Antivirüs, EDR ve XDR Platformları

Uç nokta güvenliği son 30 yılda büyük ölçüde gelişmiştir. Geleneksel antivirüs, bilinen kötü amaçlı yazılımları saptamak için imza veritabanlarını kullanıyordu; ancak saldırganlar gizleme ve çok biçimlilik teknikleri geliştirdikçe statik imzalar yetersiz kaldı. Bu durum, çalışan işlemlerin davranış analizine odaklanan Uç Nokta Algılama ve Yanıt (EDR) çözümünün geliştirilmesini sağladı. Daha yakın zamanda Genişletilmiş Algılama ve Yanıt (XDR), birleşik bir tehdit algılama platformu sunmak için uç noktalar, ağlar, Cloud iş yükleri ve Email genelindeki telemetrileri ilişkilendirmeye başladı.

Geleneksel antivirüs (AV), dosyaları belirli kötü amaçlı yazılım örneklerine özgü bayt örüntülerinden oluşan bilinen kötü amaçlı imza veritabanıyla karşılaştırarak çalışır. Bir dosya bir imzayla eşleştiğinde karantinaya alınır veya silinir. AV ayrıca sezgisel analiz (şüpheli kod örüntülerini tarama) ve kapsülleme (şüpheli dosyaları yalıtılmış bir ortamda çalıştırma) kullanır. Temel zayıflığı şudur: AV tepkiseldir. Yeni kötü amaçlı yazılımlar, özellikle dosyasız, çok biçimli veya işletim sisteminin meşru araçlarını kullanan saldırılar, sağlayıcı yeni bir imza ekleyene kadar imza eşleştirmesinden tamamen kaçabilir.

EDR platformları uç nokta etkinliğini sürekli izler ve zengin bir telemetri akışı kaydeder: işlem oluşturma olayları, ağ bağlantıları, dosya sistemi değişiklikleri, kayıt defteri değişiklikleri ve bellek tahsisleri. Bu telemetri, imza tabanlı AV'nin gözden kaçırdığı kötü amaçlı etkinlik örüntülerini saptamak için davranış modelleri ve tehdit istihbaratı kullanılarak analiz edilir. Bir tehdit saptandığında EDR, ana bilgisayarı yalıtabilir, kötü amaçlı işlemleri sonlandırabilir ve inceleme için adli bilişim kanıtlarını (bellek dökümleri, işlem ağaçları) koruyabilir.

EDR, algılamanın ötesinde kritik yanıt yetenekleri sunar. Uzaktan yalıtma, EDR yönetim kanalını açık tutarken güvenliği ihlal edilmiş bir ana bilgisayarın ağ bağlantısını keser. Uzaktan kabuk, analistlerin inceleme amacıyla yalıtılmış ana bilgisayarda komut çalıştırmasına olanak tanır. İşlem sonlandırma, kötü amaçlı işlemleri durdurur. Dosya karantinası, kötü amaçlı dosyaları yalıtılmış bir depoya taşır. Geri alma, desteklenen dosya sistemlerindeki fidye yazılımı şifrelemesini tersine çevirebilir. EDR platformları (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) ayrıca telemetri genelinde proaktif arama yapmak için tehdit avcılığı arayüzleri sunar.

XDR, birden fazla güvenlik katmanından telemetri alıp bunları ilişkilendirerek EDR'nin görünürlüğünü uç noktanın ötesine taşır: uç nokta aracıları, ağ algılama araçları, Email güvenlik ağ geçitleri, kimlik platformları ve Cloud iş yükü sensörleri. XDR, katmanlar arasındaki verileri ilişkilendirerek tek başına bakıldığında zararsız görünen saldırı zincirlerini saptayabilir. Örneğin bir kimlik avı Email'i (Email telemetrisi) → kimlik bilgisi hırsızlığı (kimlik telemetrisi) → yanal hareket (ağ telemetrisi) → veri sızdırma (uç nokta telemetrisi), yalıtılmış araçların birbiriyle ilgisiz dört uyarı oluşturacağı tek bir olaya dönüştürülebilir.

MDR, bir sağlayıcının EDR/XDR teknolojisinin yanı sıra müşterisi adına uyarıları 7/24 izleyen, inceleyen ve bunlara yanıt veren bir analist ekibi sunduğu hizmet modelidir. MDR, yetenek eksikliğini giderir; birçok kuruluş günün her saati görev yapacak bir Güvenlik Operasyonları Merkezi (SOC) kadrosu oluşturamaz. MDR sağlayıcıları genellikle uyarı SLA'larına sahiptir (15 dakika içinde yanıt verme, 1 saat içinde üst seviyeye aktarma) ve tehdit avcılığı ile aylık raporlamayı kapsar. MDR, MSSP (Yönetilen Güvenlik Hizmeti Sağlayıcısı) ile birlikte çalışır; ancak genel güvenlik yönetiminden çok algılama ve yanıta odaklanır.

