Cara Amankan GlobalProtect VPN dari Serangan Brute Force

GlobalProtect VPN dari Palo Alto Networks memungkinkan karyawan mengakses jaringan perusahaan dari luar kantor melalui koneksi yang terlindungi. Namun, portal dan gateway VPN yang dapat diakses melalui internet juga berpotensi menjadi sasaran serangan brute force. Dalam serangan ini, pelaku mencoba berbagai kombinasi username dan password untuk memperoleh akses tanpa izin.

Cara amankan GlobalProtect VPN dari serangan brute force perlu mencakup lebih dari sekadar penggunaan password yang kuat. Perusahaan juga perlu menerapkan Multi-Factor Authentication (MFA), membatasi akses berdasarkan kebutuhan, mendeteksi percobaan login berulang, serta meninjau log keamanan secara berkala.

GlobalProtect VPN yang terbuka ke internet sering menjadi target serangan brute force karena portal dan gateway-nya dapat diakses dari mana saja. Langkah pengamanan yang umum dilakukan meliputi penerapan autentikasi multi-faktor (MFA), pembatasan percobaan login, pemanfaatan Vulnerability Protection, serta pemantauan log autentikasi secara rutin. Konfigurasi yang kurang tepat dapat meninggalkan celah yang mudah dieksploitasi. Jika Anda ingin memastikan VPN perusahaan aman dan tetap nyaman digunakan karyawan, tim dari Jasa Instalasi, Setting dan Konsultasi Palo Alto Firewall Profesional siap membantu mengaudit dan memperkuat konfigurasi GlobalProtect Anda.

Dengan menggabungkan beberapa lapisan perlindungan tersebut, tim IT dapat mengurangi risiko pengambilalihan akun dan membantu menjaga akses remote tetap aman tanpa mengganggu operasional pengguna yang sah.

Apa Itu Serangan Brute Force pada GlobalProtect VPN?

Serangan brute force merupakan upaya memperoleh akses dengan mencoba banyak kombinasi kredensial secara berulang. Pada GlobalProtect, serangan dapat menargetkan portal atau gateway VPN yang menyediakan akses remote ke sumber daya perusahaan.

Selain mencoba kombinasi password secara acak, pelaku dapat menggunakan credential stuffing, yaitu mencoba username dan password yang sebelumnya bocor dari layanan lain. Karena itu, penggunaan password yang sama di berbagai sistem dapat meningkatkan risiko pengambilalihan akun.

Beberapa tanda yang perlu diperhatikan meliputi:

• Lonjakan kegagalan autentikasi dalam waktu singkat.
• Banyak username berbeda dicoba dari alamat IP yang sama.
• Percobaan login berasal dari lokasi atau jaringan yang tidak biasa.
• Akun tertentu mengalami kegagalan autentikasi berulang.
• Aktivitas login terjadi di luar pola operasional normal.
• Terdapat percobaan akses setelah kredensial pengguna diketahui bocor.

Satu indikator saja belum tentu membuktikan adanya serangan. Misalnya, pengguna yang salah mengetik password berulang kali juga dapat menghasilkan kegagalan autentikasi. Karena itu, tim IT perlu menghubungkan informasi dari log, sumber koneksi, identitas pengguna, dan pola aktivitas sebelum mengambil tindakan.

1. Aktifkan Multi-Factor Authentication pada GlobalProtect

MFA merupakan salah satu kontrol terpenting untuk mengurangi risiko penggunaan kredensial yang dicuri. Dengan MFA, username dan password saja tidak cukup untuk menyelesaikan autentikasi. Pengguna juga harus memenuhi faktor tambahan, seperti kode sekali pakai, persetujuan autentikasi, atau sertifikat klien sesuai metode yang didukung.

Jika password pengguna berhasil ditebak atau bocor, faktor tambahan dapat menjadi penghalang bagi pelaku untuk masuk ke VPN.

Palo Alto Networks mendukung beberapa metode autentikasi GlobalProtect, termasuk integrasi dengan layanan autentikasi eksternal dan mekanisme dua faktor. Metode yang tersedia bergantung pada arsitektur, konfigurasi, dan layanan yang digunakan perusahaan.

Langkah penerapan yang perlu dipertimbangkan:

1. Identifikasi portal, gateway, serta kelompok pengguna yang memerlukan autentikasi tambahan.
2. Pilih metode MFA yang sesuai dengan sistem identitas dan kebutuhan bisnis.
3. Terapkan kebijakan autentikasi pada komponen GlobalProtect yang relevan.
4. Uji proses login, pemulihan akun, dan skenario ketika faktor kedua tidak tersedia.
5. Siapkan prosedur darurat yang tetap aman untuk menangani pengguna yang kehilangan perangkat autentikasi.

