Siber Güvenlik Araçları Rehberi: SIEM, EDR, WAF, XDR ve Diğer Savunma Sistemleri

Siber güvenlik dünyası dışarıdan bakıldığında karmaşık kısaltmalarla dolu bir alfabe çorbası gibi görünebilir: EDR, XDR, SIEM, SOAR, WAF, DLP… Peki, tüm bu araçlar tam olarak ne işe yarar ve bir saldırganı durdurmak için neden hepsine birden ihtiyaç duyarız?
Eğer “İyi bir antivirüs yazılımım var, yeterli değil mi?” diye düşünüyorsanız, modern siber güvenliğin temel taşı olan “Katmanlı Savunma” (Defense in Depth) prensibini inceleme vaktimiz gelmiş demektir.
Hiçbir kilit %100 aşılamaz değildir. Bu yüzden bir kaleyi korurken sadece yüksek duvarlara güvenmezsiniz;

Grup 1: Savunma Odaklı Araçlar (Kalenin Duvarları ve Nöbetçileri)​

Bunlar, saldırganların içeri girmesini engellemeye veya içeri girdiklerinde onları yavaşlatmaya çalışan ilk savunma hattınızdır.

IDS vs. IPS: Alarm ve Fedai​

Bu ikili sürekli karıştırılır ama aralarındaki fark çok basittir:

• IDS (Saldırı Tespit Sistemi): Bu, ağdaki “muhbirdir”. Gelen giden trafiği izler ve şüpheli bir aktivite (örn: bir port taraması) veya bilinen bir tehdit imzası gördüğünde sadece alarm üretir. Güvenlik ekibine “Hey, burada garip bir şey oluyor!” diye bağırır ama müdahale etmez.
• IPS (Saldırı Önleme Sistemi): Bu ise “fedai” veya “kapıdaki güvenlik görevlisidir”. IDS’in yaptığı her şeyi yapar (tespit eder) ancak ek olarak tehdidi aktif olarak engeller. Şüpheli paketi anında düşürür veya bağlantıyı sonlandırır.

EDR (Uç Nokta Tespiti ve Müdahale)​

Saldırgan bir şekilde ilk hattı geçti ve bir kullanıcının bilgisayarına (uç nokta) ulaştı. EDR, modern antivirüsün süper güçlü versiyonudur. Geleneksel antivirüsler “bilinen virüs imzalarını” ararken, EDR davranışsal anormalliklere odaklanır.
Örnek: EDR, bir Word dosyasının aniden PowerShell açıp garip komutlar çalıştırmasını veya bir sistem dosyasının normalde yapmayacağı şekilde ağa bağlanmaya çalışmasını "şüpheli aktivite" olarak algılar. Güvenlik analistine anında haber verir ve o cihazı uzaktan ağdan izole etme (karantinaya alma) imkanı sunar.

WAF (Web Uygulama Güvenlik Duvarı)​

IPS genel ağ trafiğine (Katman 3–4) bakarken, WAF çok özel bir korumadır: Doğrudan web sitenizi (Uygulama Katmanı — Katman 7) korur. Bir saldırgan sitenize sızmak için SQL Injection veya XSS gibi web’e özel teknikler denediğinde, WAF bu saldırı kalıplarını tanır ve engeller.

NDR (Ağ Tehditi Tespiti ve Müdahale)​

EDR uç noktalardaki kör noktadır. Peki ya ağa bağlanan ama EDR kurulamayan cihazlar? (Örn: Güvenlik kameraları, yazıcılar, IoT cihazları). NDR, ağdaki tüm “doğu-batı” (iç) trafiğini dinler ve yapay zeka kullanarak anormal ağ davranışlarını tespit eder.
Örnek: Bir güvenlik kamerasının aniden dosya sunucusuna erişmeye çalışması, NDR için büyük bir alarmdır.

DLP (Veri Kaybı Önleme)​

DLP’nin tek bir görevi vardır: Hassas verilerin kurum dışına sızdırılmasını önlemek. Bunu yaparken verinin içeriğine odaklanır.
EDR vs. DLP Farkı: EDR, verinin nasıl çalındığına (davranışa) odaklanır. DLP ise ne çalındığına (içeriğe) bakar. DLP, içinde “T.C. Kimlik No” veya “Kredi Kartı Numarası” formatı olan bir e-postanın dışarı gönderilmesini, USB’ye kopyalanmasını veya buluta yüklenmesini engelleyebilir.

