Pemblokiran dan pengurungan berbasis perilaku

Berlaku untuk: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Apa itu pemblokiran dan penahanan perilaku?

Lanskap ancaman saat ini diserbu oleh malware tanpa file yang hidup di luar negeri, ancaman yang sangat polimorfik yang bermutasi lebih cepat daripada solusi tradisional dapat mengikuti, dan serangan yang dioperasikan manusia yang beradaptasi dengan musuh apa yang ditemukan pada perangkat yang disusupi. Solusi keamanan tradisional tidak cukup untuk menghentikan serangan tersebut; Anda memerlukan kemampuan yang didukung kecerdasan buatan (AI) dan pembelajaran mesin (ML), seperti pemblokiran dan penahanan perilaku, termasuk dalam Defender untuk Titik Akhir.

Kemampuan pemblokiran perilaku dan penahanan dapat membantu mengidentifikasi dan menghentikan ancaman berdasarkan perilaku dan pohon prosesnya, bahkan ketika ancaman telah dimulai. Perlindungan generasi berikutnya, EDR, dan komponen serta fitur Defender for Endpoint bekerja sama dalam kemampuan blokir dan kontainmen perilaku.

Kemampuan pemblokiran perilaku dan penahanan bekerja dengan beberapa komponen dan fitur Defender for Endpoint untuk segera menghentikan serangan dan mencegah serangan berkembang.

Perlindungan generasi berikutnya (yang mencakup antivirus Microsoft Defender) dapat mendeteksi ancaman dengan menganalisis perilaku, dan berhenti menjalankan ancaman.
Deteksi dan respons titik akhir (EDR) menerima sinyal keamanan di seluruh jaringan, perangkat, dan perilaku kernel Anda. Saat ancaman terdeteksi, pemberitahuan dibuat. Beberapa pemberitahuan dengan jenis yang sama dikumpulkan ke dalam insiden, yang memudahkan tim operasi keamanan Anda untuk menyelidiki dan merespons.
Defender untuk Titik Akhir memiliki berbagai optik di seluruh identitas, email, data, dan aplikasi, selain sinyal perilaku jaringan, titik akhir, dan kernel yang diterima melalui EDR. Komponen Microsoft Defender XDR, Defender untuk proses Titik Akhir dan menghubungkan sinyal ini, meningkatkan pemberitahuan deteksi, dan menghubungkan pemberitahuan terkait dalam insiden.

Dengan kemampuan ini, lebih banyak ancaman dapat dicegah atau diblokir, bahkan jika mereka mulai dijalankan. Setiap kali perilaku mencurigakan terdeteksi, ancaman dikendalikan, pemberitahuan dibuat, dan ancaman dihentikan seketika.

Gambar berikut menunjukkan contoh kemampuan pemblokiran perilaku dan penahanan yang memicu pemberitahuan:

Prasyarat

Sistem operasi yang didukung

Windows

Komponen pemblokiran dan penahanan perilaku

Aturan pengurangan permukaan serangan (ASR) berbasis kebijakan pada klien Mencegah perilaku serangan umum yang telah ditentukan sebelumnya dari aplikasi. Untuk memantau deteksi aturan ASR, lihat Memantau aktivitas aturan pengurangan permukaan serangan (ASR).
Pemblokiran perilaku klien Ancaman pada titik akhir terdeteksi melalui pembelajaran mesin, lalu diblokir dan diperbaiki secara otomatis. (Pemblokiran perilaku klien diaktifkan secara default.)
Pemblokiran perulangan umpan balik (juga disebut sebagai perlindungan cepat) Deteksi ancaman diamati melalui kecerdasan perilaku. Ancaman dihentikan dan dicegah agar tidak berjalan di titik akhir lainnya. (Pemblokiran perulangan umpan balik diaktifkan secara default.)
Deteksi dan respons titik akhir (EDR) dalam mode blok Artefak atau perilaku berbahaya yang diamati melalui perlindungan pasca-pelanggaran diblokir dan dimuat. EDR dalam mode blok berfungsi bahkan jika antivirus Microsoft Defender bukan solusi antivirus utama. (EDR dalam mode blok tidak diaktifkan secara default; Anda mengaktifkannya di portal Defender.)

