Author: hadi s

Headline berita seringkali menekankan betapa besar sebuah serangan DDoS — misalnya ukuran dalam terabits per detik (Tbps), trafik puncaknya, atau jumlah paket per detik (PPS). Namun, seperti yang dijelaskan dalam artikel “Rethinking DDoS Defense: Why Scale Isn’t the Only Metric That Matters” dari Imperva, kapasitas mentah saja tidak menjamin sebuah organisasi akan bertahan ketika diserang. Faktor‑lain seperti distribusi mitigasi, kecepatan mitigasi (time‑to‑mitigation), kualitas scrubbing, dan kesiapan terhadap serangan multi‑vektor juga punya peran penting. Artikel ini akan mendalami aspek‑aspek selain kapasitas, mengapa semuanya krusial, serta bagaimana organisasi dapat menilai pertahanan DDoS secara lebih menyeluruh. 1. Kasus Aktual: Ketika Scale yang Besar Tidak Cukup Imperva melaporkan bahwa sebuah perusahaan teknologi di AS diserang dua kali berturut‑turut dengan: Serangan pertama: puncak ~1,2 Tbps dengan ~563 juta PPS, durasi sekitar 9 menit. Serangan kedua: beberapa jam kemudian, lebih besar — mendekati 1,5 Tbps dan lebih dari 1 miliar PPS, selama 20 menit. Meskipun angka‑angka tersebut sangat besar, mitigasi berhasil berkat strategi pertahanan yang tidak hanya mengandalkan kapasitas besar, melainkan distribusi mitigasi, identifikasi cepat trafik jahat, dan pemblokiran di banyak titik (Point of Presence, PoP) yang dekat dengan sumber serangan. 2. Mengapa Scale Tidak Cukup: Faktor‑Faktor Penting lainnya Berikut elemen yang sering kali lebih menentukan keberhasilan respons terhadap DDoS daripada hanya kapasitas: Faktor Penjelasan Kenapa Penting Distribusi Mitigasi / PoP Global Mitigasi yang dilakukan di banyak titik—PoP yang tersebar secara geografis—agar lalu lintas jahat dapat dipotong sebelum mendekati target. Meminimalisir latency, mengurangi beban backbone, menjaga trafik sah tetap lancar. Time‑to‑Mitigation (TTM) Seberapa cepat sistem dapat mendeteksi dan mengaktifkan mitigasi setelah serangan dimulai. Keterlambatan beberapa detik bisa membuat serangan paket per detik atau protokol yang agresif merusak perangkat jaringan atau meredupkan kapasitas. Kemampuan Scrubbing dan Kualitas Deteksi Kemampuan jaringan pertahanan untuk memfilter trafik jahat dengan akurasi (misalnya memblokir UDP flood, SYN flood, atau serangan HTTP layer), serta mengenali berbagai vektor serangan. Untuk serangan multi‑vektor, capacity besar tanpa deteksi & penyaringan yang baik bisa kalah. Performa di Kasus Trafik Kompleks Termasuk trafik dengan banyak paket kecil, UDP amplification, serangan berbasis PPS tinggi, atau campuran berbagai jenis serangan. Peralatan jaringan (router, switch) sering lebih rentan terhadap serangan PPS tinggi daripada hanya serangan bandwidth. Pertahankan Trafik Legit Apakah solusi menjaga agar trafik sah (legitimate) tetap diutamakan dan tidak terganggu selama mitigasi. Penggunaan kapasitas besar tetapi dengan banyak false positives bisa merusak pengalaman pengguna dan bahkan menyebabkan downtime “self‑inflicted”. 3. Komponen yang Menentukan Kesiapan Pertahanan DDoS Untuk memaksimalkan kesiapan terhadap DDoS, organisasi perlu memperhatikan beberapa komponen teknis dan arsitektur penting: PoP / scrubbing center yang dekat ke sumber trafik sehingga pemborosan bandwidth/latency dapat dikurangi. Kemampuan adaptif: sistem yang bisa otomatis mengubah strategi mitigasi jika vektor serangan berubah. Pengawasan & intelijen ancaman (threat intelligence): reputasi IP, pola botnet, dan data historis serangan membantu deteksi lebih awal. Arsitektur meshed / anycast / terdistribusi: agar jika satu node PoP kewalahan, trafik bisa dialihkan ke node lain yang masih bisa menangani. SLA yang realistis dan transparan: seperti Imperva yang menawarkan mitigasi dalam waktu ~3 detik untuk Layer 3 dan 4. 4. Tabel Ringkas Perbandingan Scale vs Faktor Kualitas Berikut tabel yang membandingkan fokus pada kapasitas (“scale”) dengan faktor‑kualitas lain dalam pertahanan DDoS: Aspek Penilaian Fokus pada Scale / Kapasitas Fokus pada Faktor Kualitas Ukuran Klaim Mitigasi “Tbps mitigasi”; puncak trafik tinggi Kecepatan mitigasi, PPS, latency terhadap trafik sah Distribusi Geografis Sentralisasi – beberapa scrubbing center besar PoP tersebar secara global, mitigasi lokal dekat sumber Kemampuan Teknologi Bandwidth tinggi, throughput besar Deteksi vektor kompleks, adaptasi otomatis, kemampuan scrubbing paket per paket Dampak terhadap Pengguna Fokus agar “tak down” Fokus agar “layanan tetap responsif, tak terganggu” */ Waktu Respon Bisa 30 detik atau menit Target mili‑detik hingga beberapa detik (TTM rendah) 5. Tips Praktis Agar Pilih Solusi DDoS yang Efektif Agar organisasi bisa memilih layanan mitigasi DDoS yang bukan sekadar punya angka besar, berikut beberapa tips: Uji Kemampuan Time‑to‑Mitigation Pastikan penyedia layanan memberikan data nyata, bukan hanya klaim kapasitas; minta metrik rata‑rata berapa lama mereka bisa mulai mitigasi di berbagai vektor (UDP, TCP, HTTP, mixed). Periksa Distribusi Mitigasi / Lokasi PoP Pilih penyedia yang PoP‑nya tersebar di banyak wilayah (termasuk wilayah pengguna utama Anda), agar serangan bisa ditangani sedini mungkin. Evaluasi Kualitas Scrubbing & Deteksi Pastikan teknologi mitigasi mampu menangani PPS tinggi, flood protokol, juga serangan aplikasi layer; ada threat intelligence & pembelajaran ML yang membantu. Pastikan Trafik Legit Tidak Kena Dampak Negatif Lihat reputasi false positives, latency tambahan yang dihasilkan selama mitigasi. Pengalaman pengguna tidak boleh sampai terganggu. Tanyakan tentang SLA & Transparansi SLA yang realistis dan jelas (contoh: mitigasi untuk Layer 3/4 dalam 3 detik), serta info tentang kapasitas forwarding paket (PPS), bukan hanya bandwidth. Skalabilitas & Resiliensi Pastikan sistem bisa menangani bukan hanya puncak yang ekstrem, tetapi juga serangan berkepanjangan dan multi‑vektor. Arsitektur anycast / mesh network sangat membantu. Kesimpulan Memang, headline tentang DDoS sering berfokus pada angka spektakuler — “serangan 1 Tbps”, “serangan 500 juta PPS” — dan memang impresif. Namun, seperti artikel “Why Scale Isn’t the Only Metric That Matters” menunjukkan, scale tanpa strategi pertahanan yang matang bisa jadi sia‑sia. Pertahanan DDoS yang efektif adalah gabungan dari distribusi mitigasi yang baik, deteksi cepat, scrubbing berkualitas, kemampuan menghadapi berbagai jenis serangan, dan menjaga pelayanan legitimate tetap optimal. Organisasi cerdas akan melihat metrik seperti waktu mitigasi, latency, false positives, dan kualitas kontrol yang diberikan — bukan hanya angka Tbps semata. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan Imperva Indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi imperva.ilogoindonesia.id untuk informasi lebih lanjut!

