Teknologi

Panduan ITSEC Mengenai DevSecOps

Tips

Hacks

DevSecOps merupakan kepanjangan dari development, security, and operations (pengembangan, keamanan, dan operasi) dan ide utama DevSecOps adalah untuk membuat seluruh anggota tim teknis dan pengembangan Anda bertanggung jawab terhadap cybersecurity sehingga mereka dapat membuat keputusan keamanan di saat yang sama ketika mereka membuat keputusan pengembangan dan operasi, sehingga meningkatkan keamanan secara keseluruhan.

Administrator

Jul 10, 2023

Setiap tim teknis yang saat ini menggunakan kerangka kerja DevOps harus mencari cara untuk bergerak ke arah pola pikir DevSecOps dengan cara meningkatkan keahlian security yang dimiliki oleh masing-masing anggota tim yang berasal dari berbagai latar belakang teknologi. Dari membangun layanan cybersecurity yang berfokus pada bisnis hingga pengujian potensi eksploitasi cybersecurity, kerangka kerja DevSecOps memastikan bahwa cybersecurity dibangun dengan cara ditanamkan ke dalam aplikasi dan tidak hanya menjadi sebuah tempelan yang baru ditambahkan belakangan. Dengan memastikan pertimbangan keamanan ada di setiap tahap pengiriman perangkat lunak (software delivery), Anda secara terus-menerus melakukan integrasi keamanan sehingga dapat mengurangi biaya compliance (kepatuhan) dan perangkat lunak dapat dikirimkan dengan cepat dan aman.

DevSecOps Dalam Praktek

Keuntungan DevSecOps sederhana, yaitu bahwa Anda dapat melihat peningkatan otomatisasi di sepanjang jalur pengiriman perangkat lunak. Otomatisasi ini berguna untuk jangka panjang karena dapat menghapuskan kesalahan, mengurangi cyberattack dan mengurangi downtime. Organisasi yang ingin mengintegrasikan keamanan ke dalam kerangka DevOps mereka mendapati bahwa proses ini bisa menjadi relatif mulus jika Anda menggunakan alat DevSecOps yang tepat. Alur kerja DevOps dan DevSecOps terlihat seperti ini:

Seorang engineer membuat kode di dalam platform version control.
Perubahan diterapkan pada platform version control.
Engineer lain mengambil kode dari platform version control dan melakukan analisis kode untuk mengidentifikasi jika ada kekurangan dari sisi cybersecurity.
Kemudian dibangun sebuah environment dengan menggunakan alat berbentuk infrastructure-as-code (iac), selanjutnya aplikasi digunakan dan konfigurasi keamanan dipasang ke dalam sistem.
Sebuah test automation suite kemudian dijalankan terhadap aplikasi yang baru digunakan, yaitu aplikasi back-end, UI, integrasi, tes keamanan dan API.
Jika berhasil lolos dari tes ini, maka aplikasi-aplikasi tersebut akan digunakan untuk environment produksi.
Environment produksi baru ini dimonitor secara terus-menerus untuk mengidentifikasi segala ancaman atau vulnerability (kerentanan) dalam cybersecurity yang masih aktif di dalam sistem.

Dengan environment yang dikembangkan menggunakan proses TDD (test-driven development) dan telah melalui pengujian otomatis serta memiliki integrasi berkesinambungan sebagai bagian dari alur kerja mereka, maka tim pengembangan dapat bekerja dengan mulus dan cepat dalam rangka mencapai tujuan bersama untuk mendapatkan secure code dan peningkatan compliance.

Apakah Anda Membutuhkan DevSecOps??

