Uç nokta görünürlüğü neyi kapsar, neyi kapsamaz? Tanım, telemetri türleri, EDR ile farkı ve kör noktaları kapatmak için 4 adımlı başlangıç çerçevesi.
Önemli Çıkarım (Key Takeaways)
Uç nokta görünürlüğü, ağınıza bağlı her cihazın durumunu sürekli görebilme yeteneğidir. Tek seferlik envanter taraması değildir, antivirüs değildir, güvenlik duvarı logu değildir. Saldırgan dakikalar içinde hareket eder. Kör noktayla çalışan kurum ise olaydan aylar sonra haberdar olur.
Bir saldırgan kurum ağına sızdığında ortalama 62 dakikada hedefine doğru ilerler. Buna karşılık kurumlar bir ihlali ortalama 258 gün sonra fark eder ve kontrol altına alır. Aradaki farkın tek nedeni görünürlük. Neyin çalıştığını göremeyen güvenlik ekibi, neyin yanlış gittiğini de göremez.
Endpoint Visibility (Uç Nokta Görünürlüğü) Nedir?
Endpoint visibility, ağınıza bağlı her cihazı gerçek zamanlı keşfetme, izleme ve analiz etme yeteneğidir. Dizüstü bilgisayarlar, masaüstüleri, sunucular, sanal makineler ve uzak iş istasyonları bu kapsama girer. Amaç basit: güvenlik ve IT ekipleri hangi cihazın nerede durduğunu, ne durumda olduğunu ve üzerinde ne çalıştığını anlık bilsin.
Neleri Kapsar?
- Donanım: cihaz modeli, işletim sistemi sürümü, disk ve bellek durumu.
- Yazılım: yüklü programlar, sürüm numaraları ve yetkisiz (gölge IT) yazılımlar.
- Süreçler: çalışan programlar, komut satırı argümanları ve dosya bütünlüğü.
- Yapılandırma: cihaz ayarlarının kurumsal güvenlik taban çizgisiyle karşılaştırması.
- Kullanıcı olayları: oturum açmalar, yetki yükseltmeler ve başarısız denemeler.
- Ağ bağlantıları: aktif bağlantılar, dinlenen portlar ve şüpheli hedefler.
- Yama durumu: hangi cihazda hangi güvenlik açığının kapalı olduğu.
Neyi Kapsamaz?
- Periyodik envanter taraması: üç ayda bir yapılan tarama yalnızca tarama anını gösterir, canlı bir resim vermez.
- Güvenlik duvarı logu: ağ sınırındaki geçişleri gösterir, cihazın içinde olanı göremez.
- Antivirüs: bilinen zararlı imzalarını yakalar, sistem araçlarını kötüye kullanan saldırıları yakalayamaz.
Neden Bu Kadar Önemli?
CrowdStrike 2024 Küresel Tehdit Raporu, etkileşimli saldırılarda ortalama çıkış süresini (breakout time) 62 dakika olarak ölçtü. Saldırgan, ilk erişimden sonra bir saat içinde hedefine ilerliyor. IBM 2024 Veri İhlali Maliyeti Raporu ise bir ihlalin fark edilip kontrol altına alınmasının ortalama 258 gün sürdüğünü gösteriyor. Saldırı dakikalarla, tespit aylarla ölçülüyorsa kör nokta artık kuraldır.
Sophos 2024 raporuna göre kurumların %59’u son bir yılda fidye yazılımı saldırısına uğradı. Fidye yazılımlarının ilk giriş noktası çoğu zaman tek bir görünmez cihazdır. Saldırıyı durdurmanın ilk şartı bu cihazı erken görmektir.
“Saha deneyimimde gördüğüm her ciddi ihlalin arkasında, sahibinin fark etmediği bir cihaz vardır. Görünürlük, güvenliğin veri katmanıdır. O katman yoksa üstündeki hiçbir analiz aracı çalışamaz.”
Sencer Erdem, Kıdemli Uç Nokta Güvenlik Mimarı
Görünürlük, EDR ile Aynı Şey Midir?
