Category: Blog

Ikhtisar Serangan ransomware di cloud selalu menjadi topik yang populer dalam dunia keamanan cloud. Layanan cloud secara alami memberikan keuntungan dibandingkan dengan layanan berbasis endpoint dan server web karena permukaan serangan layanan cloud yang minimal. Kecuali untuk layanan Compute, yang menjalankan sistem operasi virtual di cloud, layanan cloud tidak menyediakan seluruh sistem operasi, yang berarti bahwa ransomware yang umum di Windows dan Linux tidak dapat menyerang mereka secara efektif. Kami telah mengidentifikasi beberapa alat yang dirancang untuk menargetkan server web dengan ransomware atau memanfaatkan layanan cloud untuk mengunggah file sebelum mengenkripsi file lokal di endpoint. Ada juga lebih sedikit referensi tentang skrip yang dirancang untuk melakukan serangan ransomware langsung pada layanan cloud, kecuali beberapa alat red teaming yang dihosting di GitHub. Catatan: Ruang lingkup laporan ini tidak mencakup serangan terhadap infrastruktur cloud yang dihosting secara lokal, seperti VMware ESXi. Aktor ransomware telah lama menargetkan ESXi yang merupakan sistem operasi Linux pertama yang secara luas diserang oleh kelompok ransomware terorganisir.   Mekanisme Serangan Ransomware Cloud Serangan ransomware cloud biasanya menargetkan layanan penyimpanan berbasis cloud, seperti Amazon Simple Storage Service (S3) atau Azure Blob Storage. Meskipun setiap implementasi berbeda, serangan ransomware memerlukan penyerang untuk menemukan layanan penyimpanan yang dapat diakses, menyalin konten file ke tujuan yang dikendalikan oleh penyerang, dan kemudian mengenkripsi atau menghapus file dari instance korban. Penyedia layanan cloud (CSP) telah menerapkan mekanisme keamanan yang kuat untuk meminimalkan risiko kehilangan data secara permanen. Misalnya, Layanan Manajemen Kunci (KMS) AWS mendefinisikan jendela 7 hari antara permintaan penghapusan kunci dan penghapusan permanennya, memberikan pengguna waktu yang cukup untuk mendeteksi dan memperbaiki serangan ransomware kriptografis terhadap instance S3. Salah satu teknik ransomware cloud yang paling sering disebutkan, yang dijelaskan oleh Rhino Security di sini, menargetkan bucket S3. Penyerang memanfaatkan bucket S3 yang terlalu permisif, di mana mereka memiliki akses tingkat tulis, yang sering kali merupakan hasil dari kesalahan konfigurasi atau diakses di lingkungan yang ditargetkan melalui cara lain, seperti kredensial yang sah. Teknik ini memanfaatkan kunci KMS baru, yang berarti penyerang akan menjadwalkan kunci untuk dihapus dan tunduk pada jendela 7 hari sebelum kunci tersebut dihapus secara permanen di lingkungan korban. Teknik lain menargetkan volume Elastic Block Store (EBS) Amazon melalui cara serupa: penyerang membuat kunci KMS baru, membuat snapshot dari volume EBS, mengenkripsi volume, kemudian menghapus volume asli yang tidak terenkripsi. Teknik ini masih tunduk pada kebijakan penghapusan kunci 7 hari, yang memberikan jendela peluang bagi pelanggan untuk mengatasi masalah sebelum kunci dihapus selamanya. Meskipun ada langkah-langkah keamanan yang semakin menyeluruh, peneliti terus menemukan cara baru untuk menghindari kontrol CSP. Pada Oktober 2024, peneliti keamanan Harsh Varagiya mempublikasikan teknik potensial untuk mengenkripsi file di AWS menggunakan kunci yang dikelola pelanggan (CMK), yang juga dikenal sebagai Bring Your Own Key (BYOK), dan penyimpanan kunci eksternal (XKS). Teknik ini memungkinkan penyerang untuk mengenkripsi file sedemikian rupa sehingga kunci dekripsi dikendalikan oleh korban, yang mencegah CSP untuk memulihkan kunci tersebut. Meskipun serangan ini relatif langka dan hanya menargetkan lingkungan di mana korban menggunakan fitur kunci yang dikelola secara khusus, bagi pelanggan yang terpengaruh hal ini membuat pemulihan data menjadi sangat sulit, bahkan hampir tidak mungkin, tanpa mendapatkan kunci yang dihasilkan oleh penyerang. Organisasi dapat mencegah jenis serangan ini dengan menerapkan Kebijakan Kontrol Layanan (SCP) yang memblokir panggilan ke API berisiko, termasuk API kms:CreateCustomKeyStore.   Ransomware Menggunakan Layanan Cloud Untuk Eksfiltrasi Data Selain ransomware yang menargetkan layanan cloud, aktor ancaman semakin menggunakan layanan cloud untuk mengekstrak data yang mereka tuju untuk diransom. Pada September 2024, modePUSH melaporkan bahwa grup ransomware BianLian dan Rhysida kini menggunakan Azure Storage Explorer untuk mengekstrak data dari lingkungan korban sebagai pengganti alat yang sebelumnya populer seperti MEGAsync dan rclone. Pada Oktober 2024, Trend Micro melaporkan bahwa seorang aktor ransomware yang meniru grup ransomware terkenal Lockbit menggunakan sampel yang memanfaatkan penyimpanan Amazon S3 untuk mengekstrak data yang dicuri dari sistem Windows atau macOS yang menjadi target. SentinelLabs telah mengidentifikasi skrip Python di VirusTotal yang kami sebut RansomES karena komentar dalam kode menggunakan bahasa Spanyol. RansomES dirancang untuk dijalankan di sistem Windows dan mencari file dengan ekstensi .doc, .xls, .jpg, .png, atau .txt. Skrip ini kemudian memberikan aktor metode untuk mengekstrak file ke S3 atau FTP, dan kemudian mengenkripsi versi lokalnya.   