Belajar Solution Architect - Security Architecture in Solution

#Pendahuluan

Setelah di episode 17 kalian bisa membuktikan risiko terbesar desain lewat PoC yang timeboxed dan berakhir sebagai ADR berbukti, kita masuk Fase 4 dengan pendalaman security dari sudut pandang arsitektur. Episode 8 memberi fondasi (threat model, enkripsi, secret, least privilege); sekarang kita naikkan levelnya: bagaimana seluruh kontrol itu disusun menjadi pertahanan yang berlapis dan koheren untuk satu solusi.

Mengapa perlu lapisan? Karena asumsi "kontrol tunggal yang kuat" selalu kalah jangka panjang: WAF bisa di-bypass, credential bisa bocor, patch bisa terlambat. Arsitektur security yang matang bekerja seperti kapal selam — kompartemen berlapis sehingga satu kebocoran tidak menenggelamkan semuanya.

#Defense in Depth: Lapisan demi Lapisan

Susun kontrol solusi kalian dalam enam lapisan, dari luar ke dalam:

Cara membaca diagram ini saat review desain: untuk setiap ancaman yang masuk, hitung berapa lapisan yang harus ditembus sebelum menyentuh data. Serangan bot scraping harus kalah di lapisan 1-2; kompromi satu service token harus berhenti di lapisan 3-4 karena IAM-nya granular; bahkan akses fisik storage harus gagal di lapisan 6 karena enkripsi.

Dua prinsip yang mengikat lapisan-lapisan itu:

• Least privilege di semua lapisan — bukan hanya IAM: network policy antar-pod, firewall antar-subnet, izin database per user aplikasi.
• Fail secure — ketika kontrol gagal, ia gagal menutup akses (deny by default), bukan membuka. Security group default-deny adalah contohnya.

#Zero Trust untuk Manusia dan Mesin

Model keamanan modern meninggalkan asumsi "dalam jaringan internal aman". Prinsipnya diringkas tiga kalimat: verifikasi eksplisit setiap permintaan, berikan akses minimum, asumsikan pelanggaran bisa terjadi.

#Identitas Manusia

• Semua akses administratif via SSO + MFA; tanpa akun lokal paralel.
• Akses produksi just-in-time: diminta → disetujui → dicatat → kedaluwarsa otomatis (episode 8), idealnya via sesi audit-able (SSM Session Manager setara) alih-alih SSH statis.
• Kondisional akses: lokasi, device posture, dan jam kerja mempengaruhi keputusan otorisasi.

#Identitas Mesin

Bagian yang lebih baru dan lebih sulit: setiap service/workload punya identitas kriptografis sendiri (IAM role, SPIFFE/SPIRE, workload identity federation) — bukan shared credentials di environment variable. Komunikasi antar-service memakai mTLS sehingga "panggilan dari subnet internal" tidak lagi otomatis dipercaya.

order-service   -> role: baca/tulis DB orders, publish event payment.*
ticket-service  -> role: consume payment.*, tulis bucket e-tiket
email-service   -> role: consume email.*, panggil SES saja
dashboard       -> role: read-only warehouse via proxy analitik
manusia on-call -> JIT session, audit log wajib, tanpa kredensial permanen

Matriks kecil seperti ini adalah artefak review paling bernilai: ia membuat lubang privilege terlihat seketika ("kenapa dashboard boleh tulis warehouse?").

#Threat-Informed Design

Untuk melampaui checklist generik, desainlah dengan referensi katalog serangan nyata. Dua sumber standar:

• MITRE ATT&CK — taksonomi taktik & teknik penyerang (initial access, persistence, lateral movement, exfiltration). Latihan praktis: pilih teknik yang relevan untuk solusi kalian (misal T1078 valid accounts, T1530 data from cloud storage), lalu pastikan ada lapisan yang menghambat dan telemetri yang mendeteksinya.
• OWASP Top 10 / ASVS untuk sisi aplikasi web — gunakan ASVS sebagai rubrik verifikasi level keamanan yang dituntut (level 1 umumnya minimal untuk solusi publik).

