Badan Keamanan Siber dan Infrastruktur memiliki ide baru untuk mempertahankan pembangkit listrik, utilitas air, dan infrastruktur penting lainnya: berhenti berusaha menahan setiap penyerang agar tidak masuk, dan mulailah memberi mereka yang berhasil masuk santapan data palsu. Panduan yang baru diterbitkan CISA menyarankan operator infrastruktur penting untuk menerapkan umpan siber dan honeytoken, jebakan digital berbiaya rendah yang dirancang untuk mendeteksi penyusup lebih awal dan memperlambat mereka sebelum mencapai sistem yang sebenarnya. Ini merupakan pergeseran nada yang mencolok dari sebuah badan yang selama bertahun-tahun hampir sepenuhnya berfokus pada penambalan, pertahanan perimeter, dan kontrol akses.
Apa yang Sebenarnya Direkomendasikan oleh Panduan CISA
Pada intinya, panduan tersebut menjelaskan dua alat yang saling terkait. Honeytoken adalah file, kredensial, catatan basis data, atau rahasia palsu yang ditanam di dalam jaringan yang tidak memiliki tujuan bisnis yang sah. Tugas satu-satunya adalah berdiam di sana tampak berharga. Jika ada yang mengakses atau mencoba menggunakannya, itu adalah tanda bahaya langsung, karena tidak ada karyawan atau sistem yang berwenang yang seharusnya menyentuhnya. Honeypot membawa konsep ini lebih jauh, dengan menyiapkan seluruh sistem umpan yang dirancang agar tampak seperti server, workstation, atau aset kontrol industri yang nyata, memikat penyerang menjauh dari lingkungan sebenarnya dan memberi para pembela waktu untuk mengamati taktik mereka.
CISA membingkai ini sebagai opsi yang dapat diakses oleh organisasi pada tingkat kematangan keamanan siber apa pun, bukan hanya badan dengan anggaran keamanan besar. Hal itu penting bagi operator infrastruktur penting, yang banyak di antaranya menjalankan tim TI dan keamanan yang ramping dan tidak mampu membeli platform deteksi ancaman kelas perusahaan. Sebaliknya, sebuah honeytoken bisa sesederhana kredensial palsu yang diletakkan di berbagi file. Biaya penerapannya sedikit tetapi dapat menghasilkan peringatan berkeyakinan tinggi begitu seseorang berinteraksi dengannya.
Bagaimana Umpan Bekerja Bersama VPN dan Segmentasi Jaringan
Teknologi penipuan tidak dimaksudkan untuk menggantikan alat yang sudah diandalkan organisasi, seperti VPN, firewall, dan segmentasi jaringan. Teknologi ini dimaksudkan untuk mengisi celah yang ditinggalkan alat-alat tersebut. VPN dan kontrol akses dibangun untuk menahan pengguna tidak berwenang sejak awal. Tetapi penyerang semakin menemukan cara untuk melewati pertahanan tersebut dengan memanfaatkan kredensial yang dikompromikan atau kerentanan pada infrastruktur akses jarak jauh itu sendiri. Peringatan CISA sendiri tentang ransomware Gunra yang menargetkan VPN adalah contoh yang jelas: aktor ancaman secara aktif menyelidiki kelemahan akses jarak jauh untuk mendapatkan pijakan, yang berarti pertahanan perimeter saja tidak lagi cukup.
Honeytoken dan umpan beroperasi dengan asumsi bahwa penyerang yang gigih pada akhirnya akan menembus perimeter, baik melalui kredensial VPN yang dicuri, email phishing, atau kerentanan yang belum ditambal. Setelah berada di dalam, umpan bertindak sebagai kawat jebakan. Jika penyusup bergerak melalui jaringan tersegmentasi mencari data atau sistem berharga, honeytoken yang ditanam di tempat yang salah dapat menangkap mereka hampir seketika, sering kali sebelum mereka menimbulkan kerusakan berarti. Ini adalah pendekatan berlapis: VPN dan segmentasi memperlambat penyerang dan membatasi jangkauan mereka, sementara umpan membuat mereka jauh lebih sulit bergerak tanpa terdeteksi begitu mereka berada di dalam.
