Security Center：Pertahanan terhadap serangan brute-force

Cara kerjanya

Anda dapat membuat aturan pertahanan terhadap serangan brute-force. Jika jumlah kegagalan login dari alamat IP ke server tempat aturan diterapkan melebihi batas tertentu selama periode statistik tertentu, aturan pertahanan akan dipicu dan kebijakan pemblokiran alamat IP dihasilkan secara otomatis. Permintaan login dari alamat IP tersebut diblokir selama periode penonaktifan yang ditentukan. Anda dapat melihat alamat IP pada tab System Rules di halaman Pertahanan Terhadap Serangan Brute-force. Kebijakan pemblokiran alamat IP diaktifkan secara otomatis dan berlaku selama periode penonaktifan aturan pertahanan.

Buat aturan pertahanan terhadap serangan brute-force

Anda dapat membuat aturan pertahanan untuk menentukan kondisi yang memicu perlindungan terhadap serangan brute-force. Anda juga dapat membuat beberapa aturan pertahanan terhadap serangan brute-force untuk server berdasarkan skenario yang berbeda.

1. Masuk ke konsol Security Center. Di bilah navigasi atas, pilih wilayah aset yang ingin Anda kelola. Wilayah berikut didukung: China dan Outside China.

2. Di panel navigasi sisi kiri, arahkan ke Protection Configuration > Host Protection > Host-specific Rule Management.

3. Di halaman Host-specific Rule Management, klik tab Defense Against Brute-force Attacks.

4. Jika Anda belum memberikan otorisasi kepada Security Center untuk mengakses sumber daya cloud Anda, klik Authorize Immediately.

   Untuk informasi lebih lanjut, lihat Peran terkait layanan untuk Security Center.

5. Di tab Kebijakan Pertahanan, klik Create Policy. Di panel Create Policy, konfigurasikan parameter.

6. Security Center menyediakan pengaturan default berikut di panel Buat Aturan: Jika jumlah kegagalan login dari alamat IP ke server yang sama mencapai 80 dalam 10 menit, alamat IP tersebut diblokir selama 6 jam. Jika Anda ingin mempertahankan pengaturan default, Anda dapat langsung memilih server. Jika Anda ingin membuat aturan kustom, Anda dapat mengonfigurasi parameter berikut.

   Parameter	Deskripsi
   Policy Name	Masukkan nama untuk aturan pertahanan.
   Defense Rule:	Tentukan kondisi pemicu untuk aturan pertahanan. Jika jumlah kegagalan login dari alamat IP ke server tempat aturan pertahanan diterapkan melebihi batas selama periode statistik, aturan pertahanan memblokir alamat IP selama periode penonaktifan. Sebagai contoh, jika jumlah kegagalan login dari alamat IP melebihi 3 dalam 1 menit, alamat IP tersebut diblokir selama 30 menit.
   Protection Scenario	Wajib: RDP Brute-force Attack dan SSH Brute-force Attack. Opsional: SQL Server Brute-force Attack, yang sangat penting untuk meningkatkan keamanan database dan melindungi data sensitif. Penting Fitur pencatatan login harus diaktifkan di SQL Server sebelum skenario perlindungan ini dapat berlaku. Untuk instruksi lebih lanjut, lihat Aktifkan fitur pencatatan login di SQL Server.
   Set as Default Policy	Tentukan apakah akan menetapkan aturan pertahanan sebagai aturan pertahanan default. Jika Anda memilih Tetapkan Sebagai Kebijakan Default, server yang tidak dilindungi oleh aturan pertahanan menggunakan aturan pertahanan tersebut. Catatan Jika Anda memilih Set as Default Policy, aturan pertahanan berlaku untuk semua server yang tidak dilindungi oleh aturan pertahanan, terlepas dari apakah Anda memilih server di bagian Select Server(s):.
   Select Server(s):	Pilih server yang ingin Anda lindungi dengan aturan pertahanan. Anda dapat memilih server dari daftar server atau mencari server berdasarkan nama server atau alamat IP server.

7. Klik OK.

   Penting

   Anda hanya dapat membuat satu aturan pertahanan terhadap serangan brute-force untuk setiap server.

   • Jika server yang dipilih tidak dilindungi oleh aturan pertahanan, aturan pertahanan yang Anda buat akan berlaku.

   • Jika server yang dipilih dilindungi oleh aturan pertahanan dan Anda ingin menerapkan aturan pertahanan yang Anda buat ke server tersebut, baca dan konfirmasikan informasi di pesan Confirm Changes, dan klik OK.

