EDR Logları DFIR'da Neden Göz Ardı Ediliyor: Araştırmaların Gözden Kaçan Altını

Bir sisteme saldırı oldu. DFIR ekibi hemen Windows Event Log, Sysmon ve ağ trafiğine dalar. EDR aracısının (Crowdstrike, Microsoft Defender, Sentinel One) biriktirdiği milyonlarca log satırı ise çoğu zaman ikinci planda kalır. Bu, büyük bir hata.

EDR sistemleri tam olarak bu iş için inşa edilmiş. İşlem yürütme zincirlerini, DLL enjeksiyonunu, registry değişikliklerini, ağ bağlantılarını gerçek zamanlı olarak kaydediyor. Ama araştırmalarda neden göz ardı ediliyor?

İlk neden: erişim sorunu. EDR logları çoğu zaman sadece güvenlik operasyon merkezi (SOC) ekibinde kalıyor. DFIR uzmanı, olay sırasında ya da sonrasında bu verilere ulaşamıyor. Şirket içi ağ izolasyonu, farklı araçlar, hatta ücretlendirme modelleri (bazı EDR'ler ek maliyetle veri dışa aktarımı sunuyor) engel oluşturuyor.

İkinci neden: veri yoğunluğu. EDR'ler günde terabaytlar veri üretir. Bir saldırganın faaliyetini bulmak için 30 gün geriye gitmek gerekebilir. Sysmon logu ya da Windows Event Log'u elle taramak daha hızlı görünüyor. Ama bu, ağaçta bir yaprak aramaktan farksız.

Üçüncü neden: bilgi eksikliği. Pek çok DFIR uzmanı EDR'nin neleri kaydedebileceğini tam olarak bilmiyor. Crowdstrike Falcon'un process hollowing tespiti, Defender'ın behavior-based algılaması ya da Sentinel One'ın ağ bağlantı detayları, bu bilgiler araştırma raporlarında nadiren görülür.

Oysa EDR verisi, bir saldırının tüm hikayesini yazabilir. Saldırganın hangi araçları çalıştırdığı, hangi dosyaları değiştirdiği, neye bağlandığı, hepsi orada. Lateral movement'ı, persistence mekanizmalarını, veri exfiltration'ı kanıtlamak çok daha kolay olur.

Pratik olarak: araştırmanın başında EDR operatörüne sor. Zaman aralığını, şüpheli kullanıcıyı ya da makineyi belirt. Verileri CSV olarak al. Kendi DFIR araçlarınla (Python, Splunk, Timeline Explorer) analiz et. Sysmon'dan farklı bir perspektif sunacak; çoğu zaman eksik parçaları tamamlayacak.

EDR'nin göz ardı edilmesi sadece veri kaybı değil, kaynakların israfıdır. Bir saldırganın izlerini bulmak için zaten zor bir iş. Elindeki en iyi aracı kullanmamak, kendini gereksiz yere engellemeye eşittir.