Cyber Kill Chain, Dwell Time: EDR ve XDR Yaklaşımlarının Karşılaştırması

Modern siber saldırılar çoğu zaman tek bir adımda gerçekleşmez. Saldırganlar genellikle hedef sistemler hakkında bilgi toplar, uygun bir giriş noktası bulur ve ardından ağ içinde ilerleyerek daha fazla yetki ve erişim elde etmeye çalışır. Bu süreç, saldırganın ilk erişimi elde etmesinden sistem içinde kalıcı hale gelmesine kadar uzanan bir dizi aşamadan oluşur.

Bu çok aşamalı saldırı sürecini anlamak, güvenlik ekiplerinin saldırıları daha erken tespit edebilmesi ve etkili savunma stratejileri geliştirebilmesi açısından kritik öneme sahiptir. İşte bu noktada siber güvenlik dünyasında sıkça kullanılan bir model olan Cyber Kill Chain devreye girer.

[embed]

Cyber Kill Chain: Bir Siber Saldırının Aşamaları

Cyber Kill Chain modeli, ABD merkezli savunma ve havacılık şirketi olan Lockheed Martin tarafından geliştirilmiş olup bir siber saldırının başlangıçtan sistemde kalıcılık sağlamasına kadar ilerleyen aşamalarını açıklayan bir model sunar. Bu model, saldırganların hedef sistemlere nasıl sızdığını ve sistem içinde nasıl ilerlediğini anlamaya yardımcı olur.

Aynı zamanda savunma ekiplerine saldırının hangi aşamada tespit edilebileceğini gösteren önemli bir analiz yaklaşımıdır. Cyber Kill Chain’e göre savunma ekipleri bu zinciri herhangi bir aşamada kırabilirse, saldırı başarılı olmadan engellenmiş olur.

Cyber Kill Chain modelindeki bu yedi aşama şu şekildedir:

Reconnaissance → Weaponization → Delivery → Exploitation → Installation → Command & Control (C2) → Actions on Objectives

Aşağıda bu aşamaların her birini daha detaylı inceleyelim;

1. Reconnaissance (Keşif):

Saldırganın hedef hakkında bilgi topladığı aşamadır. Bu aşamada saldırganlar hedef kurumun altyapısı, kullanılan teknolojiler, açık portlar, şirket çalışanlarının kimler olduğu, hangi pozisyonlarda çalıştıkları veya olası zafiyetler hakkında veri toplamaya çalışır.

Ayrıca saldırganlar, çalışanların e-posta adreslerini veya kurumun kullandığı e-posta formatlarını da tespit etmeye çalışabilir. Bu bilgiler daha sonra gerçekleştirilecek phishing saldırıları için hedef listesi oluşturulmasına yardımcı olabilir.

Recon aşamasının temel amacı, saldırının sonraki adımlarında kullanılabilecek bilgileri toplamak ve hedef sisteme erişim sağlayabilecek en uygun giriş noktasını belirlemektir.

2. Weaponization (Silahlandırma):

Bu aşamada saldırgan, keşif aşamasında elde ettiği bilgiler doğrultusunda saldırı araçlarını hazırlar. Zararlı yazılımlar, exploit kodları veya phishing denemelerinde kullanılacak dosyalar bu aşamada oluşturulur. Amaç, hedef sistemde çalışabilecek ve güvenlik mekanizmalarını aşabilecek bir saldırı aracı hazırlamaktır.

3. Delivery (Teslim):

Delivery aşaması, hazırlanan saldırı aracının hedef sisteme ulaştırıldığı aşamadır. Bu genellikle phishing e-postaları, zararlı dosya ekleri, kötü amaçlı bağlantılar veya zafiyetleri hedefleyen exploit kitleri aracılığıyla gerçekleştirilir. Başarılı bir delivery süreci, saldırının sonraki aşamalarının başlaması için kritik öneme sahiptir.

4. Exploitation (Sömürme):

Bu aşamada saldırgan, hedef sistemde bulunan bir güvenlik açığını kullanarak sistemde kod çalıştırmayı veya yetkisiz erişim elde etmeyi amaçlar. Başarılı bir exploit sonucunda saldırgan hedef sistem üzerinde ilk kontrolü elde eder.

5. Installation (Kurulum):

Saldırgan bu aşamada hedef sisteme kalıcı bir zararlı yazılım veya arka kapı (backdoor) yerleştirir. Bu sayede sistem yeniden başlatılsa bile erişim kaybolmaz ve saldırgan sisteme tekrar bağlanabilir.

6. Command & Control (C2):

Bu aşamada saldırgan, ele geçirilen sistem ile kendi altyapısı arasında bir iletişim kanalı kurar. Bu kanal sayesinde saldırgan uzaktan komut gönderebilir, yeni araçlar yükleyebilir veya sistem üzerinde çeşitli işlemler gerçekleştirebilir.

