Apa yang dimaksud dengan manajemen rahasia?

Organisasi semakin sering memanfaatkan identitas non-manusia untuk mengotomatisasi proses bisnis dan alur kerja utama. Identitas ini dapat mencakup akun layanan, pipeline integrasi berkelanjutan dan pengiriman berkelanjutan (CI/CD), kontainer, layanan mikro, serta alat orkestrasi. Mereka juga dapat mencakup robotic process automation (RPA)—bot perangkat lunak yang meniru tindakan manusia—dan, yang lebih baru, agen AI. 

Mirip dengan pengguna manusia, entitas bukan manusia memerlukan kredensial, atau “rahasia”, untuk autentikasi ke sistem dan layanan dan mengakses sumber daya organisasi, seringkali dengan hak istimewa yang lebih tinggi. Misalnya, proses pencadangan otomatis mungkin membaca file rahasia dan mengubah pengaturan sistem.

Bagi para peretas, akun-akun non-manusia yang memiliki hak istimewa ini merupakan sasaran yang sangat berharga. Ini memungkinkan aktor ancaman untuk menyalahgunakan hak akses guna mencuri data dan merusak sistem penting, sekaligus menghindari deteksi. Menurut IBM X-Force Threat Intelligence Index, peretasan akun yang sah merupakan vektor serangan siber yang paling umum kedua, yang mencakup 32% dari seluruh insiden yang ditangani X-Force tahun lalu.

Sistem manajemen rahasia membantu mengatasi ancaman siber ini, sehingga organisasi dapat membuat, mengontrol, dan mengamankan rahasia yang digunakan oleh entitas non-manusia untuk mengakses sumber daya TI. Dengan alat pengelolaan rahasia, tim TI dapat melindungi kredensial non-manusia sepanjang siklusnya, sehingga memperlancar alur kerja otomatis sekaligus mencegah pelanggaran data, manipulasi, pencurian, dan akses tidak sah lainnya.

Rahasia adalah kredensial digital yang terkandung dalam aplikasi atau layanan yang memungkinkan pengguna non-manusia untuk berkomunikasi dengan dan melakukan tindakan pada layanan, database, aplikasi atau sumber daya lainnya. Rahasia membantu organisasi memperkuat postur keamanan mereka dengan memastikan bahwa hanya pengguna yang berwenang yang memiliki akses ke data dan sistem sensitif.

Contoh rahasia termasuk, tetapi tidak terbatas pada:

• Kredensial akun layanan: Akun layanan memungkinkan aplikasi dan alur kerja otomatis berinteraksi dengan sistem operasi. Kredensial akun layanan dapat mencakup kata sandi, token keamanan, tiket Kerberos, dan rahasia lainnya.
  
  
• Kunci API: Kunci API memungkinkan pengguna, aplikasi, dan layanan untuk memverifikasi diri mereka sendiri ke antarmuka pemrograman aplikasi (API).
  
  
• Kunci enkripsi: Kunci enkripsi memungkinkan pengguna untuk mengenkripsi dan mendekripsi data.
  
  
• Token autentikasi dan otorisasi: Token, seperti yang digunakan dalam protokol OAuth, adalah informasi yang dapat memverifikasi identitas pengguna dan menentukan sumber daya yang dapat diaksesnya.
  
  
• Kunci SSH (Secure Shell): Kunci SSH digunakan oleh server SSH untuk mengidentifikasi pengguna atau perangkat melalui kriptografi kunci publik.

• Sertifikat PKI dan kunci privat (SSL/TLS/mTLS): Sertifikat yang diterbitkan oleh certificate authority dan kunci privat yang terkait digunakan untuk mengautentikasi titik akhir serta membangun koneksi terenkripsi SSL/TLS, termasuk autentikasi mutual TLS (mTLS).

• Rahasia yang bersifat sewenang-wenang: Data sensitif, termasuk semua jenis data terstruktur atau tidak terstruktur yang dapat digunakan untuk mengakses aplikasi atau sumber daya.

• Connection strings: Rangkaian teks yang berisi instruksi yang diperlukan oleh program komputer untuk terhubung ke sumber data, termasuk basis data, file, atau spreadsheet.

