EDR ve XDR'ın Kurumsal Güvenlikteki Yeri
Geleneksel antivirüs, bilinen imzalara dayanır ve "önle" paradigmasını benimser. Ancak sofistike saldırıların %60'ından fazlası antivirüsü atlatır. EDR (Endpoint Detection & Response), bu boşluğu kapatar: Saldırıyı engellemenin ötesinde, gerçekleşen saldırıyı tespit eder, analiz eder ve yanıt verir.
XDR (Extended Detection & Response) ise EDR'ı endpoint'in ötesine taşır: Ağ, e-posta, bulut ve kimlik kaynaklarından gelen verileri birleştirerek daha geniş saldırı zincirlerini görünür kılar.
Bitdefender EDR — Temel Yetenekler
- Sürekli Kayıt: Her endpoint'te dosya oluşturma/silme, süreç başlatma, ağ bağlantısı, kayıt defteri değişikliği gibi tüm sistem aktiviteleri kaydedilir. Bu kayıtlar 90 gün veya daha uzun süre saklanabilir.
- Tehdit Görselleştirme: Bir zararlı yazılımın nasıl yürütüldüğünü, hangi süreçleri oluşturduğunu ve hangi dosyalara eriştiğini ağaç diyagramıyla gösterir.
- Uyarı Önceliklendirme: Makine öğrenimi ile uyarılar kritiklik seviyesine göre puanlanır; SOC analistleri en kritik olaylara odaklanır.
- Soruşturma Araçları: Endpoint'e uzaktan bağlanarak anlık süreç listesi, açık ağ bağlantıları, çalışan servisler görüntülenir; şüpheli dosya hashları VirusTotal'a sorgulanır.
MITRE ATT&CK Çerçevesi Entegrasyonu
Bitdefender EDR, tespit ettiği her aktiviteyi MITRE ATT&CK matrisinin taktik ve teknikleriyle eşleştirir:
- Bir alert geldiğinde hangi ATT&CK taktiğine (Initial Access, Lateral Movement, Exfiltration vb.) karşılık geldiği hemen görünür.
- SOC analistleri ATT&CK bağlamında soruşturma yaparak daha hızlı karar verir.
- Kırmızı takım (Red Team) tatbikat sonuçları ATT&CK teknikleriyle eşleştirilerek savunma açıkları tespit edilir.
Proaktif Tehdit Avlama (Threat Hunting)
Bitdefender EDR, bekleme modunda değil aktif arama modunda çalışır:
- Sorgulama Motoru: SQL benzeri sorgularla tüm endpoint verisi aranır. "Son 30 gün içinde powershell.exe hangi dış IP'lere bağlandı?" gibi sorular yanıtlanabilir.
- Hazır Sorgular: Fidye yazılımı göstergesi, credential dumping, WMI persistence gibi yaygın tehdit senaryolarına yönelik hazır sorgu kütüphanesi.
- Özel Kurallar: Kuruma özgü tehdit senaryoları için YARA kuralı veya özel davranış kuralı yazılabilir.
XDR — Çok Katmanlı Korelasyon
GravityZone Ultra (XDR) şu kaynaklardan veri toplayarak korelasyon yapar:
- Endpoint: Tüm GravityZone sensörleri
- Ağ: Ağ trafiği anomali tespiti
- E-posta: Phishing, zararlı ek ve bağlantı tespiti
- Bulut: AWS, Azure, Google Cloud aktivite logları
- Kimlik: Active Directory ve Azure AD oturum açma anomalileri
Bu kaynaklardan gelen verilerin korelasyonuyla, bir endpoint'teki zararlı yazılımın e-posta yoluyla geldiği, AD'de yetki yükseltme denediği ve bulut depolama üzerinden veri sızdırmaya çalıştığı tek bir olay zinciri olarak görülebilir.
Otomatik Yanıt Eylemleri
- Şüpheli endpoint'i ağdan izole etme (yalnızca GravityZone sunucusuna erişim kalır)
- Zararlı süreçleri sonlandırma
- Dosyaları karantinaya alma ve hashı engelleme
- Kullanıcı hesabını devre dışı bırakma (AD entegrasyonu gerekir)
Sonuç
Bitdefender EDR/XDR, modern SOC ekiplerinin bilinmeyen tehditlere karşı görünürlük ve yanıt hızı kazanmasını sağlar. Lider Network, Bitdefender GravityZone Enterprise/Ultra kurulumu ve SOC entegrasyon danışmanlığında hizmetinizdedir.