href="#cb14-16" aria-hidden="true" tabindex="-1"></a>done
<a href="#cb14-17" aria-hidden="true" tabindex="-1"></a>
<a href="#cb14-18" aria-hidden="true" tabindex="-1"></a># Periksa kunci SSH yang tidak dikenali
<a href="#cb14-19" aria-hidden="true" tabindex="-1"></a>cat ~/.ssh/authorized_keys</code></pre></div>
Langkah 4: Bersihkan dan Pulihkan - Pulihkan dari backup yang bersih (sebab tu backup penting!) - Tukar SEMUA kata laluan — semua, tanpa pengecualian - Kemas kini semua perisian - Semak dan perketatkan peraturan firewall
Langkah 5: Belajar dari Insiden - Kenal pasti bagaimana pencerobohan berlaku - Perkuatkan kawalan keselamatan di bahagian yang lemah - Dokumentasikan insiden dan penyelesaian — supaya tak berulang
<blockquote>
Nota Beginner: Kalau anda rasa homelab anda kena hack, perkara pertama yang perlu dibuat ialah cabut kabel internet dari router. Ini halang penyerang daripada terus akses dan halang data daripada terus bocor.
</blockquote>
<h2 id="langkah-6-pemantauan-keselamatan-berterusan">Langkah 6: Pemantauan Keselamatan Berterusan</h2>
Ini skrip yang anda boleh jalankan setiap hari secara automatik. Ia akan check beberapa perkara penting dan hantar laporan:
<h3 id="skrip-semakan-harian-automatik">Skrip Semakan Harian (Automatik)</h3>
<div class="sourceCode" id="cb15"><pre class="sourceCode bash"><code class="sourceCode bash"><a href="#cb15-1" aria-hidden="true" tabindex="-1"></a>#!/bin/bash
<a href="#cb15-2" aria-hidden="true" tabindex="-1"></a># daily-security-check.sh
<a href="#cb15-3" aria-hidden="true" tabindex="-1"></a># Jalankan melalui cron setiap hari
<a href="#cb15-4" aria-hidden="true" tabindex="-1"></a>
<a href="#cb15-5" aria-hidden="true" tabindex="-1"></a>REPORT=""
<a href="#cb15-6" aria-hidden="true" tabindex="-1"></a>
<a href="#cb15-7" aria-hidden="true" tabindex="-1"></a># Periksa kemas kini keselamatan
<a href="#cb15-8" aria-hidden="true" tabindex="-1"></a>UPDATES=$(apt list --upgradable 2>/dev/null | grep -c security)
<a href="#cb15-9" aria-hidden="true" tabindex="-1"></a>REPORT+="Kemas kini keselamatan tertunda: $UPDATES\n"
<a href="#cb15-10" aria-hidden="true" tabindex="-1"></a>
<a href="#cb15-11" aria-hidden="true" tabindex="-1"></a># Periksa log masuk gagal
<a href="#cb15-12" aria-hidden="true" tabindex="-1"></a>FAILED=$(grep "Failed password" /var/log/auth.log | wc -l)
<a href="#cb15-13" aria-hidden="true" tabindex="-1"></a>REPORT+="Percubaan log masuk gagal: $FAILED\n"
<a href="#cb15-14" aria-hidden="true" tabindex="-1"></a>
<a href="#cb15-15" aria-hidden="true" tabindex="-1"></a># Periksa penggunaan cakera
<a href="#cb15-16" aria-hidden="true" tabindex="-1"></a>DISK=$(df / | awk 'NR==2 {print $5}')
<a href="#cb15-17" aria-hidden="true" tabindex="-1"></a>REPORT+="Penggunaan cakera /: $DISK\n"
<a href="#cb15-18" aria-hidden="true" tabindex="-1"></a>
<a href="#cb15-19" aria-hidden="true" tabindex="-1"></a># Periksa perkhidmatan Docker
<a href="#cb15-20" aria-hidden="true" tabindex="-1"></a>DOWN=$(docker ps --filter "status=exited" --format "{{.Names}}" | tr '\n' ', ')
<a href="#cb15-21" aria-hidden="true" tabindex="-1"></a>REPORT+="Kontena tidak aktif: ${DOWN:-Tiada}\n"
<a href="#cb15-22" aria-hidden="true" tabindex="-1"></a>
<a href="#cb15-23" aria-hidden="true" tabindex="-1"></a># Periksa sijil SSL
<a href="#cb15-24" aria-hidden="true" tabindex="-1"></a>EXPIRY=$(echo | openssl s_client -connect localhost:443 2>/dev/null | \
<a href="#cb15-25" aria-hidden="true" tabindex="-1"></a> openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2)
<a href="#cb15-26" aria-hidden="true" tabindex="-1"></a>REPORT+="Sijil SSL tamat: $EXPIRY\n"
<a href="#cb15-27" aria-hidden="true" tabindex="-1"></a>
<a href="#cb15-28" aria-hidden="true" tabindex="-1"></a># Hantar laporan
<a href="#cb15-29" aria-hidden="true" tabindex="-1"></a>echo -e "$REPORT" | curl -d @- http://ntfy.lab.local/security-report</code></pre></div>
<h2 id="langkah-7-keselamatan-fizikal">Langkah 7: Keselamatan Fizikal</h2>
Ramai orang lupa bab ni. Apa guna hardening SSH kalau seseorang boleh cabut hard disk anda dan bawa balik rumah?
<h3 id="perlindungan-fizikal">Perlindungan Fizikal</h3>
<pre><code>1. Lokasi selamat
 - Bilik berkunci jika boleh
 - Jauh dari kawasan lalu lintas tinggi

