Mengapa 'Set-and-Forget' Gagal: Memperlakukan Microsoft Defender sebagai Sistem yang Hidup

By Mirko Peters · 2026-08-11

Selamat datang kembali di podcast dan rangkaian pembahasan mendalam kami tentang pengamanan lingkungan cloud Anda. Jika Anda pernah merasakan kekhawatiran ketika email phishing yang canggih mendarat tepat di kotak masuk pengguna meskipun keamanan Microsoft 365 sudah diaktifkan, Anda tentu tidak sendirian…

Automatically translated with AI from the original post. Read the English original

Selamat datang kembali di podcast dan rangkaian pembahasan mendalam kami tentang pengamanan lingkungan cloud Anda. Jika Anda pernah merasakan kekhawatiran ketika email phishing yang canggih mendarat tepat di kotak masuk pengguna meskipun keamanan Microsoft 365 sudah diaktifkan, Anda tentu tidak sendirian. Terlalu banyak organisasi memperlakukan Microsoft Defender for Office 365 sebagai sekadar formalitas centang. Mereka mengaktifkannya, membiarkan pengaturan default, lalu meninggalkannya begitu saja dengan anggapan bahwa raksasa cloud sudah mengurus semuanya di balik layar. Sayangnya, pola pikir "set-and-forget" inilah yang justru dimanfaatkan pelaku ancaman modern untuk menembus pertahanan Anda.

Pengaturan keamanan default di Microsoft 365 hanyalah titik awal, bukan pertahanan yang lengkap. Untuk benar-benar melindungi organisasi Anda dari serangan phishing yang terus berkembang, business email compromise, dan lampiran berbahaya, Anda memerlukan penyesuaian berkelanjutan, peninjauan rutin, dan umpan balik yang aktif. Untuk memperdalam konsep-konsep ini serta mendengarkan diskusi terperinci tentang penyesuaian lingkungan Anda, simak episode terkait kami, Tune Microsoft Defender for Office 365 Against Phishing. Dalam artikel ini, kami akan menguraikan cara kerja pipeline keamanan, mengungkap jebakan konfigurasi yang tersembunyi, dan memberi Anda cetak biru yang bisa langsung diterapkan untuk memperkuat pertahanan tanpa mengganggu operasional bisnis.

Yang Akan Anda Pelajari

• Bagaimana Safe Links, Safe Attachments, machine learning anti-phishing, dan aturan transpor benar-benar saling berinteraksi di dalam pipeline pengiriman email.
• Celah dan titik buta tersembunyi tempat kampanye phishing yang tertarget masih berhasil lolos.
• Jebakan konfigurasi paling umum yang sering dialami administrator dan cara Anda dapat menghindarinya secara aktif.
• Cetak biru langkah demi langkah agar Defender sangat efektif tanpa merusak alur kerja email bisnis yang normal.

Di Dalam Pipeline: Tempat Pesan Berhasil atau Lolos

Untuk memahami mengapa pengaturan default gagal, kita perlu terlebih dahulu melihat bagaimana Microsoft Defender memproses pesan email yang masuk. Defender bukan satu penjaga gerbang tunggal, melainkan pipeline keamanan berlapis. Jika lapisan-lapisan ini tidak dikonfigurasi agar saling terhubung dan disesuaikan dengan benar, pesan dapat lolos begitu saja melalui celah.