Fungsi Eksfiltrasi dari RansomES RansomES adalah skrip sederhana dan kami tidak percaya ini telah digunakan secara luas. Penulis menyertakan pemeriksaan konektivitas internet ke domain kill switch WannaCry, yang mungkin menunjukkan bahwa skrip ini dikembangkan oleh peneliti atau seseorang yang tertarik pada intelijen ancaman.   Serangan Ransomware pada Aplikasi Web Aplikasi web sering dijalankan melalui layanan cloud. Sifatnya yang lebih minimal membuat lingkungan cloud menjadi tempat hosting alami di mana aplikasi lebih mudah dikelola dan membutuhkan konfigurasi serta pemeliharaan yang lebih sedikit dibandingkan menjalankan pada sistem operasi penuh. Namun, aplikasi web itu sendiri rentan terhadap serangan pemerasan. SentinelLabs telah mengidentifikasi beberapa skrip ransom yang menargetkan aplikasi PHP. Kami mengidentifikasi sebuah skrip Python bernama Pandora, sebuah multi-tool yang menargetkan berbagai layanan web. Alat ini tidak terkait dengan grup ransomware Pandora, yang menggunakan binari untuk menargetkan sistem Windows. Skrip Pandora menggunakan enkripsi AES untuk menargetkan beberapa jenis sistem, termasuk server PHP, Android, dan Linux. Fungsi ransom PHP pada Pandora mengenkripsi file menggunakan AES melalui pustaka OpenSSL. Skrip Python Pandora dijalankan di server web, menulis output kode PHP ke jalur pandora/Ransomware dengan nama file yang diberikan sebagai argumen saat runtime dan ditambahkan dengan ekstensi .php. Fungsi Ransomware1 PHP pada Pandora Kami mengidentifikasi skrip ransom PHP lainnya yang dikaitkan dengan grup IndoSec, aktor ancaman yang berbasis di Indonesia. Skrip ini adalah pintu belakang PHP yang digunakan penyerang untuk mengelola dan menghapus file, serta melakukan serangan ransomware. Skrip ini menjelajahi direktori secara rekursif sambil membaca dan mengenkripsi file dengan encoding base64. Data yang telah dienkode kemudian dikirim ke hxxp://encrypt[.]indsc[.]me/api[.]php?type=encrypt, di mana kemungkinan besar data file dienkripsi menggunakan API layanan web. Ini adalah pendekatan yang menarik karena enkripsi disediakan melalui layanan jarak jauh, bukan menggunakan fungsionalitas bawaan seperti banyak alat lainnya. Rutin Enkripsi Skrip Ransom PHP IndoSec   Contoh yang menarik dari kombinasi ransomware server web dan cloud adalah kampanye ransomware grup Cl0p pada 2023 yang mengeksploitasi…

SOC Otonom: Sebuah Visi yang Terbukti untuk Masa Depan Kecepatan Mesin, Pertahanan Siber yang Digunakan oleh AI, atau Hanya Mimpi Belaka? Sedikit konsep dalam keamanan modern yang telah menjadi sepolarizing, dengan pihak-pihak yang terbagi menjadi dua kelompok besar: “para penganut” dan “para skeptis”, masing-masing dengan klaim yang semakin mengandung hiperbola. Di SentinelOne, Anda akan mendengar kami dan pelanggan kami membicarakan SOC otonom dan pergeseran mendasar yang akan dibawanya ke operasi keamanan sehari-hari. Hari ini, kami ingin menjelaskan secara jelas apa yang kami maksud ketika kami mengatakannya. Seperti halnya segala sesuatu dalam keamanan siber, yang penting bukanlah definisi setengah kalimat, tetapi aplikasi dunia nyata. Kebenarannya adalah ini: Kami sebagai komunitas keamanan memiliki lebih banyak kesamaan satu sama lain mengenai visi AI dan otomatisasi serta di mana kami berada dalam perjalanan ini, dibandingkan dengan apa yang mungkin diyakini oleh para pakar dan pihak-pihak yang hanya berpura-pura. Menyelaraskan Masalah Umum Poin utama yang menjadi kesamaan adalah realitas yang dihadapi oleh SOC modern. Tim keamanan saat ini menghadapi tantangan yang semakin kompleks, termasuk lonjakan serangan canggih, meningkatnya volume peringatan, berkembangnya permukaan serangan, dan kekurangan tenaga ahli. Tidak berlebihan untuk mengatakan bahwa tidak pernah sebelumnya tim SOC lebih sulit untuk dengan cepat dan efektif menangani, menyelidiki, dan merespons ancaman daripada saat ini. Pada saat yang sama, pekerjaan yang kita tahu akan memberikan perbedaan signifikan dalam skala besar, seperti manajemen postur proaktif dan tindakan perburuan ancaman, sering kali terpinggirkan karena waktu dan keahlian yang dibutuhkan. Memberdayakan Perjalanan Autonomous SOC Visi dan konsep Autonomous SOC tertanam kuat dalam prinsip pengembangan produk SentinelOne. Kami percaya masa