Tips Menangkal Serangan DDoS Bermodus Memcached: Panduan Lengkap

Menangkal serangan DDoS bermodus Memcached adalah keterampilan yang wajib dimiliki setiap administrator server, terutama setelah serangan besar tahun 2018 membuktikan bahwa satu server yang salah konfigurasi bisa menjadi senjata pemusnah bandwidth. Serangan DDoS jenis ini memanfaatkan server Memcached yang terbuka di internet sebagai alat amplifikasi: penyerang mengirim permintaan kecil dengan alamat IP palsu, lalu server Memcached membalas dengan data puluhan ribu kali lebih besar ke korban yang tidak bersalah. Dalam artikel ini, Anda akan mempelajari cara kerja serangan DDoS bermodus Memcached, mengapa ia sangat berbahaya, dan langkah-langkah teknis konkret untuk menangkal DDoS Memcached di server Anda sendiri, mulai dari konfigurasi firewall, mematikan protokol UDP, hingga kebijakan di tingkat penyedia layanan internet.

Apa Itu Memcached dan Mengapa Menjadi Target Serangan DDoS?

Memcached (singkatan dari Memory Cache Daemon) adalah sistem caching terdistribusi berbasis memori yang digunakan untuk mempercepat aplikasi web. Ia menyimpan hasil query database, data sesi, atau potongan halaman yang sudah dirender di dalam RAM, sehingga permintaan berikutnya bisa dilayani tanpa harus membaca dari database yang jauh lebih lambat. Memcached bekerja dengan model key-value store: aplikasi menyimpan data dengan sebuah kunci, lalu mengambilnya kembali dengan kunci yang sama dalam hitungan milidetik.

Dalam lingkungan yang benar, Memcached adalah komponen yang sangat berguna. Namun ia dirancang untuk berjalan di jaringan internal yang tepercaya, bukan untuk terhubung langsung ke internet. Protokol Memcached tidak memiliki mekanisme autentikasi bawaan, dan versi-versi lama mengaktifkan listener UDP (User Datagram Protocol) pada port 11211 secara default. Kombinasi inilah yang membuatnya menjadi target empuk: siapa pun yang bisa menjangkau port tersebut bisa mengirim perintah tanpa izin, termasuk perintah get yang meminta data berukuran besar.

Cara Kerja Serangan DDoS Amplifikasi Memcached

Serangan DDoS bermodus Memcached termasuk dalam kategori amplification attack — serangan yang memperbesar volume lalu lintas dengan memanfaatkan protokol jaringan. Prinsipnya sederhana namun mematikan:

1. Penyerang memindai internet untuk menemukan server Memcached yang terbuka di port UDP 11211, misalnya dengan alat pencari seperti Shodan.
2. Penyerang mengirim permintaan kecil dengan alamat IP sumber yang dipalsukan (spoofed IP) — alamat tersebut adalah IP korban.
3. Server Memcached membalas dengan data yang jauh lebih besar ke alamat palsu tersebut, yaitu alamat korban.
4. Korban menerima banjir lalu lintas dari ribuan server Memcached di seluruh dunia secara bersamaan.

Faktor amplifikasi serangan ini bisa mencapai puluhan ribu kali lipat. Sebuah permintaan kecil berukuran puluhan byte bisa memicu respons berukuran ratusan kilobyte. Jika dikalikan dengan ribuan server yang terekspos, volume lalu lintas yang tiba di korban bisa mencapai skala terabit per detik — cukup untuk melumpuhkan jaringan besar sekalipun.

Studi Kasus: Serangan ke GitHub Februari 2018

Contoh paling terkenal terjadi pada 28 Februari 2018. GitHub, salah satu platform pengembangan perangkat lunak terbesar di dunia, menjadi korban serangan DDoS amplifikasi Memcached dengan puncak lalu lintas mencapai 1,35 terabit per detik (Tbps) dan sekitar 126,9 juta paket per detik. Yang menarik, serangan ini tidak menggunakan botnet dari perangkat yang diretas. Penyerang hanya mengirim permintaan UDP kecil dengan alamat IP GitHub yang dipalsukan ke ribuan server Memcached yang terbuka di internet, dan server-server itulah yang “secara tidak sengaja” melaksanakan serangan.

