Alon Noy, CEO dan salah satu pendiri Astelia – Seri Wawancara

Alon Noy, CEO dan salah satu pendiri Astelia, adalah pemimpin di bidang keamanan siber dengan pengalaman lebih dari 15 tahun di bidang keamanan ofensif dan defensif. Ia sebelumnya bertugas di Unit 8200 Israel, lalu memimpin Tim Merah Keamanan Siber Nasional Israel. Dalam peran tersebut, ia antara lain menguji ketahanan infrastruktur kritis dan bekerja sama dengan tim keamanan untuk mengidentifikasi serta mengatasi jalur serangan di dunia nyata. Noy juga pernah mengelola organisasi penelitian dan pengembangan berskala besar, merupakan lulusan program Talpiot Israel, serta memiliki gelar M.Sc. dalam Ilmu Komputer dari Tel Aviv University. Pengalamannya bekerja dari perspektif penyerang maupun pihak yang bertahan turut membentuk pendekatan Astelia, yang berfokus pada penentuan kerentanan mana yang benar-benar dapat dijangkau dan dieksploitasi di lingkungan suatu organisasi.

Astelia adalah perusahaan keamanan siber berbasis AI sejak awal yang berfokus pada manajemen paparan dan kerentanan. Didirikan oleh para veteran dan mantan pemimpin Tim Merah Nasional Israel, perusahaan ini menggunakan AI dan analisis spesifik jaringan untuk menentukan kerentanan mana yang menjadi jalur serangan nyata, alih-alih terutama mengandalkan skor tingkat keparahan generik. Platformnya memetakan lingkungan organisasi melalui integrasi hanya-baca, menganalisis persyaratan eksploitasi berdasarkan topologi jaringan, serta membantu tim keamanan memprioritaskan kerentanan yang terbukti dapat dijangkau sambil mengidentifikasi opsi remediasi seperti pemasangan tambalan, perubahan konfigurasi, segmentasi, atau kontrol kompensasi. Tujuan Astelia yang lebih luas adalah membantu perusahaan mengurangi jumlah peringatan kerentanan yang harus mereka selidiki dan memusatkan sumber daya pada paparan yang secara realistis dapat dieksploitasi oleh penyerang.

Sebelum mendirikan Astelia, Anda menghabiskan lebih dari satu dekade di bidang keamanan nasional Israel, termasuk bertugas di Unit 8200 dan memimpin Tim Merah Keamanan Siber Nasional Israel. Dalam peran itu, Anda ditugaskan untuk berpikir dan bertindak seperti penyerang. Apa yang Anda pelajari dari pengalaman tersebut tentang bagaimana serangan canggih benar-benar berlangsung, dan kesenjangan apa di pasar keamanan siber yang pada akhirnya mendorong Anda untuk ikut mendirikan Astelia?

Selama lebih dari satu dekade, pekerjaan saya pada dasarnya adalah berpikir seperti orang yang berusaha membobol sistem, bukan seperti orang yang berusaha mencegah mereka masuk. Pelajaran paling jelas dari pengalaman itu adalah bahwa serangan canggih hampir tidak pernah terjadi karena satu celah besar yang dramatis. Biasanya, serangan terjadi karena dua atau tiga hal kecil yang dianggap tidak penting jika berdiri sendiri: akun yang tidak pernah dinonaktifkan, bagian jaringan yang seharusnya diisolasi tetapi ternyata tidak, izin yang cakupannya lebih luas daripada yang diperlukan, dan sebagainya. Saat memimpin Tim Merah Nasional, kami menghabiskan jauh lebih banyak waktu untuk memahami cara kerja jaringan sasaran daripada untuk membuat eksploit itu sendiri. Begitu mengetahui letak jalur-jalurnya, mengeksploitasinya justru hampir menjadi bagian yang mudah. Ketika beralih ke sisi pertahanan, saya mulai melihat sebuah pola. Ada daftar panjang kerentanan yang disebut “kritis”, tetapi tidak ada cara nyata untuk mengetahui mana yang benar-benar dapat dijangkau penyerang. Astelia dibangun untuk mengatasi kesenjangan itu dengan menerapkan analisis keterjangkauan—proses yang digunakan penyerang untuk mencari jalan masuk—demi membantu pihak bertahan.