depan keamanan siber terletak pada pemberdayaan tim keamanan dengan alat AI dan otomatisasi yang terintegrasi secara mulus di setiap alur kerja SOC untuk meningkatkan kecepatan dan dampak manusia. Inovasi AI kami dirancang secara khusus untuk melengkapi analis SOC sehingga tim keamanan dapat dengan percaya diri mengadopsi kemampuan otonom sesuai keinginan mereka, sambil memastikan investasi keamanan mereka tetap relevan di masa depan. SentinelOne percaya ada tahapan penting dalam perjalanan Autonomous SOC yang mengarah pada ideal kami untuk menghadirkan kemampuan SecOps otonom – masing-masing dirancang untuk selaras dengan evolusi alami operasi keamanan. Dengan memperkenalkan inovasi dan perbaikan secara bertahap, termasuk otomatisasi berbasis aturan, deteksi yang ditingkatkan AI, triase dan investigasi otonom, dan lainnya, kami membantu organisasi secara perlahan membangun keamanan yang sangat otonom. Pendekatan bertahap ini memastikan pelanggan kami memiliki alat untuk memajukan perjalanan Autonomous SOC mereka sendiri sesuai kecepatan dan arah yang mereka pilih. Memetakan Model Maturitas Autonomous SOC Di SentinelOne, kami memandang Autonomous SOC melalui perspektif model maturitas. Kami menyambut diskusi mengenai posisi kita, sebagai sebuah industri, dalam revolusi evolusioner ini. Kami berharap sebagian besar setuju bahwa pendekatan ini lebih baik untuk melihat inovasi dan adopsi Autonomous SOC—jauh lebih baik daripada perdebatan biner, semuanya atau tidak sama sekali, yang telah lama mendominasi blog analis, vendor, dan pengamat industri, serta pidato utama mereka. Model lima tahap kami menguraikan peran penting otomatisasi dan AI dalam mendorong kemajuan serta tugas-tugas keamanan konkret yang dapat diotomatisasi oleh tim keamanan. Tingkat 0 | Operasi Manual Pada Tingkat 0 dalam Model Maturitas Autonomous SOC, operasi keamanan sangat bergantung pada proses manual dan logika deteksi sederhana dari satu sumber. Sebagai contoh, skenario umum mungkin melibatkan peringatan dari firewall Fortinet FortiGate yang mendeteksi lalu lintas mencurigakan, memicu investigasi manual yang panjang. Analis harus mengumpulkan konteks dari berbagai sumber, seperti log jaringan atau data endpoint, untuk merekonstruksi kejadian. Tindakan remediasi, seperti memblokir IP atau mengisolasi perangkat yang terkompromi, dilakukan secara manual. Threat hunting pada tingkat maturitas ini membutuhkan keahlian mendalam dan analisis yang memakan waktu, seperti menyaring log jaringan untuk mengidentifikasi pola yang tidak biasa. Tanpa bantuan otomatisasi atau AI, pendekatan yang mengandalkan kerja manual ini memperlambat deteksi dan respons, meningkatkan risiko ancaman canggih yang lolos dari deteksi dan berkembang menjadi pelanggaran keamanan. Tingkat 1 | Operasi Berbasis Aturan Pada Tingkat 1 dalam Model Maturitas Autonomous SOC, organisasi mulai menggunakan sistem deteksi dan respons berbasis aturan. SOC memanfaatkan aturan korelasi untuk menggabungkan data dari berbagai sumber, meningkatkan akurasi deteksi ancaman. Platform Security Orchestration, Automation, and Response (SOAR) mulai mengotomatisasi sebagian proses investigasi dan respons, sehingga mengurangi beban kerja manual. Pada tingkat ini, tim keamanan mungkin mengonfigurasi aturan yang mengaitkan beberapa upaya login yang gagal dengan lonjakan tiba-tiba lalu lintas jaringan keluar dari alamat IP yang sama. Hal ini memicu sistem SOAR untuk secara otomatis menyelidiki apakah IP tersebut terkait dengan ancaman yang diketahui dan, jika diperlukan, mengarantina endpoint. Namun, meskipun ada perbaikan ini, keahlian manusia tetap penting untuk merancang aturan deteksi dan mengelola playbook respons. Untuk mengikuti perkembangan ancaman yang terus berubah, tim SOC harus terus-menerus menyempurnakan aturan-aturan ini agar otomatisasi di Tingkat 1 tetap relevan. Tingkat 2 | Operasi Keamanan yang Didukung AI Pada Tingkat 2 dalam Model Maturitas Autonomous SOC, kecerdasan buatan (AI) dan pembelajaran mesin (ML) diperkenalkan untuk meningkatkan operasi SOC melampaui aturan statis. Model AI dalam mesin deteksi dapat menyetel sendiri berdasarkan umpan balik yang diawasi atau pembelajaran tanpa pengawasan, meningkatkan akurasi dan mengurangi positif palsu. Sebagai contoh, mesin Static AI SentinelOne yang dilatih dengan lebih dari setengah miliar sampel malware, dapat secara otomatis memprediksi apakah sebuah file atau objek merupakan malware berdasarkan karakteristiknya. Asisten AI memanfaatkan generative AI untuk menyederhanakan tugas penting seperti rekayasa deteksi, triase, investigasi, dan respons, memungkinkan analis fokus pada aktivitas bernilai lebih tinggi. Sebagai contoh, asisten AI atau analis keamanan virtual seperti Purple