5 Langkah Cara Mengamankan Server Apache dari Serangan Berbahaya

Dalam ekosistem pengembangan web, membangun aplikasi yang berfungsi dengan baik hanyalah separuh jalan. Separuh jalan lainnya adalah memastikan rumah tempat aplikasi Anda bernaung—yakni server—tidak mudah dijebol oleh peretas. Apache HTTP Server masih menjadi salah satu web server paling dominan di dunia. Namun, konfigurasi default bawaannya sangatlah rentan terhadap berbagai teknik eksploitasi modern.

Jika Anda tidak ingin bangun di pagi hari dan mendapati website Anda diretas (deface) atau terkena DDoS, Anda wajib membaca tutorial programming dan sistem administrasi ini. Tim infokoding akan memandu Anda melalui panduan praktis cara mengamankan server Apache dari serangan berbahaya lewat 5 Langkah Keamanan Terbaik yang teruji di lingkungan produksi, baik pada distro Ubuntu/Debian maupun RHEL/CentOS/AlmaLinux.

curl -sSL https://raw.githubusercontent.com/admininfokoding/apache-security-scripts/main/apache-secure.sh | sudo bash

#!/usr/bin/env bash
# =====================================================================
# Skrip Otomatisasi Keamanan Apache (5 Langkah Keamanan infokoding)
# Author: Rusmawan Abdullah Sani (infokoding.com)
# Repositori Resmi: https://github.com/admininfokoding/apache-security-scripts
# Kompatibel untuk: Ubuntu / Debian & RHEL / CentOS / AlmaLinux
# =====================================================================

set -e
echo "[+] Memulai pengamanan server Apache..."

# 1. Sembunyikan Versi Apache
echo "[1/5] Menyembunyikan informasi versi Apache..."
if [ -f /etc/debian_version ]; then
    sudo sed -i 's/^ServerTokens .*/ServerTokens Prod/' /etc/apache2/conf-available/security.conf 2>/dev/null || echo "ServerTokens Prod" | sudo tee -a /etc/apache2/conf-available/security.conf
    sudo sed -i 's/^ServerSignature .*/ServerSignature Off/' /etc/apache2/conf-available/security.conf 2>/dev/null || echo "ServerSignature Off" | sudo tee -a /etc/apache2/conf-available/security.conf
    sudo a2enconf security 2>/dev/null || true
else
    sudo sed -i 's/^ServerTokens .*/ServerTokens Prod/' /etc/httpd/conf/httpd.conf 2>/dev/null || echo "ServerTokens Prod" | sudo tee -a /etc/httpd/conf/httpd.conf
    sudo sed -i 's/^ServerSignature .*/ServerSignature Off/' /etc/httpd/conf/httpd.conf 2>/dev/null || echo "ServerSignature Off" | sudo tee -a /etc/httpd/conf/httpd.conf
fi

# 2. Konfigurasi Firewall dan Fail2Ban
echo "[2/5] Mengonfigurasi Firewall dan menginstal Fail2Ban..."
if [ -f /etc/debian_version ]; then
    sudo ufw default deny incoming 2>/dev/null || true
    sudo ufw default allow outgoing 2>/dev/null || true
    sudo ufw allow ssh 2>/dev/null || true
    sudo ufw allow "Apache Full" 2>/dev/null || true
    sudo ufw --force enable 2>/dev/null || true

    sudo apt update -y && sudo apt install fail2ban -y
    sudo cp -n /etc/fail2ban/jail.conf /etc/fail2ban/jail.local 2>/dev/null || true
    sudo systemctl enable --now fail2ban
else
    sudo firewall-cmd --permanent --add-service=http 2>/dev/null || true
    sudo firewall-cmd --permanent --add-service=https 2>/dev/null || true
    sudo firewall-cmd --reload 2>/dev/null || true

    sudo dnf install epel-release -y 2>/dev/null || true
    sudo dnf install fail2ban -y
    sudo cp -n /etc/fail2ban/jail.conf /etc/fail2ban/jail.local 2>/dev/null || true
    sudo systemctl enable --now fail2ban
fi

