Sign-In Risk vs. User Risk di Microsoft Entra ID: Apa Bedanya?

By Mirko Peters · 2026-10-26

Pelajari perbedaan penting antara sign-in risk dan user risk di Microsoft Entra ID Protection, serta cara mengonfigurasi Conditional Access dengan benar.

Automatically translated with AI from the original post. Read the English original

Sign-in risk dan user risk di Microsoft Entra ID Protection adalah metrik keamanan yang berbeda. Sign-in risk menilai apakah satu percobaan autentikasi mencurigakan, sedangkan user risk menentukan apakah kredensial inti sebuah akun telah disusupi di berbagai sesi.

Poin Penting

• Sign-in risk menilai probabilitas bahwa percobaan autentikasi tertentu tidak berasal dari pemilik akun yang sah.
• User risk menilai apakah kredensial sebuah akun telah disusupi secara permanen atau terekspos dalam pelanggaran data.
• Satu sign-in risk yang tidak ditangani dapat secara bertahap terakumulasi dan berkembang menjadi status pengguna berisiko tinggi seiring waktu.
• Sign-in risk biasanya diselesaikan seketika melalui tantangan MFA, sedangkan user risk sering kali memerlukan penggantian kata sandi yang aman.
• Microsoft Entra ID P2 diperlukan untuk memanfaatkan sepenuhnya kebijakan berbasis risiko, riwayat pelaporan terperinci, dan remediasi otomatis.

Memahami Perbedaan Utama

Ketika administrator pertama kali menerapkan Microsoft Entra ID Protection, salah satu kebingungan yang paling umum adalah mencampuradukkan sign-in risk dan user risk. Meskipun kedua metrik ini sama-sama bertumpu pada jaringan intelijen sinyal Microsoft yang sangat besar, yakni menganalisis triliunan sinyal setiap hari dari akun konsumen, penyewa perusahaan, bahkan layanan Xbox, keduanya menjawab pertanyaan yang pada dasarnya berbeda.

Sistem keamanan tidak bisa memperlakukan satu login yang tidak biasa sama seperti akun yang benar-benar dicuri. Jika administrator menerapkan penguncian akun menyeluruh setiap kali seseorang masuk dari lokasi atau jaringan yang tidak dikenal, produktivitas akan terhenti. Sebaliknya, memperlakukan akun yang benar-benar disusupi hanya dengan tantangan MFA sementara akan membiarkan pelaku ancaman yang gigih tetap bisa masuk kembali setelah tantangan tersebut kedaluwarsa. Memahami cara kedua metrik ini bekerja secara terpisah, dan bagaimana keduanya saling berinteraksi, sangat penting untuk merancang postur keamanan cloud yang seimbang.

Apa Itu Sign-In Risk?

Sign-in risk berfokus secara eksklusif pada satu momen: saat yang tepat ketika pengguna mencoba mengakses sebuah sumber daya seperti Microsoft Teams, SharePoint, atau Outlook. Pengukuran ini sepenuhnya berkaitan dengan konteks spesifik dari percobaan login tersebut dan tidak ada yang lain. Sistem menanyakan apakah karakteristik permintaan khusus ini sesuai dengan pola perilaku normal pengguna.

Microsoft Entra ID Protection mengevaluasi beberapa variabel selama pemeriksaan sign-in secara real-time. Variabel tersebut mencakup koneksi yang berasal dari alamat IP anonim yang sering digunakan untuk menyamarkan lokasi geografis, skenario perjalanan yang mustahil (impossible travel) saat sign-in terjadi dari wilayah yang berjauhan secara geografis dalam rentang waktu yang tidak realistis, atau tanda-tanda serangan password spray, yaitu ketika penyerang menguji satu kata sandi umum pada ribuan akun perusahaan secara bersamaan. Properti sign-in yang tidak dikenal juga dinilai secara dinamis; semakin tidak biasa permintaan tersebut dibandingkan dengan baseline historis, semakin tinggi skor risikonya.