AI dapat melakukan investigasi atau pencarian ancaman berbasis bahasa alami. Analis dapat mengajukan pertanyaan sederhana seperti, “Apakah ada upaya login yang tidak biasa di seluruh jaringan?” Asisten AI menafsirkan pertanyaan tersebut, memindai sumber data, mengidentifikasi pola, dan memberikan hasil yang diprioritaskan, menghilangkan kebutuhan pengguna akhir untuk menulis kueri kompleks atau memahami pemetaan data atau bidang-bidang di baliknya. Hal ini menyederhanakan proses investigasi dan membuat pencarian ancaman lebih mudah diakses, bahkan untuk anggota tim yang kurang berpengalaman. Dengan memperkenalkan AI, Tingkat 2 memungkinkan respons yang lebih cepat dan akurat sambil terus belajar dari kejadian sebelumnya untuk beradaptasi dengan ancaman yang terus berkembang. Tingkat 3 | Otonomi Parsial Pada Tingkat 3 dalam Model Maturitas Autonomous SOC, operasi keamanan bergerak menuju…

Pada Oktober 2024, divisi investasi SentinelOne, S Ventures, melakukan investasi strategis di poolside, sebagai bagian dari putaran pendanaan Seri B startup AI untuk asistensi pengkodean senilai $500 juta. Investasi ini menjadi salah satu langkah penting S Ventures dalam mendukung startup AI generatif (GenAI), menyusul investasi serupa pada platform LLM (Large Language Models) terkemuka seperti Anthropic dan Cohere, serta Scale, sebuah startup yang berfokus pada pengembangan dan alat lapisan AI, dan Galileo, platform intelijen evaluasi terkemuka untuk tim AI. Putaran pendanaan ini melibatkan Bain Capital Ventures, Citi Ventures, NVIDIA, serta sejumlah firma investasi dan ventura ternama lainnya. Lalu, apa yang membuat poolside menjadi salah satu startup GenAI yang paling diperhatikan dan bernilai tinggi? Poolside menarik perhatian karena pendekatannya yang inovatif dalam menghadirkan solusi AI generasi berikutnya untuk rekayasa perangkat lunak. Startup ini menggabungkan kemampuan AI asistif untuk pengkodean dengan teknologi canggih yang mendukung efisiensi, skalabilitas, dan personalisasi pengembangan perangkat lunak. Hal ini menjadikan poolside bukan hanya sebagai pemain di sektor AI, tetapi juga sebagai pemimpin potensial dalam mendefinisikan ulang bagaimana perangkat lunak dirancang dan dikembangkan. Kombinasi pendanaan besar dari investor ternama, visi teknologi yang menjanjikan, dan posisi strategis di pasar AI generatif, membuatnya menjadi sorotan utama. Peluang Pasar untuk Poolside Permintaan akan perangkat lunak terus melampaui ketersediaan pengembang yang terampil. Lebih buruknya lagi, banyak tugas pengkodean saat ini bersifat repetitif dan memakan waktu, sehingga menyita waktu berharga dari para pengembang yang sudah terbebani – waktu yang seharusnya dapat digunakan untuk menyelesaikan masalah strategis dan menciptakan inovasi. Oleh karena itu, tidak mengherankan jika banyak yang melihat ini sebagai peluang alami untuk menggunakan AI sebagai pengganda kekuatan, yang secara drastis mempercepat inovasi dan meningkatkan skala tim pengembang. Dunia AI terus berkembang pesat, dengan kualitas dan jumlah data pelatihan yang menjadi pusat perkembangannya. Data ini menjadi kunci dalam menentukan seberapa efektif model AI bekerja, terutama di bidang kompleks seperti pengembangan perangkat lunak. Namun, ini lebih mudah diucapkan daripada dilakukan. Seperti semua hal dalam AI generatif (GenAI), efektivitasnya, terutama di bidang kompleks seperti pengembangan perangkat lunak, sangat bergantung pada kualitas, volume, dan jenis data yang memberi makan model dasarnya. Dengan mengatasi tantangan ini melalui pendekatan inovatif, poolside memiliki peluang besar untuk merevolusi cara pengembangan perangkat lunak dilakukan, memberikan solusi yang lebih efisien, dan memberdayakan tim pengembang secara global. Reinforcement Learning | Pendekatan Unik Poolside Filosofi poolside sederhana namun kuat: AI yang efektif untuk pengembangan perangkat lunak harus dibangun di atas data pelatihan berkualitas tinggi dan spesifik, serta pemahaman mendalam tentang cara kerja kode dalam dunia nyata. Dengan merancang sendiri pipeline dan strategi kurasinya, poolside menetapkan standar baru untuk inovasi perangkat lunak berbasis AI. Saat ini, sebagian besar model AI hanya mampu memahami kode. Sebaliknya, model poolside dilatih untuk menulis kode secara otonom, mengubah dinamika tradisional antara pengembang dan AI menjadi sesuatu yang melampaui peran asisten pengkodean biasa yang hanya memberikan saran mekanis. Komitmen pada pengembangan internal ini menghasilkan metodologi pelatihan baru yang dikenal sebagai Reinforcement Learning from Code Execution Feedback (RLCEF). RLCEF bekerja dengan memaparkan model pada tantangan pengkodean nyata yang ditemukan dalam basis kode yang luas. Alih-alih hanya belajar