Diğer Sınır Muhafızları​

• SWG (Secure Web Gateway): Kullanıcıların dışarı internete çıkarken zararlı sitelere girmesini engeller.
• SEG (Secure Email Gateway): Şirkete giren e-postaları tarar; spam, phishing ve zararlı ekleri engeller.
• IAM & PAM: IAM (Kimlik Yönetimi) “Kimin kim olduğunu” yönetirken, PAM (Ayrıcalıklı Erişim Yönetimi) en kritik “admin” hesaplarının şifrelerini bir kasada saklar ve denetler.
• NAC (Network Access Control): “Kapıdaki kimlik kontrolü” gibidir. Bir cihaz ağa bağlandığında “Sen kimsin?” diye sorar, MAC adresine veya güvenlik yamalarına bakarak ağa dahil olup olmayacağına karar verir.

Grup 2: Güvenlik Operasyon Merkezi (SOC) Araçları (Komuta Merkezi)​

Tüm bu cihazlar (IPS, WAF, EDR) saniyede binlerce uyarı (alarm) üretiyor. Bir insanın bunları tek tek okuması imkansız. İşte burası Güvenlik Operasyon Merkezi’nin (SOC) beynidir.

SIEM (Güvenlik Bilgi ve Olay Yönetimi)​

SIEM, SOC’un “beyni” veya “dev log toplama günlüğü”dür. Tüm güvenlik cihazlarından (Firewall, EDR, sunucular, uygulamalar vb.) gelen milyarlarca log kaydını merkezileştirir.
Asıl gücü ise bu logları ilişkilendirmesidir (Korelasyon).
Örnek:

1. 14:00 — IPS’ten “Başarısız VPN girişi” alarmı (Önemsiz).
2. 14:01 — Aynı IP’den 500 adet “Başarısız VPN girişi” (İlginç).
3. 14:02 — Aynı IP’den “Başarılı VPN girişi” (Şüpheli).
4. 14:03 — O kullanıcının normalde hiç girmediği bir sunucuya erişim (ALARM!)

SIEM, bu tekil ve önemsiz görünen olayları ilişkilendirerek analistin önüne “YÜKSEK ÖNCELİKLİ SALDIRI TESPİT EDİLDİ” alarmını düşürür.

• Yaygın Platformlar: Splunk, Microsoft Sentinel, IBM QRadar.

SOAR (Güvenlik Orkestrasyonu, Otomasyon ve Müdahale)​

SIEM alarmı üretti. Şimdi bir analistin bu alarma bakması, doğrulaması ve müdahale etmesi gerekiyor. Bu süreç yavaş olabilir.
SOAR, SOC’un “robot asistanıdır”. Tekrarlanan, manuel işleri otomatikleştirir. SOAR, SIEM’den gelen alarma yanıt olarak önceden tanımlanmış “Oyun Kitaplarını” (Playbook) çalıştırır.
Örnek Playbook:

1. SIEM’den “Şüpheli IP’den zararlı dosya indirildi” alarmı geldi.
2. SOAR otomatik olarak tetiklenir.
3. Adım 1: Şüpheli IP’yi engellemesi için Firewall’a komut gönderir.
4. Adım 2: Dosyayı indiren cihazı ağdan izole etmesi için EDR’a komut gönderir.
5. Adım 3: Analiste “İlk müdahale yapıldı, lütfen incele” diye bir bilet (ticket) açar.

• Yaygın Platformlar: Palo Alto Cortex XSOAR, Splunk SOAR.

XDR (Genişletilmiş Tespit ve Müdahale)​

XDR, EDR’ın evrimleşmiş halidir. EDR harikadır ama sadece uç noktalara bakar. XDR ise “Genişletilmiş” kelimesinin hakkını vererek, sadece uç noktalardan değil; ağ (Firewall), bulut, e-posta ve kimlik sistemlerinden de veri toplayarak bunları tek bir platformda birleştirir.
SIEM vs. XDR Farkı: SIEM her tür logu toplar (veri ambarı) ve korelasyon kurallarına odaklanır. XDR ise belirli güvenlik katmanlarından (EDR, Ağ, Bulut) gelen yüksek kaliteli verileri toplar ve saldırı hikayeleştirmeye odaklanır. Çoğu zaman birbirlerini tamamlarlar.

