Keamanan Active Directory: Panduan Perlindungan Identitas

By Mirko Peters · 2025-11-23 · Updated 2026-07-18

Pelajari keamanan Active Directory dengan panduan praktis tentang arsitektur, implementasi, keamanan, dan tata kelola.

Automatically translated with AI from the original post. Read the English original

Active Directory sangat penting bagi penyerang di setiap perusahaan. Jika seseorang mengambil alih kendali, Anda kehilangan kendali atas orang, file, email, dan layanan cloud. Penyerang tidak memerlukan keterampilan peretasan khusus. Mereka memanfaatkan kesalahan kecil untuk mendapatkan akses penuh. Anda harus bertindak cepat dan mengambil langkah yang jelas untuk melindungi hal-hal yang penting.

Poin Penting

• Active Directory membantu mengontrol siapa yang dapat menggunakan jaringan Anda. Menjaganya tetap aman mencegah penyerang mendapatkan data dan sistem penting.

• Periksa akun admin secara rutin dan hapus akun yang tidak Anda perlukan. Hal ini mempersulit penyerang dalam menggunakan akun yang memiliki kewenangan besar.

• Terapkan tiering dan segmentasi di jaringan Anda. Langkah ini mencegah penyerang bergerak dengan mudah dan membantu menghentikan masalah besar.

• Aktifkan Multi-Factor Authentication (MFA) untuk semua akun admin. Ini memberikan perlindungan tambahan terhadap pihak yang tidak berhak masuk.

• Pantau log dan gunakan alat keamanan untuk menemukan aktivitas yang mencurigakan. Menemukan masalah sejak dini memungkinkan Anda bertindak cepat untuk menghentikan ancaman.

Mengapa Penyerang Menargetkan Active Directory

Peran Sentral dalam Autentikasi

Active Directory membantu menentukan siapa yang dapat menggunakan jaringan, file, dan aplikasi Anda. Ia menjadi penjaga utama bagi sebagian besar perusahaan. Penyerang memahami fakta ini. Jika mereka menguasai Active Directory, mereka dapat mengendalikan hampir segalanya.

Berikut tabel yang menjelaskan mengapa penyerang menginginkan Active Directory:

Active Directory memungkinkan Anda mengelola semua pengguna, komputer, dan aturan di satu tempat. Anda dapat mengatur kebijakan grup untuk membuat aturan bagi semua orang. Hal ini memudahkan pekerjaan Anda. Namun, jika penyerang berhasil masuk, mereka dapat mengakses segalanya dari satu titik.

Konsekuensi Kompromi

Jika seseorang mengambil alih Active Directory, hal-hal buruk dapat terjadi. Anda mungkin kehilangan akses ke file atau layanan. Penyerang dapat mengunci Anda, mencuri data Anda, atau menghentikan bisnis Anda.

Berikut beberapa hal yang dapat terjadi:

• Pengguna tidak dapat mengakses sumber daya atau layanan.

• Sistem TI dapat mati dan berhenti berfungsi.

• Aktivitas bisnis dapat terhenti, dan Anda bisa kehilangan uang serta waktu.

Tips: Melindungi Active Directory bukan hanya soal menghentikan peretas. Langkah ini juga menjaga bisnis Anda tetap berjalan dan data Anda tetap aman.

Ketika Anda memahami risikonya, Anda akan melihat mengapa penyerang ingin masuk ke Active Directory. Anda perlu mencari titik lemah dan memperbaikinya sebelum penyerang melakukannya.

Jalur Serangan Active Directory

Penyerang tidak memerlukan alat canggih untuk masuk. Mereka memulai dari hal kecil dan berupaya memperoleh kendali lebih besar. Anda perlu memahami setiap langkah agar dapat menghentikan mereka sejak awal.

Akses Awal dan Pergerakan Lateral

Penyerang sering menggunakan trik sederhana terlebih dahulu. Mereka mengirim email palsu untuk mencuri kata sandi. Terkadang, mereka menggunakan kata sandi yang tidak pernah diubah. Mereka mungkin mencoba kata sandi umum pada banyak akun. Jika jaringan Anda memiliki titik lemah, penyerang dapat menemukannya dengan alat bantu.

