Mengapa 'Zero Trust' Adalah Cara Terbaik untuk Mendukung Keamanan Perangkat IoT
Pakar keamanan siber berjuang untuk tetap selangkah lebih maju dari peretas yang ingin mengeksploitasi kelemahan di jutaan perangkat internet di seluruh dunia. Tapi mungkin mereka fokus pada masalah yang salah.
Perangkat IoT menembus hampir setiap aspek bisnis saat ini, dan juga membuat terobosan cepat ke sektor konsumen. Setiap sensor yang terhubung ke internet menciptakan potensi kerentanan lain bagi penggunanya. Jadi, tidak mengherankan jika kondisi keamanan IoT saat ini “mungkin tidak terlalu baik”, seperti yang dijelaskan oleh Gary Kinghorn, direktur pelaksana Tempered Networks.
Ketika database kasino rol tinggi diretas melalui termometer tangki ikan "pintar", jelas bahwa alam semesta IoT yang sedang berkembang memiliki masalah serius. Status kerentanan teknologi “hampir mencapai titik absurditas”, kata Kinghorn.
Perusahaan yang ingin menopang sistem informasi mereka telah berfokus pada perangkat itu sendiri, khususnya kebutuhan akan kata sandi yang kuat yang seharusnya melindungi mereka dari pencuri dunia maya. Pemerintah juga telah berupaya untuk memperkuat perangkat IoT melalui langkah-langkah seperti Cybersecurity Improvement Act yang baru-baru ini disahkan. Tapi Kinghorn percaya itu bukan jawaban keseluruhan — atau bahkan pertanyaan yang tepat.
Setiap perangkat yang terhubung dengan IoT memiliki alamat IP yang menjadikannya target yang menggoda bagi peretas. Namun pemancar sama sekali tidak "pintar" seperti yang mungkin disarankan oleh kata sifat yang trendi itu. “Mereka adalah perangkat yang sangat sederhana,” kata Kinghorn. “Mereka tidak akan pernah cukup canggih untuk menganalisis koneksi jaringan atau permintaan data yang sah.”
Sebaliknya, pengguna harus fokus pada apa yang disebut Kinghorn sebagai "lubang nyata" dalam keamanan:jaringan itu sendiri. Kuncinya adalah memastikan bahwa vektor serangan tidak tersedia bagi peretas. Dan untuk melakukan itu, sistem perlu mengadopsi model “zero-trust” untuk mengotorisasi entri.
Istilah ini berarti bahwa "Anda tidak mempercayai apa pun yang mencoba untuk dilampirkan ke jaringan Anda, bahkan aplikasi atau perangkat pengguna internal Anda sendiri, kecuali jika mereka secara khusus diizinkan," Kinghorn menjelaskan. Pikirkan "daftar putih" yang melindungi saluran telepon dari scammer, telemarketer, dan robocall dengan memblokir semua kecuali nomor yang ditentukan sebelumnya.
Lingkungan tanpa kepercayaan memastikan bahwa “semua lalu lintas bergerak melalui jaringan terenkripsi, jadi tidak ada intersepsi atau serangan man-in-the-middle,” kata Kinghorn. Kebijakan keamanan organisasi dikelola berdasarkan identifikasi awal perangkat dan pengguna, daripada mengandalkan keandalan sensor IoT.
Sistem seperti itu membatasi akses ke jaringan bahkan oleh perangkat yang paling tepercaya. Dalam kasus kasino yang diretas, Kinghorn bertanya, mengapa termometer tangki ikan itu terkait dengan database pelanggan? “Seharusnya hanya diizinkan untuk mengakses satu sistem — yang berbicara tentang suhu tangki.”
Tanpa kepercayaan memungkinkan sistem untuk memblokir sensor individu dari jaringan yang lebih besar. Jadi mengapa tidak lebih banyak pengguna pribadi dan publik yang menganut konsep tersebut, meskipun pelanggaran keamanan terus meningkat?
Kinghorn menemukan beberapa jawaban di Zero Trust Adoption Report oleh Cybersecurity Insiders. Ia menemukan tingkat antusiasme yang tinggi terhadap model tanpa kepercayaan, dengan 78% dari I.T. yang disurvei. tim keamanan menyatakan minatnya untuk menerapkan akses jaringan tanpa kepercayaan di masa mendatang. Mereka menanggapi kebutuhan untuk memperketat keamanan sistem pada saat perusahaan beralih ke cloud publik dan berusaha mengelola tenaga kerja seluler dengan aman.
Pada saat yang sama, 47% sampel mengatakan mereka kurang percaya diri dengan kemampuan teknologi keamanan mereka saat ini untuk menerapkan kepercayaan nol. Hanya 15% yang sudah memiliki sistem seperti itu, dan sekitar 20% belum memberikan banyak perhatian pada teknologi sama sekali.
Biaya adalah faktor pembatas, kata Kinghorn. Kepercayaan nol bisa jadi mahal untuk dicapai, dengan kebutuhan untuk "merobek dan mengganti" beberapa I.T. sistem, dan dalam bentuknya saat ini tidak selalu meluas ke aplikasi di luar pusat data.
“Itulah fokus kami,” kata Kinghorn, “untuk dapat menerapkan zero trust ke jaringan atau perangkat apa pun, melalui kombinasi agen perangkat lunak biasa dan perangkat gateway bawaan.”
Dalam hal peningkatan teknologi, perubahan bukanlah hal yang mudah. DIA. tim keamanan mungkin merasa nyaman dengan firewall tradisional dan jaringan pribadi virtual (VPN), atau khawatir tentang kerumitan memerlukan otentikasi multi-faktor. Tetapi kepercayaan nol dapat diatur dengan sistem masuk tunggal, dan agen dapat dipasang dalam hitungan menit, klaim Kinghorn. “Ini tidak terlalu mahal,” katanya, “walaupun beberapa organisasi mungkin membuatnya begitu.”
Dia melihat minat terhadap kepercayaan nol meningkat dengan cepat, terutama dalam menanggapi pandemi COVID-19 dan masalah keamanan tambahan yang ditimbulkannya pada I.T. departemen. Dan meskipun penerimaan penuh atas teknologi mungkin membutuhkan waktu, kegagalan untuk bergerak maju akan membuat perusahaan menghadapi serangan yang semakin merusak oleh peretas kreatif.
Sistem warisan kemarin tidak dilengkapi untuk mengatasi ancaman dunia maya modern, kata Kinghorn. “Tumpukan protokol IP berusia 50 tahun. Itu tidak pernah dirancang untuk melakukan apa yang I.T. organisasi diminta untuk melakukan hari ini. Itu sebabnya kami membutuhkan model yang benar-benar baru.”
