Kurumsal Antivirüs ve EDR: Seçim, Kurulum ve Yönetim

Kurumsal antivirüs ve EDR hizmeti, kurumdaki bilgisayar ve sunuculara uygun uç nokta koruma ürününün seçilmesi, merkezî bir konsoldan kurulup yönetilmesi ve konsolun söylediklerinin düzenli olarak okunmasıdır. Antivirüs bilinen tehdidi tanır, EDR (Endpoint Detection and Response) cihazdaki şüpheli davranışı izleyip müdahale eder.

Biz bu işi uçtan uca üstleniyoruz. Ortamınıza uyan ürünü seçip teklifini getiriyor, merkezî konsolu kuruyor, eski üründen boşluk bırakmadan geçiyor ve isterseniz uyarıları sizin yerinize okuyoruz. Bu sayfa siber güvenlik hizmetimizin uç nokta kolu.

Bu kararları nasıl verdiğimizi merak ediyorsanız önce antivirüs ve EDR farkını anlattığımız rehberimizi okuyabilirsiniz. İmzanın neyi kaçırdığını, merkezî konsolun neyi görünür kıldığını ve yanlış pozitifin neden bir karar olduğunu orada ürün adı vermeden yazdık.

Bir hastanede enfeksiyon kontrolü tek bir önlemle yürümez. Bilinen hastalığa karşı aşı yapılır, bilinmeyeni yakalamak için ateş ve belirti takip edilir, şüpheli hasta izolasyon odasına alınır. Yataklı Tedavi Kurumları Enfeksiyon Kontrol Yönetmeliği, bu işi yürüten enfeksiyon kontrol hemşiresine başka görev verilemeyeceğini ayrıca yazar. Uç nokta koruması da aynı katmanlarla çalışır:

• Aşı imzasıyla bilinen tehdidi tanıyan antivirüstür.
• Belirti takibi cihazdaki şüpheli davranışı izleyen EDR’dir.
• İzolasyon odası şüpheli cihazı ağdan ayıran müdahaledir.
• Enfeksiyon kontrol hemşiresi konsolu düzenli okuyan kişidir.

Kurumsal Antivirüs ve EDR Hizmetinde Ne Yapıyoruz, Ne Yapmıyoruz?

Uç nokta korumasında ürün almak işin kısa kısmıdır. Uzun kısım, ürünü bütün cihazlara eksiksiz yaymak, cihazın türüne göre ayarlamak ve söylediğini okumaktır; o yüzden ikisini de kalem kalem yazıyoruz.

Yaptıklarımız:

• Ürün seçimi ve lisans tedariki. Cihaz sayınıza, işletim sistemi karışımınıza ve dizin yapınıza uyan ürünü seçiyor, üreticinin teklifini size getiriyoruz. Lisansı isterseniz biz tedarik ediyoruz.
• Merkezî konsol kurulumu. Yönetim konsolunu kuruyor, ajanı Active Directory üzerinden bütün cihazlara dağıtıyor ve konsoldaki ajan listesini cihaz envanterinizle karşılaştırıyoruz. Bu dağıtımın şartı cihazların domaine bağlı olmasıdır; ajanı cihaz cihaz elle kurmuyoruz. Domain yapınız yoksa işe Active Directory kurulumuyla başlanır.
• Policy grupları. Kullanıcı bilgisayarları, sunucular ve özel iş yükleri için ayrı policy yazıyor, sunucu istisnalarını gerekçesiyle birlikte kayda geçiriyoruz.
• Mevcut üründen geçiş. Eski antivirüsü cihaz grupları hâlinde kaldırıp yenisini aynı pencerede kuruyor, hiçbir cihazı korumasız bırakmıyoruz. Eski ürünün kaldırılması bazı cihazlarda cihaz başında işlem isteyebildiği için bu adımda lokasyondaki Helpdesk ekibinizden destek almamız gerekebilir.
• Yönetilen izleme ve müdahale. Konsolu düzenli okuyor, uyarıları inceliyor ve şüpheli cihazı ağdan ayırıp temizliyoruz.
• Raporlu teslim. Policy’leri, istisnaları, kapsama ölçümünü ve yönetim erişimlerini yazılı olarak devrediyoruz.

