EDR ve SOC ile 7/24 Tehdit Tespiti ve Müdahale

Bir saldırganın ağa sızması ile fark edilmesi arasında geçen süre, bir güvenlik olayının küçük bir sorun olarak mı kalacağını yoksa tüm operasyonu durduran bir krize mi dönüşeceğini belirler. Klasik antivirüs ve yalnızca mesai saatlerinde bakılan uyarılar bu süreyi kısaltmaya yetmez. Bu yazıda EDR, XDR ve MDR kavramlarını, bir SOC'un 7/24 izlemeyi nasıl yürüttüğünü, tehdit istihbaratı ile yapay zekânın tespitteki rolünü ve kendi SOC'unuzu kurmak ile hizmet olarak almak arasındaki karar kriterlerini ele alıyoruz.

Antivirüs Neden Yetmiyor? EDR, XDR ve MDR Farkları

Klasik antivirüs büyük ölçüde bilinen zararlıların imzalarına dayanır. Oysa güncel saldırılarda saldırganlar çoğu zaman zararlı bir dosya bile kullanmaz: Çalınan kimlik bilgileriyle oturum açar, PowerShell gibi meşru yönetim araçlarını ve uzaktan erişim yazılımlarını kullanır. Sistemde zaten bulunan araçlarla ilerleyen (living off the land) bu davranışlar, imza tabanlı bir antivirüse normal görünür.

• EDR (Endpoint Detection and Response): Bilgisayar ve sunuculardaki süreç, dosya, ağ bağlantısı ve kullanıcı davranışlarını sürekli kaydeder, şüpheli davranış zincirlerini tespit eder; cihazı ağdan izole etme ve süreci sonlandırma gibi müdahale imkânları sunar. Olay sonrasında geriye dönük inceleme için ayrıntılı kayıt da sağlar.
• XDR (Extended Detection and Response): EDR'nin görünürlüğünü e-posta, kimlik, bulut uygulamaları ve ağ gibi diğer kaynaklarla birleştirir. Bir kimlik avı e-postası, ardından gelen şüpheli bir oturum açma ve bir cihazdaki olağan dışı süreç tek bir olay olarak ilişkilendirilir.
• MDR (Managed Detection and Response): Bir teknoloji değil, hizmettir. EDR veya XDR platformunu uzman bir ekip 7/24 izler, uyarıları değerlendirir, gerçek tehditlere müdahale eder ve raporlar.

Kısacası EDR ve XDR birer araçtır; MDR ve SOC ise o aracı kullanan insanlar ve süreçlerdir. Ne kadar gelişmiş olursa olsun, uyarılarına kimsenin bakmadığı bir EDR yalnızca pahalı bir kayıt cihazıdır.

EDR'yi doğru devreye almak

EDR projelerinde sorunlar genellikle üründen değil, devreye alma biçiminden kaynaklanır. Dikkat edilmesi gereken noktalar şunlardır:

• Tam kapsama: Sunucular dahil tüm cihazlara ajan kurulmalı; kurulu olmayan cihazlar düzenli olarak raporlanmalı.
• Aşamalı politika: Önce izleme modunda başlanıp iş uygulamalarıyla çakışmalar tespit edilmeli, ardından engelleme moduna geçilmeli.
• Kontrollü istisnalar: Performans veya uyumluluk için tanımlanan istisnalar dar tutulmalı ve belgelenmeli; geniş klasör istisnaları saldırganların saklanabileceği alanlar yaratır.
• Kurcalama koruması: Ajanın yerel yönetici yetkisiyle bile kapatılamaması veya kaldırılamaması sağlanmalı.
• Eski ürünlerin kaldırılması: Birden fazla güvenlik ajanının aynı cihazda çalışması çakışma ve performans sorunlarına yol açabilir.

SOC Nedir, 7/24 Güvenlik İzleme Nasıl Çalışır?