7. Actions on Objectives (Hedef Aksiyonları):

Bu aşama saldırganın asıl hedefini gerçekleştirdiği noktadır. Veri sızdırma, fidye yazılımı çalıştırma, sistemleri sabote etme veya hassas bilgilere erişim sağlama gibi eylemler bu aşamada gerçekleştirilir.

Sonuç olarak Cyber Kill Chain modeli saldırının hangi aşamalardan geçtiğini anlamaya yardımcı olur. Ancak pratikte saldırganlar bu adımları gerçekleştirirken veya tamamladıktan sonra hemen tespit edilemeyebilir ve sistem içinde fark edilmeden hareket etmeye devam edebilirler.

Saldırganın ilk erişimi elde ettikten sonra tespit edilene kadar geçen süre Dwell Time olarak adlandırılır. Bu süre boyunca saldırganlar ağ içinde keşif yapabilir, yetkilerini artırabilir ve farklı sistemlere erişmeye çalışabilir. Dwell Time ne kadar uzun olursa saldırının potansiyel etkisi de o kadar artar.

2020 Yılında, Ortalama Dwell Time 56 Gündü

EDR ve XDR Teknolojilerinin Analizi ve Karşılaştırmalı Değerlendirilmesi:

Modern siber tehdit ortamı, geleneksel koruma yöntemlerinin sınırlarını zorlayan bir karmaşıklığa ulaşmıştır. En çok tercih edilen virüs koruma araçları bile tüm tehditleri yakalayabilecek kapasitede değildir.

Saldırganların sistemlerde uzun süre fark edilmeden kalma (Dwell Time) yetenekleri, sıfır gün (zero-day) açıklarını kullanma sıklıkları ve sistem araçlarını kötüye kullanarak yürüttükleri operasyonlar, uç nokta ve ağ güvenliği yaklaşımlarında radikal bir değişimi zorunlu kılmıştır.

Bu değişim sürecinin en kritik iki unsuru olan EDR (Endpoint Detection and Response) ile XDR (Extended Detection and Response), kurumların siber dayanıklılığını artıran temel sütunlar haline gelmiştir. Bu yazı, her iki teknolojinin mimari yapısını, operasyonel işleyişini, sektörel uygulama alanlarını ve birbirlerinden ayrıldıkları kritik teknik noktaları, mevcut araştırma verileri ışığında sunmaktadır.

Uç Nokta Güvenliğinin Temel Taşı: EDR (Endpoint Detection and Response):

EDR, siber güvenlik dünyasında ilk kez Anton Chuvakin tarafından tanımlandığından bu yana, pasif korumadan aktif izleme ve müdahale aşamasına geçişi temsil etmektedir. EDR, ağa bağlı olan tüm uç noktalardaki (bilgisayarlar, sunucular, mobil cihazlar ve IoT donanımları) aktiviteleri sürekli izleyen, verileri kaydeden ve bu verileri potansiyel tehditleri belirlemek amacıyla gelişmiş analitik yöntemlerle inceleyen bir teknolojidir.

EDR Mimarisinin Teknik Bileşenleri ve Çalışma Mekanizması:

EDR çözümlerinin başarısı, uç noktadan toplanan telemetri verisinin derinliğine ve bu veriyi işleyen algoritmaların doğruluğuna dayanmaktadır. EDR sistemleri genellikle üç ana teknik bileşenden oluşur :

1. Veri Toplama Ajanları: Uç noktalara yüklenen bu yazılımlar, sistemin en alt katmanlarında gerçekleşen olayları izler. Süreç oluşturma (process creation), dosya sistemi değişiklikleri, kayıt defteri (registry) modifikasyonları, ağ bağlantıları ve bellek içi (in-memory) aktiviteler bu ajanlar tarafından sürekli olarak kaydedilir.
2. Analiz ve Korelasyon Motoru: Toplanan ham veriler, genellikle bulut tabanlı bir Data Lake’e iletilir. Burada makine öğrenimi ve davranışsal analiz algoritmaları devreye girerek, normal sistem davranışlarını belirler. Bu temelden sapma gösteren aktiviteler, örneğin bir kullanıcı bilgisayarında aniden PowerShell üzerinden şifreli bir ağ bağlantısı açılması, sistem tarafından “saldırı göstergesi” (IOA) olarak işaretlenir.
3. Otomatik Yanıt Mekanizması: EDR, yalnızca tespit yapmakla kalmaz; saldırıyı durdurmak için önceden tanımlanmış kuralları uygular (Playbook). Bu, bir cihazın ağdan tamamen izole edilmesini, kötü amaçlı bir sürecin sonlandırılmasını veya şüpheli bir dosyanın karantinaya alınmasını içerir.

