Security Center:Pertahanan terhadap serangan brute-force

Cara kerja

Anda dapat mengaktifkan pertahanan terhadap serangan brute-force dengan membuat kebijakan proteksi. Setelah kebijakan dibuat, jika jumlah upaya login gagal dari suatu alamat IP melebihi batas yang ditentukan dalam jangka waktu tertentu, kebijakan tersebut akan dipicu dan secara otomatis menghasilkan aturan pemblokiran IP yang muncul di tab System Rules. Aturan ini memblokir alamat IP tersebut agar tidak dapat login ke server selama periode yang ditentukan. Aturan ini secara otomatis diaktifkan saat dibuat dan tetap aktif selama durasi yang ditetapkan dalam kebijakan.

Buat kebijakan proteksi

Anda dapat membuat kebijakan proteksi untuk menentukan kondisi spesifik yang memicu tindakan pertahanan. Beberapa kebijakan dapat dikonfigurasi dan diterapkan pada server berbeda sesuai kasus penggunaannya.

1. Login ke Security Center console.

2. Di panel navigasi kiri, pilih Protection Configuration > Host Protection > Rule Management. Di pojok kiri atas konsol, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.

3. Di halaman Rule Management, klik tab Defense Policy.

4. Jika Anda belum memberikan otorisasi kepada Security Center untuk mengakses sumber daya cloud Anda, klik Authorize Now.

   Untuk informasi lebih lanjut tentang otorisasi, lihat Service-linked role for Security Center.

5. Klik Create Policy. Di panel Create Policy, konfigurasikan kebijakan proteksi.

   Security Center menyediakan kebijakan proteksi default: jika terdeteksi lebih dari 80 upaya login gagal pada satu server dalam waktu 10 menit, alamat IP sumber akan diblokir selama 6 jam. Anda dapat langsung menerapkan kebijakan default ini dengan memilih server target atau membuat kebijakan kustom dengan mengonfigurasi parameter yang dijelaskan dalam tabel berikut.

   Parameter	Deskripsi
   Policy Name	Masukkan nama untuk kebijakan proteksi.
   Defense Rule:	Tentukan kondisi yang memicu kebijakan. Jika jumlah upaya login gagal melebihi ambang batas dalam rentang waktu tertentu, alamat IP sumber akan diblokir selama periode yang ditentukan. Contoh: Jika terdapat lebih dari 3 upaya login gagal dalam 1 menit, blokir alamat IP tersebut selama 30 menit.
   Protection Scenario	Proteksi wajib: RDP Brute Force dan SSH Brute Force. Anda tidak dapat menghapus pilihan ini. Proteksi opsional: SQL Server Exposed Brute-Force Attack. Opsi ini membantu mengamankan database Anda dan melindungi data sensitif. Penting Agar skenario proteksi ini berlaku, Anda harus mengaktifkan opsi login auditing di SQL Server. Untuk informasi lebih lanjut, lihat Enable login auditing for SQL Server.
   Set as Default Policy	Menetapkan kebijakan ini sebagai default, yang secara otomatis diterapkan ke semua server yang tidak memiliki kebijakan proteksi lainnya. Catatan Jika Anda memilih Set as Default Policy, kebijakan ini berlaku untuk semua server tanpa kebijakan spesifik, terlepas dari apakah Anda memilih server apa pun di bagian Select a server:.
   Select a server:	Pilih server yang akan diterapkan kebijakan ini. Anda dapat memilih server yang dilindungi oleh Security Center atau memfilter server berdasarkan nama atau alamat IP.

6. Klik OK.

   Penting

   Setiap server hanya dapat memiliki satu kebijakan proteksi terhadap serangan brute-force.

   • Jika server yang dipilih untuk kebijakan ini belum memiliki kebijakan sebelumnya, kebijakan baru akan berhasil diterapkan.

   • Jika server yang dipilih sudah memiliki kebijakan dan Anda ingin menggantinya dengan yang baru, klik OK di kotak dialog Confirm Defense Rule Changes.

   • Jika Anda menerapkan kebijakan baru ke server yang sebelumnya dilindungi oleh kebijakan lain, jumlah server yang dilindungi oleh kebijakan sebelumnya akan berkurang.

Manajemen aturan sistem

Aturan sistem adalah aturan pemblokiran IP yang secara otomatis dihasilkan ketika kebijakan proteksi dipicu. Langkah-langkah berikut menjelaskan cara melihat, mengaktifkan, dan menonaktifkan aturan sistem.

1. Login ke Security Center console. Di panel navigasi kiri, pilih Protection Configuration > Host Protection > Rule Management. Di pojok kiri atas konsol, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.