Astelia menerapkan pendekatan berbeda dalam manajemen kerentanan dengan memetakan topologi jaringan organisasi yang sebenarnya dan menggunakan AI berbasis agen untuk menentukan kerentanan mana yang benar-benar dapat dijangkau dan dieksploitasi. Bagaimana cara kerjanya dalam praktik, dan mengapa menurut Anda penilaian kerentanan tradisional kerap membuat pihak bertahan keliru dalam menentukan prioritas?

Kami memetakan jaringan organisasi yang sebenarnya—bagaimana sistem benar-benar terhubung satu sama lain dan di mana kontrol jaringan yang sudah ada dapat menghalangi penyerang—dengan menggunakan integrasi hanya-baca. Setelah memperoleh gambaran tersebut, AI memeriksa setiap kerentanan dan menentukan hal-hal yang benar-benar diperlukan untuk mengeksploitasinya, seperti akses yang dibutuhkan, jalur melalui jaringan, dan kondisi yang harus terpenuhi. AI kemudian mencocokkan semua itu dengan topologi dan kontrol yang ada di jaringan sebenarnya. Dari semua temuan yang ditandai pemindai, biasanya kurang dari 1% yang ternyata benar-benar dapat dijangkau. CVSS dan EPSS sama-sama menghadapi masalah mendasar: keduanya memberi skor pada kerentanan seolah-olah semua jaringan sama, seolah-olah sistem tersebut terekspos di internet publik, atau seolah-olah tren eksploitasi di seluruh industri dapat menjelaskan sesuatu tentang lingkungan spesifik Anda. Di kebanyakan lingkungan, kedua asumsi itu tidak berlaku. Bug berperingkat kritis yang berada tiga lompatan di balik jaringan tersegmentasi tidak memiliki risiko yang sama dengan bug di server yang terhubung langsung ke internet publik. Demikian pula, kerentanan dengan skor EPSS tinggi di seluruh industri mungkin sama sekali tidak dapat dijangkau di jaringan Anda. Skor tersebut tidak berubah mengikuti waktu dan tidak mencerminkan jaringan Anda. Keterjangkauan terus berubah karena jaringan dan kontrol yang melindunginya juga terus berubah.

Anda berpendapat bahwa banyak hal yang dikhawatirkan pihak bertahan tidak relevan dengan cara penyerang di dunia nyata beroperasi. Berdasarkan pengalaman Anda melakukan serangan resmi terhadap lingkungan yang sangat aman, apa yang paling sering disalahpahami tim keamanan tentang cara penyerang menemukan kelemahan dan merangkainya?

Ada anggapan umum bahwa penyerang memburu apa pun yang dinilai paling kritis. Namun, dalam praktiknya, kami jarang melakukannya. Kami memburu apa pun yang paling cepat membawa kami mendekati tujuan, dan sering kali itu adalah sesuatu yang oleh pemindai dinilai berisiko sedang atau rendah: folder bersama dengan izin akses yang keliru, kredensial proyek yang masih tersimpan meski proyek itu konon sudah dihentikan, atau akses awal kecil yang baru menjadi berbahaya setelah dikombinasikan dengan sesuatu yang tak seorang pun mengira terkait. Pemindai menilai temuan satu per satu. Serangan tidak bekerja seperti itu; penyerang selalu memperhatikan hubungan antarelemen. Sesuatu yang tampak tidak berbahaya jika berdiri sendiri bisa jadi persis yang dibutuhkan penyerang untuk beralih dari akun dengan hak akses rendah ke kendali penuh. Sebagian besar tim pertahanan masih menilai risiko berdasarkan satu temuan pada satu waktu, dan itulah sebabnya mereka terus melewatkan jalur yang benar-benar penting.

