Apa yang dimaksud dengan manajemen rahasia?

Organisasi saat ini mengotomatiskan banyak proses bisnis utama dan alur kerja dengan menggunakan alat seperti otomatisasi proses robotik (RPA) dan baru-baru ini, agen AI dan asisten AI. Sama seperti pengguna manusia, entitas bukan manusia ini membutuhkan kredensial—sering disebut "rahasia"—untuk mengakses sumber daya organisasi.

Pengguna bukan manusia sering membutuhkan hak istimewa yang lebih tinggi untuk menyelesaikan tugas mereka. Misalnya, proses pencadangan otomatis mungkin memiliki akses ke file rahasia dan pengaturan sistem.

Akun non-manusia istimewa ini adalah target bernilai tinggi bagi peretas, yang dapat menyalahgunakan hak akses mereka untuk mencuri data dan merusak sistem penting sambil menghindari deteksi. Faktanya, pembajakan akun yang valid adalah vektor serangan siber yang paling umum saat ini, menurut IBM X-Force Threat Intelligence Index. Serangan ini mewakili 30% dari semua insiden yang ditanggapi X-Force baru-baru ini.

Sistem dan proses manajemen rahasia memungkinkan organisasi untuk membuat, mengontrol, dan mengamankan rahasia yang digunakan entitas non-manusia untuk mengakses sumber daya TI. Dengan menggunakan alat manajemen rahasia untuk mengelola dan melindungi kredensial non-manusia di seluruh siklus hidup menyeluruh, organisasi dapat menyederhanakan alur kerja otomatis sambil mencegah pelanggaran data, gangguan, pencurian, dan akses tidak sah lainnya.

Rahasia adalah kredensial digital yang terkandung dalam aplikasi atau layanan yang memungkinkan pengguna non-manusia untuk berkomunikasi dengan dan melakukan tindakan pada layanan, database, aplikasi atau sumber daya lainnya. Rahasia membantu organisasi memperkuat postur keamanan mereka dengan memastikan bahwa hanya pengguna yang berwenang yang memiliki akses ke data dan sistem sensitif.

Contoh rahasia termasuk, tetapi tidak terbatas pada:

• Kredensial akun layanan: Akun layanan memungkinkan aplikasi dan alur kerja otomatis berinteraksi dengan sistem operasi. Kredensial akun layanan dapat mencakup kata sandi, token keamanan, tiket Kerberos, dan rahasia lainnya.
  
  
• Kunci API: Kunci API memungkinkan pengguna, aplikasi, dan layanan untuk memverifikasi diri mereka sendiri ke antarmuka pemrograman aplikasi (API).
  
  
• Kunci enkripsi: Kunci enkripsi memungkinkan pengguna untuk mengenkripsi dan mendekripsi data.
  
  
• Token otentikasi dan otorisasi: Token, seperti yang digunakan dalam protokol OAuth, adalah informasi yang dapat memverifikasi identitas pengguna dan menentukan sumber daya yang dapat diaksesnya.
  
  
• Kunci SSH (Secure Shell): Kunci SSH digunakan oleh server SSH untuk mengidentifikasi pengguna atau perangkat melalui kriptografi kunci publik.
  
  
• Sertifikat SSL/TLS: Sertifikat digital yang dapat digunakan untuk membangun komunikasi pribadi antara server dan klien menggunakan protokol Secure Sockets Layer/Transport Layer Security (SSL/TLS).
  
  
• Rahasia yang bersifat sewenang-wenang: Data sensitif, termasuk semua jenis data terstruktur atau tidak terstruktur yang dapat digunakan untuk mengakses aplikasi atau sumber daya.
  
  
• Kunci pribadi lainnya: Ini dapat mencakup sertifikat infrastruktur kunci publik (PKI), kunci kode autentikasi pesan berbasis hash (HMAC), dan kunci penandatanganan.

Alat manajemen rahasia kelas Enterprise membantu organisasi dalam mendeteksi, mencegah, dan memperbaiki akses yang tidak sah dan penyalahgunaan data dan sistem sensitif, seperti informasi identifikasi pribadi (PII). Organisasi dapat mengurangi risiko pelanggaran data dan pencurian data, menghindari hilangnya data berharga, potensi denda, dan kerusakan reputasi.

Manajemen rahasia adalah salah satu pilar dari manajemen akses istimewa (PAM), bagian dari manajemen identitas dan akses (IAM ) yang berfokus pada pengamanan akun dan pengguna istimewa.

3 pilar PAM lainnya antara lain:

• Manajemen akun dan sesi istimewa (PASM), yang menangani manajemen siklus hidup akun, manajemen kata sandi, dan pemantauan sesi.
  
  
• Manajemen peningkatan dan pendelegasian hak istimewa (PEDM), yang melibatkan evaluasi, persetujuan, dan penolakan otomatis permintaan akses istimewa. 
  
  
• Manajemen hak infrastruktur cloud (CIEM), yang mengawasi proses IAM di lingkungan komputasi cloud.

