Catatan
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba masuk atau mengubah direktori.
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba mengubah direktori.
Microsoft Defender menghubungkan jutaan sinyal individu untuk mengidentifikasi kampanye ransomware aktif atau serangan canggih lainnya di lingkungan dengan keyakinan tinggi. Saat serangan sedang berlangsung, Defender mengganggu jalannya serangan dengan secara otomatis mengisolasi aset yang telah disusupi dan digunakan oleh penyerang melalui fitur gangguan serangan otomatis.
Gangguan serangan otomatis membatasi gerakan lateral sejak dini dan mengurangi dampak keseluruhan serangan, dari biaya terkait hingga hilangnya produktivitas. Pada saat yang sama, hal ini membuat tim operasi keamanan memegang kendali penuh untuk menyelidiki, melakukan remediasi, dan mengaktifkan kembali aset.
Gambaran umum ini menjelaskan gangguan serangan otomatis dan tautan ke langkah berikutnya dan sumber daya terkait.
Gangguan serangan mendukung tindakan respons dalam layanan Microsoft Defender dan layanan identitas terintegrasi. Dukungan ini mencakup tindakan dalam Microsoft Entra ID dan Direktori Aktif, dan dukungan pratinjau untuk skenario terintegrasi Okta dan AWS.
Tip
Artikel ini menjelaskan cara kerja gangguan serangan. Untuk mengonfigurasi kemampuan ini, lihat Mengonfigurasi kemampuan gangguan serangan di Microsoft Defender.
Cara kerja gangguan serangan otomatis
Penghentian serangan otomatis dirancang untuk menahan serangan yang sedang berlangsung, membatasi dampaknya terhadap aset organisasi, dan memberikan lebih banyak waktu bagi tim keamanan untuk menangani serangan sepenuhnya. Penghentian serangan menggunakan sinyal extended detection and response (XDR) dan mengevaluasi keseluruhan serangan untuk mengambil tindakan di tingkat insiden. Kemampuan ini berbeda dari metode perlindungan seperti pencegahan dan pemblokiran berdasarkan satu indikator kompromi.
Meskipun banyak platform XDR dan orkestrasi, otomasi, dan respons keamanan (SOAR) memungkinkan Anda membuat tindakan respons otomatis, penghentian serangan otomatis sudah terintegrasi di dalamnya dan menggunakan wawasan dari peneliti keamanan Microsoft serta model AI untuk mendeteksi dan membendung serangan tingkat lanjut. Gangguan serangan otomatis mempertimbangkan sinyal dari sumber yang berbeda untuk menentukan aset yang disusupi.
Gangguan serangan otomatis beroperasi dalam tiga tahap utama:
- Ini menggunakan kemampuan Microsoft Defender untuk mengkorelasikan sinyal dari berbagai sumber yang berbeda menjadi satu insiden dengan tingkat keyakinan tinggi berdasarkan wawasan dari endpoint, identitas, email dan alat kolaborasi, serta aplikasi SaaS.
- Ini mengidentifikasi aset yang dikendalikan oleh penyerang dan digunakan untuk menyebarkan serangan.
- Secara otomatis melakukan tindakan respons di produk Microsoft Defender yang relevan untuk membendung serangan secara real-time dengan mengisolasi dan menonaktifkan aset yang terdampak.
Kemampuan ini dapat membatasi kemajuan pelaku ancaman sejak dini dan mengurangi dampak keseluruhan serangan, termasuk biaya terkait dan hilangnya produktivitas.
Bagaimana Defender menentukan tingkat keyakinan untuk tindakan otomatis
Tim keamanan mungkin ragu ketika sistem mengambil tindakan otomatis karena tindakan respons dapat memengaruhi operasi bisnis. Penghentian serangan otomatis menangani kekhawatiran ini dengan menggunakan sinyal dengan fidelitas tinggi dan korelasi tingkat insiden berdasarkan data nyata dari email, identitas, aplikasi, dokumen, perangkat, jaringan, dan berkas.
Keyakinan akan gangguan serangan otomatis mengacu pada presisi detektor, diukur dengan rasio sinyal-ke-kebisingan (SNR). Untuk tindakan penahanan, Defender memiliki tingkat keyakinan sebesar 99% atau lebih tinggi berdasarkan data produksi aktual. Defender mengevaluasi setiap hit detektor terhadap serangkaian indikator yang luas untuk mengklasifikasikan positif sejati dan positif palsu dengan menggabungkan output pembelajaran mesin, korelasi lintas beban kerja, dan klasifikasi insiden yang dipimpin pakar.
