Cara Install PortSentry di Ubuntu untuk Deteksi Port Scanning

Server VPS yang terhubung langsung ke internet selalu berpotensi menerima berbagai aktivitas jaringan, termasuk port scanning. Jika ingin mengetahui dan mendeteksi aktivitas tersebut, Anda dapat Install PortSentry di Ubuntu sebagai salah satu langkah untuk memantau koneksi mencurigakan pada port server.

PortSentry dapat mendeteksi aktivitas port scanning dan mengambil tindakan tertentu berdasarkan konfigurasi yang diterapkan, termasuk memblokir alamat IP menggunakan firewall. Dengan begitu, administrator dapat lebih cepat mengetahui adanya aktivitas pemindaian port pada server.

Pada artikel ini, Rumahweb akan membahas cara Install PortSentry di Ubuntu, mulai dari instalasi, pemilihan mode deteksi, konfigurasi pemblokiran menggunakan iptables, hingga pengujian untuk memastikan PortSentry berjalan dengan baik.

Ringkasan

• PortSentry dapat membantu mendeteksi aktivitas port scanning pada VPS dan memberikan respons berdasarkan konfigurasi yang diterapkan.
• Instalasi dilakukan pada VPS KVM Rumahweb dengan Ubuntu 22.04 dan telah diuji oleh tim teknis Rumahweb.
• Konfigurasi mencakup pemilihan mode deteksi, portsentry.conf, whitelist IP, serta integrasi dengan iptables untuk memblokir alamat IP yang terdeteksi.
• Setelah konfigurasi selesai, PortSentry dapat diuji dengan melakukan port scan dan memeriksa log serta aturan firewall pada VPS.
• PortSentry sebaiknya digunakan sebagai salah satu lapisan keamanan server, bukan sebagai satu-satunya mekanisme perlindungan.

Apa itu PortSentry ?

PortSentry adalah perangkat lunak atau software yang dirancang untuk mendeteksi aktivitas pemindaian port pada sistem Linux. PortSentry dapat memantau koneksi ke port tertentu, berdasarkan konfigurasi yang digunakan, serta menjalankan tindakan ketika mendeteksi aktivitas yang dianggap sebagai pemindaian.

Selain mencatat aktivitas, PortSentry juga memiliki mekanisme respons yang dapat digunakan untuk memblokir alamat IP sumber pemindaian. Salah satu metode yang tersedia adalah menjalankan aturan firewall seperti iptables melalui parameter KILL_ROUTE.

PortSentry menyediakan beberapa mode pemantauan. Mode basic memantau port yang ditentukan secara manual, sedangkan stealth dapat mendeteksi jenis pemindaian tertentu. Mode Advanced Stealth menggunakan port yang tidak digunakan sebagai bagian dari mekanisme deteksinya.

Dengan konfigurasi yang tepat, PortSentry dapat menjadi salah satu lapisan tambahan untuk memantau aktivitas jaringan pada VPS. Namun, PortSentry bukan pengganti sistem keamanan lain seperti pembaruan sistem, firewall, pengamanan SSH, dan pengelolaan akses pengguna.

Manfaat Menggunakan PortSentry

PortSentry dapat memberikan beberapa manfaat ketika digunakan pada VPS yang terhubung ke jaringan publik, di antaranya:

• Mendeteksi aktivitas pemindaian port. PortSentry dapat mengenali percobaan koneksi ke port yang dipantau dan mencatat aktivitas tersebut.
• Mendeteksi beberapa jenis stealth scan. Mode tertentu dapat digunakan untuk mendeteksi pemindaian yang memanfaatkan karakteristik paket TCP tertentu.
• Memberikan respons otomatis. PortSentry dapat menjalankan mekanisme pemblokiran ketika parameter BLOCK_TCP atau BLOCK_UDP diaktifkan.
• Terintegrasi dengan firewall. Parameter KILL_ROUTE dapat diarahkan ke perintah iptables untuk menambahkan aturan pemblokiran.
• Membantu proses pemantauan server. Log PortSentry dapat digunakan untuk melihat alamat IP yang memicu mekanisme deteksi.

Perlu diperhatikan bahwa pemblokiran otomatis memiliki risiko false positive. Dokumentasi PortSentry versi terbaru bahkan merekomendasikan penggunaan alat eksternal seperti Fail2ban untuk kebutuhan pemblokiran yang lebih kompleks. Karena itu, aktifkan fitur auto blocking setelah memahami konfigurasi dan risiko terhadap layanan yang berjalan pada VPS.

Cara Install PortSentry di Ubuntu

Pada panduan ini, kami menggunakan VPS KVM Rumahweb dengan sistem operasi Ubuntu 22.04 sebagai lingkungan pengujian. Seluruh langkah instalasi dan konfigurasi PortSentry telah diuji oleh tim teknis Rumahweb untuk memastikan panduan dapat diterapkan sesuai langkah yang dijelaskan.

