Cara memaksimalkan keamanan perusahaan Anda dengan jaringan LAN

Panduan Alpha » Juegos » Cara memaksimalkan keamanan perusahaan Anda dengan jaringan LAN

Jaringan LAN perusahaan Anda telah menjadi sistem saraf seluruh bisnis Anda : jaringan ini membawa data pelanggan, akses ke aplikasi penting, komunikasi internal, dan bahkan lalu lintas perangkat IoT. Jika jaringan ini gagal atau terganggu, bukan hanya produktivitas yang terhenti, tetapi kelangsungan perusahaan itu sendiri juga terancam.

Memaksimalkan keamanan perusahaan Anda dengan jaringan LAN bukan lagi sekadar pilihan "untuk perusahaan besar ," tetapi kebutuhan nyata bagi UKM dan organisasi dari semua ukuran. Mulai dari pengkabelan dan topologi hingga VLAN, IDS/IPS, firewall, dan pelatihan karyawan, semuanya berkontribusi untuk membangun infrastruktur yang cepat, stabil, dan sangat aman.

Apa itu jaringan LAN dan mengapa jaringan ini sangat penting dalam bisnis?

LAN (Local Area Network) adalah jaringan yang menghubungkan komputer dalam ruang fisik terbatas , seperti kantor, pabrik, gedung, atau kampus kecil. Fungsi utamanya adalah untuk memungkinkan komputer, server, printer, telepon IP, dan perangkat lain bertukar data dan berbagi sumber daya dengan cepat dan terkontrol.

Di sebagian besar lingkungan bisnis saat ini, LAN menggabungkan koneksi Ethernet berkabel dan tautan Wi-Fi , membentuk jaringan komunikasi internal tempat workstation, server file, aplikasi lokal, telepon IP, kamera pengawasan video, titik akses nirkabel, dan semakin banyak perangkat IoT hidup berdampingan.

Jaringan LAN modern biasanya memiliki satu titik masuk ke Internet (melalui router atau firewall perimeter), sehingga semua lalu lintas perusahaan terkonsentrasi di struktur pusat tersebut: jika dirancang dengan baik, ini merupakan titik kontrol yang hebat; jika diabaikan, ini menjadi gerbang besar bagi para penyerang.

Selain itu, banyak perusahaan menerapkan beberapa LAN logis dalam infrastruktur fisik yang sama , memisahkan, misalnya, jaringan manajemen, jaringan tamu, jaringan produksi, atau jaringan perangkat IoT menggunakan VLAN dan segmentasi tingkat lanjut untuk meningkatkan keamanan dan kinerja.

Cara kerja LAN: lapisan fisik, logis, dan aliran data

Pengoperasian LAN menggabungkan elemen fisik (kabel, switch, router) dan elemen logis (protokol, alamat IP, VLAN) yang bekerja sama untuk memastikan bahwa paket data bergerak secara teratur antar perangkat yang berbeda.

Setiap perangkat yang berpartisipasi dalam LAN memiliki kartu antarmuka jaringan (fisik atau virtual) dengan alamat MAC unik dan alamat IP yang ditetapkan secara manual atau melalui server DHCP. Alamat MAC secara permanen mengidentifikasi perangkat, sementara alamat IP memungkinkan perutean dan komunikasi logis.

Switch bertanggung jawab untuk menerima paket dan meneruskannya hanya melalui port yang diperlukan , mencegah seluruh jaringan dibanjiri lalu lintas yang tidak perlu. Untuk melakukan ini, mereka mempelajari alamat MAC mana yang ada di balik setiap port dan memelihara tabel internal yang memungkinkan mereka untuk mengarahkan lalu lintas secara efisien.

Router atau firewall perimeter terletak di titik di mana LAN terhubung ke jaringan lain (biasanya Internet atau WAN perusahaan). Perangkat ini menerjemahkan alamat, menerapkan kebijakan keamanan, merutekan paket keluar, dan, dalam banyak kasus, menyaring konten atau melakukan inspeksi lalu lintas secara mendalam.

