MDR ile EDR Farkı: Yönetilen Tespit ve Müdahale Nasıl Seçilir?

Uç nokta güvenliğinde en sık yapılan hata, aracı kurmakla işin bittiğini varsaymaktır. EDR ürünü kurulduğunda kurum, çok değerli bir görüş alanı kazanır; ancak bu görüş alanı yalnızca birileri gece üçte gelen uyarıya baktığında anlam taşır. MDR, tam olarak bu boşluğu kapatan hizmet modelidir.

EDR nedir?

EDR (Endpoint Detection and Response), uç noktada süreç davranışını, dosya değişikliklerini ve ağ bağlantılarını kaydeden, şüpheli zinciri tespit edip cihazı izole edebilen bir üründür. İmza tabanlı klasik antivirüsten farkı, bilinmeyen zararlıyı davranışından tanıyabilmesidir. Ancak EDR bir ürün olarak size uyarı üretir; o uyarıyı kimin, ne kadar sürede inceleyeceğini belirlemez.

MDR nedir?

MDR (Managed Detection and Response), EDR/XDR teknolojisini 7/24 çalışan bir analist ekibi, hazır müdahale el kitapları ve sözleşmeye bağlanmış müdahale süreleriyle birleştirir. Fark ürün değil, kapsamdır: MDR'de uyarıyı doğrulamak, gerektiğinde cihazı ağdan izole etmek, kök nedeni raporlamak ve yeniden oluşmasını engelleyecek öneriyi vermek hizmetin parçasıdır. Kapsam maddelerini MDR hizmeti sayfasında maddeler hâlinde bulabilirsiniz.

İki modelin karşılaştırması

• Kapsama: EDR mesai saatlerinde ekibinize bağlıdır; MDR sözleşmeyle 7/24'tür.
• Müdahale: EDR'de izolasyon kararını siz verirsiniz; MDR'de önceden tanımlı yetkiyle sağlayıcı da verebilir.
• Uzmanlık: EDR'nin verimi analist olgunluğuna bağlıdır; MDR olgun bir tespit kütüphanesini ilk günden getirir.
• Maliyet yapısı: EDR lisans başına; MDR uç nokta başına hizmet bedeli olarak fiyatlanır.
• Raporlama: EDR konsol ekranıdır; MDR aylık yönetici özeti ve olay kök neden analizi üretir.

Hangi kurumda hangisi doğru?

İçeride en az üç kişilik, vardiya kurabilen ve tehdit avcılığı yapabilen bir güvenlik ekibiniz varsa EDR'yi kendiniz işletmek hem daha ekonomik hem de daha esnek olur. Ekip iki kişiden azsa ya da güvenlik, altyapı ekibinin ek görevi durumundaysa MDR neredeyse her senaryoda daha iyi sonuç verir. Ara bir yol da mümkündür: mesai içi kurum içi, mesai dışı dış kaynak. Bu hibrit modelde eskalasyon matrisinin yazılı olması kritik önemdedir.

Sözleşmede aranacak maddeler

MDR sözleşmesini değerlendirirken teknoloji markasından çok taahhütlere bakın: kritik olayda ilk temas süresi, izolasyon yetkisinin sınırları, aylık rapor içeriği, veri saklama süresi ve verinin hangi ülkede tutulduğu. Kişisel veri işleyen kurumlarda saklama coğrafyası doğrudan uyum konusudur; ayrıntılar için KVKK uyumluluğu ve BT kontrolleri yazımıza bakabilirsiniz.

MDR ve SOC birlikte nasıl çalışır?

MDR uç nokta ve kimlik katmanında derinleşir; SOC ise ağ, sunucu, bulut ve uygulama kayıtlarını da kapsayan geniş bir görüş alanı sunar. Küçük ve orta ölçekli kurumlar genellikle MDR ile başlar; log kaynağı çeşitliliği arttığında SOC hizmetine geçiş yapar. İki hizmetin farkını ve kesişimini SOC rehberi yazımızda ayrıntılandırdık.

Devreye alma: iki haftalık gerçekçi plan

İlk hafta ajan dağıtımı, istisna listesi ve gözlem modu; ikinci hafta engelleme moduna geçiş, izolasyon tatbikatı ve eskalasyon listelerinin doğrulanmasıdır. Gözlem modunu atlayan projelerde iş uygulamaları yanlışlıkla engellenir ve güven kaybı yaşanır; bu nedenle kademeli geçiş, hız kaybı değil risk yönetimidir.

Uç nokta sayınıza göre indikatif fiyat aralığını fiyat kataloğunda görebilir, kurumunuza özel kapsam için teklif sihirbazını doldurabilirsiniz.