pertahanan mendalam

MANAJEMEN-TI.COM – Harus dipahami bahwa tidak ada suatu kontrol yang secara sendirian dapat mengeliminasi risiko keamanan suatu aset. Oleh karena itu seringkali diperlukan penggunaan beberapa kontrol sekaligus untuk melindungi sebuah aset. Proses pertahanan berlapis ini juga dikenal dengan istilah pertahanan mendalam (defense in depth), perlindungan mendalam (protection in depth) atau kadang juga dengan istilah keamanan mendalam (security in depth)

Cara ini digunakan untuk memaksa para penjahat agar berhadapan dengan lebih dari satu kontrol untuk dapat mengakses sebuah aset yang dia sasar. Pertahanan mendalam merupakan konsep penting dalam mendesain strategi ataupun arsitektur keamanan informasi yang efektif. Apabila didesain dan diimplementasikan dengan benar, ia akan memudahkan pemantauan dan pendeteksian terhadap serangan yang akan atau sedang terjadi pada suatu aset. Menambah lapisan kontrol juga akan menciptakan penundaan sedemikian sehingga potensi serangan dapat digagalkan atau setidaknya diminimalisir dampaknya.

(Baca juga: Menghadapi Para Barbar di Balik Benteng)

Jumlah dan tipe dari lapisan-lapisan kontrol yang dibutuhkan biasanya disesuaikan dengan nilai aset, tingkat kritikalitasnya, kehandalan dari setiap kontrol dan tingkatan risikonya. Mengandalkan pada suatu kontrol secara berlebihan akan menjadi bumerang dan membahayakan keamanan aset. Misalnya sebuah perusahaan yang bergantung hanya pada firewall akan menjadi target serangan dengan berbagai teknik dan metode. Dan begitu firewall tersebut berhasil ditembus, maka habis sudah aset-aset yang di bawah perlindungannya. Oleh karena itu perlu diterapkan lapisan-lapisan pertahanan lainnya untuk memperkuat lapisan pertahanan firewall tadi. Misalnya dengan melakukan edukasi dan kampanye tentang kritikalitas pengamanan aset dari berbagai kemungkinan cara yang mungkin dilakukan. Atau mendesain jaringan menjadi beberapa segmen juga berarti menambah lapisan pertahanan keamanan.

Intinya, penggunaan strategi pertahanan mendalam ini banyak berguna untuk menyulitkan siapapun yang bermaksud melakukan akses yang membahayakan aset, memudahkan pendeteksian, dan meminimalisir potensi dampak risiko serangan terhadap aset. Beragam cara dapat digunakan dalam rangka menerapkan pertahanan mendalam ini. Artikel ini akan menjelaskan beberapa diantaranya.

Tipe pertahanan mendalam #1: Lapisan Bersarang

Tipe pertahanan mendalam bersarang (nested layers)
Tipe pertahanan mendalam bersarang (nested layers)

Strategi pertahanan mendalam yang pertama ini adalah dengan dengan menerapkan lapisan-lapisan pertahanan dalam bentuk bersarang (nested layers). Sehingga strategi ini membuatpenyerang harus melalui lapisan demi lapisan secara serial untuk dapat sampai pada aset yang ingin diserang. Setiap lapisan tersebut setidaknya dapat memperlama usaha penyerang untuk sampai pada target aset yang ingin diserang. Sehingga diharapkan serangan akan terdeteksi dan dapat dicegah sebelum berhasil.

(Baca juga: 3 Lini Pertahanan Risiko)

Tipe pertahanan mendalam #2: Lapisan Redundansi Beriris

pertahanan mendalam tipe 2
Tipe pertahanan mendalam redundansi beririsan

Pada strategi ini digunakan dua atau lebih kontrol yang bekerja secara paralel untuk melindungi sebuah aset. Lapisan-lapisan pertahanan yang diterap dirancang saling beririsan untuk memungkinkan pendeteksian serangan. Tipe ini akan efektif jika masing-masing kontrol yang diterapkan tersebut memiliki karakteristik yang berbeda-beda, sehingga dapat menangkal jenis serangan dengan karakteristik yang berbeda-beda pula pada saat yang bersamaan.

 

Tipe pertahanan mendalam #3:  Segregasi atau Kompartemenisasi

pertahanan mendalam tipe 3
Tipe pertahanan mendalam segregasi/kompartemenisasi

Pada strategi ini dilakukan kompartemenisasi akses pada sebuah aset. Strategi ini akan mensyaratkan dua atau lebih proses, kontrol atau individu sekaligus untuk dapat mengakses atau menggunakan sebuah aset. Hal ini karena diperlukan otentikasi dari beberapa proses/kontrol/orang sekaligus untuk mendapatkan akses lebih lanjut. Teknik ini biasanya cukup efektif digunakan untuk melindungi aset yang bernilai sangat tinggi atau dalam sebuah lingkungan dimana kepercayaan menjadi sebuah permasalahan.

Ada juga yang melakukan klasifikasi pertahanan mendalam secara berbeda seperti misalnya:

  • Pertahanan mendalam secara horizontal, dimana kontrol-kontrol ditempatkan dalam beberapa titik dalam jalur menuju pengaksesan aset. Secara fungsional, mirip dengan tipe pertahanan bersarang (nested layers) dalam pengklasifikasian diatas.
  • Pertahanan mendalam secara vertikal, dimana kontrol diterapkan dalam lapisan-lapisan sistem yang berbeda, seperti kontrol pada lapisan hardware, sistem operasi, aplikasi, database atau lapisan pengguna.

Penggunaan teknik-teknik pertahanan mendalam ini membutuhkan perencanaan yang efektif serta pemahaman yang benar tentang kekuatan dan kelemahan dari setiap kontrol tersebut. Adalah mudah untuk membuat sebuah sistem kontrol yang kompleks, tapi apakah akan efektif atau tidak itu yang perlu dipertanyakan. Terlalu banyak lapisan bisa sama buruknya dengan terlalu sedikit. Ketika merancang penerapan pertahanan mendalam, pertimbangkan beberapa pertanyaan kunci berikut ini:

  • Kerentanan apa yang ingin dilindungi oleh setiap lapisan atau kontrol?
  • Bagaimana setiap lapisan yang akan diterapkan itu dapat memitigasi kerentanan tersebut?
  • Bagaimana setiap kontrol berinteraksi satu dengan lainnya?

Jika pertanyaan-pertanyaan tersebut diatas dapat dijawab dengan jelas, maka pertahanan mendalam yang akan diterapkan berpotensi akan menjadi pertahanan yang efektif. Jika tidak, maka mungkin pertahanan yang diterapkan menjadi mubazir belaka. [mti/csx/image:pratum]