Microsoft Defender: Aturan Attack Surface Reduction untuk Endpoint

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Perkuat endpoint dengan aturan Attack Surface Reduction. Audit efektivitas aturan ASR menggunakan kueri KQL lanjutan untuk meningkatkan deteksi dan penyesuaian pengecualian.

Automatically translated with AI from the original post. Read the English original

Mengaudit aturan attack surface reduction berperan penting dalam menjaga postur keamanan organisasi Anda. Anda dapat menyederhanakan proses ini secara signifikan dengan menggunakan KQL lanjutan. Bahasa kueri yang ampuh ini memungkinkan Anda menganalisis data dengan lebih efektif, menghemat waktu, dan meningkatkan akurasi. Dengan KQL lanjutan, Anda dapat dengan cepat mengidentifikasi kerentanan dan memastikan kepatuhan terhadap kebijakan keamanan. Pendekatan ini tidak hanya meningkatkan kemampuan audit Anda, tetapi juga membantu Anda mengambil keputusan yang tepat terkait strategi keamanan.

Poin Penting

• Pahami struktur dasar kueri KQL untuk meningkatkan keterampilan audit Anda.
• Gunakan teknik pemfilteran untuk fokus pada aturan ASR tertentu dan data yang relevan.
• Gabungkan tabel data untuk menggabungkan informasi guna mendapatkan gambaran menyeluruh tentang audit ASR.
• Manfaatkan fungsi seperti count() dan summarize untuk menganalisis tren dan pola secara efektif.
• Tetapkan jadwal audit rutin untuk menjaga kepatuhan dan postur keamanan.
• Dokumentasikan temuan Anda secara menyeluruh untuk melacak kemajuan dan mengidentifikasi tren dari waktu ke waktu.
• Terus tingkatkan proses audit Anda dengan menganalisis hasil dan meminta masukan.
• Atasi kesenjangan data secara proaktif untuk memastikan keandalan data audit Anda.

1. Penggabungan lintas workspace itu praktis dan cepat — KQL lanjutan mendukung penggabungan data dari beberapa workspace, sehingga audit ASR dapat mengorelasikan peristiwa endpoint, sinyal ancaman, dan data konfigurasi tanpa proses ETL yang rumit.
2. Fungsi perkiraan mempercepat kueri skala besar — Fungsi seperti approx_count_distinct dan percentile_approx memungkinkan Anda merangkum telemetri ASR dalam jumlah besar dengan kebutuhan komputasi yang jauh lebih kecil dan respons yang mendekati waktu nyata.
3. Operator deret waktu mengungkap tren yang halus — Operator seperti make-series, series_fir, dan series_decompose membantu mendeteksi pergeseran bertahap pada aturan ASR serta pengecualian kebijakan yang berulang dan tidak terdeteksi oleh filter sederhana.
4. Pengayaan entitas sudah tersedia secara bawaan — KQL dapat memperkaya data audit ASR dengan intelijen ancaman, inventaris perangkat, dan atribut identitas secara langsung, menghasilkan peringatan yang kontekstual tanpa pipeline pengayaan terpisah.
5. Render dan visualisasi mengurangi positif palsu — Menggunakan render timechart, barchart, dan heatmap langsung di dalam kueri membantu auditor dengan cepat membedakan hit aturan ASR yang anomali dan layak diselidiki dari noise.
6. Batas kueri dan kontrol biaya bersifat presisi — KQL menyediakan kontrol saat kueri dijalankan (seperti take, limit, dan row_count_between) serta diagnostik kueri sehingga auditor dapat membatasi penggunaan sumber daya sambil tetap memperoleh wawasan ASR yang dapat ditindaklanjuti.
7. Deteksi pola lanjutan dengan regex dan sequence — Kombinasi regex, mv-expand, dan operator sequence memungkinkan identifikasi pola serangan multi-langkah yang kompleks dalam log ASR, yang tidak akan terlihat hanya dengan menghitung jumlah peristiwa.