Hayır, ama ikisi sık karıştırılır. Görünürlük veri üretir, EDR bu veriyi analiz eder. Görünürlük sensördür, EDR üstündeki analiz ve yanıt katmanıdır. EDR, telemetri üzerinde tespit ve otomatik yanıt kuralları çalıştırır. Veri toplanmıyorsa EDR analiz edecek bir şey bulamaz.
| Özellik | Uç Nokta Görünürlüğü | EDR | Antivirüs |
|---|---|---|---|
| Temel görev | Telemetri toplama ve cihaz durumu | Tespit, analiz ve otomatik yanıt | Bilinen zararlı imzalarını engelleme |
| Süreklilik | Sürekli, gerçek zamanlı | Sürekli | İmza güncellemelerine bağlı |
| Kör noktaları görür mü | Evet | Yalnızca kapsanan cihazlarda | Hayır |
| Saldırıya müdahale | Tek başına hayır | Evet | Sınırlı |
Kör Noktalar Nasıl Oluşur?
- Kapsam dışı cihazlar: VPN kullanmayan uzak çalışanlar, BYOD dizüstü bilgisayarlar ve IoT cihazları.
- Araç siloları: farklı ajanların ürettiği veri birbirine bağlanmayınca bütüncül resim kaybolur.
- Performans baskısı: ağır ajanlar kullanıcı şikayetleri sonrası sessizce kaldırılır. Kaldırılan ajan, sıfır görünürlük demektir.
Görünürlük Nasıl Kurulur? Dört Adım
- Keşfet: GPO veya MDM ile tüm cihazlara sessiz ve otomatik ajan dağıtımı.
- Taban çizgisi: departman bazlı normal çalışma profillerini tanımla.
- İzle: telemetriyi tek bir havuzda topla, sapmaları anlık takip et.
- Eyleme geç: DLP ve yanıt politikalarını görünürlük verisine bağla.
Moftgate ile Tam Uç Nokta Görünürlüğü
Moftgate ajanı uç nokta görünürlüğünü tek bir yerel panelde toplar. Ajan sürekli olarak %5’in altında CPU ve 300 MB’ın altında RAM kullanır. Telemetri kurum içinde (on-premises) kaldığı için KVKK ve GDPR kapsamında veri egemenliği korunur. Görünürlük verisi, DLP, EDR ve yama yönetimi politikalarını besler.
Sıradaki Adım
Kurumunuzdaki kaç cihazın gerçekten görünür olduğunu test edin. Demo talebi ile cihaz kapsamı raporunuzu alın.
15 yılı aşkın kurumsal altyapı güvenliği ve uç nokta mimarisi deneyimi. Bankacılık ve kamu sektörlerinde 100.000’den fazla uç noktanın güvenlik dönüşümünü yönetti.
Uygulayıcılar İçin Uzman Yanıtları
Uç nokta görünürlüğü nedir?
Ağınıza bağlı her cihazın donanım, yazılım, süreç, yapılandırma ve kullanıcı olaylarını sürekli izleme yeteneğidir. Tek seferlik tarama, antivirüs veya güvenlik duvarı logu değildir.
Endpoint visibility ile EDR arasındaki fark nedir?
Görünürlük veri katmanıdır. EDR bu veri üzerinde tespit ve yanıt çalıştırır. Telemetri toplanmıyorsa EDR çalışacak veri bulamaz.
Ajan yüklemeden görünürlük sağlanabilir mi?
Hayır. Ağ taraması gibi ajansız yöntemler cihaz içindeki süreçleri ve dosya değişikliklerini göremez. Tam görünürlük için ajanlı mimari şarttır.
Görünürlük fidye yazılımından nasıl korur?
Fidye yazılımları şifreleme öncesinde keşif ve yetki yükseltme adımları yürütür. Canlı telemetri bu adımları erken fark eder ve cihazı izole etmek için zaman kazandırır.
Resmi Standartlar ve Kaynakça
- •CrowdStrike 2024 Global Threat Report ↗(Etkileşimli saldırılarda ortalama çıkış süresinin 62 dakikaya düştüğünü belgeleyen yıllık rapor.)
- •IBM Cost of a Data Breach Report 2024 ↗(İhlalin fark edilmesi ve kontrol altına alınması için ortalama 258 gün gerektiğini gösteren araştırma.)
- •Sophos State of Ransomware 2024 ↗(Kurumların %59’unun son bir yılda fidye yazılımı saldırısına uğradığını belirten anket.)
- •Palo Alto Networks: Endpoint Detection & Response Fundamentals ↗(EDR mimarisinde sensör telemetrisinin rolü.)