EDR nedir? Bu soru, son yıllarda IT yöneticilerinin en çok sorduğu sorulardan biri haline geldi. Çünkü geleneksel antivirüs çözümleri, modern siber tehditlere karşı artık yetersiz kalıyor. Gartner'ın tanımıyla EDR (Endpoint Detection and Response), uç nokta cihazlarındaki şüpheli aktiviteleri tespit eden, analiz eden ve otomatik müdahale eden gelişmiş güvenlik teknolojisidir.
Bu yazıda EDR nedir sorusunu detaylıca cevaplarken, antivirüs ile EDR arasındaki 7 kritik farkı gerçek senaryolarla açıklıyoruz. Eğer hâlâ "antivirüsümüz var, güvendeyiz" diye düşünüyorsanız, bu yazı sizin için.
"Antivirüs kapıya kilit takmak gibidir. EDR ise 7/24 güvenlik kamerası, alarm sistemi ve hızlı müdahale ekibi bir arada."
📋 Bu Yazıda
- EDR Nedir? Temel Tanım
- Antivirüs vs EDR: Karşılaştırma Tablosu
- Fark 1: Tespit Yöntemi
- Fark 2: Müdahale Kapasitesi
- Fark 3: Görünürlük
- Fark 4: Tehdit Avcılığı
- Fark 5: Olay Sonrası Analiz
- Fark 6: Otomatik Yanıt
- Fark 7: Entegrasyon
- Ne Zaman EDR'a Geçmeli?
- Uç Nokta Güvenliği EDR Nasıl Çalışır?
- EDR Sistemi Nasıl Kurulur?
- 2026 Yılında EDR Teknolojilerinde Öne Çıkan Trendler
- EDR Çözümleri ve Uyumluluk Gereksinimleri
- EDR Uygulamasında Dikkat Edilmesi Gerekenler
- Sıkça Sorulan Sorular
EDR Nedir? Temel Tanım
EDR nedir sorusunun kısa cevabı: Endpoint Detection and Response (Uç Nokta Tespit ve Müdahale). Bilgisayarlar, laptoplar, sunucular ve mobil cihazlar gibi uç noktalardaki güvenlik olaylarını tespit eden, analiz eden ve bunlara otomatik veya manuel müdahale eden bir güvenlik teknolojisidir.
Peki EDR nedir ve antivirüsten ne farkı var? Antivirüs, bilinen tehditleri imza veritabanıyla eşleştirerek engeller. EDR ise davranış analizi yaparak bilinmeyen tehditleri de tespit eder, şüpheli aktiviteleri izler ve saldırı durumunda otomatik müdahale eder.
EDR'ın Temel Bileşenleri:
✅ Endpoint: Korunan cihazlar (bilgisayar, sunucu, mobil)
✅ Detection: Tehdit tespiti (davranış analizi, anomali tespiti)
✅ Response: Otomatik müdahale (izolasyon, karantina, temizleme)
EDR Nedir ve Antivirüsten Farkı: Karşılaştırma Tablosu
EDR nedir ve antivirüsle arasındaki farkları anlamanın en kolay yolu karşılaştırma tablosuna bakmaktır:
| Özellik | Antivirüs | EDR |
|---|---|---|
| Tespit Yöntemi | İmza tabanlı | Davranış tabanlı + İmza |
| Bilinmeyen Tehditler | Tespit edemez | Tespit eder |
| Müdahale | Sadece engelle/sil | İzole et, analiz et, kök neden bul |
| Görünürlük | Tek cihaz | Tüm ağ |
| Tehdit Avcılığı | Yok | Proaktif tarama |
| Forensic Analiz | Sınırlı log | Detaylı timeline |
| Otomatik Yanıt | Manuel müdahale | Playbook'lar, SOAR |
| Entegrasyon | Bağımsız | SIEM, Firewall, Cloud |
Şimdi bu farkları gerçek senaryolarla inceleyelim:
Tespit Yöntemi: İmza vs Davranış
❌ Antivirüs
Sadece bilinen tehditleri tanır. Virüs imzası veritabanında yoksa tespit edemez. Zero-day saldırılarına karşı savunmasız.
