EDR Nedir Sistem Çağrıları Nedir ve Bilgisayarlar Nasıl Korunur

1. EDR Nedir ve Sistem Çağrıları Windows’ta Nasıl Çalışır

Bilgisayarda kullandığın her program tek başına sınırsız yetkiye sahip değildir. Mesela bir not uygulaması açtığında o program ekrana yazı gösterebilir, dosya kaydedebilir ve bazen internete bağlanabilir. Ama bunların hepsini kendi başına, kuralsız şekilde yapmaz. Çünkü işletim sisteminin görevi düzeni korumaktır. Bu yüzden programlar önemli bir iş yapmadan önce işletim sisteminden izin ister. İşte bu izne giden yolun adı sistem çağrısı mantığıdır.

Bunu belediyedeki resmi işlem gibi düşün. Bir vatandaş doğrudan arşiv odasına girip dosya çekemez. Önce ilgili masaya başvurur. Görevli isteği alır, kontrol eder ve uygunsa işlem yapılır. Bilgisayarda da benzer bir akış vardır. Uygulama bir fonksiyon çağırır. Bu istek işletim sisteminin ilgili katmanlarından geçer. En sonunda çekirdek denilen ana yönetim bölgesine ulaşır. Çekirdek de gerekli işi yapar ya da reddeder.

Windows içinde bu yapı çok önemlidir çünkü çekirdek kısmı sistemin en hassas yeridir. Bellek yönetimi, işlem açma, dosya sistemi, sürücüler ve donanım erişimi gibi konular burada yönetilir. Eğer her program çekirdeğe rastgele dokunabilseydi bilgisayar çok kolay bozulur, çöker veya kötü amaçlı yazılımlar her şeyi ele geçirebilirdi. Bu yüzden kullanıcı tarafı ile çekirdek tarafı arasında sıkı bir kapı kontrolü bulunur.

Sistem çağrısı dediğimiz şey aslında programın işletim sistemine “Ben şu işi yapmak istiyorum” demesidir. Örneğin bir program dosya açmak istediğinde, bellekte yer ayırmak istediğinde ya da yeni bir işlem başlatmak istediğinde bunu sistemin belirlediği kurallarla ister. Bu süreç dışarıdan görünmez ama arka planda sürekli olur. Sen bir uygulamayı açtığında, oyunda bölüm değiştirdiğinde, tarayıcı yeni sekme oluşturduğunda bile buna benzer işlemler çalışır.

Şimdi burada önemli bir ayrım var. Uygulamanın görünen kısmı ile işletim sisteminin derin kısmı aynı yer değildir. Uygulamalar daha sınırlı bir alanda bulunur. Çekirdek ise sistemin yöneticisi gibidir. Bu yüzden güvenlik yazılımları özellikle bu istek yollarını takip eder. Çünkü kötü niyetli bir yazılım da sonuçta aynı bilgisayar üzerinde bir şeyler yapmak zorundadır. Dosya açmak ister, belleğe veri yazar, başka süreçleri etkiler veya ağa bağlanır. Bunların çoğu bir şekilde işletim sistemine yaptığı isteklerde iz bırakır.

Kısacası sistem çağrıları, bilgisayarın gizli dili gibi düşünülebilir. Kullanıcı ekranda sadece düğmelere tıklar ama programlar işletim sistemiyle teknik bir konuşma yapar. Güvenlik uzmanları da bu konuşmanın düzenli mi yoksa şüpheli mi olduğuna bakar. Yani konu aslında sandığın kadar karmaşık değil. Bir taraf işi isteyen program, diğer taraf kuralları uygulayan işletim sistemi, ortadaki yol ise sistem çağrısı düzenidir.

Bu mantığı anlarsan siber güvenlikte birçok kavram daha kolay gelir. Çünkü virüs, truva atı, zararlı script ya da tehlikeli program dediğimiz şeylerin çoğu sonuçta bir iş yapmak ister. O işi yaparken de bilgisayarda iz bırakır. Güvenlik araçlarının işi de tam olarak bu izleri yakalamaktır.

