Seiring dengan pergeseran masif dari infrastruktur IT tradisional ke lingkungan berbasis cloud, lanskap ancaman keamanan siber pun turut berevolusi. Laporan terbaru dari Insikt Group menyoroti lima vektor serangan utama yang saat ini menjadi ancaman paling signifikan bagi lingkungan cloud. Memahami taktik, teknik, dan prosedur (TTP) yang digunakan oleh para pelaku ancaman adalah langkah pertama yang krusial bagi para praktisi keamanan untuk dapat melakukan perburuan ancaman (threat hunting) dan membangun strategi pertahanan yang efektif.

Latar Belakang: Pergeseran Paradigma ke Infrastruktur Cloud

Selama dekade terakhir, kita telah menyaksikan transisi yang stabil dari infrastruktur IT on-premise tradisional menuju infrastruktur berbasis cloud dan hybrid cloud. Fenomena ini didorong oleh berbagai keuntungan yang ditawarkan oleh teknologi cloud.

Adopsi Cloud dan Implikasi Ekonominya

Menurut “2023 Cloud Business Survey” dari PwC, 39% responden dari sektor swasta menyatakan bahwa seluruh operasi bisnis mereka telah dipindahkan ke lingkungan cloud. Kepercayaan terhadap cloud computing telah menjadikannya bagian integral dari operasional korporasi modern. Skala adopsi ini diproyeksikan akan terus tumbuh secara eksponensial. Studi gabungan oleh Amazon dan Telecom Advisory Services bahkan memperkirakan bahwa adopsi cloud akan menyumbang hingga $12 triliun terhadap PDB global antara tahun 2024 dan 2030.

Keberhasilan ini tidak terlepas dari manfaat signifikan yang diperoleh pengguna, seperti efisiensi biaya, ketersediaan tinggi (high-availability) untuk aset jarak jauh, dan eliminasi overhead pengembangan melalui layanan terkelola (managed services).

Tantangan Keamanan di Era Cloud

Namun, kemajuan ini juga menghadirkan tantangan keamanan yang unik. Ekspansi lingkungan cloud berarti bertambahnya jumlah endpoint yang terhubung ke jaringan dan harus dipantau serta dilindungi oleh organisasi. Batasan jaringan (network boundary) menjadi semakin beragam dan terus-menerus berinteraksi dengan internet, menciptakan permukaan serangan (attack surface) yang lebih luas.

Para pelaku ancaman (threat actors) sangat menyadari tantangan ini. Mereka telah beradaptasi untuk mengeksploitasi kompleksitas lingkungan cloud, memanfaatkan sumber daya cloud untuk menyembunyikan identitas, membajak sumber daya komputasi, dan melancarkan serangan dengan cara-cara yang sebelumnya sulit dicapai di lingkungan on-premise.

Vektor Serangan Utama di Lingkungan Cloud

Insikt Group mengidentifikasi lima vektor serangan yang menjadi fokus utama saat ini. Tiga di antaranya—eksploitasi kerentanan, miskonfigurasi endpoint, dan penyalahgunaan kredensial—dapat memberikan akses awal (initial access) kepada penyerang. Dua lainnya—penyalahgunaan cloud dan ransomware di cloud—adalah tindakan berdampak tinggi yang dilakukan setelah penyerang berhasil masuk.

Artikel ini akan melakukan analisis mendalam terhadap salah satu vektor yang paling umum dan terus berevolusi: Cloud Abuse.

Analisis Mendalam Vektor Ancaman: Cloud Abuse

Cloud Abuse atau penyalahgunaan cloud adalah istilah yang merujuk pada dua perilaku utama yang ditampilkan oleh para pelaku ancaman.

Definisi dan Tipologi Cloud Abuse

1. Penyalahgunaan Infrastruktur Cloud yang Didaftarkan Sendiri: Pelaku ancaman secara sah mendaftarkan layanan cloud (misalnya di AWS, Azure, atau GCP) untuk digunakan sebagai infrastruktur serangan mereka. Tujuannya adalah untuk menyamarkan lalu lintas berbahaya sebagai lalu lintas yang sah, menyembunyikan identitas, dan mempersulit deteksi saat melancarkan kampanye phishing, menjadi host konten berbahaya, atau sebagai infrastruktur command-and-control (C2).
2. Penyalahgunaan Infrastruktur Cloud Milik Korban: Setelah berhasil mengkompromikan lingkungan cloud milik korban, pelaku ancaman membajak sumber daya yang ada untuk tujuan jahat. Selain untuk menyamarkan aktivitas, mereka juga dapat mengalihkan biaya komputasi yang besar kepada korban. Contohnya termasuk cryptojacking (penambangan mata uang kripto) atau teknik yang lebih baru seperti LLMjacking, di mana penyerang menjual akses ke model Large Language Model (LLM) berbasis cloud milik korban yang telah dikompromikan.

