EDR ve XDR arasındaki temel fark
EDR, uç noktalardaki şüpheli etkinlikleri tespit etme, inceleme ve müdahale etme yaklaşımıdır. XDR, desteklenen güvenlik katmanlarının sinyallerini bir araya getirerek olayın kapsamını görmeyi amaçlar. Seçim yaparken ürün adından önce hangi sistemlerin gerçekten izleneceğini belirleyin.
| Kriter | EDR | XDR |
|---|---|---|
| Odak | Bilgisayar ve sunucu gibi uç noktaların etkinlikleri. | Desteklenen uç nokta, kimlik, e-posta ve uygulama kaynaklarının birlikte değerlendirilmesi. |
| İnceleme | Uç nokta üzerindeki süreç, dosya ve bağlantı kanıtları. | Farklı katmanlardan gelen ilişkili uyarıların olay bağlamında incelenmesi. |
| Satın almadan önce | İşletim sistemi, ajan, müdahale yetkisi ve lisans kapsamını doğrulayın. | Her veri kaynağı için entegrasyon, lisans ve devreye alma gereksinimini doğrulayın. |
XDR etiketi, bütün sistemlerin otomatik olarak kapsandığı anlamına gelmez. Örneğin Microsoft Defender XDR, lisanslanan ve erişimi sağlanan ürünlerin sinyallerini ilişkilendirir. Bu ürün örneğini diğer üreticilerin kapsamı için varsayım olarak kullanmayın. Resmî kaynaklara bakın.
Hangi şirket için hangi yaklaşım değerlendirilmeli?
Aşağıdaki senaryolar Doz Teknoloji’nin önerdiği değerlendirme çerçevesidir; gerçek müşteri vakası veya ürün performans testi değildir.
Tek ofis ve küçük bir BT ekibi
İlk soru, cihazların ne kadarının yönetildiği ve uyarıları kimin inceleyeceğidir. Ajan dağıtımı, desteklenen işletim sistemleri ve müdahale sorumluluğu netse EDR kapsamı bir başlangıç adayı olabilir. E-posta ve kimlik risklerini ayrıca değerlendirin; küçük şirket olmak bu alanların kapsam dışı bırakılması için gerekçe değildir.
Microsoft 365 kullanan, birden fazla lokasyonu olan şirket
Uç nokta, kullanıcı hesabı ve e-posta olaylarını birlikte inceleme ihtiyacınız varsa XDR yaklaşımını değerlendirin. Mevcut lisansların hangi bileşenleri kapsadığını yazılı olarak çıkarın. “Microsoft 365 kullanıyoruz” ifadesini tüm güvenlik özelliklerinin etkin olduğu şeklinde yorumlamayın. Microsoft 365 lisans seçimi rehberini ve çok lokasyonlu güvenlik senaryosunu birlikte inceleyin.
Fabrika ve üretim tesisi
Ofis bilgisayarları, üretim sunucuları ve OT cihazları için ayrı kapsam çıkarın. Bir güvenlik ajanının PLC, HMI veya üreticiye özel sisteme kurulabileceğini varsaymayın. Üretici desteği, bakım penceresi, geri alma planı ve izolasyonun üretime etkisi onaylanmadan uygulama yapmayın. IT ve OT ağlarının ayrılması, uç nokta seçimiyle birlikte ele alınmalıdır.
Satın almadan önce pilot testte neyi ölçmeliyiz?
Ürün demosu yerine kendi iş yüklerinizi temsil eden, sınırları ve başarı kriterleri yazılı bir pilot planlayın. Aşağıdaki kontrol listesi teklifleri aynı kapsam üzerinden karşılaştırmak için kullanılabilir.
- Envanter: Windows, Linux ve macOS sürümlerini, sunucuları, uzaktan çalışanları ve mevcut güvenlik ürünlerini listeleyin.
- Kapsama: Desteklenen cihazlarda ajan kurulumunu ve veri akışını doğrulayın. Kurulamayan veya çevrimdışı kalan cihazları ayrı raporlayın.
- İş yükü: ERP, dosya paylaşımı, yedekleme ve diğer kritik uygulamalar çalışırken kaynak kullanımını ve uyumluluk sorunlarını gözlemleyin.
- Uyarı akışı: Yalnız yetkili ve izole test ortamında, üreticinin desteklediği güvenli test yöntemini kullanın. Uyarının oluşmasını, sorumluya ulaşmasını ve inceleme adımlarını kaydedin.
- Müdahale: Test cihazında hangi işlemlerin yapılabildiğini, kimin onay verdiğini ve geri alma adımını doğrulayın. Üretim sunucusunu gelişigüzel izole etmeyin.
- İşletim: Uyarıları kimin, hangi saatlerde ve hangi eskalasyon planıyla takip edeceğini belirleyin.
Pilot çıktısı: Kapsanan ve kapsam dışı cihaz listesi, gözlenen uygulama etkileri, örnek olay kaydı, müdahale yetkileri ve açık kalan gereksinimler. Bu çıktı olmadan iki teklifin aynı korumayı sunduğunu varsaymayın.
EDR/XDR maliyetini hangi kalemler belirler?
Karşılaştırmayı yalnız kullanıcı veya cihaz başına lisans bedeliyle yapmayın. Doz Teknoloji’nin önerisi, aynı kapsam ve aynı dönem için aşağıdaki kalemleri ayrı istemektir:
- Uç nokta ve sunucu sayıları; kullanıcı/cihaz lisanslama modeli.
- İhtiyaç duyulan e-posta, kimlik ve bulut bileşenleri.
- Ajan dağıtımı, entegrasyon, politika düzenleme ve pilot çalışması.
- Uyarı takibi, olay inceleme, destek saatleri ve hizmet kapsamı.
- Veri saklama, dışa aktarma, sözleşme sonu geçiş ve yenileme koşulları.
Lisans paketi, özellik ve platform desteği üreticiye ve sürüme göre değişir. Güncel kapsamı teklif tarihinde doğrulayın. SIEM/SOC ihtiyacını da ayrı belirleyin; bir XDR ürününün satın alınması, tek başına 7/24 izleme hizmeti sözleşmesi oluşturmaz. SIEM ve SOC rehberine bakın.
EDR ve XDR hakkında sık sorulan sorular
Mevcut antivirüsü hemen kaldırmalı mıyız?
Geçiş kararı öncesinde üreticinin birlikte çalışma koşullarını ve koruma modlarını doğrulayın. Pilot sırasında cihaz grupları, geri alma adımları ve sorumluları belirleyin; koruma boşluğu yaratacak toplu kaldırma işlemi yapmayın.
EDR varken XDR almak zorunlu mu?
Kararı çözülmemiş ihtiyaçlar belirlemeli. Önce mevcut EDR’nin kapsamasını ve işletimini doğrulayın. Kimlik/e-posta katmanlarını birlikte inceleme ihtiyacı ve uygulanabilir entegrasyon varsa XDR teklifini değerlendirin.
XDR, yedeklemenin yerini alır mı?
Kurtarma planını güvenlik ürünü seçimine bağlamayın. Ayrı yedek kopyaları, geri dönüş testleri ve iş sürekliliği hedefleri planlayın. Restore testi rehberi bu değerlendirmenin diğer adımıdır.
Teklif istemeden önce ne hazırlamalıyız?
Kullanıcı, cihaz, sunucu ve lokasyon sayısını; işletim sistemlerini; mevcut lisansları; izleme saatlerini ve geçiş tarihini paylaşın. İlk görüşmede parola, erişim anahtarı veya müşteri verisi göndermeniz gerekmez.