Zero Trust Security Model: Panduan Implementasi

┌──────────── TRADISIONAL (Castle-and-Moat) ────────────┐
│                                                         │
│  Internet ──▶ [ Firewall ] ──▶ Internal Network        │
│                                    ┌──────────────┐    │
│                                    │ Server A  ✅  │    │
│                                    │ Server B  ✅  │    │
│                                    │ Database  ✅  │    │
│                                    └──────────────┘    │
│  ❌ Setelah lewat firewall → akses ke semua            │
│  ❌ Tidak ada verifikasi di dalam                      │
└─────────────────────────────────────────────────────────┘

┌──────────── ZERO TRUST ───────────────────────────────┐
│                                                         │
│  User/Device ──▶ [ Policy Engine ]                     │
│                     │                                   │
│                     ├── Verify Identity (MFA)           │
│                     ├── Verify Device Health            │
│                     ├── Check Context (location, time)  │
│                     ├── Evaluate Risk Score             │
│                     │                                   │
│                     ▼                                   │
│              ┌──────────────┐                          │
│              │ Resource A   │ ← Hanya jika authorized  │
│              │ Resource B   │ ← Verifikasi per-request │
│              │ Resource C   │ ← Microsegmented         │
│              └──────────────┘                          │
│  ✅ Verifikasi setiap request                          │
│  ✅ Least privilege access                              │
│  ✅ Encrypt everything                                  │
└─────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────┐
│              ZERO TRUST PILLARS                      │
│                                                      │
│  ┌─────────────┐  ┌──────────────┐  ┌────────────┐ │
│  │  IDENTITY   │  │   DEVICES    │  │  NETWORK   │ │
│  │             │  │              │  │            │ │
│  │ • MFA       │  │ • MDM        │  │ • Micro-   │ │
│  │ • SSO       │  │ • EDR        │  │   segment  │ │
│  │ • RBAC      │  │ • Compliance │  │ • SDP      │ │
│  │ • PAM       │  │ • Patch mgmt │  │ • ZTNA     │ │
│  └─────────────┘  └──────────────┘  └────────────┘ │
│                                                      │
│  ┌──────────────────┐  ┌──────────────────────────┐ │
│  │   APPLICATIONS   │  │        DATA              │ │
│  │                  │  │                          │ │
│  │ • Secure coding  │  │ • Classification         │ │
│  │ • API security   │  │ • Encryption (at rest +  │ │
│  │ • WAF            │  │   in transit)            │ │
│  │ • App monitoring  │  │ • DLP                    │ │
│  └──────────────────┘  │ • Access control         │ │
│                         └──────────────────────────┘ │
│                                                      │
│  ┌──────────────────────────────────────────────────┐│
│  │            VISIBILITY & ANALYTICS                ││
│  │  • SIEM/SOAR  • UEBA  • Threat Intelligence     ││
│  │  • Continuous Monitoring  • Incident Response    ││
│  └──────────────────────────────────────────────────┘│
│                                                      │
│  ┌──────────────────────────────────────────────────┐│
│  │            AUTOMATION & ORCHESTRATION             ││
│  │  • Policy Engine  • SOAR  • Automated Response   ││
│  └──────────────────────────────────────────────────┘│
└─────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────────┐
│              NIST ZERO TRUST ARCHITECTURE                 │
│                                                           │
│  ┌─────────────────────────────────────────────────────┐ │
│  │              CONTROL PLANE                           │ │
│  │                                                      │ │
│  │  ┌──────────────┐    ┌───────────────┐              │ │
│  │  │  Policy      │◄──►│  Policy       │              │ │
│  │  │  Engine      │    │  Admin        │              │ │
│  │  │  (Decides)   │    │  (Configures) │              │ │
│  │  └──────┬───────┘    └───────────────┘              │ │
│  │         │                                            │ │
│  │         ▼                                            │ │
│  │  ┌──────────────┐                                   │ │
│  │  │  Policy      │                                   │ │
│  │  │  Information │  ← Threat intelligence            │ │
│  │  │  Point       │  ← Data access policies           │ │
│  │  │              │  ← Compliance requirements        │ │
│  │  └──────────────┘                                   │ │
│  └─────────────────────────────────────────────────────┘ │
│                           │                               │
│                           ▼                               │
│  ┌─────────────────────────────────────────────────────┐ │
│  │              DATA PLANE                              │ │
│  │                                                      │ │
│  │  ┌─────────┐   ┌──────────────┐   ┌──────────────┐ │ │
│  │  │ Subject │──▶│ Policy       │──▶│ Resource     │ │ │
│  │  │ (User/  │   │ Enforcement  │   │ (App/Data/   │ │ │
│  │  │  Device)│   │ Point (PEP)  │   │  Service)    │ │ │
│  │  └─────────┘   └──────────────┘   └──────────────┘ │ │
│  └─────────────────────────────────────────────────────┘ │
│                                                           │
│  Alur: Subject → PEP → Policy Engine → Allow/Deny →      │
│        Resource                                           │
└──────────────────────────────────────────────────────────┘