XDR (Extended Detection and Response):

XDR, EDR kavramının bir evrimi olarak kabul edilse de, kapsama alanı ve veri işleme kapasitesi açısından çok daha geniş bir vizyon sunar. XDR, yalnızca uç noktalardan değil; ağlardan (firewall, IDS/IPS), bulut platformlarından (AWS, Azure, GCP), e-posta sunucularından ve kimlik yönetim sistemlerinden (Active Directory, IAM) gelen verileri birleştirerek, tüm kurumsal altyapı genelinde birleşik bir görünürlük sağlar.

XDR Mimarisinin Teknik Üstünlüğü:

XDR’yi devrimsel kılan özellik, güvenlik silolarını yıkmasıdır (Bağımsız silolardan gelen verileri tek bir merkezde toplar, aynı dile çevirir ve yapay zeka ile birbirine bağlar). Geleneksel olarak bir ağ güvenliği analisti ile bir uç nokta analisti farklı ekranlara bakarken, XDR bu iki dünyayı (ve daha fazlasını) tek bir korelasyon motorunda birleştirir. XDR mimarisi şu temel katmanlardan oluşur:

1. Genişletilmiş Veri Ingestion (Veri Alımı): XDR, e-posta geçitlerinden (phishing sinyalleri), ağ trafiği analiz araçlarından ve bulut platformlarından gelen telemetriyi toplar.
2. Çapraz Katman Korelasyonu: XDR’nin önemli noktası olan bu katman, farklı alanlardan gelen sinyalleri bir saldırı zinciri (kill chain) oluşturacak şekilde birleştirir. Örneğin, bir “başarısız login denemesi” (kimlik katmanı) ile bir “şüpheli dosya indirilmesi” (uç nokta katmanı) olayını ilişkilendirerek analistin önüne tek bir vaka olarak sunar.
3. Orkestre Edilmiş Müdahale: XDR, saldırıya müdahale ederken yalnızca cihazı izole etmekle yetinmez. Aynı zamanda saldırganın kullandığı IP adresini güvenlik duvarında bloklayabilir, ele geçirilen kullanıcı hesabını devre dışı bırakabilir ve tüm organizasyon genelindeki benzer phishing e-postalarını temizleyebilir.

XDR Kullanımının Stratejik Önemi:

XDR, özellikle karmaşık IT altyapılarına sahip olan ve “alarm yorgunluğu” (alert fatigue) yaşayan kurumlar için tasarlanmıştır. Güvenlik ekiplerinin binlerce ilgisiz alarm arasında kaybolmasını engelleyerek, gerçek tehditlere odaklanmalarını sağlar.

1. Çok Vektörlü Saldırıların Tespiti: Modern saldırılar nadiren tek bir cihazda başlar ve biter. XDR, saldırganın ağdaki hareketlerini, bulut üzerindeki API suistimallerini ve kimlik hırsızlıklarını eş zamanlı olarak takip edebilir.
2. Bulut ve Hibrit Ortam Güvenliği: İş yüklerinin buluta taşınmasıyla birlikte uç nokta güvenliği yetersiz kalmaya başlamıştır. XDR, bulut uygulama loglarını ve SaaS erişimlerini izleyerek görünürlük boşluklarını kapatır.
3. Operasyonel Verimlilik (SOC Optimizasyonu): XDR, farklı güvenlik araçlarından gelen verileri normalize ederek tek bir arayüzde topladığı için analistlerin araçlar arasında “pivot” yapma (ekran değiştirme) ihtiyacını azaltır, bu da müdahale süresini (MTTR) önemli ölçüde kısaltabilir.

[embed]

EDR ve XDR Arasındaki Kritik Farklar ve Teknik Karşılaştırma:

Her iki teknoloji de tespit ve yanıt odaklı olsa da, kapsam, veri kaynağı, yanıt yetenekleri ve maliyet yapısı açısından temel farklılıklara sahiptirler. Doğru stratejiyi belirlemek için bu farkların derinlemesine anlaşılması ve daha uygun olanın seçilmesi gerekir.