2. EDR Nedir ve Neleri Takip Eder

EDR ifadesi İngilizce “Endpoint Detection and Response” sözlerinin kısaltmasıdır. Türkçede bunu “uç nokta tespit ve müdahale sistemi” gibi düşünebiliriz. Uç nokta dediğimiz şey ise bilgisayar, dizüstü cihaz, şirket çalışanının kullandığı masaüstü sistem ya da bazen sunucu olabilir. Yani EDR, bilgisayarın içine yerleştirilen akıllı bir güvenlik gözlemcisi gibidir.

Eski tip antivirüsler daha çok imza mantığıyla çalışırdı. Yani daha önce bilinen kötü dosyaların parmak izlerine bakardı. Bu hâlâ önemlidir ama tek başına yeterli değildir. Çünkü yeni zararlılar daha önce görülmemiş olabilir. İşte bu yüzden EDR sadece dosyanın adına ya da basit imzasına bakmaz. Programın davranışını da izler. Ne zaman açıldı, hangi dosyalara dokundu, bellekte ne yaptı, hangi işlemleri başlattı, internete nereye bağlandı, kullanıcıdan gizli hareket ediyor mu gibi konular incelenir.

Bunu bir okul güvenlik kamerası sistemi gibi düşünebilirsin. Sadece “Bu öğrenci daha önce yaramazlık yapmış mı” diye bakmak yerine, “Koridorda neden koşuyor, neden yasak bölgeye girdi, neden başka sınıfın dolabını açmaya çalışıyor” gibi hareketleri de izlemek çok daha akıllıcadır. EDR de tam olarak bunu yapar. Dosyanın kendisinden çok, davranışın riskli olup olmadığına dikkat eder.

Mesela sıradan bir hesap makinesi uygulamasının gizlice onlarca sistem dosyasına dokunması normal değildir. Ya da basit bir belge görüntüleyicinin arka planda garip ağ bağlantıları kurması şüpheli olabilir. Bir program bir anda çok sayıda dosyayı değiştirmeye başlarsa bu fidye yazılımı belirtisi olabilir. EDR bu tür durumlarda alarm verir. Bazı ürünler işlemi durdurur, bazıları dosyayı karantinaya alır, bazıları güvenlik ekibine rapor gönderir.

EDR sistemleri sadece tek olaya bakmaz. Birçok küçük işareti birleştirerek karar verebilir. Örneğin şüpheli bir e-posta eki açıldıysa, sonra bir komut dosyası çalıştıysa, ardından bilinmeyen bir işlem başlatıldıysa ve bu işlem ağ üzerinden veri göndermeye başladıysa bütün bunlar tek başına küçük görünse bile birlikte büyük risk anlamına gelebilir. Güçlü güvenlik çözümleri olayları birbirine bağlayarak daha anlamlı sonuç çıkarır.

Bu yüzden EDR araçları şirketler için çok değerlidir. Çünkü saldırılar artık tek adımlı değildir. Önce e-posta gelir, sonra kullanıcı yanlışlıkla açar, ardından zararlı dosya çalışır, sonra sistemde kalıcı olmaya çalışır, ardından veriye ulaşmak ister. EDR bu zincirin farklı halkalarını görebilir. Böylece sadece “virüs var mı” sorusunu değil, “sistemde kötüye giden bir süreç var mı” sorusunu da cevaplar.

Kurumsal ağlarda güvenlik ekipleri için EDR nedir sorusunun cevabı oldukça önemlidir. Çünkü EDR sistemleri yalnızca virüsleri tespit etmekle kalmaz, aynı zamanda programların davranışlarını analiz ederek şüpheli aktiviteleri ortaya çıkarabilir.

Aşağıdaki tablo konuyu daha kolay gösterir.

