Melindungi Perjalanan Data Organisasi Anda
Di seluruh dunia, bisnis dari semua ukuran dan semua industri sedang melalui transformasi TI dalam bentuk apa pun. Faktanya, perusahaan telah mempercepat digitalisasi operasi bisnis internal dan eksternal mereka selama tiga hingga empat tahun sejak pandemi mengacaukan dunia. Meskipun COVID-19 dapat dianggap sebagai percepat utama bagi perubahan ini, pemimpin organisasi juga mulai mengenali kepentingan strategis dari penyematkan teknologi di seluruh bisnis mereka.
Bagi banyak orang, transformasi akan didorong oleh adopsi perangkat lunak komersial off-the-shelf pihak ketiga yang diimplementasikan dalam aplikasi dalaman, aplikasi perangkat lunak sebagai layanan (SaaS) yang menyimpan data sensitif, dan perpustakaan pihak ketiga sumber terbuka yang digunakan untuk membangun perangkat lunak. Meskipun pengenalan teknologi modern adalah tanda progresi yang diperlukan, bisnis tidak boleh mengabaikan potensi risiko keamanan yang datang bersama semua inovasi ini. Rantai pasokan perangkat lunak yang meluas akan mengekspos bisnis yang tidak menyangka dengan cara baru dan kompleks, mendorong batas pertahanan keamanan tradisional.
Rantai pasokan perangkat lunak yang rentan bahkan telah menarik perhatian pemerintah AS, mengonfirmasi urgensi risiko keamanan siber yang tumbuh ini. Pada bulan Mei, pemimpin pemerintah mengambil langkah pertama untuk mengatasi secara proaktif potensi ancaman yang ada dalam ekosistem ketergantungan pihak ketiga yang berkembang. Peraturan Eksekutif 14028 merumencanakan rencana yang meminta pemerintah "untuk melakukan perubahan berani dan investasi signifikan guna mempertahankan institusi vital yang mendukung gaya hidup Amerika." Peraturan ini menekankan khususnya pada keamanan perangkat lunak kritis, yang menurut pemerintah, "kurang transparansi, konsentrasi yang cukup pada kemampuan perangkat lunak untuk menahan serangan, dan kontrol yang memadai untuk mencegah manipulasi oleh aktor berbahaya."
National Institute of Standards and Technology (NIST) merumencanakan langkah-langkah keamanan untuk melindungi perangkat lunak kritis, dengan fokus tajam pada pertahanan yang diperlukan untuk melindungi data, bukan hanya sistem dan jaringan di sekitarnya. Pendekatan ini, yang berfokus pada melindungi data dan semua jalur menuju data, mengakui masalah yang sulit diatasi dari aplikasi dan perpustakaan perangkat lunak pihak ketiga yang memiliki akses langsung ke data sensitif. Seperti yang dibuktikan oleh serangan yang berhasil dilakukan selama beberapa bulan terakhir, organisasi perusahaan harus memperhitungkan vendor vendor atau perangkat lunak pihak ketiga yang mendasari aplikasi dan antarmuka mereka jika kita ingin benar-benar mengurangi ancaman serangan rantai pasokan perangkat lunak.
Ekosistem yang Kompleks
Secara historis, perusahaan berfokus pada risiko yang diperkenalkan oleh sekelompok vendor terdekat mereka dan perangkat lunak kritis yang merekaandalkan. Postur itu sudah tidak cukup lagi, karena transformasi TI mendorong batas jaringan tradisional dan membuat kontrol verus kurang efektif.
Meskipun bisnis mungkin telah menerapkan kontrol keamanan yang tepat, tidak berarti vendornya di seluruh rantai pasokan perangkat lunak juga demikian. Strategi keamanan tidak dapat lagi bergantung pada kepercayaan terhadap semua elemen dalam ekosistem, bahkan dari mitra dan vendor. Rantai pasokan perangkat lunak yang berkembang, bersama dengan kompleksitas aplikasi modern, berarti kerentanan akan diperkenalkan dengan kecepatan yang lebih tinggi. Untuk membantu mengatasi skala serangan yang tumbuh dalam siklus pengembangan perangkat lunak, organisasi perlu mengadopsi model ancaman yang mencakup semua bagian rantai pasokan, termasuk kode pihak ke-n.
Aplikasi modern didorong oleh ekosistem yang kompleks dari antarmuka pemrograman aplikasi (API), mikroservis, dan fungsi serverless. Dengan beban kerja yang lebih ephemeral dan arsitektur terdistribusi, tidak ada peluru perak untuk analisis perangkat lunak pra-produksi. Bahkan dalam siklus pengembangan perangkat lunak (SDLC) yang paling ketat, kompleksitas pengembangan berarti kerentanan akan diperkenalkan. Itu sebabnya melindungi semua jalur menuju data harus menjadi strategi fundamental bagi organisasi.
Menangani Isu Secara Langsung
Seperti yang dibuktikan oleh serangan rantai pasokan perangkat lunak sebelumnya, aktor jahat secara diam-diam maneuver di dalam rantai pasokan perangkat lunak dengan mengeksploitasi kerentanan dalam koneksi perangkat lunak pihak ketiga, menggunakannya untuk bergerak secara lateral dan akhirnya mendapatkan akses ke data sasaran.
Keamanan aplikasi web harus berevolusi dan lebih berfokus pada mengidentifikasi perilaku aplikasi saat runtime, seperti apakah kode pihak ketiga bertanggung jawab atas tindakan yang tidak diinginkan. Hanya dengan memblokir perilaku yang tidak terduga seseorang dapat mencegah perilaku serangan baru. Ini akan kritis saat TI perusahaan berevolusi menjadi lingkungan aplikasi modern yang beragam.
Alat pemindaian aplikasi bagus, namun kemungkinan besar tidak akan mengidentifikasi perangkat lunak pihak ketiga yang terkompromi dan tertanam dalam aplikasi. Alat perampokan dapat ditipu oleh lalu lintas yang tampak tidak berbahaya dari aplikasi hingga tanda tangan dipublikasikan. Terakhir, meskipun banyak bisnis menerapkan keamanan titik akhir, teknologi ini seringkali buta terhadap serangan aplikasi, karena jarang perlu menyentuh perangkat pengguna dalam tahap awal.
Sebaliknya, bisnis perlu menerapkan perlindungan aplikasi sendiri saat runtime (RASP) untuk mendeteksi dan mencegah serangan secara real-time dan dari dalam aplikasi. Teknologi ini, yang direkomendasikan dalam NIST SP 800-53 Revision 5, dapat menentukan serangan hingga baris kode yang tepat dan secara otomatis menghentikan eksploitasi kerentanan, memberikan organisasi waktu yang diperlukan untuk memperbaiki kerentanan sesuai jadwal mereka sendiri.
Untuk mengaktifkan inovasi dan mempertahankan keunggulan kompetitif, organisasi perlu memodernisasi operasi mereka. Sebagian besar transformasi ini akan bergantung pada aplikasi dan layanan pihak ketiga.
Namun, kerentanan perangkat lunak dan aplikasi adalah masalah keamanan fundamental, dan perusahaan perlu memperhatikannya. Sebagai akibatnya, mereka harus menekankan pertahanan mereka, terutama API yang mendasari transformasi digital mereka.
Dengan pelaku ancaman yang menemukan cara halus untuk menghindari pertahanan dan mendapatkan akses ke data yang mendasari, sangat penting untuk memastikan kontrol yang tepat tersedia dan alat yang tepat digunakan untuk benar-benar melindungi data dan semua jalur menuju data.
Peter Klimek adalah direktur teknologi, Office of the CTO, di Imperva.