SOC (Security Operations Center, Güvenlik Operasyon Merkezi), kurumun güvenlik olaylarını sürekli izleyen, analiz eden ve müdahale eden ekip, süreç ve teknoloji bütünüdür. Tipik bir SOC'un bileşenleri şunlardır:

• Log toplama ve SIEM: Firewall, sunucu, etki alanı denetleyicisi, e-posta, bulut ve EDR loglarının merkezi bir platformda toplanması ve ilişkilendirilmesi.
• Tespit kuralları: Kaba kuvvet denemeleri, olağan dışı yönetici etkinliği, kısa sürede birbirinden çok uzak konumlardan oturum açılması ve yedekleme işlerinin durdurulması gibi senaryolar için alarm kuralları.
• Analist katmanları: Birinci seviye analistler uyarıları ayıklar ve önceliklendirir, ikinci seviye derinlemesine inceleme ve müdahale yapar, üçüncü seviye tehdit avcılığı ve karmaşık olay analizini üstlenir.
• Otomasyon (SOAR): Şüpheli hesabı devre dışı bırakma, cihazı izole etme ve uyarıyı ek bilgilerle zenginleştirme gibi tekrarlayan adımları otomatikleştiren iş akışları.
• Oyun kitapları (playbook): Her olay türü için kimin neyi hangi sırayla yapacağını tanımlayan prosedürler.

Teknik sensörlerin yanında çalışanlar da önemli bir tespit kaynağıdır. Şüpheli bir e-postayı veya bilgisayarındaki olağan dışı bir davranışı hızla bildiren bir çalışan, çoğu zaman ilk uyarıyı veren kişidir; bu bildirimler de SOC'un değerlendirme akışına dahil edilmelidir. Bunun için düzenli farkındalık eğitimi ve herkesin bildiği, basit bir bildirim kanalı gerekir.

7/24 izlemenin önemi basittir: Saldırılar mesai saatine göre planlanmaz. Gece başlayan bir fidye yazılımı saldırısı, sabah ofise gelindiğinde sunucuları çoktan şifrelemiş olabilir; gece yarısı başlayan ve fark edilmeyen bir DDoS saldırısı da sabaha kadar internete açık hizmetleri erişilemez bırakabilir. SOC'un değeri, bu saatlerde de uyarıyı gören ve yetkisi dahilinde anında müdahale eden bir ekibin varlığıdır.

Tehdit İstihbaratı ve Yapay Zekâ Destekli Tespit

Tehdit istihbaratı, saldırganlar, kullandıkları altyapı ve yöntemler hakkında toplanan ve analiz edilen bilgidir. Üç seviyede ele alınabilir:

• Taktik istihbarat: Zararlı IP adresleri, alan adları ve dosya özetleri gibi tehlike göstergeleri (IoC). Güvenlik araçlarına otomatik olarak beslenir.
• Operasyonel istihbarat: Saldırgan gruplarının kullandığı taktik, teknik ve prosedürler (TTP). MITRE ATT&CK gibi çerçeveler, tespit kurallarının bu davranışlara göre tasarlanmasını kolaylaştırır.
• Stratejik istihbarat: Sektörünüzü veya bölgenizi hedef alan kampanyalar hakkında yönetime yönelik değerlendirmeler.

İstihbaratın değeri, işletmenin kendi ortamına uygulanabildiği ölçüdedir. Doğrulanmamış veya güncelliğini yitirmiş gösterge listeleri gereksiz alarm üretir; istihbaratın tespit kurallarına, engelleme listelerine ve tehdit avcılığı çalışmalarına dönüştürülmesi gerekir. Sektördeki diğer işletmeler ve güvenlik sağlayıcılarıyla kurulan bilgi paylaşımı yeni kampanyaları erken fark etmeyi kolaylaştırır; elde edilen bulguların BT ekibiyle ve yönetimle zamanında paylaşılması da en az toplanmaları kadar önemlidir.

Yapay zekâ ve makine öğrenimi ise özellikle davranış analizinde öne çıkar: bir kullanıcının veya cihazın olağan davranışını öğrenip bundan sapmaları işaretlemek, çok sayıda zayıf sinyali ilişkilendirmek ve analistlerin uyarı yükünü azaltmak. Ancak yapay zekâ sihirli bir değnek değildir; yanlış pozitif üretebilir, eğitildiği veriye bağımlıdır ve bağlamı bilen bir analistin değerlendirmesinin yerini tutmaz. En iyi sonuç, yapay zekânın ayıklama ve önceliklendirmede, insanın ise karar ve müdahalede rol aldığı modelde alınır. Yapay zekâ destekli araçlara aktarılan log verisinin nerede işlendiği ve kişisel veri içerip içermediği de KVKK açısından değerlendirilmelidir.

