EDR ve SIEM kapsamı

EDR uç noktada çalışan ajandır. Süreçleri, dosya işlemlerini ve ağ bağlantılarını makinenin üzerinde görür, gerekirse süreci durdurur ya da makineyi ağdan yalıtır. SIEM ise merkezde toplayan sistemdir.

Farklı kaynaklardan gelen kayıtları birleştirir, ayrıştırır ve tespit kurallarını orada çalıştırır. İkisi de kapsam kadar değerlidir. Beş yüz makinenin dört yüzünde ajan varsa yüz makine karanlıktır.

Saldırgan o yüzün içinde çalıştığı sürece senin için görünmezdir. Araç satın almak kolaydır, kapsamı yüzde yüze yaklaştırmak asıl iştir. Kapsam boşluğu doğrudan kör nokta demektir ve hiçbir kural kör noktayı aydınlatamaz. Kural ancak gördüğü veriye bakar.

Kapsam oranı, ajanı çalışan makine sayısının toplam makine sayısına bölümüdür ve yüzdeyle yazılır. Basit görünür, ama tek eksen tabloyu eksik bırakır. Kapsamı üç eksende ölç. Varlık kapsamı kaç makinenin görüldüğünü söyler.

Kaynak kapsamı hangi kayıt türlerinin aktığını söyler: kimlik, uç nokta, ağ, bulut. Teknik kapsamı ise hangi saldırgan davranışının gerçekten yakalandığını söyler. Bunu ATT&CK tekniklerine eşleyerek ölçersin.

Üç sayı birlikte okunmadan karar verilmez. Yüzde doksan varlık kapsamı, kimlik kayıtları akmıyorsa parola püskürtmeyi yine kaçırır.

Varlık kapsamı : ajanı çalışan uç nokta / envanterdeki uç nokta
                 415 / 500  = %83
Kaynak kapsamı : akan kaynak türü / gerekli kaynak türü
                 6 / 9      = %67
Teknik kapsamı : alarmı testle doğrulanmış teknik / öncelikli teknik
                 14 / 40    = %35

Örneği satır satır oku. Varlık kapsamında pay, ajanı çalışan makinedir. Kurulu ama durmuş ajan sayılmaz.

Payda envanterdeki bütün uç noktalardır ve envanter eksikse oran da yanlıştır. Kaynak kapsamında gerekli dokuz kaynak türünden altısı akıyor. Eksik üçü çoğu zaman bulut yönetim kayıtları, SaaS denetim kayıtları ve DNS sorgularıdır.

Teknik kapsamı en düşük sayıdır, ama en çok şey söyleyendir. Öncelikli kırk teknikten yalnız on dördünde alarmın geldiği testle gösterildi. Öncelikli liste kurumun tehdit profilinden gelir. Sektörüne saldıran grupların sık kullandığı teknikler başa yazılır.

Kapsam boşluğu genelde aynı yerlerden çıkar. Sunuculara ajan kurulmaz, çünkü yük getireceği düşünülür. Eski işletim sistemleri ajanı desteklemez.

Üretim hattı makinelerine dokunmak yasaktır. Bir de kimsenin envanterde bilmediği makineler vardır. Ajan kabul etmeyen varlıklar da sayılır: ağ cihazları, kameralar ve endüstriyel kontrol sistemleri. Bunları ağ katmanından izlemek tek seçenektir ve kapsam raporunda hangi yöntemle izlendikleri ayrıca yazılır.

Ölçümü haftalık yap ve tarihiyle sakla. Oran zamanla düşer, çünkü yeni makineler eklenir ve ajanlar sessizce kapanır. Düşüşü ancak geçmiş ölçümle karşılaştırarak görürsün.

Kaynak seçimi için resmî bir çerçeve var. Avustralya Sinyal Müdürlüğü (ASD) öncülüğünde CISA, NSA, FBI ve başka ülkelerin siber güvenlik kurumları, 21 Ağustos 2024'te olay günlüğü ve tehdit tespiti için en iyi uygulamalar rehberini yayımladı. Rehber dört temel etken sayar.

İlki kurumca onaylanmış bir günlük politikasıdır: hangi olay, hangi ayrıntıyla, ne kadar süre tutulacak? İkincisi merkezî erişim ve korelasyondur. Kayıtlar tek yerde toplanır ve birbirine bağlanır.

Üçüncüsü güvenli saklama ve bütünlüktür, yani saldırgan kaydı silememeli ya da değiştirememelidir. Dördüncüsü ilgili tehditlere göre kurulmuş bir tespit stratejisidir. Rehber, sistemin kendi araçlarıyla yapılan saldırıların ancak zengin kayıtla görüldüğünü özellikle vurgular.

SIEM'e her şeyi göndermek doğru değildir. Hacim doğrudan maliyettir, gürültü de analizi yavaşlatır.

Seçim ölçütü tek sorudur: bu kayıt bir tespit kuralını besliyor mu ya da bir soruşturmada gerekiyor mu? Kimlik doğrulama kayıtları, uç nokta süreç kayıtları, güvenlik duvarı ve vekil sunucu kayıtları bu soruya her zaman evet der. Kaydın içeriğine de bak.

