Entri Jurnal
Security Misconfiguration adalah kondisi di mana sistem, aplikasi, infrastruktur, atau platform cloud dikonfigurasi dengan cara yang menciptakan kerentanan keamanan — baik karena konfigurasi default yang tidak diubah, pengaturan yang terlalu permisif, fitur yang tidak diperlukan tetap aktif, atau pengelolaan konfigurasi yang tidak konsisten.
Berbeda dari kerentanan teknis seperti SQL Injection yang berakar pada kode yang salah, Security Misconfiguration adalah tentang pengaturan yang salah pada sistem yang kodenya sendiri sudah benar. Database yang tidak dienkripsi karena lupa mengaktifkan enkripsi. Server cloud yang terbuka ke internet karena security group dikonfigurasi terlalu permisif. Panel administrasi yang masih menggunakan password default karena tidak pernah diubah.
Dalam bahasa bisnis: ini adalah kondisi di mana sistem yang seharusnya aman dibiarkan tidak aman karena seseorang tidak mengkonfigurasinya dengan benar — atau tidak mengkonfigurasinya sama sekali.
Lompatan dramatis dari #5 (2021) ke #2 (2025) mencerminkan beberapa pergeseran fundamental:
Eksplosif Adopsi Cloud — Migrasi masif ke cloud dalam 4 tahun terakhir telah menciptakan gelombang baru miskonfigurasi. Cloud infrastructure yang kompleks — dengan ratusan layanan, ribuan pengaturan, dan model shared responsibility yang tidak selalu dipahami — menghasilkan peluang miskonfigurasi yang jauh lebih besar dari on-premise tradisional.
Data yang Tidak Bisa Dibantah: 100% — Dalam dataset OWASP 2025, 100% aplikasi yang diuji memiliki setidaknya satu bentuk miskonfigurasi. Tidak ada satu pun aplikasi yang lolos bersih. Angka ini lebih tinggi dari Broken Access Control (94,55%) dan menjadi alasan utama posisi #2.
Kompleksitas Stack yang Terus Bertumbuh — Aplikasi modern menggunakan puluhan komponen — container, orchestrator, API gateway, message queue, service mesh, CDN, WAF, cloud storage — masing-masing dengan konfigurasi keamanannya sendiri. Semakin banyak komponen, semakin besar peluang salah satu dikonfigurasi dengan tidak tepat.
XXE Diserap — XML External Entity (XXE) yang sebelumnya berdiri sendiri kini diakui sebagai manifestasi dari miskonfigurasi parser XML — memperluas cakupan kategori ini.
Sistem baru sering dilengkapi dengan username/password default yang terdokumentasi secara publik — admin/admin, root/root, admin/password. Jika tidak diubah sebelum masuk produksi, siapapun yang mengetahui default tersebut dapat mengakses sistem.
Target umum: router, kamera IP, database server, panel administrasi CMS, IoT devices, dan cloud management consoles.
Setiap komponen yang aktif namun tidak digunakan adalah attack surface yang tidak perlu. Prinsip "disable everything you don't need" sering diabaikan dalam tekanan deployment yang cepat.
Contoh umum:
Debug mode aktif di lingkungan produksi
Protokol lama (Telnet, FTP, SSLv3, TLS 1.0/1.1) masih aktif
Port manajemen (SSH, RDP) terbuka ke internet
Sample applications dan default pages web server masih aktif
Pesan error yang terlalu informatif mengekspos detail teknis kepada pengguna akhir dan penyerang: stack traces, nama library, versi software, struktur database, path file sistem, dan konfigurasi internal.
# Pesan error berbahaya di produksi:
ERROR: SQLSTATE[42000]: Syntax error at line 1 in query:
SELECT * FROM tbl_users WHERE email='test@email.com'
at /var/www/app/models/UserModel.php line 47
using MySQL 8.0.32 on Ubuntu 22.04
Informasi ini adalah peta jalan bagi penyerang.
