Jasa Setting Firewall & Hardening Keamanan Mikrotik

Yang dikerjakan dalam paket ini

• Audit kondisi sekarang: daftar layanan yang terbuka, aturan NAT warisan, pengguna aktif, versi RouterOS, dan celah yang sudah diketahui pada versi tersebut.
• Penataan chain input dengan kebijakan akhir drop, disusun berlapis sehingga akses administrasi hanya mungkin dari sumber yang didaftarkan.
• Aturan RAW untuk membuang paket cacat dan trafik dari alamat yang tidak semestinya, sebelum masuk connection tracking. Ini yang menjaga memori router saat ada banjir paket.
• Penangkal percobaan login berulang: alamat yang gagal masuk beberapa kali otomatis masuk daftar terlarang dengan masa kedaluwarsa.
• Pembatasan laju koneksi baru per alamat sumber, untuk menahan pemindaian dan percobaan masuk beruntun.
• Pemblokiran situs sesuai kebutuhan Anda: berbasis DNS, address-list, atau nama host pada koneksi terenkripsi, dengan penjelasan kelebihan dan keterbatasan masing-masing.
• Pemisahan jaringan tamu dari jaringan internal, sehingga perangkat tamu tidak bisa menjangkau komputer kerja dan berkas bersama.
• Checklist hardening 20 titik dijalankan penuh, termasuk mematikan layanan tak terpakai, mengganti port administrasi, dan menonaktifkan pengguna admin bawaan.
• Backup terjadwal yang salinannya dikirim ke luar router, dan diuji sekali pemulihannya.

Enam temuan yang paling sering muncul saat audit

Daftar ini disusun dari pekerjaan audit yang kami lakukan. Kalau Anda ingin memeriksa sendiri lebih dulu, enam hal ini yang paling layak dilihat pertama.

• Kebijakan chain input masih accept. Artinya semua yang tidak dilarang diperbolehkan, dan yang dilarang hanya yang kebetulan terpikirkan. Urutannya harus dibalik.
• Port WinBox 8291 terbuka ke seluruh internet. Ini menjelaskan kenapa log penuh percobaan login dari alamat asing. Mengganti port saja belum cukup, aksesnya harus dibatasi daftar alamat.
• Pengguna admin bawaan masih ada dan masih aktif, hanya diganti kata sandinya. Nama pengguna yang sudah diketahui semua orang memotong separuh pekerjaan penyerang.
• Aturan NAT warisan yang lupa dihapus. Port forwarding yang dibuat bertahun lalu untuk satu keperluan sementara, masih terbuka sampai sekarang, mengarah ke perangkat yang sudah tidak ada.
• Layanan telnet, ftp, api, dan www masih menyala padahal tidak dipakai. Setiap layanan yang menyala adalah satu pintu tambahan yang harus dijaga.
• Tidak ada backup, atau ada tapi belum pernah dicoba dipulihkan. Backup yang belum diuji bukan backup, hanya berkas yang menenangkan hati.

Cara memblokir situs, dan batasnya

Pemblokiran situs sering diminta, dan sering juga hasilnya tidak sesuai harapan karena metodenya tidak cocok dengan tujuannya. Ini perbandingan jujurnya.

• Pendekatan yang paling awet biasanya gabungan: paksa semua permintaan DNS lewat router, pakai DNS penyaring untuk daftar besar, lalu tambahkan address-list untuk hal spesifik yang memang harus pasti tertutup.

Apa yang bisa dan tidak bisa dijanjikan

Kami lebih memilih menyampaikan batas ini di awal. Keamanan jaringan bukan keadaan yang selesai sekali dikerjakan, tapi kebiasaan yang dijaga.

Setelah pekerjaan selesai

Pengamanan yang tidak dirawat akan menua. Tiga hal berikut yang kami sarankan dilanjutkan, dan bisa Anda kerjakan sendiri maupun diambil sebagai kontrak perawatan.

• Tinjau daftar aturan NAT setiap kali ada perangkat atau layanan yang dipensiunkan. Ini sumber celah nomor satu dalam jangka panjang.
• Perbarui RouterOS secara terencana, bukan menunggu ada masalah. Baca catatan perubahannya, jadwalkan di luar jam sibuk, siapkan netinstall.
• Periksa log percobaan login sebulan sekali. Kalau ada pola baru, aturannya perlu disesuaikan.