Güvenlik araçlarına yapılan yoğun yatırımlara rağmen kurumların %60’ı kör noktalarla çalışıyor. Uç nokta görünürlüğünün gerçek tanımını, ajan mimarisi tercihlerini, ISO 27001 / KVKK uyum eşleşmelerini ve 4 adımlı uygulama çerçevesini inceliyoruz.
Önemli Çıkarım (Key Takeaways)
Uç nokta görünürlüğü tek seferlik bir denetim, güvenlik duvarı logu veya antivirüs taraması değildir. Ağa bağlı her cihazın donanım, yazılım, çalışan süreç, yapılandırma ve kullanıcı olaylarının kesintisiz (sürekli) telemetri ile canlı izlenmesidir.
Arctic Wolf 2025 Siber Güvenlik Eğilimleri Raporu’na göre, güvenlik liderlerinin yalnızca %40’ı kurumunda %100 uç nokta kapsamına ulaştığını ve bunu koruyabildiğini söylüyor. Yani kurumların %60’ı, kör noktaları olduğunu bile bile riskle çalışıyor.
1. Uç Nokta Görünürlüğü (Endpoint Visibility) Nedir?
Uç nokta görünürlüğü; dizüstü, masaüstü bilgisayarlar, sunucular, sanal makineler ve uzaktaki iş istasyonları dahil ağınıza bağlı her aygıtı anlık olarak keşfetme, durumunu izleme ve analiz etme yeteneğidir. Amaç, IT ve siber güvenlik ekiplerinin hangi cihazın nerede olduğunu, anlık sağlık durumunu ve üzerinde tam olarak ne çalıştığını saniye saniye bilmesidir.
Tam Bir Görünürlük Neleri Kapsar?
- Donanım Envanteri: Marka, model, işletim sistemi sürümü, işlemci/RAM yükü, disk sağlığı ve takılı harici çevre birimleri.
- Yazılım Envanteri: Yüklü tüm programlar, sürüm numaraları, lisans durumu ve yetkisiz (gölge IT) yazılımlar.
- Süreç ve Bellek Faaliyetleri: Çalışan prosesler, tam komut satırı argümanları, ebeveyn-çocuk proses soybağı (ancestry) ve dosya hash değerleri.
- Yapılandırma Duruşu: Belirlenmiş kurumsal güvenlik taban çizgisi (baseline) ile mevcut cihaz ayarlarının karşılaştırması.
- Kullanıcı Kimlik Doğrulama Olayları: Başarılı/başarısız oturum açmalar, yetki yükseltmeler (privilege escalation) ve oturum süreleri.
- Ağ Bağlantıları: Aktif soketler, dinlenen portlar ve harici şüpheli IP hedefleri.
- Yama ve Zafiyet Durumu: Hangi cihazda hangi CVE açığının bulunduğu ve eksik güvenlik yamaları.
Uç Nokta Görünürlüğü Ne DEĞİLDİR?
- Dönemsel Denetim Değildir: Üç ayda bir yapılan envanter taraması yalnızca tarama anını gösterir; yaşayan bir görünürlük sağlamaz.
- Güvenlik Duvarı (Firewall) Logu Değildir: Ağ çevre logları sadece sınır geçişlerini gösterir, bilgisayarın içinde hangi prosesin belleğe ne yazdığını bilemez.
- Klasik Antivirüs Taraması Değildir: Antivirüs yalnızca bilinen zararlı imzalarını arar; Living-off-the-Land (meşru sistem araçlarının kötüye kullanımı) saldırılarını veya yetki aşımını tespit edemez.