• Kunci kriptografi lainnya: Ini dapat mencakup kunci hash-based message authentication code (HMAC), kunci penandatanganan kode, serta kunci privat lain yang digunakan untuk penandatanganan atau verifikasi.

Manajemen rahasia adalah solusi keamanan penting yang membantu organisasi menyimpan, mengontrol, dan memutar kredenSIAL sensitif dan rahasia lainnya dengan aman, seperti kata sandi, kunci API, dan token. 

Ini merupakan salah satu dari empat kemampuan inti manajemen akses istimewa (PAM), sebuah bagian dari manajemen identitas dan akses (IAM) yang berfokus pada pengamanan akun dan pengguna istimewa.

Tiga kemampuan PAM lainnya meliputi:

• Manajemen akun dan sesi istimewa (PASM), yang menangani manajemen siklus akun istimewa, manajemen kata sandi, dan pemantauan sesi. 
  
  
• Manajemen peningkatan dan pendelegasian hak istimewa (PEDM), yang melibatkan penilaian, persetujuan, dan penolakan otomatis permintaan akses istimewa. 
  
  
• Manajemen hak akses infrastruktur cloud (CIEM), yang mengawasi izin dan hak akses di lingkungan komputasi awan.

Pengelolaan rahasia merupakan hal yang penting dalam metodologi DevOps, yang menekankan pengembangan dan penyampaian perangkat lunak secara otomatis dan berkelanjutan.

Tim DevOps sering menggunakan beberapa alat manajemen konfigurasi atau orkestrasi untuk mengelola seluruh ekosistem digital, alur kerja, dan titik akhir. Alat ini sering menggunakan otomatisasi dan skrip yang memerlukan akses ke rahasia untuk memulai. Tanpa layanan manajemen rahasia tingkat perusahaan, penggunaan rahasia secara serampangan dapat meningkatkan kerentanan sistem.

Banyak organisasi mengintegrasikan fungsi manajemen rahasia ke dalam pipeline CI/CD. Hal ini membantu memastikan bahwa semua bagian yang bergerak—pengembang, alat, dan proses otomatis—memiliki akses yang aman ke sistem sensitif yang mereka butuhkan saat mereka membutuhkannya.

Manajemen rahasia dianggap sebagai komponen inti DevSecOps, evolusi metodologi DevOps yang terus mengintegrasikan dan mengotomatiskan keamanan di seluruh siklus DevOps.

Proses manajemen rahasia biasanya bergantung pada alat manajemen rahasia. Alat-alat ini, yang bisa diterapkan on premises atau sebagai layanan cloud, bisa membantu memusatkan, mengotomatiskan dan merampingkan pembuatan, penggunaan, rotasi dan perlindungan rahasia.

Solusi manajemen rahasia komersial dan sumber terbuka tersedia. Opsi sumber terbuka termasuk Infisical sementara opsi komersial termasuk CyberArk Conjur (yang juga memiliki edisi sumber terbuka) dan HashiCorp Vault (dari HashiCorp, sebuah perusahaan IBM).

Beberapa kemampuan umum alat manajemen rahasia meliputi:

• Manajemen rahasia terpusat dan terstandardisasi
• Pembuatan rahasia dinamis dan rotasi rahasia otomatis
• Kontrol akses
• Pemantauan dan audit aktivitas

Dengan layanan manajemen rahasia tingkat perusahaan, organisasi dapat mengelola berbagai jenis rahasia dalam satu panel kaca.

Alih-alih membiarkan pengguna individu mengelola rahasia dalam silo kecil, solusi manajemen rahasia dapat menyimpan rahasia di lokasi pusat yang aman yang disebut “brankas rahasia.”

Ketika pengguna yang berwenang membutuhkan akses ke sistem sensitif, mereka dapat memperoleh rahasia yang sesuai dari brankas. Alat manajemen rahasia dapat secara otomatis memverifikasi dan mengotorisasi permintaan dan melepaskan rahasia yang diperlukan untuk mengautentikasi alur kerja.

Standardisasi dapat membantu mencegah penyebaran rahasia. Penyebaran rahasia adalah ketika rahasia disimpan di berbagai tempat di seluruh organisasi, sering kali dikodekan ke dalam aplikasi atau sebagai teks biasa dalam dokumen bersama. Penyebaran rahasia membuat sulit untuk melindungi rahasia dari aktor jahat dan melacak bagaimana rahasia digunakan.  

