Top 10 Risiko Keamanan Pada Cloud

Top 10 Risiko Keamanan Pada Cloud

Dengan banyaknya perkembangan teknologi zaman sekarang baik dari segi infrakstruktur, jaringan dan telekomunikasi. Salah satu perkembangan teknologi tersebut adalah Cloud. Cloud bisa disebut sebuah teknologi yang mana dapat diakses dimanapun menggunakan jaringan internet. Menurut [1] cloud juga dapat mengarah kepada software dan service yang berjalan di internet dibandingkan di computer sendiri. Beberapa contoh layanan penyedia cloud diantaranya : Apple iCLoud, Dropbox, Netflix, Amazon cloud drive, Google Driver dan lain-lain. Banyak keuntungan yang didapatkan jika menggunakan cloud diantaranya setiap data yang disimpan di Cloud, dapat diakses dimana saja dan kapanpun dengan menggunakan koneksi internet. Disamping beberapa keuntungan yang dimiliki oleh CLoud, cloud juga juga memiliki beberapa resiko keamanan.

OWASP (The Open Web Application Security Projek) merupakan organisasi/komunitas yang fokus dibidang Keamanan Aplikasi. Semua kegiatan OWASP didedikasikan agar dapat membantu organisasi memahami, mengembangkan, memperoleh, mengoperasikan dan me-maintain aplikasi yang aman atau dapat dipercaya. Semua hasil penelitian yang dilakukan oleh OWASP di sosialisasikan kepada siapapun yang ingin meningkatkan keamanan aplikasi dan semua itu bersifat terbuka baik berupa dokumen, tool, metodologi, artikel, serta teknologi. OWASP tidak melakukan afiliasi dengan perusahan teknologi manapun. Hal ini agar owasp bebas dari tekanan dan mampu bersifat objektif dalam memberikan informasi mengenai keamanan yang erat kaitannya dengan teknologi informasi.

OWASP mempublikasikan top 10 resiko keamanan pada cloud. Risiko keamanan tersebut diantaranya

  1. R1: Accountability & Data Risk
  2. R2: User Identity Federation
  3. R3: Regulatory Compliance
  4. R4: Business Continuity & Resilliency
  5. R5: User Privacy and Secondary Usage of Data
  6. R6: Service and Data Integration
  7. R7: Multi Tenancy and Physical Security
  8. R8: Incidence Analysis and Forensic Support
  9. R9: Infrastructure Security
  10. R10: Non Production Environment Exposure

1 R1: Accountability & Data Risk

Tradisional data center yang pernah digunakan oleh organisasi/perusahaan menjadikan perusahaan dapat memiliki hak akses penuh atau control penuh terhadap data yang mereka punya baik segi fisik server dan data digital. Untuk alasan ekonomi, beberapa organisasi mungkin memilih untuk menggunakan public cloud untuk menghosting layanan bisnis yang ada. Dengan kata lain organisasi kehilangan control penuh terhadap data yang dimiliki. Permasalahan ini merupakan permasalahan kritikal terhadap risiko keamanan yang mana organisasi perlu mempertimbangkan permasalahan ini dan melakukan mitigate.

Tingkat risiko bergantung kepada sensitivitas data yang tersimpan di cloud. Jika yang tersimpan di cloud hanya data informal blogs, berita, postingan di media social mungkin memliki sensitive data yang tidak terlalu tinggi dan tentunya tidak memiliki risiko yang tinggi. Jika yang disimpan di cloud merupakan data yang memiliki sensitive data tinggi tentunya memiliki risiko yang tinggi pula seperti data yang berkenaan dengan kesehatan, rekam criminal, credit history, dan data bisnis perusahaan.

Belum lagi permasalahan peraturan negara yang harus di patuhi penyedia cloud dimana perusahan cloud berada. Peraturan negara mungkin memwajibkan penyedia cloud untuk memberi akses kepada negara untuk melihat data yang ada di server cloud yang mereka miliki.

Permintaan penghapusan data juga salah satu permalahan yang ada. Penyedia cloud mungkin hanya menghapus data tersebut dan meninggalkan jejak untuk dapat melakukan recovery terhadap data yang dimiliki perusahaan.