Bu işin bittiği yer:

• Dosyanın ağdan geçerken taranması ayrı bir katmandır. Firewall’daki antivirüs dosyayı bilgisayara inmeden yakalar, ama derin denetim yoksa HTTPS’ten ineni, fabrika ayarında da 10 MB’ı aşanı görmez. Bunu FortiGate antivirüs yazımızda ölçtük. NIST iki katmanın birlikte kullanılmasını istiyor, biri ötekinin yerini tutmuyor.
• Cihazın ağa girdikten sonra nereye gidebildiği ayrı bir katmandır. Uç nokta koruması cihazın içine bakar; tanınmayan bir cihazın ağa hiç girememesi ağ erişim kontrolünün konusudur.
• Verinin kurumdan çıkmasını engellemek ayrı bir çözümdür. Antivirüs zararlı yazılımı arar, meşru bir kullanıcının müşteri listesini e-postayla göndermesini durdurmaz; o iş DLP çözümünün konusudur.
• Yaşanmış bir fidye olayının incelenmesi ayrı bir çalışmadır. Konsolumuz olayı görür ve cihazı ayırır; olayın kapsamını çıkaran ve raporlayan müdahale ayrıca planlanır.

Kurumsal Antivirüs mü, EDR mi: Kime Gerekir?

Sahada gördüğümüz uç nokta projeleri çoğunlukla bir sorunun fark edilmesiyle başlıyor. En sık karşılaştığımız durumlar şunlar:

• Antivirüs kurulu ama kaç cihazda güncel olduğu bilinmiyor. Her makinede bir simge var, ama tek ekranda toplanan bir kapsama ve güncellik bilgisi yok.
• Lisans süresi dolmuş ve fark edilmemiş. Tarama motoru çalışmaya devam ediyor, imza güncellemesi ise haftalardır durmuş.
• Ortak bir dosya sunucusu var. Tek bir cihazda başlayan şifreleme, eşlenmiş sürücü üzerinden bütün paylaşıma yürüyebiliyor.
• Bir olay yaşandı ve ne olduğu cevaplanamadı. Antivirüs neyi sildiğini söyledi, o dosyanın cihazda ne yaptığını söylemedi.

Alt sınırı da açıkça çizelim. Birkaç cihazlı, ortak sunucusu olmayan ve kullanıcıların yönetici yetkisiyle çalışmadığı bir ofiste Windows’la birlikte gelen koruma, düzgün yönetildiği sürece çoğu zaman yeterlidir. Hangi işaretlerin EDR’yi gerekli kıldığını rehberimizin karar bölümünde ayrıntısıyla yazdık.

Kurumsal Antivirüste Asıl İş: Kapsama, Güncellik ve Okuyan Kişi

Ürün seçildiğinde kurulumun kolay yarısı bitmiş olur. Uç nokta korumasını çalışır kılan şey ürünün kendisi değil, bütün cihazlarda eksiksiz durması ve söylediğinin okunmasıdır.

Merkezî Konsol: Aşı Kartını Tek Dosyada Toplamak

Hastane her hastanın aşı ve kontrol kaydını tek dosyada tutar; hangi servisin geride kaldığını o dosyadan görür. Merkezî konsol da üç soruyu tek ekranda cevaplar:

1. Kapsama. Envanterdeki hangi cihazda ajan var, hangisinde yok?
2. Güncellik. Hangi cihazın imza veritabanı ne zaman tazelendi?
3. Olay geçmişi. Hangi cihazda ne zaman ne yakalandı?

Kurulumun ilk ölçümü kapsamadır. Konsoldaki ajan listesini cihaz envanterinizle yan yana koyuyoruz; aradaki fark korumasız cihazlarınızın tam sayısıdır. Güvenilir bir envanter yoksa bu ölçüm yapılamaz, çünkü neyin eksik olduğunu gösterecek liste yoktur.

Standart Policy Her Cihaza Uymaz

Yoğun bakım ile poliklinik aynı enfeksiyon protokolünü uygulamaz. Uç nokta policy’si de cihazın türüne göre ayrılır: kullanıcı bilgisayarı, dosya sunucusu ve veritabanı sunucusu ayrı gruplarda durur. Sunucuda veritabanı dosyalarının taranması performansı düşürebildiği için istisna gerekir; her istisna, nereye kadar açıldığı ve neden açıldığı ile birlikte kayda geçer.

