Munculnya AI (kecerdasan buatan) generatif selama setahun terakhir juga mendorong model bahasa besar (LLM) serbaguna menjadi sorotan publik. Organisasi kini berlomba-lomba memanfaatkan kemampuan LLM untuk memajukan layanan pelanggan, pengoptimalan tugas, pembuatan konten, dan produktivitas secara keseluruhan.

Seiring dengan pertumbuhan pesat aplikasi yang didukung AI, seperti LLM, risiko kerentanan terkait juga meningkat. Organisasi ingin menjadi yang pertama di pasar, tetapi sayangnya hal ini sering kali mendorong prioritas keamanan ke belakang.

Namun, seperti setiap aplikasi baru, praktik terbaik memerlukan penilaian terhadap langkah-langkah keamanan di sekitarnya. Meskipun ada kesamaan dengan pendekatan penilaian aplikasi tradisional, ada juga perbedaan nuansa yang harus dipertimbangkan saat mendesain, membangun, dan menilai aplikasi yang didukung AI secara menyeluruh.

^{LLM adalah jaringan neural besar yang dilatih dengan set data yang sangat besar. Bergantung pada jenis set data yang digunakan untuk melatih LLM, LLM dapat disesuaikan untuk melakukan berbagai tugas, termasuk pembuatan teks, terjemahan dan peringkasan, serta pertanyaan dan jawaban umum.}

^{Sebagian besar organisasi men-deploy LLM berbasis web, yang memungkinkan pelanggan dan pengguna berinteraksi dengan LLM dalam format yang familiar (melalui aplikasi web) dan juga memberi developer kemampuan untuk memanfaatkan LLM dengan cara yang terdefinisi dengan baik melalui penggunaan web application programming interface (API) yang terekspos.} 

^{LLM secara rutin mencapai pembuatan bahasa tujuan umum dan meniru kemampuan untuk “memahami” pengguna dan kueri yang disesuaikan. Hal ini menjadikan LLM berbasis web sangat cocok untuk tujuan peningkatan pengalaman pengguna, termasuk bot chat, mesin telusur, dan asisten virtual.}

Ada empat karakteristik yang dimiliki semua LLM berbasis web tujuan umum yang membuatnya diminati.

Pertama adalah perintah: kueri yang diberikan oleh pengguna akhir melalui front end aplikasi yang membantu menetapkan konteks interaksi LLM dengan pengguna dan memandu sifat percakapan. Makin spesifik perintahnya, makin mampu LLM memanfaatkan set datanya saat menjawab pertanyaan pengguna.

Kedua adalah API yang terekspos: LLM sengaja mengekspos antarmuka API untuk digunakan oleh aplikasi akhir. API ini memungkinkan aplikasi web tradisional memanfaatkan kemampuan LLM.

Ketiga adalah data: Data menyediakan informasi yang dibutuhkan model untuk membantu menjawab perintah pengguna. Kualitas itu penting, seperti halnya kuantitas dan spesifisitas data memungkinkan LLM memproses kueri pengguna dengan lebih baik dan mengembangkan jawaban yang bermanfaat dan akurat bagi pengguna.

Keempat adalah set pelatihan: Ini adalah data yang digunakan untuk melatih model pada awalnya agar sesuai dengan tujuan utamanya. Sekali lagi, kualitas bersifat penting dalam hal ini.

Seiring dengan terus berkembangnya dan makin banyaknya aplikasi web, sayangnya jumlah dan jenis kerentanan yang terkait dengannya juga meningkat. Open Web Application Security Project (OWASP) membuat tabulasi jumlah dan jenis kerentanan aplikasi web yang dilaporkan secara publik, dan setiap beberapa tahun merilis 10 peringkat teratas kerentanan yang paling umum. 

Dengan cara yang sama, daftar 10 teratas baru dari OWASP telah disusun untuk aplikasi khusus LLM:

LLM berbasis web telah merevolusi cara pengguna berinteraksi dengan sistem tradisional; kueri yang terstruktur dan terdefinisi dengan baik tidak lagi diperlukan. Pengguna dapat berinteraksi dengan aplikasi dan sistem secara lebih alami dan menggunakan percakapan. Aplikasi untuk teknologi ini terus berkembang seiring dengan evolusi rasa ingin tahu dan kreativitas manusia.

