EDR / Konsep dan Fungsi Utama

EDR (Endpoint Detection and Response, deteksi dan respons pada endpoint) mengumpulkan serta menganalisis aktivitas PC dan server untuk menemukan ancaman dan mendukung investigasi serta tindakan seperti isolasi perangkat. Selain menilai apakah suatu berkas berbahaya, EDR menghubungkan proses, komunikasi, dan perubahan untuk memahami kejadian serta jangkauan dampaknya.

Peran EDR dan perbedaannya dengan antivirus

Endpoint adalah perangkat tempat data dan program digunakan, misalnya PC atau laptop karyawan dan server bisnis. EDR biasanya menggabungkan sensor atau agen pada perangkat dengan pengelolaan serta analisis terpusat. Periksa sistem operasi yang didukung dan cakupan server serta lingkungan virtual berdasarkan produk dan kontrak.

Antivirus berfokus pada pencegahan dan pemblokiran malware; EDR menekankan visibilitas aktivitas, investigasi, dan respons terhadap kompromi. Namun, antivirus modern juga menggunakan analisis perilaku dan berbasis cloud, sehingga pembagian “antivirus hanya memakai signature, EDR hanya melihat perilaku” tidak tepat. Keduanya dapat terintegrasi dalam satu produk. Penjelasan keamanan endpoint Microsoft membedakan antivirus generasi baru dan EDR sebagai kemampuan yang saling melengkapi.

PowerShell, misalnya, merupakan alat administrasi yang sah. Jika aplikasi dokumen menjalankannya secara tidak terduga lalu menghubungi alamat yang tidak dikenal, aktivitas itu layak diselidiki. Tinjau jalur eksekusi, baris perintah, akun, dan aktivitas berikutnya secara bersama-sama. Nama program atau kombinasi tersebut saja belum memastikan kompromi.

Informasi apa yang dikumpulkan dan dihubungkan?

Data aktivitas untuk analisis keamanan disebut telemetri. Berikut contoh umum, bukan jaminan bahwa setiap produk merekam semua bidang pada semua perangkat.

• Proses: jalur berkas yang dijalankan, waktu eksekusi, baris perintah, serta hubungan proses induk dan anak. Pohon proses memperlihatkan program yang memulai program lain.
• Berkas: pembuatan, perubahan, eksekusi, dan hash membantu menelusuri berkas mencurigakan serta jalur yang terdampak. Hash digunakan untuk mengenali atau membandingkan berkas; nilainya sendiri tidak membuktikan sifat berbahaya.
• Jaringan: hubungan proses dengan alamat dan port tujuan membantu investigasi komunikasi. Catatan koneksi belum tentu mengungkap seluruh isi lalu lintas atau semua data yang dicuri.
• Perubahan sistem: Registry Windows dan pengaturan mulai otomatis dapat membantu menyelidiki persistensi. Data yang tersedia berbeda menurut sistem operasi.
• Aktivitas akun: informasi login dan akun yang menjalankan proses dikaitkan dengan aktivitas lain. Catatan autentikasi dan email seluruh organisasi mungkin memerlukan log atau integrasi tambahan.

Linimasa dan pohon proses membantu membedakan eksekusi awal dari perubahan berikutnya. Namun, gambaran umum EDR Microsoft menegaskan bahwa EDR bukan log audit untuk setiap operasi. Tidak adanya bukti bukan berarti aktivitas pasti normal: periksa pengumpulan data, kesehatan sensor, retensi, dan log tambahan.

Fungsi utama deteksi, investigasi, dan respons

Nama fitur berbeda antarproduk, tetapi umumnya kemampuan berikut digabungkan. Otomatisasi, persetujuan, dan tindakan yang tersedia bergantung pada sistem operasi, lisensi, serta kebijakan.

• Deteksi dan prioritas: analisis perilaku dan intelijen ancaman menghasilkan peringatan. Pengelompokan peringatan terkait sebagai satu insiden memudahkan investigasi lintas perangkat. Tingkat keparahan tinggi tidak menghilangkan kebutuhan memeriksa bukti.
• Investigasi dan pencarian: linimasa, pohon proses, dan pencarian membantu menentukan penyebab serta cakupan. Fitur ini juga mendukung perburuan ancaman dengan mencari hash atau tujuan komunikasi yang sama pada perangkat lain.
• Pembatasan dampak: tindakan dapat berupa isolasi jaringan, penghentian proses, dan karantina berkas. Karantina berkas mencegah eksekusi; isolasi perangkat membatasi komunikasi jaringan. Sasaran dan pengaruh operasionalnya berbeda.
• Catatan tindakan: simpan siapa yang meminta tindakan dan apakah berhasil, gagal, atau masih tertunda. Menekan tombol atau memicu kebijakan otomatis berbeda dari memastikan tindakan selesai.

