Apa itu manajemen akses istimewa (PAM)?

Dalam sistem komputer, 'hak istimewa' mengacu pada izin akses yang lebih tinggi dari pengguna standar. Akun pengguna biasa mungkin memiliki izin untuk melihat entri dalam database, sementara administrator istimewa akan dapat mengonfigurasi, menambahkan, mengubah, dan menghapus entri.

Pengguna bukan manusia, seperti mesin, aplikasi, dan beban kerja, juga dapat memiliki hak istimewa yang lebih tinggi. Misalnya, proses pencadangan otomatis mungkin memiliki akses ke file rahasia dan pengaturan sistem.

Akun dengan hak akses istimewa merupakan target bernilai tinggi bagi para peretas yang dapat menyalahgunakan hak akses mereka untuk mencuri data dan merusak sistem penting sekaligus menghindari deteksi. Faktanya, pembajakan akun yang valid adalah vektor serangan siber yang paling umum saat ini, menurut IBM® X-Force Threat Intelligence Index.

Dan bahayanya juga bisa datang dari dalam suatu organisasi. Sebuah studi oleh IBM Institute for Business Value menemukan bahwa staf yang bermaksud baik dapat membagikan data organisasi pribadi ke produk kecerdasan buatan (AI) pihak ketiga tanpa mengetahui apakah alat tersebut memenuhi kebutuhan keamanan mereka. Studi tersebut melaporkan bahwa 41% karyawan memperoleh, memodifikasi, atau menciptakan teknologi tanpa sepengetahuan tim TI atau keamanan mereka, sehingga menimbulkan celah serius dalam keamanan.

Alat dan praktik PAM membantu organisasi melindungi akun istimewa dari serangan berbasis identitas. Secara khusus, strategi PAM memperkuat postur keamanan organisasi dengan mengurangi jumlah pengguna dan akun yang memiliki hak istimewa, melindungi kredensial yang memiliki hak istimewa, dan menerapkan prinsip hak istimewa yang paling sedikit.

Manajemen identitas dan akses (IAM) adalah bidang luas yang mencakup semua upaya keamanan identitas organisasi untuk semua pengguna dan sumber daya. PAM merupakan bagian dari IAM yang berfokus pada pengamanan akun dan pengguna istimewa.

Terdapat kesenjangan yang signifikan antara IAM dan PAM. Keduanya melibatkan penyediaan identitas digital, menerapkan kebijakan kontrol akses dan mengimplementasikan sistem otentikasi dan otorisasi.

Namun, PAM melangkah lebih jauh dari tindakan IAM standar karena akun istimewa membutuhkan perlindungan yang lebih kuat daripada akun standar. Program PAM menggunakan langkah-langkah keamanan tingkat lanjut seperti brankas kredensial dan perekaman sesi untuk mengontrol secara ketat bagaimana pengguna mendapatkan hak istimewa yang lebih tinggi dan apa yang mereka lakukan dengan hak istimewa tersebut.

Akan menjadi tidak praktis dan tidak efektif untuk menerapkan tindakan sekuat itu pada akun yang tidak memiliki hak istimewa. Tindakan ini akan mengganggu akses pengguna biasa dan mempersulit orang untuk melakukan pekerjaan sehari-hari. Perbedaan dalam persyaratan keamanan ini adalah alasan mengapa PAM dan IAM telah membentuk disiplin ilmu yang terpisah, tetapi terkait.

Akun istimewa menimbulkan risiko keamanan yang tinggi. Izin mereka yang tinggi sangat rentan terhadap penyalahgunaan, dan banyak organisasi yang berjuang untuk melacak aktivitas hak istimewa di seluruh sistem on premises dan cloud. PAM membantu organisasi mendapatkan kontrol lebih besar atas akun istimewa untuk menghentikan peretas sambil menghubungkan pengguna dengan izin yang mereka butuhkan.