Manajemen rahasia penting untuk metodologi DevOps, yang menekankan pengiriman perangkat lunak otomatis dan berkelanjutan.

Tim DevOps sering menggunakan beberapa alat konfigurasi atau orkestrasi untuk mengelola seluruh ekosistem digital, alur kerja, dan titik akhir. Alat ini sering menggunakan otomatisasi dan skrip yang memerlukan akses ke rahasia untuk memulai. Tanpa layanan manajemen rahasia tingkat perusahaan, penggunaan rahasia secara serampangan dapat meningkatkan kerentanan sistem.

Banyak organisasi yang mengintegrasikan fungsi manajemen rahasia ke dalam jalur integrasi berkelanjutan dan penyampaian berkelanjutan, atau jalur CI/CD. Hal ini membantu memastikan bahwa semua bagian yang bergerak—pengembang, alat, dan proses otomatis—memiliki akses yang aman ke sistem sensitif yang mereka butuhkan saat mereka membutuhkannya.

Manajemen rahasia dianggap sebagai komponen inti DevSecOps, evolusi metodologi DevOps yang terus mengintegrasikan dan mengotomatiskan keamanan di seluruh siklus hidup DevOps.

Proses manajemen rahasia biasanya bergantung pada alat manajemen rahasia. Alat-alat ini, yang bisa diterapkan di tempat atau sebagai layanan yang disediakan di cloud, bisa membantu memusatkan, mengotomatisasi, dan menyederhanakan pembuatan, penggunaan, rotasi dan perlindungan rahasia.

Beberapa kemampuan umum alat manajemen rahasia meliputi:

• Manajemen rahasia terpusat dan terstandardisasi
• Pembuatan rahasia dinamis dan rotasi rahasia otomatis
• Kontrol akses
• Pemantauan dan audit aktivitas

Dengan layanan manajemen rahasia tingkat perusahaan, organisasi dapat mengelola berbagai jenis rahasia dalam satu panel kaca.

Alih-alih membiarkan pengguna individu mengelola rahasia dalam silo kecil, solusi manajemen rahasia dapat menyimpan rahasia di lokasi pusat yang aman yang disebut “brankas rahasia.”

Ketika pengguna yang berwenang membutuhkan akses ke sistem sensitif, mereka dapat memperoleh rahasia yang sesuai dari brankas. Alat manajemen rahasia dapat secara otomatis memverifikasi, mengotorisasi, dan memberikan izin yang dibutuhkan pengguna untuk menjalankan alur kerja mereka.

Standardisasi dapat membantu mencegah penyebaran rahasia. Penyebaran rahasia adalah ketika rahasia disimpan di berbagai tempat di seluruh organisasi, sering kali dikodekan ke dalam aplikasi atau sebagai teks biasa dalam dokumen bersama. Penyebaran rahasia membuat sulit untuk melindungi rahasia dari aktor jahat dan melacak bagaimana rahasia digunakan.  

Rahasia yang dibuat dalam Secrets Manager dapat berupa statis atau dinamis. Rahasia statis adalah rahasia yang tetap berlaku untuk waktu yang lama, biasanya hingga diubah secara manual atau mencapai tanggal kedaluwarsa yang telah ditentukan.

Sebaliknya, rahasia dinamis dibuat oleh Secrets Manager sesuai permintaan, pada saat hal tersebut dibutuhkan. Rahasia dinamis kedaluwarsa cukup cepat. Mereka bahkan bisa sekali pakai.

Contoh penggunaan untuk rahasia dinamis adalah melindungi sumber daya rahasia dengan menghasilkan kunci API secara dinamis setiap kali sumber daya tersebut dibaca atau diakses. Ini membantu memastikan bahwa aktor jahat tidak dapat mencuri dan menggunakan kembali kunci API.

Banyak Secrets Manager juga dapat mengotomatiskan rotasi rahasia—yaitu, tindakan mengubah rahasia secara teratur. Rotasi rahasia dapat diotomatisasi sesuai jadwal atau sesuai permintaan tanpa perlu menyebarkan ulang atau mengganggu aplikasi. Time-to-live (TTL) atau durasi sewa dapat ditentukan untuk sebuah rahasia pada saat pembuatannya untuk mempersingkat waktu keberadaan rahasia tersebut.

Rahasia hanya dapat diberikan kepada entitas atau kelompok tertentu untuk mengatur dan memperketat akses. Akses ke rahasia sering kali diberikan dengan menggunakan prinsip hak istimewa yang paling sedikit-yaitu, setiap proses hanya diberikan serangkaian hak istimewa yang paling terbatas yang diperlukan untuk melakukan tugas. Pengguna hanya dapat mengakses rahasia yang diperlukan untuk melakukan tugas resmi mereka.

Banyak Secrets Manager dapat melacak bagaimana pengguna dan aplikasi berinteraksi dengan dan menggunakan rahasia untuk memverifikasi bahwa rahasia ditangani dengan tepat sepanjang siklus hidup mereka. Hal ini memungkinkan organisasi untuk melakukan pemantauan autentikasi dan otorisasi secara real-time dan menyeluruh.

