EDR nedir, antivirüs artık yetmiyor mu? Uç nokta güvenliğinde yeni dönem

EDR (uç nokta tespit ve müdahale, endpoint detection and response), her bilgisayarda ve sunucuda olup biteni sürekli kaydeden, zararlı dosyaya değil davranışa bakarak şüpheli hareketi yakalayan ve gerektiğinde o cihazı ağdan koparabilen bir güvenlik katmanıdır. Klasik antivirüsten temel farkı yalın: antivirüs bilinen zararlı dosyaları imza eşleştirmeyle kapıda durdurur, EDR ise kapıdan geçeni yakalayıp yayılmadan önce yanıt verir. Başlıktaki sorunun kısa cevabı şu: antivirüs hâlâ gerekli bir taban, ama tek başına yetmiyor. CrowdStrike'ın 2025 raporuna göre 2024'te tespit edilen saldırıların %79'u hiç zararlı dosya kullanmadı, yani imza arayan bir antivirüsün göremeyeceği türden. İkisi rakip değil, birbirini tamamlar.

Antivirüs nasıl çalışır, neden tek başına yetmez?

Klasik antivirüs bir imza veritabanına dayanır: bilinen her zararlının parmak izini tutar, taradığı dosyayı bu listeyle karşılaştırır, eşleşme bulursa engeller. Bilinen tehditlere karşı hızlı ve ucuzdur. Ama saldırganlar yıllardır bu modelin etrafından dolaşıyor. Bugün en yaygın yöntem dosyasız (fileless) saldırılar: zararlı kod diske hiç yazılmadan doğrudan bellekte çalışır, ya da PowerShell ve WMI gibi sistemin kendi meşru araçları kötüye kullanılır (living off the land). Ortada imza eşleştirilecek bir dosya yoktur. CrowdStrike'ın verisinde zararlısız tespitlerin oranı 2019'da %40 iken 2024'te %79'a çıktı. Saldırganlar çoğu zaman parola da kırmıyor; çalınmış kimlik bilgisiyle meşru bir kullanıcı gibi giriş yapıyor, antivirüs de bu girişi gayet "normal" görüyor.

EDR tam olarak ne yapar?

EDR farklı bir soru sorar. "Bu dosya zararlı mı?" değil, "bu cihazda olan şey normal mi?" Her uç noktada süreçleri, ağ bağlantılarını, kayıt defteri değişikliklerini ve dosya hareketlerini sürekli kaydeder, sonra davranışa bakar. Bir Word belgesi neden bir PowerShell komutu başlattı? Bir kullanıcı hesabı neden gece 3'te yüzlerce dosyayı arka arkaya şifreliyor? Bunların hiçbiri tek başına zararlı bir dosya değil, ama örüntü olarak saldırıya benziyor. EDR böyle bir örüntü gördüğünde yalnızca uyarı üretmez; çoğu platform otomatik yanıt verebilir, en tipik olarak etkilenen cihazı ağdan izole ederek tehdidin yanal yayılmasını (lateral movement) durdurur. Kayıt tutma kısmı da bir o kadar önemli: bir olaydan sonra saldırganın hangi adımları attığını geriye dönük izleyebilirsiniz, ki bu bir fidye yazılımı olayında kurtarmanın yarısıdır.

Neden hız her şeyi belirliyor?

Antivirüsten EDR'a geçişin asıl nedeni zaman. CrowdStrike'ın ölçtüğü "breakout time", yani saldırganın ilk girdiği cihazdan ağın geri kalanına sıçraması için geçen ortalama süre 2024'te 48 dakikaya indi; gözlemlenen en hızlı sıçrama yalnızca 51 saniyeydi. Bu pencerede olayı insan eliyle yakalamak çoğu zaman mümkün değil. Önleme katmanı tek başına yeterli olsaydı EDR'a gerek kalmazdı, ama bir şey er ya da geç içeri sızar ve o an önemli olan onu ne kadar hızlı görüp durdurabildiğinizdir. EDR'ın otomatik izolasyonu tam da bu 48 dakikayı kısaltmak için vardır.

EPP, NGAV, EDR, XDR, MDR: terim karmaşasını çözmek

Piyasa bu alanı bir alfabe çorbasına çevirdi; birkaç terimi ayırmak seçim yapmayı kolaylaştırır. EPP (uç nokta koruma platformu) önleme katmanıdır ve bugün genellikle NGAV'ı (yeni nesil antivirüs) içerir: imza yerine makine öğrenmesi ve davranış analiziyle bilinmeyen zararlıyı da durdurmaya çalışır. EDR bunun üstüne tespit ve müdahaleyi ekler. XDR (genişletilmiş tespit ve müdahale) aynı mantığı uç noktayla sınırlamaz; e-posta, ağ, kimlik ve bulutu tek bir panoda birleştirir. MDR (yönetilen tespit ve müdahale) ise bir teknoloji değil, bir hizmettir: EDR'ınızı 7/24 izleyen dış bir güvenlik ekibi. Modern ürünlerin çoğu NGAV ve EDR'ı tek bir ajanda birleştiriyor, yani "antivirüs mü EDR mı" ikilemi pratikte artık çoğu zaman "ikisi bir arada" oluyor.

EDR satın almak yetmez, birinin izlemesi gerekir

En sık yapılan hata tam burada. EDR bir "kur ve unut" ürünü değildir; sürekli uyarı üretir ve bu uyarıların birileri tarafından incelenmesi gerekir. Küçük bir şirkette BT ekibi yoksa ya da tek kişiyse, pano dolar ama kimse bakmaz, tek kritik uyarı yüzlerce önemsiz uyarının arasında kaybolur. Bu yüzden MDR hizmeti KOBİ'ler için çoğu zaman EDR'ın kendisinden daha mantıklıdır: aracı siz kurarsınız, izlemeyi ve gece yarısı gelen alarmda cihazı izole etme kararını uzman bir ekip üstlenir. Arkasında onu okuyacak biri olmadan EDR almak, kurup hiç bakmadığınız bir güvenlik kamerası gibidir.

Şirketiniz için doğru seçim

Bütçe genellikle sanıldığı kadar engel değil; EDR ve NGAV lisansları bugün genellikle uç nokta başına aylık birkaç dolar ile birkaç on dolar arasında değişiyor. Karar verirken birkaç şeye bakın: ürün NGAV önlemesini ve EDR tespitini tek ajanda veriyor mu; fidye yazılımına karşı otomatik izolasyon ve geri alma (rollback) sunuyor mu; uyarıları sizin yerinize izleyecek bir MDR seçeneği var mı; toplanan kayıtlar ne kadar süre saklanıyor (geriye dönük inceleme için önemli). Uç nokta güvenliği tek başına bir çözüm değil, sıfır güven yaklaşımının bir parçasıdır; ancak kimlik, cihaz ve erişim katmanlarıyla birlikte tam anlamını kazanır.

Antivirüsü EDR ile değiştirmek bir ürün değişiminden çok, "bir şey içeri girecek" gerçeğini kabul edip buna göre hazırlanmaktır. Wedevit olarak mevcut uç nokta korumanızı gözden geçirir, hâlâ yalnızca imza tabanlı antivirüse bağlı cihazları belirler, işletmenizin büyüklüğüne uygun EDR ya da MDR modelini kurgular ve fidye yazılımı senaryosuna göre otomatik izolasyon kurallarını yapılandırırız. Somut ilk adım: sunucularınızda ve kritik iş istasyonlarınızda bugün hangi korumanın çalıştığını ve o uyarılara kimin baktığını yazılı olarak çıkarmak.