dari contoh statis, model menerima umpan balik berbasis eksekusi yang mencerminkan lingkungan pemrograman sesungguhnya. Reinforcement Learning (RL) digunakan melalui kerangka kerja skala besar off-policy, di mana poolside mengoptimalkan pelatihan modelnya. Model secara terus-menerus belajar dari hasil eksekusi kode untuk meningkatkan kemampuan mereka dalam memberikan solusi yang fungsional dan efisien. Pendekatan inovatif ini memungkinkan poolside tidak hanya membantu pengembang tetapi juga memimpin transformasi cara perangkat lunak dirancang dan ditulis. Bukan Sekadar Teknologi | Suite Produk Berbasis AI dari Poolside Pengembangan perangkat lunak menjadi tonggak penting dalam kemajuan jaringan saraf, dan poolside AI membuka jalan menuju kemampuan yang mulai menyaingi kecerdasan manusia. Poolside memanfaatkan sifat terstruktur bahasa pemrograman—berfokus pada sintaksis, pemeriksaan saat kompilasi, dan hasil eksekusi—untuk melatih model AI-nya. Hasilnya? Data yang terdefinisi dengan baik, dapat diverifikasi, dan presisi tinggi. Kualitas data yang unggul ini memungkinkan AI poolside memahami struktur program yang kompleks, sehingga pengembang dapat meningkatkan skala pemecahan masalah mereka secara signifikan. Poolside telah membangun rangkaian produk yang dirancang untuk memenuhi kebutuhan berbagai pengguna sepanjang siklus pengembangan perangkat lunak: Poolside Assistant Dirancang untuk pengembang, asisten ini terintegrasi mulus ke dalam lingkungan pengkodean dan membantu dalam penulisan, debugging, serta pemeliharaan perangkat lunak. Ini adalah “anggota tim virtual” yang siap mendukung setiap langkah. Poolside Enterprise Produk ini memungkinkan pengguna menyesuaikan solusi AI dengan memilih sumber data yang ingin digunakan model (seperti repositori dan basis pengetahuan). Hal ini memastikan semua tugas selaras dengan tujuan bisnis dan kebijakan keamanan spesifik. Poolside Platform API Untuk mendukung pengembangan aplikasi, API ini memungkinkan pengguna memanfaatkan berbagai model AI milik poolside, memberikan fleksibilitas bagi mereka yang ingin membangun solusi khusus berdasarkan kemampuan poolside. Dengan pendekatan holistik ini, poolside tidak hanya menciptakan alat berbasis teknologi, tetapi juga menghadirkan ekosistem inovatif yang mampu mendukung pengembang, perusahaan, dan pemangku kepentingan lainnya untuk mencapai efisiensi dan hasil yang lebih baik. Komitmen Mendalam terhadap Perbaikan Berkelanjutan Model AI poolside didukung oleh komitmen perusahaan terhadap perbaikan berkelanjutan, dengan investasi simultan dalam penskalaan model, data, dan infrastruktur. Pelatihan model dilakukan menggunakan GPU berperforma tinggi, yang mendorong batasan kemampuan AI pengkodean saat ini. Dari sisi sumber data, poolside menggabungkan hasil pengindeksan eksklusif di internet dengan data dari CommonCrawl, yang secara total mencakup lebih dari 50 triliun token. Selain itu, lebih dari 350 juta repositori kode dari platform seperti GitHub, GitLab, dan Bitbucket telah diindeks. Data ini diperkaya dengan metadata dan melalui proses pembersihan ketat untuk menghapus kode berkualitas rendah, informasi rahasia, serta data pribadi. Hanya contoh berkualitas tinggi yang digunakan untuk menghasilkan data sintetik, memastikan set pelatihan model memiliki kualitas terbaik. Komitmen ini didukung oleh tim inovatif yang bertekad memberdayakan tim pengembang secara global. Dua pendiri utama, Jason Warner (CEO) dan Eiso Kant (CTO), membawa pengalaman puluhan tahun dalam membangun perusahaan dan solusi inovatif. Mereka sebelumnya berkontribusi pada GitHub, Ubuntu, serta menciptakan Athenian (platform rekayasa berbasis data) dan source{d} (perusahaan pertama yang menerapkan AI pada kode dan perangkat lunak). Saat ini, tim poolside terdiri dari 35 anggota berbakat, dengan keahlian unik di bidang penelitian terapan untuk model bahasa besar (LLM), reinforcement…

Yang Baik | Mata-mata China Dijatuhi Hukuman Penjara 4 Tahun Ini adalah kabar penting untuk keamanan nasional. Vonis terhadap Ping Li menyoroti kekhawatiran yang terus ada terkait spionase dan ancaman siber terhadap kepentingan AS, terutama ketika aktor asing seperti Kementerian Keamanan Negara China (MSS) terlibat. Tindakan Li, yang melibatkan pembocoran informasi sensitif tentang keamanan siber, serangan siber SolarWinds, dan kelompok dissiden China, menunjukkan masalah yang lebih luas tentang spionase di sektor teknologi dan dampaknya terhadap keamanan perusahaan serta hubungan internasional. Durasi panjang kegiatan spionase yang dilakukan Li, yang diperkirakan dimulai sejak 2012, mempertegas risiko yang terus ada dari dalam perusahaan besar yang dapat dimanfaatkan oleh pemerintah asing untuk keuntungan strategis. Denda