1.1 Mitigate

Beberapa mitigate yang dapat dilakukan oleh perusahaan atau organisasi diantaranya [2] :

  1. Pahami bagaimana penyedia layanan cloud mengamankan data, mendeteksi dan melaporkan akses illegal
  2. Mengetahui lokasi penyimpan data, dan memastikan penyedia layanan tidak menyimpan data di negara yang memiliki aturan yang dapat merugikan perusahaan yang menggukana layanan cloud
  3. Mengetahui situasi dimana pihak ketiga atau pemerintah dapat memanfaatkan data dari penyedia layanan. Penyedia layanan harus memberikan pemberitahuan terhadap kejadian tersebut
  4. Memastikan penyedia cloud menjaga atau melindungi data berdasarkan klasifikasi sebagaimana yang ditentukan oleh konsumen dan memastikan penyedia cloud concerns terhadap undang-undang privacy seperti HIPPA
  5. Penyedia cloud secara default menolak semua akses ke data konsumen. Organisasi konsumen dapat secara eksplisit memberikan akses dengan hak istimewa tertentu kepada pihak yang diinginkan
  6. Penyedia melakukan enkripsi di data at rest, dan di data in transit
  7. Penyedia melakukan isolasi terhadap data banyak konsumen untuk mencegah access, perubahan, atau penghapusan data yang tidak sah.
  8. Memahami bagaimana penyedia cloud memanage encryption untuk setiap pelanggan yang ada. dari pada menggunakan single encryption key untuk semua konsumen, penyedia layanan setidaknya membuat kunci per konsumen.
  9. Memverikasi penyedia cloud melakukan penghapusan yang nantinya data tersebut tidak dapat di recovery kembali
  10. Jika terjadi kebocoran data, penyedia cloud wajib membayar pinalti.

2 R2: User Identity Federation

Hal ini sangat penting bagi perusahaan untuk tetap mengontrol identitas pengguna saat mereka memindahakan layanan dan aplikasi penyedia cloud yang berbeda. Dari pada membiarkan penyedia cloud membuat satu identitas untuk per layanan tentunya akan membuat rumit untuk pengelolaan user yang ada. Pengguna harus dikenali secara unik dengan menggunakan federate authentitication seperti SAML yang dapat bekerja antar penyedia layanan[3].

Beberapa risiko keamanan yang terdapat pada user identification pada cloud diantaranya :

  1. Mengatur identitas antar penyedia layanan
  2. Kurangnya control terhadap siklus pengguna
  3. Pengalaman pengguna

2.1 Mitigate

Beberapa mitigate yang dapat dilakukan untuk pada risiko ini diantaranya:

  1. Melakukan penggabungan identitas (Federated identity)
  2. Menggunakan OAuth untuk backend integrasinya
  3. Tighter user provisioning control

3 R3: Regulatory Compliance

Data yang disimpan mungkin akan aman di sebuah negara tapi belum tentu akan aman di negara lain. Ini disebabkan adanya perbedaan regulator atau aturan dan hukum setiap negara. Contohnya adalah Uni Eropa memiliki aturan yang sangat ketat terhadap privacy laws sedangkan di amerika tidak mengikuti aturan yang ada di uni eropa (Pemerintah amerika memberikan akses penuh kepada federal agencies untuk mengakses semua data yang ada di perusahaan) [4]. Dan juga permasalahan yang ada pada regulator compliance adalah lemahnya tranparansi antara penyedia layanan terhadap pelanggan mereka.

3.1 Mitigate

Beberapa mitigate yang dapat dilakukan diantaranya :

  1. Menerapkan risk management
  2. Define data protection requirement dan SLAs
  3. Provide / Consumer agreement to a pre-defined RACI model

4 R4: Bussiness Continuity and Resiliency

Ketika sebuah perusahaan mempercayakan layanan bisnis yang mereka miliki ke salah satu penyedia cloud, perusahaan tersebut harus mengetahui tingkat continuity dan resilency dari penyedia cloud yang mereka percayai. Ini dikarenakan, hal tersebut dapat berpengaruh terhadap layanan bisnis yang dipercayakan sebuah perusahaan ke layanan cloud. Misalnya jika sebuah perusahaan A meletakkan layanan bisnis nya ke provider cloud A, ternyata provider cloud A lemah terhadap time recovery jika terjadi bencana. Tentunya akan menyebabkan layanan bisnis perusahaan A tidak berjalan yang dapat mengakibatkan kerugian bagi perusahaan A.

