İçeriğe atla
Bilgi Merkezi/Makale
Makale

Uç Nokta (Endpoint) Güvenliği Nedir? Antivirüs, EDR ve XDR

Uç nokta güvenliği bilgisayarları, sunucuları ve telefonları korur. Antivirüs, EPP, EDR, XDR ve MDR farkını ve davranış tabanlı tespiti anlattık.

Oğuzhan Gerçek··6 dk okuma
Uç Nokta (Endpoint) Güvenliği Nedir? Antivirüs, EDR ve XDR

Kısa cevap: Uç nokta (endpoint) güvenliği, dizüstü ve masaüstü bilgisayarları, sunucuları, telefonları ve IoT cihazlarını zararlı yazılıma ve saldırıya karşı koruyan önlemlerin bütünüdür. Antivirüs bilinen zararlı yazılımı tanıyıp durdurur; EPP önleyici araçları tek konsolda toplar. EDR endpoint'teki etkinliği sürekli kaydeder, şüpheli davranışı yakalar ve müdahaleye imkân verir; XDR aynı yaklaşımı e-posta, ağ ve bulut verisine genişletir. MDR ise bir ürün değil, bu araçları 7/24 izleyip müdahale eden bir hizmettir.

Uç nokta (endpoint) nedir?

NIST'in sözlüğü endpoint'i, ağ üzerinde dijital bir kimliğe erişmek için kullanılan her cihaz olarak tanımlıyor: dizüstü ve masaüstü bilgisayarlar, cep telefonları, tabletler, sunucular, IoT cihazları ve sanal sistemler.

Verizon'un 2026 Veri İhlali Araştırmaları Raporu'na (DBIR) göre fidye yazılımı ihlallerin %48'inde görülüyor; bir önceki yıl bu oran %44'tü. Endpoint güvenliği siber güvenliğin katmanlarından biri; ağ tarafını ağ güvenliği yazımızda ele aldık.

Antivirüs nedir, neden tek başına yetmez?

NIST antivirüsü, bir bilgisayarı ya da ağı izleyerek başlıca zararlı yazılım türlerini tespit eden ve zararlı yazılım olaylarını önleyen ya da sınırlayan program olarak tanımlıyor. NIST'in SP 800-83 rehberine göre antivirüs, zararlı yazılımı esas olarak bilinen örneklerin özelliklerini arayarak bulur ve imzaları tam güncel olduğunda en etkilidir; Microsoft bu imza paketlerine tanım güncellemesi (definition update) diyor. Antivirüs ve yönetilen antivirüs terimlerinin kısa tanımı sözlüğümüzde var.

IBM'e göre geleneksel araçlar bilinen, dosya tabanlı ya da imzaya dayalı tehditleri yakalamakla sınırlı ve yalnızca bellekte çalışan dosyasız (fileless) saldırılar karşısında güçsüz. Yeni nesil antivirüs (NGAV) bu boşluğu daraltıyor: IBM'in anlatımıyla imzası olmayan zararlı yazılımı da yakalayabiliyor ve şüpheli davranış kalıplarını sezgisel (heuristic) yöntemlerle bilinen virüslerinkiyle karşılaştırıyor.

EPP nedir?

EPP (endpoint protection platform), yeni nesil antivirüsü diğer endpoint güvenlik araçlarıyla birleştirip tek bir merkezi konsoldan yönetir. IBM'in örnek listesinde web denetimi, veri kaybı önleme (DLP), entegre firewall, e-posta ağ geçidi ve uygulama denetimi var. EPP'nin odağı önlemedir: bilinen tehditleri ya da bilinen biçimde davranan tehditleri durdurur. DLP ile endpoint korumasını DLP ve endpoint güvenliği sayfamızda birlikte ele alıyoruz.

EDR nedir, nasıl çalışır?

EDR (endpoint detection and response), önlemeyi aşan tehdidi bulmak için endpoint'te olup biteni sürekli kaydeden katmandır. ABD Yönetim ve Bütçe Ofisi'nin (OMB) M-22-01 genelgesi EDR'yi, iş istasyonu, telefon ve sunucu gibi endpoint'leri gerçek zamanlı ve sürekli izleyip veri toplamayı kural tabanlı otomatik müdahale ve analizle birleştiren çözüm olarak tarif ediyor. IBM'e göre bu ürün sınıfını ilk tanıyan, 2013'te Gartner oldu.

IBM'in listesinde toplanan veri geniş: süreçler, yapılandırma değişiklikleri, ağ bağlantıları, dosya indirme ve aktarımları, kullanıcı ve cihaz davranışları. EDR bir tehdit bulduğunda analisti uyarabilir, cihazı ağdan ayırabilir, süreci durdurabilir ya da şüpheli dosyanın çalışmasını engelleyebilir. Microsoft'un Defender for Endpoint belgelerinde aynı tekniğe ya da saldırgana bağlanan uyarılar tek bir olayda (incident) toplanıyor; veri altı ay saklandığı için analist saldırının başlangıcına dönebiliyor.

XDR nedir? EDR ile XDR farkı

XDR (extended detection and response), EDR'nin mantığını endpoint'in dışına taşır. IBM'in tanımıyla XDR, güvenlik araçlarını birbirine bağlayıp kullanıcılar, endpoint'ler, e-posta, uygulamalar, ağlar, bulut iş yükleri ve veri katmanlarında operasyonu birleştiren açık bir mimari. Terim ilk kez 2018'de tanımlandı.