HTTP security headers adalah lapisan pertahanan browser yang mudah dikonfigurasi namun sering diabaikan:
Header | Fungsi | Status Umum |
|---|---|---|
| Mencegah XSS dan injection | Sering tidak ada |
| Mencegah clickjacking | Sering tidak ada |
| Mencegah HTTP downgrade | Sering tidak ada |
| Mencegah MIME sniffing | Sering tidak ada |
| Kontrol informasi referrer | Sering tidak ada |
| Kontrol fitur browser | Jarang dikonfigurasi |
Salah satu miskonfigurasi paling merusak di era cloud: bucket S3, Azure Blob Storage, atau Google Cloud Storage yang dikonfigurasi sebagai public — mengekspos seluruh konten kepada siapapun yang mengetahui URL-nya.
Ribuan bucket S3 publik telah ditemukan mengandung data sensitif: backup database, file konfigurasi, dokumen HR, kode sumber aplikasi, data pelanggan, dan rekaman audit.
Aturan 0.0.0.0/0 (izinkan semua IP) pada port sensitif — SSH (22), RDP (3389), database (3306, 5432, 27017), management interfaces — adalah miskonfigurasi yang sangat umum dan sangat berbahaya. Dalam hitungan menit setelah server baru diluncurkan, bot pemindai otomatis sudah mencoba mengeksploitasi port yang terbuka.
Konfigurasi default software enterprise sering mengutamakan kompatibilitas dan kemudahan penggunaan, bukan keamanan. Hardening — proses menonaktifkan fitur tidak diperlukan dan mengatur parameter keamanan — harus dilakukan secara eksplisit berdasarkan panduan seperti CIS Benchmarks.
XXE adalah miskonfigurasi pada parser XML yang memungkinkan referensi ke entitas eksternal — file sistem, URL internal, atau resource lain. Parser XML yang dikonfigurasi dengan fitur external entity processing aktif dapat dieksploitasi untuk membaca file sensitif atau melakukan SSRF.
<!-- Input XML berbahaya -->
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<user><name>&xxe;</name></user>
<!-- Hasilnya: isi /etc/passwd dikembalikan dalam respons -->
Template Terraform, CloudFormation, Helm charts, dan Kubernetes manifests yang mengandung konfigurasi tidak aman — dan di-deploy secara otomatis ke produksi melalui CI/CD pipeline tanpa pemindaian keamanan.
Miskonfigurasi cloud memiliki karakteristik yang berbeda dari misconfiguration tradisional dan membutuhkan perhatian khusus:
Shared Responsibility Model yang Sering Disalahpahami
Di cloud, provider (AWS/Azure/GCP) bertanggung jawab atas keamanan infrastruktur cloud (fisik, hypervisor, network). Pelanggan bertanggung jawab atas keamanan dalam cloud (OS, aplikasi, data, konfigurasi akses). Batas ini sering tidak dipahami — terutama oleh tim yang baru bermigrasi ke cloud.
Kecepatan Provisioning
Resource cloud bisa diluncurkan dalam hitungan menit oleh siapapun dengan akses. Tanpa guardrails yang tepat, tim dapat meluncurkan instance tidak aman tanpa melalui review keamanan.
Kompleksitas IAM Cloud
Hak akses di cloud (IAM roles, policies, service accounts) sangat granular namun sering dikonfigurasi terlalu luas untuk kemudahan penggunaan.
Data Breach Langsung
Bucket S3 publik atau database yang terbuka ke internet tidak membutuhkan eksploitasi teknis yang canggih — data bisa diakses langsung. Beberapa breach terbesar dalam sejarah berasal dari miskonfigurasi sederhana ini.
Cryptocurrency Mining (Cryptojacking)
Server dengan port manajemen terbuka ke internet sering dikompromikan untuk mining cryptocurrency — menghasilkan tagihan cloud yang membengkak secara tiba-tiba dan degradasi performa signifikan.
