KaliLinux.net Guide: Configuring Sudo with Least Privilege on Kali Linux

Di Kali Linux, sudo memang praktis, tapi aturan yang terlalu longgar bisa mengubah akun pembantu jadi root shell tanpa sengaja. KaliLinux.net menyarankan mulai dari set komando terkecil yang dibutuhkan tiap orang, lalu perluas hanya setelah ada permintaan terdokumentasi. Least privilege bukan soal tidak percaya; ini soal membatasi radius kerusakan kalau password bocor. Uji setiap perubahan di VM sekali pakai, karena satu baris jelek di sudoers bisa mengembaliin aksesmu sendiri sebntar.

Scope sudo to exact commands

Buka sudoers dengan visudo, jangan dengan editor biasa, dan validasi file dengan visudo -c sebelum menyimpan. Aturan seperti alice ALL=(root) /usr/bin/apt update, /usr/bin/apt upgrade lebih aman bangeet daripada alice ALL=(ALL:ALL) ALL, karena membatasi akun ke tugas paket. Kelompokkan command terkait dalam Cmnd_Alias, misalnya Cmnd_Alias PKG = /usr/bin/apt update, /usr/bin/apt upgrade, lalu tetapkan alice ALL=(root) PKG. Jalankan sudo -l sebagai alice untuk memastikan daftar yang diizinkan, lalu sudo -k untuk menghapus kredensial tersimpan setelah uji sebntar. sudoers manual mendokumentasikan alias, tag, dan negasi secara detail.

Use groups and drop-in files

Kali Linux 2020.1 memindahkan akun default dari root, jadi aturan berbasis grup makin penting. Simpan aturan tim di file /etc/sudoers.d/ dengan mode 0440, dan biarkan /etc/sudoers utama tetap. Debian dan Kali membaca direktori itu lewat direktif #includedir, sehingga file diparse sesuai urutan leksikal. Beri nama seperti 10-netops dan hindari titik, karena sudo melewati nama yang mengandung titik. Contoh, %netops ALL=(root) /usr/sbin/tcpdump, /usr/bin/nmap memberi tim jaringan dua alat, bukan shell penuh. Hapus pengguna dari grup sudo saat tugas selesai, dan jaga tiap file drop-in tetap pendek agar review cepat.

Add guardrails and audit

Set Defaults timestamp_timeout=5 agar kredensial cepat kedaluwarsa, dan review /var/log/auth.log untuk penggunaan sudo yang tidak biasa. Sebagai administrator, jalankan sudo -l -U alice untuk mengaudit hak tanpa berganti akun. Lebih aman pakai akun terpisah untuk kerja lab, dan minta alasan tertulis sebelum menambah NOPASSWD ke aturan mana pun. Jika command butuh argumen, tentukan persis, misalnya /usr/bin/systemctl restart apache2, bukan mengizinkan seluruh binary.

Jaga kebijakan tetap kecil, review bulanan, dan dokumentasikan setiap pengecualian. Pembaca KaliLinux.net bisa berlatih langkah ini di lab terisolasi dan membandingkan output sudo -l sebelum dan sesudah tiap perubahan.