XDR Adalah: Evolusi dari EDR & Bedanya dengan SIEM

Serangan siber kini tidak lagi menargetkan satu perangkat, tetapi dapat bergerak dari email phishing ke endpoint, hingga menyebar ke server dan layanan cloud. Kondisi ini membuat organisasi membutuhkan solusi keamanan yang bekerja secara terpadu dan menyeluruh.

Extended Detection and Response (XDR) dapat menjadi solusinya. Berbeda dengan solusi keamanan konvensional yang hanya fokus pada satu lapisan, XDR menggabungkan data dari berbagai sumber untuk mendeteksi, menyelidiki, dan merespons ancaman secara lebih cepat dan akurat.

Apa itu XDR?

Extended Detection and Response (XDR) adalah platform keamanan siber yang mengintegrasikan data dari seluruh jaringan. Tujuannya untuk mendeteksi, menyelidiki, dan merespons ancaman siber secara otomatis, hampir real-time.

Singkatnya, XDR tidak hanya memberi tahu tim ada ancaman yang terjadi. XDR juga secara otomatis merespons ancaman tersebut.

XDR merupakan evolusi dari Endpoint Detection and Response (EDR). EDR hanya fokus pada deteksi ancaman di endpoint. Namun, seiring berkembangnya lanskap ancaman siber, endpoint bukan lagi satu-satunya target serangan. Itulah mengapa, konsep XDR yang memperluas cakupan deteksi dan respons pada berbagai lapisan keamanan diperkenalkan pada tahun 2018.

Mengapa XDR penting?

Serangan siber modern melibatkan banyak sistem dalam perusahaan. Serangan bisa saja dimulai dari email phishing, berlanjut ke pencurian kredensial, kemudian menyebar ke endpoint, server, hingga cloud.

Itulah mengapa, solusi keamanan yang menghubungkan data dari berbagai lapisan keamanan ke dalam satu platform menjadi penting. XDR membantu tim SOC mendeteksi, menyelidiki, dan merespons ancaman secara lebih cepat dan akurat.

Berikut beberapa alasan mengapa XDR semakin banyak diadopsi organisasi.

Memberikan visibilitas ancaman yang lebih menyeluruh

Salah satu tantangan terbesar dalam keamanan siber adalah keterbatasan visibilitas. Endpoint security hanya melihat aktivitas endpoint, email security hanya memantau email, sedangkan firewall berfokus pada lalu lintas jaringan.

XDR mengatasi keterbatasan tersebut dengan mengumpulkan dan mengorelasikan data dari berbagai sumber, seperti endpoint, email, server, cloud, identitas pengguna, dan jaringan. Hasilnya, tim keamanan memperoleh gambaran lengkap mengenai seluruh rantai serangan sehingga lebih mudah memahami bagaimana ancaman masuk, menyebar, dan berdampak pada organisasi.

Mengurangi alert fatigue

Tim SOC sering kali menerima ribuan alert setiap hari dari berbagai solusi keamanan. Banyak di antaranya merupakan false positive atau peristiwa yang sebenarnya saling berkaitan tetapi muncul sebagai alert terpisah.

XDR secara otomatis menghubungkan berbagai aktivitas yang berkaitan menjadi satu insiden dengan konteks yang lebih lengkap. Dengan demikian, jumlah alert yang harus dianalisis menjadi lebih sedikit, sementara insiden yang benar-benar kritis akan diprioritaskan. Hal ini membantu mengurangi alert fatigue dan memungkinkan analis fokus pada ancaman yang paling berisiko.

Mempercepat investigasi insiden

Tanpa platform terpadu, investigasi insiden sering kali mengharuskan analis berpindah-pindah antar dashboard untuk mencocokkan log dari berbagai sistem. Proses ini memakan waktu dan meningkatkan risiko adanya informasi penting yang terlewat.

XDR menyederhanakan proses investigasi dengan menyajikan seluruh bukti, kronologi serangan, indikator kompromi (IoC), hingga akar penyebab insiden dalam satu tampilan. Bahkan, beberapa solusi XDR mampu melakukan automated root cause analysis, sehingga tim keamanan dapat lebih cepat memahami jalur serangan dan menentukan langkah mitigasi yang tepat.

Mempercepat deteksi dan respons terhadap ancaman

Semakin lama ancaman berada di dalam jaringan tanpa terdeteksi, semakin besar pula potensi kerugian yang ditimbulkan. Oleh karena itu, banyak organisasi menjadikan Mean Time to Detect (MTTD) dan Mean Time to Respond (MTTR) sebagai indikator utama efektivitas operasi keamanan.

