Antivirus, endpoint protection platform (EPP), dan endpoint detection and response (EDR) sering disebut bersamaan. Fungsinya berbeda. Antivirus mengenali malware, EPP menambahkan pencegahan dan kontrol perangkat, sedangkan EDR mengumpulkan telemetry lalu membantu investigasi dan isolasi endpoint.
Kapabilitas yang perlu dibandingkan
Cari deteksi berbasis perilaku, perlindungan tamper, isolasi perangkat, kontrol USB, pengelolaan terpusat, dukungan sistem operasi yang Anda gunakan, dan ekspor log. EDR yang baik harus membantu operator menjawab: proses apa yang berjalan, file apa yang dibuat, koneksi apa yang terjadi, dan akun apa yang dipakai.
Jangan menilai produk hanya dari jumlah deteksi. Periksa kecepatan update, false positive, kemampuan rollback, kualitas support, kebijakan privasi telemetry, dan apakah lisensi memungkinkan respons insiden.
Baseline endpoint
Aktifkan update otomatis, firewall, disk encryption, screen lock, dan akun non-admin untuk pekerjaan harian. Gunakan software dari sumber resmi. Hapus aplikasi yang tidak digunakan. Pastikan backup tidak selalu terhubung ke endpoint.
Saat deteksi muncul
Jangan langsung menghapus file jika Anda membutuhkan bukti. Catat hostname, user, waktu, alert, hash, proses induk, dan koneksi. Isolasi perangkat bila indikasinya aktif. Dari perangkat tepercaya, cabut sesi, rotasi secret yang pernah digunakan, dan periksa endpoint lain. Reimage lebih aman daripada sekadar menghapus satu file ketika persistence belum dipahami.
Batasan EDR
EDR bukan pengganti patching, MFA, backup, least privilege, atau pelatihan. Sensor juga dapat dilewati jika penyerang memiliki hak admin, perangkat offline, atau kebijakan pengecualian terlalu longgar. Uji alert dengan skenario aman dan review exclusion secara berkala.
Checklist pembelian dan operasi
- Semua endpoint tercakup dan terlihat di konsol.
- Tamper protection dan policy lock aktif.
- Administrator menerima alert prioritas.
- Isolasi perangkat diuji.
- Exclusion memiliki alasan dan tanggal kedaluwarsa.
- Prosedur reimage dan pemulihan tersedia.
Sumber
Catatan: Gunakan lab atau file uji yang aman. Jangan menguji malware aktif pada perangkat produksi.
Cara menerapkan kontrol tanpa mengganggu operasi
Buat perubahan secara bertahap. Catat kondisi awal sebelum mengubah konfigurasi. Simpan pemilik keputusan, waktu perubahan, dan cara mengembalikan pengaturan. Pendekatan ini mencegah tim mengejar konfigurasi ideal sambil mengorbankan layanan yang sedang berjalan.
Mulai dari aset yang paling memengaruhi uang, identitas, dan data pelanggan. Tetapkan satu orang yang bertanggung jawab, satu orang yang meninjau, dan satu kanal komunikasi. Setelah kontrol aktif, lakukan uji kecil dengan akun uji atau perangkat nonproduksi. Periksa hasilnya dari sisi pengguna dan sisi log.
Buat baseline yang dapat dibandingkan
Baseline berisi konfigurasi yang disetujui, pemiliknya, waktu perubahan terakhir, dan alasan pengecualian. Simpan baseline di repositori dengan akses terbatas. Jangan menyimpan rahasia, token, private key, atau data pelanggan di dalamnya. Screenshot dapat membantu, tetapi catatan terstruktur lebih mudah ditinjau.
Perlakukan pengecualian sebagai utang
Pengecualian kadang dibutuhkan untuk kompatibilitas. Beri setiap pengecualian alasan, pemilik, risiko, kompensasi, dan tanggal kedaluwarsa. Review pengecualian pada rapat operasional. Pengecualian tanpa tanggal akan berubah menjadi konfigurasi permanen yang dilupakan.
Ukur hasil dengan pertanyaan sederhana
Tanyakan apakah kontrol menurunkan peluang penyalahgunaan, mempercepat deteksi, atau memperkecil dampak insiden. Ukur waktu menemukan perubahan, waktu mencabut akses, jumlah akun tanpa MFA, jumlah alert yang ditindaklanjuti, dan jumlah pengecualian yang sudah kedaluwarsa. Angka itu membantu pemilik usaha memilih pekerjaan berikutnya.
Jaga privasi pembaca dan pengguna
Kontrol keamanan tidak memberi izin untuk mengumpulkan data tanpa batas. Tetapkan tujuan, batasi akses, dan hapus data operasional ketika tidak lagi diperlukan. Jika artikel atau checklist diterapkan pada data pelanggan, libatkan penanggung jawab privasi dan dokumentasikan dasar pemrosesannya.
Kesimpulan
Pertahanan yang baik memiliki pemilik, bukti, dan jadwal tinjauan. Pilih perubahan yang dapat diuji minggu ini, dokumentasikan hasilnya, lalu lanjutkan ke aset berikutnya.
Disclosure editorial: Artikel ini ditulis khusus untuk ShaSec berdasarkan dokumentasi publik dan praktik keamanan defensif. Artikel tidak mempromosikan vendor tertentu, tidak meminta pembaca mengklik iklan, dan tidak menjamin bahwa satu kontrol dapat mencegah seluruh insiden.