Yeni bir policy’yi bütün envantere aynı anda da vermiyoruz. Önce donanım çeşitliliğini temsil eden küçük bir gruba veriyor, birkaç gün izliyor, sonra yayıyoruz. Bu kuralın bir saha hatasından nasıl çıktığını rehberimizde anlattık.

Mevcut Antivirüsten Geçiş: Korumasız Aralık Bırakmamak

Eski üründen yenisine geçişin riski ürünün kendisinde değil, iki ürün arasındaki aralıktadır. İki koruma ürünü aynı cihazda aynı anda çalışınca birbirini engelleyebilir, eskisi erken kaldırılırsa cihaz korumasız kalır.

Kaldırma adımı da sanıldığı kadar kolay değildir. Koruma ürünleri kapatılmaya ve kaldırılmaya karşı kendini kilitler, çünkü aynı işi bir zararlı yazılım da dener; istemcideki ürün bu yüzden kaldırılırken bir yönetici parolası ister. Parola kayıtlı değilse kaldırma, cihazı güvenli modda başlatıp üreticinin verdiği bir araçla yapılır. Geçişi bu iki riske göre üç adımda yürütüyoruz:

1. Cihazları gruplara bölüyor, kritik olmayan grupla başlıyoruz.
2. Her grupta eski ürünün kaldırılmasını ve yeni ajanın kurulmasını aynı pencerede, sırasıyla yapıyoruz. Kaldırma cihaz başında işlem isterse lokasyondaki Helpdesk ekibinizle birlikte çalışıyoruz.
3. Ajanın konsola bağlandığını görmeden bir sonraki gruba geçmiyoruz.

Yönetilen İzleme: Paneli Kim Okuyacak?

Hastanede enfeksiyon kontrol hemşiresine başka görev verilmemesinin sebebi basittir: izleme, başka işlerin arasına sıkıştırıldığında yapılmaz. EDR konsolu da kendi kendine karar vermez; gördüğünü söyler ve orada bekler. Onu düzenli açan bir kişi yoksa ürün satın alınmış ama kurulmamış sayılır.

Benzetmenin koptuğu yer de burası. Bir hastalık belirtisini gizlemek için plan yapmaz; saldırgan ise belirti vermemek için çalışır, bu yüzden tek bir uyarı kolayca gürültüye karışır. Uyarıyı gürültüden ayırmak, aynı cihazın aynı uyarıyı tekrar tekrar üretip üretmediğine bakmayı ister.

Yönetilen izlemede bu okumayı biz yapıyoruz; kendi ekibiniz yapacaksa policy’yi kimin yazacağı, paneli kimin okuyacağı ve uyarıyı kimin kapatacağı kurulumdan önce yazılı olarak belirleniyor.

Kurumsal Antivirüs ve EDR Kurulumunu Nasıl Yapıyoruz?

Sıra, cihazları korumasız bırakma riskinin en düşük olduğu yerden başlar.

1. Uzaktan ön görüşme, ücretsiz. Kaç cihazınız olduğunu, hangi işletim sistemlerini kullandığınızı, bugün hangi ürünün kurulu olduğunu ve lisansının ne zaman bittiğini konuşuyoruz. Görüşmenin sonunda işin mertebesini söylüyoruz.
2. Envanter ve kapsama ölçümü. Cihaz listesini çıkarıyor, bugünkü üründe hangi cihazların korumasız ya da güncel olmadığını ölçüyoruz.
3. Ürün seçimi ve teklif. Ortamınıza uyan ürünü seçiyor, üreticinin teklifini ve kurulum kalemlerini ayrı ayrı getiriyoruz.
4. Konsol ve policy kurulumu. Konsolu kuruyor, policy gruplarını ve sunucu istisnalarını yazıyoruz.
5. Pilot grup. Policy’yi donanım çeşitliliğini temsil eden küçük bir gruba verip birkaç gün izliyoruz.
6. Geçiş. Eski ürünü cihaz grupları hâlinde kaldırıp yenisini kuruyoruz.
7. Doğrulama. Konsoldaki ajan listesini envanterle karşılaştırıyor, zararsız bir test dosyasıyla tespitin konsola düştüğünü görüyoruz.
8. Raporlu teslim. Teslim dosyası yazılı olarak elinize geçer; yönetilen izleme seçildiyse okuma düzeni aynı gün başlar.

