ASSIGMENT CYBER SECURITY WEEK 7

Nama : Isalora Simanjuntak
Nim : 2681498454

Questions!

1. Explain the “Shared Responsibility Model.” What is the cloud provider responsible for, and what is the business (customer) responsible for?
2. What is a cloud misconfiguration, and can you provide an example (e.g., a public S3 bucket)?
3. Why are Identity and Access Management (IAM) policies so critical in a cloud environment?
   
   Answer 1

   Model Tanggung Jawab Bersama adalah konsep dalam penggunaan layanan cloud yang menjelaskan bagaimana tanggung jawab mengurus keamanan dibagi antara penyedia layanan cloud dan pengguna layanan tersebut. Intinya: penyedia mengurus infrastruktur cloud, sedangkan pelanggan bertanggung jawab mengamankan apa yang mereka jalankan di dalamnya.

   Tanggung jawab penyedia cloud (security of the cloud)
   Penyedia layanan cloud bertanggung jawab atas semua komponen dasar yang mendukung penyelenggaraan layanan cloud, seperti :
   Pusat data fisik mencakup gedung, sistem listrik, sistem pendingin, dan keamanan fisik.
   Perangkat keras (server, storage, jaringan)
   Infrastruktur jaringan global
   Hypervisor dan virtualisasi
   Layanan inti cloud seperti komputasi, penyimpanan, dan basis data di tingkat infrastruktur.
   Keamanan fisik & perlindungan terhadap serangan pada infrastruktur

   Tanggung jawab pelanggan/bisnis (security in the cloud)
   Pelanggan bertanggung jawab bagaimana mereka menggunakan layanan cloud, termasuk:
   Data (penyimpanan, enkripsi, backup)
   Manajemen akses (user, role, IAM, password)
   Konfigurasi layanan (misalnya, apakah database atau penyimpanan dibuat secara umum atau terbatas)
   Sistem operasi & patching (terutama pada IaaS)
   Aplikasi yang dijalankan
   Pengaturan keamanan tambahan (firewall, monitoring, logging)

   Catatan penting
   Tingkat tanggung jawab pelanggan berbeda bergantung pada jenis layanan yang digunakan.
   IaaS → pelanggan lebih banyak tanggung jawab
   PaaS → sebagian dikelola penyedia
   SaaS → pelanggan hanya perlu fokus pada data dan aksesnya saja.

   Answer 2
   Kesalahan konfigurasi cloud adalah situasi di mana layanan atau sumber daya yang berada di cloud diatur dengan cara yang tidak benar, sehingga bisa menyebabkan masalah keamanan, akses yang tidak diperbolehkan, atau bahkan risiko data bocor. Biasanya hal ini terjadi karena kesalahan yang dilakukan manusia, kurangnya pemahaman tentang cara kerja sistem, atau penggunaan pengaturan bawaan yang tidak cukup aman.
   
   Ciri umum cloud misconfiguration:
   Akses terlalu terbuka (over-permissive)
   Tidak ada enkripsi data
   Pengaturan keamanan tidak diaktifkan
   Kredensial atau kunci API terekspos
   Kurangnya monitoring dan logging
   Contoh: Bucket S3 publik

   Misalnya pada layanan penyimpanan seperti Amazon S3:

   Sebuah bucket S3 dikonfigurasi menjadi publik
   Siapa saja di internet bisa mengakses, bahkan mengunduh data tersebut tanpa perlu mengisi informasi pengguna.
   Jika berisi informasi rahasia (seperti data pelanggan atau dokumen internal), maka bisa terjadi kebocoran data yang sangat besar.

   Contoh kasus:
   Perusahaan menyimpan file cadangan di S3, tetapi tidak membatasi siapa yang bisa mengaksesnya → data bisa diakses oleh siapa saja selama ada link.

   Contoh lain:
   Database cloud tanpa password atau firewall
   Port penting (misalnya SSH/RDP) terbuka ke internet
   IAM policy terlalu luas (misalnya semua pengguna memiliki akses admin).
   Tidak mengaktifkan enkripsi pada storage

   Kesimpulan:
   Cloud misconfiguration bukan karena cloud itu sendiri tidak aman, melainkan karena cara pengguna memakai dan mengatur layanan cloud tersebut yang kurang tepat. Ini adalah salah satu faktor utama yang menyebabkan masalah keamanan di cloud.

   Answer 3
   Manajemen Identitas dan Akses (IAM) sangat penting dalam lingkungan awan karena bertugas sebagai pengendali utama siapa yang diperbolehkan mengakses sesuatu, kapan, dan bagaimana cara mengaksesnya. Tanpa keamanan identitas akses yang memadai, sumber daya di awan sangat berisiko mengalami akses yang tidak sah dan digunakan secara tidak benar.
   
   Mengontrol akses ke sumber daya
   Saya memastikan hanya pengguna atau sistem yang memiliki izin yang bisa mengakses sumber daya seperti server, database, atau penyimpanan.
   Tanpa adanya kontrol ini, siapa saja bisa membuka atau mengubah data yang penting.

   Menerapkan prinsip least privilege
   IAM memungkinkan penerapan prinsip akses minimum yaitu hak akses yang hanya diberikan sesuai kebutuhan.
   User hanya diberi akses yang benar-benar dibutuhkan
   Mengurangi risiko kesalahan atau penyalahgunaan akses
   Contoh: petugas keuangan tidak membutuhkan akses ke sistem pengembang.

   Mencegah kebocoran dan serangan
   Banyak insiden cloud terjadi karena:
   Password lemah
   Akses terlalu luas
   Kredensial bocor

   IAM membantu dengan:
   Multi-Factor Authentication (MFA)
   Rotasi kredensial
   Pembatasan akses berbasis peran (role-based access)
   Mendukung audit dan kepatuhan
   IAM menyediakan logging dan pelacakan aktivitas:
   Siapa yang mengakses apa
   Kapan perubahan dilakukan
   Ini penting untuk:
   Audit keamanan
   Kepatuhan (compliance) seperti ISO, GDPR, dll

   Manajemen identitas yang terpusat
   IAM memudahkan pengelolaan:
   Banyak user
   Banyak resource
   Dalam sistem yang terpusat, sehingga lebih efisien dan konsisten.

   Mengurangi risiko human error
   Dengan kebijakan IAM yang jelas dan otomatis:
   Menghindari pemberian akses berlebihan
   Mengurangi kesalahan konfigurasi