Dalam era digital yang terus berkembang, keamanan transaksi online menjadi prioritas utama bagi perusahaan yang menangani data kartu pembayaran. Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) telah menjadi acuan global untuk melindungi data sensitif. Dengan diperkenalkannya PCI DSS versi 4.0, fokus pada perlindungan sisi klien semakin penting, terutama dalam menghadapi ancaman dari skrip pihak ketiga dan manipulasi DOM (Document Object Model). 1. Evolusi PCI DSS dan Fokus pada Perlindungan Sisi Klien PCI DSS versi 4.0 memperkenalkan dua persyaratan baru yang menekankan pentingnya perlindungan sisi klien: 6.4.3: Memastikan bahwa data sensitif tidak dapat diekstraksi dari browser pengguna melalui manipulasi DOM. 11.6.1: Mengharuskan pengawasan terhadap skrip pihak ketiga yang diintegrasikan ke dalam halaman pembayaran untuk mencegah potensi kebocoran data. Persyaratan ini berlaku efektif pada Maret 2025, menandakan pentingnya persiapan dini bagi organisasi untuk memastikan kepatuhan. 2. Tantangan dalam Perlindungan Sisi Klien Integrasi skrip pihak ketiga, seperti alat analitik, widget media sosial, dan layanan pembayaran eksternal, dapat meningkatkan fungsionalitas situs web. Namun, hal ini juga membuka celah bagi potensi serangan, seperti: Pencurian data kartu kredit: Melalui skrip jahat yang disuntikkan ke dalam halaman pembayaran. Manipulasi DOM: Mengubah elemen halaman untuk mencuri informasi sensitif. Serangan Magecart: Penyerang menyuntikkan skrip berbahaya ke dalam situs e-commerce untuk mencuri data pembayaran pengguna. 3. Solusi Imperva untuk Perlindungan Sisi Klien Imperva menawarkan solusi perlindungan sisi klien yang komprehensif untuk membantu organisasi memenuhi persyaratan PCI DSS 4.0: Pemantauan Skrip Pihak Ketiga: Mengidentifikasi dan mengelola skrip eksternal yang diintegrasikan ke dalam situs web untuk mencegah potensi risiko. Pengendalian DOM: Mencegah manipulasi elemen halaman yang dapat mengarah pada pencurian data. Audit dan Pelaporan: Menyediakan dokumentasi yang diperlukan untuk audit kepatuhan dan evaluasi risiko. Dengan solusi ini, organisasi dapat memastikan bahwa data sensitif tetap terlindungi selama proses transaksi online. 4. Tabel: Perbandingan PCI DSS 3.2.1 vs. 4.0 dalam Perlindungan Sisi Klien Aspek PCI DSS 3.2.1 PCI DSS 4.0 (Efektif Maret 2025) Fokus Perlindungan Sisi Klien Terbatas Diperluas dengan persyaratan baru Persyaratan Baru Tidak ada 6.4.3 dan 11.6.1 Pengawasan Skrip Pihak Ketiga Tidak diwajibkan secara eksplisit Wajib untuk mencegah kebocoran data Manipulasi DOM Tidak dibahas secara spesifik Harus dicegah untuk melindungi data sensitif 5. Kesimpulan Dengan meningkatnya ancaman terhadap keamanan transaksi digital, memenuhi persyaratan PCI DSS 4.0 menjadi krusial bagi organisasi yang menangani data kartu pembayaran. Solusi perlindungan sisi klien dari Imperva menawarkan pendekatan proaktif untuk mengidentifikasi dan mengelola risiko yang terkait dengan skrip pihak ketiga dan manipulasi DOM. Dengan mengimplementasikan solusi ini, organisasi dapat memastikan kepatuhan terhadap standar keamanan global dan melindungi data sensitif pelanggan. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan Imperva Indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi imperva.ilogoindonesia.id untuk informasi lebih lanjut!

Industri pariwisata telah lama menjadi simbol mobilitas, pengalaman budaya, dan ekonomi global. Di era 2025, transformasi digital mendalam telah mengubah cara traveler merencanakan dan menjalani perjalanan mereka—dari pemesanan tiket, check‑in maskapai, hingga layanan hotel, semuanya banyak dilakukan secara digital. Namun di balik kenyamanan tersebut, tersimpan risiko‑risiko keamanan siber yang nyata dan semakin kompleks. Artikel Securing the Journey: Cybersecurity Challenges in the Tourism Industry dari Imperva menggambarkan bahwa meskipun inovasi teknologi terus berkembang, berbagai ancaman seperti kebocoran data, ransomware, serangan “logika bisnis” (business logic), dan serangan berbasis AI sudah menjadi bagian rutin ancaman yang harus dihadapi oleh para pelaku industri pariwisata. Mari kita selami apa saja tantangan utama, sebabnya, dampaknya, dan bagaimana strategi yang bisa diambil agar industri pariwisata Indonesia — atau perusahaan mana pun dalam industri ini — bisa melindungi pelanggannya, reputasi, dan operasi bisnisnya. 1. Transformasi Digital: Kekuatan & Risiko Digitalisasi memberikan manfaat besar: proses pemesanan lebih cepat, informasi rute dan jadwal real‑time tersedia di aplikasi, pembaruan otomatis, dan fitur‑AI yang membantu rekomendasi destinasi atau rute. Imperva mencatat bahwa mobile apps, platform pemesanan online, dan aplikasi pembayaran lintas batas menjadi bagian dari ekosistem digital yang sangat kompleks. Tapi semua itu memperluas attack surface (permukaan serangan): lebih banyak aplikasi, API, transaksi online, dan integrasi pihak ketiga yang harus dijaga keamanannya. Kesalahan konfigurasi, data yang disimpan tidak terenkripsi, atau kontrol akses yang lemah bisa menjadi pintu masuk bagi serangan. 2. Ancaman Utama yang Dihadapi Imperva mengidentifikasi beberapa ancaman yang paling sering menyerang dan berpotensi besar merusak di industri pariwisata: Ancaman Contoh Dalam Industri Pariwisata Kenapa Ini Berbahaya Kebocoran Data (Data Breaches) Koleksi besar data pelanggan: nama, paspor, informasi pembayaran, itinerary. Contoh: WestJet paspor pelanggan; Marriott pernah bocor juta‑juta nomor paspor. Dampak finansial, tuntutan hukum, rusaknya kepercayaan pelanggan, regulasi seperti GDPR dapat memberi sanksi berat. Ransomware Serangan pada bandara, sistem check‑in, sistem informasi penerbangan yang menyebabkan gangguan operasional. Operasi bisa lumpuh, pendapatan hilang, biaya pemulihan besar, terkadang perusahaan memilih membayar demi menjaga layanan berjalan. Business Logic Attacks Penipuan dalam pemesanan, pencurian poin loyalty, scraping harga tiket, “seat hoarding” atau memesan kursi tanpa membayar agar ketersediaan kursi rusak/tidak adil. Karena menyerupai aktivitas normal, deteksinya susah; bisa mengikis pendapatan dan merusak pengalaman pelanggan. Ancaman dari AI dan Teknologi Baru Phishing berbasis AI, manipulasi aplikasi asisten wisata, rekomendasi palsu, injeksi prompt, serta data latih yang rusak (data poisoning) yang mempengaruhi output sistem. Memberi peluang bagi serangan skala besar otomatis; sulit dideteksi sebelum kerusakan terjadi. 3. Dampak Serangan: Lebih dari Sekadar Finansial Tidak hanya kerugian uang atau pengeluaran untuk perbaikan sistem, dampak dari serangan siber di sektor pariwisata dapat sangat luas: Kehilangan kepercayaan pelanggan: satu kebocoran data besar dapat membuat pelanggan ragu untuk menggunakan aplikasi pemesanan, maskapai, atau hotel tertentu. Kerusakan reputasi jangka panjang: media sosial dan berita cepat menyebarkan berita buruk; satu insiden bisa memengaruhi citra merek selama bertahun‑tahun. Kerugian operasional: downtime sistem check‑in, sistem pembayaran, atau sistem reservasi bisa menyebabkan pembatalan, antrian panjang, bahkan penutupan sementara operasional. Dampak hukum dan regulasi: denda dari regulasi privasi data seperti GDPR, perlindungan konsumen, atau regulasi lokal bisa sangat berat. Biaya pemulihan & mitigasi: termasuk biaya audit keamanan, pemberitahuan pelanggaran ke pelanggan, kompensasi, penguatan sistem, dan asuransi siber. Imperva menyebut bahwa perusahaan pariwisata yang lebih kecil atau menengah rentan terkena dampak finansial besar karena cadangan keuangan mereka terbatas. 