Windows'ta süreç oluşturma olayının (4688) komut satırı alanı ayrı bir ilkeyle açılır. Açık değilse kaynak akıyor görünür, ama kuralın aradığı bilgi satırda yoktur. Bulut ortamları ayrı bir kaynak ailesi getirir: kimlik kayıtları, yönetim düzlemi olayları ve depolama erişim kayıtları.

Şirket içi kapsam iyi olsa bile bulut tarafı karanlıksa saldırgan kolay yolu seçer. Saklama süresini soruşturma ihtiyacına göre seç. Son otuz gün hızlı aranabilir katmanda dursun, eski veri ucuz arşive gitsin.

Bir kaynağın akması, onun bir kuralı beslediği anlamına gelmez. Kimlik doğrulama kaydında başarısız giriş satırları ayrı bir kurala bağlanır. Aynı hesaba kısa sürede çok sayıda başarısız deneme parola tahminini gösterir. Çok sayıda hesaba birer deneme ise parola püskürtmeyi gösterir.

Satırın hangi alanları taşıdığını bilmek kuralın ilk şartıdır. Kullanıcı adı, sonuç ve neden alanı ayrışmadan kural yazılamaz. Eşik de veriye göre seçilir. Olağan bir günde kaç başarısız giriş olduğunu bilmeden yazılan eşik ya gürültü üretir ya da hep sessiz kalır.

Kaynak sağlığını da izle. Dün saatte bin satır gönderen sunucu bugün sıfır gönderiyorsa, sessizlik kendisi alarmdır. Ya ajan durdu, ya ağ kesildi ya da saldırgan kayıt akışını kesti. Splunk'ta her makine ve kaynak türü için son kaydın zamanını tstats komutu hızla çıkarır, çünkü ham olaylar yerine dizin özetini okur.

Microsoft Sentinel ve Azure Monitor tarafında ajanlar Heartbeat tablosuna düzenli kalp atışı yazar. Aynı soruyu orada KQL ile sorarsın. Eşik her kaynak için aynı olmamalıdır. Güvenlik günlüğü dakikalar içinde satır üretir, bir yedekleme işinin kaydı ise günde bir gelir.

| tstats latest(_time) as son where index=* by host sourcetype
| eval dk=round((now()-son)/60)
| where dk>60
| sort - dk

host          sourcetype             son          dk
DOSYA01       WinEventLog:Security   1790745360   312
KARGO-WEB02   linux_secure           1790759040    84

// KQL karşılığı (Microsoft Sentinel)
Heartbeat
| summarize son=max(TimeGenerated) by Computer
| where son < ago(1h)

Sorguyu satır satır oku. tstats her makine ve kaynak türü için en son kaydın zamanını son adıyla döndürür. eval, şimdiki zamandan farkı dakikaya çevirir.

where bir saatten uzun süredir susanları bırakır, sort en uzun susanı başa alır. Çıktıda iki satır kalır. DOSYA01 beş saattir güvenlik kaydı göndermiyor ve dosya sunucusu için bu ciddi bir boşluktur.

KARGO-WEB02 seksen dört dakikadır sessiz. KQL sorgusu aynı mantığı kalp atışı tablosunda kurar ve son bir saatte kalp atışı gelmeyen bilgisayarları listeler. Sessiz kaynağı bulmak, kaynak kapsamının günlük bakımıdır.

$ comm -23 <(sort ag_tarama.txt) <(sort edr_ajanlar.txt)
10.20.20.9
10.20.50.3
10.20.50.4
192.168.77.12

Paydanın doğru olması için ikinci kontrol envanter farkıdır. Ağ tarayıcısının bulduğu adres listesini EDR konsolundaki ajan listesiyle karşılaştırırsın. comm komutu iki sıralı listeyi üç sütunda yan yana koyar.

-23 seçeneği ikinci ve üçüncü sütunu gizler, böylece yalnız birinci dosyada olan satırlar kalır. Çıktıdaki 10.20.20.9 sunucu dilimindedir ve ajanı yoktur, ilk iş ona ajan kurmaktır.

10.20.50.3 ve 10.20.50.4 kamera dilimindedir ve ajan kabul etmez, ağ katmanından izlenir. 192.168.77.12 ise envanterde hiç olmayan bir adres bloğundan geliyor. Biri bir test ağı kurmuş ve unutmuş olabilir. Her satır bir sahip ve bir karar ister.

# ag_tarama.txt
10.20.10.14
10.20.10.22
10.20.20.5
10.20.20.9
10.20.50.3

# edr_ajanlar.txt
10.20.10.14
10.20.10.22
10.20.20.5

Kapsamı ölçmenin en güçlü yolu tespit denemesidir. Bilinen bir tekniği kontrollü olarak çalıştırır ve alarmın gelip gelmediğine bakarsın. Alarm gelmiyorsa üç ihtimal vardır: kaynak akmıyordur, kural yoktur ya da kural yanlış yazılmıştır. Red Canary'nin açık kaynak Atomic Red Team kütüphanesi bu iş için hazır testler sunar.