Olay Müdahale Süreci: Tespitten Kurtarmaya

Olay müdahalesi, genel kabul görmüş bir döngüyle yürütülür:

1. Hazırlık: Olay müdahale planı, iletişim listesi, oyun kitapları, yetkiler ve araçlar olaydan önce hazırdır. SOC'un hangi durumda hangi müdahaleyi onay beklemeden yapabileceği yazılı olarak belirlenir.
2. Tespit ve analiz: Uyarı doğrulanır, yanlış pozitif olup olmadığı belirlenir, etkilenen hesaplar, cihazlar ve veriler çıkarılır, önceliklendirme yapılır.
3. Sınırlama: Etkilenen cihazlar izole edilir, ele geçirilen hesaplar devre dışı bırakılır, zararlı alan adları ve IP adresleri engellenir. Amaç yayılmayı durdurmaktır.
4. Temizleme: Zararlı yazılımlar, saldırganın oluşturduğu hesaplar, zamanlanmış görevler ve diğer kalıcılık mekanizmaları kaldırılır; giriş noktası kapatılır.
5. Kurtarma: Sistemler temiz yedeklerden veya yeniden kurulumla hizmete alınır ve bir süre yoğun izleme altında tutulur.
6. Olay sonrası değerlendirme: Ne oldu, neden fark edildi ya da edilmedi, hangi kontrol eksikti? Çıkan dersler tespit kurallarına, yapılandırmalara ve eğitimlere yansıtılır.

Bu döngünün sahada nasıl işlediğini tipik bir senaryoyla düşünelim: Gece saatlerinde bir kullanıcının hesabıyla alışılmadık bir ülkeden oturum açılır, kısa süre sonra aynı hesap e-posta kutusuna dışarıya yönlendirme kuralı ekler. SIEM iki olayı ilişkilendirip kritik uyarı üretir. Nöbetçi analist oturumun kullanıcıya ait olmadığını doğrular, önceden tanımlanmış yetkisiyle hesabın oturumlarını sonlandırır ve hesabı geçici olarak devre dışı bırakır, yönlendirme kuralını kaldırır ve sabah BT ekibine olay özetini iletir. Aynı olay izlenmeyen bir ortamda yaşansaydı, saldırgan gece boyunca yazışmaları okuyup müşterilere sahte fatura gönderebilirdi.

Kişisel verilerin etkilendiği olaylarda KVKK kapsamındaki bildirim yükümlülükleri de bu süreçte ele alınmalıdır. Fidye yazılımı özelinde ilk saatlerde yapılması gerekenleri fidye yazılımı rehberimizde adım adım anlattık.

Kendi SOC'unuz mu, Hizmet Olarak SOC mu?

Kendi SOC'unu kurmak; SIEM ve EDR lisansları, altyapı, vardiyaları dolduracak sayıda nitelikli analist, sürekli eğitim ve tespit kuralı geliştirme anlamına gelir. 7/24 kapsama için tek bir uzman yetmez; izin, hastalık ve vardiya planlaması düşünüldüğünde bir ekip gerekir. Nitelikli güvenlik analistini bulmak ve elde tutmak da ayrı bir zorluktur.

Kendi SOC'unuz şu durumlarda daha anlamlı olabilir:

• Büyük ve karmaşık bir altyapınız ve buna uygun bir bütçeniz varsa
• Düzenleyici gereklilikler izlemenin tamamen kurum içinde kalmasını gerektiriyorsa
• Güvenlik, işletmenin temel yetkinliklerinden biri olarak konumlanıyorsa

Hizmet olarak SOC veya MDR ise şu durumlarda genellikle daha uygundur:

• KOBİ ve orta ölçekli işletmelerde 7/24 kapsama maliyetini paylaşımlı bir uzman ekiple karşılamak için
• Hızlı devreye alma gerektiğinde
• İç BT ekibinin günlük operasyonlara odaklanması istendiğinde

Hibrit modeller de yaygındır: İç BT ekibi mesai saatlerinde ilk müdahaleyi yapar, dış SOC ise 7/24 izleme ve uzman desteği sağlar. Hangi model seçilirse seçilsin sorumluluk sınırlarının net olması şarttır. Bu yaklaşımın daha geniş kapsamlı karşılığını yönetilen IT hizmetleri yazımızda ele aldık.

