Windows Server 2025 / Memeriksa Keamanan Defender dan Windows Firewall

Untuk meninjau perlindungan Windows Server 2025, periksa mode dan pembaruan Microsoft Defender Antivirus, pengecualian pemindaian, serta profil dan aturan Windows Firewall yang benar-benar diterapkan. Setelah itu, periksa layanan server yang diperlukan dan batasi setiap pengecualian pada kebutuhan yang jelas. Latihan ini membaca status lalu membuat satu aturan lab yang dihapus setelah selesai, dengan perlindungan tetap aktif.

Catat peran dan kondisi awal

Pengendali domain, server file, dan server web membutuhkan komunikasi yang berbeda. Catat peran terpasang, jalur administrasi, cadangan, dan pembaruan sebelum mengubah pengaturan bersama. Gunakan sesi berwenang dan pertahankan akses konsol, karena kesalahan konfigurasi jaringan dapat memutus administrasi jarak jauh. Jangan menyalin pengecualian FS1 ke DC1 tanpa meninjau peran dan cakupannya.

• Pisahkan identitas untuk pekerjaan sehari-hari dan administrasi.
• Batasi administrasi jarak jauh pada komputer dan jaringan yang disetujui.
• Catat layanan, protokol, port, dan sumber yang diperlukan setiap peran.
• Masukkan pembaruan perlindungan serta pengujian pemulihan dalam pemeliharaan rutin.

Konfigurasi dasar keamanan merupakan acuan untuk memeriksa setiap pengaturan, bukan alasan menjalankan sekumpulan perubahan registri tanpa memahami dampaknya. Periksa dukungan versi, ketergantungan layanan, dan cara mengembalikan nilai awal. Pisahkan pembacaan status dari perubahan: pencatatan kondisi tidak memerlukan penonaktifan antivirus, perlindungan dari perubahan tidak sah, atau firewall.

Periksa mode dan pembaruan Defender

Pada server yang diperiksa, buka Windows PowerShell dengan Run as administrator. Bandingkan hasilnya dengan produk yang ditetapkan sebagai antivirus utama, sesuai mode dan perilaku Microsoft Defender Antivirus. Perintah berikut tidak mengubah pengaturan:

Get-MpComputerStatus | Select-Object AMRunningMode,AntivirusEnabled,RealTimeProtectionEnabled,AntivirusSignatureLastUpdated
Get-MpPreference | Select-Object ExclusionPath,ExclusionProcess,ExclusionExtension

AMRunningMode Normal berarti mode aktif. Jika Defender ditetapkan sebagai antivirus utama, cocokkan juga AntivirusEnabled dan RealTimeProtectionEnabled dengan keadaan yang diharapkan; satu properti tidak membuktikan keamanan keseluruhan. Passive bukan mode aktif antivirus utama: kompatibilitas dengan antivirus lain bergantung pada pendaftaran ke Defender for Endpoint dan produk utama yang dipakai. Pada Windows Server, memasang antivirus lain tidak otomatis mengubah Defender menjadi pasif. EDR Block Mode merupakan konfigurasi khusus Endpoint Detection and Response (EDR), yaitu deteksi dan respons pada endpoint, bukan nama lain untuk Normal. Bandingkan dengan rancangan perlindungan yang disetujui tanpa mengubah mode saat melakukan pemeriksaan ini.

AntivirusSignatureLastUpdated menunjukkan waktu pembaruan intelijen keamanan, bukan versi mesin pemindai atau bukti bahwa server bebas ancaman. Bandingkan waktunya dengan kebijakan pemeliharaan dan periksa pula pembaruan mesin serta platform. Perangkat terisolasi memerlukan sumber pembaruan yang disetujui dan dikendalikan. Jika kueri gagal, periksa modul, instalasi, status produk, dan izin; jangan menganggap perlindungan sudah benar. Bedakan ExclusionPath, ExclusionProcess, dan ExclusionExtension. Pengecualian bawaan dan otomatis Windows Server berbeda dari pengecualian khusus, sehingga daftar yang terlihat kosong tidak menggantikan pemeriksaan pengecualian yang berlaku untuk peran server. Setiap pengecualian harus didukung dokumentasi resmi produk dan kebutuhan yang diperiksa. Jangan mengecualikan seluruh drive atau semua berkas yang dapat dijalankan hanya untuk mengatasi masalah kinerja.

Bedakan profil lokal dan aturan efektif

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction,DefaultOutboundAction
Get-NetFirewallRule -PolicyStore ActiveStore | Where-Object Enabled -eq 'True' | Select-Object DisplayName,Direction,Action,Profile

Get-NetConnectionProfile menampilkan kategori setiap koneksi; periksa antarmuka yang benar-benar dipakai FS1. Profil Domain ditentukan melalui pengenalan domain dan pengendalinya, bukan label yang dapat ditetapkan manual sesuka hati. Jika koneksi domain yang diharapkan justru bertipe Public atau Private, periksa DNS dan konektivitas domain seperti pada pelajaran diagnosis jaringan. Baris kedua secara bawaan membaca penyimpanan lokal PersistentStore, sehingga nilainya belum tentu hasil akhir objek kebijakan grup (GPO). Untuk membandingkan status profil efektif, ulangi Get-NetFirewallProfile dengan -PolicyStore ActiveStore sesuai referensi PowerShell perintah tersebut. NotConfigured bukan bukti bahwa semua lalu lintas diizinkan. Baris ketiga sudah membaca ActiveStore, tetapi Enabled = True tidak berarti setiap aturan cocok dengan profil, arah, dan lalu lintas pengujian ini.