Menyiapkan Lingkungan KQL Lanjutan

Prasyarat KQL

Sebelum mendalami KQL lanjutan, Anda perlu memenuhi beberapa prasyarat. Pertama, pastikan Anda memiliki akses ke Microsoft Defender, karena alat ini menyediakan data yang diperlukan untuk kueri Anda. Pemahaman dasar tentang konsep pemrograman juga akan membantu Anda memahami KQL dengan lebih baik. Berikut beberapa prasyarat utama:

• Akses ke Microsoft Defender: Alat ini sangat penting untuk mengumpulkan data keamanan.
• Pemahaman Dasar tentang Kueri Data: Mengetahui cara membaca dan menulis kueri sederhana akan membuat proses belajar Anda lebih lancar.
• Pemahaman tentang Konsep Keamanan: Memahami istilah seperti kerentanan dan kepatuhan akan meningkatkan kemampuan Anda dalam melakukan audit secara efektif.

Alat untuk KQL

Untuk bekerja secara efisien dengan KQL, Anda membutuhkan alat yang tepat. Berikut beberapa alat yang direkomendasikan untuk membantu Anda memulai:

• Kusto Query Explorer: Ini adalah alat berbasis web yang memungkinkan Anda menulis dan menguji kueri KQL secara real-time.
• Azure Data Explorer: Platform ini menyediakan lingkungan yang andal untuk menjalankan kueri KQL terhadap kumpulan data berukuran besar.
• Portal Microsoft Defender: Gunakan portal ini untuk mengakses data dan wawasan keamanan, yang dapat Anda analisis menggunakan KQL.

Mengonfigurasi Lingkungan Anda

Mengonfigurasi lingkungan Anda dengan benar sangat penting untuk performa KQL yang optimal. Ikuti langkah-langkah berikut untuk menyiapkan lingkungan Anda secara efektif:

1. Instal Alat yang Diperlukan: Mulailah dengan menginstal Kusto Query Explorer dan pastikan Anda memiliki akses ke Microsoft Defender.
2. Siapkan Sumber Data: Hubungkan alat Anda ke sumber data yang relevan. Koneksi ini memungkinkan Anda menarik data yang dibutuhkan untuk kueri Anda.
3. Optimalkan Performa Kueri: Gunakan fungsi materialize untuk meningkatkan kecepatan kueri dengan menyimpan hasil antara dalam cache. Urutan operator dalam kueri KQL sangat memengaruhi baik keluaran maupun performa. Oleh karena itu, susunlah kueri Anda dengan cermat untuk mendapatkan hasil terbaik.

Dengan mengikuti langkah-langkah ini, Anda akan membangun fondasi yang kokoh untuk menggunakan KQL Lanjutan dalam audit ASR Anda. Pengaturan ini tidak hanya akan merampingkan proses audit Anda, tetapi juga meningkatkan akurasi temuan Anda.

Kueri KQL untuk Audit ASR

Struktur Dasar Kueri

Saat Anda mulai menulis kueri KQL untuk audit ASR, memahami struktur dasarnya sangat penting. Kueri KQL umumnya terdiri dari beberapa komponen yang bekerja bersama untuk mengambil data yang diinginkan. Berikut adalah komponen utama dari kueri KQL:

• Nama Tabel: Ini menentukan sumber data yang ingin Anda kueri. Untuk audit ASR, Anda mungkin menggunakan tabel seperti DeviceEvents atau AlertEvidence.
• Operator: Ini adalah perintah yang melakukan tindakan pada data. Operator umum meliputi where, project, dan summarize.
• Filter: Anda dapat menerapkan filter untuk mempersempit hasil. Misalnya, Anda dapat memfilter berdasarkan tanggal atau aturan ASR tertentu.
• Fungsi: Fungsi memungkinkan Anda memanipulasi data. Anda dapat menggunakan fungsi untuk menghitung kemunculan atau menghitung rata-rata.