4.1 Mitigate

Beberapa mitigate yang dapat dilakukan diantaranya[5]:

  1. Membuat kontrak kepada provider cloud terkait recovery times dan denda jika terjadi downtimes
  2. Memastikan cloud provider memiliki standar terkait continuity seperti standar BS 2599

5 R5: User Privacy and Secondary Usage of Data

Ketika pengguna menggunakan layanan media social (juga termasuk layanan cloud) untuk menyimpan data pribadi mereka seperti halnya data kesehatan, data finansial email dan lain-lain. Pengguna terkadang dihadapkan kepada persetujuan peraturan yang diberikan kepada layanan social media, dengan kata lain pengguna wajib menyetujui peraturan tersebut agar dapat menggunakan layanan social media. Hal tersebut terkadang di gunakan oleh beberapa penyedia layanan cloud untuk dapat memberikan iklan kepada pengguna yang menggunakan layanan mereka atau melakukan data mining terhadap data personal untuk mencari keuntungan terhadap data mining tersebut. Secara tidak langsung data tersebut akan di share atau digunakan pada bisnis lain. Dan terkadang penjualan data mining tersebut tampa pemberitahuan terlebih dahulu kepada pihak yang datanya di mining.

5.1 Mitigate

Beberapa mitigate yang dilakukan terhadap isu ini adalah

  1. Memberlakukan kebijakan yang berisi tentang privasi dan penggunaanya, persetujuan (keikutsertaan atau tidak ikut), dan penggunaan secondary usage
  2. Memastikan penyimpanan data terenkrip
  3. Melakukan terms of service dengan provider salah satunya berisi tanggung jawab terhadap kepatuhan aturan yang ada dan aturan antar negara.
  4. De-identification of personal information

6 R6: Service and Data Integration

Sumber[5]
Dari gambar diatas bisa dilihat bahwasanya perpindahan data dari satu cloud ke cloud yang lain. Tentunya ini menjadi permsalahan jika integrasi data dan layanan antara satu cloud ke cloud yang lain tidak aman. Ini dapat menyebabkan bocornya data yang dapat merugikan bagi pengguna cloud

6.1 Mitigate

Beberapa mitigasi yang dapat dilakukan terkait isu ini adalah

  1. Memastikan layanan cloud menggunakan enkripsi data in transit
  2. Memastikan layanan cloud menggunakan enkripsi data at rest
  3. Memastikan layanan cloud menggunakan enkripsi.

7 Multi Tenancy and Physical Security

Multi tenancy didalam cloud berarti menggunakan satu server (Ram, Cpu, Hardisk) yang dipakai beberapa konsumen atau multi tenancy juga dapat diartikan sebuah logical instance yang dari sebuah aplikasi yang di-share untuk banyak konsumen (banyak tenant) [6]. Salah satu contoh multi tenancy adalah shared hosting[7].

Beberapa risiko yang bisa dijabarkan terkait multi tenancy diantaranya:

  1. Physical resources (CPU, Networking, Storage/Database, application stack) dibagi kebeberapa konsumen. Ini bearti tergantung logical segregation dan control lain untuk memastikan pengguna satu tidak menggangu keamanan (Confidentiality, integrity, avaibility) pengguna lain didalam physical yang sama.
  2. Jika provider cloud memiliki kelemahan terhadap logical control antara pengguna (tenants), ini mungkin akan melemahkan keamanan pengguna lain(other tenant)
  3. Jika penyedia layanan tidak membangun sebuah arsitektur yang baik, ini dapat mengakibat single point of failure karena penyalahgunaan layanan oleh pengguna yang ada
  4. Kurangnya koordinasi dan pengujian yang baik ketika ada perubahan infrastuktur
  5. Untuk mengurangi cost dari penyedia layanan. Penyedia layanan mungkin men store data beberapa pengguna di satu database. Tentunya ini mempunyai permasalahan sendiri jika ada data destruction.
  6. Jika satu pengguna (tenants) menggunakan resource yang banyak (heavy use) ini mungkin akan mengganggu kualitas dari pengguna lainnya

7.1 Mitigate

Mitigasi yang dapat dilakukan terkait isu ini diantaranya:

