XDR - Extended Detection and Response
Extended Detection and Response (XDR) adalah evolusi dari EDR yang memperluas deteksi dan respons ke seluruh domain keamanan - endpoint, jaringan, email, cloud, dan identity. XDR mengintegrasikan telemetri dari berbagai layer dalam satu platform terpadu.
Evolusi: EDR → XDR
EDR fokus pada endpoint saja. XDR lahir karena ancaman modern tidak pernah berjalan di satu layer:
- EDR: Mendeteksi malware di laptop.
- XDR: Mendeteksi malware di laptop (EDR) + phishing email yang mengirimkannya (Email) + koneksi C2 ke IP mencurigakan (Network) + akun pengguna yang terkompromi (Identity).
Dengan XDR, konteks insiden menjadi utuh - analis tidak perlu switch antara konsol berbeda untuk menghubungkan titik-titik.
Komponen XDR
| Komponen | Sumber Telemetri |
|---|---|
| Endpoint | Proses, file, registry, memori, koneksi |
| Network | Trafik, DNS, proxy logs, IDS/IPS, NDR |
| Phishing, spoofing, malicious attachment, URL scan | |
| Cloud | Cloud API calls (AWS CloudTrail, Azure Activity), CSPM, CWPP |
| Identity | Authentication, privilege escalation, MFA failure, AD activity |
Cross-Layer Correlation
Kekuatan utama XDR adalah korelasi cross-layer otomatis. Contoh:
Seorang user menerima email berisi link phishing (Email). Ia mengklik dan browser mengunduh payload (Endpoint). Payload melakukan koneksi ke IP asing (Network), lalu mencoba lateral movement menggunakan akun domain admin (Identity). Tanpa XDR, ini adalah 4 alert terpisah. Dengan XDR, ini adalah satu incident dengan storyline lengkap - dari initial access hingga lateral movement.
Automated Response
XDR memungkinkan automated response lintas domain:
- Email phishing → otomatis quarantine di semua kotak surat penerima.
- Proses malicious terdeteksi di endpoint → isolate endpoint dan block IP C2 di firewall.
- Akun terkompromi → disable akun dan reset sesi di seluruh cloud application.
Respons otomatis mempercepat Mean Time to Respond (MTTR) dari jam menjadi detik.
XDR vs SIEM vs SOAR
| Aspek | SIEM | SOAR | XDR |
|---|---|---|---|
| Data | Agregasi log dari banyak sumber | Orchestration playbook | Telemetri terintegrasi dari 5 domain |
| Deteksi | Aturan korelasi | Manual/terpicu | ML + behavioral + cross-layer |
| Response | Manual via ticket | Otomatis via playbook | Otomatis terpadu |
| Visibilitas | Luas tapi dangkal | Tergantung integrasi | Dalam & terintegrasi |
| XDR ≠ pengganti | SIEM → XDR butuh SIEM untuk compliance logging | SOAR → XDR bisa jadi trigger SOAR | XDR menutup gap deteksi antar layer |
XDR Vendors
| Vendor | Produk | Keunggulan |
|---|---|---|
| Palo Alto Networks | Cortex XDR | Integrasi dalam dengan NGFW dan WildFire, behavioral analytics kuat |
| Microsoft | Microsoft 365 Defender | Native di M365 ecosystem, mencakup Identity, Endpoint, Cloud Apps, Email |
| Trend Micro | Trend Micro XDR | Open XDR, korelasi antar layer, cross-generational detection |
| Open XDR | Wazuh / Elastic Security | Open source, fleksibel, komunitas besar, biaya lebih rendah |
Open XDR
Konsep Open XDR (seperti Wazuh dan Elastic Security) memungkinkan organisasi membangun XDR tanpa vendor lock-in. Open XDR menggunakan standar terbuka (OpenTelemetry, ECS, STIX/TAXII) dan dapat mengintegrasikan produk keamanan dari berbagai merek. Cocok untuk organisasi dengan budget terbatas atau yang membutuhkan kustomisasi tinggi.