Melalui analitik berbasis AI, korelasi data lintas lingkungan, dan otomatisasi respons, XDR membantu mempercepat proses deteksi sekaligus memperpendek waktu respons. Ancaman dapat diidentifikasi lebih dini dan ditangani sebelum berkembang menjadi insiden yang lebih besar.

Meningkatkan efisiensi operasional SOC

XDR tidak hanya membantu mendeteksi ancaman, tetapi juga menyederhanakan operasional Security Operations Center. Berbagai proses yang sebelumnya dilakukan secara manual, seperti analisis alert, investigasi, hingga respons, kini dapat diotomatisasi melalui workflow terpadu.

Dengan beban kerja manual yang lebih rendah, tim keamanan dapat mengalokasikan waktunya untuk aktivitas yang lebih strategis, seperti threat hunting, peningkatan kebijakan keamanan, dan penguatan postur keamanan organisasi.

Mengoptimalkan biaya investasi keamanan

Banyak organisasi menggunakan berbagai solusi keamanan yang berdiri sendiri sehingga membutuhkan proses integrasi dan pengelolaan yang kompleks. Selain meningkatkan biaya operasional, pendekatan ini juga membuat investigasi menjadi lebih lambat.

XDR membantu mengonsolidasikan data dan alur kerja keamanan dalam satu platform. Selain meningkatkan efisiensi operasional, pendekatan ini juga dapat mengurangi biaya pengelolaan berbagai tools, mempercepat investigasi, dan memaksimalkan nilai investasi keamanan yang sudah dimiliki organisasi.

Bagaimana cara kerja XDR?

XDR bekerja dengan menghubungkan data dari berbagai solusi keamanan yang sebelumnya berdiri sendiri. Ketika data-data ini dikumpulkan dan dikorelasikan dalam satu platform, XDR memberikan visibilitas yang lebih menyeluruh terhadap aktivitas di lingkungan IT.

Secara umum, cara kerja XDR dapat dibagi menjadi empat tahap berikut.

1. Mengumpulkan data dari berbagai sumber

Langkah pertama adalah mengumpulkan telemetry atau data keamanan dari seluruh lingkungan IT, seperti endpoint, cloud, email, aktivitas aplikasi, atau traffic jaringan. Seluruh data ini dinormalisasi ke dalam format yang konsisten sehingga dapat dianalisis secara terpadu.

2. Mendeteksi ancaman dengan AI dan machine learning

Setelah data terkumpul, XDR menganalisisnya secara real-time menggunakan analitik, AI, dan machine learning. Teknologi ini mampu mengenali pola serangan, perilaku yang tidak biasa, hingga Indicators of Compromise yang mungkin terlewat oleh solusi keamanan tradisional.

XDR dapat mendeteksi ancaman yang melibatkan beberapa sistem dalam satu rangkaian serangan karena analisisnya dilakukan terhadap data dari berbagai sumber.

3. Mengorelasikan dan memprioritaskan insiden

Salah satu keunggulan XDR adalah dapat menghubungkan berbagai alert yang sebenarnya berasal dari satu serangan yang sama.

Sebagai contoh, sebuah email phishing dapat dikaitkan dengan login mencurigakan menggunakan kredensial yang dicuri, lalu diikuti aktivitas tidak biasa pada endpoint. Alih-alih menghasilkan tiga alert terpisah, XDR menggabungkannya menjadi satu insiden lengkap sehingga tim keamanan dapat memahami keseluruhan alur serangan.

Selain itu, XDR juga memprioritaskan insiden berdasarkan tingkat risikonya. Hal ini membantu mengurangi alert fatigue dan memungkinkan Security Operations Center (SOC) fokus menangani ancaman yang paling kritis.

4. Merespons ancaman secara otomatis

Ini adalah salah satu proses penting dalam XDR yang membedakannya dengan solusi keamanan lain. XDR mampu menjalankan tindakan respons ancaman secara otomatis, seperti:

• Mengisolasi endpoint yang terinfeksi dari jaringan

• Menonaktifkan akun pengguna yang diduga telah disusupi

• Memblokir proses atau koneksi jaringan yang berbahaya

• Menjalankan playbook incident response sesuai kebijakan organisasi

Apa perbedaan XDR, EDR, dan SIEM?