  1. Penyedia layanan harus membuat sebuah infrakstruktur yang bagus untuk multi tenancy dari pada menggunakan layanan yang sebenarnya bukan untuk menghandle multi tenancy
  2. Enrypt data dan pisahkan data tersebut dari pengguna lain. Dengan kata lain setiap pengguna memiliki kunci sendiri. Bearti penyedia harus memiliki manajemen kunci yang baik
  3. Adanya control dan koordinasi terkait perubahan manajemen
  4. Transparency atau audit akses administrative
  5. Regular third party assessment
  6. Virtual Private Cloud (VPC)

8 Incidence Analysis and Forensic Support

Jika terjadi securty incident, aplikasi dan layanan yang di hosting di cloud akan susah di investigasi yang mana lognya mungkin didistribusikan ke multiple host dan data centers berlokasi dari beberapa negara yang mungkin memiliki peraturan hukum yang berbeda pula. Dan juga Log file yang dimiliki oleh beberapa konsumen mungkin terletak di hardware dan storage devices yang sama. Tentunnya ini akan menjadi permasalahan untuk lembaga penegak hukum untuk forensic recovery.

8.1 Mitigate

Mitigasi yang dapat dilakukan terkait hal ini diantaranya:

  1. Dedicated Forensic VM images
  2. Comprehensive logging

9 Infrastucture Security

9.1 Mitigate

Mitigasi yang dapat dilakukan terkait hal ini diantaranya[8]:

  1. Melakukan hardening untuk setiap komponen yang ada baik OS, Applikasi, dan konfigurasi
  2. Melakukan tiering of the solution architecture
  3. Melakukan isolation of infrastructure components
  4. Membuat role-based administrative access and restricted administrative privileges
  5. Melakukan vulnerability assessment secara berkala

10 Non Production Environment Exposure

Beberapa kesalahan yang terjadi pada perusahaan yang menggunakan layanan cloud adalah perusahaan terkadang meng-expos non production environment ke public. Yang tentunya dapat mengakibatkan informasi yang penting bocor. Ini dikarenakan, non productive environment umumnya tidak aman dibandingkan productive environment.

10.1 Mitigate

Mitigasi yang dapat dilakukan terkait hal ini diantaranya[9]:

  1. Menggunakan multi layer authentication
  2. Memastikan data yang digunakan di non production environment bukan lah data yang ada di production environment.

Reference :

[1]       D. Goldman, “What is the cloud,” 2015. [Online]. Available: http://money.cnn.com/2014/09/03/technology/enterprise/what-is-the-cloud/index.html.

[2]       OWASP, “Cloud-10_Accountability_and_Data_Ownership.” [Online]. Available: https://www.owasp.org/index.php/Cloud-10_Accountability_and_Data_Ownership.

[3]       Owasp, “Cloud Top 10 Security Risks,” 2014. [Online]. Available: https://www.owasp.org/index.php/Category:OWASP_Cloud_‐_10_Project.

[4]       OWASP, “Cloud-10 Regulatory Compliance.” [Online]. Available: https://www.owasp.org/index.php/Cloud-10_Regulatory_Compliance. [Accessed: 21-Oct-2017].

[5]       S. Babu, C. Ph, V. Bansal, and P. Telang, “Cisco: Top 10 Cloud Risks That Will Keep You Awake at Night,” Cisco, pp. 1–35, 2010.

[6]       OWASP, “Cloud-10 Multi Tenancy and Physical Security.” [Online]. Available: https://www.owasp.org/index.php/Cloud-10_Multi_Tenancy_and_Physical_Security.

[7]       Wowrack, “APAKAH SERVER ANDA SINGLE-TENANT ATAU MULTI-TENANT?” [Online]. Available: http://blog.wowrack.co.id/2015/06/apakah-server-anda-single-tenant-atau.html.

[8]       Owasp, “Cloud-10 Infrastructure Security.” [Online]. Available: https://www.owasp.org/index.php/Cloud-10_Infrastructure_Security.

[9]       Owasp, “Cloud-10 Nonproduction Environment Exposure.” [Online]. Available: https://www.owasp.org/index.php/Cloud-10_Nonproduction_Environment_Exposure.

Leave a Reply

Your email address will not be published. Required fields are marked *