 |
| Ilustrasi log sistem yang mendeteksi dan memblokir aktivitas IP mencurigakan |
OPREKSANTAI.ID - Baru-baru ini admin mengalami sebuah kejadian yang cukup mengkhawatirkan, yaitu adanya serangan dari beberapa IP berbahaya ke dalam sistem website opreksantay.web.id. Serangan ini terdeteksi melalui sistem monitoring yang menunjukkan adanya lonjakan request mencurigakan dari berbagai alamat IP.
Awalnya admin mengira ini hanya traffic biasa, namun setelah dianalisis lebih dalam ternyata request tersebut tergolong aktivitas berbahaya yang berpotensi merusak sistem.
Menariknya, semua IP tersebut berhasil diblokir secara otomatis oleh sistem keamanan. Ini menunjukkan bahwa perlindungan dasar sudah berjalan dengan baik.
Karena saya menumpang ke hosting teman jadi website teman juga dapat serangan karena satu server yang sama alhasil blog saya dihapus dikhawatirkan membahayakan juga pada blog teman saya.
Dalam artikel ini, admin akan membahas pengalaman nyata ini, jenis serangan yang mungkin terjadi, serta cara mengamankan website dari ancaman serupa.
Daftar isi
Data Serangan yang Terdeteksi
Berikut beberapa IP yang terdeteksi melakukan aktivitas berbahaya:
- 94.26.106.239 → 534 request
- 103.168.66.237 → 139 request
- 2a06:98c0:3600::103 → 135 request
- 195.178.110.199 → 62 request
- 20.44.177.173 → 46 request
Dari data tersebut terlihat bahwa ada IP yang mencoba mengakses sistem hingga ratusan kali dalam waktu relatif singkat. Ini jelas bukan aktivitas normal pengguna.
Analisis Jenis Serangan
1. Brute Force Attack
Serangan ini biasanya menargetkan halaman login dengan mencoba berbagai kombinasi password secara terus-menerus.
Ini contoh brute force attack dari IP 13.67.116.60:
{
"action": "block",
"clientASNDescription": "Microsoft Corporation",
"clientAsn": "8075",
"clientCountryName": "SG",
"clientIP": "13.67.116.60",
"clientRefererHost": "",
"clientRequestHTTPHost": "opreksantai.id",
"clientRequestHTTPMethodName": "POST",
"clientRequestHTTPProtocol": "HTTP/1.1",
"clientRequestPath": "/webtools/control/httpService",
"clientRequestQuery": "",
"contentScanObjTypes": [],
"datetime": "2026-05-06T13:08:32Z",
"ref": "",
"rayName": "9f7836d5ca544104",
"ruleId": "ccbc6d37c3c74e13aa337ce2a65051ce",
"description": "Block Path",
"rulesetId": "b9395a83029f4cedb47adc8850fffa44",
"source": "firewallCustom",
"userAgent": "Mozilla/5.0 (X11; CrOS x86_64 14816.131.0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.0.0 Safari/537.36",
"zoneVersion": 0,
"matchIndex": 0,
"metadata": [
{
"key": "ruleset_version",
"value": "106"
},
{
"key": "version",
"value": "26"
},
{
"key": "type",
"value": "customer"
}
],
"sampleInterval": 1
}
2. Bot Attack
Request dalam jumlah besar kemungkinan berasal dari bot otomatis yang mencoba mengeksploitasi celah.
3. Vulnerability Scanning
Penyerang bisa saja sedang mencari celah keamanan dengan mengakses berbagai endpoint seperti:
- /login
- /admin
- /wp-admin
- /api
4. DDoS Skala Kecil
Meskipun belum besar, pola ini bisa menjadi bagian dari serangan DDoS bertahap.
Mengapa Website Bisa Menjadi Target?
Banyak orang berpikir hanya website besar yang diserang, padahal faktanya:
- Website kecil lebih sering jadi target
- Keamanan biasanya lebih lemah
- Banyak menggunakan plugin rentan
Terutama bagi pengguna WordPress, celah sering berasal dari plugin yang tidak di-update.
