KOBİ'de Firewall mı Endpoint (EDR/XDR) mı? Hangisiyle Başlanır

Güvenliğe bütçe ayırmaya karar veren küçük işletmelerin ilk sorusu genelde aynı: "Firewall mı alsak, uç nokta koruması mı?" Soru mantıklı görünüyor ama içinde yanlış bir varsayım var; bunlar alternatif değil, farklı katmanlar. Hangisiyle başlanacağı ise gerçek ve cevaplanabilir bir soru.

İki katman, iki farklı iş

• Firewall ağın kapısında durur. Dışarıdan gelen trafiği süzer, içeriden dışarıya çıkışı kurala bağlar, ağ segmentlerini ayırır. Ofisteki tüm cihazları aynı anda ilgilendirir.
• Uç nokta koruması cihazın üstünde çalışır. Dosyayı, süreci ve kullanıcı davranışını izler. Cihaz ofis dışına çıktığında da onunla gider.

Neden ikisi birden gerekiyor? Çünkü bugün tehdit çoğunlukla kapıyı zorlayarak girmiyor; kullanıcı bir eki açtığında veya bir bağlantıya tıkladığında davetli olarak giriyor. Firewall bu trafiği meşru görür. Öte yandan cihazda koruma varken ağda hiç kural yoksa, bir cihaza bulaşan şey yanındaki cihazlara serbestçe yayılır.

Hibrit çalışma bu dengeyi de değiştirdi: laptop evde çalışırken ofis firewall'ının arkasında değildir. Bu yüzden cihaz üzerindeki korumanın ağırlığı arttı.

Antivirüs, EDR, XDR: gerçek fark

Bu üç terim aynı şeyin pazarlama sürümleri değil; yaptıkları iş farklı.

• Klasik antivirüs: bilinen kötü dosyaları imza ve karakteristiklerinden tanır, engeller. Bilinen tehditlerde etkili ve düşük maliyetlidir. Sınırı şu: tanımadığı bir şey olduğunda sessiz kalır ve geriye dönük bir kaydı yoktur.
• EDR (Endpoint Detection and Response): dosyaya değil davranışa bakar. "Bu belge programı neden şifreleme kütüphanesi çağırıp yüzlerce dosyayı değiştiriyor?" sorusunu sorar. İki şey ekler: tespit ve müdahale. Olayı kayda alır, cihazı ağdan izole edebilir, süreci durdurur ve olayın izini geriye doğru sürmenizi sağlar.
• XDR (Extended Detection and Response): EDR'nin gördüğünü ağ, e-posta ve kimlik tarafındaki sinyallerle aynı tabloda birleştirir. Tek tek bakıldığında masum görünen olayları (bir kullanıcının olağandışı saatte girişi + bir cihazda yeni bir süreç + dışarıya bilinmeyen bir bağlantı) tek bir olay olarak görmeyi sağlar.

Ayrımın pratik özeti: antivirüs engeller, EDR ne olduğunu anlatır ve durdurur, XDR parçaları birleştirir.

"Bulut yönetimli" ne değiştiriyor?

Bu ürünlerin çoğu artık bulut panelinden yönetiliyor. Küçük işletme için üç somut faydası var:

• Ofiste sunucu kurmanız gerekmiyor. Eskiden yönetim konsolu için bir sunucu ayırmak gerekiyordu.
• Cihaz nerede olursa olsun yönetilir. Evde çalışan laptop da panelde görünür, politikası uygulanır.
• Merkezi görünürlük. Hangi cihazda koruma güncel değil, hangisinde alarm var; tek ekrandan görürsünüz. Bu, on beş cihazdan sonra elle takip edilemeyen bir şey.

Karşılığında panelin erişim güvenliğini ciddiye almanız gerekir: yönetici hesabında çok adımlı doğrulama açılmalı. Tüm cihazlarınızı yönetebilen bir panelin şifresi, en kritik şifrenizdir.

Sıfırdan başlıyorsanız doğru sıra

Bütçe sınırlıysa sıralama şöyle olmalı:

• 1. Doğrulanmış yedek. Güvenlik ürünü değil ama en yüksek getirili adım. Fidye yazılımı geçtiğinde işinizi kurtaran tek şey budur. Yedeğin geri döndüğünü test etmeden yedek saymayın.
• 2. Uç nokta koruması. Tehdidin büyük kısmı kullanıcı eylemiyle giriyor; en çok olayı burada yakalarsınız. Cihaz sayısı azsa bile buradan başlayın.
• 3. Çok adımlı doğrulama. E-posta ve yönetim panellerinde açılması bedava veya çok düşük maliyetli; hesap ele geçirmelerinin büyük kısmını keser.
• 4. Firewall. Ağ segmentasyonu, konuk ağı ayrımı ve dışa açık servislerin kontrolü için. Ofiste sunucu, kamera sistemi veya dışarıya açılan bir servis varsa bu sıra yukarı çıkar.
• 5. XDR ve genişletilmiş izleme. Yukarıdakiler yerine oturduktan sonra anlamlı.