Serangan berbasis identitas, di mana peretas mengambil alih akun pengguna dan menyalahgunakan hak istimewa mereka yang sah, tengah meningkat. X-Force dari IBM melaporkan bahwa serangan ini menyumbang 30% dari pelanggaran keamanan. Serangan sering kali menargetkan akun yang memiliki hak akses istimewa tinggi, baik secara langsung maupun melalui gerakan lateral.

Aktor jahat—ancaman orang dalam atau penyerang eksternal — yang mendapatkan akun istimewa dapat menyebabkan kerusakan serius. Mereka dapat menggunakan izin yang ditingkatkan untuk menyebarkan malware dan mengakses sumber daya penting tanpa batasan, sambil mengelabui solusi keamanan agar berpikir bahwa mereka adalah pengguna yang sah dengan akun yang valid.

Menurut Laporan Biaya Pelanggaran Data IBM, pelanggaran di mana peretas menggunakan kredensial yang dicuri termasuk yang paling mahal dengan rata-rata USD 4,67 juta. Ancaman internal yang menggunakan hak akses istimewa yang sah dapat menyebabkan lebih banyak kerusakan, dengan rata-rata biaya serangan sebesar USD 4,92 juta.

Selain itu, transformasi digital dan pertumbuhan kecerdasan buatan telah meningkatkan jumlah pengguna istimewa di jaringan rata-rata. Setiap layanan cloud, aplikasi AI, stasiun kerja, dan perangkat Internet of Things (IoT) baru menghadirkan akun istimewa baru. Akun-akun termasuk akun admin yang dibutuhkan pengguna manusia untuk mengelola aset-aset ini dan akun yang digunakan aset-aset ini untuk berinteraksi dengan infrastruktur jaringan.

Yang lebih menyulitkan lagi, orang sering kali berbagi akun istimewa. Sebagai contoh, untuk mengelola lebih efisien, banyak tim IT menetapkan satu akun admin per sistem dan membagikan kredensial dengan pengguna yang membutuhkannya.

Akibatnya, sulit bagi organisasi untuk melacak akun-akun yang memiliki akses terbatas sementara penyelundupan fokus perhatiannya pada akun-akun tersebut.

Teknologi dan strategi PAM membantu organisasi mendapatkan visibilitas dan kontrol yang lebih besar atas akun dan aktivitas istimewa tanpa mengganggu alur kerja pengguna yang sah. Center for Internet Security mencantumkan aktivitas inti PAM di antara kontrol keamanan 'kritis'.¹

Alat-alat seperti brankas kredensial dan peningkatan hak istimewa secara tepat waktu (just-in-time) dapat memfasilitasi akses yang aman bagi pengguna yang membutuhkannya sambil menjaga agar peretas dan orang dalam yang tidak berwenang tidak masuk. Alat pemantauan sesi istimewa memungkinkan organisasi untuk melacak segala sesuatu yang dilakukan setiap pengguna dengan hak istimewa mereka di seluruh jaringan, sehingga memungkinkan tim TI dan keamanan untuk mendeteksi aktivitas yang mencurigakan.

Manajemen akses hak istimewa menggabungkan proses dan alat teknologi untuk mengontrol bagaimana hak istimewa ditetapkan, diakses, dan digunakan. Banyak strategi PAM berfokus pada tiga pilar:

• Manajemen akun istimewa: Pembuatan, penyediaan, dan pembuangan akun dengan izin yang lebih tinggi secara aman.

• Manajemen hak istimewa: Mengelola bagaimana dan kapan pengguna mendapatkan hak istimewa, serta apa yang dapat dilakukan pengguna dengan hak istimewa mereka.

• Manajemen sesi istimewa: Memantau aktivitas istimewa untuk mendeteksi perilaku yang mencurigakan dan memastikan kepatuhan.

Manajemen akun istimewa mengawasi seluruh siklus hidup akun dengan izin yang lebih tinggi, mulai dari pembuatan hingga pensiun.

Akun istimewa adalah akun yang memiliki hak akses lebih tinggi dari rata-rata dalam suatu sistem. Pengguna akun istimewa dapat melakukan hal-hal seperti mengubah pengaturan sistem, menginstal perangkat lunak baru, dan menambah atau menghapus pengguna lain.