Isolasi dapat mengurangi penyebaran, tetapi juga memutus akses jarak jauh dan layanan bisnis. Periksa cara mempertahankan komunikasi pengelolaan, batasan jaringan privat virtual (VPN) atau proksi, serta prosedur melepas isolasi. Gunakan dokumentasi produk, misalnya panduan tindakan respons perangkat Microsoft.

Contoh investigasi peringatan dokumen mencurigakan

Alur hipotetis ini membahas aplikasi dokumen yang menjalankan alat skrip lalu menghubungi alamat eksternal. Ini bukan laporan insiden nyata atau hasil pengujian produk; sesuaikan dengan prosedur respons insiden yang telah disetujui.

1. Pastikan sasaran dan waktu. Catat perangkat, pengguna, waktu peringatan, dan zona waktu. Pastikan sensor mengirim data terkini dan cocokkan identitas perangkat agar tidak menyelidiki mesin lain dengan nama yang sama.
2. Hubungkan konteks eksekusi. Tinjau aplikasi, proses anak, baris perintah, dan tujuan komunikasi pada linimasa. Cocokkan dengan aktivitas pengguna serta perubahan administrasi untuk menilai otomatisasi yang sah. Jangan jalankan berkas mencurigakan pada PC kerja.
3. Batasi dampak sesuai risiko. Jika aktivitas berbahaya berlanjut atau berisiko menyebar, penanggung jawab harus menilai dampak bisnis dan memilih tindakan seperti isolasi. Amankan bukti yang diperlukan serta periksa hasil dan alasan kegagalan tindakan.
4. Perluas investigasi. Cari berkas, alamat, dan perilaku yang sama pada perangkat lain, lalu hubungkan log autentikasi serta email. Tidak adanya peringatan pada satu perangkat tidak menjamin akun dan sistem lain aman.
5. Verifikasi pemulihan dan kemunculan ulang. Setelah penyebab diatasi, pembaruan dan tindakan akun yang diperlukan diterapkan, serta pemulihan divalidasi, lepaskan isolasi melalui prosedur yang disetujui. Periksa layanan dan peringatan baru, lalu catat dasar keputusan.

Hasilnya harus lebih dari sekadar peringatan yang ditutup. Dokumentasikan bukti, perangkat dan akun terdampak, tindakan yang dilakukan, serta ketidakpastian tersisa agar petugas berikutnya dapat melanjutkan penanganan.

Keterbatasan dan masalah yang tidak diselesaikan EDR

Sensor yang belum dipasang atau berhenti, gangguan koneksi, dan retensi pendek menimbulkan celah investigasi. Administrasi yang sah dapat memicu peringatan, sementara serangan dapat terlewat. Pengecualian berlebihan mengurangi visibilitas: kelola cakupan, alasan, dan jadwal peninjauannya.

Isolasi perangkat atau penghapusan berkas tidak mengambil kembali data yang dicuri maupun otomatis memulihkan berkas terenkripsi. EDR tidak menggantikan pembaruan keamanan, hak akses minimum, autentikasi multifaktor (MFA), atau cadangan. Panduan ransomware CISA, FBI, dan mitra (PDF) juga menyarankan cadangan terpisah, pengujian pemulihan, dan rencana respons insiden.

Tenaga manusia tetap diperlukan untuk menyelidiki dan mengambil keputusan. Jika kemampuan internal terbatas, pertimbangkan layanan deteksi dan respons terkelola (MDR, Managed Detection and Response). Tentukan jam pemantauan, kewenangan tindakan, serah terima insiden, dan tanggung jawab pemulihan dalam kontrak. Pembelian EDR tidak otomatis mencakup layanan operasional tersebut.

Kriteria sebelum penerapan

Selain daftar produk dan klaim tingkat deteksi, pastikan organisasi mampu mengoperasikannya. Lingkungan uji kecil yang telah diizinkan membantu memeriksa poin berikut sebelum perluasan.

• Cakupan: cocokkan inventaris PC dan server dengan sistem operasi serta versi yang didukung. Periksa kesehatan sensor dan komunikasi terakhir, bukan hanya status pemasangan.
• Dampak bisnis: periksa penggunaan CPU, memori, dan disk, latensi, serta konflik bersama aplikasi kerja nyata. Tinjau persyaratan penggunaan bersamaan dengan produk keamanan lain.
• Data investigasi: periksa bidang yang dikumpulkan, pencarian, retensi, ekspor, dan integrasi log. Karena baris perintah dan informasi pengguna dapat tercatat, tinjau izin akses dan lokasi penyimpanan.
• Kewenangan dan pemulihan: tentukan pemberi persetujuan isolasi atau penghentian proses serta penanganan server penting. Gunakan pengujian aman dari vendor untuk memeriksa pembuatan peringatan, notifikasi, status tindakan, dan pelepasan isolasi.
• Biaya operasional: hitung tenaga peninjau peringatan, pelatihan, penyimpanan log tambahan, dan layanan eksternal selain lisensi. Penanggung jawab serta prosedur serah terima membuat deteksi berujung pada respons nyata.