✅ EDR
Davranış analizi yapar. "Bu program neden gece 3'te tüm dosyaları şifreliyor?" gibi anormal aktiviteleri tespit eder. Bilinmeyen tehditleri de yakalar.
🎬 Senaryo: Zero-Day Fidye Yazılımı
Yeni bir fidye yazılımı çıktı, henüz hiçbir antivirüs veritabanında yok. Çalışan bir e-posta ekini açtı. Antivirüs "temiz" dedi. 30 dakika sonra tüm dosyalar şifrelendi.
🔒 EDR Olsaydı
EDR, programın anormal davranışını tespit ederdi: "Bilinmeyen bir process, toplu dosya şifreleme başlattı." Otomatik olarak process'i durdurup cihazı izole ederdi. Hasar: 0 dosya.
Müdahale Kapasitesi: Engelle vs Müdahale Et
❌ Antivirüs
Tehdit tespit edilirse sadece engeller veya siler. Saldırı nasıl başladı? Başka cihazlara sıçradı mı? Bu soruların cevabı yok.
✅ EDR
Cihazı anında ağdan izole eder. Saldırı zincirini analiz eder. Kök nedeni bulur. Tüm etkilenen cihazları tespit eder.
🎬 Senaryo: Fidye Yazılımı Yayılması
Muhasebe bilgisayarında fidye yazılımı tespit edildi. Antivirüs dosyayı sildi. Ama yazılım zaten ağdaki 15 bilgisayara daha sıçramıştı. 2 saat sonra tüm şirket kilitlendi.
🔒 EDR Olsaydı
İlk tespit anında cihaz ağdan izole edilirdi. Lateral movement (yatay yayılma) analizi yapılırdı. Diğer 15 cihaz, yazılım aktif olmadan temizlenirdi.
Görünürlük: Tek Cihaz vs Tüm Ağ
❌ Antivirüs
Her cihaz bağımsız çalışır. A bilgisayarındaki tehdit, B bilgisayarını ilgilendirmez. Merkezi görünürlük yok.
✅ EDR
Tüm uç noktalar tek panelden izlenir. Bir cihazda tespit edilen tehdit, otomatik olarak tüm ağda aranır. Korelasyon analizi yapılır.
🎬 Senaryo: APT Saldırısı
Saldırgan, IT yöneticisinin bilgisayarına sızdı. Oradan Active Directory'ye erişti. 50 farklı cihazda backdoor kurdu. Her cihazın antivirüsü kendi başına çalıştığı için kimse büyük resmi göremedi.
🔒 EDR Olsaydı
Merkezi dashboard, anormal bağlantı paternlerini tespit ederdi. "IT yöneticisi bilgisayarından 50 cihaza aynı anda bağlantı" alarmı tetiklenirdi. Tüm backdoor'lar tek seferde temizlenirdi.
Tehdit Avcılığı: Reaktif vs Proaktif
❌ Antivirüs
Sadece reaktif çalışır. Tehdit gelene kadar bekler. Gizli tehditler aylarca fark edilmez.
✅ EDR
Proaktif tehdit avcılığı (Threat Hunting). Güvenlik ekibi, sistemlerde gizli tehditleri aktif olarak arar. IOC (Indicators of Compromise) taraması yapar.
🎬 Senaryo: 6 Aydır Sistemde Gizlenen Saldırgan
Şirket, bir veri sızıntısı yaşadığını 6 ay sonra öğrendi. Saldırgan, düşük profilli kalarak aylarca veri çalmıştı. Antivirüs hiçbir alarm vermemişti çünkü "bilinen" bir tehdit yoktu.
🔒 EDR Olsaydı
Haftalık tehdit avcılığı taramalarında, anormal veri çıkış paternleri tespit edilirdi. "Her gece 02:00'de 500 MB veri dışarı çıkıyor" anomalisi yakalanırdı.
Olay Sonrası Analiz: Log Yok vs Forensic
❌ Antivirüs
Sınırlı log tutar. "Virüs bulundu, silindi." Saldırı nasıl başladı? Kim sorumlu? Hangi veriler etkilendi? Cevap yok.
✅ EDR
Detaylı forensic timeline. Her process, her dosya erişimi, her ağ bağlantısı kayıt altında. Saldırı zinciri baştan sona görülebilir.