Defender memvalidasi detektor dalam mode audit sebelum rilis luas dan secara bertahap hanya menyebarkan detektor yang memenuhi persyaratan kualitas yang ketat. Proses ini bertujuan untuk menjaga kesalahan positif tetap rendah sambil tetap secara efektif mengganggu serangan aktif. Detektor gangguan dievaluasi secara terus menerus dan dinamis untuk menjaga kualitas dan kepercayaan diri deteksi.
Microsoft pakar keamanan terus meninjau aktivitas gangguan, memantau anomali, dan menilai dampak untuk mempertahankan kualitas deteksi tinggi dari waktu ke waktu.
Selain itu, semua tindakan otomatis dapat dibatalkan oleh tim keamanan Anda, sehingga Anda mempertahankan kontrol penuh atas lingkungan Anda. Untuk informasi selengkapnya, lihat Detail dan hasil tindakan gangguan serangan otomatis.
Jika Anda memiliki aset penting yang seharusnya tidak dimuat secara otomatis, Anda dapat mengonfigurasi pengecualian untuk pengguna, perangkat, dan alamat IP yang didukung. Untuk panduan, lihat Mengecualikan aset dari tindakan respons otomatis.
Bagaimana gangguan serangan menggunakan AI
AI untuk mengganggu serangan menggunakan sekumpulan model dan detektor khusus yang dikembangkan dalam seluruh rangkaian Microsoft Defender. Kemampuan ini dilatih dan disetel menggunakan beberapa sumber data, termasuk:
- Telemetri beban kerja Defender yang berkorelasi
- Microsoft inteligensi ancaman
- Insiden sebelumnya dan pembelajaran analisis pasca-insiden dari pelanggan Microsoft
Platform ini menggunakan beberapa pendekatan pembelajaran mesin, termasuk model grafik, pohon keputusan yang ditingkatkan, jaringan neural, dan model bahasa kecil khusus (SLM), untuk meningkatkan kualitas deteksi dan presisi tindakan.
Kualitas model dan detektor dipertahankan melalui siklus rekayasa dan validasi berkelanjutan daripada satu titik rilis statis. Sebelum peluncuran luas, detektor baru melalui validasi pra-rilis yang ketat dan penyebaran bertahap. Kualitas yang sedang berlangsung didukung oleh tinjauan keputusan AI dan cakupan respons operasional 24x7 untuk perilaku anomali.
Tindakan respons otomatis
Untuk tindakan pengurungan, Defender for Endpoint menerapkan kebijakan pengurungan pada semua perangkat yang telah di-onboard untuk mencegah komunikasi yang berasal dari entitas yang disusupi (pengguna, alamat IP, atau perangkat).
| Perbuatan | Capability | Produk | Deskripsi |
|---|---|---|---|
| Berisi perangkat | Penghentian serangan | Defender untuk Perangkat Akhir | Secara otomatis mengisolasi perangkat yang dicurigai dengan menerapkan kebijakan pada semua perangkat yang telah di-onboard ke Defender for Endpoint untuk memblokir komunikasi dari perangkat tersebut. |
| Berisi alamat IP | Penghentian serangan | Defender untuk Perangkat Akhir | Mencakup alamat IP yang terkait dengan perangkat yang belum ditemukan/belum di-onboarding dengan menerapkan kebijakan pada semua perangkat yang telah di-onboarding ke Defender for Endpoint guna memblokir komunikasi dari alamat IP tersebut. |
| Mengisolasi perangkat | Penghentian serangan | Defender untuk Perangkat Akhir | Secara otomatis mengisolasi perangkat yang disusupi dari jaringan saat diidentifikasi sebagai titik pijak aktif. Sebagian besar lalu lintas jaringan diblokir sementara perangkat tetap terhubung ke layanan keamanan yang diperlukan. |
| Menonaktifkan pengguna | Penghentian serangan | Pelindung Identitas | Menonaktifkan akun pengguna untuk mencegah masuk dan akses lebih lanjut. |
| Isolasi pengguna | Gangguan serangan, Perisai prediktif | Defender untuk Perangkat Akhir | Untuk sementara berisi identitas yang mencurigakan dengan menerapkan kebijakan pada semua Defender untuk perangkat onboarding Titik Akhir untuk memblokir komunikasi dari pengguna tersebut dan mengurangi gerakan lateral dan risiko enkripsi jarak jauh. |
| Mencabut sesi pengguna | Penghentian serangan | Microsoft Entra ID | Mencabut sesi pengguna aktif untuk mengganggu akses. |
