Cara Audit Keamanan Server Linux dengan Lynis

Lynis adalah alat audit keamanan open source yang memeriksa server Linux dari dalam, lalu memberi daftar hal yang perlu dibenahi beserta skor yang disebut hardening index. Cukup satu perintah, sudo lynis audit system, dan dalam beberapa menit kamu mendapat gambaran menyeluruh: pengaturan SSH, kernel, firewall, akun pengguna, izin file, sampai paket yang perlu diperbarui.

Kenapa ini penting? Server jarang dibobol lewat trik canggih. Lebih sering lewat hal sederhana yang terlewat: layanan tak terpakai yang masih jalan, login root yang masih dibuka, atau paket yang berbulan-bulan tidak diperbarui. Lynis membantu menemukan celah seperti itu secara sistematis, tanpa harus mengingat ratusan butir daftar periksa.

Apa yang diperiksa Lynis?

Lynis menjalankan ratusan tes kecil yang dikelompokkan per kategori. Setiap tes punya ID, misalnya SSH-7408 untuk pemeriksaan konfigurasi SSH atau BOOT-5122 untuk perlindungan password bootloader. Kelompok yang paling sering memberi temuan:

• Boot dan layanan: layanan yang aktif saat boot, perlindungan bootloader.
• Kernel: parameter sysctl yang memengaruhi keamanan jaringan dan memori.
• Pengguna dan autentikasi: kebijakan password, akun tanpa password, hak sudo.
• SSH: login root, metode autentikasi, dan opsi-opsi yang bisa diperketat.
• Firewall: apakah ada firewall aktif dan aturannya tidak kosong.
• Paket perangkat lunak: paket yang punya pembaruan keamanan, alat audit paket.
• Logging dan audit: apakah log disimpan dan dirotasi, apakah auditd aktif.
• File dan izin: izin pada file penting dan folder sementara.

Lynis tidak mengubah apa pun di server. Ia hanya membaca dan melapor, jadi aman dijalankan di server produksi.

Bagaimana cara memasang Lynis?

Pilihan paling cepat adalah dari repositori distro:

sudo apt update
sudo apt install lynis

Versi di repositori distro sering tertinggal dari rilis terbaru. Kalau ingin selalu memakai versi terkini, tambahkan repositori resmi CISOfy di Ubuntu atau Debian:

curl -fsSL https://packages.cisofy.com/keys/cisofy-software-public.key | sudo gpg --dearmor -o /etc/apt/trusted.gpg.d/cisofy-software-public.gpg
echo "deb [arch=amd64,arm64 signed-by=/etc/apt/trusted.gpg.d/cisofy-software-public.gpg] https://packages.cisofy.com/community/lynis/deb/ stable main" | sudo tee /etc/apt/sources.list.d/cisofy-lynis.list
sudo apt update
sudo apt install lynis

Cek versinya dengan lynis show version. Alternatif lain tanpa instalasi paket adalah mengklon repositori github.com/CISOfy/lynis lalu menjalankan ./lynis audit system dari foldernya.

Menjalankan audit pertama

sudo lynis audit system

Jalankan dengan sudo agar Lynis bisa membaca semua berkas konfigurasi. Tanpa hak root, sebagian tes dilewati dan hasilnya kurang lengkap. Selama audit, layar menampilkan hasil per tes dengan label seperti OK, FOUND, NOT FOUND, WARNING, atau SUGGESTION.

Dua berkas hasil yang perlu kamu ketahui:

Bagaimana membaca hasil audit?

Di akhir audit, Lynis menampilkan tiga hal penting.

Warnings adalah temuan yang perlu segera ditangani. Jumlahnya biasanya sedikit. Contohnya: paket yang punya celah keamanan dan belum diperbarui, atau layanan dengan konfigurasi yang jelas berisiko.

Suggestions adalah saran pengamanan. Jumlahnya bisa puluhan dan tidak semuanya relevan untuk servermu. Setiap saran mencantumkan ID tes dan kadang tautan penjelasan.

Hardening index adalah skor 0 sampai 100 yang menggambarkan seberapa banyak langkah pengamanan yang sudah diterapkan. Anggap ini sebagai alat ukur kemajuan di servermu sendiri, bukan nilai untuk dibandingkan antarserver yang fungsinya berbeda.

Untuk memahami satu temuan lebih dalam, pakai ID tesnya:

sudo lynis show details SSH-7408

Perintah ini menampilkan potongan log untuk tes tersebut, termasuk opsi mana saja yang dianggap bisa diperketat.

Mana yang diperbaiki lebih dulu?

Jangan mencoba mengejar semua saran sekaligus. Urutan yang masuk akal:

1. Semua warning. Terutama yang berkaitan dengan paket bercelah dan akses login.
2. Saran soal SSH dan akun. Misalnya menutup login root, memakai SSH key, dan membatasi pengguna. Banyak di antaranya sudah dibahas di cara mengamankan VPS Linux baru.
3. Firewall dan layanan. Pastikan firewall aktif dan layanan yang tidak dipakai dimatikan. Cocokkan dengan hasil pemindaian port dari luar memakai Nmap.
4. Pembaruan otomatis dan logging. Aktifkan update keamanan otomatis di Ubuntu dan pastikan log tersimpan cukup lama.
5. Sisanya. Parameter kernel, izin file, dan saran lain yang sesuai fungsi server.

Uji setiap perubahan sebelum lanjut ke perubahan berikutnya, lalu jalankan ulang audit untuk melihat temuan mana yang sudah hilang.

Menjadwalkan audit rutin

Server berubah terus: paket baru dipasang, konfigurasi disesuaikan, pengguna ditambah. Jalankan Lynis secara berkala lewat cron, misalnya setiap minggu:

0 3 * * 1 root /usr/sbin/lynis audit system --cronjob > /dev/null 2>&1

Opsi --cronjob menjalankan audit tanpa interaksi dan tanpa warna. Bandingkan lynis-report.dat dari waktu ke waktu untuk melihat apakah ada warning baru. Lokasi biner bisa berbeda bila kamu memasang dari GitHub, cek dengan which lynis.