# 3. Instalasi ModSecurity WAF
echo "[3/5] Menginstal ModSecurity WAF..."
if [ -f /etc/debian_version ]; then
    sudo apt install libapache2-mod-security2 -y
    sudo a2enmod security2
    sudo cp -n /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf 2>/dev/null || true
    sudo sed -i 's/SecRuleEngine DetectionOnly/SecRuleEngine On/' /etc/modsecurity/modsecurity.conf
else
    sudo dnf install mod_security -y
    sudo sed -i 's/SecRuleEngine DetectionOnly/SecRuleEngine On/' /etc/httpd/conf.d/mod_security.conf 2>/dev/null || true
fi

# 4. Matikan Directory Listing & 5. Aktifkan HTTP Security Headers
echo "[4/5 & 5/5] Mengaktifkan modul HTTP Security Headers..."
if [ -f /etc/debian_version ]; then
    sudo a2enmod headers
    sudo systemctl restart apache2
else
    sudo systemctl restart httpd
fi
echo "[✓] Selesai! Server Apache Anda kini telah dikonfigurasi dengan standar keamanan terbaik."

1. Cara Menyembunyikan Versi Apache & Informasi Sistem Operasi

Kesalahan fatal pertama yang sering dilakukan sysadmin pemula adalah membiarkan Apache membocorkan versi yang sedang digunakan pada halaman pesan error (misalnya 404 Not Found). Jika peretas mengetahui bahwa Anda menggunakan versi Apache yang lawas, mereka tinggal mencari celah keamanan (exploit CVE) yang spesifik untuk versi tersebut di internet.

# Buka file konfigurasi Apache di server Anda:
# - Ubuntu / Debian: /etc/apache2/conf-available/security.conf
# - RHEL / CentOS / AlmaLinux: /etc/httpd/conf/httpd.conf (atau /etc/httpd/conf.d/security.conf)

# Ubah atau tambahkan dua baris berikut:
ServerTokens Prod
ServerSignature Off

Konfigurasi di atas akan memaksa Apache hanya merespons sebagai "Apache", tanpa menyertakan nomor versi atau detail sistem operasi (misal: Ubuntu/Debian atau CentOS).

2. Mengaktifkan Firewall (UFW/Firewalld) dan Proteksi Brute Force dengan Fail2Ban

Keamanan jaringan server dimulai dari lapisan pertahanan akses dan autentikasi. Pertama, Anda harus membatasi agar server hanya merespons pada port-port yang benar-benar esensial, seperti port HTTP (80), HTTPS (443), dan SSH (22).

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw allow "Apache Full"
sudo ufw enable

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

Kedua, untuk melengkapi firewall dari ancaman serangan otomatis (seperti Brute Force pada halaman login atau pemindai kerentanan), Anda wajib mengimplementasikan Fail2Ban. Sistem pencegahan intrusi berbasis log ini memantau berkas log Apache secara real-time, lalu memblokir IP penyerang secara dinamis.

# Salin file konfigurasi default agar aman dari timpaan update
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Buka dan edit file /etc/fail2ban/jail.local, lalu aktifkan proteksi khusus Apache berikut (catatan: pada RHEL/CentOS ganti nama logpath jika menggunakan /var/log/httpd/*):

# Proteksi kegagalan autentikasi Apache
[apache-auth]
enabled  = true
port     = http,https
logpath  = %(apache_error_log)s
maxretry = 5
findtime = 600
bantime  = 3600

# Proteksi dari pemindai bot jahat dan eksploitasi URL
[apache-badbots]
enabled  = true
port     = http,https
logpath  = %(apache_access_log)s
bantime  = 86400
maxretry = 2

Mulai ulang layanan Fail2Ban untuk menerapkan aturan proteksi:

sudo systemctl enable --now fail2ban
sudo systemctl restart fail2ban
sudo fail2ban-client status apache-auth

3. Menginstal ModSecurity sebagai Web Application Firewall (WAF)

Apache memiliki modul yang sangat kuat bernama ModSecurity. Modul ini bertindak sebagai Web Application Firewall (WAF) sumber terbuka yang memonitor seluruh lalu lintas HTTP secara real-time. Ia dapat memblokir teknik peretasan umum seperti SQL Injection, Cross-Site Scripting (XSS), hingga serangan DDoS skala kecil secara otomatis.

sudo apt install libapache2-mod-security2 -y
sudo a2enmod security2
sudo systemctl restart apache2
# Path konfigurasi utama: /etc/modsecurity/modsecurity.conf

sudo dnf install mod_security -y
sudo systemctl restart httpd
# Path konfigurasi utama: /etc/httpd/conf.d/mod_security.conf (atau /etc/httpd/conf.modules.d/10-mod_security.conf)

4. Mematikan Fitur Directory Listing di Apache

Pernahkah Anda membuka sebuah tautan web dan malah disajikan dengan daftar file dan folder (mirip tampilan File Explorer)? Itu adalah fitur Directory Listing bawaan Apache. Jika fitur ini aktif, hacker bisa dengan mudah menjelajahi struktur folder Anda, mengunduh file konfigurasi .env, atau mencuri cadangan database (backup).

