Antivirüs, EDR, XDR ve MDR: Farkları neler, bir KOBİ'ye hangisi uygun?

Kısa cevap: dört kavram, dört farklı görev

Klasik bir antivirüs, bilinen zararlı yazılımları imzalarından tanır. EDR (Endpoint Detection and Response, uç nokta tespit ve müdahale) ek olarak her cihazda olup biteni izler ve şüpheli bir durumda müdahale edebilir. XDR (Extended Detection and Response, genişletilmiş tespit ve müdahale) bu verileri e-posta, kullanıcı hesapları, bulut hizmetleri ve ağ verileriyle birleştirir. MDR (Managed Detection and Response, yönetilen tespit ve müdahale) ise bir ürün değil, bir hizmettir: Uzmanlar uyarıları değerlendirir ve gerektiğinde müdahale eder.

Bugün çoğu KOBİ için tüm cihazlarda EDR kullanmak mantıklı bir temeldir. Ancak kısaltmadan daha önemli olan, uyarıları kimin okuduğu ve sonrasında ne olduğudur. Üreticiler bu kavramları her zaman aynı anlamda kullanmaz; bu yüzden etikete değil, ürünün gerçek özelliklerine bakmakta fayda vardır.

Antivirüs: Bilinen zararlı yazılımlara karşı imza tabanlı koruma

Klasik antivirüs, dosyaları bilinen zararlı yazılımların kayıtlı olduğu bir veri tabanıyla karşılaştırır. Her imza bir tür parmak izidir; örneğin dosyanın hash değeri veya karakteristik bir kod kalıbı. Eşleşen dosya engellenir ya da karantinaya alınır. Zararlı yazılım zaten bilindiği sürece bu yöntem hızlı ve güvenilir şekilde çalışır.

Çoğu zaman uç nokta koruma platformu (EPP) olarak adlandırılan modern ürünler, buna sezgisel (heuristik) analiz, bulut tabanlı itibar kontrolleri ve temel düzeyde davranış izleme ekler. Yine de sınır değişmez: Günümüzde birçok saldırı klasik bir zararlı dosyaya ihtiyaç duymaz. Saldırganlar çalınan kullanıcı bilgileriyle oturum açar, PowerShell gibi sistemin kendi araçlarını kullanır veya meşru uzaktan destek yazılımları kurar. Klasik bir antivirüs için bunlar çoğu zaman sıradan görünür.

EDR: Davranış tabanlı tespit ve müdahale

EDR, bir cihazda olup biteni sürekli kaydeder: hangi işlemlerin başladığını, bunların hangi programları çalıştırdığını, hangi ağ bağlantılarının kurulduğunu ve hangi dosyaların değiştiğini. Yazılım bu verileri hem cihazda hem de bulutta analiz eder ve bir saldırıya işaret eden kalıpları arar. Tipik örnekler şunlardır:

• Bir Word belgesinden komut satırı veya PowerShell başlatılır ve internetten kod indirilir.
• Kısa süre içinde çok sayıda dosya yeniden adlandırılır veya şifrelenir.
• Gölge kopyalar (shadow copies) ve yerel yedekler silinir.
• Bir program, oturum açma bilgilerini bellekten okur.
• Bir sunucuya gece saatlerinde, başka kimsenin kullanmadığı bir uzaktan destek programı kurulur.

Adın ikinci yarısı da en az ilki kadar önemlidir: müdahale (response). Bir EDR çözümü, cihazı yalnızca yönetim konsoluyla iletişim kuracak şekilde ağdan izole edebilir, bir işlemi durdurabilir veya bir dosyayı engelleyebilir. Ayrıca saldırganın içeri nasıl girdiğini ve neler yaptığını izlemeyi sağlayan bir olay zaman çizelgesi sunar. Bu, olayın incelenmesine ve başka hangi sistemlerin etkilendiğinin anlaşılmasına yardımcı olur.

XDR: Birden fazla kaynaktaki sinyalleri birleştirmek

XDR, bakış açısını tek bir cihazın ötesine taşır. Uç noktalardan, e-postadan, kimliklerden, bulut uygulamalarından ve bazen güvenlik duvarı ile ağdan gelen sinyalleri bir araya getirir. Böylece tek tek bakıldığında zararsız görünen olaylar arasındaki bağlantıları fark eder.

Bir örnek: Bir çalışan oltalama (phishing) e-postası alır, kısa süre sonra hesabıyla alışılmadık bir ülkeden oturum açılır, posta kutusunda yeni bir yönlendirme kuralı oluşur ve dizüstü bilgisayarında şüpheli bir işlem başlar. XDR, dört ayrı konsoldaki dört ayrı uyarı yerine birbiriyle bağlantılı tek bir olay gösterir. Bu zaman kazandırır ve değerlendirmeyi kolaylaştırır.

