7 Jalur Autentikasi Windows yang Lewati Proteksi MFA dan Rentan Penyalahgunaan Kredensial

Multi-Factor Authentication (MFA) kerap dianggap sebagai benteng terakhir untuk mencegah akses tidak sah ketika kata sandi dicuri. Namun, dalam lingkungan Windows, asumsi bahwa MFA sudah cukup melindungi sistem dari pencurian kredensial seringkali keliru. Penyerang masih rutin berhasil mengakses jaringan dengan menggunakan kredensial valid tanpa terdeteksi oleh mekanisme MFA. Masalahnya bukan pada MFA itu sendiri, melainkan cakupan dan implementasinya yang belum menyeluruh.

MFA yang diterapkan lewat penyedia identitas (IdP) seperti Microsoft Entra ID, Okta, atau Google Workspace memang efektif untuk aplikasi cloud dan login federasi. Tapi sebagian besar autentikasi Windows masih bergantung pada jalur autentikasi Active Directory (AD) tradisional yang tidak memicu permintaan MFA. Oleh karena itu, tim keamanan harus memahami dimana saja autentikasi Windows terjadi di luar kendali IdP mereka.

7 Jalur Autentikasi Windows yang Sering Dimanfaatkan Penyerang

1. Login Windows Interaktif (lokal atau domain-joined)
   Login langsung ke workstation atau server Windows biasanya divalidasi oleh AD dengan protokol Kerberos atau NTLM, bukan oleh IdP cloud. Di lingkungan hybrid, meskipun Entra ID menerapkan MFA untuk aplikasi cloud, login tradisional ke domain controller tetap hanya mengandalkan kata sandi tanpa faktor tambahan kecuali jika organisasi mengaktifkan Windows Hello for Business atau smart card. Jika penyerang mendapatkan kata sandi atau hash NTLM pengguna, mereka dapat masuk tanpa memicu MFA, karena dari sisi domain controller ini dianggap autentikasi biasa.
   Solusi seperti Specops Secure Access penting untuk membatasi risiko penyalahgunaan kredensial dengan menerapkan MFA bahkan untuk login Windows, VPN, dan RDP, termasuk perlindungan untuk login offline dengan kode sekali pakai.
2. Akses RDP langsung yang melewati kebijakan akses kondisional
   RDP merupakan target utama serangan di Windows. Walaupun RDP tidak terpapar langsung ke internet, penyerang bisa mengaksesnya lewat pergerakan lateral setelah kompromi awal. Sesi RDP langsung ke server biasanya tidak melewati kontrol MFA berbasis cloud sehingga login hanya mengandalkan kredensial AD.
3. Autentikasi NTLM
   NTLM adalah protokol lama yang masih dipakai untuk kompatibilitas, namun rentan terhadap serangan seperti pass-the-hash. Penyerang tidak perlu kata sandi asli, cukup menggunakan hash NTLM sebagai bukti identitas. MFA tidak efektif jika sistem menerima hash tersebut sebagai autentikasi. NTLM juga sering terjadi dalam alur autentikasi internal yang tidak terpantau secara aktif oleh tim keamanan.
4. Penyalahgunaan tiket Kerberos
   Kerberos adalah protokol utama di AD. Penyerang dapat mencuri tiket Kerberos dari memori atau membuat tiket palsu (Golden Ticket, Silver Ticket) setelah menguasai akun dengan hak istimewa. Teknik ini memungkinkan akses jangka panjang dan pergerakan lateral, mengurangi kebutuhan login ulang sehingga memperkecil peluang terdeteksi. Serangan ini dapat bertahan walaupun kata sandi sudah diubah jika kompromi tidak ditangani tuntas.
5. Akun administrator lokal dan pengulangan kredensial
   Masih banyak organisasi mengandalkan akun administrator lokal untuk tugas dukungan dan pemulihan sistem. Jika kata sandi akun ini digunakan ulang di banyak endpoint, satu kompromi dapat menyebabkan akses luas. Akun ini biasanya langsung autentikasi ke perangkat tanpa MFA, di luar cakupan kebijakan akses Entra ID, sehingga menjadi titik lemah utama dalam keamanan Windows.
6. Autentikasi SMB dan pergerakan lateral
   SMB digunakan untuk berbagi file dan akses jarak jauh ke sumber daya Windows dan merupakan jalur pergerakan lateral yang andal bagi penyerang dengan kredensial valid. SMB biasanya dianggap sebagai lalu lintas internal dan jarang diberlakukan MFA. Penyerang dapat menggunakan SMB untuk mengakses share administratif seperti C$ dan mengendalikan sistem lainnya dengan cepat.
7. Akun layanan yang tidak pernah memicu MFA
   Akun layanan dipakai untuk menjalankan tugas terjadwal, aplikasi, integrasi, dan layanan sistem. Biasanya memiliki kredensial tetap, hak akses luas, dan masa aktif panjang. Seringkali password akun layanan tidak pernah kedaluwarsa dan minim pengawasan. Karena autentikasi otomatis, akun ini sulit dilindungi MFA dan sering dipakai oleh aplikasi lawas yang tidak mendukung kontrol autentikasi modern. Oleh karena itu, akun helpdesk dan admin endpoint menjadi target awal dalam intrusi.