Her platformun gelişim sürecini anlamak sınavda yardımcı olur. AV: imza + sezgisel algılama, dosya düzeyinde karantina, işletim sisteminin meşru araçlarını kullanan saldırılara ilişkin görünürlük yok. EPP (Uç Nokta Koruma Platformu): tek bir aracı üzerinde AV + güvenlik duvarı + cihaz denetimi. EDR: sürekli davranış telemetrisi, işlem düzeyinde görünürlük, yanıt otomasyonu, tehdit avcılığı. XDR: katmanlar arası ilişkilendirme (uç nokta + ağ + Email + Cloud + kimlik), birleşik uyarı konsolu, yapay zekâ destekli algılama. Günümüzde birçok ürün kendisini "XDR yeteneklerine sahip EDR" olarak pazarlayarak bu ayrımı belirsizleştirir.

Modern EDR/XDR platformları, uyarıları zenginleştirmek ve algılamayı iyileştirmek için tehdit istihbaratı akışlarından yararlanır. Bir uç nokta, Threat Intel akışında bulunan bir IP adresine bağlantı kurduğunda EDR uyarının önem derecesini otomatik olarak yükseltebilir. IOC eşleştirmesi (dosya özetleri, IP adresleri, alan adları), bilinen kötü göstergelerin hızla saptanmasını sağlar. MITRE ATT&CK entegrasyonu, saptanan teknikleri teknik kimlikleriyle (PowerShell için T1059.001) etiketler. Böylece analistler bir tekniğin saldırı yaşam döngüsünün hangi aşamasında yer aldığını ve hangi savunmaların uygulanabileceğini anında anlayabilir.

EDR/XDR kullanımındaki en büyük operasyonel zorluk uyarı yorgunluğudur. İyi ayarlanmamış bir EDR kurulumu, çoğu yanlış pozitif olan günde binlerce uyarı oluşturabilir. Etkili EDR yönetimi şunları gerektirir: bilinen güvenilir davranışlarda (yazılım dağıtım betikleri, IT yönetim araçları) yanlış pozitifleri azaltmak için algılama kurallarını ayarlama, güvenilir işlemler ve yollar için dışlamalar oluşturma ve analistlerin önce yüksek önem dereceli uyarılara odaklanabilmesi için kademeli uyarı önem derecesi kullanma. Her algılama programında uyarıların niteliği, niceliğinden daha değerlidir.

Sofistike saldırganlar EDR algılamasından kaçmak için aktif olarak girişimde bulunur. Yaygın teknikler arasında şunlar bulunur: işlem enjeksiyonu (gizlemek amacıyla explorer.exe gibi meşru işlemlere kötü amaçlı kod enjekte etme), kancaları kaldırma (izlemeyi önlemek için EDR API kancalarını bellekten kaldırma), LOLBins (özet tabanlı algılamadan kaçınmak için güvenilir sistem ikililerini kullanma) ve doğrudan sistem çağrıları (Win32 API katmanını tamamen atlama). Güvenlik ekipleri, denetimlerinin bu teknikleri algıladığını doğrulamak için EDR atlatma benzetimlerini (Atomic Red Team, MITRE Caldera) düzenli olarak çalıştırmalıdır.

Teknolojinin ötesinde, etkili uç nokta güvenliği EDR araçlarının uyguladığı politika kararlarını gerektirir. USB cihaz denetimi, yetkisiz çıkarılabilir ortamları engeller. Uygulama izin listesi, yetkisiz yazılımların çalıştırılmasını önler. Uç noktadaki web içeriği filtreleme, VPN dışındayken bile kötü amaçlı indirmeleri yakalar. Kurcalamaya karşı koruma, yerel yönetici haklarına sahip saldırganların EDR aracısını devre dışı bırakmasını önler. Kuruluşlar ayrıca uç noktalar için kabul edilebilir kullanım politikaları tanımlamalı ve bunları MDM veya Grup İlkesi aracılığıyla uygulamalıdır. Böylece teknik denetimler aşıldığında ikinci bir savunma hattı oluşturulur.

Bu derste ele alınan CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: geleneksel AV imzalara ve sezgisel yöntemlere dayanır; davranışsal veya dosyasız tehditleri saptayamaz. EDR, ana bilgisayar yalıtımı da dâhil olmak üzere sürekli davranış telemetrisi, algılama ve otomatik yanıt sağlar. XDR ise uç nokta, Email, ağ, kimlik ve Cloud katmanlarındaki telemetrileri ilişkilendirerek birleşik olay algılama olanağı sunar ve EDR'nin kapsamını genişletir. Sırada OS güçlendirme tekniklerini ve CIS kıyaslamalarını inceleyeceğiz.