Cloud Compute Hacking

Cloud compute merupakan teknologi yang sedang booming. Untuk dapat melakukan hacking di cloud compute maka diperlukan pengetahuan sebelumnya seperti layanan TCP/IP (HTTPS), virtualisasi sistem operasi, dasar kriptografi, dasar pengujian vulnerability, dan dasar pengujian penetration. Karakteristik dari cloud compute dapat dilihat pada NIST atau national institute of standards and technology. Diantara karakter dari cloud compute adalah layanan terukur (storage, compute, network), broad network access (internet or intranet), resource pooling (economic scaling), rapid elasticity (auto scaling), dan kebutuhan on-demand (command line).

Ada beberapa model dari cloud compute seperti software as a service (SaaS), platform as a service (PaaS), dan infrastructure as a service (IaaS). Di sanalah dimungkinkan terjadinya hacking. Seperti diketahui fase dari ethical hacking adalah reconnaissance, enumeration, gain access, maintain access, dan cover tracks. Nah, tentu karena medannya adalah cloud maka memiliki karakteristik tersendiri. Ancaman yang mungkin terjadi di cloud adalah penyimpanan data terpusat untuk banyak pelanggan, public internet, dan enkripsi.

Identitas cloud yang penting untuk diketahui bagi seorang hacker seperti user, devices, dan software security principal. Untuk dapat memahami teknologi cloud yang akan coba dipantau perlu dilakukan pembuatan user dan group cloud serta mengaktifkan multifactor authentication untuk user. Agar bisnis melalui teknologi cloud dapat berkelanjutan maka perlu dilakukan hal-hal:

1. Identifikasi aset
2. Identifikasi ancaman-ancaman terhadap aset
3. Identifikasi kemungkinan ancaman
4. Identifikasi ancaman dari mitigasi
5. Penilaian secara periodik dari efikasi pengendalian keamanan

Pada dasarnya setiap perusahaan yang memang berfokus pada teknologi cloud sudah menyediakan sistem keamanannya sendiri, sebut saja AWS dan Azure. Hal yang paling dasar adanya security group. Biasanya perusahaan cloud yang memiliki keamanan standar sudah tersertifikasi oleh PCI DSS, AWS dendiri sudah tersertifikasi PCI DSS 3.2. level 1 service provider. Perlu diperhatikan juga lokasi penyimpanan data replikasi dan lokasi penyimpanan replikasi mesin virtual. Dalam melakaukan disaster recovery akan ada 2 istilah, yaitu RPO (recovery point objective) dan RTO (recovery time objective).

Untuk melakukan audit di cloud dapat menggunakan menu log. Dengan file log, maka dimungkinkan melihat aktivitas-aktivitas. Biasanhya file tersebut akan di export menjadi bentuk csv untuk kemudian dikirim pada bagian engineering. Melalui file log tersebut juga dibuat sebuah peringatan yang mungkin menjadi ancaman, misalnya membuat alarm di cloud azure (minitor>alert>manage actiob>add action group). Notifikasi peringatan bisa dikirim melalui email bahkan melalui SMS. Sudah menjadi hal biasa jika hendak mengirim file-file yang bersifat sensitif sebaiknya dilakukan enkripsi.

Cara memasang HTTPS di website cloud dengan pelayanan Azure:

1. Masuk ke akun Azure
2. Klik webapp yang hendak dijadikan HTTPS
3. Di bagian overview akan ada URL, perhatikan ini nanti
4. Pada bagian panel menu pilih Custom domains (di bagian setting)
5. Lalu klik Add custom domains, masukan domain yang akan dibuat HTTPS kemudian klik validate
6. Kemudian perhatikan Domain ownership, dan buat di domain manager yang telah ditentukan sebelumnya (ex. dcc.godaddy.com)
7. Isi type, host, dan point to sesuai yang ada di Domain ownership > save
8. Kembali ke azure dan klik validate lagi, pastikan Domain ownership sudah berhasil
9. Perhatikan kembali ke bagian overview
10. Klik menu navigasi dan pilih All resources, klik key vault (KV1772) > Certificates > klik Generate/import
11. Isi secara lengkap, perhatikan gambar di bawah:
12. 
    

    

    Sumber: https://www.linkedin.com/learning/ethical-hacking-cloud-computing/force-https-for-cloud-hosted-web-applications?autoSkip=true&autoplay=true&resume=false&u=95231473

    
    
13. Lalu klik create dan sertifikat telah berhasil dibuat namun masih disable
14. Sekarang ke menu navigasi, klik App services, lalu ke bagian TLS/SSL settings > private key certificate > import key vault certificate, pilih key vault yang KV1772 dan certificate yang telah dibuat sebelumnya
15. Sekarang ke Custom domains > Add custom domain, isi sesuai web dan klik tombol Validate setelah semuanya berhasil klik tombol Add custom domain
16. Nanti akan muncul di list bahwa masih berstatus not secure, klik tombol Add binding, pilih private sertifikat yang sesuai, dan pada bagian TLS/SSL Type pilih SNI SSL > klik tombol Add binding
17. Sekarang kembali lagi ke Overview, coba buka URL-nya
18. Nanti masih berstatus This site is not secure, tidak papa tetap bukua melaui details dst
19. Kembali ke Azure, ke menu TLS/SSL Settings > dan ubah status HTTPS Only menjadi on
20. Sekarang enkripsi telah berhasil dilakukan untuk web app tersebut

Di dalam teknologi cloud tentu dikenal pula artificial intelligent dan machine learning. AI berfokus pada kebiasaan manusia dalam menggunakan teknologi, sedangkan ML berfokus pada algoritma yang digunakan untuk mengajari software prediksi dan keputusan berdasarkan data. AI bisa diterapkan dalam diagnosis medikal melalui sinar x, mobil mengendarai secara otomatis, dan rekognisi wajah. Dia juga bisa digunakan untuk menganalisis kebiasaan jaringan dan host. Di Amazon ada GuardDuty sedangkan di Microsoft ada Azure Sentinel. Salah satu serangan yang biasa terjadi di sebuah web adalah DDoS atau distribute denial of service, di Azure sendiri telah ada menu khusus yaitu DDoS protection plans.

Masih mirip dengan teknologi on-premise, di teknologi cloud penetration test bisa dilakukan melaui kali linux. Ketika telah dilakukan penetrating terhadap web cloud yang dibangun, tentu saja perlu alat-alat keamanan yang digunakan. Untuk menentukan security tools tersebut perlu ditentukan apahak private atau public cloud, cloud provider apa yang digunakan, akses autentikasi, online tool atau mesin virtual download yang akan digunakan, 

ref:

https://www.linkedin.com/learning/ethical-hacking-cloud-computing/