1. GİRİŞ

Uç nokta güvenliği (endpoint security) günümüzün dağıtık ve bulut‑ağırlıklı altyapılarında kritik bir rol oynar. "Uç nokta" terimi, bir kullanıcının dizüstü bilgisayarı, geliştirici iş istasyonu, sunucu, konteyner host'u, mobil cihaz, IoT cihazı veya bulut tabanlı workload gibi ağa bağlı her türlü varlığı kapsar. Bu varlıklar hem kullanıcı verisini hem de hassas uygulamaları barındırır; dolayısıyla saldırganlar için cazip hedeflerdir. Endpoint güvenliği, bu cihazları kötü amaçlı yazılım, yetkisiz erişim, lateral movement ve veri sızıntısına karşı korumayı amaçlar.

Bu neden bugün önemli?

• Remote çalışma ve BYOD (Bring Your Own Device) modelleri uç noktaların heterojenliğini artırdı.
• Saldırganlar sıklıkla uç noktayı ilk erişim vektörü olarak kullanıp iç ağa geçiş (lateral movement) gerçekleştiriyor.
• Cloud migration ve konteyner adoption ile birlikte host‑level visibility ve runtime koruma gereksinimi büyüdü.

Kimler için önemli?

• Güvenlik mühendisleri ve SOC ekipleri — detection ve response için
• SRE ve platform mühendisleri — host güvenliği, container runtime ve konfigürasyon için
• Uygulama geliştiriciler — güvenli geliştirme ve dependency hygiene için
• Kurumsal yöneticiler ve uyumluluk ekipleri — politika ve raporlama için

2. KAVRAMSAL TEMELLER

2.1 Temel kavramlar

• Endpoint: Ağ üzerinde iletişim kuran her türlü cihaz veya workload.
• EPP (Endpoint Protection Platform): Geleneksel antivirüs, temel host‑level koruma ve cihaz yönetimi fonksiyonlarını içeren platform.
• EDR (Endpoint Detection and Response): Endpoint üzerinde olay toplayan, anomali tespiti yapan ve response yetenekleri sağlayan çözümler.
• XDR (Extended Detection and Response): Endpoint verisini network, cloud ve identity telemetriyle birleştirerek daha geniş perspektif sunan platform.
• Telemetry: Endpoint'ten toplanan process, file, network ve sistem olayları.

2.2 Terminoloji ve bileşenler

• IOC/IOA: Indicator of Compromise veya Indicator of Attack — kötü niyetli davranışa dair göstergeler.
• Sandboxing: Şüpheli dosyaların izole ortamda dinamik analizi.
• mTLS/Device certificates: Cihazlar arası kimlik doğrulama ve güvenli kanal için kullanılan yöntemler.
• PAM & JIT: Ayrıcalıklı erişim yönetimi ve just‑in‑time yetki verme mekanizmaları.

3. NASIL ÇALIŞIR? — TEKNİK MİMARİ VE VERİ AKIŞI

3.1 Endpoint güvenliği mimarisi

Sağlam bir endpoint güvenliği mimarisi şu katmanları içerir: agent/collector (endpoint üzerinde çalışan sensör), local prevention (AV, exploit mitigation), telemetry forwarding (günlük, event, trace gönderimi), central analysis (EDR/XDR, SIEM), orchestration & response (SOAR, MDM/EMM, NAC), ve policy management (konfigürasyon, compliance). Veri akışı genelde agent → message bus (TLS üzerinden) → analytics → alerting/response şeklindedir. Tüm veri yolları şifrelenmiş olmalı ve endpoint agent'ları kendini güncelleme, integrity check ve rollback güvenliğine sahip olmalıdır.

3.2 Agent modelleri ve agentless yaklaşımlar

Agent‑based çözümler uç nokta üzerinde zengin telemetri sağlar: process tree, command line args, file hashes, registry, kernel events gibi. Agentless yaklaşımlar (ör. network flow bazlı tespit veya EDR API'lerine dayalı) bakım kolaylığı sağlar ancak derin görünürlük eksik olabilir. Hibrit modeller genelde en pratik yaklaşımdır: ajanlar kritik varlıklarda, agentless izleme ise yönetimi kolaylaştıran varlıklarda kullanılır.