Fitur Advanced Hunting dari Microsoft Defender for Endpoint memungkinkan Anda melakukan analisis mendetail terhadap aturan ASR melalui kueri KQL kustom. Kueri ini dapat memberikan wawasan tentang deteksi aturan, perangkat yang terdampak, dan dampaknya terhadap aplikasi.

Komponen Kueri KQL

Berikut adalah contoh sederhana dari struktur kueri KQL:

DeviceEvents
| where ActionType == "ASRRuleTriggered"
| project DeviceName, Timestamp, ActionType

Dalam contoh ini, Anda melakukan kueri pada tabel DeviceEvents, memfilter peristiwa dengan jenis tindakan "ASRRuleTriggered", dan hanya memproyeksikan nama perangkat, stempel waktu, dan jenis tindakan.

Fungsi Umum dalam KQL

KQL mencakup beberapa fungsi yang memperkuat kemampuan kueri Anda. Berikut beberapa fungsi umum yang perlu Anda ketahui:

• count(): Fungsi ini menghitung jumlah rekaman yang memenuhi kriteria Anda.
• distinct(): Gunakan fungsi ini untuk mengembalikan nilai unik dari kolom tertentu.
• summarize: Fungsi ini mengagregasi data berdasarkan kriteria tertentu, sehingga memungkinkan Anda menganalisis tren dari waktu ke waktu.

Teknik Kueri Lanjutan

Setelah memahami dasarnya, Anda dapat mempelajari teknik KQL lanjutan untuk mengekstrak informasi yang lebih mendetail dari data audit ASR. Teknik-teknik ini dapat membantu Anda memperoleh wawasan yang lebih dalam tentang postur keamanan Anda.

Memfilter Data ASR

Pemfilteran sangat penting ketika Anda ingin berfokus pada aspek tertentu dari data ASR. Anda dapat menggunakan beberapa kondisi dalam klausa where untuk menyempurnakan hasil. Misalnya:

DeviceEvents
| where ActionType == "ASRRuleTriggered" and Timestamp > ago(30d)
| summarize Count = count() by DeviceName

Kueri ini memfilter pemicu aturan ASR dalam 30 hari terakhir dan merangkum jumlah pemicu berdasarkan nama perangkat.

Menggabungkan Tabel Data

Menggabungkan tabel data memungkinkan Anda menggabungkan informasi dari sumber yang berbeda, memberikan gambaran yang lebih komprehensif tentang audit ASR Anda. Anda dapat menggunakan operator join untuk menggabungkan tabel berdasarkan bidang yang sama. Berikut contohnya:

DeviceEvents
| join kind=inner (Alerts) on DeviceId
| where ActionType == "ASRRuleTriggered"
| project DeviceName, AlertSeverity, Timestamp

Dalam kueri ini, Anda menggabungkan tabel DeviceEvents dengan tabel Alerts pada bidang DeviceId. Ini memungkinkan Anda melihat alert mana yang sesuai dengan pemicu aturan ASR.

Dengan menguasai teknik KQL dasar dan lanjutan ini, Anda dapat secara signifikan meningkatkan kemampuan audit ASR Anda. Anda akan mampu menggali wawasan yang bermakna dan mengambil keputusan yang tepat terkait langkah-langkah keamanan organisasi Anda.

Menginterpretasi Hasil Audit ASR

Memahami Format Output

Saat Anda menjalankan kueri KQL, format output dapat bervariasi tergantung pada data yang Anda kueri. Memahami format ini membantu Anda menggali wawasan yang dapat ditindaklanjuti dari audit ASR Anda. Berikut beberapa aspek utama yang perlu dipertimbangkan:

• Portal Microsoft Defender menyediakan laporan terperinci tentang aktivitas yang terdeteksi. Anda dapat melacak efektivitas aturan pengurangan permukaan serangan melalui laporan ini.
• Peringatan (alert) dibuat ketika aturan terpicu, sehingga Anda langsung mendapatkan visibilitas terhadap potensi ancaman.
• Anda dapat meninjau Windows Event Log. Secara khusus, filter Event ID 1121 pada log Microsoft-Windows-Windows Defender/Operational untuk mengidentifikasi aplikasi yang akan diblokir oleh aturan ASR.