Setelah berhasil masuk, penyerang berpindah ke komputer lain. Mereka menggunakan pass-the-hash untuk mencuri hash kata sandi. Lalu, mereka menggunakan hash tersebut untuk masuk ke tempat lain. Kerberoasting menargetkan akun layanan dengan kata sandi yang lemah. Penyerang menggunakan BloodHound untuk melihat jaringan Anda dan mencari cara untuk mendapatkan kekuasaan lebih besar.

Jalur serangan umum meliputi:

• Kerberoasting untuk membobol kata sandi akun layanan.

• Peracunan LLMNR/NBT-NS untuk mengambil hash kata sandi.

• Penggunaan kata sandi yang ditanamkan (hard-coded) dalam skrip.

• Pengintaian LDAP untuk mengetahui informasi tentang pengguna dan komputer.

Catatan: Sebagian besar tindakan ini terlihat seperti pekerjaan admin yang normal. Anda perlu memperhatikan tanda-tanda kecil bahwa ada yang tidak beres.

Teknik Peningkatan Hak Akses

Setelah berhasil masuk, penyerang menginginkan hak akses yang lebih tinggi. Mereka menggunakan berbagai cara untuk memperoleh hak istimewa yang lebih tinggi. Berikut tabel yang menunjukkan beberapa metode umum:

Metode Dominasi Domain

Penyerang menginginkan kendali penuh ketika mereka memiliki hak akses tinggi. Mereka mungkin membuat tiket palsu yang disebut golden ticket. Tiket ini memungkinkan mereka masuk ke mana saja dalam waktu lama. Sebagian menggunakan serangan DCSync untuk menyalin semua hash kata sandi dari pengendali domain. Yang lain mencuri file NTDS.dit, yang berisi setiap kata sandi di jaringan Anda.

Tanda-tanda dominasi domain meliputi:

• Ransomware menghapus setiap pengendali domain.

• Cadangan yang justru mengembalikan malware saat dipulihkan.

• Tidak ada cadangan bersih untuk digunakan dalam pemulihan.

• Penyerang tetap bertahan meskipun Anda sudah mencoba memperbaiki keadaan.

• Kesalahan besar yang mengunci semua orang dari sistem.

Jika penyerang sampai pada tahap ini, mereka menguasai seluruh jaringan Anda. Anda harus menghentikan mereka sebelum mencapai tahap ini.

Kelemahan Radius Dampak Admin

Risiko Hak Akses Berlebihan

Jika terlalu banyak akun memiliki akses tinggi, hal itu berisiko. Penyerang mencari akun-akun ini. Satu kesalahan saja dapat memberi mereka kendali. Terkadang, akun tetap memiliki aksesnya meskipun tidak lagi diperlukan. Akun lama seperti ini mudah ditemukan oleh penyerang. Shadow Admin dapat bersembunyi di dalam sistem Anda. Akun tersebut bisa berasal dari perbaikan cepat atau akun layanan. Akun-akun ini bergabung ke grup yang powerful. Anda mungkin tidak melihatnya. Penyarangan grup (group nesting) di Active Directory membuatnya sulit dikenali.

• Penyerang menggunakan akun bertenaga tinggi untuk menjangkau hal-hal penting.

• Jika satu akun admin berhasil diretas, penyerang dapat mengubah pengaturan, mencuri data, atau memasang perangkat lunak berbahaya.

• Akun admin lama yang tidak diawasi membantu penyerang tetap tersembunyi.

Tips: Periksa akun admin secara berkala. Hapus akun yang tidak Anda perlukan.

Penyekatan Tingkat dan Segmentasi

Anda dapat menurunkan risiko dengan membagi jaringan menjadi beberapa lapisan. Ini disebut penjenjangan (tiering) dan segmentasi. Cara ini membantu Anda mengontrol siapa yang dapat mengakses tempat-tempat penting. Ketika Anda membuat segmen terpisah, penyerang tidak dapat bergerak dengan mudah. Segmentasi juga mencegah malware menyebar dengan cepat.

• Memisahkan bagian-bagian jaringan membatasi seberapa jauh penyerang dapat bergerak.

• Segmentasi mengontrol siapa yang dapat masuk ke sistem utama.

• Segmentasi yang baik memperlambat ransomware dan ancaman lainnya.