Seluruh alur ini bergantung pada protokol standar (TCP/IP, ARP, DHCP, DNS, dan lain-lain) dan pada sistem operasi perangkat, yang mengelola tumpukan jaringan dan mengontrol bagaimana koneksi dibuat, sesi diverifikasi, dan kesalahan ditangani.

Komponen-komponen kunci dari LAN yang aman

Agar LAN dapat diandalkan, cepat, dan aman, tidak cukup hanya "menghubungkan semuanya ke router yang sama" ; perlu untuk menggabungkan berbagai jenis perangkat keras khusus dengan benar dan melindunginya dengan konfigurasi yang tepat.

Di antara elemen-elemen paling umum dalam infrastruktur LAN perusahaan, kita menemukan :

• RouterMereka menghubungkan LAN dengan Internet atau LAN atau WAN lain, mengelola tabel perutean, NAT, kebijakan firewall dasar dan, dalam banyak kasus, VPN.
• Sakelar terkelolaSwitch yang menghubungkan beberapa perangkat dalam LAN, memungkinkan Anda untuk membuat VLAN, menerapkan QoS, mengontrol port, dan memantau lalu lintas.
• Kabel Ethernet (tembaga atau serat optik)Kabel tersebut mentransfer informasi dengan kecepatan tinggi dan, dalam kasus kabel tembaga dengan PoE, dapat memasok daya ke titik akses Wi-Fi, kamera IP, atau telepon VoIP.
• Kartu Antarmuka Jaringan (NIC)Terintegrasi ke dalam PC, server, atau perangkat, mereka menerjemahkan dan menghasilkan paket data yang beredar melalui jaringan.
• Titik Akses Nirkabel (WAP)Mereka menawarkan konektivitas Wi-Fi dan bertindak sebagai jembatan antara dunia nirkabel dan jaringan kabel.
• FirewallMereka menyaring lalu lintas antar segmen jaringan yang berbeda atau antara LAN dan Internet, memblokir akses tidak sah dan serangan yang dikenal.
• Sistem IDS/IPS dan pemantauanMereka memantau lalu lintas untuk pola anomali, upaya intrusi, atau malware, menghasilkan peringatan, dan bahkan memutus koneksi berbahaya.

Beberapa arsitektur juga menggunakan jembatan, pengulang sinyal, dan sistem manajemen infrastruktur otomatis untuk memperluas jangkauan, melakukan segmentasi dengan lebih baik, atau memiliki visibilitas waktu nyata terhadap status semua tautan fisik.

Jenis-jenis jaringan LAN dan perbandingannya dengan WAN, MAN, dan PAN

LAN dapat diklasifikasikan berdasarkan jenis media, topologi, atau model koneksi , dan penting untuk memahami perbedaan ini agar dapat merancang jaringan yang sesuai dengan kebutuhan setiap perusahaan.

Berdasarkan jenis kabel, kita terutama membedakan antara LAN berkabel dan LAN nirkabel . LAN berkabel menggunakan tembaga atau serat optik, menawarkan kecepatan lebih tinggi dan latensi lebih rendah; LAN nirkabel (WLAN) menggunakan Wi-Fi sesuai dengan standar IEEE 802.11 untuk memberikan mobilitas penuh kepada pengguna.

Jika kita melihat bagaimana tautan fisik diatur, kita melihat topologi seperti bintang, cincin, bus, atau pohon . Dalam praktik saat ini, topologi bintang (dengan switch sebagai node pusat) dan varian tipe pohon hierarkis mendominasi lingkungan perusahaan.

Mengenai model koneksi, LAN klien-server dan LAN peer-to-peer (P2P) hidup berdampingan . Yang pertama hampir selalu digunakan di lingkungan bisnis, dengan satu atau lebih server yang memusatkan layanan dan kebijakan; yang terakhir lebih umum di lingkungan rumah yang sederhana.

