Mengenal ITDR, Teknologi Baru untuk Lindungi Identitas Digital

Di tengah semakin banyaknya layanan cloud, aplikasi digital, perangkat IoT, hingga agen kecerdasan buatan (AI), identitas digital menjadi salah satu aset paling penting sekaligus paling rentan dalam keamanan siber. Identitas tidak lagi hanya merujuk pada akun karyawan. Kini, mesin, aplikasi, perangkat, layanan, bahkan AI agent juga memiliki identitas dan hak akses sendiri.

Perubahan tersebut membawa tantangan baru bagi organisasi. Penyerang tidak selalu perlu mengeksploitasi kerentanan perangkat lunak untuk masuk ke sistem. Dalam banyak kasus, mereka cukup mendapatkan kredensial yang sah, mengambil alih akun, atau memanfaatkan hak akses yang terlalu luas. Setelah berhasil masuk menggunakan identitas yang valid, aktivitas penyerang dapat terlihat seperti aktivitas pengguna biasa.

Di sinilah Identity Threat Detection & Response (ITDR) menjadi semakin penting. Teknologi ini dirancang untuk membantu organisasi memahami seluruh lingkungan identitas, menemukan kelemahannya, mendeteksi aktivitas mencurigakan, serta mengambil tindakan ketika terjadi ancaman berbasis identitas.

Apa Itu Identity Threat Detection & Response?

Identity Threat Detection & Response (ITDR) adalah pendekatan keamanan siber yang berfokus pada identifikasi, deteksi, pencegahan, dan penanganan ancaman yang berkaitan dengan identitas digital.

Sederhananya, ITDR membantu organisasi menjawab sejumlah pertanyaan penting: Siapa yang memiliki akses ke sistem? Akses apa yang mereka miliki? Apakah akses tersebut memang diperlukan? Bagaimana sebuah akun digunakan? Apakah ada aktivitas yang tidak biasa? Jika sebuah identitas berhasil disusupi, sejauh mana penyerang dapat bergerak di dalam lingkungan organisasi?

ITDR biasanya tidak berdiri sendiri. Teknologi ini menggabungkan data dari berbagai perangkat keamanan dan sistem pengelolaan identitas untuk membangun gambaran yang lebih lengkap mengenai risiko.

Pendekatan tersebut sejalan dengan konsep defense in depth, yakni strategi keamanan yang menggunakan beberapa lapisan perlindungan. Dengan cara ini, organisasi tidak hanya mengandalkan satu sistem keamanan untuk melindungi identitas.

Tujuan ITDR bukan sekadar mendeteksi serangan setelah terjadi. Teknologi ini juga berupaya mengurangi identity attack surface, atau keseluruhan titik yang dapat dimanfaatkan penyerang untuk mengeksploitasi identitas.

Karena itu, ITDR memiliki dua fungsi utama. Pertama, memperbaiki keamanan identitas secara proaktif. Kedua, mendeteksi dan merespons ancaman secara real-time ketika serangan mulai berlangsung.

Mengapa Identitas Menjadi Target Utama?

Perubahan pola kerja digital membuat jumlah identitas di dalam organisasi meningkat sangat cepat. Dulu, pengelolaan identitas mungkin hanya berfokus pada karyawan dan beberapa administrator. Sekarang, satu organisasi dapat memiliki ribuan hingga jutaan identitas yang tersebar di berbagai sistem.

Selain identitas manusia, terdapat machine identity, akun layanan, aplikasi, perangkat IoT, workload cloud, serta AI agent yang membutuhkan akses terhadap sumber daya digital.

Masalahnya, setiap identitas tersebut dapat memiliki hak akses yang berbeda. Sebagian mungkin memiliki akses terbatas, sementara identitas tertentu memiliki hak istimewa yang sangat tinggi.

Semakin banyak identitas yang dibuat, semakin besar pula kemungkinan munculnya akun yang terlupakan, akun yang tidak lagi digunakan, konfigurasi yang salah, atau hak akses yang tidak pernah dicabut. Kondisi tersebut dikenal sebagai identity sprawl, yaitu penyebaran identitas dalam jumlah besar di berbagai sistem dan lingkungan.