Aplikasi LLM berbasis web dapat dinilai dengan cara yang sama seperti aplikasi web tradisional. Kontrol seperti encoding output, autentikasi dan otorisasi, perlindungan data, dan keamanan API telah ditentukan dengan baik dari pengujian dan eksploitasi keamanan aplikasi selama bertahun-tahun.

Ke depannya, profesional keamanan harus mengembangkan metodologi penilaian keamanan aplikasi mereka untuk menyertakan strategi pengujian probabilistik. Menggabungkan pengujian probabilistik dapat membantu evaluasi dan perlindungan yang lebih baik terhadap aplikasi LLM berbasis web dari serangan injeksi perintah, agensi berlebihan, dan ketergantungan berlebihan untuk mempertahankan pendekatan keamanan yang terbaru dan tangguh.

Pada tahun 2024, sistem manajemen informasi dan peristiwa keamanan (SIEM) masih menjadi tulang punggung sebagian besar pusat operasi keamanan (SOC). SIEM selama ini digunakan untuk mengumpulkan dan menganalisis data keamanan dari berbagai organisasi guna membantu mengidentifikasi, menginvestigasi, dan merespons ancaman. Namun, SIEM dewasa ini sebenarnya sudah sangat berbeda dengan SIEM yang dibuat lebih dari 15 tahun lalu. SIEM modern mencakup arsitektur dan kemampuan berbasis cloud seperti analisis perilaku dan entitas pengguna (UEBA); orkestrasi, otomatisasi, dan respons keamanan (SOAR); pengelolaan permukaan serangan; dan kecerdasan buatan (AI), dan masih banyak lagi.

SIEM lama sering kali lambat, rumit, dan sulit digunakan. Arsitektur lama mereka sering kali menghalangi mereka untuk melakukan penskalaan guna menyerap sumber log bervolume tinggi, dan mereka mungkin tidak dapat mengikuti ancaman terbaru atau mendukung fitur dan kemampuan terbaru. Mereka mungkin tidak menawarkan fleksibilitas untuk mendukung persyaratan spesifik organisasi Anda atau tidak cocok dengan strategi multi-cloud yang menjadi kenyataan bagi sebagian besar organisasi saat ini. Terakhir, mereka mungkin tidak siap untuk memanfaatkan perkembangan teknologi terbaru, seperti AI.

Baru-baru ini, perubahan besar di ruang SIEM telah diperkenalkan dan tidak dapat diremehkan. Perkembangan ini akan mempercepat migrasi dari platform SIEM lama ke platform modern, sehingga banyak organisasi mau tidak mau akan harus bermigrasi juga nantinya. 

Perubahan besar di pasar SIEM selama setahun terakhir: 

September 2023:

• Cisco mengumumkan minat untuk mengakuisisi Splunk

Mei 2024:

• Crowdstrike memperkenalkan penawaran SIEM baru
• Exabeam dan LogRhythm mengumumkan minat untuk melakukan merger
• IBM menjual bisnis cloud Qradar-nya ke Palo Alto Networks dan menghentikan pengembangan baru untuk pelanggan Qradar lokal

Pakar Keamanan Google Cloud telah mengamati dan memandu ratusan migrasi SIEM selama beberapa dekade, sehingga memberi kami insight tentang praktik terbaik yang dapat diterapkan oleh organisasi dengan berbagai ukuran. Jadi, mari kita lihat tips migrasi SIEM teratas untuk tahun 2024.

