Configuration Assessment

Definisi

Configuration assessment adalah proses evaluasi konfigurasi sistem, aplikasi, dan perangkat jaringan terhadap security baseline yang telah ditetapkan. Tujuannya adalah memastikan bahwa setiap komponen teknologi informasi dikonfigurasi secara aman sesuai dengan standar industri dan kebijakan organisasi. Configuration assessment berbeda dari vulnerability assessment karena berfokus pada pengaturan keamanan (security settings) bukan pada kerentanan perangkat lunak.

Security Baseline Configuration

Security baseline adalah kumpulan konfigurasi minimum yang harus diterapkan pada suatu sistem untuk mencapai postur keamanan yang dapat diterima. Baseline menjadi acuan (benchmark) yang digunakan dalam configuration assessment.

CIS Benchmarks

Dikembangkan oleh Center for Internet Security (CIS), CIS Benchmarks adalah standar de facto untuk secure configuration. Mencakup lebih dari 100 benchmarks untuk berbagai platform: sistem operasi (Windows, Linux, macOS), cloud providers (AWS, Azure, GCP), container platforms (Docker, Kubernetes), database servers (MySQL, PostgreSQL, MSSQL), dan network devices (Cisco, Palo Alto). Setiap benchmark berisi rekomendasi hardening yang terperinci dengan level keparahan.

NIST SP 800-53

Security and Privacy Controls for Information Systems and Organizations - katalog kontrol keamanan dari NIST. Meskipun lebih luas dari sekadar konfigurasi, NIST SP 800-53 menyediakan configuration management controls (CM-2: Baseline Configuration, CM-6: Configuration Settings, CM-7: Least Functionality) yang menjadi acuan untuk baseline configuration di sektor pemerintahan dan kritikal.

DISA STIG (Security Technical Implementation Guides)

Dikembangkan oleh Defense Information Systems Agency (DISA) untuk Departemen Pertahanan AS. STIG adalah standar konfigurasi paling ketat dan detail. Setiap STIG berisi ratusan rules yang harus dipenuhi (SRG - Security Requirements Guide). Banyak digunakan oleh kontraktor pertahanan dan organisasi yang membutuhkan kepatuhan tingkat tinggi.

Assessment Tools

OpenSCAP

OpenSCAP adalah open-source framework untuk mengimplementasikan Security Content Automation Protocol (SCAP). Mampu melakukan:

System scanning terhadap CIS Benchmarks dan DISA STIG
Vulnerability scanning (CVE)
Compliance checking (XCCDF, OVAL)
Reporting dalam format HTML, PDF, ARF Menggunakan SCAP content yang dapat diunduh dari berbagai sumber.

InSpec (Chef)

InSpec adalah open-source testing framework untuk infrastruktur yang ditulis dalam Ruby. Menggunakan pendekatan code-as-audit - aturan kepatuhan ditulis sebagai kode yang dapat dibaca manusia:

describe package('nginx') do
  it { should be_installed }
end

InSpec terintegrasi dengan Chef Automate untuk continuous compliance dan dapat berjalan di local maupun remote melalui SSH, WinRM, atau Docker.

Ansible

Meskipun Ansible terutama adalah automation tool, modul-modul seperti ansible-hardening, Red Hat Enterprise Linux (RHEL) system roles, dan compliance playbooks memungkinkan Ansible digunakan untuk configuration assessment dan remediasi. Ansible dapat membandingkan konfigurasi aktual dengan playbook baseline dan melaporkan drift.

Chef

Chef Inspec (sekarang bagian dari Progress) bersama dengan Chef Compliance dan Chef Automate menyediakan platform continuous compliance monitoring yang terintegrasi dengan configuration management. Chef dapat mengaudit cookbooks dan memastikan konfigurasi tidak menyimpang dari yang ditetapkan.

Compliance Checking

Compliance checking adalah proses verifikasi bahwa konfigurasi sistem memenuhi persyaratan regulasi dan kebijakan. Contoh:

PCI DSS Requirement 2.2: "Develop configuration standards for all system components" - membutuhkan baseline configuration yang didokumentasikan dan diaudit.
ISO 27001 A.12.5.1: "Installation of software on operational systems" - membutuhkan kontrol perubahan konfigurasi.
GDPR Article 32: "Security of processing" - membutuhkan appropriate technical measures termasuk konfigurasi aman.

Hardening Comparison

Hardening comparison membandingkan konfigurasi aktual dengan baseline untuk mengidentifikasi perbedaan. Metrik yang digunakan:

Compliance Score: Persentase aturan yang dipenuhi.
Drift Magnitude: Jumlah pengaturan yang menyimpang.
Severity Distribution: Jumlah temuan per level keparahan.

Drift Detection

Configuration drift adalah kondisi di mana konfigurasi aktual sistem menyimpang dari baseline seiring waktu - akibat manual changes, patches, emergency fixes, atau misconfiguration. Drift detection membandingkan konfigurasi secara berkala dengan baseline menggunakan tools seperti OpenSCAP, InSpec, atau AWS Config (untuk cloud).

Automated Configuration Assessment

Continuous automated configuration assessment menggunakan Infrastructure as Code (IaC) dan Policy as Code (PaC) untuk:

Mendeteksi drift secara real-time
Menerapkan remediasi otomatis
Memblokir perubahan konfigurasi yang tidak sesuai (enforcement)
Menyediakan dashboards compliance secara live

CIS-CAT (CIS Configuration Assessment Tool)

CIS-CAT Pro adalah alat resmi dari CIS untuk melakukan automated configuration assessment terhadap CIS Benchmarks. Fitur utama:

Scanning otomatis terhadap CIS Benchmarks
Integrasi dengan CIS-CAT Dashboard
Tailored assessments untuk kebutuhan spesifik
Skor kepatuhan dan rekomendasi remediasi
Mendukung berbagai platform (Windows, Linux, macOS, cloud)

Configuration assessment yang terotomatisasi dan berkelanjutan adalah fondasi dari program keamanan yang matang - memastikan bahwa secure configuration bukan hanya proyek satu kali, melainkan praktik operasional yang terus berjalan.