yang dijatuhkan, bersama dengan hukuman penjara, juga mengirimkan pesan kuat tentang konsekuensi yang dihadapi oleh siapa saja yang terlibat dalam spionase terhadap Amerika Serikat. Ini adalah pengingat penting bahwa keamanan nasional tidak hanya dijaga melalui tindakan eksternal, tetapi juga dengan memeriksa ancaman yang berasal dari dalam negeri. Act as Agent of Chinese Government : https://justice.gov/opa/pr/florida-telecommunications-and-information-technology-worker-sentenced-conspiring-act-agent Kasus yang diajukan oleh Departemen Kehakiman (DoJ) ini merupakan bagian dari upaya yang lebih luas dari Amerika Serikat untuk melawan spionase China. Baru-baru ini, Shujun Wang, agen rahasia China lainnya, dijatuhi hukuman karena menyusup ke sebuah kelompok pro-demokrasi yang berbasis di New York sementara diam-diam melaporkan kepada Kementerian Keamanan Negara China (MSS). Menurut sebuah laporan, spionase China telah dikaitkan dengan lebih dari 55 kasus di 20 negara bagian AS, yang melibatkan rahasia militer, pencurian perdagangan, dan penindasan terhadap dissiden. Antara tahun 2000 dan 2023, tercatat 224 insiden spionase China, termasuk pencurian informasi militer yang sensitif, rahasia dagang, serta penindasan terhadap dissiden China. Yang Buruk | Kampanye Phishing Cloud Menargetkan Kredensial OneDrive Operasi canggih yang dirancang untuk mencuri kredensial OneDrive dirinci oleh para peneliti minggu ini, yang menyoroti meningkatnya minat para penjahat siber untuk menyerang sumber daya cloud perusahaan. Dikenal dengan nama “Beluga,” kampanye phishing ini menggunakan lampiran email yang disesuaikan dan halaman login palsu OneDrive yang sudah terisi dengan alamat email target dan logo perusahaan. Para peneliti mengatakan bahwa ketika penerima membuka file .htm yang terlampir, mereka akan disajikan dengan halaman yang meminta mereka untuk melihat PDF palsu berjudul “Protected Document 043.pdf.” Mengklik tombol bertuliskan “VIEW DOCUMENT” akan mengarah ke formulir login palsu. Kolom email sudah terisi otomatis dan tidak dapat diedit, sementara kolom kata sandi selalu menampilkan pesan kesalahan terlepas dari apa yang dimasukkan, sebuah trik yang sering digunakan oleh penipu untuk membuat korban memasukkan kata sandi berulang kali. Di balik layar, kredensial yang dimasukkan dikirim melalui HTTPS ke bot Telegram, yang juga menerima alamat email dan alamat IP korban. Bot Telegram semakin sering digunakan oleh penjahat siber untuk mengumpulkan kredensial dan mengelola kampanye karena kemudahan penggunaannya dan kemampuan otomatisasinya. Akun OneDrive yang terkompromi menimbulkan risiko signifikan bagi organisasi karena biasanya digunakan untuk menyimpan informasi sensitif. Karena kemampuan mereka untuk menyinkronkan file dengan perangkat lokal, serta melakukan operasi seperti penghapusan dan enkripsi file, akun tersebut juga dapat menjadi vektor bagi serangan ransomware berbasis cloud. Yang Buruk | APT Rusia Mengeksploitasi Zero-Day di Firefox dan Windows Peneliti menjelaskan minggu ini bagaimana grup aktor ancaman yang terkait dengan Rusia, yang dikenal luas sebagai RomCom (juga dikenal sebagai Storm-0978, Tropical Scorpius, UNC2596), telah mengeksploitasi kerentanannya di produk Mozilla, termasuk browser Firefox yang populer, untuk menginfeksi pengguna Windows dengan malware. Rantai eksploitasi ini mencakup pemanfaatan bug eskalasi hak istimewa di sistem operasi Microsoft. Bug-bug tersebut, yang kini sudah diperbaiki, tidak diketahui oleh kedua vendor pada saat eksploitasi pertama kali dilakukan. CVE-2024-9680 adalah kerentanannya yang kritis di Firefox, Thunderbird, dan Tor browser yang memungkinkan eksekusi kode di dalam browser saat pengguna mengunjungi situs web berbahaya. CVE‑2024‑49039 adalah bug di Windows 10, 11, dan versi Server yang memungkinkan kode tersebut melarikan diri dari sandbox browser. Menurut peneliti dari ESET, APT yang terkait dengan Rusia ini menggabungkan dua kerentanannya untuk menginfeksi pengunjung situs web yang dikendalikan oleh aktor dengan pintu belakang RomCom. Korban hanya perlu mengunjungi halaman web berbahaya untuk terinfeksi, tanpa memerlukan interaksi lebih lanjut dari pengguna. Meskipun tidak jelas bagaimana tautan ke situs web berbahaya tersebut disebarkan ke target, diperkirakan kampanye ini cukup luas dan melibatkan server palsu dari situs web sah yang mengarahkan pengguna untuk menyebarkan eksploitasi tersebut. Peneliti menyebutkan bahwa target utama kampanye ini sebagian besar berada di Eropa dan Amerika Utara. Kerentanan tersebut telah diperbaiki oleh Mozilla dan Microsoft pada tanggal 9 Oktober dan 12 November, masing-masing, dan pengguna sangat disarankan untuk memperbarui kedua produk tersebut tanpa penundaan.