Lateral Movement
Miskonfigurasi pada satu komponen sering menjadi titik masuk yang kemudian digunakan untuk bergerak ke sistem lain dalam jaringan yang sama. Tanpa segmentasi yang tepat, satu misconfiguration dapat berujung pada kompromi seluruh infrastruktur.
Kerugian Finansial dari Cloud Overexposure
Resource cloud yang terkonfigurasi terlalu permisif sering dieksploitasi untuk serangan yang menghasilkan tagihan cloud masif — baik untuk mining, DDoS, atau penyimpanan konten ilegal.
Capital One (2019)
Miskonfigurasi pada AWS WAF memungkinkan penyerang menggunakan SSRF untuk mengakses metadata server dan mendapatkan credentials IAM. Data 100 juta nasabah terekspos. Denda: $80 juta. Pelajaran utama: miskonfigurasi satu komponen dapat menjadi pintu masuk ke seluruh infrastruktur cloud.
Microsoft Power Apps (2021)
Konfigurasi default Microsoft Power Apps mengekspos data secara publik. Lebih dari 38 juta data sensitif dari berbagai organisasi — termasuk program vaksinasi COVID-19 — terekspos sebelum Microsoft mengubah konfigurasi defaultnya.
Twitch (2021)
Kebocoran 125GB data Twitch termasuk kode sumber dan data gaji streamer. Sebagian disebabkan oleh konfigurasi akses internal yang terlalu permisif.
Data Kependudukan Indonesia (2021)
Laporan peneliti keamanan menemukan data kependudukan Indonesia yang berisi informasi sensitif jutaan warga dapat diakses melalui endpoint yang tidak dilindungi dengan benar — manifestasi dari miskonfigurasi kontrol akses pada infrastruktur publik.
Database MongoDB Terbuka
Ribuan instance MongoDB yang dikonfigurasi tanpa autentikasi (konfigurasi default versi lama) terekspos ke internet global. Banyak instance milik perusahaan Indonesia ditemukan dalam berbagai penelitian ini.
Hardening Berbasis CIS Benchmarks
Center for Internet Security (CIS) menerbitkan benchmark konfigurasi yang direkomendasikan untuk ratusan platform — OS, database, cloud, container, network device. Gunakan ini sebagai baseline minimum.
Konfigurasi Minimal — Disable Everything Not Needed
Nonaktifkan semua fitur, port, layanan, dan protokol yang tidak digunakan. Lebih mudah mengaktifkan yang diperlukan daripada menonaktifkan yang berbahaya setelah insiden.
Perubahan Default Credentials — Wajib Sebelum Go-Live
Tidak ada sistem yang boleh masuk produksi dengan default credentials. Ini harus menjadi item wajib dalam deployment checklist.
Infrastructure as Code + Security Scanning
Tulis semua konfigurasi sebagai kode (Terraform, Ansible, CloudFormation) dan integrasikan IaC security scanner (Checkov, tfsec, KICS) ke CI/CD pipeline untuk mendeteksi miskonfigurasi sebelum di-deploy.
Cloud Security Posture Management (CSPM)
Tools yang secara otomatis memindai konfigurasi cloud terhadap best practices dan regulasi, memberikan visibilitas real-time tentang postur keamanan cloud.
Automated Configuration Drift Detection
Konfigurasi yang sudah benar bisa berubah seiring waktu (configuration drift). Tools seperti AWS Config, Azure Policy, atau open-source alternatives dapat mendeteksi dan alert ketika konfigurasi menyimpang dari baseline yang diinginkan.
Security Headers — Wajib untuk Semua Aplikasi Web
Implementasikan seluruh HTTP security headers yang relevan. Gunakan SecurityHeaders.com untuk mengaudit dengan cepat.
Rotate Credentials Secara Berkala
API keys, database passwords, dan credentials lainnya harus dirotasi secara reguler dan segera setelah ada personel yang meninggalkan organisasi.