Bentuk konkret threat-informed design pada solusi tiket:

Kolom deteksi itulah yang membedakan desain dewasa: pencegahan pasti ada yang lolos, maka setiap penghambat penting punya alarm pasangannya.

#Deteksi, Respons, dan Forensik Ringan

Solusi production butuh kapabilitas melihat dan bereaksi:

1. Centralized logging dengan integritas — log aplikasi, audit IAM, network flow dikumpulkan ke tempat yang tidak bisa dimodifikasi aplikasi; retensi disesuaikan kebutuhan investigasi (dan regulasi, episode 19).
2. Deteksi berbasis aturan + anomali — mulai dari aturan sederhana yang pasti bernilai: akses root account, IAM policy berubah jadi wildcard, egress trafik melonjak, banyak file diakses satu identitas.
3. Incident runbook per skenario utama — langkah pertama saat alarm X bunyi: siapa dipanggil, apa yang diisolasi dulu, bagaimana menjaga evidence. Latihan tabletop 60 menit per kuartal cukup menjaga dokumen tetap hidup.
4. Forensik-ready — snapshot instance terkompromi sebelum dimatikan, simpan log window insiden, catat timeline. Keputusan arsitektur yang membuat ini mudah: EBS encryption default, logging immutable, NTP tersinkron.

#Supply Chain dan Dependency

Permukaan serangan yang paling sering diremehkan: apa yang kalian impor:

• Lockfile wajib dan diverifikasi CI (npm ci, bukan install bebas).
• Image base minimal dan pinned by digest; rebuild berkala untuk patch OS.
• Vulnerability scanning di pipeline (image + dependency), dengan kebijakan: critical = blok merge/deploy, high = SLA 7 hari.
• SBOM ringkas per rilis agar saat CVE besar terbit, kalian jawab "terdampak atau tidak" dalam jam, bukan minggu.
• Sigstore/signing untuk image produksi adalah plus yang makin lazim di lingkungan regulatif.

Ini melanjutkan baseline dependency hygiene episode 8 ke tingkat kebijakan organisasi — dan biasanya jadi temuan audit pertama jika diabaikan.

#Menyatukan ke SDD

Perbarui bagian 6 SDD kalian dengan struktur arsitektur security:

Lapisan        : diagram defense in depth + kontrol per lapisan
Identitas      : matriks human/service identity + mekanisme (SSO/JIT/mTLS)
Threat-informed: tabel ATT&CK top-5 -> penghambat + deteksi
Respons        : alarm utama, runbook pointer, retensi log forensik
Supply chain   : kebijakan dependency/image scanning + SBOM

Bagian ini yang akan dibaca tim security saat architecture review episode 24 — dan yang membuat diskusi mereka produktif, karena semua keputusan sudah punya alasan tertulis.

#Penutup

Inti yang harus dibawa pulang:

• Susun kontrol dalam defense in depth: edge, perimeter, jaringan, identitas, aplikasi, data — hitung lapisan yang harus ditembus tiap ancaman.
• Zero trust berlaku dua populasi: manusia (SSO/MFA/JIT) dan mesin (identitas per-workload, mTLS); buat matriks identitas sebagai artefak review.
• Desain threat-informed dengan MITRE ATT&CK + OWASP ASVS: tiap teknik risiko tinggi dapat penghambat DAN deteksi.
• Kapabilitas deteksi-respons: log terpusat immutable, alarm berbasis aturan nyata, runbook insiden, dan kemampuan forensik dasar.
• Amankan rantai pasok: lockfile, image pinned, scanning dengan kebijakan blocking, SBOM.

Di episode 19 selanjutnya kita akan membahas compliance solution — menerjemahkan regulasi (PDP/GDPR/PCI-DSS/SOX) menjadi kontrol teknis yang bisa diaudit, menyusun evidence pipeline otomatis, serta merancang solusi yang lolos audit tanpa drama. Sampai jumpa di episode 19!