🔐 Zero Trust Security — Deep Dive: Prinsip, Arsitektur, dan Implementasi

Ringkasan satu-paragraf menjelaskan bahwa Zero Trust adalah model keamanan yang menghapus asumsi kepercayaan berbasis jaringan dan memverifikasi setiap permintaan akses seolah-olah berasal dari jaringan tidak terpercaya, dengan menekankan prinsip “never trust, always verify” melalui identitas, device, network, aplikasi, dan data.

Hubungan ke Vault

Note ini terkait dengan threat-modeling-deepdive untuk menetapkan kontrol berdasarkan ancaman, comprehensive-threat-directory untuk taksonomi ancaman yang mitigasi, network-security dan endpoint-security untuk lapisan enforcements, serta api-protocols-deepdive untuk penerapan zero trust pada API.

Foundation

Apa Itu Zero Trust?

Zero Trust (ZT) adalah kerangka keamanan yang mengasumsikan bahwa tidak ada pengguna, perangkat, atau jaringan yang dapat dipercaya secara default, baik yang berada dalam maupun luar perimeter organisasi. Alih-alih memperkuat perimeter, ZFokus pada verifikasi terus-menerus atas identitas, keamanan perangkat, dan konteks akses sebelum memberikan izin.

Prinsip Inti Zero Trust (mengacu NIST SP 800-207)

Prinsip	Deskripsi
Never trust, always verify	Setiap permintaan akses harus diotentikasi dan diotorisasi berdasarkan semua data yang tersedia (identitas, perangkat, lokasi, perilaku, dll.).
Assume breach	Asumsikan penyerang sudah ada di dalam lingkungan; fokus pada deteksi lateral movement dan minimasi dampak.
Least privilege access	Beri hak akses minimum yang diperlukan untuk menjalankan tugas (just-in-time, just-enough-access).
Microsegmentation	Pisahkan beban kerja menjadi zona zona kecil yang terisolasi sehingga lateral movement menjadi sulit.
Monitor and inspect all traffic	Lalu lintas internal juga harus diinspeksi, bukan hanya traffic masuk/keluar.
Secure data wherever it resides	Terapkan enkripsi, kontrol akses, dan labeling data baik di transit maupun di rest.

Mengapa Zero Trust Penting Sekarang?

Peningkatan kerja remote dan BYOD menghilangkan batas jaringan tradisional.
Cloud adoption dan penggunaan SaaS membuat data dan aplikasi tersebar di banyak lokasi.
Serangan ransomware dan supply-chain menunjukkan bahwa perimeter yang disebut “tepercaya” mudah dilubangi.
Persyaratan regulasi (mis. Zero Trust Executive Order AS, GDPR, PCI DSS v4.0) semakin menekankan verifikasi kontinu.

Asumsi dan Batasan

Zero Trust bukan produk tunggal; ia adalah strategi yang menggabungkan banyak teknologi dan proses.
Implementasi memerlukan perubahan budaya serta kolaborasi antara tim keamanan, jaringan, identitas, dan aplikasi.
Tidak semua legacy aplikasi bisa langsung di-ZT; mungkin diperlukan pendekatan hybrid atau gateway.

Technical Deep-Dive

Arsitektur Logis Zero Trust

Berikut adalah komponen utama dalam arsitektur ZT yang sering dirujuk (mengacu pada model NIST, Forrester ZTX, dan Google BeyondCorp):

+------------------+       +------------------+       +------------------+
|   User / Device  |<----->|   Policy Engine  |<----->|   Policy Admin   |
|   (Subject)      |       | (PEP/PDP)        |       | (PAP)            |
+------------------+       +------------------+       +------------------+
         |                         ^                         ^
         |                         |                         |
         v                         |                         v
+------------------+   +------------------+   +------------------+
|   Identity Provider (IdP) |   Device Inventory & Health |   SIEM / UEBA |
+------------------+   +------------------+   +------------------+
         |                         |                         |
         |                         |                         |
         v                         v                         v
+------------------+   +------------------+   +------------------+
|   Application /  |<--->|   Gateway /    |<--->|   Data Store     |
|   API (Resource) |     |   Proxy (ZTNA) |     | (encrpyted)      |
+------------------+   +------------------+   +------------------+

Policy Engine (PE): membuat keputusan izinkan/menolak berdasarkan atribut (user, device, location, risk score, dsb.).
Policy Administration Point (PAP): tempat administrasi kebijakan ditetapkan.
Policy Enforcement Point (PEP): titik di mana keputusan diberlakukan (gateway, proxy, agent pada endpoint).
Identity Provider: menyediakan autentikasi dan atribut pengguna (misalnya Azure AD, Okta).
Device Inventory & Health: solusi seperti MDM, EDR, atau konfigurasi tanpa agen yang melaporkan status kepatuhan perangkat.
SIEM / UEBA: untuk deteksi anomali dan respons insiden.
Gateway / Proxy (ZTNA): menuntut autentikasi dan otorisasi sebelum membuka jalur ke aplikasi (misalnya Zscaler, Cloudflare Access, Duo Beyond).
Application / API: sumber daya yang dilindungi; sebenarnya dapat menggunakan token berbasis OAuth2/OpenID Connect atau mTLS.

