EDR: Pengertian, Fungsi, Cara Kerja, dan Perbedaannya dengan SIEM

Banyak organisasi sudah memiliki EDR maupun SIEM, tetapi belum menetapkan pembagian peran di antara keduanya. Akibatnya, alert endpoint dan log lintas sistem sering ditangani secara terpisah. Pembahasan berikut memetakan pengertian, fungsi, cara kerja EDR, perbedaannya dengan SIEM, serta perannya dalam SOC.

Executive Summary

• EDR memantau perilaku endpoint dan menyediakan respons langsung, sedangkan SIEM mengorelasikan log dan event dari berbagai sumber.

• EDR melengkapi antivirus atau EPP dengan telemetri perilaku, investigasi, dan respons, tanpa menggantikan lapisan pencegahan.

• Fungsi EDR dan SIEM saling beririsan, sehingga perbedaan utamanya terletak pada fokus data dan cakupan visibilitas.

• Pada ransomware seperti Akira dan Black Basta, setiap tahap serangan dapat meninggalkan jejak pada sumber data yang berbeda.

• Integrasi yang efektif memerlukan coverage endpoint, korelasi identitas, deteksi gangguan kontrol, dan playbook berbasis kritikalitas aset.

Apa Itu EDR dan Apa Fungsinya?

EDR (Endpoint Detection and Response) adalah kapabilitas keamanan yang memantau aktivitas endpoint, menganalisis perilaku mencurigakan, membantu investigasi, dan menyediakan tindakan respons terhadap ancaman. EDR bekerja melalui sensor atau agent pada endpoint untuk mengumpulkan telemetri seperti proses, aktivitas jaringan, login pengguna, serta perubahan file dan registry. Dengan data tersebut, tim keamanan dapat melihat aktivitas perangkat lebih mendalam daripada mengandalkan log umum.

Dokumentasi Microsoft Defender for Endpoint menjelaskan bahwa kapabilitas EDR dirancang untuk mendeteksi, menyelidiki, dan merespons ancaman pada endpoint. Analis dapat menelusuri urutan proses mencurigakan pada satu perangkat dari konsol pusat, tanpa mengumpulkan artefak secara manual dari host.

Bagaimana Cara Kerja EDR?

Cara kerja EDR dapat dipahami dari telemetri yang dikumpulkan oleh sensor pada perangkat dan bagaimana data tersebut digunakan untuk deteksi, investigasi, dan respons. Kelengkapan telemetri memengaruhi seberapa jauh analis dapat menelusuri rangkaian aktivitas mencurigakan di endpoint.

Telemetri Apa yang Dikumpulkan EDR dari Endpoint?

Sensor EDR dapat mengumpulkan telemetri perilaku seperti pembuatan proses beserta process lineage, aktivitas jaringan, aktivitas login pengguna, serta perubahan file system dan registry. Beberapa produk juga mengumpulkan informasi terkait kernel dan memori. Kedalaman telemetri berbeda antarproduk.

EDR tidak merekam seluruh aktivitas endpoint sebagai audit log. Dokumentasi Microsoft menyebut EDR bukan solusi auditing atau logging yang mencatat setiap operasi, dan sensor dapat menerapkan throttling. Karena itu, kebutuhan audit trail yang lebih lengkap tetap memerlukan sumber logging terpisah, yang dapat dikumpulkan dan dianalisis melalui SIEM.

Bagaimana EDR Mendeteksi, Menyelidiki, dan Merespons Ancaman?

Platform EDR menganalisis telemetri untuk menemukan perilaku mencurigakan, misalnya PowerShell yang dijalankan dari proses dokumen. Saat alert muncul, analis menelusuri process lineage, koneksi jaringan, dan perubahan file pada perangkat terkait. Alur ini bergerak dari deteksi ke investigasi, lalu ke respons.

Tindakan respons dapat berupa isolasi endpoint dari jaringan, penghentian proses, atau quarantine file, sesuai kapabilitas produk. Dokumentasi isolasi perangkat Microsoft mencantumkan isolasi sebagai salah satu response action. Efektivitas respons EDR juga bergantung pada seberapa cepat organisasi dapat menjalankan tindakan containment yang sesuai dengan kondisi aset.

