EDR Nedir

Endpoint Detection and Response son birkaç yılda “gelişmiş güvenlik ürünü” kategorisinden çıkıp pratikte masaüstü, dizüstü, sunucu ve hibrit çalışma uçlarının temel savunma düzeyi haline geldi. Bunun nedeni tehdit dinamiklerinin değişmesidir. Ransomware, Verizon DBIR serisinde 2023’te ihlallerin yüzde 24’ünde görülürken 2024’te yüzde 32’ye, 2025’te yüzde 44’e yükseldi. Aynı dönemde malware-free davranış, CrowdStrike’ın küresel tehdit gözlemlerinde 2024’te yüzde 79, 2025’te yüzde 82 seviyesine ulaştı. Saldırganlar daha az zararlı dosya, daha çok geçerli kimlik bilgisi, PowerShell, RMM, SaaS entegrasyonu ve yerleşik yönetim araçları kullanıyor. Bu tablo, “kötü dosyayı yakala” yaklaşımını tek başına yetersiz bırakıyor. 

Bu nedenle etkin EDR, yalnızca bir konsol veya alarm listesi değil; uç nokta üzerinde ne olduğunu sürekli anlayan, şüpheli zincirleri ilişkilendiren, lateral movement’ı görünür kılan, mümkünse otomatik aksiyon verebilen ve kurumu iş sürekliliği perspektifiyle daha dayanıklı hale getiren bir güvenlik katmanı olarak değerlendirilmelidir. CISA’nın Medusa ve benzeri advisory’lerinde EDR’nin lateral bağlantıları tespit etmek için özellikle yararlı olduğu vurgulanırken, LOTL rehberinde de iyi ayarlanmamış EDR ve salt IOC yaklaşımının saldırgan tarafından aşılabileceği belirtilir. Etkinliğin anahtarı burada yatar: ürün kadar tuning, entegrasyon ve operasyon disiplini. 

Tanım

EDR, uç noktalarda süreç, komut satırı, bağlantı, kullanıcı etkinliği, dosya, registry, script ve benzeri davranış verilerini toplayan; bu verileri analiz ederek tehditleri tespit eden; olayın kapsamını açığa çıkaran ve müdahale aksiyonları sağlayan bir güvenlik yaklaşımıdır. Center for Internet Security’nin sade tanımıyla EDR, iş istasyonları ve sunuculara dağıtılan, bu uçlardan teknik veri toplayıp merkezi olarak analiz eden ve tehdit belirlendiğinde engelleme ile alarm mekanizması sunan bir yazılım sınıfıdır. Modern üreticiler bu çekirdeği EPP, NGAV, XDR, MDR, kimlik ve e-posta entegrasyonu gibi daha geniş güvenlik katmanlarıyla birleştirir. 

“Etkin EDR” ifadesi ise yalnızca lisanslanan EDR’yi değil, iyi çalışan EDR’yi anlatır. Etkin bir EDR mimarisi şu özellikleri birlikte taşır: yeterli telemetri derinliği, makul veri saklama süresi, düşük gürültü, iyi olay ilişkilendirme, ölçülebilir response aksiyonları, operasyon ekibinin kullanabileceği net olay akışları ve uç noktayı başka güvenlik katmanlarıyla konuşur hale getiren entegrasyonlar. MITRE ATT&CK Evaluations’ın özellikle önemli tarafı da budur; MITRE kazanan açıklamaz, ama bir ürünün hangi aşamayı nasıl gördüğünü ve ne kadar eyleme dönüştürülebilir sinyal ürettiğini görünür hale getirir. 

Nasıl Çalışır?