Dalam lingkungan TI modern, akun istimewa memiliki banyak bentuk. Baik pengguna manusia maupun pengguna non-manusia, seperti perangkat IoT dan alur kerja otomatis, dapat memiliki akun istimewa. Contohnya antara lain:

• Akun administratif lokal memberi pengguna kendali atas satu laptop, server, atau titik akhir individu lainnya.

• Akun administratif domain memberikan pengguna kontrol atas seluruh domain, seperti semua pengguna dan komputer di domain Microsoft Active Directory.

• Akun pengguna bisnis dengan hak istimewa memberikan akses yang lebih tinggi kepada pengguna untuk tujuan non-IT, seperti akun yang digunakan oleh karyawan keuangan untuk mengakses dana perusahaan.

• Akun pengguna super memberikan hak istimewa yang tidak terbatas dalam sistem tertentu. Dalam sistem Unix dan Linux, akun pengguna super disebut akun "root". Di Microsoft Windows, disebutkan sebagai akun "administrator".

• Akun layanan memungkinkan aplikasi dan alur kerja otomatis berinteraksi dengan sistem operasi.

• Akun aplikasi memungkinkan aplikasi berinteraksi satu sama lain, membuat panggilan ke antarmuka pemrograman aplikasi (API) dan menjalankan fungsi penting lainnya.

Manajemen akun istimewa menangani seluruh siklus hidup akun istimewa ini, termasuk:

• Penemuan: Menginventarisasi semua akun istimewa yang ada dalam jaringan.

• Penyediaan: Membuat akun istimewa baru dan menetapkan izin berdasarkan prinsip hak istimewa yang paling sedikit.

• Akses: Mengelola siapa yang dapat mengakses akun istimewa dan caranya

• Pembuangan: Menghentikan akun-akun istimewa yang sudah tidak diperlukan lagi dengan aman.

Tujuan utama manajemen akun istimewa adalah mengurangi jumlah akun istimewa dalam sistem dan membatasi akses ke akun-akun tersebut. Manajemen kredensial adalah alat kunci untuk mencapai tujuan ini.

Daripada memberikan akun istimewa pada masing-masing pengguna, banyak sistem PAM yang memusatkan akun-akun ini dan menyimpan kredensial mereka dalam brankas kata sandi. Brankas dengan aman menyimpan kata sandi, token, kunci Secure Shell (SSH), dan kredenSIAL lainnya dalam bentuk terenkripsi.

Ketika pengguna—manusia atau bukan manusia—perlu melakukan kegiatan yang memerlukan akses terbatas, mereka harus memeriksa kredensial akun yang sesuai dari brankas.

Misalnya, katakanlah bahwa anggota tim TI harus membuat perubahan pada laptop perusahaan. Untuk melakukannya, mereka perlu menggunakan akun admin lokal untuk laptop ini. Kredensial untuk akun disimpan dalam brankas kata sandi, sehingga anggota tim TI memulai dengan meminta kata sandi akun.

Anggota tim harus terlebih dahulu melewati tantangan autentikasi yang kuat, seperti autentikasi multifaktor (MFA), untuk membuktikan identitas mereka. Lalu, brankas menggunakan kontrol akses berbasis peran (RBAC) atau kebijakan serupa untuk menentukan apakah pengguna ini diizinkan untuk mengakses kredensial akun ini.

Anggota tim TI ini diizinkan untuk menggunakan akun admin lokal ini, sehingga brankas kredensial memberikan akses. Anggota tim TI sekarang dapat menggunakan akun admin lokal untuk membuat perubahan yang diperlukan pada laptop perusahaan.

Untuk keamanan tambahan, banyak brankas kredensial tidak secara langsung berbagi kredenSIAL dengan pengguna. Sebaliknya, mereka menggunakan masuk tunggal atau single sign-on (SSO) dan perantara sesi untuk memulai koneksi yang aman tanpa pengguna pernah melihat kata sandi.

