CEO Meta, Mark Zuckerberg, baru-baru ini menyatakan bahwa AI akan menggantikan insinyur tingkat menengah pada tahun 2025, mengambil alih tugas pengkodean agar pengembang manusia dapat lebih fokus pada inovasi dan pemecahan masalah yang kompleks. Raksasa teknologi seperti Google sudah mulai mengintegrasikan AI ke dalam pengembangan perangkat lunak. Meskipun belum jelas seberapa cepat pergeseran ini akan terjadi, satu hal yang pasti: batas baru dalam dunia siber mulai terbuka. Namun, ancaman utama bukanlah sesuatu yang benar-benar baru, melainkan ancaman yang berkembang dengan sangat pesat—Identitas Non-Human (NHI).
Ancaman Besar yang Terabaikan: Non-Human Identities (NHIs)
Mengamankan identitas merupakan prioritas utama bagi organisasi. Namun, sementara perhatian lebih sering tertuju pada pengguna manusia, ada risiko keamanan yang lebih sulit dideteksi dan sering kali terabaikan: identitas non-human (NHIs). NHIs mencakup akun layanan, API, skrip otomatisasi, dan identitas mesin yang berinteraksi dengan sistem tanpa campur tangan manusia langsung.
Seiring meningkatnya penggunaan otomatisasi, cloud computing, dan AI-driven workflows, jumlah NHIs terus bertambah, menjadikannya target yang semakin menarik bagi penjahat siber.
NHIs: Ancaman yang Lebih Besar dari yang Disadari
Saat ini, NHIs jumlahnya 10 hingga 50 kali lebih banyak dibandingkan identitas manusia dalam suatu organisasi, membentuk ekosistem yang luas dan kompleks. Setiap penyedia cloud, platform SaaS, dan sistem on-premise memiliki metode autentikasi NHIs yang berbeda-beda.
Yang lebih mengkhawatirkan adalah NHIs sering kali tidak dilindungi oleh Multi-Factor Authentication (MFA), membuatnya menjadi titik lemah yang dapat dieksploitasi dengan mudah oleh penyerang. Risikonya sudah jelas—tetapi masih banyak yang belum menyadarinya. 🚨
Apa Itu Identitas Non-Human (NHI)?
Identitas Non-Human (Non-Human Identities/NHIs) merujuk pada entitas digital yang memerlukan autentikasi dan otorisasi, tetapi tidak terkait dengan individu manusia. NHIs digunakan untuk mengakses, berinteraksi, dan menjalankan tugas dalam lingkungan digital tanpa campur tangan langsung dari manusia.
Jenis-Jenis Identitas Non-Human (NHI)
NHIs hadir dalam berbagai bentuk, masing-masing dengan peran unik dalam ekosistem digital. Berikut adalah beberapa jenis utama NHIs yang perlu diperhatikan:
🔹 Akun Layanan (Service Accounts)
Digunakan oleh aplikasi atau layanan latar belakang untuk berinteraksi dengan database, sistem operasi, dan layanan lainnya tanpa memerlukan autentikasi pengguna manusia.
🔹 API Keys dan Token
Kredensial yang digunakan untuk komunikasi antar-mesin (machine-to-machine), memungkinkan integrasi dan otomatisasi antara sistem yang berbeda.
🔹 Bot dan Skrip Otomatisasi
Diterapkan untuk menangani tugas berulang secara otomatis, mulai dari chatbot hingga pipeline CI/CD yang mempercepat pengembangan perangkat lunak.
🔹 Perangkat IoT dan Beban Kerja Cloud (IoT Devices & Cloud Workloads)
Termasuk perangkat yang terhubung ke internet serta mesin virtual yang berjalan di cloud, yang memerlukan akses ke sumber daya untuk beroperasi.