EDR’nin çalışma akışı genel olarak dört aşamaya ayrılır. İlk aşama, telemetri toplama katmanıdır. Uç noktalara yerleştirilen ajanlar ya da derin işletim sistemi entegrasyonları süreç oluşturma, dosya davranışı, kullanıcı etkinliği, script kullanımı, ağ bağlantısı ve tehdit göstergelerini toplar. İkinci aşama, korelasyon ve analitik aşamasıdır. Burada tekil olaylar bir saldırı zinciri içine bağlanır; örneğin kimlik bilgisi elde etme, ardından uzak bağlantı, ardından yönetici paylaşımı kullanımı ve sonra veri sızdırma girişimi tek olaydan ziyade bir campaign akışı olarak görünür hale gelir. Üçüncü aşama, görünürlük ve soruşturmadır; sistem kritik olayları bağlam içine yerleştirir, MITRE taktiklerine eşler, arama ve avcılık imkânı verir. Dördüncü aşama ise müdahaledir; süreç sonlandırma, dosya karantinaya alma, host izolasyonu, rollback, IOC engelleme ya da script ile uzaktan düzeltme gibi aksiyonlar devreye girer. 

Bu mekanizma vendor’a göre farklı derinlikte uygulanır. Microsoft Defender for Endpoint bulut yerel, çok platformlu ve Defender XDR ile birleşen bir yapı sunar; Plan 2 içinde EDR, automatic attack disruption ve vulnerability management gibi ek yetenekler bulunur. Palo Alto Cortex XDR endpoint, network, cloud, identity ve email verisini bağlayan çok vektörlü bir yaklaşım kullanır. Trend Vision One çapraz katman telemetri korelasyonu ve script tabanlı response ile ayrışır. SentinelOne Storyline kavramı ile olay zincirini otomatik bağlamlaştırır. CrowdStrike ağ izolasyonu, Falcon platformu ve geniş marketplace ekosistemiyle operasyonel derinlik sağlar. Acronis ise müdahale ile backup/recovery çizgisini birbirine yaklaştırarak “tespit et, cevap ver, toparla” çizgisini aynı platforma taşır. 

Temel Bileşenler

Etkin EDR mimarisinde beş temel bileşen vardır. Birincisi, telemetri ve veri toplama katmanıdır. Bu katman ne kadar zayıfsa, tespit kalitesi o kadar düşer. İkincisi, analitik ve korelasyon motorudur. Tekil alarmları olay zincirine dönüştürür. Üçüncüsü, olay görünürlüğü ve threat hunting katmanıdır. Güvenlik ekibi sadece “kötü bir şey oldu” değil, “ne, ne zaman, kim tarafından, hangi sırayla oldu” sorularına cevap alır. Dördüncüsü, response katmanıdır. İzolasyon, rollback, IOC engelleme, uzaktan script, quarantine ve remediation burada yer alır. Beşincisi ise ekosistem entegrasyonudur. EDR artık nadiren tek başına yaşar; kimlik, e-posta, network, bulut, SIEM, SOAR ve backup ile konuşmayan EDR, modern saldırıların çok alanlı yapısında sınırlı kalır. 

Acronis burada ilginç bir pozisyon alır; EDR ve XDR’yi backup, disaster recovery, RMM ve MSP operasyon modeliyle bir araya getirir. Bu, “saldırıyı tespit ettim ama dosyaları ne zaman geri döndüreceğim” sorusunu aynı stratejinin parçası haline getirir. Microsoft, Microsoft 365 ve Entra ekosisteminde sinyal birleştirme avantajı sunar. SentinelOne, CrowdStrike, Palo Alto ve Trend daha belirgin biçimde XDR/SOC operasyonu merkezli ilerler. Bitdefender ve Sophos ise prevention-first ile EDR/XDR dengesini özellikle orta ölçekli kurumlar için daha yönetilebilir kılar. 

Tehdit Kapsamı

EDR’nin kapsamı yalnızca klasik malware değildir. Ransomware, infostealer, script tabanlı yürütme, PowerShell/WMI/LOLBin kötüye kullanımı, kimlik bilgisi suistimali sonrası uç nokta davranışı, privilege escalation, lateral movement ve veri sızdırma öncesi hareketlilik EDR’nin doğal ilgi alanıdır. AV-Comparatives’ın 2025 EPR test metodolojisi de bunu açıkça gösterir: test sadece ilk bulaşma anını değil, foothold, internal propagation ve asset breach aşamalarını birlikte değerlendirir. Bu, gerçek dünyadaki saldırı zincirine daha yakındır. 