┌──── TRADISIONAL (Flat Network) ────────────────────────┐
│                                                         │
│  ┌────────────────────────────────────────────────┐    │
│  │                Single Network Zone              │    │
│  │                                                 │    │
│  │  [Web] [App] [DB] [Mail] [File] [HR System]    │    │
│  │   ✅    ✅    ✅    ✅     ✅      ✅            │    │
│  │                                                 │    │
│  │  Semua bisa berkomunikasi satu sama lain        │    │
│  │  ❌ Attacker bisa lateral movement bebas        │    │
│  └────────────────────────────────────────────────┘    │
└─────────────────────────────────────────────────────────┘

┌──── ZERO TRUST (Microsegmentation) ────────────────────┐
│                                                         │
│  ┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────┐  │
│  │ Zone: Web│ │ Zone: App│ │ Zone: DB │ │ Zone: HR │  │
│  │          │ │          │ │          │ │          │  │
│  │ [Web 1]  │ │ [App 1]  │ │ [DB 1]  │ │ [HR App] │  │
│  │ [Web 2]  │ │ [App 2]  │ │ [DB 2]  │ │ [HR DB]  │  │
│  └────┬─────┘ └────┬─────┘ └────┬─────┘ └────┬─────┘  │
│       │            │            │            │         │
│  ─────┼────────────┼────────────┼────────────┼─────    │
│  │    ▼            ▼            ▼            ▼       │  │
│  │  Hanya komunikasi yang diizinkan oleh policy       │  │
│  │  ✅ Web → App:8080    ❌ Web → DB:3306             │  │
│  │  ✅ App → DB:3306     ❌ Web → HR:443              │  │
│  │  ❌ DB → App (reverse)                              │  │
│  └───────────────────────────────────────────────────┘  │
└─────────────────────────────────────────────────────────┘

# ============================================
# Microsegmentation di Kubernetes
# ============================================

# NetworkPolicy: Hanya izinkan traffic dari frontend ke backend API
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: backend-api-policy
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: backend-api
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        # Hanya terima dari pods dengan label app=frontend
        - podSelector:
            matchLabels:
              app: frontend
      ports:
        - protocol: TCP
          port: 8080
  egress:
    - to:
        # Hanya bisa mengakses database
        - podSelector:
            matchLabels:
              app: postgres
      ports:
        - protocol: TCP
          port: 5432
    - to:
        # Bisa DNS resolution
        - namespaceSelector: {}
      ports:
        - protocol: UDP
          port: 53

# ============================================
# NetworkPolicy: Deny All (baseline)
# ============================================
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
  namespace: production
spec:
  podSelector: {}  # Semua pods di namespace
  policyTypes:
    - Ingress
    - Egress
  # Tidak ada ingress/egress rules = deny all

