TR / EN

EDR, XDR, SIEM, NDR ve MDR Arasındaki Farklar

Bir bütçe toplantısında beş farklı kısaltmanın beş ayrı güvenlik katmanı olduğu varsayılmıştı. Sunumlarda hepsi alarm üretiyor, korelasyon yapıyor ve tehditleri görünür kılıyordu; bu yüzden ürün sayısı arttıkça kapsamanın da aynı oranda artacağı düşünülüyordu. Oysa lisans listesini veri akışlarıyla eşleştirdiğimizde bazı kayıtların üç platforma gittiğini, kritik bir ağ bölümünden ise hiçbir anlamlı telemetri gelmediğini gördük.

Bu çalışma ilk olarak 22 Temmuz 2026 tarihinde bir güvenlik yatırım planını sadeleştirirken ele alındı. Temel soru hangi kısaltmanın daha gelişmiş olduğu değil, hangi riskin kim tarafından, hangi veriyle ve ne kadar sürede yönetileceğiydi. Bu ayrım yapılmadığında güçlü bir teknoloji yığını, bakılamayan alarm kuyruklarına dönüşebiliyor.

Sorunun ortaya çıkışı

Çok lokasyonlu kurumda uç nokta koruması yenilenirken eş zamanlı olarak merkezi loglama ve yönetilen izleme hizmeti gündeme geldi. Tedarikçi görüşmelerinde EDR ürününün davranış analizi, XDR platformunun korelasyonu, SIEM çözümünün log toplaması ve NDR sisteminin ağ görünürlüğü aynı olay örnekleriyle anlatılıyordu. Yönetim doğal olarak “Bunlardan biri diğerlerinin yerini tutmuyor mu?” diye sordu.

Sorunu ürün tablosundan önce varlık ve kontrol tablosuna çevirdik. İş istasyonları, sunucular, kimlik altyapısı, e-posta, güvenlik duvarı, bulut hizmetleri ve yönetilemeyen ağ cihazları için hangi telemetrinin üretildiğini işaretledik. Ardından tespit, inceleme, müdahale ve raporlama sorumlularını yazdık. Boşlukların önemli bölümü lisans değil; sahiplik, entegrasyon ve çalışma saatleriyle ilgiliydi.

İlk belirtiler ve yanlış varsayımlar

İlk belirti aynı olayın farklı önem dereceleriyle birden fazla konsolda görünmesiydi. Ekip bir alarmı EDR üzerinde kapatıyor, SIEM kaydı açık kalıyor, hizmet sağlayıcı ise ayrı bir vaka numarası oluşturuyordu. Ortalama müdahale süresi ölçümü güvenilmez hale gelirken vardiya devrinde olayın gerçek sahibi belirsizleşiyordu.

En yaygın yanlış varsayım XDR’nin her üreticiden gelen her veriyi doğal olarak anlayacağıydı. Bir diğeri SIEM kurulunca 7/24 izleme kapasitesinin de satın alınmış sayılmasıydı. MDR bir ürün kutusu değil, insan ve süreç içeren yönetilen hizmettir; kalitesi kapsama, erişim yetkisi, müdahale sınırı ve hizmet seviyesine bağlıdır. NDR ise şifreli trafik ve sensör konumu gibi fiziksel gerçeklerden etkilenir.

Teknik analiz

EDR, uç noktadaki süreç, dosya, kayıt defteri, kullanıcı ve bağlantı davranışını izler; gerektiğinde cihazı izole etme veya süreci durdurma gibi doğrudan müdahaleler sunar. NDR, ağ akışları ve uygun noktalardaki paket veya metadata üzerinden yönetilemeyen cihazları ve doğu-batı trafiğini görmeye çalışır. İkisi farklı kör noktaları kapatır; biri diğerinin basit yükseltmesi değildir.

SIEM çok farklı sistemlerden log alır, normalleştirir, saklar ve korelasyon kuralları çalıştırır. XDR genellikle belirli güvenlik ürünleri arasında daha hazır entegrasyon ve olay odaklı inceleme sağlar; açık ekosistem iddiası ürün bazında doğrulanmalıdır. MDR ise bu teknolojilerden birini veya birkaçını işleten uzman ekiptir. Değerlendirmede günlük veri hacmi, olay başına bağlam, API kısıtları, saklama, sorgu performansı ve müdahale yetkisini ayrı satırlar halinde ölçtük.

Uygulanan çözüm veya önerilen mimari

Önerilen mimaride önce uç nokta ve kimlik telemetrisi güvenilir hale getirildi. Kritik ağ kesimleri için NDR ihtiyacı, mevcut güvenlik duvarı ve akış kayıtlarının görünürlüğüyle karşılaştırıldı. SIEM’e her logu göndermek yerine tespit, denetim veya olay inceleme değeri olan kaynaklar alındı. XDR, doğal entegrasyon sağladığı alanda hızlı müdahale katmanı olarak konumlandı.