| Tangguhkan pengguna di Entra | Penghentian serangan | Microsoft Entra ID | Menangguhkan akun pengguna di Microsoft Entra ID untuk mencegah akses lebih lanjut. |
| Kompromi aplikasi OAuth | Penghentian serangan | Defender untuk Aplikasi Cloud | Menjalankan langkah-langkah perlindungan untuk aplikasi OAuth yang berpotensi disusupi. |
| Penguatan keamanan Safeboot | Perisai prediktif | Defender untuk Perangkat Akhir | Menerapkan penguatan pencegahan untuk memblokir potensi perusakan melalui boot ulang Mode Aman. |
| Pengerasan GPO | Perisai prediktif | Defender untuk Perangkat Akhir | Menerapkan penguatan pencegahan untuk memblokir potensi penyalahgunaan Kebijakan Grup. |
| Penahanan pengguna proaktif | Perisai prediktif | Defender untuk Perangkat Akhir | Secara proaktif berisi akun pengguna untuk mencegah potensi penyalahgunaan sebelum insiden meningkat, berfokus pada pengguna yang diidentifikasi sebagai risiko tinggi melalui logika prediksi. |
| Lampirkan kebijakan tolak ke pengguna AWS | Penghentian serangan | Microsoft Sentinel (konektor AWS) | Melampirkan kebijakan penolakan ke pengguna AWS IAM yang disusupi atau peran terfederasi untuk mencabut izin serta memblokir akses lebih lanjut ke sumber daya AWS. |
| Menonaktifkan pengguna di Okta | Penghentian serangan | Microsoft Sentinel (konektor Okta) | Menangguhkan akun pengguna Okta yang disusupi untuk menonaktifkan akun untuk sementara waktu dan memblokir login dan aktivitas hingga penangguhan dicabut. |
Berisi pertimbangan pengguna
Tindakan isolasi pengguna menerapkan isolasi pengguna pada lapisan endpoint. Defender for Endpoint menerapkan kebijakan pengisolasian pada semua perangkat yang telah terdaftar untuk memblokir komunikasi dari pengguna yang akunnya telah disusupi serta membatasi akses berbasis autentikasi, akses sistem file, dan jalur komunikasi melalui jaringan.
Note
Meskipun tindakan pengguna untuk mengisolasi digunakan baik dalam penghentian serangan maupun perlindungan prediktif, penerapannya berbeda dalam masing-masing konteks. Dalam perlindungan prediktif, tindakan contain user menerapkan pembatasan secara lebih selektif dengan berfokus pada pengguna yang diidentifikasi berisiko tinggi melalui logika prediksi. Ini mencegah sesi baru alih-alih mengakhiri sesi yang sedang berlangsung.
Menonaktifkan pertimbangan pengguna
- Saat akun pengguna dihosting di Direktori Aktif: Defender untuk Identitas memicu tindakan nonaktifkan pengguna pada pengontrol domain yang menjalankan Defender untuk sensor Identitas.
- Saat akun pengguna dikelola di Direktori Aktif dan disinkronkan ke Microsoft Entra ID: Defender for Identity memicu tindakan penonaktifan pengguna melalui pengontrol domain yang telah di-onboarding. Gangguan serangan juga menonaktifkan akun pengguna di Microsoft Entra ID.
- Saat akun pengguna dihosting di Microsoft Entra ID saja (akun cloud-native): Defender untuk Identitas menjalankan tindakan nonaktifkan pengguna di Microsoft Entra ID dengan menggunakan aplikasi perusahaan yang dikelola Microsoft. Aplikasi ini memvalidasi peran dan izin yang ditetapkan pengguna yang masuk melalui kontrol akses berbasis peran (RBAC) sebelum akun dinonaktifkan.
Tindakan nonaktifkan pengguna adalah penangguhan otomatis akun yang disusupi untuk mencegah kerusakan tambahan, seperti gerakan lateral, penggunaan kotak surat berbahaya, atau eksekusi malware.
Defender for Identity memungkinkan tindakan remediasi bagi pengguna dari Direktori Aktif, Microsoft Entra ID, dan penyedia identitas yang terintegrasi. Tindakan nonaktifkan pengguna bersifat berbeda tergantung pada bagaimana pengguna dihosting di lingkungan Anda:
- Saat akun pengguna dihosting di Direktori Aktif: Defender untuk Identitas memicu tindakan nonaktifkan pengguna pada pengontrol domain yang menjalankan Defender untuk sensor Identitas.