Menganalisis Hasil ASR

Menganalisis hasil audit ASR Anda sangat penting untuk mengukur efektivitas langkah-langkah keamanan Anda. Berikut cara melakukan analisis menyeluruh:

1. Gunakan mode audit untuk mengumpulkan wawasan tentang kebijakan ASR.
2. Buka portal Microsoft Defender dan navigasikan ke 'Reports'.
3. Di bawah 'Endpoints', pilih 'Attack Surface Reduction Rules'.
4. Filter aturan untuk melihat metrik, pilih 'All' untuk data yang lengkap.
5. Analisis 'Audited Detections' untuk menilai perlunya tindakan yang akan diblokir.
6. Tinjau tren dan konfigurasi secara berkala untuk memastikan perangkat telah diatur dengan benar.
7. Gunakan halaman 'Add exclusions' untuk mengelola kejadian pemicu aturan ASR tertentu.

Dengan mengikuti langkah-langkah ini, Anda dapat menganalisis hasil audit secara efektif dan menyempurnakan strategi keamanan Anda.

Mengidentifikasi Celah Keamanan

Mengidentifikasi celah keamanan merupakan bagian penting dari proses audit ASR Anda. Anda dapat menggunakan wawasan dari kueri KQL untuk menemukan kerentanan dalam postur keamanan Anda. Berikut beberapa strategi untuk membantu Anda mengidentifikasi celah tersebut:

• Cari pola dalam data. Misalnya, jika perangkat tertentu sering memicu aturan ASR, perangkat tersebut mungkin memerlukan langkah keamanan tambahan.
• Bandingkan hasil audit ASR Anda dari waktu ke waktu. Perbandingan ini dapat menunjukkan apakah postur keamanan Anda membaik atau memburuk.
• Gunakan kueri KQL lanjutan untuk menggali lebih dalam insiden tertentu. Misalnya, Anda dapat menjalankan kueri seperti DeviceEvents | where ActionType startswith 'Asr' untuk memperoleh wawasan guna penyempurnaan kebijakan.

Dengan secara aktif mengidentifikasi celah keamanan, Anda dapat mengambil langkah proaktif untuk meningkatkan keamanan organisasi dan mengurangi risiko ancaman potensial.

Praktik Terbaik untuk Audit ASR

Jadwal Audit Reguler

Menetapkan jadwal audit reguler sangat penting untuk menjaga efektivitas aturan pengurangan permukaan serangan Anda. Anda sebaiknya melakukan audit minimal setiap kuartal. Frekuensi ini memungkinkan Anda tetap mengikuti perubahan dalam lanskap keamanan Anda. Berikut beberapa tips untuk menyusun jadwal audit Anda:

• Tetapkan Tanggal Spesifik: Pilih hari tertentu di setiap kuartal untuk melakukan audit. Konsistensi ini membantu Anda mengingat dan memprioritaskan tugas tersebut.
• Libatkan Tim Anda: Ajak tim keamanan Anda dalam proses penjadwalan. Masukan mereka dapat membantu menentukan waktu terbaik untuk audit berdasarkan beban kerja dan komitmen lainnya.
• Gunakan Pengingat Otomatis: Manfaatkan alat kalender untuk menetapkan pengingat audit yang akan datang. Otomatisasi mengurangi kemungkinan terlewatnya audit.

