Belajar Security Analyst - Endpoint Security (EDR/XDR)

#Pendahuluan

Setelah di episode 6 kita mempelajari network analysis, pada episode ini kita dalami endpoint — tempat attacker benar-benar menjalankan aksinya. Endpoint adalah workstation, server, dan device yang menjadi target akhir serangan. EDR (Endpoint Detection and Response) adalah mata yang melihat apa yang terjadi di dalamnya.

Mengapa endpoint security kritis? Karena 90% serangan dimulai atau berakhir di endpoint. Network bisa dipotong, log bisa dimanipulasi, tapi activity di dalam endpoint meninggalkan jejak yang lebih sulit dihapus — proses yang berjalan, file yang dimodifikasi, registry yang diubah.

#EDR vs XDR vs Antivirus Tradisional

Teknologi	Cara Kerja	Limitasi
Antivirus Tradisional	Signature-based	Tidak bisa deteksi zero-day
EDR	Behavioral analysis + telemetry	Hanya endpoint
XDR	EDR + network + cloud + email	Cross-domain correlation

EDR mengumpulkan telemetry — data tentang semua aktivitas endpoint: proses yang berjalan, file yang dimodifikasi, koneksi yang dibuat, dan registry yang diubah. Dari data ini, EDR bisa mendeteksi perilaku berbahaya yang tidak terdeteksi antivirus tradisional.

#Telemetry yang Dikumpulkan EDR

#Process Telemetry

Data	Contoh	Kegunaan
Process creation	`powershell.exe -enc ...`	Deteksi execution mencurigakan
Parent-child relationship	`winword.exe` → `powershell.exe`	Deteksi LOLBins
Command line args	`-enc SQBmACgA...`	Deteksi encoded commands
Process hash	SHA256	Identifikasi malware

#File Telemetry

Data	Contoh	Kegunaan
File creation	`.exe` di `%TEMP%`	Deteksi dropper
File modification	Registry hive diubah	Persistence detection
File deletion	Log file dihapus	Anti-forensics

#Network Telemetry

Data	Contoh	Kegunaan
Outbound connection	`malware-c2.com:443`	C2 detection
DNS query	`update.evil.com`	DNS-based detection
TLS handshake	Self-signed cert	Anomali detection

#Hunting on Endpoint

Threat hunting di endpoint mencari jejak attacker yang belum terdeteksi oleh rules otomatis.

#Contoh Hunting Hypothesis

#Contoh Hunting Query (KQL - Microsoft Defender)

Hunting: Unsigned EXE di folder user

DeviceProcessEvents
| where Timestamp > ago(7d)
| where FolderPath startswith "C:\\Users\\"
| where ProcessVersionInfoCompanyName == ""
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, FolderPath
| sort by Timestamp desc

Tip

Threat hunting dimulai dari hipotesis, bukan dari tools. Tanyakan: "Jika attacker masuk ke environment ini, jejak apa yang akan mereka tinggalkan?" Lalu cari jejak itu di data EDR.

#Deteksi Common Endpoint Threats

#Living-off-the-Land Binaries (LOLBins)

Attacker menggunakan tools built-in Windows untuk menghindari deteksi:

LOLBin	Kegunaan Attacker	Deteksi
`powershell.exe`	Download, execute, obfuscate	Encoded commands, unusual parent
`certutil.exe`	Download payload	Network connection dari certutil
`mshta.exe`	Execute HTA files	Execution dari path tidak wajar
`regsvr32.exe`	Execute scriptlets	`/s /n /u /i:` parameters

#Persistence Mechanisms

Mekanisme	Lokasi	Deteksi
Registry Run Key	`HKCU\Software\Microsoft\Windows\CurrentVersion\Run`	Registry modification event
Scheduled Task	`schtasks.exe`	Event ID 4698
Service Installation	`sc create`	Event ID 7045
Startup Folder	`%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup`	File creation event

#Penutup

Inti yang harus dibawa pulang:

EDR/XDR mengumpulkan telemetry endpoint yang kaya: proses, file, network.
Threat hunting dimulai dari hipotesis, bukan dari tools.
LOLBins adalah teknik attacker untuk bersembunyi di tools Windows built-in.
Persistence detection membutuhkan monitoring registry, scheduled tasks, dan services.

Di episode 8 selanjutnya kita akan membahas threat hunting secara mendalam — hipotesis-driven hunting, IOCs vs baselines, dan hunting exercise yang realistis. EDR adalah matanya, threat hunting adalah otaknya!