4. Strategi & Praktik Keamanan yang Direkomendasikan Untuk menghadapi ancaman‑ancaman ini, artikel Imperva menyarankan pendekatan berlapis (defense in depth) dan langkah‑proaktif, bukan sekadar reaktif. Berikut beberapa praktik terbaik: Strategi Komponen Penting Manfaat yang Didapat Manajemen Data & Privasi Enkripsi data at rest dan in transit; pemrosesan data seminimal mungkin; kebijakan privasi yang jelas; kepatuhan regulasi data seperti GDPR, PCI DSS, atau regulasi lokal. Meminimalkan potensi kebocoran, mengurangi risiko tuntutan hukum, menjaga kepercayaan pelanggan. Keamanan API & Aplikasi Web Proteksi terhadap injeksi kode, validasi input, sanitasi data; audit terhadap aplikasi pihak ketiga; penggunaan WAF (Web Application Firewall); sistem pemeriksaan bot dan anomali. Mencegah scraping data, penyalahgunaan logika aplikasi, melindungi integritas situs pemesanan. Backup, Pemulihan & Segmentasi Cadangan reguler, rencana pemulihan bencana (disaster recovery plan), isolasi sistem penting agar jika satu bagian terinfeksi tidak menyerbuk ke sistem lainnya. Mengurangi waktu pemulihan, mengurangi dampak serangan ransomware, menjaga kontinuitas layanan. Pelatihan & Kesadaran Karyawan Pelatihan rutin untuk staf, simulasi phishing; protokol keamanan untuk menangani email / lampiran mencurigakan; definisi peran dan kontrol akses berbasis tugas. Mengurangi risiko human error, mencegah phishing sukses, meningkatkan respons internal saat insiden. Deteksi Anomali & Pengelolaan Bot Buruk Sistem monitoring real‑time, alat untuk mendeteksi aktivitas tak lazim, bot management, rate‑limiting, analisis trafik otomatis. Menangkap aktivitas mencurigakan lebih awal; mencegah scraping, seat hoarding, serangan otomatis; menjaga kinerja situs dan aplikasi. Kolaborasi & Regulasi Kerjasama antar maskapai / hotel / OTA / penyedia layanan pihak ketiga; berbagi intelijen ancaman; regulasi keamanan siber yang jelas dan enforcement; audit kepatuhan. Memperkuat pertahanan seluruh ekosistem; regulasi mendorong standar keamanan yang lebih tinggi; mengurangi risiko dari vendor/vendor lemah. 5. Tantangan Pelaksanaan Tentu saja, mengimplementasikan strategi‑keamanan ini bukan tanpa hambatan, terutama untuk perusahaan skala kecil atau yang baru memulai digitalisasi: Sumber daya terbatas: investasi keamanan bisa mahal; staf TI mungkin tidak memiliki keahlian keamanan tingkat tinggi. Ekspektasi pengguna vs keamanan: pelanggan mengharapkan pengalaman cepat dan mulus; langkah keamanan tambahan (verifikasi, multifactor authentication) kadang dianggap menyulitkan sehingga perusahaan menunda. Fragmentasi regulasi: banyak negara memiliki aturan berbeda tentang privasi data; perusahaan yang beroperasi secara internasional harus mematuhi banyak regulasi. Pihak ketiga / vendor eksternal: sistem pemesanan / pembayaran / loyalty yang diintegrasikan dari vendor pihak ketiga membawa risiko jika vendor tidak aman. Evolusi cepat ancaman: teknologi seperti AI mempercepat perubahan modus serangan; perusahaan harus terus mengikuti tren & teknik baru agar tidak tertinggal. Kesimpulan Industri pariwisata bergerak cepat dalam inovasi dan digitalisasi—aplikasi mobile, AI, platform pemesanan online, pemrosesan pembayaran lintas batas, dan pengalaman pelanggan yang sangat terpersonalisasi adalah norma hari ini. Tetapi inovasi itu juga membuka pintu risiko: kebocoran data, serangan ransomware, manipulasi logika bisnis, penyalahgunaan AI, dan lain‑lain. Melindungi perjalanan digital bukan hanya soal teknologi, melainkan tentang membangun kepercayaan: kepercayaan pelanggan bahwa data mereka aman, kepercayaan bahwa operasional akan tetap berjalan lancar, dan kepercayaan regulator bahwa…

Pendahuluan Keamanan API (Application Programming Interface) telah menjadi perhatian utama bagi banyak organisasi di era digital ini. API adalah tulang punggung bagi aplikasi modern, memungkinkan komunikasi dan pertukaran data antar berbagai platform. Namun, dengan meningkatnya ketergantungan pada API, ancaman terhadap keamanan API juga semakin meningkat. Untuk itu, penting bagi perusahaan untuk mengadopsi solusi keamanan yang tidak hanya dapat mengidentifikasi ancaman tetapi juga dapat memberikan perlindungan yang kuat dan terintegrasi. Dalam hal ini, Thales, sebuah perusahaan yang terkenal dengan solusi keamanan sibernya, telah diakui oleh KuppingerCole sebagai pemimpin pasar dalam keamanan API pada tahun 2025. Dalam artikel ini, kita akan membahas mengapa Thales dianggap sebagai pemimpin di bidang keamanan API, fitur-fitur unggulan yang mereka tawarkan, serta bagaimana mereka dapat membantu organisasi dalam melindungi API mereka dari berbagai ancaman siber. Mengapa Keamanan API Menjadi Prioritas Utama? Seiring dengan berkembangnya aplikasi berbasis cloud, layanan microservices, dan aplikasi yang semakin terhubung, API kini menjadi komponen yang sangat penting dalam infrastruktur digital. API memungkinkan berbagai sistem dan aplikasi untuk berkomunikasi satu sama lain dan mengakses data secara efisien. Namun, ketergantungan yang tinggi pada API juga membawa berbagai risiko. Serangan terhadap API seperti penyalahgunaan, peretasan data, dan serangan DDoS (Distributed Denial of Service) semakin sering terjadi. API yang tidak dilindungi dengan baik dapat menjadi pintu gerbang bagi peretas untuk mengakses informasi sensitif, merusak sistem, dan menimbulkan kerugian finansial yang besar. Menurut laporan KuppingerCole 2025, meskipun banyak organisasi sudah berinvestasi dalam alat keamanan untuk API, ancaman terhadap API masih terus meningkat. Thales, yang dikenal karena inovasi di bidang keamanan data dan kriptografi, telah menonjol sebagai salah satu penyedia solusi keamanan terbaik untuk API. Mengapa Thales Menjadi Pemimpin dalam Keamanan API? Thales telah diakui sebagai pemimpin pasar dalam keamanan API oleh KuppingerCole 2025 berkat berbagai fitur dan kemampuan yang membedakan mereka dari pesaing. Berikut adalah beberapa alasan mengapa Thales dapat mempertahankan posisinya sebagai pemimpin dalam ruang ini: 1. Solusi Keamanan API yang Terintegrasi Thales menawarkan solusi yang terintegrasi dengan ekosistem teknologi yang ada, memberikan perlindungan menyeluruh untuk API di seluruh siklus hidupnya. Mereka menggabungkan beberapa aspek penting dalam satu platform, termasuk manajemen kunci, perlindungan data, enkripsi, dan pengesahan identitas. Dengan solusi keamanan API dari Thales, organisasi dapat memastikan bahwa data yang dikirimkan melalui API tetap aman, bahkan dalam keadaan ancaman yang berkembang. 2. Fokus pada Kriptografi dan Manajemen Kunci Salah satu keunggulan utama Thales adalah keahliannya dalam kriptografi dan manajemen kunci. Dalam lingkungan API yang semakin terhubung, kriptografi adalah salah satu lapisan perlindungan yang paling efektif. Thales menyediakan solusi manajemen kunci yang memungkinkan organisasi untuk mengelola kunci kriptografi mereka secara aman, serta memastikan bahwa data tetap terlindungi dalam perjalanan atau saat disimpan. 3. Kemampuan Deteksi dan Respons Ancaman yang Canggih Thales dilengkapi dengan kemampuan untuk mendeteksi dan merespons ancaman API secara otomatis. Dengan mengintegrasikan kecerdasan buatan (AI) dan pembelajaran mesin (machine learning), Thales dapat memantau lalu lintas API dan mendeteksi pola perilaku yang mencurigakan. Ini membantu tim keamanan untuk segera merespons potensi serangan sebelum terjadi kerusakan yang lebih besar. 4. Skalabilitas dan Fleksibilitas Keamanan API yang efektif harus dapat beradaptasi dengan kebutuhan dan kompleksitas organisasi yang terus berkembang. Thales menawarkan solusi yang sangat scalable dan fleksibel, sehingga dapat digunakan oleh perusahaan besar maupun kecil yang memiliki infrastruktur API yang kompleks. 