API telah menjadi fondasi penting bagi aplikasi modern, cloud, mobile applications, microservices, dan berbagai layanan digital, tetapi pertumbuhan endpoint juga memperluas attack surface yang perlu diamankan melalui strategi keamanan API yang lebih menyeluruh. Akamai mencatat 150 miliar serangan terhadap API sepanjang Januari 2023 hingga Desember 2024, sementara serangan yang berkaitan dengan OWASP API Security Top 10 meningkat 32 persen, termasuk risiko dari shadow dan zombie API yang kerap luput dari pengawasan.
Tantangannya bukan hanya volume serangan, tetapi juga keterbatasan visibility terhadap API yang aktif dan data yang diproses, dengan 85 persen organisasi dalam penelitian Akamai 2025 melaporkan setidaknya satu insiden keamanan API dalam 12 bulan terakhir. Bahkan, hanya 37 persen responden yang dapat memastikan API mana yang mengekspos data sensitif, menunjukkan pentingnya API discovery dan monitoring berkelanjutan untuk menemukan shadow API, memahami eksposur data, dan mendeteksi perilaku endpoint yang mencurigakan.
Bahaya Tersembunyi Shadow API dalam Arsitektur Aplikasi Modern
Shadow API adalah endpoint API yang aktif digunakan tetapi tidak diketahui, tidak terdokumentasi, atau tidak dikelola secara resmi oleh tim yang bertanggung jawab atas keamanan dan governance API. Endpoint seperti ini dapat muncul ketika developer membuat API baru untuk kebutuhan aplikasi, eksperimen, integrasi internal, atau project tertentu tanpa memasukkannya ke dalam inventaris keamanan.
Sementara itu, zombie API merupakan API versi lama atau endpoint yang seharusnya sudah tidak digunakan tetapi masih aktif. Keduanya berbahaya karena dapat menciptakan security blind spot. Jika endpoint tidak diketahui oleh security team, endpoint tersebut berpotensi tidak mendapatkan pengujian keamanan, monitoring, authentication policy, atau protection yang sama dengan API resmi.
Pembentukan Shadow API di Lingkungan CI/CD dan Multi Cloud
Percepatan pengembangan aplikasi melalui CI/CD membuat API dapat dibuat, diperbarui, dan dirilis dengan sangat cepat. Dalam lingkungan multi cloud, microservices, container, dan third-party integration, jumlah endpoint juga dapat berkembang tanpa selalu diikuti pembaruan inventaris secara manual.
API yang dibuat untuk kebutuhan sementara juga dapat tertinggal setelah project selesai. Ketika endpoint tersebut tetap aktif tetapi tidak lagi dipantau, API dapat berubah menjadi zombie API.
Karena itu, inventaris API tidak seharusnya hanya bergantung pada dokumentasi developer atau daftar API gateway. Visibility perlu dibangun dari aktivitas API yang benar-benar berjalan di lingkungan organisasi.
Ancaman OWASP API Security Top 10 Akibat Endpoint Tanpa Pengawasan
Shadow API dapat memperbesar risiko yang tercakup dalam OWASP API Security Top 10, terutama ketika endpoint tidak mendapatkan konfigurasi dan pengujian keamanan yang memadai. OWASP mencakup berbagai risiko seperti Broken Object Level Authorization, Broken Authentication, Broken Object Property Level Authorization, Unrestricted Resource Consumption, Broken Function Level Authorization, Security Misconfiguration, Improper Inventory Management, dan Unsafe Consumption of APIs.
Salah satu risiko yang paling relevan dengan shadow dan zombie API adalah API9:2023 Improper Inventory Management. OWASP menekankan pentingnya inventaris endpoint, host, dan versi API yang akurat untuk membantu mengurangi risiko API yang sudah deprecated atau endpoint debug yang masih terekspos. Dengan kata lain, organisasi tidak dapat mengamankan sesuatu yang tidak diketahui keberadaannya.
3 Langkah Strategis Amankan Ekosistem API Skala Enterprise
Mengamankan API enterprise membutuhkan pendekatan yang lebih menyeluruh daripada sekadar memasang WAF atau API gateway. Organisasi perlu membangun visibility terhadap seluruh API estate, memahami data yang mengalir melalui endpoint, serta memantau perilaku API secara berkelanjutan.
1. Melakukan AUtomated API Discovery Secara Kontinu
Inventaris API yang dibuat secara manual dapat cepat menjadi tidak akurat karena API terus berubah mengikuti kebutuhan aplikasi dan bisnis. Automated API Discovery membantu memetakan endpoint berdasarkan aktivitas dan sumber data yang relevan, termasuk API yang sudah diketahui, API yang belum terdaftar, shadow API, maupun endpoint lama yang masih aktif.