LAN berbeda dari jaringan lain dalam cakupan fisiknya : WAN (Wide Area Network) menghubungkan beberapa LAN di seluruh negara atau benua, biasanya didukung oleh tautan operator dan teknologi jarak jauh, sedangkan MAN (Metropolitan Area Network) mencakup sebuah kota atau wilayah metropolitan. Di ujung spektrum yang berlawanan, PAN (Personal Area Network) mengelompokkan perangkat pribadi dalam jarak beberapa meter, seperti headphone Bluetooth atau koneksi antara laptop dan telepon seluler.

VLAN dan segmentasi: dasar keamanan dalam LAN modern

Salah satu alat paling ampuh untuk memperkuat keamanan dan efisiensi LAN adalah VLAN (Virtual Local Area Network) , yang memungkinkan pembuatan jaringan logis independen pada infrastruktur fisik yang sama.

Alih-alih memiliki jaringan tunggal yang rata di mana semua orang dapat melihat semua orang lain , VLAN memisahkan lalu lintas berdasarkan departemen, fungsi, atau tingkat kepercayaan: administrasi, tamu, IoT, suara, produksi, pengembangan, dll. Setiap kelompok terisolasi dan hanya berkomunikasi dengan kelompok lain melalui aturan yang dikontrol secara ketat.

Secara teknis, VLAN bergantung pada standar IEEE 802.1Q, yang menambahkan tag ke setiap frame Ethernet yang menunjukkan VLAN mana yang dimilikinya. Switch terkelola membaca tag ini dan hanya mengirimkan lalu lintas melalui port yang terkait dengan jaringan virtual tersebut.

Terdapat VLAN statis, di mana keanggotaan ditentukan oleh port switch, dan VLAN dinamis , di mana penugasan bergantung pada parameter seperti alamat MAC, protokol, atau bahkan otentikasi pengguna di direktori perusahaan.

Segmentasi VLAN mengurangi lalu lintas siaran, meningkatkan kinerja, dan membatasi pergerakan lateral penyerang . Jika suatu sistem disusupi, kerusakannya jauh lebih terkendali, dan kemungkinan ransomware menyebar ke server penting atau sistem keuangan berkurang drastis.

Ancaman utama terhadap LAN perusahaan

Hanya karena LAN bersifat "internal" bukan berarti aman . Banyak ancaman, yang dijelaskan dalam panduan kami tentang serangan dan ancaman keamanan siber , mengeksploitasi kerentanan di dalam jaringan lokal itu sendiri, menggabungkan kesalahan manusia, konfigurasi yang lemah, dan perangkat yang tidak terlindungi.

Di antara jenis serangan yang paling umum terhadap jaringan LAN adalah :

• Perangkat lunak perusak dan ransomware: kode berbahaya yang dimasukkan melalui email phishing, unduhan, atau perangkat USB, mengenkripsi data atau merusak sistem dan menyebar di seluruh LAN.
• Mendengarkan secara aktif (mengendus dan mengintip): menangkap lalu lintas jaringan untuk mencuri kredensial, memata-matai komunikasi, atau mempersiapkan serangan selanjutnya.
• Pemalsuan DNS (peracunan DNS): manipulasi respons DNS untuk mengarahkan pengguna ke situs palsu dan mencuri data login atau perbankan.
• Modifikasi dan pengubahan data: perubahan yang disengaja terhadap basis data, file, atau catatan akuntansi, dengan konsekuensi ekonomi atau hukum yang ditimbulkan.
• Pencurian identitas dan akses tanpa izin: penggunaan kredensial curian atau kata sandi lemah untuk mendapatkan akses ke sistem internal seolah-olah seseorang adalah karyawan yang sah.

Banyak dari serangan ini bergantung pada fase pengintaian atau pemindaian jaringan sebelumnya , di mana penyerang mengidentifikasi port mana yang terbuka, layanan apa yang berjalan di setiap mesin, dan kelemahan apa yang dapat dieksploitasi kemudian.