AI secara drastis mengurangi waktu dan keahlian yang diperlukan untuk mengubah kerentanan yang baru diungkapkan menjadi eksploit yang berfungsi. Bagaimana hal ini mengubah ekonomi serangan siber, dan jenis penyerang mana yang paling diuntungkan oleh model AI yang semakin canggih?

Dulu, bagian yang paling mahal dalam membuat eksploit adalah keahlian: menemukan celah, mencari tahu secara persis cara memicunya, lalu membuatnya andal. Hal yang biasanya membutuhkan waktu berbulan-bulan bagi tim ahli kini bisa diselesaikan dalam hitungan jam oleh penyerang biasa yang memiliki akses ke model AI terdepan. Ini benar-benar mengubah perhitungan ekonominya. Dulu, mempersenjatai CVE baru membutuhkan investasi besar; kini hampir tidak lagi, dan rentang waktu antara pengungkapan kerentanan dan tersedianya eksploit yang berfungsi terus menyusut. Sebagian besar siklus penambalan tidak pernah dirancang untuk bergerak secepat itu. Pihak yang paling diuntungkan bukanlah aktor negara tingkat atas, yang sejak awal sudah memiliki kemampuan ofensif yang kuat. Yang paling diuntungkan adalah kelompok-kelompok kecil dan pelaku kejahatan oportunistis yang sebelumnya tidak memiliki keahlian semacam itu di internal mereka; AI pada dasarnya kini memberi mereka keahlian tersebut.

Inisiatif GOLD EAGLE Gedung Putih dibangun atas dasar kerja sama yang lebih erat antara pemerintah, perusahaan teknologi, dan operator infrastruktur kritis, dengan AI terdepan digunakan untuk mengidentifikasi dan menanggulangi kerentanan dengan lebih cepat. Dari sudut pandang penyerang, apa yang sudah tepat dari model ini, dan apa yang masih bisa menjadi kekurangannya?

GOLD EAGLE dengan tepat mengidentifikasi betapa banyak waktu yang terbuang akibat duplikasi upaya, ketika berbagai organisasi secara terpisah memindai dan memilah kerentanan yang sama setelah diungkapkan, sebelum ada yang benar-benar bertindak. Memusatkan upaya tersebut dan menerapkan AI untuk mempercepat koordinasi antara pemerintah dan operator infrastruktur benar-benar mengurangi waktu yang dimiliki penyerang untuk bertindak, dan dari sudut pandang penyerang, itulah hal yang paling penting. Dalam permainan ini, kecepatan adalah segalanya. Menurut saya, kekurangannya adalah koordinasi di seluruh industri tidak memberi tahu perusahaan tertentu apakah suatu kerentanan dapat dijangkau di dalam jaringannya sendiri. Sebuah organisasi bisa memiliki akses ke umpan ancaman yang sudah diprioritaskan dengan baik, tetapi tetap tidak tahu apakah informasi itu berlaku bagi mereka. Langkah terakhir itu—memeriksa kerentanan terhadap topologi jaringan mereka sendiri—tetap menjadi tanggung jawab masing-masing organisasi.

Lebih dari 100 organisasi di bidang teknologi, keamanan siber, keuangan, dan infrastruktur telah memperingatkan bahwa mungkin hanya ada jangka waktu terbatas untuk memperkuat pertahanan sebelum serangan yang didukung AI menjadi jauh lebih luas. Apakah Anda juga merasakan urgensi tersebut, dan apa yang realistisnya perlu dicapai organisasi selama “jendela bagi pihak bertahan” ini?

