— Saha defteri / 18 Mart 2026 —

Çılgın Zırh: EDR'nin Bedeli

Berserker Zırh, taşıyıcısının sinirlerini kemiklerine çiviler. Acıyı bastırır. Kemik kırıldığında bile zırh bir şekilde ayağa kaldırır. Ama her giyişte bir parça aklını yer. EDR'ı agresif kuralla doyurmak, tam olarak böyle bir zırh giymektir.

Zırhın İki Yüzü

EDR/XDR'ın iki modu vardır: monitör (sadece kayıt) ve bloklama (aktif önleme). Zırh, ikinci moddur. İkisinin arasındaki fark, kılıcı kınında tutmakla, kılıcı saplamakla aynıdır. Saplamak hızlıdır; ama yanlış kişiyi de saplayabilirsin.

Zırhın Bedeli — False Positive Kanaması

Bir EDR aşırı agresifleştirildiğinde şu olur:

• Geliştiriciler PowerShell çalıştıramaz olur.
• IT, geçici script'leri imzasız çalıştıramaz.
• Yeni bir yazılım kurulumu yarım saatlik bir tiket konusu olur.
• SOC ekibi her gün 400 alarmla boğulur, gerçek alarm 401. olarak gelir.

Bu, Guts'ın zırhı çıkardıktan sonraki haline benzer: kanı kuruyor, gözü kanlanmış, etrafındakileri tanıyamıyor. SOC tükenmişliği (analyst burnout) bu zırhın bedelidir.

Schierke'nin Çağrısı — Tuning

Schierke, Guts'ın zırhın ruhuna kapılmaması için ona seslenir, onu geri çağırır. Bir SOC ekibinin Schierke'si detection engineer'dır. Görevleri:

1. Beyaz liste yönetimi: Geliştiricilerin meşru araçlarını imza + path ile belgele. Path-only allowlist Femto'nun en sevdiği boşluktur.
2. Risk seviyesine göre kademeleme: DC'lerde bloklama; çağrı merkezi makinelerinde bloklama; yazılım ekibi makinelerinde sadece tespit + onaylı self-service.
3. Alert fatigue ölçümü: Aylık FP/TP oranı izlenmeli. %95 FP'li bir kural, kuralın olmaması kadar zararlıdır.

Skull Knight'ın Tavsiyesi — Defense in Depth

Skull Knight Guts'a der ki: "Zırha güvenme. Zırh seni demonlardan korur, ama insan gibi yaşamayı sana unutturur." Aynısı: tek bir EDR'a güvenme. Modern bir savunma şudur:

• Endpoint: EDR + AppLocker / WDAC
• Identity: Phishing-resistant MFA + conditional access
• Network: DNS RPZ + egress allowlist
• Mail: Gateway + browser isolation
• Backup: Immutable, offline, en az 3-2-1

Bu beş katman, Tutulma sırasında bir saatlik aralığı sağlar. Ve bir saat, bir Kara Süvari için yeterli zamandır.

"Zırhı çıkardığında soğuk hisset. Soğuk, hâlâ insan olduğunun kanıtıdır."

— Kara Süvari, sırtında ter, defterde son kural.