Apa Itu Identity Threat Detection and Response (ITDR)?

Seorang karyawan di sebuah perusahaan teknologi finansial di Jakarta resign bulan lalu. Akun Microsoft 365 miliknya ternyata masih aktif tiga minggu setelah hari terakhir kerja, dan tidak ada satu pun tim IT yang menyadarinya sampai muncul aktivitas login mencurigakan dari luar negeri.

Kasus semacam ini jauh dari langka. Menurut Unit 42 Global Incident Response Report 2026 dari Palo Alto Networks, kelemahan identitas terlibat dalam hampir 90% investigasi insiden keamanan sepanjang tahun lalu, dan 65% akses awal penyerang berasal dari kredensial curian, phishing, atau brute force. Sementara itu, SpyCloud 2026 Identity Exposure Report mencatat 65,7 miliar rekaman identitas berhasil direkam ulang dari jaringan kriminal siber sepanjang 2025, naik 23% dibanding tahun sebelumnya.

Angka-angka itu menjelaskan kenapa Identity Threat Detection and Response, atau yang biasa disingkat ITDR, belakangan jadi salah satu prioritas utama tim keamanan siber. Lantas, apa sebenarnya ITDR, dan kenapa perusahaan Anda sebaiknya memahaminya sebelum kejadian serupa menimpa organisasi sendiri?

Apa Itu Identity Threat Detection and Response (ITDR)?

Identity Threat Detection and Response adalah pendekatan keamanan siber yang berfokus pada pemantauan, deteksi, dan respons terhadap aktivitas identitas yang mencurigakan secara real time. ITDR tidak berhenti pada urusan siapa yang boleh mengakses apa saja, melainkan mengawasi bagaimana akses tersebut benar-benar dipakai setelah kredensial diberikan kepada penggunanya.

Bayangkan begini. Sistem Identity and Access Management (IAM) menentukan bahwa seorang staf keuangan berhak login ke aplikasi payroll, sedangkan ITDR yang menyadari kalau login itu terjadi pukul tiga pagi dari negara yang belum pernah diakses staf tersebut, lalu memicu peringatan atau langsung mengunci sesi secara otomatis. Bedanya jelas, IAM mengatur izin di depan, ITDR mengawasi perilaku sesudahnya.

Tiga elemen berikut membedakan ITDR dari sekadar kontrol akses konvensional. Pertama, pemantauan berkelanjutan terhadap perilaku identitas manusia maupun mesin. Kedua, analitik berbasis machine learning untuk mengenali pola anomali dibandingkan kebiasaan normal pengguna. Ketiga, kemampuan merespons ancaman secara otomatis tanpa harus menunggu analis SOC membuka tiket secara manual.

Ketiganya bekerja bersama supaya jeda waktu antara kredensial dicuri dan insiden terdeteksi, yang dalam dunia keamanan siber disebut dwell time, bisa dipangkas jauh lebih pendek. SANS 2026 State of Identity Threats and Defenses Survey menemukan kesenjangan yang cukup mengkhawatirkan soal ini.

68% organisasi mampu mendeteksi serangan identitas dalam 24 jam, tapi hanya 55% yang berhasil mengendalikannya dalam rentang waktu yang sama. Kesenjangan antara “tahu ada serangan” dan “berhasil menghentikannya” inilah yang coba ditutup oleh ITDR.

Kenapa Identitas Kini Jadi Sasaran Utama Serangan Siber

Serangan siber dulu banyak menyasar celah jaringan atau perangkat lunak yang belum ditambal. Sekarang ceritanya berbeda. Penyerang menyadari cara paling murah dan efektif justru masuk lewat pintu depan memakai kredensial asli yang dicuri, bukan membobol sistem lewat celah teknis yang rumit dan memakan waktu.

Berikut beberapa faktor yang membuat identitas jadi target favorit belakangan ini, dan ITDR pada dasarnya hadir untuk menangani celah yang ditimbulkan masing-masing faktor tersebut sebelum berujung insiden.

Perpindahan ke Cloud dan Kerja Jarak Jauh

Ketika aplikasi bisnis pindah ke cloud dan karyawan bekerja dari mana saja, batas jaringan tradisional yang dulu dijaga firewall praktis hilang. Contohnya, karyawan yang login ke Google Workspace, Salesforce, dan sistem HR dari jaringan rumah, kafe, atau bahkan wifi bandara, membuat kredensial jadi satu-satunya penjaga gerbang yang tersisa.