GitHub selamat dari serangan ini karena memiliki rencana mitigasi DDoS yang sudah disiapkan sebelumnya. Lalu lintas dialihkan ke layanan mitigasi Akamai Prolexic dalam hitungan menit, sehingga downtime yang dialami relatif singkat. Hanya beberapa hari kemudian, pada 5 Maret 2018, NETSCOUT Arbor melaporkan serangan serupa dengan volume yang lebih besar lagi, sekitar 1,7 Tbps, terhadap sebuah penyedia layanan di Amerika Serikat.

Insiden-insiden ini mendorong proyek Memcached merilis versi 1.5.6 yang menonaktifkan dukungan UDP secara default — sebuah pengakuan bahwa konfigurasi default sebelumnya terlalu berbahaya. Kerentanan yang dieksploitasi dalam serangan ini kemudian dilacak sebagai CVE-2018-1000115.

Langkah Konkret Menangkal Serangan DDoS Bermodus Memcached

Berikut langkah-langkah yang bisa Anda terapkan langsung untuk menangkal serangan DDoS bermodus Memcached di server Anda. Tidak semua langkah wajib dilakukan sekaligus, tetapi semakin banyak yang Anda terapkan, semakin kecil risiko server Anda disalahgunakan.

1. Pastikan Memcached Tidak Terkoneksi Langsung ke Internet

Langkah paling fundamental adalah memastikan Memcached hanya mendengarkan di alamat internal atau localhost. Periksa konfigurasi yang sedang berjalan:

# Cek apakah Memcached berjalan dan mendengarkan di port mana
netstat -tlnp | grep memcached

Jika output menunjukkan 0.0.0.0:11211, artinya Memcached menerima koneksi dari semua antarmuka jaringan, termasuk internet. Ini kondisi yang sangat berbahaya dan harus segera diperbaiki.

2. Blok Port 11211 di Firewall

Blok akses dari internet ke port 11211 — baik TCP maupun UDP — di setiap perimeter firewall. Contoh aturan dengan iptables:

# Blok akses UDP port 11211 dari luar
iptables -A INPUT -p udp --dport 11211 -j DROP
iptables -A INPUT -p tcp --dport 11211 -j DROP # Verifikasi aturan telah diterapkan
iptables -L -n | grep 11211

Penjelasan per baris:

• -A INPUT — menambahkan aturan ke chain INPUT (paket yang masuk).
• -p udp --dport 11211 — mencocokkan protokol UDP dengan port tujuan 11211.
• -j DROP — membuang paket yang cocok tanpa mengirim balasan.

Ingatlah untuk memblokir TCP juga. Meskipun amplifikasi utama terjadi lewat UDP, membiarkan port TCP terbuka tetap membuka celah eksploitasi lain seperti pengambilan data cache atau cache poisoning.

3. Matikan Dukungan UDP pada Memcached

UDP adalah protokol utama yang dimanfaatkan untuk amplifikasi karena sifatnya yang tanpa koneksi dan mudah dipalsukan alamatnya. Matikan dukungan UDP pada Memcached melalui file konfigurasi:

# Edit konfigurasi Memcached
sudo nano /etc/memcached.conf

Tambahkan atau pastikan baris berikut ada:

# Matikan UDP, hanya gunakan TCP
-U 0 # Bind hanya ke localhost
-l 127.0.0.1

Penjelasan:

• -U 0 — menonaktifkan listener UDP sepenuhnya.
• -l 127.0.0.1 — hanya menerima koneksi dari localhost, sehingga tidak bisa diakses dari luar.

Setelah mengedit, restart layanan dan verifikasi:

# Restart Memcached
sudo systemctl restart memcached # Verifikasi hanya TCP yang aktif di port 11211
netstat -tlnp | grep 11211

Jika Anda menggunakan versi Memcached 1.5.6 atau lebih baru, UDP sudah nonaktif secara default, tetapi memverifikasinya tetap langkah yang baik.

4. Gunakan Autentikasi SASL Jika Diperlukan

Untuk lingkungan di mana Memcached harus diakses dari beberapa server aplikasi, aktifkan autentikasi SASL dengan parameter -S. Dengan begitu, hanya klien yang memiliki kredensial yang bisa mengirim perintah. Ini tidak mencegah amplifikasi sepenuhnya, tetapi menutup celah akses tanpa izin yang menjadi akar masalah.

