Bilkomsis rehberleri
EDR nedir, antivirüsten farkı ne?
Klasik antivirüs yazılımları uzun yıllar boyunca bilinen zararlı dosyaları tanıyıp engelleyerek çalıştı. Bugünkü saldırıların önemli bir kısmı ise hiç dosya bırakmadan, sistemde zaten bulunan araçlar kullanılarak ya da çalınan bir kullanıcı hesabıyla yapılıyor. EDR (Endpoint Detection and Response, uç nokta tespit ve müdahale) bu boşluğu kapatmak için geliştirildi.
Antivirüs ve EDR arasındaki temel fark
| Konu | Klasik antivirüs | EDR |
|---|---|---|
| Tespit yöntemi | Ağırlıklı olarak bilinen zararlı imzaları | Davranış analizi: süreçler, bağlantılar, dosya ve kayıt değişiklikleri |
| Görünürlük | Engellendi veya engellenmedi bilgisi | Olayın zaman çizelgesi: ne başladı, neye bağlandı, neyi değiştirdi |
| Müdahale | Dosyayı silme veya karantinaya alma | Cihazı ağdan ayırma, süreci durdurma, değişiklikleri geri alma |
| İnsan ihtiyacı | Düşük | Uyarıların birinin tarafından değerlendirilmesi gerekir |
EDR neyi yakalar?
EDR, örneğin bir ofis belgesinin komut satırı aracını çalıştırmasını, bir kullanıcının gece yarısı yüzlerce dosyayı şifrelemeye başlamasını veya bir bilgisayarın tanınmayan bir sunucuyla düzenli bağlantı kurmasını şüpheli davranış olarak işaretler. Bu davranışlar tek başına zararlı bir dosya içermediği için klasik antivirüsün gözünden kaçabilir.
EDR almak yeterli mi?
EDR’nin değeri, uyarıların zamanında değerlendirilmesine bağlıdır. Kimsenin bakmadığı bir EDR konsolu, uyarı veren ama kimsenin duymadığı bir alarm gibidir. Satın almadan önce şu soruları cevaplayın:
- Uyarıları kim, hangi saatlerde inceleyecek?
- Kritik bir uyarıda cihazı ağdan ayırma yetkisi kimde olacak?
- Politikalar (hangi davranışın engelleneceği) şirketin çalışma düzenine göre ayarlandı mı?
- EDR tüm bilgisayar ve sunucularda kurulu ve güncel mi?
Uyarıları kendi ekibiyle takip edemeyen şirketler için bu izleme hizmet olarak da alınabilir (MDR, yönetilen tespit ve müdahale).
EDR’yi destekleyen diğer önlemler
EDR tek başına bir güvenlik stratejisi değildir. Çok faktörlü doğrulama, güncel işletim sistemleri, yönetici yetkilerinin sınırlandırılması ve değiştirilemez yedekler birlikte uygulandığında etkili olur. Zararlı yazılım olaylarının önlenmesi ve yönetimi için NIST SP 800-83 iyi bir başvuru kaynağıdır.
Örneğin varsayımsal bir şirkette bir çalışanın oltalama e-postasıyla ele geçirilen hesabıyla dosya sunucusuna bağlanılır ve dosyalar toplu olarak şifrelenmeye başlanır. Antivirüs bir zararlı dosya görmediği için sessiz kalırken, EDR olağan dışı şifreleme davranışını fark edip cihazı ağdan ayırabilir.
Siber güvenlik hizmetimiz kapsamında uç nokta korumanızı ve uyarı takibi düzeninizi birlikte değerlendirebiliriz.