Risiko Jika Tidak Ditangani
- Website diretas
- Data dicuri
- Website down
- Masuk blacklist Google
Dalam beberapa kasus, kerusakan baru terasa setelah semuanya terlambat.
Sistem Proteksi yang Berhasil Mencegah
Dari kasus ini, sistem berhasil melakukan:
- Deteksi request berbahaya
- Pemblokiran otomatis IP
- Monitoring aktivitas real-time
Kemungkinan sistem sudah menggunakan firewall atau WAF yang cukup baik.
Cara Mencegah Serangan Serupa
1. Aktifkan Rate Limiting
Membatasi jumlah request dari satu IP.
2. Gunakan Firewall / WAF
Melindungi server dari request berbahaya sebelum masuk.
3. Update Plugin & Sistem
Jangan biarkan celah terbuka dari software lama.
4. Gunakan CAPTCHA
Mencegah bot otomatis.
5. Aktifkan 2FA
Lapisan keamanan tambahan untuk login.
6. Backup Data
Langkah penting untuk menghindari kehilangan data.
Buat Rules Di Cloudflare untuk Batasi Trafik
Cara membuat rules Anda masuk security rules dan klik create rules sebagai contoh seperti berikut ini dan di taruh pada edit expression dan pilih block pada take action.
(http.request.uri.path contains "/admin") or (http.request.uri.path contains "/wp-admin") or (http.request.uri.path contains "/config") or (http.request.uri.path contains ".env") or (http.request.uri.path contains "/xmlrpc.php") or (ip.src in {13.67.116.60}) or (http.request.uri.path contains "/wp-content/plugins/featurific-for-wordpress/readme.txt" and http.request.uri.path contains "/index.php" and http.request.uri.query contains "?-d+allow_url_include%3don+-d+auto_prepend_file%3dphp%3a//input" and http.request.uri.path contains "/lcms/index.php") or (http.request.uri.path contains "//site/wp-includes/wlwmanifest.xml" and ip.src in {52.247.106.58}) or (http.request.uri.path contains "//site" and http.request.uri.path contains "//wp-content") or (http.request.uri.path contains "/_snapshot/test" and http.request.uri.path contains "//website/wp-includes/wlwmanifest.xml" and ip.src in {45.89.60.157} and ip.src in {47.82.11.56} and http.request.uri.path contains "/wp-content/txets.php" and ip.src in {34.173.239.49} and ip.src in {198.235.24.162}) or (http.user_agent contains "Hello from Palo Alto Networks, find out more about our scans in https://docs-cortex.paloaltonetworks.com/r/1/Cortex-Xpanse/Scanning-activity" and ip.src in {147.185.132.78} and ip.src in {198.235.24.162}) or (ip.src in {147.185.132.78} and ip.src in {119.28.100.145} and ip.src in {104.28.203.54} and http.request.uri.path contains "/wp-admin/postnews.php" and http.request.uri.path contains "/postnews.php" and http.request.uri.path contains "/222" and http.request.uri.path contains "/ioxi-o.php" and http.request.uri.path contains "/struts2-rest-showcase/orders/3" and ip.src in {20.44.177.173} and ip.src in {103.168.66.237} and ip.src in {195.178.110.199} and ip.src in {147.185.132.54} and ip.src in {2a09:bac1:76c0:780::5e:44}) or (ip.src in {104.28.203.54})
Fungsinya untuk memfilter agar trafik bot tidak masuk.
Realita yang Harus Dipahami
Serangan seperti ini bukan hal langka. Bahkan admin sendiri mengalaminya secara langsung.
Jika Anda memiliki website, maka Anda sudah menjadi target.
Perbedaannya hanya satu: apakah Anda siap atau tidak.
Kesimpulan
Kasus serangan IP berbahaya ini menjadi bukti bahwa ancaman siber itu nyata dan bisa terjadi kapan saja.
Untungnya, sistem berhasil memblokir semua aktivitas mencurigakan. Namun ini bukan alasan untuk lengah.
Solusi terbaik adalah selalu meningkatkan keamanan dan tidak menunggu sampai serangan berhasil masuk.
Sumber Referensi:
Cloudflare