Akses akun pengguna biasanya kedaluwarsa setelah jangka waktu tertentu atau setelah tugas mereka selesai. Banyak brankas kredensial yang dapat secara otomatis merotasikan kredensial sesuai jadwal atau setelah setiap penggunaan, sehingga mempersulit pelaku jahat untuk mencuri dan menyalahgunakan kredensial tersebut.

PAM menggantikan model hak istimewa permanen, di mana pengguna selalu memiliki tingkat izin statis yang sama, dengan model akses just-in-time di mana pengguna menerima hak istimewa yang lebih tinggi ketika mereka perlu melakukan tugas tertentu. Manajemen hak istimewa adalah bagaimana organisasi menerapkan model akses dinamis yang paling tidak istimewa ini.

Brankas kredensial adalah salah satu cara organisasi menghilangkan hak istimewa abadi, karena pengguna dapat mengakses akun istimewa hanya untuk waktu dan tujuan terbatas. Namun, brankas bukan satu-satunya cara untuk mengontrol hak istimewa pengguna.

Beberapa sistem PAM menggunakan model yang disebut elevasi hak istimewa just-in-time (JIT). Sebaiknya, pengguna tidak perlu masuk ke akun istimewa terpisah. Mereka hanya perlu memperoleh izin sementara ketika perlu melakukan aktivitas istimewa.

Dalam model elevasi hak istimewa JIT, setiap pengguna memiliki akun standar dengan izin standar. Ketika pengguna perlu melakukan sesuatu yang membutuhkan izin yang lebih tinggi, seperti anggota tim TI yang mengubah pengaturan penting di laptop perusahaan, mereka mengirimkan permintaan ke alat PAM. Permintaan mungkin termasuk beberapa jenis alasan yang menguraikan tindakan yang diperlukan oleh pengguna dan mengapa.

Alat PAM menilai permintaan terhadap seperangkat aturan yang telah ditentukan sebelumnya. Jika pengguna ini berwenang untuk melakukan tugas ini pada sistem ini, alat PAM meningkatkan hak istimewa mereka. Hak istimewa yang ditinggikan ini hanya berlaku untuk waktu yang singkat, dan memungkinkan pengguna untuk melakukan tugas-tugas spesifik yang perlu mereka lakukan.

Sebagian besar organisasi menggunakan peningkatan hak istimewa dan brankas kredensial untuk manajemen hak istimewa. Beberapa sistem memerlukan akun khusus yang istimewa, seperti akun administratif default yang ada di beberapa perangkat, sementara yang lainnya tidak.

Manajemen sesi istimewa (PSM) adalah aspek PAM yang mengawasi aktivitas istimewa. Saat pengguna memeriksa akun istimewa atau aplikasi memiliki hak istimewa yang ditingkatkan, alat PSM melacak apa yang mereka lakukan dengan hak istimewa tersebut.

Alat PSM dapat merekam aktivitas sesi istimewa dengan mencatat peristiwa dan penekanan tombol. Beberapa alat PSM juga mengambil rekaman video dari sesi istimewa. Catatan PSM membantu organisasi mendeteksi aktivitas yang mencurigakan, mengaitkan aktivitas istimewa dengan pengguna individu dan membangun jejak audit untuk tujuan kepatuhan.

Manajemen identitas istimewa (PIM) dan manajemen pengguna istimewa (PUM) adalah subbidang yang tumpang tindih dari manajemen akses istimewa. Proses PIM berfokus pada penetapan dan pemeliharaan hak istimewa untuk identitas individu dalam suatu sistem. Proses PUM berfokus pada pemeliharaan akun pengguna yang memiliki hak istimewa.

Namun, perbedaan antara PIM, PUM dan aspek PAM lainnya tidak disepakati secara universal. Beberapa praktisi bahkan menggunakan istilah tersebut secara bergantian. Pada akhirnya, yang penting adalah semuanya berada di bawah payung PAM. Organisasi yang berbeda mungkin mengkonseptualisasikan tugas PAM secara berbeda, tetapi semua strategi PAM memiliki tujuan yang sama untuk mencegah penyalahgunaan akses istimewa.