Ancak burada önemli bir sınır da vardır. LOTL ve meşru araç suistimali, iyi ayarlanmamış EDR’lerden kaçabilir. CISA-FBI ortak LOTL rehberi, saldırganların LOLBin ve benzeri araçları “güvenli” kabul edilen akışlar üzerinden işleterek klasik known-bad mantığını aşabildiğini vurgular. Bu yüzden etkin EDR, tehdit avcılığı, özel detection kuralları, kimlik ve network bağlamı, zafiyet görünürlüğü ve güçlü olay yanıt süreciyle tamamlandığında gerçek savunma üretir. Ürünün katalogda EDR yazması, pratikte etkin EDR kurulduğu anlamına gelmez. 

Avantajlar

Etkin EDR’nin en önemli avantajı, güvenlik ekibini kör savunmadan görünür savunmaya taşımaktır. Güvenlik ekibi yalnızca otomatik engellemenin başarısına bağımlı kalmaz; başarısız veya yarı başarılı senaryolarda ne olduğunu, nerede başladığını ve nereye yayıldığını görür. Bağlam üretimi, alarm yorgunluğunu pratikte azaltır. SentinelOne, 2024 MITRE Enterprise değerlendirmelerinde yüzde 100 tespit ve medyana göre yüzde 88 daha az uyarı ürettiğini vurgular. Palo Alto, 2025 AV-Comparatives EPR ve 2024 MITRE sonuçlarını “algılama + response” verimliliği ekseninde öne çıkarır. Bitdefender, 2024 MITRE için SOC’ye anlamlı olay raporlamak adına ortalama yalnızca üç alarm gerektirdiğini açıklar. Bu örneklerin ortak noktası, iyi EDR’nin sadece çok veri toplamak değil, işe yarayan veri üretmek zorunda olduğudur. 

İkinci büyük fayda, müdahale hızıdır. CrowdStrike’ın network containment yaklaşımı, Sophos’un rollback ve isolation aksiyonları, Palo Alto’nun endpoint isolation ve action center modeli, Trend’in remote script ve network isolation akışları ve Acronis’in one-click remediation/recovery yaklaşımı, müdahaleyi yalnızca “ticket açıldı” düzeyinde bırakmaz. Olay anında containment kapasitesi, modern saldırıların hızlandığı ortamda doğrudan iş etkisini azaltır. CrowdStrike 2026 raporunda en hızlı eCrime breakout time 27 saniye, ortalama 29 dakika olarak belirtilir; bu hızda olaylara yalnız insan müdahalesiyle yetişmek mümkün değildir. 

Sınırlamalar

EDR’nin en önemli sınırlaması ürün değil, operasyon gerçeğidir. Yanlış tuning, kısa retention, zayıf entegrasyon, kurumsal izin akışlarıyla uyumsuz response politikaları ve üstüne bir de sınırlı analist kapasitesi olduğunda, en güçlü ürün bile tam değer üretemez. Ayrıca tüm vendor’lar aynı bağımsız testlere girmez; girenler de her yıl aynı kapsamla yer almaz. Bu nedenle değerlendirme yaparken tek bir test sonucuna bakmak yanıltıcı olabilir. MITRE bunu zaten açıkça söyler: değerlendirmeler sıralama ve puanlama üretmez. AV-TEST, protection/performance/usability tarafında güçlü sinyal verir ama tam SOC response iş akışını ölçmez. AV-Comparatives EPR ise daha operasyoneldir, ancak katılımcı kümesi farklıdır. Etkin seçim, bu testleri birlikte yorumlamayı gerektirir. 