Tool | Fungsi | Ketersediaan |
|---|---|---|
Lynis | Hardening audit untuk Linux | Open-source |
ScoutSuite | Multi-cloud security auditing | Open-source |
Prowler | AWS security best practices | Open-source |
Checkov | IaC security scanning | Open-source |
tfsec | Terraform security scanner | Open-source |
Trivy | Container/IaC/cloud misconfiguration | Open-source |
HTTP headers audit | Free online | |
SSL Labs | TLS/SSL konfigurasi audit | Free online |
OWASP ZAP | Automated web app scanning | Open-source |
Nessus / Tenable.io | Comprehensive vulnerability & config scan | Commercial |
Kategori | Vendor / Solusi | Kehadiran Indonesia |
|---|---|---|
CSPM | Palo Alto Prisma Cloud | ✅ Tier 1 |
CSPM | Microsoft Defender for Cloud | ✅ Tier 1 |
CSPM | Wiz | ❌ Belum ada lokal |
CSPM | Orca Security | ❌ Belum ada lokal |
Vulnerability Management | Tenable (Nessus) | ✅ via partner |
Vulnerability Management | Qualys | ✅ via partner |
WAF / Network Security | Palo Alto Networks | ✅ Tier 1 |
WAF / Network Security | Fortinet | ✅ Tier 1 |
WAF / Network Security | F5 | ✅ Tier 1 |
IaC Security | Checkov, tfsec (open-source) | Self-managed |
Security Hardening Consulting | IBM Security, Accenture Security | ✅ Tier 1/2 |
MSSP Lokal | Xynexis | ✅ Lokal |
Catatan Indonesia: Adopsi CSPM masih sangat rendah di Indonesia — mayoritas perusahaan yang sudah bermigrasi ke cloud belum memiliki visibility yang memadai atas postur konfigurasi cloud mereka. Ini adalah gap yang signifikan mengingat kecepatan adopsi cloud di Indonesia.
Entri Jurnal
Security Misconfiguration adalah kondisi di mana sistem, aplikasi, infrastruktur, atau platform cloud dikonfigurasi dengan cara yang menciptakan kerentanan keamanan — baik karena konfigurasi default yang tidak diubah, pengaturan yang terlalu permisif, fitur yang tidak diperlukan tetap aktif, atau pengelolaan konfigurasi yang tidak konsisten.
Berbeda dari kerentanan teknis seperti SQL Injection yang berakar pada kode yang salah, Security Misconfiguration adalah tentang pengaturan yang salah pada sistem yang kodenya sendiri sudah benar. Database yang tidak dienkripsi karena lupa mengaktifkan enkripsi. Server cloud yang terbuka ke internet karena security group dikonfigurasi terlalu permisif. Panel administrasi yang masih menggunakan password default karena tidak pernah diubah.
Dalam bahasa bisnis: ini adalah kondisi di mana sistem yang seharusnya aman dibiarkan tidak aman karena seseorang tidak mengkonfigurasinya dengan benar — atau tidak mengkonfigurasinya sama sekali.
Lompatan dramatis dari #5 (2021) ke #2 (2025) mencerminkan beberapa pergeseran fundamental:
Eksplosif Adopsi Cloud — Migrasi masif ke cloud dalam 4 tahun terakhir telah menciptakan gelombang baru miskonfigurasi. Cloud infrastructure yang kompleks — dengan ratusan layanan, ribuan pengaturan, dan model shared responsibility yang tidak selalu dipahami — menghasilkan peluang miskonfigurasi yang jauh lebih besar dari on-premise tradisional.
Data yang Tidak Bisa Dibantah: 100% — Dalam dataset OWASP 2025, 100% aplikasi yang diuji memiliki setidaknya satu bentuk miskonfigurasi. Tidak ada satu pun aplikasi yang lolos bersih. Angka ini lebih tinggi dari Broken Access Control (94,55%) dan menjadi alasan utama posisi #2.
