Antivirus atau EDR, Mana yang Dibutuhkan Kantor Kecil?

Antivirus adalah perangkat lunak yang memindai dan memblokir file atau program jahat di komputer, terutama berdasarkan ciri ancaman yang sudah dikenal dan analisis perilaku dasar. EDR (Endpoint Detection and Response) melangkah lebih jauh: ia merekam aktivitas di setiap perangkat secara terus-menerus, mendeteksi rangkaian perilaku mencurigakan, dan memberi alat untuk menyelidiki serta menghentikan serangan, misalnya mengisolasi laptop dari jaringan.

Salah pilih punya akibat nyata. Membeli EDR tanpa ada yang membaca peringatannya berarti membayar alarm yang berbunyi di ruangan kosong. Sebaliknya, kantor yang menyimpan data penting tetapi hanya mengandalkan antivirus bisa terlambat menyadari serangan yang tidak memakai file jahat sama sekali, seperti penyalahgunaan akun atau alat bawaan sistem.

Apa beda antivirus dan EDR?

Cara kerja antivirus

Antivirus modern tidak lagi hanya mencocokkan tanda tangan virus. Banyak produk, termasuk antivirus bawaan Windows, sudah memakai analisis perilaku dan perlindungan berbasis cloud. Tugas utamanya tetap pencegahan: menahan file berbahaya sebelum berjalan, lalu mengkarantinanya.

Kelebihannya, antivirus ringan, murah atau bahkan gratis, dan hampir tidak butuh pengelolaan. Keterbatasannya ada di visibilitas. Bila sebuah serangan lolos, antivirus jarang bisa menjawab pertanyaan penting: masuk dari mana, apa saja yang sudah dilakukan, dan perangkat lain mana yang ikut terkena.

Cara kerja EDR

EDR merekam peristiwa di perangkat, misalnya proses yang berjalan, perubahan file, koneksi jaringan, dan login, lalu mengirimnya ke konsol pusat. Dari sana, sistem mencari pola serangan. Contohnya, dokumen Office yang menjalankan PowerShell, yang lalu mengunduh sesuatu dan mulai mengenkripsi banyak file sekaligus.

Saat ada temuan, EDR memberi peringatan beserta urutan kejadiannya. Pengelola bisa mengisolasi perangkat, menghentikan proses, dan menelusuri apakah pola yang sama muncul di perangkat lain. Sebagian produk juga menyediakan investigasi dan pemulihan otomatis. Sebagai gambaran, Microsoft Defender for Business, yang dirancang untuk organisasi hingga 300 pengguna, mencantumkan EDR, investigasi dan remediasi otomatis, serta manajemen kerentanan dasar dalam fiturnya¹.

Perbandingan untuk kantor kecil

Kapan antivirus sudah cukup, kapan perlu EDR?

Antivirus sudah cukup untuk kantor dengan sedikit laptop, sebagian besar pekerjaan di aplikasi cloud, dan tidak ada data pelanggan dalam jumlah besar di perangkat. Syaratnya, antivirus itu benar-benar aktif dan diperbarui di semua perangkat, sistem operasi masih mendapat update keamanan, pengguna sehari-hari tidak memakai akun administrator, dan ada backup terpisah. Di kondisi seperti ini, kombinasi antivirus bawaan, update otomatis, 2FA, dan backup sering memberi perlindungan yang lebih besar per rupiah daripada alat tambahan apa pun.

EDR mulai masuk akal ketika jumlah perangkat bertambah sehingga sulit dipantau satu per satu, ketika laptop menyimpan data sensitif seperti data keuangan, rekam medis, atau dokumen klien, atau ketika ada klien atau aturan yang mensyaratkan deteksi dan respons insiden. EDR juga layak dipertimbangkan bila kantormu pernah terkena insiden dan tidak bisa memastikan seberapa jauh penyerang masuk.

Faktor penentunya sering bukan anggaran lisensi, tetapi siapa yang akan membaca peringatannya. EDR tanpa pemantauan hanya menghasilkan notifikasi yang menumpuk. Bila tidak ada staf IT, pilihannya adalah produk dengan respons otomatis yang baik, atau layanan terkelola (sering disebut MDR, managed detection and response) yang memantau atas namamu. Pertimbangan antara tim sendiri dan pihak luar dibahas di artikel SOC internal atau outsource.

Yang lebih penting dari pilihan alat

Antivirus maupun EDR hanya satu lapisan. Beberapa kebiasaan memberi dampak yang sama besarnya:

• Update sistem dan aplikasi. Perangkat dengan sistem operasi yang sudah tidak mendapat update keamanan adalah celah, apa pun antivirusnya.
• Akun pengguna biasa untuk kerja harian. Banyak malware butuh hak administrator untuk menancap lebih dalam.
• 2FA di email dan akun penting. Serangan yang memakai password curian tidak melewati antivirus sama sekali.
• Backup terpisah. Ini yang menyelamatkan bisnis saat ransomware lolos. Cara kerja ransomware dan pencegahannya ada di cara kerja ransomware.
• Tahu tanda bahaya. Ajari tim mengenali gejala laptop terinfeksi dan langkah pertama yang benar, seperti dijelaskan di tanda laptop kantor terinfeksi malware.

Bila kantormu tumbuh dan memakai banyak sumber log, dari EDR, firewall, sampai server, langkah berikutnya biasanya adalah SIEM. Hubungannya dijelaskan di apa itu SIEM.