500+ Uç Noktaya Merkezi EDR/XDR Ajanı Dağıtımı ve Alarm Yorgunluğuna Karşı Yanlış Pozitif (False-Positive) Optimizasyonu

Geleneksel antivirüs yazılımları (Signature-based AV) artık modern tehditlere karşı çaresizdir. Bir saldırgan dosyasız (fileless) saldırı yaptığında, bellekte doğrudan PowerShell kodları yürüttüğünde veya meşru Windows araçlarını silah olarak kullandığında (Living off the Land - LotL), klasik antivirüs hiçbir dosya görmediği için sessiz kalır. Bu körlüğü bitiren teknoloji Uç Nokta Algılama ve Yanıt (EDR / XDR) sistemleridir. Ancak kontrolsüz devreye alınan bir EDR, yanlış alarmlarla (False Positive) tüm şirketi kilitleyebilir.

1. 500+ Cihaza Sessiz Sedasız Ajan Dağıtımı

Ajan dağıtımı kullanıcıları rahatsız etmeden arka planda yapılmalıdır:

# Active Directory GPO veya Yazılım Dağıtım Aracı ile Sessiz Kurulum Komutu
# Sophos Intercept X EDR Kurulumu:
SophosSetup.exe --quiet --nocompetitorremoval --customertoken="xxxx-yyyy-zzzz"

Dağıtım Stratejisi:

• 1. Hafta (Pilot Grup - 20 Cihaz): Yalnızca IT departmanı bilgisayarları.
• 2. Hafta (Test Grubu - 100 Cihaz): Yazılım ve pazarlama ekipleri (farklı araçlar kullananlar).
• 3. Hafta (Genel Dağıtım - 500+ Cihaz): Tüm holding ve şubeler.

2. Alarm Yorgunluğunu (Alert Fatigue) Önleme

Bir EDR kurulduktan sonraki ilk gün SOC paneline günde 300 alarm düşebilir. Güvenlik analistleri her bildirimde ekrana koşarsa 1 hafta sonra yorgunluktan gerçek saldırıları kaçırır.

• Davranış Analizi: Şirket içi geliştirilen bir muhasebe makrosu, cmd.exe üzerinden dosya sildiği için EDR tarafından "Ransomware davranışı" olarak algılanabilir.
• İstisna (Exclusion) Hiyerarşisi:
  • Asla tüm klasörü (C:\*) istisna yapmayın!
  • Yalnızca ilgili yazılımın güvenilir Sertifika İmzacısını (Publisher) veya spesifik dosya SHA-256 hash'ini onaylı listeye (Allowlist) ekleyin.

3. Canlı Tehdit Avcılığı (Threat Hunting)

EDR yalnızca alarm vermez; geriye dönük adli bilişim sorguları yapmanızı sağlar:

-- Osquery tabanlı EDR motorunda son 24 saatte çalışan şüpheli komutları bulma
SELECT name, path, cmdline, parent FROM processes 
WHERE name = 'powershell.exe' AND cmdline LIKE '%-enc%' OR cmdline LIKE '%downloadstring%';

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Geliştirici Bilgisayarlarında Performans Çöküşü: Yazılımcılar kod derlerken (build) saniyede binlerce geçici dosya üretir. EDR her dosyayı analiz etmeye çalışırsa derleme süresi 2 dakikadan 20 dakikaya fırlar. Çözüm: Git dizinleri ve derleme çıktı klasörleri (\node_modules\, \bin\Debug\) EDR taramasında hafifletilmiş izleme moduna alınmalıdır.

Mühendis Notu

Bir EDR ajanını kurup varsayılan ayarlarda bırakmak araba alıp direksiyonu kilitlemek gibidir. İlk 30 gün boyunca her alarmı inceleyin, şirket içi meşru iş süreçlerini sisteme öğretin ve altyapınızı gereksiz gürültüden arındırın.