Infrastructure Security: SSH, Port Security, Access Control List (ACL)

Tujuan pembelajaran

Sesuai RPS TL455 pertemuan 5, setelah mempelajari materi ini kamu mampu menjelaskan mekanisme SSH, Port Security, dan ACL. Ketiganya diterapkan langsung pada pertemuan 6 di Packet Tracer.

Bahan rujukan modul ini: Bab 10 (Infrastructure Security, hlm. 317 sampai 325) dan Bab 11 (Authentication and Remote Access, bagian remote access) buku *Principles of Computer Security: CompTIA Security+ and Beyond* (2021), ditambah Lab Exercise 9.03, 10.01, 10.02, dan 10.03 dari Lab Manual.

Pendahuluan: infrastruktur adalah target

Switch dan router membentuk tulang punggung jaringan; semua trafik melewati mereka. Buku menempatkan pertahanan di lapisan ini sebagai bagian infrastructure security: mengamankan perangkatnya (siapa boleh mengatur, lewat jalur apa) dan mengontrol trafiknya (siapa boleh berbicara dengan siapa). Tiga mekanisme di modul ini menjawab keduanya: SSH mengamankan akses pengaturan, Port Security mengunci port fisik, dan ACL memfilter arus paket.

SSH dan manajemen jarak jauh

Bab 11 menelusuri sejarahnya: Telnet (RFC 854, TCP port 23) adalah protokol terminal jarak jauh tertua, tapi ia meneruskan seluruh komunikasi, termasuk nama akun dan kata sandi, dalam cleartext (teks terbuka). Buku menegaskan: gagal mengontrol Telnet dengan firewall, access list, atau mematikannya sama dengan membiarkan pintu terbuka. Generasi penggantinya (r-commands seperti rlogin) juga masih mengirim sandi terbuka, hingga lahirlah SSH (Secure Shell).

Yang perlu kamu jelaskan dari Bab 11 tentang SSH:

• ▸SSH menggunakan TCP port 22; kanalnya terenkripsi dan menyediakan confidentiality sekaligus integrity protection.
• ▸SSH mendukung banyak algoritma: mulai SSH 1.0 dengan RSA, SSH 2.0 dengan 3DES, hingga pilihan modern seperti AES.
• ▸SCP (secure copy) dan SFTP (secure FTP) berjalan di atas SSH, sehingga ikut memakai port 22.
• ▸SSH keys (kunci kriptografi berbasis public key cryptography) dipakai untuk otomatisasi dan sistem single sign-on (SSO) administrator.
• ▸Lab 9.03 menambah sisi mekanismenya: klien SSH dan server (switch) menyepakati kunci simetris lewat Diffie-Hellman, sama seperti TLS yang kamu pelajari di pertemuan kriptografi.

Autentikasi perangkatnya juga berlapis, dan Lab 9.03 membedah semuanya: enable secret (disederhanakan sebagai hash untuk masuk privileged EXEC), kata sandi console (line con 0 + password + login), lalu upgrade ke username lokal (username ... + login local). Untuk organisasi besar, Bab 11 mencatat centralized authentication seperti RADIUS dan TACACS+.

Port Security dan serangan CAM overflow

Bab 10 menjelaskan perilaku switch yang kamu amati di pertemuan 4: switch belajar alamat host dari source MAC pada frame yang masuk, dan menyimpan pemetaan MAC ke port dalam tabel RAM yang disebut CAM table (juga SAT atau MAC address table). Kelemahannya: tabel itu berkapasitas terbatas. CAM overflow attack (alias MAC flooding attack) membanjiri port dengan ribuan MAC acak sampai tabel penuh, lalu switch terpaksa *flooding* semua trafik seperti hub lawas: penyerang bisa mengendus setiap frame; kerahasiaan (confidentiality) berisiko besar. Buku menyebut alat ujinya: macof dari paket dsniff.

Pertahanannya persis fitur port security, dengan tiga keputusan konfigurasi:

1. Cara mengizinkan MAC: *static* (ditulis manual, cocok untuk perangkat tetap), *dynamic* (dipelajari saat frame masuk), atau *sticky* (dipelajari lalu disimpan ke running-config agar bertahan reboot).
2. Maximum MAC per port: bawaannya 1. Lab 10.01 menjelaskan kapan lebih dari satu wajar: port menuju switch lain, VM (NIC virtual berbeda dari NIC fisik), atau telepon VoIP plus PC.
3. Mode pelanggaran (violation): shutdown (port langsung mati; SNMP trap dikirim; engineer harus menghidupkannya manual), restrict (port hidup, frame pelanggar dibuang, dicatat log dan bisa SNMP trap/syslog), dan protect (dibuang tanpa catat). Penilaian Lab 10.01 tegas: tidak ada alasan waras memakai protect, karena administrator tetap butuh tahu bahwa ada pelanggaran.

