Meski banyak

Info Komputer - - Expert Says -

variasi bentuk alur, diagram ini memberikan alur umum ( general flow) serverless architecture. End-user atau end

point merupakan input sekaligus tujuan output. Alur ini melibatkan API gateway, FaaS, dan Baas, serta tiga point attack vector. Dengan mengacu pada alur ini, ada enam ancaman potensial sekaligus ancaman yang paling sering membayangi arsitektur ini.

1 Event Injection

Ancaman ini terjadi akibat aplikasi atau

threat actor yang mengirimkan data (sebagai parameter) dengan format dan content/script yang membahayakan. Ini bisa terjadi pada attack vector 1, 2, dan 3. Potensi kerusakan yang dapat terjadi pun tidak terbatas. Countermeasure: lelakukan sanitasi atas data yang dikirimkan dalam parameter proses untuk memastikan jenis data sesuai dengan spesifikasi dan kuantitas yang diperlukan function.

4 Over-Priviledged Permission

Celah keamanan ini merupakan kelemahan yang disebabkan oleh single access authentication atas semua function yang berjalan. Jika authentication access pada satu function bocor, maka akan menyebabkan kebocoran yang lebih luas. Countermeasure: pisahkan authentication per function, satu function, satu role, dan satu authentication.

2 Broken Authentication

Ancaman ini terjadi karena lepasnya kontrol terhadap token yang berjalan pada proses. Serverless architecture mengenal session atau stateless

authentication, dan tidak ada masalah memilih salah satunya. Yang menjadi masalah adalah jika token bocor dan bisa digunakan pada session yang berbeda sehingga memungkinkan akses terhadap data pada seluruh session yang berjalan dari setiap user yang berbeda. Countermeasure: terapkan Identity Access Management pada setiap alur proses.

5 Cross-Site-Scripting (XSS)

Celah keamanan ini paling sering menjadi penyebab kebocoran secara umum, termasuk pada arsitektur serverless architecture. Fleksibilitas yang kita berikan pada aplikasi ibarat “pisau bermata dua”. Misalnya, formulir komentar pada blog memiliki kapabilitas HTML editor, sehingga tidak sedikit script jahat yang diinjeksi bersamaan. Countermeasure: melakukan sanitasi setiap tag script yang dikirimkan.

3 Insecure Environment and Setting

Kelemahan pada teknik enkripsi yang diterapkan pada file ( data at rest) maupun data ( data in motion) akan menimbulkan kebocoran data. Serverless architecture memiliki titik ( hop) lintasan data yang jauh lebih panjang dari client-server. Ini menyebabkan potensi kebocoran data yang jauh lebih tinggi. Selain itu, setting yang terletak pada environment variable perlu dienkripsi sehingga tidak dapat terbaca oleh pihak luar. Countermeasure: terapkan tingkat enkripsi yang cukup kuat

6 Cross-Site Request Forgery (CSRF)

Celah keamanan ini selalu menyasar halaman atau function yang melakukan perubahan data. Penyerang ( attacker) mengirimkan parameter dan query-string (dari field yang ada) secara otomatis melalui halaman palsu ( forged) yang seolah-olah dikirimkan oleh user. Countermeasure: berikan satu field dengan nama dan nilai acak, dan berubah setiap halaman di buka, sehingga menyulitkan penyerangan CSRF ini.

Newspapers in Indonesian

Newspapers from Indonesia

© PressReader. All rights reserved.