Kapsamda neler var?
- Cihaz envanteri ve mevcut koruma ön değerlendirmesi
- İhtiyaca uygun EDR / XDR ürününün belirlenmesi
- Alarm izleme modelinin (kurum içi, yönetilen, karma) netleştirilmesi
- Pilot / izleme modunda başlangıç ve uyumluluk testi
- Eski antivirüs çözümünden planlı geçiş
- Politika, istisna ve otomatik müdahale kurallarının ayarı
- Olay müdahale planı ve yetki zincirinin dokümante edilmesi
- Kurulum sonrası dokümantasyon ve devir
EDR nedir?
EDR (Endpoint Detection and Response, uç nokta tespit ve müdahale), bilgisayar ve sunuculardaki süreç, dosya, ağ bağlantısı ve kullanıcı davranışlarını sürekli kaydeden, şüpheli zincirleri tespit eden ve müdahale imkânı sunan güvenlik yazılımıdır. Klasik antivirüs bilinen zararlı dosyaları imzayla yakalamaya odaklanırken, EDR "bu cihazda ne oldu, saldırı nereden başladı, nereye yayıldı" sorularına cevap verir.
Fidye yazılımı saldırılarında saldırganlar çoğu zaman meşru yönetim araçlarını kullanır ve zararlı dosya bırakmadan ilerler. EDR bu tür davranış tabanlı saldırıları görünür kılar; cihazı ağdan yalıtma, süreci durdurma ve değişiklikleri geri alma gibi müdahaleleri merkezi konsoldan yapmayı sağlar.
XDR nedir, EDR'den farkı ne?
XDR (Extended Detection and Response, genişletilmiş tespit ve müdahale), EDR'nin uç noktadan topladığı veriyi e-posta, ağ, bulut ve kimlik sistemlerinden gelen verilerle ilişkilendirir. Örneğin bir oltalama e-postası, ardından kullanıcının bilgisayarında çalışan şüpheli komut ve güvenlik duvarında görülen olağan dışı bağlantı tek bir olay olarak birleştirilir. Böylece analist parçaları farklı ekranlarda aramak zorunda kalmaz.
Antivirüs, EPP, EDR, XDR ve MDR arasındaki fark nedir?
"Kurumsal antivirüs" araması yapan birçok kurumun ihtiyacı aslında antivirüsten fazlasıdır. Aşağıdaki tablo kavramları sade şekilde karşılaştırır:
| Kavram | Ne yapar? | Kim yönetir? | Tipik eksik |
|---|---|---|---|
| Antivirüs (AV) | Bilinen zararlı dosyaları imzayla tespit eder | Genellikle otomatik | Bilinmeyen ve dosyasız saldırılar |
| EPP (Endpoint Protection Platform) | Antivirüs, davranış analizi, cihaz ve uygulama kontrolü, merkezi yönetim | BT ekibi | Olay sonrası inceleme ve derin görünürlük sınırlı |
| EDR | Sürekli kayıt, davranış tabanlı tespit, olay inceleme, uzaktan müdahale | Güvenlik analisti veya eğitimli BT ekibi | Alarmları izleyecek kişi yoksa değeri düşer |
| XDR | EDR verisini e-posta, ağ, bulut ve kimlik verisiyle ilişkilendirir | Güvenlik ekibi | Entegrasyon ve analiz yetkinliği gerektirir |
| MDR (Managed Detection and Response) | EDR/XDR'ın bir hizmet sağlayıcı tarafından izlenmesi ve müdahale | Dış hizmet ekibi | Kapsam ve yetkilerin sözleşmede net tanımlanması gerekir |
Günümüzde birçok üretici EPP ve EDR'yi tek bir ajan ve konsolda sunar. Farkı belirleyen, lisans seviyesi ve hangi özelliklerin gerçekten kullanıldığıdır.
Alarmları kim izleyecek?
EDR satın almadan önce cevaplanması gereken en önemli soru budur: alarmları kim, ne zaman ve nasıl inceleyecek? EDR, şüpheli davranışı tespit eder ve uyarı üretir; ancak birçok uyarı bir insanın bağlamı değerlendirmesini gerektirir. Kimsenin bakmadığı bir konsol, saldırının kayıtlarını tutsa bile saldırıyı durdurmaz.