Langkah Cepat untuk Kontrol Admin

Anda dapat melakukan hal-hal sederhana untuk meningkatkan keamanan. Mulailah dengan menemukan dan menghapus akun admin lama. Akun-akun ini sering terlewat dan dapat dimanfaatkan oleh penyerang. Nonaktifkan akun admin global yang dibuat untuk proyek atau alat lama. Langkah ini dengan cepat membuat jaringan Anda lebih aman.

• Periksa dan hapus akun admin lama.

• Nonaktifkan akun global admin untuk alat lama.

Catatan: Perubahan kecil dapat sangat membantu melindungi jaringan Anda.

Risiko PKI dan Templat Sertifikat

Bahaya Salah Konfigurasi

Kata sandi bukan satu-satunya hal yang perlu dikhawatirkan. Templat sertifikat dapat membuka celah bagi penyerang. Templat yang lemah membantu penyerang membuat sertifikat yang berfungsi seperti kunci master. Sertifikat ini dapat memberi seseorang hak admin tanpa kata sandi. Penyerang menyebut ini admin "tak terlihat". Admin tersebut tidak muncul dalam log biasa.

Berikut tabel yang menunjukkan bahaya salah konfigurasi yang umum:

Catatan: Penyerang mencari titik lemah. Mereka menginginkan hak admin tanpa ada yang mengetahuinya.

Mengamankan Templat Sertifikat

Anda dapat memblokir banyak serangan dengan membuat templat sertifikat lebih aman. Pertama, periksa siapa yang dapat melakukan pendaftaran di setiap templat. Hapus atau nonaktifkan templat yang tidak Anda gunakan. Batasi akses ke templat penting, seperti templat kartu pintar.

Berikut tabel dengan langkah-langkah untuk mengamankan templat Anda:

Tips: Tinjau templat Anda setiap beberapa bulan. Ini membantu menjaga sistem Anda dari masalah baru.

Tindakan PKI Praktis

Anda dapat melakukan hal-hal sederhana untuk memperkuat PKI Anda. Gunakan offline root CA untuk menjaga trust anchor Anda tetap aman. Gunakan enterprise CA yang tergabung dalam domain untuk memberikan sertifikat hanya kepada pengguna tepercaya. Siapkan auto-enrollment dengan group policy untuk mengelola sertifikat dengan mudah.

Berikut tabel dengan tindakan PKI praktis:

Ingat: Pengaturan PKI yang kuat mencegah penyerang membuat akun admin tak terlihat. Periksa templat dan izin Anda secara rutin.

Sinkronisasi Hibrida dan Paparan Cloud

Pengaturan identitas hibrida menghubungkan Active Directory Anda dengan layanan cloud. Ini membantu Anda mengelola pengguna di kedua tempat. Namun, hal ini juga membawa risiko baru. Jika penyerang masuk ke AD lokal Anda, mereka dapat menjangkau akun cloud. Hal yang sama juga bisa terjadi sebaliknya. Akun cloud yang lemah dapat membuka jalan bagi penyerang masuk ke AD lokal Anda.

Kerentanan Azure AD Connect

Azure AD Connect adalah jembatan antara AD lokal Anda dan cloud. Penyerang ingin menguasai jembatan ini karena memiliki akun dengan hak kuat. Jika seseorang memperoleh akun komputer AD DS Connector atau Seamless SSO, mereka dapat mengubah kata sandi atau izin di kedua tempat.

Penyerang menggunakan alat jaringan untuk menyerang seluruh lingkungan Anda. Mereka dapat memakai akun AZUREADSSOACC untuk berpindah dari AD ke Entra ID. Jika penyerang memperoleh hak admin di server Entra Connect, mereka menguasai Sync Account. Mereka dapat mengubah identitas di kedua tempat. Sebagian penyerang menggunakan SyncJacking untuk memperoleh akun cloud berhak istimewa tinggi dengan memodifikasi akun berhak istimewa rendah.

Tips: Gunakan sync account dengan hak istimewa terendah. Pantau Azure AD Connect untuk aktivitas yang mencurigakan.