Bahkan teknik yang tampaknya pasif, seperti memantau lalu lintas data atau menggunakan sniffer pada port mirror switch , dapat memberikan penyusup gambaran yang sangat detail tentang bagaimana data bergerak, siapa yang berkomunikasi dengan siapa, dan protokol mana yang salah konfigurasi.

IDS/IPS di LAN: contoh praktis dengan Suricata dan MikroTik

Untuk meningkatkan keamanan lebih lanjut, banyak perusahaan menerapkan sistem deteksi dan pencegahan intrusi (IDS/IPS) di dalam LAN itu sendiri , yang mampu menganalisis lalu lintas secara mendalam dan menemukan aktivitas mencurigakan.

Suricata adalah salah satu mesin IDS/IPS sumber terbuka yang paling ampuh dan banyak digunakan . Dikembangkan oleh OISF, Suricata dapat beroperasi dalam mode deteksi, pencegahan, pemantauan keamanan jaringan (NSM), dan analisis lalu lintas offline, memeriksa header dan muatan paket dengan aturan yang sangat canggih.

Skenario yang sangat efektif melibatkan penggabungan router MikroTik dengan mesin virtual Debian yang menjalankan Suricata . Router mengelola lalu lintas jaringan lokal dan menyalin atau mengarahkan aliran yang kita minati ke antarmuka VM, tempat Suricata memeriksanya.

Arsitektur ini dapat beroperasi dalam mode IDS (pemantauan dan peringatan saja) atau mode IPS (juga bertindak terhadap lalu lintas berbahaya) . Topologi tipikalnya akan seperti ini: Internet ↔ RouterOS ↔ Hypervisor ↔ Linux bridge ↔ VM dengan Suricata, di mana antarmuka analisis ditempatkan dalam mode promiscuous untuk melihat semua lalu lintas.

Di MikroTik, kami memiliki dua opsi untuk mengirimkan lalu lintas ke Suricata :

• Pencerminan portLalu lintas dikloning dari satu antarmuka ke antarmuka lain tempat VM Suricata terhubung, ideal jika port fisik dapat didedikasikan secara eksklusif untuk pemantauan.
• Mengendus dengan aturan CALEALalu lintas data ditangkap di tingkat firewall dan dikirim ke alamat IP tertentu di LAN (yaitu alamat IP mesin Suricata) untuk analisis jarak jauh.

Di dalam VM Debian, setelah memperbarui sistem, Suricata diinstal dari backports , file utama dikonfigurasi dengan menunjukkan antarmuka yang mendengarkan (misalnya, ens2), rentang jaringan yang didefinisikan sebagai HOME_NET dan jenis output log (fast.log, eve.json, dll.).

Setelah aturan disesuaikan dan layanan dimulai ulang, cukup hasilkan lalu lintas uji (ping, koneksi SSH, penjelajahan web) untuk memverifikasi dalam log bahwa Suricata mendeteksi peristiwa dan mengklasifikasikannya sesuai dengan tanda tangan yang diunggah.

Pemantauan tingkat lanjut: Meerkat + ELK dan peringatan waktu nyata

Agar IDS benar-benar berguna dalam operasi sehari-hari, visibilitas yang baik dan peringatan yang responsif sangat penting . Mendeteksi ribuan kejadian tidak banyak gunanya jika tidak ada yang melihatnya atau kejadian tersebut hilang dalam log biasa.

Integrasi yang sangat umum adalah menghubungkan Suricata dengan tumpukan ELK (Elasticsearch, Logstash, dan Kibana) . Logstash mengumpulkan log Suricata, mengubahnya, dan mengirimkannya ke Elasticsearch, yang mengindeksnya untuk pencarian dan korelasi. Kibana menyediakan dasbor grafis waktu nyata dengan peta panas, grafik serangan, dan data sumber serta target.

