Antivirüs bilinen zararlıları yakalar, ancak çalınmış parolalar ve meşru araçlarla yapılan saldırılarda yetersiz kalabilir. EDR, güncellemeler, yetki kısıtlama ve disk şifreleme birlikte ele alınmalıdır.
Birçok işletmede güvenlik denince akla ilk gelen, bilgisayarlara kurulmuş bir antivirüs programıdır. Antivirüs hâlâ gerekli bir katmandır; ancak bugünkü saldırıların önemli bir kısmı bilinen bir zararlı dosya kullanmadan, çalınmış bir parola ya da sistemde zaten bulunan araçlarla ilerler. Bu yazıda antivirüsün neyi yakaladığını, neyi kaçırabileceğini ve bilgisayarlarınızı korumak için yanına neler eklemeniz gerektiğini ele alıyoruz.
Uç nokta neyi kapsar?
Uç nokta, ağa bağlanan ve veri işleyen her cihazın genel adıdır: masaüstü ve dizüstü bilgisayarlar, şirket telefonları ve tabletler, sunucular. Uç nokta güvenliği ise bu cihazların zararlı yazılımdan, yetkisiz kullanımdan ve veri kaybından korunması için alınan önlemlerin bütünüdür. Saldırılar çoğu zaman bir kullanıcının cihazında başladığı için bu katman, ağ güvenliği kadar önemlidir.
İşe cihaz listesiyle başlayın. Kaç bilgisayar, telefon ve sunucu var; hangisi kimde, hangi işletim sistemi sürümünü kullanıyor? Listede olmayan bir cihaz korunamaz, güncellenemez ve kaybolduğunda fark edilmez. Özellikle uzaktan çalışan ve ofise nadiren gelen dizüstüleri unutmayın.
Klasik antivirüs ne yapar, nerede zorlanır?
Geleneksel antivirüs, dosyaları bilinen zararlıların "imza" adı verilen tanımlarıyla karşılaştırır. Bilinen bir zararlı dosyayı yakalamakta başarılıdır ve günümüz ürünlerinin çoğu buna şüpheli davranış tespitini de ekler. Yine de bazı durumlar bu yaklaşımı zorlar:
- Çalınmış kimlik bilgileri: Oltalama e-postasıyla parolası ele geçirilen bir hesapla yapılan giriş, ortada zararlı dosya olmadığı için antivirüsün ilgi alanına girmeyebilir.
- Meşru araçların kötüye kullanımı: Saldırganlar çoğu zaman işletim sisteminde zaten bulunan komut satırı ve yönetim araçlarını kullanır. Bu araçlar tek başına zararlı değildir; zararlı olan, kullanılma biçimidir.
- Yeni veya değiştirilmiş zararlılar: İmzası henüz yayımlanmamış bir zararlı, ilk saatlerde fark edilmeyebilir.
- Kapatılmış koruma: Yönetici yetkisine sahip bir kullanıcı ya da saldırgan, koruma yazılımını devre dışı bırakabilir.
EDR: Olayı görmek ve müdahale etmek
EDR (uç nokta tespit ve müdahale), cihazda olup biteni sürekli kaydeden ve tek tek zararsız görünen adımların şüpheli bir zincir oluşturduğunu fark etmeye çalışan bir yaklaşımdır. Örneğin bir e-posta ekinin açılması, ardından bir komut satırı aracının çalışması ve bu aracın internetteki bilinmeyen bir adrese bağlanması birlikte değerlendirilir. Şüpheli bir durumda cihaz uzaktan ağdan yalıtılabilir, olayın nasıl başladığı geriye doğru incelenebilir.
| Klasik antivirüs | EDR | |
|---|---|---|
| Odak noktası | Bilinen zararlı dosyaları engellemek | Şüpheli davranışları ve olay zincirini görmek |
| Müdahale | Dosyayı silmek veya karantinaya almak | Cihazı ağdan yalıtmak, süreci durdurmak, olayı incelemek |
| Kayıt | Sınırlı | Cihazdaki etkinliğin ayrıntılı kaydı |
| İnsan ihtiyacı | Düşük | Uyarıları değerlendirecek birinin olması gerekir |
EDR'nin değeri, uyarılara bakan biri olduğunda ortaya çıkar. İçeride bu işe zaman ayıracak kimse yoksa, uyarıları sizin adınıza izleyen yönetilen bir hizmet seçeneğini değerlendirin. Aksi hâlde güçlü bir araç, kimsenin okumadığı bir uyarı listesine dönüşebilir.
Antivirüsün yanına eklenecek katmanlar
Güncellemeler
Saldırıların sık kullandığı yol, yaması yayımlanmış ama uygulanmamış açıklardır. Yalnızca işletim sistemini değil; tarayıcıları, ofis programlarını, PDF okuyucuları ve sık kullanılan diğer uygulamaları da güncel tutun. Güncellemelerin otomatik yapılıp yapılmadığını merkezi olarak görebilmek, tek tek bilgisayar dolaşmaktan çok daha güvenilirdir. Üreticinin desteğini sonlandırdığı işletim sistemleri güvenlik güncellemesi almaz; bu cihazları değişim planına alın.
