Audit Keamanan Server Linux Pasca Insiden: Cara Cek Backdoor, Cron Liar, dan Web Shell Tersembunyi

Melihat beban CPU mendadak 100% dengan proses bernama aneh seperti kdevtmpfsi atau systemd-worker adalah mimpi buruk sysadmin. Berikut checklist triage forensik pertama yang selalu saya jalankan di terminal server korban.

1. Periksa Cron Job Seluruh User & System

Malware modern hampir selalu memasang cron job tersembunyi agar bangkit kembali setiap reboot:

# Periksa cron per user
for user in $(cut -f1 -d: /etc/passwd); do crontab -u $user -l 2>/dev/null; done

# Periksa direktori cron sistem
ls -la /etc/cron* /var/spool/cron/crontabs

2. Deteksi Koneksi Outbound Liar

# Cari proses yang terhubung ke IP publik asing
ss -tupn | grep ESTAB

3. Pindai File PHP yang Berubah dalam 24 Jam Terakhir

find /var/www -type f -name "*.php" -mtime -1 -ls