EDR / XDR Uç Nokta Güvenliği

EDR, XDR ve MDR farkı: antivirüsten yönetilen tespite

Uç nokta güvenliği ürünleri dört katmanda ele alınabilir. Antivirüs (EPP) bilinen zararlıları dosya düzeyinde engeller. EDR (Endpoint Detection and Response) cihazdaki süreç, bağlantı ve kayıt defteri hareketlerini kaydeder, şüpheli zinciri geriye doğru izlenebilir kılar. XDR aynı mantığı uç noktanın dışına taşır. MDR (Managed Detection and Response) ise bir teknoloji değil, bu platformların uzman bir ekip tarafından işletilmesidir.

Pratikte EDR ve XDR, alarm üretmekte başarılıdır; asıl fark, alarmların gece ve hafta sonu da okunup okunmadığında ortaya çıkar. Çoğu kurum için belirleyici soru “EDR mi XDR mi” değil, platformun kim tarafından izleneceğidir. Uç nokta alarmlarının 7/24 değerlendirilmesi SOC hizmeti ile birleştirildiğinde yapı fiilen MDR modeline dönüşür.

EDR XDR devreye alma: pilot, politika ve istisna yönetimi

Davranış tabanlı bir platformun iş uygulamalarını kesintiye uğratmadan çalışması, kurulumun nasıl planlandığına bağlıdır. MAV Cloud, Sophos, Trend Micro, ESET ve Microsoft gibi üreticilerin çözümleriyle kurulan uç nokta güvenliği projelerinde şu sırayı izler:

1. Envanter: istemci ve sunucu sayısı, işletim sistemi sürümleri ve mevcut antivirüsün kaldırma planı çıkarılır.
2. Pilot grup: farklı departmanlardan küçük bir cihaz grubunda yalnızca izleme modunda başlanır.
3. İstisna ayarı: ERP, muhasebe ve yedekleme ajanları gibi meşru ama “şüpheli görünen” davranışlar için kontrollü istisnalar tanımlanır.
4. Engelleme moduna geçiş: yanlış pozitifler azaldıktan sonra izolasyon ve otomatik müdahale politikaları kademeli açılır.
5. Log aktarımı: uç nokta olayları diğer kaynaklarla ilişkilendirilmek üzere SIEM ve log yönetimi platformuna aktarılabilir.

Fidye yazılımına karşı EDR tek başına son savunma hattı değildir; şifreleme başarılı olursa dönüş noktası değiştirilemez yedektir. Bu katman immutable backup nedir rehberinde anlatılmıştır.

Hangi yapıya hangisi uygun: EDR, XDR ya da MDR?

Doğru model, kurumdaki cihaz sayısından çok güvenlik olaylarını kimin ve hangi saatlerde değerlendireceğine göre seçilir. Genel bir çerçeve şöyledir:

• Yalnızca EDR: kendi BT ekibi olan, uç nokta tespitlerini mesai içinde takip edebilen ve saldırı yüzeyi büyük ölçüde bilgisayar ile sunuculardan oluşan yapılar için başlangıç noktasıdır.
• XDR: Microsoft 365 gibi bulut e-posta servisleri, uzaktan çalışan kullanıcılar ve birden fazla lokasyon bulunduğunda anlam kazanır; kimlik avı e-postasından başlayıp uç noktada devam eden bir saldırı tek olay olarak görülür.
• MDR: gece ve hafta sonu da alarmların incelenmesi, gerektiğinde cihazın uzaktan izole edilmesi beklenen, ancak bu vardiyayı kendi kadrosuyla kuramayan kurumlar için uygundur.

Lisans seçimi yapılmadan önce mevcut antivirüs lisansının bitiş tarihi, işletim sistemi dağılımı ve log saklama beklentisi birlikte değerlendirilir; böylece geçiş dönemi iki ürünün çakışmasına yol açmadan planlanır.