Dengan skema ini, tim TI dapat memfilter berdasarkan jenis kejadian, IP sumber, protokol, atau bahkan berdasarkan pengguna , dan mendeteksi lonjakan aktivitas, pola berulang, atau skenario umum pemindaian, serangan brute force, atau eksploitasi kerentanan.

Untuk peringatan segera, Suricata sering terhubung ke Telegram melalui skrip khusus yang mengirim pesan ke saluran atau grup ketika terjadi deteksi kritis. Dengan cara ini, pihak yang bertanggung jawab dapat diberi tahu secara instan, di mana pun mereka berada.

Kombinasi Suricata + ELK + notifikasi Telegram mengubah LAN menjadi lingkungan yang terus dipantau , di mana upaya intrusi tidak lagi tersembunyi dan menjadi insiden yang dapat dikelola dengan cepat.

Langkah-langkah penting untuk melindungi LAN perusahaan Anda

Selain alat-alat canggih, ada serangkaian praktik terbaik yang harus diterapkan setiap perusahaan di LAN-nya , terlepas dari ukuran atau sektornya.

Bagian pertama berfokus pada keamanan infrastruktur fisik dan logis dasar : menjaga agar perangkat keras (router, switch, titik akses) dan perangkat lunak (sistem operasi, firmware) selalu mutakhir, menerapkan patch keamanan secara teratur, dan melakukan pencadangan data dan konfigurasi secara berkala.

Kata sandi adalah pilar penting lainnya . Kata sandi harus panjang, kompleks, unik, dan diubah secara berkala; hindari nama, tanggal, atau informasi yang mudah ditebak, dan tentu saja, hapus semua kredensial default dari peralatan jaringan dan layanan internal.

Selain hal-hal di atas, disarankan untuk mengaktifkan mekanisme verifikasi identitas tambahan , seperti otentikasi multi-faktor, biometrik, atau kartu pintar, terutama untuk akses ke sumber daya sensitif dan panel administrasi jaringan.

Kontrol akses LAN juga harus ketat : tentukan perangkat mana yang dapat terhubung, VLAN mana yang mereka miliki, batasi jaringan tamu, gunakan solusi NAC (Network Access Control) jika memungkinkan, dan catat siapa yang masuk dan keluar dari setiap segmen.

Segmentasi, enkripsi, dan pertahanan berlapis.

Jaringan LAN yang aman harus berasumsi bahwa cepat atau lambat seseorang akan mencoba membobolnya , sehingga sangat penting untuk menerapkan pendekatan pertahanan berlapis, dengan beberapa lapisan perlindungan yang saling melengkapi.

Segmentasi VLAN, yang didukung oleh firewall internal, mencegah penyerang bergerak bebas di seluruh organisasi . Setiap VLAN dapat memiliki aturan khusus, membatasi akses hanya ke layanan penting dan mencegah lingkungan pengujian, sistem tamu, atau perangkat IoT mengakses sistem penting.

Mengenkripsi lalu lintas adalah poin kunci lainnya . Menggunakan protokol aman seperti TLS dan praktik enkripsi untuk aplikasi web internal, VPN untuk akses jarak jauh, dan secara umum menghindari layanan yang tidak terenkripsi (telnet, FTP, dll.) secara drastis mengurangi efektivitas penyadapan dan intersepsi data.

Sistem IDS/IPS berbasis jaringan, seperti Suricata atau solusi komersial , harus diintegrasikan dengan antivirus dan EDR pada endpoint, serta alat pemindai kerentanan yang dapat mengidentifikasi sistem yang usang atau salah konfigurasi sebelum penyerang dapat melakukannya. Selain itu, disarankan untuk berkonsultasi dengan panduan keamanan endpoint khusus untuk melengkapi lapisan perlindungan ini.

Terakhir, solusi SIEM dapat mengagregasi dan mengkorelasikan log dari berbagai perangkat (firewall, server, switch, IDS, pengontrol Wi-Fi) untuk memberikan pandangan yang lebih lengkap, mendeteksi pola yang kompleks, dan memfasilitasi respons terhadap insiden serius.

