EDR Nedir? Antivirüsten Farkı ve Nasıl Çalıştığı

EDR nedir diye soruyorsan önce şu farkı bil: antivirüs "bu dosya zararlı mı?" diye sorar, EDR ise "bu cihazda ne oluyor?" diye. EDR cihazlardaki süreçleri, dosya işlemlerini ve ağ bağlantılarını sürekli kaydeder. Şüpheli bir zincir gördüğünde uyarır ve güvenlik ekibine cihazı ağdan ayırma gibi hızlı yanıt imkânı verir.

EDR nedir ve ne işe yarar?

ABD Yönetim ve Bütçe Ofisi'nin 2021 tarihli M-22-01 genelgesi iyi bir tanım verir. EDR, uç nokta verisinin gerçek zamanlı ve sürekli izlenip toplanmasını kural tabanlı otomatik yanıt ve analiz yetenekleriyle birleştirir. Uç nokta derken iş istasyonları, sunucular ve cep telefonları gibi ağa bağlı cihazlar kastedilir. Aynı genelge, 14028 sayılı Başkanlık Kararnamesi doğrultusunda ABD federal kurumlarında EDR kullanımını yaygınlaştırmak için yazıldı.

EDR iki parçadan oluşur:

• Ajan: Her cihaza kurulan küçük program. Süreç başlangıçlarını, komut satırlarını, dosya ve kayıt defteri değişikliklerini, ağ bağlantılarını kaydeder.
• Merkezi konsol: Ajanlardan gelen veriyi toplar, kurallar ve davranış analiziyle karşılaştırır, uyarı üretir ve yanıt komutlarını cihazlara gönderir.

Asıl değer görünürlüktür. Bir uyarı açıldığında yalnız "bir dosya engellendi" bilgisini değil, olayın öyküsünü görürsün: hangi e-posta ekinin hangi programı başlattığını, o programın nereye bağlandığını ve aynı izin başka hangi cihazda olduğunu.

EDR ile antivirüs arasındaki fark nedir?

Fark odak noktasındadır. Klasik antivirüs bilinen zararlıyı imza ve kurallarla tanıyıp engellemeye çalışır. EDR davranışı kaydeder, zinciri ilişkilendirir ve araştırma için iz bırakır. Modern ürünlerde iki dünya iç içe geçti, ama ayrım satın alma kararında hâlâ işe yarar.

Zararlı türlerinin farkını virüs, trojan ve solucan yazısında anlattık. Bireysel kullanımda ücretsiz korumanın yetip yetmediğini ücretsiz antivirüs yeterli mi yazısı tartışıyor.

EDR bir saldırıyı nasıl yakalar?

Tek tek bakıldığında sıradan görünen adımlar, zincir hâlinde şüpheli olur. Tipik bir örnek:

1. Bir çalışan "fatura" adlı bir e-posta ekini açar.
2. Belge programı bir PowerShell süreci başlatır.
3. PowerShell kodlanmış bir komut çalıştırır ve daha önce görülmemiş bir dış adrese bağlanır.
4. Kısa süre sonra aynı cihazdan iç ağdaki başka makinelere bağlantı denemeleri başlar.

Antivirüs yalnız ikinci adımda indirilen dosyayı görebilir. EDR ise belge programının PowerShell başlatmasını kendisi şüpheli sayar. Birçok ürün bu davranışları MITRE ATT&CK bilgi tabanındaki tekniklerle eşleştirir. Örneğin ekli oltalama T1566.001, PowerShell kullanımı T1059.001 kimliğiyle geçer. Böylece analist uyarının saldırının hangi aşamasına denk geldiğini anlar.

Uyarı doğrulanınca yanıt sırası genellikle şöyledir: cihazı ağdan ayır, zararlı süreci sonlandır, dosyayı karantinaya al, kalıcılık noktalarını temizle ve aynı izi diğer cihazlarda ara. Fidye yazılımında bu dakikalar belirleyicidir. Konuyu fidye yazılımı yazısında ayrıca ele aldık. Tek bir Windows cihazında aynı izleri elle sürmeyi Sysinternals ile şüpheli süreç avı rehberinde görebilirsin.

EDR, XDR, MDR ve SIEM birbirinden nasıl ayrılır?

Bu kısaltmalar sık karışır. Kabaca şöyle ayrılırlar:

Zincir şöyle işler: EDR uyarı üretir, SIEM bağlam ekler, SOC karar verir. SIEM'in mantığını SIEM nedir, analistin günlük işini SOC analisti nedir yazısında bulabilirsin.

Küçük işletme EDR'ı nasıl seçer?