Saat mengevaluasi solusi SIEM baru, mulailah dengan menanyakan pertanyaan berikut kepada diri Anda dan tim keamanan Anda untuk membantu mengungkap kekuatan dan kelemahan setiap opsi SIEM serta apakah opsi tersebut akan memenuhi kebutuhan organisasi Anda atau tidak:

Pada waktunya, migrasi dari SIEM lama ke solusi modern tidak dapat dihindari untuk mengimbangi lanskap ancaman yang terus berkembang. Meskipun tantangannya mungkin tampak berat, migrasi yang direncanakan dan dilaksanakan dengan baik dapat menghasilkan peningkatan yang signifikan dalam kemampuan deteksi, investigasi, dan respons ancaman organisasi Anda, serta postur keamanan secara keseluruhan.

Untuk panduan mendalam tentang migrasi SIEM, baca makalah lengkapnya, The great SIEM migration: A guide to ditching dinosaurs.

Jika Anda tertarik untuk mempelajari platform SecOps modern berbasis cloud dari Google, kunjungi halaman web kami.

Peningkatan lingkungan digital native menunjukkan bahwa tim keamanan, khususnya red team dan blue team, harus memahami tantangan keamanan yang terkait dengan ekosistem baru ini, karena tantangan tersebut unik dibandingkan dengan deployment lokal tradisional. Pertanyaannya adalah, apa saja tantangan unik ini dan keterampilan apa yang dibutuhkan oleh para profesional pengamanan cyber untuk menghadapinya? 

Penyerang dan pelindung tidak lagi berlomba-lomba untuk mengamankan beberapa aset infrastruktur utama, seperti Pengontrol Domain atau layanan sertifikat. Sebaliknya, setiap resource cloud, aplikasi SSO, dan koneksi data sama-sama merupakan ancaman terhadap organisasi. Ketika arsitektur digital native didukung oleh teknologi seperti API, IAM, Kubernetes, Docker, fungsi serverless, microservice, database cloud, penyimpanan, jaringan, pipeline CI/CD, atau gateway lainnya, masing-masing mewakili potensi titik entri bagi penyerang. Tanpa pengujian keamanan yang menyeluruh, bagaimana organisasi dapat mengetahui bahwa penyusupan aplikasi SaaS pihak ketiga dapat memberi penyerang akses tidak terbatas ke lingkungan cloud mereka? Tingkat keterhubungan yang ditemukan di dalam lingkungan digital native yang matang mengaburkan batas antara aplikasi pihak ketiga dan aset berharga organisasi. 

Tantangan lain yang unik bagi tim keamanan di lingkungan digital native adalah protokol yang digunakan untuk melakukan serangan. Karena lingkungan digital native pada dasarnya terdiri dari aplikasi dan layanan yang dirancang untuk akses melalui browser web karyawan, banyak serangan terjadi di lapisan 7, tempat interaksi dengan resource organisasi difasilitasi oleh protokol pengguna akhir umum, seperti HTTP. Hal ini memaksa para profesional keamanan untuk mengambil peran sebagai pengguna di lingkungan tersebut dan berinteraksi dengan aplikasi dan layanan sebagian besar melalui browser web, bukan melalui aplikasi utilitas command line khusus. Pembatasan ini sangat meningkatkan upaya manual yang diperlukan untuk mendapatkan kesadaran situasional yang memadai di dalam lingkungan digital native yang baru. 

Namun, efek samping dari pembatasan ini adalah solusi deteksi dan respons endpoint (EDR) tradisional menjadi jauh kurang efektif. Ketika pengguna yang sah dan berbahaya berinteraksi dengan lingkungan dengan cara yang sama, hal ini akan sangat meningkatkan jumlah peninjauan manual yang diperlukan oleh pelindung untuk membedakan antara ancaman yang sah dan permintaan pengguna yang tidak berbahaya. Dalam aspek ini, pengamanan lingkungan digital native mulai menyerupai pengamanan serangkaian aplikasi web individual yang terikat bersama oleh SSO dan hubungan kepercayaan platform cloud. 

Selain itu, karena setiap perusahaan memerlukan serangkaian aplikasi dan layanan yang berbeda agar dapat berfungsi, informasi yang diperoleh tentang satu lingkungan perusahaan jarang dapat digunakan juga untuk memahami lingkungan perusahaan lain. Karena tidak adanya standardisasi ini, para profesional keamanan dituntut untuk memiliki kreativitas dan kecerdikan yang lebih tinggi.