Kompleksitas Stack yang Terus Bertumbuh — Aplikasi modern menggunakan puluhan komponen — container, orchestrator, API gateway, message queue, service mesh, CDN, WAF, cloud storage — masing-masing dengan konfigurasi keamanannya sendiri. Semakin banyak komponen, semakin besar peluang salah satu dikonfigurasi dengan tidak tepat.
XXE Diserap — XML External Entity (XXE) yang sebelumnya berdiri sendiri kini diakui sebagai manifestasi dari miskonfigurasi parser XML — memperluas cakupan kategori ini.
Sistem baru sering dilengkapi dengan username/password default yang terdokumentasi secara publik — admin/admin, root/root, admin/password. Jika tidak diubah sebelum masuk produksi, siapapun yang mengetahui default tersebut dapat mengakses sistem.
Target umum: router, kamera IP, database server, panel administrasi CMS, IoT devices, dan cloud management consoles.
Setiap komponen yang aktif namun tidak digunakan adalah attack surface yang tidak perlu. Prinsip "disable everything you don't need" sering diabaikan dalam tekanan deployment yang cepat.
Contoh umum:
Debug mode aktif di lingkungan produksi
Protokol lama (Telnet, FTP, SSLv3, TLS 1.0/1.1) masih aktif
Port manajemen (SSH, RDP) terbuka ke internet
Sample applications dan default pages web server masih aktif
Pesan error yang terlalu informatif mengekspos detail teknis kepada pengguna akhir dan penyerang: stack traces, nama library, versi software, struktur database, path file sistem, dan konfigurasi internal.
# Pesan error berbahaya di produksi:
ERROR: SQLSTATE[42000]: Syntax error at line 1 in query:
SELECT * FROM tbl_users WHERE email='test@email.com'
at /var/www/app/models/UserModel.php line 47
using MySQL 8.0.32 on Ubuntu 22.04
Informasi ini adalah peta jalan bagi penyerang.
HTTP security headers adalah lapisan pertahanan browser yang mudah dikonfigurasi namun sering diabaikan:
Header | Fungsi | Status Umum |
|---|---|---|
| Mencegah XSS dan injection | Sering tidak ada |
| Mencegah clickjacking | Sering tidak ada |
| Mencegah HTTP downgrade | Sering tidak ada |
| Mencegah MIME sniffing | Sering tidak ada |
| Kontrol informasi referrer | Sering tidak ada |
| Kontrol fitur browser | Jarang dikonfigurasi |
Salah satu miskonfigurasi paling merusak di era cloud: bucket S3, Azure Blob Storage, atau Google Cloud Storage yang dikonfigurasi sebagai public — mengekspos seluruh konten kepada siapapun yang mengetahui URL-nya.
Ribuan bucket S3 publik telah ditemukan mengandung data sensitif: backup database, file konfigurasi, dokumen HR, kode sumber aplikasi, data pelanggan, dan rekaman audit.
Aturan 0.0.0.0/0 (izinkan semua IP) pada port sensitif — SSH (22), RDP (3389), database (3306, 5432, 27017), management interfaces — adalah miskonfigurasi yang sangat umum dan sangat berbahaya. Dalam hitungan menit setelah server baru diluncurkan, bot pemindai otomatis sudah mencoba mengeksploitasi port yang terbuka.
Konfigurasi default software enterprise sering mengutamakan kompatibilitas dan kemudahan penggunaan, bukan keamanan. Hardening — proses menonaktifkan fitur tidak diperlukan dan mengatur parameter keamanan — harus dilakukan secara eksplisit berdasarkan panduan seperti CIS Benchmarks.
XXE adalah miskonfigurasi pada parser XML yang memungkinkan referensi ke entitas eksternal — file sistem, URL internal, atau resource lain. Parser XML yang dikonfigurasi dengan fitur external entity processing aktif dapat dieksploitasi untuk membaca file sensitif atau melakukan SSRF.