🎬 Senaryo: KVKK Denetimi
Şirket veri ihlali yaşadı. KVKK denetçisi sordu: "Saldırı nasıl gerçekleşti? Hangi veriler sızdı? Ne zaman başladı?" Antivirüs logları: "Trojan.Generic silindi." Başka bilgi yok. Ceza: 2.000.000 TL.
🔒 EDR Olsaydı
Detaylı timeline raporu sunulurdu: İlk erişim zamanı, etkilenen dosyalar, saldırı vektörü, alınan önlemler. KVKK'ya tam uyumluluk. Ceza: Minimum veya yok.
Otomatik Yanıt: Manuel vs Playbook
❌ Antivirüs
Tehdit tespit edildiğinde IT ekibini bekler. Gece veya hafta sonu saldırı olursa? Pazartesiye kadar yayılır.
✅ EDR
Önceden tanımlanmış playbook'lar çalışır. "Fidye yazılımı tespit edilirse: 1) Cihazı izole et 2) Process'i durdur 3) IT'yi bilgilendir." 7/24 otomatik koruma.
🎬 Senaryo: Cumartesi Gece 03:00 Saldırısı
Saldırgan, IT ekibinin olmadığı cumartesi gece 03:00'te saldırdı. Antivirüs uyarı verdi ama kimse görmedi. Pazartesi sabahı herkes geldiğinde, 200 bilgisayar şifrelenmişti.
🔒 EDR Olsaydı
Otomatik playbook devreye girerdi: İlk cihaz izole edilir, şüpheli process durdurulur, IT yöneticisine SMS/arama gider. Pazartesi sabahı: "Saldırı girişimi engellendi" raporu.
Entegrasyon: Bağımsız vs Ekosistem
❌ Antivirüs
Kendi başına çalışır. Firewall ile konuşmaz, SIEM'e veri göndermez. Siber güvenlik ekosisteminde yalnız.
✅ EDR
SIEM, SOAR, Firewall, Cloud Security ile entegre çalışır. Tehdit istihbaratı paylaşır. Koordineli savunma sağlar.
🎬 Senaryo: Koordineli Saldırı
Saldırgan, önce phishing e-postası gönderdi (e-posta güvenliği atladı), sonra malware indirtti (antivirüs tanımadı), ardından firewall'u bypass etti. Her sistem kendi başına düşündüğü için kimse bağlantıyı kuramadı.
🔒 EDR Olsaydı
EDR, e-posta güvenliği ve firewall ile entegre çalışırdı. Korelasyon: "Aynı IP'den gelen e-posta → indirilen dosya → şüpheli ağ trafiği" = Koordineli saldırı! Tüm sistemler eş zamanlı bloklar.
EDR Nedir Anladık, Peki Ne Zaman Geçmeli?
EDR nedir ve antivirüsten farkları artık net. Peki şirketiniz EDR'a geçmeli mi? Aşağıdaki soruları cevaplayın:
- 50'den fazla bilgisayar/sunucu var mı? → Merkezi yönetim şart
- Uzaktan çalışanlarınız var mı? → Ofis dışı cihazlar risk altında
- Müşteri/finansal veri işliyor musunuz? → KVKK uyumluluğu gerekli
- Son 1 yılda güvenlik olayı yaşadınız mı? → Mevcut koruma yetersiz
- 7/24 IT ekibiniz yok mu? → Otomatik müdahale şart
- Fidye yazılımı riski endişesi var mı? → Davranış analizi gerekli
⚠️ Karar Kriteri
Bu sorulardan 3 veya daha fazlasına "Evet" cevabı verdiyseniz, antivirüs artık yeterli değil. EDR'a geçiş zamanı gelmiş demektir.
Uç Nokta Güvenliği EDR Nasıl Çalışır?
Uç nokta güvenliği EDR çözümlerinin temel çalışma prensibi, her cihaza hafif bir ajan (agent) yazılımı yükleyerek işletim sistemi seviyesinde süreç, ağ bağlantısı, dosya değişikliği ve kayıt defteri operasyonlarını izlemektir. Ajan topladığı verileri merkezi bir yönetim konsoluna iletir; burada makine öğrenmesi algoritmaları ve kural motorları olayları korelasyon yapar.
