Zero Trust: Pertahanan Terbaik untuk Keamanan Perangkat IoT
Ahli keamanan siber bergegas untuk tetap satu langkah di depan peretas yang mencoba mengeksploitasi kelemahan jutaan perangkat internet of things di seluruh dunia. Namun, mungkin mereka fokus pada masalah yang salah.
Perangkat IoT meresap hampir setiap aspek bisnis saat ini, dan membuat inroads yang cepat ke sektor konsumen juga. Setiap sensor yang terhubung ke internet menciptakan kerentanan potensial lain bagi pengguna. Jadi tidak mengherankan jika kondisi keamanan IoT saat ini "mungkin tidak begitu bagus," sebagaimana digambarkan oleh Gary Kinghorn, managing director dengan Tempered Networks.
Ketika basis data high roller di kasino dibobol melalui termometer ikan "pintar", jelas bahwa alam semesta IoT yang berkembang memiliki masalah serius. Keadaan kerentanan teknologi "hampir sampai pada titik keabsurdan," kata Kinghorn.
Perusahaan yang mencoba menguatkan sistem informasi mereka telah fokus pada perangkat itu sendiri, khususnya kebutuhan akan kata sandi yang kuat yang berjanji melindungi mereka dari pencuri siber. Pemerintah juga telah mencoba untuk memperkuat perangkat IoT melalui upaya seperti Cybersecurity Improvement Act yang baru saja lolos. Namun Kinghorn percaya itu bukan jawaban keseluruhan — atau bahkan pertanyaan yang tepat.
Setiap perangkat yang terhubung IoT memiliki alamat IP yang membuatnya menjadi sasaran menggugah untuk peretas. Namun transmiter tidak begitu "pintar" seperti kata sifat tren itu mungkin menyarankan. "Mereka adalah perangkat yang sangat sederhana," kata Kinghorn. "Mereka tidak akan pernah cukup canggih untuk menganalisis koneksi jaringan yang sah atau permintaan data."
Alih-alih, pengguna harus fokus pada apa yang disebut Kinghorn sebagai "lubang asli" dalam keamanan: jaringan itu sendiri. Kunci adalah untuk memastikan bahwa vektor serangan tidak tersedia untuk peretas. Dan untuk melakukan itu, sistem perlu mengadopsi model "zero-trust" untuk mengotorisasi masuk.
Istilah itu berarti bahwa "Anda tidak mempercayai apa pun yang mencoba untuk melekat ke jaringan Anda, bahkan aplikasi atau perangkat dari pengguna internal Anda sendiri, kecuali mereka secara khusus diotorisasi," Kinghorn menjelaskan. Pikirkan "daftar putih" yang melindungi garis telepon dari penipuan, pemasaran telepon dan panggilan robocall dengan memblokir semua kecuali nomor yang sebelumnya ditetapkan.
Lingkungan zero-trust memastikan bahwa "selalu traffic bergerak melalui jaringan terenkripsi, sehingga tidak ada penyadapan atau serangan man-in-the-middle," kata Kinghorn. Kebijakan keamanan organisasi dikelola sekitar identifikasi perangkat dan pengguna di muka depan, daripada mengandalkan keandalan sensor IoT.
Sistem seperti ini membatasi akses ke jaringan bahkan oleh perangkat yang paling dipercaya. Dalam kasus kasino yang dibobol, Kinghorn bertanya, mengapa termometer ikan itu terkait ke basis data pelanggan pada pertama kalinya? "Hanya boleh diizinkan untuk mengakses satu sistem — yang berbicara tentang suhu tangki."
Zero trust memungkinkan sistem untuk memisahkan sensor individu dari jaringan yang lebih besar. Jadi mengapa lebih banyak pengguna swasta dan publik belum mengadopsi konsep ini, meskipun pelanggaran keamanan terus bertambah?
Kinghorn menemukan beberapa jawaban dalam Laporan Adopsi Zero Trust oleh Cybersecurity Insiders. Laporan ini menemukan tingkat semangat yang tinggi atas model zero-trust, dengan 78% tim keamanan TI yang diseleksi menunjukkan minat dalam menerapkan akses jaringan zero-trust di masa depan. Mereka merespons kebutuhan untuk menguatkan keamanan sistem pada saat perusahaan beralih ke cloud publik dan mencoba mengelola workforce seluler dengan aman.
Di saat yang sama, 47% dari sampel mengatakan mereka tidak yakin dengan kemampuan teknologi keamanan saat ini untuk menerapkan zero trust. Hanya 15% yang sudah memiliki sistem seperti itu, dan sekitar 20% belum banyak memikirkan teknologi ini sama sekali.
Biaya adalah faktor pembatas, kata Kinghorn. Zero trust dapat mahal untuk dicapai, dengan kebutuhan untuk "mengganti" beberapa sistem TI, dan dalam bentuk saat ini tidak selalu diperluas ke aplikasi di luar data center.
"Itu adalah fokus kami," kata Kinghorn, "untuk dapat menerapkan zero trust pada jaringan atau perangkat apa pun, melalui kombinasi dari agen perangkat lunak yang umum dan perangkat gateway yang terpasang keras."
Saat berkaitan dengan upgrade teknologi, perubahan jarang mudah. Tim keamanan TI mungkin menganggap diri mereka nyaman dengan firewall tradisional dan jaringan pribadi virtual (VPN), atau khawatir tentang repotnya memerlukan autentikasi multi-faktor. Namun zero trust dapat diatur dengan single sign-on, dan agen dapat diinstal dalam hitungan menit, kata Kinghorn. "Itu tidak terlalu mahal," katanya, "meskipun beberapa organisasi mungkin membuatnya demikian."
Dia melihat minat pada zero trust meningkat dengan cepat, terutama sebagai respons terhadap pandemi COVID-19 dan masalah keamanan tambahan yang telah dibawanya kepada departemen TI. Dan meski penerimaan penuh teknologi mungkin membutuhkan waktu, kegagalan untuk maju akan mengekspos perusahaan pada serangan yang semakin merusak oleh peretas yang kreatif.
Sistem legacy kemarin tidak dilengkapi untuk mengatasi ancaman siber modern, kata Kinghorn. "Protokol IP berusia 50 tahun. Ini tidak dirancang untuk melakukan apa yang diminta organisasi TI saat ini. Itulah mengapa kita memerlukan model yang sepenuhnya baru."