Identity sprawl menjadi persoalan serius karena organisasi sering kali kesulitan mengetahui secara menyeluruh identitas apa saja yang mereka miliki dan bagaimana identitas tersebut memperoleh serta menggunakan hak akses.

Dalam lingkungan cloud dan hybrid, persoalan ini menjadi semakin kompleks karena identitas dapat berpindah antara sistem on-premises, layanan cloud, aplikasi SaaS, container, dan berbagai platform lainnya.

Mengapa Serangan Berbasis Identitas Semakin Meningkat?

Penyerang semakin tertarik pada identitas karena akun yang sah dapat menjadi jalan masuk yang sangat efektif. Ketika pelaku berhasil mendapatkan kredensial yang valid, mereka tidak selalu perlu mengeksploitasi celah keamanan secara langsung.

Aktivitas tersebut bahkan dapat terlihat seperti perilaku pengguna normal. Inilah yang membuat serangan berbasis identitas sulit dideteksi.

Data yang dikutip dari BeyondTrust menunjukkan bahwa service account yang tidak aktif tetapi masih memiliki hak istimewa ditemukan di lebih dari 70 persen lingkungan yang diteliti. Sementara itu, data IBM X-Force menunjukkan bahwa hampir satu dari tiga serangan menggunakan akun yang sah.

Angka tersebut memperlihatkan bahwa persoalan identitas bukan hanya mengenai pencurian password. Akun yang sebenarnya sah juga dapat menjadi sumber risiko ketika memiliki hak akses berlebihan, tidak dikelola dengan baik, atau digunakan di luar fungsi normalnya.

Penyerang dapat memanfaatkan kredensial curian, akun dengan hak istimewa berlebihan, maupun izin yang diwariskan untuk melakukan privilege escalation. Setelah memperoleh akses yang lebih tinggi, mereka dapat berpindah dari satu sistem ke sistem lain melalui teknik lateral movement.

Salah satu kelompok yang pernah dikaitkan dengan serangan semacam ini adalah Scattered Spider. Kelompok tersebut diketahui memanfaatkan rekayasa sosial untuk menargetkan proses pengelolaan identitas.

Dalam salah satu skenario, pelaku menipu petugas help desk agar menonaktifkan MFA. Setelah itu, mereka menambahkan Identity Provider (IdP) milik sendiri ke lingkungan Okta. IdP tersebut kemudian dapat dimanfaatkan untuk menyamar sebagai pengguna dan meningkatkan hak akses.

Contoh tersebut menunjukkan bahwa perlindungan identitas membutuhkan lebih dari sekadar password atau MFA. Organisasi juga perlu memahami bagaimana identitas digunakan dan apakah aktivitas tersebut sesuai dengan konteks serta hak akses yang dimilikinya.

Bagaimana ITDR Bekerja?

Secara umum, ITDR bekerja dengan mengumpulkan data identitas dan hak akses dari berbagai sistem, kemudian menganalisisnya untuk menemukan risiko maupun perilaku yang mencurigakan. Sistem dapat memantau akun, hak akses, konfigurasi, aktivitas login, hubungan antarsistem, hingga penggunaan privilege. Data tersebut kemudian dikaitkan untuk menghasilkan konteks yang lebih lengkap.

Misalnya, sebuah akun administrator tiba-tiba melakukan login dari lokasi yang tidak biasa dan kemudian mengakses sistem yang sebelumnya tidak pernah digunakan. Jika informasi tersebut hanya dilihat secara terpisah, aktivitasnya mungkin tidak langsung dianggap berbahaya.

Namun, ketika informasi mengenai identitas, lokasi, perangkat, hak akses, dan pola aktivitas digabungkan, sistem dapat menemukan bahwa terdapat anomali yang perlu diperiksa.

ITDR kemudian dapat membantu menentukan tindakan yang harus dilakukan. Tindakan tersebut dapat berupa meningkatkan pemantauan, membatasi akses, mencabut privilege, mengganti kredensial, atau menghentikan sesi yang mencurigakan.

Dalam situasi serangan, ITDR juga membantu tim keamanan memahami blast radius, yaitu seberapa luas dampak yang mungkin ditimbulkan apabila sebuah identitas telah disusupi. Tim keamanan dapat mengetahui sistem mana yang telah diakses, identitas apa yang terekspos, hak akses apa yang dimiliki penyerang, serta jalur apa yang mungkin digunakan untuk melanjutkan serangan.