Akses Bersyarat dan MFA

Conditional Access dan MFA membantu melindungi pengaturan hybrid. Aturan Conditional Access mengharuskan pengguna melakukan langkah tambahan, seperti MFA, sebelum dapat masuk. Aturan ini memeriksa hal-hal seperti identitas Anda, perangkat Anda, dan lokasi Anda. Aturan tersebut menentukan apakah Anda boleh mendapatkan akses.

• Conditional Access menggunakan MFA untuk menjaga keamanan.

• Aturan menggunakan sinyal untuk membuat keputusan yang cerdas.

• Hal ini mengikuti prinsip Zero Trust dan memverifikasi pengguna setiap saat.

Catatan: Menggunakan MFA untuk semua akun admin mencegah banyak serangan.

Keamanan Identitas Terpadu

Anda sebaiknya memperlakukan identitas on-premises dan cloud sebagai satu sistem. Keamanan terpadu membantu Anda menemukan ancaman lebih cepat dan bertindak dengan cepat. Ikuti langkah-langkah berikut untuk memperkuat pertahanan Anda:

1. Pasang sensor Defender for Identity pada domain controller Anda.

2. Hubungkan Defender for Identity ke Microsoft 365 Defender untuk pemantauan.

3. Aktifkan Conditional Access berbasis risiko di Entra untuk perlindungan secara real-time.

4. Gunakan Entra ID Governance untuk memberikan least privilege kepada semua akun.

5. Hubungkan keduanya ke Microsoft Sentinel untuk deteksi ancaman yang lebih baik.

Ingat: Keamanan identitas hybrid yang kuat mencegah penyerang berpindah antara sistem on-premises dan cloud.

Daftar Periksa Keamanan Active Directory

Daftar periksa yang baik membantu Anda melindungi jaringan dengan cepat. Anda dapat menggunakan panduan ini untuk menemukan dan memperbaiki risiko terbesar di lingkungan Anda. Mulailah dengan langkah triase cepat, lalu jaga pertahanan Anda tetap kuat dengan pemeliharaan rutin.

Langkah Triase 60 Menit

Anda bisa membuat perbedaan besar hanya dalam satu jam. Ikuti langkah-langkah berikut untuk segera menurunkan risiko Anda:

1. Periksa pembaruan mendesak. Pasang pembaruan terbaru Microsoft untuk CVE-2025-59287 di setiap server WSUS. Patch ini menutup celah keamanan yang besar.

2. Blokir port jaringan yang berisiko. Jika Anda belum dapat menerapkan patch, blokir TCP 8530 dan 8531 yang masuk di firewall Anda. Ini mencegah penyerang mencapai server WSUS Anda. Anda mungkin perlu berkoordinasi dengan tim IT karena langkah ini dapat menghentikan pembaruan sementara.

3. Hentikan dan nonaktifkan layanan WSUS. Jika Anda belum dapat menerapkan patch atau memblokir port, hentikan layanan WSUS sampai masalahnya dapat diperbaiki.

4. Isolasi server WSUS yang menghadap internet. Perlakukan server ini sebagai berisiko tinggi. Jauhkan dari jaringan utama Anda.

5. Amankan bukti jika Anda mencurigai serangan. Simpan memori, citra disk, dan log kejadian. Hubungi tim respons insiden Anda.

6. Tinjau log kejadian untuk perubahan pada AdminSDHolder. Cari kode kejadian 5136. Ini menunjukkan apakah seseorang mengubah izin admin.

7. Periksa siapa yang melakukan perubahan. Temukan akun pengguna yang terkait dengan perubahan ini. Tinjau aktivitasnya untuk mencari hal yang janggal.

8. Bandingkan izin. Pastikan objek AdminSDHolder sesuai dengan baseline keamanan Anda.

9. Cari akun istimewa yang baru. Periksa perubahan pada keanggotaan grup atau izin.

10. Bekerja sama dengan tim keamanan Anda. Pastikan apakah ada perubahan yang sudah disetujui.

11. Isolasi sistem yang terdampak. Keluarkan dari jaringan untuk menghentikan penyebaran penyerang.

12. Batalkan perubahan yang tidak sah. Kembalikan perubahan pada AdminSDHolder yang tidak Anda setujui.

13. Tinjau semua akun istimewa. Pastikan akun tersebut mengikuti aturan keamanan Anda.

14. Atur ulang kata sandi untuk akun yang berisiko. Fokus pada akun admin dan akun layanan.

15. Tambahkan pemantauan ekstra. Pantau AdminSDHolder dan objek kunci lainnya untuk perubahan baru.

16. Beri tahu security operations center Anda. Sampaikan informasi tentang aktivitas mencurigakan apa pun.

17. Perbarui kebijakan kontrol akses Anda. Lakukan perubahan untuk mencegah serangan serupa di masa depan.

Tips: Anda dapat mencetak daftar periksa ini dan menyimpannya di dekat meja kerja Anda. Gunakan saat Anda perlu bertindak dengan cepat.