5. Kepatuhan Terhadap Standar dan Regulasi Solusi Thales juga sangat mendukung organisasi untuk memenuhi standar kepatuhan dan regulasi yang semakin ketat, seperti GDPR, HIPAA, dan PCI DSS. Ini memberikan rasa aman bagi perusahaan yang perlu memastikan bahwa data mereka dilindungi sesuai dengan persyaratan hukum yang berlaku. Keunggulan Thales dalam Keamanan API Berdasarkan Laporan KuppingerCole 2025 Laporan KuppingerCole 2025 menyatakan bahwa Thales telah menunjukkan keunggulan dalam beberapa area kritikal yang berkontribusi pada kepemimpinannya di pasar keamanan API. Berikut adalah beberapa keunggulan utama yang dibahas dalam laporan tersebut: Keunggulan Deskripsi Integrasi Kriptografi yang Kuat Thales memiliki rekam jejak yang sangat kuat dalam teknologi kriptografi dan manajemen kunci yang aman. Pengelolaan Kunci dan Kebijakan Keamanan Thales menawarkan solusi yang memungkinkan pengelolaan kunci secara terpusat, memperkuat perlindungan data. Kemampuan Deteksi dan Respons Ancaman Solusi Thales dilengkapi dengan AI dan machine learning untuk mendeteksi anomali dan merespons ancaman secara otomatis. Skalabilitas dan Fleksibilitas Solusi Thales dapat disesuaikan untuk memenuhi kebutuhan berbagai jenis organisasi, dari kecil hingga besar. Kepatuhan Regulasi Solusi Thales membantu perusahaan memenuhi berbagai standar keamanan dan regulasi, termasuk GDPR dan PCI DSS. Manfaat Menggunakan Solusi Keamanan API dari Thales Menggunakan solusi keamanan API dari Thales dapat memberikan berbagai manfaat bagi organisasi, di antaranya: 1. Perlindungan Data yang Lebih Baik Thales menyediakan enkripsi data yang kuat dan pengelolaan kunci yang aman, yang sangat penting untuk melindungi informasi sensitif yang ditransfer melalui API. 2. Meningkatkan Keamanan Infrastruktur Digital Dengan memanfaatkan kemampuan Thales dalam mendeteksi dan merespons ancaman, organisasi dapat memperkuat pertahanan API mereka, mencegah kebocoran data dan serangan yang dapat merusak sistem mereka. 3. Mengurangi Risiko Kepatuhan Thales membantu organisasi untuk mematuhi berbagai standar dan regulasi yang ketat, mengurangi risiko denda atau pelanggaran hukum terkait keamanan data. 4. Meningkatkan Efisiensi Operasional Solusi keamanan API Thales yang terintegrasi memungkinkan tim TI untuk mengelola dan memantau API dengan lebih efisien, sehingga dapat mengurangi beban operasional dan meningkatkan produktivitas tim. 5. Menghadapi Ancaman Masa Depan Dengan kemampuan analitik yang canggih dan kecerdasan buatan, Thales membantu organisasi untuk tetap siap menghadapi ancaman siber yang semakin kompleks dan berkembang. Kesimpulan API telah menjadi bagian tak terpisahkan dari dunia teknologi modern, namun dengan semakin tingginya ketergantungan pada API, ancaman terhadap keamanan mereka juga semakin besar. Thales, sebagai pemimpin pasar dalam solusi keamanan API, telah membuktikan kemampuannya dalam memberikan perlindungan yang kuat dan inovatif melalui teknologi kriptografi, manajemen kunci, dan deteksi ancaman otomatis. Laporan KuppingerCole 2025 menunjukkan bahwa Thales telah berhasil mengatasi tantangan yang dihadapi banyak organisasi dalam mengamankan API mereka. Dengan solusi yang sangat terintegrasi dan fokus pada perlindungan data dan kepatuhan regulasi, Thales terus mendefinisikan standar dalam keamanan API. Bagi organisasi yang ingin memperkuat keamanan API mereka dan melindungi data sensitif dari ancaman siber yang terus berkembang, solusi dari Thales merupakan pilihan yang sangat tepat. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan Imperva Indonesia, Anda…

Pendahuluan Di dunia digital yang serba terhubung ini, Application Programming Interfaces (API) memainkan peran yang sangat penting dalam memastikan interoperabilitas antar aplikasi dan sistem. APIs memungkinkan berbagai aplikasi untuk saling berbicara dan bertukar data secara otomatis dan efisien, memudahkan banyak aspek kehidupan digital kita, mulai dari layanan perbankan hingga aplikasi media sosial. Namun, dengan semakin pentingnya API dalam infrastruktur digital, mereka juga menjadi sasaran utama bagi peretas. Dalam beberapa tahun terakhir, API security telah menjadi salah satu tantangan terbesar yang dihadapi oleh tim keamanan siber. Laporan terbaru yang diterbitkan oleh Imperva mengungkapkan bahwa API telah berubah menjadi “garis depan” dalam dunia ancaman siber, dengan serangan terhadap API yang semakin meningkat dan semakin canggih. Meskipun API sangat penting untuk operasi bisnis dan inovasi, tanpa perlindungan yang memadai, mereka dapat membuka pintu bagi berbagai jenis serangan yang sangat merusak. Artikel ini akan mengulas mengapa API menjadi sasaran utama serangan, jenis-jenis serangan yang umum ditemui, dan bagaimana cara melindungi API dari ancaman yang semakin kompleks. Mengapa API Menjadi Garis Depan dalam Serangan Siber? API adalah jembatan antara aplikasi yang berbeda. Mereka menghubungkan aplikasi web, aplikasi mobile, dan aplikasi internal dengan sistem dan data backend, serta memberikan akses langsung ke sumber daya yang sangat sensitif. Itulah sebabnya API menjadi target empuk bagi peretas. Berikut beberapa alasan mengapa API kini menjadi sasaran utama dalam dunia ancaman siber: 1. API Sebagai Penghubung Sumber Daya Sensitif Banyak API yang memberikan akses langsung ke data atau sistem yang sangat sensitif, seperti data pribadi, informasi pembayaran, atau informasi penting lainnya. Karena itu, API sangat berharga bagi peretas yang ingin mencuri data atau merusak sistem dari dalam. 2. API Adalah Pintu Terbuka Dalam banyak kasus, API terbuka untuk berbagai aplikasi pihak ketiga dan pengguna eksternal, yang sering kali memungkinkan akses tidak terbatas. Tanpa kontrol akses yang tepat, API dapat menjadi pintu terbuka bagi peretas yang dapat mengeksploitasi celah keamanan untuk mendapatkan akses ke data sensitif atau sistem internal. 3. Penggunaan API yang Meningkat Seiring dengan adopsi cloud computing, Internet of Things (IoT), dan aplikasi berbasis microservices, penggunaan API terus berkembang. Namun, tidak semua organisasi mengimplementasikan pengamanan yang cukup pada API mereka. Ini menciptakan banyak potensi celah untuk serangan. 4. Ketidaksadaran dalam Keamanan API Banyak organisasi yang lebih fokus pada perlindungan terhadap aplikasi dan infrastruktur utama mereka, sementara keamanan API sering kali diabaikan. API tidak selalu mendapatkan perhatian yang layak dalam strategi keamanan organisasi, dan banyak API yang tidak memiliki pengamanan yang cukup seperti otentikasi yang kuat, enkripsi, dan pembatasan akses. Jenis-Jenis Serangan yang Mengincar API Peretas terus mengembangkan teknik yang semakin canggih untuk mengeksploitasi kelemahan dalam API. Berikut adalah beberapa jenis serangan yang paling umum dan berbahaya yang dapat mengincar API: 1. API Abuse (Penyalahgunaan API) Serangan ini terjadi ketika peretas memanfaatkan API untuk tujuan yang tidak sah. Contohnya adalah menggunakan API untuk mengakses data pribadi pengguna atau mengekspos informasi sensitif lainnya. API abuse sering kali terjadi karena kontrol akses yang lemah atau kesalahan dalam implementasi pengamanan. 2. Distributed Denial of Service (DDoS) pada API Serangan DDoS bertujuan untuk membanjiri API dengan lalu lintas yang sangat tinggi, membuat API tidak dapat digunakan atau menyebabkan downtime. Serangan ini tidak hanya mengganggu operasional aplikasi, tetapi juga bisa merusak reputasi perusahaan yang bersangkutan. 3. Injection Attacks Serangan injeksi, seperti SQL injection atau XML injection, adalah salah satu metode paling umum yang digunakan untuk mengeksploitasi API yang rentan. Serangan ini memungkinkan peretas untuk menyisipkan kode berbahaya ke dalam permintaan API yang dapat merusak data atau memberi akses tidak sah ke sistem backend. 4. Data Breaches (Pelanggaran Data) Dengan mengakses API yang tidak terlindungi dengan baik, peretas dapat mengekspos data pribadi atau informasi sensitif yang digunakan oleh aplikasi. Data breaches ini dapat menyebabkan kebocoran data massal dan kerugian finansial yang sangat besar bagi perusahaan. 5. Man-in-the-Middle (MitM) Attacks Serangan Man-in-the-Middle (MitM) terjadi ketika peretas berhasil menyusup ke dalam komunikasi antara dua pihak yang berinteraksi melalui API. Dengan cara ini, mereka dapat memantau atau memodifikasi data yang dikirimkan antara aplikasi dan server. Bagaimana Cara Melindungi API dari Serangan? Dengan banyaknya ancaman yang mengincar API, sangat penting bagi organisasi untuk mengimplementasikan langkah-langkah perlindungan yang tepat. Berikut adalah beberapa cara yang dapat dilakukan untuk mengamankan API: 1. Otentikasi dan Otorisasi yang Kuat Untuk mencegah akses yang tidak sah, API harus dilengkapi dengan sistem otentikasi yang kuat, seperti OAuth 2.0, API keys, atau JWT (JSON Web Token). Hal ini memastikan bahwa hanya pengguna yang berwenang yang dapat mengakses API dan data sensitif. 