Melihat Jalur Serangan melalui ITDR

Salah satu kemampuan penting ITDR adalah memvisualisasikan privilege pathway atau jalur hak akses. Jalur ini menggambarkan bagaimana sebuah identitas dapat digunakan untuk memperoleh akses terhadap sumber daya lain. Jalurnya tidak selalu terlihat secara langsung karena dapat melewati beberapa akun, grup, izin, aplikasi, atau sistem.

Bayangkan sebuah akun memiliki akses ke aplikasi A. Aplikasi tersebut kemudian memiliki izin untuk mengakses layanan B. Layanan B memiliki hak administrator terhadap sistem C. Dalam kondisi tertentu, rangkaian akses tersebut dapat menjadi jalur bagi penyerang untuk bergerak dari satu sistem menuju sistem lainnya.

Konsep memvisualisasikan jalur serangan sebenarnya bukan hal baru. Salah satu contoh yang dikenal dalam lingkungan Active Directory adalah BloodHound. Teknologi tersebut menggunakan teori graf untuk membantu menemukan hubungan dan kemungkinan jalur privilege escalation maupun lateral movement.

ITDR membawa pendekatan serupa ke lingkungan yang lebih luas. Sistem dapat membantu organisasi memahami jalur risiko yang menghubungkan identitas, akun, hak akses, aplikasi, sistem on-premises, dan infrastruktur cloud.

Dengan melihat jalur tersebut, tim keamanan dapat menemukan titik yang paling berisiko dan memperbaikinya sebelum dimanfaatkan penyerang.

ITDR dan Teknologi Keamanan Lain

ITDR bukan pengganti seluruh sistem keamanan yang sudah dimiliki organisasi. Sebaliknya, efektivitas ITDR justru sangat bergantung pada kemampuannya berintegrasi dengan teknologi lain.

Beberapa teknologi yang berperan penting dalam ekosistem ITDR antara lain Identity and Access Management (IAM), Privileged Access Management (PAM), Cloud Infrastructure Entitlement Management (CIEM), Security Information and Event Management (SIEM), dan Security Orchestration, Automation and Response (SOAR).

• ITDR dan IAM
  Identity and Access Management (IAM) bertugas mengelola identitas serta akses pengguna terhadap berbagai sumber daya. ITDR dapat membantu IAM dengan menemukan masalah seperti kebijakan autentikasi yang lemah, akun tanpa pemilik, akun yang sudah tidak digunakan, atau akun dengan privilege tinggi yang belum menggunakan MFA.

  ITDR juga dapat membantu proses joiner-mover-leaver. Proses ini mengatur akses ketika seseorang bergabung dengan organisasi, berpindah posisi, atau meninggalkan organisasi.Ketika seorang karyawan keluar, misalnya, akses yang tidak lagi diperlukan harus segera dicabut. Jika akun atau hak akses masih aktif, identitas tersebut dapat menjadi celah keamanan.

• ITDR dan PAM
  Hubungan ITDR dengan Privileged Access Management (PAM) juga sangat erat. PAM berfokus pada pengamanan akun dan akses dengan hak istimewa. Sementara itu, ITDR dapat menganalisis data PAM bersama informasi dari berbagai sistem lain untuk menemukan pola risiko yang lebih luas.

  ITDR dapat membantu menemukan akun dengan privilege berlebihan, akun yang tidak aktif tetapi masih memiliki hak akses, atau jalur tertentu yang dapat digunakan untuk memperoleh akses istimewa.

  Temuan tersebut kemudian dapat ditindaklanjuti melalui PAM, misalnya dengan menonaktifkan akun, mencabut akses permanen, menerapkan prinsip least privilege, atau merotasi kredensial yang berpotensi telah disusupi.

• ITDR dan CIEM
  Dalam lingkungan cloud, Cloud Infrastructure Entitlement Management (CIEM) membantu organisasi memahami izin dan hak akses terhadap sumber daya cloud. ITDR dapat menggunakan data dari CIEM untuk mengetahui bagaimana sebuah identitas menggunakan hak aksesnya.

