Konsep

Attack Surface

Keseluruhan titik, teknis maupun manusia, di mana penyerang dapat mencoba mendapatkan akses ke sebuah sistem atau mengekstrak data, mencakup setiap akun, endpoint, aplikasi, layanan yang terekspos, dan karyawan.

Definisi

Attack surface adalah keseluruhan titik di mana pihak tak berwenang dapat mencoba masuk ke sebuah sistem atau mengekstrak data darinya, mencakup baik aset teknis, seperti akun, endpoint, aplikasi, dan layanan jaringan yang terekspos, maupun unsur manusia, setiap karyawan, kontraktor, atau mitra yang dapat dipancing phishing, direkayasa secara sosial, atau ditipu untuk memberikan akses. Attack surface bertambah dengan setiap akun, integrasi, aplikasi, atau pengguna baru yang ditambahkan ke organisasi, baik pertambahan itu disengaja maupun tidak.

Bagian teknis dari attack surface mencakup setiap layanan yang menghadap internet, aplikasi, API, dan perangkat endpoint yang dapat diperiksa, dieksploitasi, atau salah konfigurasi, bersama sumber daya cloud, sistem lama yang terlupakan, dan alat shadow IT yang diadopsi karyawan tanpa persetujuan resmi. Bagian manusia sama nyatanya: setiap karyawan dengan alamat email, setiap akun dengan akses tetap, dan setiap vendor pihak ketiga yang terhubung ke sistem internal mewakili titik masuk potensial yang dapat ditargetkan penyerang melalui phishing, pretexting, atau rekayasa sosial lain, bukan eksploitasi teknis. Kedua bagian ini perlu diperhitungkan, karena penyerang akan memilih jalur mana pun, teknis atau manusia, yang paling mudah.

Attack surface terus meluas dan sering kali tak terlihat: adopsi cloud, kerja jarak jauh, portofolio SaaS yang berkembang, dan ekosistem vendor yang meluas masing-masing menambah titik masuk potensial baru tanpa satu pun keputusan sengaja untuk menerima risiko lebih besar. Organisasi Indonesia di sektor yang diatur sering kali membawa hubungan vendor yang kompleks dan sistem lama yang bertahan lama berdampingan dengan penerapan cloud modern, keduanya diam-diam menambah attack surface jika tidak dilacak dan ditinjau secara aktif sebagai bagian dari tata kelola keamanan rutin. Attack surface yang tidak diukur tidak dapat dikurangi, karena tim keamanan tidak dapat mengelola apa yang belum mereka inventarisasi.

Mengurangi dan mengelola attack surface dimulai dengan inventaris aset terkini, teknis dan manusia, diikuti dengan menonaktifkan sistem yang tidak digunakan, menerapkan least privilege sehingga akun atau kredensial yang dibobol hanya memberikan jangkauan terbatas, dan menambal layanan yang terekspos dengan segera. Karena human attack surface sama pentingnya dengan yang teknis, simulasi phishing berkelanjutan dan pelatihan kesadaran keamanan yang terbukti meningkatkan perilaku karyawan secara terukur mengurangi eksposur keseluruhan organisasi dengan cara yang persis sama dengan menambal server yang rentan, dan harus dilacak dengan kedisiplinan yang sama.

Sekilas info

Jenis
Konsep keamanan
Target utama
Setiap akun, endpoint, aplikasi, layanan terekspos, dan karyawan dengan akses

Cara kerjanya

  1. 1

    Inventaris teknis: layanan yang menghadap internet, aplikasi, API, endpoint, dan sumber daya cloud masing-masing mewakili titik masuk potensial.

  2. 2

    Inventaris manusia: setiap karyawan, kontraktor, dan mitra dengan akses atau alamat email mewakili titik masuk potensial melalui rekayasa sosial.

  3. 3

    Pertumbuhan berkelanjutan: akun, integrasi, aplikasi, dan hubungan vendor baru memperluas attack surface tanpa satu pun keputusan sengaja.

  4. 4

    Pilihan penyerang: penyerang cukup menargetkan titik masuk mana pun, teknis atau manusia, yang menawarkan jalur paling mudah.

  5. 5

    Pengukuran lebih dulu: attack surface yang belum diinventarisasi tidak dapat sengaja dikurangi atau dikelola.