Örnek bir senaryoda: Kullanıcı zararlı bir eklenti açar, eklenti beklenmeyen bir PowerShell komutu başlatır ve bu komut şifrelenmiş dosyalar oluşturmaya başlar. EDR sistemi şu adımları takip eder:
- Veri Toplama Ajan, süreç ağacını, komut satırı parametrelerini ve ağ trafiğini loglar.
- Korelasyon Merkezi motor bu süreci benzer tehdit istihbaratıyla eşleştirir (ör. bilinen ransomware komut kalıpları).
- Alarm Üretme Risk skoru belirli eşiğin üzerine çıkarsa yüksek öncelikli alarm oluşturulur.
- Otomatik Müdahale Politika gereği EDR ilgili süreci sonlandırır, ağ bağlantısını keser ve dosya değişikliklerini geri alır (snapshot özelliği varsa).
- Analiz & Raporlama Olay zaman çizelgesi, etkilenen dosyalar ve süreç grafiği SOC ekibine sunulur.
Bu akış milisaniyeler içinde gerçekleşebilir; böylece saldırı yayılmadan izole edilmiş olur. Siber Güvenlik hizmetlerimiz arasında EDR politika optimizasyonu ve 7/24 alarm izleme de yer almaktadır.
EDR Sistemi Nasıl Kurulur?
Kurumsal ortamda uç nokta güvenliği EDR yaygınlaştırması temelde beş adımda gerçekleşir:
- İhtiyaç Analizi & Ürün Seçimi Mevcut cihaz envanterini (Windows, macOS, Linux, mobil) belirleyin; bütçe, entegrasyon gereksinimleri (SIEM, ticketing) ve uyumluluk kriterlerine (KVKK, ISO 27001) göre EDR platformu seçin.
- Test Ortamı & Pilot Uygulama Önce küçük bir grup kullanıcıya ajan yükleyin. Alarm eşiklerini ayarlayıp yanlış pozitif oranlarını ölçün; performans etkisini (CPU, disk I/O) değerlendirin.
- Politika Tasarımı Hangi süreçlerin otomatik karantina alacağını, hangi alarmların yalnızca loglama yapacağını belirleyin. Kritik sunucular için özel kurallar (örneğin veritabanı işlemleri) tanımlayın.
- Kurumsal Yaygınlaştırma GPO, SCCM veya MDM üzerinden tüm cihazlara ajan dağıtın. Ağ segmentasyonuna dikkat edin; özellikle VLAN'lar arası bağlantı kurallarını EDR konsolunda tanımlayın.
- SOC Entegrasyonu & İzleme EDR alarmlarını SIEM'e (Splunk, QRadar, vb.) yönlendirin; playbook'ları hazırlayın ve ekibe düzenli eğitim verin. İlk ay yüksek hacimli alarm beklenmeli; tuning bu dönemde kritiktir.
💡 İpucu: Ajan Güncellemeleri
EDR ajanlarını her zaman güncel tutun. Üreticiler sıklıkla yeni tehdit imzaları ve performans iyileştirmeleri yayınlar; güncellemeleri test ortamında doğruladıktan sonra prod'a alın.
Bakım Anlaşmaları & Teknik Destek kapsamında EDR ajan güncellemelerini, politika revizelerini ve yıllık uyumluluk raporlarını sizin adınıza yönetebiliyoruz.
2026 Yılında EDR Teknolojilerinde Öne Çıkan Trendler
Siber tehdit manzarası hızla değiştikçe, uç nokta güvenliği EDR platformları da yeni yetenekler kazanıyor. İşte 2026 yılında öne çıkan gelişmeler:
🤖 Yapay Zeka Destekli Anomali Tespiti
Modern EDR çözümleri artık büyük dil modelleri (LLM) ve makine öğrenmesi ile anomali tespitini otomatikleştiriyor. Örneğin, kullanıcının normal çalışma saatleri dışında hassas dosyalara erişim denemesi yapması veya alışılmadık bir PowerShell komutu çalıştırması gibi davranışlar otomatik skorlanıyor.