  Jika terdapat indikasi bahwa hak akses digunakan dengan cara yang tidak biasa, ITDR dapat menandainya sebagai potensi ancaman dan membantu menjalankan tindakan mitigasi. Dengan demikian, CIEM menyediakan informasi mengenai hak akses cloud, sedangkan ITDR menambahkan konteks perilaku dan ancaman terhadap identitas.

• ITDR dan SIEM
  Security Information and Event Management (SIEM) mengumpulkan dan menganalisis berbagai log serta peristiwa keamanan. Integrasi dengan SIEM dapat memberikan ITDR konteks tambahan mengenai aktivitas identitas. Sebaliknya, ITDR membantu memperkaya informasi yang diterima tim SOC.

  Misalnya, SIEM dapat menunjukkan bahwa sebuah akun melakukan login yang tidak biasa. ITDR dapat menambahkan informasi mengenai hak akses akun tersebut, hubungan akun dengan sistem lain, serta kemungkinan jalur privilege escalation. Kombinasi tersebut membuat tim Security Operations Center (SOC) dapat mengambil keputusan dengan lebih cepat dan akurat.

Mengapa ITDR Penting untuk Zero Trust?

ITDR juga memiliki hubungan erat dengan konsep zero trust. Zero trust pada dasarnya tidak menganggap identitas atau perangkat sebagai pihak yang otomatis tepercaya hanya karena sudah berada di dalam jaringan organisasi. Setiap akses perlu diverifikasi dan diberikan berdasarkan kebutuhan.

Dalam konteks tersebut, ITDR membantu organisasi memahami apakah sebuah identitas benar-benar berperilaku sesuai dengan hak akses dan konteks yang seharusnya.

Dengan memantau identitas secara terus-menerus, organisasi dapat menerapkan pendekatan keamanan yang lebih dinamis. Akses tidak hanya dinilai berdasarkan siapa penggunanya, tetapi juga berdasarkan bagaimana, kapan, dari mana, dan untuk tujuan apa akses tersebut digunakan.

Karena itu, ITDR dapat menjadi salah satu komponen penting dalam strategi zero trust, terutama ketika organisasi memiliki lingkungan hybrid dan multi-cloud yang kompleks.

Menghadapi Serangan Lintas Domain

Salah satu tantangan terbesar keamanan modern adalah serangan yang tidak berhenti pada satu sistem. Penyerang dapat memulai serangan melalui satu identitas, kemudian berpindah ke aplikasi, layanan cloud, akun administratif, hingga infrastruktur penting lainnya.

Sistem keamanan yang berdiri sendiri sering kali kesulitan melihat hubungan tersebut. ITDR mencoba mengatasi masalah ini dengan menghubungkan informasi identitas dari berbagai domain.

• Kasus Entra ID Restless Guests
  Salah satu contoh adalah skenario Entra ID Restless Guests. Dalam model serangan ini, pelaku dapat membuat tenant Entra sendiri menggunakan kredensial curian atau memanfaatkan layanan uji coba Azure. Jika pelaku kemudian mendapatkan akses sebagai guest ke tenant korban, terdapat kondisi tertentu yang dapat dimanfaatkan untuk melakukan tindakan dengan hak istimewa tinggi.

  Pelaku dapat mencoba mengubah kebijakan Azure, menemukan administrator, atau membuat identitas baru untuk mempertahankan akses. ITDR dapat membantu menemukan perilaku tidak biasa tersebut. Misalnya, akun guest yang tiba-tiba melakukan aktivitas dengan privilege tinggi dapat ditandai meskipun aktivitas tersebut secara teknis diizinkan oleh sistem.

  ITDR juga dapat membantu menemukan konfigurasi yang terlalu longgar, seperti izin bagi akun guest untuk membuat subscription sendiri.

• Kasus Kebocoran Okta 2023
  Contoh lainnya adalah insiden Okta pada 2023. Dalam kasus tersebut, pelaku memperoleh kredensial yang berkaitan dengan service account dengan hak akses tinggi. Kredensial tersebut kemudian digunakan untuk mendapatkan session token, menyamar sebagai pengguna, dan mengambil alih sesi yang sah.

