Jeff Williams, Pendiri OWASP dan Pendiri & CTO Contrast Security – Seri Wawancara

Jeff Williams, Pendiri OWASP dan Pendiri & CTO Contrast Security, secara luas dianggap sebagai salah satu tokoh paling berpengaruh dalam keamanan aplikasi modern. Selama beberapa dekade terakhir, ia telah membantu membentuk cara organisasi mendekati pengembangan perangkat lunak yang aman, manajemen kerentanan, dan perlindungan aplikasi runtime. Williams memainkan peran sentral dalam membangun OWASP dari sebuah inisiatif sukarela kecil menjadi sebuah yayasan keamanan nirlaba yang diakui secara global, berkontribusi pada proyek-proyek penting seperti OWASP Top Ten, WebGoat, ESAPI, ASVS, dan XSS Prevention Cheat Sheet. Sebelum mendirikan Contrast Security pada 2014, ia juga mendirikan Aspect Security, salah satu perusahaan pertama yang didedikasikan secara eksklusif untuk konsultasi keamanan aplikasi, pelatihan, pengujian penetrasi, dan praktik pengembangan yang aman untuk organisasi perusahaan.

OWASP adalah sebuah yayasan nirlaba yang fokus pada meningkatkan keamanan perangkat lunak melalui proyek-proyek sumber terbuka, kolaborasi komunitas global, pendidikan, dan standar industri. Didirikan pada 2001, organisasi ini telah menjadi salah satu otoritas paling penting dalam keamanan aplikasi, dengan ratusan cabang lokal, ribuan kontributor, dan sumber daya yang banyak digunakan oleh pengembang, profesional keamanan, perusahaan, dan pemerintah di seluruh dunia. OWASP paling dikenal dengan proyek-proyek seperti OWASP Top Ten, yang mengidentifikasi risiko keamanan aplikasi web yang paling kritis, bersama dengan kerangka kerja keamanan, alat pengujian, proyek dokumentasi, dan inisiatif pelatihan. Organisasi ini beroperasi dengan filosofi vendor-netral, membuat sumber daya pendidikan dan pedoman keamanan tersedia secara gratis untuk komunitas teknologi global.

Contrast Security adalah sebuah perusahaan keamanan aplikasi yang fokus pada melindungi perangkat lunak dari dalam aplikasi itu sendiri, bukan hanya mengandalkan alat pemindaian eksternal. Platform perusahaan ini menggunakan teknologi instrumentasi runtime untuk memberikan visibilitas waktu nyata ke kerentanan, serangan, API, ketergantungan sumber terbuka, dan perilaku aplikasi di seluruh lingkungan pengembangan dan produksi. Penawarannya mencakup area seperti Pengujian Keamanan Aplikasi Interaktif (IAST), Deteksi dan Respons Aplikasi (ADR), Perlindungan Aplikasi Mandiri Waktu Nyata (RASP), dan analisis komposisi perangkat lunak. Contrast Security telah memposisikan dirinya di sekitar integrasi keamanan langsung ke dalam alur kerja DevSecOps modern, memungkinkan pengembang, tim AppSec, dan tim operasi keamanan untuk mengidentifikasi dan memperbaiki kerentanan lebih cepat sambil mempertahankan siklus pengiriman perangkat lunak yang cepat.

Setelah membantu membentuk keamanan aplikasi modern melalui pekerjaan Anda dengan Open Web Application Security Project (OWASP), apa celah di industri yang membuat Anda mendirikan Contrast Security, dan bagaimana tesis asli itu bertahan seiring evolusi tantangan keamanan?

Industri itu tenggelam dalam temuan statis teoretis dan tidak dapat fokus pada masalah yang sebenarnya penting. Tim keamanan memiliki pemindai yang menghasilkan backlog besar tanpa mengetahui kerentanan mana yang dapat diakses, dapat dieksploitasi, atau diserang dalam produksi. Kami mendirikan Contrast berdasarkan ide sederhana: keputusan keamanan harus datang dari pengamatan langsung aplikasi yang berjalan, bukan menebak dari luar.

Akhirnya, saya berharap industri akan berkembang ke titik di mana kita dapat keluar dari roda hamster menemukan masalah, memperbaiki, dan menemukan lebih banyak selamanya. Saya berharap kita dapat mulai menciptakan perangkat lunak yang memiliki arsitektur keamanan yang kuat dan argumen yang nyata bahwa itu memiliki pertahanan yang tepat untuk ancaman yang diharapkan. Kombinasi keamanan waktu nyata dan AI memiliki potensi, tetapi kita masih beberapa tahun lagi.

Anda telah menjelaskan munculnya “kerentanan tingkat mitos.” Apa yang mendefinisikan kelas risiko baru ini, dan mengapa mereka sangat sulit untuk dideteksi oleh alat keamanan konvensional?