Meskipun sama-sama digunakan untuk meningkatkan keamanan siber, EDR, XDR, dan SIEM memiliki tujuan yang berbeda. EDR berfokus pada perlindungan endpoint, SIEM berfungsi sebagai platform pengelolaan dan analisis log keamanan, sedangkan XDR menggabungkan kemampuan deteksi dan respons lintas berbagai lapisan keamanan dalam satu platform.

Perbedaan tersebut dapat dilihat pada tabel berikut.

XDR vs EDR

Endpoint Detection and Response (EDR) dirancang khusus untuk memantau, mendeteksi, dan merespons ancaman pada endpoint. Namun, karena hanya fokus pada endpoint, EDR memiliki keterbatasan dalam melihat keseluruhan rantai serangan.

Sebagai evolusi dari EDR, XDR memperluas cakupan perlindungan dengan menghubungkan data dari endpoint, email, jaringan, cloud, server, hingga identitas pengguna. Korelasi lintas sumber ini membuat XDR mampu melihat rangkaian serangan secara utuh.

XDR vs SIEM

XDR dan Security Information and Event Management (SIEM) sama-sama mengumpulkan data dari berbagai sumber keamanan, tetapi memiliki tujuan yang berbeda.

SIEM berfungsi sebagai platform terpusat untuk mengumpulkan, menyimpan, dan menganalisis log dari berbagai perangkat, aplikasi, server, firewall, hingga sistem bisnis. SIEM banyak digunakan untuk kebutuhan audit, investigasi forensik, dan kepatuhan terhadap regulasi seperti ISO 27001 atau PCI DSS.

Sementara itu, XDR lebih berfokus pada deteksi dan respons ancaman secara real-time. XDR tidak hanya mengumpulkan log, tetapi juga menganalisis telemetry yang lebih mendalam menggunakan AI dan machine learning untuk menghubungkan berbagai indikator serangan menjadi satu insiden yang utuh.

XDR dan SIEM juga berbeda dari otomatisasi respons. XDR pada umumnya memiliki kapabilitas respons otomatis, berbeda dengan SIEM yang biasanya masih membutuhkan integrasi dengan solusi Security Orchestration, Automation, and Response (SOAR).

Apakah XDR Menggantikan SIEM?

XDR tidak sepenuhnya menggantikan SIEM. Justru, XDR dan SIEM digunakan secara bersamaan oleh organisasi. XDR menangani deteksi, investigasi, dan respons terhadap ancaman aktif. Sementara itu, SIEM menjadi repositori log terpusat untuk kebutuhan monitoring, audit, dan compliance.

Dengan pendekatan ini, organisasi memperoleh visibilitas yang lebih lengkap sekaligus mampu mempercepat respons terhadap insiden keamanan.

Dapatkan Keunggulan XDR dan SIEM dengan ManageEngine Log360

Organisasi kini membutuhkan platform keamanan yang menghadirkan visibilitas menyeluruh seperti SIEM sekaligus kemampuan deteksi dan investigasi yang cepat seperti XDR.

ManageEngine Log360 dirancang untuk menjembatani kebutuhan tersebut. Sebagai platform SIEM, Log360 menggabungkan kemampuan manajemen log, analisis keamanan, dan korelasi ancaman sehingga tim Security Operations Center (SOC) dapat mendeteksi, menyelidiki, dan merespons insiden keamanan dengan lebih efisien.

ManageEngine Log360 menghadirkan solusi yang cocok untuk organisasi dengan satu vendor ataupun multi-vendor. Untuk organisasi yang menggunakan satu vendor, Log360 menyediakan integrasi mendalam dengan Microsoft Active Directory, Microsoft Exchange, dan Microsoft Entra ID. Untuk lingkungan multi-vendor, Log360 mampu mengumpulkan dan menormalkan data lebih dari 750 sumber, termasuk endpoint, firewall, server, aplikasi, layanan cloud, dan perangkat jaringan.

Dengan kapabilitas ini, ManageEngine Log360 membantu organisasi mendapatkan manfaat yang identik dengan pendekatan XDR tanpa mengorbankan kebutuhan SIEM seperti penyimpanan log jangka panjang, audit keamanan, dan kepatuhan regulasi.

Ingin mendapatkan keunggulan XDR dan SIEM sekaligus? Pelajari lebih lanjut tentang ManageEngine Log360 melalui demo dengan tim kami.

FAQ tentang XDR