Implementasi Teknis pada Setiap Lapisan

Lapisan	Teknologi / Kontrol	Contoh Produk / Standar
Identity	MFA, SSO, Just-In-Time (JIT) provisioning, Conditional Access, Identity Governance	Azure AD Conditional Access, Okta Adaptive MFA, SailPoint
Device	MDM/EMM, EDR, NAC, Disk Encryption, OS patch compliance	Microsoft Intune, Jamf, CrowdStrike Falcon, Cisco ISE
Network	Microsegmentation, Software-Defined Perimeter (SDP), Encrypted Traffic Analysis, DNS filtering	Illumio, Zscaler Private Access, Palo Alto Prisma Access, Cisco Tetration
Application / API	Zero Trust Network Access (ZTNA), API Gateway dengan JWT/OAuth2 validation, mTLS, Rate limiting, API security testing	Kong, Apigee, AWS API Gateway, F5 NGINX Plus, Salt Security
Data	Encryption-at-rest (AES-256), Encryption-in-transit (TLS 1.3), DLP, Data classification, Tokenization	Vera, Symantec DLP, AWS Macie, HashiCorp Vault
Visibility & Analytics	SIEM, UEBA, Network Traffic Analysis (NTA), Log aggregation, SOAR	Splunk, Elastic Security, Darktrace, Cisco SecureX, Palo Alto Cortex XSOAR

Contoh Konfigurasi Dasar (Pseudo)

1. Conditional Access Policy (Azure AD)

{
  "conditions": {
    "applications": ["*"],
    "users": ["Guests or external users"],
    "platforms": ["All"],
    "locations": ["Any"]
  },
  "grantControls": {
    "operator": "OR",
    "builtInControls": ["mfa", "compliantDevice", "approvedApp"]
  },
  "sessionControls": {
    "persistentBrowser": "persistentBrowserAllowed",
    "signInFrequency": {
      "value": 1,
      "unit": "hours"
    }
  }
}

2. ZTNA Policy (Pseudocode for Zscaler Private Access)

IF user.group IN ("Finance", "HR")
   AND device.posture.status == "Compliant"
   AND location NOT IN ("Known risky IP ranges")
THEN
   permit access to application.internal.finance.portal
   WITH MFA enforced
ELSE
   block and step-up authentication

3. Microsegmentation with Illumio (Policy Example)

# Label workloads by app and env
label app=web tier=frontend env=prod
label app=api tier=backend env=prod

# Allow only specific traffic
allow from label app=web tier=frontend to label app=api tier=backend proto tcp port 443
deny from any to any   # default deny

Advanced

Frameworks & Standar

Nama	Penerbit	Fokus	Catatan
NIST SP 800-207	NIST (US)	Blueprint Zero Trust Architecture	Dasar dasar banyak implementasi US Govt.
Forrester ZTX	Forrester	Zero Trust eXtended (menyaksikan identitas, device, network, data, workload, visibility, orchestrasi)	Populer di enterprise.
Google BeyondCorp	Google	Model produksi internal untuk akses aplikasi tanpa VPN	Publikasikan banyak artikel praktik.
CISA Zero Trust Maturity Model	CISA (US)	Model kematangan dengan 5 pilar: identity, device, network, aplikasi, data	Membantu melakukan self-assessment.
ENISA Zero Trust	ENISA (EU)	Panduan untuk adopsi di Eropa, termasuk pertimbangan GDPR.
ISO/IEC 27001:2022 Annex A	ISO	Kontrol keamanan informasi; kontrol A.5.15 (akses terkait dengan vendor) dapat dipetakan ke ZT.

Teknologi Terkini

Secure Access Service Edge (SASE): menggabungkan SD-WAN dengan layanan keamanan cloud (ZTNA, SWG, CASB, FWaaS) dalam satu layanan (mis. Cato Networks, Palo Alto Prisma Access, Zscaler).
Identity Threat Detection and Response (ITDR): fokus pada pencurian kredensial dan pencurian identitas (CrowdStrike Falcon Identity Threat, Microsoft Defender for Identity).
Confidential Computing: mengenkripsi data saat digunakan (TEE, SGX, TDX) untuk melindungi data sensitif bahkan ketika sedang diproses.
API Security Platform: melindungi lintas lintas API dengan perilaku analisis, behavioral AI (Salt Security, Traceable AI, Noname Security).