Buku juga memberi motivasi di luar serangan: organisasi yang menangani PII (rumah sakit, pemerintahan) ingin perangkat terlacak dan personal device terlarang; port security mencegah switch liar dicolok pengguna; dan kiosk/VoIP tidak bisa ditukar perangkat pribadi.

ACL: stateless packet filter pada router

Bab 10 menempatkan ACL dalam daftar mekanisme kerja firewall: NAT, basic packet filtering (stateless: tiap paket dinilai sendiri-sendiri berdasarkan header), stateful packet filtering (mengenali koneksi yang sedang berjalan), ACL, dan application layer proxy. Definisi buku: ACL adalah kumpulan aturan sederhana yang diterapkan pada nomor port dan alamat IP, dapat dikonfigurasi untuk trafik inbound dan outbound, dan paling umum dipakai di router serta switch.

Aturan main yang perlu kamu kuasai (digrounding Lab 10.02 dan 10.03):

1. Diproses berurutan dari baris pertama: begitu paket cocok dengan satu pernyataan, nasibnya diputuskan di situ; tidak ada percabangan. Lab 10.02 mengingatkan urutan yang salah bisa membalik hasil: yang seharusnya ditolak malah lolos.
2. Explicit deny any di akhir: setiap ACL diakhiri pernyataan "tolak semua" yang membuang paket yang tidak cocok dengan aturan mana pun. Karena itu baris permit eksplisit untuk trafik sah hampir selalu wajib.
3. Dua jenis: standard ACL hanya menilai source IP (cukup memeriksa satu field, cepat; dipasang sedekat mungkin dengan tujuan), sedangkan extended ACL menilai source IP, destination IP, protokol (wajib), dan port (opsional; ditempatkan dekat sumber). Biayanya latensi: tiap paket diuji terhadap lebih banyak field dan baris.
4. Arah penerapan: in atau out pada antarmuka tertentu; istilahnya dibalik konteksnya, dari sudut pandang router, bukan jaringan.
5. Wildcard mask: pada access-list 1 deny 10.1.0.0 0.0.255.255, angka 0.0.255.255 adalah wildcard yang menandai bit mana yang harus cocok (0) dan mana yang bebas (1).

Contoh nyata dari lab pertemuan 6: tolak seluruh subnet 10.1.0.0/16 menuju area server (access-list 1 deny 10.1.0.0 0.0.255.255 + permit any, dipasang out di antarmuka menuju server), atau blokir satu aliran spesifik: dari host tertentu ke host tertentu pada port tertentu (access-list 101 deny tcp 10.1.0.100 0.0.0.0 10.4.0.3 0.0.0.0 eq 80).

Rangkuman

• ▸Infrastruktur adalah target bernilai: amankan akses pengaturannya (SSH) dan kontrol trafiknya (Port Security, ACL).
• ▸Telnet meneruskan kredensial dalam cleartext di TCP 23; SSH mengenkripsi kanalnya di TCP 22 dan menyediakan confidentiality plus integrity.
• ▸Port Security menjawab CAM overflow/MAC flooding: tentukan cara mengizinkan MAC (static/dynamic/sticky), jumlah maksimum, dan mode pelanggaran (shutdown, restrict, protect).
• ▸ACL adalah stateless packet filter: diproses berurutan, diakhiri explicit deny any; standard melihat source saja, extended menilai source, destination, protokol, dan port.
• ▸Penempatan: standard dekat tujuan, extended dekat sumber; arah in/out dihitung dari sudut pandang router.

Glosarium mini

• ▸Telnet: protokol remote login lama di TCP 23 yang meneruskan semua data dalam cleartext.
• ▸SSH (Secure Shell): pengganti terenkripsi Telnet di TCP 22; menyediakan remote login, SCP, dan SFTP.
• ▸SVI (switched virtual interface): antarmuka VLAN pada switch yang diberi IP agar switch bisa diakses jarak jauh.
• ▸VTY (virtual teletype): jalur sesi administrasi jarak jauh (line vty) tempat kebijakan SSH diterapkan.
• ▸CAM overflow / MAC flooding: serangan memenuhi tabel MAC switch agar beralih ke flooding.
• ▸Sticky MAC: mode port security yang mengunci MAC yang dipelajari ke konfigurasi.
• ▸Wildcard mask: penanda bit cocok (0) dan bebas (1) pada alamat ACL, misalnya 0.0.255.255.
• ▸Explicit deny any: pernyataan tolak-semua di akhir setiap ACL.