XDR, en çok e-posta, kullanıcı hesapları ve uç noktalar tek bir platformdan geldiğinde veya birbiriyle iyi entegre olduğunda işe yarar. Buna karşılık bir SIEM, neredeyse her kaynaktan kayıt (log) toplar. Daha esnektir, ancak kurulumu ve işletimi çok daha fazla emek ister.

MDR: Uyarıları uzmanlar değerlendirir

MDR, EDR veya XDR üzerine kurulan bir hizmettir. Hizmet sağlayıcının analistleri uyarıları inceler, şüpheli etkinlikleri araştırır, bunları bağlamına oturtur ve bir cihazın izole edilmesi gibi önceden kararlaştırılmış önlemleri alır. Birçok MDR sağlayıcısı günün her saatinde çalışır. Kendi güvenlik ekibi olmayan işletmeler için MDR, iyi teknoloji ile zaman eksikliği arasındaki boşluğu kapatır.

Uyarıları neden birinin değerlendirmesi gerekir?

Her tespit aracı farklı kalitede uyarılar üretir. Bunların çoğu zararsızdır; örneğin tesadüfen şüpheli görünen bir yönetici betiği (script). Birkaçı ise ciddi ve acildir. Gece yapılan bir oturum açmanın iş seyahatindeki genel müdüre mi yoksa bir saldırgana mı ait olduğunu ancak ortamı tanıyan biri güvenilir şekilde ayırt edebilir.

Üstelik saldırganlar mesai saatlerine uymaz. Bir uyarı ancak pazartesi günü okunursa, zararlı yazılım bulaşmış tek bir dizüstü bilgisayar o zamana kadar şifrelenmiş bir şirket ağına dönüşmüş olabilir. Bu nedenle şunları önceden belirleyin:

• Uyarıları kimin alıp değerlendireceğini: kurum içi BT ekibi, BT hizmet sağlayıcınız veya bir MDR sağlayıcısı.
• Uyarıların hangi saatlerde ve ne kadar hızlı ele alınacağını.
• Hangi tepkilerin otomatik olarak verileceğini; örneğin fidye yazılımı yüksek kesinlikle tespit edildiğinde cihazın izole edilmesi.
• Yönetimin ne zaman bilgilendirileceğini ve sonraki adımlara kimin karar vereceğini.

Acil bir durumda yapılması gerekenleri fidye yazılımı saldırısından sonraki ilk 24 saat yazımızda anlatıyoruz. Sürekli izlemeyi kendiniz mi üstleneceğinize yoksa dışarıya mı vereceğinize karar verirken yönetilen güvenlik hizmetlerini ne zaman dışarıdan almanın mantıklı olduğunu anlatan yazımız size yardımcı olur.

Bir KOBİ için hangi çözüm uygun?

Herkese uyan tek bir çözüm yoktur, ancak mantıklı bir sıralama vardır. 10 ile 100 arasında bilgisayarın kullanıldığı bir ofis için şu yaklaşım iyi bir başlangıç noktasıdır:

1. Yalnızca antivirüs değil, tüm dizüstü bilgisayarlarda, PC'lerde ve sunucularda EDR kullanın. Mac'ler ve oturum açmış kullanıcısı olmayan sunucular da kapsama dahildir.
2. Mevcut lisanslarınızı kontrol edin: İşletmelere yönelik bazı Microsoft 365 paketleri, yalnızca etkinleştirilip yapılandırılması gereken EDR özelliklerini zaten içerir.
3. Uyarıları kimin ve hangi saatlerde değerlendireceğini belirleyin. Kurum içinde zaman yoksa, bir hizmet sağlayıcı veya MDR gerçekçi bir çözümdür.
4. Temelleri unutmayın: Çok faktörlü kimlik doğrulama, düzenli güncellemeler ve test edilmiş bir yedek, birçok olayı daha EDR'nin müdahale etmesine gerek kalmadan önler.
5. E-posta, kimlikler ve uç noktalar tek bir platformda çalışmaya başladığında veya uyarı sayısı belirgin şekilde arttığında XDR'yi değerlendirin.

Siber sigorta şirketleri ve büyük müşteriler de soru formlarında sıklıkla EDR kullanılıp kullanılmadığını sorar. Neyi kullandığınızı ve kimin müdahale ettiğini belgelerseniz, bu soruların cevapları elinizin altında olur.

Sonuç: Teknoloji ve sorumluluk birlikte düşünülmeli

Bugün antivirüs asgari koruma, EDR işletmeler için mantıklı bir temel, XDR birden fazla bağlantılı kaynak söz konusu olduğunda bir genişleme, MDR ise uyarılara kimin baktığı sorusunun cevabıdır. Q-entra, siber güvenlik hizmeti kapsamında EDR ile uç nokta güvenliğini kurar ve dilerseniz yönetilen güvenlik hizmetiyle sürekli işletimi ve uyarıların değerlendirilmesini sözleşmede kararlaştırılan saatlerde üstlenir.