İkinci sınırlama kapsam genişledikçe yönetim karmaşıklığının artmasıdır. XDR’ye çıkan platformlar daha fazla görünürlük sunar; ancak daha fazla veri, daha fazla entegrasyon ve daha fazla süreç olgunluğu ister. Özellikle küçük ekipler için bazen “en fazla özellik” değil, “en iyi çalıştırılabilirlik” daha doğru seçim olur. Bu noktada MDR hizmeti, daha dar ama iyi paketlenmiş uç nokta güvenliği veya backup ile recovery’yi entegre eden yapılar öne çıkabilir. Acronis’in MSP/backup yakınlığı, Microsoft’un ekosistem kolaylığı veya Sophos’un sadeleştirilmiş operasyon dili bu nedenle önemlidir. 

Benzer Çözümlerle Farkı

EDR ile klasik antivirüs arasındaki temel fark, olayın sonrasına da bakmasıdır. Antivirüs kötü dosyayı yakalamaya odaklanırken, EDR davranışı, zinciri, yayılımı ve müdahaleyi yönetir. EPP, prevention-first katmandır; EDR bunu görünürlük ve soruşturmayla genişletir. XDR ise EDR’yi e-posta, kimlik, network ve bulut gibi ek telemetri alanlarıyla büyütür. MDR ise bu altyapının insanlar ve süreçle yönetilen servis katmanıdır. Kurum için doğru seviye, ekibin olgunluğu ve ihtiyaç duyulan müdahale seviyesiyle ilgilidir. Bir kimlik yoğunluğu yüksek Microsoft 365 yapısı için MDE + Defender XDR mantıklı olabilir; MSP ve business continuity baskısı yüksek yapılarda Acronis mantıklı olabilir; çok kaynaklı SOC operasyonu için CrowdStrike, SentinelOne, Palo ve Trend daha güçlü adaylar olabilir. 

Hangi Şirketler İçin Uygun?

KOBİ tarafında üç senaryo ayrışır. İlk senaryo, BT ekibi küçük ama Microsoft ağırlıklı çalışan organizasyonlardır; burada Defender for Business veya Defender for Endpoint çizgisi güçlü uyum sağlar. İkinci senaryo, MSP çalışması yapan ya da tek konsolda backup, güvenlik ve toparlama görmek isteyen yapılardır; burada Acronis dikkat çekicidir. Üçüncü senaryo, sınırlı ekiple yüksek koruma isteyen ama yönetim sadeliğini de korumak isteyen yapılardır; Sophos ve Bitdefender bu alanda güçlü adaylardır. 

Orta ve büyük ölçekli kurumlarda ise kısa liste yaklaşımı farklılaşır. Çok platformlu uç nokta, kimlik, e-posta, network ve bulut sinyalini tek SOC ekseninde birleştirmek isteyen ekipler CrowdStrike, SentinelOne, Palo Alto ve Trend Micro cephesine daha yakın olur. Çok yüksek analitik derinlik ile operasyonel gürültü dengesini aynı anda arayan yapılar için bağımsız testler ve MITRE/AV-Comparatives çıktıları özellikle değerli hale gelir. Burada yine tek “en iyi” yoktur; örneğin Palo ve Bitdefender AV-Comparatives EPR 2025’te çok güçlü skorlar verirken, SentinelOne MITRE tarafında uyarı gürültüsü ve tespit başarısını öne çıkarır, CrowdStrike ise SE Labs ve EPR tarafında güçlü kalır. 

Use Cases / Kullanım Senaryoları

En klasik senaryo ransomware containment’tir. Şüpheli şifreleme davranışı görüldüğünde süreç sonlandırma, ağ izolasyonu, rollback ve olay zincirinin incelenmesi gerekir. Sophos, SentinelOne ve Acronis bu alanda rollback/restore söylemiyle öne çıkarken; CrowdStrike, Palo Alto ve Trend containment ile soruşturma derinliğini vurgular. 

