Meningkatnya Ancaman Penyebaran Rahasia dan Perlunya Tindakan
23 Mei 2023Berita HackerKeamanan Aplikasi
Aset paling berharga di era informasi saat ini adalah rahasia yang dijaga secara rahasia. Sayangnya, menjaga rahasia kini menjadi semakin menantang, seperti yang disoroti dalam laporan State of Secrets Sprawl tahun 2023, yang merupakan analisis terbesar aktivitas publik GitHub.
Laporan tersebut menunjukkan a Peningkatan sebesar 67% dari tahun ke tahun dalam jumlah rahasia yang ditemukan, dengan 10 juta rahasia hard-code terdeteksi pada tahun 2022 saja. Lonjakan penyebaran rahasia yang mengkhawatirkan ini menjadi sorotan perlunya tindakan dan menggarisbawahi pentingnya pengembangan perangkat lunak yang aman.
Penyebaran rahasia mengacu pada rahasia yang muncul dalam teks biasa di berbagai sumber, seperti kode sumber, skrip build, infrastruktur sebagai kode, log, dll. Meskipun rahasia seperti token API dan kunci pribadi secara aman menghubungkan komponen rantai pasokan perangkat lunak modern, distribusinya tersebar luas di antara pengembang, mesin, aplikasi, dan sistem infrastruktur meningkatkan kemungkinan kebocoran.
Insiden Keamanan Siber Menyoroti Bahaya Rahasia yang Dikodekan Secara Keras
Dua insiden keamanan siber tingkat tinggi yang melibatkan Uber dan Toyota telah menggarisbawahi kebutuhan mendesak untuk mengatasi masalah penyebaran rahasia dan memprioritaskan keamanan kode. Seiring dengan meningkatnya kesadaran mengenai masalah ini, penting bagi perusahaan untuk memprioritaskan perlindungan rahasia dan berinvestasi pada solusi inovatif yang mendeteksi dan memulihkan potensi ancaman.
Uber mengalami serangan di mana penyerang memperoleh akses ke sistem penting menggunakan kredensial admin hard-code yang ditemukan dalam skrip PowerShell. Sebaliknya, Toyota secara tidak sengaja mengungkap kredensial yang memberikan akses ke data pelanggan di repositori GitHub publik selama hampir lima tahun. Kedua insiden tersebut menjadi pengingat akan risiko yang terkait dengan penyebaran rahasia. Selain itu, seperti yang ditunjukkan dalam laporan tersebut, sebagian besar insiden keamanan melibatkan, pada titik tertentu, rahasia: misalnya kunci yang dimanfaatkan oleh penyerang atau diekspos melalui kode sumber yang bocor.
Titik Buta Utama dalam Keamanan Aplikasi
Dengan 1 dari setiap 10 penulis kode mengungkap rahasia pada tahun 2022, terbukti bahwa masalah ini melampaui tingkat pengalaman dan menimpa pengembang secara keseluruhan.
Manajemen rahasia semakin mendapat perhatian karena semakin banyak organisasi yang meneliti proses rantai pasokan perangkat lunak mereka setelah serangkaian pelanggaran keamanan tingkat tinggi. Tim keamanan siber biasanya berfokus pada identifikasi kerentanan dibandingkan mengungkap kredensial yang tidak diamankan dengan baik. Akibatnya, banyak sekali aplikasi yang berjalan di lingkungan produksi mungkin memiliki masalah manajemen rahasia yang belum ditemukan.
Dalam skenario yang sempurna, penerapan praktik terbaik DevSecOps akan mengatasi masalah yang berkembang ini. Namun, dengan perluasan repositori kode yang terus-menerus, lebih banyak kesalahan mendasar yang muncul. Menyadari kerentanan rantai pasokan perangkat lunak, penjahat dunia maya secara proaktif memindai repositori untuk menemukan rahasia yang dapat memfasilitasi pelanggaran aplikasi.
Masalah ini kemungkinan akan bertambah buruk karena serangan terhadap rantai pasokan perangkat lunak diperkirakan akan meningkat. Seiring kemajuan teknologi dan kode menjadi semakin melekat dalam kehidupan kita sehari-hari, risiko yang terkait dengan penyebaran rahasia menjadi semakin mendesak.
Meningkatnya fokus pada pengamanan rantai pasokan perangkat lunak, terutama sehubungan dengan Strategi Keamanan Siber Nasional pemerintahan Biden, diperkirakan akan mendorong lebih banyak organisasi TI untuk menerapkan langkah-langkah keamanan menyeluruh dalam siklus hidup pengembangan perangkat lunak mereka. Oleh karena itu, tim DevOps harus mengantisipasi peningkatan fokus pada pengelolaan rahasia dari pakar keamanan siber.
Menerapkan Tindakan Proaktif untuk Mengurangi Risiko Penyebaran Rahasia
Untuk mengatasi ancaman yang semakin besar ini, organisasi harus memprioritaskan perlindungan rahasia mereka dan berinvestasi pada solusi untuk mendeteksi dan mengatasi potensi kerentanan.
Pertumbuhan berkelanjutan dari paradigma segalanya sebagai kode dan komoditisasi infrastruktur dan layanan digital berarti bahwa perangkat lunak, kode, dan rahasia akan menjadi semakin penting dalam operasi bisnis sehari-hari mereka.
Risiko terungkapnya rahasia tidak dapat sepenuhnya dihilangkan, bahkan dengan sistem pengelolaan rahasia yang terpusat. Namun hal ini dapat diatasi dengan mengatasi praktik kebersihan rahasia yang buruk dan menerapkan pedoman remediasi.
Untuk mengukur seberapa besar manfaat program deteksi dan remediasi rahasia bagi organisasi Anda, Anda dapat menggunakan Kalkulator Nilai gratis kami untuk memperkirakan kemungkinan biaya jika tidak berurusan dengan utang keamanan yang terdiri dari ribuan rahasia yang dikodekan secara permanen saat ini.
Dengan belajar menghadapi masalah ini dan menerapkan alat dan sumber daya yang tepat, perusahaan dapat secara signifikan mengurangi risiko terkait kebocoran dan eksploitasi rahasia.
Kesimpulannya, penyebaran rahasia (secrets sprawl) adalah ancaman yang semakin meningkat dan memerlukan perhatian segera dari organisasi. Dengan alat dan strategi yang tepat, perusahaan dapat memitigasi risiko terkait kebocoran dan eksploitasi rahasia. Saatnya untuk memprioritaskan pengelolaan rahasia dan berinvestasi dalam solusi inovatif untuk memastikan rahasia kita tetap aman dan terlindungi.
Di dunia di mana informasi adalah kekuatan, inilah saatnya untuk mengambil tindakan dan memastikan rahasia kita tetap tersimpan dengan aman.
Apakah artikel ini menarik? Ikuti kami di Twitter dan LinkedIn untuk membaca lebih banyak konten eksklusif yang kami posting.