<!-- Input XML berbahaya -->
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<user><name>&xxe;</name></user>
<!-- Hasilnya: isi /etc/passwd dikembalikan dalam respons -->
Template Terraform, CloudFormation, Helm charts, dan Kubernetes manifests yang mengandung konfigurasi tidak aman — dan di-deploy secara otomatis ke produksi melalui CI/CD pipeline tanpa pemindaian keamanan.
Miskonfigurasi cloud memiliki karakteristik yang berbeda dari misconfiguration tradisional dan membutuhkan perhatian khusus:
Shared Responsibility Model yang Sering Disalahpahami
Di cloud, provider (AWS/Azure/GCP) bertanggung jawab atas keamanan infrastruktur cloud (fisik, hypervisor, network). Pelanggan bertanggung jawab atas keamanan dalam cloud (OS, aplikasi, data, konfigurasi akses). Batas ini sering tidak dipahami — terutama oleh tim yang baru bermigrasi ke cloud.
Kecepatan Provisioning
Resource cloud bisa diluncurkan dalam hitungan menit oleh siapapun dengan akses. Tanpa guardrails yang tepat, tim dapat meluncurkan instance tidak aman tanpa melalui review keamanan.
Kompleksitas IAM Cloud
Hak akses di cloud (IAM roles, policies, service accounts) sangat granular namun sering dikonfigurasi terlalu luas untuk kemudahan penggunaan.
Data Breach Langsung
Bucket S3 publik atau database yang terbuka ke internet tidak membutuhkan eksploitasi teknis yang canggih — data bisa diakses langsung. Beberapa breach terbesar dalam sejarah berasal dari miskonfigurasi sederhana ini.
Cryptocurrency Mining (Cryptojacking)
Server dengan port manajemen terbuka ke internet sering dikompromikan untuk mining cryptocurrency — menghasilkan tagihan cloud yang membengkak secara tiba-tiba dan degradasi performa signifikan.
Lateral Movement
Miskonfigurasi pada satu komponen sering menjadi titik masuk yang kemudian digunakan untuk bergerak ke sistem lain dalam jaringan yang sama. Tanpa segmentasi yang tepat, satu misconfiguration dapat berujung pada kompromi seluruh infrastruktur.
Kerugian Finansial dari Cloud Overexposure
Resource cloud yang terkonfigurasi terlalu permisif sering dieksploitasi untuk serangan yang menghasilkan tagihan cloud masif — baik untuk mining, DDoS, atau penyimpanan konten ilegal.
Capital One (2019)
Miskonfigurasi pada AWS WAF memungkinkan penyerang menggunakan SSRF untuk mengakses metadata server dan mendapatkan credentials IAM. Data 100 juta nasabah terekspos. Denda: $80 juta. Pelajaran utama: miskonfigurasi satu komponen dapat menjadi pintu masuk ke seluruh infrastruktur cloud.
Microsoft Power Apps (2021)
Konfigurasi default Microsoft Power Apps mengekspos data secara publik. Lebih dari 38 juta data sensitif dari berbagai organisasi — termasuk program vaksinasi COVID-19 — terekspos sebelum Microsoft mengubah konfigurasi defaultnya.
Twitch (2021)
Kebocoran 125GB data Twitch termasuk kode sumber dan data gaji streamer. Sebagian disebabkan oleh konfigurasi akses internal yang terlalu permisif.
Data Kependudukan Indonesia (2021)
Laporan peneliti keamanan menemukan data kependudukan Indonesia yang berisi informasi sensitif jutaan warga dapat diakses melalui endpoint yang tidak dilindungi dengan benar — manifestasi dari miskonfigurasi kontrol akses pada infrastruktur publik.
Database MongoDB Terbuka
Ribuan instance MongoDB yang dikonfigurasi tanpa autentikasi (konfigurasi default versi lama) terekspos ke internet global. Banyak instance milik perusahaan Indonesia ditemukan dalam berbagai penelitian ini.