5. Lakukan Monitoring dan Deteksi Dini

Terapkan monitoring untuk mendeteksi lalu lintas tidak wajar menuju port 11211. Contoh sederhana dengan skrip bash:

#!/bin/bash
THRESHOLD=100000
while true; do CONNECTIONS=$(netstat -an | grep 11211 | wc -l) if [ $CONNECTIONS -gt $THRESHOLD ]; then echo "[ALERT] Traffic tidak wajar! Koneksi: $CONNECTIONS" fi sleep 5
done

Skrip di atas memeriksa jumlah koneksi aktif ke port 11211 setiap 5 detik dan memberi peringatan jika melebihi ambang batas. Untuk produksi, gunakan alat monitoring yang lebih matang seperti Prometheus, Zabbix, atau layanan monitoring terkelola, dan lengkapi dengan alerting otomatis.

Peran ISP dan BCP38 dalam Mitigasi Serangan DDoS Memcached

Menangkal serangan DDoS bermodus Memcached bukan hanya tanggung jawab pemilik server. Penyedia layanan internet (ISP) juga memiliki peran penting. Salah satu langkah yang paling efektif adalah menerapkan BCP38 — praktik terbaik untuk memfilter paket dengan alamat sumber palsu (ingress filtering). Dengan BCP38, ISP membuang paket yang mengklaim berasal dari alamat IP yang bukan milik jaringan pengirim, sehingga spoofing menjadi jauh lebih sulit dilakukan.

Selain itu, ISP bisa menerapkan Remote Triggered Blackhole (RTBH) filtering saat serangan terjadi. Teknik ini memungkinkan lalu lintas menuju target serangan dibuang di titik-titik jaringan yang jauh sebelum mencapai korban. Sebagai pemilik server, Anda juga bisa berkomunikasi dengan ISP atau penyedia hosting untuk memastikan kebijakan ini tersedia dan aktif.

Kesalahan Umum Konfigurasi Memcached yang Sering Terjadi

• Menganggap Memcached aman karena tidak punya web interface — Port 11211 yang terbuka saja sudah cukup untuk dieksploitasi, tidak perlu antarmuka web.
• Hanya memblokir TCP, mengabaikan UDP — Amplifikasi terjadi melalui UDP. Blok keduanya atau matikan UDP sepenuhnya.
• Tidak memperbarui versi Memcached — Versi 1.5.6 ke atas menonaktifkan UDP secara default dan membawa perbaikan keamanan penting.
• Mengandalkan firewall internal saja — Konfigurasi di tingkat router, cloud security group, dan ISP juga perlu diperiksa.
• Tidak melakukan audit berkala — Port yang aman hari ini bisa terbuka kembali karena pembaruan konfigurasi, migrasi server, atau kesalahan manusia.

Checklist Keamanan Memcached Server dari Serangan DDoS

Gunakan checklist berikut untuk memastikan server Anda terlindungi dari serangan DDoS bermodus Memcached:

1. Port 11211 tidak terbuka ke internet (baik TCP maupun UDP).
2. Memcached hanya mendengarkan di 127.0.0.1 atau alamat internal.
3. Firewall sudah memblokir UDP dan TCP port 11211 dari luar.
4. Versi Memcached sudah diperbarui (minimal 1.5.6).
5. Autentikasi SASL diaktifkan jika diperlukan.
6. Monitoring lalu lintas sudah aktif dengan alerting.
7. ISP menerapkan filter sumber paket (BCP38) dan RTBH.

Lakukan audit ini secara berkala, minimal sekali sebulan, atau setiap kali ada perubahan konfigurasi, pembaruan sistem, atau migrasi server. Agar perlindungan semakin menyeluruh, pahami juga pentingnya keamanan website dan terapkan praktik keamanan digital yang baik di seluruh aset online Anda.

Rangkuman

Serangan DDoS bermodus Memcached memanfaatkan kelemahan fundamental sistem caching yang dirancang untuk lingkungan internal: tidak ada autentikasi dan listener UDP aktif secara default. Dengan faktor amplifikasi hingga puluhan ribu kali, serangan ini bisa menghasilkan lalu lintas terabit per detik, seperti yang terjadi pada GitHub pada 2018. Langkah utama untuk menangkal DDoS Memcached adalah: jangan biarkan server terhubung ke internet, blokir port 11211 di firewall, matikan UDP, perbarui versi, dan terapkan monitoring. Di tingkat jaringan yang lebih luas, dukung penerapan BCP38 dan RTBH oleh ISP. Pencegahan selalu jauh lebih murah daripada pemulihan setelah serangan. (Cloudflare: Memcached DDoS Attack, memcached.org)

Hal yang sering ditanyakan seputar Menangkal DDoS Memcached