3.3 Telemetry ve event tipi

• Process creation / termination
• Network connections (remote IP, port, TLS metadata)
• File writes, loads, hash change
• Registry/Keychain modifications
• Credential usage, privileged operations
• Behavioral baselines: CPU/network spike, unusual process chains

3.4 Detection yöntemleri

Detection; signature (AV), heuristic, behavior‑based, ML‑driven anomaly detection ve threat intelligence‑based correlation tekniklerini kombinler. EDR çözümleri process‑tree analysis, parent/child correlation ve machine learning ile saldırı zincirlerini (kill chain) tespit etmeye çalışır. XDR ise endpoint sinyallerini network ve identity ile korelasyonlayarak daha yüksek doğruluk sağlar.

3.5 Response teknikleri

• Containment: network isolation, process termination, quarantine file
• Remediation: rollback, artifact removal, credential rotation
• Forensics: memory dump, process artifacts, timeline export
• Automation: SOAR playbook ile firewall block, ticketing, notify

3.6 Güvenlik ve gizlilik dengesi

Endpoint telemetri detaylı kişisel veriyi (PII) içerebilir. Toplanan verinin minimizasyonu, masking, retention policy ve erişim denetimi kritik önemdedir. SOC ve SOC‑vendor rollerinde least‑privilege erişim, role separation ve logging zorunludur.

4. GERÇEK DÜNYA KULLANIMLARI

4.1 Büyük teknoloji firmaları

Büyük ölçekli firmalar genellikle kendi EDR/XDR katmanlarını; ajan tabanlı telemetri, pipeline (Kafka gibi) ve big‑data analitik ile kurar. Endpoint'lerde telemetry sampling, rolling retention ve enrichment (asset owner, criticality) ile son derece ölçeklenebilir sistemler inşa edilir. Ayrıca canary workstations ve honeypot cihazlar ile erken uyarı kapasiteleri güçlendirilir.

4.2 Finans ve ödeme sistemleri

Finans sektöründe uç nokta güvenliği, PCI DSS ve benzeri regülasyonlar nedeniyle sıkı kurallar içerir: innear network isolation, HSM kullanımı, disk encryption, EDR ile sıkı izleme ve PAM çözümleri entegrasyonu. Anormal transaction pattern detection uç nokta olaylarıyla korele edilerek daha hızlı fraud tespiti sağlanır.

4.3 Sağlık sektörü

PHI içeren sistemlerde endpoint telemetri maskelenir ve sadece gerekli metadata SIEM'e gönderilir. FDA/HIIPA gibi regülasyonlar doğrultusunda erişim kontrolleri, immutable logging ve yetkilendirme protokolleri uygulanır.

4.4 KOBİ ve uzak ekipler

Küçük ve orta ölçekli işletmeler için managed EDR/EDR as a Service ve bulut tabanlı EPP çözümleri başlangıç için maliyet‑etkin ve hızlı uygulanabilir çözümler sunar. BYOD politikalarıyla birlikte MDM/EMM entegrasyonu önem kazanır.

5. AVANTAJLAR VE SINIRLAMALAR

Avantajlar

• Endpoint koruması, ilk erişim vektörlerine karşı savunma sağlar.
• EDR ile hızlı tespit ve response; forensics verisi toplanması kolaylaşır.
• XDR ile telemetri korelasyonu saldırı zincirini görmeyi kolaylaştırır.

Sınırlamalar

• Ajan yönetimi, güncelleme ve uyumluluk operasyonel yük getirir.
• False positive'ler SOC yükünü artırır; tuning ve enrichment gerektirir.
• Privacy ve veri koruma gereksinimleri nedeniyle telemetri sınırlamaları olabilir.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

7.1 Production kullanımı

• Agent‑based telemetri: kritik varlıklarda ajan kullanın; agent health izlemeyi zorunlu kılın.
• Least privilege: lokalde yönetici ayrıcalıklarını (local admin) sınırlandırın ve PAM ile yönetin.
• Patch ve hardening: OS ve uygulama yamalarını düzenli dağıtın; CIS benchmark'larına uygun konfigürasyon uygulayın.

7.2 Detection ve tuning

• Signal enrichment: asset owner, location, criticality, business context gibi bilgileri telemetry ile ilişkilendirin.
• Playbook'lar: belirlenen IOC/IOA'lar için SOAR entegrasyonu ile idempotent playbook'lar oluşturun.
• False positive yönetimi: adaptive thresholds ve allowlist mekanizmaları uygulayın.

7.3 Privacy ve compliance

• Telemetry masking: PII içeren alanları ingestion öncesi maskeleyin.
• Retention policy: log retention süresini regülasyonlara göre tanımlayın.
• Access control: SOC analistleri için least‑privilege ve breakout audits uygulayın.

