Cyberthreat.id - National Security Agency (NSA) di Amerika Serikat (AS) merilis pedoman baru untuk membantu organisasi/perusahaan meningkatkan keamanan data yang disimpan di cloud. Pedoman tersebut mencakup teknik mitigasi untuk kerentanan cloud, identifikasi komponen keamanan cloud, aktor ancaman, dan lainnya.

NSA berharap pedoman ini dapat membuat organisasi memperoleh perspektif tentang prinsip-prinsip keamanan cloud sambil menangani pertimbangan keamanan cloud untuk membantu pengadaan layanan cloud. Panduan ini dirancang untuk tim kepemimpinan organisasi dan staf teknis.

Kerentanan cloud dapat dibagi menjadi empat kategori yakni: kesalahan konfigurasi; kontrol akses yang buruk; kelemahan penyewaan bersama; dan kerentanan rantai pasokan (supply chain).

1. Kesalahan konfigurasi.

Disebut sebagai kerentanan cloud yang paling umum, dapat memungkinkan penyerang mengakses data dan layanan cloud. Mei 2017, cacat keamanan semacam ini telah menyebabkan kontraktor pertahanan besar untuk mengekspos data NGA (National Geospatial- Intelligence Agency) yang sensitif dan otentikasi kredensial kepada publik.

September 2017, seorang peneliti keamanan telah menemukan data CENTCOM dapat diakses oleh semua pengguna cloud publik dan pada September 2019, detail perjalanan yang sensitif dari personel Departemen Pertahanan (DoD) terpapar karena cacat keamanan yang sama. Dan ada banyak contoh dari cacat yang sama juga berdampak pada perusahaan swasta.

2. Kontrol akses (access control) yang buruk.

Ini terjadi ketika layanan cloud menggunakan metode otentikasi yang lemah atau menyertakan kerentanan yang memotong kerentanan ini. Kelemahan dalam mekanisme ini dapat memungkinkan penyerang meningkatkan hak istimewa, yang mengakibatkan kompromi sumber daya cloud.

Serangan cyber pada Oktober 2019 oleh kelompok Phosporous pada pelanggan Microsoft dan serangan pada Maret 2018 oleh Institut Mabna Iran, di mana akun email dikompromikan dengan mem-bypass otentikasi multi-faktor, adalah contoh bagaimana cacat ini dapat dieksploitasi oleh aktor ancaman.

3. Kerentanan 'tenancy' bersama.

Platform cloud terdiri dari beberapa komponen perangkat lunak dan perangkat keras. Aktor jahat yang mampu menentukan perangkat lunak dan perangkat keras yang digunakan dalam arsitektur cloud dapat memanfaatkan kerentanan untuk meningkatkan hak istimewa di cloud. Terjadinya serangan seperti itu diperkirakan langka karena memerlukannya tingkat kecanggihan 'tinggi'.

Kerentanan perangkat keras dalam prosesor juga dapat berdampak besar pada keamanan cloud. Salah satu kasusnya adalah cacat dalam desain chip yang dapat mengakibatkan kompromi informasi penyewa di cloud melalui serangan saluran samping (side-channel attack)

4. Kerentanan rantai pasokan (supply chain).

Kerentanan supply chain di cloud mencakup keberadaan ancaman orang dalam (insider Threat) dan pintu belakang (backdoor) yang disengaja dalam perangkat keras dan perangkat lunak. Selain itu, komponen cloud perangkat lunak pihak ketiga mungkin mengandung kerentanan yang sengaja disisipkan oleh pengembang nakal untuk membahayakan aplikasi.

Memasukkan agen ke dalam supply chain cloud, sebagai pemasok, administrator, atau pengembang, dapat menjadi sarana yang efektif bagi penyerang negara-bangsa untuk kompromi dengan lingkungan cloud.

Kesimpulan

Mengelola risiko di cloud adalah tanggung jawab di pundak penyedia layanan cloud (CSP). Dengan demikian, CSP harus mengerahkan tindakan pencegahan yang tepat untuk membantu pelanggan mengeraskan sumber daya cloud mereka.

Keamanan di cloud adalah proses yang konstan dan pelanggan juga harus terus memantau sumber daya cloud mereka dan terus bekerja untuk meningkatkan postur keamanan.