2. Araç Çokluğuna Rağmen Neden Kör Noktalar Oluşur?
Kurumların çoğunda EDR, yama yönetimi, DLP ve envanter için 4-5 farklı ajan çalıştırılır. Ancak araç sayısının artması güvenliği artırmak yerine veri siloları ve kör noktalar doğurur.
| Kör Nokta Nedeni | Operasyonel Etki | Saha Deneyimi & Risk |
|---|---|---|
| Araç Enflasyonu (Tool Sprawl) | Birbirinden yalıtılmış telemetri havuzları | Analistler tehdit incelemek yerine 4 farklı konsol arasında log eşleştirmekle zaman kaybeder. |
| Ajan Çakışmaları & Exclusion | Ajanların birbirini tarama dışı bırakması | Sahada sıklıkla EDR ile DLP ajanının birbirinin proseslerini hariç tuttuğu (exclusion) ve kör nokta yarattığı görülür. |
| Performans Baskısı | Ajanların IT ekiplerince devre dışı bırakılması | %30+ CPU tüketen hantal ajanlar kullanıcılardan şikayet alınca sessizce kaldırılır veya kısıtlanır. |
| Uzaktan Çalışma & BYOD | Şirket ağı dışındaki görünmez cihazlar | Kurumsal VPN’e girmeyen ev kullanıcıları ağ tabanlı tarayıcılara hiçbir telemetri göndermez. |
3. Kimsenin Bahsetmediği Ajan Mimarisi Gerçeği
Uç nokta görünürlüğünde başarıyı belirleyen en kritik unsur ajan mimarisidir. Bilgisayarı yavaşlatan veya kernel düzeyinde çökme riski taşıyan bir ajan, ne kadar özellikli olursa olsun sahada tutunamaz.
“Kullanıcının bilgisayarını yavaşlatan ağır bir ajan eninde sonunda IT tarafından kapatılır. Kapatılmış bir ajan ise sıfır görünürlük demektir.”
Sencer Erdem, Kıdemli Uç Nokta Güvenlik Mimarı
Üretim Düzeyinde İdeal Ajan Standartları
Sürdürülebilir bir görünürlük için ajan sustained olarak <%5 CPU ve <300MB RAM tüketmelidir. Windows çekirdeğini (kernel ring 0) istikrarsızlaştırmayan güvenli kullanıcı modu mimarisi benimsenmeli ve 15 dakikada Active Directory GPO veya MDM ile dağıtılabilmelidir.
Veri Egemenliği: On-Premises ve Bulut Telemetrisi Karşılaştırması
KVKK ve GDPR kapsamında çalışan cihazlardan toplanan kimlik doğrulama, proses ve dosya erişim logları kişisel veri niteliğindedir. Bulut tabanlı çözümler bu hassas verileri yurt dışındaki sunuculara taşır. %100 yerel (On-Premises) mimaride ise telemetri kurumun içinde kalır, yasal veri aktarım riski de ortadan kalkar.
4. Görünürlüğün Diğer Güvenlik Katmanlarına Etkisi
- DLP (Veri Sızıntısı Önleme): Görünür olmayan bir uç noktada USB engelleme veya bulut yükleme kısıtlaması uygulanamaz. Tam görünürlük, veri kaçırma yollarını kapatır.
- DSPM (Veri Güvenliği Duruş Yönetimi): Hassas verinin hangi bilgisayarda, hangi klasörde saklandığını keşfetmek uç nokta telemetrisiyle mümkündür.
- SSPM (SaaS Güvenlik Postürü): Uç nokta telemetrisi, SaaS uygulamalarına giden veri akışını ve riskli OAuth bağlantılarını görmenizi sağlar.