Pendekatan ini memungkinkan security team membangun continuous API inventory, bukan sekadar melakukan audit API secara berkala. Akamai, mendukung discovery melalui traffic, code, API specifications, gateway, cloud environment, dan external exposure points.
2. Klasifikasi Alur Data Sensitif dan Deteksi PII
Mengetahui keberadaan API saja belum cukup. Security team juga perlu memahami data apa yang diproses atau diekspos oleh API.
Endpoint dapat membawa Personally Identifiable Information atau PII, data finansial, credential, informasi pelanggan, maupun data bisnis sensitif dalam request dan response. Dengan mengidentifikasi API yang berhubungan dengan data sensitif, organisasi dapat memprioritaskan endpoint berdasarkan tingkat risikonya dan menentukan protection policy yang sesuai.
3. Penerapan Schema Validation dan Continuous Behavioral Monitoring
API security juga perlu memastikan bahwa traffic yang masuk sesuai dengan perilaku dan struktur API yang diharapkan. Schema validation dapat digunakan untuk memvalidasi request terhadap OpenAPI specification atau schema yang telah ditentukan.
Sementara itu, behavioral monitoring membantu mendeteksi aktivitas yang menyimpang dari pola normal, termasuk authorization abuse, suspicious requests, data exposure, atau indikasi business logic abuse.
Sinergi Akamai dan F5 Distributed Cloud untuk Perlindungan API Menyeluruh
Perlindungan API enterprise idealnya mencakup lebih dari satu tahap. API perlu diamankan sejak development dan testing hingga berada di lingkungan production.
Akamai API Security berfokus pada pendekatan lifecycle yang mencakup Discover, Test, Detect, dan Respond, sedangkan F5 Distributed Cloud WAAP memberikan kemampuan discovery, behavioral analysis, schema-based protection, dan enforcement pada traffic aplikasi aktif.
Akamai API Security untuk Pengujian CI/CD dan Analisis Perilaku Runtime
Akamai API Security membantu organisasi menemukan dan menginventarisasi API secara berkelanjutan, termasuk shadow, zombie, dan unmanaged API. Pada tahap pre-production, Akamai mendukung 200+ dynamic API security tests yang dapat diintegrasikan dengan workflow CI/CD untuk mengidentifikasi potensi vulnerability sebelum API dirilis ke production.
Pada runtime, platform dapat menganalisis perilaku API untuk membantu mengidentifikasi API abuse, business logic risk, sensitive data exposure, data scraping, tampering, dan aktivitas abnormal lainnya.
F5 Distributed Cloud WAAP untuk Schema Learning dan Mitigasi Trafik Terdistribusi
F5 Distributed Cloud WAAP menggabungkan API security dengan kemampuan Web Application and API Protection untuk mengamankan traffic aplikasi. Platform dapat melakukan API endpoint discovery, behavioral analysis, sensitive data detection, dan schema learning.
F5 juga dapat mempelajari struktur request dan response API serta menghasilkan OpenAPI Specification yang dapat digunakan untuk membantu membangun security model. Pada sisi enforcement, F5 dapat menerapkan policy untuk membatasi atau memblokir endpoint dan aktivitas yang mencurigakan melalui kemampuan inline application dan API security.
Tabel Perbandingan Akamai API Security dan F5 Distributed Cloud WAAP
Aspek Kapabilitas | Akamai API Security | F5 Distributed Cloud WAAP |
Posisi dalam Siklus API | Mendukung discovery, pengujian CI/CD hingga proteksi runtime. | Kuat pada discovery, inspeksi traffic aktif, dan protection di runtime. |
Manajemen Skema Endpoint | Memetakan API, posture, risiko, dan compliance. | Automatic Schema Learning dan OpenAPI Specification generation. |
Deteksi Anomali Perilaku | Menganalisis API abuse, business logic risk, sensitive data exposure, dan abnormal behavior. | Menganalisis perilaku endpoint dan mendeteksi aktivtias API mencurigakan. |
Nilai Kolaborasi Solusi | Memastikan API diuji sebelum production dan memantau exposure serta risk. | Membantu menerapkan policy dan memblokir traffic mencurigakan pada jalur aplikasi aktif. |
Kepatuhan Regulasi Perlindungan Data Pribadi dan Open Banking di Indonesia
Keamanan API juga semakin relevan ketika endpoint digunakan untuk memproses data pribadi atau transaksi finansial.