- Saat akun pengguna dikelola di Direktori Aktif dan disinkronkan ke Microsoft Entra ID: Defender for Identity memicu tindakan penonaktifan pengguna melalui pengontrol domain yang telah di-onboard. Gangguan serangan juga menonaktifkan akun pengguna di Microsoft Entra ID.
- Saat akun pengguna dihosting di Microsoft Entra ID saja (akun cloud-native): Defender untuk Identitas menjalankan tindakan nonaktifkan pengguna di Microsoft Entra ID dengan menggunakan aplikasi perusahaan yang dikelola Microsoft. Aplikasi ini memvalidasi peran dan izin yang ditetapkan pengguna yang masuk melalui kontrol akses berbasis peran (RBAC) sebelum akun dinonaktifkan.
Aplikasi enterprise bernama Microsoft Defender untuk Identitas dan menggunakan ID aplikasi 60ca1954‑583c‑4d1f‑86de‑39d835f3e452. Di tenant lama, aplikasi ini mungkin muncul sebagai Radius Aad Syncer.
Note
Menonaktifkan akun pengguna di Microsoft Entra ID tidak bergantung pada penyebaran Microsoft Defender untuk Identitas.
Layanan identitas yang didukung untuk tindakan disrupsi
Gunakan tabel berikut untuk menemukan di mana setiap layanan identitas yang didukung dikonfigurasi:
| Layanan identitas | Availability | Konfigurasi dan pengaturan |
|---|---|---|
| Microsoft Entra ID dan Direktori Aktif | Tersedia secara umum | Mengonfigurasi gangguan serangan otomatis di Microsoft Defender |
| Okta | Preview | Aktifkan tindakan gangguan serangan di Okta dengan Microsoft Sentinel |
| AWS IAM | Preview | Aktifkan tindakan gangguan serangan di AWS dengan Microsoft Sentinel |
Mengidentifikasi kapan gangguan serangan terjadi di lingkungan Anda
Halaman insiden Microsoft Defender akan mencerminkan tindakan gangguan serangan otomatis melalui cerita serangan dan status yang ditunjukkan oleh bilah kuning (Gambar 1). Insiden menampilkan tag gangguan khusus, menyoroti status aset yang terdapat dalam grafik insiden, dan menambahkan tindakan ke Pusat Tindakan.
Gambar 1. Tampilan insiden yang menunjukkan bilah kuning tempat penghentian serangan otomatis mengambil tindakan
Pengalaman pengguna Microsoft Defender mencakup isyarat visual untuk memastikan visibilitas tindakan otomatis ini. Anda dapat menemukannya dalam pengalaman berikut:
Di antrian insiden:
- Tag berjudul Gangguan Serangan muncul di samping insiden yang terpengaruh
Pada halaman insiden:
- Tag dengan judul Attack Disruption
- Banner kuning di bagian atas halaman yang menyoroti tindakan otomatis yang diambil
- Status aset saat ini ditampilkan dalam grafik insiden jika tindakan dilakukan pada aset, misalnya, akun dinonaktifkan atau perangkat yang terkandung
- Kolom Status kebijakan (Pratinjau) di tab Aktivitas memperlihatkan status saat ini dari semua tindakan dan kebijakan yang relevan dengan insiden tersebut. Filter menurut Penyedia: Gangguan serangan dan status Kebijakan: Aktif, Tidak Aktif, Tidak ada status untuk melihat status kebijakan gangguan.
Melalui API:
Teks (penghentian serangan) ditambahkan di akhir judul insiden yang dengan tingkat keyakinan tinggi kemungkinan akan dihentikan secara otomatis. Contohnya:
Serangan penipuan keuangan BEC dari akun yang disusupi (penghentian serangan)
Untuk informasi selengkapnya, lihat melihat detail dan hasil gangguan serangan.
Langkah berikutnya
- Mengonfigurasi gangguan serangan otomatis
- Menampilkan detail dan hasil
- Mengecualikan aset dari respons otomatis
- Mendapatkan pemberitahuan email untuk tindakan respons
Tip
Apakah Anda ingin mempelajari lebih lanjut? Terlibatlah dengan komunitas Microsoft Security di Komunitas Teknologi kami: Microsoft Defender XDR Tech Community.