1. Safe Links: Fitur ini menulis ulang URL pada pesan yang masuk dan memeriksanya pada saat tautan diklik, bahkan beberapa hari setelah email dikirim. Namun, kebijakan dengan cakupan yang keliru atau pemblokiran yang terlalu agresif dapat dengan mudah memutus tautan sah yang digunakan tim pemasaran atau platform survei, sehingga menimbulkan tekanan internal yang besar untuk melonggarkan pembatasan sepenuhnya.
2. Safe Attachments (ATP): Komponen ini menjalankan file di sandbox cloud yang aman sebelum file tersebut sampai ke pengguna. Jika komponen ini dikonfigurasi dalam mode Monitor alih-alih Block atau Dynamic Delivery, ancaman hanya dicatat, bukan dihentikan. Artinya, pengguna Anda menerima muatan berbahaya, sementara tim keamanan Anda baru mendapat peringatan setelah kejadian berlangsung.
3. Anti-Phishing: Dengan memanfaatkan machine learning tingkat lanjut yang dikombinasikan dengan perlindungan impersonasi, lapisan ini melindungi dari pemalsuan display name, domain yang mirip, serta pola pengirim yang tidak wajar. Ambang batas yang disetel dengan buruk dapat menghasilkan false positive yang mengganggu untuk mitra eksternal yang sah, atau justru meloloskan penyamaran terhadap VIP yang menjadi target.
4. Aturan Transpor: Aturan alur email memiliki kekuatan berbahaya untuk melewati perlindungan sepenuhnya atau secara tidak sengaja memfilter pesan dua kali. Mengizinkan seluruh domain mitra melalui aturan transpor sering kali menciptakan titik buta besar yang dengan senang hati dimanfaatkan oleh penyerang.

Jebakan Konfigurasi yang Harus Dihindari

Banyak organisasi tanpa sadar melemahkan postur keamanan mereka sendiri karena terjebak dalam jebakan konfigurasi yang umum. Menyadari jebakan-jebakan ini adalah langkah pertama menuju arsitektur pertahanan email yang tangguh.

• Kebijakan global yang seragam untuk semua: Tim keuangan dan jajaran eksekutif Anda tidak memiliki profil risiko yang sama dengan tim pemasaran atau staf umum. Jika tidak menggunakan kebijakan berbasis peran, pengguna dengan nilai tertinggi sebagai target justru kurang terlindungi.
• Safe Attachments diatur ke Monitor-only: Peringatan mungkin muncul, tetapi pengguna tetap menerima muatan berbahaya. Anda harus beralih ke Dynamic Delivery dan kebijakan pemblokiran yang ketat.
• Daftar izin aturan transportasi: Jangan pernah melewati Defender sepenuhnya untuk seluruh domain. Sebagai gantinya, gunakan mekanisme pengirim tepercaya sambil tetap mengaktifkan mesin pemindaian.
• Perlindungan peniruan identitas yang belum disetel: Jika Anda tidak secara aktif melindungi eksekutif, tim keuangan, dan staf utang usaha dari pemalsuan nama tampilan dan domain, Anda secara langsung membuka celah bagi phishing penipuan transfer dana.
• Pengaturan default selamanya: Model machine learning memerlukan umpan balik manusia dan penyesuaian ambang batas secara berkala. Pengaturan default bawaan hanyalah titik awal.
• Tidak ada umpan balik atau jadwal tinjauan: Ketika positif palsu dan negatif palsu tidak pernah dikoreksi, model akan menyimpang, dan pengguna Anda dengan cepat kehilangan kepercayaan terhadap alat keamanan.

Cetak Biru Kerja (Berlapis & Sadar Bisnis)

Membangun lingkungan yang aman memerlukan pendekatan strategis yang menyeimbangkan perlindungan yang kuat dengan produktivitas bisnis. Berikut cara Anda membangun postur keamanan yang berlapis dan sadar bisnis.

1) Desain Kebijakan Berdasarkan Grup Risiko

Keuangan & Eksekutif:

• Safe Links: Diaktifkan, dengan verifikasi saat klik, pemblokiran tautan yang tidak dikenal, dan pemindaian real-time yang aktif di aplikasi Office dan Microsoft Teams.
• Safe Attachments: Dikonfigurasi untuk Dynamic Delivery plus Block.
• Anti-Phishing: Diatur ke perlindungan tinggi, dengan perlindungan peniruan identitas yang ketat untuk VIP, domain internal, dan pemalsu pemasok yang sudah dikenal.

Staf Umum:

• Safe Links: Diaktifkan, dengan tetap mempertahankan penulisan ulang URL sekaligus menyediakan alur kirim dan laporan yang jelas untuk setiap positif palsu yang sah.
• Safe Attachments: Dynamic Delivery plus Block.
• Anti-Phishing: Perlindungan standar yang dipadukan dengan pelaporan pengguna yang berkelanjutan dan pelatihan kesadaran.