Mendokumentasikan Temuan

Mendokumentasikan temuan selama audit sangat penting untuk melacak kemajuan dan mengidentifikasi tren. Anda sebaiknya membuat format dokumentasi yang terstruktur. Pertimbangkan untuk menyertakan elemen-elemen berikut:

• Tanggal Audit: Catat kapan audit dilakukan.
• Ringkasan Temuan: Rangkum temuan utama, termasuk aturan pengurangan permukaan serangan yang terpicu.
• Rekomendasi: Berikan rekomendasi yang dapat ditindaklanjuti berdasarkan temuan Anda. Langkah ini memastikan Anda menangani setiap masalah yang teridentifikasi dengan segera.
• Tindak Lanjut: Daftarkan tindak lanjut yang diperlukan dan tugaskan tanggung jawab kepada anggota tim.

Dengan mendokumentasikan secara menyeluruh, Anda menciptakan sumber daya yang berharga untuk audit di masa mendatang. Sumber daya ini dapat membantu Anda membandingkan hasil dari waktu ke waktu dan menyempurnakan strategi keamanan Anda.

Strategi Peningkatan Berkelanjutan

Peningkatan berkelanjutan sangat penting untuk audit yang efektif. Anda sebaiknya secara rutin meninjau proses audit dan melakukan penyesuaian bila diperlukan. Berikut beberapa strategi untuk meningkatkan audit ASR Anda:

1. Analisis Tren: Carilah pola dalam hasil audit Anda. Mengidentifikasi masalah yang berulang dapat membantu Anda fokus pada area yang perlu ditingkatkan.
2. Minta Masukan: Dorong tim Anda untuk memberikan masukan tentang proses audit. Wawasan mereka dapat menghasilkan peningkatan yang berharga.
3. Tetap Terinformasi: Ikuti perkembangan terbaru dalam praktik keamanan dan audit. Ikuti webinar, baca artikel, dan berpartisipasi dalam forum untuk belajar dari orang lain di bidang ini.
4. Uji Pendekatan Baru: Jangan ragu untuk bereksperimen dengan teknik atau alat audit yang baru. Menguji berbagai metode dapat menunjukkan cara audit yang lebih efisien.

Dengan menerapkan praktik terbaik ini, Anda dapat meningkatkan audit ASR dan memperkuat postur keamanan secara keseluruhan. Audit yang rutin, dokumentasi yang menyeluruh, dan komitmen terhadap peningkatan berkelanjutan akan membantu Anda tetap selangkah lebih maju dari potensi ancaman.

Tantangan Umum dalam Audit KQL

Memecahkan Masalah Kueri KQL

Saat Anda bekerja dengan KQL, Anda mungkin menghadapi masalah yang menghambat kemajuan Anda. Memecahkan masalah kueri ini sangat penting untuk audit yang efektif. Berikut beberapa masalah umum dan solusinya:

• Kesalahan Sintaks: Periksa adanya salah ketik atau sintaks yang tidak tepat. KQL sensitif terhadap format. Pastikan Anda menggunakan operator dan fungsi yang benar.
• Ketidaksesuaian Tipe Data: Pastikan tipe data dalam kueri Anda sesuai dengan tipe yang diharapkan dalam basis data. Misalnya, membandingkan string dengan angka akan menyebabkan kesalahan.
• Masalah Performa: Jika kueri Anda berjalan lambat, pertimbangkan untuk mengoptimalkannya. Gunakan fungsi summarize untuk mengurangi jumlah data yang diproses. Selain itu, saring data Anda sedini mungkin dalam kueri.

Tips: Selalu uji kueri Anda dalam segmen yang lebih kecil. Pendekatan ini membantu Anda mengisolasi masalah dengan lebih efektif.

Menangani Celah Data

Celah data dapat menjadi tantangan signifikan selama audit Anda. Data yang hilang atau tidak lengkap dapat menyebabkan kesimpulan yang tidak akurat. Berikut strategi untuk mengatasi celah tersebut:

1. Pemeriksaan Data Secara Rutin: Jadwalkan pemeriksaan rutin pada sumber data Anda. Pastikan bahwa semua aliran data yang relevan berfungsi dengan benar.
2. Penggunaan Peringatan: Siapkan peringatan untuk titik data yang kritis. Pengaturan ini memungkinkan Anda merespons dengan cepat jika data menjadi tidak tersedia.
3. Verifikasi Silang: Bandingkan data audit Anda dengan sumber lain. Praktik ini membantu Anda mengidentifikasi ketidaksesuaian dan melengkapi informasi yang hilang.