Atribut Ancaman (Berdasarkan Analisis Insikt Group)

Analisis dari Insikt Group memberikan gambaran mengenai karakteristik ancaman Cloud Abuse melalui beberapa metrik:

• Biaya Dampak (Cost of Impact): 4 (Tinggi) Serangan yang menyalahgunakan infrastruktur korban sangat merugikan, baik dari segi finansial (tagihan cloud yang membengkak) maupun reputasi. Sementara itu, penyalahgunaan infrastruktur yang didaftarkan sendiri oleh penyerang lebih berdampak pada reputasi layanan cloud yang dieksploitasi.
• Tingkat Kejadian (Commonality): 4 (Tinggi) Penggunaan infrastruktur cloud yang didaftarkan secara sah oleh penyerang sangat umum terjadi. Sementara pembajakan sumber daya milik korban relatif lebih jarang, namun tetap menjadi tujuan akhir dalam banyak rantai serangan (attack chain).
• Potensi Evolusi (Evolution Potential): 4 (Tinggi) Pelaku ancaman terus berinovasi. Munculnya teknik seperti LLMjacking menunjukkan bahwa mereka secara aktif mencari cara-cara baru untuk memonetisasi sumber daya cloud yang disalahgunakan. Potensi evolusi TTP di area ini sangat tinggi.
• Tingkat Kesulitan (Effort to Perform): 3 (Moderat) Untuk mendaftarkan layanan cloud secara anonim dan menghindari deteksi membutuhkan upaya moderat. Sementara untuk membajak sumber daya korban, penyerang harus terlebih dahulu berhasil mendapatkan akses dan kontrol yang memadai, yang juga memerlukan tingkat kesulitan teknis yang moderat.

Proyeksi dan Outlook ke Depan

Ancaman Cloud Abuse diprediksi akan terus meningkat. Hal ini disebabkan oleh beberapa faktor: kemudahan dalam mendaftarkan layanan cloud tanpa pengawasan ketat, kemampuan untuk tetap anonim, serta fakta bahwa deteksi oleh Cloud Service Providers (CSP) seringkali bersifat reaktif setelah kerusakan terjadi.

Mitigasi dan Strategi Threat Hunting

Untuk menghadapi ancaman-ancaman ini, organisasi perlu mengadopsi pendekatan keamanan yang proaktif dan berlapis.

Pentingnya Logging dan Pemantauan Proaktif

Threat hunting yang efektif di lingkungan cloud sangat bergantung pada implementasi logging yang kuat. Data log yang komprehensif—mencakup komunikasi jaringan, akses pengguna, dan metrik penggunaan layanan cloud—menjadi krusial untuk dapat diakses dan dianalisis guna menemukan anomali. Data ini membantu mendeteksi aktivitas mencurigakan di perimeter (edge) maupun di dalam lingkungan cloud itu sendiri.

Konfigurasi yang Tepat sebagai Fondasi Pertahanan

Konfigurasi yang aman adalah pilar utama pertahanan cloud. Ini mencakup konfigurasi di perimeter—seperti metode interaksi pengguna dan layanan—serta konfigurasi di dalam lingkungan itu sendiri. Lingkungan cloud yang dikonfigurasi dengan benar dapat meminimalkan risiko akses awal dan secara signifikan membatasi ruang gerak penyerang pasca-kompromi.

Memanfaatkan Layanan Keamanan Bawaan Cloud

Platform cloud terkemuka seperti AWS, Azure, dan GCP menyediakan serangkaian layanan keamanan bawaan (native security services) yang kuat. Arsitek cloud dapat memanfaatkan alat seperti Web Application Firewalls (WAF), layanan Identity and Access Management (IAM), solusi penyimpanan dan manajemen secrets (kredensial rahasia), serta konektor data yang aman untuk lingkungan hybrid guna memitigasi ancaman dengan lebih mudah.

Kesimpulan

Transformasi digital menuju cloud telah membuka pintu inovasi, tetapi juga menciptakan medan pertempuran baru dalam keamanan siber. Vektor serangan seperti Cloud Abuse menunjukkan bagaimana pelaku ancaman secara cerdik memanfaatkan kekuatan cloud untuk tujuan jahat mereka. Pertahanan yang efektif tidak lagi cukup hanya dengan pendekatan reaktif. Organisasi harus membangun strategi pertahanan yang proaktif, berlandaskan pada konfigurasi yang aman, visibilitas penuh melalui logging yang komprehensif, dan pemanfaatan maksimal dari alat-alat keamanan yang telah disediakan oleh platform cloud.

Poin Kunci Pembelajaran

• Misfigurasi dan Kredensial Lemah: Tetap menjadi pintu masuk utama bagi penyerang ke dalam lingkungan cloud. Pemindaian otomatis untuk endpoint yang terekspos atau salah konfigurasi adalah taktik umum penyerang.
• Cloud Abuse adalah Ancaman Ganda: Pelaku dapat menggunakan infrastruktur mereka sendiri untuk anonimitas atau membajak infrastruktur korban untuk mengalihkan biaya dan sumber daya, seperti yang terlihat pada tren cryptojacking dan LLMjacking.
• Ancaman Hibrida Membutuhkan Visibilitas Menyeluruh: Karena penyerang dapat berpindah (pivot) antara lingkungan on-premise dan multi-cloud, visibilitas dan kontrol keamanan harus mencakup semua perangkat dan layanan yang mengakses lingkungan cloud.
• Pertahanan Proaktif adalah Kunci: Konfigurasi yang aman (secure configuration), logging yang komprehensif untuk threat hunting, dan pemanfaatan alat keamanan bawaan (native tools) adalah tiga pilar strategi pertahanan cloud yang efektif.
• Ancaman Terus Berevolusi: Munculnya teknik-teknik baru menunjukkan bahwa para praktisi keamanan harus terus belajar dan beradaptasi untuk menghadapi TTP penyerang yang terus berkembang di ekosistem cloud.