Her alarm türü için tek bir vaka sahibi ve kayıt sistemi belirlendi. MDR sağlayıcısının hangi koşulda yalnızca bildirim yapacağı, hangi koşulda cihaz izolasyonu önereceği ve acil durumda kime ulaşacağı yazılı hale getirildi. Üç aylık kullanım senaryoları; kimlik riski, zararlı süreç, olağandışı veri hareketi ve kritik yapılandırma değişikliği üzerinden test edildi. Böylece mimari ürün adlarından değil ölçülebilir kontrol zincirlerinden oluştu.

Alternatifler ve karar gerekçesi

Tek üretici ekosistemi daha az entegrasyon eforu ve daha tutarlı olay görünümü sağlayabilir. Buna karşılık lisans bağımlılığı, desteklenen veri kaynaklarının sınırı ve gelecekte geçiş maliyeti değerlendirilmelidir. En iyi ürünlerin ayrı ayrı seçildiği yaklaşım daha esnek olabilir; fakat entegrasyon, içerik geliştirme ve çoklu konsol yükünü kurum üstlenir.

Küçük bir ekip için iyi tanımlanmış MDR hizmeti, kullanılmayan gelişmiş SIEM özelliklerinden daha fazla sonuç verebilir. Büyük ve yetkin bir SOC ise ham telemetriye, uzun saklamaya ve özel analitik geliştirmeye ihtiyaç duyabilir. Kararı özellik sayısına göre değil, kapsanan senaryo başına toplam işletme yükü, kanıtlanmış entegrasyon ve müdahale süresi üzerinden verdik.

Güvenlik ve operasyonel riskler

Bu platformlar yüksek ayrıcalık, hassas telemetri ve bazen uzaktan müdahale yetkisi taşır. Yönetici hesaplarında güçlü MFA, rol ayrımı, denetim kaydı ve acil erişim prosedürü bulunmalıdır. Sensörlerin performans etkisi pilotta ölçülmeli; otomatik izolasyon gibi aksiyonlar kritik sunucularda kontrollü uygulanmalıdır. Logların bölgesel saklama ve kişisel veri gereksinimleri hukuk ve uyum ekipleriyle değerlendirilmelidir.

En büyük operasyonel risk alarm üretip işleyememektir. Kural bakımının durması, entegrasyon anahtarlarının süresinin dolması veya sensör kapsamının gerilemesi sessiz kör noktalar yaratır. Bu nedenle aylık kapsama raporu, veri kaynağı sağlık kontrolü, örnek olay doğrulaması ve hizmet sağlayıcı performans değerlendirmesi mimarinin zorunlu parçasıdır.

Çıkarılan Dersler

Kontrol Listesi

Yönetim sunumlarında güvenlik olgunluğu bazen bir ilerleme çubuğu gibi ele alınıyor: yeni ürün devreye girince yüzde birkaç artış bekleniyor. Sahada ise lisansı alınmış ama sensörleri eksik, alarmı sahipsiz veya raporu hiç incelenmeyen sistemlerle karşılaştım. Böyle bir yatırım bütçeyi tüketir, denetim tablosunda bir satırı doldurur; riski aynı ölçüde azaltmaz.

22 Temmuz 2026 tarihindeki bir yatırım değerlendirmesinde NDR, veritabanı aktivite izleme, oltalama simülasyonu, siber tatbikat ve BAS başlıklarının puana etkisini tartıştık. Tek bir tahmini oran vermek yerine her yatırımı kontrol yaşam döngüsüne bağladık. Bu yaklaşım, yönetimin teknoloji ile doğrulanmış kabiliyet arasındaki farkı görmesini sağladı.

Sorunun ortaya çıkışı

Kurum daha önce yapılan bir değerlendirmede belirli bir olgunluk seviyesinde konumlanmıştı. Sonraki bütçe döneminde çeşitli güvenlik ürünleri listeye eklendi ve hedef puanın ne kadar yükseleceği soruldu. Fakat başlangıç değerlendirmesindeki soruların bir kısmı politika, bir kısmı teknik kontrol, bir kısmı da olaylara müdahale yetkinliğiyle ilgiliydi. Ürün listesini doğrudan puana çevirmek metodolojik olarak doğru değildi.

Önce kullanılan çerçevenin kapsamını sabitledik. NIST CSF işlevleri ve kurumun kendi risk kayıtları üzerinden mevcut kontrol, hedef kontrol ve beklenen kanıt tanımlandı. “NDR alınacak” ifadesi yerine “kritik ağ bölümlerindeki olağandışı iletişim belirlenen sürede tespit edilip incelenecek” gibi sonuç cümleleri kuruldu. Böylece yatırımın hangi boşluğu kapatacağı tartışılabildi.

