log

Pemberitaan yang sangat gencar tentang virus wannacrypt/wannacry di beberapa media online pertengahan Mei 2017 ternyata menyisakan efek positif di kalangan pengguna PC di lingkungan kerja. Media memang tidak cuma menggambarkan tentang betapa runyamnya kalau sampai PC kita tertular tapi juga memberi beberapa tips utk pencegahan yang bisa dikatakan merupakan best practice dalam perawatan (ringan/harian) PC dan seharusnya merupakan hal rutin yang dilakukan oleh semua user, contoh: menjalankan Windows Update (khususnya security update) secara periodik/manual ataupun otomatis, update [database] antivirus, dsb. Berdasar pengamatan sejak kehebohan wannacry, semakin banyak user yang mendownload antivirus & update windows, bisa terlihat dari traffic di proxy maupun routerboard yg menunjukkan banyaknya akses ke windowsupdate.com ataupun berbagai URL yg menyediakan antivirus & update virus definition. Penjelasan wikipedia ttg wannacry menyebutkan bahwa virus ini memanfaatkan kelemahan

Sebagai gambaran awal: wifi di kampus kami menggunakan server dengan sistem operasi FreeBSD sebagai gateway.  Di server tsb kami mengintegrasikan berbagai service: Apache, MySQL, Freeradius, pf dan Chillispot utk membuat hotspot gateway, dimana mahasiswa dan karyawan harus login sebelum dapat mengakses Internet melalui wifi kampus. Trend [jumlah] pengguna wifi mengalami peningkatan khususnya dengan makin banyaknya pengguna smartphone.  Dalam kondisi seperti ini kadang muncul pertanyaan: berapa sebenarnya user yang login ke hotspot kampus per hari?  Di server ini kami memang tidak menginstal aplikasi utk membantu proses reporting pengguna, sehingga perlu sedikit trik untuk menjawab pertanyaan simpel seperti diatas. Untuk tugas tersebut kita cukup menggunakan beberapa tools yg tersedia di FreeBSD spt: cut, sort dan uniq serta radlast [yang merupakan bagian dari Freeradius]. Langsung saja, untuk memperoleh jumlah pengguna hotspot dalam 1 hari: gunakan perintah: # radlast | grep sesu

ipfw adalah stateful firewall pada sistem operasi FreeBSD, kemampuannya tidak terbatas pada filtering packet, tapi juga NAT, dummynet traffic shaper, forward, bridge dan ipstealth. Berikut ini adalah beberapa contoh rules ipfw yang berguna untuk melakukan filtering pada packet data yang lewat: #ipfw add 1 deny all from $IP_address/32 to any [untuk blokir koneksi dari sebuah IP_address ke server atau komputer kita, blokir total atau dengan kata lain: semua port/koneksi diblokir] #route add -net $IP_address/32 127.0.0.1 -blackhole [ini hanya contoh bahwa dengan perintah route kita bisa melakukan hal yang mirip dengan ipfw firewall, hasil perintah diatas mirip dengan rule ipfw sebelumnya, yaitu: semua koneksi dari IP_address ke komputer kita akan diblokir] #ipfw add 2 deny MAC any $MAC_address/48 [ipfw juga mampu memblokir koneksi dari suatu komputer dengan MAC address nya, syaratnya tentu saja komputer yang kita blokir berada di LAN yang sama dengan komputer kita, sehingga bi

Pada tahun 2014 secara tidak sengaja kami menemukan link [sekarang link tersebut sudah tidak ada] http://opensource.telkomspeedy.com/forum/viewtopic.php?id=9539 User yang memposting daftar tersebut memasukkan DNS UKDW sebagai salah satu "free dns server" yang bisa digunakan untuk membantu mempercepat koneksi internet [baca: proses resolve hostname] seperti yang dilakukan oleh DNS server provider Indosat, Telkom, Google DNS, Open DNS dll..... Karena user dari berbagai lokasi dapat menggunakan DNS UKDW secara bebas mengakibatkan jumlah query ke port 53 menjadi tinggi. Sehingga server kewalahan dalam menangani query [khususnya recursive query ]. Terlihat di pesan yg memenuhi /var/log/messages: .... Apr 15 12:03:14 ns1 named[40297]: client 36.83.10.176#10331: no more recursive clients: quota reached Apr 15 12:03:14 ns1 named[40297]: client 222.124.22.30#52110: no more recursive clients: quota reached Apr 15 12:03:14 ns1 named[40297]: client 222.124.22.30#45911: no more re

...lanjutan dari post sebelumnya tentang serangan ke service ntpd Rule ipfw yang sempat dicoba untuk menghalangi serangan ke ntpd: # ipfw add 99 deny log all from any to any dst-port 123 in recv em0 Setelah diamati beberapa saat memang rule tersebut memang berhasil mencegah serangan, tapi ternyata server juga gagal melakukan query ke server ntpd lain.. Solusi dari: http://www.team-cymru.org/ReadingRoom/Templates/secure-ntp-template.html server# cat /etc/ntp.conf # by default act only as a basic NTP client restrict -4 default nomodify nopeer noquery notrap restrict -6 default nomodify nopeer noquery notrap # allow NTP messages from the loopback address, useful for debugging restrict 127.0.0.1 restrict ::1 # server(s) we time sync to server 3.id.pool.ntp.org server 1.asia.pool.ntp.org server 3.asia.pool.ntp.org #restrict IP_ADDRESS mask 255.255.255.240 nomodify notrap restrict IP_ADDRESS mask 255.255.255.240 Kemudian dicoba restart ntpd dan hasilnya: server bisa melakukan query

Pada 10 Feb 2014 terima e-mail pemberitahuan dari pak Dono [Indosat] bahwa koneksi internet ke UKDW dimatikan sementara karena ada traffic upstream sangat besar/flooding dari UKDW ke arah Indosat mulai tgl 9 Feb kira-kira jam 00.00. Proses investigasi:  - Periksa statistik traffic di switch Catalyst, ada beberapa server dan router yg terhubung disini seperti  server Sinta, Faith dan lain-lain. - Statistik di catalyst kemudian di- cross-check dengan traffic yang tercatat di masing-masing server maupun router, dan akhirnya diketahui asal traffic tersebut berasal dari server Faith [sistem operasi FreeBSD] yang merupakan gateway ke internet utk LAN laboratorium (internet)  Untuk memastikan jenis traffic yang lewat sebenarnya perlu melihat statistik di routerboard yang ada di lab, tapi karena ada sedikit hambatan koordinasi, maka investigasi difokuskan pada server Faith itu sendiri: Langkah pertama: periksa semua process [ ps ] yang jalan di server Faith [sistem operasi Freebsd] sepint