Sonuç olarak EDR, bilgisayarın içine yerleştirilmiş dikkatli bir nöbetçi gibidir. Her şeye engel olmaz ama olağan dışı hareketleri yakalamaya çalışır. Bu da hem bireysel kullanıcıları hem de şirketleri korumada çok işe yarar.

3. EDR Nedir ve Güvenlik Ekipleri Neden Davranış Analizi Kullanır

Siber güvenlikte en zor konulardan biri, henüz tanınmayan tehditleri fark etmektir. Çünkü saldırganlar aynı yöntemi sürekli birebir kullanmaz. Dosyanın adını değiştirir, görünüşünü değiştirir, farklı araçlar kullanır ve bazen çok küçük parçalar halinde hareket eder. Eğer güvenlik sistemi sadece eski imzalara bakıyorsa yeni tehdidi kaçırabilir. Bu yüzden davranış analizi çok değerlidir.

Davranış analizi şuna benzer: Bir kişiyi sadece yüzüne bakarak değil, yaptığı hareketlere bakarak değerlendirirsin. Mesela birinin okul çıkışında kendi sınıfına gitmesi normaldir. Ama sürekli kilitli odaların çevresinde dolaşması, başkalarının eşyalarını kurcalaması ve güvenlik görevlisinden saklanmaya çalışması normal değildir. Aynı mantık bilgisayarda da geçerlidir. Bazı işlemler tek başına normal olabilir ama bir araya geldiğinde riskli görünür.

Güvenlik ekipleri bu yüzden “normal davranış” ile “anormal davranış” arasındaki farkı anlamaya çalışır. Örneğin ofis uygulamalarının belge açması normaldir. Fakat belge açar açmaz arka planda başka süreçler başlatması, gizli komutlar çalıştırması veya beklenmedik ağ bağlantıları kurması normal olmayabilir. Bu tarz işaretler güvenlik uzmanına “Burada daha yakından bakmam gerek” der.

Davranış analizi sadece saldırıyı bulmak için değil, yanlış alarmı azaltmak için de önemlidir. Çünkü her hareket kötü değildir. Yazılım güncellemesi sırasında çok sayıda dosya değişebilir. Oyun açılırken bellek kullanımı artabilir. Yedekleme programı çok sayıda dosya okuyabilir. Güvenlik aracı, bağlamı anlamaya çalışarak daha doğru karar verir. Yani “çok hareket var = kesin tehlike” demek yerine “bu hareket bu program için mantıklı mı” diye düşünür.

Şirketlerde çalışan güvenlik ekipleri ayrıca olayları sıraya koyar. Her uyarı aynı derecede önemli değildir. Bazen düşük riskli bir uyarı sadece takip edilir. Bazen orta riskli olay kullanıcıya sorulur. Bazen de ciddi bir tehditte cihaz ağdan ayrılır. Bu kararları verebilmek için sadece tek log kaydı yetmez. Olay zinciri, kullanıcı rolü, cihazın önemi ve eş zamanlı başka belirtiler de incelenir.

Burada amaç insanları korkutmak değil, sistemleri daha akıllı hale getirmektir. Güvenlik ekibi bir dedektif gibi çalışır. Elindeki ipuçlarını toplar. Hangi program ne yaptı, ne zaman yaptı, bunun öncesinde ne oldu, sonrasında ne oldu gibi sorularla tabloyu tamamlar. EDR ve benzeri araçlar da bu dedektifin büyüteci gibidir.

Aşağıdaki tablo davranış analizi fikrini basitleştirir.

Yani güvenlik uzmanları bir programı yalnızca var olduğu için değil, nasıl davrandığı için değerlendirir. Bugünün siber güvenlik dünyasında bu yaklaşım çok önemlidir. Çünkü saldırılar görünüş olarak daha sıradan hale gelirken davranış olarak hâlâ iz bırakır. Savunmanın gücü de o izleri doğru okumaktan gelir.