Prioritaskan MFA untuk administrator, pengguna dengan akses ke sistem kritis, serta koneksi remote yang dapat menjangkau jaringan sensitif.

Referensi: Set Up Two-Factor Authentication — Palo Alto Networks.

2. Konfigurasikan Deteksi dan Pemblokiran Brute Force

Palo Alto Networks menyediakan signature Vulnerability Protection yang dapat membantu mendeteksi pola percobaan login berulang terhadap GlobalProtect. Signature ini perlu dipahami dengan benar agar administrator tidak salah menerapkan tindakan pemblokiran.

Dua Threat ID yang relevan adalah:

Threat ID	Fungsi
40017	Mendeteksi pola serangan brute force pada portal GlobalProtect berdasarkan sejumlah percobaan yang memenuhi kondisi signature
40169	Mendeteksi pola kegagalan login pada portal atau gateway GlobalProtect, termasuk pola yang relevan dengan credential stuffing

Kedua signature tersebut memiliki kondisi pemicu dan perilaku yang berbeda. Ambang batas, interval waktu, serta tindakan yang tersedia perlu diperiksa berdasarkan versi PAN-OS dan konten signature yang terpasang.

Secara umum, proses penerapannya meliputi:

• Pastikan konten keamanan dan signature Vulnerability Protection telah diperbarui.
• Tinjau kondisi pemicu dan tindakan bawaan pada signature yang relevan.
• Tentukan apakah kebijakan perlu dimulai dengan alert atau menggunakan tindakan pencegahan.
• Terapkan Vulnerability Protection Profile pada Security Policy yang menangani akses menuju layanan GlobalProtect.
• Pantau hasilnya sebelum memperluas cakupan pemblokiran.

Penting untuk membedakan signature induk yang mendeteksi pola serangan berulang dengan signature anak yang mengenali percobaan autentikasi individual. Mengubah signature anak menjadi tindakan blokir tanpa memahami dampaknya dapat memblokir permintaan autentikasi yang sah. Untuk menangani brute force, evaluasi tindakan pada signature induk dan kondisi pemicunya sesuai panduan vendor.

Dokumentasi resmi: Detecting Brute Force Attack on GlobalProtect Portal Page.

3. Batasi Sumber Akses ke Portal dan Gateway VPN

Jika perusahaan memiliki kelompok pengguna yang berasal dari lokasi atau jaringan tertentu, pembatasan sumber koneksi dapat mengurangi paparan layanan VPN ke internet.

Palo Alto Networks merekomendasikan penggunaan Security Policy untuk mengendalikan sumber akses dan, jika sesuai dengan kebutuhan organisasi, memanfaatkan informasi geolokasi serta daftar alamat IP berbahaya.

Beberapa langkah yang dapat dipertimbangkan:

• Izinkan koneksi hanya dari wilayah yang memang diperlukan oleh operasional perusahaan.
• Gunakan External Dynamic Lists (EDL) atau sumber intelijen ancaman yang sesuai untuk memblokir alamat berbahaya.
• Tinjau alamat IP yang diizinkan secara berkala.
• Pastikan akses bagi karyawan yang bekerja saat bepergian atau menggunakan jaringan seluler tetap dipertimbangkan.
• Hindari menganggap geolokasi sebagai bukti pasti bahwa koneksi aman atau berbahaya.

Geolokasi tidak menggantikan MFA. Penyerang dapat menggunakan VPN komersial, proxy, atau infrastruktur yang berada di wilayah yang diizinkan. Karena itu, pembatasan sumber koneksi sebaiknya menjadi lapisan tambahan, bukan satu-satunya mekanisme pertahanan.

Daftar blokir dinamis juga perlu dikelola dengan hati-hati. Alamat IP dapat digunakan bersama oleh banyak pengguna, sehingga pemblokiran yang terlalu luas berpotensi mengganggu akses yang sah.

4. Gunakan Account Lockout dan Batasi Percobaan Login

Account lockout membatasi jumlah kegagalan autentikasi berturut-turut sebelum akun dikunci. Fitur ini dapat membantu mengurangi percobaan password berulang, tetapi konfigurasi harus disesuaikan dengan metode autentikasi yang digunakan.

Pada Authentication Profile Palo Alto Networks, pengaturan Failed Attempts dan Lockout Time tersedia untuk jenis autentikasi tertentu. Dokumentasi menyebutkan bahwa jika jumlah kegagalan diatur ke nol, pembatasan tersebut berarti tidak ada batas percobaan. Pengaturan ini juga memiliki ketentuan tersendiri jika waktu lockout bernilai nol.

Sebelum menetapkan nilainya, administrator perlu:

1. Memeriksa jenis autentikasi yang digunakan GlobalProtect.
2. Menentukan jumlah kegagalan yang masih wajar untuk mengakomodasi kesalahan pengguna.
3. Menetapkan durasi penguncian yang seimbang antara keamanan dan kelangsungan operasional.
4. Menguji dampak kebijakan terhadap pengguna yang sah.
5. Menyiapkan proses pemulihan akun dan pemantauan kejadian penguncian.

