Giriş
EDR ve XDR çözümleri, uç nokta aktivitelerini daha görünür hale getirerek tehdit tespiti, olay müdahale, davranış analizi ve güvenlik operasyon süreçlerini destekler. Ancak doğru değer üretebilmesi için bu çözümlerin kuruma uygun konumlandırılması, SIEM/SOC süreçleriyle entegre edilmesi ve alarm yönetiminin doğru tasarlanması gerekir.
Securebyt, EDR/XDR çözümlerini yalnızca ürün kurulumu olarak değil; uç nokta güvenliği, olay müdahale, güvenlik görünürlüğü ve kurumsal güvenlik operasyonu açısından değerlendirir.
EDR nedir?
EDR, uç noktalarda gerçekleşen olayları izleyen, şüpheli davranışları tespit eden, tehditleri analiz eden ve olay müdahale süreçlerini destekleyen güvenlik yaklaşımıdır.
EDR sistemleri; zararlı yazılım davranışları, şüpheli process aktiviteleri, komut satırı kullanımı, dosya değişiklikleri, ağ bağlantıları, yetki yükseltme denemeleri ve saldırı zinciri göstergeleri gibi alanlarda görünürlük sağlar.
XDR nedir?
XDR, uç nokta verilerini e-posta, ağ, kimlik, bulut, uygulama ve diğer güvenlik kaynaklarıyla birlikte değerlendirerek daha geniş kapsamlı tehdit tespiti ve olay müdahale kabiliyeti sağlayan yaklaşımdır.
XDR çözümleri, farklı güvenlik katmanlarından gelen sinyalleri birleştirerek olayların daha doğru anlaşılmasına yardımcı olur. Bu yapı, güvenlik ekiplerinin tekil alarmlar yerine ilişkilendirilmiş olaylar üzerinden hareket etmesini sağlar.
Neden gereklidir?
- Uç noktalarda gelişmiş tehditleri tespit etmek
- Zararlı davranışları erken fark etmek
- Olay müdahale süresini azaltmak
- SIEM ve SOC süreçlerini daha anlamlı veriyle beslemek
- Fidye yazılımı ve yetki yükseltme risklerini izlemek
- Uç nokta görünürlüğünü artırmak
- ISO 27001, KVKK ve BİGDES teknik tedbirlerini desteklemek
- Uzaktan çalışma ortamlarında güvenliği artırmak
EDR / XDR çözüm konumlandırma
EDR/XDR projelerinde doğru ürün seçimi kadar, ürünün kurum içinde nasıl konumlandırıldığı da önemlidir. Her kurumun uç nokta sayısı, kullanıcı profili, sunucu yapısı, güvenlik ekibi, SIEM altyapısı ve olay müdahale olgunluğu farklıdır.
- Uç nokta ve sunucu kapsamı
- Kritik sistem öncelikleri
- Kullanıcı grupları
- Alarm yönetimi
- İzleme ve müdahale yetkileri
- SIEM entegrasyonu
- Olay müdahale playbookları
- Politika ve istisna yönetimi
- Yönetim raporlaması
SIEM ve SOC entegrasyonu
EDR/XDR çözümleri SIEM ve SOC süreçleriyle entegre edildiğinde daha güçlü sonuç üretir. Uç noktadan gelen olaylar, firewall, DLP, Active Directory, VPN ve uygulama loglarıyla ilişkilendirilebilir.
- EDR alarmı ile aynı kullanıcının VPN aktivitesinin ilişkilendirilmesi
- Şüpheli PowerShell davranışının SIEM alarmına dönüşmesi
- DLP ihlaliyle endpoint dosya aktivitesinin birlikte incelenmesi
- EDR tespitinin olay müdahale playbookunu tetiklemesi
- Kritik sunucuda anormal process aktivitesinin yönetim raporuna eklenmesi
Olay müdahale ve playbooklar
EDR/XDR sistemleri yalnızca alarm üretmemelidir. Alarm sonrası ne yapılacağı, hangi ekibin müdahale edeceği, hangi sistemin izole edileceği, hangi logların inceleneceği ve olayın nasıl kapatılacağı tanımlanmalıdır.