Rahasia yang dibuat dalam Secrets Manager dapat berupa statis atau dinamis. Rahasia statis adalah rahasia yang tetap berlaku untuk waktu yang lama, biasanya hingga diubah secara manual atau mencapai tanggal kedaluwarsa yang telah ditentukan.

Sebaliknya, rahasia dinamis dibuat oleh Secrets Manager sesuai permintaan, pada saat hal tersebut dibutuhkan. Rahasia dinamis kedaluwarsa cukup cepat. Mereka bahkan bisa sekali pakai.

Salah satu contoh penggunaan rahasia dinamis adalah untuk melindungi sumber daya rahasia—seperti database atau lingkungan cloud seperti AWS atau Microsoft Azure—dengan cara menghasilkan kunci API secara dinamis setiap kali sumber daya tersebut dibaca atau diakses. Ini membantu memastikan bahwa aktor jahat tidak dapat mencuri dan menggunakan kembali kunci API.

Banyak Secrets Manager juga dapat mengotomatiskan rotasi rahasia—yaitu, tindakan mengubah rahasia secara teratur. Rotasi rahasia dapat diotomatisasi sesuai jadwal atau sesuai permintaan tanpa perlu menyebarkan ulang atau mengganggu aplikasi. Time-to-live (TTL) atau durasi sewa dapat ditentukan untuk sebuah rahasia pada saat pembuatannya untuk mempersingkat waktu keberadaan rahasia tersebut.

Rahasia hanya dapat diberikan kepada entitas atau kelompok tertentu untuk mengatur dan memperketat akses. Akses ke rahasia sering kali diberikan dengan menggunakan prinsip hak istimewa yang paling sedikit-yaitu, setiap proses hanya diberikan serangkaian hak istimewa yang paling terbatas yang diperlukan untuk melakukan tugas. Pengguna hanya dapat mengakses rahasia yang diperlukan untuk melakukan tugas resmi mereka.

Arsitektur zero trust—yang berprinsip "tidak pernah percaya, selalu memverifikasi"—sering kali mengatur akses ke sistem manajemen rahasia. Hal ini membantu memastikan bahwa setiap permintaan terhadap sebuah rahasia diautentikasi dan diotorisasi, bahkan jika permintaan tersebut berasal dari dalam jaringan.

Banyak Secrets Manager dapat melacak bagaimana pengguna dan aplikasi berinteraksi dengan dan menggunakan rahasia untuk memverifikasi bahwa rahasia ditangani dengan tepat sepanjang siklus mereka. Hal ini memungkinkan organisasi untuk melakukan pemantauan nyaris seketika terhadap peristiwa akses rahasia, termasuk autentikasi dan otorisasi ke Secrets Manager.

Secrets Manager dapat dengan cepat menolak upaya yang tidak sah untuk melihat atau menggunakan rahasia dan mencabut akses jika diperlukan. Hal ini dapat membantu mempercepat proses remediasi sebelum peretas, ancaman orang dalam, dan aktor jahat lainnya sempat menimbulkan kerusakan.

Alat otomatisasi rahasia yang kuat akan menyimpan log audit terperinci yang melacak autentikasi pengguna dan peristiwa akses terhadap rahasia.

Pemantauan rahasia sering kali jauh lebih mudah dilakukan setelah organisasi mulai menggunakan alat otomatisasi rahasia dinamis. Jejak audit terperinci ini membantu memvalidasi penggunaan rahasia yang disetujui atau deteksi dan melacak potensi ancaman.

Selain menggunakan solusi manajemen rahasia, banyak organisasi yang mengikuti praktik-praktik inti yang umum dalam proses manajemen rahasia mereka. Praktik-praktik ini meliputi:

• Rahasia dihasilkan, disimpan, dan diakses di lingkungan yang sesuai (misalnya, lingkungan pengembangan, pengujian, dan produksi yang terpisah). Beberapa organisasi menggunakan alat manajemen rahasia yang berbeda untuk setiap lingkungan. Yang lain menggunakan satu solusi pusat dan mengisolasi rahasia setiap lingkungan dalam segmen khusus. Rahasia tersebut tidak pernah meninggalkan lingkungannya dan diamankan dengan menggunakan langkah-langkah kontrol akses yang ketat.
  