Karena NHIs beroperasi tanpa pengawasan manusia secara langsung, pengelolaannya harus dilakukan dengan kontrol keamanan yang ketat untuk menghindari penyalahgunaan oleh penyerang siber. 🔒🚨
Risiko Keamanan Identitas Non-Human (NHI)
Berbeda dengan pengguna manusia, NHIs tidak tunduk pada kebijakan keamanan standar seperti rotasi kata sandi atau Multi-Factor Authentication (MFA). Mereka sering memiliki hak akses tinggi dan luas, menjadikannya target utama bagi peretas. Berikut beberapa risiko terbesar yang terkait dengan NHIs:
🔹 Kurangnya Pengawasan & Kontrol Keamanan
NHIs sering kali dibuat dan dikelola tanpa pengawasan ketat, menyebabkan kurangnya transparansi dalam bagaimana mereka mengakses sistem dan data sensitif.
🔹 Akses Berlebih & Hak Istimewa yang Tinggi
Banyak NHIs memiliki izin akses yang jauh lebih luas daripada yang seharusnya, memungkinkan mereka untuk membaca, menulis, dan mengeksekusi perintah dalam skala besar tanpa mekanisme pembatasan yang efektif.
🔹 Serangan Melalui API & Akun Layanan yang Terekspos
Penyerang dapat mengeksploitasi API keys, token, dan akun layanan yang disimpan secara tidak aman atau tidak pernah diperbarui, memungkinkan akses tak terdeteksi ke aset bisnis yang kritis.
🔹 Ledakan Koneksi Pihak Ketiga yang Tidak Terkelola
Karyawan sering memberikan akses ke entitas eksternal untuk mengotomatiskan tugas, menyebabkan lonjakan koneksi non-human ke sistem kritis seperti GitHub. Rata-rata perusahaan memiliki 10.000 NHIs untuk setiap 1.000 pengguna, menciptakan permukaan serangan besar yang tidak terpantau.
🔹 Penyimpanan Kredensial yang Tidak Aman
Tim R&D sering membuat dan menyimpan kredensial dalam berbagai sistem tanpa kontrol akses yang memadai. Berbeda dengan identitas manusia, kredensial NHIs tidak memiliki MFA atau kebijakan kedaluwarsa, membuatnya lebih rentan terhadap penyalahgunaan oleh aktor jahat.
Tanpa pengelolaan yang tepat, NHIs menjadi pintu belakang yang berbahaya bagi organisasi, memungkinkan serangan siber terjadi tanpa terdeteksi. 🚨
Ringkasan
Seiring dengan meningkatnya ketergantungan organisasi pada Non-Human Identities (NHIs) seperti service accounts, API, dan automation scripts, pemahaman dan mitigasi risiko keamanannya menjadi sangat penting. NHIs berkembang dengan cepat, melampaui jumlah identitas manusia, namun sering kali tidak dilindungi oleh kontrol keamanan tradisional, membuatnya rentan terhadap eksploitasi.
Peretas memanfaatkan kelemahan ini dengan menargetkan kredensial yang salah kelola, hak istimewa yang berlebihan, serta aktivitas NHIs yang tidak terpantau untuk menyusup ke sistem tanpa terdeteksi.
Untuk mengurangi risiko ini, organisasi harus mengadopsi pendekatan keamanan yang proaktif dan komprehensif, dengan menerapkan best practices seperti:
✔ Least Privilege Access – Batasi izin NHIs hanya untuk tugas yang diperlukan.
✔ Manajemen Rahasia yang Aman – Simpan API keys dan token dalam vault yang terenkripsi.
✔ Tinjauan Siklus Hidup Secara Berkala – Hapus NHIs yang tidak lagi digunakan untuk mengurangi permukaan serangan.
✔ Metode Autentikasi yang Kuat – Gunakan autentikasi berbasis sertifikat atau kredensial yang diperbarui secara berkala.
Infrastruktur IT yang kuat adalah kunci pertumbuhan bisnis. socradar menyediakan solusi terbaik, mulai dari jaringan, storage, cloud, hingga keamanan siber, yang diintegrasikan oleh iLogo Indonesia agar sesuai dengan kebutuhan bisnis Anda.
Pelajari lebih lanjut di socradar.ilogoindonesia.id dan konsultasikan kebutuhan IT Anda dengan kami!