İkinci senaryo, geçerli kimlik bilgileriyle başlayan saldırılardır. Bu tür saldırılarda tek bir kötü dosya olmayabilir; kullanıcı hesabı, uzak komut, script, paylaşımlar ve lateral movement görülebilir. EDR burada olay zincirini göstermek ve olağan dışı host davranışını görünür kılmak için önemlidir. Üçüncü senaryo ise hibrit işletim ve saha operasyonlarıdır. Özellikle yerel BT kaynağının sınırlı olduğu üretim, şube ve saha ortamlarında EDR’nin response ve recovery ile birleşmesi farklı bir değer yaratır. Acronis’in one-click recovery yaklaşımı bu noktada pratik bir fark üretir. 

Seçim Kriterleri

EDR seçerken ilk kriter tespit görünürlüğü ve alarm kalitesidir. MITRE tarafında technique-level coverage, alert volume ve delay gibi göstergeler; AV-Comparatives EPR tarafında active/passive response ve TCO; AV-TEST tarafında protection/performance/usability birlikte okunmalıdır. Tek metric yeterli değildir. MITRE’nin kendisinin de söylediği gibi, sonuçlar sıralama değil ihtiyaç eşleştirmesi için vardır. 

İkinci kriter müdahale kapasitesidir. Host isolation, process kill, quarantine, rollback, IOC blocking, remote script, API tabanlı tepki ve otomasyon yetenekleri gerçekten kullanılabilir olmalıdır. Üçüncü kriter mimari uyumdur. Microsoft ağırlıklı yapı, bağımsız SOC yaklaşımı, MSP çoklu kiracı modeli, on-prem zorunluluğu veya backup entegrasyonu karar yönünü değiştirir. Dördüncü kriter maliyet modelidir. Microsoft lisans yapısında P1/P2 ve user-based model öne çıkarken, Acronis Cloud per-workload/per-GB yaklaşımı sunar; CrowdStrike ve SentinelOne tarafında endpoint bazlı public paketler görülebilir; Bitdefender’in bazı paketlerinde public subscription fiyatları mevcuttur; çok sayıda enterprise senaryosunda ise teklif bazlı ilerlenir. 

EDR Bileşen Mimarisi

Endpoint Agents\nWindows macOS Linux Servers

Telemetry Layer\nProcess File Registry Network Script

Correlation and Analytics\nBehavior MITRE Mapping Storyline

Detection Console\nAlerts Incidents Hunting

Response Engine\nIsolate Kill Quarantine Rollback Script

Integrations\nIdentity Email SIEM SOAR ITSM

Recovery Layer\nBackup Restore Reimage

Kodu göster

Bu akış, vendor’lar arasında isimleri değişse de ortak mimariyi gösterir: uç nokta telemetrisi, korelasyon, görünürlük, yanıt ve tercihen toparlama. Microsoft, Palo Alto, Trend, CrowdStrike, SentinelOne, Sophos ve Acronis resmi dokümantasyonları bu katmanların farklı kombinasyonlarını doğrular. 

Önerilen Devreye Alma Yol Haritası

Hafta 1\nKapsam ve Varlık Envanteri

Hafta 2\nPilot Grup ve Agent Dağıtımı

Hafta 3\nTemel Politikalar\nIsolation Rollback Alerting

Hafta 4\nEntegrasyonlar\nIdentity Email SIEM ITSM Backup

Ay 2\nUse Case Tuning\nRansomware LOTL Lateral Movement

Ay 3\nThreat Hunting ve Playbooklar

Sürekli\nQuarterly Validation ve Tabletop

Gerçek hayat dağıtımı ürün kurulumundan ibaret değildir. Pilot, tuning, use-case doğrulaması ve yanıt playbook’larının tanımlanması yapılmadığında CISA’nın uyardığı “untuned EDR” sorunu ortaya çıkar. AV-Comparatives EPR metodolojisi de kurumsal gerçeklikte prevention, detection ve response’un birlikte değerlendirilmesi gerektiğini gösterir. 