- XDR (Extended Detection & Response) Entegrasyonu: EDR yalnızca uç noktayla sınırlı kalmıyor; ağ trafiği (NDR), bulut iş yükleri (CWPP) ve e-posta güvenliği (SEG) ile birleşerek kapsamlı korelasyon sağlıyor.
- Zero Trust Mimarisi: EDR verileri kimlik doğrulama kararlarına (Conditional Access) girdi oluyor; risk skoruna göre kullanıcının erişimi kısıtlanabiliyor.
- Bulut Tabanlı Yönetim: Artık fiziksel sunucuya ihtiyaç duymadan SaaS modeli EDR hizmetleri yaygınlaşıyor; bu sayede uzaktan çalışan ekipleri de kolayca kapsama alabiliyorsunuz.
- Otomatik Playbook & SOAR: Alarm geldiğinde insan müdahalesi beklemeden otomatik adımlar (kullanıcıyı bilgilendir, hesabı askıya al, ticket aç) tetikleniyor.
Deneyimlerimizde, yapay zeka destekli EDR sistemleri yanlış pozitif oranını önemli ölçüde düşürüyor ve analistlerin gerçek tehditlere odaklanmasını sağlıyor. Ancak bu modellerin eğitimi için yeterli log hacmi ve temiz etiketlenmiş veri gerekiyor; küçük organizasyonlar için yönetilen EDR servisleri daha verimli olabiliyor.
EDR Çözümleri ve Uyumluluk Gereksinimleri
KVKK, ISO 27001, SAS gibi düzenlemeler log tutma, olay izleme ve olay müdahale süreçleri konusunda belirli yükümlülükler getiriyor. Uç nokta güvenliği EDR platformları bu gereksinimleri karşılamak için şu özellikleri sunar:
- Merkezi Log Arşivleme: Tüm uç nokta olayları belirli bir süre (genellikle minimum bir yıl) merkezi depoda saklanır; bu loglar denetim izinde (audit trail) kanıt niteliği taşır.
- Anomali Raporlama: Düzenleyici otoritelerin talep ettiği güvenlik olay raporlarını otomatik oluşturabilirsiniz.
- Veri Sınıflandırma Entegrasyonu: EDR, DLP (Data Loss Prevention) sistemleriyle entegre çalışarak hassas verinin dışarı sızmasını engelleyebilir. DLP hizmetimiz EDR ile ortak politikalar kurmanıza yardımcı olur.
- Incident Response Playbook: KVKK'nın 12. maddesi veri ihlali bildirimini 72 saat içinde gerektiriyor; EDR logları bu sürecin hızlı başlatılmasını ve kapsamın belirlenmesini kolaylaştırır.
KVKK Uyum Danışmanlığı ve SAS Akreditasyon ve Bilgi Güvenliği Danışmanlığı süreçlerinde EDR loglarının doğru yapılandırılması ve raporlanması kritik öneme sahiptir. Deneyimlerimizde, denetim sırasında EDR zaman çizelgelerinin sunulması kurumun olgunluk seviyesini önemli ölçüde yükseltmiştir.
EDR Uygulamasında Dikkat Edilmesi Gerekenler
Başarılı bir uç nokta güvenliği EDR dağıtımı için aşağıdaki pratik önerilere dikkat edin:
- Kapsamlı Envanter Yönetimi: Ağınızdaki tüm cihazları (BYOD dahil) listeleyin; ajan yüklenemeyen cihazlar için ağ segmentasyonu veya NAC (Network Access Control) politikaları belirleyin.
- Performans İzleme: Eski donanıma sahip cihazlarda EDR ajanının CPU ve bellek kullanımı sorun yaratabilir; pilot aşamada bu cihazları test edin ve gerekirse donanım yükseltmesi planlayın.
- Alarm Tuning: İlk haftalarda yüksek hacimli alarm beklenmeli; kritik olmayan alarmları baskılayarak (suppress) ekibin gerçek tehditlere odaklanmasını sağlayın.
- Yedekleme & Kurtarma: EDR ajanının hatalı bir kuralı tetiklemesi durumunda kritik süreçleri durdurma ihtimali var; özellikle üretim sunucularında önce gözlem (monitoring only) modunda çalıştırıp ardından tam korumaya geçin.