Ya, Anda membutuhkannya. Lanskap teknologi telah mengalami perubahan eksponensial sepanjang dekade terakhir. Pergeseran penggunaan platform shared storage dan shared data, aplikasi dinamis, dan cloud computing sangat menguntungkan bagi organisasi yang ingin berkembang dan tumbuh melalui penggunaan aplikasi dan layanan canggih, tetapi semua ini juga ada biaya pelaksanaannya. Aplikasi-aplikasi DevOps memang memiliki keunggulan dalam hal fungsionalitas, skala, dan kecepatan, tetapi seringkali mereka memiliki kekurangan dalam hal keamanan dan kepatuhan Hal inilah yang melatarbelakangi diperkenalkannya DevSecOps kedalam siklus hidup pengembangan perangkat lunak untuk menempatkan pengembangan, operasi, dan keamanan dalam satu atap, dan dengan proses itu dapat meningkatkan cybersecurity dari sebuah perangkat lunak. Para pelaku cybercrime selalu mencari cara untuk mengeksploitasi perangkat lunak, bayangkan jika mereka berhasil memasukkan malware ke dalam perangkat lunak saat proses pembangunan dan malware tersebut tidak ditemukan sampai waktu aplikasi telah diluncurkan kepada ribuan pelanggan! Tingkat kerusakan terhadap reputasi perusahaan dan sistem pelanggan mereka dapat menjadi malapetaka, terutama di dunia dimana berita buruk cepat sekali menjadi viral melalui media sosial. Menjadikan faktor keamanan sama pentingnya dengan faktor pengembangan dan operasi Anda merupakan keharusan bagi tim manapun yang terlibat dalam pengembangan dan distribusi perangkat lunak. Ketika Anda mengintegrasikan DevSecOps dan DevOps, setiap network administrator dan network engineer langsung menempatkan keamanan sebagai pertimbangan pertama dalam proses pengembangan dan deployment perangkat lunak.

Praktik Terbaik DevSecOps

Organisasi yang ingin menyatukan operasi TI, tim keamanan dan pengembang aplikasi perlu mengintegrasikan keamanan ke dalam alur kerja DevOps mereka. Tujuannya adalah untuk menjadikan keamanan sebagai komponen inti dari alur kerja pengembangan perangkat lunak, menggantikan kebiasaan menguatkan keamanan di akhir proses. Berikut ini adalah beberapa praktik terbaik yang membuat proses DevSecOps berjalan dengan lancar:

Otomatisasi merupakan hal yang bagus - Meskipun DevOps memiliki fokus pada kecepatan pengiriman, ini tidak berarti bahwa faktor kecepatan harus dikompromikan hanya karena Anda menambahkan faktor keamanan di dalamnya. Dengan mengintegrasikan kontrol keamanan otomatis dan pengujian di awal siklus pengembangan perangkat lunak, Anda dapat memastikan pengiriman perangkat lunak dilakukan dengan cepat.
DevSecOps untuk efisiensi - Dengan menambahkan keamanan ke dalam alur kerja Anda dan dengan menggunakan alat yang dapat memindai kode saat Anda membuatnya, Anda dapat menemukan dan memperbaiki masalah keamanan lebih awal.
Pemodelan ancaman (threat modeling) – Menjalankan threat modeling dapat membantu Anda menemukan kerentanan dalam aset Anda dan menyumbat celah dalam kontrol keamanan, sehingga membantu Anda mengidentifikasi kejadian berisiko tinggi yang terjadi di dalam codebase Anda.

Sementara masih ada perdebatan tentang apa artinya DevSecOps untuk bisnis, namun sangat mudah untuk melihat artinya di dalam dunia dengan siklus rilis yang cepat dan ancaman keamanan yang terus berkembang, itulah sebabnya kami merekomendasikan DevSecOps untuk organisasi mana pun yang tidak dapat mentolerir terjadinya skandal keamanan, atau jika mereka masih menganggap semua pelanggan mereka sebagai target oleh pelaku cybercrime (hampir semua orang dapat menjadi target).

Share this post

Panduan untuk Open Source Intelligence (OSINT)