Menurut panduan Windows Firewall, perlindungan harus dipertahankan. Untuk sebuah layanan, periksa secara terpisah apakah layanan mendengarkan koneksi, protokol dan portnya, alamat sumber, serta profil yang cocok. Daftar sebelumnya tidak memuat port, alamat, atau program; buka wf.msc dan periksa properti serta aturan di bagian Monitoring, atau kueri objek filter yang sesuai. Menambahkan aturan izin yang sempit tidak membatalkan izin lebih luas yang sudah ada. Sebaliknya, aturan blokir eksplisit yang cocok biasanya mengalahkan izin yang bertentangan; lihat prioritas aturan firewall. Urutan tampilan daftar bukan urutan prioritas bernomor yang ditentukan administrator.

Buat dan hapus aturan lab yang terbatas

Gunakan hanya FS1 dan CLIENT1 tepercaya pada jaringan domain lab yang terisolasi. Di konsol CLIENT1, periksa dan catat IPv4 terkini yang diperoleh lewat DHCP, bukan alamat lama yang diasumsikan tetap sama. Sebelum perubahan, jalankan ping 172.24.50.20 dari CLIENT1 dan catat hasil awal. Di FS1, gunakan wf.msc atau Get-NetFirewallRule dengan nama yang tepat untuk memastikan Lab-ICMPv4-From-Client belum ada dan jalur koneksinya memakai profil Domain. Jika nama sudah dipakai, berhenti tanpa mengubah aturan tersebut. Buka PowerShell sebagai administrator di FS1 dan masukkan hanya IPv4 CLIENT1 yang telah diperiksa. Jalankan dua baris secara terpisah; jika konversi alamat gagal atau alamatnya IPv6, jangan lanjut membuat aturan. Internet Control Message Protocol versi 4 (ICMPv4) menggunakan tipe 8 untuk permintaan echo; ini tidak membuka port TCP atau UDP:

$clientAddress = [ipaddress](Read-Host 'Current CLIENT1 IPv4 address')
New-NetFirewallRule -Name 'Lab-ICMPv4-From-Client' -DisplayName 'Lab ICMPv4 from CLIENT1' -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress $clientAddress -Profile Domain -Action Allow

Hasil yang diharapkan dari New-NetFirewallRule adalah aturan aktif di FS1 dengan Name Lab-ICMPv4-From-Client, Direction Inbound, Action Allow, Profile Domain, protokol ICMPv4, tipe 8, dan alamat jarak jauh sama dengan IPv4 CLIENT1 yang sudah diperiksa. Aturan ini tidak mengautentikasi pengguna atau membatasi protokol lain. Periksa bidang tersebut pada properti aturan sebelum menafsirkan ping. Jika DHCP mengganti alamat CLIENT1, kecocokan berdasarkan IP itu tidak selalu mewakili perangkat yang sama lagi.

Dari CLIENT1, ulangi ping 172.24.50.20 dengan kondisi yang sama. Jika sebelumnya hanya izin ini yang kurang dan tidak ada aturan blokir atau kesalahan jaringan lain, hasil yang diharapkan adalah balasan FS1. Jika sejak awal sudah membalas, hasil tersebut tidak membuktikan aturan baru diperlukan. Jika masih gagal, periksa IPv4 yang dimasukkan, profil FS1, jalur jaringan, aturan blokir, dan apakah kebijakan mengizinkan penggabungan aturan lokal. Jangan memperluas cakupan menjadi Any atau mematikan firewall untuk memaksakan hasil. Panduan pengelolaan firewall lewat baris perintah menjelaskan kueri dan filter. Ping yang berhasil juga tidak membuktikan berbagi file atau autentikasi domain berfungsi.

Setelah selesai, hapus hanya aturan yang baru Anda buat di FS1 dengan nama persis berikut. Jangan menjalankan penghapusan jika nama itu sudah ada sebelum latihan atau jika pembuatan gagal:

Remove-NetFirewallRule -Name 'Lab-ICMPv4-From-Client'

Pastikan aturan tersebut tidak lagi ada di penyimpanan lokal dan periksa status efektif. Ulangi ping yang sama dari CLIENT1, lalu bandingkan dengan hasil awal. Balasan dapat tetap muncul karena izin lain masih berlaku. Jangan menghapus semua aturan ICMP atau aturan dari GPO hanya agar demonstrasi gagal. Jika aturan masih ada karena kebijakan atau penghapusan gagal, identifikasi sumbernya sebelum menyatakan penghapusan selesai.

Periksa perlindungan dan layanan setelah perubahan

Setelah perubahan, periksa perlindungan serta tugas server yang relevan: akses administrasi berwenang, autentikasi domain dan DNS pada pengendali domain, atau berbagi file tertentu pada server file. FS1 belum harus menyediakan semua peran yang akan dipelajari, sehingga port tanpa layanan yang mendengarkan bukan bukti firewall rusak. Catat waktu, sumber, dan tujuan saat mencocokkan kegagalan koneksi dengan kejadian keamanan. Jika mengaktifkan pencatatan paket yang dibuang, periksa profil, jalur, dan ukuran log serta simpan nilai awalnya; jangan menganggap semua paket yang dibuang sudah dicatat.

Untuk pemulihan, bandingkan dengan keadaan awal yang dicatat dan batalkan hanya pengecualian atau kebijakan yang berubah melalui sumber pengelolaannya. Dalam latihan ini, pemulihan yang dimaksud adalah menghapus Lab-ICMPv4-From-Client, bukan mengatur ulang seluruh firewall. Periksa kembali akses yang sah dan status perlindungan. Jika layanan hanya bekerja ketika perlindungan dimatikan, tinjau komunikasi yang dibutuhkan dan rancang pengecualian yang beralasan sambil mempertahankan akses konsol dan cadangan.