Keamanan Browser vs Keamanan Perangkat Akhir: Peran Masing-Masing dalam Arsitektur Modern

Keamanan browser dan keamanan endpoint bukanlah lapisan yang saling bersaing — keduanya merupakan mekanisme pengendalian yang saling melengkapi, yang mendeteksi ancaman berbeda pada titik-titik berbeda dalam rantai serangan. Eksploitasi zero-day yang disebarkan melalui situs berita industri yang diretas sama sekali dapat melewati antivirus endpoint berbasis tanda tangan, tetapi remote browser isolation (RBI) mencegah kode berbahaya tersebut mencapai sistem operasi sama sekali. Sebaliknya, jika seorang karyawan mengunduh penginstal yang disusupi trojan melalui drive USB pribadi, deteksi dan respons titik akhir (EDR) adalah lapisan yang menangkap muatan berbahaya tersebut setelah berhasil masuk. Arsitek keamanan yang merancang sistem hanya untuk salah satu dari lapisan ini akan meninggalkan celah yang dapat diprediksi, yang secara rutin dimanfaatkan oleh penyerang.

Apa Saja yang Sebenarnya Dicakup oleh Keamanan Browser

Keamanan peramban mencakup mekanisme pengendalian yang beroperasi di dalam, di sekitar, atau pada tahap hulu dari sesi peramban web: remote browser isolation, gerbang web aman, DLP terintegrasi, penerapan proxy CASB, penyaringan URL, serta pembatasan berbasis kebijakan terhadap tindakan salin/tempel, unggah, unduh, dan pencetakan dalam sesi peramban.

Model ancaman di sini adalah sesi peramban itu sendiri. Bayangkan skenario berikut: seorang manajer pengadaan di sebuah perusahaan manufaktur mengunjungi portal pemasok suku cadang yang telah disusupi melalui injeksi JavaScript — sebuah serangan “watering hole” klasik. Situs web yang digunakan oleh penyerang sering kali merupakan situs yang dikunjungi oleh komunitas tertentu, seperti industri tertentu, di mana tujuannya adalah untuk menyerang pengguna berdasarkan minat yang sama — sebuah pola yang diklasifikasikan oleh MITRE ATT&CK sebagai serangan web strategis di bawah T1189. Skrip yang disisipkan secara diam-diam memeriksa browser untuk mencari versi yang rentan, dan jika ditemukan, skrip tersebut akan menjalankan kode.

Dengan adanya RBI, seluruh urutan ini berjalan di dalam sebuah kontainer yang terisolasi di cloud. Kode JavaScript berbahaya tersebut memang dijalankan, tetapi tidak pernah di mesin pengguna yang sebenarnya — kode tersebut dijalankan tanpa menimbulkan bahaya dalam sesi yang bersifat sementara. Endpoint sama sekali tidak melihat muatan berbahaya tersebut.

Keamanan browser juga menangani pengaliran data keluar selama sesi berlangsung. Bayangkan seorang kontraktor yang membuka dasbor Salesforce melalui browser di laptop pribadi yang tidak dikelola, memilih daftar pelanggan perusahaan, dan mencoba menempelkan data tersebut ke dalam chatbot AI di tab lain. DLP pada lapisan browser memeriksa peristiwa clipboard tersebut secara real-time dan memblokir proses penempelan sebelum data meninggalkan aplikasi perusahaan.

Jenis akses awal berbasis peramban ini sangat memprihatinkan karena telah teramati bahwa 41 kelompok ancaman dan keluarga malware yang diketahui menggunakan teknik “drive-by compromise” (T1189) di dunia nyata, sehingga menjadikannya salah satu metode akses awal yang paling umum yang terdaftar dalam MITRE ATT&CK.