Ledakan Identitas Non-Manusia

Selain akun manusia, perusahaan sekarang mengelola ribuan API key, service account, dan token otentikasi untuk aplikasi yang saling terhubung. SpyCloud melaporkan 18,1 juta kunci API dan 6,2 juta kredensial alat AI berhasil direkam ulang dari peredaran kriminal siber sepanjang 2025, dan identitas mesin semacam ini sering luput dari rotasi kredensial rutin maupun penerapan MFA.

Teknik Pencurian Sesi Login

Penyerang tidak selalu perlu password. Dengan mencuri cookie sesi atau token otentikasi lewat malware infostealer, mereka bisa langsung masuk ke akun yang sudah login tanpa perlu melewati MFA sama sekali, karena sesi tersebut memang sudah dianggap terverifikasi oleh sistem.

Kesenjangan Visibilitas Antar Sistem Identitas

Banyak organisasi mengelola identitas lewat beberapa sistem sekaligus, misalnya Active Directory untuk internal dan Okta atau Microsoft Entra ID untuk aplikasi cloud. Analis keamanan jadi harus bolak-balik antar konsol yang terpisah, sehingga pola serangan yang melintasi beberapa sistem sekaligus kerap tidak terlihat sampai kerusakan sudah terjadi.

Rekayasa Sosial yang Makin Personal

Serangan phishing sekarang lebih sulit dikenali karena penyerang bisa meniru gaya komunikasi internal perusahaan dengan cukup meyakinkan. Email yang seolah berasal dari atasan langsung, lengkap dengan nada bicara dan konteks proyek yang sedang berjalan, membuat korban lebih mudah menyerahkan kredensial tanpa curiga.

Bagaimana Cara Kerja ITDR?

Setelah memahami kenapa identitas jadi sasaran empuk, pertanyaan berikutnya adalah bagaimana ITDR sebenarnya bekerja di balik layar. Secara umum, prosesnya berjalan dalam empat tahap yang saling terhubung.

Pengumpulan Data Identitas

Tahap pertama adalah mengumpulkan data aktivitas identitas dari berbagai sumber, mulai dari Active Directory, Entra ID, Okta, hingga log aplikasi SaaS yang dipakai perusahaan. Semakin lengkap sumber datanya, semakin akurat pula gambaran yang didapat tim keamanan tentang siapa mengakses apa dan kapan.

Membangun Baseline Perilaku Normal

Sistem ITDR lalu mempelajari pola kebiasaan setiap identitas, seperti jam kerja biasa, lokasi login yang lazim, dan aplikasi yang rutin diakses. Misalnya, jika seorang staf pemasaran biasanya login dari Jakarta antara pukul delapan pagi sampai enam sore, baseline ini jadi acuan untuk membandingkan aktivitas berikutnya.

Deteksi Anomali dan Prioritisasi Ancaman

Begitu ada aktivitas yang menyimpang dari baseline, misalnya login dari dua kota berbeda dalam waktu satu jam (dikenal sebagai impossible travel), sistem akan menandainya sebagai anomali dan memberi skor risiko. Skor ini membantu analis SOC memilah mana yang benar-benar berbahaya dan mana yang hanya kebetulan, sehingga waktu mereka tidak habis mengejar peringatan palsu satu per satu.

Respons Otomatis dan Investigasi Lanjutan

Untuk ancaman dengan skor risiko tinggi, ITDR bisa langsung mengambil tindakan tanpa menunggu manusia, seperti memutus sesi login, memaksa verifikasi ulang lewat MFA, atau membekukan sementara akun yang dicurigai. Tim keamanan kemudian melakukan investigasi lebih lanjut untuk memastikan akar masalah dan mencegah kejadian serupa terulang.

Komponen Utama dalam Solusi ITDR

Kemampuan di atas tidak berdiri sendiri. Ada beberapa komponen teknis yang biasanya menyusun sebuah solusi ITDR yang matang, dan masing-masing punya peran spesifik.

• Identity analytics dan UEBA (User and Entity Behavior Analytics). Komponen ini yang membangun profil perilaku normal setiap akun, lalu membandingkannya dengan aktivitas terkini secara terus-menerus, misalnya mendeteksi kalau seorang admin IT tiba-tiba mengakses data pelanggan yang bukan bagian dari tugasnya.
• Threat intelligence kredensial. Fitur ini memantau apakah kredensial karyawan sudah bocor di forum gelap atau database curian, sehingga tim keamanan bisa memaksa reset password sebelum kredensial tersebut dipakai penyerang.
• Integrasi dengan SIEM dan XDR. Data identitas digabungkan dengan sinyal dari endpoint, jaringan, dan cloud supaya tim keamanan melihat gambaran serangan secara utuh, bukan potongan-potongan yang terpisah di konsol berbeda.
• Deception dan honeytoken. Beberapa solusi ITDR menaruh akun umpan atau kredensial palsu yang sengaja dibuat menarik bagi penyerang, sehingga begitu ada yang mencoba memakainya, tim keamanan langsung tahu ada penyusup di dalam sistem.
• Manajemen kredensial non-manusia. Komponen ini secara khusus memantau API key, service account, dan token mesin agar tidak luput dari rotasi berkala maupun kontrol akses yang ketat.

