Tindakan Respons

Mendeteksi ancaman hanyalah separuh pekerjaan. Respons adalah tindakan yang Anda ambil untuk menghentikan dan membersihkan serangan.

Respons yang cepat membatasi kerusakan dan mencegah penyebaran.

Isolasi (penahanan jaringan) memutus titik akhir yang terinfeksi dari jaringan.

Perangkat tersebut masih dapat berkomunikasi dengan konsol EDR untuk penyelidikan, tetapi tidak dapat menyebarkan perangkat lunak berbahaya atau membocorkan data.

Analis dapat menghentikan proses berbahaya dari jarak jauh.

Mengakhiri proses menghentikan aktivitas penyerang saat ini, seperti enkripsi atau pencurian data, sementara pembersihan yang lebih menyeluruh terus berlangsung.

Karantina memindahkan berkas mencurigakan ke lokasi yang aman dan terkunci.

Berkas tersebut tidak lagi dapat dijalankan, tetapi tetap disimpan sebagai bukti dan dapat dipulihkan jika ternyata aman.

Setelah ancaman dipahami, tim memblokir semua indikator kompromi di seluruh lingkungan.

• Hash berkas berbahaya
• Alamat IP dan domain berbahaya

Hal ini sekaligus melindungi semua titik akhir lainnya.

Beberapa tindakan dapat berjalan secara otomatis saat peringatan terpicu.

Misalnya, titik akhir dapat mengisolasi dirinya segera setelah perilaku ransomware terdeteksi, bahkan sebelum manusia membaca peringatannya.

Sebelum melakukan pembersihan, analis mengumpulkan bukti dari jarak jauh.

• Mengumpulkan daftar proses yang sedang berjalan
• Mengambil berkas mencurigakan untuk dianalisis
• Membuka terminal jarak jauh pada titik akhir

Hal ini memberikan gambaran serangan yang jelas.

Penanganan menghapus ancaman dan membatalkan perubahan yang dibuatnya.

• Menghapus berkas berbahaya
• Menghapus entri persistensi
• Membalikkan perubahan konfigurasi yang berbahaya

Beberapa alat EDR dapat mengembalikan perubahan yang dibuat oleh perangkat lunak berbahaya, seperti memulihkan berkas yang dienkripsi oleh ransomware.

Jika pengembalian tidak memungkinkan, perangkat tersebut dibuat ulang dari citra yang bersih.

Respons merupakan bagian dari siklus yang lebih luas:

• Identifikasi ancaman
• Kendalikan ancaman tersebut (isolasi)
• Berantas ancaman tersebut (penanganan)
• Pulihkan sistem
• Pelajari insiden tersebut

Setelah insiden, tim meninjau apa yang terjadi.

Mereka mencatat cara penyerang masuk dan memperbarui deteksi serta kebijakan agar serangan yang sama tidak dapat berhasil lagi.

Uji pemahaman Anda tentang tindakan respons.

Tindakan respons EDR meliputi:

• Isolasi perangkat, penghentian proses, dan karantina berkas
• Pemblokiran indikator kompromi dan penahanan otomatis
• Penanganan, pengembalian, dan pelajaran yang didapat

Langkah-langkah ini mengikuti siklus identifikasi, penahanan, pemberantasan, dan pemulihan.