Manajemen Akses Istimewa (PAM)

Akses istimewa mengacu pada izin yang lebih tinggi daripada hak pengguna standar—seperti akun root/administrator, kredensial admin domain, akun layanan dengan izin luas, dan akun pengguna super basis data. Akun istimewa menjadi target utama penyerang karena jika salah satunya berhasil disusupi, penyerang dapat mengendalikan seluruh sistem, basis data, atau infrastruktur jaringan. Mengelola akun-akun ini secara aman merupakan tujuan Privileged Access Management.

Menurut Forrester Research, 80% pelanggaran keamanan melibatkan kredensial istimewa. Setelah memperoleh akun istimewa, penyerang dapat: menonaktifkan kontrol keamanan, mengekstrak semua data, membuat akun pintu belakang, dan menyebarkan ransomware ke seluruh jaringan. Tanpa kontrol PAM, organisasi sering memiliki ratusan akun istimewa dengan kata sandi bersama yang tidak pernah berubah, tidak memiliki jejak audit atas tindakan istimewa, dan tidak memiliki mekanisme untuk mencabut akses dengan cepat selama insiden.

Salah satu fungsi inti PAM adalah penyimpanan kredensial di brankas—menyimpan kata sandi akun istimewa dalam brankas terenkripsi dan dikendalikan aksesnya, bukan dalam lembar kerja, catatan tempel, atau ingatan karyawan. Administrator mengambil kredensial dari brankas saat diperlukan; brankas mencatat setiap pengambilan. Yang sangat penting, brankas dapat memutar kata sandi secara otomatis setelah setiap penggunaan sehingga kredensial yang telah diambil menjadi tidak valid setelah dikembalikan. Dengan demikian, kata sandi bersama yang statis dapat dihilangkan.

Prinsip hak akses minimum menyatakan bahwa setiap pengguna, proses, atau sistem hanya boleh memiliki hak akses minimum yang diperlukan untuk menjalankan fungsinya. PAM menerapkannya dengan menetapkan izin terperinci, bukan hak administrator menyeluruh. Daripada memberikan akses admin domain penuh kepada pengembang untuk memulai ulang satu layanan, PAM memberikan akses secukupnya untuk memulai ulang layanan tertentu pada peladen tertentu. Hal ini membatasi dampak jika akun tersebut disusupi.

Privileged Session Management merekam dan memantau setiap sesi istimewa secara waktu nyata. Solusi PSM dapat memproksikan koneksi melalui platform PAM, merekam penekanan tombol, perintah yang dijalankan, serta video layar penuh dari semua aktivitas istimewa. Dengan demikian, tersedia jejak audit lengkap untuk kepatuhan, forensik, dan deteksi ancaman dari orang dalam. Beberapa solusi PAM juga dapat menghentikan sesi secara waktu nyata jika terdeteksi pelanggaran kebijakan.

Akun layanan adalah identitas yang digunakan oleh aplikasi, skrip, dan proses otomatis, bukan oleh manusia. Akun ini menjadi tantangan besar bagi PAM karena sering memiliki hak istimewa tinggi, kata sandinya jarang berubah, mungkin tertanam dalam kode aplikasi atau skrip, dan pemiliknya tidak jelas setelah bertahun-tahun beroperasi. Solusi PAM mengelola kata sandi akun layanan melalui API dan memutarnya secara otomatis tanpa memerlukan perubahan kode.

Just-Enough Administration (JEA) adalah teknologi berbasis PowerShell yang membatasi tindakan pengguna meskipun pengguna tersebut memiliki akses tinggi. Daripada menjadikan administrator sistem sebagai administrator lokal penuh, JEA membuat ruang kerja eksekusi terbatas yang hanya mengekspos cmdlet dan parameter tertentu yang diperlukan untuk perannya. Operator helpdesk mungkin diizinkan mengatur ulang kata sandi, tetapi tidak melakukan hal lain—semuanya tanpa memerlukan hak Domain Admin.

Pasar PAM dipimpin oleh solusi perusahaan, termasuk CyberArk (pemimpin pasar, lokal dan SaaS), BeyondTrust (kuat dalam pengelolaan hak istimewa titik akhir), dan Delinea (sebelumnya Thycotic dan Centrify). Platform-platform ini menyediakan penyimpanan kredensial di brankas, perekaman sesi, pemantauan waktu nyata, serta integrasi dengan SIEM dan sistem tiket. Pemilihan solusi PAM memerlukan evaluasi terhadap skala, dukungan awan, kemampuan API, dan integrasi dengan infrastruktur identitas yang sudah ada.

PAM mencakup pengelolaan seluruh siklus hidup akun istimewa: penyediaan (membuat akun dengan izin yang sesuai dan alasan bisnis yang dapat dibenarkan), peninjauan (sertifikasi akses secara berkala untuk memastikan akun masih diperlukan), dan pencabutan penyediaan (penghapusan segera ketika kebutuhan berakhir atau hubungan kerja dihentikan). Akun istimewa yatim—yang tidak lagi dimiliki oleh karyawan aktif—merupakan target berisiko tinggi bagi penyerang dan temuan kepatuhan yang umum.

Solusi PAM terintegrasi dengan platform SIEM untuk memberikan peringatan waktu nyata atas aktivitas istimewa yang mencurigakan. Contoh perilaku yang seharusnya memicu peringatan: akun istimewa masuk di luar jam kerja, akun layanan digunakan secara interaktif, akses atau penghapusan file secara massal oleh akun admin, peningkatan hak istimewa tanpa tiket yang sesuai, dan percobaan masuk istimewa yang gagal berturut-turut. Tolok ukur perilaku membantu membedakan aktivitas admin normal dari perilaku yang tidak wajar.

PAM merupakan komponen dasar arsitektur Zero Trust. Dalam model zero trust, akses istimewa tidak pernah diasumsikan atau diberikan secara permanen—akses tersebut harus diminta secara eksplisit, disetujui, dibatasi waktunya, dan dipantau. Hal ini selaras dengan prinsip zero trust berupa akses dengan hak minimum yang dipadukan dengan mengasumsikan bahwa pelanggaran telah terjadi: bahkan pengguna istimewa yang sah diperlakukan sebagai potensi ancaman, dan tindakannya terus dipantau serta dicatat untuk mendeteksi anomali.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: brankas PAM menyimpan dan memutar kredensial istimewa secara otomatis untuk menghilangkan kata sandi bersama yang statis, pengelolaan sesi istimewa merekam seluruh aktivitas admin untuk keperluan audit dan forensik, serta hak minimum dan administrasi secukupnya mengurangi dampak dari akun istimewa yang disusupi. Selanjutnya kita akan membahas tata kelola identitas dan penyediaan.