Apa Saja yang Sebenarnya Dicakup oleh Keamanan Endpoint

Keamanan titik akhir mencakup EDR, antivirus generasi terbaru (NGAV), firewall berbasis host, penilaian kondisi perangkat, enkripsi disk, pengendalian aplikasi, dan deteksi ancaman pada tingkat sistem operasi. Kontrol-kontrol ini beroperasi di perangkat setelah konten tiba — mereka memeriksa proses, file, perubahan registri, operasi memori, dan koneksi jaringan yang berasal dari titik akhir.

Kerangka kerja MITRE ATT&CK memetakan serangkaian teknik endpoint pasca-eksekusi yang sangat komprehensif. Injeksi Proses (T1055) tetap menjadi salah satu teknik yang paling sering teramati dalam analisis malware, bersama dengan Pengelakan Pertahanan dan Persistensi sebagai taktik yang mendominasi. Melemahkan Pertahanan (T1562) — yang digunakan untuk menonaktifkan antivirus, menghapus log, dan menghentikan agen EDR — secara konsisten masuk dalam daftar teknik teratas yang teramati selama beberapa tahun terakhir.

Di sinilah keamanan endpoint membuktikan nilainya: seorang analis keuangan di sebuah bank mengunduh apa yang tampak seperti templat Excel dari tautan berbagi file milik rekan kerjanya. File tersebut sebenarnya berisi makro yang menempatkan berkas DLL ke dalam direktori sementara pengguna dan mencoba melakukan injeksi proses. Browser tidak memiliki alasan untuk memblokir unduhan tersebut — file tersebut berasal dari domain penyimpanan cloud yang sah. Namun, EDR mendeteksi proses anak yang mencurigakan yang muncul dari Excel, menandai DLL yang tidak ditandatangani, dan mengkarantina muatan tersebut sebelum dapat membangun persistensi.

Keamanan endpoint juga mendeteksi pencurian kredensial setelah sistem diretas. Berdasarkan kategori "Credentials from Web Browsers" (T1555.003) dalam MITRE ATT&CK, penyerang memperoleh kredensial dari peramban web dengan membaca berkas-berkas khusus peramban — peramban web umumnya menyimpan kredensial seperti nama pengguna dan kata sandi agar pengguna tidak perlu memasukkannya secara manual. Setelah malware berhasil mengakses endpoint, malware tersebut langsung menargetkan penyimpanan kredensial di peramban. EDR adalah lapisan yang mendeteksi proses non-peramban yang membaca basis data SQLite “Login Data” Chrome pada pukul 02.00 dini hari dan memicu peringatan.

Perbedaan Utama: Keamanan Browser vs Keamanan Endpoint

Perbedaan ini bukanlah soal mana yang “lebih baik”, melainkan soal di mana masing-masing lapisan mencegat ancaman dalam rantai serangan, telemetri apa yang dihasilkannya, dan teknik MITRE ATT&CK mana yang dapat diatasi oleh masing-masing lapisan tersebut.

Ketika Keamanan Browser Mendeteksi Apa yang Terlewatkan oleh Keamanan Perangkat Akhir

Contoh paling jelas adalah kerentanan zero-day yang disebarkan melalui situs web yang sah. Kelompok Intelijen Ancaman Google (GTIG) mencatat 75 kerentanan zero-day yang dieksploitasi di dunia nyata pada tahun 2024, dan eksploitasi berbasis peramban turun dari 17 pada tahun 2023 menjadi 11 pada tahun 2024 (GTIG, April 2025). Penurunan jumlah kerentanan zero-day pada browser tidak berarti risiko tersebut telah hilang — hal ini justru menunjukkan bahwa penyerang kini lebih selektif, dan menyimpan eksploitasi browser untuk target-target bernilai tinggi.

Bayangkan sebuah firma jasa hukum yang para pengacaranya secara rutin mengunjungi situs web yang membahas regulasi industri khusus. Seorang penyerang berhasil membobol situs tersebut dan menyisipkan eksploit zero-day yang menargetkan kerentanan pada mesin rendering Chromium yang belum memiliki patch. Perangkat lunak antivirus (AV) pada endpoint firma tersebut tidak memiliki tanda tangan (signature) untuk eksploit tersebut. Mesin perilaku EDR-nya mungkin pada akhirnya dapat mendeteksi aktivitas pasca-eksploitasi, tetapi baru setelah eksploit tersebut berhasil menjalankan kode dan mulai membangun pijakan.

