EDR Nedir?

EDR nedir?

EDR, uç nokta tespit ve yanıt anlamına gelen Endpoint Detection and Response ifadesinin kısaltmasıdır. Uç nokta; dizüstü bilgisayar, masaüstü, sunucu gibi ağa bağlı cihazlardır. EDR bu cihazlarda olan biteni sürekli kaydeder ve şüpheli bir zincir gördüğünde uyarı verir.

Klasik antivirüs "bu dosya zararlı mı" sorusuna odaklanır. EDR ise "bu cihazda ne oldu, nasıl oldu ve şimdi ne yapmalıyız" sorularına cevap arar.

Nasıl çalışır?

Cihaza kurulan küçük bir ajan; hangi programın açıldığını, hangi dosyaların değiştiğini ve hangi adreslere bağlanıldığını merkezi bir sisteme gönderir. Bu veriler davranış kurallarıyla ve tehdit istihbaratıyla karşılaştırılır.

Örneğin bir çalışan e-posta ekindeki bir Word belgesini açar. Belge arka planda bir komut satırı başlatır, o da internetten bir dosya indirir.

Tek tek bakıldığında bu adımlar sıradan görünebilir. EDR ise zinciri bir bütün olarak görür ve olayı işaretler. Uyarı dakikalar içinde düşer.

Analist, EDR konsolundan cihazı ağdan izole edebilir, süreci sonlandırabilir ya da dosyayı karantinaya alabilir. Bu müdahale cihazın başına gitmeden, uzaktan yapılır.

Nelere dikkat etmeli?

EDR, uyarıları izleyecek bir ekip ya da hizmet olmadan tam değer üretmez. Küçük kurumlar bu yüzden EDR'yi çoğu zaman yönetilen bir hizmetle, yani MDR ile birlikte kullanır. Ajanların tüm cihazlarda kurulu ve güncel olması gerekir, çünkü korumasız tek bir cihaz zayıf halkadır.

Daha geniş kapsamlı bir yaklaşım için XDR maddesine bakabilirsiniz.