Bagi administrator server Linux, mengamankan akses SSH dan layanan publik dari serangan brute-force adalah kewajiban mutlak. Selama bert...
Bagi administrator server Linux, mengamankan akses SSH dan layanan publik dari serangan brute-force adalah kewajiban mutlak. Selama bertahun-tahun, Fail2ban telah menjadi standar de facto. Namun, di era serangan terdistribusi botnet modern, pendekatan lokal Fail2ban mulai menunjukkan keterbatasan karena hanya menganalisis log secara terisolasi pada satu mesin.
Kini hadir CrowdSec, sebuah open-source intrusion prevention system (IPS) modern yang memanfaatkan kekuatan intelijen komunitas global (crowd-sourced threat intelligence). Ketika sebuah IP penyerang terdeteksi menyerang salah satu server pengguna CrowdSec, IP tersebut akan dibagikan ke seluruh jaringan pengguna CrowdSec di dunia untuk diblokir secara otomatis.
1. Konsep Arsitektur CrowdSec: Agent & Remediation Bouncer
CrowdSec memisahkan proses deteksi dari proses pemblokiran untuk menjaga performa server tetap ringan:
- CrowdSec Security Engine (Agent): Membaca log layanan (SSH, Nginx, Docker, dll), menormalisasikannya via parsers, lalu mencocokkannya dengan skenario serangan.
- Remediation Component (Bouncer): Komponen eksekutor yang bertugas menerapkan sanksi (seperti drop paket firewall via nftables/iptables, captcha, atau custom action).
2. Langkah 1: Instalasi CrowdSec di Ubuntu Server 24.04 LTS
CrowdSec menyediakan repositori resmi Packagecloud untuk memastikan paket selalu mutakhir:
# Unduh dan jalankan skrip instalasi repositori resmi
curl -s https://install.crowdsec.net | sudo bash
# Pasang paket CrowdSec Security Engine
sudo apt install -y crowdsec
Setelah terpasang, CrowdSec akan otomatis mengenali log sistem standar Ubuntu dan mengaktifkan skenario perlindungan dasar seperti crowdsecurity/sshd dan crowdsecurity/linux.
3. Langkah 2: Memasang Firewall Remediation Bouncer (nftables)
Agar penyerang yang terdeteksi benar-benar diblokir di tingkat jaringan, kita wajib memasang remediation bouncer. Pada Ubuntu 24.04, backend firewall default adalah nftables:
# Pasang Firewall Bouncer berbasis nftables
sudo apt install -y crowdsec-firewall-bouncer-nftables
# Verifikasi status bouncer yang terdaftar
sudo cscli bouncers list
/etc/crowdsec/parsers/s02-enrich/my-whitelist.yaml.
4. Langkah 3: Mengelola & Monitoring Alert dengan CSCLI
CrowdSec dilengkapi perkakas CLI canggih bernama cscli untuk memantau ancaman secara real-time:
# Melihat daftar insiden serangan yang terdeteksi
sudo cscli alerts list
# Melihat daftar IP yang saat ini sedang aktif diblokir
sudo cscli decisions list
# Menambahkan IP mencurigakan secara manual ke daftar blokir (misal selama 24 jam)
sudo cscli decisions add --ip 198.51.100.25 --duration 24h --reason "Manual ban"
Kesimpulan
Migrasi dari Fail2ban ke CrowdSec di Ubuntu Server 24.04 memberikan proteksi proaktif yang jauh lebih tangguh. Dengan basis data reputasi global dan pemrosesan asinkron yang sangat hemat CPU, server Anda tetap terlindungi tanpa mengorbankan performa sistem.
COMMENTS