Tantangan Implementasi

Legacy Applications: banyak aplikasi tua tidak mendukung token atau MFA; diperlukan gateway atau sidecar proxy.
Data Klasifikasi: tanpa pengetahuan tentang sensitivitas data, sulit menerapkan kebijakan data-centric.
Kinerja: penambahan inspeksi paket dan latensi otentikasi bisa menambah overhead; diperlukan scaling dan edge computing.
Keterampilan: tim harus menguasai identitas, jaringan, keamanan cloud, dan otomasi secara bersama.
Biaya awal: Investasi pada platform ZTNA, MDM, dan analytics bisa besar; harus diukur dengan ROI berdasarkan risiko yang terurung.

Roadmap Adopsi (contoh 12 bulan)

Bulan	Aktivitas
1-2	Inventarisasi aset: identitas, perangkat, aplikasi, data, lalu lintas.
3-4	Definisikan protect surface: data kritis, aplikasi, aset, layanan (DAAS).
5-6	Pilih alat pilots: MFA, MDM, ZTNA PoC untuk satu aplikasi kritis.
7-8	Terapkan microsegmentasi pada satu segment workload (mis. tingkat web).
9-10	Integrasikan SIEM/UEBA untuk deteksi perilaku anomali.
11-12	Evaluasi, sesuaikan kebijakan.

Case Studies

Studi Kasus	Konteks	Temuan Kunci	Mitigasi yang Diimplementasi
Perusahaan Teknologi Global (2023)	Ribuan pekerja remote, layanan SaaS beragam	1. VPN tradizional menjadi satu titik kegagalan. 2. Akses privilegi kepada lingkungan produksi diberikan berdasarkan grup AD statis.	1. Mengganti VPN dengan ZTNA (Zscaler Private Access) berbasis perangkat dan identitas. 2. Menerapkan Just-In-Time akses privilegi melalui PAM (CyberArk) dengan approval workflow.
Ritel Nasional (2022)	1.200 toko, sistem POS terpusat, data pembayar	1. Perangkat POS tidak terenkripsi dan tidak ter-managed. 2. Jaringan WiFi toko tidak tersegmentasi dari backbone korporat.	1. Mengaktifkan BitLocker serta MDM (Intune) untuk semua POS. 2. Mengimplementasikan microsegmentasi per toko menggunakan perangkat baru yang mengganti switch lama.
Lembaga Keuangan Regional (2024)	Aplikasi mobile nasabah, API pihak ketiga, data sensitif	1. Token JWT tidak memiliki masa berlaku pendek dan tidak di-bindkan ke perangkat. 2. Log audit tidak terintegrasi ke SIEM karena format yang tidak standar.	1. Menerapkan refresh token bergantung pada device certificate + short-lived access token (15 menit). 2. Mengonapkan fluentd untuk mengirim log ke Splunk dalam format JSON standar.
Pabrik Manufaktur (2021)	Sistem SCADA, jatah OT/IT terpisah namun terhubung via firewall lama	1. Jalur remote vendor untuk pemeliharaan menggunakan credensial statis. 2. Tidak ada inspeksi lalu lintas antara zona OT dan IT.	1. Mengganti akses vendor dengan ZTNA dan just-in-time approval via ServiceNow. 2. Memasang otomatisasi inspeksi lalu lintas (OT-specific IDS) di perimeter zona.

Koneksi ke Vault

threat-modeling-deepdive – proses untuk mengidentifikasi mana teknik dari komprehensif threat directory yang relevan dengan sistem Anda.
comprehensive-threat-directory – taksonomi lengkap ancaman dan teknik eksploitasi yang dapat Anda mitigasi dengan kontrol ZT.
network-security – panduan konfigurasi firewall, IDS/IPS, dan segmentasi jaringan yang selaras dengan prinsip microsegmentasi.
endpoint-security – rekomendasi EDR, MDM, dan hardening perangkat untuk memenuhi standar keamanan device dalam ZT.
api-protocols-deepdive – penerapan Zero Trust pada API melalui mutual TLS, JWT validation, dan rate limiting.
identity-and-access-management (jika ada) – untuk detail lebih lanjut tentang MFA, SSO, dan privileged access management.

