CSRF (Cross-Site Request Forgery) dikenal sebagai serangan “jadul”. Tapi dalam dunia microservices modern, ternyata serangan ini masih bisa menyelinap masuk—bahkan tanpa terdeteksi.

Artikel ini membagikan cerita dari sisi Red Team (tim penguji keamanan) tentang bagaimana celah kecil di sistem microservices bisa dimanfaatkan oleh CSRF untuk menyerang dari dalam.

🧱 Apa Itu Microservices?

Microservices adalah pendekatan pengembangan sistem yang memecah aplikasi besar menjadi layanan-layanan kecil yang saling terhubung lewat API.

Contoh layanan dalam sistem:

  • Auth Service (login & token)

  • User Service (profil & data)

  • Payment Service (transaksi)

  • Admin Dashboard Service (kontrol sistem)

Microservices memudahkan pengembangan, tapi kompleksitas komunikasi antar layanan bisa membuka banyak celah keamanan—termasuk CSRF.

🎯 Target: Admin Dashboard

Dalam skenario ini, target Red Team adalah:

  • Admin Dashboard, yang bisa:

    • Mengatur akun pengguna

    • Transfer saldo manual

    • Reset password

Dashboard ini mengakses layanan internal (User & Payment Service) lewat API internal.

🔍 Langkah-langkah Serangan CSRF

1. 🧑‍💼 Admin Login ke Dashboard

Seperti biasa, admin login ke dashboard melalui browser. Setelah berhasil login, browser menyimpan cookie sesi.

2. 🎣 Penyerang Kirim Link Jebakan

Red Team membuat email berisi link atau halaman jebakan:

html
<form action="https://admin.perusahaan.com/api/user/delete" method="POST">
<input type="hidden" name="user_id" value="999">
</form>
<script>document.forms[0].submit();</script>

Link ini dikirim ke admin via email phishing, forum, atau bahkan komentar di aplikasi.

3. 💥 CSRF Aktif: Permintaan Masuk ke Layanan Internal

Saat admin membuka link jebakan:

  • Browser otomatis mengirim cookie login ke dashboard

  • Permintaan POST masuk ke endpoint admin

  • Karena tidak ada proteksi CSRF, permintaan dianggap sah

  • Admin tanpa sadar menghapus akun pengguna

4. 🚪 Dampak Lebih Jauh: Menembus Microservices

Karena dashboard punya akses ke berbagai API internal, CSRF tidak hanya memengaruhi satu layanan, tapi bisa:

  • Menghapus data di User Service

  • Melakukan transfer lewat Payment Service

  • Mengubah peran pengguna (user → admin)

➡️ CSRF dari luar → Menyusup ke dalam jaringan internal!

❌ Kesalahan Arsitektur yang Dimanfaatkan

  1. Tidak ada CSRF Token
    → Semua form diterima tanpa verifikasi

  2. Cookie tidak pakai SameSite
    → Cookie dikirim dari situs luar

  3. Terlalu percaya pada permintaan dari browser
    → Server tidak mengecek Origin atau Referer

  4. API internal terlalu terbuka
    → Asal ada cookie valid, semua permintaan diproses

✅ Solusi untuk Developer dan DevOps

Masalah Solusi Aman
Cookie terkirim dari luar Gunakan SameSite=Strict + Secure
Tidak ada CSRF Token Tambahkan token unik di semua form & API yang sensitif
Server tidak validasi asal Cek Origin dan Referer header
Microservice terlalu percaya Gunakan auth antar layanan, jangan hanya cookie user
Admin panel mudah diserang Batasi akses admin, gunakan CAPTCHA dan audit log

🎬 Kesimpulan

Meskipun CSRF terlihat seperti serangan lama, di era microservices modern, ia tetap bisa menjadi senjata berbahaya. Jika dashboard internal tidak diproteksi dengan baik, satu klik jebakan bisa menjadi awal dari runtuhnya seluruh sistem.

💡 Ingat: Dalam dunia microservices, keamanan harus diterapkan di setiap lapisan, bukan hanya di depan.

Penulias : Muhammad Aditya Alkhawarizmi

Nim : 23156201023

jurusan : Sistem Komputer