Ancaman terhadap server jarang berupa serangan canggih yang menargetkan Anda secara khusus. Sebagian besar berupa percobaan otomatis yang berjalan terus-menerus ke seluruh internet, mencari satu hal yang sama: sesuatu yang lupa diperbarui atau lupa dikunci.
Dari Mana Serangan Biasanya Masuk
Kenyataan yang paling perlu dipahami: sebagian besar website yang diretas bukan ditembus lewat servernya, melainkan lewat aplikasi yang berjalan di atasnya.
Plugin usang, tema bajakan, dan versi WordPress yang tidak pernah diperbarui adalah jalan masuk yang jauh lebih sering dipakai daripada celah di sistem operasi. Ini penting karena menentukan ke mana usaha Anda sebaiknya diarahkan — memperkeras server sementara plugin dibiarkan usang adalah menjaga pintu depan sambil membiarkan jendela terbuka.
Ancaman yang Paling Sering Terjadi
Tujuh jenis berikut mencakup hampir semua kejadian nyata pada website dan server berskala biasa.
- Percobaan masuk paksa (brute force). Program otomatis mencoba ribuan kombinasi nama pengguna dan kata sandi di halaman login atau di port SSH. Sasarannya kata sandi lemah dan nama pengguna yang bisa ditebak.
- Pemanfaatan celah pada perangkat lunak usang. Begitu sebuah celah diumumkan, pemindaian otomatis mencari situs yang belum menambalnya. Jeda antara pengumuman dan percobaan sering hanya hitungan hari.
- Penyusupan lewat berkas yang diunggah. Formulir unggah yang tidak memeriksa jenis berkas bisa dipakai memasukkan skrip yang kemudian dijalankan di server.
- Injeksi SQL. Masukan pengguna yang tidak disaring dipakai untuk membaca atau mengubah isi database.
- Serangan lintas situs (XSS). Skrip berbahaya disisipkan ke halaman dan dijalankan di browser pengunjung, biasanya untuk mencuri sesi login.
- Serangan membanjiri layanan (DDoS). Permintaan dalam jumlah sangat besar dikirim bersamaan sampai server tidak sanggup melayani pengunjung asli.
- Kredensial yang bocor. Kata sandi FTP atau database yang tersimpan di berkas konfigurasi, atau di komputer yang terinfeksi. Ini bukan penembusan server sama sekali, tetapi hasilnya sama.
Tanda Server atau Website Sudah Disusupi
Sering kali pemilik baru menyadarinya setelah pihak ketiga memberi tahu, padahal tandanya sudah muncul lebih dulu.
- Berkas baru yang tidak Anda buat, terutama berkas PHP di folder unggahan.
- Akun administrator asing di panel aplikasi.
- Pemakaian sumber daya melonjak tanpa kenaikan pengunjung — server sering dipakai mengirim spam.
- Peringatan dari mesin pencari atau browser bahwa situs berbahaya.
- Pengalihan aneh yang hanya muncul bagi pengunjung dari mesin pencari atau dari ponsel.
- Halaman asing terindeks di mesin pencari, biasanya berbahasa asing dan berisi tautan judi atau obat.
Cara membaca gejala teknisnya dibahas di artikel diagnosis masalah server.
Yang Perlu Dipahami tentang DDoS
Firewall yang berjalan di server yang diserang tidak bisa menghentikan serangan volumetrik, karena jaringan menuju server itu sudah penuh sebelum firewall sempat memutuskan apa pun.
Penanganannya harus berada di hulu — di jaringan penyedia hosting atau di layanan penyaring lalu lintas yang berada di depan server. Ini alasan layanan CDN dengan perlindungan DDoS sering dipakai untuk situs yang pernah menjadi sasaran.
Untuk sebagian besar website perusahaan, serangan yang benar-benar terjadi biasanya bukan DDoS, melainkan percobaan masuk paksa dan pemindaian celah — dua hal yang jauh lebih mudah dicegah.
Langkah Berikutnya
Mengetahui ancamannya baru separuh pekerjaan. Lapisan pertahanannya dibahas di artikel firewall dan sistem deteksi penyusupan, dan daftar tindakan yang perlu dikerjakan ada di langkah meningkatkan keamanan server.
Pertanyaan yang Sering Diajukan
Kenapa website kecil ikut diserang, padahal tidak ada yang berharga di dalamnya? Karena sasarannya bukan isi situs Anda. Server yang berhasil disusupi dipakai untuk mengirim spam, menyimpan halaman penipuan, atau ikut menyerang pihak lain. Pemindaian berjalan otomatis tanpa memilih.
Apakah memakai HTTPS berarti website saya aman? Tidak. HTTPS mengamankan data yang berpindah antara pengunjung dan server. Ia tidak melindungi dari plugin usang, kata sandi lemah, atau celah di aplikasi.
Apakah shared hosting lebih rawan daripada VPS? Tidak selalu. Di shared hosting, penyedia yang mengurus penambalan sistem — sering lebih rutin daripada pemilik VPS yang tidak sempat mengurusnya. Yang tetap menjadi tanggung jawab Anda di keduanya adalah aplikasi dan kata sandi.
Apa yang harus dilakukan kalau website sudah terlanjur disusupi? Ubah semua kata sandi, kembalikan dari cadangan yang dibuat sebelum kejadian, lalu perbarui seluruh aplikasi dan plugin sebelum situs dibuka kembali. Membersihkan berkas tanpa menutup jalan masuknya hanya menunda kejadian berikutnya.