Referensi

National Institute of Standards and Technology (NIST). SP 800-207: Zero Trust Architecture. 2020. https://csrc.nist.gov/publications/detail/sp/800-207/final
Forrester Research. The Zero Trust eXtended (ZTX) Ecosystem. 2021. https://www.forrester.com/report/The-Zero-Trust-Extended-ZTX-Ecosystem/
Google Cloud. BeyondCorp Enterprise. https://cloud.google.com/beyondcorp-enterprise
Cybersecurity and Infrastructure Security Agency (CISA). Zero Trust Maturity Model. 2022. https://www.cisa.gov/sites/default/files/2022-07/Zero_Trust_Maturity_Model_v2_508.pdf
European Union Agency for Cybersecurity (ENISA). Zero Trust Network Access – Guidelines for Enterprises. 2023. https://www.enisa.europa.eu/publications/zero-trust-network-access
International Organization for Standardization (ISO). ISO/IEC 27001:2022 Information security management systems – Requirements. 2022. https://www.iso.org/standard/93245.html
Google. BeyondCorp: A New Approach to Enterprise Security. 2014. https://research.google/pubs/pub43150/
Microsoft. Zero Trust Deployment Center. https://learn.microsoft.com/en-us/security/zero-trust/
Cisco. Zero Trust Security. https://www.cisco.com/c/en_au/solutions/security/zero-trust-security.html
Palo Alto Networks. Zero Trust Network Access (ZTNA). https://www.paloaltonetworks.com/products/secure-access-service-edge/zero-trust-network-access
Zscaler. Zscaler Private Access. https://www.zscaler.com/solutions/private-access
Okta. Adaptive Multi-Factor Authentication. https://www.okta.com/identity-cloud/features/adaptive-multi-factor-authentication/
Duo Security. Beyond Trusted Access. https://duo.com/product/trusted-access
Illumio. Adaptive Security Platform (ASP). https://www.illumio.com/platform
VMware. NSX Network Detection and Response. https://www.vmware.com/products/nsx/nsx-network-detection-and-response.html
Splunk. User Behavior Analytics. https://www.splunk.com/en_us/products/user-behavior-analytics.html
Elastic. Security Information and Event Management (SIEM). https://www.elastic.co/guide/en/security/current/getting-started.html
Darktrace. Enterprise Immune System. https://www.darktrace.com/en/
Corelight. Open Network Detection and Response. https://corelight.com/
SANS Institute. SEC555: SIEM with Tactical Analytics. https://www.sans.org/cyber-security-courses/siem-with-tactical-analytics/
The Center for Internet Security (CIS). CIS Controls v8. https://www.cisecurity.org/controls/v8
MITRE Corporation. ATT&CK® Knowledge Base. https://attack.mitre.org/
MITRE Corporation. CAPEC™ – Common Attack Pattern Enumeration and Classification. https://capec.mitre.org/
OWASP. API Security Top 10. https://owasp.org/www-project-api-security/
Verizon. Data Breach Investigations Report (DBIR). https://www.verizon.com/business/resources/reports/dbir/
IBM. Cost of a Data Breach Report. https://www.ibm.com/reports/data-breach
Google. Project Zero. https://googleprojectzero.blogspot.com/
Ars Technica. Zero Trust Security Explained. https://arstechnica.com/
NIST. SP 800-53 Rev. 5: Security and Privacy Controls for Information Systems and Organizations. 2020. https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final
Cloud Security Alliance (CSA). Security Guidance for Critical Areas of Focus in Cloud Computing v4.0. 2021. https://cloudsecurityalliance.org/research/guidance/

Bottom Line

Zero Trust bukan produk yang dibeli sekali dan dipasang; ini adalah perubahan strategis dalam pola berpikir keamanan yang membutuhkan kolaborasi lintas fungsi, investasi berkelanjutan dalam teknologi identitas dan device, serta adaptasi terus-menerus terhadap ancaman yang terus berkembang. Dengan mengadopsi prinsip “never trust, always verify”, organisasi dapat mengurangi permukaan serangan, meningkatkan visibilitas, dan membangun daya tahan yang lebih tinggi terhadap insiden siber modern.

Azhar's Notes

Navigation

Zero Trust Security — Deep Dive: Prinsip, Arsitektur, dan Implementasi

🔐 Zero Trust Security — Deep Dive: Prinsip, Arsitektur, dan Implementasi

Daftar Isi

Foundation

Apa Itu Zero Trust?

Prinsip Inti Zero Trust (mengacu NIST SP 800-207)

Mengapa Zero Trust Penting Sekarang?

Asumsi dan Batasan

Technical Deep-Dive

Arsitektur Logis Zero Trust

Implementasi Teknis pada Setiap Lapisan

Contoh Konfigurasi Dasar (Pseudo)

1. Conditional Access Policy (Azure AD)

2. ZTNA Policy (Pseudocode for Zscaler Private Access)

3. Microsegmentation with Illumio (Policy Example)

Advanced

Frameworks & Standar

Teknologi Terkini

Tantangan Implementasi

Roadmap Adopsi (contoh 12 bulan)

Case Studies

Koneksi ke Vault

Referensi

Tampilan Grafik

Daftar Isi