Tips

Hacks

OSINT dapat menjadikan Anda mampu melihat lebih jauh dan hal ini dapat membawa keuntungan besar bagi bisnis Anda, yaitu dengan cara melindungi Anda dari ancaman, memberikan informasi mengenai strategi kompetitor Anda dan membantu Anda untuk memahami mitra dan orang-orang sebelum Anda melakukan investasi pada diri mereka, hal paling utama adalah OSINT merupakan alat investigasi yang penting bagi pengacara, detektif, penegak hukum, dan siapapun yang mempunyai kebutuhan untuk mengumpulkan intelijen dan menginvestigasi sebuah subjek. Artikel ini, bagian pertama dalam seri yang saya tulis mengenai OSINT, akan menjelaskan apa OSINT itu dan bagaimana Anda dapat menggunakan OSINT bagi keuntungan kehidupan profesional Anda, karena kita semua dapat mengambil keuntungan dari memandang lebih jauh dan mengetahui sesuatu daripada hanya mengasumsikan mengenai sesuatu. Pengantar Seiring waktu internet telah mengubah dunia menjadi tempat yang sangat kecil, terbukanya akses internet bagi miliaran orang di seluruh dunia untuk berkomunikasi dan bertukar data digital telah menjadikan seluruh dunia bergeser memasuki ‘era informasi’. Pada era informasi ini, istilah open-source intelligence (OSINT) mengacu pada semua informasi yang tersedia untuk publik yang dapat anda lihat

Jul 10, 2023 — 8 minutes read

Teknologi

Sejarah Singkat Internet

Saya ketagihan pada komputer sejak Oregan Trail pertama kali dirilis, saat itu Anda harus mengodekan semua aplikasi Anda secara manual di BASIC jika benar-benar ingin komputer Anda menjadi berguna atau bahkan melakukan hal-hal yang membosankan seperti bersuara “blip” pada Anda. Satu-satunya alternatif untuk mengetik ratusan baris kode yaitu dengan memuat kaset yang telah direkam sebelumnya dengan serangkaian bunyi “biip”, peluit, dan memberitahu komputer Anda apa yang harus dilakukannya ketika diputar ulang. Anda tahu, suara-suara pra-rekaman yang berbunyi “biip” itu PERSIS seperti apa yang terdengar di internet saat pertama kali saya mendengarnya. Tidak, itu bukanlah kesalahan ketik, saya telah mendengar internet sebelum saya benar-benar melihatnya, begitu banyak sehingga saya masih percaya bahwa internet kabel saya adalah internet palsu karena setiap waktu sangat sepi Tidak, saya tidak mendengar internet karena saya adalah semacam seorang whisperer (pembisik) internet, kita SEMUA telah mendengar internet sebelum kita benar-benar menggunakannya saat itu, kedatangannya disinyalkan oleh serangkaian pekikan bernada tinggi dan dengungan digital yang datang kepada Anda dari saluran telepon. Begitulah cara kita mengetahui internet akan datang. Di masa

Administrator

Jul 09, 2023 — 10 minutes read

Teknologi

Inilah Alasan Mengapa Memerlukan Cybersecurity Honeypots

Bagaimana caranya kami dapat mengetahui hal ini? Sama halnya seperti cara kami dapat mengetahui sebagian besar cyber threat global, teknik yang digunakan, pemilihan waktu, dan tools yang digunakan, bahkan gagasan tentang siapa mereka - Honeypots. Honeypot merupakan sumber daya sistem informasi yang nilainya terletak pada penggunaan ilegal atau tanpa otorisasi atas sumber daya tersebut, artinya ia akan terbukti bernilai ketika seorang hacker mencoba berinteraksi dengannya. Sumber daya honeypot biasa disamarkan sebagai server jaringan, ia terlihat dan terasa seperti server tetapi sebenarnya merupakan perangkap yang digunakan untuk memancing penyusup yang tidak memiliki otorisasi. Bagaimana analis menemukan EternalRocks? Hal tersebut bisa terjadi karena adanya honeypot. Sebuah permainan kreatif “kucing dan tikus” yang meletakkan perangkap cerdik. Musuh yang datang mencoba mengelabui perangkap atau mengenali sesuatu yang mencurigakan dan menghindarinya, atau dalam beberapa kasus, merusaknya. Hal ini ditanggapi oleh seorang peneliti dengan menulis tweet untuk menghibur banyak orang, "Bagi Anda yang mengetahui honeypot saya adalah sebuah ‘honeypot’ (wadah madu), bisakah Anda berhenti menaruh gambar beruang (madu) Pooh di atasnya?. Silakan mengecek sumber daya HoneyDB untuk mengetahui analisis

Jul 09, 2023 — 6 minutes read