Dengan isolasi peramban, eksploit dijalankan dalam wadah sementara dan perangkat akhir tidak pernah menerima kode berbahaya tersebut. Halaman tersebut ditampilkan sebagai aliran piksel. Saat pengacara menutup tab, wadah tersebut dihancurkan bersama dengan apa pun yang coba disiapkan oleh eksploit. Tidak diperlukan tanda tangan, tidak ada heuristik perilaku yang diterapkan — serangan tersebut dinetralkan secara arsitektural.

Keamanan browser juga mendeteksi skenario kebocoran data yang tidak dapat dipantau oleh agen endpoint. Seorang anggota tim pemasaran menyalin spreadsheet segmentasi pelanggan dari aplikasi analitik internal dan menempelkannya ke alat AI yang tidak disetujui yang berjalan di tab browser. DLP endpoint tidak memiliki visibilitas terhadap aktivitas clipboard antar tab browser. secure web gateway DLP terintegrasi memeriksa konten selama sesi berlangsung dan memblokir tindakan penempelan tersebut berdasarkan klasifikasi data.

Ketika Keamanan Endpoint Mendeteksi Apa yang Terlewatkan oleh Keamanan Browser

Pengendalian keamanan browser terbatas pada saluran lalu lintas web. Pengendalian tersebut tidak berlaku lagi begitu sebuah berkas telah disimpan ke disk, perangkat USB telah dicolokkan, atau aplikasi non-browser membuat koneksi jaringan.

Bayangkan seorang insinyur perangkat lunak yang mengunduh alat pengembang dari repositori komunitas. Unduhan tersebut lolos dari penyaringan URL SWG karena repositori tersebut sah dan banyak digunakan. Setelah diinstal, alat tersebut memuat DLL berbahaya secara sideload yang menggunakan T1055 Process Injection untuk menyisipkan dirinya ke dalam proses sistem tepercaya. Alat tersebut kemudian menjalankan T1555.003 untuk mencuri kredensial yang disimpan dalam profil browser insinyur tersebut dan mengeksfiltrasi kredensial tersebut melalui saluran C2 terenkripsi yang meniru lalu lintas HTTPS yang sah.

Setiap langkah setelah proses pengunduhan tidak terdeteksi oleh sistem keamanan browser. EDR adalah mekanisme pengendalian yang mendeteksi pemuatan DLL yang tidak ditandatangani, penulisan memori yang tidak wajar ke dalam proses sistem, serta koneksi keluar yang tidak biasa dari suatu proses yang biasanya tidak memiliki aktivitas jaringan.

Exploit menjadi vektor infeksi awal yang paling umum, yaitu pada 33% kasus intrusi pada tahun 2024, menurut laporan M Trends 2025 dari Mandiant, sementara kredensial yang dicuri naik menjadi 16% sebagai vektor kedua yang paling umum. Kredensial yang dicuri tersebut sering kali berasal dari malware infostealer yang berjalan di endpoint — malware yang mengumpulkan basis data kredensial browser, cookie sesi, dan data pengisian otomatis. Keamanan endpoint merupakan garis pertahanan utama melawan infostealer karena pencurian kredensial terjadi di tingkat sistem operasi/sistem berkas, bukan di sesi browser.

Kontrol titik akhir juga memastikan kondisi perangkat tetap sesuai standar. Sebelum sebuah laptop diizinkan terhubung ke sumber daya perusahaan, agen EDR memastikan bahwa sistem operasi telah diperbarui, firewall telah diaktifkan, dan tidak ada perangkat lunak yang diketahui rentan yang sedang berjalan. Keamanan peramban tidak dapat mendeteksi apakah sistem operasi yang mendasarinya telah disusupi oleh rootkit.