Pemeliharaan Berkelanjutan

Anda perlu menjaga pertahanan tetap kuat dari waktu ke waktu. Kebiasaan yang baik membantu Anda mendeteksi masalah lebih awal dan pulih dengan cepat.

• Terapkan pembaruan secara rutin. Pastikan setiap patch terpasang dengan benar.

• Cadangkan data Anda secara terjadwal. Uji cadangan Anda untuk memastikan Anda dapat memulihkannya.

• Pantau kesehatan domain Anda setiap hari. Perhatikan tanda-tanda masalah, seperti kegagalan login atau akun admin baru.

• Tinjau akun admin dan keanggotaan grup setiap bulan. Hapus yang tidak Anda perlukan.

• Periksa templat sertifikat dan pengaturan PKI setiap kuartal. Hapus templat lama dan perketat izin.

• Pantau alat sinkronisasi hybrid Anda, seperti Azure AD Connect. Perhatikan aktivitas yang janggal atau izin baru.

• Latih tim Anda untuk mengenali phishing dan taktik rekayasa sosial.

• Jadwalkan tinjauan keamanan secara rutin. Gunakan daftar periksa Anda agar tetap di jalur yang benar.

Catatan: Langkah kecil yang dilakukan secara konsisten menjaga jaringan Anda tetap aman. Jadikan langkah-langkah ini bagian dari rutinitas Anda.

Dengan mengikuti daftar periksa ini, Anda membangun pertahanan yang kuat di sekitar sistem terpenting Anda. Anda membuat penyerang jauh lebih sulit untuk menyusup atau tetap bersembunyi.

Alat Pemantauan dan Deteksi

Event ID dan Log Utama

Anda perlu terus memantau Active Directory dengan cermat. Penyerang berusaha menyembunyikan apa yang mereka lakukan. Anda dapat menemukan mereka jika tahu apa yang harus diperiksa. Mulailah dengan memeriksa log dan event ID penting. Catatan ini merekam perubahan dan membantu Anda mendeteksi masalah lebih awal.

• Perubahan Keanggotaan Grup: Perhatikan perubahan yang janggal pada grup admin. Event ID 4728 berarti seseorang menambahkan pengguna ke grup. Event ID 4729 berarti seseorang menghapus pengguna.

• Pembuatan dan Penghapusan Akun: Event ID 4720 menunjukkan kapan seseorang membuat pengguna baru. Event ID 4726 menunjukkan kapan seseorang menghapus pengguna.

• Permintaan Replikasi: Event ID 4662 dapat menunjukkan aktivitas replikasi yang janggal. Penyerang memanfaatkan ini untuk menyalin data kata sandi.

• Peristiwa Autentikasi: Event ID 4624 mencatat login yang berhasil. Perhatikan login pada waktu yang tidak wajar atau dari lokasi baru.

• Perubahan Kebijakan Grup: Event ID 4739 melacak perubahan pada kebijakan grup. Penyerang dapat mengubahnya untuk mendapatkan kendali.

Anda juga sebaiknya memantau tanda-tanda serangan Kerberoasting atau Golden Ticket. Serangan ini meninggalkan jejak di log Anda, seperti permintaan tiket yang tidak biasa atau akun layanan baru.

Tips: Periksa log Anda setiap hari. Pemeriksaan singkat membantu Anda menangkap masalah sebelum menjadi lebih parah.

Alat Keamanan yang Direkomendasikan

Anda dapat menggunakan alat khusus untuk membantu memantau dan melindungi Active Directory Anda. Alat ini memudahkan Anda melihat apa yang sedang terjadi dan menemukan titik lemah.

• Lepide Auditor for Active Directory: Melacak perubahan secara real time dan memberi tahu Anda tentang tindakan yang mencurigakan.