Standar Keamanan Data API Sesuai Regulasi BSSN dan UU PDP
UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan Pengendali Data Pribadi melindungi dan memastikan keamanan data yang diproses melalui langkah teknis dan operasional yang sesuai dengan sifat dan risiko data. UU PDP juga mewajibkan pengendali menjaga kerahasiaan serta mencegah akses tidak sah terhadap data pribadi.
Dalam konteks API, prinsip tersebut dapat diterjemahkan ke dalam kontrol seperti authentication dan authorization yang kuat, access control, monitoring, data minimization, secure configuration, serta perlindungan data ketika data ditransmisikan atau diproses.
Dengan begitu, organisasi perlu memahami siapa yang dapat mengakses API, API mana yang membawa data pribadi dan bagaimana data tersebut digunakan.
Implementasi Standar Keamanan Open API Pembayaran SNAP Bank Indonesia
Bagi industri pembayaran, kebutuhan tersebut menjadi semakin spesifik melalui Standar Nasional Open API Pembayaran atau SNAP dari Bank Indonesia. SNAP mencakup interkoneksi dan interoperabilitas, standar keamanan sistem informasi, tata kelola, dan manajemen risiko. Standar teknis dan keamanan SNAP juga mencakup antara lain metode authentication, authorization, encryption, pengelolaan akses API, serta struktur data request dan response.
Karena Open API Pembayaran dapat digunakan untuk informasi saldo, riwayat transaksi, transfer kredit, dan transfer debit, pengamanan endpoint menjadi bagian penting dalam menjaga integritas transaksi dan mencegah akses atau penggunaan API yang tidak semestinya.
Baca Juga: 101 Open Banking: Manfaat hingga Solusi Tepat untuk Bisnis
Pertanyaan Umum Terkait Keamanan Shadow API
Apa perbedaan mendasar antara shadow API dan zombie API?
Shadow API adalah endpoint yang aktif tetapi tidak diketahui atau tidak dikelola secara resmi dalam inventaris keamanan organisasi. Sementara itu, zombie API merupakan endpoint lama atau deprecated yang seharusnya sudah tidak digunakan tetapi masih aktif. Keduanya dapat menciptakan blind spot karena tidak selalu mendapatkan monitoring, testing, patching, dan security policy yang sama dengan API resmi.
Mengapa WAF tradisional tidak cukup melindungi API?
WAF tetap penting untuk melindungi aplikasi dari berbagai serangan web, tetapi perlindungan API membutuhkan konteks tambahan.
API security perlu memahami endpoint, schema, authentication, authorization, data yang diproses, dan perilaku API. Risiko seperti Broken Object Level Authorization atau penyalahgunaan sensitive business flow tidak selalu dapat diidentifikasi hanya dengan mencocokkan pola serangan berbasis signature. OWASP menempatkan risiko authorization, business flow, inventory management, dan unsafe API consumption sebagai bagian dari API-specific security risks.
Karena itu, WAF sebaiknya dipandang sebagai salah satu lapisan perlindungan, bukan satu-satunya kontrol untuk API security.
Bagaimana cara mendeteksi shadow API tanpa mengganggu performa aplikasi?
Deteksi dapat dilakukan menggunakan mekanisme API discovery dan traffic analysis yang dirancang untuk memperoleh visibility terhadap endpoint aktif.
F5 Distributed Cloud, melakukan discovery dan behavioral analysis terhadap data traffic yang dikumpulkan dari endpoint, termasuk pembelajaran request dan response schema serta identifikasi sensitive data.
Pendekatan ini membantu security team memperoleh visibility terhadap API yang aktif tanpa harus mengandalkan proses inventarisasi manual yang berulang.
Lindungi Arsitektur API Enterprise Anda Bersama CDT
Central Data Technology (CDT, bagian dari CTI Group, merupakan partner resmi Akamai dan F5 membantu enterprise memperkuat keamanan API dari discovery hingga runtime. Dengan dukungan Akamai API Security dan F5 Distributed Cloud WAAP, CDT dapat membantu organisasi menemukan shadow dan zombie API, mengidentifikasi eksposur data sensitif, memantau perilaku API, serta mendeteksi dan memitigasi aktivitas mencurigakan.
Melalui pendekatan yang disesuaikan dengan arsitektur dan kebutuhan bisnis, CDT membantu organisasi membangun API security yang lebih menyeluruh tanpa menghambat inovasi aplikasi. Mulai dari API dicovery dan security testing hingga continuous monitoring dan runtime protection, solusi yang dapat mengurangi attack surface, meningkatkan visibilitas, dan memperkuat perlindungan data enterprise. Hubungi tim CDT untuk melindungi arsitektur API enterprise Anda.
Penulis: Ervina Anggraini - Content Writer CTI Group