Harapkan lebih banyak lagi untuk datang di area pemblokiran dan penahanan perilaku, karena Microsoft terus meningkatkan fitur dan kemampuan perlindungan ancaman. Untuk melihat apa yang direncanakan dan diluncurkan sekarang, kunjungi peta strategi Microsoft 365.

Contoh pemblokiran perilaku dan penahanan dalam tindakan

Kemampuan pemblokiran perilaku dan penahanan telah memblokir teknik penyerang berikut:

Pembuangan kredensial dari LSASS
Injeksi lintas proses
Proses berongga
Bypass Kontrol Akun Pengguna
Mengubah antivirus (seperti menonaktifkannya atau menambahkan malware sebagai pengecualian)
Menghubungi Command and Control (C&C) untuk mengunduh payload
Penambangan koin
Modifikasi rekaman boot
Serangan pass-the-hash
Penginstalan sertifikat akar
Upaya eksploitasi untuk berbagai kerentanan

Berikut ini adalah dua contoh kehidupan nyata dari pemblokiran perilaku dan penahanan dalam tindakan.

Contoh 1: Serangan pencurian kredensial terhadap 100 organisasi

Seperti yang dijelaskan dalam Pengejaran panas terhadap ancaman yang dipahami: Pemblokiran berbasis perilaku berbasis AI menghentikan serangan di trek mereka, kemampuan pemblokiran perilaku dan penahanan menghentikan serangan pencurian info masuk terhadap 100 organisasi di seluruh dunia. Pesan email pengelabuan tombak yang berisi dokumen umpan dikirim ke organisasi yang ditargetkan. Jika penerima membuka lampiran, dokumen jarak jauh terkait dapat menjalankan kode pada perangkat pengguna dan memuat malware Lokibot, yang mencuri kredensial, menyelundupkan data yang dicuri, dan menunggu instruksi lebih lanjut dari server perintah dan kontrol.

Model pembelajaran mesin berbasis perilaku dalam Defender untuk Titik Akhir tertangkap dan menghentikan teknik penyerang pada dua titik dalam rantai serangan:

Lapisan perlindungan pertama mendeteksi perilaku eksploitasi. Pengklasifikasi pembelajaran mesin di cloud mengidentifikasi ancaman dengan benar dan segera menginstruksikan perangkat klien untuk memblokir serangan.
Lapisan perlindungan kedua, yang membantu menghentikan kasus di mana serangan melewati lapisan pertama, mendeteksi proses berongga, menghentikan proses itu, dan menghapus file yang sesuai (seperti Lokibot).

Saat serangan terdeteksi dan dihentikan, pemberitahuan, seperti "pemberitahuan akses awal," dipicu dan muncul di portal Microsoft Defender.

Contoh ini menunjukkan bagaimana model pembelajaran mesin berbasis perilaku di cloud menambahkan lapisan perlindungan baru terhadap serangan, bahkan setelah dijalankan.

Contoh 2: Relai NTLM - Varian malware Kentang Juicy

Seperti yang dijelaskan dalam posting blog terbaru, Pemblokiran perilaku, dan penahanan: Mengubah optik menjadi perlindungan, pada Januari 2020, Defender untuk Titik Akhir mendeteksi aktivitas eskalasi hak istimewa pada perangkat dalam organisasi. Pemberitahuan yang disebut "Kemungkinan eskalasi hak istimewa menggunakan relai NTLM" dipicu.

Ancaman ternyata malware; itu adalah varian baru yang tidak terlihat sebelumnya dari alat peretasan terkenal yang disebut Juicy Potato, yang digunakan oleh penyerang untuk mendapatkan eskalasi hak istimewa pada perangkat.

Beberapa menit setelah pemberitahuan dipicu, file dianalisis, dan dikonfirmasi berbahaya. Prosesnya dihentikan dan diblokir, seperti yang ditunjukkan pada gambar berikut:

Beberapa menit setelah artefak diblokir, beberapa instans file yang sama diblokir pada perangkat yang sama, mencegah lebih banyak penyerang atau malware lainnya menyebarkan pada perangkat.

Contoh ini menunjukkan bahwa dengan kemampuan pemblokiran perilaku dan penahanan, ancaman terdeteksi, terkandung, dan diblokir secara otomatis.

Tip

Jika Anda mencari informasi terkait Antivirus untuk platform lain, lihat artikel berikut ini:

Saran dan Komentar

Apakah halaman ini membantu?

Last updated on 2026-08-05