Mandiant menggunakan tren penyerang digital native yang terlihat di garis depan untuk memengaruhi metodologi yang digunakan dalam interaksi red team. Salah satu contohnya adalah organisasi digital native besar yang memiliki tujuan kolaboratif, yang ditetapkan oleh Mandiant dan pelanggan ini, untuk mendapatkan akses ke aplikasi web administratif internal, yang juga diidentifikasi oleh organisasi sebagai aset terpenting. 

Aplikasi terpenting ini baru-baru ini menjalani audit kode pihak ketiga dan menggunakan penyedia SSO terkenal untuk autentikasi. Mengetahui bahwa terdapat kemungkinan lebih kecil aplikasi itu sendiri rentan terhadap serangan web umum, red team Mandiant memprioritaskan upaya pengujian mereka pada aplikasi SSO lain di lingkungan yang sama yang mungkin memiliki koneksi ke aplikasi terpenting ini. Aplikasi tambahan ini mencakup platform pengelolaan permintaan akses, pengelola Kubernetes, dan alat pengembangan API. Mandiant mendokumentasikan koneksi ini secara cermat dan mulai menilai tingkat akses yang tersedia untuk masing-masing koneksi. 

Saat penilaian berlanjut, Mandiant menemukan vektor eskalasi akses yang memungkinkan akses administratif atas aplikasi pengembangan SaaS yang digunakan untuk mengembangkan alat otomatisasi internal. Pada awal interaksi, aplikasi pengembangan SaaS ini diklasifikasikan sebagai “risiko rendah” karena pengguna di dalam aplikasi masih dibatasi oleh peran dan izin yang diberikan kepada mereka melalui penyedia SSO. Awalnya, tidak ada indikasi bahwa administrator aplikasi ini akan dapat memperoleh akses atau izin tambahan atas aplikasi SSO lainnya di lingkungan tersebut. 

Dengan menggunakan akses administratif ke aplikasi pengembangan SaaS, Mandiant menemukan bahwa ada banyak karyawan yang melakukan autentikasi ke aplikasi dan menjalankan setidaknya satu alat di dalamnya setiap jam. Oleh karena itu, interaksi red team beralih untuk berfokus pada pemahaman alur kerja pengguna tertentu ini dan bagaimana alur kerja tersebut dapat disusupi untuk mendapatkan akses ke resource istimewa lainnya dalam lingkungan.

Pengintaian tambahan aplikasi pengembangan SaaS dari perspektif administratif ini mengungkapkan bahwa Mandiant memiliki izin untuk mengedit setelan yang digunakan untuk menghubungkan pengguna ke aplikasi terpenting. Mandiant menggunakan izin ini untuk memasukkan permintaan tambahan ke akhir alur autentikasi SSO setiap pengguna yang akan mengirim token SSO teks biasa ke server yang dikontrol Mandiant. Setelah menyimpan konfigurasi baru ini, red team Mandiant menerima permintaan autentikasi dari pengguna sah aplikasi terpenting. Permintaan ini berisi kredensial yang dapat dimanfaatkan Mandiant untuk meniru identitas pengguna yang meminta. Setelah membiarkan injeksi ini berjalan semalaman, red team dapat menangkap token SSO untuk pengguna administratif dengan hak istimewa tinggi dan akhirnya beralih ke aplikasi terpenting.

Organisasi digital native dan lanskap berbasis cloud tempat mereka berada terus berubah. Teknologi baru dikembangkan, diimplementasikan, dan dihentikan lebih cepat dari sebelumnya. Satu-satunya hal yang pasti bagi organisasi ini adalah bahwa penjahat cyber tidak akan menunggu mereka terbiasa dengan lingkungan baru mereka. Oleh karena itu, tindakan keamanan proaktif, termasuk kontrol pertahanan cyber berkelanjutan, red teaming yang terus-menerus, dan keahlian keamanan cloud khusus sangat penting untuk pertahanan cyber yang tepat.