Dengan secara proaktif menangani celah data, Anda dapat meningkatkan keandalan data audit Anda. Keandalan ini sangat penting untuk membuat keputusan keamanan yang tepat.

Memastikan Kepatuhan ASR

Memastikan kepatuhan terhadap aturan ASR sangat penting untuk menjaga postur keamanan organisasi Anda. Berikut langkah-langkah yang dapat Anda ambil untuk memastikan kepatuhan:

• Audit Rutin: Lakukan audit secara sering untuk memverifikasi bahwa aturan ASR diterapkan dengan benar. Pemeriksaan rutin membantu Anda mengidentifikasi setiap penyimpangan dari kepatuhan.
• Dokumentasi: Simpan catatan audit yang terperinci. Mendokumentasikan temuan dan tindakan yang diambil memastikan akuntabilitas dan menjadi referensi untuk audit di masa mendatang.
• Pelatihan: Berikan pelatihan kepada tim Anda tentang aturan ASR dan penggunaan KQL. Tim yang memahami dengan baik akan lebih siap menjaga kepatuhan dan merespons ancaman keamanan.

Dengan berfokus pada area-area ini, Anda dapat memperkuat upaya kepatuhan dan meningkatkan strategi keamanan Anda secara keseluruhan.

Singkatnya, menggunakan KQL tingkat lanjut untuk audit ASR secara signifikan meningkatkan proses audit keamanan Anda. Anda dapat merampingkan analisis dan mengidentifikasi kerentanan dengan lebih efektif. Berikut beberapa poin penting:

Terapkan teknik-teknik ini untuk terus meningkatkan proses audit Anda. Tetap proaktif dalam menyempurnakan langkah keamanan Anda. Keselamatan organisasi Anda bergantung padanya! 🔒

Pertanyaan Umum

Apa itu Advanced KQL?

Advanced KQL (Kusto Query Language) adalah bahasa kueri yang ampuh untuk menganalisis kumpulan data besar di Microsoft Defender. Bahasa ini membantu Anda menggali wawasan dari data keamanan secara efisien.

Bagaimana cara mulai menggunakan KQL?

Mulailah dengan mengakses Microsoft Defender dan membiasakan diri dengan Kusto Query Explorer. Latih diri Anda menulis kueri sederhana untuk memperdalam pemahaman tentang bahasa ini.

Bisakah saya mengotomatisasi kueri KQL?

Bisa, Anda dapat mengotomatisasi kueri KQL menggunakan Azure Logic Apps atau Power Automate. Alat-alat ini memungkinkan Anda menjadwalkan kueri dan menerima pemberitahuan berdasarkan kondisi tertentu.

Apa saja kesalahan umum dalam KQL?

Kesalahan umum meliputi kesalahan sintaks, ketidaksesuaian tipe data, dan masalah performa. Selalu periksa struktur kueri Anda dan pastikan tipe data sesuai dengan yang Anda harapkan.

Seberapa sering saya harus mengaudit aturan ASR?

Anda sebaiknya melakukan audit ASR setidaknya setiap kuartal. Audit rutin membantu Anda tetap mengetahui kondisi postur keamanan dan memastikan kepatuhan terhadap aturan ASR.

Alat apa saja yang mendukung KQL?

Alat utama untuk KQL meliputi Kusto Query Explorer, Azure Data Explorer, dan portal Microsoft Defender. Alat-alat ini menyediakan lingkungan untuk menulis dan menguji kueri Anda.

Bagaimana cara meningkatkan keterampilan KQL saya?