   • Jika Anda membuat aturan untuk server tempat aturan pertahanan yang ada diterapkan, jumlah server tempat aturan pertahanan yang ada diterapkan berkurang.

Kelola aturan sistem

Aturan sistem mengacu pada kebijakan pemblokiran alamat IP yang dihasilkan secara otomatis setelah aturan pertahanan terhadap serangan brute-force dipicu. Anda dapat melakukan operasi berikut untuk melihat, mengaktifkan, dan menonaktifkan aturan sistem:

1. Masuk ke konsol Security Center. Di bilah navigasi atas, pilih wilayah aset yang ingin Anda kelola. Wilayah berikut didukung: China dan Outside China. Di panel navigasi sisi kiri, pilih Protection Configuration > Host Protection > Host-specific Rule Management.

2. Di halaman Host-specific Rule Management, klik tab Brute-force attacks protection.

3. Di tab System Rules, lakukan operasi berikut:

   • Lihat informasi tentang aturan sistem

     Anda dapat melihat informasi berikut: alamat IP yang diblokir, port, server efektif, nama aturan, mode intersepsi, periode validitas, dan status. Server efektif mengacu pada server tempat aturan diterapkan. Security Center mengaktifkan mekanisme intersepsi yang berbeda berdasarkan apakah Plugin AliNet diinstal. Daftar berikut menjelaskan mekanisme intersepsi:

     • Security Center: Mekanisme intersepsi ini menggunakan Plugin AliNet. Jika Anda menggunakan edisi Advanced, Enterprise, atau Ultimate dari Security Center dan mengaktifkan fitur Malicious Network Behavior Prevention, Security Center secara otomatis menggunakan Plugin AliNet untuk memblokir login. Untuk informasi lebih lanjut tentang cara mengaktifkan fitur Malicious Network Behavior Prevention, lihat Pertahanan Proaktif.

     • ECS Security Group: Saat Anda mengaktifkan aturan sistem, aturan grup keamanan dibuat secara otomatis. Jika aturan sistem kedaluwarsa atau dinonaktifkan, aturan grup keamanan dihapus secara otomatis.

   • Aktifkan aturan sistem

     Jika aturan sistem dinonaktifkan, Anda dapat menghidupkan sakelar di kolom Status untuk mengaktifkan aturan sistem. Kemudian, Security Center terus memblokir login dari alamat IP yang ditentukan dalam aturan sistem. Aturan berlaku selama 2 jam setelah diaktifkan.

   • Nonaktifkan aturan sistem

     Jika aturan sistem diaktifkan dan Anda yakin bahwa pemblokiran alamat IP yang ditentukan dalam aturan sistem adalah positif palsu, Anda dapat menonaktifkan aturan untuk mengizinkan login dari alamat IP tersebut. Untuk menonaktifkan aturan, matikan sakelar di kolom Status. Setelah sekitar 1 menit, percobaan login dari alamat IP diizinkan.

Kelola aturan kustom

Anda dapat membuat kebijakan pemblokiran alamat IP kustom untuk memblokir akses dari alamat IP jahat ke aset cloud Anda. Untuk mengelola kebijakan pemblokiran alamat IP kustom, lakukan operasi berikut:

1. Masuk ke konsol Security Center. Di bilah navigasi atas, pilih wilayah aset yang ingin Anda kelola. Wilayah berikut didukung: China dan Outside China.

2. Di panel navigasi sisi kiri, arahkan ke Protection Configuration > Host Protection > Host-specific Rule Management.

3. Di halaman Host-specific Rule Management, klik tab Brute-force attacks protection.

4. Di tab Custom Rules, lakukan operasi berikut:

   • Buat kebijakan pemblokiran alamat IP kustom

     1. Jika Anda belum memberikan otorisasi kepada Security Center untuk mengakses sumber daya cloud Anda, klik Authorize Immediately.

        Untuk informasi lebih lanjut, lihat Peran terkait layanan untuk Security Center.

     2. Klik Create Whitelist Rule. Di panel Create IP Address Blocking Policy, konfigurasikan parameter dan klik OK. Tabel berikut menjelaskan parameter.

        Parameter	Deskripsi
        Intercepted Object	Alamat IP yang ingin Anda blokir.
        All Assets	Server tempat Anda ingin kebijakan pemblokiran alamat IP berlaku. Anda dapat memilih beberapa server. Anda juga dapat memasukkan nama server atau alamat IP server di kotak pencarian untuk mencari server.
        Rule Direction	Arah lalu lintas yang ingin Anda blokir. Nilai valid: Inbound dan Outbound.
        Security Group	Grup keamanan yang terkait dengan kebijakan pemblokiran alamat IP. Nilai default: Cloud Security Center Block Group. Saat Anda mengaktifkan kebijakan, aturan blokir dibuat secara otomatis di grup keamanan. Jika kebijakan kedaluwarsa atau dinonaktifkan, aturan di grup keamanan dihapus secara otomatis.
        Expiration Time	Waktu kedaluwarsa kebijakan. Setelah kebijakan kedaluwarsa, status kebijakan berubah menjadi Disabled.

