Network Engineer Dodol

Ada beberapa kejadian lucu (baca: menggelikan sekaligus mengenaskan) yang saya alami sehubungi dengan implementasi suatu project IT yang berskala cukup besar.

Pertama, konsultan IT eksternal yang berada di luar negeri meminta untuk bisa mengakses server kami dari sana. Saat meminta Public IP Address mereka (untuk melakukan perubahan di Firewall kami), beliau malah menginformasikan Private IP Address yang mereka gunakan. Untungnya beliau juga berkonsultasi dengan Network Engineer mereka, demikian katanya:

I had discussion with our Network Engineer and below is his comment.

Any outgoing packet from xxxxxxxx xxxxxx network will carry address as xxx.xxx.xxx.13

The other network should allow request on this IP for INBOUND connections on their firewall / IDS-IPS

Ok, kedengarannya benar, standar, dan cukup meyakinkan. Saya pun segera memodifikasi aturan Firewall sesuai dengan informasi tersebut. Namun tidak lama kemudian, beliau memberitahukan bahwa dia tidak bisa mengakses server kami. Sedikit penasaran, saya pun mencoba mengakses server kami melalui jaringan Internet eksternal dan ternyata berhasil tanpa menemui masalah.

Anehnya konsultan IT tersebut kembali menghubungi kami, menyatakan bahwa permasalahan yang sama masih terjadi. Kali ini dia menyertakan hasil traceroute. Sepintas saya lihat, lho IP-nya koq xxx.xxx.xxx.9 yah?? Jangan-jangan informasi yang mereka berikan sebelumnya adalah salah. Buru-buru saya merubah aturan Firewall dengan IP Address tersebut, namun masih saja gagal. Sore/malam itu, beberapa kali saya menerima telepon internasional dari beliau; sayangnya permasalahan konektivitas masih belum terselesaikan.

Akhirnya, setelah saya pantau dengan bantuan IPTraf, ternyata baru ketahuan.. IP Address yang benar adalah xxx.xxx.xxx.10. Ya pantas saja tidak pernah bisa mengakses server kami :-(. Koq bisa yah seorang Network Engineer menginformasikan hal mendasar dengan salah seperti ini, padahal karena komunikasi via e-mail, mestinya dia punya waktu yang lebih dari cukup untuk melakukan verifikasi ulang terlebih dahulu.

Permasalahan yang kedua, mereka ingin meng-install MS SQL Server 2000 di server tersebut, namun anehnya, mereka menyatakan akan menggunakan Service Pack 3; padahal Microsoft telah meluncurkan SQL Server 2005 (kata mereka, masih belum disertifikasi untuk aplikasi mereka). Lagian, untuk MS SQL Server 2000, Service Pack yang terbaru adalah Service Pack 4. Saat kami meminta konfirmasi mereka apakah benar-benar ingin menginstall Service Pack 3 (siapa tahu mereka salah ketik atau salah ingat), mereka malah menjawab “Will install SP3 as per the pre-requisites“. Apa tidak gendheng itu namanya??

Permasalahan ketiga, mereka akan melakukan instalasi sekian banyak program di server kami; namun kelihatannya tidak ada seorangpun yang menaruh perhatian terhadap pengamanannya (IT Security). Tatkala saya menanyakan hal ini kepada sang Project Manager, beliau pun terlihat kurang antusias menanggapinya (mungkin sudah pusing karena mengurus sekian banyak hal lain); padahal sudah saya tegaskan berulang-ulang tentang pentingnya pengamanan sistem informasi. Jujur, saya merasa tidak comfortable melihat server dan aplikasi yang dibeli mahal-mahal, namun aspek keamanan sistem informasi kurang diperhatikan, apalagi melihat cara kerja Network Engineer mereka seperti yang saya ceritakan di atas.

Whaduh biyung, saya sungguh heran melihat tiga kejadian ini. Masakan Network Engineer dari negara yang cukup maju pesat dalam bidang IT-nya koq kualitasnya begini?? Apalagi mereka dari suatu perusahaan konsultan IT yang cukup ternama.

Karena itulah akhirnya saya putuskan untuk melakukan pengamanan sejauh yang saya bisa, antara lain mengkonfigurasi Firewall agar memperbolehkan Port Address Translation (PAT) ke server tersebut hanya dari beberapa IP Address tertentu saja (yaitu IP Address yang digunakan oleh konsultan IT eksternal). Saat konsultan IT tersebut berkunjung ke Indonesia minggu depan, saya akan berusaha mencari tahu mengapa mereka bersikeras menggunakan Service Pack yang sudah kadaluarsa, sekaligus menyarankan untuk mengimplementasikan Service Pack dan hotfixes terbaru, apalagi ini adalah mission-critical application. Untuk kedepannya, saya akan berusaha mencari tahu rencana pengamanan yang akan dilakukan; kalaupun toh belum ada, ini berarti kesempatan baik untuk menerangkan pentingnya aspek keamanan sistem informasi sehingga bisa diambil tindakan pengamanan yang menyeluruh, terintegrasi, dan berkesinambungan.