2. Penggunaan Enkripsi yang Kuat Data yang dikirimkan melalui API harus selalu dikenkripsi baik saat transit maupun saat disimpan. TLS (Transport Layer Security) adalah protokol enkripsi yang paling umum digunakan untuk memastikan data yang mengalir melalui API tetap aman dari potensi serangan MitM. 3. Pembatasan Akses dan Rate Limiting Untuk mencegah serangan DDoS atau penyalahgunaan API, pembatasan akses dan rate limiting dapat diterapkan. Ini akan membatasi jumlah permintaan yang dapat dilakukan ke API dalam periode waktu tertentu, mencegah sistem dibanjiri oleh lalu lintas berlebihan. 4. Pemantauan dan Deteksi Anomali Organisasi harus memantau aktivitas API secara real-time untuk mendeteksi perilaku yang mencurigakan atau anomali yang dapat mengindikasikan serangan. Alat deteksi ancaman berbasis AI dan machine learning dapat membantu dalam mendeteksi dan merespons serangan secara otomatis sebelum mereka merusak sistem. 5. Penerapan Kebijakan Keamanan Berlapis API harus dilindungi dengan kebijakan keamanan berlapis, yang mencakup kontrol akses, enkripsi, serta pemantauan dan audit berkala terhadap penggunaan API. Dengan cara ini, organisasi dapat mengidentifikasi potensi masalah dan mengatasinya lebih awal. Tabel: Langkah-Langkah Utama dalam Keamanan API Langkah Keamanan Deskripsi Keuntungan Otentikasi dan Otorisasi Gunakan OAuth 2.0, API keys, dan JWT untuk memastikan hanya pengguna berwenang yang dapat mengakses API. Mengurangi akses tidak sah ke API dan data sensitif. Enkripsi Data Terapkan TLS untuk mengenkripsi data yang dikirim melalui API. Menjaga kerahasiaan dan integritas data selama transmisi. Pembatasan Akses dan Rate Limiting Batasi jumlah permintaan API dalam waktu tertentu untuk mencegah penyalahgunaan. Mencegah serangan DDoS dan penyalahgunaan API. Pemantauan dan Deteksi Anomali Gunakan alat untuk memantau aktivitas API dan mendeteksi anomali atau serangan. Mengidentifikasi ancaman lebih cepat dan merespons dengan tepat. Audit…

Di zaman di mana identitas digital kita terus‑menerus diretas, strategi lama dan kebocoran data yang tampaknya sudah lama menjadi senjata ampuh bagi pelaku kejahatan. Tulisan terbaru oleh Imperva mengupas bagaimana kombinasi dari kebocoran data lama, bot‑penjual obat gelap, serta kerentanan dalam tombol Google Pay, bisa dirangkai menjadi serangan SIM swap yang sangat efektif dan tersembunyi. Artikel ini bukan cuma cerita tentang bagaimana terjadi, tapi juga pelajaran penting bagi siapa pun yang punya identitas, kartu pembayaran, atau nomor telepon yang digunakan sebagai alat verifikasi. Latar Belakang Serangan Serangan SIM swap (atau pengambilalihan nomor telepon) terjadi ketika pelaku berhasil mengalihkan nomor ponsel korban ke SIM baru yang mereka kontrol. Dengan nomor telepon, mereka bisa melewati verifikasi SMS, panggilan, atau hal‑hal lain yang bergantung pada nomor telepon itu. Imperva menggambarkan bagaimana beberapa elemen telah mempermudah serangan ini: Kebocoran Data Lama Banyak data seperti nama lengkap, nomor identitas nasional, dan detail kartu kredit (termasuk 4 digit terakhir kartu) sudah menjadi publik melalui berbagai kebocoran terdahulu. Data ini kemudian diperdagangkan atau digunakan kembali sebagai bagian dari verifikasi identitas palsu. Kelemahan dalam Komponen UI / Google Pay Button Imperva menemukan bahwa tombol bayar Google Pay di iframe menampilkan empat digit terakhir kartu pembayaran jika pengguna sudah menyimpan metode pembayaran di akun Google. Meski iframe melindungi konten dari akses JavaScript lintas domain, tampilan visual tetap terlihat, dan pelaku bisa “memotong” (crop) bagian iframe sehingga hanya digit kartu tersebut muncul, lalu mendesain ulang tampilannya agar tampak seperti CAPTCHA atau teka‑teki yang harus diisi korban. Dengan trik CSS dan styling, korban dapat tertipu untuk mengungkapkan digit tersebut tanpa menyadarinya. Bot Obat Gelap & Penggunaan Telegram Di beberapa kota seperti Tel Aviv, tampak iklan obat terlarang yang memakai QR code di poster jalanan, mengarahkan ke kanal Telegram. Kanal‑kanal ini menggunakan bot untuk verifikasi pengguna, identifikasi scam, dan bahkan merekrut kurir. Mereka meminta identitas nasional serta video verifikasi pendek agar cocokkan dengan database kebocoran. Data identitas ini kemudian jadi senjata untuk impersonasi dalam proses verifikasi operator telecom. Cara Kerja Rangkaian Serangan Serangan jenis ini biasanya menggunakan langkah‑berikut: Tahap Aktivitas Pelaku Apa yang Didapat / Manfaatnya Persiapan Mengumpulkan data kebocoran lama: nama, ID nasional, mungkin data pembayaran (4 digit kartu) Mendapat informasi yang dibutuhkan untuk melewati verifikasi di operator telekomunikasi Eksploitasi UI / Google Pay Memanfaatkan tombol Pay di Google Pay yang menampilkan 4 digit terakhir kartu dalam iframe, kemudian melakukan teknik UI overlay / cropping untuk mengekspos digit tersebut Mendapatkan 4 digit kartu sebagai data tambahan verifikasi identitas korban Verifikasi SIM Swap Menghubungi operator telecom (provider) dan memberikan: nama korban + identitas nasional + 4 digit kartu sebagai bukti identitas Operator menyetujui permintaan SIM Swap atau penggantian, terkadang tanpa pemeriksaan tambahan yang memadai Pelanggaran lebih lanjut Setelah mendapatkan nomor SIM baru, pelaku bisa mengakses akun yang memakai verifikasi lewat SMS, reset password, atau otentikasi dua faktor lainnya Mengambil alih akun, mencuri aset digital, akses ke layanan keuangan, dsb. Dampak & Risiko Identitas & privasi pribadi yang terekspos: Data seperti nama dan nomor identitas yang seharusnya “privat” sudah memperlihatkan bahwa mereka tidak begitu rahasia. Ketika dikombinasikan dengan 4 digit kartu, pelaku bisa melewati keamanan yang dianggap “aman”. Kehilangan kontrol atas akun: Akun‑akun yang memakai nomor telepon untuk 2FA atau verifikasi dasar bisa diperantarai. Pelaku bisa melakukan reset password, mengakses email, aplikasi dompet digital, dll. Penipuan & penggunaan identitas: Pelaku bisa menyamar sebagai pemilik asli untuk berbagai tindakan; bahkan ketika hanya dibutuhkan identitas lemah sebagai verifikasi. Normalisasi kejahatan digital: Bot‑bot, kanal Telegram, dan iklan publik telah menjadikan praktik ini bukan lagi kasus langka tetapi aspek yang makin umum di pasar gelap identitas. Tindakan Mitigasi & Rekomendasi Bagaimana kita bisa melindungi diri dari jenis serangan ini? Hapus tampilan 4 digit dari UI publik Seperti yang sudah dilakukan Google setelah dilaporkan oleh Imperva — mereka menghilangkan tampilan 4 digit kartu di tombol Google Pay agar tidak bisa dieksploitasi. Verifikasi identitas operator telekomunikasi yang lebih ketat Jangan hanya mengandalkan nama + 4 digit kartu + nomor identitas nasional (terutama jika data tersebut sudah bocor). Gunakan metode tambahan: PIN tetap, pertanyaan keamanan yang unik, autentikasi biometrik, atau wawancara langsung/offline jika memungkinkan. Lindungi data pribadi lebih baik Pengguna: berhati‑hati di mana mendaftar dan menyertakan data pribadi. Perusahaan / penyedia layanan: memiliki kebijakan pengelolaan data yang lebih kuat agar kebocoran lama tidak terus disalahgunakan. Pendidikan publik & kesadaran keamanan Pengguna perlu disadarkan bahwa aspek kecil (seperti 4 digit kartu) terkadang punya dampak besar, dan bahwa mereka harus skeptis terhadap permintaan data pribadi, terutama lewat media online, Telegram, dll. Monitor aktivitas SIM Swap & blokir awal Operator telekomunikasi bisa memasang peringatan ketika ada permintaan SIM Swap dari alamat / perangkat yang tidak biasa, dan meminta verifikasi tambahan. Pengguna bisa mengatur keamanan tambahan (PIN provider, password untuk akun telekomunikasi). Tabel Pendukung: Ringkasan Kerentanan & Faktor Risiko Komponen Kerentanan / Praktik Tidak Aman Bagian Data yang Diekspos / Dimanfaatkan Risiko yang Timbul Google Pay Button di iframe Menampilkan 4 digit terakhir kartu pembayaran dalam iframe, dapat di‑crop dan dipresentasikan dengan gaya seperti CAPTCHA 4 digit kartu = “last4” Digunakan dalam verifikasi identitas; membantu penyerang melewati cek keamanan operator Kebocoran data lama Nama lengkap, ID nasional, data pembayaran, sering kali ada di database publik / dark web Nama, identitas nasional, historis pembayaran Digunakan bersama data baru untuk impersonasi / verifikasi palsu Bot & kanal Telegram obat terlarang Memerlukan verifikasi foto/ID + video dari pengguna; bot membantu mengecek data dan keberadaan “order” Foto ID, nama, video pendek, nomor telepon Data ini bisa disalahgunakan untuk modifikasi akun atau SIM Swap Verifikasi SIM Swap operator telekomunikasi Proses verifikasi lemah; hanya mengandalkan data statis seperti nama + ID + digits kartu Penggunaan data statis yang sudah bocor dan digit kartu Kemungkinan operator menyetujui swap tanpa pemeriksaan tambahan, membuka akses bagi penyerang Kesimpulan Serangan yang menggabungkan kebocoran data lama, penggunaan bot untuk aktivitas ilegal, dan kerentanan UI seperti pada Google Pay ini menunjukkan bahwa keamanan digital bukan hanya tentang melindungi software atau sistem, tetapi juga tentang mengelola data pribadi dan memperkuat proses verifikasi identitas. Pelaku kejahatan kini memanfaatkan setiap celah, terkadang yang tampak kecil atau sepele seperti…