Teknologi yang berkembang pesat telah mengubah peran CISO (Chief Information Security Officer) menjadi lebih strategis dalam pertumbuhan perusahaan. Kini, CISO diharapkan menjadi pengambil keputusan utama yang memengaruhi strategi perusahaan dan membimbing organisasi melalui kompleksitas era modern. Mereka sedang beralih dari peran ahli teknis dalam arsitektur keamanan, operasi keamanan, keamanan infrastruktur, dan keamanan jaringan, menjadi visioner dalam keamanan siber strategis dan pertumbuhan bisnis. Dalam proses transisi ini, pemahaman mendalam tentang dasar-dasar manajemen risiko menjadi semakin penting bagi para CISO. Meskipun banyak elemen manajemen risiko umum sudah diterapkan di organisasi sebagai bagian dari proses mitigasi risiko atau karena persyaratan kepatuhan dan regulasi, beberapa prinsip dasar manajemen risiko masih perlu dipahami dengan baik oleh CISO saat mereka memasuki peran strategis ini. Seiring dengan bertambahnya tanggung jawab strategis, CISO harus menerapkan prinsip-prinsip risiko siber saat berkolaborasi dengan pemimpin eksekutif lainnya untuk mengimplementasikan langkah-langkah keamanan holistik di seluruh organisasi. Artikel ini mengeksplorasi pentingnya dasar-dasar manajemen risiko siber di seluruh operasi bisnis, serta memberikan wawasan tentang bagaimana hal tersebut dapat membantu CISO saat ini dan di masa depan meraih kesuksesan. Tantangan dalam Mencentralisasi Manajemen Risiko di Seluruh Organisasi Secara tradisional, manajemen risiko dipandang sebagai keterampilan non-teknis yang tidak termasuk dalam cakupan tradisional seorang praktisi keamanan. Meskipun manajemen risiko bukanlah konsep baru bagi tim non-TI atau non-keamanan, seringkali hal ini dianggap sebagai wilayah yang asing bagi para profesional TI dan keamanan. Bagi para pemimpin keamanan, sering kali tidak ada pelatihan formal atau penekanan pada pemahaman dasar-dasar manajemen risiko. Bahkan, banyak yang mempelajari keterampilan ini secara langsung di lapangan sambil menghadapi masalah tanggung jawab dan persyaratan risiko yang terfragmentasi di berbagai unit bisnis. Berdasarkan kematangan siber organisasi, tim Cyber Governance, Risk & Compliance (GRC) biasanya memimpin dalam mengelola risiko siber. Namun, mereka sering melakukannya secara terpisah dari aktivitas manajemen risiko perusahaan yang lebih luas, yang dapat menciptakan kesenjangan antara tim keamanan dan strategi bisnis secara keseluruhan. Pendekatan terisolasi ini dapat memberikan kesan bahwa manajemen risiko tidak penting untuk kesuksesan tim keamanan. Meskipun CISO memiliki keahlian dalam area teknologi khusus, yang kurang adalah pendekatan holistik yang menyelaraskan keputusan bisnis berbasis risiko di seluruh organisasi. Kesenjangan pengetahuan ini menjadi semakin jelas ketika CISO berinteraksi dengan eksekutif dan tugas menerjemahkan risiko siber ke dalam istilah bisnis mulai mengesampingkan diskusi lainnya. Dari UKM hingga Perusahaan Besar | Mengintegrasikan Risiko Siber ke dalam Strategi Bisnis Secara umum, manajemen risiko sering kali merupakan inisiatif yang dipicu oleh tim keuangan atau hukum untuk memenuhi persyaratan kepatuhan standar. Hal ini terutama terlihat pada usaha kecil dan menengah (UKM) yang tidak memiliki tim manajemen risiko perusahaan khusus atau sumber daya yang memadai untuk mengkoordinasikan manajemen risiko di seluruh unit bisnis. Dalam situasi semacam ini, keamanan sering kali dikelola secara terpisah, dan para pihak yang bertanggung jawab sering kali tidak berusaha menghubungkan manajemen risiko dengan langkah-langkah mitigasi yang diperlukan. Kesenjangan ini dapat menghambat tim keamanan dalam mendapatkan anggaran dan dukungan yang dibutuhkan dari manajemen senior. Terkadang, manajemen risiko siber baru dibahas setelah terjadi insiden keamanan atau saat munculnya tren baru dalam ancaman siber. Pendekatan reaktif seperti ini tidak lagi memadai untuk menjaga keamanan