# Pendekatan: Start with deny-all, lalu buka hanya yang diperlukan

┌─────────────────────────────────────────────────────────┐
│         ZERO TRUST IMPLEMENTATION ROADMAP                │
│                                                          │
│  FASE 1: ASSESS (Bulan 1-2)                             │
│  ├── Inventory semua asset (users, devices, apps, data) │
│  ├── Identifikasi data sensitif dan flow kritis         │
│  ├── Mapping akses saat ini (siapa akses apa)           │
│  ├── Gap analysis terhadap Zero Trust principles        │
│  └── Prioritas: Protect crown jewel data dulu           │
│                                                          │
│  FASE 2: IDENTITY FOUNDATION (Bulan 2-4)               │
│  ├── Implementasikan SSO untuk semua aplikasi           │
│  ├── Deploy MFA untuk semua user (FIDO2/Passkeys)      │
│  ├── Implementasi RBAC/ABAC                             │
│  ├── PAM untuk privileged accounts                      │
│  └── Conditional access policies                        │
│                                                          │
│  FASE 3: DEVICE TRUST (Bulan 4-6)                      │
│  ├── Deploy endpoint management (MDM/UEM)              │
│  ├── Implementasi device compliance checks              │
│  ├── Deploy EDR (Endpoint Detection & Response)       │
│  ├── Device health attestation                          │
│  └── Certificate-based device identity                  │
│                                                          │
│  FASE 4: NETWORK TRANSFORMATION (Bulan 6-12)           │
│  ├── Microsegmentasi kritis (database, apps)            │
│  ├── Deploy ZTNA (Zero Trust Network Access)            │
│  ├── Encrypt semua traffic internal (mTLS)              │
│  ├── Replace VPN dengan ZTNA                            │
│  └── Implementasi Software-Defined Perimeter (SDP)     │
│                                                          │
│  FASE 5: DATA PROTECTION (Bulan 8-12)                  │
│  ├── Data classification dan labeling                   │
│  ├── Encrypt data at rest dan in transit                │
│  ├── DLP (Data Loss Prevention) policies                │
│  ├── Data access monitoring dan audit                   │
│  └── Rights management                                  │
│                                                          │
│  FASE 6: VISIBILITY & ANALYTICS (Bulan 10-14)         │
│  ├── Deploy SIEM/SOAR                                   │
│  ├── Implementasi UEBA (User Entity Behavior Analytics) │
│  ├── Threat intelligence integration                    │
│  ├── Continuous monitoring                              │
│  └── Automated incident response                        │
│                                                          │
│  FASE 7: AUTOMATION & OPTIMIZATION (Ongoing)           │
│  ├── Policy as Code                                     │
│  ├── Automated compliance checks                        │
│  ├── Continuous improvement berdasarkan analytics       │
│  └── Regular security assessments                       │
└─────────────────────────────────────────────────────────┘

# ============================================
# Implementasi Zero Trust dengan Cloudflare Access
# ============================================

# Cloudflare Access bertindak sebagai PEP (Policy Enforcement Point)
# Setiap request ke aplikasi internal melewati Cloudflare Access dulu

# 1. Setup Access Policy (via Cloudflare Zero Trust Dashboard)
#    atau Terraform:

resource "cloudflare_access_policy" "internal_app" {
  account_id = var.cloudflare_account_id
  zone_id    = var.cloudflare_zone_id
  name       = "Internal App Access Policy"
  decision   = "allow"
  precedence = 1

  include {
    email = ["team@example.com"]
  }

  # Conditional: require device to be compliant
  require {
    # Device harus terdaftar di MDM
    device_posture = ["mdm_compliant"]
    # Minimum authentication method
    auth_method = ["mfa"]
  }
}

# 2. Aplikasi internal diakses melalui:
#    https://internal-app.example.com
#    → Cloudflare intercepts
#    → User diminta login (SSO + MFA)
#    → Device compliance check
#    → Jika semua pass → proxy ke backend
#    → Jika ada yang fail → deny access

# ============================================
# Implementasi Zero Trust dengan Tailscale
# ============================================

# Install Tailscale di semua device
# curl -fsSL https://tailscale.com/install.sh | sh

# Login
tailscale up

# Set ACL policy (HuJSON format):
{
  "acls": [
    {
      // Hanya developer yang bisa akses server dev
      "action": "accept",
      "src": ["group:developers"],
      "dst": ["tag:dev-server:22,8080"]
    },
    {
      // Hanya admin yang bisa akses production database
      "action": "accept",
      "src": ["group:admins"],
      "dst": ["tag:prod-db:5432"]
    }
    // Semua traffic lainnya: DENY (implicit)
  ]
}

# ============================================
# Implementasi mTLS (mutual TLS) di Nginx
# ============================================
server {
    listen 443 ssl;
    server_name api.internal.com;
    
    # Server certificate
    ssl_certificate /etc/ssl/server.crt;
    ssl_certificate_key /etc/ssl/server.key;
    
    # Client certificate verification (mutual TLS)
    ssl_client_certificate /etc/ssl/ca.crt;
    ssl_verify_client on;  # WAJIB — client harus present cert
    
    # Hanya izinkan client dengan certificate yang valid
    location / {
        if ($ssl_client_verify != SUCCESS) {
            return 403;
        }
        
        # Pass client identity ke backend
        proxy_set_header X-Client-CN $ssl_client_s_dn_cn;
        proxy_pass http://backend;
    }
}