Bu sıranın tek istisnası şudur: dışarıya açık bir sisteminiz varsa (uzaktan erişim, kamera kaydı, kendi sunucunuz) firewall ikinci sıraya çıkar.

En çok atlanan madde: alarma kim bakacak?

EDR ve XDR alarm üretir. Bu ürünlerin değeri, alarmın okunup bir şey yapılmasıyla ortaya çıkar. Kimsenin bakmadığı bir konsol, ödediğiniz bedelin karşılığını vermez ve daha kötüsü size korunuyor olma yanılgısı verir.

İki seçenek var: içeride birinin haftalık olarak panele bakması, ya da izlemeyi hizmet olarak bir tarafa vermek. Küçük işletmede ikincisi genelde daha gerçekçi. Ürünü alırken bu soruyu da cevaplayın.

Lisans planlaması

Birkaç pratik nokta:

• Cihaz sayın, kullanıcı değil. Bir kişi laptop + masaüstü kullanıyorsa iki lisans gerekir. Sunucular genelde ayrı lisanslanır.
• Süre uzunluğu fiyatı etkiler. Üç yıllık paketler yıllık bazda daha ekonomik olur; buna karşılık üç yıl sonrasının ihtiyacını bugün tahmin etmek zordur. Kadro büyüyecekse yıllık başlayıp ikinci yılda uzun vadeye geçmek makul.
• Yenileme tarihini takvime koyun. Süresi dolan koruma sessizce devre dışı kalır; kimse fark etmez. Envanter tablonuza lisans bitiş tarihini de yazın.
• Yedek cihazları da sayın. Depodaki laptop kullanıma alındığında lisans gerekir; o an lisans aramak vakit kaybıdır.

Sıkça Sorulan Sorular

Windows'un yerleşik koruması yetmez mi?

Yerleşik koruma yıllar içinde belirgin güçlendi ve küçük ölçekte ciddi bir taban sağlıyor. Eksik kaldığı yer merkezi yönetim ve görünürlük: on beş cihazın hangisinde koruma kapalı, hangisinde alarm var; bunu tek ekrandan göremezsiniz. Kurumsal ürünlerin asıl kattığı değer budur.

EDR, antivirüsün yerine mi geçiyor?

Kurumsal EDR ürünleri genelde antivirüs işlevini de içerir; ayrı bir antivirüs kurmanız gerekmez. İki farklı üreticinin gerçek zamanlı korumasını aynı cihaza kurmak performans ve çakışma sorunu çıkarır.

Firewall için ayrı cihaz mı almak gerekir?

Küçük ölçekte iş sınıfı bir router'ın güvenlik duvarı işlevleri çoğu ihtiyacı karşılar. Ayrı bir güvenlik cihazı; ağ segmentasyonu, detaylı içerik denetimi ve raporlama ihtiyacı doğduğunda anlamlı hale gelir.

Hangi ölçekten sonra XDR gerekir?

Cihaz sayısından çok şu belirleyici: ofis dışında çalışan cihaz var mı, dışarıya açık servisiniz var mı, bir olay çıktığında geriye dönük inceleme yapmanız gerekir mi? Üçüne de "evet" diyorsanız ölçek küçük olsa da anlamlıdır.

Grisepet Notu

Bu konuda en sık verdiğimiz tavsiye ürün değil sıra ile ilgili: yedeği test etmeden güvenlik ürünü almayın. Fidye yazılımı vakalarında müşterilerimizi kurtaran şey her seferinde çalışan bir yedek oldu. Koruma katmanları o temelin üstüne gelir.

İkinci tavsiye: aldığınız ürün alarm üretiyorsa, o alarma bakacak kişiyi de belirleyin. Aksi halde en pahalı ürün bile yalnızca bir fatura kalemidir.

Katmanların ayrımı için Kurumsal Antivirüs ve Endpoint Güvenliği ve Firewall (Güvenlik Duvarı) Nedir? yazılarımıza bakın.

Lisans adedini planlamak için Kaç Lisans Almalıyım?, ücretsiz ile ücretli ayrımı için Ücretsiz Antivirüs mü Ücretli Antivirüs mü?, yedekleme tarafı için Kurumsal Yedekleme Stratejisi Rehberi yazılarımız var. Ürünler Güvenlik Yazılımları kategorisinde.