Kerentanan tingkat mitos adalah kerentanan yang muncul dari kompleksitas tumpukan perangkat lunak modern. Interaksi antara perilaku kerangka, ketergantungan, dan pola arsitektur sangat kompleks sehingga pengembang sering tidak sepenuhnya memahaminya. Alat konvensional masih dioptimalkan untuk pola yang relatif sederhana dan peristiwa yang dapat diamati. Kerentanan gaya mitos sering memerlukan pemahaman tentang perilaku aplikasi, aliran eksekusi, dan konteks waktu nyata pada tingkat yang lebih dalam.

Mengapa kategori kerentanan lengkap gagal menghasilkan peringatan di lingkungan Security Operations Center (SOC) modern, dan apa yang ini ungkapkan tentang cara tim keamanan saat ini mengukur risiko?

Sebagian besar SOC dibangun di sekitar peristiwa yang dapat diamati: log, tanda tangan, lalu lintas jaringan, aktivitas endpoint. Tetapi banyak serangan lapisan aplikasi tidak pernah menghasilkan sinyal yang berarti dalam sistem tersebut. Pengembang tidak tahu ada kerentanan dan tidak menambahkan logging yang akan mengungkapkan eksploitasi. Jadi, sebagian besar eksploitasi aplikasi sepenuhnya tidak terlihat dalam log. Tim SOC hanya dapat merespons apa yang mereka lihat. Jadi, saat lapisan aplikasi dan API menjadi semakin penting, sangat penting untuk memastikan bahwa kita menginstrumentasikan dengan sensor keamanan yang dapat mendeteksi dan melaporkan perilaku anomali.

Arsitektur aplikasi modern seperti mikroservis, API, dan sistem tanpa server telah berkembang pesat. Di mana arsitektur ini melampaui pendekatan keamanan berbasis deteksi saat ini?

Arsitektur ini telah menghancurkan model perbatasan lama. Permintaan sekarang melintasi puluhan layanan, fungsi ephemeris, API, antrian, dan ketergantungan pihak ketiga sebelum menyelesaikan transaksi. Sebagian besar sistem deteksi masih melihat fragmen bukan jalur eksekusi penuh. Mereka dapat menginspeksi paket atau log, tetapi mereka tidak dapat memahami niat, aliran data, atau apakah kode berbahaya benar-benar dieksekusi. Keamanan adalah tentang konteks, jadi kita perlu membangun model, kembar digital, dari infrastruktur aplikasi kita yang memungkinkan kita (atau agen AI) untuk bernalar tentang apa yang kita lihat terjadi.

OWASP Top Ten terus menyoroti masalah seperti desain tidak aman dan komponen yang rentan. Mengapa risiko ini bertahan meskipun kesadaran dan alat yang luas?

Kesadaran tidak memperbaiki insentif atau kompleksitas. Sebagian besar organisasi masih mengukur kesuksesan dengan volume pemindaian, penutupan tiket, atau daftar periksa kepatuhan daripada pengurangan paparan yang sebenarnya.

Pada saat yang sama, rantai pasokan perangkat lunak meledak dalam ukuran. Pengembang merakit aplikasi dari ribuan komponen yang mereka tidak tulis dan tentu tidak mengevaluasi untuk keamanan. Tim keamanan terhambat mencoba melakukan triase risiko teoretis dan tidak dapat fokus pada 1-2% yang sebenarnya penting. Tanpa bukti waktu nyata, prioritisasi gagal. Dan dengan munculnya model AI yang kuat dan harness, volume meningkat secara eksponensial.

Bagaimana organisasi harus memikirkan kembali ketergantungan mereka pada log dan peringatan ketika beberapa kerentanan paling kritis tidak meninggalkan sinyal yang dapat diamati?

Log adalah bukti dari apa yang aplikasi pilih untuk melaporkan, bukan bukti dari apa yang sebenarnya terjadi. Itu adalah distinsi yang berbahaya. Organisasi perlu bergeser dari pengamatan tidak langsung ke pengamatan langsung. Sebagai gantinya untuk berharap eksploitasi menciptakan artefak yang dapat dideteksi, sistem keamanan harus mengidentifikasi perilaku yang rentan dan perilaku eksploitasi pada waktu nyata. Jika kode berbahaya dieksekusi, sistem harus tahu segera — terlepas dari apakah ada entri log atau tidak.

Anda telah mendukung visibilitas waktu nyata sebagai solusi. Apa yang terlihat seperti visibilitas waktu nyata yang sebenarnya dalam praktek, dan bagaimana itu mengubah cara tim keamanan beroperasi sehari-hari?