Saya merasakan urgensi itu, meski saya akan menjelaskan alasannya dengan cara yang agak berbeda. Serangan yang didukung AI bukanlah ancaman di masa depan; kesenjangan waktu antara pengungkapan kerentanan dan tersedianya eksploit yang berfungsi sudah menyusut lebih cepat daripada kemampuan sebagian besar organisasi untuk melakukan penambalan. Tidak realistis jika kita berharap menang dalam perlombaan itu hanya dengan menambal lebih cepat. Yang realistis adalah memanfaatkan periode ini untuk memahami lingkungan masing-masing. Artinya, mengetahui topologi jaringan yang sebenarnya, mengetahui kerentanan mana yang benar-benar dapat dijangkau, dan memusatkan upaya pada sejumlah kecil kerentanan tersebut alih-alih menyebarkannya ke ribuan temuan teoretis. Waktu ini juga sebaiknya dimanfaatkan untuk mengembangkan opsi penanggulangan selain penambalan, seperti segmentasi atau perubahan konfigurasi, sebab kecepatan penambalan saja tidak akan mampu mengimbangi pengembangan eksploit yang dipercepat AI.

Pertahanan siber kolektif sangat bergantung pada kesediaan organisasi untuk berbagi informasi intelijen tentang kerentanan dan ancaman. Apa yang perlu diubah, baik secara teknis maupun budaya, agar pemerintah dan perusahaan swasta dapat berbagi informasi yang berguna dengan cukup cepat untuk memberikan dampak, tanpa sekaligus menimbulkan risiko keamanan baru?

Tantangan teknis lebih mudah diatasi. Masalah yang lebih sulit adalah kepercayaan. Tidak ada organisasi yang ingin mengungkapkan kelemahan di lingkungannya sendiri dan mengambil risiko kelemahan itu dapat dilacak kembali ke organisasi tersebut, terutama jika kemudian muncul dalam laporan pelanggaran keamanan. Yang efektif adalah berbagi informasi yang berguna tanpa mengungkap identitas, yakni pola tentang bagaimana sesuatu dapat dieksploitasi, bukan uraian yang cukup spesifik untuk menunjuk satu perusahaan. Hal itu membutuhkan infrastruktur yang lebih baik, dengan data ancaman yang dapat dibaca mesin disalurkan melalui kanal otomatis, bukan PDF dan milis. Namun, infrastruktur sebenarnya bukanlah hambatan. Hambatannya adalah bahwa bagi sebagian besar organisasi, berbagi informasi masih terasa seperti risiko tanggung jawab hukum, bukan sesuatu yang melindungi mereka. Perantara netral yang tepercaya merupakan salah satu hal yang ingin disediakan GOLD EAGLE, dan hal itu dapat sangat membantu mengubah keadaan.

Astelia menekankan “keterjangkauan” alih-alih sekadar tingkat keparahan atau keberadaan eksploit yang diketahui. Seiring AI mempercepat pembuatan eksploit dan membuatnya berpotensi semakin umum, apakah keterjangkauan menjadi ukuran risiko yang lebih penting, dan bagaimana sebaiknya CISO memikirkan ulang prioritas kerentanan berdasarkan konsep tersebut?

Keterjangkauan bukan sekadar semakin penting; kini, ukuran inilah yang benar-benar menentukan risiko. Tingkat keparahan selalu menjadi perkiraan tentang seberapa besar kerusakan yang mungkin ditimbulkan; keterjangkauan menjawab apakah sesuatu dapat dieksploitasi di lingkungan Anda saat ini. Dulu, para pembela keamanan beranggapan bahwa sebagian besar temuan dengan tingkat keparahan rendah dapat dibiarkan tanpa ditambal selama berbulan-bulan karena tak seorang pun akan benar-benar mengeksploitasinya. Anggapan itu tak lagi berlaku ketika pembuatan eksploit berlangsung cepat dan murah. Prioritas harus beralih dari daftar tunggakan yang diurutkan berdasarkan tingkat keparahan ke penghapusan paparan yang benar-benar dapat dijangkau. Yang membedakan sejumlah kecil kerentanan penting dari yang lainnya adalah apakah penyerang dapat menjangkaunya berdasarkan jaringan Anda yang sebenarnya. CISO seharusnya meminta bukti bahwa kerentanan dapat dijangkau, bukan skor lain yang ditambahkan di atas CVSS.

