Apa itu keamanan shift-left?

Eksploitasi kerentanan telah menjadi penyebab utama serangan siber, menyumbang 40% insiden yang diamati oleh tim IBM X-Force menurut 2026 X-Force Threat Intelligence Index. “Para pemimpin keamanan perlu beralih ke pendekatan yang lebih proaktif,” kata Mark Hughes, Mitra Pengelola Global untuk Layanan Keamanan Siber di IBM, dalam siaran pers tentang Threat Intelligence Index. Strategi shift-left mengubah keamanan siber dari mode reaktif menjadi proaktif, menjadikannya prioritas daripada pemikiran selanjutnya.

Menggunakan strategi shiff-left pada keamanan dibangun ke dalam siklus hidup pengembangan perangkat lunak yang aman (SSDLC), dengan mengintegrasikan keamanan ke dalam setiap tahap pengembangan perangkat lunak. Strategi ini juga merupakan praktik terbaik utama untuk DevSecOps, yang mengotomatiskan integrasi keamanan aplikasi (AppSec) dan keamanan infrastruktur ke dalam proses DevOps.

Keamanan shift-left membantu mengurangi risiko keamanan, mengatasinya lebih cepat sebelum meningkat. Keamanan terdiri dari praktik inti ini:

• Pemodelan ancaman

• Pengodean aman

• Pengujian keamanan

• Integrasi CI/CD

• Keamanan sebagai kode

Pemodelan ancaman terjadi selama fase desain. Pemodelan ini melibatkan mengidentifikasi dan menilai potensi ancaman terhadap sistem dan menguraikan tindakan untuk mengurangi atau mencegahnya.

Prosesnya dimulai dengan menganalisis arsitektur sistem, menemukan titik akses, dan memetakan aliran data. Selanjutnya, ancaman diberi peringkat berdasarkan tingkat keparahan untuk menentukan mana yang harus diprioritaskan. Kontrol atau pengamanan kemudian ditetapkan untuk mengelola ancaman. Model ancaman yang dihasilkan dapat disempurnakan di seluruh SDLC.

Pemodelan ancaman melibatkan berbagai teknik, seperti metodologi STRIDE dan kerangka kerja MITRE ATT&CK. Proyek Keamanan Aplikasi Terbuka di Seluruh Dunia (OWASP) memberikan panduan lebih lanjut tentang pemodelan ancaman.

Praktik pengodean yang aman mencakup strategi pemrograman defensif yang mendukung kode sumber terhadap serangan siber. Yaitu antara lain:

• Menambahkan keamanan sebagai bagian dari tinjauan kode

• Otentikasi dan otorisasi untuk memverifikasi identitas entitas dan memberinya tingkat akses yang tepat

• Menggabungkan kueri parameter dengan pernyataan yang disiapkan untuk mencegah serangan injeksi SQL

• Pencatatan yang kuat dan mekanisme penanganan kesalahan yang aman

• Validasi bagian server dan sanitasi input dan pengodean output untuk melindungi dari serangan injeksi

• Protokol kriptografi yang kuat untuk menjaga ketersediaan, kerahasiaan, dan integritas data

Pengujian keamanan komprehensif memvalidasi langkah-langkah keamanan yang ditanamkan ke dalam kode sumber. Tidak seperti pengujian shift-left, yang bertujuan untuk meningkatkan cakupan kode dan kualitas kode, pengujian keamanan berfokus pada aplikasi secara keseluruhan untuk memunculkan masalah keamanan.

Berikut adalah jenis pengujian keamanan yang umum:

• Pengujian keamanan aplikasi statis (SAST): Juga disebut pengujian “kotak putih”, SAST memindai kode tanpa menjalankan aplikasi. Pengujian ini menerapkan aturan yang telah ditentukan untuk menandai kelemahan keamanan.

• Pengujian keamanan aplikasi dinamis (DAST): Sering disebut sebagai pengujian kotak hitam, DAST mengevaluasi aplikasi saat aplikasi ini sedang berjalan. Pengujian ini menggunakan serangan simulasi untuk meniru aktor ancaman dunia nyata.

• Pengujian keamanan aplikasi interaktif (IAST): IAST menilai konteks kode dan perilaku waktu proses untuk melaporkan kerentanan secara real time.