Jangan hanya mengandalkan account lockout. Dalam serangan yang menargetkan banyak username, penguncian akun yang terlalu agresif dapat digunakan untuk mengganggu pengguna sah. Gabungkan kontrol akun dengan deteksi berbasis sumber koneksi, MFA, dan pemantauan aktivitas.

Referensi: Configure an Authentication Profile — Palo Alto Networks.

5. Pantau Log Autentikasi dan Siapkan Alert

Deteksi brute force akan lebih efektif jika tim IT mengetahui pola normal akses GlobalProtect. Logging membantu membedakan kesalahan login biasa dengan percobaan berulang yang berpotensi berbahaya.

Tinjau informasi yang tersedia pada log sistem, log ancaman, dan log autentikasi sesuai konfigurasi perangkat. Jika perusahaan menggunakan platform pemantauan terpusat, pertimbangkan untuk mengirimkan log yang relevan ke sistem tersebut.

Indikator yang dapat dipantau antara lain:

• Peningkatan jumlah kegagalan autentikasi dalam periode tertentu.
• Percobaan login terhadap banyak akun dari satu sumber.
• Kegagalan berulang pada satu akun dari berbagai sumber.
• Login yang berhasil setelah serangkaian kegagalan.
• Perubahan pola lokasi, waktu, atau sumber akses pengguna.

Alert sebaiknya memiliki ambang batas yang realistis. Jika terlalu sensitif, tim keamanan akan menerima banyak notifikasi yang tidak memerlukan tindakan. Jika terlalu longgar, serangan dapat berlangsung sebelum terdeteksi.

Untuk setiap alert, tentukan siapa yang bertanggung jawab meninjau kejadian, bagaimana cara memverifikasi aktivitas, dan kapan alamat IP atau akun perlu dibatasi lebih lanjut.

6. Perkuat Pengelolaan Kredensial dan Akses Pengguna

MFA dan pemblokiran brute force akan lebih efektif jika disertai pengelolaan identitas yang baik. Perusahaan perlu memastikan bahwa hanya pengguna yang masih memiliki kebutuhan operasional yang dapat menggunakan GlobalProtect.

Praktik yang disarankan meliputi:

• Gunakan password unik dan kuat, serta larang penggunaan ulang password yang sama pada layanan berbeda.
• Nonaktifkan akun karyawan atau kontraktor yang sudah tidak membutuhkan akses.
• Batasi kelompok pengguna yang diizinkan melakukan autentikasi.
• Terapkan hak akses minimum setelah koneksi VPN berhasil dibuat.
• Gunakan sertifikat klien jika sesuai dengan desain autentikasi.
• Tinjau akun istimewa dan akun layanan secara terpisah dari akun pengguna biasa.

Berhasil masuk ke VPN tidak seharusnya otomatis memberikan akses ke seluruh jaringan internal. Terapkan Security Policy yang membatasi tujuan koneksi berdasarkan peran, aplikasi, dan kebutuhan pekerjaan.

Dengan demikian, jika sebuah akun berhasil disalahgunakan, cakupan akses yang tersedia bagi pelaku dapat tetap dibatasi.

7. Perbarui PAN-OS dan GlobalProtect secara Terencana

Firewall dan aplikasi GlobalProtect perlu dipelihara agar tetap mendapatkan perbaikan keamanan serta kompatibilitas yang sesuai. Selain pembaruan perangkat lunak, konten keamanan yang memuat signature terbaru juga perlu diperiksa secara berkala.

Pembaruan tidak boleh dilakukan secara sembarangan pada perangkat produksi. Administrator sebaiknya memeriksa rekomendasi vendor, catatan rilis, kompatibilitas, serta prosedur pemulihan sebelum perubahan dilakukan.

Langkah pemeliharaan yang dapat diterapkan:

1. Tinjau versi PAN-OS dan GlobalProtect yang sedang digunakan.
2. Periksa advisori keamanan serta rekomendasi pembaruan resmi.
3. Pastikan cadangan konfigurasi tersedia dan dapat digunakan.
4. Uji perubahan pada lingkungan yang sesuai jika memungkinkan.
5. Jadwalkan pemeliharaan dan informasikan dampaknya kepada pengguna.
6. Setelah pembaruan, verifikasi koneksi VPN, autentikasi, kebijakan keamanan, serta log.

Selain pembaruan, pastikan antarmuka manajemen firewall tidak terekspos secara tidak perlu ke internet. Akses administratif sebaiknya dibatasi ke sumber tepercaya dan dipisahkan dari akses VPN pengguna biasa.