Visibilitas waktu nyata yang sebenarnya berarti memahami apa yang aplikasi sebenarnya lakukan dalam produksi: jalur mana yang terbuka, perpustakaan mana yang aktif, di mana aliran data sensitif, kode apa yang dieksekusi, dan apakah serangan mencapai fungsi yang rentan. Secara operasional, itu mengubah keamanan dari latihan berburu reaktif menjadi disiplin presisi. Tim berhenti mengejar backlog kerentanan besar dan mulai fokus pada persentase kecil paparan yang dapat diakses, kritis, dan secara aktif ditargetkan. Itu secara dramatis meningkatkan rasio sinyal-ke-bisingan dan kecepatan respons. Rata-rata, hanya 38% perpustakaan sumber terbuka yang dipaket dalam aplikasi yang sebenarnya dimuat ke memori dan dieksekusi. Dan tidak semua kode dalam subset ini digunakan. Jadi, satu hal sederhana yang keamanan waktu nyata memungkinkan adalah fokus pada kode yang sebenarnya berjalan, dan tidak semua perpustakaan dan fungsi yang tidak digunakan yang datang bersama dengan aplikasi.

Bagaimana keamanan berbasis instrumentasi membandingkan dengan pendekatan tradisional seperti SAST, DAST, atau pemantauan perbatasan dalam hal efektivitas dan skalabilitas?

Alat tradisional menginfer risiko dari luar. Instrumentasi mengamati kenyataan dengan mengamati kode yang sebenarnya berjalan. Instrumentasi dapat melihat jalur eksekusi yang sebenarnya, perilaku kerangka, konteks autentikasi, aliran data, dan keberhasilan eksploitasi pada waktu nyata. Itu menghilangkan kategori besar positif palsu dan mengekspos kerentanan yang alat perbatasan sepenuhnya lewatkan.
Pada skala, presisi itu menjadi kritis. Organisasi tidak dapat lagi melakukan triase manual jutaan temuan teoretis. Bukti waktu nyata menjadi filter yang paling berkelanjutan. Waktu nyata bekerja dalam waktu nyata, sehingga itu adalah pertandingan yang lebih baik untuk pipa pengembangan dan CI/CD daripada pemindaian dan triase. Dan waktu nyata adalah kontinu, sehingga Anda tidak terbatas pada pandangan titik-waktu keamanan.

Seiring sistem AI dan aplikasi otonom menjadi lebih umum, apakah kerentanan yang tidak terlihat menjadi lebih berbahaya, dan bagaimana tim harus mempersiapkan?

AI membuat kerentanan yang tidak terlihat menjadi lebih berbahaya karena itu mempercepat kedua sisi masalah. Pengembang menghasilkan perangkat lunak lebih cepat, dan penyerang menemukan dan mengeksploitasi kelemahan lebih cepat. Tetapi sebagian besar program keamanan masih mengandalkan proses manusia-dalam-lintas yang tidak dapat beroperasi pada kecepatan AI. Tim harus mempersiapkan diri dengan dua cara. Pertama, bangun pertahanan waktu nyata yang lebih kuat yang dapat mendeteksi, memblokir, dan mengandung serangan dalam produksi sementara kerentanan diperbaiki. Itu memberikan organisasi perlindungan udara. Kedua, gunakan AI dan otomatisasi untuk menulis kode yang lebih aman dari awal — dengan desain yang lebih baik, pengujian, tinjauan, dan verifikasi. Jika tidak, kita hanya menciptakan risiko lebih cepat daripada yang dapat kita kelola.

Jika Anda menyarankan seorang pemimpin Security Operations Center (SOC) modern hari ini, apa langkah-langkah konkrit pertama yang mereka harus ambil untuk menutup celah visibilitas sebelum itu menyebabkan pelanggaran besar?

Pertama, terima bahwa telemetry perbatasan saja tidak cukup untuk keamanan aplikasi modern. Faktanya, itu mustahil untuk melihat atau menghentikan banyak serangan aplikasi dan API di perbatasan. SOC perlu visibilitas di dalam aplikasi yang berjalan, bukan hanya infrastruktur yang menghostingnya. Kedua, prioritaskan bukti waktu nyata daripada temuan teoretis. Fokus pada kerentanan yang ada dalam kode aktif, identifikasi jalur serangan aktif, dan layanan yang terbuka yang sebenarnya dieksekusi dalam produksi. Akhirnya, satukan keamanan aplikasi dan rekayasa deteksi. SOC masa depan tidak dapat lagi memperlakukan aplikasi sebagai kotak hitam yang tidak transparan. Aplikasi sekarang adalah permukaan serangan utama, dan mereka memerlukan visibilitas waktu nyata kelas satu.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi OWASP atau Contrast Security.