dan profitabilitas bisnis. Tantangan dan kesenjangan ini kini lebih terasa dibandingkan sebelumnya, terutama karena semakin banyak CISO yang terlibat dalam diskusi strategis. CISO memiliki peran penting dalam memfasilitasi kolaborasi antar departemen dan memastikan bahwa kontrol keamanan diterapkan secara efektif dan sejalan dengan tujuan keseluruhan organisasi. Mengatasi Kesenjangan dalam Manajemen Risiko Perusahaan Seiring dengan berkembangnya lanskap risiko dan adopsi teknologi yang cepat di berbagai industri, ketergantungan yang semakin besar pada sistem teknologi menempatkan evaluasi risiko siber sebagai bagian krusial dari strategi manajemen risiko organisasi. Mengintegrasikan risiko siber ke dalam manajemen risiko perusahaan memerlukan upaya kolaboratif, di mana pemimpin organisasi menetapkan manajemen risiko yang terpusat. Pendekatan ini kemudian mendukung unit bisnis untuk mengimplementasikan sub-strategi respons risiko yang sesuai dengan tanggung jawab masing-masing. Menurut NIST, Manajemen Risiko Perusahaan (ERM) melibatkan identifikasi dan pemahaman berbagai jenis risiko yang dihadapi perusahaan. Ini mencakup penentuan probabilitas terjadinya risiko tersebut dan perkiraan dampaknya. Agar program ERM efektif, diperlukan partisipasi dari setiap departemen serta siklus hidup manajemen risiko yang terstruktur dengan baik. Risiko siber merupakan bagian penting dari ERM dan telah mendapatkan perhatian lebih seiring dengan meningkatnya digitalisasi. Jika pendekatan manajemen risiko dalam organisasi belum terintegrasi dengan baik, CISO dapat bekerja sama dengan departemen lain untuk membahas perlunya program manajemen risiko. Berkonsultasi dengan departemen seperti keuangan dan hukum, misalnya, akan membantu memastikan bahwa pemimpin fungsional dapat membuat keputusan yang tepat mengenai komponen manajemen risiko dalam anggaran keamanan dan diskusi ROI. Memahami Terminologi Risiko, Konsep, & Siklus Hidup Manajemen Risiko Selera Risiko dan Toleransi Risiko Dua konsep dasar dalam manajemen risiko adalah selera risiko dan toleransi risiko. Menurut NIST, selera risiko adalah jenis dan jumlah risiko yang, secara umum, bersedia diterima oleh organisasi dalam upayanya mencapai nilai. Selera risiko ditetapkan oleh manajemen senior dan memberikan arahan untuk penetapan strategi dan tujuan. Toleransi risiko adalah kesiapan organisasi atau pemangku kepentingan untuk menanggung risiko yang tersisa setelah merespons atau mempertimbangkan risiko untuk mencapai tujuannya. Istilah-istilah ini merupakan dasar bagi pengambilan keputusan CISO dan membantu menjelaskan mengapa keputusan respons risiko tertentu dibuat serta bagaimana sumber daya dialokasikan untuk melaksanakan keputusan tersebut. Pentingnya Daftar Risiko Seiring dengan kematangan proses manajemen risiko organisasi, CISO sering kali membuat daftar risiko untuk mengkomunikasikan risiko siber secara efektif dan mengintegrasikannya ke dalam proses manajemen risiko perusahaan secara keseluruhan. Daftar risiko adalah repositori informasi risiko yang mencakup data yang dipahami tentang risiko dari waktu ke waktu. Bagi seorang CISO, ini adalah alat yang berfungsi sebagai dokumen komprehensif yang menangkap dan mengorganisir risiko-risiko saat ini, yang muncul, dan yang potensial dihadapi oleh organisasi mereka. Daftar risiko bekerja dengan menilai semua risiko yang teridentifikasi, termasuk deskripsi risiko, dampak potensial, kemungkinan terjadinya, dan strategi mitigasi yang ada untuk mengatasinya. CISO juga dapat menggunakan daftar risiko untuk berkomunikasi dan berkolaborasi dengan unit bisnis lain, termasuk menetapkan tugas, tanggung jawab, dan akuntabilitas manajemen risiko kepada pemilik tertentu serta melacak tinjauan dan pembaruan yang berkelanjutan. Di organisasi di mana daftar risiko tidak digunakan, program pelatihan dan kesadaran perlu dilakukan di antara semua departemen yang relevan, termasuk tim TI…