2. Di halaman Rule Management, klik tab Defense Policy.

3. Di subtab System Rules, lakukan operasi yang diperlukan.

   • Lihat aturan sistem

     Anda dapat melihat IP yang diblokir, port, server yang terkena dampak, nama kebijakan, mekanisme pemblokiran, Valid Until, dan status setiap aturan. Security Center secara otomatis memilih mekanisme pemblokiran yang sesuai berdasarkan status instalasi client:

     • Security Center: Mengutamakan penggunaan agen Security Center untuk memblokir upaya login. Mekanisme ini digunakan secara otomatis jika Anda memiliki edisi Advanced, Enterprise, atau Ultimate dari Security Center dan sakelar Malicious Network Behavior Prevention diaktifkan. Untuk informasi tentang cara mengaktifkan sakelar Malicious Network Behavior Prevention, lihat Proactive Defense.

     • ECS Security Group: Saat aturan pemblokiran ini diaktifkan, aturan yang sesuai secara otomatis dibuat di security group. Aturan tersebut secara otomatis dihapus saat kedaluwarsa atau dinonaktifkan.

   • Aktifkan aturan sistem

     Untuk terus memblokir alamat IP, aktifkan sakelar di kolom Status. Mengaktifkan ulang aturan ini memperpanjang periode validitasnya menjadi dua jam sejak waktu pengaktifan ulang.

   • Nonaktifkan aturan sistem

     Jika Anda memastikan bahwa upaya login yang diblokir merupakan false positive, nonaktifkan aturan pemblokiran IP untuk mengizinkan akses. Matikan sakelar di kolom Status. Alamat IP dapat mengakses server lagi sekitar satu menit setelah aturan dinonaktifkan.

Manajemen aturan kustom

Anda dapat membuat aturan pemblokiran IP kustom untuk memblokir alamat IP berbahaya agar tidak mengakses aset cloud Anda sesuai kebutuhan bisnis.

1. Login ke Security Center console.

2. Di panel navigasi kiri, pilih Protection Configuration > Host Protection > Rule Management. Di pojok kiri atas konsol, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.

3. Di halaman Rule Management, klik tab Defense Policy.

4. Di subtab Custom Rules, lakukan operasi yang diperlukan.

   • Buat aturan pemblokiran IP kustom

     1. Jika Anda belum memberikan otorisasi kepada Security Center untuk mengakses sumber daya cloud Anda, klik Authorize Now.

        Untuk informasi lebih lanjut tentang otorisasi, lihat Service-linked role for Security Center.

     2. Klik Create Rule. Di panel Create IP Address Blocking Policy, konfigurasikan parameter dan klik OK.

        Parameter	Deskripsi
        Intercepted Object	Masukkan alamat IP yang akan diblokir.
        All Assets	Pilih server yang akan diterapkan aturan pemblokiran IP. Anda dapat memilih beberapa server. Anda juga dapat mencari server tertentu berdasarkan nama atau alamat IP-nya.
        Rule Direction	Tentukan arah trafik yang akan diblokir. Anda dapat memilih Inbound atau Outbound.
        Security Group	Menentukan security group untuk aturan pemblokiran IP. Nilai default-nya adalah Security Center Blocking Policy Group. Saat aturan diaktifkan, aturan yang sesuai secara otomatis dibuat di security group ini. Aturan tersebut secara otomatis dihapus saat kedaluwarsa atau dinonaktifkan.
        Expiration Time	Tentukan periode validitas untuk aturan tersebut. Setelah aturan kedaluwarsa, statusnya berubah menjadi Disabled.

        Setelah aturan pemblokiran IP kustom dibuat, status default-nya adalah Disabled. Anda harus mengaktifkan aturan tersebut secara manual agar berlaku.

   • Lihat daftar dan detail aturan pemblokiran IP kustom

     Di subtab Custom Rules, Anda dapat melihat IP yang diblokir, jumlah server yang terkena dampak, waktu kedaluwarsa, arah aturan, dan status setiap aturan. Anda dapat mengklik Details di kolom Actions suatu aturan untuk melihat daftar server yang terkena dampak serta memfilter daftar server berdasarkan status, seperti Disabled, Enabled, Enabling, atau Enabling failed.

   • Edit aturan pemblokiran IP kustom

     Temukan aturan yang ingin diedit dan klik Edit di kolom Actions. Di panel Edit IP Address Blocking Policy, Anda dapat mengubah aset yang terkena dampak dan waktu kedaluwarsa. Security Center kemudian menerapkan perubahan tersebut pada aturan pemblokiran IP.

     Anda hanya dapat mengedit aturan pemblokiran IP yang berstatus Disabled. Untuk mengedit aturan yang diaktifkan, Anda harus menonaktifkannya terlebih dahulu.

