Uç nokta güvenliği tekliflerinde üç kısaltma sürekli karşınıza çıkar: EDR, XDR ve MDR. Harfler birbirine benzediği için çoğu zaman aynı şeyin farklı sürümleri gibi algılanır. Oysa ikisi teknoloji, biri hizmettir. EDR bilgisayar ve sunucuda olanı görür. XDR bu görüşü kimlik, e-posta, ağ ve bulut gibi kaynaklara genişletir. MDR ise bu araçları 7/24 sizin yerinize izleyen bir ekiptir. Bu yazıda üçünün ne olduğunu, ne olmadığını ve hangi durumda hangisinin mantıklı olduğunu anlatıyoruz. Önce temel koruma katmanını hatırlamak isterseniz antivirüs nedir yazımıza bakabilirsiniz.
Başlangıç noktası: önleme
Kurumsal antivirüs ya da daha doğru adıyla uç nokta koruma platformu, tehdidi çalışmadan durdurmaya odaklanır. Zararlı dosyayı tanır, şüpheli davranışı engeller, kimlik avı sayfasını açtırmaz. Bu katman her kurum için gereklidir; tehditlerle ilk karşılaşan katman odur.
Önlemenin sınırı şudur: bir şeyi durdurduğunda ya da kaçırdığında size hikâyenin tamamını anlatmaz. Muhasebe sunucusunda bir dosya şifrelendiğinde “Bu nereden geldi, başka hangi cihaza dokundu, hâlâ içeride mi?” sorularının cevabı önleme katmanında yoktur. EDR bu sorular için vardır.
EDR nedir?
EDR (Endpoint Detection and Response, uç nokta tespiti ve müdahalesi), bilgisayar ve sunuculardaki olayları sürekli kaydeden, bu kayıtlar üzerinde şüpheli davranışı arayan ve müdahale imkânı veren teknolojidir.
Ne kaydeder?
Hangi sürecin hangi süreci başlattığı, hangi dosyaya yazıldığı, hangi adrese bağlantı kurulduğu, hangi kullanıcıyla oturum açıldığı gibi ayrıntılar kaydedilir. Tek başına masum görünen olaylar birleştirildiğinde bir saldırı zinciri ortaya çıkar: bir e-posta eki, ardından bir PowerShell komutu, ardından başka bir sunucuya uzak bağlantı.
Size ne kazandırır?
- Görünürlük: Saldırının nasıl başladığını ve nereye yayıldığını gösteren bir olay görünümü.
- Müdahale: Bir cihazı ağdan yalıtmak, süreci sonlandırmak, dosyayı karantinaya almak gibi işlemleri konsoldan yapabilmek.
- Geriye dönük arama: Yeni duyurulan bir tehdidin izlerini geçmiş kayıtlarda aramak (tehdit avcılığı).
EDR’ın bir bedeli vardır: ürettiği bilgiyi okuyacak biri gerekir. Uyarıları inceleyen kimse yoksa EDR, sessizce kayıt tutan pahalı bir araca dönüşür.
XDR nedir?
XDR (Extended Detection and Response, genişletilmiş tespit ve müdahale), EDR’ın mantığını uç noktanın dışına taşır. Gartner’ın tanımıyla XDR, birden fazla kaynaktan gelen telemetriyi ve tehdit istihbaratını güvenlik analitiğiyle birleştirerek uyarıları ilişkilendirir ve otomatik müdahale yetenekleri sunar.
Pratikte bu şu anlama gelir: Bir kullanıcının Microsoft 365 hesabına yurt dışından kaba kuvvet denemesi yapılıyor, aynı saatte Active Directory’de o kullanıcının yetkileri değişiyor, ardından bir sunucuda olağan dışı bir süreç başlıyor. EDR yalnızca son adımı görür. XDR üç olayı tek bir olay altında birleştirir.
Üreticilerin yaklaşımı farklıdır. Bitdefender GravityZone XDR, EDR’ın üzerine kimlik, verimlilik uygulamaları, ağ ve bulut için ayrı sensörler ekler. ESET tarafında ise XDR bileşeni ESET Inspect’tir ve ESET PROTECT Enterprise ile Elite katmanlarında yer alır. Ayrıntılar için Bitdefender GravityZone ve ESET PROTECT sayfalarımıza bakabilirsiniz.
MDR nedir?
MDR (Managed Detection and Response, yönetilen tespit ve müdahale) bir ürün değil, hizmettir. Gartner, MDR’ı müşterilere uzaktan sunulan güvenlik operasyon merkezi (SOC) işlevleri olarak tanımlar: tespit, analiz, inceleme ve tehdidi durdurarak müdahale. Teknoloji yine EDR ya da XDR’dır; fark, ekranın başında sizin değil üreticinin analistlerinin oturmasıdır.