Metode-metode ini dapat digabungkan untuk gambaran yang lebih lengkap tentang kemungkinan kerentanan.

Otomatisasi keamanan dapat dibangun ke dalam integrasi berkesinambungan/pengiriman berkelanjutan (CI/CD). Beberapa teknik untuk mengintegrasikan keamanan ke dalam pipeline CI/CD meliputi:

• Menerapkan hook pre-commit yang memerlukan pemindaian rahasia sebelum pengembang memulai permintaan pull dan memblokir perubahan yang berisi rahasia yang dikodekan secara permanen (seperti kunci API, string koneksi, dan kredensial lainnya)

• Memindai infrastruktur sebagai kode (IaC)untuk kesalahan konfigurasi

• Deteksi rahasia untuk artefak, pembuatan log, dan variabel lingkungan untuk mengungkap rahasia yang terungkap sebelum mencapai produksi

• Analisis komposisi perangkat lunak (SCA) untuk memeriksa pustaka dan komponen sumber terbuka, menghasilkan daftar bahan perangkat lunak (SBOM), serta membandingkannya dengan basis data kerentanan keamanan yang diketahui

• Pemindaian kerentanan untuk gambar kontainer aplikasi cloud-native

Seperti kebijakan sebagai kode, keamanan sebagai kode memperlakukan aturan keamanan dan kebijakan sebagai logika yang dapat dieksekusi. Pemeriksaan otomatis dapat dijalankan sebelum pengembang melakukan perubahan kode untuk memastikan mereka mematuhi aturan dan kebijakan keamanan.

Keamanan sebagai kode terdapat dalam sistem kontrol versi yang sama yang digunakan tim rekayasa perangkat lunak untuk mengelola kode. Ini berarti kebijakan keamanan berbasis kode dapat diterapkan secara luas dengan cara yang dapat diulang dan dapat diskalakan, serta pembaruan apa pun dapat dengan mudah ditinjau dan dilacak.

Keamanan shift-left membantu mengurangi permukaan serangan organisasi sambil tetap menjaga kualitas perangkat lunak. Ketika perusahaan mengadopsi keamanan shift-left, mereka mendapatkan keuntungan ini:

• Budaya tim yang ditingkatkan

• Kepuasan pelanggan yang meningkat

• Pengurangan biaya

• Rilis yang lebih cepat

Keamanan shift-left mendorong kolaborasi antara pengembang, DevOps, dan tim keamanan. Mereka berbagi pengetahuan keamanan dan praktik terbaik, sehingga meniadakan silo informasi. Dan mereka menyetujui tujuan keamanan, dengan bekerja sama untuk membangun perangkat lunak yang lebih aman.

Memindahkan keamanan lebih cepat dalam siklus hidup pengembangan mencegah mengeksploitasi besar mencapai produksi dan berdampak negatif pada pengguna. Tindakan ini juga membatasi waktu henti yang menyertai perbaikan darurat atau patch untuk pelanggaran. Dengan demikian, tim dapat memberikan sistem berkualitas tinggi, andal, aman, dan stabil, yang pada gilirannya membantu meningkatkan kepercayaan pelanggan.

Mendeteksi kerentanan selama fase selanjutnya dari SDLC dapat mengakibatkan pengerjaan ulang yang mahal. Ketika terdeteksi lebih awal, masalah keamanan menjadi lebih murah untuk diperbaiki.

Keamanan shift-left menghindari hambatan yang timbul dari keterlambatan dalam menemukan kerentanan menjelang akhir proses pengembangan, yang mengarah ke siklus pengiriman yang lebih cepat. Sementara itu, memasukkan keamanan shift-left dengan lancar ke dalam SDLC membantu mengeektifkan alur kerja, sementara pengujian otomatis dan otomatisasi sebagai bagian dari pipeline CI/CD berkontribusi pada rilis yang lebih cepat.

Keamanan shift-left berkontribusi untuk meningkatkan postur keamanan perusahaan secara keseluruhan. Berikut adalah beberapa kiat yang dapat membantu tim saat mereka menerapkan keamanan shift-left:

• Menetapkan persyaratan dan kebijakan keamanan yang jelas

• Mulai dari yang kecil

• Menggunakan otomatisasi

• Memprioritaskan berdasarkan tingkat keparahan

• Menggabungkan shift-left dengan shift-right

• Menyempurnakan dari waktu ke waktu

• Kuncinya adalah pendidikan

Fase perencanaan dan analisis SDLC harus menentukan persyaratan dan kebijakan keamanan di samping persyaratan fungsional dan proyek lainnya. Ini adalah waktu untuk membawa tim keamanan siber, yang menawarkan bimbingan dan dukungan penting di sepanjang jalan.