Strategi Menutup Celah Autentikasi Windows

Tim keamanan harus menganggap autentikasi Windows sebagai permukaan serangan tersendiri dan mengambil langkah praktis berikut untuk mengurangi risiko:

1. Terapkan kebijakan kata sandi yang lebih kuat di AD
   Gunakan frasa sandi panjang minimal 15 karakter yang mudah diingat tapi sulit ditebak. Hindari pola lemah dan cegah penggunaan ulang kata sandi.
2. Blokir kata sandi yang sudah bocor secara berkelanjutan
   Gunakan database kredensial bocor untuk mencegah pengguna memakai kata sandi yang sudah diketahui publik. Ini mengurangi peluang penyerang menggunakan kredensial lama.
3. Kurangi penggunaan protokol autentikasi lama seperti NTLM
   Lakukan inventarisasi penggunaan NTLM, batasi atau hapus jika memungkinkan, dan kencangkan kontrol jika tidak bisa dihilangkan.
4. Audit akun layanan dan kurangi hak akses berlebih
   Inventarisasi akun layanan, putar kredensial secara rutin, dan hapus akun yang tidak diperlukan. Anggap akun dengan hak domain sebagai target utama serangan.

Solusi dari Specops untuk Memperkuat Keamanan Kredensial

Specops Password Policy menawarkan kebijakan kata sandi yang lebih fleksibel dibandingkan pengaturan bawaan Microsoft, termasuk fitur Perlindungan terhadap Kata Sandi Bocor yang secara otomatis memeriksa password AD terhadap lebih dari 5,4 miliar kredensial yang sudah terekspos. Ini memungkinkan deteksi dan mitigasi risiko penggunaan password berbahaya secara cepat.

Jika organisasi ingin melihat bagaimana Specops dapat membantu memperkuat keamanan kredensial Windows, dapat menghubungi ahli Specops atau menjadwalkan demo solusi mereka.

Analisis Redaksi

Menurut pandangan redaksi, masalah utama yang membuat MFA gagal melindungi lingkungan Windows bukanlah teknologi MFA itu sendiri, melainkan ketidaktahuan dan kurangnya cakupan proteksi pada autentikasi lokal dan protokol lama. Penyerang memanfaatkan celah autentikasi tradisional yang tidak tersentuh kebijakan MFA berbasis cloud, sehingga kredensial valid tetap bisa disalahgunakan dengan mudah. Ini mencerminkan perlunya pendekatan keamanan yang holistik dan terintegrasi, tidak hanya fokus pada MFA di lapisan aplikasi cloud.

Ke depannya, organisasi harus mulai memandang autentikasi Windows sebagai permukaan serangan yang penting dan menerapkan mekanisme keamanan berlapis, termasuk penguatan kebijakan kata sandi, penghapusan protokol usang seperti NTLM, dan pengawasan ketat akun layanan. Tanpa langkah-langkah ini, serangan berbasis kredensial akan terus menjadi ancaman besar yang sulit dideteksi dan dihentikan.

Para pembaca disarankan untuk memantau perkembangan solusi keamanan Windows dan terus memperbarui kebijakan serta teknologi proteksi mereka agar tidak menjadi korban serangan yang memanfaatkan celah autentikasi ini.