Sebelum memulai, pastikan Anda memiliki VPS Ubuntu dengan akses SSH dan hak sudo. Karena konfigurasi PortSentry dapat melibatkan aturan firewall, gunakan koneksi yang stabil dan pastikan Anda memiliki akses alternatif ke server jika terjadi kesalahan konfigurasi.

Step 1. Terhubung ke VPS melalui SSH

Langkah pertama adalah menghubungkan ke VPS menggunakan protokol SSH. Buka terminal, kemudian jalankan perintah berikut:

ssh username@IP_VPS_ANDA

Ganti username dengan nama pengguna VPS Anda, misalnya root atau pengguna yang memiliki akses sudo. Selanjutnya, ganti IP_VPS_ANDA dengan alamat IP publik VPS Anda. Detail cara login VPS SSH dapat Anda ikuti pada artikel berikut: Cara Login VPS SSH

Step 2. Memperbarui Repositori Sistem

Sebelum menginstal paket perangkat lunak baru, pastikan repositori sistem dan paket yang terpasang sudah menggunakan versi terbaru:

sudo apt update && sudo apt upgrade -y

Step 3. Mengaktifkan Repositori Universe dan install PortSentry

Paket PortSentry tersedia di repositori Universe Ubuntu. Jika menggunakan Ubuntu yang mendukung repositori tersebut, Anda dapat install PortSentry melalui package manager `apt`. Instal PortSentry menggunakan perintah:

sudo apt install portsentry -y

Setelah instalasi selesai, Ubuntu akan membuat direktori konfigurasi PortSentry di: /etc/portsentry/. Direktori tersebut nantinya digunakan untuk menyimpan file konfigurasi PortSentry.

Step 4. Memilih Mode Deteksi PortSentry

PortSentry menyediakan beberapa mode deteksi jaringan yang dapat disesuaikan dengan kebutuhan:

1. Basic Mode (tcp / `udp): Memantau port tertentu yang didaftarkan secara manual pada file konfigurasi.
2. Stealth Mode (stcp / sudp): Mendeteksi pemindaian tersembunyi yang memanfaatkan manipulasi flag TCP.
3. Advanced Stealth Mode (atcp / audp): Mode yang direkomendasikan untuk memantau port yang tidak digunakan (unbound ports) di bawah nomor 1024 tanpa perlu mendaftarkan setiap nomor port secara manual.

Untuk mengaktifkan mode Advanced Stealth, buka file konfigurasi PortSentry dengan perintah:

sudo nano /etc/default/portsentry

Selanjutnya, cari parameter TCP_MODE dan UDP_MODE, kemudian ubah nilainya menjadi:

TCP_MODE="atcp"
UDP_MODE="audp"

Simpan perubahan dengan menekan Ctrl + O, lalu tekan Enter. Setelah itu, keluar dari editor dengan menekan Ctrl + X.

Step 5. Mengonfigurasi portsentry.conf

File /etc/portsentry/portsentry.conf berisi pengaturan untuk menentukan cara PortSentry mendeteksi pemindaian port dan memberikan respons ketika menemukan aktivitas mencurigakan.

Buka file konfigurasi utama dengan perintah berikut:

sudo nano /etc/portsentry/portsentry.conf

Selanjutnya, lakukan penyesuaian pada beberapa parameter penting berikut.

1. Mengaktifkan Pemblokiran Otomatis

Cari parameter BLOCK_UDP dan BLOCK_TCP. Secara default, keduanya bernilai 0, sehingga PortSentry hanya mencatat kejadian tanpa melakukan pemblokiran. Ubah nilainya menjadi 1 untuk mengaktifkan pemblokiran otomatis:

BLOCK_UDP="1"
BLOCK_TCP="1"

2. Mengatur Pemblokiran Firewall dengan IPTables

PortSentry menggunakan parameter KILL_ROUTE untuk menjalankan perintah pemblokiran. Pada konfigurasi default, terdapat perintah route yang sudah tidak umum digunakan pada sistem Linux modern. Nonaktifkan perintah tersebut dengan menambahkan tanda komentar (#) di awal baris:

#KILL_ROUTE="/sbin/route add -host $TARGET$ reject"

Kemudian, cari bagian KILL_ROUTE — IPTables dan aktifkan perintah berikut dengan menghapus tanda komentar (#):

KILL_ROUTE="/sbin/iptables -I INPUT -s $TARGET$ -j DROP"

3. Mengatur SCAN_TRIGGER

Cari parameter berikut:

SCAN_TRIGGER="0"

Nilai 0 membuat PortSentry langsung memicu tindakan pemblokiran ketika mendeteksi percobaan pemindaian, tanpa menunggu beberapa kali percobaan.

4. Menentukan Port yang Dikecualikan

Pada mode Advanced Stealth, PortSentry memantau port yang tidak digunakan. Oleh karena itu, port yang digunakan oleh layanan publik perlu dimasukkan ke dalam daftar pengecualian agar tidak dianggap sebagai aktivitas pemindaian.

Cari parameter berikut dan sesuaikan dengan layanan yang digunakan pada VPS:

ADVANCED_EXCLUDE_TCP="22,80,443"
ADVANCED_EXCLUDE_UDP="53"

Catatan: Jika Anda menggunakan port SSH selain port standar 22, misalnya 2222, tambahkan port tersebut ke ADVANCED_EXCLUDE_TCP.