Di era digital saat ini, API (Application Programming Interface) bukan lagi sekadar pendorong fungsionalitas di balik layar aplikasi dan layanan; mereka telah menjadi frontline dalam peperangan siber. Menurut riset terbaru Imperva (data semester pertama 2025), lebih dari 40.000 insiden API telah diamati dalam 4.000+ lingkungan produksi. Bahkan sebuah serangan DDoS lapisan aplikasi terhadap API finansial mencatat lonjakan hingga 15 juta permintaan per detik. Apa yang membuat API jadi sasaran utama? Karena semuanya berhubungan: data pengguna, transaksi pembayaran, kontrol akses, otentikasi—semua bisa dieksploitasi dengan cara yang tampak “normal”, sehingga sulit dideteksi oleh alat keamanan tradisional. Berikut penjelasan lengkap mengenai apa yang berubah, teknik serangan baru, dan apa yang dapat dilakukan organisasi untuk melindungi diri. Tren & Perilaku Serangan Sistem yang valid ≠ aman Penyerang kini menggunakan permintaan API yang sah (valid) dalam hal syntaks, protokol, dan kontrak API, tapi menyalahi business logic. Contohnya: promosi yang bisa dipakai berulang-ulang (“promo-looping”), pengurasan diskon, pencurian data melalui endpoint baca yang kurang pembatasan objek. Trafik besar tetapi diam-diam (scale + stealth) Dengan penggunaan otomatisasi, botnet/proksi, penyerang bisa melancarkan ribuan atau jutaan request yang secara pencitraan tampak wajar. Sistem alarm tradisional yang berdasar volume/per detik sering kali tidak menangkapnya. “Shadow API” dan endpoint yang terlupakan Organisasi sering kali memiliki endpoint API—termasuk yang dikembangkan untuk integrasi mitra, API internal, atau versi lama—yang tidak terdokumentasi atau tidak dijaga dengan baik. Endpoint semacam ini menjadi lubang keamanan karena bisa diakses oleh penyerang. Target prioritas: data‑akses, payment/checkout, authentication Berdasarkan temuan Imperva, tiga domain paling dieksploitasi adalah akses data (sekitar 37%), transaksi pembayaran / checkout (sekitar 32%), dan otentikasi / login (sekitar 16%). Tantangan Keamanan API yang Harus Diatasi Validitas permintaan bukan jaminan keamanan — dibutuhkan kontrol konteks seperti siapa yang membuat request, objek mana yang diakses, apakah ada pembatasan berdasarkan identitas, hak khusus, dsb. Enforce schema & kontrak API pada runtime — banyak API tidak memeriksa bahwa field‑field yang dikirim sesuai definisi, atau menerima parameter tidak terduga. Deteksi perilaku abnormal yang terhubung dengan indikator bisnis — misalnya lonjakan refund, pemakaian diskon yang tidak biasa, banyak permintaan baca data produk dalam waktu singkat. Pembatasan rate / throttling adaptif — global rate limit berbeda dengan limit kontekstual berdasarkan endpoint, pengguna, objek, dll. Strategi Pertahanan & Langkah Praktis Berikut strategi yang bisa dilakukan organisasi, baik pada level eksekutif maupun implementasi teknis, untuk memperkuat keamanan API mereka. Strategi Eksekutif (High-Level) Memastikan semua API diketahui & didokumentasi; audit API secara aktif agar tidak ada shadow API. Mengklasifikasikan API berdasarkan dampak bisnis: data pribadi (PII), keuangan, autentikasi vs API yang lebih ringan. Prioritaskan yang berisiko tinggi. Menghubungkan keamanan API ke KPI bisnis — misalnya memonitor metrik‑promo, refund, kecepatan reservasi, kenaikan penggunaan endpoint checkout. Tindakan Teknis / Operasi Langkah Penjelasan Singkat Discovery & inventory API Menggunakan metode aktif dan pasif untuk menemukan semua endpoint API (termasuk sejak versi lama, internal, partner) dan memetakan penggunaan, dokumentasi, owner API. Schema & contract enforcement Pastikan API mematuhi definisi (OpenAPI / GraphQL) pada runtime: validasi parameter, payload, field yang tidak diharapkan ditolak. Object‑level authorization Jangan menganggap bahwa semua “read” atau “baca” sama; batasi berdasarkan objek/data spesifik, field filtering, hak akses spesifik pengguna. Behavioral detection + bot defense Kenali pola penyalahgunaan seperti scraping, promo abuse; pakai analitik perilaku & bot defense agar bisa membedakan trafik manusia vs otomatis. Adaptive rate limiting Bukan rate limit kasar global, tapi berdasarkan konteks: endpoint, user, waktu, objek, aktivitas sebelumnya. Token & otentikasi yang aman Gunakan token yang bersifat jangka pendek (short‑lived), scope terbatas, dan jika perlu “step‑up” autentikasi ketika aktivitas mencurigakan muncul. Contoh Kasus & Dampak Salah satu insiden besar melibatkan API finansial yang menjadi sasaran DDoS aplikasi lapis aplikasi, dengan puncak permintaan mencapai 15 juta request/s. Teknik seperti promo‑looping dan scraping data menyasar endpoint yang “tampak normal” — misalnya endpoint baca data yang tidak dilindungi secara objek, atau endpoint checkout yang tidak membatasi jumlah penggunaan diskon. Kerusakan sering baru terlihat setelah waktu lama. Tabel Pendukung: Ringkasan Perbandingan Serangan & Defensinya Aspek Serangan API Modern Pertahanan yang Efektif Metode serangan • Valid request > pelanggaran business logic • Scraping / data exfiltration • Promo abuse (promo-looping), gift‑card cracking • Credential stuffing + token replay • Validasi konteks & objek • Otentikasi & token pendek + step‑up • Filter perilaku bot & baseline • Rate limiting adaptif Endpoint risiko tinggi checkout/payment API data access API authentication API Fokus perlindungan pada endpoint ini, audit dan kontrol akses khusus Masalah umum Shadow APIs Skema tidak dipatuhi Endpoint deprecated tetap aktif Over‑privileged tokens Inventory & dokumentasi API Schema enforcement at runtime Deprecation roadmap Least‑privilege token dan scope Deteksi serangan Volume alarm rendah; signature tools tidak menang karena request terlihat legal Behavioral monitoring, integrasi KPI bisnis, anomaly detection, inline schema validation Dampak bisnis Kehilangan data, kehilangan pendapatan lewat penyalahgunaan diskon, biaya pemulihan, reputasi rusak Lebih sedikit insiden, kepatuhan lebih baik, kepercayaan pelanggan, efisiensi operasional keamanan Kesimpulan API kini bukan lagi bagian tak terlihat dari aplikasi; mereka telah menjadi medan pertempuran utama keamanan siber. Serangan yang paling sulit dideteksi bukanlah yang lewat eksploitasi langsung lewat kerentanan teknis yang mencolok, melainkan penyalahgunaan business logic melalui permintaan yang tampak wajar. Pertahanan harus dilakukan bukan hanya di level teknis, tetapi juga di level organisasi dan proses: inventorikan semua endpoint, tetapkan kepemilikan API, sambungkan keamanan dengan metrik bisnis, dan gunakan kontrol runtime yang lebih cerdas—validasi skema, otorisasi objek, token dengan scope pendek, serta pertahanan terhadap bot dan otomatisasi. Organisasi yang menganggap keamanan API sebagai “fitur tambahan” akan sangat rentan. Yang memandangnya sebagai bagian dari inti bisnis—dan menginvestasikan sumber daya untuk mengelola, memonitor, dan memperkuatnya—lah yang akan menang di medan pertempuran API ini. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan Imperva Indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi imperva.ilogoindonesia.id untuk informasi lebih lanjut!