Untuk meningkatkan keterampilan KQL, latihlah secara rutin, ikuti sesi pelatihan, dan berpartisipasi di forum daring. Berinteraksi dengan komunitas dapat memberikan wawasan dan tips yang berharga.

Menggunakan advanced hunting dan defender: advanced KQL untuk audit ASR

Apa yang dimaksud dengan "advanced KQL untuk audit ASR" dan bagaimana kaitannya dengan advanced hunting?

Advanced KQL untuk audit ASR mengacu pada kueri Kusto Query Language yang dirancang untuk menampilkan informasi rinci tentang aturan Attack Surface Reduction (ASR) beserta peristiwa auditnya. Dalam advanced hunting Defender dan advanced hunting Microsoft 365 Defender, kueri ini membantu tim threat hunting dan operator keamanan mengidentifikasi perangkat dengan aturan dalam mode audit, daftar perangkat yang terdampak, penerapan kebijakan melalui Intune, serta potensi aktivitas berbahaya yang ditandai oleh Microsoft Defender for Endpoint.

Bagaimana cara memverifikasi bahwa aturan ASR berada dalam mode audit menggunakan kueri hunting?

Gunakan kueri advanced hunting Defender untuk menarik laporan aturan dan peristiwa audit yang menunjukkan aturan yang aktif beserta modenya (audit atau block). KQL yang menampilkan informasi rinci biasanya menggabungkan laporan aturan ASR dengan tabel perangkat dan peristiwa untuk memastikan aturan dalam mode audit, menampilkan peristiwa aturan selama 30 hari terakhir, serta memberikan berbagai cara untuk memverifikasi hasil audit, termasuk membandingkan silang dengan kebijakan Intune dan telemetri Microsoft Defender XDR.

Bisakah saya membuat deteksi khusus untuk peristiwa ASR dengan Microsoft 365 Defender?

Bisa. Anda dapat membuat deteksi kustom dan aturan deteksi di Microsoft 365 Defender menggunakan kueri advanced hunting. KQL yang menampilkan informasi rinci tentang vektor serangan dan aktivitas malware memungkinkan Anda menerapkan deteksi kustom untuk memberi peringatan atas peristiwa aturan yang berulang, pengecualian, atau peristiwa audit mencurigakan yang disarankan Microsoft untuk Anda pantau. Setelah itu, deteksi tersebut dapat dijadikan laporan aturan atau playbook respons otomatis.

Bagaimana cara melaporkan aktivitas ASR dan membuat laporan aturan ASR untuk kepatuhan?

Buat laporan pengurangan permukaan serangan (attack surface reduction) dan laporan aturan ASR dengan mengkueri aturan deteksi serta tabel advanced hunting Defender, lalu ekspor peristiwa 30 hari terakhir atau rentang waktu kustom. Gunakan API atau fitur pelaporan bawaan di Microsoft 365 untuk membuat dasbor yang menampilkan aturan yang aktif, aturan dalam mode audit, jumlah perangkat yang terdampak, dan tren yang berguna untuk mengoptimalkan ASR serta mengelola penerapan aturan ASR di Intune dan perangkat on-premises.

Apa saja cara umum untuk memverifikasi audit dan mengoptimalkan aturan ASR berdasarkan hasil kueri?

Berbagai cara untuk memverifikasi audit mencakup meninjau peristiwa audit, membandingkan aturan dari audit di seluruh perangkat, memeriksa kebijakan Intune dan status penerapannya, serta melakukan perburuan ancaman dengan kueri advanced hunting untuk memastikan mode audit tidak meloloskan perilaku berbahaya. Gunakan temuan untuk memutuskan audit atau blokir, tambahkan pengecualian bila diperlukan, dan optimalkan ASR dengan menyesuaikan aturan perlindungan standar atau menerapkan aturan deteksi tambahan.