Yönetici yetkilerini kaldırın
Günlük işini yönetici yetkisine sahip bir hesapla yapan kullanıcı, farkında olmadan çalıştırdığı bir zararlıya da aynı yetkiyi verir. Kullanıcıların standart hesapla çalışmasını sağlayın; program kurulumu gibi işler için ayrı bir yönetici hesabı ya da onay süreci kullanın. Bu değişiklik, birçok saldırının etkisini sınırlamaya yardımcı olur.
Disk şifreleme
Kaybolan ya da çalınan bir dizüstünün en büyük riski içindeki veridir. İşletim sistemlerinin sunduğu disk şifreleme özelliğini açın ve kurtarma anahtarlarını kullanıcının değil, şirketin erişebileceği güvenli bir yerde saklayın. Şifreleme açık olduğunda diski çıkarıp başka bir bilgisayara takmak verilere ulaşmak için yeterli olmaz.
Koruma ayarlarının kilitlenmesi
Kullanıcıların veya zararlı yazılımların koruma yazılımını kapatmasını, ayarlarını değiştirmesini ya da kaldırmasını engelleyen "kurcalama koruması" özelliğini açın. Merkezi yönetim panelinde korumanın kapalı olduğu, imzaları eskimiş ya da uzun süredir bağlanmamış cihazları düzenli olarak gözden geçirin.
Bir cihazda zararlı tespit edildiğinde yalnızca dosyanın silinmesiyle yetinmeyin. Cihazı ağdan ayırın, o cihazda kullanılan parolaları değiştirin ve zararlının nasıl geldiğini anlamaya çalışın. Aynı yol açık kaldıkça benzer bir olay tekrarlanabilir.
Telefonlar ve sunucular
Şirket e-postasının ve dosyalarının açıldığı telefonlar da uç noktadır. Mobil cihaz yönetimi (MDM), telefonlarda ekran kilidini zorunlu kılmayı, uygulamaları yönetmeyi ve kaybolan bir cihazdaki şirket verisini uzaktan silmeyi sağlar. Çalışanın kişisel telefonunda şirket verisi varsa, iş ve kişisel alanı ayıran iş profili gibi çözümler hem güvenliği hem de çalışanın mahremiyetini gözetir.
Sunucular da uç nokta korumasının kapsamında olmalıdır. Sunucularda performans kaygısıyla geniş istisnalar tanımlamak yaygın bir alışkanlıktır; istisnaları yalnızca üreticinin önerdiği klasör ve süreçlerle sınırlayın ve gerekçesini not edin.
Bir çözüm seçerken sorulacak sorular
Uç nokta koruma ürünlerinin özellik listeleri birbirine benzer; farkı çoğu zaman günlük kullanım ortaya koyar. Karar vermeden önce şu sorulara cevap arayın:
- Kapsam: Şirkette kullanılan bütün işletim sistemlerini; bilgisayarları, sunucuları ve gerekiyorsa mobil cihazları tek panelden yönetebiliyor mu?
- Görünürlük: Panelde korumanın kapalı olduğu, güncellenmemiş ya da uzun süredir görülmeyen cihazlar kolayca listelenebiliyor mu?
- Uyarıların anlaşılırlığı: Bir uyarı geldiğinde ne olduğu ve ne yapılması gerektiği teknik uzman olmayan biri için de anlaşılır mı?
- Müdahale imkânı: Şüpheli bir cihaz panelden ağdan yalıtılabiliyor, şüpheli bir süreç durdurulabiliyor mu?
- Performans: Eski bilgisayarlarda ve yoğun çalışan sunucularda kabul edilebilir bir yük oluşturuyor mu? Bunu kısa bir deneme süresinde kendi cihazlarınızda görün.
Deneme sürecini birkaç farklı kullanıcı profiliyle yürütün: muhasebe programı yoğun kullanan bir bilgisayar, sahada kullanılan bir dizüstü ve bir sunucu gibi. Böylece uyumluluk sorunlarını, ürün bütün şirkete yayılmadan önce görebilirsiniz.
Kontrol listesi
- Tüm bilgisayar, telefon ve sunucuların güncel bir listesi var mı?
- Her cihazda koruma yazılımı çalışıyor ve merkezi olarak izlenebiliyor mu?
- EDR kullanılıyorsa uyarıları değerlendiren biri ya da bir hizmet var mı?
- İşletim sistemi ve uygulama güncellemeleri düzenli uygulanıyor, desteği biten sistemler belirlendi mi?
- Kullanıcılar günlük işlerini yönetici yetkisi olmayan hesaplarla mı yapıyor?
- Dizüstü bilgisayarlarda disk şifreleme açık ve kurtarma anahtarları güvenli bir yerde mi?
- Koruma yazılımının kapatılmasını önleyen ayarlar etkin mi?
- Şirket verisine erişen telefonlar ekran kilidi ve uzaktan silme imkânıyla yönetiliyor mu?