Maliyeti Belirleyen Faktörler: Uç Nokta Sayısı, Log Hacmi, SLA

SOC ve MDR hizmetlerinin maliyeti büyük ölçüde şu değişkenlere bağlıdır:

• Uç nokta sayısı: İzlenen bilgisayar ve sunucu sayısı; EDR lisansı ve izleme yükü doğrudan buna bağlıdır.
• Log hacmi ve kaynak çeşitliliği: Günlük toplanan log miktarı ile firewall, bulut, e-posta ve kimlik sistemleri gibi entegre edilecek kaynak sayısı.
• Log saklama süresi: Uzun saklama depolama maliyetini artırır; ancak düzenleyici gereklilikler ve adli inceleme ihtiyacı uzun saklamayı gerektirebilir.
• SLA ve müdahale kapsamı: Hizmetin yalnızca uyarı ve bildirimden mi, yoksa cihaz izolasyonu ve hesap kapatma gibi aktif müdahaleden mi oluştuğu; kritik olaylar için taahhüt edilen yanıt süresi.
• Kapsama saatleri: Mesai saatleri, uzatılmış saatler veya tam 7/24.
• Ek hizmetler: Tehdit avcılığı, zafiyet taraması, dijital adli inceleme, yerinde müdahale ve periyodik raporlama.
• Mevcut lisanslar: Kullandığınız platformlarda EDR veya XDR yetenekleri zaten varsa, yeni ürün almak yerine mevcut yatırımın izlenmesi maliyeti düşürebilir.

Teklifleri karşılaştırırken yalnızca uç nokta başı fiyatı değil, müdahale kapsamını ve dahil olmayan hizmetleri de yan yana koymak gerekir.

SOC/MDR Sağlayıcısı Seçerken Sorulacak Sorular

• Hangi log kaynaklarını izliyorsunuz, entegrasyon için hangi ön koşullar gerekiyor?
• Kritik bir olayda ne kadar sürede ve hangi kanaldan bize ulaşıyorsunuz?
• Onay beklemeden hangi müdahaleleri yapma yetkiniz olacak?
• 7/24 kapsama gerçekten insanlı mı, gece ve hafta sonu uyarıları kim değerlendiriyor?
• Yanlış pozitifleri azaltmak için ortamımıza özel ayarlama yapıyor musunuz?
• Aylık raporlarda olaylar, eğilimler ve iyileştirme önerileri yer alıyor mu?
• Loglarımız nerede ve ne kadar süre saklanıyor, KVKK kapsamındaki veri işleyen yükümlülükleriniz sözleşmede nasıl tanımlı?
• Sözleşme sona erdiğinde loglar ve yapılandırmalar bize nasıl teslim ediliyor?
• Olay sonrası kök neden analizi ve yerinde müdahale hizmete dahil mi?

Bu sorulara net ve yazılı yanıt veremeyen bir sağlayıcı, kriz anında da beklentinizi karşılayamayabilir. Hizmete başlamadan önce ortamınızın bir sızma testi ile değerlendirilmesi, izlemenin hangi zayıf noktalara odaklanması gerektiğini belirlemek için de faydalıdır.

Sonuç

EDR uç noktalarda görünürlük ve müdahale imkânı sağlar; SOC ise bu görünürlüğü 7/24 zamanında müdahaleye dönüştürür. Doğru model, altyapınızın büyüklüğüne, risk profilinize ve iç ekibinizin kapasitesine göre belirlenmelidir. Siber güvenlik hizmetlerimiz kapsamında EDR kurulumu, log entegrasyonu ve izleme modelini işletmenizle birlikte tasarlıyoruz; ihtiyacınızı netleştirmek için ücretsiz ön görüşme talep edin.