Secrets Manager dapat dengan cepat mengidentifikasi upaya yang tidak sah untuk melihat atau menggunakan rahasia dan memutus akses, sehingga menghentikan peretas, ancaman orang dalam, dan pelaku kejahatan lainnya. 

Selain menggunakan solusi manajemen rahasia, banyak organisasi yang mengikuti praktik-praktik inti yang umum dalam proses manajemen rahasia mereka. Praktik-praktik ini meliputi:

• Rahasia dibuat dan disimpan di lingkungan tempat layanan diterapkan, seperti lingkungan pengembangan, pengujian, dan produksi. Beberapa organisasi menggunakan alat manajemen rahasia yang berbeda untuk setiap lingkungan. Yang lain menggunakan satu solusi pusat dan mengisolasi rahasia setiap lingkungan dalam segmen khusus. Rahasia tersebut tidak pernah meninggalkan lingkungannya dan diamankan dengan menggunakan langkah-langkah kontrol akses yang ketat.
  
  
• Akses pengguna ke rahasia diberikan pada tingkat minimum yang diperlukan bagi setiap pengguna untuk memenuhi tanggung jawab mereka. Kelebihan hak—baik disengaja atau tidak—dapat menyebabkan pelanggaran data.
  
  
• Rahasia dirotasi secara rutin sesuai dengan kebutuhan sistem.
  
  
• Pengguna tidak menyimpan rahasia dalam kode sumber, file konfigurasi atau dokumentasi.
  
  
• Kebijakan keamanan dapat ditingkatkan dengan mewajibkan enkripsi semua data sensitif. Kunci enkripsi dapat dilindungi dengan layanan manajemen kunci (KMS).
  
  
• Organisasi terus memantau rahasia, dengan log audit yang melacak setiap permintaan: siapa yang meminta rahasia, untuk sistem apa, apakah permintaan itu berhasil, kapan rahasia itu digunakan, kapan kadaluarsanya, dan kapan serta apakah rahasia itu telah diperbarui. Anomali segera diselidiki. 

Seiring ekosistem TI menjadi lebih kompleks, manajemen rahasia menjadi makin sulit dikendalikan secara efektif. Tantangan manajemen rahasia umum dapat mencakup:

Ekosistem terdesentralisasi di mana admin, pengembang, dan pengguna mengelola rahasia mereka secara terpisah dapat menimbulkan risiko, karena celah keamanan dan penggunaan rahasia mungkin tidak dimonitor atau diaudit dengan benar.

Solusi manajemen rahasia terpusat dapat menawarkan organisasi lebih banyak visibilitas dan kontrol atas rahasia.

Ketika kata sandi atau rahasia lainnya disematkan sebagai teks biasa dalam kode sumber atau skrip, penyerang dapat dengan mudah menemukannya dan menggunakannya untuk mengakses informasi sensitif.

Rahasia yang dikodekan dapat muncul di banyak tempat, termasuk rantai alat CI/CD, perangkat Internet of Things (IoT), platform orkestrasi kontainer seperti Kubernetes, server aplikasi, pemindai kerentanan, dan platform otomatisasi proses robotik (RPA).

Rotasi rahasia secara rutin dapat membantu mencegah pencurian dan penyalahgunaan, tetapi rotasi bisa jadi tidak konsisten atau tidak efektif tanpa sistem manajemen rahasia. Jika rahasia tetap tidak berubah terlalu lama, seorang peretas mungkin dapat membukanya dengan menebak-nebak atau dengan serangan brutal (brute-force attack).

Semakin lama kata sandi digunakan, semakin banyak pengguna yang memiliki akses dan semakin besar kemungkinan kebocoran.

Sistem TI yang berkembang dapat menyebabkan penyebaran rahasia, dengan rahasia tersebar di banyak bagian sistem yang tersilo. Penyebaran rahasia dapat sangat memprihatinkan dalam ekosistem multicloud hybrid, di mana organisasi memadukan lingkungan cloud publik dan pribadi yang disampaikan oleh beberapa penyedia cloud.

Organisasi mungkin memiliki ribuan, bahkan jutaan, rahasia di seluruh aplikasi cloud-native, kontainer, layanan mikro, dan sumber daya TI lainnya. Penyebaran ini menciptakan beban keamanan yang besar dan memperluas permukaan serangan potensial.

Di seluruh layanan, visibilitas mungkin terbatas, dan manajemen rahasia dapat dengan cepat menjadi sulit jika dilacak secara manual atau dengan sistem yang berbeda. Kurangnya layanan manajemen rahasia yang terpusat dapat membuat penegakan keamanan rahasia yang tepat menjadi lebih sulit atau tidak mungkin.

Ketika sebuah organisasi tidak memiliki sistem manajemen rahasia, rahasia mungkin dibagikan secara manual—seperti melalui email atau teks—di mana aktor ancaman dapat mencegatnya.