Astelia juga menerapkan agen AI pada sejumlah bagian dalam siklus hidup kerentanan, mulai dari mengidentifikasi paparan baru hingga mengoordinasikan remediasi. Seberapa besar otonomi yang pada akhirnya seharusnya dimiliki agen keamanan siber ketika mereka mampu melakukan perubahan pada lingkungan produksi, dan pada tahap apa manusia harus tetap terlibat secara langsung?

Agen seharusnya memiliki otonomi nyata dalam analisis: memetakan jaringan, mencari tahu persyaratan eksploitasi, menghubungkan pengungkapan baru, dan mengidentifikasi hal-hal yang dapat dijangkau. Di sinilah kecepatan paling penting, dan jika terjadi kesalahan, hasilnya hanya rekomendasi buruk yang dapat diketahui manusia. Saya menetapkan batas tegas untuk perubahan pada lingkungan produksi tanpa pengawasan. Tanpa data keterjangkauan jaringan, agen yang menerapkan perbaikan hanya menebak-nebak, dan aturan firewall atau perubahan segmentasi yang keliru dapat menimbulkan kerusakan lebih besar daripada kerentanan yang hendak ditutup. Itulah sebabnya sebagian besar hal yang saat ini dipasarkan sebagai “remediasi otonom” sebenarnya hanya pembuatan tiket otomatis. Perusahaan ingin manusia menyetujui perubahan semacam itu, terutama karena tambalan belum tentu tersedia sejak awal. Model yang tepat adalah agen mengusulkan perbaikan yang didukung bukti, lalu seseorang memberikan persetujuan sebelum perubahan apa pun diterapkan pada lingkungan produksi. Batasan itu akan dilonggarkan seiring semakin matangnya data keterjangkauan dan tumbuhnya kepercayaan terhadap kategori perubahan yang lebih terbatas dan telah teruji dengan baik, tetapi tindakan tanpa pengawasan di lingkungan produksi bukanlah langkah awal yang akan saya pilih.

Ke depan, ketika penyerang maupun pembela keamanan mendapatkan akses ke sistem AI otonom yang semakin canggih, bagaimana menurut Anda keseimbangan antara keamanan siber ofensif dan defensif akan berubah, dan apa yang akan membedakan organisasi yang siap menghadapi tahap berikutnya dari yang tidak siap?

Pada tahap awal, penyerang tetap unggul dalam memanfaatkan AI karena mereka hanya membutuhkan satu cara yang berhasil, dan AI sangat cocok untuk menemukan cara tersebut dengan cepat: pengintaian menjadi lebih cepat, pengembangan eksploit semakin cepat, dan konten phishing semakin meyakinkan. Pembela keamanan tidak menutup kesenjangan itu dengan menggunakan AI untuk melakukan hal yang sama secara lebih cepat. Mereka menutupnya dengan menggunakan AI untuk menemukan dan menghilangkan kerentanan yang benar-benar dapat dijangkau di jaringan mereka sendiri, berdasarkan konteks mereka sendiri, alih-alih mengelola risiko berdasarkan data ancaman generik yang mencakup seluruh industri. Organisasi yang siap akan dibedakan oleh apakah mereka melakukan peralihan itu sebelum terpaksa melakukannya, dan apakah mereka dapat menyebutkan, dengan bukti, kerentanan mana yang benar-benar dapat dieksploitasi di lingkungan mereka, alih-alih berharap jadwal penambalan mereka mampu mengimbanginya. Organisasi yang masih mengelola risiko dalam konteks generik akan terus kecolongan oleh sesuatu yang setahun sebelumnya dinilai berprioritas rendah oleh pemindai mereka sendiri.

Terima kasih atas wawancara yang menarik ini. Pembaca yang ingin mengetahui lebih lanjut dapat mengunjungi Astelia.