Kurumların tipik seçenekleri şunlardır:
- Kurum içi BT ekibi: Mesai saatlerinde konsolu izler; otomatik engelleme kuralları mesai dışını kısmen karşılar. Ekibin EDR olay inceleme konusunda eğitilmesi gerekir.
- Yönetilen hizmet (MDR/SOC): Alarmlar dış bir ekip tarafından izlenir ve tanımlı yetkiler çerçevesinde müdahale edilir. Ayrıntılar için yönetilen güvenlik hizmetleri (SOC) sayfamıza bakabilirsiniz.
- Karma model: Kritik alarmlar dış ekibe, rutin işler kurum içi ekibe bırakılır.
Hangi model seçilirse seçilsin; kimin cihazı ağdan yalıtabileceği, kimin aranacağı ve hangi durumda üst yönetime haber verileceği yazılı bir müdahale planında yer almalıdır.
EDR seçerken nelere dikkat edilmeli?
- Desteklenen işletim sistemleri (Windows, macOS, Linux, sunucu sürümleri)
- Ajanın kaynak tüketimi ve mevcut yazılımlarla uyumu
- Otomatik müdahale seçenekleri: yalıtma, süreç sonlandırma, geri alma
- Kayıtların ne kadar süre saklandığı ve geriye dönük tehdit avı imkânı
- Bulut veya kurum içi yönetim konsolu seçeneği
- E-posta, güvenlik duvarı ve kimlik sistemleriyle entegrasyon (XDR ihtiyacı varsa)
- Türkçe raporlama ve yönetim kolaylığı
Farklı üreticilerin EDR/XDR ürünleri bu kriterlere göre değerlendirilir; Fortinet ekosisteminde FortiEDR ve FortiClient gibi seçenekler FortiGate firewall ile birlikte kullanıldığında entegrasyon avantajı sağlayabilir.
EDR kurulumunda sık yapılan hatalar nelerdir?
- Ajanın tüm cihazlara kurulduğunun doğrulanmaması; korunmayan birkaç sunucu saldırgan için yeterli giriş noktasıdır
- Yanlış alarmlar nedeniyle geniş istisnalar tanımlanması ve korumanın fiilen devre dışı kalması
- Otomatik müdahale özelliklerinin hiç açılmaması
- Eski antivirüsün kaldırılmaması ve iki ürünün çakışması
- Ajanın kullanıcı tarafından kaldırılmasını önleyen korumanın etkinleştirilmemesi
- Konsol hesaplarında MFA kullanılmaması
EDR, SIEM ve SOC arasındaki ilişki nedir?
EDR bir araçtır, SOC (Security Operations Center, güvenlik operasyon merkezi) ise bu araçları kullanarak tehditleri izleyen ekip ve süreçtir. SIEM (Security Information and Event Management) ise güvenlik duvarı, sunucu, kimlik sistemi ve uygulamalardan gelen kayıtları merkezi olarak toplayan ve ilişkilendiren platformdur. Küçük ve orta ölçekli yapılarda EDR veya XDR konsolu çoğu zaman ilk ve en verimli görünürlük katmanıdır; SIEM ihtiyacı kayıt kaynakları ve uyum gereksinimleri arttıkça gündeme gelir.
EDR lisanslamasında bütçeyi neler etkiler?
EDR ürünleri genellikle korunan cihaz sayısına göre lisanslanır; ancak bütçeyi yalnızca cihaz sayısı belirlemez. Şu kalemler teklifleri karşılaştırırken birlikte değerlendirilmelidir:
- İstemci ve sunucu lisanslarının ayrı fiyatlanıp fiyatlanmadığı
- Kayıtların saklama süresi ve ek saklama seçenekleri
- Tehdit avı, XDR entegrasyonu veya mobil cihaz koruması gibi ek modüller
- Yönetilen izleme (MDR) hizmetinin lisansa dahil olup olmadığı
- Kurulum, politika ayarı ve eğitim hizmetlerinin kapsamı
Aynı adı taşıyan iki teklif, bu kalemlerde birbirinden çok farklı olabilir. Bu yüzden karşılaştırmayı kalem kalem yapmanızı öneririz.
Kimler için uygun?