  
• Akses pengguna ke rahasia diberikan pada tingkat minimum yang diperlukan bagi setiap pengguna untuk memenuhi tanggung jawab mereka. Kelebihan hak—baik disengaja atau tidak—dapat menyebabkan pelanggaran data.
  
  
• Rahasia dirotasi secara rutin sesuai dengan kebutuhan sistem.
  
  
• Pengguna tidak menyimpan rahasia dalam kode sumber, file konfigurasi atau dokumentasi.
  
  
• Kebijakan keamanan dapat ditingkatkan dengan mewajibkan enkripsi semua data sensitif. Kunci enkripsi dapat dilindungi dengan layanan manajemen kunci (KMS).
  
  
• Organisasi tersebut secara terus-menerus memantau rahasia, dengan catatan audit yang mencatat setiap permintaan: siapa yang meminta rahasia tersebut, untuk sistem mana, apakah permintaan tersebut berhasil, kapan rahasia tersebut diterbitkan atau diambil, kapan masa berlakunya habis, serta kapan dan apakah rahasia tersebut telah diperbarui. Anomali tersebut harus segera diselidiki. 

Seiring ekosistem TI menjadi lebih kompleks, manajemen rahasia menjadi makin sulit dikendalikan secara efektif. Tantangan manajemen rahasia umum dapat mencakup:

Ekosistem terdesentralisasi di mana admin, pengembang, dan pengguna mengelola rahasia mereka secara terpisah dapat menimbulkan risiko, karena celah keamanan dan penggunaan rahasia mungkin tidak dimonitor atau diaudit dengan benar.

Solusi manajemen rahasia terpusat dapat menawarkan organisasi lebih banyak visibilitas dan kontrol atas rahasia.

Ketika kata sandi atau rahasia lainnya disematkan sebagai teks biasa dalam kode sumber atau skrip, penyerang dapat dengan mudah menemukannya dan menggunakannya untuk mengakses informasi sensitif.

Rahasia yang tertanam secara permanen dapat ditemukan di berbagai tempat, termasuk rantai alat CI/CD, repositori kode, perangkat Internet of Things (IoT), platform orkestrasi kontainer seperti Kubernetes, server aplikasi, pemindai kerentanan, dan platform otomatisasi proses robotik (RPA).

Rotasi rahasia secara rutin dapat membantu mencegah pencurian dan penyalahgunaan, tetapi rotasi bisa jadi tidak konsisten atau tidak efektif tanpa sistem manajemen rahasia. Jika rahasia tetap tidak berubah terlalu lama, seorang peretas mungkin dapat membukanya dengan menebak-nebak atau dengan serangan brutal (brute-force attack).

Semakin lama kata sandi digunakan, semakin banyak pengguna yang memiliki akses dan semakin besar kemungkinan kebocoran.

Sistem TI yang berkembang dapat menyebabkan penyebaran rahasia, dengan rahasia tersebar di banyak bagian sistem yang tersilo. Penyebaran rahasia dapat sangat memprihatinkan dalam ekosistem multicloud hybrid, di mana organisasi memadukan lingkungan cloud publik dan pribadi yang disampaikan oleh beberapa penyedia cloud.

Organisasi mungkin memiliki ribuan, bahkan jutaan, rahasia di seluruh aplikasi cloud-native, kontainer, layanan mikro, dan sumber daya TI lainnya. Penyebaran ini menciptakan beban keamanan yang besar dan memperluas permukaan serangan potensial.

Di seluruh layanan, visibilitas mungkin terbatas, dan manajemen rahasia dapat dengan cepat menjadi sulit jika dilacak secara manual atau dengan sistem yang berbeda. Kurangnya layanan manajemen rahasia yang terpusat dapat membuat penegakan keamanan rahasia yang tepat menjadi lebih sulit atau tidak mungkin.

Ketika sebuah organisasi tidak memiliki sistem manajemen rahasia, rahasia mungkin dibagikan secara manual—seperti melalui email atau teks—di mana aktor ancaman dapat mencegatnya.