Poin utama

  • Mencakup baik aset teknis maupun unsur manusia, setiap karyawan yang dapat dipancing phishing atau direkayasa secara sosial
  • Terus bertambah melalui adopsi cloud, kerja jarak jauh, penyebaran SaaS, dan hubungan vendor
  • Sistem lama dan shadow IT diam-diam memperluasnya tanpa keputusan sengaja untuk menerima risiko lebih besar
  • Penyerang cukup memilih titik masuk mana pun, teknis atau manusia, yang paling mudah dieksploitasi
  • Attack surface tidak dapat dikurangi tanpa terlebih dahulu diukur dan diinventarisasi
  • Human attack surface layak mendapat kedisiplinan pengukuran yang sama dengan kerentanan teknis

Praktik terbaik

  • Pelihara inventaris terkini aset teknis, akun, aplikasi, dan layanan yang terekspos
  • Nonaktifkan sistem, akun, dan integrasi yang tidak digunakan dengan segera alih-alih membiarkannya tidak aktif
  • Terapkan least privilege sehingga satu akun atau kredensial yang dibobol hanya memberikan jangkauan terbatas
  • Tambal layanan dan aplikasi yang terekspos dengan segera untuk menutup titik masuk teknis yang diketahui
  • Lacak human attack surface dengan hasil simulasi phishing dan pelatihan kesadaran yang terukur
  • Tinjau akses vendor dan pihak ketiga secara berkala, karena hal ini diam-diam memperluas attack surface seiring waktu

Contoh nyata

Sebuah perusahaan asuransi regional menemukan saat tinjauan aset bahwa portal pelanggan lama, terlupakan setelah migrasi sistem tiga tahun sebelumnya, masih menghadap internet dan menjalankan perangkat lunak yang belum ditambal, sementara audit terpisah menemukan satu departemen penuh belum pernah menerima pelatihan simulasi phishing. Kedua temuan, satu teknis dan satu manusia, mewakili jenis attack surface yang tidak terkelola yang sama, dan tim keamanan memprioritaskan penonaktifan portal lama serta pendaftaran departemen tersebut ke pelatihan dengan urgensi yang setara.

Bagaimana Claro membantu

Claro memperlakukan human attack surface sebagai bagian utuh dan terukur dari keseluruhan gambaran organisasi: simulasi phishing berkelanjutan dan skoring risiko berbasis perilaku menunjukkan kepada tim keamanan persis karyawan, departemen, atau jenis akun mana yang paling memperluas risiko organisasi, sehingga upaya pengurangan, pelatihan bertarget, tinjauan akses, atau perubahan kebijakan, dapat diprioritaskan dengan bukti dan kedisiplinan yang sama seperti diterapkan pada temuan kerentanan teknis mana pun.

Pertanyaan yang sering diajukan

Apa itu Attack Surface?

Attack surface adalah keseluruhan titik di mana pelaku bisa mencoba masuk atau mengambil data dari sistem, mencakup semua perangkat, akun, aplikasi, dan titik masuk jaringan yang terekspos terhadap ancaman.

Apakah attack surface hanya tentang sistem teknis?

Tidak. Ini mencakup setiap karyawan, kontraktor, dan mitra yang dapat ditargetkan melalui phishing atau rekayasa sosial, bersama setiap aset teknis seperti akun, endpoint, dan layanan yang terekspos. Penyerang tidak membedakan keduanya saat memilih tempat menyerang.

Mengapa attack surface terus bertambah bahkan tanpa keputusan risiko baru yang disengaja?

Adopsi cloud, kerja jarak jauh, alat SaaS baru, dan hubungan vendor yang meluas masing-masing diam-diam menambah titik masuk potensial. Tanpa pelacakan aktif, attack surface organisasi dapat meluas selama berbulan-bulan sebelum ada yang menyadarinya.

Apa bedanya attack surface dengan kerentanan?

Kerentanan adalah kelemahan spesifik dalam sebuah sistem atau perilaku spesifik karyawan yang dapat dieksploitasi. Attack surface adalah kumpulan yang lebih luas dari setiap titik, dapat dieksploitasi atau tidak, tempat penyerang dapat mencoba masuk sejak awal.

Apa langkah pertama untuk mengurangi attack surface?

Membangun inventaris terkini dan akurat baik untuk aset teknis maupun eksposur manusia. Attack surface yang belum diukur tidak dapat sengaja dikurangi, karena tim keamanan tidak dapat menonaktifkan atau melindungi apa yang tidak mereka ketahui keberadaannya.

Istilah terkait

Least Privilege

Prinsip keamanan yang memberikan pengguna, akun, atau proses hanya akses minimum yang dibutuhkan untuk menjalankan fungsinya, tidak lebih.

Zero Trust

Model keamanan yang mengasumsikan tidak ada pengguna atau perangkat yang boleh dipercaya secara default, mensyaratkan verifikasi berkelanjutan untuk setiap permintaan akses.

Insider Threat

Risiko keamanan yang berasal dari dalam organisasi, seperti karyawan, kontraktor, atau mitra yang menyalahgunakan akses sah mereka.

Manajemen Risiko Manusia

Disiplin keamanan untuk mengidentifikasi, mengukur, dan menurunkan risiko yang ditimbulkan orang melalui perilaku mereka sehari-hari.

Kurangi risiko manusia Anda

Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.

Minta demo