Hardening Zimbra MailServer

Satu pertanyaan yang selalu muncul dalam pikiran seorang sysadmin salah satu nya adalah:
“Apakah server yang saya maintenance sudah cukup aman? apakah hanya cukup mengupdate security patch dari OS sudah bisa membuat server saya aman dari serangan dari luar?”.
Berikut beberapa tips yang bisa meningkatkan keamanan server dari kemungkinan untuk di exploits

1.Hardening SSH server
Tambahkan/modifikasi paramater /etc/ssh/sshd_config menjadi nilai seperti dibawah

Disable root login via ssh dengan menambahkan parameter 'PermitRootLogin no'
Rubah listening port default menjadi nilai yang lain 'Port 2225'
Selalu gunakan protokol 2 'Protocol 2'
Tingkatkan nilai server key 'ServerKeyBits 2048'
Limit user yg bisa login ke sshd server 'AllowUsers udin zimbra'
Seleksi ciphers yg paling cepat dan strong 'Ciphers arcfour256,blowfish-cbc'
Gunakan sertifikat login jika memungkinkan

2.Membuang weak ciphers
scanning server anda secara online melalui web https://www.ssllabs.com/ssltest/
Hasilnya:

Kemudian check enabled ciphers:

zimbra$ zmprov gacf zimbraSSLExcludeCipherSuites

Kemudian disable satu persatu weak ciphers hasil scanning dari https://www.ssllabs.com/ssltest/

zimbra$ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
zimbra$ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_EXPORT_WITH_RC4_40_MD5
zimbra$ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5
zimbra$ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_DES_CBC_SHA

Restart zimbra

3.Gunakan strong sertifikat
Silahkan baca url berikut tentang cryptography dan key size dari wikipedia http://en.wikipedia.org/wiki/Key_size
dari url diatas di anjurkan untuk menggunakan nilai enkripsi yang paling tinggi untuk lebih mengamankan jalur komunikasi antara client dan server dalam hal ini (zimbra) naikan nilai keysize dari 1024 (default) menjadi 2048.

Edit berkas /opt/zimbra/bin/zmcertmgr (sebelumnya backup terlebih dahulu)
cari nilai ‘1024’ dan rubah menjadi ‘2048’ jika anda mengunakan nano gunakan Ctrl+w untuk mencari.
setelah itu buat kembali sertifikat dengan panduan link berikut Sertifikat-zimbra-server-untuk-multiple-domain

4.Tutup Port yg bukan untuk umum
Menutup port disini maksudnya membatasi port2 tersebut sehingga hanya bisa di akses dalam batas localhost dan koneksi IIX selain itu akan direject oleh firewall/iptables.

Ini berguna untuk mengurangi kemungkinan bruteforce attack baik dari hacker ataupun oleh server-server yg sudah terinfeksi oleh bots.
contoh port yang di batasi Openssh port 22 ,Zimbra admin console 7071 ,mysql port 3306 ,dns 53 dll.

Salam