8. SIK YAPILAN HATALAR

• Agentless tek modele güvenmek — yetersiz visibility olur.
• Telemetriyi blind ingest edip analiz etmemek — veri depolama maliyeti ve gürültü üretir.
• Blocking kararlarını otomatikleştirirken insan onayını ihmal etmek — operasyonel hata riski.
• Güncelleme ve uyumluluk süreçlerini otomatikleştirmemek — ajan sürüm karmaşası.

9. GELECEK TRENDLER

9.1 AI/ML ile davranışsal tespit

ML modelleri, kullanıcı ve cihaz davranışını öğrenerek anomali tespiti yapacak; adversarial robustness ve explainability hala çözülmesi gereken konular arasında olacak. Online learning ve federated learning yaklaşımları, veri gizliliğini korurken modellere güncel bilgi sağlayacak.

9.2 Agentless visibility'in olgunlaşması

Network telemetri, eBPF tabanlı gözlemler ve cloud provider'ın host metrikleri agentless visibility'i güçlendirecek. Ancak bu yaklaşımlar halen agent tabanlı derinliği tam tamamlayamayabilir; hibrit modeller yaygınlaşacak.

9.3 Zero trust ve identity‑centric security

Endpoint güvenliği, kimlik temelli kontrollerle birleşecek; cihaz posture, health checks ve context‑aware access kararları güvenlik politikalarının merkezine yerleşecek.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. 1. EPP, EDR ve XDR arasındaki fark nedir?

   EPP temel endpoint korumasıdır (AV, antimalware). EDR telemetri, detection ve response sağlar. XDR ise endpoint verisini network, cloud ve identity verileriyle birleştirerek daha geniş kapsamlı detection sunar.

2. 2. Agent'lar performansı olumsuz etkiler mi?

   Modern ajanlar hafif olmayı hedefler; ancak yanlış konfigürasyon, aşırı logging veya sync işlemleri performansa etki edebilir. Ajan tuning ve sampling önemlidir.

3. 3. BYOD politikalarında endpoint güvenliği nasıl sağlanır?

   MDM/EMM çözümleri, containerized workspace (app sandbox) ve data protection (DLP) ile BYOD ortamları güvence altına alınabilir. Kullanıcı deneyimini bozmadan politikalar uygulanmalıdır.

4. 4. EDR verisini nerede saklamalıyım?

   EDR telemetrisini güvenli, şifreli ve erişim kontrollü merkezi depo(lar)a gönderin. Retention politikası, gizlilik ve maliyet dengesine göre belirlenmelidir.

5. 5. False positive'leri nasıl azaltabilirim?

   Contextual enrichment, allowlist, asset criticality ve threshold tuning ile false positive oranı düşürülebilir. SOC playbook'ları ile insan‑in‑the‑loop süreçleri kullanılmalıdır.

6. 6. Endpoint hardening için hangi kontroller önceliklidir?

   Least privilege, disk encryption, tam‑disk AV, exploit mitigation (ASLR, DEP), kontrol edilen yönetici hakları ve düzenli patching başlangıç için kritik kontrollerdir.

7. 7. XDR gerçekten gerekli mi?

   Organizasyonun büyüklüğü, threat model ve mevcut güvenlik yığınına göre değişir. Çoklu telemetri kaynağı olan ve korelasyon ihtiyacı bulunan kuruluşlar için XDR fayda sağlar.

8. 8. Küçük ekipler nasıl başlamalı?

   Managed EDR/EPP çözümleri ile başlayın, kritik varlıklarda ajan dağıtın, temel playbook'ları kurun ve zaman içinde XDR/SOAR entegrasyonu ile olgunlaşın.

Anahtar Kavramlar

• EDR: Endpoint Detection and Response — telemetri ve response yetenekleri.
• XDR: Extended Detection and Response — çoklu kaynak korelasyonu.
• EPP: Endpoint Protection Platform — AV ve temel endpoint koruması.
• MDM/EMM: Mobile Device / Enterprise Mobility Management.

Öğrenme Yol Haritası

1. 0–1 ay: Endpoint kavramları, temel işletim sistemi güvenliği, AV/antimalware prensiplerini öğrenin.
2. 1–3 ay: EDR ürünleri ile pratik yapın; agent kurulum, telemetri toplama ve temel sorgulama yeteneklerini deneyin.
3. 3–6 ay: Forensics, memory analysis, process tree analizleri ve incident response playbook'ları üzerinde çalışın.
4. 6–12 ay: XDR entegrasyonu, threat hunting, SOAR playbook geliştirme ve AI‑based detection projelerinde tecrübe kazanın.