Di dunia digital yang kian kompleks, peraturan keamanan dan kepatuhan hanyalah sebagian dari perjuangan. Lebih dari itu, ancaman yang tak terlihat – kebocoran informasi sensitif (Sensitive Information Leakage, SIL) – bisa menjadi bom waktu bagi bisnis Anda. Tanpa disadari, data rahasia seperti nomor kartu kredit, log error, atau respons API bisa bocor melalui celah kecil yang sering kali luput dari perhatian. Berikut adalah gambaran mengapa SIL adalah ancaman besar, bagaimana cara kerja solusi proteksi otomatis, serta alasan mengapa Anda tak boleh menunggu sampai terlambat. Ancaman Silent: Apa Itu Sensitive Information Leakage? Kebocoran data tak selalu datang dari serangan hacker besar atau terobosan kekerasan digital. Lebih sering, terjadi karena: Respons API yang secara tidak sengaja mengembalikan data sensitif, seperti kartu kredit secara penuh. (Imperva) Pesan error (error messages) yang memaparkan detail sistem lebih dari yang dibutuhkan. (Imperva) Log debug yang diaktifkan dalam produksi, merekam data rahasia karena konfigurasi yang buruk. (Imperva) Integrasi pihak ketiga atau kode lama yang masih menggunakan praktik keamanan usang. (Imperva) Masalahnya: kebocoran ini sering sulit dideteksi. Sebuah perusahaan mungkin sudah punya kebijakan kepatuhan seperti PCI DSS (standar keamanan kartu pembayaran) secara formal, tapi dalam praktik sehari‐hari, pelanggaran bisa terjadi tanpa ada alaram visible. (Imperva) Dampak Bisnis Bila SIL Tidak Segera Diatasi Aspek Potensi Risiko Regulasi & Hukum Denda besar dari pelanggaran PCI DSS, audit kepatuhan yang negatif, tuntutan hukum pelanggan. Reputasi Hilangnya kepercayaan pelanggan apabila data pribadi terekspos; pemberitaan negatif merusak brand jangka panjang. Biaya Operasional Waktu & sumber daya untuk investigasi manual; koreksi bug; audit; kompensasi korban. Produktivitas & Fokus Internal Tim keamanan & dev harus menangani krisis; mengalihkan fokus dari inovasi ke mitigasi risiko. Dengan besarnya potensi kerugian, sangat jelas bahwa SIL bukan sekadar masalah teknis—ini masalah strategi dan kelangsungan bisnis. Solusi: Otomatisasi & Visibilitas — Tangkal Ancaman Sebelum Meluas Imperva menawarkan fitur Sensitive Information Leakage Protection dalam CloudWAF-nya yang dirancang khusus untuk: Visibilitas penuh – Memantau semua traffic aplikasi, mencari respons atau log yang mungkin menyertakan informasi sensitif seperti nomor kartu kredit secara lengkap. (Imperva) Masking otomatis – Jika data sensitif terdeteksi, sistem akan mem‐masking bagian data yang berbahaya (misalnya 12 dari 16 digit kartu kredit) agar tetap aman namun memungkinkan aplikasi tetap berjalan. (Imperva) Deployment bertahap – Mulai dari mode “alert” untuk memahami seberapa dalam masalahnya, kemudian beralih ke “mask mode” agar otomatis melindungi tanpa harus menghentikan aplikasi. (Imperva) Kenapa Harus Sekarang? Pematuhan bukan lagi pilihan tambahan, tapi syarat hukum & reputasi; pelanggaran bisa berakibat denda besar dan kepercayaan konsumen yang sulit dipulihkan. Efisiensi jangka panjang—investasi dalam sistem deteksi dan perlindungan otomatis menghemat banyak waktu & tenaga dibanding penyelidikan manual setelah terjadi kebocoran. Komitmen keamanan & kepercayaan—pelanggan dan mitra bisnis semakin memperhatikan bagaimana data mereka dilindungi. Menunjukkan bahwa bisnis Anda proaktif terhadap SIL adalah keunggulan kompetitif. Kesimpulan “Tidak mengetahui apa yang kita tidak tahu” adalah inti dari masalah Sensitive Information Leakage. Tanpa alat yang tepat, Anda mungkin menganggap bahwa bisnis sudah aman, padahal di belakang layar banyak data sensitif yang bocor lewat celah‐celah yang tak tampak. Solusi seperti yang ditawarkan Imperva—yang memberi visibilitas, masking otomatis, dan deployment yang mulus—memberikan jembatan untuk menutup jurang antara kepatuhan formal dengan keamanan operasional nyata. Jadi: jangan menunggu audit atau insiden besar dulu untuk bertindak. Mulailah dengan memeriksa apakah aplikasi Anda mungkin sudah “berbicara” melebihi yang seharusnya, lalu pasang proteksi yang bisa langsung bergerak. Bisnis Anda, reputasi Anda, masa depan Anda—semuanya berada di garis depan. Lindungi sekarang, agar tidak menyesal kemudian. Saya juga buat tabel pendukung berikut untuk memperjelas aspek‐aspek utama SIL dan solusi yang ideal: Tabel Pendukung: Komponen SIL vs Solusi Ideal Komponen / Fitur Situasi Umum (Tanpa Perlindungan) Solusi Ideal (Dengan SIL Protection Otomatis) Deteksi Kebocoran Tidak terlihat; error/log/response bocor tanpa peringatan Monitoring otomatis terhadap traffic API & log; alert dignifikatif Masking Data Sensitif Data penuh (contoh: angka kartu credit semua digit) tampil / tersimpan Masking otomatis (mis. hanya menampilkan 4 digit terakhir) Mode Implementasi Mengubah kode atau konfigurasi manual, downtime risiko tinggi Mode “alert” → “mask mode”; transisi lancar tanpa henti operasi Skala & Paket Layanan Mungkin hanya layanan premium atau enterprise; biaya tinggi untuk kecil/mol kecil Tersedia di berbagai paket: profesional, enterprise, fleksibel agar cocok untuk berbagai ukuran bisnis (Imperva) Manfaat Bisnis Denda regulasi, reputasi rusak, ongkos remediasi tinggi Kepatuhan terpenuhi, reputasi terjaga, efisiensi operasional meningkat Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan Imperva Indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi imperva.ilogoindonesia.id untuk informasi lebih lanjut!

Serangan Distributed Denial of Service (DDoS) adalah salah satu jenis ancaman siber yang paling mengganggu dan merusak di era digital saat ini. Meskipun banyak organisasi telah meningkatkan upaya untuk mengatasi dan mengurangi dampak dari serangan DDoS, kenyataannya adalah banyak bisnis yang harus menghadapi ancaman ini secara terus-menerus. Ketika serangan DDoS menjadi bagian dari kenyataan sehari-hari, bagaimana organisasi dapat melindungi infrastruktur mereka dan memastikan kelangsungan operasional? Artikel ini akan membahas tantangan yang dihadapi oleh perusahaan yang selalu berada di bawah ancaman DDoS, bagaimana serangan ini berkembang seiring waktu, serta langkah-langkah yang dapat diambil untuk memitigasi dampaknya dan mengelola serangan tersebut dengan lebih efektif. Apa Itu Serangan DDoS? Serangan DDoS adalah teknik yang digunakan untuk membuat situs web atau layanan online menjadi tidak dapat diakses oleh pengguna yang sah. Serangan ini dilakukan dengan membanjiri server target dengan sejumlah besar lalu lintas atau permintaan palsu, yang menghabiskan semua sumber daya sistem dan menyebabkan gangguan operasional. Tujuan utama dari serangan ini adalah untuk menyebabkan downtime atau menghentikan akses layanan sementara. Dalam beberapa tahun terakhir, serangan DDoS telah menjadi semakin kompleks, dengan para penyerang menggunakan botnet yang terdiri dari ribuan perangkat yang telah terinfeksi malware untuk melancarkan serangan. Perangkat yang terinfeksi ini—termasuk komputer, router, dan perangkat IoT—kemudian digunakan untuk mengirimkan lalu lintas yang berlebihan menuju server yang ditargetkan. Mengapa Serangan DDoS Terjadi Terus-Menerus? Beberapa perusahaan, terutama yang memiliki jejak digital besar dan basis pengguna yang luas, sering kali menjadi target serangan DDoS yang terus-menerus. Ada beberapa alasan mengapa serangan ini tidak pernah berhenti: Motivasi Keuntungan Ekonomi: Banyak serangan DDoS dilakukan dengan tujuan untuk meminta tebusan. Penyerang mengancam untuk melancarkan serangan yang lebih besar kecuali jika korban membayar sejumlah uang tertentu. Persaingan Bisnis: Perusahaan besar sering kali menjadi target serangan oleh pesaing yang ingin merusak reputasi mereka atau mengalihkan lalu lintas ke situs mereka sendiri. Aktivisme dan Aktivisme Sibernetik: Aktivis atau kelompok tertentu dapat melancarkan serangan DDoS untuk memprotes kebijakan atau tindakan organisasi yang mereka anggap kontroversial. Eksploitasi Kerentanannya Infrastruktur: Banyak organisasi tidak memiliki perlindungan yang memadai atau infrastruktur yang siap menghadapi serangan DDoS yang besar, membuat mereka menjadi sasaran empuk bagi penyerang. Dampak Serangan DDoS yang Terus-Menerus Serangan DDoS yang berkelanjutan dapat memberikan dampak yang sangat merugikan bagi organisasi, baik dari sisi operasional, keuangan, maupun reputasi. Beberapa dampak yang sering kali timbul akibat serangan DDoS antara lain: Downtime dan Gangguan Layanan: Situs web atau layanan online yang tidak dapat diakses karena serangan DDoS dapat menyebabkan kerugian finansial, terutama jika situs tersebut digunakan untuk transaksi atau layanan pelanggan. Kehilangan Pendapatan: Gangguan terhadap layanan online dapat langsung berdampak pada pendapatan, terutama untuk bisnis berbasis e-commerce atau layanan digital lainnya yang bergantung pada ketersediaan situs mereka. Kerusakan