5. Dört Adımda Uç Nokta Görünürlüğü Uygulama Planı
| Aşama | Temel Eylem | Kritik Başarı Ölçütü |
|---|---|---|
| 1. Keşfet (Discover) | GPO/MDM ile sessiz ve tam otomatik ajan dağıtımı | Kurumdaki tüm cihazlarda %100 kapsama ulaşmak (manuel tablo yok) |
| 2. Taban Çizgisi (Baseline) | Departman bazlı normal çalışma profillerinin çıkarılması | Geliştirici, finans ve sunucu cihazlarının beklenen durumlarının tanımlanması |
| 3. Sürekli İzle (Monitor) | Anlık telemetri, FIM ve oturum takibi | Sapmaların ve şüpheli Living-off-the-Land komutlarının anında tespiti |
| 4. Eyleme Geç (Act) | Otomatik yama dağıtımı ve uzaktan cihaz izolasyonu | Kritik güvenlik yamalarının 72 saat içinde en az %98 oranında uygulanması |
6. Regülasyon ve Uyumluluk Eşleşmesi
Uç nokta görünürlüğünü uluslararası standartlar ve yerel kanunlar da doğrudan şart koşar:
| Standart / Kanun | İlgili Madde / Kontrol | Uç Nokta Görünürlüğü Çözüm Karşılığı |
|---|---|---|
| ISO 27001:2022 | A.8.1 (Kullanıcı Uç Nokta Cihazları) | Canlı donanım/yazılım envanteri ve güvenlik duruş takibi. |
| ISO 27001:2022 | A.8.9 (Yapılandırma Yönetimi) | Taban çizgisinden sapmaların (Configuration drift) otomatik tespiti. |
| ISO 27001:2022 | A.8.15 & A.8.16 (Kayıt Tutma ve İzleme) | Proses yürütme, dosya değişiklikleri ve oturum açma logları. |
| SOC 2 Type II | Sürekli Kontrol Etkinliği Kanıtı | Gözlem süresi boyunca kesintisiz şifreleme, yama ve EDR çalıştırma kanıtı. |
| KVKK & GDPR | Veri Güvenliği ve Yerellik (Madde 12 / 46) | Telemetrinin kurum bünyesinde kalması ve kişisel veri erişim loglarının saklanması. |
15 yılı aşkın kurumsal altyapı güvenliği, tersine mühendislik ve DLP mimarisi deneyimi. Bankacılık, savunma ve kamu sektörlerinde 100.000’den fazla uç noktanın yerel ve kapalı devre güvenlik dönüşümünü yönetti.
Uygulayıcılar İçin Uzman Yanıtları
Uç nokta görünürlüğü ile EDR arasındaki fark nedir?
Uç nokta görünürlüğü sistemin veri ve duyu katmanıdır (envanter, prosesler, konfigürasyon, portlar). EDR ise bu görünürlük verisi üzerinde analiz yaparak saldırı tespit ve otomatik müdahale kurallarını çalıştıran üst katmandır. Görünürlük olmadan EDR çalışamaz.
Ajan yüklemeden (agentless) tam uç nokta görünürlüğü elde edilebilir mi?
Hayır. Ajansız yöntemler (ağ taraması, SNMP, pasif dinleme) IoT ve yazıcılar için faydalıdır ancak bilgisayar içindeki çalışan proses argümanlarını, dosya bütünlük değişikliklerini ve ağa çıkmayan işlemleri göremez. Güvenlik için ajanlı mimari şarttır.
Uç nokta görünürlüğü fidye yazılımlarını (ransomware) nasıl engeller?
Fidye yazılımları şifreleme öncesinde keşif, yetki yükseltme ve gölge kopya silme adımlarını yürütür. Canlı telemetri, komut satırı anomalilerini ve FIM dosya değişikliklerini şifreleme başlamadan dakikalar içinde tespit edip makineyi izole eder.
Moftgate ajanı uç noktalarda performans kaybına yol açar mı?
Hayır. Moftgate ajanı yerel C/C++ mimarisiyle derlenmiştir. Java veya sanal makine katmanı içermez. Sustained olarak <%5 CPU ve <300MB RAM tüketerek kullanıcıların iş akışını kesinlikle etkilemez.
Resmi Standartlar ve Kaynakça
- •Arctic Wolf 2025 State of Cybersecurity Trends Report ↗(Kurumların yalnızca %40’ının tam uç nokta kapsamına sahip olduğunu belgeleyen resmi araştırma.)
- •ISO/IEC 27001:2022 Information Security Controls (Annex A) ↗(A.8 Teknolojik Kontroller: Uç nokta cihazları, yapılandırma ve loglama gereksinimleri.)
- •SentinelOne Technical Guide: Agent vs. Agentless Security ↗(Ajanlı ve ajansız mimarilerin derinlemesine teknik yetenek karşılaştırması.)
- •Palo Alto Networks: Endpoint Detection & Response Fundamentals ↗(EDR mimarisinde sensör telemetrisinin rolü.)
- •KVKK ve GDPR Uç Nokta Veri İşleme Prensipleri - Vircon Legal ↗(Uç nokta telemetrisinde veri minimizasyonu ve sınır ötesi veri aktarım şartları.)