4. EDR Nedir ve Şirketler Kendini Nasıl Korur

Siber güvenlik sadece büyük şirketlerin işi değildir. Evde oyun oynayan biri, telefon kullanan bir öğrenci, çevrim içi ödev yapan bir genç ya da küçük bir işletme sahibi de güvenlikten etkilenir. Çünkü saldırılar sadece çok büyük kurumları hedef almaz. Bazen tek amaç şifre çalmak, bazen hesabı ele geçirmek, bazen de kişisel verileri almak olabilir. Bu yüzden temel korunma alışkanlıkları herkes için önemlidir.

İlk kural güncellemedir. İşletim sistemi, tarayıcı, ofis yazılımı, oyun platformu ya da telefon uygulamaları eski kaldığında açık taşıyabilir. Yazılım üreticileri bu açıkları kapatmak için güncelleme yayınlar. Birçok kişi güncellemeyi ertelediği için savunmasız kalır. Bu yüzden güncellemeleri kapatmak yerine düzenli yapmak en basit ama en etkili koruma adımlarından biridir.

İkinci kural güçlü parola ve mümkünse iki aşamalı doğrulamadır. Aynı parolayı her yerde kullanmak çok risklidir. Bir sitede veri sızıntısı olursa aynı parola diğer hesaplarda da denenebilir. İki aşamalı doğrulama ise parola bilinse bile ikinci bir kontrol daha ister. Bu da hesabın çalınmasını zorlaştırır.

Üçüncü kural e-posta ve bağlantılarda dikkatli olmaktır. Bedava hediye, acil uyarı, kargo problemi, hesap kapanıyor gibi panik yaratan mesajlar çoğu zaman tuzak olabilir. Bir bağlantıya tıklamadan önce adresi kontrol etmek, tanımadığın ekleri açmamak ve resmi kurum gibi görünen ama tuhaf yazılmış mesajlara şüpheyle yaklaşmak çok önemlidir.

Şirket tarafında ise iş biraz daha büyür. Orada yalnızca tek bir bilgisayar değil, tüm ağ korunmalıdır. EDR, antivirüs, güvenlik duvarı, yedekleme, kullanıcı yetki kontrolü ve olay izleme sistemleri birlikte çalışmalıdır. Ayrıca çalışan eğitimi şarttır. Çünkü bazen en güçlü sistem bile bir kullanıcının dikkatsizliği yüzünden sorun yaşayabilir. İnsan hatası siber güvenlikte hâlâ en büyük risklerden biridir.

Düzenli yedek almak da çok önemlidir. Çünkü bazen en iyi savunma bile yüzde yüz koruma sağlayamaz. Böyle durumda temiz ve güncel yedekler hayat kurtarır. Dosyalar kaybolsa bile geri dönmek mümkün olur. Ama yedeklerin de güvenli tutulması gerekir. Sürekli aynı ağa bağlı ve korunmasız yedekler de risk altında olabilir.

Okul çağındaki biri için en pratik öneriler şunlardır: korsan yazılım kurmamak, bilinmeyen crack dosyalarını açmamak, sosyal medyada gelen garip linklere tıklamamak, ortak bilgisayarlarda hesap açık bırakmamak ve parolaları arkadaşlarla paylaşmamak. Bunlar basit görünür ama çok büyük fark yaratır.

Aşağıdaki tablo korunma adımlarını özetler.

Sonuçta güvenlik tek bir program kurmakla bitmez. Bu bir alışkanlık işidir. Dikkatli olmak, güncel kalmak, şüpheli şeylere hemen güvenmemek ve önemli hesapları korumak gerekir. EDR gibi teknolojiler bu savunmanın güçlü bir parçasıdır ama en iyi sonuç teknoloji ile bilinçli kullanıcı bir araya geldiğinde alınır.

Sık Sorulan Sorular