Mengapa Operator Infrastruktur Penting Menjadi Target Prioritas
Keputusan CISA untuk mengarahkan panduan ini tepat sasaran kepada operator infrastruktur penting mencerminkan di mana taruhannya paling tinggi. Sistem air, penyedia energi, dan layanan penting lainnya sering menjalankan campuran jaringan TI modern dan teknologi operasional lama yang tidak dirancang dengan mempertimbangkan keamanan siber. Kombinasi itu membuat mereka menjadi target yang menarik dan sulit dipertahankan hanya dengan alat tradisional. Serangan siber air Minnesota yang baru-baru ini menghantam lebih dari 30 sistem hanya dalam dua hari menggambarkan betapa cepatnya serangan terkoordinasi dapat menyebar di antara penyedia infrastruktur yang mungkin kekurangan sumber daya tim keamanan perusahaan besar. Teknologi penipuan menawarkan cara bagi organisasi-organisasi ini untuk tampil melampaui kekuatan mereka, menghasilkan peringatan berfidelitas tinggi tanpa memerlukan pemantauan terus-menerus atau platform deteksi yang mahal.
Apa Artinya Ini untuk Mendeteksi Pergerakan Lateral Setelah Pelanggaran
Salah satu masalah tersulit dalam respons insiden adalah mencari tahu seberapa jauh penyerang telah melangkah di dalam jaringan setelah pelanggaran awal. Penyerang yang mendapatkan pijakan sering menghabiskan berhari-hari atau berminggu-minggu bergerak secara lateral dengan tenang, meningkatkan hak istimewa, dan memetakan sistem berharga sebelum meluncurkan muatan ransomware atau mengeksfiltrasi data. Alat keamanan tradisional dapat kesulitan membedakan pengintaian senyap ini dari aktivitas jaringan normal.
Honeytoken mengubah perhitungan itu. Karena tidak memiliki kegunaan yang sah, interaksi apa pun dengannya hampir pasti merupakan tanda aktivitas berbahaya, menembus kebisingan yang biasanya mengubur tanda-tanda peringatan dini. Bagi operator infrastruktur penting yang berusaha menangkap penyusup sebelum mereka mencapai teknologi operasional atau data pelanggan, sinyal awal itu bisa menjadi pembeda antara insiden yang terbendung dan pemadaman total.
Apa Artinya Ini Bagi Anda
Jika Anda bekerja di bidang TI atau keamanan untuk utilitas, sistem kotamadya, atau operator infrastruktur lainnya, panduan CISA layak dibaca secara lengkap dan diperlakukan sebagai tambahan berbiaya rendah untuk pertahanan Anda yang ada, bukan penggantinya. VPN, autentikasi multi-faktor, dan segmentasi jaringan tetap penting untuk menahan penyerang agar tidak masuk. Umpan dan honeytoken adalah tentang menangkap mereka yang berhasil melewati pertahanan tersebut. Bahkan organisasi tanpa staf keamanan khusus dapat memulai dari yang kecil, menanam segelintir kredensial atau file palsu di lokasi sensitif dan menyiapkan peringatan untuk setiap interaksi dengannya.
Bagi pengguna sehari-hari dan organisasi yang lebih kecil, pelajaran yang lebih besar adalah pengingat bahwa tidak ada lapisan keamanan tunggal yang sepenuhnya aman. Penyerang terus-menerus menyelidiki alat akses jarak jauh, seperti terlihat dalam kampanye ransomware yang sedang berlangsung yang mengeksploitasi kelemahan VPN, yang berarti pertahanan berlapis menjadi lebih penting dari sebelumnya.
Poin-Poin Penting
- Panduan CISA tentang umpan siber dan honeytoken memberi operator infrastruktur penting cara berbiaya rendah untuk mendeteksi penyusup lebih awal.
- Umpan melengkapi, bukan menggantikan, VPN, kontrol akses, dan segmentasi jaringan.
- Honeytoken sangat efektif untuk menandai pergerakan lateral setelah pelanggaran, karena pengguna yang sah tidak pernah berinteraksi dengannya.
- Operator infrastruktur yang lebih kecil dengan anggaran keamanan terbatas adalah audiens prioritas untuk pendekatan ini.
- Organisasi harus memadukan teknologi penipuan dengan pertahanan perimeter yang kuat, karena penyerang terus menargetkan kelemahan akses jarak jauh untuk mendapatkan pijakan awal.