- Klasik antivirüsün yetersiz kaldığını düşünen veya fidye yazılımı riskini azaltmak isteyen KOBİ'ler
- Uzaktan ve hibrit çalışan personeli olan kurumlar
- Sunucularında kritik iş uygulamaları çalıştıran üretim, lojistik ve sağlık kuruluşları
- Siber sigorta başvurusunda uç nokta koruma ve izleme soruları ile karşılaşan firmalar
- Güvenlik olaylarında "ne oldu" sorusuna kayıtlarla cevap verebilmek isteyen BT ekipleri
Süreç nasıl işler?
- Envanter ve ön değerlendirme: Cihaz sayısı, işletim sistemleri, mevcut antivirüs ve kritik sunucular belirlenir.
- Ürün ve izleme modeli seçimi: Uygun EDR/XDR ürünü ile alarmların kim tarafından izleneceği birlikte kararlaştırılır.
- Pilot kurulum: Sınırlı bir grupta, önce izleme modunda başlanır; uyumluluk ve performans gözlenir.
- Eski çözümden geçiş: Mevcut antivirüs planlı şekilde kaldırılır, çakışma önlenir.
- Politika ve istisnalar: İş uygulamaları için istisnalar tanımlanır, yanlış alarmlar azaltılır, otomatik müdahale kuralları açılır.
- Yaygınlaştırma: Tüm cihazlara dağıtım yapılır, kurulum kapsamı raporla doğrulanır.
- Müdahale planı ve devir: Alarm inceleme adımları, yetkiler ve iletişim zinciri dokümante edilir.
EDR tek başına yeterli değildir: fidye yazılımına karşı yedekleme ve felaket kurtarma ile hesap ele geçirmeye karşı kimlik ve erişim yönetimi aynı planın parçaları olmalıdır.
Cihaz envanterinizi ve izleme kapasitenizi birlikte değerlendirelim: EDR / XDR için teklif isteyin.
Uç Nokta Güvenliği (EDR / XDR): sık sorulanlar
EDR nedir?
EDR (Endpoint Detection and Response), uç noktalardaki süreç, dosya ve ağ etkinliklerini kaydeden, şüpheli davranışları tespit eden ve müdahale imkânı sunan güvenlik yazılımıdır. Klasik antivirüsün kaçırabileceği dosyasız ve davranış tabanlı saldırıları görünür kılar. Cihazı ağdan yalıtma gibi işlemler merkezi konsoldan yapılabilir.
XDR nedir?
XDR (Extended Detection and Response), EDR verisini e-posta, güvenlik duvarı, bulut ve kimlik sistemlerinden gelen verilerle ilişkilendiren tespit ve müdahale yaklaşımıdır. Farklı kaynaklardaki ipuçlarını tek bir olay altında birleştirir. Bu sayede analist saldırı zincirini daha hızlı anlayabilir.
Kurumsal antivirüs yeterli mi, EDR şart mı?
Kurumsal antivirüs bilinen tehditlere karşı temel koruma sağlar, ancak meşru araçlarla ilerleyen saldırıları ve olay sonrası inceleme ihtiyacını karşılamakta yetersiz kalabilir. EDR bu boşluğu doldurur. Karar verirken alarmları izleyecek kaynak da hesaba katılmalıdır.
EDR alarmlarını izleyecek ekibimiz yoksa ne yapmalıyız?
Bu durumda MDR veya yönetilen SOC hizmeti değerlendirilebilir; alarmlar dış bir ekip tarafından izlenir ve tanımlı yetkilerle müdahale edilir. Alternatif olarak otomatik engelleme kuralları güçlendirilip kurum içi ekibin belirli aralıklarla konsolu incelemesi sağlanabilir. Kapsam ve yetkiler sözleşmede net tanımlanmalıdır.
EDR bilgisayarları yavaşlatır mı?
Güncel EDR ajanları genellikle günlük kullanımda belirgin bir yavaşlık yaratmayacak şekilde tasarlanır. Ancak eski donanımlar, çakışan güvenlik yazılımları veya yanlış tarama ayarları performansı etkileyebilir. Bu yüzden pilot grupta ölçüm yapılması önerilir.
EDR fidye yazılımını engeller mi?
EDR, fidye yazılımına özgü davranışları (toplu dosya şifreleme, yedek silme girişimleri gibi) tespit edip süreci durdurabilir ve cihazı yalıtabilir. Ancak hiçbir ürün tek başına tam koruma sağlamaz. Değiştirilemez yedekler, MFA ve yama yönetimiyle birlikte ele alınmalıdır.