• Yaygın Platformlar: Palo Alto Cortex XDR, CrowdStrike (XDR Modülleri), SentinelOne (XDR).

Diğer Komuta Merkezi Araçları​

• VM (Zafiyet Yönetimi): “Proaktif Sağlık Taraması”. Henüz saldırı olmadan, ağdaki tüm cihazları tarayarak “Bu Windows sunucuda yama eksik” veya “Bu servisin bilinen bir açığı var” gibi zafiyetleri bulur. (Örn: Tenable/Nessus, Rapid7) .
• MDR (Yönetilen Hizmet): Bu bir araç değil, hizmettir. Tüm bu EDR/XDR araçlarını sizin yerinize 7/24 izleyen, avlayan ve müdahale eden uzman bir “dış kaynaklı” SOC ekibidir.

Grup 3: Diğer Platformlar ve Özel Kuvvetler​

Bunlar, belirli ve çok kritik görevleri olan özel amaçlı araçlardır.

• TIP (Threat Intelligence Platform): “Küresel İstihbarat Servisi”. Dünyanın dört bir yanından toplanan en yeni tehdit verilerini (kötü amaçlı IP’ler, zararlı yazılım imzaları, saldırgan taktikleri) toplar ve bu bilgiyi SIEM, IPS gibi diğer sistemlerinizi beslemek için kullanır.
• BAS (Breach and Attack Simulation): “Otomatik Tatbikat”. “Acaba savunmamız çalışıyor mu?” sorusunun cevabıdır. Gerçek saldırı senaryolarını otomatik olarak sürekli çalıştırarak güvenlik kontrollerinizin (EDR, WAF vb.) gerçekten bir saldırıyı yakalayıp yakalayamadığını test eder.
• Deception (Tuzak Teknoloji): “Honeypot” veya “Tuzak Varlık”. Ağınızın içine, saldırganların ilgisini çekecek sahte ve tuzak sunucular, veriler veya hesaplar yerleştirirsiniz. Bu tuzağa dokunan herhangi bir hareket %100 kötü niyetli kabul edilir ve anında alarm üretir.
• SAST & DAST (Uygulama Güvenlik Testleri): Yazılımcılar kod yazarken, SAST kodu “statik” olarak (çalıştırmadan) tarar ve zafiyet arar. DAST ise uygulama çalışır durumdayken “dinamik” olarak dışarıdan bir saldırgan gibi test eder.
• CASB & CSPM (Bulut Muhafızları): Bulut kullanımının artmasıyla kritik hale geldiler. CASB, kullanıcıların bulut uygulamalarına (Office 365, Salesforce vb.) güvenli erişimini denetler. CSPM ise bulut altyapınızdaki (AWS, Azure) yapılandırma hatalarını (örn: herkese açık bırakılmış bir veritabanı) tespit eder.
• HSM (Hardware Security Module): “Kripto Kasası”. En kritik şifreleme anahtarlarını (SSL sertifikaları, veritabanı şifreleri) kurcalamaya karşı korumalı özel bir donanım (cihaz) içinde saklar.

Sonuç​

Gördüğünüz gibi, siber güvenlik tek bir araçla sağlanamaz. Bu bir “orkestrasyon” işidir.
WAF ve IPS kapıyı korur. EDR içerideki şüpheli davranışları yakalar. DLP verinin çalınmasını engeller. SIEM tüm bu olan biteni tek bir ekranda anlamlandırır. SOAR ise tüm bu araçların birbiriyle konuşup otomatik tepki vermesini sağlar.
Modern bir savunma stratejisi, bu katmanların hepsinin birbiriyle uyum içinde çalışmasına dayanır. Tebrikler, artık dijital kalenizin muhafızlarını tanıyorsunuz!

Hevesinizi kırmak istemem ama yapay zeka olduğu çok açık bir dahaki makalelerinizde en azından beyin fırtınası ile cümleleri değiştirerek daha özgün konular açabilirsiniz. Hem bu sayede o cümleyi geliştirmiş olur aynı zamanda konu ve makale hakkında derinlemesine bilgiye sahip olursunuz