Tehdit Eğilimi Grafiği

İhlallerde ransomware görülme oranı20232024202550454035302520151050Oran (%)

Kodu göster

Veri kaynağı: Verizon DBIR 2023, 2024 ve 2025 raporları. Bu artış, EDR’nin neden artık yalnızca “ileri seviye güvenlik” değil, doğrudan dayanıklılık yatırımı olduğunu somutlaştırır. 

Malware-free detections eğilimi202420251009080706050403020100Oran (%)

Kodu göster

Veri kaynağı: CrowdStrike 2025 ve 2026 Global Threat Report özetleri. Eğilim, saldırganların dosya bırakmayan ve meşru akışları kullanan yöntemlere daha fazla kaydığını gösterir; bu da bağlam üreten EDR ve XDR yaklaşımlarını öne çıkarır. 

FAQ / SSS

EDR ile XDR arasında seçim nasıl yapılmalı
Yalnızca uç nokta görünürlüğü ve temel müdahale ihtiyacı varsa EDR başlamak için yeterli olabilir. Kimlik, e-posta, network ve bulut sinyallerini tek olay görünümünde birleştirmek istiyorsanız XDR daha doğru yöne götürür. 

EDR’nin başarısı en çok hangi metrikle ölçülmeli
Tek metrik yoktur. Tespit derinliği, alert kalitesi, false positive yönetimi, containment süresi, kullanım kolaylığı ve operasyonel TCO birlikte okunmalıdır. AV-Comparatives EPR ile MITRE’nin birlikte yorumlanması bu yüzden daha sağlıklıdır. 

Acronis neden bazı kısa listelerde özellikle anlamlıdır
Çünkü yalnızca tespit ve müdahale değil, backup, recovery ve MSP operasyon katmanını da aynı stratejide birleştirir. Özellikle iş sürekliliği baskısının yüksek olduğu ortamlarda bu yaklaşım farklılaşır. 

EDR, SIEM yatırımını gereksiz kılar mı
Hayır. EDR uç nokta derinliği sağlar; SIEM ise daha geniş log ve korelasyon evrenine hizmet eder. Bazı XDR platformları SIEM fonksiyonlarını yaklaştırsa da kurumun görünürlük kapsamı, regülasyon ihtiyacı ve veri stratejisi bu kararı belirler. 

En iyi EDR hangisi
Bu sorunun tek cevabı yoktur. MITRE de zaten kazanan açıklamaz. Doğru soru, “Benim ortamım için en doğru EDR hangisi” olmalıdır. Microsoft ağırlıklı, MSP odaklı, backup-kritik, çok kaynaklı SOC, orta ölçekli sade operasyon gibi profiller farklı kısa listeleri doğurur. 

Etkin EDR, bugün kuruma yalnızca saldırı tespiti değil; görünürlük, aksiyon ve toparlama disiplini kazandırır. Güncel tehdit verileri ransomware’in artmaya, malware-free saldırıların yaygınlaşmaya ve kimlik-suistimali odaklı akışların güçlenmeye devam ettiğini gösteriyor. Bu yüzden iyi EDR yatırımı, iyi bir ürün satın almak kadar, doğru use-case’leri etkinleştirmek, telemetriyi korumak, response yetkilerini netleştirmek, backup ve kimlik katmanlarını entegre etmek ve düzenli validasyon yapmak anlamına gelir. 

EDR’yi “güvenlik ürünü” olarak değil, “uç nokta olay işletim sistemi” olarak konumlandıran kurumlar daha doğru yatırım yapar. Eğer hedefiniz sadece zararlı yazılımını engellemek değil; saldırıyı erken görmek, yayılımı durdurmak, olay zincirini anlamak ve operasyonu hızla ayağa kaldırmak ise, Etkin EDR yaklaşımı artık çekirdek güvenlik mimarisinin vazgeçilmez parçasıdır.