- Zararlı yazılım tespiti
- Fidye yazılımı şüphesi
- Kimlik bilgisi hırsızlığı
- Şüpheli PowerShell aktivitesi
- Yetki yükseltme denemesi
- Veri sızıntısı şüphesi
- Kritik sunucuda anormal davranış
ISO 27001, KVKK ve BİGDES ile ilişkisi
EDR/XDR çözümleri ISO 27001, KVKK ve BİGDES süreçlerinde teknik güvenlik tedbiri olarak değerlendirilebilir.
ISO 27001 açısından zararlı yazılım koruması, olay yönetimi, loglama, erişim güvenliği ve sürekli izleme süreçlerini destekler. KVKK açısından kişisel veri işleyen uç noktalarda yetkisiz erişim, zararlı yazılım ve veri sızıntısı risklerinin azaltılmasına katkı sağlar. BİGDES açısından uç nokta güvenliği ve güvenlik olaylarının yönetimi için teknik kanıt oluşturabilir.
Teslim edilecek çıktılar
- EDR/XDR mevcut durum değerlendirmesi
- Çözüm konumlandırma önerisi
- Uç nokta kapsam planı
- Alarm sınıflandırma önerileri
- SIEM entegrasyon yaklaşımı
- Olay müdahale playbook önerileri
- Politika ve istisna yönetimi önerileri
- Yönetim raporlama yaklaşımı
- Kurumsal güvenlik operasyon yol haritası
Antivirüs, EDR, XDR ve MDR farkları
Antivirüs bilinen zararlı dosyaları ve yaygın tehditleri engellemek için temel koruma sağlar. EDR, uç noktadaki süreç, dosya, kullanıcı, kayıt defteri ve ağ aktivitelerini ilişkilendirerek olayın nasıl başladığını ve yayıldığını araştırmaya yardımcı olur.
XDR; uç nokta verisini kimlik, e-posta, ağ, bulut ve diğer güvenlik katmanlarıyla ilişkilendirerek daha geniş olay görünümü sağlar. MDR ise bu teknolojileri izleyen ve olay müdahalesine destek veren yönetilen hizmet modelidir. Buradaki MDR açıklaması karşılaştırma amaçlıdır; doğrudan Securebyt MDR hizmeti sunulduğu iddiası değildir.
Uç nokta görünürlüğü ve davranış analizi
EDR/XDR yaklaşımında tek bir alarm yerine olay zinciri önemlidir. Kullanıcının oturum açması, ofis dokümanından komut satırı başlatılması, PowerShell ile kod indirilmesi, yeni süreç oluşturulması ve dış bağlantı kurulması birlikte değerlendirildiğinde davranışın riski daha doğru anlaşılır.
- Şüpheli PowerShell, komut satırı ve üst-alt süreç aktiviteleri
- Kimlik bilgisi hırsızlığı ve ayrıcalıklı hesap kullanımı
- Fidye yazılımında hızlı dosya değişimi ve yanal yayılma davranışı
- Kalıcılık mekanizmaları ve şüpheli servis/görev oluşturma
- Beklenmeyen ağ bağlantısı ve veri aktarım göstergeleri
Olay müdahale, izolasyon ve playbook yaklaşımı
Alarmın değeri, kimin hangi koşulda ne yapacağını belirleyen playbook ile artar. İlk doğrulama, kullanıcı ve varlık kritikliği, kanıt toplama, uç nokta izolasyonu, süreç sonlandırma, dosya karantinası, kimlik bilgisi sıfırlama ve ilgili ekipleri bilgilendirme adımları olay türüne göre tanımlanır.
İzolasyon her alarmda otomatik uygulanmamalıdır. Kritik sunucu veya üretim uç noktası için iş etkisi, bağımlılıklar ve geri alma adımları değerlendirilir. Müdahale yetkileri rol bazlı sınırlandırılmalı; yapılan işlemler ve sonuçları denetlenebilir kayıtlarda tutulmalıdır.
SIEM/SOC entegrasyonu, alarm ve istisna yönetimi
SIEM entegrasyonu, uç nokta alarmını firewall, kimlik, DLP, e-posta ve bulut olaylarıyla ilişkilendirir. SOC modeli insan ve süreç katmanını ekleyerek alarmların sahiplenilmesini, önemlendirilmesini ve olay yönetimini sağlar.
