Server yang terbuka ke internet selalu menjadi sasaran. Serangan DDoS dan aktivitas bot jahat bisa membuat layanan lambat, error, bahkan mati total dalam hitungan menit. Jika Anda mengelola aplikasi web, VPS, atau layanan API, memahami cara mengamankan server dari serangan DDoS dan bot bukan lagi opsional, melainkan kebutuhan dasar operasional.
Panduan ini membahas langkah praktis yang bisa langsung diterapkan: mulai dari memfilter lalu lintas di edge, membatasi akses, mengenali pola bot, hingga menyiapkan respons saat serangan terjadi. Fokusnya bukan teori keamanan yang rumit, tetapi tindakan nyata yang relevan untuk server produksi skala kecil sampai menengah.
Apa Itu Serangan DDoS dan Bot?
Sebelum masuk ke langkah teknis, penting membedakan dua ancaman yang sering dianggap sama. Keduanya bisa membuat server down, tetapi cara menanganinya berbeda.
Serangan DDoS
Distributed Denial of Service (DDoS) adalah upaya membanjiri server dengan lalu lintas palsu dari banyak sumber sekaligus. Tujuannya menghabiskan bandwidth, koneksi, CPU, atau memori sehingga pengguna asli tidak bisa mengakses layanan. Serangan ini bisa berbentuk volumetric (membanjiri bandwidth), protocol attack (memanipulasi handshake TCP), atau application layer attack yang menyerupai permintaan pengguna normal.
Bot Jahat dan Bot Trafik Berlebih
Tidak semua bot berbahaya. Mesin pencari dan layanan monitoring juga memakai bot. Yang perlu diwaspadai adalah bot jahat yang melakukan scraping agresif, mencoba login berulang, mengisi formulir spam, atau memindai celah keamanan. Bot seperti ini sering kali lebih sulit dideteksi karena volumenya kecil dan menyerupai perilaku manusia.
Langkah Mengamankan Server dari Serangan DDoS dan Bot
Pertahanan yang baik bersifat berlapis. Jangan bergantung pada satu alat saja, karena setiap lapisan punya keterbatasan.
1. Filter Lalu Lintas di Edge
Tempat pertama yang harus diperkuat adalah edge atau titik masuk trafik. Gunakan Web Application Firewall (WAF) dan pembatasan laju permintaan (rate limiting) agar permintaan mencurigakan ditolak sebelum mencapai aplikasi. Di Nginx, direktif seperti limit_req dan limit_conn membantu membatasi jumlah permintaan per IP dalam periode tertentu.
Jika memakai penyedia cloud atau CDN, aktifkan proteksi DDoS bawaan mereka. Lalu lintas akan disaring di jaringan penyedia, sehingga server asal tidak menerima beban penuh. Untuk konfigurasi yang lebih spesifik di level Nginx, Anda bisa mengikuti panduan hardening server dengan Fail2ban dan anti DDoS di Nginx yang membahas aturan pemblokiran dan pembatasan koneksi secara rinci.
2. Terapkan Proteksi DDoS Berlapis
Proteksi DDoS sebaiknya tidak hanya mengandalkan firewall lokal. Kombinasikan beberapa lapisan berikut:
- Anycast dan CDN untuk menyebar trafik ke banyak titik masuk.
- Scrubbing center milik penyedia keamanan untuk membersihkan trafik serangan.
- Autoscaling agar kapasitas tambahan tersedia saat lonjakan trafik masih dalam batas wajar.
- Timeout dan connection limit untuk mencegah koneksi menggantung menghabiskan resource.
Lapisan-lapisan ini memastikan serangan volumetric tidak langsung menyentuh server aplikasi Anda.
3. Batasi Akses dengan Firewall dan Fail2ban
Tutup semua port yang tidak dipakai. Hanya izinkan port layanan yang benar-benar dibutuhkan, seperti 80 dan 443 untuk web, serta batasi akses SSH hanya dari IP tepercaya bila memungkinkan. Gunakan firewall host seperti UFW, firewalld, atau nftables untuk menegakkan aturan tersebut.
Fail2ban melengkapi firewall dengan memantau log dan memblokir IP yang gagal login berulang kali atau memicu pola error tertentu. Untuk layanan yang terekspos, aktifkan autentikasi berbasis kunci, nonaktifkan login root, dan ubah port SSH default sebagai lapisan tambahan.
4. Kelola Bot dengan Tantangan dan Validasi
Untuk membedakan bot dari pengguna asli, gunakan mekanisme tantangan yang ringan. CAPTCHA atau challenge JavaScript bisa dipasang pada formulir login, pendaftaran, dan endpoint yang sering disalahgunakan. Namun, jangan memasangnya di semua halaman karena bisa mengganggu pengalaman pengguna dan berdampak buruk pada SEO.
Beberapa praktik yang membantu:
- Terapkan rate limit per endpoint, terutama pada API login dan pencarian.
- Gunakan robots.txt dan aturan
User-Agentuntuk mengarahkan bot yang patuh, meski ini tidak menghentikan bot jahat. - Validasi input dan gunakan token CSRF pada formulir.
- Blokir pola permintaan yang jelas berbahaya, seperti percobaan path traversal atau pemindaian file konfigurasi.
5. Pantau, Catat, dan Siapkan Rencana Respons
Serangan tidak selalu terlihat dari halaman depan. Pantau metrik seperti jumlah permintaan per detik, latensi, penggunaan CPU, dan koneksi aktif. Log akses yang rapi akan membantu Anda menemukan IP, endpoint, dan pola serangan dengan cepat.
Siapkan prosedur respons sederhana: siapa yang menghubungi penyedia, kapan aturan darurat diaktifkan, dan bagaimana komunikasi ke pengguna. Setelah insiden selesai, tinjau log untuk memperbaiki celah yang tersisa. Untuk perlindungan tambahan di sisi host, pertimbangkan juga pemasangan anti-malware dan antivirus yang tepat agar server tidak menjadi sarang malware setelah berhasil disusupi.
Peran Kerangka Kerja Keamanan dalam Pertahanan Server
Langkah-langkah di atas akan lebih terarah jika mengikuti kerangka kerja yang sudah terbukti. Kerangka kerja keamanan siber NIST membagi pengelolaan risiko menjadi lima fungsi: identify, protect, detect, respond, dan recover. Dengan pendekatan ini, pengamanan server tidak berhenti pada pemasangan firewall, tetapi mencakup pemetaan aset, deteksi dini, dan pemulihan setelah insiden.
Untuk tim kecil, kelima fungsi tersebut bisa diterjemahkan menjadi kebiasaan sederhana: mendata layanan yang berjalan, menutup akses yang tidak perlu, memantau log, menyiapkan backup, dan menguji prosedur pemulihan secara berkala. Kerangka kerja membantu memastikan tidak ada lapisan pertahanan yang terlewat.
Kesimpulan
Mengamankan server dari serangan DDoS dan bot membutuhkan kombinasi pencegahan di edge, pembatasan akses, pengelolaan bot, serta pemantauan yang konsisten. Mulailah dari langkah yang paling berdampak: aktifkan rate limiting, tutup port yang tidak perlu, pasang Fail2ban, dan siapkan proteksi DDoS dari penyedia. Setelah fondasi itu kuat, lengkapi dengan kerangka kerja keamanan dan prosedur respons agar server tetap andal saat menghadapi lonjakan trafik maupun serangan yang disengaja.