Mengapa Sebagian Besar Perusahaan Membutuhkan Keduanya — dan Cara Memetakan Keduanya ke NIST CSF 2.0

NIST CSF 2.0 disusun berdasarkan enam Fungsi — Pengaturan, Identifikasi, Perlindungan, Deteksi, Tanggapan, dan Pemulihan — yang secara bersama-sama memberikan gambaran menyeluruh dalam mengelola risiko keamanan siber. Fungsi Perlindungan saja mencakup 22 subkategori yang meliputi manajemen identitas, otentikasi, kontrol akses, keamanan data, keamanan platform, dan ketahanan infrastruktur teknologi.

Tidak ada satu pun kategori produk yang mencakup seluruh 22 subkategori tersebut. Keamanan peramban menangani aspek-aspek yang berkaitan dengan keamanan data selama pengiriman (PR.DS), manajemen akses untuk aplikasi SaaS dan web (PR.AA), serta keamanan platform untuk pekerjaan berbasis peramban (PR.PS). Keamanan titik akhir mencakup keamanan platform untuk sistem operasi, teknologi perlindungan untuk deteksi berbasis host, dan manajemen identitas untuk penyimpanan kredensial lokal.

Dalam praktiknya, ketika CISO sebuah perusahaan farmasi memetakan kontrol ke NIST CSF 2.0, isolasi peramban dan SWG akan dikelompokkan ke dalam subkategori yang mencakup penyaringan konten web dan perlindungan data dalam transmisi, sedangkan EDR akan dikelompokkan ke dalam subkategori yang mencakup deteksi ancaman pada titik akhir dan pencegahan malware. Fungsi “Protect” berfokus pada penerapan langkah-langkah untuk melindungi aset kritis, meminimalkan risiko, dan bersiap menghadapi insiden keamanan siber yang potensial — yang mengharuskan kedua lapisan tersebut diterapkan untuk menghindari titik buta sistematis.

Biaya rata-rata global akibat kebocoran data mencapai $4,88 juta pada tahun 2024, menurut Laporan Biaya Kebocoran Data IBM 2024. Di sisi lain, kebocoran data yang melibatkan kredensial yang dicuri atau disusupi membutuhkan waktu paling lama untuk diidentifikasi dan ditangani, yaitu 292 hari, menurut laporan yang sama. Arsitektur berlapis yang menggabungkan DLP sesi browser (mencegah penyisipan kredensial ke halaman phishing) dengan EDR endpoint (mendeteksi akses infostealer ke basis data kredensial browser) secara langsung menangani vektor serangan utama ini dari dua arah.

Kerangka Kerja Pengambilan Keputusan: Alokasi Investasi Antar Lapisan

Tidak semua organisasi membutuhkan tingkat kedalaman yang sama di kedua lapisan tersebut. Berikut ini adalah kerangka kerja praktis bagi para arsitek keamanan:

Prioritaskan investasi dalam keamanan peramban jika:

Sebagian besar tenaga kerja bekerja dari jarak jauh, berstatus kontraktor, atau menggunakan perangkat yang tidak dikelola — di mana agen endpoint tidak dapat diinstal. RBI dan reverse proxy memberikan perlindungan keamanan tanpa perlu mengontrol perangkat.

Aplikasi SaaS merupakan ruang kerja utama, dan risiko utama kebocoran data adalah tindakan menyalin/menempel, mengunduh, atau mengambil tangkapan layar dari aplikasi berbasis browser.

Organisasi tersebut harus memberikan akses kepada pihak ketiga ke aplikasi-aplikasi sensitif. Sebuah sistem layanan kesehatan yang memungkinkan mitra penagihan eksternal mengakses catatan pasien melalui sesi browser menggunakan RBI untuk memastikan data tidak pernah melewati titik akhir (endpoint) mitra tersebut.