   • Aktifkan atau nonaktifkan aturan pemblokiran IP

     Anda dapat mengaktifkan aturan pemblokiran IP untuk alamat IP yang berisiko melakukan serangan brute-force. Jika Anda memastikan bahwa suatu aturan memblokir lalu lintas sah, Anda dapat menonaktifkannya. Setelah aturan dinonaktifkan, Security Center tidak lagi memblokir akses dari alamat IP yang ditentukan ke server Anda.

     • Aktifkan: Aktifkan sakelar Status, lalu klik OK pada kotak dialog Enable IP Address Blocking Policy. Aturan tersebut mulai berlaku dan statusnya berubah menjadi Enabling. Semakin banyak server yang menerapkan aturan ini, semakin lama proses Enabling berlangsung. Setelah diaktifkan, Security Center akan memblokir lalu lintas berbahaya sesuai ketentuan dalam aturan. Berikut adalah beberapa status yang mungkin muncul setelah pengaktifan aturan:

       • Enable Rule: Aturan pemblokiran gagal diaktifkan di semua server yang terkena dampak.

       • Partially Successful: Aturan pemblokiran berhasil diaktifkan di sebagian, tetapi tidak semua, server yang terkena dampak.

       Anda dapat mengklik Details di kolom Actions suatu aturan untuk melihat detail server yang terkena dampak. Di panel Effective Server, Anda dapat mengklik Retry di kolom Actions untuk server dengan status Enabling failed guna mencoba mengaktifkan ulang aturan tersebut.

       Catatan

       Jika Anda mengaktifkan aturan pemblokiran IP kustom yang telah kedaluwarsa, periode validitasnya diperpanjang menjadi dua jam sejak waktu pengaktifan ulang. Jika Anda perlu mengubah periode validitas, edit aturan tersebut sebelum mengaktifkannya.

     • Disable: Matikan sakelar Status, lalu klik OK di kotak dialog Disable IP Address Blocking Policy. Aturan pemblokiran IP menjadi tidak aktif, statusnya berubah menjadi Disabled, dan Security Center tidak lagi memblokir akses dari alamat IP yang ditentukan dalam aturan tersebut.

   • Hapus aturan pemblokiran IP kustom

     Anda dapat menghapus aturan yang berstatus Disabled. Klik Delete di kolom Actions aturan yang dituju, lalu klik OK di kotak dialog konfirmasi.

Aktifkan login auditing untuk SQL Server

Untuk mengaktifkan proteksi terhadap serangan brute-force SQL Server, Anda harus terlebih dahulu mengaktifkan login auditing di SQL Server untuk mencatat upaya autentikasi yang berhasil maupun gagal. Pencatatan informasi ini penting untuk mendeteksi dan mengonfirmasi serangan tebak password. Ikuti langkah-langkah berikut:

1. Buka SQL Server Management Studio dan hubungkan ke instans SQL Server Anda.

2. Di jendela Object Explorer di sebelah kiri, temukan instans SQL Server Anda, klik kanan, lalu pilih Properties.

3. Di menu kiri kotak dialog Server Properties, klik halaman Security.

4. Di bagian Login auditing pada halaman Security, pilih opsi Both failed and successful logins.

5. Klik OK dan restart instans SQL Server Anda agar perubahan berlaku.

Periksa serangan brute-force setelah eksposur port

Jika Port RDP 3389 pada server Windows Anda terbuka ke internet, Anda dapat menggunakan Event Viewer untuk menyelidiki apakah server mengalami serangan login brute-force atau apakah akun pengguna tidak sah telah dibuat.

Prasyarat: Gunakan Remote Desktop atau metode akses remote lainnya untuk login ke instans Windows Anda.

Prosedur:

1. Di bilah pencarian Windows, atau di kotak dialog Run (tekan Win+R), ketik eventvwr dan tekan Enter untuk membuka Event Viewer.

2. Di Event Viewer, perluas Windows Logs di panel navigasi kiri, lalu klik Security.

3. Untuk memeriksa serangan brute-force: Di log Security, filter atau cari Event ID 4625 (An account failed to log on). Volume tinggi entri Event ID 4625 dalam rentang waktu singkat merupakan indikator kuat bahwa serangan brute-force telah terjadi.

4. Untuk memeriksa pembuatan akun tidak sah: Di log Security, filter atau cari Event ID 4720 (A user account was created). Event ini menunjukkan bahwa akun pengguna Windows baru telah dibuat di server, yang mungkin mengindikasikan akses tidak sah.

5. (Opsional) Untuk investigasi yang lebih komprehensif, tinjau juga log System dan Application di bawah Windows Logs untuk mengidentifikasi aktivitas anomali lainnya.