Yang penting, skor risiko sign-in hanya berlaku untuk satu percobaan masuk itu saja. Jika pengguna berhasil melewati permintaan autentikasi multifaktor step-up selama proses masuk tersebut, risiko yang terkait dengan sign-in itu langsung dinetralkan, dan pengguna dapat melanjutkan aktivitasnya tanpa sanksi berkelanjutan terhadap status akunnya.

Apa Itu Risiko Pengguna?

Risiko pengguna, sebaliknya, tidak berkaitan dengan satu kali masuk. Risiko ini menyangkut kesehatan dan integritas akun itu sendiri. Risiko pengguna mempertanyakan apakah kredensial akun telah jatuh ke tangan yang tidak berwenang, yang berarti pihak penyerang memegang kunci permanen dan dapat kembali untuk menyusup ke data kapan pun mereka mau.

Pemicu utama risiko pengguna adalah kemunculan kredensial dalam pelanggaran data yang sudah diketahui. Ketika nama pengguna dan kata sandi bocor di dark web atau dikumpulkan melalui malware pencuri informasi, intelijen ancaman Microsoft langsung menandai kredensial tersebut. Indikator lain mencakup infrastruktur aktor ancaman yang terverifikasi berinteraksi langsung dengan profil pengguna, atau pola aktivitas anomali yang mengindikasikan akses tidak sah yang bertahan lama.

Ketika sebuah akun ditandai karena risiko pengguna, ancaman tetap ada meskipun pengguna sudah keluar dari akunnya. Karena penyerang mungkin telah memperoleh kata sandi di luar batas sesi normal, sekadar meminta pengguna menjalani MFA jarang cukup untuk sepenuhnya menyelesaikan skor risiko pengguna yang tinggi. Kerentanan yang mendasarinya harus ditangani.

Cara Tingkat Risiko Dihitung

Risiko sign-in maupun risiko pengguna pada dasarnya dibagi menjadi tiga tingkat keyakinan yang jelas: rendah, sedang, dan tinggi. Tingkat-tingkat ini merepresentasikan estimasi probabilitas ancaman berbasis machine learning, bukan kebenaran biner yang absolut.

Risiko tinggi menunjukkan bahwa sistem otomatis Microsoft memiliki bukti kompromi yang kuat dan terverifikasi, seperti kredensial bocor yang secara eksplisit cocok dengan basis data dark web atau signature IP berbahaya yang terverifikasi. Risiko sedang mencerminkan tanda-tanda aktivitas mencurigakan yang moderat dengan tingkat keyakinan absolut yang lebih rendah. Risiko rendah menunjukkan perilaku anomali yang menyimpang dari pola standar, tetapi tidak memiliki indikator berbahaya yang pasti.

Detail administratif yang penting adalah bagaimana catatan-catatan ini menua seiring waktu. Item berisiko rendah otomatis kedaluwarsa sekitar enam bulan untuk menjaga dasbor tetap bersih dan mudah dikelola. Namun, item berisiko sedang dan tinggi tidak kedaluwarsa dengan sendirinya. Item tersebut tetap berada di pusat admin hingga kebijakan otomatis atau administrator manusia secara eksplisit menyelidiki, memulihkan, atau menutupnya.

Efek Akumulasi: Bagaimana Keduanya Saling Terkait

Meskipun risiko sign-in dan risiko pengguna mengevaluasi hal yang berbeda, keduanya sangat erat terkait dalam pelaporan dan penegakan. Satu risiko sign-in yang sepenuhnya tidak ditangani atau tidak diverifikasi dapat terakumulasi dan bertambah seiring waktu, pada akhirnya ikut menambah skor risiko pengguna secara keseluruhan.