Pemasaran/Operasional dengan alur kerja yang banyak tautan:

• Safe Links: Diaktifkan dengan pengecualian yang disetel dengan cermat untuk platform yang tervalidasi, dan menghindari setiap pengecualian global di seluruh organisasi.
• Safe Attachments: Dynamic Delivery.
• Tambahkan jalur tinjauan yang cepat dan terstruktur untuk tautan kampanye yang diblokir melalui kotak surat bersama atau antrean SecOps.

2) Terapkan, Jangan Hanya Mengamati

Ubah postur Anda dari pengamatan pasif menjadi penegakan aktif. Atur Safe Attachments ke Block atau Replace dengan memanfaatkan Dynamic Delivery. Untuk kebijakan anti-phishing, arahkan upaya phishing dengan tingkat keyakinan tinggi langsung ke karantina, kirim ancaman dengan tingkat keyakinan sedang ke folder junk, dan hanya kirimkan item dengan tingkat keyakinan rendah disertai tanda keamanan.

3) Amankan Jalur Pengecualian

Audit semua aturan transportasi di seluruh penyewa Anda untuk kondisi apa pun yang melewati filter spam, malware, atau phishing. Ganti aturan pengecualian domain-luas yang bersifat umum dengan pengirim tepercaya yang dicakup dengan tepat, sambil memastikan pemindaian latar belakang tetap aktif. Selain itu, pertahankan kontrol yang ketat terhadap penerusan email otomatis ke alamat eksternal.

4) Umpan Balik & Pemantauan

Tetapkan ritme operasional yang teratur. Setiap minggu, tinjau log karantina, laporan positif dan negatif palsu, data Threat Explorer, dan pelacakan pesan. Latih pengguna Anda untuk aktif menggunakan add-in Report Message, sehingga Security Operations Center Anda dapat memasukkan laporan tersebut kembali ke daftar izin dan daftar blokir untuk melatih model machine learning.

5) Otot Memori Insiden

Ketika pesan phishing pasti masuk ke kotak masuk, tim Anda perlu bertindak dengan cepat dan tepat. Cari item email serupa di seluruh organisasi melalui Threat Explorer, lakukan pembersihan massal, paksa pengaturan ulang kredensial jika tautan telah diklik, periksa persetujuan aplikasi OAuth, dan tambahkan domain yang bermasalah ke daftar pantauan aktif Anda.

Daftar Periksa Konfigurasi Cepat

Sebelum Anda menyelesaikan proses audit, jalankan daftar periksa cepat ini untuk memastikan lingkungan Microsoft Defender for Office 365 Anda telah diperkuat dengan benar:

• Safe Links diaktifkan untuk Email, aplikasi Office, dan Teams, dengan perlindungan saat klik diaktifkan.
• Safe Attachments diatur ke Dynamic Delivery dan Block/Replace (hindari mode Monitor).
• Anti-Phishing dikonfigurasi dengan perlindungan peniruan identitas untuk VIP, keuangan, AP, dan domain internal.
• Nol pengecualian aturan transportasi yang bersifat domain-luas; diganti dengan pengirim tepercaya yang dicakup dengan tepat dan pemindaian aktif.
• Kebijakan berbasis peran ditetapkan untuk Eksekutif, Keuangan, Staf Umum, dan Pemasaran dengan ambang risiko yang berbeda.
• Add-in pelaporan pengguna di-deploy ke endpoint dan dipantau secara aktif.
• Tinjauan mingguan dijadwalkan untuk Threat Explorer, Quarantine, False Positives/Negatives, dan Message Trace.
• Runbook operasional didokumentasikan dan diuji untuk remediasi phishing di kotak surat, penghapusan (purge), dan respons terhadap spoofing vendor.

Memperlakukan Microsoft Defender sebagai sistem yang hidup dan terus berkembang, bukan sekadar daftar periksa statis, akan mengubah postur keamanan Anda dari reaktif menjadi proaktif. Untuk mendalami strategi-strategi ini, simak diskusi lengkapnya di podcast dengan mengunjungi Tune Microsoft Defender for Office 365 Against Phishing. Tetap aman, terus sesuaikan kebijakan Anda, dan sampai jumpa di episode berikutnya!