Cloud Security Dimulai dari Lapisan di Bawahnya

PENDAHULUAN Apa yang dibutuhkan seorang penyerang untuk mengompromikan data rekam medis pribadi 1,5 juta pasien, termasuk seorang perdana menteri yang sedang menjabat? Dalam kasus SingHealth pada 2018, jawabannya ternyata hanya satu celah kerentanan yang belum ditambal, sebuah email phishing, dan hampir satu tahun akses yang tidak terdeteksi sebelum ada yang menyadari sesuatu telah salah. Investigasi yang menyusul menemukan bahwa tidak ada penetration test yang pernah dilakukan, tidak ada autentikasi dua faktor yang diaktifkan pada sistem-sistem kritis, dan keamanan siber diperlakukan sebagai urusan manajemen IT semata bukan sebagai risiko organisasi. Komite Penyelidik mendeskripsikan kegagalan-kegagalan tersebut sebagai serangkaian peluang yang terlewat, yang bahkan seorang penyerang dengan kemampuan jauh lebih rendah pun bisa mengeksploitasi dengan cara yang sama. Itu terjadi pada 2018. Sejak saat itu, ancaman terhadap sistem layanan kesehatan di Asia Tenggara tidak berkurang. Ancaman itu justru terindustrialisasi. Serangan siber di kawasan ini berlipat ganda pada 2024 dibandingkan tahun sebelumnya, dengan sektor kesehatan secara konsisten masuk dalam daftar target utama bersama keuangan dan pemerintahan. Secara global, sektor kesehatan menyumbang 23% dari seluruh pelanggaran data pada

Transformasi digital membuat lingkungan TI semakin kompleks. Infrastruktur cloud berkembang dengan cepat, aplikasi baru terus bermunculan dan permukaan serangan semakin luas. Di saat yang sama, pelaku ancaman juga memanfaatkan otomatisasi dan kecerdasan buatan untuk menemukan celah keamanan dengan lebih cepat. Selama bertahun-tahun, penetration testing tradisional telah menjadi salah satu metode yang paling efektif untuk mengidentifikasi kerentanan sebelum dimanfaatkan oleh penyerang. Namun, dengan perubahan yang terjadi hampir setiap hari, banyak organisasi mulai mencari pendekatan yang dapat memberikan visibilitas secara lebih berkelanjutan. Hal inilah yang mendorong munculnya AI Penetration Testing. Lalu, apa perbedaan antara AI Penetration Testing dan penetration testing tradisional? Apakah AI akan menggantikan peran ethical hacker? Jawabannya tidak sesederhana itu. MEMAHAMI PENETRATION TESTING TRADISIONAL Penetration testing tradisional merupakan proses simulasi serangan yang dilakukan oleh para profesional keamanan siber untuk mengevaluasi kelemahan dalam sistem, aplikasi maupun infrastruktur organisasi. APA YANG DILAKUKAN DALAM PENETRATION TESTING? Secara umum, sebuah engagement penetration testing mencakup: * Pengumpulan informasi dan reconnaissance. * Identifikasi kerentanan. * Eksploitasi dan analisis jalur serangan. * Pengujian privilege escalation. * Verifikasi manual terhadap temuan.

Kita cukup familiar dengan authentication. Masukkan credential, buktikan identitas lalu masuk ke aplikasi. Sistem modern tetap bekerja setelah halaman login menghilang. Aplikasi menggunakan identity dan access token untuk menentukan apa yang boleh dilakukan user maupun workload. Token mendukung single sign-on, federation dan API access. NIST menyebut token sebagai bagian utama dari access management infrastructure serta zero trust architecture. Pada 15 September, NIST menyelesaikan IR 8587 dengan keterlibatan CISA. Panduan tersebut membahas perlindungan token dan assertion dari forgery, theft dan misuse, termasuk identity provider, authorization server, cryptographic key protection, token verification serta lifecycle control. Di balik arsitektur tersebut ada kebutuhan skill yang semakin teknis. IDENTITY SECURITY SUDAH MENJADI ENGINEERING SKILL IAM terkadang terdengar seperti pekerjaan administratif: membuat account, memberikan permission lalu mencabut akses ketika seseorang meninggalkan perusahaan. Pekerjaan tersebut tetap ada. Cloud application, API dan machine identity menambahkan lapisan teknis yang lebih besar. Tim cybersecurity semakin perlu memahami: * Bagaimana token diterbitkan, divalidasi, diperbarui dan dicabut * Bagaimana SSO dan federation memindahkan trust antar sistem * Cryptographic key apa yang melindungi token dan bagaimana