EDR memberi visibilitas yang lebih rinci pada satu endpoint, tetapi satu insiden dapat melibatkan lebih dari satu perangkat. Aktivitas akun yang sama, misalnya, dapat muncul pada VPN, server, dan layanan cloud. Karena satu insiden dapat melibatkan beberapa sumber data, perbedaan peran EDR dan SIEM menjadi penting dalam investigasi.

Apa Perbedaan EDR dan SIEM?

EDR dan SIEM sama-sama digunakan untuk mendukung deteksi dan investigasi, tetapi fokus data yang dianalisis berbeda. EDR berfokus pada aktivitas dan telemetri endpoint, sedangkan SIEM mengumpulkan serta menganalisis log dan event dari berbagai sumber. NIST SP 800-92 mendefinisikan SIEM sebagai perangkat lunak yang menyediakan kemampuan centralized logging untuk berbagai jenis log.

Perbedaan EDR dan SIEM

Pembagian peran ini tidak absolut. SIEM modern dapat mendukung automation dan orchestration, sementara EDR juga menjalankan analitik dan investigasi. Dokumentasi integrasi Defender XDR dengan Microsoft Sentinel menjelaskan pengiriman raw event data dari Defender XDR ke Microsoft Sentinel untuk mendukung alerting, hunting, investigasi, dan korelasi dengan sumber data lain.

Baca juga: SIEM: Pengertian, Fungsi, Komponen, dan Cara Kerja Korelasi Log

Perbedaan fokus tersebut menjadi penting ketika satu insiden melibatkan endpoint sekaligus sumber data lain. Pada kondisi seperti ini, EDR dan SIEM dapat memberikan konteks yang berbeda terhadap aktivitas yang sama.

Bagaimana EDR dan SIEM Membantu Mendeteksi Ransomware?

Ransomware menjadi contoh yang jelas karena satu rangkaian serangan dapat melibatkan akses awal, aktivitas pada endpoint, pergerakan lateral, hingga upaya mengganggu kontrol keamanan. Advisory CISA mengenai Akira ransomware mendokumentasikan sejumlah aktivitas tersebut dan menunjukkan bahwa visibilitasnya berasal dari sumber yang berbeda. Tabel berikut memetakan contoh sumber data yang relevan pada tiap tahap.

CISA mencatat akses awal Akira melalui kerentanan perangkat edge dan server backup, kredensial hasil brute force, serta penggunaan RClone untuk eksfiltrasi data. Pergerakan lateral menggunakan RDP dan SSH, sementara aktivitas terkait kredensial Kerberos juga tercatat dalam advisory tersebut. Log autentikasi di SIEM dan aktivitas proses di EDR dapat menangkap sisi berbeda dari aktivitas yang sama.

Pada tahap defense evasion, advisory yang sama mencatat upaya menghapus atau menonaktifkan EDR, penghentian proses antivirus lewat PowerTool, dan malware POORTRY untuk teknik BYOVD (T1068). Sensor EDR sendiri dapat menjadi target, sehingga hilangnya telemetri dari sebuah endpoint perlu diperlakukan sebagai sinyal.

Advisory Black Basta menambahkan contoh lain. Afiliasinya memakai RClone untuk eksfiltrasi sebelum enkripsi, PowerShell untuk menonaktifkan antivirus, dan Backstab untuk menonaktifkan EDR (T1562.001).

Tidak ada satu sumber data yang biasanya mencakup seluruh tahapan tersebut. Karena itu, EDR dan SIEM perlu dirancang sebagai satu alur kerja di SOC, bukan dua konsol yang dibaca terpisah.

Bagaimana Mengintegrasikan EDR dan SIEM dalam SOC?

Integrasi dimulai dari memastikan data yang dibutuhkan tersedia. Setelah itu, data EDR dan SIEM dikaitkan dengan konteks identity, jaringan, dan sistem, kontrol keamanan dilindungi dari gangguan, lalu respons ditentukan berdasarkan kritikalitas aset.