Kapsam ve Görünürlük Analizi:

EDR, bir cihazın içindeki “kara kutu”yu aydınlatırken, XDR bu kutuların arasındaki bağlantıları ve kutunun dışındaki dünyayı (bulut, e-posta, ağ) görünür kılar. EDR bir evi izleyen güvenlik kamerası ise XDR için evin bulunduğu tüm mahalleyi izleyen sistemdir benzetmesi yapabiliriz. EDR’nin göremediği, ancak XDR’nin tespit edebildiği saldırı aşamaları şunlardır:

1. Başlangıç Erişimi: E-posta sunucusu seviyesindeki phishing kampanyaları. (EDR’nin haberi olması için birinin phishing linkine tıklayıp bilgisayarına bir şey indirmesi veya bir işlem başlatması gerekir. Yani EDR, “yangın çıktıktan sonra” devreye girer)
2. Yanal Hareket (Lateral Movement): Uç noktalar arasında şifreli tüneller veya ağ üzerinden yapılan hareketler.
3. Veri Sızıntısı (Exfiltration): Bulut depolama alanlarında doğrudan yapılan veri transferleri.

Yanıt Mekanizmalarındaki Farklılıklar:

Bir saldırı tespit edildiğinde EDR’nin yanıtı lokaldir (lokal müdahale). Analist, yalnızca o cihazın ağını kesebilir. XDR ise orkestre edilmiş bir yanıt sunar. Örneğin, bir saldırgan bir çalışanın VPN kimliğini ele geçirdiğinde, XDR bu durumu VPN loglarından ve uç nokta aktivitelerinden eş zamanlı olarak fark eder. Analist, tek bir komutla hem çalışanın VPN erişimini durdurabilir, hem parolasını sıfırlayabilir hem de tüm bağlı oturumlarını sonlandırabilir.

XDR Mimarilerinde Stratejik Tercihler: Native(Yerel) vs. Open/Hybrid (Açık) XDR:

XDR tercihi olarak iki ana felsefe mevcuttur. Kurumun mevcut güvenlik araçları ve tedarikçi tercihlerine göre bu iki mimariden biri seçilmelidir.

Yerel (Native) XDR:

Yerel XDR, bir üreticinin (örneğin Palo Alto, Microsoft, Trend Micro) kendi güvenlik ürünlerini tek bir platformda birleştirdiği yapıdır.

1. Teknik Avantajlar: Veri formatları standarttır (normalization problemi yoktur), ürünler arası etkileşim kusursuzdur ve tek bir destek noktası vardır.
2. Stratejik Riskler: “Vendor lock-in” (tedarikçiye bağımlılık) yaratır. Eğer üreticinin ağ güvenliği çözümü zayıfsa, XDR’nin toplam başarısı da bu zayıflıktan etkilenir.

Açık (Open/Hybrid) XDR:

Açık XDR, farklı markalara ait güvenlik ürünlerinden API veya loglar üzerinden veri toplayabilen, markadan bağımsız bir platformdur.

1. Teknik Avantajlar: Kurumun halihazırda yatırım yaptığı “en iyi” (best-of-breed) araçları bir arada tutmasına olanak tanır. Esneklik sağlar.
2. Operasyonel Zorluklar: Farklı üreticilerin verilerini anlamlı bir hale getirmek ve API entegrasyonlarını güncel tutmak ek çaba ve zaman gerektirir.

Sonuç: Kurumsal Güvenlik Stratejisi İçin Yol Haritası:

EDR ve XDR teknolojileri, siber güvenliğin statik bir savunma değil, dinamik bir tespit ve yanıt süreci olduğunun kanıtıdır. EDR, uç noktaların korunması için vazgeçilmez bir temel sunarken, XDR bu korumayı tüm dijital ekosisteme yayarak kurumların saldırganlar karşısındaki avantajını artırır.

İşletmeler için en sağlıklı yaklaşım, kendi IT olgunluk seviyelerine ve risk profillerine göre bir geçiş planı oluşturmaktır. Sınırlı bütçesi olan ve basit bir altyapıya sahip kurumlar için güçlü bir EDR çözümü, fidye yazılımları gibi en yaygın tehditlere karşı yeterli bir koruma sağlayacaktır. Ancak bulut servislerini yoğun kullanan, hibrit çalışan ve kompleks ağ yapılarına sahip olan büyük organizasyonlar için, veri akışlarını birleştiren ve yanıt süreçlerini orkestre eden bir XDR platformuna geçiş, siber güvenliğin geleceği için stratejik bir zorunluluktur.

KAYNAKÇA:

1. https://stellarcyber.ai/learn/edr-vs-xdr/
2. https://www.tailwindvoiceanddata.com/blog/edr-vs-xdr-key-differences-everything-you-need-to-know
3. https://www.fortinet.com/resources/cyberglossary/what-is-edr
4. https://www.ibm.com/think/topics/edr
5. https://www.acronis.com/en/blog/posts/what-is-xdr-vs-edr-cybersecurity/
6. https://www.cynet.com/xdr-security/xdr-vs-edr/
7. https://seqred.pl/
8. https://www.youtube.com/@Cyberspatial
9. https://www.youtube.com/@TheCISOPerspective

[embed]