Hardening Berbasis CIS Benchmarks
Center for Internet Security (CIS) menerbitkan benchmark konfigurasi yang direkomendasikan untuk ratusan platform — OS, database, cloud, container, network device. Gunakan ini sebagai baseline minimum.
Konfigurasi Minimal — Disable Everything Not Needed
Nonaktifkan semua fitur, port, layanan, dan protokol yang tidak digunakan. Lebih mudah mengaktifkan yang diperlukan daripada menonaktifkan yang berbahaya setelah insiden.
Perubahan Default Credentials — Wajib Sebelum Go-Live
Tidak ada sistem yang boleh masuk produksi dengan default credentials. Ini harus menjadi item wajib dalam deployment checklist.
Infrastructure as Code + Security Scanning
Tulis semua konfigurasi sebagai kode (Terraform, Ansible, CloudFormation) dan integrasikan IaC security scanner (Checkov, tfsec, KICS) ke CI/CD pipeline untuk mendeteksi miskonfigurasi sebelum di-deploy.
Cloud Security Posture Management (CSPM)
Tools yang secara otomatis memindai konfigurasi cloud terhadap best practices dan regulasi, memberikan visibilitas real-time tentang postur keamanan cloud.
Automated Configuration Drift Detection
Konfigurasi yang sudah benar bisa berubah seiring waktu (configuration drift). Tools seperti AWS Config, Azure Policy, atau open-source alternatives dapat mendeteksi dan alert ketika konfigurasi menyimpang dari baseline yang diinginkan.
Security Headers — Wajib untuk Semua Aplikasi Web
Implementasikan seluruh HTTP security headers yang relevan. Gunakan SecurityHeaders.com untuk mengaudit dengan cepat.
Rotate Credentials Secara Berkala
API keys, database passwords, dan credentials lainnya harus dirotasi secara reguler dan segera setelah ada personel yang meninggalkan organisasi.
Tool | Fungsi | Ketersediaan |
|---|---|---|
Lynis | Hardening audit untuk Linux | Open-source |
ScoutSuite | Multi-cloud security auditing | Open-source |
Prowler | AWS security best practices | Open-source |
Checkov | IaC security scanning | Open-source |
tfsec | Terraform security scanner | Open-source |
Trivy | Container/IaC/cloud misconfiguration | Open-source |
HTTP headers audit | Free online | |
SSL Labs | TLS/SSL konfigurasi audit | Free online |
OWASP ZAP | Automated web app scanning | Open-source |
Nessus / Tenable.io | Comprehensive vulnerability & config scan | Commercial |
Kategori | Vendor / Solusi | Kehadiran Indonesia |
|---|---|---|
CSPM | Palo Alto Prisma Cloud | ✅ Tier 1 |
CSPM | Microsoft Defender for Cloud | ✅ Tier 1 |
CSPM | Wiz | ❌ Belum ada lokal |
CSPM | Orca Security | ❌ Belum ada lokal |
Vulnerability Management | Tenable (Nessus) | ✅ via partner |
Vulnerability Management | Qualys | ✅ via partner |
WAF / Network Security | Palo Alto Networks | ✅ Tier 1 |
WAF / Network Security | Fortinet | ✅ Tier 1 |
WAF / Network Security | F5 | ✅ Tier 1 |
IaC Security | Checkov, tfsec (open-source) | Self-managed |
Security Hardening Consulting | IBM Security, Accenture Security | ✅ Tier 1/2 |
MSSP Lokal | Xynexis | ✅ Lokal |
Catatan Indonesia: Adopsi CSPM masih sangat rendah di Indonesia — mayoritas perusahaan yang sudah bermigrasi ke cloud belum memiliki visibility yang memadai atas postur konfigurasi cloud mereka. Ini adalah gap yang signifikan mengingat kecepatan adopsi cloud di Indonesia.