Politika ve istisnalar uygulama, kullanıcı, cihaz grubu ve iş ihtiyacına göre yönetilmelidir. False positive azaltmak için korumayı geniş biçimde kapatmak yerine kontrollü istisna, süre, gerekçe ve onay kullanılmalıdır. Alarm kapanış nedenleri kural ve playbook iyileştirmesine geri beslenmelidir.
EDR/XDR çözümü seçimi, maliyet ve proje çıktıları
Sabit fiyat yerine uç nokta/sunucu sayısı, işletim sistemi çeşitliliği, saklama süresi, gerekli modüller, entegrasyonlar, operasyon modeli, politika ve istisna ihtiyacı, devreye alma ve eğitim kapsamı değerlendirilir.
- İşletim sistemi, sunucu, sanal masaüstü ve çevrim dışı cihaz desteği
- Davranış görünürlüğü, araştırma sorguları ve olay zaman çizelgesi
- İzolasyon, karantina ve uzaktan müdahale yetenekleri
- SIEM, kimlik, firewall, e-posta ve bulut entegrasyonları
- Uç nokta performansı, politika esnekliği ve istisna yönetimi
- Lisanslama, veri saklama ve toplam sahip olma maliyeti
Teslimatlar; uç nokta envanteri, mimari ve kapsama alma planı, politika/istisna matrisi, alarm önemlendirme modeli, playbooklar, entegrasyon listesi, pilot test sonuçları, işletim ve yönetici raporlamasını içermelidir.
İlgili hizmetler
Sık sorulan sorular
EDR nedir?
EDR, uç noktalardaki aktiviteleri izleyerek şüpheli davranışları tespit eden ve olay müdahale süreçlerini destekleyen güvenlik çözüm yaklaşımıdır.
XDR nedir?
XDR, uç nokta, ağ, e-posta, kimlik, bulut ve diğer güvenlik kaynaklarından gelen verileri ilişkilendirerek daha geniş görünürlük sağlayan güvenlik yaklaşımıdır.
EDR/XDR SIEM ile entegre edilmeli mi?
Evet. SIEM entegrasyonu EDR/XDR alarmlarının diğer log kaynaklarıyla ilişkilendirilmesini ve daha anlamlı olay yönetimi yapılmasını sağlar.
EDR/XDR KVKK sürecine katkı sağlar mı?
Evet. Kişisel veri işleyen uç noktalarda zararlı yazılım, yetkisiz erişim ve veri sızıntısı risklerinin azaltılmasına katkı sağlar.
EDR/XDR ürün seçimi nasıl yapılmalıdır?
Kurumun uç nokta sayısı, sunucu yapısı, güvenlik operasyon olgunluğu, SIEM yapısı, olay müdahale ihtiyacı ve bütçesi birlikte değerlendirilmelidir.
Antivirüs ile EDR arasındaki fark nedir?
Antivirüs ağırlıklı olarak bilinen zararlı örnekleri engellemeye odaklanır. EDR süreç, dosya, kullanıcı ve ağ davranışlarını ilişkilendirerek şüpheli aktiviteleri araştırma ve müdahale için daha ayrıntılı görünürlük sağlar.
EDR, XDR ve MDR arasındaki fark nedir?
EDR uç nokta görünürlüğüne, XDR birden fazla güvenlik katmanındaki veriyi ilişkilendirmeye odaklanır. MDR ise teknolojiyi izleyen ve olaylara müdahale desteği sunan yönetilen hizmet modelidir.
Şüpheli PowerShell aktiviteleri EDR ile izlenebilir mi?
Uygun görünürlük ve politikalarla komut satırı, üst-alt süreç ilişkisi, kodlama veya indirme davranışı ve ağ bağlantıları birlikte değerlendirilerek şüpheli PowerShell kullanımı tespit edilebilir.
EDR olayında uç nokta izolasyonu ne zaman kullanılır?
Yayılma veya veri kaybı riski yüksek olaylarda, iş etkisi ve kritik sistem bağımlılıkları değerlendirilerek yetkili ekip tarafından izolasyon uygulanabilir. İzolasyon kontrollü playbook ve geri alma adımlarıyla yönetilmelidir.
EDR/XDR maliyetini hangi faktörler belirler?
Maliyet; uç nokta ve sunucu sayısı, işletim sistemi çeşitliliği, veri saklama, modüller, entegrasyonlar, politika ve istisna kapsamı, operasyon modeli, devreye alma ve eğitim ihtiyacına göre değişir.