Setelah semua konfigurasi selesai, simpan perubahan dengan menekan Ctrl + O, lalu tekan Enter. Keluar dari editor dengan menekan Ctrl + X.

Step 6. Mencegah Terblokir Sendiri dengan Whitelist IP

Langkah ini penting untuk mencegah PortSentry memblokir alamat IP Anda sendiri saat mengelola VPS. Tambahkan alamat IP yang dipercaya ke daftar whitelist, terutama alamat IP publik yang digunakan untuk mengakses server.

Pada Ubuntu, file /etc/portsentry/portsentry.ignore dapat dibuat ulang secara otomatis ketika service PortSentry dijalankan. Oleh karena itu, tambahkan alamat IP secara permanen melalui file portsentry.ignore.static:

sudo nano /etc/portsentry/portsentry.ignore.static

Tambahkan alamat IP yang ingin dikecualikan pada baris paling bawah, misalnya:

127.0.0.1/32
0.0.0.0
IP_VPS_ANDA
IP_PUBLIK_KONEKSI_ANDA

Ganti IP_VPS_ANDA dengan alamat IP VPS dan IP_PUBLIK_KONEKSI_ANDA dengan alamat IP publik koneksi internet yang Anda gunakan untuk mengakses VPS.

Anda juga dapat menambahkan IP ke daftar whitelist menggunakan perintah bawaan PortSentry:

sudo /usr/lib/portsentry/portsentry-add-ip IP_PUBLIK_KONEKSI_ANDA

Tips: Untuk mengetahui alamat IP publik koneksi internet Anda, Anda dapat menggunakan layanan seperti IPkamu.com atau https://whatismyipaddress.com/ melalui browser.

Setelah selesai, simpan perubahan dengan menekan Ctrl + O, tekan Enter, lalu keluar dari editor dengan menekan Ctrl + X.

Step 7. Menjalankan dan Mengaktifkan Service PortSentry

Setelah seluruh konfigurasi selesai, restart service PortSentry untuk menerapkan perubahan:

sudo systemctl restart portsentry

Selanjutnya, aktifkan PortSentry agar otomatis berjalan setiap kali VPS dinyalakan:

sudo systemctl enable portsentry

Periksa status layanan untuk memastikan PortSentry berjalan dengan normal:

sudo systemctl status portsentry

Jika berhasil, status layanan akan ditampilkan sebagai active (running). Tekan Q untuk keluar dari tampilan status dan kembali ke terminal.

Pengujian PortSentry

Setelah instalasi dan konfigurasi selesai, lakukan pengujian untuk memastikan PortSentry dapat mendeteksi aktivitas pemindaian dan menjalankan tindakan yang telah dikonfigurasi.

Sebaiknya lakukan pengujian dari komputer atau jaringan yang berbeda. Misalnya, Anda dapat menggunakan koneksi data seluler sebagai jaringan penguji.

Peringatan: Pastikan alamat IP komputer penguji tidak terdapat dalam portsentry.ignore.static. Jika alamat IP penguji masuk whitelist, PortSentry memang akan mengabaikan aktivitas tersebut sehingga pengujian tidak memberikan hasil yang diharapkan.

Melakukan Port Scan dari Komputer Penguji

Dari komputer penguji, jalankan pemindaian menggunakan Nmap:

nmap -sS -p 1-100 IP_VPS_ANDA

Anda juga dapat menguji salah satu port tertutup yang dipantau PortSentry menggunakan Netcat:

nc -zv IP_VPS_ANDA 81

Memeriksa Log Deteksi di VPS

Setelah melakukan pengujian, masuk ke VPS dan periksa log PortSentry menggunakan:

sudo journalctl -u portsentry -e

Memeriksa Aturan Blokir IPTables

Selanjutnya, periksa aturan iptables untuk memastikan alamat IP penguji telah diblokir:

sudo iptables -L INPUT -v -n

Pada chain INPUT, seharusnya terdapat aturan dengan target DROP yang mengarah ke alamat IP penguji. Jika aturan tersebut muncul, berarti PortSentry berhasil menambahkan pemblokiran IP secara otomatis melalui iptables.

FAQ

Berikut adalah beberapa pertanyaan popular tentang pengertian dan cara install PortSentry di Ubuntu.

Penutup

Dengan Install PortSentry di Ubuntu, Anda dapat menambahkan lapisan keamanan untuk mendeteksi dan merespons aktivitas port scanning pada VPS. Namun, PortSentry sebaiknya tetap digunakan bersama langkah keamanan lain, seperti pembaruan sistem, pembatasan akses SSH, konfigurasi firewall, dan pemantauan log.

Jika membutuhkan VPS dengan akses sistem yang fleksibel untuk menjalankan aplikasi sekaligus melakukan konfigurasi keamanan seperti PortSentry, VPS Indonesia Rumahweb dapat menjadi pilihan sesuai kebutuhan server Anda.