2. BIOS/UEFI
   - Tetapkan kata laluan BIOS
   - Lumpuhkan boot dari USB/CD

3. Penyulitan cakera penuh
   - LUKS untuk Linux
   - BitLocker untuk Windows
   - Melindungi data jika perkakasan dicuri

4. Label dan inventori
 - Senarai semua perkakasan
 - Nombor siri dicatat
 - Foto setup untuk dokumentasi</code></pre>
<blockquote>
Nota Beginner: Kalau homelab anda di bilik tidur, keselamatan fizikal mungkin bukan isu besar. Tapi kalau anda simpan data sensitif, sekurang-kurangnya pastikan cakera dienkripsi dengan LUKS.
</blockquote>
<h3 id="checklist-siap-bab-ini">Checklist Siap Bab Ini</h3>
<ul class="task-list">
<li><label><input type="checkbox" />Saya tahu perubahan hardening mana yang mahu dibuat dahulu.</label></li>
<li><label><input type="checkbox" />Saya sudah sediakan kaedah pemulihan sebelum ubah setting kritikal.</label></li>
<li><label><input type="checkbox" />Saya akan uji setiap perubahan satu demi satu.</label></li>
</ul>
<h2 id="ringkasan">Ringkasan</h2>
Bab keselamatan lanjutan ni memang berat sikit, tapi anda dah sampai penghujung. Tahniah! Jom recap:
<ul>
<li>Pengerasan SSH, firewall, dan kernel Linux — kuatkan barisan pertahanan</li>
<li>Audit keselamatan dengan Lynis dan OpenVAS — tahu di mana kelemahan anda</li>
<li>Pengurusan sijil SSL/TLS dan CA peribadi — HTTPS untuk semua, termasuk service dalaman</li>
<li>Backup disulitkan — lindungi data walaupun backup jatuh ke tangan salah</li>
<li>Pelan tindak balas insiden — sedia sebelum diperlukan</li>
<li>Pemantauan keselamatan berterusan — automatikkan semakan harian</li>
<li>Keselamatan fizikal — jangan lupa dunia nyata</li>
</ul>
Keselamatan adalah perjalanan, bukan destinasi. Tak ada satu hari pun anda boleh kata “dah selamat 100%.” Tapi dengan asas yang kukuh dan pemantauan yang konsisten, homelab anda akan jauh lebih selamat daripada kebanyakan setup di luar sana.
Seterusnya, kita akan masuk ke automasi dan pemantauan — bab yang akan buat hidup anda jauh lebih senang!

Batal