Metode keamanan shift-left bisa sangat melelahkan, terutama untuk proyek perangkat lunak besar. Memulai dari yang kecil dan sederhana dapat membuat proses lebih mudah dicapai. Ini bisa terlihat seperti menerapkan praktik pengodean aman tertentu sebagai contohnya, atau menguji coba pengujian keamanan untuk fitur kecil.

Otomatisasi berfungsi sebagai aset penting dalam hal keamanan shift-left. Misalnya, Red Hat Advanced klaster Security for Kubernetes adalah platform keamanan asli Kubernetes yang mengamankan aplikasi terkontainerisasi di seluruh siklus hidup penuhnya—mulai dari pembangunan dan penerapan hingga waktu proses. Platform ini memungkinkan pemindaian otomatis gambar kontainer untuk kesalahan konfigurasi dan kerentanan yang diketahui. Platform juga dapat menerapkan kebijakan keamanan secara otomatis, seperti memblokir pembangunan atau menghentikan pipeline penerapan jika gambar gagal dalam pemeriksaan otomatis.

Saat tim menerapkan keamanan shift-left, mereka mungkin mengalami kelelahan waspada dari banyaknya peringatan yang dihasilkan oleh alat yang mereka gunakan. Membuat sistem triase dapat membantu mengatasi masalah berisiko tinggi diselesaikan sebelum masalah berisiko rendah.

Memadukan kedua strategi dapat menghasilkan perangkat lunak yang lebih aman dan lebih kuat. Sementara metode shift-left menyebarkan keamanan di seluruh SDLC, metode shift-right membela terhadap ancaman keamanan yang berkembang dalam produksi, sehingga menjadi teknik pelengkap.

Contoh keamanan shift-right termasuk perlindungan aplikasi waktu proses (RASP), yang mendeteksi dan merespons serangan secara real time, dan firewall aplikasi web (WAF) yang memantau lalu lintas web ke aplikasi dan memblokir lalu lintas berbahaya seperti yang ditentukan oleh kebijakan keamanan.

Keamanan shift-left adalah metodologi berulang yang berkelanjutan. Perusahaan dapat menerapkan apa yang telah mereka pelajari dari waktu ke waktu untuk terus meningkatkan pendekatan mereka.

Bisnis harus menyertakan keamanan shift-left sebagai bagian dari pengembangan atau pelatihan keamanan tim DevOps. Tim harus memahami mengapa keamanan shift-left itu penting, cara menerapkannya, dan cara menggunakan alat yang diperlukan.

Karena AI generatif menjadi semakin terintegrasi ke dalam alur kerja pengembangan perangkat lunak, AI ini juga dapat membantu mengamankan alur kerja tersebut.

Misalnya, IBM Bob, mitra pengembangan yang didukung AI, dibangun di atas prinsip-prinsip keamanan yang mengutamakan dan merangkul filosofi shift-left. IBM Bob ini memiliki alur kerja tinjauan bawaan yang menganalisis perubahan kode dan menandai potensi masalah keamanan sebelum pengembang melakukan pekerjaan mereka. Tim dapat membuat keterampilan tinjauan kode yang berfokus pada keamanan yang memeriksa kode sumber untuk kerentanan umum dan kepatuhan terhadap praktik pengodean yang aman.

Dengan mengambil langkah lebih jauh, Bob dapat menghasilkan kode aman dengan alur kerja kritikus aktor. Subagen aktor menulis kode yang sesuai dengan keamanan sesuai dengan aturan keamanan yang dikonfigurasi, sementara subagen kritikus memvalidasi kode terhadap standar keamanan yang diterbitkan.

Sementara itu, IBM® Concert adalah platform IT Ops agentik yang secara proaktif memunculkan risiko keamanan lebih awal sebelum meningkat menjadi masalah produksi. Concert Protect menggunakan manajemen kerentanan berbasis AI untuk membuktikan kerentanan mana yang penting dan mengoordinasikan remediasi.