        Secara default, kebijakan pemblokiran alamat IP baru berada dalam status Disabled. Anda harus mengaktifkan kebijakan secara manual.

   • Lihat kebijakan pemblokiran alamat IP kustom dan detail kebijakan pemblokiran alamat IP kustom

     Di tab Custom Rules, Anda dapat melihat informasi berikut tentang setiap kebijakan pemblokiran alamat IP kustom: alamat IP yang diblokir, server efektif, waktu kedaluwarsa, arah aturan, dan status. Anda juga dapat mengklik Detail di kolom Tindakan kebijakan untuk masuk ke panel Server Efektif. Di panel ini, Anda dapat melihat server tempat kebijakan berlaku. Anda dapat memfilter server berdasarkan status, seperti Dinonaktifkan, Diaktifkan, Mengaktifkan, dan Aktifkan Aturan.

   • Edit kebijakan pemblokiran alamat IP kustom

     Temukan kebijakan pemblokiran alamat IP yang ingin Anda edit dan klik Edit di kolom Actions. Di panel Edit IP Address Blocking Policy, ubah parameter Semua Aset dan Tanggal Kedaluwarsa dan klik OK. Setelah pengubahan, Security Center memblokir permintaan akses dari alamat IP berdasarkan pengaturan baru kebijakan.

     Anda hanya dapat mengedit kebijakan jika kebijakan tersebut berada dalam status Dinonaktifkan. Jika Anda ingin mengedit kebijakan yang berada dalam status Diaktifkan, Anda harus menonaktifkan kebijakan terlebih dahulu.

   • Aktifkan atau nonaktifkan kebijakan pemblokiran alamat IP

     Anda dapat mengonfigurasi kebijakan pemblokiran alamat IP untuk alamat IP yang kemungkinan besar digunakan untuk meluncurkan serangan brute-force. Jika lalu lintas normal diblokir oleh kebijakan, Anda dapat menonaktifkan kebijakan. Setelah Anda menonaktifkan kebijakan, Security Center tidak lagi memblokir permintaan dari alamat IP tersebut.

     • Aktifkan: Untuk mengaktifkan kebijakan pemblokiran alamat IP, hidupkan sakelar di kolom Status. Di pesan Enable IP Policies, klik OK. Kemudian, kebijakan mulai berlaku, dan status kebijakan berubah menjadi Enabling. Lamanya waktu kebijakan berada dalam status Mengaktifkan meningkat seiring dengan jumlah server efektif. Security Center memblokir lalu lintas jahat berdasarkan kebijakan. Setelah Anda mengaktifkan kebijakan, kebijakan mungkin berada dalam salah satu status berikut:

       • Enable Rule: Kebijakan pemblokiran alamat IP tidak berlaku untuk semua server yang dipilih.

       • Partially Successful: Kebijakan pemblokiran alamat IP hanya berlaku untuk beberapa server yang dipilih.

       Untuk melihat detail server efektif, klik Details di kolom Tindakan. Di panel Effective Server, temukan server yang berada dalam status Aktifkan Aturan dan klik Retry di kolom Actions untuk mengaktifkan kebijakan.

       Catatan

       Jika Anda mengaktifkan kebijakan pemblokiran alamat IP kustom dan kebijakan tersebut kedaluwarsa, kebijakan berlaku selama 2 jam setelah titik waktu Anda mengaktifkan kebijakan. Jika Anda ingin mengubah periode validitas kebijakan, kami sarankan Anda memodifikasi kebijakan sebelum Anda mengaktifkan kebijakan.

     • Disable: Untuk menonaktifkan kebijakan pemblokiran alamat IP, matikan sakelar di kolom Status. Di pesan Disable IP Policies, klik OK. Kemudian, kebijakan menjadi tidak valid, dan status kebijakan berubah menjadi Disabled. Security Center tidak lagi memblokir permintaan dari alamat IP yang ditentukan dalam kebijakan.

   • Hapus kebijakan pemblokiran alamat IP kustom

     Anda dapat menghapus kebijakan pemblokiran alamat IP yang berada dalam status Disabled. Untuk menghapus kebijakan, klik Delete di kolom Tindakan. Di pesan yang muncul, klik OK.