Security Baseline untuk Windows

Security baseline adalah fondasi utama dalam proses hardening sistem operasi Windows. Dokumen ini membahas berbagai alat, standar, dan praktik terbaik untuk membangun konfigurasi keamanan yang kokoh pada lingkungan Windows.

Microsoft Security Compliance Toolkit

Microsoft Security Compliance Toolkit (SCT) adalah kumpulan alat resmi dari Microsoft yang membantu administrator menilai, membandingkan, dan menerapkan kebijakan keamanan. Komponen utamanya meliputi:

Policy Analyzer - Membandingkan konfigurasi Group Policy saat ini dengan baseline yang direkomendasikan.
Local Group Policy Object (LGPO) tool - LGPO.exe digunakan untuk mengimpor, mengekspor, dan menerapkan pengaturan keamanan dari file teks atau backup kebijakan.
GPResult / RSOP - Melihat hasil penerapan kebijakan pada mesin lokal.

Dengan SCT, organisasi dapat mengunduh Security Baseline resmi untuk berbagai versi Windows (Windows 10/11, Windows Server 2016/2019/2022) dalam format GPO backup yang siap diimpor.

Local Group Policy dan Security Templates (INF)

Local Group Policy Editor (gpedit.msc) adalah antarmuka utama untuk mengelola pengaturan keamanan pada sistem yang tidak terhubung ke Active Directory. Konfigurasi dapat diekspor ke file Security Template (.inf) melalui Security Templates snap-in, lalu diterapkan kembali menggunakan secedit.exe:

secedit /configure /db secedit.sdb /cfg template.inf

Pendekatan ini sangat berguna untuk:

Standarisasi konfigurasi pada mesin workgroup.
Deployment melalui script atau SCCM.
Audit kepatuhan berkala.

CIS Benchmark untuk Windows

Center for Internet Security (CIS) menerbitkan benchmark khusus untuk setiap versi Windows. Benchmark ini mencakup ratusan rekomendasi yang dikelompokkan dalam level:

Level 1 - Rekomendasi dasar yang tidak mengganggu fungsionalitas.
Level 2 - Rekomendasi mendalam untuk lingkungan dengan kebutuhan keamanan tinggi.

CIS-CAT Pro atau alat open source seperti OpenSCAP dapat digunakan untuk melakukan automated assessment terhadap benchmark ini.

Hardening Checklist: Area Kritis

1. Manajemen Akun dan Password

Nonaktifkan akun default Administrator dan Guest.
Terapkan Account Lockout Policy (threshold 5 percobaan, lockout duration 15 menit).
Gunakan Password Policy minimal: panjang 14 karakter, kompleksitas aktif, masa berlaku 90 hari.
Hapus atau nonaktifkan akun yang tidak digunakan.

2. Audit dan Logging

Aktifkan Advanced Audit Policy untuk kategori kritis:
- Account Logon
- Account Management
- Detailed Tracking
- Object Access
Konfigurasi ukuran log hingga minimum 1 GB.
Kirim log ke SIEM sentral (Splunk, WEF, atau Azure Sentinel).

3. Windows Firewall

Aktifkan Windows Defender Firewall untuk semua profil (Domain, Private, Public).
Terapkan prinsip default deny - blokir semua koneksi inbound yang tidak diizinkan.
Buat aturan khusus untuk layanan esensial (RDP dari IP tertentu, file sharing hanya di subnet internal).

4. Layanan dan Fitur

Nonaktifkan layanan yang tidak diperlukan: Remote Registry, Print Spooler jika tidak digunakan, LLMNR, NetBIOS over TCP/IP.
Uninstall fitur Windows yang tidak relevan melalui Server Manager atau DISM.
Terapkan AppLocker atau WDAC untuk membatasi eksekusi aplikasi.

Security Configuration Wizard (SCW)

SCW adalah alat berbasis peran yang tersedia di Windows Server (hingga versi tertentu). Wizard ini memandu administrator untuk:

Memilih peran server (Domain Controller, File Server, Web Server, dll).
Menonaktifkan layanan yang tidak diperlukan untuk peran tersebut.
Mengonfigurasi aturan firewall dan registry.
Menghasilkan Security Policy (.xml) yang dapat diterapkan ke server lain.

Meskipun SCW sudah tidak dikembangkan aktif untuk versi terbaru, pendekatan berbasis peran yang digunakan SCW tetap relevan dan dapat diadopsi melalui GPO atau Desired State Configuration (DSC).

Kesimpulan

Security baseline bukanlah dokumen statis - ia harus dievaluasi dan diperbarui secara berkala seiring perubahan lingkungan dan munculnya ancaman baru. Kombinasi alat (SCT, LGPO, CIS Benchmark), kebijakan (GPO, Security Template), dan pemantauan berkelanjutan (audit log, SIEM) membentuk pertahanan berlapis yang esensial untuk keamanan Windows di era modern.