Endpoint Detection & Response (EDR) Rehberi

Neden EDR’e İhtiyaç Duyulur?

1. Gelişmiş Tehditlerin Tespiti:
   Fidye yazılımları, sıfır gün açıkları ve dosyasız saldırılar gibi geleneksel antivirüslerin fark edemediği tehditleri tespit eder.
   
   
2. Tehdit Görünürlüğü:
   Ağdaki tüm uç noktaları izleyerek güvenlik ekiplerine detaylı görünürlük sağlar.
   
   
3. Hızlı Yanıt:
   Saldırı tespit edildiğinde cihazı izole eder, şüpheli süreci durdurur veya zararlı dosyaları karantinaya alır.
   
   
4. Olay Analizi:
   Saldırının kaynağı ve yöntemi hakkında veri toplayarak gelecekteki tehditlere karşı önlem alınmasını sağlar.
   
   
5. Sürekli İzleme ve Tehdit Avcılığı:
   Uç noktaları 7/24 izler ve geçmiş verilerle sinsi saldırıları tespit etmeye yardımcı olur.
   
   
6. Uyumluluk:
   KVKK, GDPR ve HIPAA gibi veri güvenliği standartlarına uygun hareket etmeyi sağlar.
   
   

Geleneksel Antivirüs ve EDR Arasındaki Fark

1. Tespit Yöntemi:

• Antivirüs: İmza tabanlıdır; sadece önceden bilinen zararlıları tespit eder.
• EDR: Davranış tabanlıdır; bilinmeyen ve gelişmiş tehditleri, dosyanın ne yaptığına bakarak belirler.

2. Görünürlük ve Veri Kaydı:

• Antivirüs: Tehdit bulduğunda uyarı verir, arka plandaki aktiviteleri genellikle kaydetmez.
• EDR: Uç noktalardaki tüm hareketleri sürekli kaydeder; saldırının nasıl gerçekleştiğini detaylı analiz imkânı sağlar.

3. Müdahale Kapasitesi:

• Antivirüs: Sınırlı tepkisi vardır; zararlı dosyayı siler veya karantinaya alır.
• EDR: Otomatik ve manuel müdahale yapabilir; cihazı ağdan izole eder, süreçleri durdurur ve saldırının yayılmasını engeller.

4. Dosyasız Saldırılar (Fileless Attack):

• Antivirüs: Fiziksel dosyaları tarar; dosyasız saldırıları fark edemez.
• EDR: Sistem süreçlerini ve bellek aktivitelerini izleyerek dosyasız saldırıları tespit eder.

5. Proaktif Tehdit Avcılığı:

• Antivirüs: Pasiftir; saldırı gelmesini bekler.
• EDR: Aktiftir; geçmiş kayıtları ve sistem aktivitelerini analiz ederek sinsi veya henüz fark edilmemiş tehditleri bulma imkânı sağlar.
  
  

EDR’in Temel Bileşenleri

1. Uç Nokta Sensörleri (Endpoint Agents):
   Her uç noktaya yüklenen hafif yazılımlar, cihazdaki dosya, süreç ve ağ hareketlerini izler, şüpheli aktiviteleri kaydeder ve merkezi sisteme gönderir.
   
   
2. Veri Toplama ve Telemetri:
   Sensörlerden gelen veriler merkezi bir yerde toplanır; bunlar dosya aktiviteleri, sistem süreçleri, ağ bağlantıları ve kullanıcı davranışlarını içerir.
   
   
3. Davranış Analizi ve Tehdit Tespiti:
   Toplanan veriler, hem imza tabanlı hem de davranışsal analiz ile değerlendirilir. Anomali tespiti ve yapay zekâ destekli analizler sayesinde bilinmeyen ve gelişmiş tehditler belirlenir.
   
   
4. Olay Yanıt (Response) Mekanizmaları:
   Bir tehdit tespit edildiğinde EDR, otomatik veya manuel müdahale sağlar. Bu, şüpheli süreçlerin durdurulması, cihazın ağdan izole edilmesi, dosyaların karantinaya alınması ve kullanıcı uyarıları gibi işlemleri içerir.
   
   
5. Olay Kayıtları ve Adli Analiz:
   Tüm uç nokta aktiviteleri detaylı şekilde kaydedilir. Saldırının kaynağı, yayılma yolu ve etkileri analiz edilir; bu da olay sonrası inceleme ve raporlama süreçlerini kolaylaştırır.
   
   
6. Merkezi Yönetim Konsolu:
   Tüm sensörler ve olaylar merkezi bir konsolda yönetilir. Tehditler görselleştirilir, önceliklendirilir, müdahale talimatları gönderilir ve trend analizleri yapılır.
   
   
7. Ek Yetkinlikler:
   EDR sistemleri ayrıca sürekli tehdit avcılığı (Threat Hunting) ve olay inceleme yetenekleriyle, sinsi veya henüz gerçekleşmemiş saldırıları proaktif olarak tespit etmeye imkân tanır.

SONUÇ:

EDR, bilgisayarlar, sunucular ve mobil cihazlar gibi uç noktaları sürekli izleyerek anormal aktiviteleri tespit eden ve siber saldırılara hızlı yanıt veren bir güvenlik teknolojisidir. Fidye yazılımları, sıfır gün açıkları ve dosyasız saldırılar gibi gelişmiş tehditleri davranış analizi ve yapay zekâ ile tespit eder. Sistem, tehditleri analiz ederek cihazı izole edebilir, süreçleri durdurabilir ve dosyaları karantinaya alabilir. EDR, uç nokta sensörleri, veri analiz motoru ve merkezi yönetim konsolu ile tüm aktiviteleri kaydeder ve kurumların proaktif güvenliğini sağlar.