  Pendekatan ITDR dapat membantu mendeteksi perilaku semacam ini dengan melihat apakah sebuah service account digunakan di luar fungsi normalnya. Sistem juga dapat mengidentifikasi aktivitas dari alamat IP yang tidak biasa atau penggunaan token yang menyimpang dari pola sebelumnya.

  Selain mendeteksi serangan, ITDR dapat membantu menemukan kelemahan yang memungkinkan kredensial dicuri sejak awal. Dalam kasus tersebut, kredensial yang dicuri diketahui tersimpan pada akun Google pribadi seorang karyawan. Kondisi semacam itu menunjukkan bahwa keamanan identitas juga sangat bergantung pada praktik pengelolaan kredensial.

• Kasus Lingkungan Azure Lembaga Pemerintah
  Contoh lain terjadi pada lingkungan Azure milik sebuah lembaga pemerintah berskala besar. Implementasi Identity Security Insights menemukan sejumlah aplikasi yang memiliki API permission berlebihan. Konfigurasi tersebut membuka jalur yang dapat memungkinkan pengguna dengan peran Application Administrator meningkatkan hak akses menjadi Global Administrator.

  Dengan menemukan dan memperbaiki konfigurasi tersebut, organisasi dapat menutup jalur serangan sebelum dieksploitasi. Kasus ini memperlihatkan bahwa ITDR tidak hanya berguna ketika serangan sudah terjadi. Teknologi ini juga dapat digunakan untuk menemukan jalur risiko yang belum dimanfaatkan.

ITDR Bukan Sekadar Alat Deteksi

Salah satu kesalahpahaman yang perlu dihindari adalah menganggap ITDR hanya sebagai alat untuk mendeteksi serangan.

Pada praktiknya, ITDR memiliki cakupan yang lebih luas. Teknologi ini membantu organisasi memahami kondisi keamanan identitas secara keseluruhan, menemukan kelemahan, memetakan jalur serangan, mendeteksi perilaku mencurigakan, hingga membantu menjalankan respons.

Dengan kata lain, ITDR bekerja dari tahap pencegahan hingga respons.

Pendekatan ini semakin relevan karena organisasi saat ini tidak hanya menghadapi ancaman dari akun karyawan. Mereka juga harus mengamankan service account, machine identity, aplikasi, perangkat IoT, workload cloud, dan AI agent.

Semakin banyak identitas yang dimiliki organisasi, semakin penting pula kemampuan untuk mengetahui siapa yang memiliki akses, mengapa akses tersebut diberikan, bagaimana akses digunakan, dan apa yang dapat dilakukan ketika identitas tersebut disusupi.

Kesimpulan

Identity Threat Detection & Response atau ITDR menjadi semakin penting karena identitas telah berubah menjadi salah satu titik utama dalam keamanan digital modern.

Ketika penyerang dapat menggunakan akun yang sah untuk masuk ke sistem, pendekatan keamanan yang hanya berfokus pada perimeter jaringan tidak lagi cukup. Organisasi membutuhkan kemampuan untuk melihat identitas secara menyeluruh, memahami hak aksesnya, memantau perilakunya, dan mendeteksi penyalahgunaan secara cepat.

ITDR membantu menjawab kebutuhan tersebut dengan menggabungkan data dari IAM, PAM, CIEM, SIEM, cloud, direktori identitas, dan berbagai teknologi keamanan lainnya.

Nilai utama ITDR terletak pada kemampuannya menghubungkan potongan informasi yang sebelumnya tersebar. Dari sana, organisasi dapat menemukan akun berisiko, hak akses berlebihan, jalur privilege escalation, aktivitas tidak normal, hingga potensi dampak apabila sebuah identitas berhasil disusupi.

Dalam era cloud, IoT, AI, dan zero trust, perlindungan identitas tidak lagi cukup dilakukan dengan membuat password yang kuat atau mengaktifkan MFA. Organisasi juga perlu memahami seluruh ekosistem identitas dan bagaimana setiap identitas berinteraksi dengan sumber daya digital.

Karena itu, ITDR dapat dipandang sebagai salah satu lapisan penting dalam strategi keamanan siber modern: bukan hanya menjaga siapa yang boleh masuk, tetapi juga memahami apa yang dilakukan sebuah identitas setelah mendapatkan akses dan segera bertindak ketika perilakunya mulai menunjukkan risiko.