• Pastikan coverage endpoint dan sumber log memadai. EDR tidak memantau endpoint tanpa sensor, dan SIEM tidak mengorelasikan event yang tidak dikirimkan. Advisory CISA AA25-212A mencatat kurangnya workstation logs di SIEM menghambat analisis authentication event dan lateral movement. Kondisi serupa dapat terjadi ketika sebagian endpoint sudah tercakup sensor, tetapi server lama atau workstation logs belum terintegrasi ke SIEM.

• Korelasikan telemetri EDR dengan identity, network, dan log sistem. Login abnormal, proses mencurigakan, koneksi keluar, dan aktivitas akun yang sama dapat membantu analis melihat satu rangkaian aktivitas. EDR memberi visibilitas yang lebih rinci pada endpoint, SIEM memberi konteks dari berbagai sumber, dan NDR menambah visibilitas lalu lintas jaringan.

• Deteksi upaya menonaktifkan atau mengubah kontrol keamanan. Perubahan exclusions, penghentian proses keamanan, vulnerable driver, dan hilangnya telemetri sensor memerlukan detection rules tersendiri. MITRE mencatat teknik file dan path exclusions, sedangkan Microsoft mendokumentasikan tamper protection untuk mencegah perubahan tidak sah.

• Tentukan playbook respons berdasarkan kritikalitas aset. Isolasi laptop pengguna relatif mudah dilakukan. Application server memerlukan validasi dampak, sedangkan production server dan domain controller memerlukan pertimbangan availability dan dependensi sebelum containment.

Baca juga: Apa Itu Network Detection and Response (NDR)? Cara Memantau Ancaman di Lalu Lintas Jaringan

Integrasi tersebut memerlukan analis yang mengembangkan dan menyesuaikan detection rules, memvalidasi coverage, serta menjalankan playbook setiap hari. Efektivitas EDR dan SIEM juga bergantung pada pemantauan alert, investigasi, dan pelaksanaan respons yang konsisten.

Bagaimana SOC Cisometric Memantau EDR dan SIEM?

Operasi harian EDR dan SIEM berjalan sebagai satu alur kerja dalam layanan SOC Cisometric, dengan empat tahap berikut.

• Pengumpulan Telemetri: Data dari sensor EDR, event yang dikirim ke SIEM, serta sumber identity dan jaringan dikumpulkan untuk dianalisis.

• Pemantauan: Analis memantau dan memilah alert secara 24/7 dalam tiga shift.

• Investigasi: Analis menelusuri process lineage, aktivitas akun, dan koneksi keluar lintas sumber.

• Respons: Playbook dijalankan sesuai kritikalitas aset, termasuk containment pada endpoint.

Layanan ini beroperasi dari fasilitas Data Center Tier-3 dengan analis bersertifikasi CISSP, CRTO, CEH, dan OSCP. Cisometric terdaftar dalam Daftar Putih BSSN dan menyatakan telah memperoleh sertifikasi ISO 27001.

Organisasi yang ingin mengetahui celah coverage pada EDR dan SIEM yang sudah berjalan dapat memulai asesmen risiko dengan menghubungi kami melalui tautan ini. Asesmen mencakup kesesuaian sumber log, cakupan sensor endpoint, dan kesiapan playbook respons.

FAQ

Apakah perusahaan tetap membutuhkan SIEM jika sudah menggunakan EDR?

Ya, jika memerlukan korelasi lintas sumber seperti identity, jaringan, dan cloud. EDR memberi visibilitas yang lebih rinci pada endpoint, sedangkan SIEM menyatukan log dari berbagai sistem untuk investigasi yang lebih luas.

Apa perbedaan utama antara Antivirus, EDR, dan XDR?

Antivirus berfungsi mencegah malware. EDR menambah telemetri, investigasi, dan respons di endpoint, sedangkan XDR memperluas korelasi ke beberapa domain seperti identity, email, dan cloud.

Apakah agent EDR dapat memengaruhi kinerja komputer dan server?

Dapat, tergantung produk, konfigurasi, dan beban kerja host. Uji pada kelompok pilot, dokumentasikan setiap pengecualian, dan pantau penggunaan CPU serta memori sebelum rollout penuh ke server produksi.