• Netwrix Auditor: Mengirim peringatan seketika dan menyimpan log dalam jangka waktu lama.

• ManageEngine ADAudit Plus: Memantau aktivitas pengguna dan memungkinkan Anda membuat peringatan kustom.

• SolarWinds Access Rights Manager (ARM): Membantu Anda mengelola siapa yang dapat mengakses apa dan memeriksa kepatuhan.

• Solusi Quest: Melacak perubahan dan bekerja sama dengan alat SIEM untuk pemantauan yang lebih baik.

• BloodHound: Memetakan jalur serangan sehingga Anda dapat melihat bagaimana penyerang mungkin bergerak.

• PingCastle: Memeriksa risiko di AD Anda dan memberikan skor kesehatan.

• LAPS (Local Administrator Password Solution): Memastikan setiap komputer memiliki kata sandi admin yang unik.

• Defender for Identity: Memantau ancaman dan perilaku mencurigakan di domain controller Anda.

Banyak alat ini bekerja dengan baik bersama sistem SIEM seperti Splunk. Hal ini membantu Anda mendeteksi serangan lebih cepat dan merespons dengan tepat waktu.

Catatan: Menggunakan alat yang tepat dan memantau log yang tepat memberi Anda pertahanan yang kuat terhadap penyerang.

Menjaga keamanan Active Directory membantu bisnis Anda terhindar dari masalah besar. Anda melindungi jaringan dengan mengurangi admin blast radius. Anda juga menutup celah PKI dan memperbaiki sinkronisasi hybrid. Penyerang bergerak cepat jika Anda melewatkan langkah-langkah ini.

• Pantau log menggunakan alat SIEM.

• Berikan akses admin kepada lebih sedikit orang dan ubah kata sandi secara berkala.

• Gunakan MFA dan pisahkan komputer admin dari komputer lainnya.

• Periksa kebijakan grup dan keanggotaan secara rutin.

Gunakan daftar periksa triage Anda dan periksa keamanan setiap bulan. Mulailah dari satu domain. Lakukan perubahan kecil secara rutin. Tetap waspada agar aset paling berharga (crown jewel) Anda tetap aman.

Pertanyaan Umum

Apa langkah paling penting untuk mengamankan Active Directory?

Anda perlu memiliki lebih sedikit akun admin. Pastikan setiap komputer memiliki kata sandi sendiri. Periksa secara rutin siapa saja yang ada di grup admin. Langkah ini membantu mencegah penyerang menimbulkan masalah besar.

Seberapa sering Anda sebaiknya meninjau akun admin dan izin?

Tinjau akun admin dan izin setiap bulan. Hapus akun yang tidak Anda gunakan. Langkah ini membuat jaringan Anda lebih aman dan membantu Anda menemukan masalah lebih awal.

Mengapa penyerang menargetkan templat sertifikat?

Penyerang menyukai templat sertifikat yang lemah. Mereka memanfaatkannya untuk membuat akses admin palsu. Sertifikat ini bekerja seperti kunci rahasia. Anda sebaiknya mengunci templat dan memeriksa siapa saja yang dapat menggunakannya.

Apakah pelanggaran di cloud dapat memengaruhi Active Directory lokal?

Ya. Jika penyerang berhasil masuk ke akun cloud, mereka dapat menjangkau AD lokal Anda. Anda perlu melindungi keduanya dan waspada terhadap hal-hal yang mencurigakan.

Alat apa yang membantu memantau Active Directory dari serangan?

Anda dapat menggunakan BloodHound, PingCastle, dan Defender for Identity. Alat-alat ini membantu menemukan titik lemah dan memberi peringatan tentang ancaman.

Episode Lain yang Juga Sebaiknya Anda Dengarkan

Jika Anda sedang meneliti keamanan Active Directory, episode-episode berikut menambahkan konteks praktis tentang arsitektur, operasi, keamanan, dan tata kelola:

• Microsoft AI Agent Harness – Simply Explained — Pelajari orkestrasi dan pagar pengaman (guardrails).
• Azure AI Foundry – Simply Explained — Pahami pengiriman AI tingkat perusahaan.
• Microsoft Defender XDR – Simply Explained — Tambahkan konteks keamanan.