Bagaimana cara melakukan perburuan ancaman dengan KQL tingkat lanjut di seluruh Defender XDR dan Microsoft Sentinel?

Tulis kueri advanced hunting yang berpindah antara data Defender for Endpoint, data Microsoft Defender XDR, dan log Microsoft Sentinel. Korelasikan peristiwa audit ASR dengan telemetri endpoint, deteksi malware, dan indikator jaringan untuk menemukan pola mencurigakan. Pendekatan ini memungkinkan perburuan ancaman dan membantu menentukan apakah peristiwa audit berasal dari perangkat lunak yang tidak berbahaya, memerlukan pengecualian, atau menunjukkan upaya serangan sungguhan yang perlu segera ditangani.

Apa saja yang perlu disertakan dalam kueri agar perangkat yang terdampak dan detail spesifik aturan dapat ditampilkan?

Sertakan kolom seperti DeviceId, DeviceName, Timestamp, ActionType, RuleId, RuleName, dan DetectionSource dalam KQL Anda. Gabungkan laporan aturan ASR atau peristiwa aturan dengan inventaris perangkat dan tabel pendaftaran Intune untuk menampilkan daftar perangkat yang terdampak, aturan yang diaktifkan per perangkat, dan apakah suatu aturan berada dalam mode audit atau blokir. KQL yang menampilkan informasi terperinci seperti ini memudahkan Anda memprioritaskan perbaikan dan memperbarui pelaporan aturan.

Seberapa sering saya sebaiknya menjalankan kueri advanced hunting, dan seberapa jauh ke belakang saya sebaiknya mengkueri (misalnya 30 hari)?

Jalankan kueri perburuan secara terus-menerus atau sesuai jadwal yang sesuai dengan model ancaman Anda; baseline yang umum adalah menganalisis 30 hari terakhir untuk menangkap tren dan peristiwa yang berulang. Gunakan kueri terjadwal di Microsoft 365 Defender atau API untuk mengotomatiskan pelaporan aturan, dan sesuaikan rentang waktu berdasarkan kebutuhan respons insiden atau saat menguji aturan dalam mode audit guna memastikan telemetri yang cukup sebelum beralih ke mode blokir.

Bagaimana pengecualian dan mode blokir memengaruhi audit ASR, dan apa yang perlu diperhitungkan oleh kueri?

Pengecualian dan mode blokir mengubah perilaku ASR: pengecualian menekan peringatan untuk aplikasi yang diketahui tidak berbahaya, sedangkan mode blokir menerapkan pencegahan. Kueri perburuan sebaiknya memperhitungkan pengecualian dengan menyaring atau menandai proses yang dikecualikan, dan menyertakan kolom yang menunjukkan sumber kebijakan (Intune, kebijakan lokal). Hal ini membantu memastikan peristiwa audit diinterpretasikan dengan benar dan bahwa peralihan dari audit ke blokir tidak secara tak terduga mengganggu aplikasi yang kritis bagi bisnis.

Di mana saya bisa mempelajari lebih lanjut tentang KQL dan membangun kueri advanced hunting yang efektif untuk ASR?

Mulailah dengan modul Microsoft Learn tentang advanced hunting di Defender dan advanced hunting di Microsoft 365 Defender, lalu latih diri membuat KQL yang menampilkan informasi terperinci dengan menggunakan dataset contoh dan peristiwa aturan ASR yang nyata. Gabungkan sumber daya dari dokumentasi Microsoft Defender for Endpoint, panduan attack surface reduction Microsoft Defender, dan kueri perburuan dari komunitas untuk memperluas keterampilan dalam perburuan ancaman, pelaporan aturan, dan pengelolaan aturan ASR secara efektif.

Apa yang sebaiknya saya lakukan jika menemukan celah data?

Jika Anda menemukan celah data, lakukan pemeriksaan rutin terhadap sumber data Anda. Siapkan peringatan untuk titik data penting agar Anda dapat merespons dengan cepat ketika data tidak tersedia.