Teslim dosyasının içinde şunlar var:

• Kapsama raporu. Envanterdeki her cihazın ajan durumunu ve korumasız kalan cihaz sayısını gösterir.
• Policy grupları. Hangi cihaz grubunun hangi policy’yi aldığını yazar.
• İstisna listesi. Her istisnanın neyi kapsadığını ve neden açıldığını kaydeder.
• Lisans kaydı. Lisans sayısını ve bitiş tarihini belirtir.
• Yönetim erişimleri. Konsolda hangi hesabın hangi yetkiyle durduğunu ve istemcideki ürünün kaldırma parolasının hangi parola kasasında saklandığını listeler.
• Sorumluluk tablosu. Policy’yi kimin yazacağını, paneli kimin okuyacağını ve uyarıyı kimin kapatacağını gösterir.

Sahada Ne Yaptık?

Bu sayfadaki iki tasarım kararı, yani okuyan kişinin kurulumdan önce belirlenmesi ve policy’nin önce küçük bir gruba verilmesi, sahada yaşadığım iki durumdan geliyor.

Daha önce çalıştığım bir kurumda EDR lisansı aldık ve paneline yaklaşık bir hafta sonra uğramaz olduk. Sebep ürün değildi: panelle ilgilenecek kimse atanmamıştı. Girdiğim her seferde uç noktalardaki sorunlar panelde gün gibi duruyordu.

Başka bir seferde bütün envantere verdiğim bir ağ policy’si, farklı ağ kartı modeli olan birkaç dizüstünde internet çıkışını bozdu. İki olayı da rehberimizin yönetim bölümünde ayrıntısıyla yazdım.

Geçişin ve AD şartının neden bu kadar önemli olduğunu ise kendi yürüttüğüm bir antivirüs değişiminde gördüm. Domain yapısı olmayan bir kurumda eski ürünü her cihazın başına gidip güvenli modda kaldırdık ve yenisini aynı ziyarette elle kurduk; Active Directory kurulduktan sonra aynı kurulum tek bir GPO’ya indi. Adımları antivirüs geçiş vakamızda anlattım.

Kapsama ölçümünün ön koşulu güvenilir bir cihaz listesidir. Elle tutulan bir envanteri otomatik toplanan bir envantere taşıdığımız işin nasıl yürüdüğü GLPI envanter sistemi vakamızda duruyor.

Kurumsal Antivirüs ve EDR Fiyatını Ne Belirler?

Bedeli belirleyen iki ayrı kalem var: ürünün lisansı ve onu kuran, yöneten işçilik. Teklifleri karşılaştırırken bakacağınız kalemler şunlar:

• Cihaz sayısı ve türü. Lisans çoğu üründe cihaz başına hesaplanır; sunucu lisansı kullanıcı bilgisayarından ayrı fiyatlanabilir.
• Antivirüs mü, EDR mi? Davranış izleme ve uzaktan izolasyon, imza tabanlı korumadan farklı bir lisans seviyesidir.
• İşletim sistemi karışımı. Windows, Linux ve macOS cihazların birlikte durduğu ortam, tek tip ortamdan fazla policy ister.
• Geçiş. Kaldırılacak eski ürün ve dağıtılacak cihaz sayısı işçiliği doğrudan değiştirir.
• Yönetilen izleme. Konsolun bizim tarafımızdan okunması, kurulumdan ayrı bir abonelik kalemidir.

Teklif toplarken tek bir soru çoğu şeyi ayırır: teklifte konsolu kimin okuyacağı yazılı mı? Yazılı değilse o teklif size bir ürün satıyor, ürünün söylediğini dinleyecek kişiyi ise sonraya bırakıyor demektir.

Sonuç: Aşı, Belirti Takibi ve Nöbet

Uç nokta korumasının ne kadar iyi kurulduğu, ürünün adından değil üç sorunun cevabından anlaşılır: kaç cihazda koruma gerçekten var, kaçı güncel ve bir uyarı çıktığında onu kim okuyor? Üçünün cevabı da kurulumdan önce yazılır.

Sistem ayağa kalktıktan sonra düzeni korumak süreklilik isteyen bir iştir. Yeni cihazlar konsola eklenir, lisans tarihleri izlenir, istisnalar yılda en az bir kez gözden geçirilir. Bunu teslim dosyasıyla kendi ekibiniz sürdürebilir; bize bırakmak isterseniz kurumsal bakım anlaşmasıyla kurulumu yapan ekip izlemeye de devam eder.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn