Pada Januari 2024, peretas Rusia membobol sistem Microsoft dengan melewati apa yang diyakini banyak orang sebagai pengaturan keamanan yang ketat. Serangan tersebut membuktikan bahwa bahkan dengan perlindungan berlapis, kata sandi sering kali tetap menjadi rahasia tautan terlemah dalam keamanan jaringan.
Hal ini merupakan pengingat bagi tim TI bahwa betapapun canggihnya alat keamanan kita; kata sandi yang sederhana masih penting… banyak.
Kerentanan kata sandi umum yang merusak keamanan
Terlepas dari semua teknologi autentikasi yang canggih, kata sandi tetap menjadi hal yang paling penting cara utama penyerang bergerak melalui jaringan perusahaan. Oleh karena itu, memastikan organisasi Anda menerapkan kontrol kata sandi yang kuat menjadi semakin penting.
Lingkungan TI saat ini adalah jaringan sistem yang rumit dan tidak dapat menerima solusi keamanan sederhana. Server lokal, platform cloud, dan pengaturan kerja jarak jauh masing-masing menambah lapisan kompleksitas pada manajemen kata sandi.
Ini seperti mencoba mengamankan sebuah rumah dengan banyak pintu masuk, masing-masing dengan kunci unik dan serangkaian kunci berbeda.
Dimana kontrol kata sandi rusak
Akun yang terlupakan dan sistem lama
Akun lawas ibarat kunci cadangan yang terlupakan dan tersembunyi di bawah keset lama, tinggal menunggu seseorang menemukannya. Domain Windows Active Directory, sistem mandiri, dan akun aplikasi khusus telah menjadi setara digital dengan pintu samping tidak terkunci yang tidak seorang pun ingat untuk memeriksanya. Ini titik masuk yang terlupakan adalah impian seorang peretas, menawarkan akses mudah ke jaringan yang dianggap ketat.
Kelelahan pengguna dan pola yang dapat diprediksi
Sebelum Anda mulai menuding pengguna, pertimbangkan realitas mereka: rata-rata orang kesulitan melacak hingga 170 kata sandi. Mereka telah belajar mempermainkan sistem dengan trik cepat yang dapat ditebak: menambahkan angka, menukar ‘a’ dengan ‘@’, atau menambahkan tanda seru.
Kata sandi ini mungkin terlihat sulit, namun sama amannya dengan kunci kertas. Dan peretas? Mereka menyukai pengaturan ini. Ini seperti menemukan kunci utama yang membuka banyak bangunan, dengan setiap kata sandi yang bocor berpotensi membuka kunci seluruh jaringan perusahaan.
Kontrol praktis untuk keamanan kata sandi yang lebih kuat
Lupakan keamanan kotak centang. Melindungi kata sandi bukan tentang mencentang kotak; ini tentang membangun strategi yang cerdas dan adaptif. Organisasi Anda harus melampaui persyaratan kompleksitas sederhana untuk menerapkan strategi pengelolaan kata sandi yang cerdas dan dinamis.
Daftar dan deteksi kata sandi yang lebih cerdas
Ini berarti menciptakan daftar kata sandi yang dilarang yang jauh lebih canggih daripada pemeriksaan kamus dasar. Daftar ini harus mencakup kata sandi yang bocor, variasi spesifik perusahaan, dan pengenalan pola tingkat lanjut yang mengidentifikasi risiko keamanan yang tidak kentara.
Riwayat dan rotasi kata sandi yang cerdas
Kebijakan rotasi tradisional sering kali menjadi bumerang, mendorong pengguna untuk melakukan perubahan yang dapat diprediksi seperti menambahkan angka atau mengubah karakter. Sebaliknya, terapkan strategi rotasi yang berbeda-beda mencegah daur ulang kata sandi sambil menghindari frustrasi pengguna.
Tujuannya adalah untuk menciptakan strategi rotasi yang membuat penyerang keluar dari permainannya tanpa membuat pengguna menjadi gila.
Prioritaskan panjang dan daya ingat
Untuk tingkat keamanan kata sandi terbaik, ingatlah: panjang dan daya ingat selalu mengalahkan kerumitan. Frasa sandi yang panjang itu berarti sesuatu bagi pengguna jauh lebih kuat daripada kata sandi pendek dan samar yang memerlukan diagram alur untuk mengingatnya.
Ini tentang bekerja dengan sifat manusia, bukan melawannya.
Pendekatan bertahap untuk menerapkan kebijakan kata sandi
Menerapkan kebijakan kata sandi adalah bagian strategi keamanan, bagian psikologi. Mulailah dengan mengamati dan mempelajari, mengumpulkan data tentang bagaimana orang sebenarnya menggunakan kata sandi. Kemudian, berikan dorongan lembut tentang potensi kelemahannya.
Terakhir, mulailah menerapkan perubahan wajib dengan panduan yang jelas dan suportif; penting agar pengguna tidak merasa sedang dihukum.
Buku pedoman keamanan kata sandi: Dari audit hingga implementasi
Mengamankan kata sandi dimulai dengan audit terhadap titik akses Anda yang paling penting. Akun istimewa, admin, layanan, dan login akses tinggi, memerlukan perlindungan maksimal. Ini adalah target jaringan Anda yang paling berharga, dan penyerang mengetahuinya. Otentikasi multi-faktor bukan hanya tentang kepatuhan; ini adalah pertahanan terakhir Anda terhadap pelanggaran canggih.
Penyetelan ulang kata sandi layanan mandiri harus ada keseimbangan antara keamanan yang mudah digunakan dan keamanan yang kokoh. Tujuannya adalah sistem yang sangat intuitif sehingga pengguna tidak merasa frustrasi, dan sangat cerdas sehingga penyerang tidak dapat menemukan jalan masuknya.
Autentikasi berbasis risiko mengambil langkah lebih jauh, dengan secara dinamis menilai setiap permintaan perubahan kata sandi berdasarkan konteks seperti perangkat, lokasi, dan perilaku pengguna. Ini seperti memiliki penjaga digital yang tahu persis siapa yang harus dan tidak boleh melewati tali beludru.
Mengukur keberhasilan strategi keamanan kata sandi Anda
Metrik yang tepat menunjukkan di mana letak kerentanan Anda dan seberapa efektif Anda menutup celah tersebut. Untuk mendapatkan gambaran yang jelas tentang kesehatan keamanan kata sandi Anda, fokuslah pada KPI seperti:
- Persentase kata sandi terlarang yang tertangkap dan dihapus
- Pengurangan tiket pengaturan ulang kata sandi meja bantuan
- Pengurangan waktu yang diperlukan untuk memulihkan potensi kerentanan
Kemudian, terapkan metrik tersebut, fokuskan upaya Anda pada rencana yang mengubah Anda dari kepanikan kata sandi menjadi perlindungan nyata.
Rencana 90 hari untuk memperkuat keamanan kata sandi
30 hari pertama: Penyelaman dan penemuan mendalam. Lakukan pengintaian menyeluruh terhadap lanskap kata sandi Anda, memetakan setiap sistem, mengidentifikasi setiap jenis akun, dan memahami bagaimana kata sandi saat ini digunakan (dan disalahgunakan). Berlari pemindaian kerentanan kata sandi dan menganalisis kompleksitas kata sandi di seluruh organisasi Anda untuk membuat dasar yang menunjukkan posisi Anda.
60 hari ke depan: Implementasi strategis. Setelah dasar Anda ditetapkan, inilah waktunya untuk penerapan yang cerdas dan bertahap. Mulailah dengan kelompok percontohan di departemen yang kurang sensitif untuk menguji strategi kata sandi baru Anda:
- Kembangkan pelatihan yang lebih dari sekadar “menggunakan kata sandi yang rumit”
- Mendidik tim tentang implikasi kerentanan kata sandi di dunia nyata
- Luncurkan kebijakan baru secara bertahap, dengan komunikasi dan dukungan yang jelas
Di akhir perjalanan ini, Anda akan mengubah strategi kata sandi Anda, menciptakan perlindungan adaptif dan cerdas yang berkembang bersama organisasi Anda.
Keamanan kata sandi tetap penting
Kata sandi tidak akan kemana-mana. Mereka tetap menjadi pengganti bahkan untuk metode otentikasi paling canggih sekalipun. Dengan menerapkan kontrol kata sandi yang cerdas dan dinamis, organisasi Anda dapat mengubahnya dari tantangan keamanan yang terus-menerus menjadi mekanisme pertahanan yang tangguh. Kuncinya terletak pada pemahaman bahwa keamanan kata sandi bukanlah perbaikan yang dilakukan satu kali saja, namun merupakan strategi yang berkelanjutan dan selalu berubah.
Siap mengubah keamanan kata sandi dari yang tadinya memusingkan menjadi pertahanan strategis? Kebijakan Kata Sandi Specops memudahkan pembuatan kebijakan kata sandi yang efektif, dan secara otomatis memindai Direktori Aktif Anda terhadap lebih dari 4 miliar kata sandi unik yang telah disusupi.
Disponsori dan ditulis oleh Perangkat Lunak Specops.