Faktor manusia: pelatihan dan budaya keamanan siber

Seberapa canggih pun teknologi LAN Anda, titik terlemah seringkali adalah orang yang berada di depan keyboard . Banyak insiden serius dimulai dengan sekali klik pada email phishing atau penggunaan kata sandi yang mudah ditebak.

Melatih karyawan dan manajer tentang praktik terbaik keamanan siber sama pentingnya dengan memasang firewall yang baik . Mereka perlu mampu mengenali email yang mencurigakan, menghindari mengunduh perangkat lunak tanpa izin, menahan diri dari menggunakan drive USB yang tidak dikenal, dan menghormati kebijakan akses serta pengaturan perangkat pribadi; mempromosikan pelatihan keamanan siber di dalam perusahaan merupakan alat yang berharga untuk tujuan ini.

Sesi pelatihan rutin tentang malware, ransomware, rekayasa sosial, dan kebijakan internal membantu mengurangi secara drastis jumlah insiden yang disebabkan oleh kesalahan manusia, yang tetap menjadi salah satu sumber utama pelanggaran keamanan.

Selain itu, penting untuk menumbuhkan budaya di mana pelaporan potensi kegagalan atau insiden tidak dianggap sebagai masalah , tetapi sebagai kontribusi terhadap keselamatan bersama. Semakin cepat perilaku anomali terdeteksi, semakin mudah untuk mengatasinya.

Perencanaan, desain, dan evolusi LAN perusahaan.

Membangun LAN yang aman dan tahan lama di masa depan melibatkan lebih dari sekadar menambahkan switch seiring pertumbuhan kantor . Hal ini membutuhkan desain yang terencana, selaras dengan strategi bisnis, dan cukup fleksibel untuk beradaptasi dengan evolusi teknologi.

Titik awal yang baik adalah menstandarisasi kabel dan peralatan , misalnya dengan memilih Kategori 6A untuk mendukung kecepatan lebih tinggi dan PoE, serta switch terkelola yang memungkinkan pertumbuhan jumlah port, VLAN, dan fitur keamanan tanpa perlu merombak seluruh jaringan.

Administrator jaringan harus mengajukan pertanyaan-pertanyaan kunci kepada diri mereka sendiri tentang ketahanan dan kelangsungan bisnis : apa yang terjadi jika switch inti gagal, bagaimana redundansi dipastikan, apa dampak yang akan ditimbulkan oleh gangguan Wi-Fi atau tautan internet utama, dan mekanisme apa yang ada untuk meminimalkan waktu henti.

Fleksibilitas jaringan juga sangat penting . Topologi pengkabelan terstruktur yang dirancang dengan baik, dengan komponen modular, memungkinkan pemindahan workstation, penambahan perangkat, atau penerapan teknologi baru (Wi-Fi 6/7, 5G indoor, lebih banyak IoT) tanpa menyentuh infrastruktur utama atau menyebabkan waktu henti yang konstan.

Selain itu, ada kebutuhan untuk mengintegrasikan LAN dengan layanan cloud, kerja hibrida, dan akses jarak jauh . Jaringan lokal bukan lagi lingkungan yang terisolasi, tetapi titik penghubung antara kantor, cloud publik, aplikasi SaaS, dan pengguna yang terhubung dari mana saja; oleh karena itu, disarankan untuk meninjau aktivitas cloud dan keamanan siber untuk menentukan kontrol yang tepat.

Jika perusahaan Anda ingin memanfaatkan digitalisasi tanpa hidup dalam ketakutan terus-menerus akan serangan siber , LAN harus diperlakukan sebagai aset strategis: dirancang dengan cermat, disegmentasi dengan VLAN, dilindungi dengan firewall dan IDS/IPS, dienkripsi, dipantau, dan didukung oleh karyawan yang berpengetahuan dan terlatih. Semua ini mengubah konektivitas sehari-hari menjadi pendorong produktivitas, bukan sumber risiko tersembunyi.