# Tambahkan konfigurasi ini pada file .htaccess atau blok  Anda:
Options -Indexes

5. Enkripsi SSL/HTTPS dan Konfigurasi HTTP Security Headers

Langkah kelima sekaligus yang sangat fundamental dalam cyber security web modern adalah mengamankan jalur transmisi data dan respons HTTP. Pertama, terapkan enkripsi SSL/HTTPS secara paksa (force redirect) agar data sensitif tidak dikirim dalam bentuk plain text.

# Konfigurasi VirtualHost untuk Force HTTPS
<VirtualHost *:80>
    ServerName namadomainanda.com
    Redirect permanent / https://namadomainanda.com/
</VirtualHost>

Kedua, perkuat keamanan pada layer peramban (browser) klien dengan mengaktifkan HTTP Security Headers (HSTS, CSP, X-Frame-Options) menggunakan modul mod_headers di Apache:

Tambahkan konfigurasi security headers berikut ke dalam blok VirtualHost atau file konfigurasi global Apache Anda:

<IfModule mod_headers.c>
    # 1. HSTS: Memaksa browser selalu menggunakan HTTPS selama 1 tahun (mitigasi SSL Stripping)
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

    # 2. X-Frame-Options: Mencegah serangan Clickjacking (melarang web dimuat di frame/iframe)
    Header always set X-Frame-Options "SAMEORIGIN"

    # 3. X-Content-Type-Options: Mencegah browser menebak tipe MIME (MIME-sniffing)
    Header always set X-Content-Type-Options "nosniff"

    # 4. Content-Security-Policy (CSP): Membatasi eksekusi skrip dan aset dari domain tidak dikenal (mitigasi XSS)
    Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://trusted-cdn.com; style-src 'self' 'unsafe-inline';"

    # 5. Referrer-Policy: Mengontrol informasi referrer ke domain eksternal
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Cara Memverifikasi Konfigurasi Keamanan Apache

Setelah menerapkan kelima langkah di atas, sangat penting untuk memvalidasi apakah konfigurasi dan security headers sudah aktif dan merespons dengan benar. Anda dapat menggunakan dua metode verifikasi berikut:

1. Pengujian Melalui Terminal (CLI)
Gunakan utilitas curl dengan argumen -I (hanya mengambil HTTP header) untuk mengecek respons server Anda secara langsung melalui terminal:

curl -I https://namadomainanda.com/

Pastikan dalam output terminal yang muncul terdapat baris seperti Strict-Transport-Security, X-Frame-Options, dan Content-Security-Policy dengan nilai yang sesuai dengan konfigurasi Anda.

2. Verifikasi Menggunakan Alat Online
Untuk pemeriksaan mendalam dan mendapatkan skor (grading) keamanan dari A+ hingga F, Anda dapat menguji domain situs Anda melalui layanan verifikasi online publik seperti SecurityHeaders.com dan Qualys SSL Labs.

Tabel Perbandingan Skor Keamanan (Sebelum vs. Sesudah Optimasi)

Berikut adalah perbandingan hasil audit dan skor kelulusan keamanan dari alat verifikasi publik sebelum dan sesudah menerapkan 5 Langkah Keamanan infokoding:

Pertanyaan yang Sering Diajukan (FAQ)

Kesimpulan

Menerapkan 5 Langkah Keamanan Terbaik di atas akan mengamankan server Apache Anda dari 99% upaya peretasan otomatis, mulai dari penyadapan data, injeksi skrip, hingga serangan brute force. Keamanan server bukanlah proses sekali jadi, melainkan rutinitas yang menuntut Anda untuk terus menambal (patch) dan memantau log secara berkala.

Selain mengamankan server webnya, pastikan Anda juga mengamankan kode logika Anda. Silakan lanjutkan membaca panduan sistem otentikasi backend modern yang telah kami bahas sebelumnya. Tetap waspada dan jangan pernah meremehkan cyber security!