Banyak organisasi merasa aman karena sudah meninggalkan NTLM dan beralih ke Kerberos—protokol autentikasi yang dianggap lebih kuat dan modern. Namun, kenyataannya tidak sesederhana itu.
Ancaman terbaru menunjukkan bahwa bahkan Kerberos pun bisa dimanfaatkan oleh attacker. Salah satunya adalah teknik baru yang dikenal sebagai Kerberos Relay Attack melalui DNS CNAME abuse, yang teridentifikasi sebagai kerentanan serius dengan kode CVE-2026-20929.
Masalahnya? Serangan ini bisa terjadi tanpa disadari oleh korban—dan dampaknya bisa bertahan lama.
Ketika Sistem “Aman” Justru Jadi Celah
Selama ini, banyak profesional IT percaya bahwa Kerberos lebih aman karena tidak mudah direlay seperti NTLM. Namun penelitian terbaru membuktikan sebaliknya.
Dengan memanfaatkan cara kerja DNS dan Kerberos, attacker bisa:
- Mengelabui sistem untuk meminta tiket autentikasi ke target yang salah
- Menerima autentikasi tersebut tanpa diketahui korban
- Menggunakan akses tersebut untuk menyerang sistem lain
Intinya, sistem tetap “berfungsi normal”, tetapi sebenarnya sudah dimanipulasi.
Bagaimana Serangan Ini Bekerja?
Serangan ini memanfaatkan kombinasi dua hal yang terlihat tidak berbahaya:
👉 DNS (Domain Name System)
👉 Kerberos Service Principal Name (SPN)
Secara sederhana, alurnya seperti ini:
- Korban mencoba mengakses sebuah server
- Attacker memanipulasi respon DNS dengan menyisipkan CNAME record palsu
- Sistem korban mengikuti CNAME tersebut tanpa curiga
- Korban meminta tiket Kerberos untuk layanan yang sebenarnya dikendalikan attacker
- Tiket tersebut kemudian digunakan attacker untuk mengakses layanan lain
Yang mengejutkan, korban tetap merasa terhubung ke server yang benar, padahal sebenarnya tidak.
Inilah yang membuat serangan ini sangat berbahaya: tidak terlihat, tetapi berdampak besar.
Target Utama: Active Directory Certificate Services (AD CS)
Salah satu target paling menarik bagi attacker adalah AD CS, khususnya fitur web enrollment.
Kenapa?
Karena jika attacker berhasil:
- Mereka bisa mendapatkan sertifikat atas nama korban
- Sertifikat ini bisa digunakan untuk autentikasi jangka panjang
- Akses bisa bertahan berbulan-bulan bahkan bertahun-tahun
Tidak seperti password yang bisa diganti, sertifikat sering kali kurang diawasi.
Akibatnya, attacker bisa memiliki “akses permanen” tanpa terdeteksi.
Mengapa Serangan Ini Sulit Dideteksi?
Masalah utama dari serangan ini bukan hanya tekniknya, tetapi juga cara kerjanya yang sangat halus.
Beberapa alasan kenapa sulit dideteksi:
- Tidak menggunakan malware
- Memanfaatkan proses autentikasi yang sah
- Terjadi dalam waktu sangat singkat
- Menggabungkan beberapa aktivitas kecil yang tampak normal
Dengan kata lain, jika Anda hanya melihat satu log atau satu event, semuanya terlihat baik-baik saja.
Serangan baru ini menegaskan tren lama dalam cybersecurity:
👉 attacker tidak lagi “menerobos”, tetapi “menyusup diam-diam”
Cara Mendeteksi: Jangan Fokus pada Satu Event
Pendekatan tradisional yang hanya mengandalkan satu indikator sudah tidak cukup.
Sebagai gantinya, CrowdStrike menyarankan pendekatan korelasi perilaku, yaitu menggabungkan beberapa sinyal sekaligus.
Contohnya:
- Autentikasi berbasis sertifikat yang tidak biasa
- Permintaan layanan Kerberos yang aneh
- Aktivitas ke endpoint AD CS dalam waktu berdekatan
Jika semua ini terjadi bersamaan, kemungkinan besar sedang terjadi serangan relay.
Pendekatan ini jauh lebih efektif karena melihat “rantai serangan”, bukan hanya potongan kecilnya.
Pelajaran Penting: Jangan Hanya Mengandalkan Satu Lapisan Keamanan
Serangan ini memberikan satu pelajaran penting:
👉 Tidak ada sistem yang benar-benar aman jika berdiri sendiri
Bahkan kombinasi teknologi yang kuat seperti DNS dan Kerberos bisa menjadi celah jika tidak dikonfigurasi dengan benar.
Karena itu, organisasi perlu:
- Memastikan patch keamanan selalu up to date
- Memantau trafik autentikasi secara real-time
- Mengurangi penggunaan layanan yang rentan (seperti HTTP pada AD CS)
- Mengimplementasikan proteksi tambahan seperti channel binding
Ancaman yang Akan Terus Berkembang
Kerberos relay bukan konsep baru, tetapi teknik ini terus berkembang.
Jika sebelumnya attacker menggunakan NTLM relay, sekarang mereka:
- Beralih ke Kerberos
- Memanfaatkan DNS
- Menghindari mekanisme pertahanan lama
Ini menunjukkan bahwa attacker selalu selangkah lebih kreatif.
Dan jika organisasi tidak beradaptasi, risiko akan terus meningkat.
Kesimpulan: Waspada pada Hal yang Terlihat “Normal”
Serangan modern tidak lagi selalu mencolok. Justru yang paling berbahaya adalah yang terlihat normal.
CVE-2026-20929 membuktikan bahwa:
- Infrastruktur inti seperti DNS bisa disalahgunakan
- Autentikasi yang sah bisa dijadikan senjata
- Akses jangka panjang bisa didapat tanpa password
Pertanyaannya sekarang bukan lagi “apakah sistem Anda aman?”
Tetapi:
👉 Apakah Anda bisa mendeteksi sesuatu yang tampak normal—padahal sebenarnya serangan?
Karena di dunia cybersecurity hari ini, ancaman terbesar bukan yang terlihat jelas…
melainkan yang tersembunyi di balik sistem yang kita percaya.
Lindungi cloud Anda sebelum ancaman datang—karena keamanan terbaik adalah yang sudah dipersiapkan sejak awal.
Bersama CrowdStrike Indonesia dan mitra resmi kami, PT. iLogo Infralogy Indonesia, Anda tidak hanya mendapatkan perlindungan, tetapi juga strategi keamanan siber yang dirancang khusus untuk menjaga infrastruktur cloud bisnis Anda tetap tangguh di tengah ancaman yang terus berkembang.
Didukung teknologi berbasis kecerdasan buatan (AI) yang telah teruji, kami membantu Anda mengidentifikasi celah keamanan, mengevaluasi sistem yang ada, dan menghadirkan solusi yang benar-benar sesuai dengan kebutuhan spesifik perusahaan Anda—bukan sekadar pendekatan umum.
Lebih dari itu, kami juga menyediakan sesi demo interaktif agar Anda dapat melihat langsung bagaimana teknologi CrowdStrike bekerja secara real-time dalam mendeteksi dan menghentikan ancaman sebelum berdampak pada bisnis Anda.
🔐 Jangan beri celah bagi serangan untuk terjadi.
Hubungi kami hari ini untuk konsultasi gratis, dan mulai langkah cerdas dalam melindungi masa depan bisnis Anda.