- Düzenli Eğitim: SOC ve IT ekibinize EDR arayüzü, alarm önceliklendirme ve playbook kullanımı konusunda periyodik eğitimler verin.
💡 İpucu: Playbook Kütüphanesi Oluşturun
Sık karşılaşılan senaryolar (ör. fidye yazılımı, kimlik avı, yetkisiz erişim) için önceden hazırlanmış playbook'lar oluşturun. Bu sayede olay anında manuel adım atlamadan otomatik müdahale başlatılabilir.
Sahada gördüğümüz en yaygın hatalardan biri, EDR'yi kurduktan sonra alarm yönetimini ihmal etmektir. Sistem binlerce düşük öncelikli alarm üretiyorsa ve bunları kimse incelemiyorsa, kritik bir saldırı sinyali kolayca gözden kaçabilir. Bu nedenle EDR uygulamasını yalnızca teknik kurulum olarak değil, SOC süreçlerinin ayrılmaz bir parçası olarak görmeniz önemlidir.
Sıkça Sorulan Sorular
EDR ile antivirüs arasındaki en önemli fark nedir?
Antivirüs imza dosyalarıyla bilinen kötü amaçlı yazılımları tespit eder; EDR ise davranış analizi ve makine öğrenmesiyle bilinmeyen tehditleri de yakalar, ayrıca detaylı olay sonrası analiz ve otomatik müdahale sunar.
EDR sistemi kurulum süresi ne kadardır?
Pilot uygulama ve test süreci dahil ortalama 2-4 hafta sürer. Kurumsal yaygınlaştırma ise cihaz sayısına bağlı olarak birkaç gün ile birkaç hafta arasında değişir.
EDR ajanı bilgisayarımı yavaşlatır mı?
Modern EDR ajanları hafif tasarlandığı için güncel donanımda performans etkisi minimumdur. Ancak eski cihazlarda CPU ve bellek kullanımı hissedilebilir; pilot aşamada test edilmelidir.
EDR çözümü KVKK uyumluluğuna nasıl katkı sağlar?
EDR merkezi log arşivleme, anomali tespiti ve olay müdahale playbook'ları ile veri ihlali bildirim süreçlerini hızlandırır; denetim izini (audit trail) sağlayarak uyumluluk raporlamasını kolaylaştırır.
Bulut tabanlı EDR ile şirket içi EDR arasında ne fark vardır?
Bulut tabanlı (SaaS) EDR fiziksel sunucu gerektirmez, otomatik güncelleme alır ve uzaktan çalışan ekipleri kolayca kapsar. Şirket içi EDR ise veri egemenliği ve özel uyumluluk gereklilikleri olan kurumlar için tercih edilir.
EDR Nedir ve İnvekor Nasıl Yardımcı Olur?
EDR nedir sorusunu cevapladık, şimdi uygulama zamanı. İnvekor olarak, uç nokta güvenliği hizmetlerimiz kapsamında kurumsal EDR çözümleri sunuyoruz:
- ✅ Merkezi yönetim: Tüm uç noktalar tek panelden
- ✅ 7/24 izleme: Proaktif tehdit avcılığı
- ✅ Otomatik müdahale: Playbook tabanlı yanıt
- ✅ Forensic analiz: Detaylı olay raporlaması
- ✅ KVKK uyumluluğu: Denetim hazır raporlar
- ✅ Entegrasyon: SIEM, firewall, e-posta güvenliği
Sonuç: EDR Nedir ve Neden Artık Zorunlu?
Bu yazıda EDR nedir sorusunu detaylıca cevapladık ve antivirüs ile arasındaki 7 kritik farkı inceledik. Özetlemek gerekirse:
- Antivirüs: Bilinen tehditleri engeller, reaktif çalışır, sınırlı görünürlük
- EDR: Bilinmeyen tehditleri tespit eder, proaktif avcılık yapar, otomatik müdahale eder
Modern siber tehditler karşısında antivirüs tek başına yeterli değil. EDR nedir sorusunun cevabını bilen ve uygulayan şirketler, siber saldırılara karşı çok daha dirençli.
Mevcut uç nokta güvenliğinizi analiz edelim. Antivirüsünüz yeterli mi? EDR'a geçiş gerekli mi? Ücretsiz değerlendirme için hemen iletişime geçin.