ITDR vs IAM dan PAM: Di Mana Bedanya?

Ketiga istilah ini sering tertukar, padahal fungsinya saling melengkapi, bukan saling menggantikan. IAM mengatur siapa berhak mengakses apa, PAM (Privileged Access Management) mengawasi akun dengan hak akses tinggi, sedangkan ITDR mengawasi perilaku identitas setelah akses tersebut diberikan.

Contoh sederhana, IAM sudah benar memberi staf keuangan akses ke sistem payroll, dan PAM sudah benar meminta persetujuan tambahan ketika staf IT ingin masuk ke server produksi. Namun jika kredensial staf keuangan tadi dicuri lewat phishing, ITDR-lah yang menyadari pola login janggal itu dan menghentikannya sebelum data payroll bocor.

Manfaat Menerapkan ITDR bagi Organisasi

Investasi pada ITDR bukan sekadar menambah satu tool baru di tumpukan keamanan yang sudah ada. Berikut manfaat konkret yang biasanya dirasakan organisasi setelah menerapkannya.

• Memangkas dwell time serangan. Semakin cepat aktivitas mencurigakan terdeteksi, semakin kecil pula ruang gerak penyerang untuk mencuri data atau bergerak lateral ke sistem lain.
• Melindungi identitas non-manusia yang terus bertambah. Dengan makin banyaknya integrasi API dan tool berbasis AI, ITDR membantu memastikan kredensial mesin tidak jadi titik lemah yang terabaikan.
• Mendukung kepatuhan terhadap regulasi perlindungan data. Kemampuan mendeteksi dan mendokumentasikan insiden identitas secara rinci mempermudah proses audit maupun pelaporan kepada regulator, termasuk untuk kebutuhan seperti tata kelola GRC dan perlindungan data pribadi.
• Mengurangi kelelahan alert bagi analis SOC. Prioritisasi risiko otomatis membuat tim keamanan fokus menangani ancaman yang benar-benar berbahaya, bukan tenggelam dalam ribuan notifikasi yang sebagian besar hanya kebetulan.
• Menyediakan bukti forensik yang lebih kuat. Ketika insiden benar-benar terjadi, catatan aktivitas identitas yang detail mempercepat proses investigasi dan membantu organisasi menutup celah yang sama agar tidak terulang.

Riset Sophos State of Identity Security 2026 terhadap 5.000 organisasi di 17 negara menemukan bahwa perusahaan kecil dengan 100 sampai 250 karyawan hampir dua kali lebih mungkin gagal mendeteksi serangan identitas dibanding perusahaan dengan lebih dari 1.000 karyawan. Kesenjangan sumber daya seperti ini yang membuat kebutuhan ITDR sebetulnya tidak terbatas pada perusahaan besar saja.

Kesimpulan

Kredensial yang dicuri, sesi login yang dibajak, dan akun mesin yang terlupakan sama-sama membuktikan satu hal, identitas sekarang jadi pintu masuk favorit penyerang siber. Selama identitas belum dipantau dan direspons secara aktif, alat keamanan lain seperti firewall atau antivirus tidak akan cukup menutup celah tersebut, apalagi mengingat pasar ITDR global diproyeksikan tumbuh dari USD 19,66 miliar pada 2026 menjadi USD 102,49 miliar pada 2034 seiring makin banyaknya perusahaan yang menyadari urgensi ini.

Menerapkan ITDR bukan berarti membongkar seluruh sistem keamanan yang sudah ada. Justru sebaliknya, ITDR melengkapi IAM dan PAM yang mungkin sudah berjalan, sekaligus menutup jarak antara “terdeteksi” dan “benar-benar terkendali” yang selama ini jadi titik lemah banyak organisasi.

Namun mendeteksi ancaman identitas hanyalah separuh perjalanan, karena setiap insiden yang melibatkan data pribadi tetap harus didokumentasikan dan dilaporkan sesuai ketentuan Undang-Undang Pelindungan Data Pribadi.

Di sinilah Adaptist PRIVE dari Accelist Adaptist Consulting berperan, membantu perusahaan Anda mengelola risiko, kepatuhan, dan pelaporan insiden secara terintegrasi dalam satu platform GRC, sehingga ketika ITDR berhasil mendeteksi ancaman identitas, tim Anda juga sudah siap dari sisi tata kelola dan kepatuhan regulasi.

FAQ