Melindungi Jalur ke Data Organisasi

Di seluruh dunia, bisnis dari semua ukuran dan di semua industri sedang menjalani beberapa bentuk I.T. transformasi. Faktanya, perusahaan telah mempercepat digitalisasi operasi bisnis internal dan eksternal mereka tiga hingga empat tahun sejak pandemi mengguncang dunia. Meskipun COVID-19 dapat dianggap sebagai akselerator utama untuk perubahan ini, para pemimpin organisasi juga menyadari pentingnya strategis penyematan teknologi di seluruh bisnis mereka.

Bagi banyak orang, transformasi akan didorong oleh adopsi perangkat lunak komersial pihak ketiga yang tersedia secara internal, aplikasi perangkat lunak sebagai layanan (SaaS) yang menampung data sensitif, dan perpustakaan pihak ketiga sumber terbuka. yang digunakan untuk membangun perangkat lunak. Meskipun pengenalan teknologi modern merupakan tanda kemajuan yang dibutuhkan, bisnis tidak boleh mengabaikan potensi risiko keamanan yang menyertai semua inovasi ini. Dominasi rantai pasokan perangkat lunak akan mengekspos bisnis yang tidak curiga dengan cara baru dan kompleks, mendorong batas pertahanan keamanan tradisional.

Rantai pasokan perangkat lunak yang rentan bahkan telah menarik perhatian pemerintah AS, membenarkan urgensi dari risiko keamanan siber yang berkembang ini. Pada bulan Mei, para pemimpin pemerintah mengambil langkah pertama untuk secara proaktif menangani potensi ancaman yang mengintai di ekosistem yang berkembang dari ketergantungan pihak ketiga. Perintah Eksekutif 14028 menguraikan rencana yang menyerukan kepada pemerintah "untuk membuat perubahan yang berani dan investasi yang signifikan untuk mempertahankan lembaga-lembaga vital yang menopang cara hidup Amerika." E.O. memberikan penekanan khusus pada keamanan perangkat lunak penting” yang, menurut catatan pemerintah, “kurang transparan, cukup fokus pada kemampuan perangkat lunak untuk menahan serangan, dan kontrol yang memadai untuk mencegah gangguan oleh pelaku jahat.”

Institut Nasional Standar dan Teknologi (NIST) menguraikan langkah-langkah keamanan untuk melindungi perangkat lunak penting, menempatkan fokus tajam pada pertahanan yang diperlukan untuk melindungi data, bukan hanya sistem dan jaringan di sekitarnya. Pendekatan ini, yang berfokus pada perlindungan data dan semua jalurnya, mengenali masalah yang sulit dipecahkan dari aplikasi perangkat lunak pihak ketiga dan perpustakaan yang memiliki akses langsung ke data sensitif. Sebagaimana dibuktikan dalam serangan yang berhasil dilakukan selama beberapa bulan terakhir, organisasi perusahaan harus memperhitungkan vendor vendor atau perangkat lunak pihak ketiga yang mendukung aplikasi dan antarmuka mereka jika kita benar-benar akan mengurangi ancaman serangan rantai pasokan perangkat lunak.

Ekosistem yang Kompleks

Secara historis, perusahaan telah berfokus pada risiko yang ditimbulkan oleh vendor langsung mereka dan perangkat lunak penting yang mereka andalkan. Postur itu tidak lagi memadai, karena I.T. transformasi mendorong batas-batas jaringan tradisional dan membuat kontrol lama menjadi kurang efektif.

Meskipun bisnis mungkin memiliki kontrol keamanan yang tepat, itu tidak berarti vendornya di seluruh rantai pasokan perangkat lunak melakukannya. Strategi keamanan tidak bisa lagi mengandalkan kepercayaan dari ekosistem, bahkan dari mitra dan vendor. Rantai pasokan perangkat lunak yang berkembang, bersama dengan kompleksitas aplikasi modern, berarti kerentanan akan diperkenalkan dengan kecepatan yang lebih besar. Untuk membantu mengatasi peningkatan skala serangan dalam siklus pengembangan perangkat lunak, organisasi perlu mengadopsi model ancaman yang mencakup semua bagian rantai pasokan, termasuk kode pihak ke-n.

Aplikasi modern didukung oleh ekosistem kompleks antarmuka pemrograman aplikasi (API), layanan mikro, dan fungsi tanpa server. Dengan beban kerja yang lebih singkat dan arsitektur terdistribusi, tidak ada peluru perak untuk analisis perangkat lunak pra-produksi. Bahkan dalam siklus hidup pengembangan perangkat lunak (SDLC) yang paling ketat, kompleksitas pengembangan berarti kerentanan akan diperkenalkan. Inilah alasan mengapa melindungi semua jalur ke data harus menjadi strategi fundamental bagi organisasi.

Menangani Masalah Secara Langsung

Terbukti dengan serangan rantai pasokan perangkat lunak sebelumnya, pelaku jahat secara diam-diam bermanuver dalam rantai pasokan perangkat lunak dengan mengeksploitasi kerentanan dalam koneksi perangkat lunak pihak ketiga, menggunakannya untuk bergerak secara lateral dan pada akhirnya mendapatkan akses ke data target.

Keamanan aplikasi web harus berkembang dan lebih fokus pada mengidentifikasi perilaku aplikasi waktu proses, seperti apakah kode pihak ketiga bertanggung jawab atas tindakan yang tidak diinginkan. Hanya dengan memblokir perilaku tak terduga, seseorang dapat mencegah perilaku serangan baru. Ini akan menjadi penting karena perusahaan I.T. berkembang menjadi beragam, lingkungan aplikasi modern.

Alat pemindaian aplikasi sangat bagus, tetapi tidak mungkin mengidentifikasi perangkat lunak pihak ketiga yang disusupi yang tertanam dalam aplikasi. Alat perimeter dapat ditipu oleh lalu lintas yang tampaknya tidak berbahaya dari aplikasi hingga tanda tangan diterbitkan. Terakhir, sementara banyak bisnis menerapkan keamanan titik akhir, teknologi ini sering kali buta terhadap serangan aplikasi, karena mereka jarang perlu menyentuh perangkat pengguna pada tahap awal.

Sebaliknya, bisnis perlu menerapkan perlindungan diri aplikasi runtime (RASP) untuk mendeteksi dan mencegah serangan secara real time dan dari dalam aplikasi. Teknologi ini, yang direkomendasikan di NIST SP 800-53 Revisi 5, dapat menunjukkan serangan hingga baris kode yang tepat dan secara otomatis menghentikan eksploitasi kerentanan, memberikan waktu yang dibutuhkan organisasi untuk menambal kerentanan sesuai jadwal mereka sendiri.

Untuk mengaktifkan inovasi dan mempertahankan keunggulan kompetitif, organisasi perlu memodernisasi operasi mereka. Sebagian besar transformasi ini akan bergantung pada aplikasi dan layanan pihak ketiga.

Namun, kerentanan perangkat lunak dan aplikasi adalah masalah keamanan mendasar, dan perusahaan perlu memperhatikannya. Karena itu, mereka harus menekankan pertahanan mereka, terutama API yang mendukung transformasi digital mereka.

Dengan penyerang yang menemukan cara tersembunyi untuk menghindari pertahanan dan mendapatkan akses ke data yang mendasarinya, kontrol yang tepat harus diterapkan dan alat yang tepat digunakan untuk benar-benar melindungi data dan semua jalurnya.

Peter Klimek adalah direktur teknologi, Kantor CTO, dengan Imperva.