Her test bir ATT&CK tekniğine bağlıdır, küçük ve geri alınabilir bir eylem yapar ve bir temizlik adımı taşır. Bunu yalnız kendi lab ortamında ya da yazılı iznin olan sistemde dene. Üretimde çalıştıracaksan değişiklik kaydı aç ve SOC ekibine önceden haber ver.

Teknik      Test                             Beklenen alarm               Sonuç     Gecikme
T1053.005   Zamanlanmış görev oluşturma      Şüpheli zamanlanmış görev    Geldi     3 dk
T1547.001   Run anahtarına başlangıç kaydı   Kayıt defteri kalıcılığı     Gelmedi   -
T1059.001   Kodlanmış PowerShell komutu      Gizlenmiş PowerShell         Geldi     1 dk

Tabloyu satır satır oku. İlk test bir zamanlanmış görev oluşturur ve alarm üç dakikada gelir, bu teknik kapsanmıştır. İkinci test kayıt defterinin Run anahtarına bir başlangıç kaydı yazar ve alarm gelmez.

Önce kaynağa bakarsın: kayıt defteri olayları akıyor mu? Akıyorsa kurala bakarsın: kural bu anahtarı izliyor mu? Üçüncü test kodlanmış bir PowerShell komutu çalıştırır ve alarm bir dakikada gelir. Gecikme sütunu da önemlidir.

Alarm geliyor ama bir saat sonra geliyorsa saldırgan o saatte çok yol alır. Her testten sonra temizlik adımını çalıştır ve sonucu tarihiyle kaydet.

Ürün seçerken MITRE ATT&CK Evaluations sonuçlarına da bakılır. MITRE, gerçek grupların davranışını taklit eden senaryoları ürünlere karşı çalıştırır ve her adımda ürünün ne gördüğünü yayımlar. Sonuçları dikkatli oku. Değerlendirme bir yarışma değildir ve ürünleri sıralamaz.

Testte ürünler çoğu zaman özenle ayarlanmış hâlde çalışır, senin ortamın öyle değildir. Bir üründe bir tekniğin görünmesi, senin kurulumunda o tekniğin alarm üreteceği anlamına gelmez.

Değerlendirmede bir tekniğin yalnız ham telemetri olarak mı görüldüğü, yoksa analiste anlamlı bir alarm olarak mı sunulduğu da ayrı ayrı yazılır. Bu farkı oku, çünkü ham telemetriyi alarma çeviren yine senin kuralındır. Asıl kanıt kendi ortamında yaptığın kontrollü testtir.

Ajanın kurulu olması yetmez. Çalışıyor mu, güncel mi, kendi kendine kapanmış mı? Saldırganın ilk işlerinden biri güvenlik aracını durdurmak ya da yapılandırmasını değiştirmektir.

ATT&CK'nin Nisan 2026'da yayımlanan 19. sürümü bu davranışı yeni Savunmayı Bozma (Defense Impairment) taktiği altında T1685 (Disable or Modify Tools) olarak izler. Sysmon kullanıyorsan iki olay bu adımı yakalar. Olay 4, Sysmon hizmetinin başladığını ya da durduğunu yazar.

Olay 16, Sysmon yapılandırmasının değiştiğini yazar. İkisi de filtrelenemez. Bakım takviminde olmayan bir durma ya da yapılandırma değişikliği doğrudan incelenir. EDR konsolundaki son görülme sütununu da kapsam ölçümünün parçası yap.

Kaydın akması da yetmez, ayrıştırılması gerekir. SIEM ham satırı alanlara böler: zaman, makine, kullanıcı, sonuç. Bu adımda iki şey sık bozulur. Alan eşlemesi kayarsa kullanıcı adı sonuç alanına düşer ve kural eşleşmez.

Zaman damgası yanlış okunursa olay saatler önceye ya da sonraya yazılır ve korelasyon kuralı iki olayı aynı pencerede göremez. Normalleştirme şeması, farklı kaynakların aynı kavramı aynı alan adıyla yazmasıdır. Tek kural böylece hem Windows hem Linux kimlik kaydına bakar. Yeni kaynak eklediğinde birkaç örnek satırı elle kontrol et.

Maliyeti baştan hesapla. Formül basittir: kaynak başına günlük hacim çarpı saklama günü. Günde 40 GB üreten güvenlik duvarı kaydını 90 gün sıcak katmanda tutmak 3,6 TB eder. Aynı kaynağın kaç kuralı beslediğini de yaz.

Kaynakları satır, kuralları sütun yapan bir matris kur. Hiçbir kuralı beslemeyen ve hiçbir soruşturmada kullanılmayan kaynak kısılır ya da arşive gider. Sayıyla giren ekip bütçe tartışmasında en değerli kaynağı korur. Sık hatalar da bu tabloda görünür: paydası yanlış kapsam oranı, kurulu ajanı çalışan ajan sanmak ve bulut ile SaaS kayıtlarını unutmak.