Küçük bir işletmede en kritik soru üründen önce gelir: uyarıyı kim izleyecek? Kimsenin bakmadığı bir EDR, sesi kısılmış bir alarmdır. Tam zamanlı güvenlik ekibin yoksa ürünle birlikte bir MDR hizmeti ya da EDR uyarılarını izleyen bir hizmet sağlayıcı düşün.

Paket adlarına da dikkat et. Microsoft'un kendi karşılaştırmasına göre 300 kullanıcıya kadar işletmeler için tasarlanan Defender for Business EDR içerir. Defender for Endpoint Plan 1 ise EDR içermez, Plan 2 içerir. Diğer üreticilerde de benzer ayrımlar vardır.

Satın almadan önce sor:

1. Hangi işletim sistemleri destekleniyor, sunucular ek lisans istiyor mu?
2. Cihazı uzaktan ağdan ayırabiliyor mu?
3. Etkinlik kayıtları kaç gün tutuluyor, nerede saklanıyor?
4. Mesai dışında gelen uyarıya kim, kaç dakikada bakıyor?
5. Ajan kapatılmaya ya da kaldırılmaya karşı korunuyor mu?

EDR kurulumunda en sık hangi hatalar yapılır?

İlk hata eksik kapsamdır. Ajan birkaç cihaza kurulmaz ve saldırgan tam oradan girer. Konsoldaki cihaz listesini envanterle karşılaştır.

İkinci hata ayarsız canlıya almaktır. İlk haftalarda yönetim araçları ve yedekleme betikleri de uyarı üretir. Bunları istisna listesine eklerken gerekçeyi ve tarihi yaz. Belgesiz istisna, saldırganın saklanabileceği bir kör nokta olur.

Üçüncü hata kapatıp unutmaktır. Performans şikâyeti üzerine koruma geçici olarak kapatılır ve kimse geri açmaz. Saldırganlar da EDR ajanını durdurmaya çalışır. Kurcalama korumasını aç ve "ajan iletişim kurmuyor" uyarısını gerçek bir alarm gibi ele al.

Bir EDR uyarısını analist nasıl inceler?

Uyarının başlığı nadiren yeterlidir. Analist kararını birkaç soruyla verir:

1. Süreç ağacı ne diyor? Şüpheli süreci kim başlattı, o da kimden doğdu? Belge programından doğan bir komut kabuğu, yönetim aracından doğandan çok daha şüphelidir.
2. Komut satırı ne yapıyor? Kodlanmış uzun bir PowerShell komutu, gizli pencere ya da internetten dosya indiren bir parametre dikkat ister.
3. Dosya nerede ve kim imzalamış? Geçici klasörden çalışan imzasız bir dosya, sistem klasöründeki imzalı bir dosyadan farklı değerlendirilir.
4. Hangi ağ bağlantısı kuruldu? Daha önce hiç görülmemiş bir adrese, düzenli aralıklarla giden trafik komuta sunucusuna işaret edebilir.
5. Aynı iz başka cihazlarda var mı? Tek cihazdaki olay bir kaza olabilir. On cihazda aynı anda görülen aynı komut bir kampanyadır.
6. Kullanıcı ne diyor? Bazen en hızlı doğrulama, cihazın sahibine o saatte ne yaptığını sormaktır.

Cevaplar uyarıyı üç kutudan birine koyar: gerçek tehdit, zararsız ama beklenen etkinlik ya da daha fazla veri gereken durum. Her kararı gerekçesiyle kayda geçirmek, bir sonraki benzer uyarıda zaman kazandırır ve gereksiz istisnaları önler.

EDR kişisel verileri izler mi?

EDR süreç adlarını, dosya yollarını, komut satırlarını ve bağlantıları kaydeder. Bu kayıtlarda kullanıcı adı, belge adı ya da ziyaret edilen adres geçebilir. Kurum çalışanlarını KVKK kapsamında aydınlatmalı, kaydı güvenlik amacıyla sınırlı tutmalı ve erişimi yetkili kişilerle kısıtlamalıdır. Bir olayda kişisel veri etkilendiyse bildirim süreci başlar. Ayrıntısı KVKK veri ihlali bildirimi yazısında.

EDR uyarılarını okumayı öğrenmek istersen akademideki laboratuvar senaryoları gerçek bir olay kaydı üzerinden süreç zincirini çıkarmanı ister.

Kaynaklar

• ABD Yönetim ve Bütçe Ofisi: M-22-01, Endpoint Detection and Response genelgesi
• Microsoft Learn: What is Microsoft Defender for Business?
• MITRE ATT&CK: T1059.001 PowerShell