Artinya, seseorang dapat tampil sebagai pengguna berisiko di dasbor Entra ID meskipun percobaan masuk terakhirnya tampak sepenuhnya normal. Sistem mengenali riwayat perilaku mencurigakan yang terakumulasi, yang meningkatkan probabilitas kompromi jangka panjang. Administrator TI harus memeriksa kedua laporan secara bersamaan, bukan memperlakukannya sebagai silo yang terpisah.

Otomatisasi Remediasi Melalui Conditional Access

Agar tim keamanan tidak kewalahan dengan peringatan manual, Microsoft Entra Conditional Access menjembatani kesenjangan antara skor risiko dan penegakan otomatis. Organisasi dapat mengonfigurasi kebijakan tertentu yang terpicu ketika ambang risiko rendah, sedang, atau tinggi terlampaui.

Untuk risiko sign-in, kebijakan dapat menerapkan tindakan seperti mewajibkan MFA, memaksa sesi sign-in baru, atau memblokir akses sepenuhnya. Ketika pengguna berhasil memenuhi tantangan MFA, risikonya langsung diremediasi.

Untuk risiko pengguna, kebijakan biasanya mewajibkan penggantian kata sandi yang aman atau remediasi risiko otomatis. Bagian cerdas dari remediasi risiko adalah kemampuan adaptasinya: jika pengguna masuk dengan kata sandi tradisional, sistem meminta penggantian kata sandi yang aman dan segera membatalkan semua sesi yang ada. Jika pengguna masuk melalui metode tanpa kata sandi, sistem memutus sesi aktif dan meminta alur autentikasi baru. Respons otomatis ini secara signifikan mengurangi volume tiket help desk sekaligus menghentikan penyerang di tempat.

Kesimpulan

Memahami perbedaan antara risiko sign-in dan risiko pengguna memungkinkan arsitek cloud membangun kebijakan keamanan yang presisi dan bernuansa, yang melindungi data perusahaan tanpa menimbulkan gangguan berlebihan bagi pengguna sehari-hari. Dengan membiarkan otomatisasi menangani tugas remediasi yang umum, tim TI dapat memfokuskan energi mereka untuk menyelidiki ancaman yang nyata. Untuk mempelajari lebih dalam cara lapisan proteksi ini bekerja di lingkungan cloud modern, Dengarkan episode lengkapnya dari podcast ini untuk pembahasan menyeluruh tentang praktik terbaik konfigurasi, persyaratan lisensi, dan strategi administrasi di dunia nyata.

Pertanyaan Umum

Apa yang terjadi ketika risiko sign-in terdeteksi?

Ketika risiko sign-in terdeteksi, Microsoft Entra Conditional Access dapat secara otomatis memblokir upaya tersebut, mengizinkan akses, atau meminta pengguna melakukan autentikasi multifaktor (MFA) untuk membuktikan identitasnya.

Berapa lama peristiwa berisiko rendah tetap ada di laporan Entra ID Protection?

Deteksi berisiko rendah akan kedaluwarsa dan hilang dari laporan secara otomatis setelah sekitar enam bulan, sedangkan entri berisiko sedang dan tinggi tetap ada hingga administrator atau remediasi mandiri menghapusnya.

Apakah akun tamu dapat menggunakan remediasi risiko pengguna otomatis?

Tidak, alur remediasi risiko otomatis secara penuh tidak berfungsi untuk pengguna tamu dan pengguna eksternal, karena Microsoft Entra ID tidak mencabut sesi untuk akun eksternal tersebut dengan cara yang sama seperti untuk anggota internal.

Apa perbedaan antara 'Confirm safe' dan 'Dismiss' di laporan admin?

Menandai 'Confirm safe' memberi tahu sistem bahwa peringatan tersebut adalah alarm palsu yang disebabkan oleh perilaku normal. 'Dismiss' menandakan bahwa peringatan tersebut secara teknis merupakan temuan positif sejati, tetapi ternyata tidak berbahaya dalam konteks spesifik ini, misalnya pengujian keamanan yang direncanakan.