Tidak efisien, dan sering kali tidak mungkin, untuk melakukan tugas-tugas inti PAM secara manual seperti peningkatan hak istimewa dan rotasi kata sandi secara teratur. Sebagian besar organisasi menggunakan solusi PAM untuk merampingkan dan mengotomatiskan sebagian besar proses.

Alat PAM dapat diinstal on premises sebagai perangkat lunak atau perangkat keras. Semakin banyak, mereka dikirimkan sebagai aplikasi perangkat lunak sebagai layanan (SaaS) berbasis cloud.

Perusahaan analis Gartner mengurutkan alat PAM menjadi empat kelas:

• Alat manajemen akun dan sesi istimewa (PASM) menangani manajemen siklus hidup akun, manajemen kata sandi, penyimpanan kredensial, dan pemantauan sesi istimewa secara real-time.

• Alat manajemen peningkatan dan pendelegasian hak istimewa (PEDM) memungkinkan peningkatan hak istimewa just-in-time dengan secara otomatis mengevaluasi, menyetujui, dan menolak permintaan akses istimewa. 

• Alat manajemen rahasia berfokus pada perlindungan kredensial dan pengelolaan hak istimewa untuk pengguna non-manusia, seperti aplikasi, beban kerja, dan server.

• Alat manajemen hak infrastruktur cloud (CIEM) dirancang untuk manajemen identitas dan akses di lingkungan cloud, di mana pengguna dan aktivitasnya lebih tersebar dan memerlukan kontrol yang berbeda dari rekan-rekan mereka on premises.

Sementara beberapa alat PAM adalah solusi titik yang mencakup satu kelas aktivitas, banyak organisasi mengadopsi platform komprehensif yang menggabungkan fungsi PASM, PEDM, manajemen rahasia, dan CIEM. Alat ini juga dapat mendukung integrasi dengan alat keamanan lainnya, seperti mengirim log sesi istimewa ke solusi keamanan informasi dan manajemen peristiwa (SIEM).

Beberapa platform PAM yang komprehensif memiliki fungsi tambahan, seperti:

• Kemampuan untuk mengenali otomatis akun istimewa sebelumnya yang tidak diketahui

• Kemampuan untuk menerapkan MFA pada pengguna yang meminta akses istimewa

• Akses jarak jauh yang aman untuk aktivitas dan pengguna istimewa

• Kemampuan manajemen akses istimewa vendor (VPAM) untuk kontraktor dan mitra pihak ketiga

Analis mengantisipasi bahwa alat PAM, seperti kontrol keamanan lainnya, akan semakin menggabungkan AI dan machine learning (ML). Sebagian besar alat PAM telah menggunakan AI dan ML dalam sistem autentikasi berdasarkan risiko.

Autentikasi berbasis risiko terus menilai perilaku pengguna, menghitung tingkat risiko perilaku tersebut, dan secara dinamis mengubah persyaratan autentikasi berdasarkan risiko tersebut. Misalnya, pengguna yang meminta hak istimewa untuk mengkonfigurasi laptop tunggal mungkin perlu melewati autentikasi dua faktor. Seorang pengguna yang ingin mengubah pengaturan untuk semua stasiun kerja di sebuah domain mungkin perlu memberikan lebih banyak bukti untuk memverifikasi identitas mereka.

Penelitian dari OMDIA² memprediksi bahwa alat PAM dapat menggunakan AI generatif untuk menganalisis permintaan akses, mengotomatiskan peningkatan hak istimewa, menghasilkan dan menyempurnakan kebijakan akses, serta mendeteksi aktivitas yang mencurigakan dalam catatan sesi istimewa.

Meskipun alat dan taktik PAM mengatur aktivitas istimewa di seluruh organisasi, alat dan taktik ini juga bisa membantu mengatasi tantangan keamanan identitas dan akses tertentu.

• Mengecilkan permukaan serangan identitas
• Mengelola penyebaran identitas
• Kepatuhan terhadap peraturan
• Manajemen rahasia DevOps