Örneğin Bitdefender MDR hizmetinde Bitdefender’ın güvenlik operasyon merkezleri ortamınızı 7/24 izler. Bir olay tespit edildiğinde sizinle önceden kararlaştırılan aksiyonları hemen uygular; bir cihazı ağdan ayırmak gibi. ESET tarafında ESET PROTECT MDR katmanı, Elite katmanının teknolojisini ESET’in yönetilen tespit ve müdahale hizmetiyle birleştirir.
MDR’ın kritik kelimesi “önceden onaylanmış”tır. Gece üçte bir sunucunun ağdan ayrılmasına kim onay verir? Üretim hattını durdurabilecek bir müdahale hangi koşulda yapılır? Bu kurallar hizmet başlamadan birlikte yazılmalıdır.
Yan yana karşılaştırma
| EDR | XDR | MDR | |
|---|---|---|---|
| Nedir? | Teknoloji | Teknoloji | Hizmet |
| Neyi izler? | Bilgisayar ve sunucular | Uç noktalar + kimlik, e-posta, ağ, bulut | Hizmetin kapsadığı kaynaklar |
| Uyarıya kim bakar? | Sizin ekibiniz | Sizin ekibiniz | Üreticinin analistleri |
| Gece ve hafta sonu | Ekibinizin nöbet düzenine bağlı | Ekibinizin nöbet düzenine bağlı | 7/24 izleme |
| Ne gerektirir? | Uyarıları inceleyecek bir BT sorumlusu | Olay incelemesine vakit ayıran bir ekip | Önceden onaylanmış müdahale kuralları |
Bitdefender tarafında paketlerin hangisinde hangi yeteneğin bulunduğunu GravityZone paketleri karşılaştırması yazımızda tablo hâlinde anlattık.
Hangisi size uygun?
Seçim, satın alacağınız teknolojiden çok, olaya kimin bakacağıyla ilgilidir. Şu sorular çoğu zaman cevabı kendiliğinden verir:
- Bir uyarı geldiğinde onu kim inceliyor? BT sorumlunuz aynı zamanda yazıcıya, ERP’ye ve kullanıcı desteğine bakıyorsa EDR’ın ayrıntısı kullanılmadan kalabilir. Güçlü bir önleme paketi bu durumda daha verimli olabilir.
- Olay gece ya da bayram tatilinde olursa ne olur? Saldırganlar, fark edilme ihtimalinin düşük olduğu mesai dışı saatleri tercih edebilir. Nöbet tutacak bir ekip yoksa MDR bu boşluğu doldurur.
- Kimlikleriniz nerede? E-posta Microsoft 365’te, kullanıcılar Active Directory’de, uzaktan çalışanlar VPN ile bağlanıyorsa saldırının ilk adımı çoğu zaman bir cihazda değil bir hesapta atılır. Bu durumda XDR’ın kimlik ve e-posta görünürlüğü anlam kazanır.
- Daha önce bir olay yaşadınız mı? Saldırı yaşamış kurumlar, bir sonrakinde “ne oldu?” sorusuna hızlı cevap verebilmenin değerini bilir.
- Uyum yükümlülükleriniz var mı? ISO 27001 ya da KVKK çalışmalarında olayların kaydı ve müdahale yeteneği, teknik tedbirlerin somut bir karşılığıdır.
Kabaca bir yol haritası çizmek gerekirse: Küçük ve BT ekibi olmayan bir ofis için güçlü önleme ve düzenli takip. BT sorumlusu olan, hassas veri işleyen bir kurum için EDR. Bulut ve kimlik tarafı karmaşık, birden fazla ekibi olan bir yapı için XDR. Nöbet tutacak güvenlik ekibi olmayan ama riski yüksek her kurum için MDR.
EDR tek başına bir güvenlik stratejisi değildir
Tespit ve müdahale, katmanlardan yalnızca biridir. Ağ güvenliği saldırganın içeri girmesini zorlaştırır. Kimlik ve erişim yönetimi, ele geçirilen bir hesabın ne kadar hasar verebileceğini sınırlar. Tüm önlemler aşıldığında ise geri dönüş yolunu yedekleme açık tutar. Fidye yazılımına karşı bu katmanların birlikte nasıl çalıştığını fidye yazılımından korunma yazımızda anlattık.
Unna ile tespit ve müdahale
Unna, Bitdefender’ın Marmara Bölge Dağıtıcısı ve ESET’in yetkili iş ortağıdır. Önce ekibinizi, nöbet düzeninizi ve bugün bir uyarıya nasıl tepki verdiğinizi dinleriz. Ardından ihtiyacın önleme mi, EDR mi, XDR mi yoksa MDR mi olduğuna birlikte karar veririz; gerekirse karar öncesinde kendi ortamınızda deneme yaparız. MDR tercih edilirse önceden onaylanmış müdahale kurallarını sizinle yazar, kurulumdan sonra olay raporlarını düzenli olarak birlikte değerlendiririz. Genel çerçeve için uç nokta güvenliği sayfamıza bakabilir, ortamınızı konuşmak için bize yazabilirsiniz.