Model ancaman ini memprioritaskan serangan zero-day dan phishing yang berasal dari web. Gartner memperkirakan bahwa pada tahun 2028, satu dari empat organisasi akan menerapkan setidaknya satu teknologi peramban perusahaan yang aman untuk mengatasi celah-celah tertentu dalam akses jarak jauh dan pertahanan titik akhir (Gartner, April 2025).

Prioritaskan investasi dalam keamanan titik akhir jika:

Tenaga kerja tersebut sebagian besar menggunakan perangkat yang dikelola dan dimiliki oleh perusahaan, dengan visibilitas penuh bagi administrator.

Pemodelan ancaman menunjukkan adanya risiko tinggi dari saluran penyebaran malware di luar peramban: USB, lampiran klien email, serta penginstal perangkat lunak rantai pasokan.

Persyaratan kepatuhan mengharuskan adanya enkripsi pada perangkat, penerapan firewall host, dan penilaian kondisi keamanan perangkat (umumnya diterapkan dalam lingkungan PCI DSS dan HIPAA).

SOC memerlukan data telemetri forensik yang mendalam — pohon proses, artefak memori, modifikasi registri — untuk penyelidikan insiden dan pencarian ancaman.

Lakukan investasi dalam integrasi jika:

Kedua lapisan tersebut memang ada, namun beroperasi secara terpisah. Platform SSE yang menyatukan SWG, RBI, CASB, dan DLP dengan telemetri endpoint menciptakan satu mesin kebijakan tunggal. Ketika SWG mendeteksi seorang pengguna mengunjungi domain yang baru terdaftar, platform tersebut dapat secara bersamaan mengaktifkan RBI untuk sesi tersebut dan memerintahkan agen endpoint untuk meningkatkan pemantauan perilaku pada perangkat pengguna tersebut.

Pada tahun 2024, 44% eksploitasi zero-day menargetkan produk-produk perusahaan (GTIG, April 2025), dan para penyerang semakin sering menggabungkan akses awal berbasis peramban dengan eksploitasi lanjutan di tingkat endpoint. Untuk mendeteksi serangan berantai tersebut, diperlukan data telemetri dari kedua lapisan tersebut yang dikorelasikan dalam satu konsol.

Bagaimana Telemetri pada Tingkat Browser dan Tingkat Endpoint Bekerja Bersama-sama

Serangan paling berbahaya mencakup kedua lapisan tersebut. Panduan deteksi MITRE ATT&CK untuk Drive-by Compromise menggambarkan persyaratan integrasi ini: panduan tersebut mengharuskan adanya bukti yang saling terkait mengenai perilaku browser dan jaringan yang tidak biasa — seperti pengambilan sumber daya eksternal yang mencurigakan dan pola injeksi skrip — yang diikuti oleh proses anak yang tidak lazim, modifikasi memori atau injeksi proses, serta penempatan berkas yang tidak terduga di perangkat akhir.

Rantai deteksi ini tidak dapat berfungsi jika telemetri browser dan telemetri endpoint berada di dasbor terpisah tanpa korelasi. secure web gateway generasi berikutnya secure web gateway sinyal pertama: sesi browser pengguna mengambil sumber daya JavaScript yang disamarkan dari domain yang baru terdaftar. Agen endpoint menghasilkan sinyal kedua: beberapa menit kemudian, proses browser melahirkan proses anak yang tidak terduga yang menulis file ke direktori sementara. Jika dikorelasikan, sinyal-sinyal ini mengonfirmasi adanya serangan drive-by yang sedang berlangsung. Jika dilihat secara terpisah, masing-masing sinyal tersebut mungkin dianggap sebagai gangguan.

Inilah tepatnya alasan mengapa industri ini bergerak menuju arsitektur SSE terpadu yang menggabungkan kebijakan web, cloud, dan endpoint. Ketika seorang arsitek keamanan dapat menyusun satu kebijakan DLP yang diterapkan secara konsisten di seluruh sesi browser, koneksi API SaaS, dan transfer file pada endpoint yang dikelola, celah cakupan pun berkurang secara drastis.