İlk belirtiler ve yanlış varsayımlar

İlk yanlış varsayım lisans başlangıç tarihinin kontrolün etkinlik tarihi sayılmasıydı. Kurulum, entegrasyon, temel davranış öğrenme, kural ayarı, ekip eğitimi ve prosedür güncellemesi hesaba katılmıyordu. İkinci varsayım ise bütün ürünlerin birbirinden bağımsız puan getireceğiydi; oysa aynı tespit hedefini destekleyen iki araç aynı kontrolü iki kez olgunlaştırmaz.

Bir başka belirti, kanıt sorulduğunda yalnızca satınalma belgesinin gösterilmesiydi. Denetçi veya iç kontrol ekibi için geçerli kanıt; kapsama raporu, alarm kaydı, zamanında müdahale, test sonucu ve onaylı prosedür olabilir. Honeypot alarmı SOC kuyruğuna düşmüyorsa veya oltalama simülasyonunun ardından eğitim süreci çalışmıyorsa teknoloji ile süreç zinciri kopuktur.

Teknik analiz

Her kontrolü beş boyutta puanladık: tasarım, kapsam, işletim, ölçüm ve doğrulama. Tasarım kontrolün neyi engelleyeceğini veya tespit edeceğini açıklar. Kapsam, hedef varlıkların ne kadarının dahil olduğunu gösterir. İşletim; alarm sahipliği, vardiya ve eskalasyonu kapsar. Ölçüm, sonuçların eğilimini izler. Doğrulama ise örnekleme, tatbikat veya bağımsız test yoluyla kontrolün gerçekten çalıştığını kanıtlar.

Örneğin BAS, mevcut savunmaların bazı senaryolara verdiği tepkiyi sürekli ölçebilir; ancak eksik yamayı kapatmaz ve SOC personeli yerine geçmez. DAM hassas veritabanı faaliyetini görünür kılabilir; doğru kapsam ve ayrıcalıklı kullanıcı senaryoları olmadan gürültü üretir. NDR ağdaki anormallikleri gösterebilir; sensörün görmediği segment için puan iddia edilemez. Her yatırımın katkısı, bu sınırlara göre ağırlıklandırıldı.

Uygulanan çözüm veya önerilen mimari

Yol haritasını ürün bazlı değil kontrol bazlı hazırladık. Her satıra risk, mevcut seviye, hedef seviye, kontrol sahibi, teknik bağımlılık, hedef tarih ve kabul kanıtı eklendi. Teknoloji kurulumu tamamlanınca otomatik olarak kapanmayan bir geçiş kapısı oluşturuldu: kapsama hedefi sağlanacak, ekip eğitilecek, prosedür onaylanacak ve örnek bir olay uçtan uca işletilecekti.

Puan raporunda da tek sayı yerine güven aralığı ve alan bazlı görünüm kullandık. Kimlik, koruma, tespit, müdahale ve kurtarma yetenekleri ayrı gösterildi. Böylece güçlü endpoint kontrolü zayıf kurtarma kapasitesini gizlemedi. Çeyreklik yönetim toplantılarında harcanan bütçe değil, kapanan risk senaryosu ve sürdürülebilir kanıt sayısı konuşulmaya başlandı.

Alternatifler ve karar gerekçesi

Basit bir öz değerlendirme hızlı ve düşük maliyetlidir; ancak iyimser puanlama ve ekipler arası tutarsızlık riski taşır. Bağımsız değerlendirme daha güçlü güvence sunar, fakat bağlamı iyi aktarılmazsa kontrol listesi yaklaşımına sıkışabilir. Otomatik güvenlik puanları güncel yapılandırma sinyali verir; tüm iş süreçlerini, fiziksel kontrolleri veya kriz yönetimini kapsamaz.

Karma modeli seçtik: ekipler kanıtları topladı, kontrol sahipleri çapraz değerlendirme yaptı, kritik alanlar dönemsel olarak bağımsız doğrulandı. Üretici panellerindeki skorları faydalı operasyon göstergesi olarak kullandık fakat kurumsal olgunluk puanıyla eşitlemedik. Karar, uygulanabilirlik ile güvenilirlik arasında daha dengeli sonuç verdi.

Güvenlik ve operasyonel riskler

Puan hedefi yanlış teşvik yaratabilir. Ekipler zor fakat önemli iyileştirmeler yerine kolay puan getiren maddelere yönelebilir; istisnalar gizlenebilir veya kısmi kapsam tam uygulanmış gibi raporlanabilir. Bu nedenle puanın yanında açık riskler, kabul edilmiş istisnalar, kapsama oranı ve kanıt tarihi gösterilmelidir. Olgunluk hiçbir zaman mutlak güvenlik garantisi olarak sunulmamalıdır.

Yeni araçlar ek operasyon yükü, veri saklama sorumluluğu ve yüksek ayrıcalıklı entegrasyonlar getirir. Personel kapasitesi bütçeye dahil edilmezse kontrol zamanla zayıflar. Lisans yenileme, içerik bakımı, sensör sağlığı, veri kalitesi ve hizmet sağlayıcı bağımlılığı toplam sahip olma maliyetinde değerlendirilmelidir.

Çıkarılan Dersler

Kontrol Listesi