Checklist Keamanan GlobalProtect VPN

Gunakan checklist berikut untuk menilai kesiapan perlindungan brute force di lingkungan perusahaan.

Pemeriksaan	Tujuan
MFA	Mengurangi risiko penggunaan password yang dicuri
Vulnerability Protection	Mendeteksi pola brute force berdasarkan signature
Security Policy	Membatasi sumber akses menuju portal dan gateway
Account lockout	Mengurangi percobaan login berulang sesuai metode autentikasi
Logging dan alert	Mempercepat deteksi dan investigasi
Pengelolaan akun	Memastikan akses hanya diberikan kepada pengguna yang berwenang
Pembaruan keamanan	Menjaga perangkat lunak dan signature tetap relevan
Akses administrasi	Mencegah antarmuka manajemen terekspos tanpa kebutuhan

Checklist ini merupakan dasar evaluasi, bukan jaminan bahwa seluruh serangan dapat dicegah. Hasil perlindungan tetap bergantung pada desain autentikasi, konfigurasi kebijakan, pemantauan, dan respons insiden.

Kapan Perusahaan Membutuhkan Evaluasi Keamanan GlobalProtect?

Evaluasi perlu dipertimbangkan ketika log menunjukkan lonjakan kegagalan autentikasi, akun VPN sering terkunci, akses remote semakin luas, atau perusahaan belum memiliki MFA dan pemantauan yang memadai.

Peninjauan juga relevan setelah perubahan sistem identitas, penambahan gateway, migrasi PAN-OS, atau penerapan kebijakan akses baru. Tujuannya adalah memastikan kontrol keamanan tetap sesuai dengan risiko dan kebutuhan operasional.

Trijaya Firewall menyediakan layanan terkait implementasi dan pengelolaan firewall yang dapat disesuaikan dengan kebutuhan infrastruktur. Perusahaan dapat mempelajari layanan konfigurasi firewall, maintenance firewall, troubleshooting firewall, dan instalasi firewall.

Ruang lingkup evaluasi dapat mencakup peninjauan konfigurasi GlobalProtect, kebijakan autentikasi, Vulnerability Protection Profile, logging, dan aturan akses. Perubahan sebaiknya dilakukan dengan persetujuan pemilik sistem, pengujian yang sesuai, serta prosedur pemulihan untuk meminimalkan risiko gangguan.

Untuk konsultasi kebutuhan keamanan GlobalProtect VPN, hubungi Trijaya Firewall melalui WhatsApp atau email ke sales@trijayafirewall.com.

FAQ Cara Amankan GlobalProtect VPN

Apakah MFA dapat menghentikan semua serangan brute force?

Tidak. MFA menambahkan lapisan autentikasi yang dapat menghambat penyalahgunaan password, tetapi tidak menghilangkan seluruh risiko. Perusahaan tetap membutuhkan pembatasan akses, pemantauan, perlindungan endpoint, dan respons insiden.

Apa perbedaan Threat ID 40017 dan 40169?

Threat ID 40017 berkaitan dengan deteksi pola brute force pada portal GlobalProtect, sedangkan 40169 berkaitan dengan pola kegagalan login pada portal atau gateway. Kondisi pemicu dan tindakan yang tersedia berbeda, sehingga administrator harus memeriksa dokumentasi signature dan versi PAN-OS yang digunakan.

Apakah semua alamat IP dari luar negeri harus diblokir?

Tidak selalu. Pemblokiran berdasarkan geolokasi dapat membantu jika akses perusahaan memang terbatas pada wilayah tertentu. Namun, kebijakan tersebut perlu mempertimbangkan karyawan yang bepergian, penggunaan jaringan seluler, dan kemungkinan pelaku menggunakan proxy atau VPN.

Apakah account lockout cukup untuk melindungi GlobalProtect?

Tidak. Account lockout membantu membatasi percobaan autentikasi, tetapi tidak menggantikan MFA, deteksi brute force, pembatasan sumber akses, atau pemantauan log. Pengaturan yang terlalu agresif juga dapat menyebabkan gangguan bagi pengguna yang sah.

Kesimpulan

Cara amankan GlobalProtect VPN dari serangan brute force membutuhkan pendekatan berlapis. MFA membantu melindungi akun dari penggunaan password yang dicuri, Vulnerability Protection dapat mendeteksi pola percobaan login berulang, dan Security Policy membantu membatasi sumber koneksi yang dapat mencapai portal serta gateway VPN.

Perusahaan juga perlu mengelola account lockout secara hati-hati, memantau log autentikasi, mengendalikan akses pengguna, dan memelihara PAN-OS serta GlobalProtect secara terencana. Dengan kombinasi kontrol yang tepat dan evaluasi berkala, risiko pengambilalihan akun VPN dapat dikurangi tanpa mengabaikan kebutuhan akses remote yang sah.