Windows Defender dan Antivirus

Microsoft Defender Antivirus (sebelumnya Windows Defender) adalah solusi keamanan bawaan Windows yang menyediakan perlindungan real-time terhadap malware, ransomware, dan berbagai ancaman siber lainnya. Dengan kemampuannya yang terus berkembang, Defender kini menjadi solusi endpoint security yang mumpuni tanpa biaya lisensi tambahan.

Real-Time Protection

Perlindungan real-time memonitor setiap aktivitas file, proses, dan koneksi jaringan secara kontinu. Ketika pengguna membuka file, menjalankan aplikasi, atau mengunduh konten dari internet, Defender langsung memindai dan menganalisis perilaku tersebut menggunakan:

• Behavior Monitoring - Mendeteksi pola mencurigakan seperti enkripsi massal atau modifikasi registry.
• Heuristics Analysis - Menganalisis file baru berdasarkan kemiripan dengan varian malware yang dikenal.
• Machine Learning Models - Model ML berbasis cloud yang mampu mendeteksi malware zero-day.

Cloud-Delivered Protection

Fitur Cloud-delivered Protection (MAPS - Microsoft Active Protection Service) memungkinkan Defender mengirimkan sampel file mencurigakan ke cloud Microsoft untuk analisis cepat. Manfaatnya:

• Waktu respons deteksi lebih cepat (rata-rata < 5 detik).
• Perlindungan terhadap ancaman yang belum memiliki signature lokal.
• Pemblokiran berbasis Block at First Sight untuk file yang teridentifikasi berbahaya.

Fitur ini dapat dikonfigurasi melalui GPO pada: Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus > MAPS.

Attack Surface Reduction (ASR) Rules

ASR adalah fitur inti dalam Defender for Endpoint yang membatasi perilaku berbahaya pada sistem. Aturan ASR mencakup:

• Mencegah eksekusi file Office yang menurunkan child process.
• Mencegah makro Office dari internet.
• Mencegah credential stealing melalui Lsass.exe.
• Memblokir proses komunikasi jarak jauh yang mencurigakan.
• Mencegah enkripsi ransomware pada folder tertentu.

Aturan ASR dapat diaktifkan dalam mode Block (terapkan penuh), Audit (catat saja), atau Warn (peringatkan pengguna). Konfigurasi dilakukan melalui PowerShell (Add-MpPreference -AttackSurfaceReductionRules_Ids) atau GPO.

Controlled Folder Access (CFA)

Controlled Folder Access melindungi data sensitif dari modifikasi tidak sah oleh aplikasi yang tidak dikenal. Folder yang dilindungi secara default meliputi Documents, Pictures, Videos, Music, dan Desktop - dan administrator dapat menambahkan folder kustom. Ketika CFA aktif dan aplikasi mencurigakan mencoba mengubah file di folder tersebut, akses langsung diblokir.

CFA sangat efektif melawan serangan ransomware. Konfigurasi dapat diatur melalui Windows Security App > Virus & threat protection > Ransomware protection atau melalui GPO dan PowerShell.

Exploit Protection

Exploit Protection memberikan mitigasi tingkat sistem terhadap berbagai teknik eksploitasi umum, termasuk:

• DEP (Data Execution Prevention)
• ASLR (Address Space Layout Randomization), termasuk mandatory ASLR dan bottom-up ASLR.
• Control Flow Guard (CFG)
• Dynamic Code Prohibition

Pengaturan ini dapat diterapkan secara sistem-wide atau per-aplikasi melalui Windows Security App atau file XML yang diimpor dengan PowerShell.

Windows Defender Firewall

Windows Defender Firewall adalah komponen terintegrasi yang memfilter lalu lintas jaringan berdasarkan aturan. Untuk hardening:

• Aktifkan firewall di semua profil.
• Buat aturan inbound ketat (default block).
• Log koneksi yang ditolak untuk monitoring.
• Gunakan securing connection rules untuk mewajibkan IPSec pada lalu lintas sensitif.

Microsoft Defender for Endpoint (MDE)

MDE adalah solusi endpoint detection and response (EDR) berbasis cloud yang memperluas kemampuan dasar Defender. Fitur tambahan meliputi:

• Threat & Vulnerability Management - Identifikasi dan prioritisasi kerentanan.
• Automated Investigation & Remediation - Respon otomatis terhadap insiden.
• Live Response - Investigasi jarak aman ke endpoint.
• Threat Analytics - Laporan ancaman terkini dari Microsoft.

Manajemen melalui GPO

Semua pengaturan Defender dapat dikelola secara terpusat melalui Group Policy. Folder kebijakan utama:

Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus

Administrator dapat mengonfigurasi:

• Jadwal pemindaian (scan schedule).
• Tindakan yang diambil saat ancaman terdeteksi (quarantine, remove, allow).
• Pengecualian file atau folder.
• Konfigurasi MAPS dan cloud protection level.

Menjadwalkan Pemindaian

Pemindaian terjadwal dapat dikonfigurasi melalui GPO, PowerShell (Set-MpPreference -ScanScheduleDay), atau Task Scheduler. Tipe pemindaian:

• Quick Scan - Memeriksa lokasi umum malware (registri, startup folder, proses aktif).
• Full Scan - Memindai seluruh sistem file.
• Custom Scan - Memindai folder atau drive tertentu.

Rekomendasi: jadwalkan Full Scan mingguan di luar jam kerja, dan Quick Scan harian.

Kesimpulan

Microsoft Defender Antivirus telah berevolusi dari solusi antimalware dasar menjadi platform keamanan endpoint komprehensif. Dengan mengaktifkan dan mengonfigurasi seluruh lapisan perlindungan - real-time, cloud-delivered, ASR, CFA, exploit protection, dan firewall - organisasi dapat mencapai tingkat keamanan yang sebanding dengan solusi pihak ketiga berbayar, tanpa biaya tambahan dan dengan integrasi yang lebih erat ke ekosistem Windows.