Aplikasi Pihak Ketiga yang Anda Setujui Bisa Memiliki Akses Lebih Luas dari Dugaan

Sebuah aplikasi dari penyedia layanan eksternal dihubungkan ke sistem internal karena perlu bertukar data. Administrator menyetujui permintaan aksesnya, integrasi berjalan dan pekerjaan selesai. Beberapa bulan kemudian, aplikasi tersebut mungkin masih memiliki izin untuk membaca data sensitif atau menjalankan fungsi administratif yang sebenarnya tidak lagi dibutuhkan.

Akses seperti ini sering luput dari pemeriksaan rutin. Aplikasi pihak ketiga tidak selalu membutuhkan karyawan untuk login secara interaktif setiap kali mengakses layanan cloud. Application identity dapat menggunakan izin yang sudah diberikan untuk bekerja di latar belakang. Karena itu, pemeriksaan akun pengguna saja belum tentu menunjukkan seluruh akses yang dimiliki organisasi.

Australian Signals Directorate's Australian Cyber Security Centre (ASD's ACSC) menerbitkan peringatan yang terakhir ditinjau pada 26 Oktober 2026 mengenai kampanye serangan yang melibatkan penyalahgunaan identitas aplikasi pihak ketiga. Identitas tersebut digunakan untuk mengakses lingkungan cloud pelanggan melalui izin yang sebelumnya telah diberikan. Aktivitas yang dilaporkan mencakup upaya mempertahankan akses dan mengubah hak istimewa. ACSC juga menjelaskan bahwa AI dapat meningkatkan kecepatan dan skala operasi semacam ini.

Kelemahan dasarnya sebenarnya sudah dikenal: akses yang dipercaya dapat disalahgunakan jika izinnya terlalu luas. AI mempercepat kemungkinan penyalahgunaan tersebut. Karena itu, integrasi aplikasi perlu masuk dalam ruang lingkup pengujian keamanan perusahaan.

Uji hubungan aksesnya, bukan hanya aplikasinya

Pengujian aplikasi web biasanya memeriksa endpoint yang terbuka, autentikasi dan logika aplikasi. Semua itu tetap diperlukan. Namun, ada celah yang bisa terlewat jika pengujian tidak memeriksa identitas dan izin yang menghubungkan aplikasi dengan layanan lain.

Pengujian yang terotorisasi sebaiknya mencakup lingkungan cloud milik organisasi dan jalur integrasi yang telah disetujui. Pertanyaannya adalah sejauh mana identitas aplikasi yang disusupi dapat menjangkau sistem lain, tindakan apa yang dapat dilakukan dan apakah aktivitas tersebut akan terdeteksi.

Ada empat area yang perlu diperiksa:

• Inventaris aplikasi: Identifikasi app registration, service principal, OAuth grant, API credential dan sertifikat yang masih aktif. Hapus integrasi yang sudah tidak diperlukan.

• Cakupan izin: Bandingkan izin yang diberikan dengan fungsi bisnis aplikasi. Tinjau persetujuan berisiko tinggi dan hak administratif yang terlalu luas.

• Jalur akses: Periksa apakah identitas aplikasi dapat menjangkau data sensitif, menjalankan fungsi istimewa atau mengakses layanan lain di luar kebutuhan awalnya.

• Deteksi dan pencabutan akses: Pastikan log mencatat persetujuan akses yang tidak biasa, penambahan kredensial dan perubahan hak akses. Dalam rencana pengujian yang disetujui, uji apakah akses dapat dicabut dan kredensial terkait dapat ditangani dengan benar.

ACSC merekomendasikan pembatasan izin aplikasi, persetujuan administrator untuk izin OAuth berisiko tinggi, perlindungan kredensial aplikasi serta pemantauan identitas non-manusia bersama akun pengguna. Panduan cloud security mereka juga menjelaskan bahwa tanggung jawab keamanan cloud dibagi antara penyedia dan pelanggan, sementara organisasi tetap bertanggung jawab melindungi datanya sendiri.

Peran AI-assisted penetration testing

NIST melalui Technical Guide to Information Security Testing and Assessment menjelaskan pendekatan terstruktur untuk merencanakan pengujian teknis, menganalisis hasil dan menentukan strategi mitigasi. Panduan tersebut juga mengingatkan bahwa setiap teknik pengujian memiliki manfaat dan keterbatasan.

AI-assisted penetration testing dapat membantu tim keamanan memperluas proses pemeriksaan terhadap target yang telah diotorisasi dan menemukan jalur akses yang perlu diteliti lebih lanjut. Hasilnya tetap bergantung pada ruang lingkup, akses yang tersedia dan jenis sistem yang didukung oleh platform. Sistem milik penyedia eksternal harus tetap berada di luar ruang lingkup kecuali ada izin terpisah.

Bagi perusahaan, pertanyaan utamanya adalah seberapa jauh akses sebuah integrasi dapat menjangkau sistem lain dan apakah risikonya sudah dipahami. Daftar izin hanya menunjukkan apa yang diberikan. Pengujian perlu menunjukkan konsekuensi dari izin tersebut.

Bronyx AI, platform autonomous penetration testing berbantuan AI dari ITSEC, relevan bagi organisasi yang ingin mengevaluasi penggunaan AI dalam program pengujian keamanan. Mulailah dengan menetapkan aset dan jalur identitas yang boleh diuji, memastikan batas otorisasi dan menilai hasilnya berdasarkan prioritas risiko perusahaan.

Pelajari Bronyx AI di https://bronyx.ai/.

Referensi

1. Australian Signals Directorate's Australian Cyber Security Centre (ASD's ACSC), AI-enabled attacks highlight supply chain and cloud security risks, terakhir ditinjau 26 Oktober 2026. https://www.cyber.gov.au/blog/ai-enabled-attacks-highlight-supply-chain-and-cloud-security-risks

2. Australian Signals Directorate's Australian Cyber Security Centre (ASD's ACSC), Cloud computing security for tenants, diterbitkan 18 Desember 2014, terakhir ditinjau 18 Januari 2024. https://www.cyber.gov.au/publication/cloud-computing-security-for-tenants

3. National Institute of Standards and Technology (NIST), Technical Guide to Information Security Testing and Assessment, Special Publication 800-115, September 2008. https://csrc.nist.gov/pubs/sp/800/115/final