Reputasi: Ketika pelanggan atau pengguna tidak dapat mengakses layanan atau situs, mereka mungkin mulai kehilangan kepercayaan terhadap merek dan kualitas layanan yang ditawarkan. Beban Sumber Daya yang Tinggi: Serangan DDoS menghabiskan sumber daya jaringan dan infrastruktur yang ada, yang bisa sangat mahal untuk ditangani, terutama jika serangan berlangsung dalam waktu yang lama. Mengelola Serangan DDoS yang Terus Menerus Bagi organisasi yang selalu berada di bawah ancaman DDoS, penting untuk memiliki strategi yang matang dan langkah-langkah pencegahan yang tepat. Beberapa langkah yang bisa diambil untuk mengelola dan merespons serangan DDoS yang terus-menerus meliputi: Penerapan Sistem Perlindungan DDoS yang Kuat: Menggunakan layanan mitigasi DDoS seperti yang ditawarkan oleh penyedia keamanan terkemuka bisa membantu melindungi infrastruktur dan aplikasi. Layanan ini akan memfilter lalu lintas yang mencurigakan dan memungkinkan lalu lintas yang sah untuk tetap berjalan. Perencanaan Respons Insiden: Memiliki rencana tanggap darurat yang terperinci sangat penting agar tim TI dapat merespons dengan cepat dan efektif selama serangan. Rencana ini harus mencakup prosedur komunikasi, eskalasi, dan mitigasi serangan. Skalabilitas Infrastruktur: Infrastruktur yang dapat diskalakan secara otomatis sangat penting untuk menangani lonjakan lalu lintas yang tiba-tiba akibat serangan DDoS. Menggunakan layanan cloud dengan kemampuan untuk menskalakan kapasitas secara otomatis dapat membantu memitigasi dampak serangan. Pemantauan yang Aktif: Pemantauan lalu lintas dan penggunaan alat analitik untuk mendeteksi pola yang mencurigakan dapat membantu mengidentifikasi serangan DDoS sejak dini dan memberikan lebih banyak waktu untuk respons. Penyusunan Kebijakan Keamanan yang Ketat: Mengembangkan kebijakan untuk mengelola risiko DDoS, termasuk pembaruan perangkat lunak yang teratur, pengaturan firewall yang tepat, serta pelatihan untuk tim keamanan, sangat penting untuk mencegah serangan yang berhasil. Kesimpulan Serangan DDoS yang terus-menerus merupakan tantangan besar bagi banyak organisasi yang mengandalkan layanan online untuk operasi mereka. Dengan meningkatnya frekuensi dan kompleksitas serangan DDoS, penting bagi perusahaan untuk memiliki strategi yang solid dan menggunakan teknologi yang tepat untuk memitigasi dampak dari serangan ini. Dengan pendekatan yang tepat, organisasi dapat menjaga kelangsungan operasional mereka, mengurangi kerugian finansial, dan melindungi reputasi merek mereka dari ancaman DDoS yang selalu ada. Tabel Pendukung: Jenis Serangan DDoS Deskripsi Dampak Solusi Perlindungan Volumetrik (Amplification) Menyerang dengan volume lalu lintas yang sangat besar untuk membanjiri server Downtime layanan, pemborosan bandwidth dan sumber daya Penggunaan mitigasi DDoS berbasis cloud Serangan Protokol Menggunakan kelemahan dalam protokol jaringan untuk memanfaatkan sumber daya Gangguan infrastruktur, kerusakan jaringan Firewall dan alat deteksi serangan berbasis protokol Aplikasi Layer DDoS Menyerang aplikasi dengan mengirimkan permintaan berlebihan untuk menghabiskan sumber daya aplikasi Layanan terganggu, penurunan performa aplikasi Pemantauan aplikasi dan penggunaan CDN dengan mitigasi DDoS Serangan Low & Slow Serangan yang sangat lambat dengan sedikit permintaan untuk menghindari deteksi Kelelahan sumber daya server, kesulitan mendeteksi serangan Deteksi trafik abnormal dengan analitik real-time Serangan Botnet Menggunakan ribuan perangkat terinfeksi untuk melancarkan serangan berskala besar Kerusakan perangkat, beban server tinggi Implementasi WAF dan alat mitigasi berbasis botnet Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan Imperva Indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi imperva.ilogoindonesia.id untuk informasi lebih lanjut!

1. Tantangan dalam Keamanan Aplikasi Modern Lingkungan aplikasi saat ini tumbuh sangat cepat dan bersifat terdistribusi — DevOps menerapkan layanan baru setiap hari, API tersebar lintas wilayah, dan lalu lintas berubah-ubah secara dinamis. Di sisi lain, organisasi harus tetap menjaga keamanan, kepatuhan, dan ketersediaan tanpa menghambat kecepatan inovasi. Banyak solusi keamanan tradisional gagal menjawab tantangan ini karena bersifat sentralisasi dan sering menjadi titik bottleneck. 2. Solusi: Pisahkan Control Plane dan Data Plane Pendekatan yang diadopsi oleh Elastic WAF dan Imperva adalah memisahkan control plane (tataran pengelolaan kebijakan) dan data plane (tataran inspeksi lalu lintas). Konsep ini sebenarnya sudah umum di bidang jaringan, komputasi awan, dan service mesh. Pemisahan ini memberikan fleksibilitas untuk skalabilitas, governance, dan proteksi tanpa kompromi. 3. Manfaat Utama Pemisahan a) Ketersediaan saat Control Plane Gagal Jika control plane — tempat kebijakan keamanan dikelola — mengalami gangguan, model tradisional bisa membuat enforcement turut terhenti atau menyebabkan blind spot. Dengan pemisahan, data plane tetap bisa terus bekerja menggunakan konfigurasi terakhir yang valid. Ini penting agar perlindungan aplikasi tetap berjalan meski terjadi outage pada control plane. b) Optimasi Performa Control plane biasanya dioptimasi untuk pengelolaan kompleks, sedangkan data plane dirancang untuk kecepatan. Dengan pemisahan, inspeksi keamanan pada data plane tetap cepat, responsif, dan efisien. Elastic WAF memberikan latency tambahan kurang dari 10 ms per request. c) Skalabilitas Independen Lalu lintas dan jumlah layanan bisa tumbuh secara berdampingan, tapi tidak selalu seimbang. Dengan model terpisah, data plane bisa diskalakan sesuai kebutuhan trafik, sementara control plane diskalakan sesuai kompleksitas kebijakan. Ini mencegah pemborosan sumber daya, serta prinsip serupa dalam SDN dan Kubernetes memperkuat poin ini. d) Isolasi Kesalahan dan Ketahanan Jika control plane mengalami kerusakan, kemampuan inspeksi di data plane tidak terganggu. Keamanan tetap aktif meski sedang terjadi pemeliharaan atau kegagalan di lapisan pengelolaan. e) Governance Tanpa Hambatan Tim keamanan bisa mendefinisikan kebijakan secara terpusat, sementara DevOps dapat menerapkan layanan tanpa penundaan. Ini mendukung tata kelola yang ketat tanpa memperlambat proses pengembangan dan deployment. 4. Arsitektur Imperva Elastic WAF: Implementasi Praktis Model Elastic WAF membagi secara tegas antara control plane dan data plane: Control Plane: Berada di Imperva Security Console. Tempat membuat kebijakan (policy), mendefinisikan aturan lokal (“Local Sites”), dan memonitor event. Konfigurasi dikemas dalam Controller Package yang disebar ke data plane. Data Plane: Dikelola sebagai instance Elastic WAF di lingkungan pengguna (seperti dalam pod Kubernetes). Mereka menerima kebijakan, melakukan inspeksi lalu lintas real-time, dan mengirimkan log/event kembali ke control plane untuk analisis. Keuntungan arsitektur ini mencakup: Definisi kebijakan terpusat dan visibilitas menyeluruh. Inspeksi lokal dengan latensi rendah. Proteksi scalable — setiap lingkungan (dev, staging, prod) bisa diskalakan sendiri-sendiri. Keamanan tetap dan enforcement berlanjut bahkan saat control plane sedang down. 5. Simpul ke Layanan Aktual Misalnya: Anda bisa memiliki kebijakan yang lebih longgar untuk dev.myapp.com, tapi lebih ketat untuk www.myapp.com. Semua ditangani lewat satu antarmuka terpusat. Saat trafik tidak cocok dengan kebijakan lokal, maka diterapkan kebijakan Default Site sehingga tidak ada request yang dibiarkan. Elastic WAF: Containerized, ringan, deploy cepat, siap menyatu dengan infrastruktur hybrid / Kubernetes Anda. Memberikan proteksi enterprise tanpa memperlambat inovasi. Engine arsitektur bebas tergantung CDN atau cloud tertentu. Ideal untuk lingkungan yang berkembang cepat. Tabel Ringkasan Manfaat Pemisahan Control dan Data Planes Aspek Penjelasan / Manfaat Ketersediaan saat gangguan Data plane terus inspeksi meski control plane down Performa Optimal Enforcement cepat tanpa latency signifikan Skalabilitas Mandiri Data plane & control plane scalable terpisah Isolasi Kesalahan Gangguan di satu plane tidak mempengaruhi yang lainnya Tata Kelola Efisien Kebijakan terpusat, deployment tetap gesit Implementasi Imperva Elastic WAF Control di Security Console; Data plane di Kubernetes/Edge; proteksi cepat dan fleksibel Kesimpulan Membedakan control plane dan data plane merupakan desain arsitektur yang esensial untuk aplikasi modern: meningkatkan ketersediaan, performa, skalabilitas, keamanan, dan pengelolaan tanpa kompromi. Imperva Elastic WAF mengimplementasikan model ini secara efektif, memberi kontrol terpusat tanpa mengurangi kelincahan pengembang. Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan Imperva Indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman. Hubungi kami sekarang atau kunjungi imperva.ilogoindonesia.id untuk informasi lebih lanjut!