Fark kapsamda: EDR bir dizüstündeki şüpheli süreci görür; XDR aynı olayı kullanıcının az önce açtığı e-posta ekiyle ve olağan dışı bir oturum açma kaydıyla tek zincirde gösterebilir. IBM, yalnızca aynı üreticinin araçlarını bağlayan native XDR ile üreticiden bağımsız open XDR'yi ayırıyor. XDR'nin SOC içindeki yerini SIEM ve SOC yazımızda anlattık.

MDR nedir? Ürün değil, hizmet

IBM'in tanımıyla MDR (managed detection and response), tehditleri izleyen, tespit eden ve onlara müdahale eden 7/24 bir siber güvenlik hizmetidir; EDR ve XDR ise hizmet değil, araç. MDR sağlayıcısı bu araçların uyarılarını inceler, tehdit avcılığı yapar ve tehdidi sınırlamak için müdahale eder. IBM'e göre klasik MSSP'ler (yönetilen güvenlik hizmeti sağlayıcıları) müdahaleyi çoğunlukla müşteriye bırakıyor.

EDR otomatik müdahale kurallarıyla çalışsa bile, kuralların kapsamadığı bir uyarıyı gece 03.00'te inceleyip karar verecek biri yoksa tespit zamanında müdahaleye dönüşmez. Hizmet tarafını güvenlik operasyonları sayfamızda ele alıyoruz.

Davranış tabanlı tespit ve MITRE ATT&CK'in rolü

İmza "bu dosya bilinen bir zararlı mı?" diye sorar; davranış tabanlı tespit "bu süreç ne yapıyor?" diye. Microsoft'un davranış izleme belgesine göre Defender Antivirus süreç, dosya ve servis etkinliğini gerçek zamanlı gözlüyor ve bilinen imzalarla eşleşmeyen tehditleri de şüpheli davranıştan yakalıyor. Örneklerden biri, otomatik başlatma noktalarına (ASEP) ait kayıt defteri anahtarlarını değiştirme girişimi. CIS Controls v8.1 de davranış tabanlı korumayı ayrı bir önlem olarak sayıyor (10.7).

Davranışın ortak dili MITRE ATT&CK: gerçek dünya gözlemlerine dayanan, herkese açık bir saldırgan taktik ve teknik bilgi tabanı. Taktik bir eylemin nedenini, yani saldırganın amacını anlatır; ilk erişimde (Initial Access) amaç ağa girmek, kalıcılıkta (Persistence) tutunduğu yeri korumaktır. Teknik ise bu amaca nasıl ulaşıldığını gösterir. Bir uyarıyı ATT&CK tekniğine bağlamak, olayın saldırı zincirinin hangi adımında yakalandığını ortaya koyar.

MITRE'nin ATT&CK Evaluations çalışması gerçek saldırganları taklit edip ürünlerin bu saldırıları nasıl gördüğünü ve durdurduğunu ölçüyor; MITRE'nin ifadesiyle değerlendirmeler üreticileri sıralamıyor.

Cihaz yönetimi, yama ve işletim

Tespit tek başına yetmez; cihazın doğru yapılandırılmış ve güncel olması da gerekir. NIST'in SP 800-124 Rev. 2 rehberi kurumsal mobilite yönetimini (EMM), mobil cihazları devreye almak, yapılandırmak ve etkin biçimde yönetmek için kullanılan çözüm olarak tanımlıyor. Microsoft Intune'da cihaz uyum (compliance) kuralları en düşük işletim sistemi sürümünü, jailbreak ya da root durumunu ve entegre tehdit yönetimi yazılımının bildirdiği tehdit derecesini kapsayabiliyor; Conditional Access de uyumsuz cihazın kurumsal kaynaklara erişimini engelleyebiliyor. Açığın kendisini kapatmak yama yönetiminin işi; süreci yama yönetimi yazımızda anlattık, cihaz yönetimini Workplace & Device Management sayfamızda ele alıyoruz.

CIS Controls v8.1, zararlı yazılım korumasının bütün kurumsal varlıklarda kurulu tutulmasını ve imza güncellemelerinin otomatik yapılmasını istiyor (10.1, 10.2). OMB'nin genelgesi de EDR'ye yeterli kaynak ve personel ayrılmasını ve endpoint verisinin analizi destekleyecek biçimde saklanmasını bekliyor. Bankalar için kural yönetmelikte yazılı: BDDK'nın bilgi sistemleri yönetmeliği, bankanın masaüstü ve dizüstü makineleri ile sunucularını sürekli izleyerek zararlı yazılımları tespit etmesini istiyor (md. 16/4).

Sık sorulan sorular

Endpoint security nedir? Ağa bağlanan bilgisayar, sunucu, telefon ve IoT cihazlarının zararlı yazılıma ve saldırıya karşı korunmasıdır; antivirüs, EPP, EDR ve cihaz yönetimi bu korumanın parçalarıdır.

Antivirüs nedir, ne işe yarar? Zararlı yazılımı tespit eden, çalışmasını engelleyen ve temizleyen yazılımdır. Bilinen tehditlerde etkilidir, ama imzası olmayan ya da yalnızca bellekte çalışan saldırıları yakalamakta zorlanır.

EDR nedir? Endpoint'teki etkinliği sürekli kaydedip şüpheli davranışı tespit eden ve cihazı izole etmek gibi müdahalelere imkân veren güvenlik katmanıdır.

EDR ile XDR arasındaki fark nedir? EDR endpoint verisine bakar. XDR bu veriyi e-posta, ağ ve bulut verisiyle birleştirip olayı tek zincirde gösterir.

EDR antivirüsün yerine geçer mi? Hayır. Antivirüs ve EPP bilinen tehdidi önler, EDR önlemeyi aşan tehdidi tespit edip müdahaleye imkân verir; ikisi birlikte kullanılır.

Kaynaklar